Už jen necelý měsíc zbývá do účinnosti tolik diskutovaného obecného nařízení o ochraně osobních údajů. Ve firmách i neziskovkách už přípravy běží na plné obrátky. Že jste ještě nezačali? Žádnou paniku. Ačkoli se jedná o poměrně dlouhý proces, čím dříve se do něho pustíte, tím dříve s ním také budete hotovi. V závěrečném článku GDPR série se dozvíte, jaké jednotlivé kroky vás na cestě za GDPR compliance čekají právě teď.

Nestihli jste předchozí dva články Davida Horna? Nic není ztraceno – připomeňte si je

Seznamte se s pravidly a povinnostmi, které vás čekají

Důsledná příprava je základním předpokladem úspěšné implementace. Pravidla GDPR bohužel není možné shrnout v několika větách – jedná se o robustní předpis, jehož ustanovení často vyžadují složitou interpretaci. Zmíněná pravidla dopadají na všechny správce osobních údajů bez ohledu na jejich právní vzdělání či povědomí. Mějte proto přehled o tom, jaké údaje můžete zpracovávat a za jakých podmínek.

V prvé řadě si ujasněte, jaké zásady je třeba při práci s daty dodržovat. Které povinnosti vůči subjektům údajů je nutné splnit, jaká práva mohou lidé ve vztahu ke svým údajům uplatnit. Správné pochopení pravidel GDPR vám umožní přijmout vhodná opatření. Usnadní vám také jejich následné dodržování.

Zmapujte dosavadní mechanismy práce s osobními údaji

Máte-li představu o tom, jak „by to mělo vypadat“ v budoucnu, potřebujete vědět, jak „to vypadá“ nyní. K tomu vám poslouží provedení tzv. auditu zpracování osobních údajů. Jedná se o zmapování práce s osobními údaji uvnitř organizace. Audit by vám měl poskytnout alespoň následující informace:

  • jaké osobní údaje zpracováváte, jejich zdroje a kategorie (zda se jedná o standardní údaje nebo tzv. zvláštní kategorie osobních údajů, které jsou citlivějšího charakteru a vyžadují přísnější míru ochrany),
  • o čí údaje se jedná, aneb kdo jsou subjekty údajů (zaměstnanci, uchazeči o zaměstnání, klienti, obchodní partneři, jiní externí pracovníci apod.),
  • účel zpracování (proč ke zpracování osobních údajů dochází) a zákonný důvod takového zpracování (existence oprávnění údaje zpracovávat – zda se jedná o zpracování nezbytné pro splnění smluvní povinnosti či zpracování na základě souhlasu subjektu údajů a podobně),
  • původ údajů (od koho byly získány),
  • kde jsou data uložena, komu jsou předávána, kdo k nim má přístup,
  • jakým způsobem jsou údaje zpracovávány (co se s nimi fakticky děje).

Audit si představte jako průzkum vaší organizace s tabulkou, do níž zanesete všechny osobní údaje, které zpracováváte, ať už v listinné či elektronické podobě. K nim vyplníte výše uvedená kritéria. Dobře zpracovaný audit bude podkladem pro další postup při implementaci GDPR.

Zkontrolujte soulad s pravidly GDPR a vyhodnoťte hrozící rizika

Porovnejte zjištěné informace z auditu s požadavky GDRP. Zjistíte tak, zda postupy při zpracování osobních údajů vyhovují novým pravidlům či nikoli. Odhalíte také případné nedostatky, které vám mohly zůstat skryty. Můžete přijít na to, že některé osobní údaje pro stanovené účely vůbec nepotřebujete, nemáte udělený souhlas k určitému druhu zpracování nebo údaje sdílíte se zbytečně širokým okruhem osob. K nápravě pak přijměte vhodná opatření.

Vyhodnoťte potenciální bezpečnostní rizika. Jakými způsoby může dojít k náhodnému zničení, ztrátě, pozměnění či neoprávněnému zpřístupnění údajů? Nebezpečím může být zkopírování a vynesení osobních údajů z organizace neoprávněnou osobou, selhání harddisku, ztráta nezabezpečeného mobilního telefonu nebo hackerský útok.

GDPR nemusí být strašák - nepodceňte přípravu! Foto: PixaBay

Přijměte vhodná bezpečnostní opatření a zdokumentujte je

Proti hrozícímu nebezpečí úniku dat je třeba se chránit. Kroky k nápravě nedostatků a odvrácení rizik mohou mít mnoho podob. Může se jednat o ukládání smluv v uzamykatelných skříních, používání zámků či hesel pro přístup k elektronickým zařízením a online účtům, omezení přístupu k údajům pro osoby, které je ke své práci nepotřebují, nebo sofistikovaná řešení v podobě šifrování či pseudonymizace osobních údajů, jak nařízení doporučuje.

Přijatá opatření musejí být vhodná s ohledem na stav techniky, náklady na jejich provedení, povahu, rozsah, kontext a účel zpracování údajů. Každé organizaci bude vyhovovat jiné řešení. Mějte na paměti, že smyslem je ochránit soukromí a práva subjektů údajů a zabránit neoprávněnému šíření jejich dat.

Všechna opatření zdokumentujte ve vnitřní směrnici o ochraně osobních údajů. Stanou se tak dostupná všem pracovníkům a využijete to v případě kontroly, kdy je vaší povinností prokázat, že osobní údaje skutečně chráníte.

Zásady, formuláře, dokumenty, informace, smlouvy

Vypracujte ještě několik nezbytných dokumentů. Důležité jsou zásady ochrany osobních údajů (například na webu), kde subjekty údajů najdou veškeré povinné informace. Dále formuláře pro získání platného souhlasu se zpracováním údajů nebo záznamy o činnostech zpracování, které předložíte v případě inspekce. Provádějí-li zpracování osobních údajů pro vaši organizaci externí zpracovatelé (různé agentury), nesmíte zapomenout na uzavření tzv. zpracovatelských smluv.

Uveďte opatření do praxe a nebojte se fungovat

Když vše dobře nastavíte, proškolte ohledně GDRP pracovníky a sepište s nimi záznam, že informace dostali. Fungujte dál s vědomím, že děláte vše pro ochranu dat osob, které se na činnosti vaší organizace podílejí. Činíte tak i pro ochranu dobré pověsti organizace samotné. V budoucnu se mohou vyskytnout situace, kdy se na vás lidé obrátí s oprávněnou žádostí týkající se jejich osobních údajů. Vy to budete muset v souladu s právem vyřídit. Pamatujte na pravidla ohlašování bezpečnostních incidentů dozorovým úřadům, případně jejich oznamování samotným subjektům údajů. Ve finále to budou právě lidé, kdo rozhodne o skutečném dopadu GDPR na vaší činnost a důsledcích eventuálního nedodržení pravidel.

Implementace GDPR vám sice v začátcích může přidělat na čele pár vrásek, v dlouhodobém horizontu vám jich však mnohem více ušetří.

david_horn.png

Autor článku

David Horn

Advokátní kancelář Slaninová Vokál

V Advokátní kanceláři Slaninová Vokál se mimo jiné věnují problematice ochrany osobních údajů ve vztahu k novému nařízení (tzv. GDPR). Neziskovým organizacím připravují posouzení vlivu GDPR na míru a zavádějí nezbytné procesy a dokumenty do jejich každodenního života.

Další články autora (2)

Zůstaňte v obraze

Držte krok se Světem neziskovek, ať vás nepředběhne. To nejzajímavější vám ve správnou chvíli pošleme e-mailem:

Partneři Světa neziskovek

Ani Svět neziskovek se neobejde bez cookies - abyste si tenhle web opravdu vychutnali.
A o ochraně dat chci zjistit víc.