Lze uplatnit výjimku z povinnosti vést záznamy o činnostech zpracování?

Odstavec 5 článku 30 GDPR stanoví výjimku z povinnosti vést záznamy o činnostech zpracování, a to pro podnik nebo organizaci zaměstnávající méně než 250 osob, pokud zároveň zpracování, které provádí, nepředstavuje riziko pro práva a svobody subjektu údajů, toto zpracování je příležitostné – podnik nebo organizace je neprovádí jako svojí hlavní činnost nebo nezahrnuje zpracování zvláštní kategorie údajů (tzv.citlivých údajů).

Pokud jste tedy organizací s méně než 250 zaměstnanci, která v souvislosti se zpracováním osobních údajů svých zaměstnanců disponuje údaji například o jejich zdravotním stavu, tak se na vás povinnost vést záznamy o činnosti vztahuje. Může se jednat o různé neziskové nebo charitativní organizace, které zaměstnávají tělesně postižené osoby.

Před několika měsíci jsme se zmiňovali o tom, že je Německo, jako jeden z mála států, v přípravách na GDPR nejdále. Jeho legislativa bude zřejmě patřit mezi ty nejpřísnější v rámci celé Evropy. Řada firem proto začala uvažovat nad tím, jak se vyhnout dohledu německých, popřípadě nizozemských úřadů. Pokud mají sídlo v ČR, budou se zodpovídat zdejšímu ÚOOÚ, nicméně i tak mohou narazit v případě, že mají třeba německého zaměstnance nebo klienta. Příprava firem na GDPR pravidla proto s sebou přináší i jistý kalkul v podobě převedení operací s osobními údaji do států s méně přísnějšími přístupy ze strany dozorových úřadů. Stane se tak Česká republika „datovým rájem“ pro firmy, které se budou snažit vyhnout dohledu nejpřísnějších evropských dozorových úřadů? Odpovědi a názory na tyto otázky se snažil najít Jan Úšela ve svém článku v rámci pravidelného bloku Hospodářských novin věnovaného problematice GDPR v české praxi.