Všeobecné nariadenie o ochrane údajov (GDPR)

Zásady spracovania a práva osôb

GDPR vymedzuje základné zásady spracovania osobných údajov: zákonnosť, spravodlivosť a transparentnosť; účelové obmedzenie; minimalizácia údajov; správnosť; obmedzenie uloženia; integrita a dôvernosť; zodpovednosť (accountability). Na strane subjektov údajov zavádza viaceré práva, z ktorých najdôležitejšie sú:

• právo na prístup k údajom,
• právo na opravu a výmaz ("právo byť zabudnutý"),
• právo na obmedzenie spracovania,
• právo na prenositeľnosť údajov,
• právo namietať voči spracovaniu a automatizovaným rozhodnutiam.

Organizačné požiadavky

Organizácie, ktoré spracúvajú osobné údaje, musia preukázať súlad s pravidlami. Medzi praktické povinnosti patrí vedenie záznamov o činnostiach spracovania, vykonanie posúdenia dopadu na ochranu údajov (DPIA) pri vysokom riziku, oznámenie porušenia ochrany údajov do 72 hodín príslušnému dozornému orgánu a, v určených prípadoch, vymenovanie poverenca pre ochranu údajov (DPO). Systém "one-stop-shop" zabezpečuje koordináciu medzi národnými dozornými orgánmi v cezhraničných prípadoch.

Rozsah pôsobnosti a prenos údajov

GDPR má široký teritoriálny dosah: vzťahuje sa nielen na spracovateľov v EÚ, ale aj na subjekty mimo EÚ, ktoré ponúkajú tovary alebo služby obyvateľom EÚ alebo monitorujú ich správanie. Prenos osobných údajov do tretích krajín môže prebiehať len na základe platných mechanizmov, napríklad rozhodnutia o primeranosti, štandardných zmluvných doložiek (SCC) alebo záväzných podnikových pravidiel (BCR).

Sankcie a praktický vplyv

Porušenie pravidiel GDPR môže viesť k vysokým pokutám, ktoré sú stanovené v dvoch stupňoch podľa závažnosti porušenia. Okrem finančných sankcií môže orgán nariadiť aj nápravu spracovania alebo obmedzenie činností. Pre firmy to znamenalo zásadné zmeny v oblasti marketingu, personálneho manažmentu, cloudových služieb a IT bezpečnosti. Regulácia kladie dôraz na transparentnosť voči dotknutým osobám a na princíp zodpovednosti pri návrhu služieb a produktov.

Vývoj a význam

GDPR nahradilo staršiu smernicu z 90. rokov a reflektuje technologický vývoj a digitalizáciu. Od prijatia došlo k mnohým rozhodnutiam súdov a výkladom dozorných orgánov, ktoré upresňujú praktickú aplikáciu pravidiel. Aj keď zákon stanovuje jednotné pravidlá, určité detaily, napríklad vek súhlasu pre spracovanie údajov maloletých, môžu upraviť členské štáty. GDPR tak zostáva základným právnym rámcom ochrany osobných údajov v EÚ s trvalým vplyvom na podniky i jednotlivcov.