GDPR, neboli Obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation) je nová legislativa Evropské unie, která se – jak již název napovídá – věnuje ochraně osobních dat a údajů občanů EU. V platnost toto nařízení Evropského parlamentu a Rady EU vstoupilo 25. května 2018.

Jak uvádí informační portál gdpr.cz [4], „GDPR představuje nový právní rámec ochrany osobních údajů v evropském prostoru s cílem hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty včetně osobních údajů. GDPR se týká všech firem a institucí, ale i jednotlivců a online služeb, které zpracovávají data uživatelů. GDPR zavedlo astronomické pokuty za porušování pravidel a nařizuje některým správcům nebo zpracovatelům osobních údajů zřídit nezávislou kontrolní funkci DPO (Data Protection Officer, tj. Pověřenec pro ochranu osobních údajů).“

Nový právní rámec v EU

Ochrana osobních údajů samozřejmě není nic nového; relevantní legislativu mají v podstatě všechny státy EU, včetně ČR (kde má tuto oblast na starosti Úřad pro ochranu osobních údajů [5]); nicméně cílem GDPR bylo tento právní rámec v rámci Evropské unie sjednotit – a v některých ohledech i trochu zpřísnit; už jen díky zmiňovaným hrozícím vysokým pokutám (horní hranice je astronomických 20 milionů Eur).

V médiích se ve spojení s GDPR objevily zejména příklady možných problémů a nových povinností, jako je například souhlas rodičů [6] se zveřejněním některých fotek žáků na webu, nutnost celé řady nových „podpisů“ (vyjádření souhlasu se zpracováním osobních údajů) u lékařů, ve věrnostních klubech či u dodavatelů energií, či možnost používání sociálních sítí bez souhlasu rodičů až od 13 až 16 let (u nás od 16 let [7]).

Mýty vs. relevantní informace

Kromě relevantních informací se ale objevila i celá řada mýtů [8] a nejasností [9], a v některých situacích skoro až panika [10], co vše bude od května „zakázané“ – jako například podepisování výkresů žáky ve školách, volání pacientů jménem u lékaře či zákaz používání šanonů.

Na druhou stranu, úplné znění [11] Obecného nařízení o ochraně osobních údajů má cca 100 stran (plus tzv. „opravy [12]“) a vyznat se ve všech podmínkách a požadavcích není snadné – tím spíš, že se GDPR týká téměř kohokoliv (firem, institucí, poskytovatelů služeb i jednotlivců).

Naštěstí se kromě mediálních zkratek a ne vždy zcela přesných komentářů objevily i poměrně zajímavé a relevantní informační zdroje, které nabízí podrobnější vhled do problematiky, případně i informační zdroje a manuály určené konkrétním „cílovým skupinám“, jako jsou podnikatelé, neziskovky nebo třeba knihovny. A právě na několik takových relevantních zdrojů bych v tomto krátkém článku rád odkázal.

GDPR & Evropská komise

Pro základní informace o GDPR je dobré jít přímo „ke zdroji“, což v tomto případě znamená webové stránky českého zastoupení Evropské komise, kde najdete sekci GDPR – pravidla ochrany osobních údajů [13] s odkazy na další informační zdroje, jako například pokyny [14] EK či interaktivní mikrostránku [15]; a sérii informačních videí (GDPR pro podnikatele [16] od eurokomisařky Věry Jourové, GDPR pro e-shopy [17] od Lukáše Zeleného z dTestu, GDPR na Facebooku [18] od Petry Dolejšové z AK Legal či Mýty o GDPR [19] od Jiřího Žůrka z ÚOOÚ).

GDPR & ÚOOÚ

Jedním z klíčových zdrojů o GDPR je pochopitelně i samotný Úřad pro ochranu osobních údajů, který má u nás oblast osobních dat a osobních údajů na starosti. Pro zájemce je tak k dispozici samostatná sekce na webu [20], kde je mimo jiné k dispozici stručný přehled o GDPR [21], a relativně podrobná (ale stále ještě „zvládnutelná“) základní příručka k GDPR [22]. Plus řada dalších informací, jako často kladené otázky ze školství [23], informace o pověřencích [24] či desatero omylů [25]. Další informace jsou také na samostatném „mikrowebu [26]“.

GDPR prakticky

Velmi dobrým informačním zdrojem (a současně i informačním rozcestníkem) je také již v úvodu zmiňovaný informační portál GDPR prakticky na adrese gdpr.cz [27]. Na webu je celá řada stručných a srozumitelných článků, jako např. Jaké zásadní změny GDPR přinese [28] či Jaké povinnosti ukládá GDPR institucím a firmám [29]. Plus řada dalších článků na blogu [30], jako např. otázky a odpovědi pro e-shopy [31] či téma přímého marketingu [32].

GDPR pro knihovny

Vzhledem k tomu, že se otázka ochrany osobních údajů dotýká i knihoven, Národní knihovna ČR nabízí na svých stránkách (resp. na informačním portálu IPK [33]) samostatnou sekci věnovanou ochraně osobních údajů [34], kde je mj. k dispozici i podrobná Příručka pro knihovny [35], kterou připravili JUDr. Tereza Danielisová z Městské knihovny v Praze, Mgr. Michal Denár z Městské knihovny Česká Třebová a PhDr. Pavla Kovářová z KISK FF MU.

GDPR pro každého

Na závěr bych rád ještě alespoň telegraficky zmínil několik dalších článků a informačních zdrojů, konkrétně GDPR v kostce [36] na stránkách Ministerstva průmyslu a obchodu (včetně krátkého přehledu se základními pojmy [37]), stručný návod na zabezpečení procesů [38] od Ministerstva školství (mj. i v .pdf [39]), či implementace GDPR ve zdravotnictví [40] na stránkách Ministerstva zdravotnictví. Případně stručnější GDPR pod drobnohledem [41] na stránkách Svět neziskovek, či Přehled práv a povinností [42] na stránkách Hospodářských novin.

Závěrem

Jak ve svém květnovém článku [10] uvedla europoslankyně Michaela Šojdrová, GDPR ve své podstatě nepřináší žádné „revoluční“ změny a největší zátěž pocítí zejména velké soukromé a veřejné subjekty, které ochraně osobních dat dosud nevěnovaly až tak velkou pozornost. Pro všechny ostatní by mělo stačit jen seznámit se s novinkami a zhodnotit své současné procesy – a slovy Stopařova průvodce po galaxii nepropadat panice.