Koliko časa hraniti osebne podatke? Kako zavarovati dokumentacijo in e-arhive, da bodo ti ustrezali zahtevam GDPR? Kakšne so posledice, če osebne podatke izgubimo? To je le nekaj vprašanj, ki se vsak dan porajajo vsaki organizaciji.

Ena od težjih in stroškovno lahko bolečih zahtev GDPR je varnost obdelave osebnih podatkov, posebej vprašanje, kako strogi moramo biti pri tem. Vsekakor neki mali upravljavec osebnih podatkov nima enakih zahtev po varnosti obdelave (zavarovanju) osebnih podatkov kot, denimo, neka bolnišnica. Težava je predvsem v tem, da GDPR ne določa natančno, katere ukrepe je treba uporabiti za na primer določeno število osebnih podatkov. Tako posledično odločitev prepusti vsakemu upravljavcu posebej. Ta mora zato izdelati analizo tveganj, ki mu bo pokazala, kje mora okrepiti svoje napore, da bo zadostil ustrezni varnosti oziroma GDPR.

Sodišče EU je pred kratkim v eni od svojih sodb ugotovilo, da je lastnik spletne strani že zgolj s tem, da je namestil in omogočil vtičnik Facebook za všečkanje, postal skupni upravljavec skupaj s Facebook-om. To v zelo zanimivo situacijo postavlja vse lastnike spletnih strani, ki imajo na svoji strani omogočen Facebook-ov vtičnik, posledično pa odločitev velja tudi za vse druge oblike posredovanja osebnih podatkov (denimo IP naslov) tretjim osebam. Kot je možno sklepati iz sodbe, je za takšno obdelavo treba dobiti osebno privolitev obiskovalca spletnih strani.

»Z uporabo te spletne strani se strinjate s piškotki,« je stavek, ki ga še vedno lahko preberemo na veliki večini slovenskih spletnih strani. In je napačen. Pravzaprav je verjetno ves sistem piškotkov na spletni strani napačen, saj upravljavci spletnih strani pogosto pozabijo, da ni dovolj zgolj objaviti obvestilo, pač pa je treba temu ustrezno prilagoditi tudi kodo strani.

Napisati pravilne informacije za posameznike (bodisi za zaposlene, obiskovalce spletne strani ali stranke) predstavlja – kot to opažamo v praksi – veliko težavo za upravljavca.

GDPR je v veljavi že skoraj leto dni, težavam, ki jih je uredba s seboj prinesla, pa ni videti konca. Tako nam, denimo, še vedno ni prišlo v navado, da imamo šest pravnih podlag za obdelavo osebnih podatkov in ne več klasičnih dveh. Vse pravne podlage so si med seboj enakovredne, res pa je, da se ne smejo prekrivati. Takšen primer je še posebej pogost v marketingu, kjer lahko hitro zamešamo osebno privolitev in izvajanje pogodbe (ali pa celo kakšno zakonsko določilo specialnega zakona) za izvajanje neposrednega trženja. Posledično upravljavec tvega izbris vseh osebnih podatkov in nevarnost bizarno visoke globe.

Je vaše podjetje seznanjeno z vsemi pravnimi podlagami, ki omogočajo obdelovanje osebnih podatkov? Po uredbi GDPR je ena izmed njih tudi zakoniti interes, ki dovoljuje obdelovanje podatkov tudi v primeru, ko ta ni zakonsko nujna, vendar je za vas ali druge koristna. Med drugim jo lahko uporabljate tudi, ko posamezniku ne morete zagotoviti popolne vnaprejšnje kontrole.

V prispevku preverite, kdaj lahko zakonsko obdelujete osebne podatke.

Še zadnjič v tem letu razpisujemo izobraževanje za dodatne kvalifikacije za Strokovnjaka/strokovnjakinjo za varstvo osebnih podatkov. S pridobljenimi znanji in kompetencami boste samostojno skrbeli za skladnost poslovanja s predpisi s področja varstva osebnih podatkov, znali prepoznati tveganja v zvezi z obdelavo osebnih podatkov in predlagali sprejem ustreznih ukrepov za omejitev tveganj. Prijave zbiramo do zapolnitve mest.