Co je vlastně GDPR?

Obecné nařízení o ochraně osobních údajů (angl. General Data Protection Regulation neboli GDPR) je nová revoluční legislativa EU, která výrazně zvýší ochranu osobních dat občanů.

GDPR představuje nový právní rámec ochrany osobních údajů v evropském prostoru s cílem hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty a osobními údaji.

GDPR začne v celé EU platit jednotně od 25. května 2018. V Česku tak nahradí současnou právní úpravu ochrany osobních údajů v podobě směrnice 95/46/ES a související zákon č. 101/2000 Sb., o ochraně osobních údajů.

Koho se GDPR týká a kdo se jím musí řídit?

Toto nařízení míří na firmy, instituce i jednotlivce, kteří zacházejí s osobními údaji – zaměstnanců, zákazníků, klientů či dodavatelů, a to napříč segmenty a odvětvími. Nařízení zasáhne i ty, kteří sledují či analyzují chování uživatelů na webu, při používání aplikací nebo chytrých technologií. Cílem GDPR je chránit digitální práva občanů EU.

Správce – ten, kdo přímo zpracovává osobní údaje (realitní kancelář, realitní makléř, …..)

Zpracovatel – ten, kdo zpracovává osobní údaje pro správce (daňové a účetní kanceláře, advokáti,…)

Jaké to přinese změny?

Nařízení s sebou přinese rovnocennou vymahatelnost práva v celé EU, vysoké sankce a mnohem těsnější spolupráci dozorových orgánů. Dopadne totiž skutečně na každého, kdo s osobními údaji při svém podnikání či působení pracuje. Občané EU tak opět získají kontrolu nad svými osobními údaji.

GDPR zavádí celou řadu nových pravidel. Jejich platnost a dodržování bude muset každý správce i zpracovatel osobních údajů prokazatelně doložit po celou dobu zpracování. Přibude mu tím velká administrativní zátěž, bude muset například dokumentovat, že zpracovává pouze ta data, která jsou ke konkrétnímu účelu nezbytná.

Občan by měl mít přístup k údajům, které jsou o něm shromažďovány, a tento přístup by měl být ideálně přímý a online. Naprosto novým elementem je právo na výmaz a jeho rozšíření na právo být zapomenut, díky kterému může osoba požadovat, aby byly bez zbytečného odkladu vymazány její osobní údaje, pokud neexistuje právní důvod pro jejich další zpracování.

S GDPR dochází také k rozšíření definice osobních údajů. Nově sem spadají i technické parametry jako e-mail, IP adresa nebo tzv. cookie v zařízení uživatele. Nová je kategorie tzv. genetických a biometrických údajů, jejichž zpracování bude podléhat přísnějšímu režimu.

Co považuje GDPR za osobní údaje?

Mezi obecné osobní údaje řadíme jméno, pohlaví, věk a datum narození, osobní stav, ale také IP adresu a fotografický záznam. Vzhledem k tomu, že se GDPR vztahuje i na podnikající fyzické osoby, řadíme mezi osobní údaje i tzv. organizační údaje, kterými jsou například e-mailová adresa, telefonní číslo či různé identifikační údaje vydané státem.

Sankce

V případě porušení, nezavedení či nepřipravenosti na nové nařízení hrozí povinným subjektům vysoké pokuty, které mohou být v mnoha případech až likvidační.

GDPR po vzoru předpisů na ochranu hospodářské soutěže zavádí několikanásobně vyšší pokuty, než jsme byli doposud zvyklí. Jejich maximální výše je 20.000.000 eur nebo 4 % z celkového ročního obratu společnosti (vyšší z obou možností) a bude záviset na řadě faktorů, jako je např. povaha, závažnost a délka porušování, počet poškozených občanů a míra škody, kroky podniknuté správcem či zpracovatelem ke zmírnění škod, kategorie osobních údajů dotčené porušením a řada dalších.

 

ZÁKLADNÍ POJMY V KOSTCE

Zásady zpracování osobních údajů dle GDPR

• Zákonnost, korektnost, transparentnost
• Omezení účelu
• Minimalizace údajů
• Přesnost
• Omezení uložení
• Integrita a důvěrnost

Právní důvody zpracování osobních údajů

• Souhlas
• Splnění smlouvy
• Plnění právní povinnosti
• Ochrana životně důležitých zájmů subjektu
• Oprávněný zájem správce či třetí strany (princip proporcionality)

Práva subjektu údajů

• Právo být informován o zpracování jeho osobních údajů
• Právo přístupu ke svým údajům
• Právo na opravu nepřesnosti údajů
• Právo být zapomenut
• Právo zamezit zpracování
• Právo na přenositelnost údajů
• Právo na stížnost
• Právo související s automatizovaným rozhodováním a profilováním

Zabezpečení osobních údajů

• Přijmout s ohledem na povahu, rozsah a účely zpracování technické a organizační opatření, aby správce zajistil a byl schopen doložit, že zpracování je prováděno v souladu s GDPR
• Jedním z prvků zabezpečení je pseudonymizace a šifrování