Menu

GDPR a firmy


Velikost firmy nehraje roli, ať už se jedná o velký korporát či malou firmu o pěti zaměstnancích, v souladu s GDPR by měli být všichni. U firem se jedná o zpracování údajů zejména o zákaznících a také zaměstnancích, na oboje je třeba se zaměřit.

Nařízení je účinné od 25.5.2018

ZPĚT NA HLAVNÍ STRÁNKU GDPR


Jak se připravit na GDPR?


  1. Seznámení se s GDPR
  2. Úvodní analýza
  3. Pověřenec pro ochranu osobních údajů (DPO)
  4. Analýza jednotlivých zpracování OÚ
  5. Implementace opatření u každého zpracování
  6. Stanovení / úprava interních procesů zpracování OÚ a souvisejících dokumentů
  7. Zavedení technických opatření
  8. Školení zaměstnanců - směrnice, procesy a nové technologie zavedené pro zabezpečení OÚ

Bezplatná konzultace

Máte zájem o bezplatnou konzultaci? Kontaktujte nás nebo nám zanechte svůj e-mail, my se vám ozveme.

Petr-Nepustil
Ing. Petr Nepustil
IT konzultant
 
+420 734 686 014
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.

Osobní údaje ve firmách


Osobní údaje, které firmy spravují lze rozdělit do dvou skupin:

  1. Osobní údaje zákazníků
  2. Osobní údaje zaměstnanců

Osobní údaje zákazníků

Osobní údaje zákazníků jsou velice ceněná data, se kterými se mnohdy nenakládá s náležitou úctou a ochranou. GDPR se snaží ochránit osobní data jednotlivce, fyzické osoby, a dát mu přehled, kde se jeho osobní údaje nachází a k jakým účelům se používají.

Při analýze osobních údajů je třeba se ptát:

  1. Jaké osobní údaje shromažďujeme
  2. Kde se osobní údaje nachází
  3. K jakým účelům se osobní údaje využívají
  4. Jak jsou osobní data zabezpečena
  5. Jak jsou nastavena procesní pravidla pro zpracování a předávání osobních dat

Vždy je na místě se ptát, jestli dané osobní údaje vůbec potřebujeme zpracovávat, pokud tato nutnost není, neměli bychom nepotřebná data skartovat a nadále je neshromažďovat.

Musíme rozeznávat, jaký důvod máme ke zpracování osobních údajů:

  1. Pro zpracování máme zákonný důvod
  2. Například osobní údaje, které jsou zároveň údaji fakturačními, potřebujeme pro plnění zákonné povinnosti nebo třeba osobní údaje na smlouvách jsou nezbytností pro plnění zákonné povinnosti a oprávněného zájmu firmy.

    V takovém případě souhlas ke zpracování osobních údajů nepotřebujeme

  3. Pro zpracování nemáme zákonný důvod
  4. V případě firmy se bude jednat například o osobní údaje, které zpracováváme pro marketingové a PR aktivity. Dále můžeme do této skupiny zařadit osobní údaje, které jsme získali z provozovaných webů například pro marketing nebo statistiky.

    V takovém případě jsou souhlasy k zpracování osobních údajů zapotřebí.

Osobní údaje zaměstnanců

To, co dělá firmu firmou jsou její zaměstnanci, proto bychom neměli zapomínat ani na jejich osobní údaje.

Opět je na místě se ptát, zda všechny osobní údaje, které o svých zaměstnancích máme nezbytně potřebujeme. Opět se pídíme po účelu zpracování osobních údajů.

  1. Pro zpracování máme jako zaměstnavatel zákonný důvod
  2. Osobní údaje potřebujeme pro pracovní smlouvu, účetnictví, pojištění atd., povinnost zpracovávat osobní údaje nám ukládá nějaký zákon.

    K takovému zpracování souhlas nepotřebujeme.

  3. Pro zpracování nemáme jako zaměstnavatel zákonný důvod
  4. V tomto případě se bude jednat například o zveřejňování osobních kontaktů na webu, zveřejňování nahrávek a fotografií zaměstnanců, vstupní formulář zaměstnance,…

    K takovému zpracování souhlas potřebujeme.

Specifika řešení GDPR ve firmách


Revize souhlasů a smluv

Pro soulad s GDPR bude nutné také revidovat smlouvy a souhlasy se z pracovním osobních údajů, většina z nich nebude požadavkům GDPR vyhovovat, proto je třeba všechny revidovat a nahradit ve znění, které je v souladu s GDPR.

GDPR celkem přesně definuje, jak by měl souhlas se zpracování osobních údajů vypadat. Souhlas musí být srozumitelný, v jednoduchém mateřském jazyce, jednoznačný, časově omezený, musí být samostatně vyjmenovány účely, pro které je souhlas udělován a musí být oddělen od všech smluv. Udělení souhlasu nesmí být ničím podmíněno. Je proto například oddělit souhlasy od pracovní smlouvy, aby nebyl souhlas se zpracováním osobních údajů podmíněn uzavřením pracovního poměru. GDPR.

GDPR ukládá správci povinnost zabezpečit osobní data subjektů i v případě poskytnutí těchto údajů třetím stranám, proto je třeba externí zpracovatele (účetní firma, správci IT infrastruktury, úklidové firmy, dodavatelské firmy,…) prověřit z hlediska zabezpečení, nastavit pravidla pro zpracování a zabezpečení v případě nevyhovujících bezpečnostních opatření a nechuti revize smlouvy od takovéto smlouvy odstoupit.

Do 25. 5. 2018 je třeba nahradit stávající souhlasy novými, které budou v souladu s GDPR. Nesmíme zapomínat ani na stávající zákazníky, s těmi bychom měli souhlas obnovit v novém znění. Je třeba si uvědomit, že v případě stížnosti musí firma jako správce doložit souhlas se zpracováním osobních údajů a staré znění už nemusí být pro soulad s GDPR dostačující.

Marketingové aktivity

Nutnost revidovat souhlasy se velice dotkne například marketingových aktivit, zasílání newsletterů s nabídkami zboží a služeb, informativních SMS, sledování webových statistik a s tím spojených aktivit a dalších. Pro všechny tyto aktivity bude třeba po 25. 5. 2018 mít odpovídající souhlasy od všech svých zákazníků.
Doporučení:
  1. Začněte co nejdříve - na obnovení souhlasů zákazníků bude třeba čas
  2. Využijte všechny možné prostředky - využijte webových formulářů, upozornění na nový souhlas na sociálních sítích, tištěná forma souhlasu pro okamžité získání souhlasu,…
  3. Dostatečně informujte - informujte své zákazníky o důvodu, proč nový souhlas potřebujete, k jakým účelům budete jejich osobní údaje používat a po jak dlouhou dobu, informujte je o možnosti souhlas k jednotlivým účelům odvolat, informujte je o tom jak mohou svůj souhlas odvolat a co to bude pro ně i pro vás znamenat
  4. Konzultujte formu souhlasu s odborníkem - dle GDPR musí souhlas splňovat určité náležitosti, proto je namístě si nařízení GDPR prostudovat a konzultovat s odborníkem
  5. Myslete na právo souhlas odvolat - je třeba myslet i na možnost, že zákazník bude chtít souhlas odvolat. V takovém případě už nebude moci firma osobní údaje pro dané účely zpracovávat a zajistit jejich skartaci (výmaz).

Zajištění Pověřence pro ochranu osobních údajů

GDPR definuje v jakých případech firma musí zajistit Pověřence pro ochranu osobních údajů.
Pověřence musí zajistit dle GDPR:
  1. Orgány veřejné moci
  2. Je-li prováděno rozsáhlé, pravidelné a systematické monitorování
  3. Jde-li o rozsáhlé zpracování citlivých osobních údajů

Pokud nespadá vaše firma ani do jedné z výše uvedených skupin, můžete i přesto ve vaší firmě pozici Pověřence pro ochranu osobních údajů zřídit, aby dohlížel na soulad s nařízením GDPR (bere se jako plus pro vaši firmu).

Kde Pověřence najdete?

Pověřencem pro ochranu osobních údajů může být jak externista, tak vlastní zaměstnanec. Pokud se rozhodnete vybrat Pověřence z řad zaměstnanců, musíte dbát na to, aby zaměstnanec v rámci svého pracovního zařazení nezpracovával osobní údaje. Nesmíme ani zapomínat na to, že osoba vybraná na pozici Pověřence musí být k této práci kompetentní a musí se v problematice GDPR dále vzdělávat.

Pověřence Externistu Vám můžeme poskytnout i my na přiměřeně dlouhou pracovní dobu.

Důležité je, aby Pověřenec byla jedna fyzická osoba, jejíž jméno a kontakt bude veřejný a lehko dohledatelný pro veřejnost (např. web, vývěsky,…).

Často kladené dotazy


Vyžaduje se souhlas na uvedení čísla, jména a dalších osobních údajů zaměstnanců na webu?
 
Pokud se jedná o firemní čísla, firemní e-maily atd. není souhlas zapotřebí, tyto osobní údaje jsou důležité pro kontaktování osoby v pracovní záležitosti. Pokud by šlo ovšem o osobní telefonní čísla či e-maily, souhlas by musel být.
Je třeba vypsat do souhlasu všechna místa, kde osobní údaje použiji, např. časopis, web, …
 
Ano, účely pro které budou osobní údaje používány by měli být co nejlépe specifikovány. Řešením mohou klidně být zaškrtávací políčka s výčtem účelů, kde si bude moci zákazník vybrat, ke kterým účelům svůj souhlas poskytne.
Jak vést databázi se souhlasy pro použití například pro marketing?
 
Je třeba mít souhlasy oddělené pro každý specifický účel, aby bylo možné souhlas s konkrétním zpracováním udělit či neudělit případně souhlas odvolat. Marketingový pracovník by pak měl mít přístup k databázi se souhlasy, aby bylo možné oddělit například z marketingových e-mailů zákazníky, kteří souhlas pro tento účel nedali.
Máme na webu nasazený nástroj Google Analytics Solutions, musíme mít souhlas zákazníků, který si web třeba jen prohlíží (logují se tam IP adresy)?
 
Toto téma bylo velice diskutovné, Google Analytics je vyjmut z povinnosti dokládání souhlasů, sběr OÚ je pouze pro statistiku.