Máloktorej firmy sa ochrana osobných netýka a týchto povinností sa nedá zbaviť úplne. Ochrana osobných údajov sa týka napríklad zamestnávateľov alebo eshopov. Zákonná definícia osobných údajov je veľmi všeobecná a každú situáciu je potrebné posúdiť individuálne.
Povinnosti pri ochrane osobných údajov možno rozdeliť na situácie dvoch typov: jednouché situácie (napr. spracúvanie miezd, zákaznícke databázy) alebo zložité situácie (napr. spracúvanie osobitných kategórií osobných údajov). V obidvoch prípadoch má podnikateľ dva typy povinností, a to povinnosti voči Úradu na ochranu osobných údajov SR (ďalej len “úrad”) a povinnosti vo firme.
Väčšiny podnikateľov sa týkajú jednoduché situácie, v ktorých má podnikateľ voči úradu tieto kľúčové povinnosti:
oznámiť informačný systém,
registrovať informačný systém,
poskytovať súčinnosť.
Informačný systém nie je potrebné úradu oznamovať, ak podnikateľ poverí dohľadom nad ochranou osobných údajov zodpovednú osobu. Je ňou fyzická osoba (nemusí byť zamestnancom podnikateľa), ktorá úspešne absolvovala skúšky zodpovednej osoby a má o tom potvrdenie úradu. O poverení zodpovednej osoby je potrebné úrad informovať najneskôr do 30 dní odo dňa poverenia, inak hrozí pokuta do 3 000 eur.
Kľúčovou povinnosťou vo firme je povinnosť poučiť všetky osoby, ktoré prichádzajú pri plnení pracovných úloh do styku s osobnými údajmi, o ich právach a povinnostiach a vyhotoviť o tom záznam. Vyhotovenie takéhoto záznamu musí podnikateľ úradu hodnoverne preukázať, inak mu hrozí pokuta od 300 do 3 000 eur.
V prípade zložitých situácií má podnikateľ povinnosť vypracovať bezpečnostný projekt. Ide o vypracovanie obzvlášť náročnej dokumentácie a neodborným prístupom môže aj menšia chyba spôsobiť problémy a finančné straty. Za nevypracovanie alebo nekvalitné vypracovanie bezpečnostného projektu hrozí pokuta až do 200 000 eur.