Jak zvládnout GDPR v malé živnosti a nenaletět na mýty

Slovo GDPR vyvolává u živnostníků obavy z pokut a papírování. Kolem nařízení vznikla řada mýtů, které prodávají drahé šablony a zbytečné služby. Skutečné povinnosti malého podnikatele jsou menší, ale nulové nejsou. Níže najdete pět nejčastějších omylů a to, co platí místo nich. Text je obecný, nenahrazuje právní poradenství.

Omyl 1: GDPR se týká jen velkých firem

Nařízení se vztahuje na každého, kdo zpracovává osobní údaje, tedy i na živnostníka. Stačí vést seznam zákazníků s jmény a telefony. Velikost firmy rozhoduje spíš o rozsahu povinností než o tom, zda platí.

Pro malé podniky platí některé úlevy, třeba u rozsáhlé dokumentace. Nejde ale o výjimku z celého nařízení. Základní zásady platí vždy.

Co platí doopravdy: zpracovávejte jen údaje, které potřebujete, jen na nezbytnou dobu a zabezpečte je. Tento přístup stačí jako výchozí bod. Je to spíš pořádek než byrokracie.

Omyl 2: souhlas potřebujete vždycky

Souhlas je jen jeden z právních důvodů. Údaje pro vystavení faktury nebo plnění smlouvy zpracováváte bez souhlasu. Zákon vám to ukládá nebo to vyplývá ze smlouvy.

Souhlas potřebujete třeba pro zasílání marketingových zpráv, pokud neplatí jiná výjimka. Musí být svobodný, konkrétní a prokazatelný. Předzaškrtnuté políčko nestačí.

Prakticky si ke každému typu údajů napište důvod, proč je zpracováváte. Pokud důvod není, údaje nesbírejte. Tím se zbavíte i nepotřebných formulářů.

Omyl 3: stačí šablona z internetu

Šablona může pomoci, ale sama nic nezajistí. Pokud popisuje procesy, které u vás neexistují, je k ničemu. Při kontrole by se ukázalo, že dokument neodpovídá skutečnosti.

Lepší je jednoduchý přehled: jaké údaje sbíráte, proč, kde jsou uloženy, komu je předáváte a jak dlouho je držíte. Může to být jedna tabulka. Aktualizujte ji, když se změní nástroje.

Do přehledu patří i dodavatelé, kteří údaje zpracovávají za vás, například účetní nebo e-mailová služba. S nimi uzavřete smlouvu o zpracování, pokud to nařízení vyžaduje. Většina dodavatelů ji nabízí.

Omyl 4: pokuta přijde hned a vždy vysoká

Dozorový úřad, v Česku Úřad pro ochranu osobních údajů, při ukládání sankcí přihlíží k závažnosti, úmyslu a spolupráci. Nejde o automatické pokuty. Často začíná výzvou k nápravě.

Neznamená to, že je můžete ignorovat. Při úniku údajů máte povinnost hlásit incident úřadu, obvykle do 72 hodin od zjištění, pokud hrozí riziko pro osoby. Zanedbání hlášení je samostatný problém.

Připravte si jednoduchý postup pro případ ztráty telefonu nebo notebooku. Zabezpečení heslem a šifrování výrazně snižuje riziko. Zálohy ukládejte odděleně.

Omyl 5: kamery a fotky jsou mimo pravidla

Kamera v provozovně zachycuje osoby, a jde tedy o osobní údaje. Musíte mít důvod, informovat o ní viditelným upozorněním a omezit dobu uchování záznamu. Nelze snímat prostory, kde se lidé důvodně nechtějí nechat sledovat.

Fotografie zákazníků na webu nebo sociálních sítích vyžadují obvykle jejich souhlas. Souhlas si uložte. Stejně to platí u referencí s plným jménem.

Zaměstnanci mají v této oblasti zvláštní postavení. Pokud máte zaměstnance, řešte dohled nad nimi opatrně. Zde je vhodné konzultovat s odborníkem.

Co skutečně udělat v malé živnosti

Sepište přehled údajů, ověřte právní důvody, zabezpečte zařízení a doplňte informaci pro zákazníky. Informace o zpracování může být krátká stránka na webu nebo text v e-shopu. Důležité je, aby byla srozumitelná.

Pravidelně mažte údaje, které už nepotřebujete. Stará data jsou riziko, ne bonus. Určete lhůty podle toho, co vám ukládá zákon, například u účetních dokladů.

Pokud si nejste jistí, využijte bezplatné metodiky úřadu nebo svazu podnikatelů. Placenou službu volte, jen když rozumíte, co dostanete. Dobrý poradce se ptá na váš skutečný provoz.

Časté otázky

Musí živnostník jmenovat pověřence pro ochranu údajů?

Obvykle ne. Pověřenec je povinný jen v určitých případech, třeba u rozsáhlého sledování osob nebo zpracování citlivých údajů ve velkém. Malá živnost to splňuje výjimečně.

Mohu používat e-mailovou adresu zákazníka k reklamě?

Záleží na okolnostech. Pro obchodní sdělení platí zvláštní pravidla, která umožňují oslovení stávajících zákazníků u podobného zboží za podmínky snadného odmítnutí. Jinak potřebujete souhlas.

Co dělat, když mi zákazník požádá o výmaz údajů?

Posuďte, zda máte povinnost údaje uchovat, například kvůli daňovým dokladům. Pokud ne, smažte je a zákazníka informujte. Odpovědět musíte bez zbytečného odkladu, obvykle do měsíce.

Zdroje

• Úřad pro ochranu osobních údajů
• Nařízení Evropského parlamentu a Rady (EU) 2016/679