GDPR v malé firmě bez právničiny: co opravdu musíte mít

GDPR straší malé firmy už léta, přitom základ zvládnete bez armády právníků. Přehledně: jaké povinnosti se vás týkají, co je mýtus a kde začít.

GDPR se týká i vás, ale ne tak, jak se povídá

Obecné nařízení o ochraně osobních údajů (GDPR) platí od května 2018 a vztahuje se na každou firmu, která pracuje s osobními údaji, tedy prakticky na každou: máte zaměstnance, zákazníky, dodavatele. Kolem GDPR ale narostla spousta strašáků. Realita pro malou firmu je střízlivější: jde hlavně o pořádek v tom, jaké údaje máte, proč je máte a jak je chráníte. Žádná magie, spíš zdravý rozum s dokumentací.

Evidence: vědět, co o lidech víte

Základní dokument je záznam o činnostech zpracování. Je to přehled, jaké osobní údaje zpracováváte, za jakým účelem, jak dlouho je uchováváte a kdo k nim má přístup. U malé firmy jde typicky o personalistiku, fakturaci, databázi zákazníků a třeba kamerové záznamy. Sepsání zabere odpoledne a vyplatí se dvojnásob: donutí vás zjistit, kde všude data leží, a přestat schraňovat údaje, které k ničemu nepotřebujete.

Souhlasy: potřebujete jich míň, než myslíte

Největší mýtus zní, že na všechno potřebujete souhlas. Opak je pravdou. Většina zpracování stojí na jiných právních základech: plnění smlouvy (fakturace, dodání zboží), zákonná povinnost (účetnictví, mzdy) nebo oprávněný zájem (přiměřený marketing vůči stávajícím zákazníkům). Souhlas je až poslední možnost, typicky pro newsletter lidem, kteří u vás nikdy nenakoupili. A vyžádaný souhlas musí být dobrovolný a kdykoli odvolatelný, protože vynucený souhlas je bezcenný.

Zabezpečení: GDPR je z poloviny o IT

Nařízení požaduje „vhodná technická a organizační opatření". V praxi to znamená šifrování a zálohy, řízení přístupů (účetní nepotřebuje vidět personální složky), aktuální systémy, silná hesla s vícefaktorovým ověřením a smlouvy o zpracování s dodavateli, kteří k datům přistupují. U dat v cloudu se ptejte, kde fyzicky leží. MagnaCloud provozujeme na vlastních serverech v ČR, což odpověď hodně zjednodušuje.

Velkou část požadavků GDPR plní technika: přístupová práva, šifrování, logy, retence. Nastavení téhle části je součástí externí správy IT.

Únik dat: 72 hodin na ohlášení

Když dojde k porušení zabezpečení (ukradený notebook, ransomware, e-mail odeslaný špatnému příjemci), máte povinnost do 72 hodin ohlásit incident Úřadu pro ochranu osobních údajů, pokud představuje riziko pro dotčené osoby. Při vysokém riziku informujete i samotné lidi. Proto se vyplatí mít předem jasno, kdo incident posoudí a ohlásí. Podrobný postup první hodiny po útoku najdete v našem krizovém manuálu.

Kde začít, ať to nebolí

Shrnuto: sepište evidenci zpracování, ověřte právní základy, přidejte zásady ochrany údajů na web, uzavřete zpracovatelské smlouvy a dotáhněte technické zabezpečení. Právě s tou poslední a nejpracnější částí umíme v MAGNAPRO pomoct nejvíc: zálohy, přístupy, šifrování i bezpečný cloud. Ozvěte se nám a projdeme, jak je na tom vaše firma, bez právničiny a bez strašení.

Nezávazná poptávka  ← Zpět na blog