GDPR

Dne 25. 5. 2018 nabylo účinnosti Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním a shromažďováním osobních údajů, resp. s jejich přenosem, sdílením a likvidací, tzv. GDPR. Jedná se o novou legislativu, která přináší zásadní posílení ochrany osobních údajů a řadu nových povinností či změn existujících povinností pro všechny správce a zpracovatele osobních údajů.

GDPR se dotkne v různé míře všech podnikajících subjektů. V tomto článku se dozvíte, co je to GDPR, jaké povinnosti pro Vás z GDPR vyplývají a jak GDPR úspěšně implementovat.

Zpracováváte osobní údaje?

Osobní údaje zpracováváte i v případech, kde byste to možná nečekali, např. když:

provozujete web s online kontaktním formulářem,
rozesíláte newsletter,
uvádíte skutečná jména nebo kontakty osob na svých stránkách,
provozujete e-shop,
máte webové stránky s cookies,
máte alespoň jednoho zaměstnance,
nebo jen prodáváte zboží a služby klientům na základě faktury apod.

Přicházíte tak do kontaktu s osobními údaji a máte povinnost tato data chránit před únikem a zodpovídáte za jejich zabezpečení.

GDPR jednoduše řečeno určuje pravidla ochrany fyzických osob při zpracování osobních údajů. Přesněji se jedná o Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob při zpracování osobních údajů a o volném pohybu takových údajů, kterým se ruší směrnice 95/46/ES (obecné nařízení o ochraně údajů).

Tímto nařízením se stanovují pravidla ochrany fyzických osob při zpracování osobních údajů a pravidla týkající se volného pohybu osobních údajů. Nařízením se chrání základní práva a svobody fyzických osob, zejména jejich právo na ochranu osobních údajů. Volný pohyb osobních údajů v rámci Unie nesmí být omezen ani zakázán z důvodů souvisejících s ochranou fyzických osob při zpracování osobních údajů. Plné znění zákona si můžete přečíst zde: https://eur-lex.europa.eu.

Zpracování osobních údajů

Toto nařízení se vztahuje na zpracování osobních údajů prováděné zcela nebo částečně automatizovanými prostředky a na zpracování jinými než automatizovanými prostředky v případě osobních údajů, které tvoří součást informačního systému nebo jsou určeny k tomu, aby tvořily součást informačního systému.

Úlohou směrnice Evropského parlamentu a Rady 95/46/ES je harmonizovat ochranu základních práv a svobod fyzických osob v souvislosti se zpracovatelskými činnostmi a zajistit volný tok osobních údajů mezi členskými státy.

Zpracování osobních údajů by mělo být určeno k tomu, aby sloužilo lidstvu. Právo na ochranu osobních údajů není absolutní právo; musí se posuzovat ve vztahu k jeho funkci ve společnosti a musí být vyváženo ostatními základními právy, a to v souladu se zásadou proporcionality. Toto nařízení respektuje všechna základní práva a dodržuje svobody a zásady uznané ve Chartě, jak jsou zakotveny ve smlouvách, zejména respektování soukromého a rodinného života, obydlí a komunikace, ochrana osobních údajů, svoboda myšlení, svědomí a náboženského vyznání, svoboda projevu a právo na informace, svoboda podnikání, právo na účinný opravný prostředek a na spravedlivý proces, a kulturní, náboženská a jazyková rozmanitost. (Zdroj: Úřad pro ochranu osobních údajů)

Právo na ochranu údajů fyzických osob

Ochrana fyzických osob v souvislosti se zpracováním osobních údajů patří mezi základní práva. V článku 8 odst. 1 Charty základních práv Evropské unie a v článku 16 odst. 1 Smlouvy o fungování Evropské unie (SFEU) se stanoví, že každý má právo na ochranu osobních údajů, které se ho týkají.

V zásadách a pravidlech ochrany fyzických osob při zpracování jejich osobních údajů by se bez ohledu na jejich státní příslušnost nebo bydliště měla respektovat jejich základní práva a svobody, zejména právo na ochranu osobních údajů. Tímto nařízením se má přispět k vybudování prostoru svobody, bezpečnosti a spravedlnosti a hospodářské unie, k hospodářskému a sociálnímu pokroku, k posílení a sbližování ekonomik v rámci vnitřního trhu a ku prospěchu fyzických osob.

Povinnosti vyplývající z GDPR

Máte-li již zavedeno dodržování zákona č. 101/2000 Sb. o ochraně osobních údajů, máte polovinu práce za sebou. GDPR jej totiž upřesňuje a doplňuje v některých dalších oblastech.

Povinnosti, které vyplývají z GDPR:

Informovat uživatele/občany o tom, proč shromažďujete data, jak dlouho je budete uchovávat a kdo další k datům přistoupí.
Požádat o jasný a svobodný souhlas před tím, než začnete data sbírat.
Pokud již data shromažďujete, musíte všechny uživatele znovu požádat o souhlas se zpracováním jejich údajů.
Umožnit uživateli přístup k jeho datům.
Umožnit uživatelům požádat o vymazání jejich dat.
Upozornit uživatele o úniku dat.

Jak byste měli chránit práva lidí?

Jak by měla Vaše firma chránit práva lidí, kteří jí poskytují své osobní údaje?

Komunikace – vysvětlete uživatelům, kdo jste, když je žádáte o údaje. Komunikujte běžnou řečí.
Souhlas – vyžádejte jednoznačný souhlas se zpracováním údajů. Při zpracování údajů dětí kontrolujte věkový limit pro souhlas zákonného zástupce.
Upozornění – informovanost lidí při vystavení jejich osobních údajů vážnému riziku.
Ochrana údajů – používejte dostatečné zabezpečení při získávání informací týkajících se zdraví, rasy, sexuální orientace, náboženství a politického přesvědčení.
Vymazání údajů – umožněte lidem, aby jejich údaje byly vymazány a zapomenuty.
Marketingové účely – umožněte lidem nesouhlasit s použitím jejich údajů k marketingovým účelům.
Vytváření profilu – pokud zpracováváte žádosti o právně závazné smlouvy např. půjčky či pojištění na základě profilování, musíte informovat zákazníky, zajistit, že kontrolu zpracování vykonává člověk a ne stroj, a v případě zamítnutí žádosti poskytnout žadateli možnost napadnout rozhodnutí.
Přenášení údajů mimo Evropskou unii – přijměte právní opatření při přenosu údajů do zemí, které nejsou schváleny orgány EU.

V čem GDPR spočívá?

GDPR nahradí zákon o ochraně osobních údajů v ČR. Cílem je ochrana digitálního práva všech občanů. Hlavním bodem je upravený způsob zpracování osobních údajů. Při porušení hrozí vysoké pokuty.

Nejvýznamnější povinnosti:

ustanovení odpovědné osoby,
úprava příslušné dokumentace dle nové právní úpravy,
změna souhlasu se zpracováním osobních údajů,
likvidační pokuty za porušení povinností.

Kdy je nutné stanovit odpovědnou osobu:

orgán veřejné moci a veřejnoprávní subjekt,
subjekty, jejichž hlavní činností jsou zpracovatelské operace vyžadující pravidelný monitoring osob,
subjekty zpracovávající informace týkající se viny za trestné činy.

Kdo je odpovědná osoba podle GDPR?

Jednou z novinek spojených s nařízením GDPR je ustanovení odpovědné osoby pro vybrané subjekty. Odpovědná osoba podle GDPR má za úkol dohlížet na ochranu osobních údajů zákazníků, pacientů, studentů a dalších skupin osob.

Koho se povinnost mít odpovědnou osobu týká?

Stanovit odpovědnou osobu musíte podle GDPR v těchto případech:

zpracování osobních údajů provádí orgán veřejné moci nebo veřejnoprávní subjekt (obce, základní školy, střední školy, univerzity apod.),
hlavní činností správce nebo zpracovatele jsou zpracovatelské operace vyžadující systematické monitorování dotčených osob v rozsáhlém měřítku,
hlavní činností je zpracování zvláštních kategorií údajů v rozsáhlém měřítku nebo týkajících se uznání viny za trestné činy a přestupky.

Jedna odpovědná osoba pro skupinu podnikatelů?

S povinností mít odpovědnou osobu podle GDPR jsou spojeny i dodatečné náklady. Potěšující je informace, že skupina podnikatelů může mít jednu a tutéž odpovědnou osobu. Podmínkou je, aby byla odpovědná osoba snadno dostupná v rámci jednotlivých podniků. Pokud tedy chcete ušetřit náklady, nemusíte mít vlastního člověka na ochranu osobních údajů. Funkci odpovědné osoby může zastávat zaměstnanec, správce či i externí specialista, který bude plnit její úlohu na základě smlouvy.

Sankce

Nařízení přináší nové a zároveň vyšší sankce při jeho porušení. Dosud platná právní úprava v ČR umožňuje Úřadu pro ochranu osobních údajů uložit pokutu až do výše 200 000 EUR. Nařízením GDPR se tyto sankce zvýšily na částku až 20 000 000 EUR nebo 4 % z celosvětového obratu (podle toho, co je vyšší).

Kromě sankcí zároveň GDPR definuje právo na náhradu způsobené újmy od správce nebo zpracovatele, pokud fyzická osoba v důsledku porušení nařízení GDPR utrpěla hmotnou nebo nehmotnou újmu.

Vzhledem k medializaci případů porušení ochrany osobních údajů a úniku citlivých informací je důležité zhodnotit také dopad případného incidentu na ohrožení dobrého jména společnosti a případnou ztrátu reputace.

Pozornost by měli věnovat všichni subjekty zpracovávající osobní údaje fyzických osob. Právě jich se GDPR bezprostředně týká a jsou povinni od 25. května 2018 sladit své podnikové postupy s tímto nařízením, jinak jim hrozí uvedené sankce. V praxi to znamená, že každá společnost, která má zaměstnance, databázi zákazníků, dodavatelů nebo partnerů (pokud se jedná o fyzické osoby či fyzické osoby podnikatele). Na trhu pravděpodobně těžko najdeme firmu, které by se nařízení GDPR netýkalo.

Souhlas se zpracováním osobních údajů a jeho forma

Podle § 4 odst. 3 písm. d) zákona č. 122/2013 Sb. o ochraně osobních údajů a o změně a doplnění některých zákonů v platném znění je souhlasem dotčené osoby jakýkoli svobodně daný výslovný a srozumitelný projev vůle, kterým dotčená osoba na základě poskytnutých informací uděluje souhlas se zpracováním svých osobních údajů. Tato definice souhlasu již nebude platit, protože podle čl. 4 odst. 11 nařízení GDPR: „souhlas dotčené osoby je jakýkoli svobodně daný, konkrétní, informovaný a jednoznačný projev vůle dotčené osoby, kterým formou prohlášení nebo jednoznačného potvrzujícího úkonu vyjadřuje souhlas se zpracováním osobních údajů, které se jí týkají“.

Na rozdíl od zákona č. 122/2013 Sb. je zde jasně uvedeno, že musí jít o jednoznačný projev vůle.

Jednoznačnost objasňuje také bod 32 preambule nařízení GDPR, podle kterého by měl být souhlas poskytnut jasným projevem vůle, který je svobodným, konkrétním, informovaným a jednoznačným vyjádřením souhlasu dotčené osoby se zpracováním osobních údajů, které se jí týkají, a to například:

písemným prohlášením,
včetně prohlášení prostřednictvím elektronických prostředků (pokud má dotčená osoba poskytnout souhlas na základě žádosti elektronickými prostředky, musí být požadavek jasný, stručný a neměl by zbytečně rušit používání služby, pro kterou se poskytuje), nebo
ústním prohlášením.

Práva subjektu

Práva subjektu, která by měl souhlas se zpracováním obsahovat. Za podmínek stanovených v GDPR máte:

právo na přístup ke svým osobním údajům podle čl. 15 GDPR,
právo na opravu osobních údajů podle čl. 16 GDPR, případně omezení
zpracování podle čl. 18 GDPR,
právo na výmaz osobních údajů podle čl. 17 GDPR,
právo vznést námitku proti zpracování podle čl. 21 GDPR a
právo na přenositelnost údajů podle čl. 20 GDPR,
právo odvolat souhlas se zpracováním písemně nebo elektronicky na adresu či e-mail správce.

Dále máte právo podat stížnost Úřadu pro ochranu osobních údajů v případě, že se domníváte, že bylo porušeno Vaše právo na ochranu osobních údajů.