GDPR a ochrana osobných údajov

GDPR (General Data Protection Regulation, po slovensky všeobecné nariadenie o ochrane údajov) je nariadenie Európskej únie č. 2016/679. Uplatňuje sa od 25. mája 2018 priamo vo všetkých členských štátoch a v krajinách Európskeho hospodárskeho priestoru. Upravuje, kto, prečo a ako dlho smie spracúvať údaje o ľuďoch a čo môžu ľudia od spracovateľov žiadať.

Nariadenie platí pre firmy, úrady, spolky aj jednotlivých podnikateľov, ktorí spracúvajú osobné údaje ľudí v EÚ – a to aj vtedy, ak sídlia mimo Únie, no ponúkajú tu svoje služby. Nevzťahuje sa na čisto osobné a domáce činnosti, napríklad na súkromný zoznam kontaktov v telefóne. Na Slovensku ho dopĺňa zákon č. 18/2018 Z. z. o ochrane osobných údajov.

Čo sú osobné údaje podľa GDPR

Osobný údaj je akákoľvek informácia o identifikovanej alebo identifikovateľnej fyzickej osobe. Okrem mena, adresy či rodného čísla sem patria aj údaje o polohe, e-mail, fotografia, IP adresa, identifikátory v cookies alebo kombinácia údajov, z ktorej sa dá človek dohľadať.

Osobitnú ochranu majú citlivé kategórie: zdravotný stav, genetické a biometrické údaje, rasový či etnický pôvod, politické názory, náboženské presvedčenie, členstvo v odboroch a sexuálna orientácia. Ich spracúvanie je v zásade zakázané, s výnimkami, ako je výslovný súhlas alebo povinnosť zo zákona. Údaje, ktoré sú nevratne anonymizované, už osobnými údajmi nie sú.

Na čo je nariadenie GDPR zamerané: zásady a povinnosti

GDPR stavia na niekoľkých zásadách: údaje sa majú spracúvať zákonne, férovo a transparentne, len na vopred určený účel, v nevyhnutnom rozsahu, presne, nie dlhšie, ako treba, a bezpečne. Prevádzkovateľ musí vedieť preukázať, že zásady dodržiava. Každé spracúvanie potrebuje právny základ – napríklad súhlas, plnenie zmluvy, zákonnú povinnosť alebo oprávnený záujem.

Firmy musia ľudí zrozumiteľne informovať, ako s ich údajmi zaobchádzajú, zabezpečiť ich primeranými opatreniami a pri závažnom úniku to do 72 hodín ohlásiť dozornému orgánu, prípadne aj dotknutým ľuďom. Niektoré organizácie musia určiť zodpovednú osobu (DPO). Za porušenie hrozí pokuta až do 20 miliónov eur alebo 4 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia.

Vaše práva podľa GDPR

Máte právo vedieť, či firma o vás spracúva údaje, a dostať ich kópiu. Môžete žiadať opravu nepresných údajov, vymazanie („právo na zabudnutie“), obmedzenie spracúvania alebo prenos údajov k inému poskytovateľovi. Môžete namietať proti spracúvaniu na základe oprávneného záujmu a vždy proti priamemu marketingu. Súhlas môžete kedykoľvek odvolať.

Žiadosť stačí poslať e-mailom alebo listom; prevádzkovateľ musí odpovedať bez zbytočného odkladu, najneskôr do jedného mesiaca, v zložitých prípadoch s predĺžením o ďalšie dva mesiace. Ak nereaguje alebo odpoveď nie je dostatočná, môžete podať sťažnosť na Úrad na ochranu osobných údajov SR. Praktické tipy, ako chrániť svoje údaje aj mimo GDPR, nájdete v hesle ochrana osobných údajov.

GDPR a kryptomeny

Kryptomenové burzy a zmenárne musia pri overovaní totožnosti (KYC) zbierať doklady, selfie a adresy, a tieto údaje spadajú pod GDPR. Ak dôjde k úniku, platí povinnosť ohlásenia aj vaše právo na informácie. Pri výbere služby sa oplatí pozrieť, kde sídli, ako dlho údaje uchováva a komu ich odovzdáva.

Verejné blockchainy sú s GDPR v napätí: záznam sa nedá zmeniť ani zmazať, hoci adresy prepojené s menom môžu byť osobným údajom. Preto je rozumné na reťazec nezapisovať nič, čo vás identifikuje, a s adresami peňaženiek zaobchádzať opatrne. Širšie súvislosti nájdete v kategórii Osobné údaje a digitálna stopa.

Časté otázky

Čo znamená skratka GDPR?

GDPR je skratka anglického General Data Protection Regulation, po slovensky všeobecné nariadenie o ochrane údajov. Ide o nariadenie EÚ č. 2016/679.

Odkedy platí GDPR?

Nariadenie bolo prijaté v roku 2016 a uplatňuje sa od 25. mája 2018 priamo vo všetkých štátoch EÚ bez potreby prevzatia do národných zákonov.

Je IP adresa osobný údaj podľa GDPR?

Spravidla áno, ak ju prevádzkovateľ dokáže – sám alebo s pomocou iných – spojiť s konkrétnou osobou. Preto ju weby a služby musia chrániť ako ostatné osobné údaje.

Kam sa sťažovať, ak firma porušuje GDPR?

Najprv sa obráťte priamo na firmu alebo jej zodpovednú osobu. Ak nepomôže, na Slovensku podáte sťažnosť Úradu na ochranu osobných údajov SR, ktorý môže uložiť nápravu aj pokutu.