Áno, ak dodávateľ pri migrácii, testovaní alebo podpore pracuje s osobnými údajmi zákazníkov či zamestnancov vo vašom mene. Vtedy je sprostredkovateľom a spracúvanie sa musí riadiť zmluvou podľa čl. 28 GDPR v písomnej podobe, pričom postačí aj elektronická. Zmluva musí okrem iného určiť, že dodávateľ spracúva údaje len podľa vašich zdokumentovaných pokynov a po skončení ich vráti alebo vymaže. Povinnosť vybrať dodávateľa s dostatočnými zárukami máte vy ako prevádzkovateľ.
Pri prechode na nový podnikový systém sa zákaznícka databáza zo starého riešenia exportuje, vyčistí a nahrá do nového. Robí to spravidla dodávateľ implementácie, často na kópii ostrých dát v testovacom prostredí a s pomocou vlastných konzultantov či externých programátorov. Implementačná zmluva pritom rieši rozsah, termíny a akceptáciu, no o osobných údajoch mlčí, hoci práve pre túto časť projektu GDPR vyžaduje zmluvu s predpísaným obsahom.
Kedy je implementátor sprostredkovateľom
GDPR definuje sprostredkovateľa ako subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa (čl. 4 bod 8). Spracúvaním je pritom takmer akákoľvek operácia s údajmi vrátane usporadúvania, prepracúvania, vyhľadávania, prehliadania, prenosu či vymazania (čl. 4 bod 2). Dodávateľ, ktorý vaše dáta migruje, čistí alebo pri ladení prehliada, ich preto spracúva, a keďže tak robí pre vás a podľa vašich pokynov, je vaším sprostredkovateľom.
Ak dodávateľ iba nainštaluje softvér a k údajom nemá prístup, sprostredkovateľom byť nemusí. Opačný extrém nastane, keď začne údaje používať na vlastné účely: sprostredkovateľ, ktorý porušením nariadenia sám určí účely a prostriedky spracúvania, sa v súvislosti s ním považuje za prevádzkovateľa (čl. 28 ods. 10).
Čo musí zmluva obsahovať
Prevádzkovateľ smie využívať len sprostredkovateľov, ktorí poskytujú dostatočné záruky primeraných technických a organizačných opatrení (čl. 28 ods. 1). Vzťah s nimi musí mať zmluvný základ:
Spracúvanie sprostredkovateľom sa riadi zmluvou alebo iným právnym aktom podľa práva Únie alebo práva členského štátu, ktoré zaväzuje sprostredkovateľa voči prevádzkovateľovi a ktorým sa stanovuje predmet a doba spracúvania, povaha a účel spracúvania, typ osobných údajov a kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa.
Nariadenie ďalej vyžaduje, aby zmluva zaviazala dodávateľa najmä na spracúvanie len podľa vašich zdokumentovaných pokynov vrátane prenosov do tretích krajín, na mlčanlivosť ľudí, ktorí s údajmi pracujú, na bezpečnostné opatrenia, na pomoc pri vybavovaní žiadostí dotknutých osôb, na vrátenie alebo vymazanie údajov a ich kópií po skončení služieb a na sprístupnenie informácií a umožnenie auditu (čl. 28 ods. 3 písm. a) až h)). Zmluva musí byť v písomnej podobe, ktorou je aj elektronická podoba (čl. 28 ods. 9).
Na čo si dať pozor práve pri migrácii
Subdodávatelia. Na implementačných projektoch často pracujú aj externí konzultanti dodávateľa. Sprostredkovateľ nesmie zapojiť ďalšieho sprostredkovateľa bez vášho predchádzajúceho osobitného alebo všeobecného písomného povolenia a pri všeobecnom povolení vás musí informovať o zmenách, aby ste mohli namietať (čl. 28 ods. 2).
Testovacie prostredie. Kópia ostrých dát v testoch je tiež spracúvanie. Medzi opatreniami, ktoré nariadenie výslovne uvádza, je pseudonymizácia a šifrovanie (čl. 32 ods. 1 písm. a)), preto má zmluva určiť, kedy sa na testy použijú upravené dáta a kedy ostré.
Koniec projektu. Po nasadení zostávajú exporty, zálohy a testovacie databázy u dodávateľa. Povinnosť vrátiť alebo vymazať údaje aj existujúce kópie (čl. 28 ods. 3 písm. g)) má mať v zmluve konkrétny termín a potvrdenie o vymazaní. Ak po nasadení prechádzate do servisného režimu a dodávateľ bude mať k údajom prístup naďalej, zmluva o spracúvaní musí pokryť aj toto obdobie.
Ako to vyriešiť
Najpraktickejšie je pripojiť zmluvu o spracúvaní osobných údajov ako prílohu k implementačnej zmluve, aby sa rozsah migrácie, prístupy a termín vymazania kryli s harmonogramom projektu. Širší poriadok v spracúvaní, od záznamov o činnostiach po zmluvy s ďalšími dodávateľmi, riešime v službe GDPR a ochrana osobných údajov. Prehľad základných povinností prevádzkovateľa nájdete v otázke aké mám povinnosti pri spracúvaní osobných údajov.
Odpoveď je všeobecná informácia k právnemu stavu k 12. 9. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
