Všeobecné nariadenie o ochrane údajov (GDPR) predstavuje jednu z najzásadnejších legislatívnych zmien v oblasti ochrany osobných údajov za posledné desaťročia. Platí od 25. mája 2018 a jeho hlavným cieľom je posilniť práva jednotlivcov pri spracúvaní ich osobných údajov v Európskej únii. GDPR sa dotýka prakticky každého subjektu, ktorý spracúva osobné údaje občanov EÚ – od malých e-shopov po globálne korporácie.
Na otázku „Čo mení nariadenie GDPR?“ možno stručne odpovedať: zásadne mení spôsob, akým organizácie nakladajú s osobnými údajmi, kladie dôraz na zodpovednosť, transparentnosť a bezpečnosť. Zavádza nové práva pre fyzické osoby, stanovuje prísnejšie požiadavky na súhlas so spracúvaním údajov a najmä zvyšuje výšku pokút za nedodržiavanie pravidiel. V tomto článku sa podrobne pozrieme na všetky kľúčové oblasti, ktoré GDPR ovplyvňuje, a povieme si, ako sa organizácie museli adaptovať na nové pravidlá.
Definícia a pôsobnosť GDPR
Na pochopenie toho, čo GDPR mení, je potrebné vedieť, čo všetko tento právny predpis zahŕňa a koho sa týka.
Čo je GDPR?
GDPR (General Data Protection Regulation) je nariadenie Európskej únie č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov. Ide o priamo uplatniteľný právny predpis, ktorý platí v celej EÚ bez potreby ďalšej transpozície do národného práva, a ktorý nahradil predchádzajúcu smernicu 95/46/ES.
Na koho sa GDPR vzťahuje?
- Prevádzkovateľ – osoba alebo organizácia, ktorá určuje účely a prostriedky spracúvania osobných údajov.
- Sprostredkovateľ – osoba alebo organizácia spracúvajúca osobné údaje v mene prevádzkovateľa.
- Dotknutá osoba – fyzická osoba, ktorej sa osobné údaje týkajú.
GDPR sa vzťahuje na každú organizáciu, ktorá spracúva osobné údaje občanov EÚ, bez ohľadu na to, kde sa fyzicky nachádza.
Hlavné práva jednotlivcov podľa GDPR
Jednou z najväčších zmien, ktorú nariadenie GDPR prinieslo, je posilnenie práv dotknutých osôb. Tieto práva poskytujú jednotlivcom väčšiu kontrolu nad ich údajmi.
1. Právo na prístup
Každý jednotlivec má právo vedieť, či a aké údaje o ňom organizácia spracúva, ako aj s akým účelom, ako dlho a komu sú poskytované.
2. Právo na opravu údajov
Ak sú spracúvané údaje nepresné alebo neúplné, máte právo požiadať o ich opravu alebo doplnenie.
3. Právo na vymazanie („právo byť zabudnutý“)
Jednotlivci môžu požiadať o odstránenie osobných údajov, ak prestanú existovať dôvody na ich spracovanie – napríklad po odvolaní súhlasu alebo uplynutí doby uchovávania.
4. Právo na obmedzenie spracúvania
Osoba môže žiadať, aby sa spracúvanie jej údajov dočasne obmedzilo – napríklad počas overovania ich presnosti.
5. Právo na prenosnosť údajov
Umožňuje jednotlivcom získať svoje osobné údaje vo formáte, ktorý možno preniesť do inej organizácie.
6. Právo namietať proti spracovaniu
Ak je spracovanie údajov založené na verejnom záujme alebo oprávnenom záujme prevádzkovateľa, osoba môže podať námietku. Organizácia potom musí dokazovať, že má silnejší právny dôvod na spracovanie.
Zmeny v súhlasoch a spracúvaní osobných údajov
Jedna z najzásadnejších zmien GDPR je v spôsobe, ako musia byť súhlasy udelené a spracované.
Striktné podmienky pre súhlas
- Súhlas musí byť dobrovoľný, konkrétny, informovaný a jednoznačný.
- Musí byť možné ho jednoduchým spôsobom odvolať.
- Nemôže byť vynútený – nesmie byť podmienkou poskytovania služby, keď nie je nevyhnutný.
Dokazovanie súhlasu
Prevádzkovateľ musí byť schopný preukázať, že súhlas bol skutočne udelený podľa kritérií stanovených v GDPR.
Zodpovednosť organizácií a dokumentácia
GDPR kladie dôraz na zodpovednosť spracovateľov a prevádzkovateľov. Organizácie musia aktívne preukazovať, že dodržiavajú nariadenie.
Interné pravidlá a dokumenty
- Záznamy o spracovateľských činnostiach – sú povinné pre väčšinu organizácií.
- Zásady ochrany osobných údajov – musia byť jasné, zrozumiteľné a ľahko dostupné.
- Interné bezpečnostné opatrenia – na ochranu údajov pred neoprávneným prístupom a únikom.
Posúdenie vplyvu na ochranu údajov (DPIA)
Ak je spracovanie údajov vysoko rizikové (napr. biometrické údaje), je potrebné vypracovať formálne posúdenie vplyvu vrátane plánov na zmiernenie rizík.
Bezpečnosť osobných údajov a incidenty
GDPR zavádza prísne požiadavky na bezpečnosť údajov a procesy reagovania na porušenie ochrany údajov.
Technické a organizačné opatrenia
- Šifrovanie údajov
- Antivírusová ochrana
- Pravidelné aktualizácie softvéru a zálohovania
- Prístup len oprávneným osobám
Hlásenie porušenia osobných údajov
Ak dôjde k incidentu (napr. únik údajov), musí byť Úrad na ochranu osobných údajov informovaný do 72 hodín, a ak je to potrebné, aj dotknuté osoby.
Povinnosti malých a veľkých organizácií
Hoci GDPR platí univerzálne, niektoré povinnosti závisia od typu a veľkosti organizácie.
Malé podniky a GDPR
Aj malé firmy musia GDPR dodržiavať, najmä ak pracujú s citlivými údajmi, osobnými údajmi vo veľkom rozsahu, alebo údaje monitorujú (napr. kamera).
Multinárodné firmy a zložité databázy
Veľké organizácie majú často zložitejšie systémy a množstvo dát – GDPR vyžaduje komplexný systém riadenia ochrany údajov vrátane personálnej a technologickej infraštruktúry.
Sankcie a dôsledky nedodržania GDPR
Jedna z najväčších motivačných síl pre dodržiavanie GDPR sú vysoké pokuty a ďalšie postihy.
Výška pokút
- Až 10 miliónov EUR alebo 2 % z celosvetového ročného obratu za menej závažné porušenia
- Až 20 miliónov EUR alebo 4 % z celosvetového ročného obratu za závažné porušenia (napr. spracovanie bez súhlasu, zlyhania bezpečnosti atď.)
Reputačné škody
Okrem finančných sankcií môže prísť k strate dôvery verejnosti a obchodných partnerov, čo môže byť pre firmy ešte bolestivejšie.
Prínosy GDPR pre spoločnosť
Hoci GDPR ukladá mnoho povinností, jeho zavedenie má aj výrazné pozitíva.
Pre jednotlivcov:
- Väčšia kontrola nad osobnými údajmi
- Jasnosť o tom, ako sú údaje používané
- Možnosť obrany v prípade zneužitia
Pre organizácie:
- Budovanie dôvery zákazníkov
- Efektívnejšie riadenie údajov
- Vyššia úroveň bezpečnosti
Záver
GDPR zásadne zmenilo spôsob, akým sa v Európskej únii nakladá s osobnými údajmi. Prinieslo nové práva pre jednotlivcov, zvýšené požiadavky na organizácie a prísne bezpečnostné opatrenia. Hoci implementácia GDPR vyžaduje investície času a zdrojov, z dlhodobého hľadiska ide o krok správnym smerom pre bezpečnosť a transparentnosť v digitálnom svete.
Pre akúkoľvek organizáciu, ktorá spracúva osobné údaje občanov EÚ, je nevyhnutné mať jasnú, transparentnú a v praxi funkčnú politiku ochrany údajov – a neustále sa prispôsobovať novému technologickému a právnemu vývoju v tejto oblasti.