Co by mělo zveřejnění obsahovat?

Stojíme před námi Zveřejnění GDPR s průměrnou frekvencí 3-4krát denně.

Pokud jste v režimu navigace, ještě mnohem více. Ten nekonečný změť „napsaných věcí“ má povinnost informovat uživatele dříve, než web začne shromažďovat jeho osobní údaje. Tyto informace mohou být poskytnuty ústně nebo písemně, vždy však musí být v souladu s nařízením GDPR.

To, jak k těmto informacím přistupují různé společnosti, vypovídá hodně o nich, o jejich schopnost vztahovat se k evropskému nařízení a jejich schopnost a ochota investovat čas a prostředky v tomto ohledu. Vzhledem k tomu, že je to relativně nedávná záležitost, v Itálii ještě GDPR neuplatnily všechny webové stránky, které by měly být. Ocitáme se tedy v prostorech, které je zcela postrádají. Pak jsou tu další webmasteři, kteří zpanikařili, a aby měli datové regulace, rozhodli se vyhodit tři čtyři slova někde plagiát a vytvořit uživateli mini schvalovací okno. Dva tři řádky, protože „stránka je stejně malá, nikdo ji nenavštěvuje, nepotřebuji tam trávit hodiny a utrácet peníze u právníka“. A pak jsou tu hrdinové bez plášťů, ti, kteří kopírují předpisy od velkých firem a vydávají je za ně.

Všechny tyto tři přístupy jsou samozřejmě svým způsobem špatné. Co by měla obsahovat informace o zpracování osobních údajů?

Co obsahuje zveřejnění GDPR?

Články 13 a 14 evropského nařízení 16/679 poskytují s maximální přesností veškerý obsah, který má být povinně zahrnut do zveřejňování vašich osobních údajů. Mezi těmito informacemi uvádíme:

  • zájemce. Fyzická osoba, která vlastní osobní údaje a která se chystá kliknout na váš web a čelí vašemu GDPR.
  • Kdo ošetření provádí. Subjekt, který zpracovává údaje fyzické osoby, správce údajů nebo jeho stávajícího zástupce.
  • Adresa DPO. DPO (Data Protection Officer) je osoba odpovědná za ochranu osobních údajů, což je nová postava, kterou zavádí GDPR. Jedná se o technicko-právního poradce, který má za úkol proškolit majitele, manažera a zaměstnance tak, aby dodržovali pravidla legislativy. DPO není povinné pro všechny, ale pouze pro ty, jejichž hlavní činností je pravidelné a systematické monitorování subjektů údajů ve velkém měřítku. Například banky, pojišťovny, kavárny, nemocnice…
  • Jaká ošetření se provádějí a proč.
  • Jaký je právní základ léčby. Chcete zpracovávat údaje zájemce. Na jakém právním základě to můžete udělat? Podle GDPR musí každá organizace identifikovat základ, na kterém je shromažďování dat založeno – zásadní krok pro subjekt údajů. Práva lidí skutečně závisí na právním základu zvoleném pro zpracování jejich údajů!
  • Jaká data se shromažďují? „Osobními údaji“ rozumíme veškeré informace, které vedou zpět k jedinému jednotlivci na základě jeho vztahů, vlastností, zvyků nebo životního stylu. Patří mezi ně identifikační údaje (jméno, příjmení, adresa), citlivé údaje (náboženská nebo sexuální orientace), soudní informace (aktuální nebo minulé řízení), údaje o nových technologiích (e-mail nebo IP adresa). Dobré GDPR vždy ukazuje, která data z nich jsou shromažďována!
  • Zahrnuje zpracování profilování? Musíte to specifikovat. Profilování je automatizovaný postup sběru dat, který umožňuje jejich analýzu a zařazení do kategorií nebo skupin, aby bylo možné provádět hodnocení nebo prognózy.
  • Jsou data sdělována externím stranám? Zveřejnění musí uvádět, zda existují externí správci, jiní než správce údajů.
  • Jak dlouho jsou data uchovávána a jak. Jsou uloženy v cloudu? Na listu Excelu? Jak dlouho se uchovávají?
  • Jsou data přenášena do jiné země? Zveřejnění musí komunikovat, pokud jsou osobní údaje předávány do zemí mimo Evropskou unii.
  • Jaká jsou práva zájemce?

GDPR stanoví, že subjekt údajů má práva:

  1. právo být informován o tom, jak a proč jsou vaše údaje zpracovávány
  2. právo na přístup k vašim údajům
  3. právo na opravu vašich údajů
  4. právo na výmaz údajů vlastníkem a správci
  5. právo na přenositelnost údajů, tj. požadovat, aby údaje byly nebo předány přímo jiné společnosti, je-li to technicky možné
  6. právo vznést námitku, tj. požádat organizaci, která zpracovává osobní údaje – na základě vlastního oprávněného zájmu nebo v rámci činnosti ve veřejném zájmu či z moci úřední – aby je nepoužívala
  7. právo nebýt předmětem automatizovaných voleb, jako je profilování
výcvik