GDPR pro malou firmu: co stačí a co ne

Správce, nebo zpracovatel

Podle Úřadu pro ochranu osobních údajů je správcem subjekt, který určuje účely a prostředky zpracování a nese hlavní odpovědnost. Zpracovatelem je ten, koho si správce najme, aby pro něj se zpracováním nakládal, a kdo jedná jen podle jeho pokynů.

Pro běžnou malou firmu to znamená, že vůči údajům svých zaměstnanců, zákazníků a dodavatelů jste správce. Zpracovatelé jsou typicky externí účetní nebo mzdová kancelář, poskytovatel e-mailu a cloudového úložiště, provozovatel e-shopové platformy, nástroj na rozesílání newsletterů nebo firma spravující docházkový systém.

Rozdíl není akademický. Správce musí umět doložit, na jakém základě zpracovává, informovat lidi a vyřizovat jejich žádosti. Se zpracovatelem musí mít smlouvu podle článku 28 GDPR. Když si role popletete, chybí vám buď dokument, nebo argument, a obojí se pozná až při kontrole nebo při stížnosti.

Dokumenty, které malá firma opravdu potřebuje

Většinu situací pokryjí čtyři věci:

• Záznamy o činnostech zpracování podle čl. 30 GDPR. Výjimka pro podniky pod 250 zaměstnanců existuje, ale platí jen tehdy, když zpracování nepředstavuje riziko pro práva a svobody osob, je příležitostné a nezahrnuje zvláštní kategorie údajů. Úřad k tomu sám uvádí, že výjimka je v praxi neuskutečnitelná, protože zpracování mezd ani zákaznické databáze příležitostné není.
• Zásady zpracování osobních údajů podle čl. 13 a 14 GDPR. Informace pro zaměstnance a pro zákazníky se liší, jeden text na webu obvykle nestačí.
• Zpracovatelské smlouvy podle čl. 28 odst. 3 GDPR. Musí být písemné, přičemž písemná forma zahrnuje i elektronickou podobu.
• Závazek mlčenlivosti osob, které mají k údajům přístup, spolu s pokynem, že s údaji pracují jen podle instrukcí zaměstnavatele.

Poznámka k připravované změně: Evropská komise navrhla zvýšit hranici v čl. 30 odst. 5 na 750 zaměstnanců. Návrh je součástí balíčku Digital Omnibus a zatím schválen nebyl. Platí tedy hranice 250 osob a je dobré nespoléhat na to, co se o chystaných změnách píše.

Právní tituly a nejčastější mýtus

Článek 6 odst. 1 GDPR nabízí šest právních titulů: souhlas, plnění smlouvy, splnění právní povinnosti, ochranu životně důležitých zájmů, plnění úkolu ve veřejném zájmu a oprávněný zájem.

Mýtus číslo jedna zní, že na všechno potřebujete souhlas. Nepotřebujete, a ve většině případů by byl dokonce nevhodný. Když zákazníkovi posíláte objednané zboží, zpracováváte adresu kvůli plnění smlouvy. Když archivujete faktury, plníte právní povinnost. Když vedete mzdovou agendu, plníte právní povinnost i smlouvu. Souhlas si šetřete na situace, kde má člověk skutečnou volbu a kde odmítnutí nic nezhorší, tedy typicky na marketingové cookies.

Praktický důsledek je zásadní: souhlas lze kdykoli odvolat. Kdybyste na něm postavili účetnictví, museli byste po odvolání údaje smazat, což zákon o účetnictví neumožňuje. Mýtus tedy není neškodný, vytváří falešnou povinnost a zároveň falešný slib.

Dva mýty navrch. GDPR nezakazuje jmenovky ani firemní e-maily ve tvaru jmeno.prijmeni a nevyžaduje smazání údajů na první požádání. Právo na výmaz má výjimky a jednou z nich je právě splnění právní povinnosti.

Pověřenec: kdy ano a kdy ne

Článek 37 odst. 1 GDPR ukládá jmenovat pověřence ve třech případech. Zpracování provádí orgán veřejné moci nebo veřejný subjekt s výjimkou soudů. Hlavní činnost správce nebo zpracovatele spočívá v operacích, které vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů. Nebo hlavní činnost spočívá v rozsáhlém zpracování zvláštních kategorií údajů či údajů o odsouzeních.

Klíčové je slovní spojení hlavní činnost. Pekárna, montážní firma nebo e-shop s obuví pověřence nepotřebují, i když mají tisíce zákazníků. Zpracování osobních údajů je u nich podpůrná činnost, ne předmět podnikání. Naopak agentura, jejímž produktem je sledování chování uživatelů, nebo zdravotnické zařízení do definice spadají.

Pověřence lze jmenovat dobrovolně. Pak ale platí celý režim článků 37 až 39 včetně nezávislosti a zveřejnění kontaktu. Dobrovolné jmenování má proto smysl zvážit, ne udělat pro jistotu.

Lhůty, které běží bez ohledu na to, jestli o nich víte

Žádost subjektu údajů, ať jde o přístup, opravu, výmaz, přenositelnost nebo námitku, vyřizujete podle čl. 12 odst. 3 GDPR bez zbytečného odkladu a nejpozději do jednoho měsíce od obdržení. Lhůtu lze prodloužit o další dva měsíce, pokud je žádost složitá nebo je jich víc, ale o prodloužení a jeho důvodech musíte člověka vyrozumět do jednoho měsíce. Vyřízení je bezplatné, zpoplatnit nebo odmítnout lze jen žádost zjevně nedůvodnou nebo nepřiměřenou.

Porušení zabezpečení osobních údajů ohlašujete dozorovému úřadu podle čl. 33 odst. 1 GDPR bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy jste se o něm dozvěděli. Pokud to nestihnete, připojíte k ohlášení důvody zdržení. Ohlašovat nemusíte případ, u kterého je nepravděpodobné, že by měl za následek riziko pro práva a svobody osob. Je-li pravděpodobné vysoké riziko, oznamujete porušení podle čl. 34 GDPR i samotným dotčeným lidem.

Sankční rámec dává čl. 83 GDPR: do 10 milionů eur nebo 2 % celosvětového ročního obratu, u závažnějších porušení do 20 milionů eur nebo 4 %.

Cookies, newslettery a co dělám já

Dvě oblasti s GDPR souvisejí, ale řídí se jinými předpisy.

Cookies upravuje § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Od 1. ledna 2022 platí režim opt-in, takže analytické a marketingové cookies smíte ukládat až po prokazatelném souhlasu. Technicky nezbytné cookies souhlas nevyžadují, informační povinnost se na ně ale vztahuje. Úřad vyžaduje, aby tlačítko pro odmítnutí bylo stejně dostupné jako tlačítko pro souhlas.

Obchodní sdělení řeší § 7 zákona č. 480/2004 Sb. Souhlas je pravidlem, výjimku obsahuje § 7 odst. 3: vlastnímu zákazníkovi můžete nabízet vlastní obdobné výrobky nebo služby, pokud měl možnost odmítnout už při získání kontaktu a má ji jednoduše a zdarma v každé další zprávě. Dozor vykonává Úřad pro ochranu osobních údajů a pokuta může u právnické osoby dosáhnout 10 000 000 Kč.

Co dělám já: projdu s vámi, co ve firmě reálně zpracováváte, sestavím záznamy o činnostech zpracování, připravím zásady zpracování zvlášť pro zaměstnance a zvlášť pro zákazníky, doplním chybějící zpracovatelské smlouvy a závazky mlčenlivosti a nastavím postup pro žádosti i pro incidenty, aby vás lhůta jednoho měsíce ani 72 hodin nezaskočila. Ohlídám termíny a na dotazy odpovídám do dvou pracovních dnů. Servis začíná na 1 490 Kč měsíčně.

Nejsem advokát a právní služby neposkytuji: připravuji podklady, vedu dokumentaci a hlídám lhůty. Jakmile jde o zastupování před úřadem, o obhajobu ve správním řízení nebo o právní posouzení sporné věci, předám to advokátnímu partnerovi, kterého předem odsouhlasíte a platíte přímo jemu.