Co je GDPR? GDPR - Obecné nařízení o ochraně osobních údajů, anglicky General Data Protection Regulation (dále jen „GDPR“ nebo „Nařízení“), je nařízení Evropského parlamentu a Rady EU 2016/679 ze dne 27. dubna 2016, vstupující v účinnost od 25. května 2018. GDPR bylo vytvořeno jako nový právní rámec ochrany osobních údajů v EU pro 21. století, s cílem posílit práva občanů EU při zacházení s jejich osobními údaji a sjednotit pravidla ochrany osobních údajů napříč EU. GDPR zavádí větší kontrolu subjektů údajů nad svými daty a nakládání s nimi. GDPR se týká všech firem a institucí, ale i fyzických osob a online služeb, které zpracovávají osobní údaje uživatelů. GDPR zavádí astronomické pokuty za porušování nových, přísnějších pravidel a nařizuje větším zpracovatelům dat zřídit nezávislou kontrolní funkci DPO (Data Protection Officer, tj. Pověřenec ochrany osobních údajů, (dále jen „DPO“). Úkolem DPO bude dohlížet na řádné zacházení s osobními daty ve společnostech. Co nového přinese GDPR? Nařízením se bude muset řídit každý, kdo s osobními údaji při svém podnikání či činnosti pracuje a přinese rovnocennou vymahatelnost práva v celé EU a mnohem těsnější spolupráci dozorových orgánů. GDPR stanovuje spoustu nových pravidel, jejichž dodržování bude muset každý správce i zpracovatel osobních údajů doložit po celou dobu zpracování. GDPR dává subjektům údajů nová práva. Jedná se například o právo na informaci o svých právech, právo vznést námitku proti zpracování, či právo na přenositelnost osobních údajů od jednoho správce k druhému. Subjekt údajů by měl rovněž mít přístup k údajům, které jsou o něm shromažďovány. Naprostou novinkou je právo na výmaz a jeho rozšíření na právo být zapomenut. GDPR rozšiřuje definice osobních údajů. Nově tak budou osobním údajem i technické parametry jako e-mail, IP adresa nebo tzv. cookie v zařízení uživatele. Nově zaváděná oznamovací povinnost v případě narušení bezpečnosti údajů, dává zpracovateli 72 hodin, na splnění svojí povinnosti, ohlásit únik či ohrožení zabezpečení osobních dat dozorovému orgánu (ÚOOÚ). V některých případech bude muset také informovat osoby a subjekty, kterých se únik týkal. Nařízení je nově postavené na principu tzv. zodpovědnosti, který spočívá v povinnosti správců a zpracovatelů údajů, bez ohledu na jejich velikost nebo počet zaměstnanců, zavést technická, organizační a procesní opatření za účelem prokázání souladu s principy GDPR. Ty se budou týkat zejména těchto oblastí:
GDPR zavádí několikanásobně vyšší pokuty, než jsme byli doposud zvyklí. Jejich maximální výše je 20.000.000,- EUR nebo 4 % z celkového ročního obratu společnosti (vyšší z obou možností) a bude záviset na řadě faktorů, jako je např. povaha, závažnost a délka porušování, počet poškozených občanů a míra škody, kroky podniknuté správcem či zpracovatelem ke zmírnění škod, kategorie osobních údajů dotčené porušením a řada dalších. Je důležité zdůraznit, že maximální výše pokuty může být udělena jak menší společnosti s pěti zaměstnanci, tak velké nadnárodní korporaci, pokud neučiní kroky nezbytné k uvedení do souladu s principy a povinnostmi vyplývajícími z GDPR. Kromě udělení těchto správních pokut mohou být správci či zpracovatelé osobních údajů navíc vystaveni žalobám podaným fyzickými osobami s nárokem na náhradu škody v případě hmotné či nehmotné újmy. V neposlední řadě jsou společnosti vystaveny ztrátě důvěry a reputačním rizikům způsobeným nesprávným zacházením s osobními údaji. Koho se GDPR týká? Nařízení se týká všech fyzických i právnických osob, orgánů veřejné moci a institucí, které shromažďují nebo zpracovávají osobní údaje. Jedná se například o zpracovávání údajů o klientech, využívání osobních údajů pro marketingové účely, monitorování chování zákazníků, provozování kamerového systému nebo e-shopu. Jde o všechny organizace, které mají docházkový systém zaměstnanců, databázi zákazníků či uchazečů o zaměstnání, zálohují a archivují údaje, smlouvy nebo šifrují data. Charakteristická pro GDPR je jeho univerzální použitelnost ve všech státech Evropské unie (a Islandu, Norska a Lichtenštejnska) a tudíž má sjednocující účinek pro právní úpravu ochrany údajů. Velikost subjektu zde nehraje žádnou roli. |