Nejčastější chybou malých firem je vyžadovat souhlas tam, kde stačí plnění smlouvy. Vyřízení objednávky, doprava i reklamace stojí na smlouvě, účetnictví na právní povinnosti, a souhlas se hodí prakticky jen na newsletter a na netechnické soubory cookie. Výjimka ze záznamů o zpracování pro firmy pod 250 zaměstnanců přitom na běžný e-shop nedopadá, i když se to obecně předpokládá.
Hlavní body
- Souhlas je nejkřehčí právní titul, protože jde kdykoli odvolat.
- Podmiňovat objednávku souhlasem se zpracováním nad rámec smlouvy nelze.
- Záznamy o činnostech zpracování vést musí prakticky každý e-shop.
- Běžný e-shop pověřence pro ochranu osobních údajů nepotřebuje.
- Dokumentovat se musí všechny incidenty, i ty neohlášené.
Co musí malá firma reálně mít?
Čtyři věci. Přehled o tom, jaké údaje a proč zpracovává, tedy záznamy o činnostech zpracování. Zásady zpracování na webu, které naplní informační povinnost. Písemné smlouvy se zpracovateli. A postup pro případ, že se něco stane, tedy pro incident a pro žádost zákazníka.
Naopak nepotřebuje pověřence, certifikát ani šifrování všeho. Tyhle tři představy patří mezi nejrozšířenější omyly.
Správce, nebo zpracovatel
Správce určuje účely a prostředky zpracování, zpracovatel zpracovává údaje pro správce. E-shop je vůči údajům svých zákazníků správce, zatímco jeho hosting nebo mailingový nástroj jsou zpracovatelé.
Rozdíl je podstatný, protože povinnosti se liší. Správce nese informační povinnost, vyřizuje práva zákazníků a ohlašuje incidenty úřadu. Zpracovatel smí zpracovávat jen na doložené pokyny a incident hlásí správci. Nařízení má i pojistku: pokud si zpracovatel začne účely a prostředky určovat sám, považuje se za správce.
Souhlas není univerzální řešení
Právních titulů je šest a souhlas je jen jeden z nich. Vyřízení objednávky, doprava, reklamace i záruka stojí na plnění smlouvy. Účetnictví a daňová evidence na právní povinnosti. Ochrana proti podvodům nebo vymáhání pohledávek na oprávněném zájmu.
Souhlas zbývá na newsletter mimo výjimku pro zákazníky a na cookies, které nejsou technicky nezbytné. Je to přitom nejkřehčí titul, protože ho lze kdykoli odvolat a odvolání musí být stejně snadné jako udělení. Plnění smlouvy odvolat nelze.
Proč nelze podmiňovat objednávku souhlasem
Nařízení na to míří přímo. Při posuzování, zda byl souhlas svobodný, se musí důsledně zohlednit, jestli je plnění smlouvy podmíněno souhlasem se zpracováním, které pro tu smlouvu není nutné.
Prakticky to znamená, že zaškrtávátko se souhlasem s marketingem nesmí být povinné pro dokončení objednávky. A předem zaškrtnuté políčko není souhlas vůbec, protože se vyžaduje jednoznačný projev vůle.
Záznamy o zpracování a výjimka, která neplatí
Tady se plete výjimka pro firmy pod 250 zaměstnanců. Neplatí totiž, pokud zpracování pravděpodobně představuje riziko pro práva a svobody, není příležitostné, nebo zahrnuje zvláštní kategorie údajů. Podmínky jsou alternativní, takže stačí splnit jedinou.
Zpracování je příležitostné jen tehdy, když neprobíhá pravidelně a mimo běžný chod činnosti. Každá firma ale pravidelně zpracovává údaje svých zaměstnanců a e-shop navíc údaje zákazníků. Výjimka proto na páteřní agendu nedopadá. Úleva je jinde: záznamy se vedou jen pro dotčené činnosti, ne pro úplně všechno.
Co v záznamech musí být
Kontaktní údaje správce, účely zpracování, kategorie subjektů a údajů, kategorie příjemců, případné předání mimo unii, lhůty pro výmaz jednotlivých kategorií, pokud je lze určit, a obecný popis bezpečnostních opatření.
Forma může být i elektronická, stačí tabulka. Podstatné je, že jde o interní dokument, který se předkládá úřadu na vyžádání, nikoli o text zveřejněný na webu.
Pověřence potřebuje málokdo
Povinný je jen ve třech případech: u orgánů veřejné moci, tam kde hlavní činnost spočívá v rozsáhlém pravidelném a systematickém monitorování osob, a tam kde jde o rozsáhlé zpracování zvláštních kategorií údajů nebo údajů o trestných činech.
Prodej zboží ani jedno nesplňuje, takže běžný e-shop pověřence nepotřebuje. Kde povinnost vzniká, není nutný žádný certifikát, posuzují se odborné znalosti, a pověřenec může být externí i sdílený.
Zpracovatelská smlouva a kdo je zpracovatel
Potřebujete ji vždy, když pro vás někdo zpracovává osobní údaje na váš pokyn. Musí být písemná, postačí elektronická forma, a musí vymezit předmět, dobu, povahu a účel zpracování, typ údajů a kategorie subjektů.
Dále musí uložit zpracovateli mlčenlivost, zabezpečení, součinnost při vyřizování práv a při incidentech, podmínky pro zapojení subdodavatele a povinnost po skončení služby údaje vymazat nebo vrátit. Jistými příklady jsou hosting, mailingový nástroj nebo e-shopová platforma. U externí účetní a u dopravce se role posuzuje individuálně, protože oba mohou vystupovat jako samostatní správci ve vlastní zákonné roli. Souvislosti popisuje text o tom, jak vybrat účetní.
Co musí být v zásadách na webu
Kdo je správce a jak ho kontaktovat, účely zpracování a právní základ pro každý z nich, oprávněné zájmy, pokud jsou titulem, příjemci nebo jejich kategorie, doba uložení nebo alespoň kritéria pro její určení, výčet práv a právo podat stížnost u úřadu.
Dále informace o tom, zda je poskytnutí údajů zákonným či smluvním požadavkem a co se stane, když je zákazník neposkytne. Získáváte-li údaje odjinud než přímo od zákazníka, přibývá povinnost uvést kategorie údajů a zdroj. Text má být stručný a srozumitelný, ne opsaný z cizího webu, protože obecné fráze popis konkrétních účelů a lhůt nenahradí.
Žádosti zákazníků a lhůty
Zákazník má právo na přístup a kopii, opravu, výmaz, omezení zpracování, přenositelnost i námitku. Vyřídit žádost je nutné bez zbytečného odkladu, nejpozději do jednoho měsíce. Ve složitých případech lze lhůtu prodloužit o další dva měsíce, ale o prodloužení i o jeho důvodech musíte informovat do měsíce od obdržení žádosti.
Vyřízení je bezplatné. U zjevně nedůvodných nebo opakovaných žádostí lze účtovat přiměřený poplatek nebo odmítnout, ale nedůvodnost musí doložit správce. Pokud nevyhovíte, musíte do měsíce sdělit důvody a poučit o možnosti stížnosti.
Námitka proti marketingu má zvláštní režim
Proti zpracování pro přímý marketing lze vznést námitku kdykoli a bez jakéhokoli zdůvodnění. Po jejím uplatnění se údaje pro tento účel dál zpracovávat nesmějí, bez posuzování a bez výjimek.
Na tohle právo musíte zákazníka výslovně upozornit zřetelně a odděleně od ostatních informací, nejpozději při první komunikaci. Schovat to doprostřed dlouhého dokumentu nestačí.
Když se něco stane
Incident se ohlašuje úřadu bez zbytečného odkladu, pokud možno do 72 hodin od okamžiku, kdy jste se o něm dozvěděli. Ohlašovat nemusíte, pokud je nepravděpodobné, že by měl za následek riziko pro práva a svobody osob. Při zpoždění je nutné uvést důvody.
Zákazníkům se oznamuje jen tehdy, je-li pravděpodobné vysoké riziko, a to jasně a srozumitelně. Výjimkou je situace, kdy byly údaje chráněné tak, že jsou nesrozumitelné, například šifrováním. Zásadní je, že dokumentovat musíte veškeré případy porušení, i ty, které se neohlašují. Incidentem přitom není jen únik ven, ale i náhodné zničení nebo změna údajů.
Cookies a obchodní sdělení
U souborů cookie platí režim předchozího prokazatelného souhlasu. Výjimku mají jen ty technicky nezbytné pro přenos zprávy nebo pro poskytnutí výslovně vyžádané služby. Tlačítko pro odmítnutí musí být ve stejné vrstvě lišty jako souhlas a předzaškrtnutá políčka souhlas nejsou.
U obchodních sdělení platí pravidlo předchozího souhlasu, ale existuje výjimka pro vlastní zákazníky. Uplatní se při splnění čtyř podmínek současně: jde o vašeho zákazníka, kontakt vznikl při prodeji, nabízíte vlastní obdobné zboží nebo služby, a odmítnutí je možné zdarma hned při sběru i v každé jednotlivé zprávě. Sdělení musí být zřetelně označené a nesmí skrývat totožnost odesílatele.
Jak dlouho údaje uchovávat
Nařízení žádné lhůty nestanoví, jen požaduje, abyste je určili nebo aspoň popsali kritéria. Odvozují se proto z jiných předpisů. Účetní doklady a knihy se uchovávají pět let, účetní závěrka a výroční zpráva deset let, daňové doklady deset let od konce zdaňovacího období.
Praktický princip zní, že každá kategorie údajů dostane vlastní lhůtu podle nejdelšího předpisu, který na ni dopadá, a po jejím uplynutí se údaje smažou nebo anonymizují. Marketingový souhlas se přitom řídí vlastní logikou, ne účetními lhůtami.
Sankce a co je polehčující
Horní hranice jsou dvě. U porušení povinností jako záznamy, zabezpečení nebo ohlašování incidentů jde o deset milionů eur nebo dvě procenta celosvětového obratu, podle toho, co je vyšší. U základních zásad, souhlasu a práv subjektů je to dvacet milionů eur nebo čtyři procenta.
Úřad ale musí zohlednit jedenáct kritérií, mezi nimi povahu a délku porušení, kroky ke zmírnění škod, míru spolupráce a to, jak se o porušení dozvěděl. Vlastní ohlášení incidentu a doložená náprava jsou tedy polehčující okolností. Před sankcí navíc může úřad uložit opatření k odstranění nedostatků s přiměřenou lhůtou. Další povinnosti e-shopu shrnuje text o volbě e-shopové platformy.
Přehled: co na jakém titulu stojí
| Účel zpracování | Právní titul | Lze odvolat |
|---|---|---|
| Vyřízení objednávky a doprava | plnění smlouvy | ne |
| Reklamace a záruka | plnění smlouvy | ne |
| Účetnictví a daně | právní povinnost | ne |
| Ochrana proti podvodům | oprávněný zájem | lze namítnout |
| Newsletter vlastním zákazníkům | zákonná výjimka | lze odmítnout |
| Newsletter ostatním | souhlas | ano |
| Netechnické cookies | souhlas | ano |
Přehled vychází z právních titulů podle nařízení a z české úpravy obchodních sdělení a cookies. Konkrétní zařazení závisí na okolnostech zpracování.
Sedm věcí, které si projít
- Sepsat, jaké údaje zpracováváme, proč a jak dlouho.
- Přiřadit každému účelu právní titul a nespoléhat na souhlas.
- Zkontrolovat, že souhlas s marketingem není podmínkou objednávky.
- Uzavřít písemné smlouvy se zpracovateli.
- Napsat vlastní zásady zpracování, ne je opsat.
- Nastavit lištu cookies s možností odmítnout ve stejné vrstvě.
- Určit, kdo a jak reaguje na incident a na žádost zákazníka.
Souhlas se zpracováním údajů není jediná věta, kterou e-shop v košíku řeší špatně. Proč předzaškrtnuté příplatky souhlas nezakládají a jak musí být označené tlačítko objednávky, vysvětluje text o tom, jak mají vypadat obchodní podmínky e-shopu.
Často kladené otázky
Potřebuju od zákazníka souhlas s vyřízením objednávky?
Nepotřebujete. Zpracování je nezbytné pro plnění smlouvy, což je samostatný právní titul. Souhlas by tu byl nejen zbytečný, ale i škodlivý, protože ho lze kdykoli odvolat, zatímco plnění smlouvy odvolat nelze. Souhlas se hodí na marketing a na netechnické cookies.
Musí malá firma vést záznamy o zpracování?
Prakticky ano. Výjimka pro firmy pod 250 zaměstnanců neplatí, pokud zpracování není příležitostné, a zpracování údajů zaměstnanců a zákazníků pravidelné je. Úlevou je, že se záznamy vedou jen pro dotčené činnosti a stačí přehledná tabulka.
Musím jmenovat pověřence pro ochranu osobních údajů?
Běžný e-shop nemusí. Povinnost mají orgány veřejné moci a firmy, jejichž hlavní činnost spočívá v rozsáhlém systematickém monitorování osob nebo v rozsáhlém zpracování citlivých údajů. Prodej zboží ani jedno nesplňuje. Kde povinnost vzniká, není potřeba žádný certifikát.
S kým musím uzavřít zpracovatelskou smlouvu?
S každým, kdo pro vás zpracovává osobní údaje na váš pokyn, typicky s hostingem, mailingovým nástrojem nebo poskytovatelem e-shopové platformy. U externí účetní a u dopravce se posuzuje individuálně, protože mohou vystupovat jako samostatní správci ve vlastní zákonné roli.
Do kdy musím vyřídit žádost zákazníka?
Bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení. Ve složitých případech lze prodloužit o další dva měsíce, ale o prodloužení a jeho důvodech musíte informovat ještě v první měsíční lhůtě. Vyřízení je bezplatné.
Kdy musím hlásit únik dat?
Úřadu bez zbytečného odkladu, pokud možno do 72 hodin od okamžiku, kdy jste se o incidentu dozvěděli, ledaže je nepravděpodobné riziko pro práva osob. Zákazníkům jen při pravděpodobném vysokém riziku. Dokumentovat ale musíte všechny incidenty, i neohlášené.
Můžu posílat newsletter svým zákazníkům bez souhlasu?
Můžete při splnění čtyř podmínek současně: jde o vašeho zákazníka, kontakt jste získali při prodeji, nabízíte vlastní obdobné zboží nebo služby a odmítnutí je možné zdarma jak při sběru, tak v každé jednotlivé zprávě. Jinak je potřeba souhlas.
Musí být na webu lišta cookies?
Pokud používáte jen technicky nezbytné cookies, lišta nutná není, informační povinnost ale trvá. U ostatních je potřeba předchozí prokazatelný souhlas, tlačítko pro odmítnutí ve stejné vrstvě jako souhlas a možnost souhlas stejně snadno odvolat. Předzaškrtnutá políčka souhlas nejsou.
Text má informativní charakter a nenahrazuje právní posouzení. Konkrétní nastavení zpracování a znění dokumentů konzultujte s odborníkem, u složitějších případů zejména rozsah oprávněného zájmu.
Zvláštní pravidla platí, když firma provozuje kamery na pracovišti. Kromě GDPR se tam uplatní i zákoník práce, podle kterého lze zaměstnance sledovat jen ze závažného důvodu, a souhlas zaměstnance na tom nic nemění.
Mohlo by vás zajímat
Elektronická komunikace s úřady i klienty stojí na ověření totožnosti. Co umí bankovní identita a elektronický podpis a kde jsou jejich hranice, rozebírá samostatný text.
Ochrana osobních údajů se řeší i tam, kde objednávky vyřizuje fulfillment pro e-shop, protože zpracovatel musí mít smlouvu.
