Shrnutí: GDPR se používá od 25. května 2018 a sjednotilo základní pravidla ochrany osobních údajů v Evropské unii. Firmy musí umět vysvětlit, proč údaje potřebují, chránit je a respektovat práva lidí. Souhlas přitom není nutný při každém zpracování. Také v roce 2026 se tato pravidla promítají do běžného nakupování, používání internetu i podnikání. Co konkrétně změnila a na co si dát pozor?
Nejste si jistí, zda tomu odpovídá i fungování vaší firmy? V rámci GDPR auditu prověříme dokumentaci a navrhneme konkrétní úpravy.
Zkratka GDPR pochází z anglického názvu General Data Protection Regulation, tedy obecné nařízení o ochraně osobních údajů. Jde o přímo použitelný předpis Evropské unie, který upravuje pravidla zpracování osobních údajů. V České republice jej doplňuje zákon o zpracování osobních údajů. GDPR proto není český zákon, přestože se pro něj v běžné řeči někdy používá nepřesné označení „zákon o GDPR“.
Právní rámec pro ochranu osobních údajů existoval už před GDPR. V Česku jsme se řídili zákonem o ochraně osobních údajů. Tento zákon vycházel ze směrnice 95/46/ES, která začala platit už v roce 1995. Ovšem problém byl v tom, že každý stát v Evropské unii si tuto směrnici vykládal trochu jinak. A výsledkem potom bylo roztříštěné právní prostředí, kdy se firmy v každé zemi musely řídit jinými pravidly. To bylo potřeba s rostoucí globalizací a rozpínajícím se digitálním světem upravit.
Už od 90. let začal technologický boom. Směrnice z 90. let nedokázala adekvátně reagovat na fenomény, jako jsou sociální sítě, e-shopy, cloudová uložiště nebo mobilní aplikace. V lidech začala narůstat obava z toho, jak snadno může někdo zneužít jejich osobní data a že nemají kontrolu nad tím, co se s jejich informacemi děje. Tudíž bylo nejen nutné, ale i žádoucí začít data lépe chránit.
Využijte naši službu GDPR audit a zjistěte, zda jsou všechny procesy ve vaší firmě nastavené tak, aby splňovaly zákon. Při hloubkovém auditu se můžou ukázat místa, na nichž je potřeba zapracovat. Učiňte tak dřív, než doplatíte na svou neznalost.
Hlavními cíli, kterých GDPR mělo dosáhnout, je:
Evropská komise připravila návrh pro GDPR už v roce 2012. Ovšem po několika letech vyjednávání bylo nakonec GDPR nařízení schváleno až v roce 2016, a to s dvouletým přechodným obdobím. Od 25. května 2018 již platí přímo ve všech členských státech Evropské unie bez nutnosti přijetí vnitrostátního zákona – tím se liší od dřívější směrnice.
Zavedení obecného nařízení o ochraně osobních údajů způsobilo už před rokem 2018 velkou vlnu nejistoty. Firmy, instituce i úřady se připravovaly narychlo, mnohdy s obavami z obřích pokut. V té době vzniklo mnoho mýtů (například že bez souhlasu nesmíte ani uložit e-mail do adresáře) a například na školy se valily stovky dotazů od rodičů.
Postupem času se však celá situace uklidnila. Větší firmy začaly systematicky zavádět a nastavovat vnitřní procesy. Menší podnikatelé a živnostníci mívají nároky, které musí splnit, podstatně nižší, ovšem i oni se museli naučit, jak například informovat klienty o tom, jak s jejich daty zacházejí.
Viditelnou změnou byly podrobnější informace o zpracování osobních údajů na webech a větší důraz na to, kdo má k údajům přístup. GDPR však neznamená, že každá registrace nebo objednávka musí obsahovat souhlas. Pokud firma potřebuje údaje k poskytnutí objednané služby, může je zpracovávat na základě plnění smlouvy. Informování zákazníka o zpracování údajů je samostatná povinnost, kterou nelze zaměňovat se získáním souhlasu.
Od roku 2018 podobu ochrany osobních údajů výrazně ovlivňují rozsudky Soudního dvora EU a výklady dozorových orgánů. Firmy proto nemohou spoléhat pouze na dokumentaci připravenou při zavedení GDPR. Musí sledovat také to, jak se pravidla uplatňují na nové technologie a konkrétní způsoby zpracování.
Kauza z praxe soudů: Předávání údajů do USA
V rozsudku Schrems II z července 2020 Soudní dvůr EU zneplatnil tehdejší mechanismus Privacy Shield pro předávání osobních údajů do USA. Současně potvrdil platnost standardních smluvních doložek, zdůraznil však potřebu posoudit skutečnou úroveň ochrany v cílové zemi. Pro firmy tak rozsudek ukázal, že samotný podpis smluvního dokumentu nemusí pro zákonné předávání údajů stačit.
Cookies se řídí i dalšími pravidly
Cookie lišty nejsou pouze důsledkem GDPR. V Česku se souhlas s ukládáním jiných než nezbytných cookies opírá také o zákon o elektronických komunikacích; změna na princip předchozího souhlasu se uplatňuje od ledna 2022. Nezbytné technické cookies lze používat bez souhlasu. U ostatních musí mít návštěvník možnost jejich použití odmítnout. Pokud se prostřednictvím cookies zpracovávají osobní údaje, uplatní se také GDPR.
Tip: V posledních letech roste obliba služeb, které nabízejí možnost najít své předky pomocí DNA. I tato oblast úzce souvisí s GDPR. Více se o tom dozvíte v našem článku.
Abyste lépe porozuměli tomu, jak zákon o GDPR funguje, shrneme vám několik základních pojmů, které tvoří gró celého GDPR.
GDPR potom staví na sedmi základních zásadách:
1. Zákonnost, korektnost a transparentnost
2. Účelové omezení
3. Minimalizace údajů
4. Přesnost
5. Omezení uložení
6. Integrita a důvěrnost
7. Odpovědnost správce
To znamená, že pokud například někdo provozuje fitness centrum, pak nemůže po svých zákaznících požadovat rodní číslo. Pro provoz služby to totiž není nezbytné. Fitness centrum se musí spokojit se jménem, e-mailem a případně telefonním číslem.
GDPR zákon přinesl jednotlivcům celou řadu práv, které chrání jejich zájmy. Mezi ty nejdůležitější patří:
Právo na výmaz: Za stanovených podmínek můžete žádat odstranění svých údajů. Výmaz však není bezvýjimečný, například pokud správce musí údaje uchovávat podle zákona.
Správci musí výkon těchto práv umožnit a informovat lidi o zpracování jejich údajů. Povinnost vést záznamy o činnostech zpracování má zákonné výjimky; malá firma by však neměla automaticky předpokládat, že se na ni nevztahuje. Porušení zabezpečení se ohlašuje ÚOOÚ pokud možno do 72 hodin od zjištění, ledaže je nepravděpodobné, že by představovalo riziko pro práva a svobody lidí. Při vysokém riziku je zpravidla nutné informovat také dotčené osoby.
Tip: Máte v domě na chodbách nainstalované kamery, abyste věděli, co se kde děje, a mohli předcházet případným rizikům? Dost možná porušujete zákon. Přečtěte si, kdy jsou kamery na chodbách problém.
I když se GDPR nařízení může zdát složité, v praxi jde o to, aby firmy nezpracovávaly víc údajů, než kolik je nezbytně nutné, aby měly data, s nimiž pracují, pod kontrolou a aby při tomto zpracovávání respektovaly práva lidí.
Z naší praxe: S GDPR jsme pomáhali například e-shopu s elektronikou i finančnímu poradci. Pravidla ochrany údajů se týkají obou, konkrétní nastavení je však potřeba přizpůsobit tomu, jaké údaje podnikatel zpracovává a k čemu je používá.
E-shop obvykle nepotřebuje souhlas zákazníka ke zpracování údajů nezbytných pro přijetí a doručení objednávky. Právním důvodem je plnění smlouvy. Některé údaje následně uchovává kvůli zákonným povinnostem, například účetním. Musí ale zákazníkovi srozumitelně vysvětlit, jak s údaji nakládá, a zajistit jejich ochranu. Zasílání newsletteru se posuzuje samostatně také podle zákona o některých službách informační společnosti.
Používáte jeden společný souhlas pro objednávku, newsletter i další využití údajů? Nechte si v rámci GDPR auditu prověřit formuláře a návaznou dokumentaci.
Nařízení GDPR tak představuje jakýsi milník v oblasti našeho digitálního soukromí. I když se při jeho zavádění zvedla obrovská vlna obav, dnes se stalo naprosto přirozenou součástí právní kultury napříč Evropskou unií. Přineslo větší ochranu osobních údajů každého jednotlivce, ve firmách zavedlo větší odpovědnost, a především zvýšilo informovanost lidí o tom, co se s jejich daty děje.
GDPR se používá od května 2018 a sjednotilo základní pravidla ochrany osobních údajů v Evropské unii. Firmy musí mít pro zpracování právní důvod, shromažďovat jen potřebné údaje, chránit je a umožnit lidem uplatňovat jejich práva. Souhlas není univerzální podmínkou: například vyřízení objednávky se zpravidla opírá o plnění smlouvy. Od zavedení GDPR jeho praktické uplatňování dále upřesňují soudy a dozorové orgány. Podnikatelé proto potřebují průběžně kontrolovat dokumentaci i skutečné fungování procesů, včetně používání cookies a předávání údajů do zahraničí.
Bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti. U složitých nebo početných žádostí může lhůtu prodloužit o další dva měsíce, ale o prodloužení a jeho důvodech musí žadatele informovat během prvního měsíce.
Vyřízení je zpravidla bezplatné. U zjevně nedůvodných nebo nepřiměřených žádostí může správce za zákonných podmínek požadovat přiměřený poplatek nebo žádosti nevyhovět. Důvody musí být schopen doložit.
Ano, pokud jsou údaje součástí evidence nebo do ní mají být zařazeny. Může jít například o systematicky uspořádané zákaznické karty nebo zaměstnanecké složky.
Ne. Povinnost závisí na zákonných podmínkách, například na rozsáhlém pravidelném a systematickém monitorování lidí nebo rozsáhlém zpracování citlivých údajů v rámci hlavní činnosti. Samotné podnikání povinnost nezakládá.
Obecná registrační povinnost správců byla s GDPR zrušena. Firma však nadále musí plnit příslušné povinnosti a umět doložit soulad zpracování s pravidly.
Vyřešte libovolný právní problém s týmem Dostupného advokáta! Do 24 hodin vám navrhneme řešení vaší situace a spočítáme, kolik vás to bude stát. Cena za vypracování návrhu je 390 Kč. Když si u nás navržené služby objednáte, máte vypracování návrhu zdarma.
Ondřej je ten člověk, v jehož hlavě uzrál nápad poskytovat advokátní služby online. Právním službám se věnuje již déle než 15 let a rád klientům pomáhá, když si nevědí rady s právními problémy.
Ondřej je ten člověk, v jehož hlavě uzrál nápad poskytovat advokátní služby online. Právním službám se věnuje již déle než 15 let a rád klientům pomáhá, když si nevědí rady s právními problémy.
Váš případ posoudíme a navrhneme, jak ho vyřešit za 390 Kč.
Osobně i online. Stačí si vybrat vhodnou službu, nebo zvolit nezávislou konzultaci když si nejste jistí.
