GDPR pre firmy — kompletný sprievodca ochranou osobných údajov

Častý zdroj zmätku je vzťah európskeho nariadenia a slovenského zákona. Platia oba súčasne, ale každý plní inú úlohu. Nariadenie 2016/679 (GDPR) je nadradený, priamo účinný predpis — definuje zásady, právne základy, práva dotknutých osôb, povinnosti aj sankčný rámec. Nie je to transpozícia, neexistuje „slovenská verzia GDPR“.

Zákon č. 18/2018 Z. z. o ochrane osobných údajov dopĺňa GDPR tam, kde nariadenie ponecháva členským štátom priestor na vlastnú úpravu (tzv. otvorené klauzuly) — postavenie dozorného orgánu, osobitosti rodného čísla, vekovú hranicu súhlasu dieťaťa či novinárske účely. Zákon 18/2018 nahradil predchádzajúci zákon č. 122/2013 Z. z. (ktorý predtým nahradil starší zákon č. 428/2002 Z. z.); oba sa už nepoužívajú.

Prakticky to znamená: keď hľadáte definíciu práva na výmaz alebo lehotu na ohlásenie porušenia, otvoríte GDPR. Keď riešite, či smiete žiadať rodné číslo alebo od akého veku platí súhlas tínedžera, otvoríte zákon 18/2018.

Aby ste GDPR vedeli aplikovať, musíte rozumieť štyrom rolám.

• Osobný údaj — akákoľvek informácia o identifikovanej alebo identifikovateľnej fyzickej osobe: meno, e-mail, telefón, IP adresa, lokalizačné údaje, fotografia. Osobitné kategórie (citlivé údaje) podľa čl. 9 GDPR sú údaje o zdraví, biometrii, genetike, náboženstve, politických názoroch či sexuálnej orientácii — s prísnejším režimom.
• Dotknutá osoba — človek, ktorého údaje sa spracúvajú: váš zákazník, zamestnanec, dodávateľ, návštevník webu.
• Prevádzkovateľ — ten, kto určuje účely a prostriedky spracúvania, typicky vaša firma. Nesie hlavnú zodpovednosť a znáša sankcie.
• Sprostredkovateľ — spracúva údaje v mene prevádzkovateľa (externý účtovník, mzdová firma, IT poskytovateľ, mailing, cloud). Vzťah s ním musí byť ošetrený sprostredkovateľskou zmluvou podľa čl. 28 GDPR.

Celé GDPR stojí na siedmich zásadách podľa čl. 5. Sú to mantinely, ktoré musíte dodržať pri každom spracúvaní. Pri ich porušení hrozí najvyššia kategória pokút.

• Zákonnosť, spravodlivosť a transparentnosť — údaje spracúvate len na zákonnom základe, férovo a tak, aby o tom osoba zrozumiteľne vedela.
• Obmedzenie účelu — zbierate na konkrétny, výslovný a legitímny účel a nepoužijete ich na nezlučiteľný iný účel.
• Minimalizácia údajov — zbierate len tie údaje, ktoré sú na účel naozaj potrebné. Žiadne „pre istotu“.
• Správnosť — údaje udržiavate aktuálne a nesprávne bezodkladne opravujete alebo vymazávate.
• Minimalizácia uchovávania — uchovávate len dovtedy, kým je to nevyhnutné, potom mažete alebo anonymizujete.
• Integrita a dôvernosť — údaje primerane zabezpečíte pred neoprávneným prístupom, stratou či zničením.
• Zodpovednosť (accountability) — dodržiavanie predošlých šiestich zásad musíte vedieť preukázať. Nestačí pravidlá dodržiavať, treba mať o tom dôkazy.

Práve siedma zásada — zodpovednosť — robí z GDPR systém, kde „nemáme nič napísané, ale dodržiavame to“ neobstojí. Pri kontrole úrad žiada doklady.

Žiadne spracúvanie nie je „len tak“. Každé musí mať jeden zo šiestich právnych základov podľa čl. 6 GDPR:

• Súhlas dotknutej osoby — slobodný, konkrétny, informovaný a jednoznačný prejav vôle; musí byť odvolateľný a preukázateľný.
• Plnenie zmluvy — keď spracúvanie potrebujete na uzavretie alebo plnenie zmluvy (dodanie objednávky, výplata mzdy).
• Zákonná povinnosť — keď vám spracúvanie ukladá iný zákon (účtovníctvo, dane, archivácia, BOZP a pracovnozdravotná dokumentácia).
• Životne dôležitý záujem — ochrana života a zdravia osoby (zriedkavé, napr. v zdravotníctve).
• Verejný záujem alebo výkon verejnej moci — typické pre orgány verejnej moci.
• Oprávnený záujem — flexibilný základ (priamy marketing voči existujúcim zákazníkom, sieťová bezpečnosť, vymáhanie pohľadávok); vyžaduje test proporcionality (balančný test).

Najčastejšia chyba firiem: na všetko žiadajú súhlas. V skutočnosti je súhlas často najslabší a najkrehkejší základ (dá sa kedykoľvek odvolať). Pre plnenie objednávky či vedenie mzdovej agendy súhlas vôbec netreba.

GDPR dáva ľuďom silné a vynútiteľné práva. Firma na ich uplatnenie musí reagovať spravidla do jedného mesiaca (čl. 12 GDPR).

Praktický dôsledok: musíte mať funkčný proces, ako žiadosti prijímate, overujete totožnosť žiadateľa, vyhľadáte údaje a v lehote odpoviete. Ignorovanie žiadosti je častým dôvodom sťažnosti na úrad.

Vedľa zásad a práv ukladá GDPR firme konkrétne „papierové“ povinnosti. Práve ich kontroluje ÚOOÚ ako prvé.

Zodpovedná osoba (Data Protection Officer, DPO) je interný alebo externý odborník, ktorý dohliada na súlad s GDPR, radí vedeniu a je kontaktným bodom pre dotknuté osoby aj úrad. Podľa čl. 37 GDPR (a § 44 zákona č. 18/2018 Z. z.) je jej určenie povinné v troch prípadoch:

• ste orgán verejnej moci alebo verejnoprávny subjekt;
• vaša hlavná činnosť spočíva v rozsiahlom systematickom monitorovaní dotknutých osôb (rozsiahle sledovanie správania, profilovanie);
• vaša hlavná činnosť spočíva v rozsiahlom spracúvaní osobitných kategórií údajov podľa čl. 9 (napr. zdravotnícke zariadenia).

Mimo týchto prípadov nie je DPO povinná, no mnohé firmy ju zriaďujú dobrovoľne, lebo zjednodušuje preukazovanie zodpovednosti. DPO musí mať odborné znalosti, nezávislé postavenie a dostatok zdrojov. Funkciu môže zastrešiť externý dodávateľ (DPO outsourcing) — pre malé a stredné firmy najčastejšie riešenie.

Porušenie ochrany osobných údajov (data breach) je každé narušenie bezpečnosti vedúce k zničeniu, strate, zmene, neoprávnenému poskytnutiu alebo sprístupneniu údajov — od stratenej USB cez hacknutý e-shop až po e-mail odoslaný nesprávnemu príjemcovi.

• Oznámenie dozornému orgánu (čl. 33 GDPR, § 40 zákona č. 18/2018 Z. z.) — porušenie ohlásite Úradu na ochranu osobných údajov SR bez zbytočného odkladu, najneskôr do 72 hodín od momentu, keď ste sa o ňom dozvedeli. Výnimkou je prípad, keď porušenie pravdepodobne nepovedie k riziku pre práva osôb.
• Oznámenie dotknutej osobe (čl. 34 GDPR) — ak porušenie pravdepodobne povedie k vysokému riziku, musíte bez zbytočného odkladu informovať aj samotných ľudí, ktorých sa to týka.

Každé porušenie — aj to, ktoré nehlásite — musíte interne zdokumentovať. Pripravený plán reakcie na incident (kto rozhoduje, kto hlási, v akej lehote) je rozdiel medzi zvládnutým incidentom a pokutou za zmeškané hlásenie.

GDPR má jeden z najprísnejších sankčných rámcov v EÚ. Čl. 83 GDPR rozlišuje dve úrovne pokút podľa závažnosti porušenia.

Pokuta sa určuje podľa toho, ktorá zo súm (pevná alebo percentuálna) je vyššia. Úrad pri výške zohľadňuje povahu, závažnosť a trvanie porušenia, úmysel, spoluprácu a prijaté opatrenia. Vedľa pokút môže nariadiť nápravné opatrenia vrátane dočasného alebo trvalého zákazu spracúvania. V slovenskej praxi sú pokuty zatiaľ nižšie než európske maximá, no počet rozhodnutí ÚOOÚ rastie.

Dozorným orgánom na Slovensku je Úrad na ochranu osobných údajov Slovenskej republiky (ÚOOÚ), web dataprotection.gov.sk. Pozor na rozšírený omyl: GDPR nevymáha okresný úrad ani inšpektorát práce — výlučne ÚOOÚ.

Úrad prijíma a vybavuje sťažnosti dotknutých osôb, vykonáva kontroly (z vlastnej iniciatívy aj na podnet), prijíma oznámenia o porušení a ukladá pokuty. Kontrola sa najčastejšie spustí na základe sťažnosti zákazníka alebo zamestnanca. Pri nej úrad žiada práve dokumentáciu — záznamy o činnostiach, zásady ochrany údajov, súhlasy, sprostredkovateľské zmluvy a doklad o opatreniach. Firma, ktorá má dokumentáciu v poriadku, prejde kontrolou bez väčších problémov.

Nasledujúci postup zhŕňa, ako sa firma dostane z nuly do stavu súladu s GDPR.

• „Sme malá firma, GDPR sa nás netýka.“ Týka sa každého, kto spracúva osobné údaje. Veľkosť ovplyvňuje rozsah povinností, nie ich existenciu.
• „Na všetko potrebujem súhlas.“ Súhlas je len jeden zo šiestich základov a často nie je vhodný. Plnenie objednávky či mzdovú agendu súhlas nevyžaduje.
• „GDPR zakazuje posielať newsletter zákazníkom.“ Priamy marketing voči existujúcim zákazníkom môže stáť na oprávnenom záujme, s možnosťou kedykoľvek namietať.
• „Stačí mať na webe vetu o ochrane údajov.“ Informačná povinnosť je len jeden z dokumentov. Bez záznamov, zmlúv a opatrení súlad nemáte.
• „GDPR a registratúra je to isté.“ Nie sú. Správa registratúry je samostatná oblasť podľa zákona č. 395/2002 Z. z. a GDPR ju nenahrádza.
• „Pokuty dáva okresný úrad.“ Sankcie podľa GDPR ukladá výlučne ÚOOÚ.
• „Keď nás nikto nenahlási, nič sa nedeje.“ Úrad môže konať aj z vlastnej iniciatívy a zodpovednosť musíte vedieť preukázať kedykoľvek.

Skôr než vás osloví zákazník so žiadosťou alebo úrad s kontrolou, prejdite si tento kontrolný zoznam:

• Máte aktuálne záznamy o spracovateľských činnostiach?
• Sú na webe a v zmluvách zrozumiteľné Zásady ochrany osobných údajov?
• Máte ku každému spracúvaniu určený právny základ?
• Sú súhlasy (marketing, cookies) preukázateľné a odvolateľné?
• Máte podpísané sprostredkovateľské zmluvy so všetkými dodávateľmi?
• Máte nastavené technické a organizačné opatrenia a kontrolu prístupov?
• Viete, či potrebujete DPO a či ste vykonali DPIA pri rizikových spracúvaniach?
• Máte proces na vybavenie práv dotknutých osôb v lehote a plán reakcie na porušenie do 72 hodín?
• Sú vaši zamestnanci zaškolení?