Áno, aj malé obce musia byť v súlade s legislatívou o ochrane osobných údajov, teda s nariadením GDPR (General Data Protection Regulation). Nezáleží na veľkosti obce ani počte obyvateľov – akékoľvek spracúvanie osobných údajov fyzických osôb podlieha pravidlám uvedeným v tomto nariadení. GDPR sa týka všetkých subjektov, ktoré akýmkoľvek spôsobom zhromažďujú, uchovávajú alebo spracúvajú osobné údaje občanov EÚ, vrátane verejných inštitúcií ako sú miestne samosprávy – a teda aj malé obce.

Preto musí každá obec, bez ohľadu na veľkosť alebo počet zamestnancov, pristupovať k ochrane údajov systematicky. Toto zahŕňa nielen evidenciu spracúvania údajov, ale aj prijatie bezpečnostných opatrení, zabezpečenie školení pre zamestnancov a určenie zodpovednej osoby (DPO), ak je to potrebné. Občania totiž očakávajú, že ich údaje budú chránené aj pri jednoduchých administratívnych úkonoch, ako je evidencia obyvateľov, vydávanie rozhodnutí či správa obecného majetku.

Čo je GDPR a koho sa týka?

Všeobecné nariadenie o ochrane osobných údajov, známe ako GDPR, je legislatívny rámec Európskej únie, ktorý upravuje spôsob, akým sa musia spracúvať osobné údaje fyzických osôb. Nariadenie vstúpilo do platnosti 25. mája 2018.

Hlavné ciele GDPR:

• Chrániť práva jednotlivcov na súkromie
• Zvýšiť transparentnosť pri spracúvaní údajov
• Zabezpečiť vysokú úroveň bezpečnosti osobných údajov
• Poskytnúť jednotlivcom väčšiu kontrolu nad svojimi údajmi

GDPR sa vzťahuje na všetky organizácie spracúvajúce údaje občanov EÚ, vrátane verejných orgánov a inštitúcií – čo zahŕňa mestá, obce, školy, ale aj kultúrne inštitúcie spravované obcou. Rozhodujúcim faktorom nie je rozsah činnosti, ale samotný fakt, že daný subjekt zhromažďuje alebo spracúva osobné údaje.

Ako malé obce spracúvajú osobné údaje?

Aj malé obce prichádzajú do styku s množstvom osobných údajov. Ich spracúvanie je súčasťou každodenných činností a administratívy.

Bežné situácie, kde sa spracúvajú údaje:

• Vedenie evidencie obyvateľstva
• Správa stavebnej agendy a vydávanie povolení
• Výber miestnych daní a poplatkov
• Vedenie evidencie o žiadateľoch o obecný nájomný byt
• Komunikácia s občanmi vo veciach verejného záujmu
• Prevádzkovanie kamerových systémov
• Organizácia miestnych podujatí, kde sa registrujú účastníci

Obec preto koná ako prevádzkovateľ údajov a v mnohých prípadoch spolupracuje so spracovateľom údajov – napríklad s externými IT firmami, ktoré spravujú softvér pre matriku alebo účtovníctvo.

Ktoré opatrenia by mala malá obec prijať, aby bola v súlade s GDPR?

Aj malá obec by mala mať zavedený interný systém spracúvania osobných údajov. To znamená nielen dokumentáciu a pravidlá, ale aj pravidelné školenia a spoluprácu s odborníkmi.

Odporúčané kroky pre splnenie požiadaviek GDPR:

1. Identifikovať a zdokumentovať všetky procesy spracúvania údajov
2. Vytvoriť a aktualizovať smernicu ochrany osobných údajov
3. Zabezpečiť fyzickú a elektronickú bezpečnosť údajov
4. Viesť záznamy o spracovateľských činnostiach
5. Vyhodnocovať riziká a vykonávať DPIA (ak je to potrebné)
6. Určiť zodpovednú osobu za ochranu údajov (DPO), ak to nariadenie vyžaduje
7. Vypracovať zásady pre prístup k údajom zamestnancami
8. Uzatvoriť zmluvy o spracúvaní s externými partnermi

Tieto kroky by mali byť súčasťou komplexného prístupu k GDPR, nie jednorazovou aktivitou.

Kedy je obec povinná mať zodpovednú osobu (DPO)?

Nariadenie GDPR stanovuje povinnosť vymenovať tzv. zodpovednú osobu (Data Protection Officer – DPO) pre niektoré subjekty.

Obec musí mať DPO, ak:

• je verejným orgánom alebo verejným subjektom (s výnimkou súdov pri vykonávaní súdnej právomoci),
• uskutočňuje pravidelné a rozsiahle monitorovanie jednotlivcov,
• vo veľkom rozsahu spracúva špeciálne kategórie osobných údajov (napr. zdravotné údaje).

Väčšina obcí patrí medzi verejné subjekty, a teda sú povinné mať vymenovaného DPO – či už interného zamestnanca alebo externého odborníka na základe zmluvy.

Najčastejšie chyby malých obcí v oblasti GDPR

Mnohé malé samosprávy si až po kontrole uvedomia, že niektoré ich procesy nie sú v súlade s predpismi. Ide často o nedostatky vyplývajúce z neinformovanosti alebo zanedbania povinností.

Bežné chyby zahŕňajú:

• Neexistencia smerníc a vnútorných politík pre spracúvanie údajov
• Nedostatok školení a povedomia zamestnancov
• Neaktualizované zmluvy s dodávateľmi IT služieb
• Nezabezpečené dokumenty alebo prístup k údajom bez oprávnenia
• Absencia DPO alebo jeho formálne vymenovanie bez reálnej činnosti

Zanedbanie týchto oblastí môže viesť k pokutám alebo strate dôvery zo strany občanov.

Kontroly a sankcie za porušenie GDPR

Dodržiavanie GDPR v samosprávach kontroluje Úrad na ochranu osobných údajov SR. Ten môže vykonať inšpekciu na základe podnetu alebo v rámci systematickej kontroly.

Čo môže byť predmetom kontroly:

• Záznamy o spracovateľských činnostiach
• Prístupové práva a bezpečnostné opatrenia
• Postup pri nahlasovaní úniku údajov
• Existencia zodpovednej osoby pre ochranu údajov

Sankcie za porušenie môžu byť:

• Upozornenie alebo napomenutie
• Nariadenie nápravných opatrení
• Pokuty (v prípade závažného porušenia)

Pokiaľ obec vykazuje snahu o dodržiavanie pravidiel a má zavedené minimálne požadované opatrenia, úrad zvyčajne uplatňuje najprv výchovné, nie represívne riešenie.

Prečo je GDPR v malých obciach dôležité?

Možno si niektoré obce myslia, že kvôli ich malej veľkosti nie sú zaujímavým terčom alebo že ich spracovanie údajov nie je významné. Opak je pravdou.

Prečo by aj malé obce mali brať GDPR vážne:

• Zodpovedajú za osobné údaje občanov, ktoré majú v správe
• Ich databázy obsahujú citlivé aj špeciálne kategórie údajov
• Občania očakávajú bezpečné a zodpovedné spracúvanie ich údajov
• Nedodržaním legislatívy riskujú sankcie a stratu dôvery
• GDPR nie je len povinnosť, ale aj príležitosť modernizovať procesy

Aj malá obec môže byť príkladom dobrej praxe, ak má nastavené transparentné a bezpečné nakladanie s údajmi.

Záver – čo by si mali malé obce zapamätať?

GDPR nie je len nevyhnutné zlo, ale dôležitý nástroj ochrany práv občanov. Aj malé obce majú právnu povinnosť byť v súlade s týmto nariadením, čomu zodpovedá celý rad administratívnych, technických a organizačných opatrení.

Najdôležitejšie odporúčania pre malé obce:

• Dobre poznať procesy spracúvania údajov vo vlastnej správe
• Mať vypracované interné smernice a zabezpečené dáta
• Úzko spolupracovať s odborníkmi (napr. cez externého DPO)
• Pravidelne preškoľovať zamestnancov a posudzovať riziká
• Zodpovedne pristupovať k právam občanov na ochranu ich údajov

Správne nastavený systém GDPR v obci nie je len splnenie legislatívy – je to dôkaz transparentnosti, zodpovednosti a rešpektu voči svojim občanom.