Firma s osemdesiatimi zamestnancami rieši naraz dve povinnosti. Pre oznamovanie protispoločenskej činnosti potrebuje zodpovednú osobu podľa zákona č. 54/2019 Z. z. a pre rozsiahle monitorovanie zákazníkov zodpovednú osobu podľa GDPR. V slovenčine sa obe funkcie volajú rovnako, preto sa v praxi zamieňajú alebo automaticky zverujú jednému človeku. Česká úprava ich odlišuje aj názvom, slovenská nie. Ide o dve rôzne funkcie s rôznymi pravidlami, ktoré sa však za určitých podmienok dajú spojiť.
Kto ktorú funkciu potrebuje
Zodpovednú osobu podľa GDPR musí určiť orgán verejnej moci a každá firma, či už ako prevádzkovateľ, alebo sprostredkovateľ, ktorej hlavnou činnosťou je pravidelné a systematické monitorovanie osôb vo veľkom rozsahu alebo rozsiahle spracúvanie osobitných kategórií údajov či údajov o trestných činoch (čl. 37 ods. 1 GDPR). Veľkosť firmy tu nerozhoduje, rozhoduje povaha spracúvania.
Pri oznamovaní je to naopak. Na Slovensku zodpovednú osobu určuje najmä zamestnávateľ s najmenej 50 zamestnancami, bez ohľadu na počet aj zamestnávateľ vo finančných službách, v bezpečnosti dopravy a v oblasti životného prostredia (§ 10 ods. 1 zákona č. 54/2019 Z. z.). V Česku zavádza vnútorný oznamovací systém zamestnávateľ, ktorý k 1. januáru zamestnáva najmenej 50 zamestnancov, ak nie je povinnou osobou podľa zákona proti legalizácii výnosov z trestnej činnosti (§ 8 odst. 1 písm. b) zákona č. 171/2023 Sb.). Firma tak môže mať jednu funkciu, druhú, obe alebo žiadnu.
V čom sa funkcie líšia
Zodpovedná osoba podľa GDPR radí prevádzkovateľovi a zamestnancom, monitoruje súlad s pravidlami ochrany údajov, poskytuje poradenstvo k posúdeniu vplyvu a je kontaktným miestom pre úrad (čl. 39 ods. 1). Musí mať odborné znalosti práva a postupov ochrany údajov (čl. 37 ods. 5). V súvislosti s plnením úloh nesmie dostávať žiadne pokyny a podlieha priamo najvyššiemu vedeniu (čl. 38 ods. 3).
Zodpovedná osoba pre oznamovanie prijíma oznámenia, potvrdzuje ich prijatie, preveruje ich v zákonných lehotách a vedie ich evidenciu. Slovenský zákon od nej žiada odborné predpoklady na plnenie týchto úloh (§ 10 ods. 1) a zamestnávateľovi ukladá umožniť jej nezávislé plnenie úloh; viazaná je len pokynmi štatutárneho orgánu zamestnávateľa alebo materskej spoločnosti (§ 10 ods. 4). V Česku môže byť príslušnou osobou len fyzická osoba, ktorá je bezúhonná, plnoletá a plne svojprávna (§ 10 odst. 1 zákona č. 171/2023 Sb.), a pokyny povinného subjektu plní, ibaže by ohrozovali alebo marili výkon jej činnosti (§ 11 odst. 1 písm. c)). Obe funkcie chránia zákony pred postihom za riadny výkon úloh.
Môže ich vykonávať jeden človek
Obe úpravy s tým počítajú. GDPR dovoľuje zodpovednej osobe plniť iné úlohy, ak nevedú ku konfliktu záujmov (čl. 38 ods. 6). Slovenský zákon o ochrane oznamovateľov má takmer rovnaké pravidlo:
Zodpovedná osoba môže plniť aj iné úlohy a povinnosti ako podľa odsekov 5 až 8 a § 11 ods. 1; zamestnávateľ je povinný zabezpečiť, aby žiadna z týchto iných úloh alebo povinností neviedla ku konfliktu záujmov.
Spojenie je preto prípustné, no treba ho premyslieť. Usmernenia k zodpovedným osobám podľa GDPR (WP243 rev.01, prevzaté Európskym výborom pre ochranu údajov) za konfliktné považujú pozície, na ktorých sa rozhoduje o účeloch a prostriedkoch spracúvania, typicky vrcholové vedenie, vedúcich IT, personalistiky či marketingu. Tí nie sú vhodní ani na preverovanie oznámení, ktoré môžu smerovať práve proti nim. Pri spájaní funkcií sa oplatí posúdiť aj tieto body:
- oznámenie sa môže týkať porušenia ochrany osobných údajov, na ktorého predchádzanie mala zodpovedná osoba sama dohliadať, a vtedy je vhodné mať pripravený zástupný postup,
- spracúvanie údajov v oznamovacom systéme musí zodpovedná osoba podľa GDPR monitorovať ako každé iné spracúvanie, a ak ho zároveň sama vykonáva, kontroluje vlastnú prácu,
- oznamovanie má pevné lehoty a výkon oboch funkcií musí mať dostatočnú kapacitu aj zastupiteľnosť.
Externý výkon
Obe funkcie možno zveriť osobe mimo firmy. Zodpovedná osoba podľa GDPR môže úlohy plniť na základe zmluvy o poskytovaní služieb (čl. 37 ods. 6). Pri oznamovaní môže externá osoba na Slovensku prijímať a potvrdzovať oznámenia a u zamestnávateľa s menej ako 250 zamestnancami, ktorý nie je orgánom verejnej moci, aj preverovať (§ 10 ods. 2); v Česku môže povinný subjekt poveriť vedením systému inú osobu (§ 8 odst. 2). Zodpovednosť za plnenie povinností však vo všetkých prípadoch zostáva na firme.
Advokát k externému výkonu prináša zákonnú mlčanlivosť a odstup od vnútrofiremných vzťahov. Treba však dodržať hranicu, na ktorú upozorňuje aj WP243: konflikt záujmov môže vzniknúť, ak externá zodpovedná osoba zastupuje prevádzkovateľa pred súdom vo veciach ochrany údajov. Také úlohy treba od výkonu funkcie oddeliť už pri uzatváraní zmluvy.
S čím vieme pomôcť
Posúdime, či potrebujete jednu alebo obe funkcie, a navrhneme, či ich spojiť, rozdeliť, alebo zveriť externe. Funkciu zodpovednej osoby podľa GDPR prevezmeme v rámci služby zodpovedná osoba (DPO) ako služba; oznamovací systém zavedieme a preverovanie oznámení vieme vykonávať v službe whistleblowing a oznamovací systém. Ako dlho uchovávať spisy oznámení a kto k nim smie mať prístup, sme opísali v otázke o uchovávaní oznámení; ako funguje spoločná zodpovedná osoba pre skupinu firiem, v otázke o jednej DPO pre skupinu.
Článok je všeobecná právna informácia k stavu ku dňu 12. 9. 2026 — nie je právnou službou ani radou k vašej konkrétnej veci. Právne predpisy sa menia a vaša situácia sa môže v detailoch líšiť; pred rozhodnutím si postup overte alebo sa nám ozvite.
