GDPR bez paniky

Obsah dubnového dTestu

Aktuální číslo časopisu dTest 4/2024 Obsah dubnového dTestu

25. května 2018 nabylo účinnosti obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation, tedy GDPR). Chcete se dozvědět více o svých právech a povinnostech v souvislosti s GDPR, ať už z pohledu zákazníka či podnikatele? Nepropadejte panice a seznamte se s informacemi v našem seriálu o GDPR.

Zkratka GDPR patří k nejčastěji skloňovaným pojmům poslední doby. Ze všech informačních kanálů se valí informace o tom, že GDPR obsahuje spoustu nových povinností pro podnikatele a že uvedení chodu společnosti do souladu s nařízením je drahé a náročné. Nenechte se zmýlit. Řadu pravidel, která GDPR obsahuje, již naše právo dlouhou dobu zná a tato pravidla se běžně používají. Není tedy třeba mít obavy z toho, že přichází něco zcela nového, co naprosto mění dosavadní pojetí ochrany osobních údajů.

Máte-li dotaz týkající se problematiky GDPR či jakýkoli spotřebitelský problém, můžete se obrátit na naši bezplatnou poradnu na telefonním čísle 299 149 009. Je v provozu každý všední den od 9 do 17 hodin.

Jedním z hlavních důvodů pro přijetí nařízení bylo sjednocení úpravy ochrany osobních údajů v rámci celé Evropské unie. GDPR také zpřesňuje a zpřehledňuje některé principy, které nejsou v dosavadní úpravě zcela jasně stanoveny, což mnohdy způsobuje výkladové problémy.

„Velké novinky“ spojené s GDPR jsou nasměrované především na velké společnosti pracující s obrovskými soubory osobních údajů nebo na ty, jež s údaji obchodují. Pokud se jedná o běžné e-shopy, malé firmy poskytující služby například ve stavebnictví nebo o živnostníky, kteří mají maximálně několik provozoven, náročné povinnosti se jich nedotknou.

Spotřebitelům a dalším „subjektům údajů“, jak se v oblasti ochrany osobních údajů říká zákazníkům a jakýmkoli fyzickým osobám, přináší GDPR především tato práva: právo na přístup ke svým osobním údajům a poskytnutí jejich kopie, právo na opravu, doplnění, přenositelnost i vymazání svých osobních údajů.

Otázky a odpovědi

Jaké jsou hlavní výhody, které GDPR spotřebitelům přináší?

GDPR celkově posiluje oprávnění subjektů údajů (tj. zákazníků a obecně vzato všech fyzických osob, jejichž údaje jsou předmětem zpracování) ve vztahu k jejich osobním údajům. Řadu oprávnění má subjekt údajů již v současnosti, nicméně GDPR je přesněji vymezuje a rozšiřuje (např. právo na přístup k osobním údajům). Nově nám GDPR přináší právo podat námitku proti zpracování údajů, které se uplatní zejména vůči přímému marketingu.

GDPR je nařízením Evropské unie, což znamená, že je přímo aplikovatelné v celé Unii.Režim ochrany osobních údajů tak je ve všech členských státech totožný. To umožnilo také zavedení mechanismu pro přeshraniční spolupráci mezi dozorovými orgány v oblasti ochrany osobních údajů. Výrazně se také rozšířila možnost postihnout za porušení pravidel nadnárodně působící společnosti zpracovávající osobní údaje (např. Facebook, Google).

Potřebuje správce údajů souhlas spotřebitele k jakémukoli nakládání s jeho osobními údaji?

GDPR striktně rozlišuje zpracování údajů na základě souhlasu a na základě smlouvy. To znamená, že nutný rozsah údajů potřebný k plnění smlouvy smí správce zpracovat a nepotřebuje k tomu souhlas. Cokoliv navíc nebo využití údajů pro jiný účel, než je plnění uzavřené smlouvy, už podléhá souhlasu. Důležité je, že plnění smlouvy nesmí být podmíněno souhlasem s dalším zpracováním údajů. Například tedy není možné podmínit dodání zboží tím, že subjekt údajů odsouhlasí využití údajů k marketingovým účelům.

Pokud zákazník neudělí např. bance či mobilnímu operátorovi souhlas se zpracováním osobních údajů pro marketingové/obchodní účely, může to způsobit omezení jimi poskytovaných služeb?

Nikoli. Praxe, kdy řada poskytovatelů služeb žádá udělení souhlasu se „vším možným i nemožným“ a zákazníkům se snaží vsugerovat, že bez udělení souhlasu jim nebudou moci poskytovat služby, jednoznačně není v souladu s GDPR. Pro to, aby například operátor mohl poskytovat služby na základě smlouvy, souhlas nepotřebuje. Údaje k tomu potřebné může zpracovávat pouze na základě uzavřené smlouvy.

Souhlas je potřebný k dalšímu využití údajů pro marketingové/obchodní účely. GDPR však jasně vymezuje, že prohlášení o udělení souhlasu musí být odlišitelné od ostatních skutečností. Dále nesmí být spotřebitel neposkytnutím souhlasu znevýhodněn. Také platí, že souhlas musí být svobodný, tedy plnění smlouvy, včetně poskytnutí služby nesmí být podmíněno souhlasem se zpracováním osobních údajů, které nejsou pro plnění dané smlouvy nutné.

Co znamená zásada „minimalizace údajů“?

Podobně jako u současné úpravy ochrany osobních údajů, tak i u GDPR je jednou ze základních zásad tzv. minimalizace údajů. To znamená, že správce by měl o subjektu údajů shromažďovat jenom údaje nezbytně nutné vzhledem k účelu zpracování. Například dodavatel plynu, potřebuje pro účely plnění smlouvy základní identifikační a kontaktní údaje, identifikaci odběrného místa a číslo účtu. Požadavky na poskytnutí biometrických údajů či na zpracovávání geolokačních údajů jsou už značně přehnané.

Jaké výhody spotřebitelům přinese právo na přenositelnost údajů?

Pokud jsou údaje zpracovávány automatizovaně na základě souhlasu nebo smlouvy, mají zákazníci právo na získání svých údajů ve strukturovaném, běžně používaném a strojově čitelném formátu za účelem jejich předání jinému správci. Nově zavedené právo má především zjednodušit přechody mezi jednotlivými poskytovateli služeb (dodavateli energií, provozovateli online platforem, bankami, operátory atd.). Zákazníkovi nikdo nesmí bránit v tom vzít si své údaje a přenést je jinam. Je-li to technicky proveditelné, musejí si správci dokonce na žádost poskytnout údaje mezi sebou.

Jak má spotřebitel konkrétně uplatnit své právo na výmaz údajů?

Volba záleží v podstatě na něm. Odvolání souhlasu se zpracováním osobních údajů musí být stejně jednoduché jako jeho udělení. Obecně je GDPR vstřícné k elektronické formě komunikace, takže lze komunikovat e-mailem, ale je na místě si veškerou komunikaci uschovat. Pokud by se jednalo o protiprávní zpracování a správce by se neměl k tomu, aby údaje vymazal, přichází na řadu stížnost, kterou lze podat k Úřadu pro ochranu osobních údajů.

Kam se lze obrátit se stížností?

GDPR dává poměrně široké možnosti Úřadu pro ochranu osobních údajů (ÚOOÚ), který může za porušení pravidel ukládat různé formy sankcí až po vysoké pokuty. Lidé, jejichž údaje jsou zpracovávány v rozporu s nařízením, by se měli se svými stížnostmi obracet právě na ÚOOÚ, který by měl důraznými prostředky motivovat správce k tomu, aby zjednali nápravu. Postup a případně také elektronické formuláře lze nalézt na stránkách Úřadu – www.uoou.cz.

Jaké sankce hrozí firmám, když osobní údaje po žádosti spotřebitele nevymažou?

To vždy záleží na konkrétním případě. GDPR neříká, že za tento prohřešek se ukládá taková pokuta a za tento taková. Záleží na okolnostech daného případu – například povaze, závažnosti a délce trvání porušení GDPR, na tom, zda se správce dopustil nějakého jeho porušení už v minulosti nebo jak spolupracoval s dozorovým úřadem na nápravě situace. V případě porušení práv subjektů údajů, mezi která patří také právo na výmaz osobních údajů, hrozí pokuta až do výše 20.000.000 EUR nebo 4 % celkového celosvětového ročního obratu podle toho, co je vyšší. Za nepříliš závažný prohřešek však může Úřad pro ochranu osobních údajů uložit pouze napomenutí.

Jak GDPR ovlivní nakládání s osobními údaji, které jsou v databázích telemarketingových společností?

Číslo mobilního telefonu je osobním údajem. Data v databázích telemarketingových společností byla obvykle získána tak, že zákazníci e-shopů, uživatelé různých webů a dalších služeb zadali svá telefonní čísla a odsouhlasili podmínky zpracování osobních údajů, v nichž byl ukrytý souhlas s takovým využitím jejich mobilního čísla. Vzhledem k tomu, že souhlasy ukryté v obchodních podmínkách nesplňují kritéria GDPR, nelze údaje získané takovouto formou nadále využívat. Aby to bylo možné, musel by být souhlas udělen znovu podle podmínek, které požaduje GDPR.

Videa

GDPR bez paniky: 1. díl

Přinášíme vám první část našeho desetidílného seriálu zaměřeného na problematiku ochrany osobních údajů poté, co dne 25. května 2018 nabylo účinnosti evropské nařízení o ochraně osobních údajů známé pod zkratkou GDPR. Lukáš Zelený, vedoucí našeho právního oddělení, vám poradí vše potřebné, na co si dávat pozor.

GDPR bez paniky: 2. díl

Druhou část našeho desetidílného seriálu o GDPR věnujeme právu každého z nás na přístup ke svým osobním údajům. Jakéhokoliv podnikatele se totiž můžete zeptat, jestli zpracovává vaše osobní údaje. Jak na to, se dozvíte ve videu.

GDPR bez paniky: 3. díl

V dalším dílu našeho seriálu o GDPR se dozvíte, kdy a jak můžete požádat podnikatele, aby ve své databázi opravil či doplnil osobní údaje, které o vás zpracovává.

GDPR bez paniky: 4. díl

Čtvrtý díl našeho seriálu o GDPR vás seznámí s právem na vymazání osobních údajů, tedy s „právem být zapomenut“. Dozvíte se, co si pod tímto právem představit a na koho a kdy se můžete v této záležitosti obrátit.

GDPR bez paniky: 5. díl

V pátém dílu našeho seriálu o GDPR se dozvíte, že máte právo na přenositelnost osobních údajů od jednoho podnikatele k druhému. Popíšeme vám, jak tohoto práva využít, aby vám ušetřilo co nejvíce času.

GDPR bez paniky: 6. díl

Šestý díl našeho seriálu o GDPR se zaměřuje na právo vznést námitku proti zpracování osobních údajů. Dozvíte se, co to námitka je a kdy a vůči komu ji můžete vznést.

GDPR bez paniky: 7. díl

Další díl našeho seriálu o GDPR se zaměřuje na udílení souhlasu se zpracováním osobních údajů. A rovněž varuje před praxí některých bank, pojišťoven, operátorů či dodavatelů energií, kteří si pod pohrůžkou ukončení poskytovaných služeb vynucují udělení nového souhlasu se zpracováním osobních údajů.

GDPR bez paniky: 8. díl

Osmý díl našeho seriálu o GDPR se věnuje problematice udílení souhlasu se zpracováním osobních údajů, tentokrát ovšem nikoliv z pohledu zákazníků, nýbrž z pohledu obchodníků. Pokud provozujete například e-shop, dozvíte se, kdy potřebujete od zákazníka získat jeho souhlas ke zpracování osobních údajů, a kdy je můžete zpracovávat z jiného důvodu. Takovým důvodem může být třeba plnění smlouvy (například dodání zboží).

GDPR bez paniky: 9. díl

Další díl našeho seriálu o GDPR vás seznámí s tím, kdo je pověřenec pro ochranu osobních údajů. Vysvětlí vám, kdy je nutné pověřence jmenovat a kdo se jím může stát. I v tomto díle se tedy podíváme na problematiku ochrany osobních údajů z pohledu obchodníků. Ovšem nejen jich, nýbrž také státních úřadů, škol či dalších veřejných subjektů.

GDPR bez paniky: 10. díl

Poslední díl našeho seriálu o GDPR se věnuje záznamům o činnostech zpracování. Dozvíte se, kdo má povinnost záznamy vést a co vše musí obsahovat. Na problematiku ochrany osobních údajů se tedy díváme především z pohledu velkých podniků, třeba těch, které zaměstnávají více než 250 zaměstnanců.

Pro podnikatele

  • GDPR – evoluce, nikoliv revoluce

    Ochrana osobních údajů se v posledních měsících těší velkému zájmu. Důvodem je, že 25. května 2018 nabývá účinnosti obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation, tedy GDPR).

  • Víte, jak na GDPR nebo třeba reklamace? Podívejte se na naše kurzy.
  • GDPR a souhlas se zpracováním osobních údajů

    Asi nejčastěji omílaným pojmem v souvislosti s osobními údaji je souhlas s jejich zpracováním, což snadno vytvoří dojem, že jej správce potřebuje k jakémukoliv nakládání s údaji. Ve skutečnosti však jde pouze o jeden z důvodů, který umožňuje zpracovávat osobní údaje.

  • GDPR aneb Obecné nařízení o ochraně osobních údajů

    Pomalu se blíží účinnost nařízení Evropského parlamentu a Rady (EU) 2016/679, obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation, tedy GDPR).

Přihlásit