Tiskovky.info servis pro novináře

Vytisknout

Tisková zpráva

Jak se připravit na revoluci v ochraně osobních údajů - nové GDPR nařízení

Již za pět měsíců začne platit v EU zásadní změna v ochraně osobních údajů. Za porušování nových pravidel přitom budou hrozit astronomické pokuty. Proto je lepší se připravit již nyní.

GDPR nařízení o ochraně osobních údajů, někdy chybně uváděno jako GDPR směrnice, bylo přijato v dubnu 2016 a účinné bude od 25. května 2018. Cílem jeho zavedení je chránit práva občanů EU proti neoprávněnému zacházení s jejich daty a osobními údaji. Na druhé straně ale vzhledem ke komplexnosti a hrozícím obrovským sankcím přináší velký objem práce všem subjektům zpracovávající větší množství osobních údajů. Určitou úlevu mají pouze malé organizace - části GDPR nařízení se totiž nevztahují na organizace s méně než 250 zaměstnanci v případě, že hlavní činností není zpracování citlivých údajů či velký rozsah zpracování.

Nařízení se vztahuje též na automatizované zpracování osobních údajů obsažených v evidenci nebo těch, co mají být do evidence zařazeny. GDPR zákon klade také zvláštní požadavky na vytváření profilů občanů EU, které umožní jejich ruční či automatické hodnocení (scoring). Zákonem chráněné osobní údaje jsou přitom libovolné neveřejné údaje, které lze přiřadit konkrétní osobě prostřednictvím jejího jména, bydliště, RČ, data narození nebo dokladových a elektronických identifikátorů (vč. například cookie či IP adresy).

Jak se připravit na GDPR nařízení?

Velké společnosti se již začaly na úpravy svých systémů většinou připravovat. Pokud se na daný subjekt GDPR vztahuje v plném rozsahu, musí zavést odpovídající kodex, pověřence, procesy a systémy – tuto odpovědnost přitom není možné delegovat na dodavatele služeb. Na druhou stranu je to ideální příležitost k celkovému vylepšení procesů, zvýšení bezpečnosti informačních systémů a automatizaci firmy. Ideální je také spojení tohoto procesu s řešením kybernetické bezpečnosti.

Kromě samotné ochrany musí firma vědět, kde všude jsou osobní údaje obsaženy a být schopna pracovat s osobními údaji jako celkem. Kromě jiného tak musí být schopna například zobrazit uživateli přehled všech osobních údajů, zpracovat jeho žádost o opravu či výmaz a mít také auditní stopu nakládání s osobními daty.

Ukládání správních pokut musí být účinné, přiměřené, ale zároveň odrazující. Podstatné tedy je, že nikoli za každé porušení nařízení GDPR musí být udělena pokuta. Správce může být dozorovým orgánem například nejprve upozorněn, že určité operace zpracování pravděpodobně porušují nařízení, nebo mu může být uděleno napomenutí.

Výše pokut u podniků je rozdělena do dvou skupin dle porušení, jakého se správce dopustil. Pokutu lze udělit buď do výše 10 milionů EUR (nebo až do 2% celkového ročního celosvětového obratu) nebo do výše 20 milionů EUR (nebo až do 4% celkového ročního celosvětového obratu). Rozdělení do dvou skupin odráží důležitost porušených povinností, kdy ve skupině s vyšší sazbou jsou povinnosti z GDPR zákona, u jejichž porušení je očekávána vyšší intenzita zásahu do práva na ochranu osobních údajů. Do nižší sazby spadá např. porušení ustanovení týkajících se záznamů o činnostech zpracování či posouzení vlivu na ochranu osobních údajů, zatímco do vyšší sazby jsou například zahrnuta porušení povinností upravujících zásady a zákonnost zpracování, podmínky souhlasu se zpracováním osobních údajů, podmínky zpracování zvláštních kategorií osobních údajů a práva subjektu údajů.




Tweet