Vztahuje se GDPR také na mou firmu?
Ano, v naprosté většině případů ano. Obecné nařízení o ochraně osobních údajů nezná prahovou hodnotu obratu, počtu zaměstnanců ani odvětví. Jakmile vaše firma zpracovává osobní údaje, jako jsou jména, e-mailové adresy nebo údaje o mzdě, nařízení se na toto zpracování vztahuje. To platí stejně pro individuální podnikatele s jedním zákazníkem jako pro instalační firmu s padesáti zaměstnanci.
Rozdíl oproti předpisům jako NIS2, CSRD nebo standard VSME spočívá v tom, že ty pracují s prahovými hodnotami pro velikost podniku nebo sektor. GDPR funguje jinak: rozhodující není velikost vaší firmy, ale otázka, zda se zpracovávají osobní údaje a jakým způsobem. Proto se GDPR v praxi týká prakticky každé firmy, i když to tak vždy nepůsobí.
Co nařízení chápe pod pojmem osobní údaje
GDPR rozlišuje osobní údaje jako všechny informace o identifikované nebo identifikovatelné fyzické osobě. To je širší, než si mnoho podnikatelů myslí. Adresář zákazníků, personální spis, žádost o zaměstnání, která je stále v poštovní schránce, nebo záznamy z kamery u vchodu: všechno to sem patří. Dokonce i osoba samostatně výdělečně činná, která posílá pouze faktury se jménem a adresou, už zpracovává osobní údaje.
Nařízení rozlišuje mezi správcem, který rozhoduje o tom, proč a jak se údaje zpracovávají, a zpracovatelem, který to dělá jménem někoho jiného. Mzdová agentura je například zpracovatelem mzdových údajů vašich zaměstnanců, zatímco vy sami jste správcem. Která role se na vaši firmu vztahuje a jaké povinnosti s ní souvisejí, se liší případ od případu a poradit vám mohou dohledový orgán a právník.
Proč se toto téma objevuje v dotazníku vašeho zákazníka
Odběratelé se svých dodavatelů stále více ptají nejen na udržitelnost nebo kybernetickou bezpečnost, ale také na zacházení s osobními údaji. K tomu dochází například tehdy, když jménem svého odběratele zpracováváte údaje jeho zaměstnanců nebo konečných zákazníků, nebo když máte přístup k systémům, v nichž se takové údaje nacházejí. V takovém případě chce odběratel vědět, zda existuje smlouva se zpracovatelem, zda se vede evidence zpracování a jak se hlásí úniky dat.
Tyto otázky se často překrývají s dotazníkem kybernetické bezpečnosti, protože zabezpečení informací a ochrana údajů spolu v praxi úzce souvisejí. Firma, která pro zákazníky poskytuje software nebo administrativní služby, se s těmito otázkami setkává dříve než instalační firma, která vykonává především fyzické práce. Kdo se s podobnými otázkami opakovaně setkává v různých formátech od různých zákazníků, může v databázi znalostí podle tématu zjistit jaký je základ takové otázky a kde najít oficiální text.
Co to znamená v praxi
Zda GDPR ukládá specifické povinnosti, jako je funkcionář pro ochranu údajů, smlouva se zpracovatelem nebo evidence zpracování, závisí na charakteru a rozsahu zpracování v rámci vaší firmy. To není otázka, na kterou by bylo možné odpovědět všeobecně; samotné nařízení a pokyny národního dohledového orgánu pro to poskytují kritéria. Pro většinu malých a středních podniků je výchozím bodem jednoduché: zmapovat, které osobní údaje se zpracovávají, od koho a k jakému účelu.
Tento přehled je užitečný také tehdy, když se vás na něj váš odběratel ptá. Uchovávejte dokumenty, jako je smlouva se zpracovatelem nebo prohlášení o ochraně soukromí, na jednom místě, abyste je nemuseli pokaždé hledat znovu. Jak to funguje v rámci jednoho kettingového spisu a jak jsou údaje v něm obsažené chráněny, si přečtěte na stránce o jak jsou data a soukromí chráněna.
Chcete nejdříve zjistit, které dotazníky a témata jsou pro vaši firmu relevantní, včetně otázky, zda hraje roli ochrana osobních údajů? Udělejte si zdarma kontrolu v několika otázkách pro první představu, nebo si přečtěte, jak odpovědi na často kladené otázky jak to řeší ostatní podnikatelé. Pro vaši konkrétní situaci je při nejistotě vždy vhodné poradit se s příslušným dozorčím orgánem nebo právníkem.