MATEEJ: Poradenství na gdpr dělám. Neofiko, neplaceně. Sepisuju pro drobné firmy návod jak na to, ale nějak se nemůžu dokopat to dopsat.

Mám na starost část implementace gdpr v jedné z bank, direktivu mám sestudovsnou horem dolem. A vidím, jak návody, co člověk najde na netu, jsou většinou neúplné, nebo směřují k nějaké podvodné certifikaci.

Napiš mi do pošty. Většinou je to tak na hodinu až dvě u piva.

MATEEJ:
ALMAD:
my jsme v pozici dodavatele systému. Všechny zákazníky jsme o GDPR informovali minulý rok - většina vůbec nevěděla, že něco takového existuje.
Děláme v rámci údržby systému takové minimum, jako přístup pouze přes https, ssh, vpn, to už i před GDPR, ale jinak si musí dělat analýzu zákazník sám, každý má zcela jiný systém na míru, jen se zorientovat kde všechny data jsou je víc než den práce.

HARALD: jo, naráží to na zákon o archivnictví a spisové službě atp., nějaké výtahy k tomu:

Jak dlouho musíte archivovat firemní dokumenty? - Portál POHODA
https://portal.pohoda.cz/...etnictvi-mzdy/ucetnictvi/jak-dlouho-musite-archivovat-firemni-dokumenty/

Při podnikání vznikají stohy dokumentů. Některých se léta nesmíte zbavit - Podnikatel.cz
https://www.podnikatel.cz/...ri-podnikani-vznikaji-stohy-dokumentu-nekterych-se-leta-nesmite-zbavit/

ELIDOR: Ano. A dokonce ten požadavek je přísnější. Ty musíš vědět která data smíš a která data nesmíš držet. A ty, co držet nesmíš, odmazávat.

Je 6 zákonných titulů, které podle gdpr dávaji právo zpracovávat data. Dva se vztahují na zdravotnictví a státní správu. Ty zbývající jsou:
- plněni smlouvy nebo jednání k jejímu uzavření
- plnění zákonné povinnosti (posílání dat finančáku, sociálce a podobně) - sem spadá třeba i povinnost zpracovávat reklamace, což jsou podle občanského zákoníku 2 roky od prodeje
- podepsaný souhlas - sem spadají mj. všechny ty marketingové souhlasy.
- oprávněný zájem - všechno ostatní, kde správce dat dokáže obhájit (!), že právo zpracovávat data je silnější než právo osob na odmazání dat. Důvodem z oprávněného zájmu bývají třeba běžící soudní spory.

Žádosti o smazáni se může vztahovat na ty poslední dva důvody.

V praxi se to dělá třeba tak, že se pro každou smlouvu napočítává, jaké tituly máš k držení dat o ní. Typicky:
(1) obsluha - od jednání o jejím podpisu až po její ukončení
(2) reklamace - od ukončení 2 roky v případě občanského zákoniku. Jiné zákonné povinosti dávají jiné lhůty
(3) archivační povinnost - z různých zákonů různá. Finančák na tebe může přijít 7 let.
(4) marketingový souhlas - po odebrání musíš neprodleně (v řádu dní) tento titul brát jako neplatný

A u smluv, kde nemáš žádný titul, tak mažeš. Takže si uchováváš čísla smluv, kde už jsi pozbyl titulů, a po obnovení ze zálohy je jako první krok smažeš (případně anonymizuješ).

ELIDOR: O archivech a zálohách se explicitně gdpr nařízení nezmiňuje, takže by se mohlo zdát, že se na ně vztahuje stejná pravidla jako na ostatní data a musí se mazat po skončení posledního právního titulu (oprávnění) k držení dat.

Na druhou stranu, gdpr stanoví i zásadu přiměřenosti nákladů na zavedení opatření k ochraně osobních dat. Což by u archivů a záloh znamenalo ohromné náklady s nulovou přidanou hodnotou.

Co jsem slyšel v debatách o tomto tématu, prakticky všemi sdílený přístup je, že do těchto dat nevstupují, neodmazávají v nich a jenom když je potřeba je použít, spoušti nad nimi mazací / anonymizační skripty.

ACIDOFIL: Ano. Pokud drží data z důvodu zákonné povinnosti, je to cajk.
Ale i ta by se měla po určitém čase odmazávat. Přes vánoce chci napsat pár článků na téma gdpr, zkusím do nich ty lhůty dohledat.

(Pardon za drobení příspěvku, ale na mobilu nevím, co píšu, po zaplnění screenu).

GDPR umožňuje ještě zákonný titul “oprávněný zájem” a explicitně říká, že marketingové oslovení může být oprávněným zájmem. Pokud ovšem zákazník “vznese námitku se zpracováním” (jinými slovy dá jakkoliv najevo, že nechce být zařazen), tak ho musíš okamžitě vyřadit.
Tahle cesta je snadnější, než souhlasy, ale musíš na to zákaznika upozornit nejpozději v okamžiku, kdy ti ta data předává a to způsobem zřetelným a srozumitelným. Nejde to tedy aplikovat na jinak získaná data.
Nevím přitom o žádné společnosti (mám trochu povědomí jenom o finančních službách), která by se rozhodla jít přes oprávněný zájem. Všechny sbírají marketingové souhlasy. Nepátral jsem proč.

HARALD: Ještě doplnění. To, že většina společností získala marketingový souhlas v rozporu s gdpr nebo nejsou schopny to dokázat, je důvod, proč teď skoro všechny marketingový souhlas přesmlouvávají.
Navíc, držet data bývalých zákazniků jen na základě marketingoveho souhlasu musí být časově omezené a pak se musí přesmluvnit. Nemám teď chuť hledat v direktivě, tak se jen omezim na to, že obvykle se platnost souhlasu bez produktů či smluv je jeden rok.

Ale k zákaznické databázi můžeš mít i jiné zákonné tituly, proč ta data držet. Typicky plnění smlouvy / objednávky. Pak reklamač ní lhůta (podle občanského zákoníku 2 roky, pokud ji nemáte prodlouženou). Pak kontrola z finančáku. 4 nebo 5 let (kdo ví, kolik to je?). Akorát data držených bez marketingového souhlasu nesmíš marketingově zpracovávat. S jednou výjimkou...

MATEEJ: Souhlas získaný prostým zaškrtnutím bez elektronickeho nebo písemného podpisu je Pochybnitelný velmi snadno. Bude to zajímavý precedent, až někdo vznese námitku u UOOU. Důkazní břemeno, že klienti odsouhlasili přesně ten souhlas, který splňuje požadavky gdpr, je na správci dat, tedy v tomto případě na provozovateli eshopu.

Co je taky podstatné, od května musí být souhlasy samostatné (!) - tedy ne jako jedno z několika zaškrtávacích políček na stránce s dalšími informacemi ale hezky samostatná stránka. A stejnou cestou, jakou byl souhlas udělen, musí být i odvolatelný. Kromě toho, že je odvolatelný i libovolnou jinou formou.

QUIP: Správnou osobou je Data Protection Officer, nebo v české verzi Zmocněnec pro ochranu osobních dat. Kontakt na něj bude muset být uveden na stránkách pojišťovny.
Správný postup je napsat mu mail, že se domníváš, že došlo k úniku dat a že žádáš prošetření a sdělení, jak pojišťovna chrání data před únikem.
Pokud nebudeš spokojen, tak podnět na uoou. Tam sice nezareagují asi na jedinou stížnost, protože budou zavaleni podobnými podněty, ale když vás bude víc, je šance, že se něco pohne.