‍Kdo musí GDPR řešit? Téměř každý podnikatel o osobních údajích rozhoduje

GDPR se vztahuje na všechny firmy a podnikatele, kteří:

• pracují s údaji zákazníků,
• mají zaměstnance,
• používají CRM, účetní systémy, e-shop nebo rezervační systém,
• zasílají newslettery nebo obchodní sdělení,
• využívají cloudové služby či marketingové nástroje.

Tedy téměř každá společnost.

Jako správce rozhodujete o účelu a způsobu zpracování údajů. Pokud dále využíváte třetí strany (např. účetní, marketing, IT), vstupují do hry zpracovatelé, se kterými musíte mít řádnou smlouvu.

GDPR jako součást řízení právních rizik společnosti

Odpovědnost za dodržování GDPR nelze vyřešit pouhým pořízením univerzálních dokumentů nebo přenesením všech povinností na externího poskytovatele IT služeb.

Společnost musí mít přehled o tom, jaké osobní údaje zpracovává, na jakých právních základech, komu je zpřístupňuje a jaká technická a organizační opatření odpovídají konkrétním rizikům.

Zvláštní pozornost vyžadují vztahy se zpracovateli osobních údajů, využívání cloudových služeb, předávání údajů mimo Evropský hospodářský prostor, správa přístupových oprávnění a postupy při porušení zabezpečení osobních údajů.

Správně nastavené GDPR proto není jednorázovým administrativním úkonem, ale součástí průběžného řízení společnosti. Právní dokumentace, skutečné interní procesy a technické zabezpečení musí odpovídat tomu, jak firma v praxi funguje.

‍

1. Odpovědnost společnosti za dodržování GDPR

Pro podnikatele není rozhodující pouze existence zásad ochrany osobních údajů nebo interních směrnic. Podstatné je, zda společnost dokáže doložit zákonnost zpracování, přiměřenost přijatých opatření a skutečné fungování nastavených procesů.

GDPR vychází ze zásady odpovědnosti správce podle čl. 5 odst. 2 a čl. 24 nařízení (EU) 2016/679. Správce musí nejen dodržovat stanovené zásady, ale také být schopen jejich dodržování prokázat.

Odpovědnost vedení a rozdělení kompetencí

Vedení společnosti by mělo zajistit, aby byly jasně určeny odpovědnosti za zpracování osobních údajů, informační bezpečnost, správu dodavatelů a řešení incidentů.

Pověření zaměstnance, externího poradce nebo poskytovatele IT služeb samo o sobě nezbavuje společnost jejích povinností jako správce osobních údajů.

U větších společností je vhodné propojit ochranu osobních údajů s řízením rizik, compliance a interním kontrolním systémem.

Evidence zpracování a právní základy

Společnost musí mít přehled o jednotlivých účelech zpracování, kategoriích údajů, příjemcích, době uchovávání a odpovídajících právních základech.

Záznamy o činnostech zpracování podle čl. 30 GDPR jsou důležitým nástrojem této evidence. Výjimka pro organizace s méně než 250 zaměstnanci je omezená a nelze ji automaticky vztáhnout na každého malého podnikatele.

Zvláštní pozornost vyžaduje rozlišení mezi zpracováním nezbytným pro plnění smlouvy, splnění právní povinnosti, oprávněným zájmem a zpracováním založeným na souhlasu.

Souhlas není univerzálním právním základem a jeho nesprávné používání může vytvářet zbytečná právní rizika.

2. Smlouvy se zpracovateli a odpovědnost za dodavatele

Většina společností využívá externí účetní, IT poskytovatele, cloudové služby, marketingové agentury nebo dodavatele personálních systémů.

Z hlediska GDPR je nutné správně určit, zda konkrétní dodavatel vystupuje jako zpracovatel, samostatný správce nebo společný správce. Rozhodující je skutečná povaha zpracování, nikoliv pouze označení ve smlouvě.

Zpracovatelské smlouvy podle čl. 28 GDPR

Pokud dodavatel zpracovává osobní údaje jménem správce, musí být vztah upraven smlouvou nebo jiným právním aktem splňujícím požadavky čl. 28 GDPR.

Dokumentace musí řešit zejména předmět a dobu zpracování, jeho povahu a účel, kategorie údajů, pokyny správce, bezpečnost, zapojení dalších zpracovatelů a nakládání s údaji po ukončení spolupráce.

Kontrola dodavatelů a subdodavatelů

Samotný podpis zpracovatelské smlouvy nestačí. Správce musí využívat zpracovatele poskytující dostatečné záruky vhodných technických a organizačních opatření.

U významných dodavatelů je vhodné posoudit také možnost kontroly, oznamování incidentů, využívání subdodavatelů a postup při ukončení smlouvy.

Zvláštní riziko vzniká tehdy, pokud smluvní dokumentace neodpovídá skutečnému technickému řešení služby.

3. Cloudové služby a předávání osobních údajů mimo EHP

Využívání cloudových služeb, mezinárodních IT skupin a zahraničních dodavatelů vyžaduje posouzení nejen bezpečnosti, ale také právního režimu případného předávání osobních údajů do třetích zemí.

Umístění dat a přístup ze zahraničí

Skutečnost, že jsou data fyzicky uložena na serverech v Evropské unii, sama o sobě nemusí znamenat, že nedochází k jejich předávání mimo Evropský hospodářský prostor.

Důležité je posoudit také vzdálený přístup, podporu poskytovanou ze zahraničí, zapojení dalších dodavatelů a skutečné datové toky.

Právní mechanismy mezinárodního předávání

Předávání osobních údajů mimo EHP musí splňovat podmínky kapitoly V GDPR.

Podle konkrétní situace může být založeno například na rozhodnutí Evropské komise o odpovídající ochraně nebo na vhodných zárukách, zejména standardních smluvních doložkách.

U některých předávání je nutné posoudit také právní prostředí třetí země a potřebu doplňkových ochranných opatření.

Při výběru cloudového dodavatele je proto vhodné posuzovat právní a technické podmínky služby společně, nikoliv pouze její cenu nebo deklarované umístění serverů.

4. Technická a organizační bezpečnost osobních údajů

Podle čl. 32 GDPR musí správce a zpracovatel přijmout opatření odpovídající rizikům zpracování.

Nařízení nepředepisuje jednotný seznam bezpečnostních technologií pro všechny společnosti. Přiměřenost opatření závisí mimo jiné na povaze údajů, rozsahu zpracování, technických možnostech a pravděpodobnosti i závažnosti rizik pro práva a svobody fyzických osob.

Řízení přístupů a ochrana informačních systémů

V praxi je důležité zejména řízení uživatelských oprávnění, vícefaktorové ověřování tam, kde je přiměřené, ochrana koncových zařízení, zálohování, šifrování a kontrola přístupu k citlivým systémům.

Bezpečnostní opatření musí odpovídat skutečnému způsobu fungování společnosti a být průběžně vyhodnocována.

Posouzení vlivu na ochranu osobních údajů (DPIA)

Posouzení vlivu podle čl. 35 GDPR je povinné tehdy, pokud určitý druh zpracování pravděpodobně povede k vysokému riziku pro práva a svobody fyzických osob.

Může se jednat například o některé formy rozsáhlého systematického monitorování, profilování nebo zpracování zvláštních kategorií osobních údajů.

Povinnost provést DPIA nelze odvozovat pouze z toho, že společnost zavádí novou technologii. Rozhodující je povaha zpracování a vyhodnocené riziko.

5. Bezpečnostní incidenty a oznamovací povinnosti

Únik osobních údajů, neoprávněný přístup, ztráta zařízení nebo napadení informačního systému mohou představovat porušení zabezpečení osobních údajů ve smyslu GDPR.

Společnost musí být schopna incident identifikovat, vyhodnotit jeho dopady, přijmout nápravná opatření a splnit případné oznamovací povinnosti.

Oznámení incidentu ÚOOÚ

Podle čl. 33 GDPR musí správce oznámit porušení zabezpečení osobních údajů dozorovému úřadu bez zbytečného odkladu, pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ledaže je nepravděpodobné, že by incident vedl k riziku pro práva a svobody fyzických osob.

Pozdější oznámení musí být odůvodněno.

Informování dotčených osob

Pokud je pravděpodobné, že incident povede k vysokému riziku pro práva a svobody fyzických osob, může vzniknout také povinnost informovat dotčené osoby podle čl. 34 GDPR, pokud není splněna některá ze stanovených výjimek.

Každé porušení zabezpečení osobních údajů musí správce dokumentovat, a to i v případě, že nevznikne povinnost oznámení úřadu.

Připravený incident response postup je proto důležitější než pouhá existence obecné interní směrnice.

6. Marketing, zaměstnanci a práva subjektů údajů

Právní rizika GDPR se často objevují v běžných obchodních a personálních procesech.

Obchodní sdělení a marketingové databáze

Při využívání zákaznických databází, newsletterů a marketingových nástrojů je nutné posuzovat nejen GDPR, ale také zvláštní pravidla pro obchodní sdělení a ukládání či čtení informací v koncových zařízeních.

V České republice jde zejména o zákon č. 480/2004 Sb., o některých službách informační společnosti, a příslušná ustanovení zákona č. 127/2005 Sb., o elektronických komunikacích.

Podmínky zasílání obchodních sdělení nelze zaměňovat s právním základem zpracování osobních údajů podle GDPR.

Zaměstnanecké údaje a interní kontrolní mechanismy

U zaměstnanců je nutné posoudit zejména rozsah zpracovávaných údajů, přístupová oprávnění, dobu uchovávání dokumentace a případné monitorování pracoviště nebo pracovních prostředků.

Zvláštní pozornost vyžaduje vztah GDPR k pracovněprávním předpisům a přiměřenosti kontrolních opatření zaměstnavatele.

Vyřizování žádostí subjektů údajů

Společnost musí mít nastavený postup pro vyřizování žádostí o přístup, opravu, výmaz, omezení zpracování a dalších práv podle GDPR.

Žádosti je zpravidla nutné vyřídit do jednoho měsíce, přičemž za stanovených podmínek lze lhůtu prodloužit.

Důležité je správně posoudit také případy, kdy požadovanému výmazu brání zákonná povinnost uchovávat určité dokumenty.

7. Kontrola ÚOOÚ, sankce a prokazování souladu s GDPR

Při kontrole Úřadu pro ochranu osobních údajů není rozhodující pouze existence dokumentace, ale také její soulad se skutečným zpracováním údajů.

Společnost by měla být schopna doložit právní základy zpracování, plnění informačních povinností, smluvní vztahy se zpracovateli, přijatá bezpečnostní opatření a způsob řešení incidentů či žádostí subjektů údajů.

Správní pokuty a další důsledky porušení GDPR

GDPR umožňuje za vybraná porušení uložit správní pokuty až do 10 milionů EUR nebo 2 % celkového celosvětového ročního obratu podniku, případně až do 20 milionů EUR nebo 4 % tohoto obratu, podle příslušné kategorie porušení a pravidel nařízení.

Nejde však o automatické sankce. Při jejich ukládání se posuzují konkrétní okolnosti, včetně povahy a závažnosti porušení.

Vedle regulatorních sankcí mohou vzniknout také nároky na náhradu újmy, smluvní spory a reputační škody.

Interní audit GDPR a průběžné řízení rizik

U společností s rozsáhlejším zpracováním osobních údajů je vhodné pravidelně prověřovat, zda právní dokumentace, smlouvy s dodavateli a skutečné provozní postupy odpovídají aktuálnímu stavu.

Zvláštní pozornost si zaslouží změny informačních systémů, využití nových cloudových služeb, akvizice společností, outsourcing a změny obchodních modelů.

Cílem právního auditu GDPR není pouze identifikovat formální nedostatky, ale především stanovit priority nápravy podle skutečné závažnosti právních a provozních rizik.

‍

KLB REAL poskytuje právní poradenství podnikatelům a obchodním společnostem při nastavování a kontrole ochrany osobních údajů. Zaměřujeme se nejen na splnění zákonných povinností, ale především na identifikaci a omezení právních rizik vyplývajících ze skutečného fungování společnosti.

Naším cílem je navrhovat právně odpovídající a prakticky použitelná řešení, která zohledňují obchodní model, organizační strukturu a provozní potřeby klienta.

Právní audit GDPR a řízení rizik

Prověřujeme právní základy zpracování osobních údajů, interní procesy, smluvní dokumentaci a rozdělení odpovědností. Identifikujeme nedostatky a navrhujeme jejich nápravu podle závažnosti rizik a potřeb společnosti.

Smluvní dokumentace a vztahy s dodavateli

Připravujeme a posuzujeme zpracovatelské smlouvy, smluvní podmínky IT a cloudových služeb a další dokumentaci související se zpracováním osobních údajů.

Zvláštní pozornost věnujeme odpovědnosti dodavatelů, zapojení subdodavatelů, mezinárodnímu předávání údajů a smluvnímu zajištění bezpečnosti.

GDPR při změnách společnosti a obchodních procesů

Poskytujeme právní podporu při zavádění nových informačních systémů, outsourcingu, změnách marketingových procesů nebo reorganizaci společnosti.

Posuzujeme právní dopady zamýšlených změn a pomáháme nastavit odpovídající smluvní a interní pravidla.

Bezpečnostní incidenty a jednání s ÚOOÚ

Poskytujeme právní podporu při vyhodnocování porušení zabezpečení osobních údajů, posuzování oznamovacích povinností a přípravě související dokumentace.

Pomáháme také při komunikaci s Úřadem pro ochranu osobních údajů a právním řešení zjištěných nedostatků.

Interní dokumentace a právní podpora managementu

Připravujeme a aktualizujeme zásady ochrany osobních údajů, interní směrnice, informační dokumentaci a pravidla pro vyřizování žádostí subjektů údajů.

Poskytujeme konzultace vedení společností a právní podporu při nastavování odpovědností a kontrolních mechanismů.

Právní řešení odpovídající potřebám společnosti

Rozsah právní podpory přizpůsobujeme konkrétní situaci klienta. Může zahrnovat jednorázové posouzení smlouvy, cílený audit vybrané oblasti, komplexnější prověrku GDPR nebo průběžné právní poradenství.

Potřebujete posoudit právní rizika zpracování osobních údajů, prověřit smlouvy s dodavateli nebo řešit konkrétní problém s GDPR? Obraťte se na KLB REAL. Pomůžeme vám určit právní rizika a navrhnout odpovídající postup.

‍

‍

‍VOP Obchodní podmínky

Reklamační řád

Právní poradenství reklama a marketing

Ochrana obchodního tajemství

Licenční smlouva

Nekalá soutěž a nekalé obchodní praktiky

Smlouva o spolupráci mezi podnikateli

‍

Jakou odpovědnost nese společnost za porušení GDPR externím dodavatelem?

Odpovědnost závisí na postavení jednotlivých subjektů a okolnostech porušení. Pokud dodavatel vystupuje jako zpracovatel, správce musí podle čl. 28 GDPR využívat pouze zpracovatele poskytující dostatečné záruky ochrany osobních údajů. Smluvní přenesení některých povinností na dodavatele samo o sobě nezbavuje správce jeho zákonné odpovědnosti. Důležité je správné vymezení rolí, smluvních závazků, kontrolních oprávnění a odpovědnosti za případnou újmu.

Je možné využívat americké cloudové služby v souladu s GDPR?

Ano, využívání amerických cloudových služeb není samo o sobě zakázáno. Je však nutné posoudit skutečné datové toky, postavení poskytovatele, bezpečnostní opatření a případné předávání osobních údajů mimo Evropský hospodářský prostor. Podle konkrétní situace může být předávání založeno například na rozhodnutí o odpovídající ochraně, včetně příslušného mechanismu EU–USA Data Privacy Framework pro certifikované organizace, nebo na standardních smluvních doložkách doplněných podle potřeby dalšími opatřeními.

Kdy musí společnost provést DPIA?

Posouzení vlivu na ochranu osobních údajů (DPIA) je podle čl. 35 GDPR povinné, pokud určitý druh zpracování pravděpodobně povede k vysokému riziku pro práva a svobody fyzických osob. Typicky může jít o některé formy rozsáhlého profilování, systematického monitorování nebo zpracování zvláštních kategorií údajů. Rozhodující je konkrétní posouzení rizik, nikoliv samotné zavedení nové technologie.

Jaké povinnosti vznikají společnosti při úniku osobních údajů?

Správce musí incident vyhodnotit, přijmout odpovídající opatření a porušení zabezpečení zdokumentovat. Pokud není nepravděpodobné riziko pro práva a svobody fyzických osob, musí incident oznámit ÚOOÚ bez zbytečného odkladu, pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl. Při pravděpodobném vysokém riziku může vzniknout také povinnost informovat dotčené osoby, s výjimkami stanovenými GDPR.

Jaká GDPR rizika vznikají při akvizici společnosti?

Při akvizici společnosti je vhodné prověřit právní základy zpracování, smlouvy se zpracovateli, mezinárodní předávání údajů, zabezpečení informačních systémů, historii incidentů a případná řízení před dozorovými úřady. Významné je také posouzení právních podmínek zpřístupňování osobních údajů během due diligence a následné integrace informačních systémů. Zjištěná rizika mohou ovlivnit ocenění společnosti, transakční dokumentaci i plán integrace.

Jaké právní otázky je třeba řešit při využívání AI systémů pro zpracování osobních údajů?

Společnost musí posoudit zejména účel a právní základ zpracování, rozsah údajů předávaných poskytovateli AI služby, postavení jednotlivých subjektů, zabezpečení a případné předávání dat do třetích zemí. Podle způsobu využití mohou být relevantní také pravidla automatizovaného individuálního rozhodování podle čl. 22 GDPR a povinnosti vyplývající z evropského nařízení o umělé inteligenci (AI Act). Konkrétní požadavky závisí na povaze systému, jeho použití a časové použitelnosti jednotlivých ustanovení.

Může společnost přenést odpovědnost za GDPR na pověřence pro ochranu osobních údajů?

Pověřenec pro ochranu osobních údajů (DPO) poskytuje odborné poradenství, monitoruje soulad a plní další úkoly podle čl. 39 GDPR. Odpovědnost za dodržování povinností správce nebo zpracovatele však jeho jmenováním nepřechází na pověřence. Vedení společnosti musí zajistit odpovídající organizační podmínky, zdroje a fungování interních kontrolních mechanismů.

Jak připravit společnost na kontrolu ÚOOÚ?

Zásadní je schopnost doložit skutečný soulad zpracování s GDPR, nikoliv pouze předložit formální dokumentaci. Společnost by měla mít aktuální přehled o zpracování osobních údajů, odpovídající smlouvy s dodavateli, nastavená bezpečnostní opatření a doložitelné postupy při řešení incidentů a žádostí subjektů údajů. Právní audit před kontrolou může pomoci identifikovat nedostatky a stanovit priority jejich odstranění.

‍

‍