GDPR a vše, co byste o něm měli vědět

Obsahem tohoto článku jsou základní informace týkající se GDPR. Kdy vzejde v platnost, co nám přinese a co je potřeba před zavedením GDPR udělat.

Co vlastně GDPR znamená?

Jedná se o obecné nařízení o ochraně osobních údajů (angl. General Data Protection Regulation - proto tedy GDPR). 

Cílem nařízení je zvyšit ochranu osobních dat občanů v rámci každé země EU, tedy i ČR. GDPR se týká všech firem a institucí, ale i jednotlivců a online služeb, které zpracovávají data uživatelů. Zavádí jednotné principy ochrany proti zneužití osobních údajů a neoprávněnému zacházení s daty. V případě porušení pravidel a nařízení GDPR zavádí vysoké pokuty (až 4 % ročního obratu firmy nebo do 20 mil. EUR), které bude udělovat nezávislá kontrolní funkce DPO (Data Protection Officer, česky tzv. "Pověřenec pro ochranu osobních údajů").

Kdy začne platit?

Nová legislativa EU byla schválena 27. dubna 2016 a vstoupí v platnost 25. května 2018, tedy zhruba za 200 dní. Podnikatelé se budou muset 28. května 2018 přizpůsobit nové směrnici GDPR platné v celé EU.

Co GDPR přinese?

GDPR přináší především rovnocennou vymahatelnost práva v celé EU, stejné sankce a mnohem těsnější spolupráci dozorových orgánů. Každý správce i zpracovatel osobních údajů bude muset například dokumentovat, že zpracovává pouze data, která jsou ke konkrétnímu účelu nezbytná. Nové nařízení dává lidem, kterým údaje patří (subjekty údajů), nárok být o svých právech důkladně informováni. Budou moci například vznést námitku proti zpracování, kdy správce nebude moci jejich údaje dále zpracovávat, pokud k tomu nebude mít prokazatelné důvody.

Občané získají rovněž přístup k údajům, které jsou o nich shromažďovány. Zcela novým pravidlem je právo na výmaz a jeho rozšíření na právo být zapomenut. Díky tomu může osoba požadovat, aby byly bez zbytečného odkladu vymazány její osobní údaje, pokud neexistuje právní důvod pro jejich další zpracování. S novou legislativou dochází také k rozšíření definice osobních údajů. Nově sem spadají i technické parametry jako e-mail, IP adresa nebo tzv. cookie v zařízení uživatele. Úplně novou kategorií jsou genetické a biometrické údaje.

Co se týče úniku či ohrožení zabezpečení osobních dat, nově to bude muset zpracovatel ohlásit Úřadu pro ochranu osobních údajů a to nejpozději do 72 hodin od okamžiku, kdy se o incidentu dozvěděl. Více informací o osobním údaji naleznete pěkně graficky zpracované na stránkách evropské komise.

Co to bude znamenat pro vás?

Přípravu je nezbytné zahájit co nejdříve. Pokud se vy nebo vaše firma řídí zákonem č. 101/2000 Sb., máte pro implementaci GDPR slušný základ, který však budete muset rozšířit o nové povinnosti. Pomalinku byste si měli začít shromažďovat informace a o téma se zajímat, protože GDPR se netýká jen technického řešení e-shopu, ale kompletně všech procesů v organizaci, které mají co dočinění s osobními údaji. A hlavně, co si možná málokdo v souvislosti s GDPR uvědomuje, týká se pochopitelně nejen elektronických, ale i papírových dokumentů.

Co je potřeba před zavedením GDPR udělat?

Spolu se zavedením GDPR bude potřeba udělat několik technických, organizačních a procesních opatření:

• implementovat nezbytnou ochranu dat
• vypracovat posouzení vlivu na ochranu osobních údajů (Data Protection Impact Assessment)
• jmenovat osobu, která bude oficiálně pověřena ochranou osobních údajů (Data Protection Officer)
• zavést pseudonymizaci osobních údajů, kdy dojde ke skrytí identity člověka – následně o této osobě můžete sbírat další údaje i bez informace jeho totožnosti

Dále bude potřeba vést průběžnou dokumentaci o zpracovávání jednotlivých osobních dat a před jejich samotným zpracováním konzultovat své kroky s dozorovým orgánem.

Jak bude GDPR vypadat v praxi a jaké konkrétní změny nás čekají v souvislosti s online službami se dozvíte v dalším článku. Popíšeme v něm konkrétní dopady na fungování e-shopu a marketingu.

Zdroje:

https://www.gdpr.cz/
http://tyinternety.cz/digital/gdpr-novy-strasak-e-shopu/