Malá firma má databázi zákazníků, zaměstnance, e-mailový newsletter a web s analytikou. GDPR v malé firmě se týká každého podnikatele, který zpracovává osobní údaje, ale většina povinností je jednodušší, než tvrdí nabídky drahých auditů. Souhlas není potřeba ke všemu, pověřence malá firma obvykle nepotřebuje a registrace u úřadu neexistuje. Povinná je naopak informační povinnost, zabezpečení, smlouvy se zpracovateli a u pravidelného zpracování i záznamy o činnostech.
Evropská unie projednává zjednodušení některých povinností pro menší podniky. K dnešku ale platí nařízení v původním znění a změny nelze považovat za platné, dokud nevyjdou v Úředním věstníku.
Ve zkratce
- Souhlas je jen jeden ze šesti právních důvodů, k vyřízení objednávky ani ke mzdám ho nepotřebujete.
- Zákazníkům a zaměstnancům musíte při získání údajů říct, kdo a proč je zpracovává.
- Záznamy o činnostech zpracování vede i malá firma, pokud zpracování není jen příležitostné.
- Pověřence potřebuje jen firma, jejíž hlavní činností je rozsáhlé monitorování nebo citlivé údaje.
- Porušení zabezpečení se hlásí úřadu do 72 hodin, pokud představuje riziko.
- Newsletter stávajícím zákazníkům lze posílat bez souhlasu, cookies mimo technické jen se souhlasem.
Kdy potřebujete souhlas a kdy ne
Podle čl. 6 odst. 1 GDPR je zpracování zákonné, jen když je splněn aspoň jeden ze šesti důvodů: souhlas, plnění smlouvy, právní povinnost, ochrana životně důležitých zájmů, veřejný zájem, nebo oprávněný zájem. Souhlas je jen jedním z nich a není nadřazený ostatním. Úřad pro ochranu osobních údajů v informacích pro e-shopy uvádí, že souhlas nelze vyžadovat tam, kde se zpracování opírá o smlouvu nebo právní povinnost.
Příklady z běžného provozu
Adresu zákazníka k doručení zboží zpracováváte kvůli plnění smlouvy. Údaje zaměstnanců pro mzdy a pojištění kvůli právní povinnosti. Kamerový záznam ve skladu nebo vymáhání dluhu mohou stát na oprávněném zájmu, pokud nepřeváží zájmy dotčených lidí. Souhlas potřebujete hlavně u marketingu, kde jiný důvod nemáte, a u cookies, které nejsou technicky nezbytné.
Informační povinnost
Při získání údajů musí správce podle čl. 13 sdělit, kdo je, proč a na jakém právním základě údaje zpracovává, komu je předává a zda je posílá mimo EU. Pokud je to potřeba pro transparentnost, přidává dobu uložení, práva lidí včetně práva podat stížnost u úřadu a informaci, zda je poskytnutí údajů povinné. Informace mají být stručné a srozumitelné. Pro e-shop se obvykle řeší stránkou o zpracování osobních údajů, na kterou odkazuje objednávkový formulář.
Záznamy o činnostech zpracování
Záznamy podle čl. 30 obsahují účely zpracování, kategorie lidí a údajů, příjemce, lhůty pro výmaz a popis zabezpečení. Firmy pod 250 zaměstnanců mají výjimku, ale jen když zpracování nepředstavuje riziko, není pouze příležitostné a nezahrnuje citlivé údaje, například o zdraví. Mzdová agenda nebo databáze zákazníků e-shopu probíhá pravidelně, takže výjimka se na ni typicky nevztahuje.
Záznamy nemusí být složitý dokument. Stačí přehledná tabulka po jednotlivých agendách, kterou na požádání předložíte úřadu. EU projednává rozšíření výjimky pro menší a střední podniky. Dokud změna nevyjde v Úředním věstníku, platí stávající pravidlo.
Pověřenec a zpracovatelé
Pověřence pro ochranu osobních údajů musí mít podle čl. 37 orgány veřejné moci a firmy, jejichž hlavní činností je rozsáhlé systematické monitorování lidí nebo rozsáhlé zpracování citlivých údajů. Běžná OSVČ, malá s.r.o. ani e-shop ho zpravidla nepotřebují. Registrace správců u úřadu byla s účinností GDPR zrušena.
Smlouva se zpracovatelem
Když za vás údaje zpracovává někdo jiný, například poskytovatel e-shopové platformy, cloudu, e-mailingového nástroje nebo externí mzdová kancelář, musí mezi vámi být podle čl. 28 smlouva. Stanoví předmět, dobu, účel a typ zpracovávaných údajů a povinnost zpracovatele postupovat jen podle vašich pokynů. Podle úřadu nemusí jít o samostatnou listinu, stačí, když náležitosti obsahují obchodní podmínky služby. Jak nastavit mlčenlivost u externistů, vysvětluje článek o dohodě o mlčenlivosti.
Zabezpečení a únik dat
Podle čl. 32 musí firma přijmout opatření odpovídající riziku: řízení přístupů, zálohy, šifrování, aktualizace a obnovu dat po incidentu. Nařízení nepředepisuje konkrétní software, požaduje přiměřenost. Pro malou firmu to znamená hlavně silná hesla a dvoufázové ověření, oddělené účty zaměstnanců, pravidelné zálohy a šifrované notebooky.
Když dojde k úniku nebo ztrátě dat, hlásí se podle čl. 33 Úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin, pokud je pravděpodobné riziko pro dotčené lidi. Dokumentovat se musí každý incident, i neohlášený. Dotčené lidi informujete, když hrozí vysoké riziko.
Newsletter a cookies
Obchodní sdělení e-mailem lze podle § 7 zákona č. 480/2004 Sb. posílat jen s předchozím souhlasem. Výjimka platí pro stávající zákazníky: e-mail získaný v souvislosti s prodejem smíte použít k nabídce vlastních obdobných výrobků nebo služeb, pokud má zákazník jednoduchou a bezplatnou možnost odmítnout, a to v každé zprávě. Úřad za rozesílání sdělení bez souhlasu udělil i pokutu 7,7 milionu korun.
Od 1. ledna 2022 platí podle § 89 odst. 3 zákona o elektronických komunikacích pro cookies princip předchozího souhlasu. Bez souhlasu lze používat jen technicky nezbytné cookies. Analytické a marketingové potřebují souhlas a tlačítko pro odmítnutí má být podle úřadu stejně dostupné jako tlačítko pro souhlas. Úřad za cookies bez souhlasu uložil pokutu 898 tisíc korun. Co dalšího patří do pravidel e-shopu, rozebírá článek o obchodních podmínkách e-shopu.
Zaměstnanci a kamery
Podle § 316 zákoníku práce nesmí zaměstnavatel bez závažného důvodu spočívajícího ve zvláštní povaze činnosti sledovat zaměstnance kamerami, odposlouchávat hovory nebo kontrolovat jejich e-maily. Pokud závažný důvod má, musí zaměstnance přímo informovat o rozsahu a způsobu kontroly. Nesmí také vyžadovat informace nesouvisející s prací, například o těhotenství, rodinných poměrech nebo sexuální orientaci.
Osobní spis smí zaměstnavatel podle § 312 vést, ale jen s písemnostmi nezbytnými pro výkon práce. Zaměstnanec do něj má právo nahlížet. Pravidla pro evidenci odpracované doby, která také obsahuje osobní údaje, popisuje článek o evidenci pracovní doby.
Sedm kroků GDPR pro malou firmu
Postup, který pokryje povinnosti většiny malých firem bez drahého auditu.
- Sepište agendy: zákazníci, zaměstnanci, dodavatelé, newsletter, kamery.
- U každé určete právní důvod a zrušte zbytečné souhlasy.
- Zveřejněte informace o zpracování a odkažte na ně z formulářů.
- Veďte záznamy o činnostech v jednoduché tabulce.
- Zkontrolujte smlouvy se zpracovateli, včetně podmínek cloudových služeb.
- Nastavte zabezpečení, zálohy a postup pro hlášení úniku do 72 hodin.
- Upravte cookie lištu a newsletter podle pravidel souhlasu a odhlášení.
Další povinnosti podnikatele od založení firmy po úřední komunikaci shrnuje náš průvodce založením a vedením firmy.
Specifická pravidla pro kamery a sledování zaměstnanců rozebírá článek o kontrole zaměstnanců na pracovišti.
Jak chránit název a logo firmy, vysvětluje článek o ochranné známce pro malou firmu.
Samostatná pravidla platí pro ukládání cookies, jak vysvětluje článek o souhlasu s cookies na webu.
E-mailový marketing řídí zvláštní zákon, pravidla shrnuje článek o obchodních sděleních a newsletteru.
Používání AI nástrojů ve firmě upravuje i evropský předpis, jak vysvětluje článek o povinnostech firem podle AI Actu.
Kdy zaměstnavatel potřebuje oznamovací systém, popisuje článek o vnitřním oznamovacím systému.
Časté otázky
Potřebuje malá firma pověřence pro GDPR?
Zpravidla ne. Povinný je jen u orgánů veřejné moci a u firem, jejichž hlavní činností je rozsáhlé systematické monitorování lidí nebo rozsáhlé zpracování citlivých údajů.
Potřebuji souhlas zákazníka ke zpracování objednávky?
Ne. Údaje potřebné k vyřízení objednávky zpracováváte kvůli plnění smlouvy a souhlas k tomu podle Úřadu pro ochranu osobních údajů vyžadovat nelze.
Musí malá firma vést záznamy o činnostech zpracování?
Výjimka pro firmy pod 250 zaměstnanců platí jen pro příležitostné zpracování bez rizika a bez citlivých údajů. Pravidelné zpracování, například mzdy nebo databáze zákazníků, záznamy vyžaduje.
Mohu posílat newsletter bez souhlasu?
Stávajícím zákazníkům ano, pokud jde o vlastní obdobné výrobky nebo služby a v každé zprávě je jednoduchá možnost odhlášení. Ostatním jen s předchozím souhlasem.
Do kdy se hlásí únik osobních údajů?
Úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin od zjištění, pokud únik představuje riziko pro dotčené lidi.
Potřebují cookies souhlas?
Technicky nezbytné cookies ne. Analytické a marketingové cookies od 1. ledna 2022 jen s předchozím souhlasem.
Zdroje
- Obecné nařízení o ochraně osobních údajů, nařízení (EU) 2016/679, Úřední věstník EU (eur-lex.europa.eu)
- Informace pro e-shopy, Úřad pro ochranu osobních údajů (uoou.gov.cz)
- Cookies pouze se souhlasem, Úřad pro ochranu osobních údajů (uoou.gov.cz)
- Zákon o některých službách informační společnosti, § 7, zákon č. 480/2004 Sb. (zakonyprolidi.cz)
