Potrebujete zodpovednú osobu podľa GDPR? Štyri rozhodovacie cesty

Otázka, či potrebujete zodpovednú osobu podľa GDPR, nemá odpoveď založenú na počte ľudí vo spoločnosti. Rozhoduje postavenie konkrétneho právneho subjektu, povaha jeho hlavných činností a pravidlá, ktoré sa naň skutočne vzťahujú. Výsledkom nie je iba „áno“ alebo „nie“, ale obhájiteľný pracovný záznam.

Rýchla odpoveď

Ak zisťujete, či potrebujete zodpovednú osobu podľa GDPR, preverte vlastné verejnoprávne postavenie, rozsiahle pravidelné a systematické monitorovanie ako hlavnú činnosť, rozsiahle hlavné spracúvanie údajov podľa článkov 9 alebo 10 a ďalšiu zákonnú povinnosť ¹. Kladný výsledok vytvára chránenú rolu; záporný vyžaduje datované posúdenie a preskúmanie pri vecnej zmene.

Naposledy aktualizované: 26. augusta 2026

Začnite štyrmi cestami, nie veľkosťou spoločnosti

Posúdenie sa robí pre jedného prevádzkovateľa alebo sprostredkovateľa a pre jeho reálne spracovateľské činnosti. Skupinové logo, spoločná webová stránka ani verejný zákazník neurčujú výsledok za všetky právne subjekty. Každá entita si preto zaznamená svoju rolu, činnosti, osoby, údaje, účely, rozsah a použiteľné právo.

Prvé „áno“ ukončuje test potreby, nie implementáciu. Organizácia ešte musí určiť vhodnú osobu, preveriť konflikt záujmov, zabezpečiť zdroje, prístup, nezávislosť a komunikačné cesty. Pri výsledku „nie“ zostáva rovnako dôležité zachytiť fakty a spúšťače, ktoré rozhodnutie neskôr otvoria.

Štyri cesty sa nesmú zliať do jedného neurčitého skóre. Subjekt môže mať veľa zamestnancov, spracúvať značný objem bežných obchodných údajov a napriek tomu nesplniť ani jednu cestu; malá organizácia môže, naopak, prevádzkovať službu, ktorej jadrom je sústavné monitorovanie veľkého podielu úzko vymedzenej populácie. Každá cesta preto dostane vlastnú skutkovú vetu, vlastný dôkaz a samostatný záver, aby slabý údaj pri jednej z nich nezakryl jasné „áno“ pri druhej.

Pri zbere vstupov sa oddelí právna identita od názvu značky, hlavná činnosť od všeobecnej administratívy a dnešná prevádzka od plánovanej funkcie, ktorá ešte nebola spustená. Posudzované obdobie musí byť zrejmé, pretože dočasný pilot, stabilná služba a schválené rozšírenie môžu niesť odlišné fakty. Ak sa rozhodnutie opiera o odhad počtu osôb alebo trvania, záznam uvedie jeho zdroj, obdobie a neistotu, nie iba výsledné číslo.

Prevádzkovateľ aj sprostredkovateľ vykonávajú test sami za seba. Pokyn klienta môže vysvetľovať, čo sprostredkovateľ robí, neodpovedá však automaticky na to, či je monitorovanie alebo citlivé spracúvanie jeho hlavnou činnosťou vo veľkom rozsahu. Podobne spoločný dodávateľ v skupine nepreberá výsledok materskej spoločnosti; funkčný rozsah služby a postavenie každej entity sa zapíšu osobitne.

Diagram sleduje štyri odlišné cesty. Verejnoprávne postavenie, rozsiahle monitorovanie, rozsiahle citlivé spracúvanie alebo ďalšia zákonná povinnosť vedú k ustanoveniu chránenej role. Ak neplatí ani jedna, vzniká datované posúdenie; obidva výsledky sa preskúmajú pri vecnej zmene.

Tri prípady článku 37 musia sedieť na skutky

Prvý prípad sa týka spracúvania verejným orgánom alebo subjektom, s výnimkou súdov pri výkone súdnej právomoci ¹. Veta opisuje vlastné postavenie entity. Súkromný poskytovateľ IT, účtovníctva alebo podpory sa nestáva verejným orgánom iba preto, že plní verejnú zákazku; samostatne však môže spĺňať inú cestu.

Druhý prípad spája štyri prvky: spracovateľské operácie musia byť hlavnou činnosťou, monitorovanie musí byť pravidelné a systematické a musí prebiehať vo veľkom rozsahu. Názov nástroja nestačí. Spoločnosť opíše, koho sleduje, ako často, podľa vopred usporiadaného systému, v akom rozsahu a na čo získané pozorovania používa.

Tretí prípad sa vzťahuje na rozsiahle spracúvanie osobitných kategórií osobných údajov podľa článku 9 alebo údajov o odsúdeniach a trestných činoch podľa článku 10 ako hlavnú činnosť. Zdravotný údaj v ojedinelej pracovnej administratíve nie je automaticky tým istým ako služba, ktorej podstatou je sústavné spracúvanie zdravotných záznamov veľkej populácie.

Pri oboch rozsahových cestách sa skúma skutočná operácia, nie iba schopnosť systému raz spracovať veľa záznamov. Záznam preto uvedie bežný a očakávaný rozsah, trvanie, zemepisný dosah, dotknuté skupiny, množstvo a šírku údajov. Ak podstatný údaj chýba, odpoveď zostáva otvorená a dostane konkrétnu dôkaznú úlohu.

Test sa zopakuje pre činnosti prevádzkovateľa aj sprostredkovateľa, pretože článok 37 ods. 1 výslovne zahŕňa obidve úlohy. Sprostredkovateľ nemôže prevziať záporný záver klienta, ak jeho vlastná služba spája monitorovanie mnohých klientov vo veľkom rozsahu; prevádzkovateľ zasa neodovzdá svoju povinnosť tým, že operáciu technicky vykonáva dodávateľ.

Verejný orgán je otázka vlastného postavenia

GDPR pojem verejného orgánu alebo subjektu všeobecne nedefinuje. Prvým krokom teda nie je prirovnanie k známemu úradu, ale určenie práva použiteľného na vlastnú entitu. Záznam má ukázať, z akého právneho aktu postavenie vyplýva, ktoré ustanovenie sa použilo a prečo zahŕňa práve posudzovaný subjekt.

Výnimka pre súdy je úzka: platí, keď konajú v rámci súdnej právomoci ¹. Nedovoľuje zovšeobecniť, že každý proces súdu je mimo povinnosti, ani preniesť výnimku na externého dodávateľa. Ak jedna organizácia vykonáva viac verejných a neverejných funkcií, právny záznam musí pomenovať rozhodujúce postavenie a rozsah, nie iba jej bežný názov.

V praxi si organizačný tím vyžiada zakladajúci alebo zriaďovací akt, aktuálne znenie relevantného práva a stanovisko osoby, ktorá vie potvrdiť právnu formu. Zmluva so štátom, verejné financovanie alebo plnenie spoločensky významnej úlohy môžu byť fakty, no samy osebe nenahrádzajú právny test.

Záznam musí zachovať aj negatívnu časť úvahy: prečo verejná zákazka, licencia alebo regulované odvetvie nemenia súkromnú entitu na verejný orgán. Také vysvetlenie chráni vzťah vyjadrený v článku 37 ods. 1 písm. a), podľa ktorého spracúvanie vykonáva samotný verejný orgán alebo subjekt, a nepresúva ho na každého dodávateľa v jeho okolí.

Hlavná činnosť, rozsah a monitorovanie majú vlastné testy

Hlavná činnosť je podstatnou operáciou potrebnou na dosiahnutie cieľov organizácie, nie každá všeobecná podporná funkcia. Nemocničná starostlivosť napríklad nefunguje bez spracúvania zdravotných údajov, kým bežná mzdová agenda výrobcu spravidla podporuje podnik, ale nie je výrobou. Posúdenie sa opiera o konkrétny obchodný alebo verejný výsledok a miesto spracúvania v ňom ⁴.

Rozsah nemá jednu numerickú hranicu. Pracovná skupina zriadená podľa článku 29 uvádza počet dotknutých osôb alebo ich podiel v relevantnej populácii, objem a rozsah údajov, trvanie či stálosť a zemepisný dosah ⁴. Faktory sa čítajú spolu. Veľa záznamov o malej skupine, dlhé sledovanie alebo celoštátny dosah môžu mať inú váhu než krátka miestna operácia.

Pravidelné monitorovanie môže byť opakované, stále alebo vykonávané v predvídateľných intervaloch. Systematické je usporiadané, organizované alebo súčasťou stratégie. Vernostné profilovanie, telematické sledovanie alebo behaviorálna reklama môžu tieto znaky niesť, ale názov kategórie nie je automatickým výsledkom. Záznam musí ukázať konkrétne udalosti, identifikátory, pravidlá, výstupy a rozhodnutia.

Neistota sa nerieši vymyslenou hranicou. Tím vytvorí odhad s uvedeným obdobím a zdrojom, označí chýbajúce údaje a stanoví vlastníka ich doplnenia. Tak ostane rozhodnutie reprodukovateľné aj vtedy, keď sa objem, počet používateľov alebo spôsob monitorovania mení.

Pri pravidelnosti a systematickosti pomáha pracovná mapa udalostí: čo sa zaznamenáva, podľa akého plánu, ako sa udalosti spájajú, aký profil alebo signál vzniká a ktoré rozhodnutie ho používa. Ak monitorovanie tvorí iba vedľajší bezpečnostný krok, záznam vysvetlí jeho vzťah k hlavnej činnosti; ak je produkt bez neho neuskutočniteľný, tento fakt musí byť v závere viditeľný.

Vetva práva členského štátu zostáva otvorená do overenia

Článok 37 ods. 4 umožňuje dobrovoľné ustanovenie a zároveň pripúšťa, že právo Únie alebo členského štátu môže ustanovenie vyžadovať aj mimo troch hlavných prípadov ¹. Európsky článok preto nemôže vyhlásiť jeden vnútroštátny prah za pravidlo celej Únie.

Pracovný postup začína určením členského štátu a práva, ktoré sa skutočne vzťahujú na právny subjekt a jeho spracúvanie. Potom sa otvorí aktuálny oficiálny zdroj a do záznamu sa vloží presná citácia, verzia alebo dátum overenia, vecný rozsah pravidla a odôvodnený záver. Sekundárny súhrn môže pomôcť nájsť otázku, nenahrádza však aktuálne znenie.

Ak tím nevie určiť použiteľné právo, nemá oficiálny zdroj alebo nevie potvrdiť jeho aktuálnosť, výsledkom nie je „nie“. Vetva zostáva otvorená, dostane vlastníka a termín. Tento stav sa odlišuje od riadne odôvodneného záporného záveru, pri ktorom boli všetky štyri cesty uzatvorené.

Oficiálny zdroj sa zaznamenáva tak, aby ho bolo možné neskôr zopakovať: názov právneho aktu, presné ustanovenie, vydavateľ alebo úradný register, verzia či dátum prístupu, územný a vecný rozsah a stručné odôvodnenie. Zmena sídla, právnej formy alebo rozsahu spracúvania môže zmeniť použiteľnosť zdroja, hoci samotný text zákona ostal rovnaký.

Dobrovoľná zodpovedná osoba je stále chránená rola

Organizácia môže ustanoviť zodpovednú osobu dobrovoľne ¹. Ak však použije tento chránený názov, uplatní sa celý režim článkov 37 až 39: odborné predpoklady, postavenie, zdroje, nezávislosť, úlohy a kontakt. Dobrovoľnosť dôvodu neoslabuje povinnosti spojené s rolou.

Alternatívou je interný vlastník ochrany súkromia, koordinátor alebo právny kontakt, ktorého názov jasne ukazuje, že nejde o zodpovednú osobu. Taká rola môže viesť evidenciu, koordinovať školenia a zhromažďovať otázky, nesmie však zavádzať zamestnancov, dotknuté osoby ani dozorný orgán o svojom právnom postavení.

Jedna zodpovedná osoba môže slúžiť skupine podnikov, ak je ľahko dostupná z každej prevádzkarne ¹. Môže byť aj externá. Obe riešenia sa posudzujú podľa reálnej kapacity: počtu entít a činností, jazykov, dostupnosti, odbornosti, podporného tímu a schopnosti dostať sa včas k najvyššiemu vedeniu.

Pred dobrovoľným ustanovením si vedenie porovná prínos chránenej role so schopnosťou dodržať jej režim. Ak chce iba koordinovať úlohy, no zároveň dávať danej osobe pokyny k záverom alebo jej ponechať výkonnú funkciu určujúcu účely spracúvania, správnou voľbou je inak pomenovaná rola a odstránenie zavádzajúceho titulu, nie oslabená zodpovedná osoba.

Pri kladnom výsledku urobte rolu skutočnou

Ustanovenie mena je iba začiatok. Prevádzkovateľ alebo sprostredkovateľ musí zodpovednú osobu včas zapájať do všetkých otázok ochrany osobných údajov, poskytnúť jej potrebné zdroje a prístup k údajom a operáciám a umožniť udržiavať odborné znalosti ².

Úlohy zahŕňajú informovanie a poradenstvo, monitorovanie súladu, rozdelenia zodpovedností, zvyšovania povedomia, školení a auditov, poradenstvo k posúdeniu vplyvu a monitorovanie jeho vykonania, spoluprácu s dozorným orgánom a funkciu kontaktného miesta ³. Pri ich plnení sa prihliada na riziko podľa povahy, rozsahu, kontextu a účelov spracúvania.

Dotknuté osoby musia vedieť zodpovednú osobu kontaktovať. Kontakt má fungovať bez toho, aby správa musela prejsť cez manažéra, ktorého rozhodnutie sa preveruje. Zároveň sa chráni mlčanlivosť a dôvernosť. Rola môže mať ďalšie úlohy, iba ak nevytvárajú konflikt; typickým rizikom je funkcia, ktorá sama určuje účely alebo podstatné prostriedky spracúvania.

Implementačný plán preto spája sedem oblastí do jedného prevádzkového modelu. Kalendár zapojenia určí udalosti, pri ktorých sa vec dostane k zodpovednej osobe ešte pred schválením; matica prístupov otvorí potrebné systémy a záznamy; kapacitný plán priradí čas a podporu; eskalačná cesta umožní podať odlišný názor priamo najvyššiemu vedeniu bez pokynu, sankcie alebo filtrovanej správy.

Úlohy sa nepovažujú za splnené odoslaním všeobecného newslettera. Monitorovanie súladu potrebuje plán založený na riziku, ktorý prepája pridelené zodpovednosti, školenia, audity, zistenia a nápravné opatrenia; poradenstvo k posúdeniu vplyvu musí prísť včas, pričom vlastníctvo samotného rozhodnutia zostáva u prevádzkovateľa alebo sprostredkovateľa. Kontakt s dozorným orgánom zase potrebuje zastupiteľnosť a bezpečný prístup k faktom.

Konflikt záujmov sa preveruje pri vymenovaní aj po každej zmene úloh. Názov pracovnej pozície nie je jediným testom: rozhoduje, či osoba v skutočnosti určuje účely alebo podstatné prostriedky, schvaľuje vlastnú prácu alebo podlieha cieľom, ktoré by obmedzovali nezávislé monitorovanie. Zistený konflikt sa odstráni zmenou kompetencií, nie iba vyhlásením o nestrannosti.

Pri zápornom výsledku uchovajte posúdenie

Záporná odpoveď nie je absencia práce. Dátovaný záznam ukáže, ktoré štyri cesty boli posúdené, aké fakty boli použité, ktorý oficiálny zdroj národného práva sa preveril a kto rozhodnutie schválil. Čitateľ mimo pôvodného tímu musí vedieť rovnaký test zopakovať.

Dobré posúdenie nezačína záverom, ktorý sa spätne podoprie niekoľkými vetami. Najprv vymedzí subjekt a činnosti, potom pri každej ceste uvedie kritérium, zistené fakty, dôkazy, otvorené otázky a odôvodnenie. Pri verejnoprávnej ceste zaznamená vlastné právne postavenie a súdnu výnimku; pri dvoch rozsahových cestách rozlíši hlavnosť činnosti, rozsah a príslušný druh operácie; pri článku 37 ods. 4 zachytí použiteľný oficiálny zdroj alebo výslovne ponechá vetvu otvorenú.

Záznam nemá predstierať presnosť. Ak ešte nie je vyriešené právo členského štátu alebo rozsah, označí sa otvorená otázka. Konečné „nie“ vznikne až po uzavretí dôkazov. Medzitým organizácia môže prideliť ochranu súkromia jasne pomenovanej nezávislej pracovnej funkcii bez toho, aby ju označila za zodpovednú osobu.

Pracovný výstup má obsahovať dátum skutkového stavu, identitu posudzovanej entity, zoznam zahrnutých činností, vlastníka každého dôkazu a schvaľujúcu rolu. Prílohy môžu tvoriť organizačné akty, produktové mapy, objemové výstupy, opis monitorovacej logiky alebo právna rešerš; samotný záznam však stručne vysvetlí, čo z nich vyplýva, aby sa záver nestratil po zmene názvu súboru alebo odchode pôvodného autora.

Záporný výsledok tiež určí, kto preberá každodennú zodpovednosť za ochranu súkromia bez chráneného titulu. Táto osoba môže koordinovať evidenciu, otázky dotknutých osôb, školenia a eskaláciu, no vedenie si ponecháva zodpovednosť za rozhodnutia a zdroje. Názov role, podpisové oprávnenia aj externá komunikácia musia predchádzať dojmu, že organizácia ustanovila zodpovednú osobu, keď sa vedome rozhodla, že povinnosť nevznikla.

Spúšťače preskúmania sa píšu konkrétne: začatie pravidelného profilovania, pridanie zdravotných alebo trestnoprávnych údajov k jadru služby, vstup do ďalšieho členského štátu, zmena právnej formy, akvizícia nového subjektu alebo rast, ktorý mení rozsah. Všeobecná veta „pri zmene“ nehovorí produktovému, právnemu ani nákupnému tímu, kedy má záznam znovu otvoriť.

Preskúmanie je prednostne založené na udalostiach. Nový monitorovací produkt, vstup do ďalšej jurisdikcie, výrazný rast, nové osobitné údaje alebo zmena právnej formy môžu zmeniť jeden vstup okamžite. Primeraná periodická kontrola je poistkou proti tichým zmenám, nie univerzálnym intervalom určeným GDPR.

Hraničné situácie ukazujú kvalitu záznamu

Pri hraničnom prípade sa každá zo štyroch ciest rozhoduje vlastným faktom: právnym postavením samotnej entity, tým, či je pravidelné a systematické monitorovanie hlavnou činnosťou vo veľkom rozsahu, či takou hlavnou činnosťou je rozsiahle spracúvanie údajov podľa článkov 9 alebo 10, a použiteľným ďalším právom. Malá aplikácia môže vykonávať rozsiahle monitorovanie; veľký výrobca nemusí mať takú hlavnú činnosť. Kým rozhodujúci údaj o účele, podstate, populácii alebo trvaní chýba, nejde ani o podložené „nie“, ani o kladný záver, ale o otvorenú dôkaznú úlohu.

Ak jedna skupina používa spoločnú zodpovednú osobu, záznam sa stále vedie za jednotlivé právne subjekty. Dostupnosť sa overí v praxi: kontakt, jazyk, čas odozvy, kapacita a prístup k vedeniu. Rovnaký človek môže pokryť viac entít iba vtedy, keď chránená rola funguje v každej z nich.

Pre podrobnejšie porovnanie s odlišným britským právnym rámcom použite článok Potrebujete zodpovednú osobu v Spojenom kráľovstve?^ENpo anglicky. Tento odkaz nemení štyri cesty európskeho posúdenia ani nenahrádza kontrolu použiteľného práva členského štátu.

Záznam preto odlíši kladný výsledok, odôvodnené „nie“ a nevyriešený stav. Jasné verejnoprávne postavenie môže samo založiť „áno“ bez rozsahovej analýzy; záporný výsledok vyžaduje uzavretie všetkých štyroch ciest; neoverený vnútroštátny zdroj alebo jeho vecný či územný rozsah ponecháva vetvu článku 37 ods. 4 otvorenú. Rozhodnutie sa obráti alebo znovu otvorí, ak sa zmení právna forma či použiteľné právo, monitorovanie sa stane hlavnou činnosťou alebo narastie jeho rozsah, prípadne sa jadrom služby stanú rozsiahlo spracúvané údaje podľa článkov 9 alebo 10.

Časté otázky

Kedy potrebujete zodpovednú osobu podľa GDPR?

Zodpovedná osoba je povinná, ak je právny subjekt sám verejným orgánom alebo subjektom, okrem súdov pri výkone súdnej právomoci; ak jeho hlavné činnosti zahŕňajú rozsiahle pravidelné a systematické monitorovanie alebo rozsiahle spracúvanie údajov podľa článkov 9 či 10; alebo ak ju vyžaduje právo Únie či členského štátu. Súkromný dodávateľ sa verejným orgánom nestáva iba verejnou zákazkou.

Rozhoduje o povinnosti ustanoviť zodpovednú osobu počet zamestnancov?

Nie. GDPR neurčuje pre zodpovednú osobu všeobecný počet zamestnancov, obrat ani inú veľkostnú skratku. Prevádzkovateľ aj sprostredkovateľ posudzujú vlastné postavenie, hlavné činnosti, rozsah monitorovania alebo citlivého spracúvania a použiteľné právo. Veľkosť môže ovplyvniť skutkové posúdenie rozsahu, sama však povinnosť nevytvára ani neruší.

Čo znamená rozsiahle spracúvanie pri zodpovednej osobe?

Neexistuje univerzálne číslo. Posudzuje sa počet dotknutých osôb alebo ich podiel, objem a šírka údajov, trvanie či stálosť a zemepisný dosah. Faktory sa hodnotia spolu a pri skutočnej hlavnej činnosti. Ojedinelé použitie citlivého údaja preto nemožno automaticky stotožniť s rozsiahlym spracúvaním.

Môže byť zodpovedná osoba externá alebo spoločná pre skupinu?

Áno. Môže byť zamestnancom alebo poskytovať služby externe. Skupina podnikov môže ustanoviť jednu osobu, ak je ľahko dostupná z každej prevádzkarne. Riešenie však potrebuje reálnu kapacitu, odbornosť, prístup a nezávislosť; formálne meno bez dostupnosti nestačí.

Čo sa stane pri dobrovoľnom ustanovení zodpovednej osoby?

Dobrovoľne ustanovená zodpovedná osoba podlieha článkom 37 až 39 v plnom rozsahu. Musí byť odborne spôsobilá, včas zapojená, podporená, nezávislá a bez konfliktu záujmov. Alternatívou je jasne pomenovaná rola pre ochranu súkromia, ktorá sa nevydáva za zodpovednú osobu.

Môže právo členského štátu rozšíriť povinnosť zodpovednej osoby?

Áno. Určite použiteľné právo, overte aktuálny oficiálny zdroj a zaznamenajte citáciu, verziu alebo dátum, rozsah a záver. Žiadny vnútroštátny prah nemožno zovšeobecniť pre celú EÚ. Ak zdroj nie je vyriešený, rozhodnutie zostáva otvorené.