V súčasnom digitálnom veku sa kybernetické hrozby stávajú neoddeliteľnou súčasťou podnikania a každodenného života. Pre firmy, ktoré spracúvajú osobné údaje, je otázka kybernetickej bezpečnosti úzko prepojená s dodržiavaním Nariadenia o ochrane osobných údajov (GDPR). Mnohí si však nie sú istí, kedy konkrétny bezpečnostný incident presiahne rámec bežnej prevádzkovej udalosti a stane sa plnohodnotným porušením GDPR s vážnymi právnymi dôsledkami. Pochopenie tejto hranice je kľúčové pre efektívnu ochranu dát, minimalizáciu rizík a udržanie dôvery zákazníkov. Tento článok sa ponorí do podstaty tohto prepojenia a objasní, kedy už kybernetický incident znamená porušenie zákona podľa GDPR.

1. Základné princípy a prepojenie kyberbezpečnosti a GDPR

Na úvod je dôležité si objasniť, čo presne znamenajú pojmy kyberbezpečnosť a GDPR a ako sa vzájomne dopĺňajú.

Čo je kyberbezpečnosť?

Kyberbezpečnosť predstavuje súbor technických, organizačných a personálnych opatrení, ktorých cieľom je chrániť informačné systémy, siete, programy a údaje pred digitálnymi útokmi, poškodením, neoprávneným prístupom alebo zneužitím. Jej hlavnou úlohou je zabezpečiť dôvernosť, integritu a dostupnosť informácií.

Čo je GDPR?

GDPR (General Data Protection Regulation) je nariadenie Európskej únie, ktoré nadobudlo účinnosť v máji 2018 a stanovuje pravidlá pre spracúvanie osobných údajov fyzických osôb v rámci EÚ. Jeho primárnym cieľom je posilniť práva občanov EÚ na ochranu ich osobných údajov a zabezpečiť jednotný prístup k ochrane dát naprieč členskými štátmi. GDPR kladie dôraz na princíp zodpovednosti (accountability), čo znamená, že prevádzkovatelia musia byť schopní preukázať súlad s nariadením.

Prepojenie kyberbezpečnosti a GDPR

Kyberbezpečnosť a GDPR sú neoddeliteľne spojené. GDPR priamo nevyžaduje konkrétne technologické riešenia, ale ukladá prevádzkovateľom povinnosť zaviesť primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti zodpovedajúcej riziku. Bez robustnej kybernetickej bezpečnosti nie je možné splniť požiadavky GDPR na ochranu osobných údajov. Kyberbezpečnosť tak slúži ako fundamentálny nástroj pre dodržiavanie GDPR, najmä pokiaľ ide o zabezpečenie dôvernosti, integrity a dostupnosti spracúvaných osobných údajov.

2. Kľúčové princípy GDPR s dopadom na bezpečnosť údajov

GDPR definuje sedem kľúčových princípov spracúvania osobných údajov, z ktorých niektoré majú priamy vplyv na požiadavky v oblasti kybernetickej bezpečnosti a sú základom pre posúdenie, kedy dochádza k porušeniu zákona.

• Zásada zákonnosti, spravodlivosti a transparentnosti: Osobné údaje sa musia spracúvať zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. Hoci to priamo nesúvisí s bezpečnosťou, transparentnosť o tom, ako sú údaje chránené, je dôležitá.
• Zásada obmedzenia účelu: Osobné údaje sa musia zhromažďovať na konkrétne, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi. Dôležité je zabezpečiť, aby bezpečnostné incidenty neviedli k zneužitiu údajov na iné účely.
• Zásada minimalizácie údajov: Spracúvané osobné údaje musia byť primerané, relevantné a obmedzené na nevyhnutný rozsah vo vzťahu k účelom, na ktoré sa spracúvajú. Menej dát znamená menšie riziko v prípade úniku.
• Zásada presnosti: Osobné údaje musia byť presné a v prípade potreby aktualizované. Musia sa prijať všetky primerané opatrenia na zabezpečenie toho, aby sa osobné údaje, ktoré sú nepresné, s prihliadnutím na účely, na ktoré sa spracúvajú, bez zbytočného odkladu vymazali alebo opravili. Bezpečnostné opatrenia musia chrániť integritu údajov pred neoprávnenou zmenou.
• Zásada obmedzenia uchovávania: Osobné údaje sa musia uchovávať vo forme, ktorá umožňuje identifikáciu dotknutých osôb, len po dobu, ktorá je nevyhnutná na účely, na ktoré sa osobné údaje spracúvajú. Dátové úniky z archívnych systémov môžu byť rovnako závažné.
• Zásada integrity a dôvernosti (bezpečnosti): Osobné údaje sa musia spracúvať spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení. Tento princíp je jadrom požiadaviek GDPR v oblasti kybernetickej bezpečnosti.
• Zásada zodpovednosti: Prevádzkovateľ je zodpovedný za dodržiavanie všetkých vyššie uvedených zásad a musí byť schopný ich dodržiavanie preukázať. Znamená to nielen implementovať bezpečnostné opatrenia, ale aj ich dokumentovať a byť schopný preukázať ich efektívnosť.

3. Čo presne je „porušenie ochrany osobných údajov“ podľa GDPR?

Kľúčovou definíciou, ktorá určuje, kedy sa kybernetický incident stáva porušením zákona podľa GDPR, je definícia „porušenia ochrany osobných údajov“ uvedená v článku 4 bod 12 GDPR.

Podľa nej je „porušením ochrany osobných údajov“ porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému sprístupneniu osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo k neoprávnenému prístupu k nim.

Rozbor definície:

• Porušenie bezpečnosti: Musí ísť o incident, ktorý narúša bezpečnostné opatrenia.
• Náhodné alebo nezákonné: Nezáleží na tom, či incident vznikol úmyselne (kybernetický útok) alebo neúmyselne (ľudská chyba, zlyhanie systému). Obe situácie môžu viesť k porušeniu.
• Spracúvané osobné údaje: Incident sa musí týkať osobných údajov, ktoré sú v procese prenosu, uchovávania alebo akéhokoľvek iného spracúvania.
• Dôsledok porušenia: Musí dôjsť k jednému z nasledujúcich stavov:
  • Zničenie: Údaje sú nenávratne stratené alebo poškodené.
  • Strata: Údaje sú nedostupné, aj keď nie sú nutne zničené (napr. ukradnutý disk).
  • Zmena: Údaje sú neoprávnene upravené alebo sfalšované.
  • Neoprávnené sprístupnenie: Údaje sú odhalené osobám, ktoré k nim nemajú mať prístup.
  • Neoprávnený prístup: K údajom získa prístup neoprávnená osoba, hoci ich nemusela priamo „sprístupniť“ iným.

Je kľúčové pochopiť, že nie každý bezpečnostný incident je automaticky porušením ochrany osobných údajov podľa GDPR. Ak napríklad dôjde k napadnutiu servera, ale neobsahoval žiadne osobné údaje, alebo útočník nezískal k týmto údajom prístup ani ich nezmenil, nejde o porušenie ochrany osobných údajov v zmysle GDPR. Avšak, ak bol narušený systém s osobnými údajmi a došlo k jednej z vyššie uvedených udalostí, ide o porušenie.

4. Typy kybernetických incidentov vedúcich k porušeniu GDPR

Kybernetické incidenty môžu mať rôzne podoby, ale všetky majú potenciál prerásť do porušenia ochrany osobných údajov, ak sú ohrozené osobné údaje. Tu sú niektoré najčastejšie scenáre:

4.1 Malware a Ransomware

• Popis: Zlovoľný softvér (vírusy, trójske kone, ransomware), ktorý infikuje systémy, kradne údaje, šifruje ich alebo narúša ich integritu. Ransomware je obzvlášť nebezpečný, pretože šifruje dáta a požaduje výkupné za ich obnovenie, čím spôsobuje stratu dostupnosti a často aj integrity.
• Ako vedie k porušeniu GDPR:
  • Strata/Zničenie: Ransomware šifruje dáta, čím ich robí nedostupnými a de facto stratenými, ak nie sú dostupné spoľahlivé zálohy.
  • Neoprávnené sprístupnenie/prístup: Niektoré malvéry sú navrhnuté na exfiltráciu dát (krádež) a ich odoslanie na externý server, čo predstavuje neoprávnené sprístupnenie.
  • Zmena: Niektoré vírusy môžu dáta modifikovať alebo poškodiť.

4.2 Phishing a Sociálne inžinierstvo

• Popis: Útočníci manipulujú ľudí, aby prezradili dôverné informácie (napr. prihlasovacie údaje) alebo vykonali akcie, ktoré ohrozia bezpečnosť (napr. kliknutie na škodlivý odkaz).
• Ako vedie k porušeniu GDPR:
  • Neoprávnený prístup/sprístupnenie: Získanie prihlasovacích údajov k systémom obsahujúcim osobné údaje umožňuje útočníkovi priamy prístup k nim, čo je neoprávnený prístup. Ak ich zverejní, je to sprístupnenie.

4.3 Úniky dát spôsobené internou chybou alebo zanedbaním

• Popis: Incidenty spôsobené ľudským faktorom, ako je nesprávne odoslanie e-mailu s osobnými údajmi nesprávnemu príjemcovi, strata dátového nosiča (USB, laptop), nezabezpečená konfigurácia servera, zverejnenie dát na verejnom cloude bez zabezpečenia alebo ponechanie otvorených systémov.
• Ako vedie k porušeniu GDPR:
  • Neoprávnené sprístupnenie/prístup: Odoslanie dát nesprávnej osobe, strata zariadenia s nešifrovanými dátami alebo zverejnenie dát na internete predstavuje neoprávnené sprístupnenie.
  • Strata: Strata zariadenia môže znamenať stratu dát, ak nie sú k dispozícii zálohy.

4.4 Nezákonný prístup (Hacking)

• Popis: Priame útoky na systémy a siete s cieľom získať neoprávnený prístup k dátam. Môže ísť o zneužitie zraniteľností softvéru, slabých hesiel alebo prelomenie bezpečnostných bariér.
• Ako vedie k porušeniu GDPR:
  • Neoprávnený prístup/sprístupnenie: Primárnym cieľom je získať prístup k dátam, čo je porušenie. Ak sú dáta ukradnuté a zverejnené, ide o sprístupnenie.
  • Zmena/Zničenie: Niektorí útočníci môžu dáta zmeniť alebo zničiť.

4.5 Fyzická strata alebo krádež dátových nosičov

• Popis: Krádež alebo strata fyzických médií, ako sú servery, pevné disky, USB kľúče, notebooky alebo dokonca papierové dokumenty, ktoré obsahujú osobné údaje.
• Ako vedie k porušeniu GDPR:
  • Strata: Ak sú dáta na ukradnutom médiu stratené.
  • Neoprávnený prístup/sprístupnenie: Ak sú dáta na médiu nešifrované a útočník k nim získa prístup.

5. Povinnosti prevádzkovateľa po zistení porušenia GDPR

Ak dôjde k porušeniu ochrany osobných údajov, GDPR ukladá prevádzkovateľovi prísne povinnosti, ktoré je potrebné dodržať. Ich nedodržanie môže viesť k značným pokutám a ďalším sankciám.

5.1 Okamžité kroky po incidente

Po zistení incidentu, ktorý by mohol byť porušením ochrany osobných údajov, je kľúčové konať rýchlo a metodicky:

• Detekcia a overenie: Identifikujte povahu incidentu, rozsah a typ dotknutých dát.
• Izolácia: Oddeľte postihnuté systémy, aby ste zabránili ďalšiemu šíreniu porušenia.
• Eliminácia: Odstráňte príčinu incidentu (napr. malvér, zraniteľnosť).
• Obnova: Obnovte dáta a systémy z bezpečných záloh.
• Interné vyšetrovanie: Zistite, čo sa stalo, ako k tomu došlo, aké údaje boli dotknuté, a kto je potenciálne zodpovedný.
• Dokumentácia: Všetky kroky, zistenia a rozhodnutia musia byť dôkladne zaznamenané. Táto dokumentácia je kľúčová pre preukázanie súladu s GDPR.

5.2 Oznámenie dozornému orgánu (ÚOOÚ)

Prevádzkovateľ má povinnosť oznámiť porušenie ochrany osobných údajov Úradu na ochranu osobných údajov Slovenskej republiky (ÚOOÚ) bez zbytočného odkladu, a ak je to možné, najneskôr do 72 hodín od momentu, keď sa o ňom dozvedel. Táto povinnosť platí, ak porušenie pravdepodobne povedie k riziku pre práva a slobody fyzických osôb.

Kedy je povinné oznámenie?

Ak incident predstavuje riziko pre práva a slobody dotknutých osôb. Príklady rizík: finančná strata, krádež identity, diskriminácia, poškodenie reputácie, strata dôvernosti citlivých údajov. Ak neexistuje riziko, oznámenie nie je povinné, no musíte vedieť preukázať, prečo riziko neexistovalo (napr. dáta boli silne zašifrované).

Obsah oznámenia:

Oznámenie by malo obsahovať minimálne:

• povahu porušenia ochrany osobných údajov,
• kategórie a približný počet dotknutých osobných údajov a kategórie a približný počet dotknutých osôb,
• kontaktné miesto, kde možno získať ďalšie informácie,
• pravdepodobné následky porušenia,
• prijaté alebo navrhované opatrenia na riešenie porušenia, vrátane opatrení na zmiernenie jeho prípadných nepriaznivých dôsledkov.

5.3 Oznámenie dotknutým osobám

Ak porušenie ochrany osobných údajov pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ má povinnosť oznámiť porušenie aj dotknutým osobám, a to bez zbytočného odkladu. Oznámenie musí byť vyhotovené jasným a jednoduchým jazykom.

Kedy je povinné oznámenie dotknutým osobám?

Iba ak je riziko vysoké. Táto hranica je vyššia ako pri oznámení dozornému orgánu. Príkladom vysokého rizika je únik zdravotných údajov, finančných údajov alebo údajov, ktoré môžu viesť k diskriminácii či krádeži identity.

Výnimky z povinnosti oznámenia dotknutým osobám:

Oznámenie dotknutým osobám nie je potrebné, ak:

• prevádzkovateľ prijal primerané technické a organizačné ochranné opatrenia (napr. šifrovanie) a tieto opatrenia boli aplikované na osobné údaje dotknuté porušením,
• prevádzkovateľ prijal následné opatrenia, ktorými sa zabezpečí, že vysoké riziko sa už pravdepodobne nebude realizovať,
• by si oznámenie vyžadovalo neprimerané úsilie (v takom prípade sa namiesto toho použije verejné oznámenie alebo podobné opatrenie).

6. Dôsledky nedodržania GDPR a porušenia ochrany osobných údajov

Nedodržanie požiadaviek GDPR, najmä v prípade porušenia ochrany osobných údajov, môže mať pre prevádzkovateľa vážne, niekedy až katastrofálne dôsledky. Tieto dôsledky sa netýkajú len finančnej sféry, ale aj reputácie a prevádzky spoločnosti.

6.1 Finančné sankcie

GDPR umožňuje uložiť prevádzkovateľom a sprostredkovateľom vysoké pokuty za porušenie jeho ustanovení. Výška pokút závisí od závažnosti porušenia, povahy dotknutých údajov, počtu dotknutých osôb a ďalších faktorov.

• Až do 10 miliónov EUR alebo 2 % celkového ročného svetového obratu podniku za predchádzajúci fiškálny rok, podľa toho, ktorá suma je vyššia, za menej závažné porušenia (napr. porušenie povinností týkajúcich sa technických a organizačných opatrení, záznamov o spracovateľských činnostiach).
• Až do 20 miliónov EUR alebo 4 % celkového ročného svetového obratu podniku za predchádzajúci fiškálny rok, podľa toho, ktorá suma je vyššia, za závažné porušenia (napr. porušenie základných princípov spracúvania, práv dotknutých osôb alebo podmienok súhlasu).

Pri určovaní výšky pokuty dozorné orgány zohľadňujú okrem iného aj to, či prevádzkovateľ konal proaktívne, aké kroky podnikol po incidente, či bol ústretový a spolupracujúci.

6.2 Reputačné škody

Okrem finančných pokút sú často rovnako, ak nie viac, zničujúce pre spoločnosť reputačné škody. Únik dát alebo iné porušenie ochrany osobných údajov môže viesť k:

• Strate dôvery zákazníkov: Ak zákazníci stratia dôveru v schopnosť spoločnosti chrániť ich údaje, pravdepodobne prejdú ku konkurencii.
• Negatívnej medializácii: Prípady úniku dát sú často predmetom rozsiahlych správ v médiách, čo poškodzuje značku a verejný obraz spoločnosti.
• Dopadu na obchodné vzťahy: Partneri a dodávatelia môžu prehodnotiť svoje vzťahy so spoločnosťou, ktorá sa nedokázala postarať o ochranu dát.
• Zníženiu hodnoty značky: Dlhodobé následky na vnímanie značky a jej trhovú hodnotu.

6.3 Právne nároky dotknutých osôb

Dotknuté osoby, ktorých práva boli porušením ochrany osobných údajov poškodené, majú právo požadovať náhradu škody (materiálnej aj nemateriálnej). To môže viesť k hromadným žalobám a súdnym sporom, ktoré sú časovo a finančne náročné.

6.4 Regulačné opatrenia

Dozorné orgány majú právomoc nielen ukladať pokuty, ale aj nariadiť nápravné opatrenia, ako sú:

• Príkazy na vykonanie zmien v spracovateľských činnostiach.
• Dočasné alebo trvalé obmedzenie spracúvania údajov.
• Príkaz na vymazanie údajov.
• Zákaz spracúvania osobných údajov.

7. Proaktívne opatrenia a osvedčené postupy na predchádzanie porušeniam

Najlepšou obranou proti porušeniu GDPR je robustná prevencia. Implementácia proaktívnych opatrení a dodržiavanie osvedčených postupov v oblasti kybernetickej bezpečnosti môže výrazne znížiť riziko incidentov a potenciálnych porušení zákona.

7.1 Implementácia technických a organizačných opatrení (TOM)

Tieto opatrenia sú základom pre zabezpečenie dôvernosti, integrity a dostupnosti dát:

• Šifrovanie dát: Šifrovanie citlivých osobných údajov (napr. v databázach, na diskoch, pri prenose) zabezpečuje, že aj v prípade úniku dát sú pre neoprávnené osoby nečitateľné.
• Riadenie prístupu: Implementácia princípu minimálnych oprávnení (least privilege), čo znamená, že zamestnanci majú prístup len k tým dátam a systémom, ktoré sú nevyhnutné pre ich prácu. Používanie silných hesiel a pravidelná zmena hesiel.
• Dvojfaktorová autentifikácia (2FA/MFA): Dodatočná vrstva zabezpečenia, ktorá výrazne sťažuje neoprávnený prístup aj v prípade prelomenia hesla.
• Pravidelné zálohovanie dát: Pravidelné a testované zálohy sú kľúčové pre rýchlu obnovu dát po incidente (napr. ransomware útoku).
• Antivírusové a anti-malware riešenia: Aktuálna ochrana proti škodlivému softvéru na všetkých koncových bodoch a serveroch.
• Firewall a IDS/IPS: Sieťové bezpečnostné prvky na monitorovanie a riadenie sieťovej prevádzky, detekciu a prevenciu útokov.
• Patch management: Pravidelná aktualizácia softvéru a operačných systémov s cieľom odstrániť známe bezpečnostné zraniteľnosti.
• Zabezpečená konfigurácia: Všetky systémy by mali byť nakonfigurované podľa bezpečnostných štandardov, minimalizujúc otvorenosť voči útokom.

7.2 Školenia zamestnancov

Ľudský faktor je často najslabším článkom v reťazci kybernetickej bezpečnosti. Preto sú pravidelné školenia nevyhnutné:

• Povedomie o hrozbách: Školenie zamestnancov o rozpoznávaní phishingových útokov, sociálneho inžinierstva a iných kybernetických hrozieb.
• Interné politiky a postupy: Zabezpečenie, aby zamestnanci poznali a dodržiavali interné bezpečnostné politiky (napr. politika čistého stola, zabezpečenie zariadení).
• Správa hesiel: Vzdelávanie o dôležitosti silných a unikátnych hesiel.

7.3 Plán reakcie na incidenty (IRP)

Mať pripravený a otestovaný plán pre prípad bezpečnostného incidentu je kriticky dôležité pre minimalizáciu škôd:

• Detekcia a analýza: Postupy pre včasné odhalenie incidentu a jeho analýzu.
• Izolácia a obmedzenie: Kroky na zastavenie šírenia incidentu.
• Eradikácia a obnova: Odstránenie príčiny a obnova systémov a dát.
• Ponaučenie: Po incidente je dôležité vyhodnotiť, čo fungovalo a čo nie, a vylepšiť procesy.

7.4 Pravidelné audity a hodnotenie rizík

Trvalé monitorovanie a hodnotenie stavu bezpečnosti:

• Posúdenie vplyvu na ochranu údajov (DPIA): Vykonávanie DPIA pri zavádzaní nových technológií alebo procesov, ktoré by mohli predstavovať vysoké riziko pre práva a slobody dotknutých osôb.
• Penetračné testy a skeny zraniteľností: Pravidelné testovanie systémov a aplikácií na odhalenie slabých miest predtým, než ich zneužijú útočníci.
• Interné audity: Pravidelná kontrola dodržiavania bezpečnostných politík a postupov.

7.5 Zmluvy so sprostredkovateľmi

Ak spracúvanie osobných údajov vykonáva tretia strana (sprostredkovateľ), je nevyhnutné mať s ňou uzatvorenú zmluvu o spracúvaní osobných údajov, ktorá garantuje, že aj sprostredkovateľ dodržiava požiadavky GDPR a má zavedené primerané bezpečnostné opatrenia.

Dodržiavaním týchto proaktívnych opatrení môže spoločnosť nielen splniť svoje zákonné povinnosti vyplývajúce z GDPR, ale aj výrazne posilniť svoju celkovú kybernetickú odolnosť a chrániť svoju povesť.

Záver

V prepojenom svete je otázka kybernetickej bezpečnosti už dávno viac ako len technická záležitosť – je to kritický právny a etický záväzok, najmä v kontexte ochrany osobných údajov podľa GDPR. Tento článok objasnil, že porušenie ochrany osobných údajov v zmysle GDPR neznamená len klasický „hacking“ alebo únik dát, ale akýkoľvek bezpečnostný incident, ktorý vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému sprístupneniu alebo prístupu k osobným údajom. Rozsah týchto incidentov je široký, od sofistikovaných kybernetických útokov až po jednoduché ľudské chyby, čo podčiarkuje komplexnosť výziev, ktorým čelia prevádzkovatelia.

Pochopenie definície porušenia je len prvým krokom. Kľúčové je uvedomiť si závažné dôsledky, ktoré z takýchto porušení plynú. Finančné pokuty v desiatkach miliónov eur sú síce odstrašujúce, no často menej deštruktívne ako strata dôvery zákazníkov, poškodenie reputácie a s tým spojené dlhodobé obchodné dopady. GDPR jasne stanovuje, že prevádzkovatelia majú nielen povinnosť chrániť údaje, ale aj bezodkladne reagovať na incidenty – oznámiť ich dozornému orgánu a v prípade vysokého rizika aj dotknutým osobám. Zlyhanie v ktorejkoľvek z týchto fáz je samo o sebe porušením zákona s ďalšími sankciami.

Jedinou účinnou obranou proti týmto rizikám je komplexný a proaktívny prístup ku kybernetickej bezpečnosti. To zahŕňa robustné technické opatrenia, ako je šifrovanie a dvojfaktorová autentifikácia, rovnako ako aj organizačné postupy – pravidelné školenia zamestnancov, detailné plány reakcie na incidenty a neustále hodnotenie rizík. GDPR nie je len súborom byrokratických pravidiel; je to rámec pre budovanie odolnosti, dôvery a zodpovednosti v digitálnom svete. Pre spoločnosti, ktoré si uvedomujú prepojenie medzi kybernetickou bezpečnosťou a ochranou súkromia, je súlad s GDPR nielen právnou povinnosťou, ale aj strategickou výhodou, ktorá posilňuje ich pozíciu na trhu a buduje dlhodobé vzťahy so zákazníkmi založené na dôvere.