Ochrana osobných údajov – Zmluva so sprostredkovateľom

Prevádzkovatelia vedením personálnej a mzdovej agendy poverujú externé firmy, ktoré spracúvajú osobné údaje v ich mene. Táto spolupráca sa uskutočňuje na základe zmluvy. Z pohľadu zákona o ochrane osobných údajov dochádza k zmluvnému vzťahu medzi prevádzkovateľom a sprostredkovateľom (napr. na účely zabezpečenia vedenia personálnej a mzdovej agendy, ukladania, archivovania a likvidácie dokumentov, zabezpečenia pracovnej zdravotnej služby a za dohľad nad pracovným prostredím, zabezpečovania stravovania prostredníctvom stravných lístkov, zabezpečenia komplexných služieb na úseku BOZP). Nie vždy ide o sprostredkovateľa, napríklad ak si v prípade zabezpečovania stravovania prostredníctvom stravných lístkov objednám stravné lístky a nič viac, tak nejde o sprostredkovateľa, ale ak si objednám stravné lístky a zašlem menný zoznam zamestnancov, aby mi ich externá firma rozdelila do balíčkov, tak už ide o sprostredkovateľa. Vždy je potrebné pri identifikácii, či ide o sprostredkovateľa alebo prevádzkovateľa (a teda tretiu stranu), si položiť otázku: V mene koho spracúva uvedený subjekt osobné údaje? V mene prevádzkovateľa? Vo svojom mene?

Osobné údaje môže spracúvať iba prevádzkovateľ a sprostredkovateľ. Prevádzkovateľom je každý, kto sám alebo spoločne s inými vymedzí účel spracúvania osobných údajov, určí podmienky ich spracúvania a spracúva osobné údaje vo vlastnom mene.

Sprostredkovateľ je oprávnený spracúvať osobné údaje len v rozsahu a za podmienok dojednaných s prevádzkovateľom v písomnej zmluve. Ak bol sprostredkovateľ poverený spracúvaním osobných údajov, rozumie sa tým kontinuálny prechod spracúvania osobných údajov na sprostredkovateľa. Sprostredkovateľ vykonáva všetky úkony smerujúce na dosiahnutie účelu spracúvania v mene prevádzkovateľa. V prípade, že sprostredkovateľ má osobné údaje z informačného systému poskytovať inému prevádzkovateľovi, je oprávnený tak učiniť, len ak mu to vyplýva z písomnej zmluvy. To platí aj na sprístupňovanie, zverejňovanie, likvidáciu, prípadne iné spracovateľské operácie s osobnými údajmi. Na zabezpečenie týchto úloh musí zmluva obsahovať konkrétne vymedzenie rozsahu a podmienok, za ktorých sa spracúvanie osobných údajov vykonáva.

Prevádzkovateľ je povinný dbať pri výbere sprostredkovateľa najmä na jeho odbornú, technickú, organizačnú a personálnu spôsobilosť zabezpečiť spracúvanie osobných údajov v súlade s týmto zákonom. Prevádzkovateľ nemôže zveriť spracúvanie osobných údajov sprostredkovateľovi, ak by tým mohli byť ohrozené práva a právom chránené záujmy dotknutých osôb. To znamená, že sprostredkovateľ musí mať vypracované bezpečnostné opatrenia (bezpečnostný projekt, bezpečnostnú zmluvu, základnú dokumentáciu) a tiež poučené oprávnené osoby o právach, povinnostiach, zodpovednosti a o mlčanlivosti.

Náležitosti zmluvy

Nový zákon o ochrane osobných údajov prináša novinku, a tou sú zákonom stanovené náležitosti zmluvy medzi prevádzkovateľom a sprostredkovateľom. Zmluva musí mať tieto zákonom stanovené náležitosti:

a) údaje o zmluvných stranách;

1. titul, meno, priezvisko, dátum narodenia a adresu trvalého pobytu, ak ide o fyzickú osobu,
2. názov, právnu formu, adresu sídla a identifikačné číslo, ak ide o právnickú osobu,
3. obchodné meno, adresu miesta podnikania a identifikačné číslo, ak ide o fyzickú osobu – podnikateľa,

b) deň, od ktorého je sprostredkovateľ oprávnený začať so spracúvaním osobných údajov v mene prevádzkovateľa (napr. odo dňa podpisu zmluvy alebo odo dňa podpísania zmluvy o vedení personálnej a mzdovej agendy 11. 11. 1111),

c) účel spracúvania osobných údajov,

d) názov informačného systému (POZOR, tu sa uvedie názov informačného systému, ktorý má prevádzkovateľ uvedený na evidenčnom liste),

e) zoznam osobných údajov, ktoré sa budú spracúvať; zoznam osobných údajov možno nahradiť rozsahom osobných údajov podľa § 10 ods. 4,

f) okruh dotknutých osôb,

g) podmienky spracúvania osobných údajov vrátane zoznamu povolených operácií s osobnými údajmi (napr. spôsob odovzdávania osobných údajov emailom, poštou, osobne alebo čo sa bude diať s dokumentáciou po skončení zmluvného vzťahu),

h) vyhlásenie prevádzkovateľa, že pri výbere sprostredkovateľa postupoval podľa § 8 ods. 2 prvej vety,

i) súhlas prevádzkovateľa na spracúvanie osobných údajov sprostredkovateľom prostredníctvom inej osoby, ak postupujú podľa § 8 ods. 5,

j) dobu, na ktorú sa zmluva uzatvára,

k) dátum uzatvorenia zmluvy a podpisy zmluvných strán.

Ak sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa, je povinný podľa § 8 ods. 8 citovaného zákona dodržiavať povinnosti ustanovené prevádzkovateľovi v § 5 ods. 1, § 6 ods. 2 písm. c) až i), § 6 ods. 4, § 19 až § 26, ak zákon o ochrane osobných údajov neustanovuje inak.

Autor: JUDr. Marcela Macová, PhD.