Co je GDPR nařízení?

S blížícím se datem 25. května 2018 je pojem GDPR stále ožehavějším tématem. Není se čemu divit, protože toto nařízení postihne poměrně velkou skupinu lidí, potažmo živnostníků, firem a společností. Pojďme se ale tomuto výrazu věnovat pěkně od začátku, abyste si udělali ucelenou představu o tom, co to GDPR vlastně je.

Pod zkratkou GDPR se skrývá anglický výraz General Data Protection Regular, což by se dalo přeložit jako obecné nařízení o ochraně osobních údajů. Pakliže bychom měli být opravdu důslední, prezentuje GDPR Nařízení Evropského parlamentu a Rady (EU) nesoucí číslo 2016/679. Toto nařízení bylo schváleno 26. dubna 2016 a jeho účinnost nastane právě 25. května 2018.

I když si značné množství podnikajících subjektů myslí, že začátky nebudou nijak ožehavé, opak může být pravdou. GPRD není radno v žádném případě podceňovat, protože sankce budou dosahovat maximálních hodnot až 20 000 000 EUR nebo 4 % ročního obratu.

Koho se GDPR týká?

Na počátku všeho je třeba zmínit, že GDPR postihne nejenom podnikatele v České republice, ale v podstatě celé Evropské unii. Jde ostatně o evropské nařízení, tudíž to z logiky věci vyplývá. Oblast pokrytí je poměrně široká a dalo by se říci, že do této skupiny patří všechny subjekty zpracovávající osobní data svých klientů nebo obchodních partnerů. Vedle společností lze jmenovat i velkou spoustu dalších institucí.

• Orgány veřejné moci
• Banky a finanční společnosti
• Nemocnice
• Pojišťovny
• Realitní makléři
• Telekomunikační firmy

Těch všech a mnohých jiných se dotkne GDPR, na které se musí řádně připravit.

Porovnání se zákonem č. 101/2000 Sb., o ochraně osobních údajů

Velká spousta čtenářů tohoto článku může namítnout, že doposud zde existoval zákon o ochraně osobních údajů, jehož bylo třeba také dodržovat. Ti, kdo se jím řídili jistě nebudou mít mnoho práce navíc. Firmy nerespektující tato pravidla to budou mít po zavedení GDPR 25. května 2018 o poznání těžší.

Abyste však měli reálnější představu o tom, jaké nové změny vás čekají v oblasti osobních údajů, rozepíšeme se trochu podrobněji.

Jestliže jste si mysleli, že za osobní údaj je považováno jméno, příjmení a rodné číslo, budete brzy překvapeni. Za osobní údaj se bude brát také IP adresa a jiné virtuální identifikátory. Pokud tedy něco takového budete po zákazníkovi nebo i pouhém návštěvníkovi portálu chtít, připravte si souhlas se zpracováním údajů, jež vám musí být potvrzen. S touto otázkou samozřejmě vyvstávají ji další témata.

• Možnost odvolání souhlasu
• Důraz kladený na odpovídající šifrování dat

Po zavedení GDPR budete muset vést záznamy o činnostech zpracování, nevyhne se vám bezodkladná ohlašovací povinnosti a maximální zabezpečení všech osobních údajů. Ano, pro mnohé se může zdát toho posunutí hranic ochrany osobních údajů opravdu dramatické. Je však pravdou, že do jisté míry se toto nařízení přizpůsobuje současné době. A to hlavně v nových právech klientů a povinnostech subjektů sbírajících tato citlivá data.

Novela zákona č. 101/2000 Sb., o ochraně osobních údajů bude regulovat pouze některé části této legislativy a vše ostatní už se v plném rozsahu bude řídit evropským nařízením GDPR.

Výjimky z nařízení GDPR

Pokud se ptáte, zda jsou nějaké možnosti, jak se vyhnout GDPR, tak pravděpodobně nulové. A to minimálně pro podnikající subjekty. GDPR se samozřejmě netýká fyzických osob, jež s takovými osobními daty nakládají pro svou vlastní potřebu.

Nové pojmy přicházející s GDPR

S GDPR bezpochyby přichází řada povinností. Pro některé půjde o absolutní novinky, pro jiné zase nikoliv. V každém případě z Nařízení Evropského parlamentu a Rady vychází tři nové pojmy, jejichž významu byste měli klást zvýšenou pozornost.

• Zpracovatel – Jak už naznačuje význam tohoto slova, jde o subjekt, který zpracovává osobní údaje, a to především pro správce osobních údajů.
• Správce osobních údajů – Jde o nadřazený subjekt nad zpracovatelem, jenž sbírá osobní data a rozhoduje o tom, jak s nimi bude nakládáno a jak se budou uchovávat.
• Subjekt údajů – Ten, jehož data zpracovatel a správce osobních údajů zpracovává.

Tato terminologie vám může ulehčit pochopení především odbornějších materiálů na téma GDPR.

Větší organizace musí počítat s pověřencem

Celá tématika GDPR souvisí také s jedním záhadným výrazem „pověřenec“, jehož význam vám nyní osvětlíme. Jde o odborně znalou osobu, kterou si najmete, aby vám monitorovala soulad se zpracováním osobních údajů, prováděla nejrůznější školení a vůbec řídila celé GDPR. Pověřence musí mít odlišné typy subjektů. Tak například…

• Veřejné orgány
• Firmy systematicky a opakovaně zpracovávající velké množství osobních dat klientů – nemocnice, telekomunikační společnosti a mnohé další

Připravte se náležitě na GDPR

Pakliže této tématice dvakrát neholdujete, najměte si na to vhodnou firmu zabývající se GDPR. V opačném případě věnujte dostatečný čas studiu jednotlivých paragrafů, jmenujte onoho zmiňovaného pověřence, začněte s tvorbou potřebných kodexů a systémových řešení. Prvopočátkem všeho se mimo jiné může stát například GDPR audit, který zanalyzuje váš dosavadní stav nakládání s osobními daty a na základě něhož vzniknou patřičná doporučení. I tak může vypadat cesta ke splnění povinnosti GDPR.

Naučte se pracovat s osobními daty dle blížícího se Nařízení Evropského parlamentu a Rady EU.

Obrázek převzat z webu www.freedigitalphotos.net (autor: renjith krishnan).