Osobní údaje lze zpracovávat, pokud je přítomen aspoň jeden z těchto právních důvodů:
subjekt údajů udělil souhlas pro jeden či více konkrétních účelů,
zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů,
zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje,
zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby,
zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce,
zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů.
Nařízení staví pověřence do pozice odborníka na ochranu osobních údajů, který bude všem subjektům majícím povinnost jej ustanovit (např. orgány veřejné moci, subjekty zpracovávající tzv. citlivé údaje nebo provádějící monitorovací aktivity) poskytovat odborné poradenství v souvislosti s řádným plněním povinností GDPR, popř. komunikovat s Úřadem pro ochranu osobních údajů.
GDPR říká, že pověřenci musí být ve firmě zajištěno potřebné zázemí a nezávislost, nesmí se dostat do střetu zájmů atd. Neuvádí se v něm však, jakým způsobem a v jakém rozsahu by měl pověřenec ve společnosti operovat – zda by měl být k dispozici přímo v sídle firmy, nebo bude dostačující, když bude činnost vykonávat na dálku, na jaký minimální úvazek by měl být ve firmě k dispozici apod.
Pověřenec pro ochranu osobních údajů vykonává alespoň tyto úkoly:
a) poskytování informací a poradenství správcům nebo zpracovatelům a zaměstnancům, kteří provádějí zpracování, o jejich povinnostech podle tohoto nařízení a dalších předpisů Unie nebo členských států v oblasti ochrany údajů;
b) monitorování souladu s tímto nařízením, dalšími předpisy Unie nebo členských států v oblasti ochrany údajů a s koncepcemi správce nebo zpracovatele v oblasti ochrany osobních údajů, včetně rozdělení odpovědnosti, zvyšování povědomí a odborné přípravy pracovníků zapojených do operací zpracování a souvisejících auditů;
c) poskytování poradenství na požádání, pokud jde o posouzení vlivu na ochranu osobních údajů, a monitorování jeho uplatňování
d) spolupráce s dozorovým úřadem a
e) působení jako kontaktní místo pro dozorový úřad v záležitostech týkajících se zpracování, včetně předchozí konzultace a případně vedení konzultací v jakékoli jiné věci.
