Co odhalilo GDPR?

Co odhalilo GDPR?

Že Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále také jen “GDPR”) vstoupilo v účinnost dne 25.5.2018, není již žádnou novinkou. Málokdo však ví, jaké změny po tomto datu v praxi skutečně nastaly, jakých prohřešků a nepřesností se správci osobních údajů dopouštěly a nadále někteří dopouští.

Advokátní kancelář Pečený, Fučík, Langer, ve které působím, se GDPR a ochraně osobních údajů věnuje již mnoho let. Ráda bych se s Vámi podělila o praktické postřehy, které jsem měla možnost získat během podrobných a hloubkových analýz procesů ochrany osobních údajů u našich jednotlivých klientů, kteří působí v různých oblastech, a to například v oblasti kultury, školství, poskytování různých služeb, reklamy a marketingu, či v oblasti gastronomie. Otázek a otazníků je stále mnoho, ale odpovědí je čím dál více. Například…

Klienti se nás často dotazují, jak správně formulovat souhlas se zpracováním osobních údajů. My si klademe za cíl najít klientovi jiný právní titul, na základě kterého může osobní údaje zpracovávat. Jelikož jedno z níže zmíněného „desatera“ je právo každého udělený souhlas kdykoliv (bezplatně a jednoduchou formou) odvolat, což v praxi přinese velkou (nejen) administrativní zátěž každého, kdo osobní údaje zpracovává.

Zásadním a velmi častým pochybením byla absence vnitřních dokumentů a směrnic. Často neexistoval žádný manuál, který by jednotlivých zaměstnancům či jiným osobám, kteří se při své práci dostanou do styku s osobními údaji fyzických osob, říkal, jak se mají k osobním údajům chovat, aby nedošlo k jejich neoprávněnému nakládání, zneužití či ztrátě. Věděli byste, jak dlouho můžete které dokumenty uchovávat do doby, než jste povinni je archivovat nebo scartovat? Jak správně a bezpečně ochránit osobní údaje na svém pracovním stole, ve svém služebním telefonu a notebooku? Setkali jsme se s tím, že některá pravidla byla dodržována zvykově, nicméně nebyla ukotvena v žádném dokumentu. Jako advokáti se snažíme předvídat a hledět o několik kroků napřed, a tedy jednoznačně doporučujeme tyto zvyky přenést do písemné formy, a to z důvodu případného budoucího důkazního břemena v rámci soudních sporů.

Osobám, jejichž osobní údaje jsou zpracovávány, se často nedostávala kvalifikovaná informace o rozsahu a účelu zpracovávaných osobních údajích, která by navíc zahrnovala všechna povinná poučení a výčet práv jednotlivce. Nutno si uvědomit, že tato informace nesměřuje pouze vně společnosti vůči zákazníkům, klientům, ale i dovnitř společnosti, a to vůči každému zaměstnanci. Dokážete (jako zaměstnanec, zaměstnavatel, zákazník v restauraci, klient realitní kanceláře, student vysoké školy či pacient lékařského zařízení) toto „desatero“ vyjmenovat? Víte, co jako správce osobních údajů musíte a co naopak jako subjekt údajů můžete?

Závěrem lze pouze zopakovat, že otázek je opravdu mnoho a již zmíněná podrobná konkrétní analýza připravena na míru každého klienta může přinést ty jediné správné odpovědi a nastavit veškeré mechanismy tak, aby vyhovovaly požadavkům, které na nás Evropská unie klade.