Názor k článku Chybějící zpracovatelské smlouvy. Dlouhodobý prohřešek firem má napravit GDPR od Tomáš Neugebauer - Odpovědi na vaše dotazy by vydaly na více...

Odpovědi na vaše dotazy by vydaly na více než jeden článek. Proto jen velmi stručně k tomu hlavnímu.

Neděste se pokut. Není to s nimi tak hrozné, jak se uvádí. Je to však nástroj umožňující vyvíjet tlak na potencionální zákazníky.

Zcela konkrétní návod pro zavedení GDPR není možné zpracovat a poskytnout. Ten si musí udělat každý sám. Vychází to z pojetí GDPR, které je postaveno na konkrétních podmínkách u jednotlivého subjektu, resp. na vyhodnocení rizik u něj.

V obecné rovině lze uvést, že nejprve je nutné analyzovat současný stav a zjistit s jakými osobními údaji nakládáte a jakým způsobem. Dále vyhodnotit, zda všechny osobní údaje opravdu potřebujete, nebo se bez nich obejdete. Zároveň s tím zjistíte, z jakého důvodu je potřebujete, z čehož vám vyvstane, zda pro nakládání s nimi potřebujete souhlas, či nikoliv. Tam, kde je nutný o něj požádejte podle pravidel GDPR. U těch, která nutně potřebujete, vyhodnoťte v jakých všech situacích s nimi nakládáte a jakým způsobem v jednotlivých situacích zabezpečeny. Poté vyhodnoťte, za tak vzniká riziko pro jejich ochranu či nikoliv. Na závěr si stanovte v nějakém dokumentu opatření pro ochranu osobních údajů.

Z uvedeného vyplývá, že vám nikdo nemůže dát jednoznačnou odpověď na to co smíte a co ne, jakož i šablonu souhlasu se zpracováním údajů. Souhlas nesmí být obecný, ale konkrétní k poskytovaným osobním údajům a účelu jejich poskytnutí. Tedy definovat jej může pouze správce osobních údajů.

Souhlas musí být poskytnut v případech, kdy není s osobními údaji nakládáno z důvodu:
•plnění smlouvy, jejíž smluvní stranou je subjekt údajů nebo pro přijetí opatření před uzavřením smlouvy na žádost subjektu údajů,
•plnění právní povinnosti,
•ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby,
•splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci,
•účely oprávněných zájmů správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy subjektu údajů vyžadující ochranu osobních údajů, zejména dítěte.