Soukromé společnosti, neziskové a další organizace
Soukromá organizace nemá povinnost jmenovat pověřence jen proto, že zpracovává osobní údaje. Rozhoduje povaha hlavních činností, pravidelné a systematické monitorování ve velkém rozsahu nebo rozsáhlé zpracování citlivých údajů.
Doložené posouzení povinnosti podle čl. 37 GDPR
Kontrola možného střetu zájmů ještě před jmenováním
Rozsah služby podle rizika, ne podle univerzálního balíčku
Posouzení
Povinnost se posuzuje podle čl. 37 GDPR: veřejnoprávní postavení, rozsáhlé pravidelné a systematické monitorování osob nebo rozsáhlé zpracování zvláštních kategorií či údajů o trestních věcech v rámci hlavních činností.
Výsledkem je stručně zdůvodněný závěr včetně údajů, ze kterých vychází. Posouzení se aktualizuje, pokud se podstatně změní obchodní model, technologie nebo rozsah zpracování.
Externí DPO
Externí model může přinést nezávislost, zastupitelnost a přístup k více odborným perspektivám. Vždy však musí být určena hlavní odpovědná osoba, pověřenec musí být dostupný a služba musí odpovídat velikosti a složitosti organizace.
Před přijetím funkce prověřím, zda jiné poskytované činnosti neurčují účely a prostředky zpracování a nevytvářejí střet zájmů.
Dobrovolná podpora
Organizaci, která pověřence povinně nepotřebuje, lze podpořit vstupní analýzou, revizí dodavatelů, incidentním postupem, DPIA nebo školením. Služba je potom přesně pojmenována jako poradenství, nikoli jako povinná funkce.
Finance, pojištění a telekomunikace
Banky, pojišťovny a poskytovatelé telekomunikačních nebo internetových služeb patří v evropských pokynech mezi příklady organizací, u kterých může povinnost vyplývat z rozsáhlého zpracování nebo pravidelného a systematického monitorování.
Ani příslušnost k odvětví nenahrazuje analýzu. Posuzuje se role správce či zpracovatele, hlavní činnost, počet dotčených osob, objem a rozsah údajů, trvání i zeměpisný dosah.
Digitální služby a rozsáhlé monitorování
Do posouzení mohou vstupovat behaviorální reklama, geolokační sledování, úvěrové nebo pojistné skórování, soustavná prevence podvodů, rozsáhlé věrnostní programy, telematika, chytré měřiče, nositelná zařízení nebo rozsáhlé kamerové systémy.
Rozhodující je, zda jde o hlavní činnost a zda je monitorování pravidelné, systematické a rozsáhlé. Web proto žádný z těchto příkladů neoznačuje automaticky za povinný bez zjištění skutečného režimu.
Pověřenec může být jmenován i dobrovolně. Pokud je však formálně jmenován jako DPO, uplatní se na jeho postavení a úkoly pravidla GDPR. Proto je důležité rozlišit povinnou či dobrovolnou funkci od běžného poradenství.
Nezávazných 30 minut
Nejprve vymezíme potřebu, právní režim a naléhavost. Teprve poté navrhnu přiměřený rozsah a individuální nabídku.
Domluvit úvodní konzultaci