Krátka odpoveď
Samotné práva sa v tomto roku nemenia. Právo na prístup, opravu, výmaz, obmedzenie spracovania, námietku a prenosnosť sú obsiahnuté v samotnej GDPR a tento text sa neprepracovávava každoročne. Čo sa posúva, je spôsob, akým tieto požiadavky prichádzajú do firiem a ako dohľadné orgány a Európsky výbor pre ochranu údajov (EDPB) k nim vydávajú pokyny. Pre riaditeľa alebo manažéra ľudských zdrojov to znamená zmenu v praxi, aj keď sa nemení samotný zákonný text.
To neznamená, že nemusíte nič sledovať. Usmernenia Úradu na ochranu osobných údajov a EDPB sa pravidelne dopĺňajú, napríklad o tom, ako si overíte totožnosť žiadateľa alebo ako riešite požiadavku, ktorá sa dostane cez chat alebo sociálne siete. Tieto doplnenia nie sú nový zákon, ale presnejšie vyjasnenie existujúcej povinnosti.
Čo sa v samotnom zákone nemení
Podstata zostáva nezmenená: dotknutá osoba sa môže pýtať, aké údaje o nej spracovávate, môže si dať opraviť nesprávne údaje a za určitých podmienok sa môže domáhať výmazu. Lehota, v ktorej musíte reagovať, je stanovená v samotnej GDPR a nie je predmetom ročného prehodnotenia. Firmy, ktoré si myslia, že v tomto roku bola zavedená nová, kratšia alebo dlhšia lehota na odpoveď, to pravdepodobne zamieňajú s internými dohodami alebo s komunikáciou, ktorá sa netýka samotného zákonného textu.
Aj výnimky, ako je zákonná povinnosť uchovávať údaje, ktorá bráni ich výmazu, zostávajú nezmenené. Čo sa môže posunúť, je to, ako striktne dohľadné orgány tieto výnimky interpretujú vo svojich pokynoch. Nejde o zmenu zákona, ale môže to znamenať, že zdôvodnenie, ktoré bolo dostatočné minulý rok, musí byť v tomto roku zaznamenané presnejšie.
Čo sa v tomto roku skutočne mení
Tri vývoje sú relevantné pre malé a stredné podniky, bez toho, aby sa zákon sám zmenil. Po prvé, požiadavky sa čoraz častejšie dostávajú digitálne, prostredníctvom kontaktného formulára, chatbota alebo odpovede na sociálnych médiách, namiesto listu. To nemení vôbec nič na povinnosti, ale zmení otázku toho, či je požiadavka rozpoznaná ako formálna požiadavka a či včas dorazí ku správnej osobe v organizácii.
Po druhé, rastie pozornosť na požiadavky týkajúce sa automatizovaného spracovávania, napríklad keď sa údaje použili na vytvorenie profilu alebo keď AI nástroj poskytol vstup na rozhodnutie. EDPB túto tému pravidelne ďalej spracováva. Firmy, ktoré používajú AI nástroje na kontakt so zákazníkom alebo hodnotenie zamestnancov, by si preto mali uvedomiť, aké údaje sa v nich nachádzajú, skôr ako príde požiadavka. To priamo súvisí s otázkami, ktoré sa točia okolo GDPR a AI nástroje v praxi.
Po tretie, je vedená širšia diskusia o hodnotení GDPR ako celku na európskej úrovni. Pozerá sa na to, či by sa pravidlá pre menšie organizácie mohli zjednodušiť, ale konkrétne zmeny zákonov v súčasnosti nie sú prijaté. Čo ešte nie je určité, uvádzame tu aj ako také: nie je známy definitívny dátum ani obsah a špekulácie o tom nepomôžu podnikateľovi ďalej.
Pre koho je to dôležité
Tieto posuny sa týkajú najmä organizácií, ktoré majú veľa kontaktných momentov so zákazníkmi alebo zamestnancami: kancelária so zákazníckou službou, inštalačná firma s formulárom ponuky na webovej stránke, alebo oddelenie ľudských zdrojov, ktoré spracováva údaje z výberov. Čím viac kanálov, cez ktoré sa niekto môže skontaktovať, tým väčšia je šanca, že požiadavka príde niekde bez toho, aby ju niekto rozpoznal ako formálnu požiadavku v zmysle GDPR. Nejde o právne riziko, ktoré by sme tu hodnotili, ale o praktický bod, ktorý stojí za to interný diskusiu.
Rovnako relevantný je vzťah s vašimi dohodami so spracovateľmi: ak si zákazník podá žiadosť u vás, ale údaje sa nachádzajú u externého poskytovateľa SaaS, musí tento poskytovateľ vedieť spolupracovať na prístupe alebo vymazaní. Či je to náležitým spôsobom dohodnuté v zmluve, môžete overiť pomocou často kladených otázok o dohodách so spracovateľmi a nástrojoch SaaS.
Ako to sledovať bez toho, aby ste to museli zakaždým riešiť znova
Pretože text zákona je stabilný, ale jeho výklad sa posúva, je predovšetkým dôležité vedieť, odkiaľ pochádza aktuálny stav a kedy sa mení. gdpria.eu spája každú tému s miestom v GDPR a s usmerneniami EDPB a Úradu na ochranu osôb. Tým pádom nemusíte sami sledovať, či sa niečo zmenilo. V prípade podozrenia na únik údajov môžete napríklad najskôr v niekoľkých otázkach overiť vašu situáciu, predtým ako podniknete ďalšie kroky.
Chcete vedieť, ako sa tento druh informácií vedie a odkiaľ pochádza zdroj? Vykonajte bezplatnú rýchlu kontrolu alebo prejdite témami v znalostnej základni a rozhodnite sami, či je potrebný ďalší krok.