Pod písmeny GDPR se skrývá zkratka General Data Protection Regulation (Obecné nařízení o ochraně osobních údajů). Jde o nařízení Evropské unie. Celý název je Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Jelikož se jedná o nařízení, je platné a účinné pro všechny státy EU bez nutnosti jeho převedení do národní legislativy.
Nařízení v některých článcích a odstavcích připouští jeho úpravy a konkretizování v rámci legislativy státu. V České republice byl proto schválen zákon č. 110/2019 Sb., o zpracování osobních údajů. Práva a povinnosti související se zpracováním osobních údajů mohou být upraveny také zvláštními právními předpisy, např. zákonem č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (zákon o některých službách informační společnosti), který upravuje možnosti zasílání obchodních sdělení.
Obecně každá firma zpracovává osobní údaje fyzických osob, mezi které mohou patřit údaje zaměstnanců, pracovníků, vedení firmy, zákazníků, klientů, dodavatelů a dalších. Pokud jsou nějaké osobní údaje získávány přes webové stránky firmy, může docházet také ke zpracování osobních údajů návštěvníků webu. Proto musí každá firma splňovat podmínky a požadavky dané nařízením GDPR a s ním související legislativou. V tomto textu bude pozornost zaměřena na zpracování osobních údajů návštěvníků webu (dále v textu též jako subjekt údajů). Jestliže návštěvník webu získá bez zdlouhavého dohledávání nebo oslovování firmy všechny potřebné informace o zpracování jeho osobních údajů pomocí webu, zvýší to důvěryhodnost celého webu firmy.
Na dodržování nařízení GDPR a s tím související legislativou vždy dohlíží tzv. dozorový úřad. V České republice je to Úřad pro ochranu osobních údajů (ÚOOÚ).
S.1 Sběr osobních údajů na webu
Osobní údaje jsou přímo definované nařízením GDPR v článku 4 bodě 1. Jsou to ”veškeré informace o identifikované nebo identifikovatelné fyzické osobě (subjektu údajů). Identifikovatelnou fyzickou osobou je taková osoba, kterou lze přímo nebo nepřímo identifikovat, zejména odkazem na určitý identifikátor nebo na jeden či více prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby”. Definice je vysvětlena v následující tabulce.
| Veškeré informace | vztahující se k | identifikované nebo identifikovatelné | fyzické osobě. |
| z hlediska: | osobě z hlediska: | osobě, kterou lze ve skupině rozlišit: | |
|
|
|
|
Obecně mezi osobní údaje patří například jméno, příjmení, adresa, datum narození, rodné číslo, pohlaví, číslo občanského průkazu. Mezi nepřímé osobní údaje (na první pohled nemusí být zřejmé, komu patří) může patřit telefonní číslo, e-mail, IP adresa, SPZ vozidla apod. Další skupinou osobních údajů jsou tzv. zvláštní kategorie osobních údaj (mezi ty patří údaje o zdravotním stavu, náboženství, politických názorech atd., viz článek 9 odst. 1 nařízení GDPR). Protože se nařízení GDPR vztahuje i na podnikající fyzické osoby, je nutné mezi osobní údaje zařadit i tzv. organizační údaje. Mezi ty může patřit pracovní e-mail a telefonní číslo, IČ, číslo datové schránky a další identifikační údaje vydané státem.
Při zpracování osobních údajů musí firma vždy dodržovat základní požadavky legislativy. Firma musí dodržovat zásady zpracování údajů (viz článek 5 GDPR), kde z pohledu webu je dobré zdůraznit zásadu minimalizace – firma může požadovat jen ty údaje, které jsou pro dané zpracování skutečně nezbytně potřebné. Není tedy vhodné např. u kontaktního formuláře požadovat více údajů, než je jméno, kontakt a text dotazu.
V rámci webové prezentace firmy mohou být osobní údaje návštěvníků webu získávány a zpracovávány různou formou, např.:
- pomocí cookies – technické cookies lze zpracovávat ihned po otevření webu, pro všechny ostatní je nutné předem získat souhlas návštěvníka webu (podrobnosti viz následující kapitola T. Cookies),
- různých formulářů umístěných na webu – např. kontaktní a poptávkový formulář, formulář pro přihlášení k odběru informací (nejčastěji newslettery), formulář pro vkládání komentářů apod.,
- v rámci objednávkového procesu – zde bude návštěvník webu vždy vyplňovat nějaké osobní údaje,
- při zveřejňování informací na webu – v rámci referencí, hodnocení zákazníků, recenzí, případových studií, vkládaných fotografií, videí apod. mohou být uvedeny i osobní údaje,
- v uživatelském účtu – požaduje přihlašovací údaje (login a heslo) nebo může být zpřístupněn přihlášením k dalším účtům (např. přes účet Google),
- přes chatovací okénko – chat může požadovat vyplnění osobních údajů, pak je i tento nástroj zpracovává (jen v rámci položeného dotazu tomu tak být nemusí)
- apod.
Příklad – zpracování osobních údajů v rámci kontaktního formuláře
Zdroj: https://effectconsulting.cz/ (vid. 25. 5. 2022)
Příklad – zpracování osobních údajů v rámci objednávkového procesu
Zdroj: https://www.czc.cz/kosik/dodaci-udaje (vid. 25. 5. 2022)
Příklad – zpracování a zveřejnění osobních údajů v rámci hodnocení zákazníka
Firma, která provádí zpracování osobních údajů z vlastní iniciativy, se v GDPR označuje jako správce. Definice říká, že správce osobních údajů určuje účel a prostředky zpracování, tedy proč a jakým způsobem budou osobní údaje zpracovávány. Správce může přizvat i další firmy, aby se podílely na zpracování, pak jde o tzv. společné správce. Případně může některé zpracování svěřit dalším firmám, které bývají označovány jako zpracovatelé. Zpracovatel činí úkony na základě pokynů správce. V rámci webu může jít např. o provozovatele webhostingu nebo firmu připravující a analyzující reklamy. Práva a povinnosti nařízení GDPR a související legislativy se vztahují na všechny, kdo zpracovávají osobní údaje fyzických osob.
S.2 Informace o zpracování osobních údajů na webu
Firma, která pomocí webové stránky zpracovává osobní údaje, musí návštěvníkům webu poskytovat potřebné informace. Pokud firma zpracovává osobní údaje jakýmkoliv výše zmíněným způsobem, např. má na webu kontaktní formulář, musí být návštěvník webu informován o všech náležitostech souvisejících se zpracováním osobních údajů daným způsobem. Údaje, které mají být v informačním dokumentu uvedeny, přímo určuje nařízení GDPR v článcích 12 – 14. Články 13 a 14 přímo vyjmenovávají povinné údaje v závislosti na tom, zda byla data získána od subjektu údajů nebo od někoho jiného.
Příklad – uvedení informací o správci osobních údajů
Příklad – kontaktní údaje pověřence pro zpracování osobních údajů
Zdroj: https://www.liberec.cz/cz/obcan/urad/vyhlasky-narizeni/obecne-narizeni-ochrane-osobnich-udaju-gdpr/ (vid. 25. 5. 2022)
Příklad – možnost zobrazení podrobných informací pro jednotlivé účely zpracování osobních údajů
Zdroj: https://jezeksw.cz/ochrana-osobnich-udaju (vid. 25. 5. 2022)
Příklad – tabulka shrnující informace, které mají být návštěvníkovi webu sděleny
V rámci webových stránek firmy jsou údaje převážně získávány přímo od návštěvníka webu. Poučení o zpracování osobních údajů by tedy mělo být poskytnuto v okamžiku získávání dat, např. při vyplňování webového formuláře. Běžně se k tomu používá odkaz na podrobné informace v závěrečné části formuláře poblíž odesílacího tlačítka. Může zde být použito i zaškrtávací pole, které návštěvník webu označí a potvrdí tím, že se s dokumentem seznámil. Dále mohou být informace poskytnuty odkazem, např. v cookies liště. Na webu je vhodné umístit samostatnou stránku, která bude všechny potřebné informace o zpracování osobních údajů poskytovat na jednom místě.
Příklad – odkaz na informační dokument v kontaktním formuláři
Příklad – odkaz na informační dokument v objednávkovém formuláři
Zdroj: https://www.czc.cz/kosik/dodaci-udaje (vid. 25. 5. 2022)
Příklad – odkaz na informační dokument v cookie liště
Zdroj: https://dpopro.cz/ (vid. 25. 5. 2022)
Příklad – odkaz na stránku s informacemi o zpracování osobních údajů v hlavním menu webu
Zdroj: https://effectconsulting.cz/ (vid. 25. 5. 2022)
Příklad – odkaz na stránku s informacemi zpracování osobních údajů v doplňkovém menu webu (v zápatí)
Důvěryhodnost webu se zvyšuje, pokud jsou informace o zpracování osobních údajů poskytovány v aktuální podobě. Již před nařízením GDPR bylo zpracování osobních údajů legislativně upraveno. S příchodem GDPR však došlo k podstatným změnám. Proto by informace poskytované firmou neměly být starší než z 25. května 2018, kdy nařízení GDPR vstoupilo v platnost. Pokud dokument odkazuje na českou legislativní úpravu, měl by být nejpozději z data 24. dubna 2019, kdy vstoupil v platnost zákon o zpracování osobních údajů. Pro důvěryhodnost není dobré, pokud dokument odkazuje na již neplatný zákon č. 101/2000 Sb., o ochraně osobních údajů. Informační dokument by měl být aktualizován vždy, když ve firmě dojde k úpravám procesů zpracování osobních údajů nebo když obecně dojde k úpravě legislativy. Dokument musí odpovídat skutečnosti a nesmí obsahovat nepravdivá sdělení.
Příklad – aktuální datum u informačního dokumentu o zpracování osobních údajů
Zdroj: https://www.lidl.cz/c/pravni-informace/s10007885 (vid. 25. 5. 2022)
Další podrobnosti k náležitostem souvisejících s GDPR jsou obsahem auditu základní legislativy, který obsahuje vlastní podrobnou Best practice pro GDPR.
Podrobné informace a návody, včetně všech potřebných vzorových dokumentů připravených k úpravě podle požadavků konkrétní firmy, jsou obsahem produktu GDPR – snadno a rychle, který je možné objednat zde.