Jste připraveni na GDPR?
Již za nedlouho, přesněji 25. května 2018, vejde v účinnost nové nařízení Evropské unie (známé jako „GDPR“), které se týká ochrany osobních údajů. Co nás čeká a jak se na změny připravit? Na to vám odpovíme v tomto článku.
GDPR nás přivádí do nového právního rámce v oblasti osobních údajů. Stěžejními účely GDPR jsou: sjednotit nakládání s osobními údaji v rámci Evropské unie, stanovit nová práva a umožnit lidem větší kontrolu toho, jak je s jejich osobními údaji nakládáno. Z těchto důvodů GDPR stanoví rozsáhlejší povinnosti subjektům, které osobní údaje zpracovávají a zároveň zvyšuje hranice pokut za porušování pravidel.
Co vlastně jsou osobní údaje?
Osobní údaje jsou veškeré informace, na jejichž základě lze identifikovat konkrétního člověka. Nemusí se tedy jednat pouze o jméno, příjmení a třeba e-mailovou adresu. Pokud lze prostřednictvím nějakého údaje určit, koho se tento údaj týká, bude taková informace považována za osobní údaj (např. IP adresa nebo přihlašovací jméno do uživatelského účtu).
Na koho se povinnosti stanovené GDPR vztahují?
Povinnosti jsou ukládány osobám, které osobní údaje zpracovávají, může tedy jít o provozovatele e‑shopu, marketingové agentury (v podstatě o jakékoliv podnikatele, kteří poskytují zboží či služby), ale také o veřejnoprávní instituce. Snad každý podnikatel nějakým způsobem zpracovává osobní data svých zákazníků, případně zaměstnanců.
Co je třeba udělat?
Kroky, které bude třeba provést, můžeme shrnout do třech základních bodů:
1) audit nakládání s osobními údaji;
2) náležité zabezpečení správy osobních údajů;
3) příprava dokumentace tak, abyste o nakládání s osobními údaji informovali osoby, jejichž údaje zpracováváte a zároveň byli schopni doložit dozorovému úřadu, jak s osobními údaji nakládáte (zejména Úřadu pro ochranu osobních údajů).
V první řadě je tedy potřeba důkladně zhodnotit, které osobní údaje zpracováváte, jakým osobám patří, jak konkrétně s nimi nakládáte, kde je získáváte a zda pro jejich zpracování máte zákonný důvod. Po tomto zhodnocení nastává fáze uvedení nakládání s údaji do souladu s GDPR, neboť z našich zkušeností víme, že většina subjektů, které osobní údaje zpracovávají, povinnosti stanovené v GDPR zdaleka nesplňuje.
Přizpůsobení probíhá v mnoha oblastech, od revize smluv (do kterých se vkládají ustanovení týkající se nakládání s osobními údaji), přes tvorbu interních směrnic (které budou upravovat pravidla nakládání s osobními údaji jak ve vztahu k vašim zaměstnancům, tak ve vztahu k vašim zákazníkům) až po tvorbu dokumentů informujících osoby, jejichž údaje zpracováváte, o jejich právech. Nesmíme zapomenout ani na zajištění zabezpečení tak, aby osobní údaje nemohly být kýmkoliv zneužity.
V určitých případech (například rozsáhlé zpracovávání osobních údajů, zpracovávání citlivých údajů či osobních údajů dětí atd.) pak mohou přistoupit i další povinnosti, jako např. posouzení vlivu na ochranu osobních údajů či nutnost jmenovat pověřence pro ochranu osobních údajů.
Závěrem
S ohledem na výše uvedené nelze stanovit konkrétní postup, který by byl univerzální pro všechny. Je potřeba podniknout individuální kroky pro zajištění souladu s GDPR v závislosti na Vašem konkrétním obchodním modelu a aktuálním stavu v oblasti nakládání s osobními údaji.
V případě zájmu o komplexní právní služby v této oblasti se na nás obraťte. Rádi Vám poskytneme více informací a zkontrolujeme či připravíme veškeré potřebné dokumenty.
