Do účinnosti GDPR zbývá ještě 8 měsíců. Zdá se, že pro organizace v České republice je tato doba příliš vzdálená, neboť povinnosti vyplývajícími z nařízení zatím podceňují. Přitom ve správě osobních dat se chystá zásadní revoluce a je zjevné, že každá organizace zpracovávající osobní údaje (lhostejno jestli zaměstnanců, zákazníků, najímaných pracovníků, či jiných fyzických osob) bude muset plnit nová přísná pravidla, jejichž nedodržení bude striktně sankcionováno. Je až zarážející, jak společnosti, státní instituce nebo spolky v České republice přípravu na GDPR (ne)řeší. Přitom zpracovatelé osobních údajů musí být s GDPR ke dni jeho účinnosti v souladu, nikoliv jen zahajovat přípravy. Průzkumy ukazují, že zpracovatelé v sousedním Německu v mnohých případech finišují s přípravami, přičemž vymáhání povinností vyplývajících z nařízení u nich bude stejné jako u nás.
Typickým příkladem podcenění je hledání pověřenců pro ochranu osobních údajů. Toho mají povinnost jmenovat orgány veřejné moci, společnosti zpracovávající velké množství údajů fyzických osob, resp. organizace, které zpracovávají tzv. zvláštní osobní údaje, typicky se jedná o zdravotnická zařízení, účetní firmy, call centra, úřady či společnosti s počtem zaměstnanců přesahujícím 250 osob, ale také třeba také e-shopy, integrované registry a mnoho dalších. Jinak řečeno, obchodní společnosti i organizace budou muset mít od 25.5.2018 k dispozici konkrétní osobu, která se bude starat o problematiku osobních údajů. Jaké budou na tyto osoby nároky? GDPR pro pověřence nestanovuje konkrétní požadavky co do typu vzdělání, nicméně uvádí, že by mělo jednat o člověka nezávislého na procesech v organizaci se znalostí právních předpisů v problematice ochrany osobních údajů, odbornou znalostí v IT, znalostmi z personalistiky a dostatečnými zkušenostmi v předmětné problematice. Jedná se tedy o celý komplex požadavků, který musí daná osoba splňovat.
Pravděpodobně si kladete otázku, kde takovou osobu hledat a zda ji budete muset zaměstnávat. Existují dvě základní možnosti, tedy mít pověřence interního a externího. Každá z variant má své klady a zápory. Výhodou interního pracovníka může být dokonalá znalost prostředí v organizaci, nicméně mějte na mysli, že takový pracovník nesmí být při své činnosti ve střetu zájmů. Tato podmínka znamená, že musí být podřízen přímo nejvyššímu orgánu společnosti a nesmí při své činnosti jinak nakládat s osobními daty. Výhodou externisty je nepochybně jeho nezávislost na určování procesů v organizaci, nadhled z vnějšku společnosti a v neposlední řadě kvalifikovanost, neboť specialista vykonávající činnost pro více organizací může využít řadu důležitých zkušeností v oboru. Naopak nevýhodou externích pověřenců může být splnění požadavku být v pružném kontaktu se zpracovateli osobních dat, jakož i kontrolními orgány, a proto Vám doporučujeme si v této věci potencionálního pověřence řádně „proklepnout.“
Nicméně, lze jen stěží očekávat, že české organizace naleznou na trhu tisíce volných osob či subjektů, které dokáží skloubit kombinaci výše uvedených disciplín. Zejména v době před 25.5.2018 a situaci, kdy se o specialisty podobného typu už několik let svádí v celé Evropě nekompromisní boj. Lze tedy očekávat, že těsně před účinností GDPR budou ti nejkvalifikovanější rozebráni. Jejich činnost by navíc měla započít co nejdříve, tak aby byly procesy v organizacích zkontrolovány před a nikoliv po účinnosti nařízení. Nemluvě o skutečnosti, že pověřenci zpracovatelů provádějících rozsáhlá zpracování budou muset činnost konzultovat s ÚOOÚ, orgánem, který má 90 členů a bude muset komunikovat s desetitisíci subjekty.
Nejlepším možným řešením se jeví sáhnout po externí poradenské společnosti, která má ve svých řadách více expertů. Jak vybrat člověka nebo dodavatele služeb, který by splňoval požadované znalosti? I na českém trhu už působí řada subjektů zabývajících se těmito službami. Pověřenec by Vám měl doložit, že má ve svém středu právně vzdělané lidi, lidi se zkušenostmi z praxe a také povědomí o odvětví činnosti Vaší organizace. Mělo by se jednat o moderní a dostatečně velikou společnost s rozvinutou strukturou komunikace. Zároveň Vám doporučujeme nechat si provést audit nakládání s osobními daty od subjektu, který Vám bude moct garantovat, že obdržíte osvědčení o ochraně údajů a zavedení pečetí a známek dokládajících ochranu údajů pro účely prokázání souladu s GDPR dle článku 42 GDPR. Tento subjekt musí být držitelem akreditace od Českého institutu pro akreditaci, o.p.s.
Riziko úniku informací se Vám může jevit banální, nicméně s ohledem na likvidační pokuty se může stát velikým problémem. Možná se Vám zdá nepravděpodobné, že si ÚOOÚ pro svoji kontrolu vybere zrovna Vás, ale nezapomínejte na riziko konkurenčního boje a na případná anonymní udání. Žijete přece v České republice. Nepodceňujte problematiku GDPR, povinnost ustanovit si pověřence a neodkládejte ji na poslední chvíli, kvalitní subjekty už mohou být rozebrané!!!