Ochrana osobních údajů - GDPR

nové nařízení EU

GDPR (General Data Protection Regulation) je nařízení Evropské unie, které vstoupí v účinnost 25. 5. 2018. Primárním cílem je zvýšit úroveň ochrany osobních údajů které firmy/společnosti mají/zpracovávají a výrazně tak posílit práva občanů Evropské unie.

Týká se i Vás ?

GDPR platí celosvětově pro všechny subjekty, které zpracovávají osobní údaje občanů EU, a zavádí celou řadu nových práv a povinností.
Zpracovatelé a správci osobních údajů musí zavést nové procesy a technologie, které budou v souladu s GDPR. Toto nařízení se dotkne všech oblastí podnikání: bankovnictví, pojišťovnictví retailového trhu a internetových obchodů, výroby a služeb, zdravotnictví nebo veřejné správy.
Tedy všech subjektů a oblastí činnosti, při kterých dochází ke zpracování osobních údajů.

Jaké oblasti je potřeba vyřešit ?

Produkty
Procesy
Informační systémy

Celý text nařízení v češtině najdete na Official Journal of the European Union

GDPR směrnice CZ

Někdy jsou české překlady trochu krokolomné. Pokud nevíte "co tím chtěl básník říci", můžete zkusit i anglickou verzi, protože to je text, ve kterém se dokumenty většinou vyjednávají.

GDPR směrnice original EN

Úřad pro ochranu osobních údajů zřídil k nařízení sekci na svých stránkách. Zatím nejzajímavější příspěvky jsou první výkladové materiály, které vydala evropská skupina WP29. Nejde sice o závazné předpisy, ale očekáváme, že i tak se jimi budou národní úřady řídit.

Hlavní zásady ochrany osobních údajů

"Dříve a nyní"

Žádný nebo "směšný postih" -případně dementování informací, mlžení, zatloukání, mlčení - to bezpečně fungovalo :-)

Bezpečnostní incidenty, ztráty dat atd. -v podstatě neexistují (co se doma upeče, to se také doma sní)

Od 25.5.2018 je možná pokuta ve výši až 20 milionů EUR nebo 4 % z celosvětového ročního obratu organizace ...

Data musí/budou:

• zpracovány způsobem, který zajistí dostatečné zabezpečení proti zneužití.

• chráněné vhodnými technickými nebo organizačními opatřeními (před neoprávněným či protiprávním zpracováním, před ztrátou, poškozením či zničením)

• Za dodržení ochrany dat a bezpečnost odpovídá správce, který musí být schopný doložit soulad

• Každý bezpečnostní incident se musí do 72h nahlásit = dokázat a prokázat, že nedošlo k úniku osobních údajů atd.

V případě že ano, musíte s touto skutečností seznámit i poškozené.

• Povinnost zajistit dostupnost osobních údajů a přístupu k nimv případě fyzických či technických incidentů.

(zálohování a obnova dat. -státní správa atd.)

Zajímavosti - mailing - pokuta

Úřad při udělení pokuty 4.250.000 Kč 16. května 2017 také zohlednil, že i přes zahájenou kontrolu společnost nadále nevyžádaná obchodní sdělení zasílala a ignorovala tak na upozornění Úřadu .

Úřad pro ochranu osobních údajů udělil společnosti EURYDIKAPOL, s. r. o. (dříve společnost JH HOLDING s. r. o.) rekordní pokutu ve výši 4.250.000 Kč za šíření nevyžádaných obchodních sdělení. "K této prozatím nejvyšší částce dospěl Úřad na základě zhodnocení podaných stížností, jichž obdržel okolo 700. Tato nevyžádaná obchodní sdělení byla zasílána opakovaně po dobu téměř jednoho roku," popsala předsedkyně ÚOOÚ Ivana Janů.

K celému případu je nutno konstatovat, že uvedená společnost neprokázala, že disponovala souhlasy ve smyslu § 7 odst. 2 zákona č. 480/2004 Sb., a tudíž zasílala nevyžádaná obchodní sdělení bez těchto souhlasů, čímž se dopustila správního deliktu dle § 11 odst. 1 písm. a) citovaného zákona, neboť adresáti nebyli ani jejími zákazníky."Při stanovení výše sankce Úřad zohlednil jak celkový počet přijatých stížností, tak počet unikátních adres, na které byla obchodní sdělení zaslána, tedy počty lidí, kteří byli zasaženi takovým protiprávním jednáním," upřesnila Janů.