Firma s osmdesáti zaměstnanci řeší najednou dvě povinnosti. Pro oznamování protispolečenské činnosti potřebuje zodpovědnou osobu podle zákona č. 54/2019 Z. z. a pro rozsáhlé monitorování zákazníků zodpovědnou osobu podle GDPR. Ve slovenštině se obě funkce jmenují stejně, proto se v praxi zaměňují nebo automaticky svěřují jednomu člověku. Česká úprava je odlišuje i názvem, slovenská nikoli. Jde o dvě různé funkce s různými pravidly, které se však za určitých podmínek dají spojit.
Kdo kterou funkci potřebuje
Zodpovědnou osobu podle GDPR musí určit orgán veřejné moci a každá firma, ať už jako správce, nebo zpracovatel, jejíž hlavní činností je pravidelné a systematické monitorování osob ve velkém rozsahu nebo rozsáhlé zpracování zvláštních kategorií údajů či údajů o trestných činech (čl. 37 odst. 1 GDPR). Velikost firmy zde nerozhoduje, rozhoduje povaha zpracování.
U oznamování je to naopak. Na Slovensku určuje zodpovědnou osobu zejména zaměstnavatel s nejméně 50 zaměstnanci, bez ohledu na počet i zaměstnavatel ve finančních službách, v bezpečnosti dopravy a v oblasti životního prostředí (§ 10 odst. 1 zákona č. 54/2019 Z. z.). V Česku zavádí vnitřní oznamovací systém zaměstnavatel, který k 1. lednu zaměstnává nejméně 50 zaměstnanců, pokud není povinnou osobou podle zákona proti legalizaci výnosů z trestné činnosti (§ 8 odst. 1 písm. b) zákona č. 171/2023 Sb.). Firma tak může mít jednu funkci, druhou, obě nebo žádnou.
V čem se funkce liší
Zodpovědná osoba podle GDPR radí správci a zaměstnancům, monitoruje soulad s pravidly ochrany údajů, poskytuje poradenství k posouzení vlivu a je kontaktním místem pro úřad (čl. 39 odst. 1). Musí mít odborné znalosti práva a postupů ochrany údajů (čl. 37 odst. 5). V souvislosti s plněním úkolů nesmí dostávat žádné pokyny a podléhá přímo nejvyššímu vedení (čl. 38 odst. 3).
Zodpovědná osoba pro oznamování přijímá oznámení, potvrzuje jejich přijetí, prověřuje je v zákonných lhůtách a vede jejich evidenci. Slovenský zákon od ní žádá odborné předpoklady k plnění těchto úkolů (§ 10 odst. 1) a zaměstnavateli ukládá umožnit jí nezávislé plnění úkolů; vázána je jen pokyny statutárního orgánu zaměstnavatele nebo mateřské společnosti (§ 10 odst. 4). V Česku může být příslušnou osobou jen fyzická osoba, která je bezúhonná, zletilá a plně svéprávná (§ 10 odst. 1 zákona č. 171/2023 Sb.), a pokyny povinného subjektu plní, ledaže by ohrožovaly nebo mařily výkon její činnosti (§ 11 odst. 1 písm. c)). Obě funkce chrání zákony před postihem za řádný výkon úkolů.
Může je vykonávat jeden člověk
Obě úpravy s tím počítají. GDPR dovoluje zodpovědné osobě plnit jiné úkoly, pokud nevedou ke konfliktu zájmů (čl. 38 odst. 6). Slovenský zákon o ochraně oznamovatelů má téměř stejné pravidlo:
Zodpovědná osoba může plnit i jiné úkoly a povinnosti než podle odstavců 5 až 8 a § 11 odst. 1; zaměstnavatel je povinen zajistit, aby žádný z těchto jiných úkolů nebo povinností nevedl ke konfliktu zájmů.
— Český překlad § 10 odst. 4 zákona č. 54/2019 Z. z.
Spojení je proto přípustné, je však třeba je promyslet. Pokyny k zodpovědným osobám podle GDPR (WP243 rev.01, převzaté Evropským sborem pro ochranu osobních údajů) považují za konfliktní pozice, na nichž se rozhoduje o účelech a prostředcích zpracování, typicky vrcholové vedení, vedoucí IT, personalistiky či marketingu. Ti nejsou vhodní ani k prověřování oznámení, která mohou směřovat právě proti nim. Při spojování funkcí se vyplatí posoudit i tyto body:
- oznámení se může týkat porušení ochrany osobních údajů, na jehož předcházení měla zodpovědná osoba sama dohlížet, a tehdy je vhodné mít připravený zástupný postup,
- zpracování údajů v oznamovacím systému musí zodpovědná osoba podle GDPR monitorovat jako každé jiné zpracování, a pokud je zároveň sama provádí, kontroluje vlastní práci,
- oznamování má pevné lhůty a výkon obou funkcí musí mít dostatečnou kapacitu i zastupitelnost.
Externí výkon
Obě funkce lze svěřit osobě mimo firmu. Zodpovědná osoba podle GDPR může úkoly plnit na základě smlouvy o poskytování služeb (čl. 37 odst. 6). U oznamování může externí osoba na Slovensku přijímat a potvrzovat oznámení a u zaměstnavatele s méně než 250 zaměstnanci, který není orgánem veřejné moci, je i prověřovat (§ 10 odst. 2); v Česku může povinný subjekt pověřit vedením systému jinou osobu (§ 8 odst. 2). Odpovědnost za plnění povinností však ve všech případech zůstává na firmě.
Advokát k externímu výkonu přináší zákonnou mlčenlivost a odstup od vnitrofiremních vztahů. Je však třeba dodržet hranici, na kterou upozorňuje i WP243: konflikt zájmů může vzniknout, pokud externí zodpovědná osoba zastupuje správce před soudem ve věcech ochrany údajů. Takové úkoly je třeba od výkonu funkce oddělit už při uzavírání smlouvy.
S čím můžeme pomoci
Posoudíme, zda potřebujete jednu nebo obě funkce, a navrhneme, zda je spojit, rozdělit, nebo svěřit externě. Funkci zodpovědné osoby podle GDPR převezmeme v rámci služby zodpovědná osoba (DPO) jako služba; oznamovací systém zavedeme a prověřování oznámení umíme vykonávat ve službě whistleblowing a oznamovací systém. Jak dlouho uchovávat spisy oznámení a kdo k nim smí mít přístup, jsme popsali v otázce o uchovávání oznámení; jak funguje společná zodpovědná osoba pro skupinu firem, v otázce o jedné DPO pro skupinu.
Článek představuje obecnou právní informaci ke stavu k datu 12. 9. 2026 — nejde o právní službu ani radu k vaší konkrétní věci. Právní předpisy se mění a vaše situace se může v detailech lišit; před rozhodnutím si postup ověřte nebo se nám ozvěte.
