Účinnost GDPR nařízení EU se blíží: Na jaké změny v ochraně osobních údajů se musíme připravit?

Nařízení GDPR neboli General Data Protection Regulation představuje největší revoluci v ochraně osobních údajů napříč celou Evropskou unií. Nové nařízení dostihne všechny správce a zpracovatele osobních údajů, kterým za nedodržení pravidel hrozí vysoké pokuty. Účinnost GDPR nabude již 25. května 2018. Vysvětlíme si, jaké změny GDPR přinese, koho se týká i jak se na zavedení připravit.

Obecné nařízení o ochraně osobních údajů je komplexní právní úpravou, která rozšiřuje, zpřesňuje a především sjednocuje pravidla pro zpracování a ochranu osobních údajů v celé EU. Od GDPR nařízení evropští zákonodárci očekávají posílení ochrany osobních údajů napříč Evropskou unií a také větší kontrolu občanů nad nakládáním s jejich osobními daty. Prostředkem k dosažení těchto cílů budou nejen přísnější pravidla pro zpracování a uchování dat, ale také obrovské finanční sankce za porušení nové právní úpravy. Horní hranice pokuty může dosáhnout až 4 % z obratu společnosti. Čas na implementaci všech bodů nařízení se krátí. Účinnost GDPR totiž nabude již 25. května 2018.

GDPR se týká všech zpracovatelů osobních údajů

Obecné nařízení o ochraně osobních údajů se týká všech subjektů, které shromažďují, zpracovávají a uchovávají osobní údajů občanů Evropské unie. A to jak v elektronické, tak i tištěné formě. GDPR nařízení EU se například vztahuje na firmy zpracovávající osobní data zaměstnanců či klientů, obchodníky registrující zákazníky do věrnostních programů či online a telekomunikační služby využívající lokalizační data. „Nová úprava se vztahuje jak na malé podnikatele a firmy, tak na veškeré instituce státní správy a samosprávy včetně dalších veřejných institucí,“ vysvětluje Marek Dědič, ředitel Asociace za lepší ICT řešení.

Jaké změny GDPR přinese?

Obecné nařízení o ochraně osobních údajů přináší celou řadu změn v oblasti zacházení, zpracování i poskytování informací o spravovaných datech. Jedním z cílů nařízení je ochrana základních práv a svobod fyzických osob v oblasti právní ochrany osobních údajů a rovnocenná vymahatelnost práva v celé EU. V této souvislosti GDPR deklaruje obyvatelům EU právo na předání, opravu, výmaz či omezení zpracování jejich osobních dat. Se zavedením General Data Protection Regulation dojde také k rozšíření definice osobních údajů. Nově budou do kategorie osobních údajů patřit také informace vedoucí k identifikaci konkrétní osoby. Jedná se především o IP adresy, e-mail nebo cookie v zařízeních uživatele. Přísnějším pravidlům bude podléhat také zcela nová kategorie genetických a biometrických údajů.

 

Připravte se na větší administrativní zátěž

Správné zavedení a především striktní dodržování všech pravidel GDPR s sebou přináší zátěž na administrativu správců i zpracovatelů osobních údajů - zátěž je tím větší, čím méně se organizace do této chvíle věnovala kybernetické bezpečnosti a pravidlům zpracování osobních údajů obecně. „Jejich povinností bude prokazatelně doložit správnost nakládání s osobními údaji či registrovat požadavky jednotlivých subjektů domáhajících se svých práv. Zároveň budou zpracovatelé povinni dokumentovat také to, že zpracovávají pouze data, která jsou k daným účelům nezbytná a že jsou adekvátně chráněna,“ dodává Marek Dědič.

Povinnost ustanovení nezávislého kontrolora

Pro větší zpracovatele osobních údajů nařizuje GDPR zřízení nezávislé kontrolní funkce v podobě Pověřence pro ochranu osobních údajů neboli Data Protection Officer (DPO). Úkolem těchto specialistů bude dohlížet na správu a nakládání s osobními daty a hlášení možných úniků dat či porušení zákona. S tím se také pojí povinnost ohlášení útoku Úřadu pro ochranu osobní údajů nejpozději do 72 hodin od detekování incidentu.

Jak se na GDPR připravit?

Zavedení GDPR nařízení EU představuje pro správce a zpracovatele dat mnoho zásadních úprav. „Nejlepším řešením je kompletní revize nastavení stávajícího systému práce s daty za pomocí auditu, který odhalí slabá a riziková místa. Na jeho základě je možné sestavit plán implementace nových pravidel a eliminace příliš rizikových oblastí,“ vysvětluje Marek Dědič, ředitel Asociace za lepší ICT řešení na www.lepsi-reseni.cz.

Nastavení správných postupů musí především určit:

• Kdo, jaké osobní údaje a na jakých systémech zpracovává.
• Proč a za jakým účelem jsou data sbírána a jak jsou dlouho ukládána.
• Jak je přístup k osobním údajům zabezpečený.
• Zda a jak se evidují souhlasy osob se zpracováním jejich osobních údajů.
• Revizi smluv, databází a systémů dle nových pravidel.
• Jak postupovat, když subjekt požádá o výmaz či přenos osobních údajů.
• Jak reagovat při úniku osobních údajů.

Správnou implementací všech pravidel se omezí riziko úniku osobních dat a také se zvyšuje šance na nižší pokuty v případě pochybení při zpracování údajů.