Pověřenec nemůže kontrolovat vlastní rozhodování o údajích
Polský exekutor vykonával současně úlohu správce i pověřence pro ochranu osobních údajů. UODO mu uložil celkem 15 500 zlotých za střet zájmů a nesplněné oznámení pověřence úřadu.
Polský UODO uložil exekutorovi celkem 15 500 zlotých za souběh neslučitelných rolí a nesplněné oznámení pověřence pro ochranu osobních údajů. Rozhodnutí DKN.5131.24.2025 pochází z 29. července 2026; portál úřadu je při kontrole označoval jako nepravomocné. Sankce se skládá ze 12 tisíc zlotých za střet zájmů a 3 500 zlotých za nesplnění oznamovací povinnosti.
Šetření navázalo na oznámený incident z dubna 2023, při kterém kancelář chybně odeslala písemnost související s exekučním řízením. Kontrola podkladů ukázala širší problém v uspořádání odpovědností. Tentýž exekutor vystupoval jako správce osobních údajů, pověřenec a správce informačního systému. Úlohu pověřence vykonával od 30. ledna 2020 do 29. září 2025. Úřad tedy neposuzoval jen chybu při jednotlivém odeslání, ale také dlouhodobou nezávislost dohledu nad zpracováním.
Exekutor se bránil tím, že nebyl formálně jmenován a pouze sám plnil úkoly, které jinak příslušejí pověřenci. Namítal také, že neměl povinnost tuto funkci zřídit. UODO porovnal tato tvrzení s jeho předchozími vyjádřeními a dokumentací, v nichž byl jako pověřenec uváděn. Za rozhodující považoval skutečně vykonávanou a navenek deklarovanou funkci. Chybějící samostatný dokument o jmenování podle úřadu nevymazal povinnosti spojené s rolí, kterou správce fakticky obsadil.
Podstata střetu spočívala v tom, že stejný člověk rozhodoval o zpracování a měl současně sledovat soulad těchto rozhodnutí s GDPR. Článek 38 odst. 6 umožňuje pověřenci další úkoly, pokud nezpůsobují střet zájmů. Nezakazuje tedy automaticky každý souběh pracovních pozic. V tomto případě však osoba řídící vlastní kancelář a její zpracování nemohla zajistit nezávislou kontrolu svého rozhodování pouhým přidáním dalšího označení funkce.
Výklad doplňuje starší rozsudek Soudního dvora EU ve věci X-FAB Dresden, C-453/21, z 9. února 2023. Podle něj může střet vzniknout, pokud další úkoly vedou pověřence k určování účelů a prostředků zpracování. Posouzení se provádí případ od případu a zohledňuje organizační strukturu i použitelná interní pravidla. Pro organizace to znamená prověřovat skutečné pravomoci, nikoli pouze název místa nebo obecné prohlášení o nezávislosti.
V praxi je proto potřeba zjistit, kdo schvaluje používané systémy, rozhoduje o rozsahu zpracovávaných údajů a stanovuje jejich využití. Tyto rozhodovací úkoly se liší od poradenské a kontrolní role pověřence. U menší organizace nemusí být jednoduché funkce rozdělit, ale nedostatek vlastních pracovníků sám o sobě střet neodstraňuje. Zvolený postup musí umožnit, aby pověřenec upozornil na problém, aniž by přitom posuzoval vlastní rozhodnutí.
Oznámení pověřence bylo druhým, samostatným pochybením. Článek 37 odst. 7 GDPR požaduje zveřejnění jeho kontaktních údajů a jejich sdělení dozorovému úřadu. Čtrnáctidenní lhůta řešená v rozhodnutí vychází z polské úpravy, nikoli ze samotného GDPR. Exekutor nakonec ustanovil externího pověřence 29. září 2025 a úřad o něm informoval v říjnu. Pozdější změna však nezbavila úřad možnosti hodnotit předchozí období.
Případ je důvodem kontrolovat nastavení role při jejím zřízení i po změně organizačních pravomocí. Dokumentace má odpovídat tomu, kdo funkci skutečně plní, a oznamovací povinnost je nutné sledovat odděleně od řešení střetu zájmů. Samotný externí či interní status není náhradou za posouzení konkrétních úkolů. Rozhodující je, zda pověřenec může své kontrolní povinnosti vykonávat bez souběžného rozhodování o předmětu této kontroly.
Zdroj
Datum: 8.10.2026
Další články
I testování kamer na pracovišti podléhá GDPR
Vývoj s AI potřebuje zadání, testy a odpovědnost za výsledek
