Ochrana osobních údajů (GDPR) se může jevit jako nesmírně komplikovaný a těžko pochopitelný soubor pravidel, ve kterém je nemožné se zorientovat. Existuje ale několik základních pravidel, jejichž dodržování zaručí jednoduchost a správnost práce s osobními údaji.
O tom, co v základu GDPR znamená, si můžete přečíst v samostatném článku na našem blogu.
Účelnost zpracování osobních údajů
Před zpracováním jakýkoliv údajů je třeba si stanovit účel jejich zpracování. Tím může být vedení spisu zaměstnance, mzdové účely, školení zaměstnance aj. Pokud však správce údajů nenachází konkrétní účel, pak zpracování údajů není zbytné a je tedy nezákonné.
Určení konkrétního účelu zpracování je pro správce důležité také pro to, aby jej mohl dále předat fyzické osobě, které se příslušné osobní údaje týkají. Na informovanost o účelech má totiž ze zákona právo.
Zákonnost zpracování osobních údajů
Vedle účelu má každé zpracování také svůj právní důvod, který k němu správce opravňuje. Pokud ne, je takové zpracování údajů nezákonné.
Aby bylo zpracování zákonné, musí být splněn alespoň jeden z těchto právních důvodů:
- zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je fyzická osoba (např. pracovní smlouva mezi zaměstnavatele a zaměstnancem)
- zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje (např. povinnost nahlásit uzavření smlouvy)
- zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany (např. v případě zaměstnancova protiprávního jednání je v oprávněném zájmu zaměstnavatele uchovávat informace o takovém jednání pro účely případné soudní obrany)
- fyzická osoba udělila souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů (např. souhlas uživatele webových stránek se zpracováním osobních údajů stisknutím tlačítka „souhlasím“)
- zpracování je nezbytné pro ochranu životně důležitých zájmů fyzické osoby (vztahuje se k ohrožujícím situacím, ve kterých by se jinak vyžadoval souhlas ke zpracování, např. nemocnice nepotřebuje souhlas pacienta k vyhledání jeho totožnosti v případě akutního ošetření po vážném zranění)
- zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce (týká se veřejné správy)
Minimalizace osobních údajů ke zpracování
Pokud je správce schopen určit účel zpracování osobních údajů a právně si jej odůvodnit, je potřeba určit rozsah zpracování. Překročení hranice soukromí může znamenat porušení ochrany údajů. Proto je třeba nadbytečnému shromažďování osobních údajů co nejvíce předcházet a pro správce je zásadní zpracovávané údaje minimalizovat jen na ty nezbytné.
To, že má zpracování svůj účel a právní důvod nemusí vždy znamenat, že je zákonné. Mnohdy je totiž jako účel uváděn „oprávněný zájem správce“, který sice je v souladu s pravidly GDPR, ale ty určují také hranici mezi tím, kdy je zájem skutečně oprávněný a kdy nikoli. Zájem je oprávněný pouze v případě, že je nezbytný, a zároveň nijak nezasahuje do zájmů fyzických osob nebo základních práv a svobod.
Omezení uložení osobních údajů
Každé zpracovávání osobních údajů má časové omezení. Správce není oprávněn uchovávat údaje po delší dobu, než je nezbytné pro účely zpracování.
Toto pravidlo je tedy individuální a každý správce si musí časové omezení určit na základě konkrétního účelu. V případě pochybností ale výrazně doporučujeme zvolit kratší dobu – pro minimalizaci rizika, že dojde k porušení ochrany údajů a dopustíte se přestupku.
Aktualizace osobních údajů
Při zpracovávání údajů je důležité se zaměřit nejen na rozsah a kategorie zpracovávaných údajů, ale také na údaje samotné a jejich obsah. Osobní informace je totiž správce povinen průběžně aktualizovat, upřesňovat a odstraňovat případné nepřesnosti, které by mohly být zkreslující. Pokud takové údaje opravit nelze, pak má povinnost je bezodkladně smazat nebo zlikvidovat.
Transparentnost osobních údajů
Důležité je zajištění informovanosti fyzické osoby o zpracovávání a transparentnosti jejích osobních údajů.
Fyzická osoba má totiž právo na informace o konkrétních účelech a činnostech zpracování údajů, což správci ukládá povinnost jí je poskytnout. Takovými informacemi jsou např. účely zpracování, kategorie dotčených osobních údajů, uvědomění fyzické osoby o právu podat stížnost u dozorového úřadu aj. Správce tedy přijme vhodná opatření, aby tyto informace fyzické osobě stručně, transparentně a srozumitelně zpřístupnil.
Integrita a důvěrnost
V nezájmu každého správce je mimo jiné narušení vzájemné důvěry mezi jím, coby správcem, a fyzickou osobou. Stabilní důvěrnost v ochraně osobních údajů je založená na náležitém zabezpečení a ochraně před jakýmkoli nežádoucím nakládáním (protiprávním zpracováním, náhodnou ztrátou, zničením nebo poškozením apod.) po technické i organizační stránce a na transparentnosti zpracovávání údajů.
Takové zabezpečení může správce zajistit na základě svých možností, ať už ve fyzické podobě (např. uchování v uzamčené skříni v místnosti s omezeným přístupem) nebo elektronické (uchovávání údajů v pseudonimizované nebo šifrované podobě). Řádné zabezpečení je dále podmíněno tím, že k údajům má přístup pouze správce (na základě jednoho ze zákonných důvodů) nebo tzv. zpracovatelé, se kterými správce uzavřel smlouvu o zpracování osobních údajů konkrétní fyzické osoby a která jim zakládá povinnost přijmout odpovídající bezpečnostní opatření.
Správce údajů za dodržování všech výše uvedených zásad odpovídá a musí být schopen doložit (např. v případě soudního řízení), že k žádnému porušování nedochází nebo nedošlo. To pro něj znamená evidenci souhlasů fyzických osob, zpracovatelů a smluv, které s nimi uzavřel a veškerých dalších dokumentací, které jsou třeba při tomto prokazování.
