GDPR (General Data Protection Regulation)

GDPR (General Data Protection Regulation) je nařízení Evropské unie, které má zvýšit ochranu osobních údajů občanů EU. Je platné a povinné pro všechny firmy a organizace, které shromažďují, zpracovávají nebo uchovávají osobní údaje Evropanů. Vstoupí v účinnost 25.5.2018. Cílem GDPR je chránit osobní data občanů zemí EU.

Koho se povinnost splnit GDPR týká?

Povinnost splnit požadavky ochrany osobních dat dle směrnice GDPR se dotkne každého jednotlivce, podnikatele, firmy a organizace, které shromažďují, zpracovávají nebo uchovávají osobní údaje občanů některé ze zemí Evropské unie. Týká se tedy nejen evropských firem, ale také jakékoliv ne-evropské firmy nebo organizace, která na evropském trhu působí.

Vzhledem k tomu, že každá firma, která má alespoň jednoho zaměstnance, zpracovává osobní údaje, týká se tato povinnost prakticky všech podnikajících subjektů.

Jakých údajů se GDPR týká?

Týká se osobních údajů všech lidí, jejichž osobní údaje jsou u firmy vedeny

• osobní údaje zaměstnanců
• osobní údaje zákazníků
• osobní údaje dodavatelů
• osobní údaje dalších lidí

GDPR rozšiřuje obecný termín osobních údajů o další informace. Za osobní údaje tedy považuje:

• jméno a příjmení
• pohlaví
• věk a datum narození
• rodinný stav
• e-mailová adresa
• telefonní číslo
• státem vydané identifikační údaje (např. rodné číslo, číslo OP, číslo pasu atd. )
• IP adresa
• a další citlivé údaje, genetické a biometrické údaje (budeme průběžně upřesňovat)

Co znamená GDPR pro firmy a organizace?

Do 25.5.2018 musí všechny firmy provést revizi svých procesů, postupů a používaných evidencí, aplikací či informačních systémů, ve kterých jsou vedeny osobní údaje. Firmy tedy musí zavést organizační, procesní a technická opatření tak, aby prokázaly soulad s požadavky GDPR. Firmy dále budou muset:

• doložit, že zpracovávají pouze data nezbytná ke konkrétnímu účelu
• prokazatelně doložit, jak nakládá s osobními údaji po celou dobu zpracování
• vést data bezpečným a prokazatelných způsobem a prokázat, kdo k nim má přístup
• v případě narušení bezpečnosti (jinými slovy v případě úniku osobních údajů) bude muset toto oznámit

Nařízení GDPR ale firmám neříká JAK to mají udělat, pouze říká, co mají splnit - jaké povinnosti mají naplnit. Neříká nic o tom pomocí jakých nástrojů, software, standardů mají GDPR naplnit. To je věcí firem a jejich rozhodnutí, jakým způsobem požadavky nařízení splní. Pokud organizace nemá vhodný informační systém, bude to znamenat velkou administrativní zátěž. Organizacím od 250 zaměstnanců dává nařízení povinnost zřídit nezávislou pozici DPO (Data Protection Officer). Úkolem DPO je dohled nad dodržováním pravidel zacházení s osobními údaji.

V případě nedodržení povinností vyplývajících z nařízení zavádí GDPR vysoké pokuty, jejichž výše může dosáhnout až 4 % z celkového obratu společnosti nebo až 20 milionů EUR.

Co znamená GDPR pro lidi, pro každého z nás?

Základní práva každého občana Evropské unie jako zákazníka a/nebo jako zaměstnance budou díky nařízení posílena. Ať už firma sídlí v Evropské unii či kdekoli jinde na světě, pokud uchovává osobní data občanů Evropské údaje, nařízení GDPR se na ni vztahuje. Nová základní práva jsou:

• Právo na přístup k osobním údajům - každý občan EU (GDPR jej nazývá subjekt údajů) má právo vědět, jaké osobní údaje o něm firma (správce údajů) eviduje.
• Právo na přenositelnost údajů - osobní údaje si každý člověk může vzít s sebou, tedy například k novému zaměstnavateli
• Právo na výmaz osobních údajů - firma (správce) musí smazat veškeré osobní údaje, u nichž pominul důvod jejich uchovávání