V današnji digitalni dobi je zaščita osebnih podatkov ključnega pomena za potrošnike in podjetja. Splošna uredba o varstvu podatkov (GDPR) je zakonodaja, ki jo je leta 2018 uvedla Evropska unija, in igra ključno vlogo pri zagotavljanju, da so osebni podatki posameznikov ustrezno zaščiteni. Za podjetnike, ki delujejo na evropskem trgu, je razumevanje GDPR več kot nujno. Ta članek ponuja pregled odgovorov na ključna vprašanja, ki si jih zastavljajo vsi podjetniki.

Kaj je GDPR?

GDPR (The General Data Protection Regulation) predstavlja komplet pravil in smernic, ki urejajo, kako se lahko zbirajo, obdelujejo in shranjujejo osebni podatki posameznikov znotraj EU. Zaradi možnosti uporabe velikanske količine podatkov za različne zakonite in nezakonite namene, sta Evropski parlament in Svet EU sprejela dogovor o enotnem predpisu, ki bo na ravni EU okrepil pravice posameznikov in zagotavljal enotno delovanje v vseh državah članicah.

Končni cilj je bil ustvariti enoten evropski digitalni trg brez ovir posameznih držav članic. Uredba razširja varstvo tudi na tuja podjetja, ki imajo sedež izven EU, vendar poslujejo v EU in obdelujejo osebne podatke evropskih državljanov. Ne velja torej samo za podjetja s sedežem v EU, ampak za vsa podjetja, ki obravnavajo podatke državljanov EU. Podjetja, ki ponujajo produkte ali storitve, so morala sprejeti lastne ukrepe, preko katerih s to regulativo skladno upravljajo.

Kdaj je GDPR stopil v veljavo?

Sicer je uredbo Evropski parlament sicer sprejel v aprilu 2016, a v veljavo na področju celotne Evropske unije je stopila dne 25. 5. 2018.

Kateri pravni akt pri nas ureja to tematiko?

Pri nas nekatera vsebinska vprašanja, denimo uporabo zdravstvenih, biometrijskih in genetskih podatkov, in vprašanja, ki zadevajo določene postopke (postopek izrekanja sankcij in pravna sredstva) ureja Zakon o varstvu osebnih podatkov (ZVOP-2).

Katere so najpomembnejše spremembe, ki jih je uvedel zakon?

Bistvene novosti in spremembe v te regulative v Evropi temeljijo na osnovnih načelih GDPR. Gre za nekakšna vrednostna merila, ki opredeljujejo smer in vsebino pravnih pravil, ob tem pa tudi način, kako se ta pravila izvajajo.

Temeljna Načela

1. Zakonitost, poštenost in preglednost

Osebni podatki morajo biti zbrani in obdelani zakonito, pošteno in na pregleden način.

1. Omejitev namena

Podatki se zbirajo zgolj za določene, izrecne in zakonite namene.

1. Načelo najmanjšega obsega podatkov

Omejuje zbiranje podatkov na najnujnejše.

1. Načelo točnosti

Poudarja točnost in redno posodabljanje podatkov.

1. Načelo omejitve shranjevanja

Določa časovne omejitve shranjevanja podatkov.

1. Celovitost in zaupnost

Zagotavlja varnost osebnih podatkov.

1. Načelo odgovornosti

Zahteva skladnost in sposobnost dokazovanja skladnosti z načeli.

GDPR narekuje, da naj bi zavezanci zagotovili skladnost z implementacijo primernih tehničnih in organizacijskih ukrepov. Ti ukrepi lahko vključujejo različne pristope, kot so notranji pravilniki o varstvu osebnih podatkov, dodatno izobraževanje zaposlenih, interne revizije aktivnosti obdelave, minimalizacija zbiranja osebnih podatkov, psevdonimizacija, transparentnost, omogočanje posameznikom spremljanje obdelave ter stalna nadgradnja varnostnih ukrepov.

Ostale bistvene novosti in spremembe

Druge bistvene spremembe v primerjavi s prejšnjim zakonom vključujejo večji nadzor in učinkovitejše izvajanje le-tega, lažji dostop do lastnih osebnih podatkov in povečan nabor pravic posameznika, kot so pravica do pozabe, popravka, izbrisa in drugo.

Pravice Posameznikov

• Pravica biti informiran – jasne in pregledne informacije o obdelavi.
• Pravica dostopa, popravka, izbrisa – vključuje dostop do osebnih podatkov in možnost popravka ali izbrisa netočnih podatkov.
• Pravica do omejitve obdelave – velja v posebnih okoliščinah.
• Pravica do prenosljivosti – strojno berljivi podatki na zahtevo.
• Pravica do ugovora – vključuje ugovor direktnemu marketingu.
• Pravice v povezavi z avtomatiziranim sprejemanjem odločitev in profiliranjem – varovalke proti avtomatiziranim odločitvam brez človeškega posega.

Kaj se v kontekstu GDPR smatra kot osebne podatke?

Osebni podatki so v regulativi GDPR vse informacije, ki so povezane z osebo in preko katerih se lahko to osebo posredno ali neposredno identificira. To so ime in priimek, naslov, podatki o zdravju, podatki o prihodku, lokacija, spletni identifikatorji, kulturni profil …)

Kaj uredba pomeni za uporabnika?

Uporabnikom GDPR prinaša boljši nadzor nad osebnimi podatki, do katerih ima tudi pravico do vpogleda. Z vidika trženja prinaša učinkovitejšo komunikacijo med ponudnikom in uporabnikom ter tako tudi boljšo uporabniško oziroma nakupno izkušnjo – produkti in storitve se še bolj prilagajajo potrebam in interesov uporabnika. Uporabnik lahko tudi izbira med komunikacijskimi kanali in načini trženja, za obdelavo njegovih podatkov v namene promocije pa mora dati tudi privoljenje, s katerim se določi, za kakšno privolitev točno gre.

Kaj pomeni privolitev?

Obrazec za privolitev zajema namen in vrsto osebnih podatkov, ki se obdelujejo, kakšna je vrsta privolitve, kateri so komunikacijski kanali ter kako dolgo se bodo ti podatki hranili. Ko s svojo privolitvijo uporabnik izrazi svojo odobritev, odobri obdelavo svojih podatkov.

Kako GDPR obravnava otroke?

V Sloveniji je obdelava osebnih podatkov otroka zakonita, če privolitev za otroke mlajše od 15 let poda ali odobri starš, rejnik ali skrbnik. Če je otrok starejši od 15 let, se šteje privolitev za zakonito. Pri storitvah, ki so neposredno ponujene otrokom, mora biti obvestilo o zasebnosti jasno in preprosto napisano (tako da ga otrok lahko razume), medtem ko je pri spletnih storitvah potrebno pridobiti tudi soglasje staršev.

Ima uporabnik pravico do vpogleda v osebne podatke?

Podjetje mora uporabniku vsekakor zagotoviti vpogled v osebne podatke, ki jih obdeluje. Uporabnik lahko to zahteva osebno ali preko digitalnih kanalov.

Kaj lahko uporabnik naredi, če ugotovi, da njegovi osebni podatki niso pravilni?

Uporabnik ima pravico do zahtevka popravila podatkov. Ravno zaradi tega je pomembno, da imajo uporabniki pravico do vpogleda, saj lahko tako urgirajo in prispevajo k ažurnosti ter verodostojnosti svojih podatkov.

Ali lahko uporabnik privolitev prekliče?

Uporabnik ima pravico do izbrisa, s katerim se nato preneha obdelovanje njegovih osebnih podatkov za namene promocije. Preklic privolitve pa ne vpliva na pogodbeno razmerje med uporabnikom in podjetjem.

Katere so ključne evidence, ki jih mora podjetje imeti?

GDPRA narekuje, da mora vsaka organizacija, ki redno obdeluje osebne podatke (npr. izplačuje plače, komunicira s strankami), voditi evidenco dejavnosti obdelave, ki zajema različne informacije. Te vključujejo kontaktne podatke upravljavca in drugih relevantnih oseb, namene in opise obdelave, informacije o razkritju in prenosu podatkov, roke za izbris ter opis varnostnih ukrepov.

Poleg tega mora organizacija ob pridobitvi osebnih podatkov posamezniku zagotoviti  tudi različne informacije. Te vključujejo identiteto in kontaktne podatke upravljavca, namene obdelave, zakonite interese, informacije o uporabnikih, obdobje hrambe, obstoj posameznikovih pravic, možnost preklica privolitve, pravico do pritožbe, statutarno ali pogodbeno obveznost zagotavljanja podatkov ter informacije o avtomatiziranem sprejemanju odločitev in profiliranju.

Kakšne so naloge pooblaščene osebe za varstvo podatkov?

GDPR določa, da morajo organizacije imenovati pooblaščeno osebo za varstvo podatkov (DPO) glede na tri osnovne okoliščine: pravno naravo organizacije (javni ali zasebni sektor), naravo osebnih podatkov (občutljivi ali “navadni”) ter načine in namene obdelave osebnih podatkov in povezano tveganje za zasebnost posameznikov. DPO ima vlogo zagotavljanja skladnosti s predpisi in mora delovati neodvisno, brez prejemanja navodil ali možnosti razrešitve ali kaznovanja. Vodstvu lahko neposredno poroča in komunicira s posamezniki, katerih podatki se obdelujejo, pri tem pa odgovarja na njihova vprašanja in zahteve. V primeru inšpekcijskega nadzora bo DPO sodeloval kot predstavnik organizacije in odgovarjal na zahteve ter vprašanja inšpektorja.

GDPR ni samo pravni okvir – predstavlja tudi etično obvezo za vsako podjetje, da spoštuje zasebnost svojih strank. Razumevanje in spoštovanje te regulative ni samo zakonita odgovornost podjetnikov, ampak tudi priložnost za gradnjo zaupanja in integritete znotraj poslovnega okolja. Investicija v skladnost z GDPR je investicija v prihodnost vašega podjetja, strank in industrije. Ne zamudite priložnosti, da se postavite ob bok odgovornim in transparentnim podjetjem!