Ochrana osobních údajů – GDPR nařízení

Zjednodušeně řečeno, GDPR je nový evropský zákon, který spojil dohromady osvědčená pravidla ochrany osobních údajů z různých států s hledisky kybernetické bezpečnosti, snadného elektronického sdílení a zároveň i ochrany práv lidí při robotizovaném zpracování. Stručné definice používaných pojmů jsou uvedeny zde.

Obecné nařízení GDPR požaduje jmenovat pověřence pro ochranu osobních údajů (anglicky Data Protection Officer nebo též zkráceně DPO) ve třech případech:

• pokud hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů, nebo
• pokud hlavní činnost spočívá v operacích zpracování, které vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů, nebo
• pokud zpracování provádí orgán veřejné moci či veřejný subjekt

Rozsáhlým zpracováním se rozumí například zpracování osobních údajů pro potřeby behaviorální reklamy, sledování polohy, věrnostní programy – více zde: povinné jmenování DPO.

Ne, žádná certifikace není ze zákona povinná. Jiná věc však je, zda ji nebudou vyžadovat obchodní partneři. Podle GDPR nařízení je každý subjekt, který předává třetí straně osobní údaje (jména, kontakty, objednávky) povinen zajistit, aby byly chráněny stejně (nebo lépe) než u něj. A právě GDPR certifikace daného zpracování (procesu) či používané aplikace (produktu) je zárukou splnění všech požadavků zákona. Méně prestižním klientům nebo při menším rozsahu zpracování může postačit předložení zprávy o provedení GDPR auditu. Více o oficiální certifikaci zde.

Lékař, stejně jako každý podnikatel, může údaje potřebné k naplnění smluvního vztahu ukládat bez samostatného souhlasu. Vzhledem k potřebě kontaktovat klienta/pacienta je uložení telefonu a emailu naprosto oprávněné, stejně jako pozvánka k preventivní kontrole. Pokud by ale lékař chtěl pacientům pravidelně zasílat obchodní nabídky, měl by od nich získat písemný souhlas se zpracováním – viz další otázka.

Zpracování kontaktů (osobních údajů) v jakémkoliv systému se napříč firmou řídí stejnými GDPR pravidly, upřesnění požadavků např. v auditu zdarma:
https://lepsi-reseni.cz/informacni-systemy/online-audit-gdpr-ano-ne/

Co se týká bezplatných cloudových služeb, pozor na situaci, kdy nemáte s provozovatelem vyhovující smlouvu o zpracování – a tedy ani žádné garance ohledně důvěrnosti, bezpečnosti a dostupnosti údajů. Pokud byste tam umístili osobní údaje, jednalo by se o porušení GDPR nařízení.

Nároky na udělení souhlasu se zvyšují – prvořadě musí být jednoznačný, nestačí „pokračování v používání webu“. Další změnou je povinnost přesně a jednoduchým jazykem popsat zamýšlené zpracování osobních údajů, jeho důsledky i možnosti jeho ukončení. Podrobný rozbor zde: souhlas dle GDPR.

Zjednodušeně řečeno, když se podle zásad GDPR nebudete řídit nebo se o to alespoň maximálně snažit. (A nebudete schopni tuto snahu zpětně průkazně doložit, ideálně externím GDPR auditem či akreditovaným osvědčením.) Trestní odpovědnost se týká právnické osoby i osobně členů jejího vedení.

Ano, s nadsázkou se dá říci, že kromě domácích adresářů a policie se GDPR týká všech. To ale neznamená, že všichni musí od základů měnit způsob zpracování osobních údajů či nakupovat nový software. V případě malého spolku nebo společenství vlastníků půjde spíše o úklid souborů a papírů – výsledná hromádka se přiměřeně ochrání (rozumným heslem, spolehlivou cloud službou, zamčeným šuplíkem) a popíše se. Následně si spolek od členů vyžádá souhlas s tímto zpracováním. Do souhlasu je nutné ještě uvést, na koho se mají členové obrátit, když budou chtít údaje upravit nebo odstranit.

Nařízení se nevztahuje na zpracování osobních údajů prováděné:

• fyzickou osobou v průběhu výlučně osobních či domácích činností;
• státními orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů; členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU; při výkonu činností, které nespadají do oblasti působnosti práva Unie.