Za dodržování GDPR odpovídá především správce, tedy zaměstnavatel. Také vy ale můžete nést následky, pokud s osobními údaji zacházíte neoprávněně. Tato lekce shrnuje, kdo dozoruje, co může uložit a co hrozí jednotlivci.
Úřad pro ochranu osobních údajů
ÚOOÚ je dozorový úřad podle čl. 51 GDPR a zákona č. 110/2019 Sb. Podle čl. 58 GDPR může mimo jiné:
- provádět kontroly a audity a požadovat přístup k údajům a prostorám
- upozornit správce, že zamýšlené zpracování pravděpodobně poruší nařízení
- napomenout správce a nařídit, aby zpracování uvedl do souladu s nařízením
- omezit nebo zakázat zpracování
- uložit správní pokutu
Úřad také vyřizuje stížnosti lidí, vydává stanoviska a metodiky a přijímá oznámení o porušení zabezpečení.
Pokuty podle GDPR
Čl. 83 stanoví dvě úrovně pokut:
- až 10 000 000 EUR nebo 2 % celosvětového ročního obratu (podle toho, co je vyšší), například za porušení povinností správce a zpracovatele, záznamy o činnostech a oznamování porušení
- až 20 000 000 EUR nebo 4 % obratu u porušení zásad zpracování, podmínek souhlasu, práv subjektů údajů a při nesplnění příkazu Úřadu
Konkrétní výše závisí na okolnostech: závažnosti, trvání, úmyslu, počtu lidí, spolupráci s Úřadem. Pokuta má být účinná, přiměřená a odrazující.
Pokuty ukládá správní orgán, tedy Úřad. Pro přestupky podle § 62 zákona č. 110/2019 Sb. se řízení vede podle českých pravidel pro správní trestání. Čl. 83 odst. 7 GDPR nechává na členských státech, zda pokutovat orgány veřejné moci a veřejné subjekty. Česko se rozhodlo, že ne: u správců a zpracovatelů uvedených v tomto článku Úřad podle § 62 odst. 5 zákona č. 110/2019 Sb. upustí od uložení správního trestu (pokuty). Jiná nápravná opatření, například nařízení nápravy nebo napomenutí, mu zůstávají.
Náhrada škody
Každý, kdo utrpěl majetkovou nebo nemajetkovou újmu v důsledku porušení nařízení, má podle čl. 82 GDPR právo na náhradu od správce nebo zpracovatele. Člověk se může obrátit na soud.
Trestní odpovědnost jednotlivce
Trestní zákoník (zákon č. 40/2009 Sb.) má v § 180 trestný čin neoprávněného nakládání s osobními údaji. Stručně:
- Kdo, byť i z nedbalosti, neoprávněně zveřejní, sdělí, zpřístupní, jinak zpracovává nebo si přisvojí osobní údaje, které byly o jiném shromážděny v souvislosti s výkonem veřejné moci a způsobí tím vážnou újmu na právech nebo oprávněných zájmech dotčené osoby, hrozí mu odnětí svobody až na tři léta nebo zákaz činnosti (odst. 1).
- Stejně bude potrestán, kdo, byť i z nedbalosti, poruší státem uloženou nebo uznanou povinnost mlčenlivosti tím, že neoprávněně zveřejní, sdělí nebo zpřístupní třetí osobě osobní údaje získané při výkonu povolání, zaměstnání nebo funkce, a způsobí tím vážnou újmu (odst. 2).
- Přísnější trest (1 až 5 let) hrozí členovi organizované skupiny, při spáchání tiskem, rozhlasem, televizí nebo veřejně přístupnou počítačovou sítí, tedy i na internetu, nebo při značné škodě či úmyslu získat značný prospěch (odst. 3). Při škodě nebo prospěchu velkého rozsahu je to 3 až 8 let (odst. 4).
Podmínkou je tedy vážná újma. Běžná chyba bez takových následků trestným činem nebude. Zneužití, prodej nebo zveřejnění údajů, které někomu vážnou újmu způsobí, ale trestným činem být může.
Pracovněprávní důsledky
Porušení povinností při zacházení s údaji může být porušením povinností podle § 301 zákoníku práce, tedy plnit pokyny a dodržovat předpisy. Podle závažnosti může zaměstnavatel dát výpověď (§ 52) nebo ve výjimečných případech pracovní poměr okamžitě zrušit, pokud zaměstnanec porušil povinnost vyplývající z právních předpisů zvlášť hrubým způsobem (§ 55 odst. 1 písm. b). Může také požadovat náhradu škody za podmínek zákoníku práce.
Co zaměstnavatel musí dělat sám
Tento kurz nenahradí povinnosti vašeho zaměstnavatele. Ten musí zajistit například:
- interní směrnici nebo pravidla zacházení s osobními údaji
- informaci pro zaměstnance o zpracování jejich údajů (čl. 13)
- záznamy o činnostech zpracování, pokud je povinen je vést (čl. 30)
- pokyny k vašemu pracovnímu místu: jaké údaje, v jakém systému, komu je smíte předat
- kontakt na pověřence nebo na osobu, které hlásit žádosti a incidenty
- smlouvy se zpracovateli, posouzení rizik a postup při porušení zabezpečení
Co si zapamatovat
- Dozor vykonává ÚOOÚ, pokuty podle GDPR dosahují až 20 mil. EUR nebo 4 % obratu.
- U orgánů veřejné moci a veřejných subjektů Úřad od pokuty upustí (§ 62 odst. 5), ostatní opatření mu zůstávají.
- § 180 trestního zákoníku postihuje neoprávněné nakládání s osobními údaji, které způsobí vážnou újmu.
- Zaměstnavatel musí mít vlastní směrnice, informace, záznamy a pokyny.