Externý účtovník je dôležitou súčasťou podnikania mnohých firiem, pričom jeho práca často zahŕňa spracovanie osobných údajov klientov či zamestnancov. Vzhľadom na to, že tieto údaje sú chránené všeobecným nariadením o ochrane údajov (GDPR), externí účtovníci majú voči tomuto právnemu rámcu jasne stanovené povinnosti.
V tomto článku sa pozrieme na kľúčové aspekty dodržiavania GDPR zo strany externých účtovníkov. Zistíte, ako správne spracúvať osobné údaje, aké právne základy sú pre účtovníctvo rozhodujúce, ako zabezpečiť dôvernosť údajov a ako správne narábať so zmluvnými vzťahmi s klientmi. Tiež sa budeme venovať rizikám v prípade nedodržania povinností a praktickým odporúčaniam na zabezpečenie súladu s GDPR.
Cieľom článku je poskytnúť účtovníkom komplexný návod na to, ako konať v súlade s GDPR a zároveň chrániť seba a svojich klientov pred možnými právnymi a finančnými dôsledkami.
Čo je GDPR a prečo sa týka aj externého účtovníka?
GDPR, alebo General Data Protection Regulation, je nariadenie Európskej únie, ktoré upravuje, ako sa majú spracovávať osobné údaje fyzických osôb. Platí pre všetky firmy a jednotlivcov, ktorí spracúvajú osobné údaje občanov EÚ, vrátane externých účtovníkov.
Externý účtovník sa v zmysle GDPR považuje za sprostredkovateľa (procesora). To znamená, že spracúva údaje v mene a na základe pokynov od svojho klienta – prevádzkovateľa osobných údajov. Je teda viazaný zmluvou a má povinnosť konať výhradne podľa pokynov svojho klienta.
Najčastejšie osobné údaje, ktoré účtovník spracúva, sú:
- meno a priezvisko zamestnanca/klienta,
- rodné číslo a dátum narodenia,
- adresy, čísla účtov, informácie o príjmoch,
- údaje z mzdovej a personálnej agendy.
Takéto informácie patria medzi citlivé, a ich zneužitie môže viesť k vysokým sankciám zo strany dozorného orgánu.
Právny základ pre spracovanie údajov účtovníkom
Externý účtovník sám osebe nemá právomoc rozhodovať o účele a rozsahu spracovania údajov – to vykonáva klient, ktorý je prevádzkovateľom. Právny základ pre spracovanie je teda definovaný klientom, nie účtovníkom. Najčastejšími právnymi základmi sú:
- Plnenie zákonnej povinnosti – napríklad vedenie účtovníctva podľa zákona o účtovníctve.
- Zmluva – údaje sa spracúvajú v rámci plnenia obchodnej zmluvy medzi klientom a zamestnancom/dodávateľom.
- Oprávnený záujem – v prípade niektorých analýz či kontrol.
Externý účtovník však musí vždy zabezpečiť, že vie, na akom právnom základe údaje spracúva a musí konať len v rámcoch stanovených klientom.
Uzavretie zmluvy o spracúvaní osobných údajov
Povinnosťou každého klienta a externého účtovníka je uzavrieť zmluvu o spracúvaní osobných údajov podľa čl. 28 GDPR. Bez tejto zmluvy nemôže účtovník legálne spracúvať údaje v mene svojho klienta.
Zmluva musí obsahovať:
- predmet, účel a trvanie spracúvania,
- kategórie údajov a dotknutých osôb,
- povinnosti a práva klienta aj účtovníka,
- pravidlá o mlčanlivosti, bezpečnosti spracúvania a subdodávateľoch,
- mechanizmus návratu alebo vymazania údajov po skončení spolupráce.
Bez tejto zmluvy môže byť spolupráca medzi účtovníkom a firmou považovaná za protiprávnu.
Bezpečnostné opatrenia externého účtovníka
Externý účtovník je povinný zabezpečiť údaje pred neoprávneným prístupom, stratou a zneužitím. Medzi základné technické a organizačné opatrenia patrí:
1. Technické zabezpečenie
- heslovaná ochrana počítačov a súborov,
- šifrovanie údajov,
- antivírusový softvér a firewall,
- automatické zálohovanie citlivých dát.
2. Organizačné opatrenia
- mlčanlivosť všetkých zamestnancov a spolupracovníkov,
- obmedzenie prístupu len pre oprávnené osoby,
- zaznamenávanie prístupov a spracovateľských činností,
- školenia o ochrane údajov a bezpečnostných praktikách.
Dbajte na to, aby vaše systémy boli aktuálne a zabezpečené – kontrolór vie tieto podmienky preveriť aj u externého účtovníka.
Zodpovednosť a auditovateľnosť
Aj ako externý účtovník sa musíte vedieť preukázať dodržiavaním GDPR. To znamená, že musíte mať:
- zdokumentované bezpečnostné opatrenia,
- registrované činnosti spracúvania údajov (napr. vedenie evidencie),
- jasne nastavené pravidlá, ako riešite únik údajov či bezpečnostné incidenty.
V prípade kontroly zo strany Úradu na ochranu osobných údajov musíte vedieť preukázať, že konáte v súlade so zákonom. Nestačí len tvrdiť, že chránite osobné údaje – musíte mať dôkazy, že tak reálne robíte.
Oznamovanie porušenia ochrany údajov
Jednou z kľúčových zodpovedností účtovníka je riešiť incidenty narušenia bezpečnosti údajov. Ak dôjde k úniku citlivých dát (napr. strata USB disku s mzdovými údajmi), je potrebné:
- ihneď informovať klienta – prevádzkovateľa,
- spolupracovať na oznámení incidentu dozornému orgánu do 72 hodín,
- zdokumentovať okolnosti incidentu a prijaté kroky.
Prevencia je však vždy lepšia ako následné riešenie dôsledkov. Pravidelná kontrola technických a organizačných opatrení je tou najlepšou obranou.
Najčastejšie chyby externých účtovníkov v súvislosti s GDPR
Niektoré pochybenia sa objavujú opakovane a môžu viesť k vysokým pokutám:
- ospračovanie údajov bez zmluvy so zákazníkom,
- nezabezpečené odosielanie e-mailov (bez šifrovania),
- nejasné právne základy spracovania,
- uchovávanie údajov nad rámec nutnosti,
- chýbajúce školenia zamestnancov alebo spolupracovníkov.
Vyhnite sa týmto nedostatkom dôsledným nastavením interných procesov a pravidelnou aktualizáciou dokumentácie.
Praktické odporúčania pre dodržiavanie GDPR účtovníkom
Na záver ponúkame niekoľko užitočných odporúčaní, ako si prácu organizovať a minimalizovať riziká:
- Podpisujte zmluvy o spracovaní osobných údajov s každým klientom.
- Zaznamenávajte si všetky činnosti, ktoré súvisia so spracovaním údajov.
- Pravidelne kontrolujte svoje bezpečnostné opatrenia (šifrovanie, prístupy, zálohy).
- Vytvorte si vnútorné smernice a školte sa v oblasti GDPR.
- Spolupracujte s odborníkom na ochranu osobných údajov v prípade pochybností.
- Dôsledne informujte klienta o každom incidente či pochybnostiach pri spracovaní údajov.
Záver
Dodržiavanie GDPR nie je len právna formalita, ale základný predpoklad dôveryhodnej a profesionálnej účtovníckej praxe. Ako externý účtovník máte zodpovednosť nielen voči klientovi, ale aj voči ľuďom, ktorých údaje spracúvate. Správnym nastavením procesov, zabezpečením údajov a orientáciou v právnych normách môžete túto úlohu zvládnuť efektívne a bez zbytočných rizík.