Potřebujete pověřence pro ochranu osobních údajů?

Otázku, kdy je povinný pověřenec pro ochranu osobních údajů, nelze uzavřít podle počtu zaměstnanců, obratu ani dojmu, že firma je malá. Každá právnická osoba musí prověřit čtyři cesty: tři případy odstavce 1 článku 37 a požadavek použitelného práva Unie nebo členského státu ¹. Kladná odpověď vytváří chráněnou funkci, záporná musí zanechat datované a přezkoumatelné posouzení.

Stručná odpověď

Kdy je povinný pověřenec pro ochranu osobních údajů? Pokud organizace splní některou ze tří podmínek odstavce 1 článku 37 nebo jej vyžaduje použitelné právo Unie či členského státu. Ověřte veřejný subjekt, rozsáhlé pravidelné monitorování, rozsáhlé zpracování citlivých údajů a právní větev. Kladný výsledek vede k určení pověřence, záporný k datovanému záznamu.

Naposledy aktualizováno: 26. srpna 2026

Začněte čtyřmi cestami, ne velikostí

Nejprve vymezte jednu právnickou osobu a její skutečné zpracování, přičemž správce i zpracovatel provádějí test samostatně; obchodní skupina, platforma ani projekt nejsou náhradou za tuto hranici. U každé cesty napište rozhodující fakta, jejich zdroj, datum a vlastníka. Jakmile jedna cesta vyjde kladně, povinnost je zjištěna. Další otázkou už není nutnost, ale provedení chráněné role.

Diagram není pořadník, v němž lze přeskočenou větev považovat za zápornou. U právnické osoby se prověří všechny cesty, dokud nenastane ano. Pokud jsou fakta nebo použitelné vnitrostátní právo nejasné, výsledek zůstává otevřený a dostane vlastníka a termín. Nejasnost nesmí být zaznamenána jako konečné ne.

Praktický záznam oddělí roli správce a zpracovatele, protože jedna společnost může být v různých činnostech v obou postaveních, a uvede také, které provozovny mají být obslouženy a v jakých jazycích musí být pověřenec dostupný. Teprve z těchto faktů lze posoudit kapacitu společného či externího řešení.

Každý řádek tabulky uzavřete krátkým odůvodněním ve tvaru „pozorovaný fakt – právní prvek – výsledek“, přičemž například pravidelný sběr polohy sám ještě neříká, zda jde o hlavní činnost nebo velký rozsah. Záznam musí ukázat, k čemu se poloha používá, kolika lidí a jak dlouho se týká a zda na ní stojí nabízená služba. Stejná kázeň platí pro zápornou větev: napište, který prvek chybí, kdo tvrzení ověřil a kde je uložen podklad.

Čtyři cesty neřeší, koho konkrétně vybrat. Nejprve vznikne právní závěr o povinnosti; potom se samostatně navrhne interní, společné nebo externí uspořádání. Smíchání těchto kroků vede k tomu, že obava z nákladů ovlivní právní test nebo naopak formální jmenování zakryje nedostatečnou kapacitu.

Prověřte tři případy článku 37

První případ se týká zpracování veřejným orgánem nebo veřejným subjektem, přičemž výjimkou jsou soudy při výkonu soudní pravomoci ¹. Nestačí však název organizace, vlastnictví obce ani veřejné financování. GDPR pojem veřejného subjektu samo nedefinuje, proto musí být jeho postavení doloženo podle práva, které se na konkrétní osobu vztahuje.

Druhý případ spojuje tři prvky: hlavní činnost, pravidelné a systematické monitorování a velký rozsah. Pokud chybí některý z nich, tato cesta sama povinnost neuzavírá. Záznam proto nevystačí s názvem analytického nástroje. Popíše sledované osoby, události, identifikátory, spojování v čase, účel dalšího použití, četnost, trvání a zeměpisný dosah.

Třetí případ se týká rozsáhlého zpracování zvláštních kategorií osobních údajů podle článku 9 nebo údajů o odsouzeních a trestných činech podle článku 10, pokud je zpracování hlavní činností ¹. Citlivost a rozsah jsou dvě rozdílné otázky. Jediný zdravotní údaj ještě neprokazuje velký rozsah; malý počet osob však nelze automaticky vykládat jako bezpečný přístav bez posouzení dalších faktorů.

Článek 37 nedává číselný vzorec. Proto se nevytváří vlastní limit počtu zákazníků, pacientů, kamer nebo záznamů. Tým popíše fakta a jejich společný význam. Kladná odpověď na kteroukoli cestu stačí; záporná odpověď musí uvést, který právní prvek chyběl a jaká změna by jej mohla doplnit.

U všech tří případů se nejprve ověřuje, zda je zpracování skutečnou činností posuzované osoby, a nikoli jen funkcí dodavatele, kterou vůbec nepoužívá, zatímco zpracovatel nečeká na test správce, ale hodnotí vlastní hlavní činnosti a kategorie operací, jež pro zákazníky reálně provádí. Každý závěr se proto váže k nasazené konfiguraci, smluvnímu rozsahu a pozorovanému provozu.

Veřejný subjekt je vnitrostátní otázka

Pojem veřejného orgánu nebo subjektu není v GDPR samostatně vymezen. Závěr proto vyžaduje použitelný vnitrostátní rámec a přesnou identitu právnické osoby. Nelze převzít definici z jiné země, jen protože je dostupná v angličtině, ani zobecnit pravidlo pro celou Evropskou unii.

Pracovní záznam má uvést oficiální zdroj, jeho verzi nebo datum, ustanovení, působnost a vysvětlení, proč se na danou osobu vztahuje, přičemž samostatně zachytí soudní výjimku: nejde o obecné vyloučení soudů, ale pouze o soudy jednající při výkonu soudní pravomoci ¹. Jiná činnost stejné instituce může vyžadovat odlišné posouzení.

Pokud tým nemá potvrzeno, které právo se použije, vytvoří právní úkol s vlastníkem a termínem. Do té doby se větev nezavírá. „Nevíme“ není důkaz, že subjekt veřejný není. Stejně tak veřejná zakázka, dotace nebo poskytování užitečné služby nejsou bez dalšího důkazem veřejného postavení.

U přeshraniční struktury je nutné oddělit jednotlivé právnické osoby. Společná značka může zakrývat odlišný právní status. Záznam proto pojmenuje konkrétní entitu, její zakládací dokument a činnost, nikoli jen skupinu nebo webovou doménu.

Kontrolu by měl být schopen zopakovat člověk, který původní rozhodnutí nepřipravoval. Ten porovná právní definici s podklady o vzniku, pravomocích a vykonávané činnosti subjektu. Pokud se dokumenty rozcházejí se skutečným fungováním, rozpor se přidělí k právnímu ověření; pohodlnější popis se nesmí tiše vybrat jako pravda.

Vyložte hlavní činnost, rozsah a monitorování

Hlavní činnost je klíčová operace nutná k dosažení cílů správce či zpracovatele, nikoli běžná podpůrná administrativa, takže nemocnice nemůže poskytovat péči bez zpracování zdravotních údajů; naopak standardní mzdová agenda bývá podpůrná, i když je pro provoz nezbytná. Hranice se posuzuje podle skutečné služby, ne podle organizačního názvu oddělení ⁴.

Velký rozsah se posuzuje souborem faktorů: počtem nebo podílem dotčených osob, objemem a šíří údajů, trváním či stálostí a zeměpisným dosahem ⁴. Záznam uvede dostupné hodnoty a jejich zdroj. Jeden faktor se nepřevádí na univerzální skóre. Dlouhodobé zpracování bohatého profilu menší skupiny může vyžadovat jinou úvahu než krátký jednoduchý seznam větší skupiny.

Pravidelné monitorování může být průběžné, opakované v pevných intervalech nebo organizované podle předem nastaveného systému. Systematické znamená plánované, metodické, uskutečňované jako součást strategie nebo v rámci systému sběru údajů ⁴. Relevantní může být sledování polohy, chování na internetu, používání zařízení, věrnostních návyků nebo rizikových profilů. Samotná přítomnost cookie či kamery test neuzavírá.

Zachyťte celý tok: událost, identifikátor, spojení záznamů, odvozený profil, rozhodnutí a dobu uchování. Pak popište účel a intenzitu použití. Technický tým ověří konfiguraci, obchodní vlastník účel a odpovědná osoba pro soulad spojí fakta s právním testem. Pokud přístup k nastavení chybí, vzniká otevřený důkazní úkol.

Faktory rozsahu napište vedle sebe, aby jeden vysoký údaj nezakryl ostatní a jedno nízké číslo předčasně neuzavřelo výsledek, přičemž u počtu osob uveďte také relevantní podíl skupiny, u objemu šíři profilu, u trvání možnost sledovat vývoj a u zeměpisu skutečná místa dotčených osob. Závěr potom vysvětlí jejich vzájemné působení, ne pouze součet.

Otevřete větev práva členského státu

Provozujete činnost podle britského rámce? Samostatný průvodce posouzením pověřence ve Spojeném království^EN(článek v angličtině) vysvětluje tamní postup, který však neurčuje odpověď pro tuto unijní právní větev.

Odstavec 4 článku 37 připouští, aby určení pověřence vyžadovalo právo Unie nebo členského státu i mimo tři základní případy ¹. Tato větev musí být viditelná, protože záporné odpovědi na odstavec 1 samy nestačí. Současně nelze v článku pro celou EU tvrdit jediný národní práh.

Nejprve určete členský stát a právní předpis skutečně použitelný na právnickou osobu a posuzované zpracování. Poté otevřete aktuální oficiální zdroj. Záznam uchová název, URL, verzi nebo datum účinnosti, relevantní ustanovení, věcnou a osobní působnost a odůvodněný závěr. Překlad, blog či stará interní poznámka mohou pomoci hledat, ale nejsou náhradou aktuálního oficiálního pramene.

Kontrola se váže k datu rozhodnutí. Při změně sídla, provozovny, sektoru, služby nebo právní úpravy se znovu otevře. U skupiny podniků může být výsledek odlišný pro každou entitu. Neověřený odkaz ani zkušenost z jiné země se nepřenášejí automaticky.

Tento unijní článek žádný konkrétní vnitrostátní výsledek nepředstírá. Pokud použitelný zdroj ještě není vyřešen, celkové posouzení zůstává otevřené. Vlastník doplní právní podklad před tím, než bude záporné rozhodnutí použito jako provozní závěr.

Záznam má být srozumitelný i po novelizaci. Proto uchová nejen odkaz, ale také datum přístupu, označení verze a stručný popis tehdy použitého znění. Při dalším přezkumu se nejprve ověří aktuálnost a teprve poté se porovnají fakta organizace. Tím se odliší změna práva od změny činnosti a není nutné spoléhat na paměť původního poradce.

Dobrovolný pověřenec zůstává pověřencem

Organizace může pověřence určit dobrovolně. Jakmile však použije chráněnou funkci, musí respektovat celý režim článků 37 až 39, nikoli si vybrat jen výhodnou část ¹. Dobrovolný pověřenec potřebuje odborné znalosti, nezávislost, zdroje, včasné zapojení a možnost vykonávat všechny zákonné úkoly.

Poctivou alternativou je jinak pojmenovaná role, například koordinátor ochrany soukromí. Její název nesmí vyvolávat dojem, že jde o pověřence podle GDPR. Organizace pak jasně popíše její mandát, rozhodovací pravomoc a eskalační cestu. Tato role může spravovat registr, školení či požadavky osob, ale nesmí zastřít, že zákonná funkce nebyla vytvořena.

Pověřenec může být zaměstnancem nebo pracovat na základě smlouvy o poskytování služeb ¹. Skupina podniků může využít jednoho pověřence, pokud je snadno dostupný z každé provozovny. Formální e-mailová adresa nestačí: posuzuje se jazyk, čas, znalost činností, přístup k vedení a kapacita reagovat.

Externí či sdílené uspořádání musí určit odpovědnou osobu nebo tým, dostupnost, zastupování, nakládání s důvěrnými informacemi a řízení střetů. Velikost portfolia poskytovatele je relevantní pro skutečnou kapacitu, nikoli jako automatický zákaz. Rozhodnutí se opírá o doložený servisní model.

Před dobrovolným použitím titulu si vedení ověří, zda je připraveno přijímat nezávislé stanovisko, poskytovat přístup a řešit střety. Pokud chce pouze provozního koordinátora, zvolí jasně odlišný název a popíše, kdo přijímá rozhodnutí. Toto rozlišení chrání zaměstnance i dotčené osoby před falešným očekáváním zákonných záruk.

Kladný výsledek proměňte ve skutečnou roli

Určení jména je začátek. Články 37 až 39 vyžadují postavení, v němž může pověřenec odborně radit, sledovat soulad a komunikovat s dozorovým úřadem bez pokynů k výsledku ². Prováděcí plán proto spojuje každou ochranu s vlastníkem, důkazem a pravidlem eskalace.

Úkoly zahrnují informování a poradenství správci, zpracovateli a zaměstnancům; sledování souladu, rozdělení odpovědností, zvyšování povědomí, školení a audity; poradenství k DPIA a sledování jejího provádění; spolupráci s dozorovým úřadem a roli kontaktního místa ³. Pověřenec při práci přihlíží k rizikům podle povahy, rozsahu, kontextu a účelů zpracování.

Nezávislost neznamená, že pověřenec rozhoduje místo vedení. Radí, sleduje a eskaluje; odpovědnost za soulad zůstává správci či zpracovateli. Vedení může doporučení nepřijmout, ale má rozhodnutí a důvody zaznamenat. Nesmí pověřenci nařídit požadovaný právní závěr.

Provozní účinnost se ověřuje na skutečných událostech. Vyberte například nový projekt, DPIA, incident, požadavek subjektu údajů a auditní nález a zjistěte, kdy se o nich pověřenec dozvěděl, k čemu měl přístup a zda mohl doporučení eskalovat. Organigram a pracovní náplň jsou důležité, ale samy nedokazují včasné zapojení ani nezávislost.

Plán rovněž určí, jak se lidé a dozorový úřad dostanou ke správnému kontaktu, jak se zachová důvěrnost a jak se nepřítomnost pověřence pokryje bez přesměrování na nepřipravenou osobu, zatímco u externího týmu musí být zřejmé, kdo vykonává chráněnou funkci, kdo jen podporuje administrativu a jak se odborné stanovisko dostane přímo k nejvyššímu vedení.

Střet zájmů se kontroluje podle rozhodovací pravomoci, nikoli jen podle názvu pozice. Role, která sama určuje účely nebo podstatné prostředky zpracování a potom má nezávisle sledovat vlastní rozhodnutí, vyžaduje nápravu. Organizace zdokumentuje posouzení jednotlivých dalších úkolů, ochranná opatření a okamžik, kdy změna odpovědnosti otevře kontrolu znovu.

Záporný výsledek také zapište

Záporné rozhodnutí je pracovní produkt, ne absence dokumentu. Musí umožnit jinému čtenáři zopakovat čtyřcestný test z uložených faktů. Oddělte právnickou osobu, roli správce či zpracovatele a každou hlavní činnost. Uveďte datum a období, k němuž jsou údaje platné.

Záznam popíše hlavní činnosti, rozsah, monitorování, kategorie údajů, veřejné postavení a výsledek právní kontroly. Každý záporný závěr uvede chybějící prvek. „Nejsme velcí“ ani „neděláme nic rizikového“ nejsou ověřitelné důvody.

Pokud pověřenec není povinný a organizace jej dobrovolně neurčí, jmenuje běžného vlastníka soukromí. Tato osoba koordinuje úkoly, ale nenese chráněný titul. Záznam stanoví změny, které jej znovu otevřou: nový účel, větší počet osob, delší trvání, nové monitorování, citlivé údaje, změnu sektoru či práva nebo reorganizaci právnických osob.

Přezkum je řízený událostí. Přiměřená periodická kontrola může zachytit přehlédnutou změnu, nesmí však vytvořit smyšlenou univerzální lhůtu. Vlastník porovná nová fakta s původní hranicí a uloží novou verzi rozhodnutí.

Záporný záznam také uvede, kdo rozhodnutí schválil a kdo může otevřenou otázku uzavřít. Pokud provozní tým zamýšlí rozšíření služby ještě před formálním spuštěním, změna se vyhodnotí v návrhu, nikoli až při periodické kontrole. Tak se povinnost nestane opožděným administrativním zjištěním.

Součástí je krátké manažerské shrnutí, které neodstraňuje podpůrné důkazy: jaká osoba a období byly posouzeny, které cesty vyšly záporně, zda zůstala otevřená právní otázka a kdo nese další odpovědnost. Podrobné přílohy pak zachovají výpočty rozsahu, mapu monitorování, kategorie údajů a použitý oficiální právní pramen.

Projděte pět hraničních situací

Příklady nejsou bezpečné přístavy. Ukazují, jak spojit fakt s právním prvkem a dalším krokem. Skutečný závěr vždy patří jedné právnické osobě, jedné činnosti a uloženým důkazům.

U monitorování nestačí tvrdit, že systém pracuje automaticky. Doložte osoby, události, pravidelnost, spojování a další použití. U citlivého jádra odlište podpůrnou mzdovou agendu od služby, jejíž podstatou je práce se zdravotními nebo jinými údaji podle článku 9. U veřejného subjektu se neimportuje definice z jiné země.

Skutečné ne potřebuje stejně kvalitní podklady jako ano. Zahrnuje aktuální právní kontrolu, popsané činnosti a protifakt. Hraniční situace se nezjednodušuje podle obratu ani počtu zaměstnanců. Jestliže chybí rozhodující konfigurace či právní zdroj, úkol se přidělí a zpracování se řídí podle otevřeného stavu.

Jestliže vyjde ano, následuje samostatné posouzení dostupnosti a kapacity konkrétního uspořádání. Jediný pověřenec pro více entit může být správný pouze tehdy, pokud z každé provozovny skutečně dosažitelný a má prostředky k pochopení jejich rizik.

U každého vzoru si položte opačnou otázku. Veřejný subjekt ověří úzkou soudní výjimku, monitorující služba hledá chybějící hlavní činnost nebo rozsah a zdravotní služba odděluje rozsáhlé jádro od jednorázové podpory. Tento protitest brání automatickému zařazení podle názvu odvětví. Příklad pomáhá formulovat otázky, nikoli nahrazovat důkaz.

Časté otázky o pověřenci

Kdy je pověřenec podle GDPR povinný?

Při splnění jedné ze tří cest odstavce 1 článku 37 nebo požadavku použitelného práva Unie či členského státu ¹. Výsledek se váže ke konkrétní osobě a činnosti.

Každá cesta se dokládá samostatně a otevřená právní otázka se nesmí změnit v konečný záporný závěr jen proto, že ostatní tři cesty neplatí.

Rozhoduje o povinnosti počet zaměstnanců?

Ne. Článek 37 nepoužívá obecný zaměstnanecký ani obratový práh. Rozhodují právní postavení, hlavní činnost, monitorování, citlivé údaje, rozsah a použitelné právo.

Počet lidí může být jedním z faktů při posouzení rozsahu konkrétního zpracování, ale není samostatnou výjimkou ani automatickým pravidlem pro celou organizaci.

Co znamená rozsáhlé zpracování?

Posuzuje se počet či podíl osob, objem a šíře údajů, trvání a zeměpisný dosah ⁴. Neexistuje jediné číslo platné pro všechny činnosti.

Záznam musí uvést dostupné hodnoty, jejich zdroj a společný význam; pouhá přídavná jména „velký“ nebo „malý“ neumožní pozdější přezkum.

Může být pověřenec externí nebo společný pro skupinu?

Ano. Musí však být snadno dostupný, odborný a kapacitně schopný plnit úkoly ¹. Smlouva ani sdílená schránka nenahradí skutečné zdroje a přístup.

Prověřte počet obsluhovaných entit, jazyky, zastupování, dobu reakce, přístup k vedení a znalost skutečných operací, protože formální dosažitelnost sama zákonnou funkci nenaplní.

Co se stane při dobrovolném určení pověřence?

Uplatní se celý režim článků 37 až 39. Organizace nemůže používat chráněný titul a současně odmítnout nezávislost, zdroje či zákonné úkoly.

Pokud chce pouze koordinátora běžných úkolů, má roli poctivě pojmenovat jinak, vymezit její mandát a nevytvářet pro zaměstnance ani veřejnost dojem zákonného pověřence.

Může vnitrostátní právo povinnost rozšířit?

Ano. Ověřte aktuální oficiální zdroj použitelného členského státu. Dokud není větev vyřešena, nemá být celkový výsledek vydáván za konečné ne.

Záznam uchová citaci, verzi či datum, působnost a závěr pro konkrétní právnickou osobu; národní pravidlo se bez dalšího nezobecňuje na jiné státy ani entity.

Všech šest odpovědí se vrací ke stejnému záznamu: vymezená osoba, čtyři cesty, aktuální důkazy, vlastník a spouštěč. Tím se povinnost neurčuje podle dojmu, ale podle reprodukovatelného testu.