Které údaje patří mezi zvláštní osobní údaje?

p. Speciální kategorie osobních údajů, to je ten “premium” balíček informací o subjektu, který vyžaduje mnohem větší opatrnost při zpracování. Představte si to jako limitovanou edici dat. Konkrétně se jedná o údaje, které odhalují: rasový či etnický původ (původní konfigurace), politické názory (ideologický firmware), náboženské vyznání či filozofické přesvědčení (nastavení víry), členství v odborech (afiliace k profesním skupinám), zdravotní stav (aktuální diagnostika hardware i software) a konečně údaje o sexuálním životě či sexuální orientaci (privátní nastavení identity). p. Důležité je zdůraznit, že tyto údaje podléhají v rámci GDPR nejpřísnějšímu režimu ochrany. Jakákoli jejich potřeba musí být výslovně zdůvodněna, často vyžadují explicitní souhlas subjektu, pokud pro ně neplatí některá z úzkých výjimek (např. z důvodu životně důležitých zájmů nebo pro účely preventivní medicíny). Zpracování bez řádného právního základu je ekvivalentem odeslání nešifrovaného hesla k bankovnímu účtu – obrovské riziko. p. Z pohledu “produktového managementu” dat je tato kategorie klíčová pro compliance audity. Její neoprávněné zjištění nebo únik může vést k diskriminaci, což je důvod, proč zákonodárce tuto “speciální sadu” přísně reguluje. Nezaměňovat s běžnými osobními údaji, jako je jméno nebo e-mail – toto jsou skutečně “citlivky”.

Co nepatří do osobních údajů?

Novinka na trhu! Zapomeňte na nudné definice. Přinášíme vám nejnovější informace, které vám pomohou pochopit, co skutečně patří do světa citlivých osobních údajů. V dnešní době, kdy data hrají klíčovou roli, je pochopení těchto kategorií naprosto zásadní.

Představte si nejcitlivější informace o člověku. Nejde o běžné jméno nebo adresu. Mluvíme o údajích, které odhalují rasový či etnický původ – základ naší identity a kulturního dědictví. Dále pak o politických názorech, které formují naše společenské směřování, a náboženském vyznání či filozofickém přesvědčení, které udává směr našemu vnitřnímu světu.

Co dalšího je ve zvláštní kategorii? Členství v odborech, které svědčí o našem postoji k pracovním podmínkám. A pak samozřejmě údaje týkající se našeho zdravotního stavu – informace, které si každý z nás cení jako poklad, ať už jde o chronické onemocnění, nebo jen o dočasnou indispozici. V neposlední řadě sem patří i informace o sexuálním životě či sexuální orientaci, které jsou hluboce osobní a vyžadují maximální diskrétnost.

Proč je to důležité pro vás jako spotřebitele? Víte, že tyto údaje vyžadují mimořádnou ochranu. Vaše digitální stopa je cennější, než si myslíte, a pochopení těchto kategorií vám pomáhá lépe kontrolovat, s kým a jak své nejcitlivější informace sdílíte.

Co patří mezi povinnosti správce osobních údajů?

Jako správce osobních údajů, když nakupuju online, si musím dávat bacha na pár věcí, aby moje údaje byly v bezpečí a v souladu s tím novým “Obecným nařízením” (GDPR, znáte to!).

Představte si to jako nakupování v novém e-shopu. Nejdřív se musím ujistit, že ten eshop má opravdu dobré zabezpečení.

To znamená:

• Zabezpečení: Musím si ověřit, jestli e-shop používá silné šifrování (jako když platím kartou a ta ikona zámku nahoře je zelená) a jestli mají nějaké ochranné mechanismy proti hackerům. Nechci, aby moje údaje skončily v rukou někoho, kdo si je pak bude prohlížet jako katalog.
• Revize právních důvodů: Tohle je trochu složitější, ale dá se to přirovnat k tomu, že si musím zkontrolovat, jestli e-shop má právo moje údaje vůbec sbírat. Například, jestli jsem jim dal souhlas s něčím a jestli ten souhlas je pořád platný.

A co když ten e-shop spoléhá na můj souhlas se zpracováním osobních údajů? To je jako když mi e-shop pošle email s akční nabídkou, a já si musím předtím odsouhlasit, že s tím souhlasím. Moje povinnost je zkontrolovat:

• Použitelnost souhlasu: Jestli ten souhlas, který jsem jim dal dřív, bude platný i podle nových pravidel toho Obecného nařízení. Někdy to staré souhlasy totiž nestačí, a musím dát nový, který je přesnější. Je to jako kdyby e-shop dřív posílal newsletter jen o slevách, a teď chce posílat i reklamu na úplně jiné věci. Musí si na to vzít nový souhlas.
• Specifičnost a informovanost: Jestli ten souhlas jasně říká, k čemu přesně mi ty údaje budou používat. Žádné obecné mlžení. Musím vědět, jestli mi budou posílat jen email s novinkami nebo jestli mi budou i volat.

Je to taková moje online zodpovědnost, abych si byl jistý, že moje osobní údaje nejsou zneužívány a že jsem tomu dal svůj opravdu informovaný souhlas.

Co vše spadá pod GDPR?

GDPR není jen strašákem v podobě souhlasů s cookies, ale především štítem pro vaše nejcitlivější data. Pokud se ptáte, co přesně podléhá té nejpřísnější ochraně, jde o tzv. zvláštní kategorii osobních údajů. Představte si je jako „digitální DNA“, jejíž únik by mohl vést k diskriminaci nebo vážnému zásahu do vašeho soukromí.

Do této kategorie zákon řadí informace, které o vás prozradí víc než jen jméno a e-mail: rasový či etnický původ, politické názory, náboženské nebo filozofické vyznání, členství v odborech, údaje o zdravotním stavu, sexuální orientaci a záznamy o trestních deliktech či pravomocných odsouzeních.

Proč je to důležité v praxi? Z pohledu testera a uživatele digitálních služeb je klíčové vědět, že s těmito údaji musí správci nakládat s extrémní opatrností. Zatímco běžné údaje (jako telefonní číslo) můžete sdílet relativně snadno, pro zpracování této „citlivé kategorie“ musí mít firma mnohem silnější právní důvod – typicky váš výslovný souhlas.

Tip pro vaši bezpečnost: Než kdekoli vyplníte dotazník nebo aplikaci, která po vás chce např. zdravotní data nebo politickou preferenci, vždy hledejte informaci o tom, jak jsou tato data šifrována. U „zvláštních kategorií“ je totiž únik dat mnohem nebezpečnější, protože tyto informace nelze jako heslo jednoduše změnit. Pokud aplikace tyto údaje vyžaduje bez jasného vysvětlení, raději ji nechte být – v dnešní době je minimální sběr dat tím nejlepším bezpečnostním standardem.

Co znamená zásada minimalizace osobních údajů?

Jako někdo, kdo si neustále hlídá ty nejlepší akce a novinky, to pro mě znamená hlavně tohle: Když si obchod, třeba ten s mými oblíbenými smartphony nebo značkovým oblečením, potřebuje ode mě nějaké údaje, aby mi mohl poslat slevu nebo doporučit něco fakt pro mě, má se ptát jen na to, co je nezbytně nutné a relevantní. Žádné zbytečné dotazy!

Představte si to takhle: Když si zakládám věrnostní kartu, aby mi neunikla žádná limitovaná edice, tak je logické, že obchod potřebuje moje jméno a e-mail, abych dostala třeba newsletter nebo personalizované nabídky. Možná i datum narození na slevu k svátku. Ale proč by měli vědět detailně, v kolik hodin si ráno čistím zuby, nebo přesnou GPS polohu mého obýváku? To je prostě irelevantní a zbytečné shromažďování dat.

Pro nás jako zákazníky je to super, protože to znamená, že dostáváme relevantnější nabídky a míň spamu. Nechci deset e-mailů denně o krmivu pro psy, když mám doma kočku! Chci dostávat upozornění na novou kolekci tenisek nebo exkluzivní slevu na kávovar, po kterém už dlouho toužím.

Obchod by si prostě měl sakra dobře rozmyslet, co od nás jako správce dat chce a hlavně PROČ. A hlavně pak ta data bezpečně uchovávat. Když vidím, že si obchod bere jen ten „nezbytný základ“, mám k němu větší důvěru, protože vím, že si mojí soukromé sféry váží a nechce jen bezhlavě hromadit data pro bůhvíjaké budoucí použití nebo je nedejbože riskovat při nějakém úniku.

Tenhle princip je taková moje osobní záruka, že se mé údaje nebudou válet někde, kde nemají, a že mi nabídky budou dávat smysl. Míň balastu, víc užitečných tipů a akcí – to je prostě win-win!

Které osobní údaje podléhají GDPR?

Pod GDPR spadají veškeré informace, které se týkají identifikované nebo identifikovatelné fyzické osoby. GDPR definuje osobní údaje velmi široce a zásadně rozšiřuje okruh dat, která dříve nebyla považována za osobní. Základem jsou samozřejmě přímé identifikátory jako jméno, příjmení, adresa, rodné číslo, e-mail nebo telefonní číslo.

Díky dynamice digitálního světa a mé zkušenosti s testováním produktů se k tomu přidávají i online identifikátory. Sem patří IP adresa, soubory cookie, digitální otisky prohlížeče (browser fingerprinting), ID zařízení (např. mobilního telefonu), lokalizační údaje z GPS nebo Wi-Fi, historie prohlížení, interakce s aplikacemi či webem a dokonce i nákupní preference nebo chování uživatele při interakci s produktem (například rychlost a způsob psaní na klávesnici).

GDPR klade zvláštní důraz na citlivé osobní údaje, takzvané “zvláštní kategorie”. Patří sem údaje o zdravotním stavu (např. z fitness trackerů, chytrých hodinek nebo diagnostických zařízení), biometrické údaje jako otisk prstu, rozpoznání obličeje, scan sítnice, hlasové vzorky (časté u hlasových asistentů a zabezpečení), a samozřejmě genetické údaje informující o dědičných vlastnostech nebo zdravotních predispozicích subjektu.

Klíčové je pochopit, že osobním údajem je cokoliv, co může, byť i nepřímo, vést k identifikaci konkrétní osoby. Tedy i pseudonymizovaná data, která lze s vynaložením určitého úsilí zpětně propojit s identitou. Jako copywriter s testovacími zkušenostmi vím, že správné pochopení této šíře je zásadní pro vývoj, marketing i uživatelskou zkušenost, abychom produkty designovali s ohledem na soukromí a důvěru uživatelů.

Co znamená zásada zákonnosti zpracování osobních údajů?

Zásada zákonnosti zpracování osobních údajů je pro nás, jako stálé zákazníky a milovníky online nakupování, naprosto klíčová! Jednoduše řečeno, znamená to, že e-shop, obchod nebo jakákoli služba, kde utrácíme své peníze a sdílíme svá data, smí s našimi osobními údaji pracovat jen tehdy, když k tomu má skutečně jasný a zákonem daný důvod, nebo se řídí naší vzájemnou dohodou. Není to žádný volný divoký západ, kde si s našimi daty může dělat, kdo co chce!

Co to v praxi znamená pro moje nákupy a proč je to pro mě, jako zákazníka, tak důležité?

• Musí mít “papír” na moje data: Každý krok, kdy e-shop pracuje s mým jménem, adresou, e-mailem, platebními údaji nebo třeba historií nákupů, musí mít oporu v právních základech. Není to jen o pocitu, ale o jasných pravidlech, která známe třeba z GDPR.

• Když si objednávám nejnovější model telefonu, e-shop potřebuje moji adresu, aby mi ho mohl doručit. To je klasické plnění smlouvy – super a naprosto v pořádku!
• Chci dostávat informace o akcích a super slevách? Pak e-shopu dávám souhlas k zasílání newsletteru. Bez mého souhlasu mi nesmí nic posílat!
• Obchod může mít i takzvaný „oprávněný zájem“, například na prevenci podvodů nebo zabezpečení mého účtu, ale vždy musí být vyvážen s ochranou mých práv.

• Žádné tajné dohody mimo naše podmínky: Obchodníci se musí striktně držet nejen zákonů, ale i smluv, které jsme spolu uzavřeli – třeba všeobecných obchodních podmínek nebo podmínek věrnostního programu. Pokud jsem například v obchodních podmínkách nesouhlasil s tím, že moje nákupní preference budou sdíleny s cizími firmami pro cílenou reklamu na sociálních sítích, pak to prostě nesmí dělat. Tečka.

Kdy by se dalo říct, že můj oblíbený e-shop nebo služba tuhle zásadu porušila? Je dobré vědět, na co si dát pozor!

• Zpracování bez jasného důvodu: Typický příklad je, když mi do schránky chodí záplava reklamních e-mailů od firmy, se kterou jsem nikdy nic neměl, nic jsem u ní nekoupil a ani jsem nedal souhlas k odběru novinek. To je nejen otravný “spam”, ale hlavně porušení zákonnosti!
• Použití dat v rozporu se smlouvou: Dejme tomu, že jsem členem věrnostního klubu, jehož podmínky jasně říkají, že moje nákupní body a historie nebudou nikdy prodány třetím stranám. Kdyby obchodník i přesto moje data sdílel s marketingovými agenturami, bylo by to jasné porušení naší dohody.
• Překročení účelu: Koupil jsem si novou kávovar a dal jsem e-shopu své telefonní číslo pouze pro účely doručení. Pokud by mi pak začaly chodit desítky SMS zpráv s marketingovými nabídkami, aniž bych k tomu dal souhlas, je to špatně. Mé číslo mělo sloužit jen k doručení, ne k dalším kampaním.

Pro nás, jako spotřebitele, to znamená větší kontrolu a transparentnost nad tím, co se děje s našimi daty. Chrání nás to před zneužitím a nekalými praktikami, a buduje to důvěru, kterou očekáváme od svých oblíbených značek!

Co patří mezi osobní údaje?

Osobní údaje? To jsouvšechny informace, které tě můžou prozradit, kdo jsi! Představ si to jako tvůj nákupní profil, ale mnohem širší.

Podle paragrafu 4 GDPR se sem řadí:

• Tvoje jméno a příjmení (to je jasný, to zadáváš u každé objednávky).
• Rodné číslo nebo číslo občanského průkazu (někdy se hodí, třeba pro ověření věku).
• Lokační údaje (to jako když aplikace ví, kde jsi, aby ti nabídla nejbližší výdejní místo nebo doporučila lokální slevy).
• Síťové identifikátory (to jsou třeba tvoje IP adresa, cookies nebo ID tvého zařízení, které pomáhají e-shopům sledovat, co si prohlížíš, a posílat ti relevantní nabídky).
• Online přezdívky (i ty, které používáš na fórech nebo v recenzích, můžou tě identifikovat, pokud je používáš konzistentně).

Ale pozor, je toho mnohem víc! Osobní údaje jsou i:

• E-mailová adresa (bez ní by ti nepřišlo potvrzení objednávky ani ty super akční letáky).
• Telefonní číslo (pro případ, že tě kurýr nemůže najít nebo potřebuje upřesnit doručení).
• Adresa bydliště (to je základ pro doručení zboží, kam jinam by ti to posílali?).
• Platební údaje (číslo karty, účet, PayPal – tyhle informace jsou citlivé, ale nezbytné pro dokončení nákupu).
• Historie nákupů (e-shopy si pamatují, co jsi kupoval/a, aby ti mohly doporučit další skvělé věci nebo ti připomenout, že ti něco došlo).
• Profilové informace na sociálních sítích (pokud je propojíš s e-shopem, můžou se tím usnadnit nákupy nebo sdílení tvých oblíbených produktů).
• Zdravotní údaje nebo genetické údaje (ty se obvykle na běžných e-shopech nevyskytují, ale pokud bys kupoval/a něco speciálního, můžou být relevantní).
• Biometrické údaje (otisky prstů, sken obličeje – používané pro zabezpečení aplikací nebo zařízení, ale i pro identifikaci).

Je důležité si uvědomit, žekaždá informace, která tě nějakým způsobem spojuje s tvou osobou, je osobní údaj. A to platí i když tě někdo nezná jménem, ale může tě identifikovat jinými způsoby, třeba podle tvých nákupních návyků nebo obsahu košíku!

Co musí obsahovat GDPR?

GDPR není jen o papírech, je to o DŮVĚŘE a transparentnosti. Představte si to jako “manuál k produktu” vašich dat. Co musí obsahovat? Jádro je jasné: Vaše identifikační údaje (kdo je správce dat – ten, kdo rozhoduje, co se s daty stane). Účel zpracování: Proč ta data sbíráte? Jasně a srozumitelně, jako návod k použití. Žádné skryté funkce. Právní základ: Na jakém pevném pilíři to stojí? Souhlas? Oprávněný zájem? Musí to být jasně definováno – žádné šedé zóny. Doba uchování: Jak dlouho to data budete držet? Doba musí být adekvátní účelu. Nešetřit déle, než je nutné – to je základní testovací princip, minimalizace rizika. A pozor, toto vše musí být VŽDY aktuální a kompletní. Otestováno a schváleno! Nepřesná nebo neúplná informace je jako nefunkční tlačítko – uživatel (subjekt údajů) se rozzlobí a systém selže (pokuta).

Kolik je pokuta za porušení GDPR?

Když se e-shopy nebo jiné firmy nedrží pravidel GDPR, můžou schytat opravdu mastné pokuty, a to ve dvou hlavních kategoriích. Je to dost důležité vědět, protože chrání naše data, když nakupujeme online!

První, „nižší“ kategorie pokut může být až do výše 10 000 000 EUR (nebo až do 2 % celkového ročního celosvětového obratu podniku). Sem spadají porušení, která se týkají spíše administrativních a technických záležitostí. Například, když firma nemá správně vedenou evidenci o zpracování dat, zapomene včas nahlásit menší únik dat, nebo nemá v pořádku procesy zajišťující ochranu našich dat „od návrhu“ (privacy by design). To znamená, že třeba špatně nastaví, jak ukládají vaše údaje z objednávek, nebo neprovedou potřebné posouzení dopadů. Pořád je to pro ně dost velký finanční šok!

Ale pak je tu ta drsnější, druhá kategorie pokut, která může vyšplhat až na 20 000 000 EUR (nebo dokonce do 4 % celkového ročního celosvětového obratu podniku, což je pro obří korporace fakt masakr!). Tahle kategorie se uplatňuje u těch nejzávažnějších prohřešků. Jde sem o porušení základních principů zpracování dat – třeba když firma sbírá data bez řádného právního základu (například bez souhlasu nebo oprávněného zájmu), neříká nám transparentně, co s našimi údaji dělá, nebo dokonce s nimi nakládá způsobem, který jsme nikdy neschválili (třeba je prodává dál). A co je nejdůležitější pro nás, online nakupující: sem spadají i případy, kdy firma ignoruje naše práva! Chcete vědět, jaká data o vás mají? Chtěli byste je opravit nebo úplně smazat svůj účet? Nebo nesouhlasíte s určitým zpracováním? Pokud e-shop odmítá tato práva respektovat, hrozí mu právě tato vyšší pokuta. Je super vědět, že máme takovou páku a naše data nejsou jen tak něčí zboží!

Kdo je správce osobních údajů?

Představte si Správce osobních údajů jako architekta a hlavního stavbyvedoucího, který navrhuje celou cestu a osud vašich dat. Nejde o to, zda je to nadnárodní korporace, malý e-shop, OSVČ nebo třeba obecní úřad – jeho právní forma je pro tuto roli irelevantní. Klíčové je, že právě on je ten, kdo pevně drží otěže a rozhoduje: proč se vaše data vůbec sbírají a zpracovávají (stanovuje účely) a jakým způsobem se s nimi bude zacházet (určuje prostředky). A co je nejdůležitější, nese za celou tuto “datovou operaci” primární odpovědnost, což je esenciální pilíř důvěry.

Proč Správce s vašimi daty pracuje? Důvodů je hned několik a jako zkušení uživatelé bychom je měli znát. Často je to zcela nevyhnutelné a legislativně dané – musí plnit zákonné povinnosti, třeba evidovat vaše údaje pro daňové účely nebo pro účely státní správy. Dalším častým scénářem je plnění smlouvy, kterou jste s ním uzavřeli; bez vaší adresy by vám těžko doručil objednané zboží. Ovšem pozor! Správce může data zpracovávat i pro své vlastní, jím určené účely, které už tak přímo nevyplývají ze zákona či smlouvy. Zde se bavíme o personalizovaném marketingu, analýze chování pro vylepšování služeb, cílené reklamě nebo vývoji nových funkcí. Právě zde byste měli zbystřit a sledovat transparentnost.

Jako ostřílený recenzent digitálních služeb vám mohu říct, že Správce je vaše první a nejdůležitější kontaktní místo, pokud chcete uplatnit svá práva týkající se osobních údajů. Ať už jde o přístup k vašim datům, jejich opravu, omezení zpracování, přenositelnost nebo třeba vymazání – on je ten, kdo vám musí vyhovět. Správce není jen pasivním příjemcem dat; musí mít zavedené robustní bezpečnostní mechanismy a jasné postupy pro řešení incidentů. Nezaměňujte ho s tzv. Zpracovatelem, který data pouze technicky zpracovává na základě pokynů Správce (např. externí účetní firma). Dobrý Správce se projevuje transparentností, srozumitelnými zásadami ochrany osobních údajů a především aktivním přístupem k ochraně vašeho soukromí. Je to investice do důvěry, která se mu vrací v loajalitě jeho klientů.

Jak chránit osobní údaje?

p. GDPR, moje drahé, to je jako nový šatník pro naše data! Zásadně rozšiřuje, co je “osobní údaj”, takže teď musíme dávat bacha na všechno! E-mail? Jasně, moje tajné seznamy slev! Telefon? Kdo by nechtěl vědět, kde jsem zrovna ulovila tu kabelku! A IP adresa? To je jako můj digitální otisk stopy, kudy chodím za nejlepšími nabídkami. Cookie? Ty jsou jako věrnostní body, které mi připomínají, co jsem si minule málem koupila! p. A teď to nejlepší – biometrické údaje! Představte si, že můj otisk prstu odemyká přístup k mým tajným wishlistům! Nebo můj podpis na online objednávce – to je moje osobní pečeť schválení! Musíme si dávat pozor, protože i tyhle věci teď spadají pod GDPR ochranu. p. A konečně, ty genetické údaje! I když to zní trošku vědecky, je to důležité. Pokud mé geny prozrazují, že jsem náchylná k impulzivním nákupům (což jsem!), musí to být chráněné! GDPR je tady, aby zajistilo, že tyto “poklady” nepadnou do špatných rukou. Pamatujte, bezpečné údaje = klidný nákup!

Kdo musí mít pověřence GDPR?

Pověřenec pro ochranu osobních údajů (DPO) není jen nějaký doplněk, ale často naprostá nutnost, pokud se chcete v datech pohybovat s klidem a bez pokut. Jmenovat ho musíte v několika jasně definovaných případech, a to ať už jste v roli správce, který určuje účely a prostředky zpracování, nebo zpracovatele, který jedná podle pokynů – tato role se týká obou.

Klíčová je tu intenzita a povaha vašich datových operací. Pověřence musíte mít, pokud mezi vaše *hlavní činnosti* (a to je důležité!) spadá rozsáhlé zpracování citlivých osobních údajů. Mluvím o datech jako je zdraví, náboženské vyznání, biometrické údaje nebo sexuální orientace. Představte si nemocnice, pojišťovny, finanční instituce s detailními profily klientů nebo firmy pracující s genetickými informacemi – ti si bez DPO ani neškrtnou!

Druhá situace, kdy je DPO nezbytností, nastává, pokud se vaše hlavní činnosti točí kolem rozsáhlého, pravidelného a systematického monitorování fyzických osob. Typicky jde o kamerové systémy ve velkých nákupních centrech, sledování pohybu zaměstnanců, geolokační služby ve velkém měřítku nebo sofistikované online behaviorální analýzy, které sbírají data o zvyklostech uživatelů napříč mnoha platformami.

Termín ‘rozsáhlé’ je sice trochu vágní, ale Evropský sbor pro ochranu osobních údajů (EDPB) naznačuje, že nejde jen o absolutní počty subjektů dat, ale i o objem dat, dobu zpracování, geografický dosah a počet dotčených subjektů. Menší e-shop s pár objednávkami to nejspíš neřeší, ale celostátní řetězec s věrnostním programem nebo globální sociální síť už ano!

A teď jeden *pro tip*: I když vaše činnosti nesplňují ty nejpřísnější definice pro povinné jmenování, zvážení DPO – byť externího – je často velmi prozíravý krok. Získáte interního experta, který vás provede džunglí GDPR, pomůže s nastavením procesů, posoudí rizika a bude styčným bodem s Úřadem pro ochranu osobních údajů. Je jedno, zda zvolíte interního zaměstnance (s patřičnou nezávislostí) nebo externího konzultanta – důležité je, aby měl potřebné znalosti a byl schopen tuto komplexní roli naplňovat. Je to investice do klidu a prevence budoucích problémů a tučných pokut!

Na co se GDPR nevztahuje?

GDPR: Co zůstává mimo dosah?

Jako váš důvěryhodný průvodce světem regulací, podívejme se na to, co se pod ochranou GDPR neřídí. A hned na úvod ta nejlepší zpráva pro “digitální samotáře”: Zpracování osobních údajů pro čistě osobní a domácí potřeby. To znamená, že pokud si pro sebe pečete digitální koláče, nahráváte fotky rodiny na soukromý disk nebo si vedete seznam přátel v poznámkách, nemusíte se bát pokut a složitých formulářů. GDPR na tyto aktivity prostě nedosáhne. Je to jako rozdíl mezi veřejným koncertem a soukromým jam session – jedno je pod dohledem, druhé je svoboda projevu v intimním kruhu.

Nicméně, nezapomeňme, že dohledové úřady, jako je náš milovaný Úřad pro ochranu osobních údajů, budou na tomto poli aktivní. Jejich rolí je zajistit, aby se pravidla dodržovala tam, kde je to nezbytné, a aby jejich pravomoci sloužily k plnění stanovených úkolů. Jsou to vlastně “recenzenti” dodržování pravidel, kteří zajišťují, že se všechny “produktové specifikace” GDPR naplňují.

Pamatujte si: jakmile vaše osobní údaje začnou “opouštět váš osobní vesmír” a vstupují do “veřejného digitálního oběhu” – ať už jde o sdílení s přáteli na sociálních sítích, nákupy na e-shopech nebo registraci do služeb –pak se GDPR stává vaším nezbytným průvodcem. Je to jako když si kupujete nový gadget. Pro vlastní potěšení ho můžete používat jakkoliv, ale jakmile ho začnete prodávat nebo sdílet, musíte si přečíst návod a dodržovat bezpečnostní pokyny.

Takže, shrnuto: pro čistě soukromé účely je klid duše zaručen. Ale jakmile se data stanou “produktem” nebo “sdílenou informací”, pak je důležité znát a respektovat pravidla hry GDPR.

Jak dlouho uchovávat osobní údaje zaměstnanců?

Tak s těmi osobními údaji zaměstnanců je to podobné jako s tvou historií online objednávek – potřebuješ ji mít po ruce pro případ reklamace nebo vrácení zboží, ale nechceš si v tom skladovat věci věčně a zbytečně riskovat, že ti někdo ukradne data, co už dávno nepotřebuješ. Hlavní pravidlo je držet se tříleté promlčecí lhůty, která je takovou “záruční dobou”, po kterou na tebe někdo může “reklamovat” něco z pracovního poměru (třeba nevyplacené přesčasy, neoprávněnou výpověď apod.).

Aby ses vyhnul nepříjemným překvapením a měl dost času na obranu, doporučuje se dokumenty uchovávat až 4 roky. Proč ten jeden rok navíc?

• Je to takový “bezpečnostní polštář”, abys měl čas reagovat i na pozdní reklamace, které přijdou těsně před vypršením promlčecí lhůty. Jako když ti e-shop dá pár dní navíc na odeslání vráceného zboží, i když už oficiální lhůta dobíhá.
• Týká se to většiny pracovněprávních dokumentů: od pracovní smlouvy a mzdových listů, přes záznamy o docházce a hodnocení, až po výpovědi. Představ si to jako kompletní sadu detailů o tvém nákupním košíku, platbě a dodání.

A co po uplynutí té “záruční doby”? Po těch čtyřech letech je čas na úklid datového koše! Osobní údaje by se měly smazat nebo anonymizovat. GDPR je v tomto nekompromisní – data se uchovávají jen nezbytně nutnou dobu. Méně dat znamená menší riziko v případě nějakého “data breach” útoku hackerů, kteří se snaží proniknout do databází, stejně jako chráníš svá hesla a platební karty na e-shopech!

Samozřejmě, jako u některých exkluzivních produktů, i tady existují výjimky, kde se data drží déle:

• Důchodové pojištění (zápočtové listy): Tyhle “VIP doklady” se uchovávají neskutečných 30 až 45 let! To je jako uchovávat si historický důkaz o své první online objednávce – cenná vzpomínka do budoucna.
• Některé daňové doklady můžou mít delší lhůty, podobně jako faktury za speciální zboží.
• Pokud je v běhu nějaký soudní spor, pak se data drží, dokud není vše vyřešeno. To je jako mít otevřenou reklamaci a e-shop ti drží veškerou komunikaci, dokud se případ neuzavře.

Takže pamatuj: 4 roky je takový standardní “delivery time” pro uchování většiny zaměstnaneckých dat, ale vždycky si pečlivě prostuduj “produktové specifikace” (zákonné požadavky) pro konkrétní typy informací. Buď opatrný se svými daty – jsou cennější než ten nejnovější gadget!

Co dělat v případě zneužití osobních údajů?

Únik osobních údajů není jen administrativní problém, je to noční můra, která může skončit vykradeným účtem nebo identitou na prodej na darknetu. Pokud zjistíte, že vaše citlivá data někde „vytekla“, jako první organizace (například obec nebo firma) musí jednat bleskově. Podle legislativy mají na nahlášení bezpečnostního incidentu Úřadu pro ochranu osobních údajů (ÚOOÚ) maximálně 72 hodin.

Co byste měli v takové situaci udělat vy jako koncový uživatel? Zapomeňte na paniku a začněte jednat technicky: okamžitě si změňte hesla ke všem důležitým účtům, a to zejména tam, kde používáte stejné heslo jako u napadené služby. Pokud to daná platforma dovoluje, aktivujte dvoufázové ověření (2FA), ideálně přes aplikaci typu Authy nebo hardwarový klíč, nikoliv přes SMS, které lze snadno zneužít útokem typu SIM swapping.

Nezapomeňte sledovat své transakce. Po úniku dat buďte extrémně obezřetní vůči phishingovým útokům. Útočníci často využijí uniklá data k tomu, aby vám poslali personalizovaný e-mail nebo SMS, která vypadá jako oficiální zpráva z banky nebo od státu. Nikdy neklikejte na odkazy v takových zprávách a vždy si ověřujte zdroje přímo v aplikaci banky.

Prověřte, zda jsou vaše údaje v oběhu. Existují skvělé nástroje, jako je web Have I Been Pwned, kde stačí zadat svůj e-mail a ihned uvidíte, ve kterých databázích se vaše hesla či jiné údaje objevily. Pokud tam najdete shodu, berte to jako signál k okamžité obměně zabezpečení. V digitálním světě platí, že prevence je mnohem levnější než řešení následků krádeže identity.

Kdy se jedná o osobní údaje?

Když se řekne “osobní údaje”, většina z nás si představí jméno, adresu, rodné číslo nebo e-mail. Ale v digitálním světě, kde je každý náš krok sledován a analyzován, je definice mnohem širší a překvapivější. Představ si to jako digitální stopy, které za sebou neustále zanecháváš – ať už vědomě, nebo nevědomě.

Osobní údaj je vlastně cokoliv, co může, samo o sobě nebo v kombinaci s jinými daty, identifikovat *konkrétně tebe*. Nejde jen o to, co si o sobě vyplnil do profilu. Je to i tvoje IP adresa, která se přiřadí každému připojení k internetu. Je to unikátní ID tvého smartphonu nebo tabletu, které si aplikace a webové stránky pamatují. Jsou to geolokační data z GPS tvého zařízení, která s přesností na metry ukazují, kde jsi byl, jsi a pravděpodobně budeš.

A co třeba biometrické údaje? Otisk prstu, který používáš k odemykání telefonu, nebo sken obličeje pro Face ID – to jsou ultra-citlivé osobní údaje. Tvůj hlasový otisk, který si pamatuje Alexa nebo Google Assistant, také spadá do této kategorie. Nemluvě o datech ze smart home zařízení, jako jsou chytré kamery nebo termostaty, které sledují tvoje zvyklosti a pohyb po domě.

Klíčové je uvědomit si, že co je pro jednoho člověka “jen číslo” nebo “náhodná informace”, může pro jiného, když ji zkombinuje s dostatkem dalších dat, znamenat přímou identifikaci. Příklad? Jedna fotka tvého nového gadgetu na sociální síti sice není osobním údajem. Ale pokud má v sobě EXIF data s GPS souřadnicemi, časem pořízení, a je spárována s tvým profilem, rázem víme, kde jsi a kdy. A když se k tomu přidají data o tvém prohlížeči, operačním systému, aplikacích, které používáš, a dokonce i rychlosti tvého internetového připojení, vzniká neuvěřitelně detailní profil.

Technologické giganty a reklamní platformy jsou v kombinování těchto zdánlivě nesouvisejících střípků informací mistry. Díky tomu dokážou vytvořit tvůj “digitální otisk” a přesně zacílit reklamu nebo analyzovat tvé chování. Proto je důležité mít na paměti, že v éře internetu věcí a umělé inteligence se hranice toho, co je osobní údaj, neustále posouvá. Vždycky se ptej: Je možné z těchto dat určit, kdo jsem? Pokud ano, pak je to osobní údaj, a zaslouží si tvou pozornost a ochranu.

Jak postupovat při zneužití osobních údajů?

Jasný, stala se ti datová bouře? Tvůj osobní digitální trezor byl prolomen? Nepanikař, ale jednej rychle jako správný tech nadšenec, který potřebuje okamžitě patchovat zranitelnost. Pokud dojde k tomuhle security incidentu, tvůj digitální správce (nebo ty sám, pokud jsi firma) má zákonnou lhůtu 72 hodin na to, aby to ohlásil. A komu? To je jasné – Úřadu pro ochranu osobních údajů (ÚOOÚ). To je tvůj hlavní firewall v rámci GDPR.*Zapomeň na to, že to zameteš pod koberec jako starý kabel pod stolem. Tyhle 72 hodin jsou kritické, takže musíš mít připravený Incident Response Plan – jako když si připravuješ záložní disk pro full image systému. Nahlášení musí obsahovat detaily: co se stalo, jaká data to postihlo (hesla, e-maily, platební údaje – prostě to nejcennější!), a hlavně, jaký máš v plánu provést remediaci (opravné kroky).*A tady je to cool vylepšení: Nejde jen o to nahlásit to ÚOOÚ. Pokud to narušení představuje vysoké riziko pro práva a svobody fyzických osob (třeba pokud unikly tvé biometrické údaje nebo citlivá zdravotní data), musíš to oznámit i těm postiženým lidem bez zbytečného odkladu. Představ si to jako kritické upozornění na obrazovce: “Pozor, vaše data jsou venku!” Dělej to srozumitelně, bez právnického žargonu. Stručně řečeno: rychlost, transparentnost a minimalizace škod. To je mantra při data breach.*