MAINSYSTEMS 
1. Základné Pojmy a Kontext
Cieľ cvičenia: posúdiť žiadosť a incident podľa GDPR. Vyriešime organizačnú situáciu a vysvetlíme navrhovaný postup. Vlastná odpoveď má vychádzať z uvedených faktov a správneho základu. Pochybnosť je užitočné pomenovať pred konaním, aby bolo jasné, čo treba overiť. Údaje v oznámeniach sa spracúvajú na konkrétny účel a právnom základe. GDPR dopĺňa slovenské pravidlá dôvernosti a evidencie. Kurz odlišuje relevantné informácie, prístup, uchovávanie, práva osôb a riešenie incidentov.
Právo na prístup nie je neobmedzené právo na celý spis či meno oznamovateľa. Zosúlaďte práva žiadateľa, dôvernosť a práva iných. Neoprávnené odhalenie posúďte ako možné porušenie ochrany údajov.
Pri rozhodovaní sa uplatní toto pravidlo. Podľa § 11 ods. 1 sa evidencia oznámení vedie tri roky odo dňa doručenia oznámenia. Eviduje sa dátum doručenia, predmet, výsledok a dátum skončenia preverenia; pri neanonymnom oznámení aj predpísané identifikačné údaje. Nezamieňajte evidenciu so všetkými dokumentmi iných konaní. Ich uchovávanie potrebuje vlastný právny základ, účel a obmedzený prístup. GDPR vyžaduje primeranosť a minimalizáciu.
2. Praktická Aplikácia a Národná Úprava
Overte totožnosť, rozsah a lehotu žiadosti. Pri incidente obmedzte dosah a zachovajte záznam. Článok 33 GDPR vyžaduje oznámenie úradu bez zbytočného odkladu, podľa možnosti do 72 hodín od zistenia, ak nie je nepravdepodobné riziko. Článok 34 osobitne rieši vysoké riziko a výnimky pri informovaní osôb. Pri vykonávaní krokov vytvorte záznam, z ktorého možno rozhodnutie spätne pochopiť. Uveďte dátum, zdroj informácie a dôvod postupu. Ak údaje chýbajú, označte medzeru; neprezentujte predpoklad ako skutočnosť. Osoba preberajúca úlohu potrebuje rozumieť tomu, čo ste overili, čo nebolo zistené a ktorý ďalší krok môže vykonať v rozsahu svojho oprávnenia. Takýto záznam zároveň obmedzuje opakované zhromažďovanie nepotrebných údajov.
Príloha príde nesprávnemu príjemcovi. Tím obmedzí prístup, požiada o bezpečný výmaz a posúdi riziko aj oznamovacie povinnosti. Samotná žiadosť incident neuzatvára. Posudzujte príklad podľa skutočne uvedených informácií. Zvážte aj iné vierohodné vysvetlenie udalosti. Zabezpečenie podkladov odlíšte od konečného posúdenia zodpovednosti. Prvé rozhodnutie často zachováva možnosť vec overiť, ale ešte nepotvrdzuje tvrdenie. Zo záznamu musí byť zrejmé, v akom štádiu sa vec nachádza, aby ďalší príjemca nepovažoval predbežnú domnienku za preukázané porušenie.
3. Prípadová Štúdia a Kľúčové Body
Prejdime k cvičeniu. Stačí požiadať príjemcu o vymazanie? Vyberte riešenie a odôvodnite ho jednou vetou. Potom označte informáciu, ktorá by mohla vašu odpoveď zmeniť. Počas cvičenia porovnajte svoj výber s vysvetleným pravidlom. Samotné uvedenie názvu zákona ešte nevysvetľuje, prečo sa vzťahuje na konkrétnu situáciu. Rozhodujúce je prepojenie podmienky so zisteným faktom.
Nie. Je to opatrenie na obmedzenie následkov. Posúďte údaje, príjemcu, následky a povinnosti a zaznamenajte dôvody rozhodnutia.
Vyhnite sa najmä tejto chybe: uzavretie incidentu bez posúdenia rizika.
Použite toto pravidlo aj na ďalšiu situáciu. Systém maže všetky údaje päť rokov po uzavretí. Je to vhodné?
Nie. Evidencia podľa § 11 sa vedie tri roky odo dňa doručenia oznámenia. Pri ostatných dokumentoch a súvisiacich konaniach overte osobitný účel a právny základ. Jediný univerzálny dátum môže viesť k predčasnému zničeniu alebo zbytočnému uchovávaniu. Zaznamenajte pravidlo, udalosť a zodpovednosť za výmaz.
Zapamätajte si tri poznatky. Po prvé: Práva a dôvernosť. Po druhé: Obmedzenie dosahu. Po tretie: Zaznamenané posúdenie.
Teraz preneste rozhodnutie do vlastnej organizácie. Vyhľadajte príslušnú časť postupu alebo určte osobu, ktorá ho pripravuje. Porovnajte dokument s reálnou činnosťou. Dokáže oprávnená osoba vykonať uvedený krok? Zostane dôkaz o jeho vykonaní? Do pracovného listu navrhnite jednu zmenu, jej vlastníka a spôsob overenia výsledku. Do vzdelávacích materiálov nevkladajte skutočné údaje oznamovateľov ani údaje zo živých prípadov.
Na záver sa vráťte k cieľu: posúdiť žiadosť a incident podľa GDPR. Ak máte naďalej pochybnosti, porovnajte zistené fakty s odôvodnením. Zapíšte, či problém spočíva vo výklade pravidla, chýbajúcej informácii alebo oprávnení konať. Každý z týchto problémov potrebuje iné riešenie. Pri nasledujúcej podobnej situácii využite zhrnutie a overte, či sa nezmenili rozhodujúce okolnosti.
V pracovnom liste uveďte základ navrhovaného konania. Pri právnej povinnosti označte ustanovenie a podmienky jeho použitia. Pri odporúčanej praxi vysvetlite riziko, ktoré má znížiť, a dôkaz účinnosti. Určte, kedy treba rozhodnutie znovu posúdiť, ak sa objavia nové skutočnosti. Cvičenie tak vedie ku konkrétnej zmene správania, ktorú možno následne skontrolovať.