musím si ve své společnosti jmenovat pověřence pro ochranu osobních údajů

Pro většinu podniků malého a středního podnikání a samostatně činné osoby se nevyžaduje povinnost

Funkcionář na ochranu dat, zkráceně FO, není pro běžný sektor malého a středního podnikání a většinu samostatně činných osob obvykle povinný. GDPR stanovuje několik konkrétních situací, kdy je FO povinný, a mimo to má organizace svobodu si jednoho zvolit sama, aniž by to zákon vyžadoval. V praxi je povinný FO především u veřejných organizací a u podniků, jejichž hlavní činnost spočívá v rozsáhlém a systematickém sledování osob nebo ve velkém rozsahu zpracování zvláštních kategorií osobních údajů, jako jsou údaje o zdraví.

Internetový obchod, poradenská kancelář, stavbyvedoucí nebo samostatně činná osoba s účetnictvím a několika SaaS-nástroji ve většině případů do těchto kategorií nespadá. To neznamená, že se nemusí nic dělat: i bez FO platí povinnost moci prokázat, které osobní údaje se zpracovávají a k jakému účelu, například v registr zpracování údajů, a tato povinnost platí stejně i pro jednoho podnikatele. Kdo si není jistý, zda jeho činnosti skutečně spadají do kategorie "rozsáhlé" nebo "systematické", najde více vodítka v otázce kdy je potřeba DPIA, protože stejné posouzení rizika často přichází zároveň s otázkou FO.

Na čem je to založeno: čl. 2 a 30 GDPR

GDPR stanovuje v článku 2 hmotný rozsah použití nařízení a článek 30 upravuje registr zpracovatelských činností s výjimkami, které se na něj vztahují — samotná povinnost FO se nachází jinde v nařízení, ale rozsah a povaha zpracování, které přitom hrají roli, se řídí stejnými kritérii jako registr a povinnost DPIA. Část tohoto posouzení je faktická: kolik osob se sleduje, jak systematicky a jaké údaje se týkají. Úřad na ochranu osobních údajů zveřejňuje další pokyny pro praxi v Česku, zatímco otázka, zda je FO povinný, se v celé EU opírá o stejné nařízení — nicméně národní dozorující subjekt, v Česku Úřad na ochranu osobních údajů a v ostatních členských státech dozorující subjekt daného státu, může mít vlastní pokyny nebo dodatečné požadavky na registraci týkající se jmenování FO.