Nařízení (EU) 2016/679 (GDPR) · Kapitola IV · Správce a zpracovatel
Čl. 24 · Odpovědnost správce
Znění
-
S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.
-
Pokud je to s ohledem na činnosti zpracování přiměřené, zahrnují opatření uvedená v odstavci 1 uplatňování vhodných koncepcí v oblasti ochrany údajů správcem.
-
K doložení plnění povinností správce lze použít i dodržování schválených kodexů chování uvedených v článku 40 nebo schválených mechanismů pro vydávání osvědčení uvedených v článku 42.
Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).
Komentář
Odpovědnost správce, zavést vhodná technická a organizační opatření podle povahy a rizik zpracování a umět je doložit. Risk-based přístup, který se pak vrací v čl. 25, 32 a 35.
Související ustanovení: čl. 5 odst. 2 (odpovědnost jako zásada); čl. 25 (návrh a výchozí nastavení); čl. 30 (záznamy); čl. 32 (zabezpečení); čl. 35 (DPIA); čl. 83 odst. 4 písm. a) (sankce)
Obsah výkladu
I.Risk-based přístup místo checklistu1 II.Co znamená „doložit"4I. Risk-based přístup místo checklistu
1 Správce zavede vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s nařízením. Rozsah opatření se odvíjí od povahy, rozsahu, kontextu a účelů zpracování a od rizik pro práva a svobody fyzických osob.
2 Z toho plyne, že správná odpověď na otázku „co musíme mít” zní: záleží. Malý e-shop a nemocnice nemají mít totéž. Kdo přebírá dokumentaci od jiného subjektu bez úpravy, obvykle poruší čl. 24 dvakrát: má opatření, která neodpovídají jeho rizikům, a nedoloží, že o rizicích vůbec uvažoval.
3 Opatření se mají přezkoumávat a aktualizovat. Statická složka z roku 2018 nesplňuje odstavec 1 už jen proto, že od té doby vznikly nové účely zpracování.
II. Co znamená „doložit”
4 Doložení má tři vrstvy: že opatření existuje, že se používá a že bylo zvoleno uvědoměle. Třetí vrstva je ta, na které se to nejčastěji láme, protože se dokumentuje výsledek, ne úvaha.
5 Odstavec 3 dodává, že dodržování schválených kodexů chování nebo certifikace může sloužit jako doklad. Nezbavuje to odpovědnosti, jen usnadňuje důkaz.