Povinnosť menovania zodpovednej osoby pre ochranu osobných údajov

Podľa článku 37 nariadenia GDPR (nariadenie EÚ 2016/679) je prevádzkovateľ povinný vymenovať zodpovednú osobu najmä vtedy, ak jeho hlavné činnosti spočívajú v spracúvaní, ktoré si vzhľadom na svoju povahu, rozsah alebo účel vyžaduje pravidelné a systematické monitorovanie dotknutých osôb vo veľkom rozsahu, alebo ak hlavnými činnosťami sú spracúvanie osobitných kategórií údajov alebo údajov týkajúcich sa uznania viny za trestné činy vo veľkom rozsahu; prevádzkovanie vernostného programu pre zákazníkov samo osebe nemusí automaticky napĺňať tieto kritériá, keďže rozhodujúce je najmä to, či ide o rozsiahle a systematické profilovanie správania zákazníkov, ktoré je jadrom vašej podnikateľskej činnosti, nie len jej vedľajšou súčasťou. Ak vaša spoločnosť nespĺňa žiadnu zo zákonných podmienok povinného menovania zodpovednej osoby, môžete zodpovednú osobu vymenovať aj dobrovoľne, čo môže byť užitočné z hľadiska riadenia súladu s GDPR a budovania dôvery zákazníkov, pričom aj dobrovoľne vymenovaná zodpovedná osoba musí spĺňať rovnaké požiadavky na nezávislosť a odbornosť ako osoba vymenovaná na základe zákonnej povinnosti. Zodpovedná osoba má podľa GDPR postavenie nezávislého poradcu, ktorý monitoruje súlad spracúvania s GDPR, poskytuje poradenstvo prevádzkovateľovi, je kontaktným bodom pre dotknuté osoby aj pre dozorný orgán a nesmie od prevádzkovateľa dostávať pokyny týkajúce sa výkonu svojich úloh, čo zaručuje jej nezávislosť pri posudzovaní súladu spracúvania s právnymi predpismi. Odporúčam si aj pri absencii jednoznačnej zákonnej povinnosti nechať posúdenie potreby zodpovednej osoby vypracovať odborníkom na ochranu osobných údajov, ktorý zohľadní konkrétny rozsah a povahu vášho spracúvania osobných údajov zákazníkov.