GDPR a ochrana osobních údajů

GDPR (General Data Protection Regulation, česky obecné nařízení o ochraně osobních údajů) je nařízení Evropské unie č. 2016/679. Použije se od 25. května 2018 přímo ve všech členských státech a v zemích Evropského hospodářského prostoru. Upravuje, kdo, proč a jak dlouho smí zpracovávat údaje o lidech a co mohou lidé po zpracovatelích požadovat.

Nařízení platí pro firmy, úřady, spolky i jednotlivé podnikatele, kteří zpracovávají osobní údaje lidí v EU – a to i tehdy, když sídlí mimo Unii, ale nabízejí zde své služby. Nevztahuje se na čistě osobní a domácí činnosti, například na soukromý seznam kontaktů v telefonu. V Česku ho doplňuje zákon č. 110/2019 Sb., o zpracování osobních údajů.

Co jsou osobní údaje podle GDPR

Osobní údaj je jakákoli informace o identifikované nebo identifikovatelné fyzické osobě. Kromě jména, adresy nebo rodného čísla sem patří i lokační údaje, e-mail, fotografie, IP adresa, identifikátory v cookies nebo kombinace údajů, ze které lze člověka dohledat.

Zvláštní ochranu mají citlivé kategorie: zdravotní stav, genetické a biometrické údaje, rasový či etnický původ, politické názory, náboženské vyznání, členství v odborech a sexuální orientace. Jejich zpracování je v zásadě zakázané, s výjimkami, jako je výslovný souhlas nebo povinnost ze zákona. Údaje, které jsou nevratně anonymizované, už osobními údaji nejsou.

Na co je nařízení GDPR zaměřené: zásady a povinnosti

GDPR stojí na několika zásadách: údaje se mají zpracovávat zákonně, korektně a transparentně, jen pro předem určený účel, v nezbytném rozsahu, přesně, ne déle, než je třeba, a bezpečně. Správce musí umět doložit, že zásady dodržuje. Každé zpracování potřebuje právní titul – například souhlas, plnění smlouvy, právní povinnost nebo oprávněný zájem.

Firmy musí lidi srozumitelně informovat, jak s jejich údaji zacházejí, zabezpečit je přiměřenými opatřeními a při závažném úniku to do 72 hodin ohlásit dozorovému úřadu, případně i dotčeným lidem. Některé organizace musí jmenovat pověřence pro ochranu osobních údajů (DPO). Za porušení hrozí pokuta až 20 milionů eur nebo 4 % celosvětového ročního obratu, podle toho, která částka je vyšší.

Vaše práva podle GDPR

Máte právo vědět, zda o vás firma zpracovává údaje, a dostat jejich kopii. Můžete žádat opravu nepřesných údajů, výmaz („právo být zapomenut“), omezení zpracování nebo přenesení údajů k jinému poskytovateli. Můžete vznést námitku proti zpracování na základě oprávněného zájmu a vždy proti přímému marketingu. Souhlas můžete kdykoli odvolat.

Žádost stačí poslat e-mailem nebo dopisem; správce musí odpovědět bez zbytečného odkladu, nejpozději do jednoho měsíce, ve složitých případech s prodloužením o další dva měsíce. Pokud nereaguje nebo odpověď nestačí, můžete podat stížnost Úřadu pro ochranu osobních údajů. Praktické tipy, jak chránit své údaje i mimo GDPR, najdete v hesle ochrana osobních údajů.

GDPR a kryptoměny

Kryptoměnové burzy a směnárny musí při ověřování totožnosti (KYC) sbírat doklady, selfie a adresy, a tyto údaje spadají pod GDPR. Pokud dojde k úniku, platí oznamovací povinnost i vaše právo na informace. Při výběru služby se vyplatí podívat se, kde sídlí, jak dlouho údaje uchovává a komu je předává.

Veřejné blockchainy jsou s GDPR v napětí: záznam nelze změnit ani smazat, přestože adresy propojené se jménem mohou být osobním údajem. Proto je rozumné na řetězec nezapisovat nic, co vás identifikuje, a s adresami peněženek zacházet opatrně. Širší souvislosti najdete v kategorii Osobní údaje a digitální stopa.

Časté dotazy

Co je zkratka GDPR?

GDPR je zkratka anglického General Data Protection Regulation, česky obecné nařízení o ochraně osobních údajů. Jde o nařízení EU č. 2016/679.

Od kdy platí GDPR?

Nařízení bylo přijato v roce 2016 a použije se od 25. května 2018 přímo ve všech státech EU, aniž by se muselo přebírat do národních zákonů.

Je IP adresa osobní údaj podle GDPR?

Zpravidla ano, pokud ji správce dokáže – sám nebo s pomocí jiných – spojit s konkrétní osobou. Proto ji weby a služby musí chránit stejně jako ostatní osobní údaje.

Kam si stěžovat, když firma porušuje GDPR?

Nejprve se obraťte přímo na firmu nebo jejího pověřence. Pokud to nepomůže, podáte v Česku stížnost Úřadu pro ochranu osobních údajů, který může uložit nápravu i pokutu.