GDPR: Ochrana osobných údajov – zmeny od mája 2018

Ochrana osobných údajov je v podnikaní často skloňovanou témou. Zákon o ochrane osobných údajov sa bude pravdepodobne meniť od 25. mája 2018 vzhľadom na nové bezpečnostné požiadavky a povinnosti týkajúce sa ochrany osobných údajov. Vtedy totiž vstúpi do platnosti GDPR Nariadenie EÚ o ochrane fyzických osôb a ich osobných údajov. Skratka GDPR znamená General Data Protection Regulation. Prinášame Vám informácie o tom, aké zmeny nastanú.

Výkonný manažment dotknutých firiem by nemal čakať na zmenu slovenského zákona na ochranu osobných údajov. Na prípravu svojich zamestnancov, procesov a technológií by mal myslieť v predstihu. Zavedenie nariadenia je pre každú organizáciu iné. Obsahuje tiež niektoré spoločné prvky. Príprava uplatnenia nových povinností môže trvať mesiace, ale môžu to byť aj roky.

Koho sa zmeny týkajú

Dotknú sa všetkých firiem a organizácií, ktoré pôsobia v únii a pracujú s osobnými údajmi.

Teda, ak
– spracúvate údaje o klientoch
– máte zamestnancov
– máte prístupový systém
– máte kamerový systém
– máte e-shop
– využívate dáta na marketingové účely.

V prémiovej časti obsahu nájdete:

• Čo zmeny ovplyvnia
• Prehľad hlavných zmien
• Právo byť zabudnutý
• Vyjadrenie súhlasu
• Povinnosť upovedomiť dohľad
• Právo previesť osobné údaje
• Právo na informácie v zrozumiteľnom a jednoduchom jazyku
• Obmedzenie profilovania
• Špeciálna ochrana pre deti
• Súkromie ako štandard
• Vplyv na podniky
• Správca ochrany
• Vynútenie dodržiavania nových pravidiel
• Policajné a súdne účely
• Odporúčania pre firmy a organizácie

Čo zmeny ovplyvnia

– Ľudské zdroje
– Procesy
– Technológie
– Dáta

Prehľad hlavných zmien

Právo byť zabudnutý

Znamená, že každý môže žiadať vymazanie svojich osobných údajov pokiaľ nechce, aby boli ďalej spracúvané. A neexistuje ani zákonný dôvod na ich uchovanie.

Príklad:

Ak osoba požiada internetovú spoločnosť o výmaz svojich osobných údajov, spoločnosť by mala posunúť požiadavku akýmkoľvek ďalším firmám, ktorým boli údaje poskytnuté.

Ak osoba zmaže svoj účet na stránke www.facebook.com a zároveň uplatní svoje právo byť zabudnutý, Facebook, Inc. by mal posunúť túto požiadavku akýmkoľvek ďalším spoločnostiam. A to tým, ktorým osobné údaje tejto osoby odovzdal.

Môžu nimi byť rôzne reklamné a marketingové agentúry. Tie totiž môžu osobné údaje osoby ako vek, pohlavie, dátum narodenia, bydlisko, sexuálnu orientáciu, ale aj rôzne osobné preferencie a mnoho ďalších údajov, využívať na cielenú reklamu.

Vyjadrenie súhlasu

Dotknutá osoba bude musieť udeliť jasný a kladný súhlas so spracúvaním svojich údajov. Teda, súhlas bude musieť vyjadriť aktívnym konaním.

Príklad:

Pri zadávaní svojich osobných údajov na stránke e-shopu bude musieť osoba zaškrtnúť pole, kliknúť na tlačidlo, alebo inak jasne vyjadriť svoj súhlas so spracovaním.

Mlčanie, preškrtnuté polia alebo nekonanie nebude zakladať súhlas so spracúvaním osobných údajov. V budúcnosti by zároveň malo byť rovnako jednoduché vziať súhlas späť.

Povinnosť upovedomiť dohľad

Podniky budú musieť upovedomiť národné orgány dohľadu o vážnych narušeniach bezpečnosti ich počítačových systémov. V minulosti bolo zaznamenaných viacero takýchto útokov. Ich následkom bolo zverejnenie obrovského množstva citlivých údajov z účtov používateľov. Ako adresy, e-maily, čísla kreditných kariet vrátane bezpečnostného CVV kódu, rodné čísla či heslá.

Cieľom je včas upozorniť používateľov, aby mohli podniknúť potrebné kroky. Napríklad zablokovať kreditnú kartu.

Právo previesť osobné údaje

Účelom je zjednodušenie prenosu medzi jednotlivými poskytovateľmi služieb.

Príklad:

Uľahčenie prechodu k inému poskytovateľovi e-mailu bez straty kontaktov a predchádzajúcich e-mailov. Cieľom je nielen zjednodušiť kontrolu osôb nad svojimi údajmi, ale aj podnietiť konkurenciu poskytovateľov služieb.

Právo na informácie v zrozumiteľnom a jednoduchom jazyku

Zamedzenie uvádzania pravidiel ochrany osobných údajov malými, nečitateľnými písmenami. Informácie musia byť odovzdané jasne a zrozumiteľne predtým, ako dotknutá osoba udelí súhlas so spracovaním.

Obmedzenie profilovania

Profilovanie je technika umožňujúca analyzovať alebo predpovedať výkonnosť v práci, ekonomickú situáciu, polohu, zdravie, osobné preferencie a záľuby na základe automatického spracovania osobných údajov.

Príklad:

Posúdenie bonity klienta banky pred schválením úveru alebo pôžičky. Profilovanie by nemalo byť založené výlučne len na automatizovanom spracovaní dát. Malo by zahŕňať zhodnotenie človekom. Ak po takomto zhodnotení má byť vydané rozhodnutie, malo by byť predvídateľné.

Špeciálna ochrana pre deti

Deti si nie sú často vedomé hrozieb a následkov nesprávneho nakladania so svojimi osobnými údajmi. Budú mať preto jasnejšie vymedzené pravidlo byť zabudnutí.

Deti pod určitou vekovou hranicou budú potrebovať súhlas rodiča alebo iného zákonného zástupcu na zriadenie účtu na sociálnych sieťach. Stanovenie vekovej hranice je ponechané na jednotlivých členských štátoch. Malo by byť v rozmedzí od 13 do 16 rokov.

Súkromie ako štandard

V budúcnosti budú spoločnosti nútené navrhovať svoje produkty tak, aby potrebovali čo najmenej osobných údajov. Výsledkom má byť viac inovácií aj nové metódy a technológie týkajúce sa bezpečnosti a ochrany osobných údajov.

Vplyv na podniky

Cieľom je zjednodušenie a sprehľadnenie pravidiel. Tiež pomoc malým a stredným podnikateľom so vstupom na jednotný digitálny trh. Povinnosti spracovateľov by mali kopírovať veľkosť firmy a povahu spracúvaných údajov.

Správca ochrany

Vznikne povinnosť ustanoviť správcu ochrany osobných údajov. Hlavne pri spracúvaní väčšieho množstva alebo monitorovania správania veľkého počtu zákazníkov. Spoločnosti, ktorých základnou činnosťou nie je spracovanie osobných údajov, túto povinnosť nemajú.

Vynútenie dodržiavania nových pravidiel

Náležité vynútenie plnenia nových povinností v zmysle nariadenia má docieliť prísna pokuta až do výšky 4 percent z celkového obratu firmy.

Policajné a súdne účely

Na policajné a súdne orgány sa vzťahujú v zásade rovnaké pravidlá ochrany osobných údajov ako tie, ktoré sú špecifikované v nariadení. Prirodzene, s úpravami pre potreby tohto sektoru. Po prvýkrát budú stanovené minimálne bezpečnostné štandardy pre prenos údajov v rámci členských štátov.

Odporúčania pre firmy a organizácie

– Dôležitosť zmien si vyžaduje, aby sa nimi zaoberali najvyšší predstavitelia firiem.
– Prvým krokom by mal byť audit osobných údajov.
– Identifikácia toku osobných dát. (Ukladanie, spracovanie a vymazanie.)
– Zamedzenie úniku údajov, neautorizovanému prístupu k nim, ich neautorizovanej zmene a včasné obnovenie údajov.
– Zabezpečenie zhody procesov, politík a informačných technológií s novými pravidlami.
– Vybudovanie procesov a infraštruktúry pre monitorovanie a vyhodnocovanie porušení.

K téme