V tomto druhém díle 2-dílného tutoriálu s Petrem Kratochvílem, jednatelem firmy BT-soft, která se zaměřuje na implementaci GDPR ve firmách a organizacích, oblast kdyberbezpečnosti a kyberšikany, se zaměřujeme na proveditelnost směrnice GDPR v praxi.
Povíme si zásady, podle kterých bychom se měli řídit, jaká máme práva jako subjekt osobních údajů, jak je to se souhlasy, oprávněným zájmem, rozesíláním newsletterům na zákazníky apod. Pod tutoriálem najdete stopáž a shrnutí hlavních bodů celé kapitoly s důležitými odkazy.
Na tento tutoriál navazuje ještě poslední video, kdy sdílíme zkušenosti, jak jsme implementovali GDPR do naší personální agentury, jak jsme vytvořili směrnici pro všechny zaměstnance a jak si hlídáme, abychom dodržovali všechny zásady.
Pro splnění požadavků GDPR je nutné si uvědomit, že osobní údaje zpracováváme z nějakého důvodu. Obvykle jsou podloženy smlouvou, ať už kupní nebo pracovní, nebo na základě oprávněného zájmu. Například firma, která má kamerový systém. Je v jejím zájmu chránit svůj majetek a zdraví svých zaměstnanců, avšak tento zájem nesmí přerůst ve špehování a narušování práv subjektů údajů.
Souhlas se zpracováním osobních údajů je nutný pouze v případě, že neexistuje žádný jiný právní důvod pro to, abychom je zpracovávali. Osobní údaje bychom měli zpracovávat za nějakým účelem, který vesměs souvisí s účelem podnikání. Platí zde princip přiměřenosti, tzn. že bychom měli chtít pouze takové osobní údaje, které jsou nutné k naplnění toho účelu. Například e-shop s obuví potřebuje kontaktní údaje a velikost nohy.
Základní právo subjektů údajů je právo na informovanost a přístup k informacím, které o něm zpracováváme. Další jsou právo na výmaz (být zapomenut), právo na námitku (v tom případě musí zpracovatel prokázat, že je daná činnost v jeho oprávněném zájmu).
Nové právo, které lze uplatnit například při poslechu hudby v aplikaci Spotify. Subjekt údajů má právo přenést seznam hudby, která byla vytvořena v dané aplikaci, někam jinam.
Zpracování osobních údajů je jakákoliv operace, kterou děláme s osobními údaji subjektu údajů, která podléhá zákonu. A to ať už papírově nebo automatizovaně. S tím souvisí nutnost technicky + organizačně tyto údaje zabezpečit. Nejjednodušší a nejrychlejší způsob, jak být v souladu s GDPR, je oslovit odborníka.
Nejdříve je potřeba zjistit, jaké osobní údaje potřebujeme pro svoji činnost, za jakým účelem údaje sbíráme, co všechno s nimi děláme, co je důvodem pro zpracování. Dále analyzujeme, kde údaje máme, kudy putují nebo jestli máme zpracovatele.
Musí být svobodný a odvolatelný, nesmí být podmíněný. Častá chyba je, že se souhlas s GDPR dává jako součást pracovní smlouvy. Právní důvod k získání osobních údajů je definován Zákoníkem práce, tím pádem je tam nejen nadbytečný, ale i vyloženě chybný. V rámci firmy musí být vypracovaná směrnice, jak nakládat s osobními údaji, která definuje i bezpečností politiku. GDPR se nevztahuje na právnické osoby a zemřelé.
Největší chyba je podcenění GDPR, některé firmy nemají implementovaný ani zákon 101/2000. GDPR se ale týká všech a není to zdaleka tak složité a drahé, jak se na první pohled může zdát. Další nešvar je neodpovědné chování vůči osobním údajům, kdy je ohrožena jejich bezpečnost. A v neposlední řadě určitá „přesouhlasovanost“. Zákon o ochraně osobních údajů ctí princip minimalizace, souhlasy nad rámec povinností jsou také špatně.
Pokud používáme cookies na našem webu, znamená to, že náš web posílá prohlížeči zákazníka informaci o tom, co dělal na našem webu. Cookies je odvozenina od angl. sušenka, tudíž by to měla být jakási odměna vedoucí ke zvýšení uživatelského komfortu při další návštěvě zákazníka.
V případě, že zjistíme únik dat, musíme do 72 hodin podat zprávu na Úřad pro ochranu osobních údajů. Pokud nahlásíme únik a podložíme jeho nápravu, v případě malé závažnosti nemusí být provedena kontrola, ani určena pokuta. Postihy v případě neudání se jsou mnohem tvrdší.
Více informací o GDPR, kybernetické bezpečnosti a vzdělání v těchto oblastech najdete na stránce Petra Kratochvíla bt-soft.cz.
