Sdílení dat je životodárnou silou moderního obchodu. Ať už zavádíte nového cloudového poskytovatele, spolupracujete s marketingovou agenturou nebo integrujete HR systém třetí strany, osobní údaje mezi organizacemi neustále proudí. Ale tady je nepříjemná pravda: většina firem podceňuje právní minové pole, které sdílení dat představuje podle obecného nařízení o ochraně osobních údajů (GDPR).

V sázce je to skutečné. Pokuty mohou dosáhnout 20 milionů eur nebo 4 % celosvětového ročního obratu – podle toho, která částka je vyšší. Kromě finančních sankcí riskujete poškození pověsti, regulační kontrolu a nároky na občanskoprávní odpovědnost ze strany dotčených osob. Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens neboli AP) jasně uvedl: neznalost není důvodem k obhajobě.

Tento článek vás provede sedmi kritickými riziky GDPR, která vznikají při sdílení osobních údajů. Každé riziko je založeno na konkrétních ustanoveních GDPR, ilustrováno důsledky z reálného světa a doplněno praktickými pokyny, které vám pomohou dodržovat předpisy. Ať už jste majitelem firmy, pracovníkem pro dodržování předpisů nebo právníkem působícím v Nizozemsku, pochopení těchto úskalí je nezbytné.

1. Sdílení údajů bez platného právního základu (článek 6 GDPR)

Riziko: Osobní údaje nemůžete sdílet jen proto, že je to pohodlné nebo prospěšné. Každý případ sdílení údajů vyžaduje platný právní základ podle článku 6 GDPR.

Proč se firmy mýlí: Mnoho organizací se domnívá, že stačí mít komerční důvod pro sdílení údajů. Není tomu tak. GDPR stanoví šest právních základů pro zpracování: souhlas, smluvní nezbytnost, právní povinnost, životně důležité zájmy, veřejný úkol a oprávněné zájmy. Každý z nich má specifické požadavky a omezení.

Například „oprávněné zájmy“ se často uplatňují k odůvodnění sdílení údajů s partnery nebo poskytovateli služeb. Tento základ však vyžaduje pečlivé vyvážení: vaše zájmy nesmí převážit nad právy a svobodami osob, jejichž údaje zpracováváte. A toto posouzení musíte zdokumentovat.

Právní odůvodnění: Článek 6 GDPR stanoví taxativní seznam právních základů. Článek 5(1)(a) GDPR nařizuje, aby veškeré zpracování bylo zákonné, spravedlivé a transparentní.

Skutečný světový důsledek: AP udělila pokuty organizacím, které sdílely zákaznické údaje s třetími stranami pro marketingové účely bez řádného právního základu. I když byla data anonymizována nebo agregována, pokud je možná opětovná identifikace, zůstávají osobními údaji a vyžadují právní základ.

Praktické s sebou: Před sdílením jakýchkoli osobních údajů identifikujte a zdokumentujte, který právní základ se uplatňuje. Pokud se spoléháte na oprávněné zájmy, proveďte a zaznamenejte posouzení oprávněných zájmů. Pokud používáte souhlas, ujistěte se, že je udělen svobodně, konkrétní, informovaný a jednoznačný.

2. Nejasnosti ohledně rolí: Správce vs. zpracovatel (článek 4(7)–(8) GDPR)

Riziko: GDPR rozlišuje mezi správci (kteří určují účely a prostředky zpracování) a zpracovateli (kteří zpracovávají údaje jménem správce). Nesprávná identifikace vaší role – nebo role vašeho partnera – vytváří závažné mezery v dodržování předpisů.

Proč se firmy mýlí: V praxi mohou být role nejednoznačné. Pokud sdílíte data s poskytovatelem SaaS, je správcem nebo zpracovatelem? Co když vaše data použijí ke zlepšení svých algoritmů? Mnoho firem standardně označuje každého dodavatele za „zpracovatele“, aniž by řádně analyzovaly tento vztah.

Nesprávná klasifikace je důležitá, protože správci a zpracovatelé mají odlišné povinnosti. Správci musí zajistit, aby zpracovatelé poskytli dostatečné záruky souladu (článek 28 GDPR). Společní správci se musí dohodnout na svých příslušných odpovědnostech (článek 26 GDPR). Pokud se dopustíte chyby, můžete být odpovědní za porušení, o kterých jste ani nevěděli, že se dějí.

Právní odůvodnění: Článek 4(7) a (8) GDPR definuje „správce“ a „zpracovatele“. Článek 24 GDPR vymezuje povinnosti správce v oblasti odpovědnosti.

Skutečný světový důsledek: Evropský soudní dvůr rozhodl v Módní ID (C-40/17), že i částečné určení účelů z vás může udělat společného správce. To znamená, že můžete nést společnou odpovědnost za porušení GDPR, i když je způsobila jiná strana.

Praktické s sebou: Zmapujte datové toky a určete, kdo rozhoduje proč a jak zpracovávány údaje. Zdokumentujte to písemně a ujistěte se, že každá strana rozumí své roli a povinnostem.

3. Chybějící nebo nedostatečná smlouva o zpracování údajů (článek 28 GDPR)

Riziko: Pokud si pověříte zpracováním osobních údajů zpracovatele vaším jménem, ​​jste ze zákona povinni mít uzavřenou písemnou smlouvu o zpracování osobních údajů. Žádné výjimky neexistují.

Proč se firmy mýlí: Je lákavé vyhnout se papírování, zejména u důvěryhodných nebo dlouhodobých partnerů. Bez shodného DPA však porušujete článek 28 GDPR od prvního dne – i když nedojde ke skutečné újmě.

Řádná dohoda o zpracování osobních údajů (DPA) musí obsahovat konkrétní povinné ustanovení: předmět a dobu trvání zpracování, povahu a účel zpracování, typ osobních údajů, kategorie subjektů údajů a povinnosti a práva správce. Musí se rovněž zabývat dílčím zpracováním, zabezpečením údajů a oznamováním narušení bezpečnosti.

Právní odůvodnění: Článek 28(3) GDPR uvádí povinný obsah DPA. Článek 28(4) GDPR vyžaduje výslovné povolení pro dílčí zpracovatele.

Skutečný světový důsledek: Agentura AP udělila sankce organizacím za najímání zpracovatelů bez odpovídajících doložek o ochraně osobních údajů. I když samotný zpracovatel splňuje požadavky, může být správci stále uložena pokuta za neuzavření řádné smlouvy.

Praktické s sebou: Použijte standardizovanou šablonu DPA, která pokrývá všechny požadavky článku 28(3). Zkontrolujte stávající smlouvy, abyste se ujistili, že jsou v souladu s GDPR. Nepřipojujte žádného nového zpracovatele bez podepsané DPA.

4. Nezákonný převod do třetích zemí mimo EHP (články 44–49 GDPR a Schrems II)

Riziko: Přenos osobních údajů mimo Evropský hospodářský prostor (EHP) je přísně omezen. Můžete tak učinit pouze tehdy, pokud cílová země poskytuje odpovídající úroveň ochrany – nebo pokud zavedete vhodná ochranná opatření.

Proč se firmy mýlí: Mnoho firem využívá cloudové služby, platební procesory nebo analytické nástroje hostované v USA nebo Asii, aniž by si uvědomovaly, že tím aktivují pravidla pro mezinárodní přenos dat. I když máte smlouvu se subjektem z EU, pokud jsou data uložena nebo k nim přistupováno mimo EHP, platí pravidla pro přenos dat.

Jedno Schrems II Rozsudek (věc C-311/18) zrušil štít EU-USA na ochranu soukromí a zdůraznil, že samotné standardní smluvní doložky (SDC) nestačí. Musíte také provést posouzení dopadu převodu (TIA), abyste vyhodnotili, zda zákony cílové země neohrožují ochranu zaručenou SCC.

Právní odůvodnění: Články 44–49 GDPR upravují mezinárodní předávání údajů. Kapitola V GDPR vyžaduje rozhodnutí o odpovídající ochraně (článek 45) nebo vhodné záruky (článek 46), jako jsou standardní smluvní doložky.

Skutečný světový důsledek: Úřad pro ochranu osobních údajů (AP) vám může nařídit pozastavení nebo zákaz přenosu údajů do třetích zemí, pokud nejsou zavedena odpovídající ochranná opatření. Společnosti čelily donucovacím opatřením a poškození pověsti za přenos údajů do USA bez provedení následného posouzení dotčeného obsahu (TIA).Schrems II.

Praktické s sebou: Identifikujte všechny přenosy dat do třetích zemí ve vašich datových tocích. Zkontrolujte, zda existuje rozhodnutí o odpovídající ochraně. Pokud ne, implementujte standardní smluvní doložky a proveďte posouzení dopadu na informace. V případě potřeby zdokumentujte doplňková opatření (např. šifrování, pseudonymizaci).

5. Neprovedení posouzení vlivu na ochranu osobních údajů (článek 35 GDPR)

Riziko: Posouzení vlivu na ochranu osobních údajů (DPIA) je povinné, pokud sdílení údajů pravděpodobně povede k vysokému riziku pro práva a svobody jednotlivců. To zahrnuje rozsáhlé zpracování zvláštních kategorií údajů, systematické monitorování nebo používání nových technologií.

Proč se firmy mýlí: Mnoho organizací považuje posouzení vlivu na ochranu osobních údajů (DPIA) za volitelné nebo relevantní pouze pro „velké“ projekty. Ve skutečnosti může sdílení zdravotních dat s analytickou platformou třetí strany, nasazení profilovacích nástrojů řízených umělou inteligencí nebo kombinování datových sad z více zdrojů vést k požadavku na DPIA.

Posouzení vlivu na ochranu osobních údajů (DPIA) není jen otázkou odškrtávání políček. Je to strukturovaný proces, který identifikuje rizika, posoudí jejich závažnost a stanoví opatření k jejich zmírnění. Pokud zbytková rizika zůstávají vysoká, musíte se před dalším postupem poradit s AP.

Právní odůvodnění: Článek 35 GDPR nařizuje posouzení vlivu na ochranu osobních údajů (DPIA) pro vysoce rizikové zpracování. AP zveřejnila pokyny, kdy je DPIA vyžadováno.

Skutečný světový důsledek: Neprovedení posouzení vlivu na ochranu osobních údajů (DPIA) v případě potřeby je samo o sobě porušením GDPR. AP udělila pokuty organizacím za pokračování ve sdílení vysoce rizikových dat bez provedení DPIA, a to i v případě, že nedošlo ke skutečnému narušení bezpečnosti dat.

Praktické s sebou: Prověřte všechny aktivity sdílení dat, zda nespouštějí spouštěče posouzení vlivu na ochranu osobních údajů. V případě pochybností prověřte posouzení. Zapojte svého pověřence pro ochranu osobních údajů (DPO) a důkladně zdokumentujte proces posouzení.

6. Nedostatečné informace pro subjekty údajů (články 13 a 14 GDPR)

Riziko: Transparentnost je základním kamenem GDPR. Kdykoli shromažďujete nebo sdílíte osobní údaje, musíte informovat subjekty údajů o tom, kdo jejich údaje obdrží, za jakým účelem a na jakém právním základě.

Proč se firmy mýlí: Oznámení o ochraně osobních údajů jsou často vágní nebo zastaralá. Fráze jako „vaše data můžeme sdílet s důvěryhodnými partnery“ nestačí. Musíte specifikovat kategorie příjemců (např. „poskytovatelé cloudového hostingu“, „marketingové agentury“) a v případě potřeby je pojmenovat.

Pokud jsou data získávána nepřímo – například od zprostředkovatele dat nebo jiného správce – článek 14 GDPR ukládá další informační povinnosti, včetně zdroje dat.

Právní odůvodnění: Články 13 a 14 GDPR uvádějí informace, které musí být poskytnuty subjektům údajů. Článek 5(1)(a) GDPR vyžaduje transparentnost ve všech činnostech zpracování.

Skutečný světový důsledek: Agentura AP udělila sankce společnostem za to, že neinformovaly jednotlivce o tom, že jejich údaje jsou sdíleny se třetími stranami. I kdyby samotné sdílení bylo zákonné, nedostatečná transparentnost je samostatným porušením.

Praktické s sebou: Zkontrolujte a aktualizujte svá oznámení o ochraně osobních údajů tak, aby jasně popisovala postupy sdílení dat. Zajistěte, aby oznámení byla snadno dostupná a napsána srozumitelným jazykem. Při sdílení dat s novými partnery aktualizujte svá oznámení před zahájením sdílení.

7. Pseudonymizace jako falešný pocit bezpečí

Riziko: Pseudonymizace – nahrazení přímých identifikátorů kódy nebo tokeny – je v rámci GDPR jako bezpečnostní opatření doporučována. Nezaručuje však anonymizaci dat. Pokud lze data stále propojit s jednotlivcem, zůstávají osobními údaji a vztahuje se na ně plná působnost GDPR.

Proč se firmy mýlí: Firmy často předpokládají, že sdílení pseudonymizovaných dat je „bezpečné“ bez omezení. V praxi pseudonymizace riziko pouze snižuje, nikoli zcela eliminuje. Pokud sdílíte pseudonymizovaná data s partnerem, který má přístup ke klíči nebo jiným datovým sadám umožňujícím opětovnou identifikaci, stále zpracováváte osobní údaje.

Právní odůvodnění: Článek 4(5) GDPR definuje pseudonymizaci. Bod 26 odůvodnění GDPR objasňuje, že pseudonymizované údaje zůstávají osobními údaji, pokud nejsou skutečně anonymizovány (tj. opětovná identifikace již není možná žádným přiměřeným způsobem).

Skutečný světový důsledek: Agentura AP ve svých pokynech objasnila, že pseudonymizace není zárukou „beztrestného úniku z vězení“. Pokud je opětovná identifikace proveditelná, platí všechny povinnosti vyplývající z GDPR, včetně právního základu, provádění posouzení vlivu na ochranu osobních údajů a zajištění odpovídající bezpečnosti.

Praktické s sebou: S pseudonymizovanými údaji zacházejte jako s osobními údaji, pokud jste neprošli přísným procesem anonymizace ověřeným odborníky. Zdokumentujte technická a organizační opatření, která jsou zavedena k zabránění opětovné identifikaci.

Často kladené dotazy

Kdy je sdílení údajů podle GDPR povoleno?

Sdílení údajů je zákonné pouze tehdy, pokud máte platný právní základ podle článku 6 GDPR. Těmito šesti právními základy je: souhlas, smluvní nezbytnost, právní povinnost, životně důležité zájmy, veřejný úkol a oprávněné zájmy. Musíte také dodržovat zásady zákonnosti, spravedlnosti, transparentnosti, omezení účelu, minimalizace údajů, přesnosti, omezení úložiště, integrity a důvěrnosti (článek 5 GDPR). V praxi to znamená jasně zdokumentovat, proč údaje sdílíte, zajistit, aby účel odpovídal důvodu, proč jste je původně shromáždili, a informovat subjekty údajů o sdílení.

Jaký je rozdíl mezi řadičem a procesorem?

A kontrolor určuje účely a prostředky zpracování osobních údajů. procesor zpracovává data jménem správce na základě konkrétních pokynů. Toto rozlišení je důležité, protože správci jsou primárně zodpovědní za dodržování GDPR, zatímco zpracovatelé mají omezenější povinnosti (zejména zajištění bezpečnosti a důvěrnosti). Pokud sdílíte data s dodavatelem, který je zpracovává na základě vašich pokynů – například s poskytovatelem mzdových služeb nebo cloudové úložné služby – obvykle se jedná o zpracovatele. Pokud také rozhodují o tom, jak data použijí pro své vlastní účely, mohou být (spolu)správci. Nesprávná identifikace rolí může vést k mezerám v odpovědnosti a společné odpovědnosti za porušení.

Kdy je smlouva o zpracování osobních údajů (DPA) povinná?

Dohoda o zpracování osobních údajů (DPA) je povinná vždy, když pověříte zpracovatele zpracováním osobních údajů vaším jménem (článek 28 GDPR). To platí bez ohledu na velikost vaší organizace nebo objem dat. Dohoda o zpracování osobních údajů musí mít písemnou formu a musí obsahovat konkrétní povinné doložky, jako je předmět a doba zpracování, povaha a účel, typy údajů a kategorie subjektů údajů a povinnosti obou stran ohledně zabezpečení, oznamování narušení a dílčího zpracování. Bez dohody o zpracování osobních údajů v souladu s dohodou porušujete smlouvu od okamžiku, kdy zpracovatel zahájí zpracování, i když nevzniká žádná újma.

Mohu sdílet zákaznické údaje se stranou mimo EU?

Ano, ale pouze pokud jsou splněny přísné podmínky. Podle článků 44–49 GDPR můžete převést údaje do třetí země, pokud: (a) Evropská komise vydala pro danou zemi rozhodnutí o odpovídající ochraně, nebo (b) jste zavedli vhodná ochranná opatření, jako jsou standardní smluvní doložky. V návaznosti na Schrems II V rámci rozsudku musíte také provést posouzení dopadu přenosu (TIA), abyste vyhodnotili, zda zákony cílové země (např. vládní dohled) ohrožují ochranu zaručenou standardními smluvními doložkami. Pokud rizika přetrvávají, musíte zavést doplňková opatření, jako je šifrování nebo minimalizace dat. Převody bez odpovídajících záruk mohou vést k donucovacím opatřením ze strany AP, včetně pozastavení přenosu.

Kdy je pro sdílení dat vyžadováno posouzení vlivu na ochranu osobních údajů (DPIA)?

Posouzení vlivu na ochranu osobních údajů (DPIA) je podle článku 35 GDPR povinné, pokud zpracování pravděpodobně povede k vysokému riziku pro práva a svobody jednotlivců. To zahrnuje: rozsáhlé zpracování zvláštních kategorií údajů (např. zdravotních, biometrických, genetických údajů), systematické monitorování veřejně přístupných oblastí, automatizované rozhodování s právními nebo podobně významnými důsledky a používání nových technologií. Při sdílení dat je DPIA často vyžadováno, pokud kombinujete datové sady, sdílíte citlivé informace nebo používáte data pro profilování nebo analýzy založené na umělé inteligenci. Agentura AP zveřejnila seznam operací zpracování, které vyžadují posouzení vlivu na ochranu osobních údajů. V případě pochybností ho proveďte – je lepší být v bezpečí než litovat.

Jaké pokuty mohou firmy dostat za porušení GDPR?

GDPR stanoví dvě úrovně pokut. Nižší úroveň – až do výše 10 milionů EUR nebo 2 % celosvětového ročního obratu – se vztahuje na porušení, jako je neimplementace vhodných bezpečnostních opatření nebo neprovedení posouzení vlivu na ochranu osobních údajů (DPIA), když je to vyžadováno. Vyšší úroveň – až do výše 20 milionů EUR nebo 4 % celosvětového ročního obratu – se vztahuje na závažnější porušení, včetně absence právního základu pro zpracování, nezákonných mezinárodních přenosů nebo porušení práv subjektů údajů. April Asset Commission (AP) určuje výši pokuty na základě faktorů, jako je povaha a závažnost porušení, zda bylo úmyslné nebo nedbalé, počet dotčených osob a veškerá přijatá zmírňující opatření. Nedávné vymáhání ukazuje, že AP je ochoten ukládat značné pokuty, zejména za systémová nebo úmyslná porušení.

Je sdílení pseudonymizovaných dat vždy bezpečné?

Ne. Pseudonymizace snižuje riziko, ale neodstraňuje ho. Podle článku 4(5) GDPR pseudonymizace znamená nahrazení přímých identifikátorů (jako jsou jména) kódy nebo pseudonymy. Pokud však lze data stále propojit s jednotlivcem – například s použitím dalších informací, které máte vy nebo příjemce k dispozici – zůstávají osobními údaji a plně podléhají GDPR. To znamená, že stále potřebujete právní základ, musíte informovat subjekty údajů a musíte zajistit odpovídající zabezpečení. Pouze skutečná anonymizace – kdy opětovná identifikace již není možná žádným rozumným způsobem – vylučuje data z působnosti GDPR. V praxi je dosažení skutečné anonymizace obtížné a vyžaduje odborné ověření.

Co mám dělat, když dojde k úniku dat z mé firmy v důsledku nezákonného sdílení dat?

Pokud zjistíte únik osobních údajů – včetně úniku způsobeného nezákonným sdílením údajů – máte 72 hodin informovat AP podle článku 33 GDPR (pokud je nepravděpodobné, že by porušení představovalo riziko pro práva a svobody jednotlivců). Musíte také bez zbytečného odkladu informovat dotčené osoby, pokud je pravděpodobné, že by pro ně porušení představovalo vysoké riziko (článek 34 GDPR). Mezi okamžité kroky patří: omezení porušení, posouzení jeho rozsahu a dopadu, zdokumentování toho, co se stalo a co s tím děláte, a informování AP prostřednictvím jejího online portálu. Neoznámení může vést k samostatné pokutě. AP posoudí, zda jsou donucovací opatření oprávněná, na základě závažnosti porušení a vaší reakce.

Chraňte svou firmu – získejte odborné právní poradenství

Sdílení dat je nevyhnutelné, ale porušení GDPR být nemusí. Sedm výše uvedených rizik není teoretických – vychází ze skutečných případů vymáhání práva, soudních rozhodnutí a regulačních pokynů. Každé z nich může vést k pokutám, nárokům z titulu odpovědnosti a poškození pověsti.

Dobrá zpráva? Se správným právním rámcem, jasnou dokumentací a proaktivními opatřeními v oblasti dodržování předpisů můžete sdílet data s jistotou a v souladu se zákonem. Správné sdílení však vyžaduje více než jen obecné rady – vyžaduje to právní podporu na míru, která rozumí vašemu podnikání, vašim datovým tokům a specifickým rizikům, kterým čelíte.

Nečekejte, až vám přístupový kód zaklepe na dveře. Pokud si nejste jisti, zda jsou vaše postupy sdílení dat v souladu s GDPR, nebo pokud potřebujete pomoc s vypracováním DPA, provedením DPIA nebo správou mezinárodních přenosů, kontaktujte specializovaného právníka na ochranu osobních údajů. Vaše firma – a vaši zákazníci – si nezaslouží nic menšího.