Nařízení Evropské unie o ochraně osobních údajů, takzvané General Data Protection Regulation (GDPR), sice začne platit až od 25. května příštího roku, ale obchodníci by neměli podceňovat přípravu. Za porušení nařízení, které ochranu osobních údajů výrazně zpřísňuje, jim hrozí pokuty až dvacet milionů eur, případně čtyři procenta z obratu.
Hlavním cílem nařízení je dát občanům větší kontrolu nad tím, jak se zachází s jejich osobními údaji, a zároveň jim poskytnout větší ochranu. Lidé budou mít přístup k datům, které o nich společnosti shromažďují. Zároveň získají právo požádat o smazání či takzvané zapomenutí osobních údajů, pokud nebude existovat další právní důvod pro jejich zpracování. Se zavedením GDPR souvisí i takzvaný princip zodpovědnosti. Podle něj budou mít správci a zpracovatelé osobních údajů povinnost zavést taková opatření, která povedou ke zvýšení ochrany dat a ke snížení rizika jejich zneužití. Zároveň budou muset zdokumentovat, že zpracovávají pouze takové údaje, které jsou ke konkrétnímu účelu nezbytně nutné. Všechny záznamy pak budou muset na žádost zpřístupnit dozorovým orgánům, jež budou veškeré povinné operace monitorovat.
Práce na zajištění souladu s GDPR je časově náročná a je vhodné s ní začít co možná nejdříve. „Zejména je nutné, aby správci osobních údajů zajistili splnění rozšířené informační povinnosti. To v praxi znamená, aby jim držitelé osobních údajů dali souhlas ke zpracování dat v rozsahu, který odpovídá nové regulaci,“ zdůrazňuje advokát Josef Aujezdský z eAdvokacie.cz.
Dobrý předpoklad ke splnění požadavků GDPR mají firmy, které implementovaly certifikát ISO 27000. „Na osobní údaje lze totiž pohlížet jako na citlivá data, které certifikované organizace chrání, což se týká lidí, procesů i technologií. Pravidelným auditem mohou firmy prokázat, že provedly nezbytná opatření vedoucí k bezpečnosti informací. Je však třeba připomenout, že GDPR má proti ISO 27000 více požadavků, zejména pak na souhlas se zpracováním osobních údajů v širším pojetí, který je klíčový,“ vysvětluje Jakub Kejval, odborník na kybernetickou bezpečnost z inspekční a certifikační společnosti Bureau Veritas, která poskytuje klientům v oblasti GDPR komplexní odborné poradenství.
Jaroslav Látal, IT manažer a jednatel společnosti Digi Office, shrnuje celý projekt do několika kroků: „Analýzou stávajícího stavu firmy a instituce prověří, s jakými daty pracují a kdo k nim má přístup. Dále zajistí soulad již zpravovaných osobních údajů s novými podmínkami. Poté zavedou příslušná technická a organizační opatření, která zajistí trvalý soulad s požadavky na GDPR, včetně zajištění důvěrnosti, integrity a dostupnosti osobních údajů. Posledním krokem bude samotný provoz, během něhož bude třeba sledovat plnění zavedených opatření, a to zejména za účelem včasného odhalení narušení bezpečnosti.“
Pod osobní údaje budou spadat i e-maily či IP adresa
Nařízení se týká i internetových obchodů. „Jméno, adresa, datum narození, rodné číslo či informace o platební kartě, to jsou data, jejichž zneužití může mít pro člověka fatální následky. Proto dochází k zavádění nových, přísnějších opatření, kterým se nevyhnou ani e-shopy, neboť právě ty s osobními daty svých zákazníků pracují každý den. S novou legislativou dochází také k rozšíření definice osobních údajů. Nově sem spadají i technické parametry jako e-mail, IP adresa nebo takzvané cookie v zařízení uživatele. Úplně novou kategorií jsou pak genetické a biometrické údaje,“ uvádí Miroslav Uďan, ředitel společnosti Shoptet. „Sankce se budou týkat všech bez výjimky, tedy i těch nejmenších e-shopů. Kromě toho mohou být majitelé e-shopů navíc vystaveni žalobám od zákazníků s nárokem na odškodnění v případě hmotné či nehmotné újmy. Je proto potřeba být na příchod nového opatření opravdu dobře připraven,“ uzavírá Miroslav Uďan.
GDPR začne v celé EU platit jednotně od 25. května 2018 a v České republice nahradí současnou právní úpravu ochrany osobních údajů v podobě směrnice 95/46/ES a související zákon č. 101/2000 Sb., o ochraně osobních údajů.
