Prevádzkovateľ a sprostredkovateľ podľa GDPR v podmienkach ambulancií

Kto je prevádzkovateľom?

GDPR nariadenie definuje prevádzkovateľa ako subjekt, ktorý vymedzuje účel a podmienky spracúvania osobných údajov a ktorý spracúva osobné údaje vo vlastnom mene. Ak teda ambulancia rozhoduje o tom „akým spôsobom“ a „z akého dôvodu“ sa budú spracúvať osobné údaje pacientov, zamestnancov alebo iných dotknutých osôb, vystupuje v pozícii prevádzkovateľa. Prevádzkovateľom môže byť fyzická, ako aj právnická osoba. Zamestnanci, ktorí spracúvajú osobné údaje v rámci ambulancie nie sú sprostredkovateľmi aj napriek tomu, že spracúvajú osobné údaje podľa vymedzených podmienok a účelu, ktoré ustanovil zamestnávateľ.

Kto je sprostredkovateľ?

Tak ako v prípade prevádzkovateľa, aj sprostredkovateľom môže byť fyzická alebo právnická osoba. Táto osoba spracúva osobné údaje v mene prevádzkovateľa, ktorý rozhodne o účele a dôvode spracúvania. Sprostredkovateľovi vzniká zodpovednosť za škodu v prípade, ak bude osobné údaje spracúvať v rozpore s pokynmi prevádzkovateľa alebo nad rámec stanovený prevádzkovateľom (v našom prípade ambulancie).

Ďalšou povinnosťou sprostredkovateľa je prijať bezpečnostné opatrenia, ktoré od neho ambulancia požaduje v rámci zabezpečenia ochrany osobných údajov. Sprostredkovateľ má povinnosť zabezpečiť, aby osoby, ktoré pre sprostredkovateľa spracúvajú osobné údaje (zamestnanci sprostredkovateľa) zachovávali dôvernosť informácií. V praxi sa táto povinnosť najčastejšie zabezpečí prostredníctvom podpísania vyhlásenia zamestnancom sprostredkovateľa.

Ak skončí poskytovanie služieb zo strany sprostredkovateľa, sprostredkovateľ je povinný zabezpečiť likvidáciu získaných osobných údajov. K likvidácii osobných údajov môže dôjsť napríklad vrátením osobných údajov prevádzkovateľovi, výmazom osobných údajov spolu s vymazaním všetkých kópií alebo iným spôsobom. Sprostredkovateľ je povinný umožniť vykonanie kontroly zo strany prevádzkovateľa s cieľom preukázať súlad spracúvania osobných údajov.

Sprostredkovateľ môže spracúvaním osobných údajov poveriť ďalšieho sprostredkovateľa len na základe povolenia prevádzkovateľa.

Ako je potrebné zabezpečiť ochranu osobných údajov spracúvaných sprostredkovateľom?

Sprostredkovateľ môže osobné údaje spracúvať na základe zmluvy o spracúvaní osobných údajov uzavretej s ambulanciou alebo na základe iného právneho aktu. Zmluvu o spracúvaní osobných údajov musí mať ambulancia uzavretú s každým sprostredkovateľom, ktorý pre ňu spracúva osobné údaje, aj keď je tento rozsah iba minimálny. Takýmto sprostredkovateľom je najčastejšie spoločnosť, resp. osoba, ktorá sa stará o vedenie účtovníctva, mzdovej a personálnej agendy, spoločnosť poskytujúca ambulantný softvér, resp. spoločnosť zabezpečujúca pravidelné školenie zamestnancov v rámci bezpečnosti a ochrany zdravia pri práci.

Čo musí zmluva o spracúvaní osobných údajov obsahovať?

Základnými náležitosťami zmluvy o spracúvaní osobných údajov je jasne a zrozumiteľne určený predmet zmluvy a stanovenie lehoty, počas ktorej sa budú osobné údaje spracúvať. Ambulancia musí v tejto zmluve presne zadefinovať podmienky, za ktorých bude dochádzať k spracúvaniu osobných údajov. To znamená, že ešte pred začatím spracúvania musí byť určené, aké spracovateľské operácie sa majú s osobnými údajmi vykonať. Spracovateľskými operáciami sú napríklad zhromažďovanie, uchovávanie, sprístupňovanie, oboznamovanie a likvidácia osobných údajov. Rozsah osobných údajov musí byť v takejto zmluve presne vymedzený (napríklad: meno a priezvisko, dátum narodenia, rodné číslo, telefónne číslo). Zmluva tiež musí obsahovať informáciu, či sa budú spracúvať osobitné kategórie osobných údajov. V prípade ambulancie takýmito osobnými údajmi sú predovšetkým údaje t