Právne základy spracúvania podľa GDPR: ktorý z nich si vybrať

Pripravujete nový formulár na webe, newsletter alebo vernostný program a padne otázka: „Musíme si na to vypýtať súhlas?“ V deviatich z desiatich firiem znie odpoveď automaticky áno a hneď sa dopĺňa zaškrtávacie políčko. Je to logický inštinkt, súhlas znie slušne a bezpečne.

Lenže práve tento inštinkt býva chyba. Súhlas nie je základný ani najbezpečnejší spôsob, ako spracúvať osobné údaje. Je to len jeden zo šiestich rovnocenných právnych základov, a v mnohých situáciách ten najkrehkejší. Keď si vyberiete nesprávny základ, riskujete, že celé spracúvanie stojí na vode, aj keď máte papier s podpisom.

Čo je právny základ a prečo bez neho nesmiete spracúvať?

Právny základ je dôvod, ktorý vám zákon uznáva na to, aby ste vôbec smeli s osobnými údajmi pracovať. Bez neho je spracúvanie nezákonné, aj keby ste s údajmi narábali akokoľvek opatrne. Je to prvá otázka, ktorú si treba položiť, skôr než sa začnete zaoberať bezpečnosťou alebo dokumentáciou.

Dôležité je, že základ sa viaže na konkrétny účel, nie na firmu ako celok. Tá istá databáza kontaktov môže mať jeden základ na fakturáciu (zmluva), iný na zasielanie noviniek (súhlas alebo oprávnený záujem) a ďalší na uchovávanie pre daňové účely (zákonná povinnosť). Jedno spracúvanie, jeden účel, jeden základ.

Akých šesť právnych základov GDPR pozná?

Článok 6 ich vymenúva a sú rovnocenné, žiadny nie je „lepší“ než ostatné, každý sa hodí na inú situáciu.

Súhlas je slobodný a jednoznačný prejav vôle dotknutej osoby. Hodí sa na spracúvanie, ktoré nie je nevyhnutné a človek ho môže odmietnuť bez následkov, napríklad marketingový newsletter. Plnenie zmluvy pokrýva spracúvanie, ktoré potrebujete na dodanie objednanej služby alebo tovaru. Zákonná povinnosť sa uplatní tam, kde vám spracúvanie priamo ukladá zákon, napríklad vedenie mzdovej a účtovnej agendy. Životne dôležité záujmy sú okrajový základ pre situácie ohrozenia života. Verejný záujem alebo výkon verejnej moci je typický pre orgány verejnej správy. A oprávnený záujem umožňuje spracúvanie potrebné pre rozumný záujem firmy, ak neprevažujú práva dotknutej osoby.

Prečo je súhlas najčastejšia a najdrahšia chyba?

Súhlas má jednu vlastnosť, ktorú si firmy neuvedomia, kým nie je neskoro: dá sa kedykoľvek odvolať, a to bez udania dôvodu. V okamihu odvolania strácate základ a spracúvanie musíte ukončiť. Ak ste si teda ako základ na fakturáciu alebo na zákonom povinné uchovávanie zvolili súhlas, dostanete sa do absurdnej situácie, keď vám zákazník „odvolá“ niečo, čo musíte robiť tak či tak.

Súhlas musí byť navyše slobodný. Tam, kde je medzi stranami nerovnováha, to býva problém. Klasický príklad je zamestnanec: súhlas voči zamestnávateľovi sa len zriedka považuje za skutočne slobodný, lebo podriadený sa fakticky nemôže bez následkov odmietnuť. Preto sa väčšina spracúvania údajov zamestnancov opiera o zmluvu, zákonnú povinnosť alebo oprávnený záujem, nie o súhlas.

V praxi sa s týmto stretávam opakovane: firma si na všetko vypýta súhlas, lebo sa to zdá bezpečné, a tým si dobrovoľne naloží najkrehkejší základ aj tam, kde mala k dispozícii pevnejší. Keď potom príde odvolanie alebo kontrola, zistí, že papier s podpisom jej nepomôže.

Čo je oprávnený záujem a ako funguje test vyváženia?

Oprávnený záujem je najpružnejší, ale aj najnáročnejší základ. Umožňuje spracúvanie, ktoré firma rozumne potrebuje, napríklad ochranu siete, prevenciu podvodov alebo priamy marketing voči existujúcim zákazníkom. Nie je to však voľná karta, platí len vtedy, keď obstojí v teste vyváženia.

Ten test má tri kroky. Najprv pomenujete konkrétny oprávnený záujem (účel). Potom preukážete, že spracúvanie je na tento účel naozaj nevyhnutné a nedá sa dosiahnuť menej invazívne. Nakoniec zvážite, či nad vaším záujmom neprevažujú práva a očakávania dotknutej osoby. Ak prevážia jej práva, základ neobstojí. Tento test si treba spraviť a zdokumentovať vopred, nie až keď sa niekto sťažuje.

Jedna dôležitá výnimka: oprávnený záujem nesmú na svoje úlohy použiť orgány verejnej moci. Tie sa pri výkone svojich právomocí opierajú o verejný záujem alebo zákonnú povinnosť.

Ktorý základ si vybrať vo verejnej správe?

Toto je častá otázka úradov a organizácií verejnej správy. Väčšina ich spracúvania stojí na dvoch základoch: zákonnej povinnosti, keď im konkrétnu činnosť ukladá právny predpis, a verejnom záujme alebo výkone verejnej moci pri ich úlohách. Súhlas vo verejnej správe funguje len na úzky okruh naozaj dobrovoľných činností, kde má občan reálnu možnosť odmietnuť bez toho, aby prišiel o službu, na ktorú má nárok.

Dá sa právny základ dodatočne zmeniť?

Zásadne nie, a toto je ďalšia pasca. Základ si volíte pred začatím spracúvania a máte ho oznámiť dotknutej osobe. Nemôžete začať so súhlasom a keď vám ho odvolá, potichu sa „preklopiť“ na oprávnený záujem, aby ste mohli pokračovať. Takéto dodatočné hľadanie náhradného základu úrad aj súdy odmietajú, lebo obchádza pôvodný prísľub, ktorý ste človeku dali. Preto sa oplatí zvoliť správny základ hneď, nie ho neskôr opravovať.

Kde má zmysel začať

Ak by som mal vybrať jediné odporúčanie, nezačal by som pri formulároch a súhlasoch, ale pri zozname vašich spracúvaní. Prejdite si činnosti, pri ktorých narábate s osobnými údajmi, a ku každej priraďte jeden právny základ a dôvod, prečo práve ten. Väčšina firiem zistí, že skutočný súhlas potrebuje len na zlomok z nich, typicky na marketing, a zvyšok pokojne stojí na zmluve, zákonnej povinnosti alebo oprávnenom záujme. Táto tabuľka je zároveň jadrom vášho záznamu o spracovateľských činnostiach, takže prácu spravíte raz a poslúži dvakrát.

Tu zaznieva zvyčajná námietka: „nie je jednoduchšie vypýtať si súhlas na všetko a mať pokoj?“ Nie je. Súhlas so sebou nesie ďalšie povinnosti, musí byť preukázateľný, odvolateľný rovnako ľahko, ako bol daný, a pri jeho odvolaní musíte spracúvanie zastaviť. Na čom stojí súhlas správne a kedy si ním, naopak, škodíte, rozoberáme v samostatnom článku o súhlase. Typickým príkladom oprávneného záujmu verzus súhlasu je aj monitorovanie zamestnancov.

Ak si nie ste istí, na akom základe vlastne stojí vaše spracúvanie, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.