Hlavné zásady ochrany osobných údajov

GDPR definuje niekoľko zásad, ktorými by sa mal riadiť každý, kto spracúva akéhoľvek osobné údaje. Prevádzkovateľ má povinnosť poskytnúť predovšetkým informácie o identite prevádzkovateľa a účeloch spracúvania spolu s ďalšími informáciami zabezpečujúcimi spravodlivé a transparentné spracúvanie, pričom dotknuté osoby má povinnosť informovať o možných rizikách, pravidlách, zárukách a právach pri spracúvaní osobných údajov. Prevádzkovateľ má tiež povinnosť zrozumiteľným spôsobom určiť legitímny účel spracúvania osobných údajov pred ich získavaním.

Osobné údaje spracúvame len na základe legitímneho právneho základu, napr. osobné údaje zamestnanca pri prihlásení do Sociálnej poisťovne spracúvame preto, že to vyplýva z príslušného zákona (právnym základom je v tomto prípade zákonom stanovená povinnosť). Osobné údaje zákazníka pri vybavovaní objednávky spracúvame preto, lebo sú nevyhnutné na plnenie kúpnej zmluvy, tzn. na dodanie objednaného tovaru (právnym základom je teda plnenie zmluvy). Kamerový systém v predajni prevádzkujeme preto, lebo môže prísť k odcudzeniu vystaveného tovaru (právnym základom je teda oprávnený záujem prevádzkovateľa predajne chrániť svoj majetok). Ak takýto právny základ neexistuje, je potrebný súhlas so spracovaním osobných údajov, príkladom môže byť súhlas zákazníka s odberom newsletteru, bez ktorého by sme mu newsletter nemali posielať.

Zásada obmedzeného účelu a zásada minimalizácie spracúvaných údajov – spracúvame len tie osobné údaje, ktoré na daný účel skutočne potrebujeme, napr. pri nástupe zamestnanca do práce sú síce potrebné niektoré jeho údaje uvedené v občianskom preukaze, nepotrebujeme však kópiu celého občianskeho preukazu, a preto ho neskenujeme.

Osobné údaje spracúvame len dovoleným spôsobom a výlučne na príslušné účely – ak sme osobné údaje zákazníka spracovali na účely dodania objednaného tovaru, na iné účely ich už nemôžeme používať, napríklad na účel zasielania obchodných ponúk, pokiaľ nedisponujeme s osobitným súhlasom. Spracúvame len presné osobné údaje, kto­ré v prípade potreby aktualizujeme – ak zamestnankyňa oznámi, že uzavrela manželstvo, spracúvané údaje o nej aktualizujeme doplnením, resp. zmenou priezviska.

Osobné údaje spracúvame iba na nevyhnutnú dobu – napríklad pri organizovaní spotrebiteľskej súťaže spracúvame osobné údaje súťažiacich iba počas doby trvania súťaže, hneď ako súťaž skončí, vyhodnotíme výhercov a odovzdáme výhry, osobné údaje všetkých zúčastnených účastníkov viac nepotrebujeme a máme preto povinnosť ich odstrániť.

Spracúvané osobné údaje náležite chránime – v kamennej predajni zhromažďujeme reklamácie zákazníkov, ktoré chránime napr. tak, že reklamačné formuláre obsahujúce osobné údaje nenechávame položené na pulte, ale ich uchovávame v uzamykateľnej zásuvke. Napríklad v prípade spoločného prístupu zamestnancov na jeden server tiež máme povinnosť chrániť tie osobné údaje, ku ktorým by mali mať prístup len niektorí zamestnanci (prístup do zložky obsahujúcej údaje o zamestnancoch má len personalista, nie však ďalší zamestnanci vo firme).

Osobám, ktorých osobné údaje spracúvame, poskytujeme potrebné informácie transparentným spôsobom – napr. sprievodný text check-boxu (políčko na zaškrtnutie) na prihlásenie k newsletteru v znení „Súhlasím s odberom newsletteru“ bez odkazu na bližšie informácie o ochrane osobných údajov je nedostatočný, pretože adresátovi newsletteru transparentným spôsobom neposkytuje príslušné informácie, potrebný je aktívny odkaz na podmienky ochrany osobných údajov, ktoré budú obsahovať všetky povinné náležitosti podľa G DPR, napr. informáciu o možnosti odvolania súhlasu a mnohé ďalšie.