Jaká práva GDPR přináší subjektu údajů?

Každý uživatel má z pohledu GDPR určitá práva, která mají zajistit ochranu jeho osobních údajů a zároveň mu dávají určité výhody, které pro řadu klientů mohou způsobovat nemalé komplikace. Ačkoliv se dá předpokládat, že těchto práv využije pouze hrstka uživatelů, musí provozovatel webu nebo e-shopu danému právu vyhovět ve stanovených lhůtách. Podrobněji se těmto právům subjektů a jejich údajů věnuje úřad pro ochranu osobních údajů.

Právo na výmaz - vymazání osobních údajů

Uživatel má právo na vymazání osobních údajů hned z několika oprávněných důvodů.

Mezi ty patří:

• údaje už nejsou potřebné pro účel, kvůli kterému byly zpracovávány, mimo údajů potřebných dle jiných zákonů (reklamace/záruka, účetnictví, archivace - pozor na konflikty s dalšími zákony!)

• osobní údaje byly zpracovány protiprávně

• uživatel se rozhodne souhlas o zpracování zrušit, pokud neexistuje důvod ke zpracování

• nebyl udělen status rodiče pro osobní údaje dětí

• přikáže to povinnost stanovená Unií nebo státem

V případě e-shopu je možné v rámci administrace e-shopu smazat veškeré údaje o zákazníkovi s ohledem na data, která je nutná archivovat (objednávky, fakturace za jinými účely).

Právo na informování - přístup k osobním údajům

Uživatel má právo na získání informací, které jsou o něm evidované, konkrétně to znamená:

• Na žádost uživatele musí provozovatel poskytnout všechny údaje, které o uživateli provozovatel má a to do lhůty 30 dnů.

• Jedná se o informace jak vyplněné ze strany zákazníka, tak ty, které jste o něm nasbírali (ačkoliv uživatel nemusí vědět, které o něm přesně sbíráte).

• V podstatě to také znamená, že musíte mít přehled o zpracovávaných údajích pro každého konkrétního uživatele a předat mu je v případě jeho žádosti.

V případě e-shopu je možné udělat export údajů o daném uživateli, které redakční systém o uživateli shromažďuje. Výhodou je především možnost rychle uživatele nalézt a zjistit, kde dále jeho údaje mohou být uložené.

Právo na přenositelnost informací - předání jinému správci

Nové právo, které uživateli umožňuje získat ve strojově čitelném (jinými slovy standardizovaném) formátu své údaje.

• Na žádost uživatele mu poskytnout standardizovaná data, která mu umožní přejít k jinému poskytovateli služeb a využít je u něj.

• V případě e-shopu jde především o osobní údaje zákazníka a historii jeho objednávek (jeho nákupní chování).

• Za vzorový formát se považuje například XML nebo CSV strukturovaný soubor dat.

V případě e-shopu je možné provést export informací o zákazníkovi a nakoupených produktech, včetně své registrace. Ten se připravuje s ohledem na standard od Asociace pro elektronickou komerci (APEK), aby mohl být využít v rámci ostatních systému, které tento standard budou chtít dodržovat.

Postihy za porušení GDPR

Pokud web, e-shop či firma poruší podmínky ochrany osobních údajů, může se dočkat vysokých pokut.

Maximální výši pokuty 20 milionů Eur nebo 4 % z celkového obratu (vyšší hodnota) bude možno udělit jak malé firmě, tak nadnárodní korporaci.

Největši riziko však není samotný kontrolní úřad, který by snad mohl přijít na váš e-shop nebo web a shledat jej nedostatečným, ale vzhledem k medializaci celého GDPR nařízení, budou největším rizikem samotní uživatelé, kteří si budou chtít jen jednoduše řečeno "prudit" a zkoušet vaši připravenost na GDPR.

Klíčem je využívat v rámci GDPR především zdravý rozum a veškerá opatření sestavit tak, aby uživatelé nemuseli mít pocit, že se snažíte jejich údaje zneužít neoprávněným způsobem.

GDPR ukládá mnoho povinností, které budou muset e-shopy včas reflektovat a přizpůsobit se jim. V opačném případě hrozí vysoké pokuty.

Mnoho e-shopů v tomto roce čeká úprava svého informačního systému a postupu zpracování osobních údajů.