Co je GDPR a jak ovlivní vaše podnikání: Klíčové informace a praktické rady

Úvod do GDPR a jeho významu

GDPR (General Data Protection Regulation), neboli Obecné nařízení o ochraně osobních údajů, představuje jednotný právní rámec, který v celé EU stanovuje pravidla pro ochranu osobních dat. Jeho cílem je:

• posílit práva občanů EU na ochranu jejich dat,

• sjednotit pravidla napříč státy EU,

• modernizovat přístup k ochraně soukromí.

Nařízení se vztahuje na firmy a jednotlivce v EU i mimo ni, pokud zpracovávají osobní údaje občanů EU. Dopadá tedy na:

• velké korporace i OSVČ,

• e-shopy, služby, lékařské ordinace, poradce, aj.

Co jsou osobní údaje?

Podle GDPR se za osobní údaje považují veškeré informace umožňující identifikaci konkrétní osoby, např.:

• jméno, adresa, e-mail, IP adresa,

• lokační údaje, cookies,

• zvláštní kategorie: zdravotní stav, náboženství, etnicita, politické názory (tyto citlivé údaje podléhají ještě přísnějším pravidlům ochrany).

Jak dlouho je možné osobní údaje uchovávat?

Pouze po dobu nezbytně nutnou pro splnění účelu, pro který byly shromážděny. Doba uchování se liší podle účelu a právního základu:

• údaje pro marketingovou soutěž – do vyhlášení výsledků,

• údaje zákazníků e-shopu – např. po dobu trvání záruky,

• mzdové či zdravotní údaje – dle zákonem stanovených lhůt.

Pravidla pro zpracování osobních údajů

Zpracování dat musí být transparentní a spravedlivé. Je třeba zajistit:

• informování o účelu, rozsahu, době uchování a přístupu,

• srozumitelný a přístupný dokument se zásadami,

• dobrovolný, svobodný a informovaný souhlas.

Ministerstvo průmyslu a obchodu vytvořilo přehledný formulář o GDPR, který podnikatelům pomáhá se základní implementací pravidel při práci s osobními údaji.

Praktické příklady implementace GDPR

1. Cookies lišta na webu

   Každý web, který používá cookies k personalizaci, musí mít cookies lištu s možností volby.
   Součástí musí být i odkaz na zásady ochrany osobních údajů s podrobným popisem zpracování dat.

2. Fotky a videa z firemních akcí

   Skupinové fotografie jsou většinou v pořádku. Pro jednotlivce ale platí nutnost souhlasu, pokud jsou identifikovatelní a zveřejněni.

3. Bezpečnostní kamery

   Kamerový systém je povolen např. kvůli ochraně majetku. Zaměstnanci musí být informováni a sledování má být omezeno jen na nezbytný rozsah.

Postup při porušení GDPR

Porušením GDPR se rozumí situace, kdy dojde např. ke:

• ztrátě dat,

• jejich neoprávněnému zpřístupnění,

• úniku informací do třetích zemí.

V takovém případě je nutné:

1. okamžitě analyzovat incident,

2. do 72 hodin nahlásit porušení Úřadu pro ochranu osobních údajů,

3. informovat dotčené osoby, pokud hrozí riziko újmy.

Pokuty za porušení GDPR

Sankce mohou být vysoké a zasáhnout i menší podniky:

• až 20 mil. EUR nebo 4 % celosvětového ročního obratu společnosti,

• v ČR až 10 mil. Kč podle závažnosti, doby trvání a nápravných kroků.

GDPR není formalita. Je to právní rámec, jehož nedodržení může mít vážné důsledky nejen finanční, ale i reputační.

Závěr

GDPR je komplexní, ale srozumitelný soubor pravidel, který chrání jak data, tak důvěru.
Implementace těchto pravidel ve firmě či u OSVČ:

• zvyšuje důvěryhodnost,

• minimalizuje riziko pokut,

• přispívá ke kvalitnějšímu přístupu k zákazníkům.

Zodpovědné zacházení s osobními údaji je dnes znakem profesionálního přístupu k podnikání.