Obec i škola mají pověřence pro ochranu osobních údajů většinou jmenovaného a jeho kontakt visí na webu. Úřad pro ochranu osobních údajů ale v roce 2026 nekontroluje, jestli pověřence máte, nýbrž jestli může dělat svou práci: jestli ho zapojujete, jestli má čas a přístup k informacím a komu podává zprávy. Projděte si pět míst, kde to ve veřejném sektoru nejčastěji drhne, a test, kterým si stav ověříte za deset minut.
Co ÚOOÚ letos kontroluje a proč
V kontrolním plánu na rok 2026 je jako první kontrolní akce uvedeno „Postavení pověřenců na ochranu osobních údajů ve veřejném sektoru“. Kontrolovanými osobami jsou vybrané orgány veřejné moci a akci provádí oddělení kontroly veřejných subjektů.
Úřad to zdůvodňuje vlastními zkušenostmi. V roce 2023 se zapojil do evropské koordinované akce zaměřené na pověřence a oslovil všech 14 ministerstev. Z odpovědí vyplynulo, že pověřenci nejsou vždy včas zapojeni, nemají přístup k informacím o zpracování a některá ministerstva jim dávají pokyny k výkonu jejich úkolů. V kontrolním plánu ÚOOÚ konstatuje, že se postavení pověřenců ve veřejném sektoru od té doby nezlepšilo a že se stále potýkají s nedostatečným zapojením a často i s nedostatkem zdrojů.
Které obce, školy nebo jiné úřady se kontrola dotkne, ÚOOÚ nezveřejnil. Pro vás z toho plyne jednoduchá věc: úřad dal najevo, co bude u veřejných subjektů hodnotit. Podepsaná smlouva s pověřencem je jen začátek.
Pokud si nejste jistí, jestli vaše organizace pověřence vůbec mít musí: orgány veřejné moci a veřejné subjekty ho mají jmenovat podle čl. 37 odst. 1 písm. a) GDPR. Základy shrnuje náš článek Kdo je pověřenec pro ochranu osobních údajů a proč ho potřebujete.
Pět míst, kde to v obcích a školách drhne
1. Pověřenec se o novinkách dozví poslední
Typická situace: škola od září zavedla novou aplikaci na omluvenky a komunikaci s rodiči. Smlouvu s dodavatelem podepsala ředitelka v srpnu. Pověřenec se o aplikaci dozvěděl v říjnu, když se ho rodič zeptal, kde jsou data jeho dítěte uložená.
Článek 38 odst. 1 GDPR požaduje, aby byl pověřenec do všech záležitostí souvisejících s ochranou osobních údajů zapojen „náležitě a včas“. Včas znamená před rozhodnutím, ne po podpisu smlouvy. U nových systémů, kamer nebo AI nástrojů je to vidět nejvíc: pokud je potřeba posouzení vlivu, musí si správce vyžádat posudek pověřence (čl. 35 odst. 2 GDPR). Proč DPIA nedělat až po nákupu, jsme popsali v článku Posouzení vlivu na ochranu osobních údajů (DPIA): kdy je pro obec nebo školu povinné.
Jak to ošetřit: stanovte si pravidlo, že každý nový systém, smlouva se zpracovatelem nebo kamera jde před podpisem přes pověřence. Stačí jedna věta ve vnitřní směrnici a e-mail s přílohou.
2. Pověřencem je někdo, kdo o zpracování sám rozhoduje
V menších obcích a školách se pověřencem často stal ten, kdo „má GDPR na starosti“: tajemník, zástupkyně ředitele, ICT koordinátor nebo účetní. Článek 38 odst. 6 GDPR pověřenci jiné úkoly dovoluje, správce ale musí zajistit, aby nevedly ke střetu zájmů.
Soudní dvůr EU v rozsudku C-453/21 (X-FAB Dresden) z 9. února 2023 vysvětlil, že střet zájmů vzniká tehdy, když pověřenec v jiné funkci určuje účely a prostředky zpracování. Hodnotí se to případ od případu. Prakticky to znamená, že tajemník, který rozhoduje o spisové službě, nebo ICT koordinátor, který vybírá a nastavuje školní systémy, by kontroloval sám sebe.
Jak to ošetřit: sepište si, o čem váš pověřenec ve své druhé funkci rozhoduje. Pokud vybírá systémy, schvaluje přístupy nebo určuje, jaké údaje se sbírají, je čas funkce oddělit.
3. Pověřenec nemá čas ani přístup k informacím
Podle čl. 38 odst. 2 GDPR musí správce pověřenci poskytnout zdroje potřebné k plnění úkolů, přístup k osobním údajům a operacím zpracování a možnost udržovat si odborné znalosti. Z evropské akce z roku 2023 vyšel nedostatek zdrojů jako jedna z nejčastějších překážek.
V obci nebo škole se to projevuje nenápadně. Pověřenec má na agendu formálně pár hodin měsíčně, nemá přístup ke smlouvám se zpracovateli, neví, kdo má účty ve školním informačním systému, a o kamerovém systému zná jen to, co je na cedulce u vchodu. Kontrolor se v takovém případě zeptá, jak mohl pověřenec monitorovat soulad, když neměl z čeho.
Jak to ošetřit: dejte pověřenci seznam systémů, smluv a kontaktních osob a zajistěte, aby ho průběžně dostával. U kamer začněte tím, co popisuje článek „Máme jen dvě kamery u vchodu.“ I ty potřebují vlastní složku dokumentů.
4. Zprávy pověřence končí u účetní
Pověřenec podává zprávy přímo nejvyšší úrovni vedení, nesmí dostávat pokyny k výkonu svých úkolů a nesmí být za jejich plnění propuštěn ani sankcionován (čl. 38 odst. 3 GDPR). Na obci je nejvyšší úrovní vedení typicky starosta, ve škole ředitel.
Pokud se pověřencova upozornění zastaví u administrativní pracovnice a nikdo z vedení je nečte, organizace o rizicích neví a nemůže na ně reagovat. Po komunálních volbách to platí dvojnásob: nový starosta často netuší, že nějaký pověřenec existuje. Co v prvních týdnech převzít, shrnuje náš článek Co po volbách zkontrolovat, než se nové vedení pustí do práce.
Jak to ošetřit: domluvte si s pověřencem pravidelnou krátkou zprávu pro vedení, třeba jednou za čtvrtletí a jednou souhrnně za rok. Na obci ji můžete vzít na vědomí na poradě vedení nebo na radě.
5. Kontakt na webu nefunguje
Kontaktní údaje pověřence musí být zveřejněné a oznámené ÚOOÚ (čl. 37 odst. 7 GDPR). Subjekty údajů se na pověřence mohou obracet přímo (čl. 38 odst. 4 GDPR). Na webech obcí a škol přitom často najdete e-mail na člověka, který už pověřencem není, nebo obecnou adresu podatelny bez jména.
Jak to ošetřit: pošlete na zveřejněný kontakt zkušební e-mail a sledujte, kdo a kdy odpoví. Pokud se pověřenec změnil, aktualizujte web a změnu oznamte ÚOOÚ.
Test na deset minut
Odpovězte ano, nebo ne. Každé „ne“ je úkol na příští týden.
- Víte bez hledání, kdo je váš pověřenec a jak ho zastihnout?
- Byl pověřenec u posledního nového systému, aplikace nebo kamery ještě před podpisem smlouvy?
- Rozhoduje pověřenec ve své jiné funkci o tom, jaké údaje se sbírají a v jakých systémech? (Tady je správná odpověď „ne“.)
- Má pověřenec seznam vašich systémů, smluv se zpracovateli a kontaktních osob?
- Dostal starosta nebo ředitel od pověřence za poslední rok aspoň jednu písemnou zprávu?
- Odpovídá kontakt na webu skutečnému pověřenci a je ohlášený ÚOOÚ?
- Máte doloženo, že pověřenec v posledním roce absolvoval školení nebo si jinak udržuje znalosti?
Jedno doporučení k dokladům: kontrolor bude chtít vidět e-maily, zápisy a zprávy. Co se dělá jen ústně, se při kontrole prokazuje špatně.
Co když zjistíte, že něco chybí
Nemusíte všechno řešit najednou. Postupujte podle toho, co je nejjednodušší opravit a co nejvíc vypovídá o fungování:
- Kontakt a ohlášení. Oprava zabere minuty.
- Pravidlo „nejdřív pověřenec“. Jedna věta ve směrnici a informace zaměstnancům.
- Zpráva pro vedení. Domluvte termín a formát.
- Střet zájmů. Pokud pověřencem je někdo z vedení nebo kdo vybírá systémy, řešte změnu osoby.
U poslední položky mají malé organizace dvě obvyklé cesty. Pověřence může sdílet více obcí, například prostřednictvím svazku obcí; ÚOOÚ k tomu odkazuje na metodiku Ministerstva vnitra. Školy mohou postup koordinovat se zřizovatelem. Druhou cestou je externí pověřenec na základě smlouvy o poskytování služeb, kterou GDPR výslovně připouští (čl. 37 odst. 6).
Cílem kontrol ÚOOÚ je podle kontrolního plánu také zvýšit informovanost o roli pověřence. Pokud úřad nedostatek zjistí, může mimo jiné nařídit uvedení zpracování do souladu s GDPR (čl. 58 odst. 2 GDPR). Organizace, která má podklady připravené, kontrolu zvládne výrazně snáz než ta, která je teprve dohledává.
Shrnutí: co mít připravené
- jmenování pověřence a smlouvu nebo pracovní zařazení,
- zveřejněný a ÚOOÚ ohlášený kontakt, který funguje,
- vnitřní pravidlo, že nové systémy, smlouvy a kamery jdou před podpisem přes pověřence,
- doklad, že pověřenec ve druhé funkci nerozhoduje o účelech a prostředcích zpracování,
- seznam systémů a smluv, ke kterým má pověřenec přístup,
- písemné zprávy pověřence vedení za poslední rok,
- doklad o školení nebo odborném rozvoji pověřence.
Jak to zjednodušit
Většina bodů není právně složitá. Potíž je v tom, že doklady leží v e-mailech, šuplících a v hlavě jednoho člověka. Na platformě VPoint vidíte jmenování, zprávy pověřence, lhůty, školení i evidenci systémů na jednom místě a při kontrole je předložíte bez dohledávání.
Pokud chcete vědět, jak by vaše obec nebo škola v testu obstála, projdeme ho s vámi na krátké ukázce.
