ARLingNotes

Zodpovedná osoba GDPR:kedy ju musí firma určiť

ARLing s. r. o. · 10. septembra 2026

Zásady ochrany osobných údajov zadarmo, balík za 39 €

Zodpovedná osoba GDPR, po anglicky DPO, je funkcia, ktorú si mnohé malé firmy a e-shopy predstavujú ako povinnosť pre každého, kto spracúva osobné údaje zákazníkov. V skutočnosti ju musí určiť len ten, kto je orgánom verejnej moci, kto ako svoju hlavnú činnosť vo veľkom rozsahu pravidelne a systematicky monitoruje dotknuté osoby, alebo kto ako hlavnú činnosť vo veľkom rozsahu spracúva osobitné kategórie údajov alebo údaje o odsúdeniach. Bežný obchod, remeselník alebo menšia firma do tejto skupiny obvykle nepatrí. To ale neznamená, že sa jej GDPR netýka: napríklad vedenie záznamu o spracovateľských činnostiach je povinnosť, ktorá platí bez ohľadu na to, či firma zodpovednú osobu má. Kto túto povinnosť obchádza alebo poriadne nedodrží, riskuje pokutu, ktorej výšku v konkrétnom prípade určuje dozorný orgán podľa okolností porušenia. Tento text vysvetľuje, kedy je zodpovedná osoba naozaj povinná, čo si má malá firma viesť namiesto nej a na koho sa dotknuté osoby môžu sťažovať.

Kedy je zodpovedná osoba povinná

Podľa článku 37 GDPR musí prevádzkovateľ určiť zodpovednú osobu v troch prípadoch: keď je orgánom verejnej moci, keď si jeho hlavná činnosť pre svoju povahu, rozsah alebo účel vyžaduje pravidelné a systematické monitorovanie dotknutých osôb vo veľkom rozsahu, alebo keď jeho hlavnou činnosťou je spracúvanie osobitných kategórií údajov alebo údajov o odsúdeniach vo veľkom rozsahu.

Bežný malý e-shop, remeselník, poradenská firma alebo prevádzkovateľ webu bez takéhoto rozsahu spracúvania túto podmienku nespĺňa, a zodpovednú osobu určiť nemusí.

Čo namiesto zodpovednej osoby potrebuje malá firma

Aj firma, ktorá zodpovednú osobu nepotrebuje, musí podľa článku 30 GDPR viesť vlastný záznam o spracovateľských činnostiach: písomný alebo elektronický prehľad, ktorý si vedie sama pre seba a na požiadanie ho predloží dozornému orgánu.

Výnimka z tejto povinnosti pre firmu s menej než 250 zamestnancami platí len vtedy, keď je spracúvanie príležitostné, netýka sa osobitných kategórií údajov ani záznamov o odsúdeniach a nehrozí z neho riziko pre práva dotknutých osôb; bežné vybavovanie objednávok, mzdová agenda či rozosielanie newslettera príležitostné nie sú, takže sa na ne výnimka nevzťahuje.

Popri zázname si firma väčšinou pripraví aj zásady ochrany osobných údajov: dokument D1 vytvorí ARLing GDPR generátor zadarmo, a ak treba aj ostatné dokumenty z balíka, kompletný balík až desiatich dokumentov vyjde na 39 eur jednorazovo.

Pokuty a kam sa sťažovať

Porušenie povinností podľa GDPR môže priniesť pokutu podľa článku 83, ktorý rozlišuje dve pásma: nižšie do desiatich miliónov eur alebo do 2 % celosvetového ročného obratu firmy, vyššie až do dvadsiatich miliónov eur alebo do 4 % obratu, podľa toho, ktorá suma je vyššia. Do ktorého pásma konkrétne porušenie spadá a akú výšku napokon pokuta dosiahne, v každom prípade rozhoduje dozorný orgán podľa okolností.

Dotknutá osoba, napríklad zákazník alebo zamestnanec, sa so sťažnosťou na spracúvanie svojich údajov môže obrátiť priamo na Úrad na ochranu osobných údajov Slovenskej republiky.

Časté otázky

Musí mať zodpovednú osobu aj firma, ktorá osobitné kategórie údajov spracúva len vedľajšie, mimo svojej hlavnej činnosti?

Nie, podmienka sa viaže na hlavnú činnosť prevádzkovateľa vo veľkom rozsahu; spracúvanie mimo hlavnej činnosti alebo v menšom rozsahu túto podmienku nezakladá.

Musí firma svoj záznam o spracovateľských činnostiach niekam vopred posielať?

Nie, ide o dokument, ktorý si prevádzkovateľ vedie sám pre seba; dozornému orgánu ho predkladá až na požiadanie, vopred sa nikam nepodáva.

Musí dozorný orgán pri porušení vždy uložiť pokutu na hornej hranici pásma?

Nie, pásma z článku 83 GDPR sú len horné hranice; akú výšku pokuty dozorný orgán napokon uloží, závisí od okolností konkrétneho porušenia.

Záver

Ak si nie ste istí, či vaša firma zodpovednú osobu potrebuje, alebo len potrebujete mať v poriadku záznam a zásady, pripravte si GDPR dokumenty pre vašu firmu priamo z formulára o firme.

Ide o všeobecné vzory vyplnené vašimi údajmi, nie o hotové právne poradenstvo na mieru, preto si ich pred použitím prečítajte a upravte tak, aby zodpovedali tomu, čo firma skutočne robí.

Zdroje

Fakty v článku sú očíslované podľa interného podkladu a overené k dátumu vydania. ARLing nie je banka; čistý výsledok kontroly nezaručuje, že banka platbu prijme. Ak niektorý zdroj zmenil znenie, napíšte na andrej@arling.sk a článok opravíme.

Zásady ochrany osobných údajov si vyplníte zadarmo na stránke GDPR dokumentov: formulár, náhľad, DOCX, nič sa neposiela na server. Celý balík desiatich dokumentov (záznamy, sprostredkovateľská zmluva, cookies, súhlasy, smernica, postupy) stojí 39 €. Sú to vzory vyplnené údajmi firmy, nie právne poradenstvo.