Jak udělat školení GDPR o zpracování osobních údajů pro vaše zaměstnance

Pokud vy, jako živnostník (OSVČ), nebo firma (právnická osoba), zpracováváte osobní údaje fyzických osob, měli byste se nechat proškolit, jak s těmito daty zacházet. Pokud totiž budete porušovat nařízení GDPR, hrozí vám pokuta ve výši až 20 milionů EUR, popř. 4 % z vašeho celkového obratu. Přečtěte si proto, jak udělat školení GDPR o zpracování osobních údajů pro vás, ale i vaše zaměstnance.

Jak proškolit zaměstnance v GDPR?

Pokud zpracováváte osobní a citlivé údaje fyzických osob, například vašich klientů, je pro vaše podnikání velmi důležité znát alespoň základní informace o GDPR. Uspořádejte proto pro vaše zaměstnance školení, které jim přiblíží jejich povinnosti při zpracování osobních údajů. Připravili jsme pro vás obecný návod, co vše by mělo takové školení obsahovat. Berte ale prosím v potaz, že se jedná pouze o základní obecné informace. U některých oborů mohou být totiž povinnosti v oblasti GDPR o něco složitější, což může vyžadovat podrobnější školení o problematice.

Tip: Pokud nemáte čas na přípravu konkrétní osnovy pro školení o ochraně osobních údajů, můžete využít naše online školení GDPR.

Jaké minimum byste tedy měli o GDPR vědět, a co by mělo obsahovat základní školení pro vás či vaše zaměstnance?

1. Co je GDPR
2. Co jsou osobní údaje
3. Kdo je subjekt, správce a zpracovatel
4. Jaké jsou zásady zpracování osobních údajů
5. Jaký je důvod zpracování osobních údajů
6. Práva subjektů osobních údajů

1. Co je GDPR

„Každý zaměstnanec, který přijde do styku s osobními údaji a týká se ho GDPR, by měl mít základní povědomí o tom, co toto nařízení vlastně znamená, koho se týká a jaký je jeho cíl. Tyto obecné informace by měly odstartovat školení GDPR.“

GDPR je zkratka z anglického General Data Protection Regulation, česky Obecné nařízení o ochraně osobních údajů. Jedná se o právní rámec, který hájí práva všech občanů Evropské unie proti neoprávněnému zacházení s jejich osobními údaji.

Tato legislativa nabyla účinnosti 25. 5. 2018 a týká se úplně všech oblastí činnosti, ve kterých dochází ke zpracování osobních údajů fyzických osob. Toto nařízení se tedy týká úplně všech podnikatelských subjektů, jak velkých firem, tak živnostníků, kteří zpracovávají osobní údaje fyzických osob.

Cílem GDPR je zajistit lepší jednotnost pravidel ochrany osobních údajů ve státech EU, Islandu, Norska a Lichtenštějnska. Regulátorem pro Českou republiku je Úřad pro ochranu osobních údajů (ÚOOÚ).

2. Co jsou osobní údaje

„Každý, kdo přijde do styku s osobními údaji a citlivými osobními údaji, musí bezpodmínečně vědět, jaký je mezi nimi rozdíl. Citlivé osobní údaje totiž podléhají při jejich zpracování mnohem přísnějšímu režimu, než obecné osobní údaje. Tento bod je druhým nejdůležitějším při základním školení GDPR pro vaše zaměstnance.“

Osobní údaje jsou všechny informace, které se vztahují k identifikované či identifikovatelné fyzické osobě. Mezi tyto údaje patří například:

• jméno,
• pohlaví,
• věk a datum narození,
• osobní stav,
• identifikační číslo,
• lokační údaje,
• síťový identifikátor,
• e-mail,
• fotografie,
• a jakékoliv další údaje, na jejichž základě lze osobu identifikovat.

Citlivé osobní údaje jsou druhou zvláštní kategorií osobních údajů. Mezi ně patří například:

• rasový či etnický původ,
• politický názor,
• náboženské nebo filozofické vyznání,
• členství v odborech,
• zdravotní stav,
• sexuální orientace,
• trestní delikt,
• pravomocné odsouzení,
• genetické údaje,
• biometrické údaje,
• osobní údaje dětí.

3. Kdo je subjekt, správce a zpracovatel

„Rozdíl mezi subjektem, správcem a zpracovatelem osobních údajů je základním předpokladem k rozklíčování toho, kdo má v GDPR jakou úlohu a povinnosti. Zařaďte proto tyto informace do vašeho školení o ochraně osobních údajů.“

Subjekt osobních údajů je fyzická osoba, které se osobní údaje týkají. Pozor, nejedná se nikdy o právnickou osobu, tedy firmu, ale vždy jen o fyzickou osobu - člověka.

Správce osobních údajů je fyzická nebo právnická osoba, která určuje, za jakým účelem a jak se osobní údaje zpracovávají.

Zpracovatel osobních údajů je fyzická nebo právnická osoba, například účetní, právní kancelář, externí IT správce, cloudový systém apod., kterého si najímá správce osobních údajů, aby pro něj realizoval zpracovatelské operace (ukládání, zaznamenávání, vyhledávání, třídění, likvidaci apod.). Zpracovatel tedy zpracovává osobní údaje jménem správce osobních údajů.

4. Jaké jsou zásady zpracování osobních údajů

„Nařízení GDPR má šest základních kamenů, na kterých je postaveno. Měli byste je určitě zařadit do základního školení zaměstnanců o Obecném nařízení o ochraně osobních údajů a vysvětlit jim jejich přesný význam.“

• Zákonnost, korektnost a transparentnost
• Omezení účelu
• Minimalizace údajů
• Přesnost
• Omezení uložení
• Integrita a důvěrnost

5. Jaký je důvod zpracování osobních údajů

„Každý, kdo zpracovává osobní údaje fyzických osob, k tomu musí mít právní důvody. Je to zcela nezbytný předpoklad k tomu, aby správce osobních údajů mohl provádět zpracování zcela legálně a v souladu s nařízením GDPR. Informujte proto o této skutečnosti vaše zaměstnance při školení.“

Osobní údaje můžete zpracovávat pouze v případě, splníte-li minimálně jeden z těchto právních důvodů:

• fyzická osoba vám udělila souhlas se zpracováním pro jeden nebo více účelů,
• zpracování údajů je nezbytné pro uzavření a plnění smluvního vztahu,
• zpracování údajů je nezbytné pro plnění právních povinností vztahujících se na správce osobních údajů,
• zpracování údajů je nezbytné pro realizaci úkolů, které jsou ve veřejném zájmu,
• zpracování údajů je nezbytné k ochraně životně důležitých zájmů subjektu údajů,
• zpracování údajů je nezbytné pro účely oprávněných zájmů správce údajů.

6. Práva subjektů osobních údajů

„Každý subjekt osobních údajů má svá práva týkající se zpracování jeho osobních dat. Ty musí každý správce dodržovat. Při školení o GDPR je nutné tato práva zmínit.“

Právo být informován o zpracování osobních údajů je právem každého subjektu, tedy fyzické osoby, jejíž osobní údaje jsou zpracovávány. Správce osobních údajů je tak povinen poskytnout fyzické osobě informace o tom, jaké údaje o ní zpracovává, a to nejpozději do 30 dnů od obdržení žádosti.

Právo na přístup k osobním údajům představuje právo subjektu na to získat potvrzení od správce, zde nějaké údaje zpracovává. Pokud ano, má subjekt právo získat přístup k těmto údajům.

Právo na opravu nebo doplnění osobních údajů má každý subjekt, o kterém správce data zpracovává. Může si nechat doplnit nepřesné nebo neúplné údaje.

Právo na vymazání osobních údajů je dalším velmi důležitým právem každého subjektu. Fyzická osoba tak může požádat správce o vymazání jeho osobních údajů, a správce má povinnost je bez zbytečného odkladu vymazat.

Další práva subjektů představují například:

• právo na přenositelnost,
• právo na omezení zpracování údajů,
• právo vznést námitku proti zpracování údajů.