Co je GDPR?Nový evropský zákon o ochraně osobních údajů a zabezpečení údajů obsahuje nové požadavky na stovky stránek pro organizace po celém světě.Tento přehled GDPR vám pomůže porozumět zákonu a určit, které jeho části se na vás vztahují. Obecné nařízení o ochraně osobních údajů (GDPR) je nejpřísnější zákon na ochranu soukromí a bezpečnosti na světě.Ačkoli byl navržen a schválen Evropskou unií (EU), ukládá organizacím povinnosti kdekoli, pokud se zaměřují na údaje týkající se lidí v EU nebo je shromažďují.Nařízení vstoupilo v platnost 25. května 2018. GDPR bude udělovat tvrdé pokuty těm, kdo poruší jeho standardy ochrany soukromí a bezpečnosti, se sankcemi sahajícími do desítek milionů eur.
S GDPR dává Evropa najevo svůj pevný postoj k ochraně soukromí a bezpečnosti dat v době, kdy stále více lidí svěřuje svá osobní data cloudovým službám a narušení je na denním pořádku.Samotné nařízení je rozsáhlé, dalekosáhlé a poměrně nenáročné na specifika, takže dodržování GDPR je skličující vyhlídkou, zejména pro malé a střední podniky (MSP).
Tuto webovou stránku jsme vytvořili, abychom vlastníkům a manažerům malých a středních podniků sloužili jako zdroj pro řešení konkrétních problémů, kterým mohou čelit.I když to nenahrazuje právní poradenství, může vám pomoci pochopit, kam zaměřit své úsilí o dodržování GDPR.Nabízíme také tipy na nástroje ochrany osobních údajů a na zmírnění rizik.Vzhledem k tomu, že GDPR je nadále vykládáno, budeme vás průběžně informovat o vyvíjejících se osvědčených postupech.
Pokud jste našli tuto stránku — 'co je GDPR?' — pravděpodobně hledáte rychlokurz.Možná jste ještě ani nenašli samotný dokument (tip: zde je celé nařízení).Možná nemáte čas to číst celé.Tato stránka je pro vás.V tomto článku se snažíme demystifikovat GDPR a doufáme, že je pro malé a střední podniky, které se zajímají o soulad s GDPR, méně zatěžující.
Historie GDPR Právo na soukromí je součástí Evropské úmluvy o lidských právech z roku 1950, která říká: „Každý má právo na respektování svého soukromého a rodinného života, svého domova a své korespondence.“ Na tomto základě se Evropská unie snažila zajistit ochranu tohoto práva prostřednictvím právních předpisů.
Jak technologie pokročila a byl vynalezen internet, EU uznala potřebu moderní ochrany.V roce 1995 tedy schválila evropskou směrnici o ochraně údajů, která stanoví minimální standardy ochrany osobních údajů a zabezpečení, na nichž každý členský stát založil svůj vlastní prováděcí zákon.Ale už se internet proměňoval v data, kterými je Hoover dnes.V roce 1994 se na internetu objevila první bannerová reklama.V roce 2000 většina finančních institucí nabízela online bankovnictví.V roce 2006 se Facebook otevřel veřejnosti.V roce 2011 uživatel Googlu zažaloval společnost za skenování jejích e-mailů.Dva měsíce poté evropský úřad pro ochranu údajů prohlásil, že EU potřebuje „komplexní přístup k ochraně osobních údajů“ a začaly práce na aktualizaci směrnice z roku 1995.
GDPR vstoupilo v platnost v roce 2016 poté, co prošlo Evropským parlamentem, a od 25. května 2018 musely být všechny organizace v souladu.
Rozsah, sankce a klíčové definice Za prvé, pokud zpracováváte osobní údaje občanů nebo rezidentů EU nebo těmto lidem nabízíte zboží či služby, pak se vás GDPR vztahuje, i když nejste v EU.Více o tom mluvíme v jiném článku.
Za druhé, pokuty za porušení GDPR jsou velmi vysoké.Existují dvě úrovně sankcí, které dosahují maximální výše 20 milionů EUR nebo 4 % celkových příjmů (podle toho, co je vyšší), plus subjekty údajů mají právo požadovat náhradu škody.Více se také bavíme o pokutách podle GDPR.
GDPR obsáhle definuje řadu právních pojmů.Níže jsou uvedeny některé z nejdůležitějších, na které odkazujeme v tomto článku:
Osobní údaje — Osobní údaje jsou jakékoli informace, které se týkají jednotlivce, kterého lze přímo nebo nepřímo identifikovat.Jména a e-mailové adresy jsou samozřejmě osobní údaje.Osobními údaji mohou být také informace o poloze, etnický původ, pohlaví, biometrické údaje, náboženské přesvědčení, webové soubory cookie a politické názory.Pseudonymní data mohou také spadat pod definici, pokud je relativně snadné z nich někoho identifikovat.
Zpracování dat — Jakákoli akce prováděná s daty, ať už automatizovaná nebo manuální.Příklady citované v textu zahrnují shromažďování, nahrávání, organizování, strukturování, ukládání, používání, mazání… takže v podstatě cokoli.
Subjekt údajů — Osoba, jejíž údaje jsou zpracovávány.To jsou vaši zákazníci nebo návštěvníci webu.
Správce údajů – Osoba, která rozhoduje o tom, proč a jak budou osobní údaje zpracovávány.Pokud jste vlastníkem nebo zaměstnancem ve vaší organizaci, který zpracovává data, jste to vy.
Zpracovatel údajů — Třetí strana, která zpracovává osobní údaje jménem správce údajů.GDPR má pro tyto jednotlivce a organizace zvláštní pravidla.Mohou zahrnovat cloudové servery jako Tresorit nebo poskytovatele e-mailových služeb, jako je Proton Mail.
Co říká GDPR o… Ve zbytku tohoto článku si stručně vysvětlíme všechny klíčové regulační body GDPR.
Zásady ochrany dat Pokud zpracováváte údaje, musíte tak učinit podle sedmi zásad ochrany a odpovědnosti uvedených v článku 5.1-2:
Zákonnost, spravedlnost a transparentnost – Zpracování musí být zákonné, spravedlivé a transparentní pro subjekt údajů.
Omezení účelu – Údaje musíte zpracovávat pro legitimní účely výslovně uvedené subjektu údajů, když jste je shromáždili.
Minimalizace dat – Měli byste shromažďovat a zpracovávat pouze tolik dat, kolik je nezbytně nutné pro uvedené účely.
Přesnost – Osobní údaje musíte udržovat přesné a aktuální.
Omezení úložiště – Osobní identifikační údaje můžete uchovávat pouze po dobu nezbytně nutnou pro daný účel.
Integrita a důvěrnost — Zpracování musí být provedeno takovým způsobem, aby byla zajištěna náležitá bezpečnost, integrita a důvěrnost (např. pomocí šifrování).
Odpovědnost – Správce údajů je odpovědný za to, že je schopen prokázat soulad GDPR se všemi těmito zásadami.
Odpovědnost
GDPR říká, že správci údajů musí být schopni prokázat, že jsou v souladu s GDPR.A to není něco, co můžete udělat poté: Pokud si myslíte, že jste v souladu s GDPR, ale nemůžete ukázat jak, pak nejste v souladu s GDPR.Mezi způsoby, jak to můžete udělat:
Určete odpovědnosti za ochranu dat svému týmu.
Udržujte podrobnou dokumentaci o datech, která shromažďujete, jak jsou používána, kde jsou uložena, který zaměstnanec je za ně zodpovědný atd.
Vyškolte své zaměstnance a zaveďte technická a organizační bezpečnostní opatření.
Mějte uzavřené smlouvy o zpracování údajů s třetími stranami, se kterými se zavazujete zpracovávat údaje pro vás.
Jmenujte pověřence pro ochranu osobních údajů (ačkoli ne všechny organizace ho potřebují – více o tom v tomto článku).
Bezpečnost dat
Jste povinni zacházet s daty bezpečně zavedením 'příslušných technických a organizačních opatření'.
Technická opatření znamenají cokoli od požadavku, aby vaši zaměstnanci používali dvoufaktorové ověřování na účtech, kde jsou uložena osobní data, až po smlouvy s poskytovateli cloudu, kteří používají šifrování typu end-to-end.
Organizační opatření jsou věci jako školení zaměstnanců, přidání zásad ochrany osobních údajů do vaší příručky pro zaměstnance nebo omezení přístupu k osobním údajům pouze těm zaměstnancům ve vaší organizaci, kteří to potřebují.
Pokud dojde k porušení zabezpečení údajů, máte 72 hodin na to, abyste to subjektům údajů oznámili, nebo jim hrozí sankce.(Tento požadavek na oznámení může být zrušen, pokud použijete technologická ochranná opatření, jako je šifrování, aby byla data pro útočníka k ničemu.)
Ochrana dat podle návrhu a ve výchozím nastavení
Od nynějška musí vše, co ve vaší organizaci děláte, 'podle návrhu a ve výchozím nastavení' zohledňovat ochranu dat.Prakticky to znamená, že při návrhu jakéhokoli nového produktu nebo činnosti musíte vzít v úvahu zásady ochrany údajů.GDPR tuto zásadu pokrývá v článku 25.
Předpokládejme například, že spouštíte novou aplikaci pro vaši společnost.Musíte se zamyslet nad tím, jaké osobní údaje by aplikace mohla případně shromažďovat od uživatelů, poté zvážit způsoby, jak minimalizovat množství dat a jak je zajistíte pomocí nejnovějších technologií.
Když smíte zpracovávat data
Článek 6 uvádí případy, kdy je legální zpracovávat osobní údaje.Ani nepřemýšlejte o tom, že se dotknete něčích osobních údajů – neshromažďujte je, neuchovávejte je, neprodávejte je inzerentům – pokud to nemůžete odůvodnit jedním z následujících:
Subjekt údajů vám udělil konkrétní, jednoznačný souhlas se zpracováním údajů.(Např. se přihlásili do vašeho seznamu marketingových e-mailů.)
Zpracování je nezbytné pro uzavření nebo přípravu k uzavření smlouvy, jejíž smluvní stranou je subjekt údajů.(Např. Před pronájmem nemovitosti potenciálnímu nájemci musíte provést kontrolu serióznosti.)
Musíte jej zpracovat, abyste splnili svou zákonnou povinnost.(např. obdržíte příkaz od soudu ve vaší jurisdikci.)
Potřebujete zpracovat data, abyste zachránili něčí život.(Např. No, pravděpodobně budete vědět, kdy toto platí.)
Zpracování je nezbytné k plnění úkolu ve veřejném zájmu nebo k výkonu nějaké úřední funkce.(Např. Jste soukromá společnost pro svoz odpadu.)
Máte oprávněný zájem zpracovávat něčí osobní údaje.Jedná se o nejflexibilnější právní základ, ačkoli 'základní práva a svobody subjektu údajů' vždy převažují nad vašimi zájmy, zejména pokud se jedná o údaje dítěte.(Je těžké zde uvést příklad, protože existuje celá řada faktorů, které budete muset ve svém případě zvážit. Kancelář britského komisaře pro informace zde poskytuje užitečné rady.)
Jakmile určíte zákonný základ pro zpracování vašich údajů, musíte tento základ zdokumentovat a upozornit subjekt údajů (transparentnost!).A pokud se později rozhodnete své odůvodnění změnit, musíte mít dobrý důvod, tento důvod doložit a oznámit to subjektu údajů.
Souhlas
Existují přísná nová pravidla o tom, co představuje souhlas subjektu údajů se zpracováním jeho informací.
Souhlas musí být 'svobodně daný, konkrétní, informovaný a jednoznačný.'
Žádosti o souhlas musí být 'jasně odlišitelné od ostatních záležitostí' a předloženy 'jasným a srozumitelným jazykem.'
Subjekty údajů mohou odvolat dříve udělený souhlas, kdykoli chtějí, a vy musíte jejich rozhodnutí respektovat.Nemůžete jednoduše změnit právní základ zpracování na jedno z dalších odůvodnění.
Děti do 13 let mohou dát souhlas pouze se souhlasem rodičů.
Musíte si uchovat listinné důkazy o souhlasu.
Pověřenci pro ochranu osobních údajů
Na rozdíl od všeobecného přesvědčení nemusí každý správce údajů nebo zpracovatel jmenovat pověřence pro ochranu osobních údajů (DPO).Existují tři podmínky, za kterých jste povinni jmenovat DPO:
Jste orgán veřejné moci jiný než soud jednající v soudní pravomoci.
Vaše hlavní činnosti vyžadují, abyste systematicky a pravidelně sledovali lidi ve velkém měřítku.(např. Jste Google.)
Vaší hlavní činností je rozsáhlé zpracování zvláštních kategorií údajů uvedených v článku 9 GDPR nebo údajů týkajících se odsouzení za trestné činy a trestných činů uvedených v článku 10. (např. Jste lékařská ordinace.)
Můžete se také rozhodnout, že určíte DPO, i když to od vás není požadováno.Mít někoho v této roli má své výhody.Mezi jejich základní úkoly patří porozumění GDPR a tomu, jak se vztahuje na organizaci, radit lidem v organizaci o jejich povinnostech, provádět školení o ochraně dat, provádět audity a sledovat soulad s GDPR a sloužit jako prostředník s regulačními orgány.
O roli DPO jdeme do hloubky v jiném článku.
Práva na soukromí lidí
Jste správcem údajů a/nebo zpracovatelem údajů.Ale jako člověk, který používá internet, jste také subjektem údajů.GDPR uznává řadu nových práv na ochranu soukromí pro subjekty údajů, jejichž cílem je poskytnout jednotlivcům větší kontrolu nad údaji, které půjčují organizacím.Jako organizace je důležité porozumět těmto právům, abyste zajistili, že budete v souladu s GDPR.
Níže je uveden přehled práv na ochranu osobních údajů subjektů údajů:
Právo být informován
Právo přístupu
Právo na opravu
Právo na výmaz
Právo na omezení zpracování
Právo na přenositelnost údajů
Právo vznést námitku
Práva v souvislosti s automatizovaným rozhodováním a profilováním.
Závěr
Právě jsme probrali všechny hlavní body GDPR v něco málo přes 2000 slov.Samotné nařízení (bez doprovodných směrnic) má 88 stran.Pokud se vás GDPR týká, důrazně doporučujeme, aby si jej přečetl někdo z vaší organizace a abyste se ujistili, že jste v souladu s GDPR, abyste se poradili s právníkem.
