GDPR pro malé firmy

Proč smíte údaje zpracovávat

Každé zpracování osobních údajů musí mít právní důvod podle čl. 6 GDPR. Malá firma si většinou vystačí se čtyřmi:

Souhlas je nejslabší důvod, protože ho lze kdykoli odvolat. Nežádejte ho tam, kde máte jiný důvod.

Informace pro zákazníky

Zákazníkům musíte sdělit, kdo údaje zpracovává, proč, na jakém právním základě, komu je předáváte, jak dlouho je uchováváte a jaká mají práva. Na e-shopu to řeší dokument „Zásady ochrany osobních údajů“ s odkazem v zápatí a u objednávky.

V provozovně stačí vyvěsit krátké informace a podrobnosti odkázat na web. Pište srozumitelně, ne jen právnickým jazykem.

Záznamy o činnostech zpracování

Firmy s méně než 250 zaměstnanci záznamy vést nemusí, ale jen pokud zpracování není pravidelné (čl. 30 odst. 5). Výjimka neplatí, když zpracování:

• není jen příležitostné,
• představuje riziko pro práva lidí, nebo
• zahrnuje citlivé údaje, například o zdraví, nebo údaje o trestných činech.

E-shop, kadeřnictví s kartotékou nebo zaměstnavatel zpracovávají údaje průběžně. V praxi proto záznamy potřebuje skoro každý podnikatel. Stačí jednoduchá tabulka: účel, kategorie lidí a údajů, komu je předáváte, jak dlouho je uchováváte a jak je chráníte.

Smlouvy se zpracovateli

Zpracovatel je firma, která s údaji pracuje jen pro vás a podle vašich pokynů. S každým musíte mít písemnou smlouvu, elektronická forma stačí (čl. 28). Typicky jde o:

• účetní nebo mzdovou kancelář,
• e-shopovou platformu a hosting,
• nástroj na newslettery,
• cloudové úložiště nebo rezervační systém.

Smlouva musí určit předmět, dobu a účel zpracování a zavázat zpracovatele k mlčenlivosti, zabezpečení a smazání údajů po skončení spolupráce. Velké platformy mají vlastní zpracovatelské podmínky, které přijmete v nastavení účtu. Stačí je najít, uložit a zapsat do záznamů.

Zabezpečení

GDPR nepředepisuje konkrétní technologie, chce opatření přiměřená riziku. Pro malou firmu to znamená:

• silná hesla a dvoufázové přihlášení u e-mailu, e-shopu a účetnictví,
• aktualizovaný systém a zálohy,
• přístup k údajům jen pro ty, kdo je potřebují,
• šifrovaný notebook a telefon,
• skartace papírů, které už nepotřebujete.

Kamery v provozovně

Kamera proti krádežím se obvykle opírá o oprávněný zájem. Podle metodiky ÚOOÚ z února 2024 musíte předem písemně posoudit, zda kamera skutečně řeší reálné riziko a zda nestačí mírnější opatření.

1. Před vstupem do záběru vyvěste informační tabulku.
2. Podrobné informace dejte na web nebo je mějte k dispozici na požádání.
3. Záznamy podle doporučení ÚOOÚ uchovávejte ve většině případů do 72 hodin. Delší dobu zdůvodněte písemně.
4. Kamery v šatnách a podobných místech jsou velmi citlivé, raději se jim vyhněte.
5. Kamerový systém zapište do záznamů o činnostech zpracování.

Pokud kamera snímá zaměstnance, platí navíc přísná pravidla zákoníku práce. Poraďte se předem s odborníkem.

Newsletter a obchodní sdělení

E-mailové obchodní sdělení smíte poslat jen tomu, kdo s tím předem souhlasil (§ 7 zákona č. 480/2004 Sb.). Výjimka platí pro vlastní zákazníky: pokud jste e-mail získali při prodeji, smíte jim posílat nabídky podobného zboží nebo služeb.

Každá zpráva musí:

• být jasně označená jako obchodní sdělení,
• uvádět, kdo ji posílá,
• obsahovat funkční možnost odhlášení.

Za porušení pravidel u podnikatele hrozí pokuta až 10 000 000 Kč. Dozor má ÚOOÚ, který jedné firmě uložil pokutu 7 700 000 Kč za rozesílání nabídek třetích stran zákazníkům.

Sněmovna projednává zákon o digitální ekonomice (sněmovní tisk 69/0), který má zákon č. 480/2004 Sb. nahradit. Podle návrhu by výjimka pro zákazníky platila jen dva roky od posledního sdělení. Ke dni ověření jsme jeho schválení nepotvrdili, sledujte novinky ÚOOÚ.

Únik dat do 72 hodin

Pokud dojde k porušení zabezpečení, například ztrátě notebooku nebo napadení e-shopu, ohlaste to ÚOOÚ bez zbytečného odkladu, pokud možno do 72 hodin od zjištění (čl. 33). Ohlášení nemusíte podávat, pokud je nepravděpodobné, že by únik lidi ohrozil.

1. Zjistěte, co se stalo, kolika lidí se to týká a jaká jsou rizika.
2. Omezte škody: změňte hesla, zablokujte přístupy.
3. Ohlaste únik ÚOOÚ na formuláři úřadu. Chybějící údaje můžete doplnit později.
4. Při vysokém riziku informujte i dotčené lidi.
5. Každý incident si zapište, i ten, který neohlašujete.

Pokuty

Jde o horní hranice, platí vždy vyšší z obou částek. Konkrétní pokutu úřad určí podle závažnosti, rozsahu a dalších okolností porušení.

Kontrolní seznam

• [ ] Sepište, jaké osobní údaje máte, proč a jak dlouho je držíte.
• [ ] U každého účelu určete právní důvod.
• [ ] Zveřejněte zásady ochrany osobních údajů.
• [ ] Uzavřete nebo uložte smlouvy se zpracovateli.
• [ ] Zabezpečte účty dvoufázovým přihlášením a zálohujte.
• [ ] U kamer vyvěste tabulku a nastavte krátkou dobu uchování.
• [ ] U newsletteru mějte souhlas nebo zákaznickou výjimku a odkaz na odhlášení.
• [ ] Připravte si postup pro únik dat.
• [ ] Pro cookies viz stránku Cookies a cookie lišta.