Záznamy o činnostech zpracování, DPIA a dokončení přechodu

Modul 9: Lidé a pravidla · Doba čtení: 12 minut

Cíl lekce: Po této lekci dokážete po přechodu aktualizovat záznamy o činnostech zpracování a prohlášení o soukromí, posoudit, zda je potřeba DPIA, nechat řádně odstranit údaje u staré služby a formálně dokončit přechod pomocí závěrečného kontrolního seznamu.

Klíčové pojmy: záznamy o činnostech zpracování (čl. 30), výjimka pro méně než 250 zaměstnanců, DPIA (čl. 35), seznam DPIA od nizozemského Úřadu pro ochranu osobních údajů, prohlášení o soukromí (čl. 13 a 14), příjemci, předání údajů, ohlašovací povinnost při porušení zabezpečení (čl. 33), odstranění u staré služby, potvrzení o odstranění, vyhodnocení, závěrečný kontrolní seznam

Přechod je dokončen, až souhlasí i papíry

Pošta funguje, soubory jsou na místě, všichni pracují v novém prostředí. Po technické stránce jste hotovi. Ale z pohledu GDPR ještě zbývá práce: Vaše dokumentace stále popisuje starou situaci. Při dotazu klienta, kontrole nebo úniku dat budete chtít ukázat, jak to teď skutečně je. Tato lekce přechod uzavírá.

Toto je výklad, nikoli právní poradenství.

Záznamy o činnostech zpracování

Článek 30 odst. 1 GDPR ukládá správci povinnost vést záznamy o činnostech zpracování. U každého zpracování (například „objednávky zákazníků“, „personální agenda“, „newsletter“) se uvádí:

• jméno a kontaktní údaje správce (případně pověřence pro ochranu osobních údajů);
• účely zpracování;
• kategorie subjektů údajů a osobních údajů;
• příjemci, včetně zpracovatelů;
• předání údajů do zemí mimo EHP, včetně záruk;
• lhůty pro výmaz, pokud je lze stanovit;
• obecný popis bezpečnostních opatření, pokud je lze uvést.

Platí to i pro malou organizaci?

Článek 30 odst. 5 obsahuje výjimku pro organizace s méně než 250 zaměstnanci. Tato výjimka však neplatí, pokud zpracování pravděpodobně představuje riziko, pokud není příležitostné, nebo pokud zahrnuje zvláštní kategorie osobních údajů (například o zdraví) či údaje o trestních deliktech. Nizozemský Úřad pro ochranu osobních údajů vysvětluje, že zpracování je v praxi jen zřídka skutečně příležitostné: jakmile máte zaměstnance nebo stálé zákazníky, zpracováváte údaje průběžně. Pro pekárnu De Korrel se mzdovou agendou, objednávkami zákazníků a hlášeními nemoci tedy výjimka neplatí.

Na evropské úrovni existuje návrh, který by měl povinnost vést záznamy pro menší organizace zjednodušit (takzvaný balíček Omnibus IV; v červnu 2026 dosáhly Rada a Parlament předběžné dohody). Dokud tento návrh nevstoupí v platnost, platí současné znění článku 30. A i poté se Vám přehled bude hodit: budete ho potřebovat ke splnění zbytku svých povinností.

Co upravíte po přechodu?

Projděte každý řádek svých záznamů a upravte jej:

Přechod je vhodnou příležitostí, jak lhůty pro uchovávání konečně skutečně nastavit. V Nizozemsku platí pro daňovou agendu zpravidla sedmiletá povinnost uchovávání; pro údaje o uchazečích o zaměstnání doporučuje nizozemský Úřad pro ochranu osobních údajů zpravidla čtyři týdny po skončení výběrového řízení. Zjistěte si, jaké lhůty platí ve Vašem odvětví a Vaší zemi.

Potřebujete DPIA?

DPIA (posouzení vlivu na ochranu osobních údajů, podle GDPR „posouzení vlivu na ochranu osobních údajů“) je strukturovaná analýza rizik prováděná předem. Článek 35 ukládá povinnost provést DPIA, pokud zpracování pravděpodobně představuje vysoké riziko pro subjekty údajů, zejména při použití nových technologií.

Jak poznáte, že tomu tak je?

1. Seznam AP. Nizozemský Úřad pro ochranu osobních údajů zveřejnil v roce 2019 seznam sedmnácti druhů zpracování, pro které je DPIA vždy povinné. Patří mezi ně mimo jiné rozsáhlé zpracování údajů o zdraví, kamerový dohled, sledování zaměstnanců, komunikační údaje, lokalizační údaje, profilování a biometrie. Jde o publikaci nizozemského úřadu; každý dozorový úřad v EU má na základě čl. 35 odst. 4 vlastní seznam.
2. Evropská kritéria. Evropské dozorové úřady stanovily devět kritérií (jako jsou citlivé údaje, velký rozsah, zranitelné subjekty údajů, systematické sledování, nové technologie). Splňuje-li zpracování dvě nebo více kritérií, je DPIA zpravidla potřeba.

Pro pekárnu, která přesouvá poštu a soubory, obvykle DPIA povinné není. Pro ordinaci praktického lékaře, která přesouvá komunikaci s pacienty na novou službu, nebo pro školu se žákovskými údaji je situace jiná. I pokud DPIA není povinné, může být krátká analýza rizik užitečná. Dobrým začátkem je úvaha z lekce 1.5. Máte-li již DPIA pro starou službu, aktualizujte ji.

Prohlášení o soukromí

Ve svém prohlášení o soukromí informujete subjekty údajů (zákazníky, uchazeče o zaměstnání, návštěvníky webu), jak nakládáte s jejich údaji (čl. 13 a 14). Mimo jiné v něm uvádíte příjemce nebo kategorie příjemců a případná předání mimo EHP. Pokud tam stálo „používáme služby společností ve Spojených státech na základě Data Privacy Framework“, tuto informaci upravte. Neměňte nic, co neodpovídá skutečnosti: uveďte jen to, co skutečně s jistotou víte ze zpracovatelské smlouvy a seznamu subzpracovatelů.

Porušení zabezpečení údajů: víte, komu zavolat

Po přechodu se změnil Váš poskytovatel, a tedy i postup při porušení zabezpečení osobních údajů. Do svého postupu zahrňte:

• kontaktní adresu nového poskytovatele pro bezpečnostní incidenty;
• lhůtu, ve které Vás poskytovatel podle zpracovatelské smlouvy informuje;
• kdo u Vás rozhoduje, zda je nutné hlášení podat, neboť ohlášení dozorovému úřadu musí proběhnout do 72 hodin od zjištění (čl. 33);
• kde vedete evidenci porušení zabezpečení údajů: i porušení, která nemusíte hlásit, musíte interně zaznamenávat (čl. 33 odst. 5).

Dokončení u staré služby

Starou službu vypovězte až poté, co nové prostředí bez problémů funguje několik týdnů (lekce 3.3). Poté:

1. Provedete poslední kontrolu: je vše přeneseno? Nezůstaly nějaké sdílené složky, formuláře nebo propojení, které ještě odkazují na starou službu?
2. Vyexportujete poslední archiv pro vlastní administrativu, pokud jej chcete uchovat (například poštu podléhající povinnosti uchovávání). Uchovávejte jej šifrovaně.
3. Necháte odstranit účty a údaje u staré služby, nebo o to požádáte. Článek 28 odst. 3 písm. g) ukládá bývalému zpracovateli povinnost po skončení smlouvy údaje odstranit nebo vrátit, podle Vaší volby. Vyžádejte si potvrzení o odstranění a uložte jej spolu se svými záznamy.
4. Uklidíte propojení: přihlašování přes jiné služby, aplikace s přístupem a ověřovací záznamy ve Vaší DNS (lekce 4.3).
5. Upravíte své záznamy, prohlášení o soukromí a postup při porušení zabezpečení (viz výše).

Vyhodnocení

Naplánujte si měsíc po přechodu krátké vyhodnocení s ambasadory (lekce 9.1). Co se povedlo, co ne a co byste příště udělali jinak? Zaznamenejte si také svůj exitní plán pro novou službu (lekce 8.2) a nastavte si v kalendáři termín, kdy jej budete každoročně testovat.

V praxi: jak to vypadá u poskytovatele

Mnozí poskytovatelé nabízejí funkci pro stažení Vašich údajů nebo odstranění účtu. U WebOké najdete v příručce WebOké postup, jak si stáhnout nebo nechat odstranit své údaje. U velkých amerických služeb se to obvykle nazývá „export dat“ a „odstranění účtu“ a správce účtu organizace má k dispozici vlastní exportní funkce. Předem si zjistěte, jak dlouho služba uchovává údaje v zálohách i po jejich odstranění; tato informace bývá uvedena v prohlášení o soukromí nebo ve zpracovatelské smlouvě.

Závěrečný kontrolní seznam

• [ ] Všechny součásti z inventáře (lekce 3.1) jsou v novém prostředí a byly zkontrolovány
• [ ] Zpracovatelská smlouva (smlouvy) s novým poskytovatelem (poskytovateli) uzavřena a uložena (lekce 9.2)
• [ ] Záznamy o činnostech zpracování aktualizovány: příjemci, předání, zabezpečení, lhůty uchovávání
• [ ] Posouzeno, zda je potřeba DPIA (potřeba nebo ne, a zdůvodnění zaznamenáno)
• [ ] Prohlášení o soukromí upraveno
• [ ] Postup při porušení zabezpečení s novými kontaktními údaji
• [ ] Stará služba vypovězena, údaje odstraněny, potvrzení uloženo
• [ ] Propojení a staré DNS záznamy uklizeny
• [ ] Záloha nového prostředí nastavena a otestována (lekce 8.1)
• [ ] Exitní plán pro novou službu zaznamenán (lekce 8.2)
• [ ] Vyhodnocení proběhlo

Souhrn

• Po přechodu aktualizujte záznamy o činnostech zpracování: příjemce, předání, zabezpečení a lhůty uchovávání.
• Výjimka pro méně než 250 zaměstnanců se v praxi uplatní jen zřídka; návrh na její zjednodušení zatím nevstoupil v platnost (stav k listopadu 2026).
• DPIA je povinné při vysokém riziku (seznam ÚOOÚ, evropská kritéria); u běžných kancelářských údajů zpravidla ne.
• Upravte prohlášení o soukromí a postup při porušení zabezpečení.
• Nechte starou službu odstranit své údaje a vyžádejte si potvrzení.

Kvíz

Úkol

Úkol E9.3: Dokončete svůj přechod. U tří zpracování ve Vaší organizaci aktualizujte řádky v záznamech o činnostech zpracování (příjemci, předání, zabezpečení, lhůta uchovávání), pomocí seznamu ÚOOÚ a evropských kritérií posuďte, zda je potřeba DPIA, a vyplňte závěrečný kontrolní seznam.

Další čtení

Postupy v těchto článcích platí pro služby WebOké; u jiných poskytovatelů funguje obdobně.

• Příručka WebOké 11.7: Soukromí: stažení nebo smazání vašich údajů
• Příručka k Nextcloud 16.7: Kolega odchází: jak bezpečně převzít soubory, kalendář a sdílené složky
• Příručka k Nextcloud 15.13: Často kladené otázky o zabezpečení a soukromí
• Nařízení (EU) 2016/679 (GDPR), články 13, 14, 28, 30, 33 a 35, na EUR-Lex
• Rozhodnutí o seznamu druhů zpracování osobních údajů, pro které je DPIA povinné (nizozemský ÚOOÚ, Stcrt. 2019), na wetten.overheid.nl (BWBR0042812); jde o publikaci nizozemského úřadu, každý dozorový úřad v EU má na základě čl. 35 odst. 4 vlastní seznam
• Nizozemský Úřad pro ochranu osobních údajů, témata „Register van verwerkingsactiviteiten“ (záznamy o činnostech zpracování) a „DPIA“: https://www.autoriteitpersoonsgegevens.nl