GDPR v praxi: co musí firma mít a jak na něj v kanceláři

GDPR v praxi znamená, že firma musí vědět, jaké osobní údaje zpracovává, proč a jak dlouho, a umět to doložit. Nařízení platí od 25. května 2018 a v Česku ho doplňuje zákon o zpracování osobních údajů. Pro většinu malých a středních firem nejde o strašáka, ale o soubor rozumných pravidel: sbírat jen potřebné údaje, chránit je, nesdílet je bez důvodu a vyhovět lidem, kteří se na své údaje ptají. Hodně z toho se odehrává přímo v kanceláři.

Co GDPR je a co není

Jde o nařízení Evropské unie, ne o směrnici, takže platí přímo ve všech členských státech. Týká se každého, kdo zpracovává osobní údaje o lidech v EU, tedy prakticky každé firmy, která má zaměstnance, zákazníky nebo dodavatele. Osobní údaj je jakákoli informace, podle které lze identifikovat konkrétního člověka: jméno, e-mail, telefon, adresa, fotografie, rodné číslo, ale i IP adresa nebo číslo zaměstnaneckého průkazu.

Souhlas není jediný důvod ke zpracování. To je nejčastější omyl.

Údaje můžete zpracovávat i proto, že je potřebujete ke splnění smlouvy, protože vám to ukládá zákon, například mzdová a daňová agenda, nebo kvůli oprávněnému zájmu firmy, jako je ochrana majetku. Souhlas potřebujete typicky pro marketing, newslettery bez předchozího nákupu nebo zveřejnění fotek zaměstnanců na webu.

Co musí firma mít

• Přehled zpracování: jaké údaje, o kom, za jakým účelem, na jakém právním základě, kdo k nim má přístup a jak dlouho se uchovávají.
• Informace pro lidi: srozumitelné vysvětlení, co s jejich údaji děláte, například na webu nebo v pracovní smlouvě.
• Smlouvy se zpracovateli: s účetní, mzdovou agenturou, poskytovatelem CRM nebo cloudového úložiště.
• Zabezpečení: přístupová práva, hesla, šifrování notebooků, zamykané skříně na papírové dokumenty.
• Postup pro incidenty: co dělat, když se údaje ztratí nebo uniknou.

Pověřence pro ochranu osobních údajů potřebují jen orgány veřejné moci a firmy, jejichž hlavní činností je rozsáhlé sledování lidí nebo zpracování citlivých údajů ve velkém. Běžná obchodní firma ho mít nemusí. Přesunutím dat do cloudu se provozovatel cloudu vaším pověřencem nestává, je to jen váš zpracovatel a odpovědnost zůstává na vás.

GDPR v kanceláři každý den

Asistentka a office manažerka se s osobními údaji setkávají neustále. Životopisy uchazečů, kontakty klientů, docházka, cestovní příkazy, kopie dokladů. Pár návyků pomůže víc než tlustá směrnice. Hromadné e-maily posílejte se skrytou kopií, aby adresáti neviděli adresy ostatních. Nenechávejte na stole ani v tiskárně dokumenty s osobními údaji. Životopisy neúspěšných uchazečů skartujte nebo smažte po skončení výběrového řízení, pokud nemáte souhlas je uchovat. Nekopírujte zbytečně občanské průkazy, pokud to nevyžaduje zákon. A při odchodu zaměstnance mu hned zrušte přístupy do systémů.

Stačí málo. Zamknout obrazovku, když odcházíte od stolu.

Kamery, fotky a firemní akce

Kamerový systém na recepci nebo ve skladu je zpracování osobních údajů. U vstupu musí být viditelná informace, že se prostor monitoruje, a záznamy se mají uchovávat jen po nezbytně nutnou dobu. Kamery nesmějí mířit na místa, kde lidé očekávají soukromí, jako šatny nebo toalety. Fotky z firemního večírku zveřejněné na webu nebo sociálních sítích zase vyžadují souhlas lidí, kteří jsou na nich zřetelně vidět. Nejjednodušší je dát kolegům vědět předem a nabídnout jim, že se fotit nemusí.

Když se někdo ptá na své údaje

Každý má právo zjistit, jaké údaje o něm zpracováváte, nechat je opravit, v některých případech vymazat nebo vznést námitku. Na žádost musíte odpovědět bez zbytečného odkladu, nejpozději do jednoho měsíce. Určete si proto, kdo žádosti ve firmě vyřizuje, a mějte připravenou šablonu odpovědi. Než údaje vydáte, ověřte si, že mluvíte opravdu s tím člověkem, o jehož údaje jde.

Únik dat a pokuty

Pokud dojde k porušení zabezpečení, například ztratíte notebook s nešifrovanými daty zákazníků nebo pošlete tabulku se mzdami na špatnou adresu, a hrozí riziko pro dotčené lidi, musíte incident oznámit Úřadu pro ochranu osobních údajů do 72 hodin. Pokuty mohou u nejzávažnějších porušení dosáhnout až 20 milionů eur nebo 4 % celosvětového ročního obratu. V praxi úřad u malých firem častěji ukládá nižší sankce nebo nápravná opatření. Důležité je umět doložit, že jste se chovali odpovědně.

Můj tip: Doporučila bych jednou ročně projít sdílené disky a e-mailové složky a smazat, co už firma nepotřebuje. Méně uložených dat znamená menší riziko.

Zdroje

• Úřad pro ochranu osobních údajů
• Nařízení EU 2016/679 o ochraně osobních údajů
• Zákon č. 110/2019 Sb., o zpracování osobních údajů