Nařízení (EU) 2016/679 (GDPR) · Kapitola IV · Správce a zpracovatel
Čl. 37 · Jmenování pověřence pro ochranu osobních údajů
Znění
- Správce a zpracovatel jmenují pověřence pro ochranu osobních údajů v každém případě, kdy:
a) zpracování provádí orgán veřejné moci či veřejný subjekt, s výjimkou soudů jednajících v rámci svých soudních pravomocí;
b) hlavní činnosti správce nebo zpracovatele spočívají v operacích zpracování, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů; nebo
c) hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů uvedených v článku 9 nebo osobních údajů týkajících se odsouzení v trestních věcech a trestných činů uvedených v článku 10.
-
Skupina podniků může jmenovat jediného pověřence pro ochranu osobních údajů, pokud je snadno dosažitelný z každého podniku.
-
Je-li správce nebo zpracovatel orgánem veřejné moci či veřejným subjektem, může být s přihlédnutím k jejich organizační struktuře a velikosti jmenován jediný pověřenec pro ochranu osobních údajů pro několik takových orgánů nebo subjektů.
-
V jiných případech, než jaké jsou uvedeny v odstavci 1, mohou nebo, vyžaduje-li to právo Unie nebo členského státu, musí pověřence pro ochranu osobních údajů jmenovat správce nebo zpracovatel nebo sdružení a jiné subjekty zastupující kategorie správců či zpracovatelů. Pověřenec pro ochranu osobních údajů může jednat ve prospěch takovýchto sdružení a jiných subjektů zastupujících správce nebo zpracovatele.
-
Pověřenec pro ochranu osobních údajů musí být jmenován na základě svých profesních kvalit, zejména na základě svých odborných znalostí práva a praxe v oblasti ochrany údajů a své schopnosti plnit úkoly stanovené v článku 39.
-
Pověřenec pro ochranu osobních údajů může být pracovníkem správce či zpracovatele, nebo může úkoly plnit na základě smlouvy o poskytování služeb.
-
Správce nebo zpracovatel zveřejní kontaktní údaje pověřence pro ochranu osobních údajů a sdělí je dozorovému úřadu.
Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).
Komentář
Pověřenec pro ochranu osobních údajů je povinný pro orgány veřejné moci s výjimkou soudů jednajících v rámci svých soudních pravomocí, dále tam, kde hlavní činnost spočívá v rozsáhlém pravidelném a systematickém monitorování, a tam, kde hlavní činnost spočívá v rozsáhlém zpracování zvláštních kategorií nebo údajů o odsouzeních. Znak hlavní činnosti je rozhodný: podpůrné zpracování jako mzdy nebo IT ho nenaplňuje. Může být jeden pro skupinu, interní i externí.
Související ustanovení: čl. 38 (postavení); čl. 39 (úkoly); čl. 35 odst. 2 (nápomoc u DPIA); čl. 33 odst. 3 písm. b)
Související předpisy ČR: § 4 zákona č. 110/2019 Sb.
Obsah výkladu
I.Tři případy povinnosti1 II.Kdo může být pověřencem4I. Tři případy povinnosti
1 Pověřenec je povinný, jde-li o orgán veřejné moci nebo veřejný subjekt (vyjma soudů při výkonu soudnictví); jestliže hlavní činnost správce spočívá v rozsáhlém pravidelném a systematickém monitorování subjektů; nebo jestliže hlavní činnost spočívá v rozsáhlém zpracování zvláštních kategorií či údajů o rozsudcích.
2 Slovo „hlavní činnost” vylučuje podpůrné procesy. Personalistika je zpracováním údajů, ale není hlavní činností výrobního podniku.
3 Dobrovolné jmenování je možné a má důsledek: jakmile je pověřenec jmenován, platí pro něj čl. 38 a 39 v plném rozsahu. Nelze mít pověřence „jen tak” a přitom mu nezajistit nezávislost.
II. Kdo může být pověřencem
4 Pověřenec se jmenuje na základě profesních kvalit, zejména odborných znalostí práva a praxe v oblasti ochrany údajů. Může být zaměstnancem i externím dodavatelem a jeden pověřenec může sloužit skupině podniků.
5 Kontaktní údaje pověřence se zveřejní a sdělí dozorovému úřadu. Zveřejnění jména není povinné, kontakt ano.