Služby GDPR / Španielsko
GDPR a LOPDGDD v Španielsku — čo ktorá norma vyžaduje
GDPR je európske nariadenie, v Španielsku priamo použiteľné bez transpozície. LOPDGDD — Ley Orgánica 3/2018 o ochrane osobných údajov a zaručení digitálnych práv — je španielsky zákon, ktorý ho rozvíja, konkretizuje a pridáva vlastné povinnosti. Vaša firma zodpovedá podľa oboch, pred jediným orgánom: AEPD.
Konáte za klienta? Bývame menovaní v zákulisí profesionálnych poradcov a reportujeme vám. Vzťah s vaším klientom zostáva váš.
Čo ktorá norma robí, jasnými slovami
GDPR stavia rámec
Zásady (zákonnosť, minimalizácia, zodpovednosť), právne základy, práva dotknutých osôb, roly prevádzkovateľa a sprostredkovateľa, posúdenia vplyvu, porušenia zabezpečenia a sankčný režim. V celej EÚ je totožné a nepotrebuje národný zákon.
LOPDGDD dodáva španielske drobné písmo
Kde nariadenie necháva priestor, Španielsko ho vyplnilo: kto musí vymenovať zodpovednú osobu (článok 34), povinnosť blokácie údajov (článok 32), vek súhlasu neplnoletých od 14 rokov, konkrétne pravidlá pre kamerové systémy a interné oznamovacie systémy a celý titul digitálnych práv — odpojenie, súkromie voči firemným zariadeniam a ďalšie.
Prevádzkovateľ, sprostredkovateľ a zodpovedná osoba — rozlíšenie, ktoré všetko usporiada
Tri roly, ktoré sa v auditoch objavujú zamenené znova a znova — a ktorých zámena znehodnocuje celé zmluvy a informácie.
- PREVÁDZKOVATEĽ: kto rozhoduje o účeloch a prostriedkoch — vaša firma, pri vlastných dátach zákazníkov a zamestnancov
- SPROSTREDKOVATEĽ: kto spracúva v mene prevádzkovateľa — mzdový dodávateľ, účtovná kancelária, cloudová platforma; potrebuje zmluvu podľa článku 28
- ZODPOVEDNÁ OSOBA (delegado de protección de datos): nezávislá rola, ktorá dohliada a radí — nerozhoduje o účeloch, nespracúva pre nikoho a za svoj úsudok zodpovedá pred AEPD
Do ktorého políčka spadne ktorý dodávateľ a ktoré oddelenie, rozhoduje o zmluvách, informáciách a prevzatej zodpovednosti. Dať to do poriadku je zvyčajne prvý výstup nášho auditu GDPR.
Čo LOPDGDD vyžaduje a GDPR nikdy nespomína
- Článok 34: španielsky zoznam subjektov povinných vymenovať zodpovednú osobu — širší než tri európske spúšťače
- Článok 32: povinnosť blokácie — opravené či vymazané údaje zostávajú znehybnené počas premlčacích lehôt možných zodpovedností
- Článok 7: súhlas neplnoletých platný od 14 rokov
- Článok 22: domnienky a vlastné pravidlá pre kamerové systémy
- Článok 24: interné oznamovacie systémy
- Titul X: digitálne práva — digitálne odpojenie, súkromie voči firemným zariadeniam a geolokalizácia v práci
Žiadna z týchto povinností sa neobjavuje v generickej šablóne GDPR písanej pre celú Európu. Je to vrstva, ktorá odlišuje poskytovateľa znalého Španielska od poskytovateľa, ktorý prekladá dokumenty.
Ako to pokrývame
Jeden program, ktorý berie GDPR a LOPDGDD ako to, čím sú — jednu povinnosť s dvoma prameňmi. Audit voči obom normám, externá zodpovedná osoba oznámená AEPD, záznamy a zmluvy podľa článku 28 v poriadku a — pre firmy s britskými klientmi — pokrytie UK GDPR z našej britskej entity, overiteľné v Companies House (17350509), popri európskej v maltskom registri (C 95774).
Otázky a odpovede
Aký je v Španielsku rozdiel medzi prevádzkovateľom, sprostredkovateľom a zodpovednou osobou?
Tri odlišné roly, ktoré GDPR presne definuje. Prevádzkovateľ rozhoduje o účeloch a prostriedkoch — vaša firma, pri vlastných dátach. Sprostredkovateľ spracúva v mene prevádzkovateľa — mzdový dodávateľ, účtovná kancelária, cloudová platforma. A zodpovedná osoba nespracúva pre nikoho: je to nezávislá rola, ktorá dohliada na súlad, radí a rokuje s AEPD. Ich zámena je najčastejšia chyba, ktorú v auditoch nachádzame.
Keď plníme GDPR, plníme už aj LOPDGDD?
Nie automaticky. LOPDGDD rozvíja európske nariadenie pre Španielsko a pridáva vlastné povinnosti: zoznam subjektov s povinnou zodpovednou osobou v článku 34, povinnosť blokácie údajov v článku 32, vek súhlasu 14 rokov, osobitné pravidlá pre kamerové a oznamovacie systémy a celý titul digitálnych práv. Firma môže mať GDPR slušne pokryté, a napriek tomu porušovať čisto španielske povinnosti.
Čo je povinnosť blokácie podľa článku 32 LOPDGDD?
Španielska zvláštnosť: keď je údaj opravený alebo vymazaný, prevádzkovateľ ho musí blokovať — uchovať znehybnený, výhradne k dispozícii sudcom, súdom, prokuratúre alebo príslušným správnym orgánom, počas premlčacích lehôt možných zodpovedností. Nie je to prosté zmazanie: je to konkrétna technická a organizačná povinnosť, ktorú mnohí zahraniční dodávatelia šablón ani nespomínajú.
Môže maltsko-britská firma viesť španielsky súlad?
GDPR je priamo použiteľné v celej EÚ a naša európska entita — Privacy Core Services Ltd, C 95774, Malta — je usadená v rovnakom rámci ako vaša firma. Španielsku vrstvu (LOPDGDD, kritériá a usmernenia AEPD) robíme ako súčasť služby, menovanie zodpovednej osoby sa AEPD oznamuje ako pri ktoromkoľvek miestnom poskytovateľovi, a pridávame niečo, čo čisto miestny poskytovateľ nemá: pokrytie UK GDPR z našej britskej entity pre klientov s britskou expozíciou.
Začnite krátkym rozhovorom
Povedzte nám, čo vaša firma spracúva a pre koho, a my vám jasne povieme, čo GDPR a LOPDGDD vyžadujú — a čo nie. Žiadna automatická registrácia; odpovedáme do jedného pracovného dňa.