GDPR

Koho sa GDPR týka?

Každého, kto spracúva osobné údaje ľudí z Európskej únie. Veľkosť firmy na tom nič nemení. Živnostník s kontaktným formulárom na webe spadá pod rovnaké nariadenie ako banka, líši sa len rozsah povinností.

Formálne ide o nariadenie (EÚ) 2016/679 a na Slovensku ho dopĺňa zákon č. 18/2018 Z. z. o ochrane osobných údajov. Dozor vykonáva Úrad na ochranu osobných údajov Slovenskej republiky.

Čo je vlastne osobný údaj?

Čokoľvek, podľa čoho sa dá identifikovať konkrétny človek. Nie je to len meno a rodné číslo:

• E-mailová adresa vrátane firemnej v tvare meno.priezvisko@firma.sk.
• Telefónne číslo a adresa.
• Fotografia, na ktorej je človek rozpoznateľný.
• IP adresa a identifikátor v cookies.
• Záznam rozhovoru s chatbotom, keď v ňom človek nechá kontakt.

Práve posledné dva body prekvapujú najčastejšie. Meranie návštevnosti a chat na webe pracujú s osobnými údajmi aj vtedy, keď majiteľ webu žiadne meno nevidí.

Čo musí mať firma s webom?

Pri bežnom webe malej firmy ide o štyri veci, ktoré sa dajú vybaviť raz a potom už len udržiavať:

• Zásady ochrany osobných údajov. Zrozumiteľný text, ktorý hovorí, aké údaje zbierate, prečo, ako dlho ich držíte a komu ich posielate.
• Právny základ pre každé spracovanie. Najčastejšie súhlas pri newslettri, plnenie zmluvy pri objednávke a zákonná povinnosť pri účtovníctve.
• Cookie lišta, ktorá pýta súhlas vopred. Meranie sa nesmie spustiť skôr, než človek klikne.
• Prehľad o dodávateľoch. E-mailový nástroj, hosting alebo rezervačný systém pracujú s vašimi údajmi a majú byť vymenované.

Hrozia naozaj pokuty dvadsať miliónov?

Strop v nariadení je 20 miliónov eur alebo 4 % z celosvetového ročného obratu, podľa toho, čo je vyššie. To číslo sa v článkoch o GDPR cituje najradšej, lebo strašenie funguje.

Realita slovenskej malej firmy vyzerá inak. Tie sumy sú stropy pre najzávažnejšie prípady, kde ide o systémové zlyhanie alebo o dáta miliónov ľudí. Úrad je pri ukladaní pokút viazaný primeranosťou a berie do úvahy závažnosť, úmysel a mieru spolupráce. Bežnejším výsledkom kontroly je pokyn na nápravu.

Praktickejší dôvod, prečo to riešiť, je iný. Neporiadok v údajoch sa prejaví skôr než kontrola: klientka požiada o vymazanie a nikto nevie, v koľkých tabuľkách jej meno je.

Na čo si dať pozor

Súhlas nie je všeliek. Vypýtať si súhlas na všetko je pohodlné, ale súhlas sa dá kedykoľvek odvolať. Pri objednávke alebo účtovníctve sú správnym základom zmluva a zákon, nie súhlas.

Skopírovaný text z iného webu je riziko. Zásady ochrany osobných údajov prevzaté od konkurencie pravdepodobne menujú nástroje, ktoré nepoužívate, a zamlčia tie vaše.

Vymazanie znamená všade. Žiadosť o výmaz sa týka aj exportov v tabuľkách, záloh a kópie v e-mailovom nástroji, nielen záznamu v systéme.

Časté otázky