GDPR (General Data Protection Regulation) je nařízení Evropské unie, které má zvýšit ochranu osobních údajů občanů EU. Vstoupilo v platnost 25.5.2018. GDPR představuje nový právní rámec ochrany osobních údajů v evropském prostoru s cílem hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty včetně osobních údajů. GDPR se týká všech firem a institucí, ale i jednotlivců a online služeb, které zpracovávají data uživatelů. GDPR zavedlo astronomické pokuty za porušování pravidel a nařizuje některým správcům nebo zpracovatelům osobních údajů zřídit nezávislou kontrolní funkci DPO (Data Protection Officer, tj. pověřenec pro ochranu osobních údajů).
Koho se povinnost splnit GDPR týká?
Povinnost splnit požadavky ochrany osobních dat dle směrnice GDPR se dotkne každého jednotlivce, podnikatele, firmy a organizace, které shromažďují, zpracovávají nebo uchovávají osobní údaje občanů některé ze zemí Evropské unie. Týká se tedy nejen evropských firem, ale také jakékoliv ne-evropské firmy nebo organizace, která na evropském trhu působí.
Vzhledem k tomu, že každá firma, která má alespoň jednoho zaměstnance, zpracovává osobní údaje, týká se tato povinnost prakticky všech podnikajících subjektů.
Jakých údajů se GDPR týká?
Týká se osobních údajů všech lidí, jejichž osobní údaje jsou u firmy vedeny
- osobní údaje zaměstnanců
- osobní údaje zákazníků
- osobní údaje dodavatelů
- osobní údaje dalších lidí
GDPR rozšiřuje obecný termín osobních údajů o další informace. Za osobní údaje tedy považuje:
- jméno a příjmení
- pohlaví
- věk a datum narození
- rodinný stav
- e-mailová adresa
- telefonní číslo
- státem vydané identifikační údaje (např. rodné číslo, číslo OP, číslo pasu atd. )
- IP adresa
- a další citlivé údaje, genetické a biometrické údaje (budeme průběžně upřesňovat)
Co znamená GDPR pro firmy a organizace?
Všechny firmy musely provést revizi svých procesů, postupů a používaných evidencí, aplikací či informačních systémů, ve kterých jsou vedeny osobní údaje. Firmy tedy musely zavést organizační, procesní a technická opatření tak, aby prokázaly soulad s požadavky GDPR. Firmy dále musí:
- doložit, že zpracovávají pouze data nezbytná ke konkrétnímu účelu
- prokazatelně doložit, jak nakládá s osobními údaji po celou dobu zpracování
- vést data bezpečným a prokazatelných způsobem a prokázat, kdo k nim má přístup
- v případě narušení bezpečnosti (jinými slovy v případě úniku osobních údajů) bude muset toto oznámit
Nařízení GDPR ale firmám neříká JAK to mají udělat, pouze říká, co mají splnit - jaké povinnosti mají naplnit. Neříká nic o tom pomocí jakých nástrojů, software, standardů mají GDPR naplnit. To je věcí firem a jejich rozhodnutí, jakým způsobem požadavky nařízení splní. Pokud organizace nemá vhodný informační systém, může to znamenat velkou administrativní zátěž. Organizacím od 250 zaměstnanců dává nařízení povinnost zřídit nezávislou pozici DPO (Data Protection Officer). Úkolem DPO je dohled nad dodržováním pravidel zacházení s osobními údaji.
V případě nedodržení povinností vyplývajících z nařízení zavádí GDPR vysoké pokuty, jejichž výše může dosáhnout až 4 % z celkového obratu společnosti nebo až 20 milionů EUR.
Co znamená GDPR pro lidi, pro každého z nás?
Základní práva každého občana Evropské unie jako zákazníka a/nebo jako zaměstnance by měla být díky nařízení posílena. Ať už firma sídlí v Evropské unii či kdekoli jinde na světě, pokud uchovává osobní data občanů Evropské údaje, nařízení GDPR se na ni vztahuje. Nová základní práva jsou:
- Právo na přístup k osobním údajům - každý občan EU (GDPR jej nazývá subjekt údajů) má právo vědět, jaké osobní údaje o něm firma (správce údajů) eviduje.
- Právo na přenositelnost údajů - osobní údaje si každý člověk může vzít s sebou, tedy například k novému zaměstnavateli
- Právo na výmaz osobních údajů - firma (správce) musí smazat veškeré osobní údaje, u nichž pominul důvod jejich uchovávání.
Po veškeré panice, která proběhla v roce 2018 a po všech známých nekalých a zastrašujících praktikách různých dodavatelů čehokoliv, je dobré vnímat GDPR jen jako součást nějakého procesu uchovávání dat, nejen v elektronické podobě. Z tohoto důvodu může např. trezorová skříň DELTA poskytnout vhodné místo pro uložení a správu osobních dat. Ve spojení s patentovanou technologii MySafe - online kontrola a ovládání elektronického zámku, může dotyčná firma anebo organizace za několik málo okamžiků vždy prokázat kdo, kdy, na jak dlouho mohl nakládat s daty konkrétní osoby. A vše zcela automaticky.
Je na každé firmě/organizaci, jak nakládání s osobními daty v rámci GDPR zabezpečí a jak je se jim dál bude věnovat. METALSAFE může pomoct s jedním řešením, určitě velmi bezpečným.