GDPR a IT pre malú firmu: čo z toho naozaj rieši technika

GDPR znie ako strašiak pre veľké korporácie, no v skutočnosti sa týka každej firmy, ktorá pracuje s osobnými údajmi, teda aj malej. Nebudeme tu rozoberať právne paragrafy, na to je odborník. Pozrieme sa na technickú a bezpečnostnú stránku, ktorú vie firma reálne ovplyvniť a ktorú vám pomôžeme zvládnuť.

Čo sú vlastne osobné údaje

Osobný údaj je čokoľvek, podľa čoho sa dá identifikovať konkrétny človek: meno, e-mail, telefón, adresa, IP adresa, fotka, ale aj kamerový záznam. Ak ako firma takéto údaje o zákazníkoch či zamestnancoch máte (a takmer každá má), GDPR sa vás týka.

Základné zásady, ktoré stoja za pravidlami

GDPR stojí na niekoľkých zásadách. Netreba ich vedieť naspamäť, ale pomôžu pochopiť, prečo sa veci robia tak, ako sa robia:

• Zákonnosť a účel. Údaje zbierate len na konkrétny, vopred určený účel, nie do zásoby.
• Minimalizácia. Pýtate si len to, čo naozaj potrebujete, nie všetko, čo by sa mohlo hodiť.
• Súhlas, ak ho treba. Niektoré spracovanie (napríklad marketing) vyžaduje jasný súhlas, ktorý sa dá aj odvolať.
• Obmedzená doba. Údaje neuchovávate dlhšie, než je potrebné alebo než vyžaduje zákon.

IT stránka GDPR, zrozumiteľne

Veľká časť GDPR je v praxi o tom, aby ste dáta mali pod kontrolou a v bezpečí:

• Zabezpečenie dát. Únik alebo zašifrovanie dát ransomvérom je z pohľadu GDPR bezpečnostný incident. Pomáhajú aktualizácie, zálohy a zásady bezpečnosti.
• Prístup len pre tých, čo ho potrebujú. Nie každý má vidieť všetko a pri odchode zamestnanca treba prístupy zrušiť.
• Kamery podľa pravidiel. Označenie priestoru, oprávnený dôvod a obmedzená doba uchovávania, viac v článku o kamerových systémoch.
• Mazanie a uchovávanie. Vedieť údaje na požiadanie vymazať, no zároveň zachovať to, čo vyžaduje zákon.
• Poskytovatelia služieb. Cloud, e-mail či účtovný systém spracúvajú vaše dáta za vás, preto si vyberajte dôveryhodných.

Práva ľudí, ktorých údaje držíte

Človek, ktorého údaje spracúvate, má voči vám práva. V praxi by ste mali vedieť reagovať najmä na:

• Právo na prístup k údajom, ktoré o ňom máte.
• Právo na opravu nesprávnych údajov.
• Právo na výmaz (právo byť zabudnutý), ak už dôvod na uchovanie pominul.

Na takúto požiadavku treba zvyčajne reagovať bez zbytočného odkladu, štandardne do jedného mesiaca.

Únik dát a ohlasovacia povinnosť

Ak dôjde k bezpečnostnému incidentu s rizikom pre ľudí (napríklad únik databázy zákazníkov), GDPR ukladá povinnosť ohlásiť ho dozornému úradu spravidla do 72 hodín od zistenia. Pri vysokom riziku treba informovať aj samotných dotknutých ľudí. Preto je dôležité incident vedieť rýchlo rozpoznať a mať pripravený postup. Za závažné porušenia hrozia citeľné pokuty, ktoré môžu byť pre malú firmu likvidačné, takže prevencia sa vyplatí.

Zmluvy s dodávateľmi (spracovatelia)

Keď vaše dáta spracúva niekto iný (cloud, e-mailová služba, účtovník, externé IT), je to z pohľadu GDPR sprostredkovateľ. S takým dodávateľom by ste mali mať uzavretú zmluvu o spracúvaní údajov, ktorá určuje, čo s dátami smie robiť a ako ich chráni. Vyberajte preto dôveryhodných partnerov.

Čo by mala malá firma prakticky spraviť

• mať prehľad, aké osobné údaje drží a prečo,
• zabezpečiť systémy (aktualizácie, antivírus, silné heslá a 2FA),
• riadiť prístupy a rušiť ich pri odchode ľudí,
• zálohovať a vedieť dáta v prípade incidentu obnoviť,
• vážnejší únik dát nahlásiť v stanovenej lehote.

Toto je technická a bezpečnostná časť, ktorú vieme nastaviť za vás. Právne náležitosti (smernice, súhlasy, zmluvy) konzultujte s odborníkom na GDPR, tie dve veci idú ruka v ruke.

Chcete mať IT stránku ochrany údajov poriadne ošetrenú? Ozvite sa nám, pomôžeme zabezpečiť systémy, prístupy aj zálohy tak, aby ste boli pripravení.

Tento článok je súčasťou prehľadu Podnikanie a IT.