Vyplývá to z průzkumu společnosti Cisco. Dalších 29 % očekává plnou implementaci Nařízení během jednoho roku, 9 % bude potřebovat více než 12 měsíců. Tři procenta firem pak vůbec neočekávají, že budou schopni požadavky Nařízení splnit. Nejpřipravenější jsou podle výzkumu společnosti ve Španělsku a Itálii.
Z průzkumu dále vyšlo najevo, že zákazníci při nákupech po internetu stále více zohledňují, jak daný e-shop nakládá s osobními údaji. A tak podniky, které se včas a dostatečně na Nařízení připravily, sledují větší míru opakování nákupů než podniky, které náležitosti Nařízení nesplňují. Konkrétně se jedná o 5,4 nákupu za měsíc u připravených firem oproti 3,4 nákupům u podniků, které si s Nařízením nelámou hlavu. Mimo tento fakt pak 75 % respondentů uvedlo, že řádná implementace Nařízení jim pomohla zvýšit provozní efektivitu, získali vyšší akceschopnost reagovat na přání zákazníků, což v konečném důsledku znamená významnou konkurenční výhodu oproti nepřipraveným soupeřům na trhu. Splnění náležitostí Nařízení se samozřejmě podepsalo i na bezpečnosti dat. Připravené společnosti při bezpečnostních incidentech zaznamenávají kratší odstávku systému a nižší počet narušených dat. Těmto firmám také hrozí menší škoda než podnikům, které se dostatečně nepřipravily.
Za největší výzvu označili respondenti výzkumu splnění požadavků na ochranu dat, dále interní školení zaměstnanců a potřebu neustálé bdělosti v oblasti IT vzhledem ke stále měnícímu se právnímu vývoji.
T-Mobile doposud neinformoval své zákazníky o úniku osobních údajů. Ten přitom proběhl již v roce 2016.
Masivní únik týkající se 1,5 miliónů klientů společnosti T-Mobile, který vědomě způsobil bývalý zaměstnanec T-Mobile, se stal již před téměř třemi roky. I tak ovšem T-Mobile doposud nesplnil svou informační povinnost vůči dotčeným klientům. T-Mobile uvedl, že nebylo možné klienty informovat, neboť byl vázán slibem mlčenlivosti, který se vztahoval na probíhající vyšetřování. To ale skončilo nakonci minulého roku. I přes to T-Mobile stále své klienty neinformoval a pouze vydal prohlášení, že došlo ke zpřísnění interních postupů při práci s osobními údaji. Únik se týkal mj. i osobních údajů vypovídajících o majetkových poměrech klientů.
Povinnost informovat dotčené subjekty zavedlo až Nařízení GDPR. Do doby jeho účinnosti byla praxe v oblasti telekomunikací taková, že v případě bezpečnostního incidentu týkajícího se osobních údajů stačilo vyrozumět pouze Úřad na ochranu osobních údajů. Od 25. 5. 2018 nicméně pro všechny platí povinnost informovat i dotčené subjekty osobních údajů, pakliže je pravděpodobné, že takováto situace bude mít za následek vysoké riziko pro práva a svobody dotčených osob.
Facebook lobboval po celém světě proti zákonům na ochranu osobních údajů a soukromí.
Vyplývá to z interních dokumentů Facebooku, které zveřejnil britský časopis The Observer a které patrně unikly v rámci soudního procesu mezi Facebookem a společností Six4Three. Z těchto dokumentů lze vyčíst globální lobbistickou operaci, která cílila na zákonodárce a regulátory po celém světě, od USA přes Brazílií až po Vietnam. Výjimkou samozřejmě nebyla ani Evropská Unie a její Nařízení GDPR. Tuto právní úpravu během její přípravy Facebook považoval za ,,příliš omezující‘‘, a proto se snažil ovlivnit přední politiky států EU. Mezi nimi byl například ministr financí Velké Británie George Osborne. Tématem jedné z jeho schůzek s provozní ředitelkou Facebooku Sheryl Sandberg měla být investice ze strany Facebooku do vládního projektu Tech City, výměnou za důraznější aktivitu britského ministra a celé vlády při vytváření Nařízení GDPR. Ještě dál pak zašla komunikace představitelů Facebooku s někdejším irským premiérem Endou Kennym, který slíbil využít vliv vyplývající z tehdejšího předsednictví Irska v Radě Evropské unie při vytváření finální podoby Nařízení GDPR.
A reakce Facebooku? Mluvčí společnosti sdělil, že uniklé dokumenty stále podléhají ochrannému opatření probíhajícího soudního sporu a dodal, že se jedná jen o polovinu příběhu bez znalosti kontextu jednotlivých situací.
Úřad na ochranu osobních údajů zveřejnil v rámci své výroční zprávy provedené kontroly za uplynulý rok. Níže uvádíme shrnutí jedné z nich, byť se v tomto případě Úřad řídil zákonem č. 101/2000 Sb., který bude v dohledné době nahrazen zákonem novým. Daná kontrola je nicméně zajímavá, neboť se týká plnění povinností zaměstnavatele jakožto správce osobních údajů.
Kontrola byla provedena na základě podnětu zaměstnanců společnosti a ve spolupráci s Policií ČR, která Úřadu postoupila příslušné dokumenty. Obsahem zmíněného podnětu byl únik osobních údajů zaměstnanců z personální dokumentace. Předmětem kontroly tak bylo zejména dodržování povinností správce dle zákona č. 101/2000 Sb.
Úřadem bylo v rámci kontroly zjištěno, že i když zákoník práce neobsahuje taxativní výčet údajů, které má osobní spis zaměstnance obsahovat, dá se z něj vyvodit, že rozsah zpracovaných osobních údajů má odpovídat stanovenému účelu zpracování. V souvislosti s výše uvedeným bylo zjištěno, že kontrolovaná osoba zpracovávala v rámci personálních spisů nadbytečné osobní údaje a osobní údaje, k jejímž zpracování neměla patřičný účel a právní titul.
Kontrolovaná osoba pak mj. zpracovávala velké množství kopií osobních dokladů zaměstnanců – např. občanského průkazu, rodného listu, průkazu pojištěnce, kopie výpisu z evidence rejstříku trestů fyzických osob apod.
Úřadem bylo k této skutečnosti konstatováno, že i když je povinností zaměstnance doložit dané skutečnosti, není možné, aby správce po předložení těchto dokladů zaměstnancem následně zpracovával jejich kopie. Dále bylo zjištěno, že kontrolovaná osoba vedle kopií občanských průkazů zpracovává i skenované fotografie zaměstnanců a kopie rodných listů jejich dětí. Úřad uvedl, že i kdyby kontrolovaná osoba zpracovávala tyto osobní údaje na základě souhlasu subjektu údajů, není možné takto činit bez odpovídajícího účelu zpracování. Kontrolou tak bylo konstatováno, že došlo ke shromažďování osobních údajů neodpovídajících stanovenému účelu, a že kontrolovaná osoba nedisponovala právním titulem.
Úřad v rámci kontroly uvedl, že kontrolovaná osoba nepřijala dostatečná opatření, neboť nedokázala zabránit úniku osobních údajů 62 svých zaměstnanců. Dále bylo Úřadem zjištěno, že kontrolovanou osobou využívané automatizované systémy nejsou vybaveny systémem logování a není tedy možné určit a ověřit, kdy a kým byly osobní údaje zaznamenány nebo jinak zpracovány. Tím tak kontrolovaná osoba neplnila svou povinnost dle § 13 odst. 4 písm. c) zákona č. 101/2000 Sb.
Ve věci bylo následně vedeno řízení o uložení opatření k odstranění zjištěných nedostatků, na jehož základě byla uložena pokuta ve výši 180 000 Kč.
Věděli jste, že…
… podmíněným souhlasem se rozumí spojení souhlasu s poskytnutím určité služby, ke které nejsou udělené osobní údaje třeba? Proto např. nesmí e-shop podmiňovat souhlas s marketingem k provedení obchodu.
Pokud si nevíte s problematikou GDPR rady, neváhejte se obrátit na naši obchodní společnost.