Bezpečnosť spracúvania osobných údajov obcami podľa nariadenia o ochrane osobných údajov

Prijaté opatrenia majú za cieľ ochrániť spracúvané osobné údaje pred náhodným alebo nezákonným zničením, stratou, zmenou, ich neoprávneným poskytnutím alebo neoprávneným prístupom k týmto údajom, pred vznikom bezpečnostných incidentov.

Táto povinnosť je upravená aj v zákone č. 18/2018 Z.z. o ochrane osobných údajov (ďalej len "zákon č. 18/2018 Z.z."), a to konkrétne v ust. § 39. V zmysle predmetného ustanovenia je prevádzkovateľ povinný so zreteľom na najnovšie poznatky, na náklady na vykonanie opatrení, na povahu, rozsah, kontext a účel spracúvania osobných údajov a na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva fyzických osôb prijať primerané technické a organizačné opatrenia na zaistenie úrovne bezpečnosti primeranej tomuto riziku.

Z nariadenia, ako aj zo zákona č. 18/2018 Z.z., vyplýva prevádzkovateľovi povinnosť preukázať Úradu na ochranu osobných údajov SR prijatie organizačných a technických opatrení a ich súlad s nariadením. Z tohto možno vyvodiť povinnosť prevádzkovateľa zdokumentovať dané opatrenia, pričom konkrétnu formu nariadenie neustanovuje.

Príspevok sa zaoberá povinnosťou prevádzkovateľa prijať primerané technické a organizačné opatrenia, poukazuje na právnu úpravu o bezpečnostných incidentoch a ich zaznamenávaní u prevádzkovateľov. Prílohou tohto príspevku je aj vzor záznamu o bezpečnostnom incidente.

Podľa čl. 24 ods. 1 nariadenia:

Podľa článku 32 ods. 1 nariadenia:

Z citovaných ustanovení nariadenia, ale aj zo zákona č. 18/2018 Z.z. vyplýva povinnosť prevádzkovateľa (orgánu verejnej moci) posúdiť bezpečnostné riziká a primerane tomu zvoliť technické, ale aj organizačné opatrenia.

Technické opatrenia môžu byť realizované napr.:

Organizačné opatrenia môžu spočívať napr.:

Posúdenie by nemalo byť jednorazovou záležitosťou, ale pravidelným procesom vyhodnocovania interných a externých okolností, ktoré môžu mať vplyv na spracúvanie osobných údajov. V prípade zmeny rizika alebo procesu spracúvania osobných údajov je totiž nevyhnutné zrevidovať a prípadne prijať nové bezpečnostné opatrenia.

Článok 32 ods. 1 nariadenia, ako aj § 39 ods. 1 zákona č. 18/2018 Z.z., demonštratívne vymenúva technické a organizačné opatrenia, ktoré by mal prevádzkovateľ prijať.