Zákon o ochrane osobných údajov, známy ako GDPR (General Data Protection Regulation), sa týka nielen súkromného sektora, ale aj verejných inštitúcií vrátane miest a obcí. Mnoho samospráv a obecných úradov si stále kladie otázku, či sa tieto pravidlá týkajú priamo ich každodennej činnosti, alebo sa vzťahujú len na firmy a podnikateľov. Odpoveď je jednoznačná – áno, GDPR sa týka aj miest a obcí.
GDPR je platné od 25. mája 2018 a jeho cieľom je ochrana osobných údajov občanov Európskej únie. Hoci samosprávy nevykonávajú podnikateľskú činnosť, často spracúvajú veľké množstvo citlivých osobných údajov – od evidencie občanov, cez miestne dane, stavebné konania, až po poskytovanie sociálnych služieb. Každá obec, ktorá spracúva osobné údaje, sa musí riadiť povinnosťami vyplývajúcimi z GDPR.
V tomto článku v podobe častých otázok a odpovedí sa pozrieme na to, v akých situáciách GDPR zasahuje do riadenia samospráv, čo musia mestá a obce splniť, aké kroky podniknúť, komu zveriť zodpovednosť za ochranu údajov, a načrtneme aj najčastejšie chyby, ktorým by sa mali obce pri spracúvaní údajov vyhýbať.
Kto sa považuje za prevádzkovateľa osobných údajov v samospráve?
V zmysle GDPR je prevádzkovateľom ten subjekt, ktorý určuje účely a prostriedky spracúvania osobných údajov. V prípade miest a obcí je týmto prevádzkovateľom priamo obec alebo mesto ako právnická osoba. Ide napríklad o obecné či mestské úrady, ale aj príspevkové organizácie zriadené obcou, ako sú materské školy, kultúrne inštitúcie alebo obecné sociálne služby.
Prevádzkovateľ má rad povinností, ktoré musí v súvislosti so spracúvaním údajov dodržiavať. Patrí k nim:
- určenie účelov spracúvania údajov,
- zabezpečenie zákonnosti a transparentnosti spracovania,
- zavedenie vhodných technických a organizačných opatrení,
- ochrana osobných údajov pred neoprávneným prístupom, stratou či zneužitím.
Ak obec prenajme spracovanie údajov tretej strane (napr. externej IT firme), táto osoba sa stáva spracovateľom, no zodpovednosť stále zostáva na prevádzkovateľovi – teda obci alebo meste.
V akých oblastiach samospráv sa spracúvajú osobné údaje?
Osobné údaje v rámci samospráv sa spracúvajú v rôznych oblastiach. Niektoré z najbežnejších sú:
1. Evidencia obyvateľstva
Obce sú zákonom povinné viesť evidenciu obyvateľov. Spracúvajú údaje ako meno, priezvisko, rodné číslo, trvalý pobyt, štátna príslušnosť atď. Táto evidencia je základným verejným registrom.
2. Daňová agenda
Samosprávy spravujú miestne dane (napr. daň z nehnuteľnosti či za psa). Spracovanie daňových povinností zahŕňa aj údaje o vlastníctve, trvalom pobyte, bankových účtoch či majetkovom stave.
3. Stavebná správa a územné konania
Údaje o investoroch, vlastníkoch nehnuteľností aj projektantoch sú úplne bežné pri stavebných konaniach, ktoré vedie miestny stavebný úrad.
4. Sociálne služby
Obce zabezpečujú aj opatrovateľskú službu alebo poskytovanie dávok v hmotnej núdzi. Údaje spracovávané v tomto kontexte môžu byť citlivé (tzv. osobitné kategórie údajov), napríklad týkajúce sa zdravia alebo sociálneho statusu.
5. Kamery a monitorovanie
Mnohé mestá a obce prevádzkujú kamerové systémy na verejných priestranstvách, čo si vyžaduje špecifické nastavenie v súlade s GDPR, najmä pri uchovávaní záznamov či informovaní verejnosti.
Musí mať obec poverenca pre ochranu osobných údajov?
Áno, každé mesto a obec má zo zákona povinnosť vymenovať tzv. zodpovednú osobu (poverenec pre ochranu osobných údajov). Ide o osobu – internú alebo externú – ktorá dohliada na dodržiavanie pravidiel GDPR v rámci organizácie.
Dôležité vlastnosti poverenca:
- musí mať odborné znalosti v oblasti ochrany údajov,
- musí konať nezávisle a bez konfliktu záujmov,
- obhajuje práva dotknutých osôb (občanov),
- slúži obci ako poradca a kontakt na komunikáciu s Úradom na ochranu osobných údajov.
Je bežné, že viaceré obce v regióne si zdieľajú jedného externého poverenca, čím optimalizujú náklady a zabezpečujú odborný dohľad.
Aké povinnosti má obec pri spracúvaní údajov podľa GDPR?
Obec ako prevádzkovateľ musí dodržiavať množstvo zásad a povinností. Medzi najdôležitejšie patria:
1. Zásady zákonnosti a transparentnosti
Obec môže údaje spracúvať len na základe zákona alebo so súhlasom dotknutej osoby. Musí občanov jasne informovať, prečo, ako a na ako dlho ich údaje spracúva.
2. Minimalizácia údajov
Samospráva má povinnosť spracúvať len také údaje, ktoré sú nevyhnutné na naplnenie účelu.
3. Uchovávanie údajov
Údaje sa nesmú uchovávať dlhšie, ako je potrebné – obec musí mať nastavené lehoty archivácie a bezpečne likvidovať nadbytočné informácie.
4. Technické a organizačné opatrenia
Samospráva musí zabezpečiť údaje pred stratou, zneužitím a neoprávneným prístupom napr. použitím hesiel, šifrovania, školení zamestnancov či fyzickej ochrany písomností.
Aké práva majú občania voči obci ako prevádzkovateľovi?
Každý občan – teda tzv. dotknutá osoba – má právo vedieť, ako sa s jeho údajmi nakladá. Medzi základné práva patrí:
- právo na prístup k údajom,
- právo na opravu nepresných údajov,
- právo na vymazanie údajov (tzv. právo na zabudnutie),
- právo na obmedzenie spracovania,
- právo na námietku proti spracúvaniu,
- právo podať sťažnosť na Úrade na ochranu osobných údajov.
Obec je povinná reagovať na žiadosti občanov bez zbytočného odkladu, najneskôr však do jedného mesiaca.
Najčastejšie chyby samospráv pri ochrane osobných údajov
Aj keď obce majú snahu dodržiavať zákon, v praxi sa stále opakujú niektoré chyby:
- chýbajúca zodpovedná osoba (poverenec),
- neaktuálne alebo úplne chýbajúce informačné povinnosti na webstránke,
- verejné zverejňovanie osobných údajov (napr. mená dlžníkov na úradnej tabuli),
- predĺžené uchovávanie údajov bez dôvodu,
- nezabezpečená e-mailová komunikácia (napr. bez použitia hromadného odosielania BCC),
- nesprávna archivácia dokumentov obsahujúcich údaje.
Vyhnutie sa týmto chybám často stačí na výrazné zvýšenie úrovne ochrany údajov a zníženie rizika porušenia predpisov.
Záver: čo by mali obce a mestá robiť?
Zákon o GDPR sa jednoznačne týka aj miest a obcí. Preto je kľúčové, aby tieto inštitúcie:
- mali poverenca pre ochranu osobných údajov,
- mali spracované a aktualizované interné smernice o ochrane údajov,
- informovali občanov jasným a dostupným spôsobom,
- školili svojich zamestnancov,
- mali dokumentovanú evidenciu spracovateľských činností,
- pravidelne kontrolovali nastavené opatrenia a ich dodržiavanie.
Ochrana osobných údajov nie je len o povinnostiach – je to aj o dôvere občanov. Ak samospráva zodpovedne pristupuje k ochrane údajov, buduje si tým pozitívny obraz transparentnej a bezpečnej verejnej inštitúcie. GDPR tak nie je prekážkou v práci obcí, ale sprievodcom pri dobrom riadení údajov občanov.