Source: https://bezpecnafirma.cz/narizeni-gdpr-otazky-odpovedi/
Timestamp: 2020-07-15 17:36:11+00:00

Document:
Michal Merta, MBA, MSc., LL.M19.7. 20187115427x
GDPR – Evropská směrnice, která výrazně mění pravidla pro zpracovávání a uchovávání osobních dat.
O směrnici GDPR se už nějakou dobu mluví. Někteří jsou na toto nařízení připraveni, jiní možná ještě tápou, co přesně budou muset změnit a jak to udělat. Proto, abyste i vy byli připraveni na květen 2018, kdy začne nová směrnice platit, připravili jsme tuto „GDPR poradnu“.
Zeptejte se na cokoliv, co vás z této oblasti zajímá. Svůj dotaz napište přímo do komentáře pod článkem nebo na náš e-mail info@menzo.cz.
Otázky a odpovědi budeme postupně do poradny zveřejňovat podle data přijetí.
GDPR poradna – otázky & odpovědi
Otázka č. 1 – Existuje nebo bude nějaká metodika pro úředníky, jak se mají vzhledem k GDPR chovat? – 7.8.2017
V současné době úřady nedisponují žádnou metodikou k problematice GDPR. Přístup k řešení problematiky GDPR pro úřady bude obdobný jako u komerčních organizací s tím, že zde je navíc povinnost disponovat pozici „DPO“ – Data protection officer neboli Pověřenec pro správu osobních údajů. Primární úkoly DPO – monitorování „souladu“ zpracování osobních údajů s povinnostmi vyplývajícími z GDPR, realizace interních auditů, školení pracovníků a řízení agendy interní ochrany dat spojených s GDPR. Dále díky legislativě bude oprávnění se zpracováním OÚ (osobních údajů) jednodušší než u komerčních subjektů, protože zde mohou existovat legislativní důvody, které umožní zpracování OÚ bez souhlasu subjektu údajů.
Otázka č. 2 – Jak řešit GDPR v souvislosti s účetními programy, emailovými systémy pro smartmailing, atd.? – 7.8.2017
Zde obecně doporučujeme ověřit si smluvní vztah mezi poskytovatelem ICT řešení, zda je zde zakotvena povinnost aktualizace SW, aby byly v souladu s ČR a EU legislativou (obvykle bývá nazývána maintenance, nebo tzv. podpora od výrobce), tak aby nejlépe byla zajištěna odpovědnost poskytovatele za skutečnost, že řešení bude v souladu s GDPR. Zde je dále potřeba zvážit, zda je ICT poskytováno jako cloud, či pronajaté řešení. Následně k tomu přijmout taková opatření, aby s daným poskytovatelem měl subjekt zajištěnou dostatečnou úroveň ochrany OÚ s ohledem na GDPR. Zde ovšem upozorňujeme na možnou problematiku ICT s ohledem na OPENSOURCE řešení, kde není znám dodavatel, na kterém by se subjekt v případě problému hojil. Řešení je však individuální s ohledem právě na povahu daného ICT.
Otázka č. 3 – Jsme účetní firma, která externě zpracovává účetnictví a mzdy na pronájem SW, který není v cloudu. SW je umístěn na našem vlastním serveru. Chtěl bych Vás požádat o informace k našim povinnostem. – 3.10.2017
Váš dotaz má zásadní problém, neptáte se totiž správně! Pokud Vás budou zajímat pouze povinnosti, tak ty lze ocitovat z nařízení GDPR. Ale realita je jiná, bohužel HORŠÍ. Pokud však chcete vědět, co máte udělat, abyste byli připraveni poskytovat své služby klientovi, tak musíte učinit mnoho kroků a činností. Pokusím se Vám to objasnit asi takto. Bez znalosti informací o Vaší organizaci nelze seriózně a konkrétně odpovědět. Tedy pokud nechcete slyšet obecné citace z nařízení GDPR.
Je potřeba od Vás získat minimálně několik vstupních údajů:
jsou všichni Vaši pracovníci, kteří se dostávají k datům klientů výhradně Vašimi zaměstnanci? Pokud ne, tak na základě čeho vykonávají danou činnost?
spravujete si Vaše IT sami nebo používáte externí zdroje? Pokud máte externí zdroje, máte s nimi zajištěno smluvní a technické zabezpečení, aby ochránili data klienta?
je Váš pronajatý SW instalován ve Vašem prostředí nebo u poskytovatele SW? Je ve smlouvě zajištěna ochrana dat klienta?
ví Váš klient, že při zpracování jeho osobních údajů mohou s těmito údaji manipulovat i třetí strany?
máte uzavřeny NDA?
je pronajatý SW tzv. GDPR compliance a nebo bude do 5/2018 compliance? Máte toto zajištěno smluvně?
máte písemnou dokumentaci, kde se nacházejí osobní údaje klienta zabezpečenou proti přístupu neoprávněných osob (zde pozor i na uklízečky, správce domu, apod.)??
máte zálohy dokumentů a dat v zabezpečené místnosti s režimovým přístupem?
je způsob, jakým ve Vaší firmě přistupujete k osobním údajům prostřednictvím IT dostatečně GDPR ready?
Dotazů je poměrně hodně a je vhodné pojmout danou problematiku komplexně. Jakmile bude znám rozsah GDPR ve Vaší společnosti, lze říci, co dále. Nicméně teprve po jejich zodpovězení je možné se vrhnout k vypracování řádné odpovědi. Povinností je totiž méně, než činností a zdrojů (finančních, technických, lidských), jak je zabezpečit. Respektive cesta ke splnění povinností je poměrně složitá a je třeba se jí důkladně věnovat, především pokud zpracováváte osobní údaje jiných subjektů. Zde se můžete totiž dostat i do sankcí a možných soudních sporů právě ze strany subjektu, který Vám osobní údaje svěřuje, což je paradox, ale bohužel i realita.
Otázka č. 4 – Chtěl bych požádat o radu, zda se nás týká jmenování pověřence GDPR. Jsme malá firma s 5ti zaměstnanci. Máme ze zákona povinnost sledovat umístění námi dodaných přístrojů. Jedná se o zdravotnické prostředky. Máme cca 1 500 zákazníků, o kterých tedy musíme vést evidenci? – 17.10.2017
Váš dotaz je příliš obecný. Bude potřeba se nejprve podívat na celý proces sledování umístění, co to vlastně znamená? Je třeba identifikovat, zda v daném sledování umístění dochází k hromadnému zpracování OÚ. Dále není jasné, kdo jsou zákazníci, zda fyzické či právnické osoby, zda sledujete pacienty či jen zařízení v lokalitě nebo u firmy. Zde bude potřeba nejprve vyjasnit dané otázky.
Nicméně obecně platí, pokud dochází k hromadnému zpracovávání OÚ, je DPO respektive Pověřenec pro správu OÚ potřeba. V situacích, kdy to není zcela jasné nebo je to na hraně, je vhodné ideálně požádat o stanovisko Úřad pro ochranu osobních údajů.
Otázka č. 5 – Jsme malá stavební firma o velikosti cca 35 zaměstnanců včetně dělníků. Provádíme stavební práce v oblasti výstavby RD nebo různých rekonstrukcí apod. Naše služby si u nás objednávají, jak velké společnosti, tak i soukromé osoby. Týká se nás tedy povinná evidence GDPR? – 18.10.2017
GDPR se dotýká všech, kteří shromažďují nebo zpracovávají OÚ (osobní údaje) Evropanů, včetně firem a organizací mimo území EU, které působí na EU trhu. GDPR míří na organizace, subjekty i jednotlivce, kteří zpracovávají OÚ (zaměstnanci, zákazníci, klienti nebo dodavatelé) a to napříč segmenty a odvětvími. Dotýká se tedy i těch, kteří sledují či analyzují chování uživatelů na webu, při používání aplikací nebo chytrých technologií.
Cílem GDPR je chránit digitální práva občanů EU. Lze tedy tvrdit, že problematika GDPR se týká i Vaší společnosti. Pro řešení problematiky GDPR Vám doporučujeme využít odborných společností, specializujících se na danou problematiku, případně nastudovat danou problematiku osobně a řešit vlastními silami. Další z možností je sledovat BLOGY odborných firem např. http://www.jobman.cz/blog/ nebo https://menzo.cz/blog/ apod.
Otázka č. 6 – Zpracovávám externě účetnictví fyzickým osobám (OSVČ), kteří mají například kolem deseti zaměstnanců (ať už na hlavní pracovní poměr, či na dohodu o provedení práce)
Týká se jich i v tomto případě GDPR?? (nejedná se o činnosti jako např. reklama, telekomunikační služby apod.)
Počet zaměstnanců není limitujícím faktorem pro určení zda se daného subjektu GDPR týká. Nicméně již s ohledem na to, že daný subjekt zpracovává OÚ o svých zaměstnancích je tedy nasnadě, že se jich GDPR týká také.
Otázka č. 7 – Chtěl bych prodávat hudbu své kapely přes internet. Prodej hudby by se měl uskutečňovat přes server Bandcamp. Tento server získává od fanoušků, kteří si zakoupí mou hudbu emailové adresy a ty si poté mohu přidat do svého mailing listu a posílat fanouškům novinky. Mailing list by byl veden u společnosti Mailchimp. Pokud si fanoušek objedná fyzické CD, jsou mi navíc na email vždy odeslány jeho doručovací údaje. Tyto údaje bych nepoužíval k jiným účelům, než je doručení zboží.
Dále bych chtěl zřídit kapelní webovou stránku, kde by se fanoušci mohli pomocí formuláře (zadají přezdívku/křestní jméno a email) opět zaregistrovat do mailing listu k odebírání novinek. Webová stránka poběží na serveru Webnode, který nabízí základní měření návštěvnosti. Kromě toho bych chtěl na stránku umístit Facebook pixel a s jeho pomocí na Facebooku vytvářet vlastní okruhy uživatelů.
Facebook Pixel funguje zhruba tak, že eviduje uživatele, kteří se prokliknou z FB na moji stránku a podle následné automatické analýzy zájmů a dalších údajů těchto uživatelů pak Facebook dokáže vytvořit určitý okruh uživatelů. Na ten mohu zacílit svou reklamu. Vše se děje anonymně, tzn. uživatele nejsem schopen nijak konkrétně identifikovat. Věděl byste prosím Vás, které z povinností podle GDPR by se na mě vztahovaly?
Rozdělíme si daný dotaz na jednotlivé části a u nich se pokusíme nalézt možné řešení:
Pokud Vám subjekt údajů poskytne např. emailovou adresu pro doručení Vašeho produktu, tak tuto emailovou adresu nepoužijete k jiným účelům, které omezuje nařízení GDPR. Je však otázkou, když jste uvedl, že emailovou adresu poskytl subjekt údajů serveru Bandcamp. Zde předpokládám, že nejste majitelem a provozovatelem tohoto server a tudíž bude potřeba vyřešit problém, kdy daný subjekt údajů poskytl email a jiné své OÚ subjektu, který provozuje Bandcamp a nikoliv Vám. Jedno z možných řešení je, že Vy po obdržení informace z Bandcampu poskytnete daný produkt Bandcamp a ten již ji odešle danému subjektu OÚ. Je ovšem zvážit i navazující problémy spojené s smluvním kontraktem a jeho dopady a povinnosti. Pokud by tento model nebyl možný ať už z jakéhokoliv důvodu, doporučujeme při objednání na serveru Bandcamp, aby při objednávání byla ošetřena skutečnost, že pro zaslání Vašeho produktu Vám bude předána emailová subjektu údajů a daný subjekt údajů, že s tím výslovně souhlasí a to formou CHECK BOXU či něčeho obdobného, kdy prokazatelně s plně v souladu s GDPR získáte jeho souhlas. Pro Vás to znamená, že po odeslání Vašeho produktu na danou adresu doporučujeme danou emailovou adresu následně nepoužívat k jiným účelům, než které nařízení GDPR či jiná legislativa zapovídá. Zde pravděpodobně budete muset opět jinak řešit smluvní a případně reklamační podmínky. V rámci distribuce např. pomocí CD je situace obdobná.
Pro odebírání novinek je třeba tedy získat souhlas daného subjektu OÚ, nejlépe obdobným způsobem jako je popsán výše, jen s tím rozdílem, že bude upraven účel zpracování OÚ, v tomto případě o distribuci novinek. Upozorňujeme opět na situaci, že je nanejvýše vhodné dodržovat účel zpracování OÚ ke kterému byl souhlas udělen.
U měření návštěvnosti je potřeba si dát pozor, aby nebyly zpracovávány jednotlivé údaje, které dokáží identifikovat subjekt údajů, ale pouze použít statistické informace, pomocí kterých nelze identifikaci provést. Mimochodem předpokládám, že tuto povinnost poskytovatelé WEB služeb budou znát a Vy by jste ji měl jako vlastník a správce OÚ po poskytovateli takových služeb vyžadovat.
K problematice FC Pixel apod. pokud získáte souhlas od subjektu údajů, že takovou činnost, jakou výše zmiňovaný produkt či služba provádí, pak takovou činnost můžete provádět a to formou v souladu s GDPR. Zde jen pozor na skutečnost, že subjekt údajů může kdykoliv takový souhlas odvolat či omezit způsob zpracování jeho OÚ u Vás.
Otázka č. 8 – Vlastním malou dárkovou síň se 2 zaměstnanci a já sám jsem v důchodu. Máme k obchodu e-shop pro prodej našeho dárkového zboží, které máme na naší kamenné prodejně, přes který zákazníkům nabízíme zboží, které je aktuálně na prodejně. Prodej je v řádu asi 10 objednávek měsíčně, většina lidí si přijede na prodejnu osobně. Týká se mě GDPR? Není v mém případě lepší přestat e-shop provozovat?
GDPR se Vás týká. Nevíme bohužel více o Vašem podnikání, proto rozhodovat, zda ukončit provozování e-shopu či nikoliv, je jedním z Vašich podnikatelských rozhodnutí. Mimochodem tím, že přestanete provozovat e-shop se povinnosti s GDPR pravděpodobně nezbavíte, protože zpracováváte osobní údaje i tak. Pravdou je, že čím méně budete mít informačních systémů, ve kterých budete zpracovávat osobní údaje, tím menší náklady spojené s GDPR budete mít.
Otázka č. 9 – Pracuji na magistrátě na odboru dopravy, pod náš odbor spadá vše, co se týká řidičských průkazů, vše co se týká vozidel, sankční řízení, které ukládá pokuty a řeší vše v dopravě a autoškoly, máme přístupy do všech možných registru. Chtěla bych se zeptat, co to bude obnášet pro nás, jestli budou muset všichni mít ve spisech nějaký souhlas. Jedná se o zhruba o 101 0 0 0 lidi řidičů. Dále bych se chtěla zeptat, co to bude pro mě jako pro pověřenou osobu za odbor znamenat a co bude naplní moji práce.
Problematika státní správy a samosprávy je upravena českou legislativou, tzn. že pokud v rámci výkonu své činnosti zpracováváte OÚ, které nezbytně nutně potřebujete ke zpracování Vaší agendy, tak souhlasy nejsou potřebné, protože výkon správy a správní činnost s ohledem na čl. 6 bod e) NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Jako osoba pověřená za odbor budete zodpovídat, právě za to, aby všechny osobní informace na odboru byly vedeny a spravovány s výše zmíněným nařízením a zásadami zpracování osobních údajů, které, pokud ještě nemáte zavedené, jistě zavedené budou.
Otázka č. 10 – Jsme malá firma (autoservis), máme 2 zaměstnance. Opravy a prodej ND děláme jak pro PO, OSVČ, tak FO. U zákazníků FO vedeme jen jméno,adresu, typ a SPZ vozu, popřípadě telefon. Pokud je zákazník OSVČ nebo PO, tak IČ+DIČ, adresu. Týká se nás GDPR?
Otázka č. 11 – Manžel je živnostník OSVČ. Veškeré data zpracovává písemnou formou…nevede žádnou databázi v PC ( faktury, smlouvy, dohody). Jediné, co v PC využívá je jeho online účet u banky. Spadá do GDPR?
Ochrana osobních údajů musí být zajištěna v elektronické, tak papírové podobě. Osobní údaje i v papírové formě podléhají GDPR stejně, jako elektronická forma. Zde je potřeba být minimálně v souladu se zákonem 499/2004 o archivnictví a spisové službě. Dále je potřeba zajistit dostatečnou ochranu daných dokumentů a OÚ na nich uložených.
Otázka č. 12 – Mám firmu a pomocí Mailchimpu rozesílám každý měsíc určité informace o mé firmě jak stávajícím, tak potencionálním klientům. Databáze v tuto chvíli má přibližně 800 kontaktů a obsahuje jméno, příjmení a e-mailovou adresu. Jak přesně se na toto vztahuje GDPR? Musím mít od každého „svolení“ o zpracování OÚ?
Obecně platí, že zpracování osobních údajů podléhá jistým pravidlům. Tyto pravidla mají za cíl eliminovat zneužití osobních údajů, např. proti zasílání nevyžádaných emailů a informací apod. Pokud správce osobních údajů (tedy Vy) má legitimní důvod, který je v souladu s nařízením GDPR a díky němuž lze např. zasílat určité informace daným subjektům údajů, pak to možné samozřejmě je. Nicméně kámen úrazu je právě ten legitimní důvod. Ten si zajistíte např. získáním souhlasu od subjektu údajů, či smluvním kontraktem, který legitimizuje takovou činnost či jiným obdobným způsobem, který bude správce opravňovat k takové činnosti. Proto Vám tedy doporučujeme získat řádný legitimní důvod pro takovou činnosti např. souhlasem se zpracováním osobních údajů od subjektu údajů. Je třeba si uvědomit, že takový souhlas musí mít řádné provedení a splňovat podmínky nařízení GDPR.
Otázka č. 13 – Jak to bude s fakturami, které se posílají elektronicky v PDF formátu jakmile začne platit GDPR? Budu potřebovat souhlas subjektu údajů, že mu mohu zasílat fakturu emailem? Musí být faktura nějak zabezpečena proti neoprávněnému nakládaní s OÚ na ní uvedených?
Pokud mají dvě smluvní strany dohodnuto zasílání faktur emailem, pak není třeba souhlas subjektu údajů, protože Vám jej poskytl právě dohodou o výměně elektronických dokladů, kde jste si museli vyměnit emailovou adresu. Email je otevřená platforma a jako taková není zcela vhodná na zasílání obchodních korespondence v nezabezpečené formě. Zde tedy doporučujeme danou fakturu zabezpečit buď pomocí PGP, nebo zašifrovaného ZIP či RAR souboru.
Otázka č. 14 – Pořád se tu píše o firmách. A co občanské spolky? Jsem jednatelem a pokladníkem Severočeské pobočky České botanické společnosti. Naše pobočka sdružuje cca 140 osob, jak profesionálních, tak i amatérských botaniků. Vedu jejich evidenci (zaznamenávané údaje: jméno, titul/y, datum narození, adresa, mailová adresa, u některých telefonní číslo), rozesílám poštu (pozvánky na akce), vybírám a eviduji členské příspěvky. Vztahuje se na mne GDPR? Mohu mít přehled členů ve formě excelové tabulky v počítači? – na Disku Google? – v mobilním telefonu? Mohu je mít jako kontakty Google? Mohu dát seznam členů na internetovou stránku pobočky , alespoň v minimalistické podobě (např. jméno, datum narození, bydliště, email). Potřebuji nějakou pověřenou osobu na dohled na nakládání s osobními údaji?
Na organizaci Severočeská pobočka České botanické společnosti se GDPR vztahuje. Zpracování osobních údajů podléhá pravidlům daného nařízení i pokud by bylo pouze evidováno v papírové podobě, to se týká také poskytování informací o Vašich členech. Celou problematiku je třeba nastudovat, případně zvolit subjekt, který Vám s řešením pomůže. Díky rozsahu, který máte by řešení pro Vás mělo být poměrně snadno a levně realizovatelné. Není totiž až tak podstatné kde máte osobní údaje uloženy, ale jak jsou zabezpečeny, kdo a jak k nim má přístup, jak s nimi nakládá, jak jsou zabezpečeny apod. Pokud Vaší primární činností není hromadné zpracování osobních údajů, případně nejste státní organizace, není povinností mít zřízenou roli pověřence pro ochranu osobních údajů. Ovšem je třeba si uvědomit, že i když danou roli nebudete mít zřízenou, tak činnosti, které vyplývají z dané role bude muset někdo u Vás realizovat.
Otázka č. 15 – Zajímalo by mě zdá se GDPR týká i poskytovatelů internetových stránek. Cca. před dvěma lety jsem skončil insolvenci, ale na internetových stránkách je stále uvedeno mé celé jméno i s rodným číslem.
GDPR se týká i poskytovatelů internetových stránek, pokud zpracovávají osobní údaje. Z logiky věci vyplývá, že tedy i tento poskytovatel bude GDPR dotčen. Problematika insolvence se řídí zákonem 182/2006 Sb. Insolvenční zákon, zde připadá v úvahu následující § 425 (1) Po uplynutí 5 let od nabytí právní moci rozhodnutí, jímž bylo skončeno insolvenční řízení, vyškrtne insolvenční soud dlužníka ze seznamu dlužníků a údaje o něm v insolvenčním rejstříku znepřístupní. Skončí-li insolvenční řízení rozhodnutím podle § 142, vyškrtne insolvenční soud dlužníka ze seznamu dlužníků a údaje o něm v insolvenčním rejstříku znepřístupní do 15 dnů od doručení žádosti dlužníka; dlužník je oprávněn požádat o vyškrtnutí nejdříve po uplynutí 3 měsíců od právní moci rozhodnutí.
Otázka č. 16 – Prosím o odborný názor na to, zda bude nutný souhlas se zpracováním osobních údajů pro registrované zákazníky na b2c a b2b na e-shopu. Pokud by se jednalo o to, že jsou data využívána na marketing je to jasné, ale u nás jsou registrace pouze pro zjednodušení a urychlení objednávek registrovaných zákazníků. Fakturační a dodací adresy, emaily a telefony uložené v těchto účtech se nijak dále nezpracovávají pro jakékoliv marketingové účely. Pokud by byl nutný souhlas, jak by takový souhlas mohl vypadat? Lze tento souhlas udělat na neurčito? Abych nemusel zákazník např. každé dva roky udělovat nový souhlas.
Je třeba si nejprve uvědomit, co jsou to osobní údaje v pojetí GDPR. Zde upozorňujeme, že do této kategorie nespadají údaje o právnických osobách. Pro zpracování osobních údajů není jedinou možností souhlas se zpracováním osobních údajů. Ve Vašem případě, bych viděl jako ideální možnost zpracovávat pouze a jen ty osobní údaje, které jsou nezbytně nutné pro poskytnutí služby. Je potřeba si uvědomit, že některé údaje budete potřebovat držet i po realizaci prodeje např. pro reklamace, či soudní spor. Je potřeba však zvážit, zda veškeré osobní údaje, které zpracováváte potřebujete k poskytnutí služby. Pak nebudete potřebovat souhlas se zpracováním osobních údajů, ale z zpracování bude probíhat z důvodu oprávněného zájmu. Ovšem jen v tom případě, že skutečně dále dané osobní údaje již nebudete nijak využívat, např. k marketingovým účelům apod. Definice a obsah souhlasu je uveden v samotném nařízení GDPR. Souhlas obecně lze udělit na dobu neurčitou, nicméně je potřeba v něm stanovit účely a důvody zpracování a ty musí být definovány konkrétně.
Otázka č. 17 – jsem OSVČ bez zaměstnanců, pracuji tedy sám a věnuji se oboru grafický design. Veškeré práce, které pro klienty vytvářím jako bannery, infografiky, vizitky nebo letáky si uveřejňuji na svých web stránkách mezi referencemi, dále práci prezentuji na svém osobním Facebooku, Twitteru a dalších sociálních sítích. Měl bych podle GDPR získat od klientů výslovný souhlas, zda mohu mnou vytvořené grafické návrhy uveřejnit na svém webu? U vizitek či letáků jsou pochopitelně viditelné kontaktní údaje klienta (jméno, příjmení, telefon, email, web stránky). Pokud ano, stačí klienty obeslat e-mailem a vyžádat si extra souhlas?
Zveřejnění grafik a letáků podléhá spíše autorskému zákonu nikoliv GDPR (tedy pokud na nich nejsou osobní údaje). Zde Vám doporučujeme souhlas od daných firem, aby jste takové dílo mohl s jejich souhlasem užívat, např. formou zobrazení na facebooku či jinde. Tedy pokud to nemáte již ošetřeno dříve a jinak. U vizitek a letáků kde jsou osobní údaje doporučuji texty nahradit za anonymní typu JOSEF NOVÁK, ADRENALINOVÁ FIRMA, VELKOOBCHOD S POTRAVINAMI apod. Forma souhlasu záleží na Vás, ale je musí obsahovat všechny potřebné údaje.
Otázka č. 18 – jsme lékárna a máme informační systém, který nám pomáhá v evidenci pacientů domovů důchodců a jejich medikací. Tedy ve výsledku shromažďujeme data jako datum narození, RČ a jaké přípravky pacient užívá. Data nejsou nijak marketingově využívána nebo zpracována, je to jen chytřejší excel. Ač se jedná tedy o data zvláštní kategorie, tak nedochází k rozsáhlému zpracování, tedy by se nás mělo týkat GDPR a DPO. Dle stávájícího pochopení by nás měly čekat tři kroky – provedení a zdokumentování ochranných opatření, sehnání souhlasů, pseudonymizace a zdokumentování kroků pro operace nad daty (výmaz apod.). To celé pak zabalit a informovat UOOU o zpracování? Chápeme situaci správně? IS máme vlastní výroby ( od freelancera ) v PHP na vlastní VPS. IS má webový přístup a kromě zaměstnanců lékárny k němu mají přístup i zaměstnanci cílových domovů důchodců.
Ve Vašem případě je to trošku složitější. GDPR se Vás bude rozhodně týkat, protože je pravděpodobné, že daná data nezpracováváte pouze v excelu, ale budete je muset posílat zdravotním pojišťovnám, případně nějaké reporty na ministerstvo zdravotnictví, případně jiné kontrolní orgány. Jak uvádíte dále, poskytujete přístup k daným osobním údajům cílovým domovům důchodců, což už nyní je v rozporu s GDPR (nejsem si vědom, že by existovala nějaká legislativa, která to legalizuje). Dále je potřeba zvážit, zda nepodléháte auditům apod. DPO jako takového nemusíte mít, ale obecně doporučujeme disponovat člověkem (i např. externě), který danou činnost bude vykonávat, protože to že nemáte oficiálního DPO neznamená, že činnosti, které jsou s ním spojeny vykonávat nemusíte, naopak!
Otázka č. 19. – Manžel vyučuje anglický jazyk jako OSVČ. Jediný údaj, který potřebujeme od klientů je jméno, telefon a email, který mám pro to, abych mohla vystavit fakturu a domluvit se na výuce, změně termínu apod. Má rovněž zřízeny webové stránky, na kterých se mohou studenti dozvědět informace o kurzech a lektorech. Faktury zasílám emailem vytvořené v systému idoklad. Vztahuje se na něj GDPR? Žádné údaje neposkytuje nikomu jinému.
Konkrétní kontaktní údaje jako je mobil či email na klienty jsou typické osobní údaje, které Váš manžel zpracovává (jméno, příjmení a pod. ani nemluvě). Navíc pokud Vy zpracováváte osobní údaje jeho klientů, tak pokud jste firma budete i Vy spadat pod GDPR a bude muset s Vámi uzavřít tzv. Zpracovatelskou smlouvu. V případě že ne, doporučuji přesto smlouvu o mlčenlivosti mezi Vámi. Budete tedy muset s GDPR se vyrovnat. Nicméně to nebude tak složité, jako u společností s větším množstvím OÚ.
Otázka č. 20. – Jaké údaje a za jakých podmínek mohu shromáždit při organizaci setkání spolužáků, aniž bych porušil zákon?
Pokud organizujete setkání jako fyzická osoba, GDPR se Vás netýká.
Otázka č. 21 – Pracuji v neziskové organizaci. Ještě před zavedením GDPR se u nás v organizaci s každým pracovníkem podepsal souhlas s poskytnutím fotografií, videí apod. na PR účely organizace. V rámci našich klientů v sociálních službách se tyto souhlasy požadovaly u každé jejich fotky. Když šlo o pracovníky na chráněných pracovních místech, souhlas s každou fotografií potřeba nebyl a stačil jeden obecný, stejně jako u kmenových zaměstnanců.
Nyní, po zavedení GDPR do praxe, je prý nutnost mít u všech pracovníků vždy souhlas na KAŽDOU fotografii, video apod. Tedy v případě, že vyfotíme kohokoliv z našich zaměstnanců nebo klientů, sepisujeme souhlas a přikládáme na druhou stranu fotografii. Je tato metoda ale správná? Osobně mi to přijde jako sypání si popela na hlavu a zbytečná práce navíc. Nestačil by stejný systém, ten, který jsme používali původně – tedy u zaměstnanců mít jeden souhrnný souhlas a pouze u klientů podepisovat každou fotku zvlášť? Pouze pokud by někdo s nějakou fotkou nesouhlasil, písemně by svůj nesouhlas předal a mi bychom poté fotku smazali. Jak to tedy správně je?
Zde je třeba se podívat na věc s ohledem na účel zpracování takových fotografií či videí. Pokud totiž Váš souhlas byl určen pro nějaký účel, např. vystavení na WEB prezentaci dobročinné akce, pak lze tyto fotografie použít jen k tomu účelu. Proto je logické, že pokud dojde k požadavku na rozšíření pro další účel, je třeba souhlas další, nebo spíše rozšířit souhlas původní.
Ošetření dané situace možné je, např. tím, že veškeré Vaše fotografie, kde vystupujete v roli zaměstnance dané organizace, bude moci Váš zaměstnavatel prezentovat na WEB prezentaci Vaší společnosti.
Je tedy potřeba vážit použití pro jednotlivé účely a důvody zpracování.
Otázka č. 22 Chtěla bych se zeptat, jaká jsou pravidla pro registraci zákazníků přímo na prodejně obchodu? Když o nich potřebuji celé jméno a e-mail, abych jim mohla posílat různé akce, které právě probíhají. Musí být v tom formuláři přesně napsané celé podmínky a pravidla, o které žádáme o souhlas?
Pravidla jsou stále stejná. Je zapotřebí získat souhlas se zpracováním osobních údajů daným způsobem. Což by vyřešilo podepsání souhlasu se zpracováním osobních údajů (dále jen souhlas) na místě v papírové podobě. Nezapomeňte, aby v daném „souhlasu“ byl uveden účel zpracování (např. zasílání marketingových materiálů emailem) a kterých osobních údajů (jméno, příjmení a emailová adresa) se to týká.
Nevím jaké podmínky a pravidla máte konkrétně na mysli, nicméně „souhlas“ má definovaný obsah, který je třeba dodržet.
Otázka č. 23 Zajímalo by mě, zda je v pořádku, ze advokátní kancelář zastupující Dopravní podnik Praha, pošle nezletilému dítěti obyčejnou poštou předžalobní výzvu za nezaplacenou pokutu a na obálce uvede jeho cele jméno, adresu a datum narození.
Pro jasnou identifikaci je jistě jméno, příjmení a adresa zcela v pořádku. Občas se však stává, že adresáti se stejným jménem mohou být dva, typicky otec a syn, zde bývá spíše obvyklé, že pro lepší identifikaci se uvádí rok narození. Zda bylo skutečně nutné uvádět celé datum narození je otázkou. Zde je ovšem zvláštní, proč takový dopis nebyl zaslán alespoň doporučeně. Z hlediska zpracování osobních údajů daná AK zcela zjevně získala od DPP plnou moc k zastupování, tím pádem zpracovává osobní údaje zcela legálně. Vhodnost uvedení celého data narození je sporadické, ale mám za to, že by AK takový postup pravděpodobně obhájila.
Na vaše dotazy odpovídá pan Michal Merta, MBA, MSc., LL.M
Specialista a poradce v oblasti GDPR
Více o GDPR – koho se týká, jaké změny přináší, jak se nejlépe připravit, atd. si přečtěte v našem článku Nařízení GDPR: Koho se týká a jak se připravit?
Tagy: GDPRochrana osobních údajůzpracování osobních údajů
Pojďte se s námi podívat po stopách kybernetických zločinců. Co kde napáchali,…
Klasická otázka z filmu Monty Pythonův Život Briana. Co dali Římané Judejcům za…
2.10.2017 (15:28)
chtěl bych Vás požádat o informace k našim povinnostem. Jsme účetní firma která externě zpracovává účetnictví a mzdy na pronajatém SW, který není na cloudu. SW je umístěn na našem vlastním serveru.
děkuji, Jiří Vlček
Michal Merta, MBA, MSc., LL.M napsal:
3.10.2017 (13:32)
Dobrý den, jako účetní firma budete vůči svým zákazníkům vystupovat v roli Zpracovatele osobních údajů, Vaše povinnosti pak musí být obsahem smlouvy (dle Nařízení 2016/679, článek 28 odstavce 2-4) se zákazníkem. Vůči svým zaměstnancům jste pak Správce osobních údajů a jste povinen plnit svou roli Správce, když se Subjekty údajů budou domáhat svých práv.
Lidsky řečeno – jsou dvě cesty, jak se k GDPR postavit. Vytvořit si šablony, které budou vzbuzovat zdání, že GDPR řešíte (“kouzelné formulace” do smlouvy se zákazníky), ale potom abyste se bál auditu zákazníka nebo nespokojených zaměstnanců, protože kontroly chodí výhradně na udání. Druhá možnost je, že se budete GDPR chvíli věnovat a zbavíte se této “administrativní zátěže” způsobem, který bude dlouhodobě udržitelný a nedá prostor pro pochybnost o tom, že soukromí dat berete vážně, což se dá následně přetavit v zajímavý marketingový počin a mít “konkurenční výhodu”, dokud konkurence nezačne tvrdit (ale hlavně prokazovat!) totéž.
M. Horáček napsal:
16.10.2017 (14:02)
Přeji dobrý den, chtěl bych Vás požádat o radu, zda se nás týká jmenování pověřence GDPR. Jsme malá firma s 5ti zaměstnanci. Máme ze zákona povinnost sledovat umístění námi dodaných přístrojů. Jedná se o zdravotnické prostředky. Máme cca 1500 zákazníků o kterých tedy musíme vést evidenci. Děkuji M. Horáček
18.10.2017 (13:31)
Dotaz je příliš obecný. Bude potřeba se nejprve podívat na celý proces sledování umístění, co to vlastně znamená? Je třeba identifikovat, zda v daném sledování umístění dochází k hromadnému zpracování OÚ. Dále není jasné, kdo jsou zákazníci, zda fyzické či právnické osoby, zda sledujete pacienty či jen zařízení v lokalitě či u firmy. Zde bude potřeba nejprve vyjasnit dané otázky. Nicméně obecně platí, pokud dochází k hromadnému zpracovávání OÚ, je DPO respektive Pověřenec pro správu OÚ potřeba. V situacích, kdy to není zcela jasné, nebo je to na hraně, je vhodné ideálně požádat o stanovisko ÚOOÚ.
18.10.2017 (11:49)
jsme malá stavební firma o velikosti cca 35 zaměstnanců vč. dělníků.
Provádíme stavební práce v oblasti výstavby RD nebo různých rekonstrukcí apod. Naše služby si u nás objednávají jak velké společnosti, tak i soukromé osoby. Týká se nás tedy povinná evidence GDPR??
19.10.2017 (13:31)
GDPR se dotýká všech, kteří shromažďují nebo zpracovávají OÚ (osobní údaje) Evropanů, včetně firem a organizací mimo území EU, které působí na EU trhu. GDPR míří na organizace, subjekty i jednotlivce, kteří zpracovávají OÚ (zaměstnanci, zákazníci, klienti nebo dodavatelé), a to napříč segmenty a odvětvími. Dotýká se tedy i těch, kteří sledují či analyzují chování uživatelů na webu, při používání aplikací nebo chytrých technologií. Cílem GDPR je chránit digitální práva občanů EU. Lze tedy tvrdit, že problematika GDPR se týká i Vaší společnosti. Pro řešení problematiky GDPR Vám doporučujeme využití odborných společností, specializující se na danou problematiku, případně nastudovat danou problematiku osobně a řešit vlastními silami. Jedna z možností je sledovat BLOGY odborných firem např. http://www.jobman.cz/blog/ nebo https://menzo.cz/blog/ apod.
30.10.2017 (4:06)
Chtěl bych prodávat hudbu své kapely přes internet. Prodej hudby by se měl uskutečňovat přes server Bandcamp. Tento server získává od fanoušků, kteří si zakoupí mou hudbu emailové adresy a ty si poté mohu přidat do svého mailing listu a posílat fanouškům novinky. Mailing list by byl veden u společnosti Mailchimp. Pokud si fanoušek objedná fyzické CD, jsou mi navíc na email vždy odeslány jeho doručovací údaje. Tyto údaje bych nepoužíval k jiným účelům, než je doručení zboží.
Facebook Pixel funguje zhruba tak, že eviduje uživatele, kteří se prokliknou z FB na moji stránku a podle následné automatické analýzy zájmů a dalších údajů těchto uživatelů pak Facebook dokáže vytvořit určitý okruh uživatelů. Na ten mohu zacílit svou reklamu. Vše se děje anonymně, tzn. uživatele nejsem schopen nijak konkrétně identifikovat. Věděl byste prosím Vás, které z povinností podle GDPR by se na mě vztahovaly?Děkuji.
Pokud Vám subjekt údajů poskytne např. emailovou adresu pro doručení Vašeho produktu, tak tuto emailovou adresu nepoužijete k jiným účelům, které omezuje nařízení GDPR. Je však otázkou, když jste uvedl, že emailovou adresu poskytnul subjekt údajů serveru Bandcamp. Zde předpokládám, že nejste majitelem a provozovatelem tohoto server a tudíž bude potřeba vyřešit problém, kdy daný subjekt údajů poskytnul email a jiné své OÚ subjektu, který provozuje Bandcamp a nikoliv Vám. Jedno z možných řešení je, že Vy po obdržení informace z Bandcampu poskytnete daný produkt Bandcamp a ten již ji odešle danému subjektu OÚ. Je ovšem zvážit i navazující problémy spojené s smluvním kontraktem a jeho dopady a povinnosti. Pokud by tento model nebyl možný ať už z jakéhokoliv důvodu, doporučujeme při objednání na serveru Bandcamp, aby při objednávání byla ošetřena skutečnost, že pro zaslání Vašeho produktu Vám bude předána emailová subjektu údajů a daný subjekt údajů, že s tím výslovně souhlasí a to formou CHECK BOXU či něčeho obdobného, kdy prokazatelně s plně v souladu s GDPR získáte jeho souhlas. Pro Vás to znamená, že po odeslání Vašeho produktu na danou adresu doporučujeme danou emailovou adresu následně nepoužívat k jiným účelům, než které nařízení GDPR či jiná legislativa zapovídá. Zde pravděpodobně budete muset opět jinak řešit smluvní a případně reklamační podmínky. V rámci distribuce např. pomocí CD je situace obdobná.
Pro odebírání novinek je třeba tedy získat souhlas daného subjektu OÚ, nejlépe obdobným způsobem jako je pospán výše, jen s tím rozdílem, že bude upraven účel zpracování OÚ, v tomto případě o distribuci novinek. Upozorňujeme opět na situaci, že je nanejvýše vhodné dodržovat účel zpracování OÚ ke kterému byl souhlas udělen. U měření návštěvnosti je potřeba si dát pozor, aby nebyly zpracovávány jednotlivé údaje, které dokáží identifikovat subjekt údajů, ale pouze použít statistické informace, pomocí kterých nelze identifikaci provést. Mimochodem předpokládám, že tuto povinnost poskytovatelé WEB služeb budou znát a Vy by jste ji měl jako vlastník a správce OÚ po poskytovateli takových služeb vyžadovat. K problematice FC Pixel apod. pokud získáte souhlas od subjektu údajů, že takovou činnost, jakou výše zmiňovaný produkt či služba provádí, pak takovou činnost můžete provádět a to formou v souladu s GDPR. Zde jen pozor na skutečnost, že subjekt údajů může kdykoliv takový souhlas odvolat či omezit způsob zpracování jeho OÚ u Vás.
1.11.2017 (17:42)
prosil bych Vás moc o radu:
Zpracovávám externě účetnictví fyzickým osobám (OSVČ), kteří mají například kolem deseti zaměstnanců (ať už na hlavní pracovní poměr, či na dohodu o provedení práce)
Mockrát děkuji za odpověď, s pozdravem Vlček Jiří.
2.11.2017 (13:29)
počet zaměstnanců není limitujícím faktorem pro určení zda se dané subjektu GDPR týká. Nicméně již s ohledem na to, že daný subjekt zpracovává OÚ o svých zaměstnancích je tedy nasnadě, že se jich GDPR týká také
11.11.2017 (18:57)
Dobrý den,vlastním malou dárkovou síň se 2 zaměstnanci a já sám jsem v důchodu . Máme k obchodu e-shop pro prodej našeho dárkového zboží které máme na naší kamenné prodejně ,přes který zákazníkům nabízíme zboží které je aktuálně na prodejně.Prodej je v řádu asi 10 objednávek měsíčně,většina lidí si přijede na prodejnu osobně.Týká se mě GDPR?Není v mém případě lepší přestat e-shop provozovat?Děkuji za odpověd.Bednář Lubomír
13.11.2017 (13:28)
GDPR se Vás týká. Nevíme nic o Vašem podnikání, proto rozhodování, zda přestat s webem či ne, je jedním z Vašich podnikatelských rozhodnutí. Mimochodem, tím že přestanete provozovat e-shop, tak jste se povinnosti s GDPR pravděpodobně nezbavil, protože zpracováváte osobní údaje i tak. Pravdou je, že čím méně budete mít informačních systémů, ve kterých budete zpracovávat osobní údaje, tím menší náklady spojených s GDPR budete mít.
6.1.2018 (9:50)
Dobrý den pracuji na magistrátě na odboru dopravy pod náš odbor spadá vše co se týká řidičských průkazů vše co se týká vozidel sankční řízení které ukládá pokuty a řeší vše v dopravě a autoškoly máme přístupy do všech možných registru tak bych se chtěla zeptat co to bude obnášet pro nás jestli budou muset všichni mít ve spisech nějaký souhlas přeci jen Jedná se o nás zhruba o 101 0 0 0 lidi řidičů a pak bych se chtěla zeptat co to bude pro mě jako pro tu pověřenou osobu za ten odbor znamenat a co bude naplni moji prace děkuji
7.1.2018 (13:26)
Vlasta Vítková napsal:
10.1.2018 (12:43)
Dobrý den, jsme malá firma (autoservis), máme 2 zaměstnance. Opravy a prodej ND děláme jak pro PO, OSVČ, tak FO. U zákazníků FO vedeme jen jméno,adresu, typ a SPZ vozu, popřípadě telefon. Pokud je zákazník OSVČ nebo PO, tak IČ+DIČ, adresu. Týká se nás GDPR?
12.1.2018 (13:25)
už jen z povahy věci, že máte dva zaměstnance a provádíte zpracování OÚ, které jste uvedli níže, je pravděpodobnost hraničící s téměř jistotou, že ano.
Mimochodem mám za to, že pravděpodobně budete potřebovat VIN k vozidlu, či označení typu motoru karoserie, což jsou z povahy věci a vlastnictví OÚ, které v kombinaci jinými OÚ dokáže identifikovat patřičný subjekt údajů. U oprav na pojišťovnu, budete také muset držet a zpracovávat OÚ. Budete pro některé případy zpracovávat i kopie velkého TP, kde jsou také OÚ. V případě servisních zásahů u novějších modelů aut např. Škoda, musíte dané automobilce poskytnout přesné a detailní OÚ o vlastníkovi vozidla. V případě servisních knížek zde lze také najít OÚ. Dále také pokud používáte k prodeji webové nástroje. Typicky servisy nabízejí pneumatiky apod. Zde všude jsou OÚ.
Jiří Horký napsal:
17.1.2018 (11:24)
manželka provozuje jako OSVČ malý eshop. Jsem přesvědčený o tom, že se nás GDPR týká, jen se chci zeptat:
1) Musí mít pověřenec (DPO) nějakou certifikaci, nebo je jen na něm, vykonávat funkci v souladu s předpisy, Případně jak poznám tu správnou certifikaci.
2) V našem případě, může být pověřenec (DPO) manžel?
18.1.2018 (13:24)
Ad1) V současné době není nikde zakotvena povinnost certifikovat DPO, jsou doporučení ze strany nařízení, co by takový DPO měl splňovat, nicméně je to pouze doporučení. Záleží jen na statutárním orgánu, koho jako DPO jmenuje.
Ad2) V současné době není nikde definováno, že by manžel či kdokoliv jiný, (pokud to nebude v rozporu s nařízením GDPR), nemohl být jmenován jako DPO. Je potřeba jen brát zřetel, aby manžel např. nepůsobil jako DPO pro Vašeho konkurenta a hrozil by střet zájmu. Nebo jako např. v energetice, kde proběhl „unbandlig“, tak by mohl nastat problém.
Marek Očadlík napsal:
21.2.2018 (12:06)
Dobrý den, rád bych se zeptal, jak to bude s fakturami, které se posílají elektronicky v PDF formátu jakmile začne platit GDPR. Budu potřebovat souhlas subjektu údajů, že mu mohu zasílat fakturu emailem? Musí být faktura nějak zabezpečena proti neoprávněnému nakládaní s OÚ na ní uvedených?
22.2.2018 (13:24)
pokud mají dvě smluvní strany dohodnuto zasílání faktur emailem, pak není třeba souhlas subjektu údajů, protože Vám jej poskytl právě dohodou o výměně elektronických dokladů, kde jste si museli vyměnit emailovou adresu. Email je otevřená platforma a jako taková není zcela vhodná na zasílání obchodních korespondence v nezabezpečené formě. Zde tedy doporučujeme danou fakturu zabezpečit buď pomocí PGP nebo zašifrovaného ZIP či RAR souboru.
28.2.2018 (10:30)
ráda bych se informovala. Mám firmu a pomocí Mailchimpu rozesílám každý měsíc určité informace o mé firmě jak klientům, tak potencionálním klientům. Databáze v tuto chvíli má přibližně 800 kontaktů a obsahuje jméno, příjmení a e-mailovou adresu. Jak přesně se na toto vztahuje GDPR? Musím mít od každého „svolení“ o zpracování OÚ?
1.3.2018 (13:23)
obecně platí, že pro zpracování osobních údajů podléhá jistým pravidlům. Tyto pravidla mají za cíl eliminovat zneužití osobních údajů, např. proti zasíláním nevyžádaných emailů a informací apod. Pokud správce osobních údajů (tedy Vy) má legitimní důvod, který je v souladu s nařízením GDPR a díky němuž lze např. zasílat určité informace daným subjektům údajů, pak to možné samozřejmě je. Nicméně kámen úrazu je právě ten legitimní důvod. Ten si zajistíte např. získáním souhlasu od subjektu údajů, či smluvním kontraktem, který legitimizuje takovou činnost či jiným obdobným způsobem, který bude správce opravňovat k takové činnosti. Proto Vám tedy doporučujeme získat řádný legitimní důvod pro takovou činnosti např. souhlasem se zpracováním osobních údajů od subjektu údajů. Je třeba si uvědomit, že takový souhlas musí mít řádné provedení a splňovat podmínky nařízení GDPR.
Ivan Bílek napsal:
12.3.2018 (11:46)
Jsem jednatelem a pokladníkem Severočeské pobočky České botanické společnosti. Naše pobočka sdružuje cca 140 osob, jak profesionálních, tak i amatérských botaniků. Vedu jejich evidenci (zaznamenávané údaje: jméno, titul/y, datum narození, adresa, mailová adresa, u některých telefonní číslo), rozesílám poštu (pozvánky na akce), vybírám a eviduji členské příspěvky. Vztahuje se na mne GDPR? Mohu mít přehled členů ve formě excelové tabulky v počítači? – na Disku Google? – v mobilním telefonu? Mohu je mít jako kontakty Google? Mohu dát seznam členů na internetovou stránku pobočky , alespoň v minimalistické podobě (např. – vymýšlím si, doufám že nikdo takový není – Jan Novák, Most – o tom, že by tam bylo doc. RNDr. Jan Novák, Ph.D., 23.6.1950, Most, Hornická 2244, jnovak@seznam.cs vůbec neuvažuji!). Potřebuji nějakou pověřenou osobu na dohled na nakládání s osobními údaji, či jak se ona funkce jmenuje?
Děkuji za případnou laskavou odpověď.
13.3.2018 (13:22)
Dobrý den, na organizaci Severočeská pobočka České botanické společnosti se GDPR vztahuje. Zpracování osobních údajů podléhá pravidlům daného nařízení i pokud by bylo pouze evidováno v papírové podobě, to se týká také poskytování informací o Vašich členech. Celou problematiku je třeba nastudovat, případně zvolit subjekt, který Vám s řešením pomůže. Díky rozsahu, který máte by řešení pro Vás mělo být poměrně snadno a levně realizovatelné. Není totiž až tak podstatné kde máte osobní údaje uloženy, ale jak jsou zabezpečeny, kdo a jak k nim má přístup, jak s nimi nakládá, jak jsou zabezpečeny apod. Pokud Vaší primární činností není hromadné zpracování osobních údajů, případně nejste státní organizace, není povinností mít zřízenou roli pověřence pro ochranu osobních údajů. Ovšem je třeba si uvědomit, že i když danou roli nebudete mít zřízenou, tak činnosti, které vyplývají z dané role bude muset někdo u Vás realizovat.
15.3.2018 (14:00)
konečně smysluplný článek a komentáře.
Nebudu se rozepisovat, ale z vlastní zkušenosti je třeba super zajít na nějaké školení ohledně GDPR, pár poznámek a zbytek najít v článcích,já jsem byl na školení u Oty Kleknera, nezabere to celý den, stručně popsané.
naprosto s Vámi souhlasíme. Pokud byste se chtěl cokoliv k GDPR doptat, určitě se na nás obraťte.
17.3.2018 (12:12)
Dobrý den, zajímalo by mě zdá se to týká i poskytovatelů internetových stránek. Cca.pred dvěma lety jsem skončil insolvenci ale na internetových stránkách je stále mé celé jméno i s rodným číslem. Děkuji za odpověď
18.3.2018 (13:22)
Dobrý den, GDPR se týká i poskytovatelů internetových stránek, pokud zpracovávají osobní údaje. Z logiky věci vyplývá, že tedy i tento poskytovatel bude GDPR dotčen. Problematika insolvence se řídí zákonem 182/2006 Sb. Insolvenční zákon, zde připadá v úvahu následující § 425 (1) Po uplynutí 5 let od nabytí právní moci rozhodnutí, jímž bylo skončeno insolvenční řízení, vyškrtne insolvenční soud dlužníka ze seznamu dlužníků a údaje o něm v insolvenčním rejstříku znepřístupní. Skončí-li insolvenční řízení rozhodnutím podle § 142, vyškrtne insolvenční soud dlužníka ze seznamu dlužníků a údaje o něm v insolvenčním rejstříku znepřístupní do 15 dnů od doručení žádosti dlužníka; dlužník je oprávněn požádat o vyškrtnutí nejdříve po uplynutí 3 měsíců od právní moci rozhodnutí.
20.3.2018 (15:43)
Pokud by se jednalo o to, že jsou data využívána na marketing je to jasné, ale u nás jsou registrace pouze pro zjednodušení a urychlení objednávek registrovaných zákazníků. Fakturační a dodací adresy, emaily a telefony uložené v těchto účtech se nijak dále nezpracovávají pro jakékoliv marketingové účely.
Pokud by byl nutný souhlas, jak by takový souhlas mohl vypadat? Lze tento souhlas udělat na neurčito? Abych nemusel zákazník např. každé dva roky udělovat nový souhlas.
23.4.2018 (18:08)
Dobrý den, děkuji za Vaší informaci. Bohužel se v tom již ztrácím, jelikož Vaše informace ohledně registrace do zákaznického účtu se zcela rozchází s informací od eLegal: https://youtu.be/Brv8LeOpwTI?t=20m14s viz. 20 minuta 20 vteřina, která tvrdí že je potřeba souhlasu.
27.2.2019 (13:19)
Ano, to ale platí pro B2C, nikoliv pro B2B. Je třeba mít na mysli, že zákazník může být právnická osoba, a té se GDPR nedotýká. Tedy pokud nebude poskytovat informace o svých zaměstnancích.
4.4.2018 (1:10)
Dobrý den, jsem OSVČ bez zaměstnanců, pracuji tedy sám a věnuji se oboru grafický design. Veškeré práce, které pro klienty vytvářím jako bannery, infografiky, vizitky nebo letáky si uveřejňuji na svých web stránkách mezi referencemi, dále práci prezentuji na svém osobním Facebooku, Twitteru a dalších sociálních sítích. Měl bych podle GDPR získat od klientů výslovný souhlas, zda mohu mnou vytvořené grafické návrhy uveřejnit na svém webu? U vizitek či letáků jsou pochopitelně viditelné kontaktní údaje klienta (jméno, příjmení, telefon, email, web stránky). Pokud ano, stačí klienty obeslat e-mailem a vyžádat si extra souhlas? Děkuji.
5.4.2018 (13:18)
Dobrý den, zveřejnění grafik a letáků podléhá spíše autorskému zákonu nikoliv GDPR (tedy pokud na nich nejsou osobní údaje). Zde Vám doporučujeme souhlas od daných firem, aby jste takové dílo mohl s jejich souhlasem užívat, např. formou zobrazení na facebooku či jinde. Tedy pokud to nemáte již ošetřeno dříve a jinak. U vizitek a letáků kde jsou osobní údaje doporučuji texty nahradit za anonymní typu JOSEF NOVÁK, ADRENALINOVÁ FIRMA, VELKOOBCHOD S POTRAVINAMI apod. Forma souhlasu záleží na Vás, ale je musí obsahovat všechny potřebné údaje.
Markéta Johnston napsal:
4.4.2018 (17:32)
Manžel vyučuje anglický jazyk jako OSVČ. Jediný údaj, který potřebujeme od klientů je jméno, telefon a email, který mám pro to, abych mohla vystavit fakturu a domluvit se na výuce, změně termínu apod. Má rovněž zřízeny webové stránky, na kterých se mohou studenti dozvědět informace o kurzech a lektorech. Faktury zasílám emailem vytvořené v systému idoklad. Vztahuje se na něj GDPR? Žádné údaje neposkytuje nikomu jinému.
5.4.2018 (13:17)
Dobrý den, konkrétní kontaktní údaje jako je mobil či email na klienty jsou typické osobní údaje, které Váš manžel zpracovává (jméno, příjmení a pod ani nemluvě). Navíc pokud Vy zpracováváte osobní údaje jeho klientů, tak pokud jste firma budete i Vy spadat pod GDPR a bude muset s Vámi uzavřít tzv. Zpracovatelskou smlouvu. V případě že ne, doporučuji přesto smlouvu o mlčenlivosti mezi Vámi. Budete se tedy muset s GDPR vyrovnat. Nicméně to nebude tak složité, jako u společností s větším množstvím OÚ.
Jiří Semmler napsal:
4.4.2018 (23:55)
Dobrý den, měl bych dotaz ohledně níže popsané situace. Trochu se vymykáme klasickým eshopům a marketingovému zpracování dat, proto v tom máme trochu guláš. Můžete mě prosím nasměrovat?
Jsme lékárna a máme informační systém, který nám pomáhá v evidenci pacientů domovů důchodců a jejich medikací. Tedy ve výsledku shromažďujeme data jako datum narození, RČ a jaké přípravky pacient užívá. Data nejsou nijak marketingově využívána nebo zpracována, je to jen chytřejší excel. Ač se jedná tedy o data zvláštní kategorie, tak
nedochází k rozsáhlému zpracování, tedy by se nás neměla týkat DPIA a DPO. Dle stávájícího pochopení by nás měly čekat tři kroky – provedení a zdokumentování ochraných opatření, sehnání souhlasů, pseudonymizace a zdokumentování kroků pro operace nad daty (výmaz apod.). To celé pak zabalit a informovat UOOU o zpracování? Chápeme situaci správně? IS máme vlastní výroby ( od freelancera ) v PHP na vlastní VPS. IS má webový přístup a kromě zaměstnanců lékárny k němu mají přístup i zaměstnanci cílových domovů důchodců.
5.4.2018 (13:16)
Ve Vašem případě je to trošku složitější. DGPR se Vás bude rozhodně týkat, protože je pravděpodobné, že daná data nezpracováváte pouze v excelu, ale budete je muset posílat zdravotním pojišťovnám, případně nějaké reporty na Ministerstvo zdravotnictví, případně jiné kontrolní orgány. Jak uvádíte dále, poskytujete přístup k daným osobním údajům cílovým domovům důchodců, což už nyní je v rozporu s GDPR (nejsem si vědom, že by existovala nějaká legislativa, která to legalizuje). Dále je potřeba zvážit, zda nepodléháte auditům apod. DPO jako takového nemusíte mít, ale obecně doporučujeme disponovat člověkem (i např. externě), který danou činnost bude vykonávat, protože to že nemáte oficiálního DPO neznamená, že činnosti, které jsou s ním spojeny vykonávat nemusíte, naopak!
Doporučujeme se raději poradit s experty na tuto problematiku např. http://www.jobman.cz apod.
5.4.2018 (23:30)
Dobrý den, velice děkuji za reakci. Mám k tomu několik doplňujících otázek:
1) data z uvedeného IS dalším orgánům neposkytujeme, poznámka o chytřejším excelu byla pouze demonstrativní. Prakticky jsou data uložená ve zméněném IS, Excel není nikde využit. To nás ale nijak neodstiňuje od GDPR, že?
2) nerozumím rozporu ohledně poskytování přístupu stranám, které data už mají. Jedná se o domov, jehož pacienti jsou právě objektem ukládaných dat. Neposkytujeme žádná data, která by třetí strany už neměly (samy je poskytyjí a potřebují ke své činnosti). Můžete to prosím rozvést?
3) na základě čeho můžu poznat, zda podléháme auditům či nikoliv, můžete mě prosím nasměrovat?
Velice děkuji, Semmler
Novák Jan napsal:
26.4.2018 (11:45)
Dobrý den, po jakou dobu mohu uchovat pracovní smlouvu po ukončení pracovního poměru?
27.4.2018 (13:13)
základním účelem zpracování osobních údajů zaměstnance je vedení mzdové a personální agendy zaměstnavatele. Tento účel ovšem končí při skončení pracovního poměru zaměstnance. Skončení pracovního poměru však automaticky neznamená, že by zaměstnavatel měl osobní spis, mzdovou složku a další údaje zaměstnance, vyjma povinně uchovávaných dokumentů, neprodleně zlikvidovat. Kromě vedení mzdové a personální agendy je totiž dalším oprávněným účelem uchování dokumentů možnost zaměstnavatele efektivně se bránit v případném sporu se zaměstnancem, např. o určení neplatnosti výpovědi nebo povinnosti zaplatit zaměstnanci práci přesčas.
Pro zmíněný účel je možné uchovávat ty dokumenty, které mohou zaměstnavateli umožnit ve sporu hájit svá práva a oprávněné zájmy. S ohledem na 3letou promlčecí lhůtu se považuje za přijatelné uchování dokumentů za tímto účelem po dobu až 4 let (s ohledem na fakt, že žaloba může být žalovanému zaměstnavateli doručena i několik měsíců po uplynutí promlčecí lhůty). ÚOOÚ nepožaduje, aby uchovávání dokumentů po dobu trvání pracovněprávního vztahu bylo oznámeno tohoto úřadu. Z obvyklé praxe lze dovodit, že oznamovací povinnost se nevztahuje ani na uchování dokumentů po skončení pracovního poměru v těch případech, kde je účelem jejich uchování uplatnění práv a povinností z pracovněprávního vztahu, tedy i obrana v případném soudním sporu vycházejícím z tohoto pracovního poměru. Všichni dotčení zaměstnanci by však měli být o uchování osobních údajů informováni (ale jejich souhlas v tomto případě není nutný). Po uplynutí doby 4 let se doporučuje uchovávat pouze dokumenty, u kterých to výslovně vyžadují právní předpisy.
Autoškola napsal:
26.4.2018 (12:03)
Dobrý den, jsme autoškola. Již na žádosti o zařazení do výcviku jsou údaje jako jméno, dat. nar., RČ, adresa, telefon atd. Jsou povinné zahájení, ukončení , zkoušce a poté putují na mag. města pro vystavení řidičského průkazu. Tyto údaje jsou také uvedeny v matriční, třídní knize , průkazkách a voz. sešitech. Formulář a ostatní je schválen ministerstvem dopravy a je to součást zákona, který se ale nezměnil a údaje jsou povinné. Tak to pak asi musím oslovit každého žáka se souhlasem nebo jak jinak a také musím oslovit i ty , kteří jsou u nás nahlášeni ještě před platností zákona? U zaměstnanců je mi to jasné. Dále provádíme pravidelné školení řidičů z povolání a různá vstupní školení i u těchto lidí, kteří k nám chodí každý rok musím přidat papír se souhlasem. a co ty které tu musíme kvůli archivaci uchovávat 5-10 i více let ? Moc děkuji za radu . Děkuji Brozmanová
27.4.2018 (13:12)
výkon specializovaných činností je stanovena příslušným zákon. Ten zároveň stanovuje i příslušné údaje, které je nutné zpracovávat. Tyto údaje tedy jsou pro GDPR pokryty danou legislativou. Je potřeba si pouze dát pozor na informace, které nejsou již v dané legislativě pokryty, obvykle to může být email, mobilní telefon apod. Předpokládám však, že disponujete formuláři, které jste dostali od státní správy či samosprávy, zde je situace jasná. Pokud tedy dané údaje předáváte státní správě či samosprávě na základě platné legislativy, tak z hlediska GDPR máte oporu v daném zákoně.
Školení řidičů z povolání apod. musíte ověřit, zda nespadá pod nějakou legislativní povinnosti a pokud ano, tak opět máte při předání osobních údajů státní správě či samosprávě problém vyřešen. V případě, že osobní údaje předáváte komerčním subjektům, které nespadají pod dikci příslušné legislativy, budete muset zajistit Zpracovatelskou smlouvou ochranu daných osobních údajů.
27.4.2018 (17:59)
Dobrý den, chci spustit soukromou webovou stránku spolužáků ze střední školy. Obsah stránek by byl přístupný pod heslem pouze pro žáky (členy). Obsahem by byly kontakty – jméno, email, telefon, adresa, a debata členů. Stránky by byly pouze pro osobní účely, neexistuje důvod poskytovat údaje žádné třetí straně, z provozu stránek neplyne žádný prospěch ani zisk. Z dostupných informací bychom mohli spadat pod vyjímku „Údaje získané v rámci činnosti čistě osobní povahy, které nemají obchodní či institucionální charakter“. Prosím o radu, jestli tímto neporušíme zákon, popř. radu jak toto ošetřit.
28.4.2018 (13:12)
přesně jak uvádíte. Vás se v tomto případě GDPR netýká. Zatím…
Jirka A. napsal:
30.4.2018 (11:48)
manželka vlastní Veterinární ordinaci. V kartotéce klientů má na ně kontaktní informace (jméno, adresu, email a telefon) nově budeme na email a telefon po klientech vyžadovat souhlas. Jak se zachovat ke stávajícím klientům? Máme je kontaktovat (emailem) a požadovat souhlas a v případě, že neodpoví, email a telefon smazat?
Obdobnou situaci máme u e-shopu, kde mají klienti zřízeny účty. Jak se postavit k těmto zřízeným účtům? V obou případech se informace nepoužívají k marketingovým účelům.
Předem děkuji za jakoukoli radu. Jirka A.
2.5.2018 (13:09)
souhlas můžete zajistit několika způsoby, elegantní je emailem. Avšak pozor, za emailem či jinými komunikačními nástroji se může skrývat kdokoliv a povinností správce osobních údajů je zajistit dostatečnou identifikaci osob. Takže je třeba zvážit, zda to bude dostatečné. Vy totiž budete prokazovat, že zpracováváte osobní údaje příslušných osob. Takže např. email s elektronickým podpisem, nebo datovou schránkou apod. je vhodnější. Případně nechat podepsat při návštěvě ordinace apod. U zřízených účtů je situace obdobná. Je třeba zajistit, že správce osobních údajů prokážete, čí data zpracovává. Zde lze např. zajistit identifikaci pomocí tzv. dvoufaktorové identifikace. Ale i zde si musíte být nejprve jisti (než si v systému odsouhlasíte, že on je on) , že ten klient je skutečně on a nevydává se na někoho jiného.
Stahlich napsal:
3.5.2018 (13:55)
Dobrý den, prodávám auta sám takže do smluv píšeme jméno, RČ, č.op, a trvalé bydliště, musíme také zákazníkům dávat podepsat souhlas zpracováním osobních údajů? Děkuji za odpověď Stahlich
4.5.2018 (13:09)
nechci polemizovat nad problematikou obsahu kupních smluv, ale mám za to, že rodné číslo a číslo OP nemusíte do smluv dát. Datum narození a místo toho by stačilo. Pak nemáte žádný problém s takovými osobními údaji.
16.5.2018 (10:47)
Dobrý den, máme s manželem autobazar a prodáváme ojeté automobily. Oba podnikáme jako OSVČ, každý na své IČO (takže v jedné provozovně dvě firmy se stejnou činností). Nemáme žádné zaměstnance. Účetnictví pro obě firmy dělám sama. Jen k osobním údajům zákazníků máme přístup oba nedílně, podle času buď řeším obchod já nebo manžel. Stačí mít pouze nějakou smlouvu mezi sebou (a jakou?) nebo jak postupovat, abychom splnili zákon o GDPR.
17.5.2018 (13:08)
Dobrý den, k řešení GDPR se budete muset postavit oba dva. Jelikož jste dvě rozdílná IČ, pak jste dva podnikatelské subjekty. Chci jen upozornit, že rozhodně nebude stačit mít jen mezi sebou podepsanou smlouvu, ale splnit veškeré požadavky na GDPR. Je pravdou, že ve Vašem případě to bude daleko jednodušší než u větších firem, přesto je potřeba být v souladu i pro OSVČ. Doporučujeme vybrat příslušného profesionála, který Vám s danou problematikou pomůže, jistě to nebude velká částka.
16.5.2018 (14:48)
Dobrý den, jsme společnost zpracovávající externě účetnictví a mzdy pro firmy. Potřebujeme tedy s nimi uzavřít smlouvu, která by měla být v písemné podobě. Můžete mi poradit, kde bych našla vzor takové smlouvy? Případně zda je možné mi ji zaslat? Děkuji za info a přeji hezký den. Ilona.
18.5.2018 (13:07)
Dobrý den, na internetu je vzorů mnoho, zdaleka ne všechny jsou prosté vad. Zde Vám spíše doporučujeme spojit s se subjektem, který Vám takovou smlouvu připraví. Nicméně s takovou smlouvou již měli přijít Správci osobních údajů, pro které osobní údaje zpracováváte, ne Vy.
Renáta Přenosilová napsal:
20.5.2018 (14:41)
Dobrý den,jsem OSVČ bez zaměstnanců mám kamenný obchod s vlastními výrobky i s možnosti zakázky či potřebou úpravy .Tím pádem mám základní osobní údaje na zákazníky jen v ručně psané podobě .To ,že spadám do GDPR je z mého pohledu 100% i když některé osobní údaje jsou uchovány jen na par dní. Potřebuji radu co vše má obsahovat leták ,který u zakázky či úpravy budu předkládat zákazníkům k podpisu k souhlasu s používáním osobních údajů? Nebo ,existuje nějaký formulář jako mustr , který bude obsahovat vše co je s nařízením důležité abych věděla ,jak to vše formulovat ….podle kterého bych si mohla vytvořit svůj vlastní leták k podpisu???
Moc děkuji za radu:-) Renáta P.
21.5.2018 (13:07)
souhlas se zpracováním osobních údajů bychom rozhodně nedávali formou letáku. Na internetu dnes existuje několik zdrojů se vzory těchto souhlasů. Určitě nějaký vhodný najdete.
21.5.2018 (11:23)
Dobrý den, prosím o radu zda potřebuji DPO…
pro seznamku, kde uživatel vyplní citlivé údaje (pohlaví, orientaci, výšku a typ postavy) – tyto údaje jsou logicky nutné k „plnění smlouvy“ a jsou v zájmu samotného uživatele. Po dobu členství s těmito údaji uchovávám jméno, adresu, email a číslo bankovního účtu, při ukončení členství jsou citlivé údaje automaticky vymazány.
22.5.2018 (13:06)
zde je potřeba více otázek, zda se jedná o komerční projekt, či je to jen pro uzavřenou skupinu „kamarádský systém“. Pokud za danou seznamkou je firma, zda vyvíjí ještě i jiné aktivity či je seznamka jen jedinou aktivitou. Následně je možné odpovědět snadněji.
23.5.2018 (18:05)
Může někdo říct mé jméno bez mého souhlasu? Třeba, když osobu znám i neznám.
24.5.2018 (13:06)
díky svobodě projevu, si může říkat každý co chce,… musí však počítat s případnými následky. Nicméně říci jméno není žádný problém.
Markéta Maroszová napsal:
27.5.2018 (12:31)
Dobrý den, chtěla bych poprosit o radu. Mám dvě webové stránky přes technologii Blogger. Na obou je možnost stát se pravidelným čtenářem pomocí google účtu. Navíc se na obou občas objeví prokliky na jiné stránky (eshopy, oficiální weby akcí…). Sama na nich nic neprodávám, ani žádné údaje při navštívení stránek nevyžaduji. Jak se mám zachovat, abych předešla nepříjemnostem?
Pro upřesnění, toto jsou webové adresy oněch stránek: http://www.majdinsvet.blogspot.cz a http://www.jogouprotibolesti.blogspot.cz
28.5.2018 (13:05)
pokud to není komerční aktivita, GDPR se Vás netýká. Otázkou jsou jiné zákony např. autorský apod.
Monika Pavezová napsal:
30.5.2018 (17:46)
Dobrý den,chtěla bych poprosit o odpověď,s manželem jsme založili s.r.o. a jsme oba jediní jednatelé a zároveň jediní zaměstnanci.Provozujeme velkoobchod s ocelovými šperky a snubními prstýnky.Adresu od obchodních partnerů s různých zlatnictví a klenotnictví,používáme pouze k vystavení faktury,odeslání zásilky českou poštou a následně doklad předáváme účetní ke zpracování DPH. K jiným účelům adresu nepoužíváme.Když jsem firmy oslovila s žádostí o souhlas,několik mi jich odepsalo,že my mezi sebou souhlas nepotřebujeme. V eshopu,který provozujeme,je mi jasné že souhlas koncového maloobchodního zákazníka potřebujeme,i když ani tady nepoužijeme jeho iniciály k ničemu jinému,než je napsáno výše. Jak to tedy je mezi našimi obchodními partnery, musíme mít od nich souhlas nebo ne?Moc děkuji za Vaši odpověď
2.6.2018 (13:03)
Dobrý den, v rámci právnických osob (s.r.o., a.s. apod.) nepotřebujete souhlas se zpracováním osobních údajů. Je potřeba pro zpracování u fyzických osob, či osob samostatně podnikajících.
10.12.2018 (19:07)
pracuji v oboru grafika a ilustrace a ráda bych se zeptala jestli se mne jako OSVČ týká GPRD a případně jak bych se k němu ve svém případě měla postavit – mám od každého klienta vyžadovat souhlas pro zpracování údajů v rámci fakturace? Jakým oficiálním způsobem bych to měla provést?
Jako OSVČ pokud zpracováváte osobních údaje, tak se Vás GDPR dotýká. Nicméně v rámci fakturace nepotřebujete souhlas. Nicméně je otázka, zda osobní údaje nezpracováváte jinde než ve fakturaci. Typicky to jsou kontaktní údaje pro předání zakázky či konzultace se zákazníkem, jeho email, mobilní telefon, SKYPE jméno apod. Tyto údaje jsou také považovány za osobní údaje a v případě jejich zpracovávání musíte s nimi pracovat v souladu s povinnostmi plynoucí z GDPR.
Semrádová napsal:
6.2.2019 (15:50)
chtěla bych se zeptat jaké jsou pravidla pro registraci zákazníků přímo na prodejně obchodu? Když o nich potřebuji celé jméno a e-mail abych jim mohla posílat různé akce, které právě probíhají. Musí být v tom formuláři přesně napsané celé podmínky a pravidla o které žádáme o souhlas?
7.2.2019 (10:57)
Nevím, jaké podmínky a pravidla máte konkrétně na mysli, nicméně „souhlas“ má definovaný obsah, který je třeba dodržet.
Irena Jelinkova napsal:
11.2.2019 (1:42)
Dobrý den, zajímalo by mě, zda je v pořádku, ze advokátní kancelář zastupující Dopravní podnik Praha, pošle nezletilemu dítěti obyčejnou poštou predzalobni výzvu za nezaplacenou pokutu a na obálce uvede jeho cele jméno, adresu a datum narození.
13.2.2019 (10:56)
pro jasnou identifikaci je jistě jméno, příjmení a adresa zcela v pořádku. Občas se však stává, že adresáti se stejným jménem mohou být dva, typicky otec a syn. Zde bývá spíše obvyklé, že pro lepší identifikaci se uvádí rok narození. Zda bylo skutečně nutné uvádět celé datum narození je otázkou. Zde je ovšem zvláštní, proč takový dopis nebyl zaslán alespoň doporučeně. Z hlediska zpracování osobních údajů daná AK zcela zjevně získala od DPP plnou moc k zastupování, tím pádem zpracovává osobní údaje zcela legálně. Vhodnost uvedení celého data narození je sporadické, ale mám za to, že by AK takový postup pravděpodobně obhájila.
Aneta Hrabáková napsal:
22.5.2019 (15:15)
jsme společnost pořádající různé akce a školení. Chce rozšířit naší databázi o další specialisty. Jde o sběr e-mailových adres i poštovních adres je možné je stahovat z veřejně dostupných dat na webových stránkách našich partnerů i nepartnerů? Domnívám se správně, že pokud jsou tato data veřejně dostupná již dotyčný udělil souhlas k uveřejnění jeho osobních údajů a tudíž i dalšímu použití?
23.5.2019 (9:25)
Nelze odeslat obchodní sdělení na emailové adresy volně dostupné na internetu, ale pouze těm adresátům, kteří k tomu dali předem souhlas (tzv. zásada opt-in) nebo kteří jsou zákazníkem podnikatele, a to za splnění podmínek § 7 odst. 3 zákona č. 480/2004 Sb.
Doporučujeme získat souhlas od daných subjektů údajů k zasílání obchodních sdělení. Nezapomeňte, že pokud začnete zpracovávat osobní údaje daných specialistů, musíte je informovat, že takové údaje zpracováváte.

References: čl. 6
 § 425
 soud 
 § 142
 soud 
 § 425
 soud 
 § 142
 soud 
 § 7
 zákona č. 480