GDPR aneb Obecné nařízení o ochraně osobních údajů

Obsah červnového dTestu

Aktuální číslo časopisu dTest 6/2018 Obsah červnového dTestu

Vydáno: 18.5.2018   

Pomalu se blíží účinnost nařízení Evropského parlamentu a Rady (EU) 2016/679, obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation, tedy GDPR).

V souvislosti s tímto právním předpisem se v současné době intenzivně diskutuje o ochraně osobních údajů, což může snadno vzbudit dojem, že dříve neexistovala nebo dochází k jejímu zásadnímu zpřísnění. Ve skutečnosti však od 25. května 2018, kdy GDPR nabývá účinnosti, dochází pouze k dílčím úpravám a zásadní koncepce zůstává nezměněna. Doporučujeme proto obezřetnost vůči často předraženým nabídkám různých poskytovatelů služeb v souvislosti s GDPR, kteří se snaží vzbuzovat dojem, že přichází něco nového a nepředstavitelného.

Povinnost přiměřeně zabezpečit osobní údaje má každý, kdo je nějakým způsobem zpracovává, i nyní. Na co však GDPR klade větší důraz, je transparentnost zpracovávání a způsob komunikace se subjektem údajů (tedy identifikovanou nebo identifikovatelnou fyzickou osobou, o jejíž údaje se jedná). V okamžiku získání údajů je proto nutné sdělit subjektu údajů informace specifikované nařízením, aby věděl, kdo a proč jeho údaje zpracovává a jaká má v souvislosti s tím práva. Všechna sdělení musí být činěna srozumitelně a jasně tak, aby každý průměrný uživatel e-shopu či jiný subjekt dokázal bez obtíží pochopit, co se s jeho údaji děje, a účinně tak jejich zpracování v případě potřeby kontrolovat.

Podobně není novinkou ani vázanost účelem, minimalizace údajů či omezení uložení. V jednoduchosti jde o to, že osobní údaje lze zpracovávat pouze za tím účelem, za kterým byly původně získány, a pokud má dojít k jejich jinému využití, musí o tom subjekt údajů vědět a souhlasit s tím. Minimalizace údajů má zase vést správce k tomu, aby požadovali a zpracovávali pouze nezbytné minimum údajů, jež je potřebné k naplnění účelu. Například pro plnění kupní smlouvy není nutné znát číslo občanského průkazu, jelikož fyzickou osobu lze identifikovat už na základě jména, příjmení, adresy, případně data narození. Zásada omezení uložení určuje, že údaje nesmí být zpracovávány po delší než nezbytnou dobu k naplnění účelu. Jakmile již nejsou z žádného důvodu potřebné, je nutné je vymazat či zlikvidovat.

„Velké novinky“ spojené s GDPR jsou nasměrované především na velké společnosti pracující s obrovskými soubory osobních údajů nebo na ty, jež s údaji obchodují. Pokud se jedná o běžné e-shopy, malé firmy poskytující služby například ve stavebnictví nebo o živnostníky, kteří mají maximálně několik provozoven, náročné povinnosti se jich nedotknou. Jedná se především o vedení záznamů o činnostech zpracování, jmenování pověřence pro ochranu osobních údajů nebo posouzení vlivu na ochranu osobních údajů.

Nová úprava přináší ale také povinnosti, jež se dotknou každého správce. Je proto zapotřebí myslet na to, že v případě nějakého incidentu s osobními údaji – porušení jejich zabezpečení formou úniku nebo neoprávněného přístupu, je nutné oznámit tuto skutečnost do 72 hodin Úřadu pro ochranu osobních údajů. Dále není radno podceňovat práva subjektů údajů, a to zejména právo na přístup k osobním údajům. Jestliže někdo podá žádost o informaci, zdali jsou jeho údaje zpracovávány, musí mu správce do jednoho měsíce od žádosti sdělit, zda jeho údaje zpracovává, a pokud je jeho odpověď kladná, musí poskytnout kopii osobních údajů a informace předepsané v článku 15 GDPR.

Vstup GDPR v účinnost je možné vzít jako příležitost provést ve firemních dokumentech a systémech generální úklid. Ten může zahrnovat inventuru uložených a zpracovávaných osobních údajů, jejich vytřídění a likvidaci již nepotřebných dokumentů s osobními údaji. Dále je vhodné překontrolovat zabezpečení kanceláří a počítačů, kde jsou údaje uloženy, což může zahrnovat například aktualizaci hesel či antivirového programu nebo výměnu zámků, pokud se od jejich poslední výměny již prostřídala spousta zaměstnanců.


Přihlásit