Informační povinnost a GDPR

Časté otázky a odpovědi v souvislosti s GDPR

Musím uzavírat zpracovatelskou smlouvu pro své zaměstnance nebo jiné osoby, které mi pomáhají s e-shopem či webem a dochází tak do styku s osobními údaji?

V odpovědi na danou otázku se mohou odpovědi jednotlivých právníku odlišovat, jde totiž o to, zda daná osoba pracuje s údaji za účelem jejich zpracování (v takovém případě je nutná zpracovatelská smlouva) nebo zda do nich může jen náhlednout, ale není její hlavní činností údaje zpracovávat (v takovém případě stačí smlouva o mlčenlivosti - NDA).

Kdo musí mít dokument o způsobu zpracování osobních údajů vedený?

Každý podnikatel musí mít prakticky tento dokument zpracovaný, pokud shromaždujeme údaje systematicky za konkrétním účelem (což je prakticky vždy). Zároveň tento dokument by měl definovat, ke kterým údajům mají zaměstnanci přístup a jaká opatření je potřeba udělat proto, aby se k osobních údajů vašich uživatelů nedostala neoprávněná osoba - například do Google Analytics, objednávek apod. V daném dokumentu je tak nutné především definovat, jakým způsobem s osobními údaji nakladáme, kde jsou uložené, kdo k ním má přístup, jak jsou zabezpečené, jak defiujete oprávněný zájem atd...

Jsou e-shopy a weby od ANT studia připravené na GDPR?

Naše e-shopy a weby vytváříme na vlastním redakčním systému (CMS) nebo na open source redakčním systému WordPress. V obou případech připravujeme opatření, které zajistí ze strany e-shopů a webů podporu pro GDPR legislativu. V případě našeho CMS plánujeme přípravy během měsíců únor-březen, kdy dojde k nasazení na aktuální verzi našeho redakčního systému. Následně budeme dané úpravy dle zájmu ze strany klientů implementovat i na starší verze redakčního systému. Vyhrazujeme si v tomto ohledu právo, nasazení neprovádět na redakčním systémech, které budou starší verze a data dle určení. V případě redakčního systému WordPress, bude většina úprav v souladu s GDPR vytvářena autory daného systému a jednotlivých modulů, které fungují za účelem sběru osobních údajů. Doporučujeme vždy řešení GDPR u vašeho webu či e-shopu řešit s vaším projektovým manažérem nebo obchodním zástupcem naší firmy. Provedeme případný audit vašeho webu či e-shopu a navrhneme vhodná opatření pro zajištění souladu s GDPR. Myslete však na to, že samotný způsob, jak nakládáte s osobními údaji svých klientů, je závislí také na vašich vlastních procesech nebo externí službách (například účetní nebo podnikové systémy).

Co se stane, když nebudu se účinnosti od 25. května 2018 web nebo e-shop v souladu s GDPR?

Správně by takový e-shop nebo web neměl mít možnost sbírat osobní údaje v rámci formulářů, dotazníků, komentářů, objednávek či jiným způsobem, který zahrnuje evidování osobních údajů od uživatele, dle podmínek a kritérií zmíněných v článku. Přesto i tak lze předpokládat, že takových e-shopů a webových stránek bude velké množství. Myslete však na to, že neznalost zákona vás v této věci neomlouvá a jako správci těchto údajů, nesete odpovědnost za případná rizika spojená s nesplněním dané nařízení. Myslete také na to, že se jedná o evropské nařízení. Vaše povinnost splňovat tyto podmínky tak vyplývá z povinnosti ke všem uživatelům Evropské unie a tedy i zahraničním zákazníkům.

Jak pracovat se seznamem uživatelů/zákazníků, ke kterým mám jejich osobní údaje, ale nemám prokazatelný souhlas s jejich zpracováním?

Zde záleží hodně na způsobu získání daného kontaktu, ve většině případech lze však předpokládat, že korektní a prokazatelný souhlas bude scházet. Jak tedy zpětně získat tento souhlas co nejlepším způsobem? Pokud máme seznam uživatelů, o kterém pořádně nevíme kde se vzal, na základě jaké minulosti jsme kontakty získali, nebo jsou data smíchaná z různých zdrojů, v takovém případě se doporučuje zcela na tyto údaje rezignovat a zcela je smazat. Pokud naopak máme seznam k vedenému seznamu určitý právni titul, jako je například, seznam klientu, ktěří nakoupili na mém e-shopu věc "X" v době "Y" a nejsme si jen jisti, zda máme potřebný souhlas pro jejich další zpracování nebo zasílání obchodního sdělení, můžeme takovém případě požádat o dodatečný souhlas. Opět zde platí selský rozum, je potřeba vždy myslet, jestli máme k danému kontaktu určitý vztah nebo spojení, o které jsme schopni se opřít v rámci oprávněného zájmu. Jak o daný souhlas vhodně požádat vám mohou pomoci i naši odbornící na e-mailový marketing, základem je přijít s kreativní řešením, které zákazníky nepohorší, ale pobaví nebo nabídne něco na oplátku. Čím dříve budeme mít váš seznam uživatelů a souhlas zaopatřený, tím větší budete mít šanci, že zůstanou vaše seznamy spíše kompletní.

Jakým způsobem budou fungovat výhody pro zákazníky v podobě dopravy zdarma, dárku, slevy či jiného benefitu za poskytnutí e-mailové adresy nebo jiného osobního údaje?

Souhlas musí být především dobrovolný a nepodmíněný. To znamená, že zákazníkovi nesmíme bránit v nákupu zboží nebo nastavením nepřiměřené ceny za dopravu či zboží, pokud se rozhodne naší nabídky nevyužít. Například pokud budeme mít zboží dvakrát dražší, než je jeho běžná cena a pro získání "normální ceny" budete chtít e-mailovou adresu pro zaslání slevového kuponu, je to považáno za nedobrovolný souhlas, protože zákazníka v podstatě nutíte (ne-li vydíráte). Zároveň musíte jasně definovat, za jakým účelem budete e-mail či jiný osobní údaj dále využívat a na jak dlouho. Pokud bude e-mail jen za účelem účasti v soutěži, určitě vám neprojde, pokud následně zákazníkovi začnete zasílat i obchodní sdělení na zboží, který s tím nijak nesouvisí.

Jak má vypadat správně tzv. cookies lišta?

Musí splňovat formu aktivního potvrzení, tedy souhlasu, který bude doložitelný a potvrdí nám, že návštěvník souhlasí se sběrem jeho osobních údajů.Opět je nutné definovat, jaké informace v rámci cookies budeme chtít shromaždovat, kde budou uložené, na jak dlouho, za jakým účelem a jaká mají uživatelé práva. Cookies nemusí vždy nést informaci i návštěvníkovi a jeho osobních údajích. Bez získaného souhlasu nemůžeme tyto údaje zpracovávat, pouze pokud by se jednalo o anonymní údaje, v rámci kterých není možné udělat spojení s konkrétní osobou, což však může být mnohdy sporné, protože prakticky vždy budete znát minimálně IP adresu uživatele, která patří pod osobní údaj. Blíže bude danou legislativu řešit blíže nástup ePrivacy. V rámci e-shopu i webu, kde dochází ke zpracováním osobních údajů, se tak v této chvili doporučuje minimálně cookies lištu mít, dokud nebude přesněji definová nová legislativa pro celou Evropu.

Jakým způsobem pracovat s aplikacemi třetích stran, jako je například vložený Facebook, on-line chat, hotjar či další nástroje, které sledují pohyb uživatelů na webových stránkách či e-shopu?

Daná problematika bude velice složitě uchopitelná, záleží na tom, zda budou tyto aplikace sbírat také osobní údaje vašich návštěvníků či nikoliv. Mnohdy však nemusíte ani mít povědomí o tom, že dané aplikace vše sbírají, v tomto ohledu je potřeba mít mezi vámi a třetí stranou sjednanou zpracovatelskou smlouvu, která jasně vymezuje tento rozsah.

Patří mezi zpracovatele také pronajímatel webhostingu nebo správce fyzického serveru, kde je obsah webových stránek uložen?

V případě, klasického webhostingu se poskytovatel stává zpracovatelem dat, protože má možnost nahlížet do databáze. Doporučuje se mí tak vyřešenou zpracovatelskou smlouvu mezi poskytovatelem webhostingu (nebo agenturou, která webhosting zajišťuje a ta má již svojí smlouvu přímo s konkrétním webhosterem). Zároveň každý poskytovatel webhostingu, který webové stránky nebo e-shop provozuje, by měl být schopný deklarovat, jakým způsobem zajistil bezpečnost vašich dat a zda provozuje své servery v Evropě. Poskytovatel musí splnit přiměřená bezpečnosti pravidla, která jsou adekvátní jeho nákladům a odpovídajícímu úsilí. Například často diskutovaná problematika vytváření záloh databáze, která obsahuje osobní údaje zákazníků, musí mít jasně definovaný proces uchovávání dat (především dobu).

Naším poskytovatelem webhostingu je společnost Coolhosting, která provozuje své servery v České republice využívající aktuální bezpečností verze softwaru pro zajištění provozu našich pronajatých serverů s šifrovaným přenosem dat. S poskytovatelem máme uzavřenou zpracovatelskou smlouvu a zároveň plníme veškerá nařízení v souladu s Úřadem pro ochranu osobních dat. V případě, že budete mít zájem o webové stránky nebo e-shop z naší strany, doporučujeme využívat také našich webhostingových služeb, které pro vás ve spolupráci s Coolhostingem zajišťujeme.

Jakým způsobem pracovat s údaji, které jsme nasbírali do doby, než přišlo v účinnost nařízení GDPR?

Pokud k těmto údajům jste schopni doložit způsob jejich získání a je tak potvrzení v souladu s GDPR, můžete s nimi dále nakládat v rámci rozsahu, který vám klient či návštěvník odsouhlasil. V případě, že máte tyto údaje bez patřičných souhlasů nebo dobu přesahující cca 3 roky a nepotřebujete dále uchovávat za jiným účelem vyplývající ze zákona, doporučuje se tyto údaje vymazat nebo si zajistit nový patřičný souhlas. Osobní data, která nepotřebujete a nevyužíváte, je lepší raději vůbec nemít.

Jakým způsobem nakládat s osobními údaji, které jsou v nestrukturované podobě a například se objeví ve zprávě k objednávce nebo u formuláře?

Ačkoliv je daný případ dosti nepravděpodobný, může se vám za určitých okolní stát, že vám návštěvník webu při vytváření objednávky, rezervace či zaslání přes formulář do kolonky pro poznámky či zprávy pro příjemce, napíše některou z informací spadající pod osobní údaje, bez toho abyste to po něm vyžadovali. Údaje, které jsou získávané nesystematicky a nejsou automatizovaně zpracovávané, nepohledají nařízení GDPR.

Jakým způsobem řešit objednávku, kterou zadávám za klienta ručně například na základě osobního nebo telefonického rozhovoru?

V takovém případě se doporučuje, abyste daného zákazníka upozornili na to, že budete zpracovávat jeho údaje za účelem, který je blíže popsán na webových stránkách. Samozřejmě máte i možnost danému člověku přečíst celé prohlášení o nakládání s osobními údaji, ovšem takové řešení bude dosti nepraktické. Zároveň myslete na to, že si takový rozhovor nemůže bez jeho souhlasu nahrát, abyste měli doložené, že s tím opravdu souhlasil. Samotný souhlas je zde tedy poněkud problematický, ale opět vychází ze zdravého rozumu a komunikace mezi klientem.