Zistite, aké GDPR povinnosti majú firmy, akú dokumentáciu musia viesť, ako často musia školiť zamestnancov a aké Zistite, aké GDPR povinnosti majú firmy, akú dokumentáciu musia viesť, ako často musia školiť zamestnancov a aké sankcie hrozia. S praktickým sprievodcom Edumio.
Ak vaša firma spracúva osobné údaje zamestnancov, zákazníkov, uchádzačov o zamestnanie, obchodných partnerov alebo iných fyzických osôb, GDPR sa vás týka. Mnohí podnikatelia sa stále domnievajú, že ochrana osobných údajov znamená iba mať na webe zverejnený dokument „Informácie o spracúvaní osobných údajov“. Realita je však oveľa komplexnejšia.
GDPR prinieslo nové pravidlá, ktoré zaväzujú firmy nielen vytvoriť dokumentáciu, ale aj zabezpečiť, aby zamestnanci vedeli s osobnými údajmi správne pracovať. Bez pravidelného vzdelávania a preukázateľných školení môže byť aj kvalitne spracovaná dokumentácia nedostatočná.
S Edumio sa dozviete:
- aké sú GDPR povinnosti firiem,
- aké dokumenty musíte mať pripravené,
- prečo nestačí iba vzor z internetu,
- ako často realizovať školenie ochrana osobných údajov,
- aké sankcie hrozia pri kontrole,
- prečo je e-learning cez Edumio efektívnym riešením.
Čo je GDPR a odkedy platí?
GDPR je skratka pre General Data Protection Regulation, teda všeobecné nariadenie o ochrane údajov. Ide o Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679, ktoré sa začalo uplatňovať 25. mája 2018 vo všetkých členských štátoch Európskej únie. Na Slovensku bol zároveň prijatý zákonom č. 18/2018 Z. z. o ochrane osobných údajov, ktorý upravuje niektoré špecifické oblasti.
Cieľom GDPR je:
- zvýšiť ochranu fyzických osôb,
- posilniť kontrolu nad osobnými údajmi,
- zabezpečiť transparentnosť spracúvania,
- zaviesť zodpovednosť prevádzkovateľov.
Koho sa GDPR týka?
Častou otázkou je: Naša firma má iba 5 zamestnancov. Týka sa nás GDPR? Odpoveď je jednoznačná a to áno. GDPR sa vzťahuje prakticky na každú organizáciu, ktorá spracúva akékoľvek osobné údaje. Patria sem:
- spoločnosti s ručením obmedzeným,
- akciové spoločnosti,
- neziskové organizácie,
- školy,
- zdravotnícke zariadenia,
- hotely a reštaurácie,
- výrobné podniky,
- e-shopy,
- živnostníci,
- združenia, nadácie,
- inštitúcie.
Aké sú povinnosti firmy podľa GDPR?
Mnohé firmy si myslia, že GDPR vyriešia jedným dokumentom. Povinností je však viac.
1. Identifikovať všetky spracovateľské činnosti – údaje
Firma musí vedieť:
- aké údaje spracúváva,
- prečo ich spracúváva,
- na akom právnom základe ich spracúva,
- ktorých kategórií dotknutých osôb sa spracúvanie týka,
- komu ich poskytuje alebo spristupňuje,
- či dochádza k prenosu údajov do tretích krajín,
- ako dlho ich uchováva,
- aké bezpečnostné opatrenia prijala.
Príklad:
Personalistika spracováva:
- životopisy,
- pracovné zmluvy,
- dochádzku,
- údaje o mzdách.
Marketing spracováva:
- e-mailové adresy,
- telefónne čísla,
- údaje zo súťaží.
Obchod spracováva:
- kontakty zákazníkov,
- fakturačné údaje,
- komunikáciu.
2. Informácie o spracúvaní osobných údajov
Každá dotknutá osoba musí vedieť:
- kto spracováva jej údaje – totožnosť a kontaktné údaje,
- na aký účel,
- na akom právnom základe,
- kategórie dotknutých osobných údajov,
- komu môžu byť osobné údaje poskytnuté alebo sprístupnené
- aké má práva,
- či dochádza k prenosu údajov do tretej krajiny alebo medzinárodnej organizácie,
- ako dlho budú údaje uchovávané, alebo podľa akých kritérií sa táto lehota určuje,
- či sa vykonáva automatizované individuálne rozhodovanie vrátane profilovania,
- kde môže podať sťažnosť.
Tieto informácie musia byť zrozumiteľné a dostupné. Nestačí ich skryť do obchodných podmienok.
3. Viesť GDPR dokumentáciu
Veľkou chybou je presvedčenie, že firma má ochranu osobných údajov – PDF tlačivo stiahnuté z internetu, takže je v poriadku. Nie je. Každá firma musí mať dokumentáciu prispôsobenú vlastným procesom.
Akú dokumentáciu musíte mať?
Medzi najčastejšie dokumenty patria:
Záznamy o spracovateľských činnostiach, ktoré obsahujú:
- meno/názov a kontaktné údaje prevádzkovateľa a v príslušnom prípade spoločného prevádzkovateľa, zástupcu prevádzkovateľa a zodpovednej osoby;
- účely spracovania,
- kategórie dotknutých osôb,
- kategórie osobných údajov,
- príjemcov vrátane príjemcov v tretích krajinách alebo medzinárodných organizácií,
- prenosy osobných údajov do tretej krajiny alebo medzinárodnej organizácii vrátanie označenia predmetnej tretej krajiny alebo medzinárodnej organizácie
- lehoty uchovávania,
- podľa možností všeobecný opis technických a organizačných bezpečnostných opatrení uvedených v GDPR.
Interné smernice, ktoré upravujú:
- prístup k údajom,
- bezpečnostné opatrenia,
- postup pri incidente,
- uchovávanie a likvidáciu údajov,
- vybavovanie žiadostí dotknutých osôb.
Poučenia oprávnených osôb – zamestnanci musia vedieť:
- čo môžu robiť,
- čo nesmú robiť,
- ako chrániť údaje
- ako postupovať pri incidente alebo žiadosti dotknutej osoby,
- že osobné údaje môžu spracúvať len podľa pokynov prevádzkovateľa alebo sprostredkovateľa.
Zmluvy so sprostredkovateľmi napr.
- účtovnícke firmy,
- IT dodávatelia,
- cloudové služby.
Prečo nestačí mať dokumentáciu?
Najčastejším problémom pri kontrolách nie je absencia dokumentov. Problémom býva že:
- zamestnanci nevedia, čo dokumenty obsahujú,
- nikto zamestnancov neškolí,
- dokumentácia sa neaktualizuje.
GDPR totiž zavádza princíp zodpovednosti. Firma musí vedieť preukázať, že ich zamestnanci boli poučení a sú pravidelne školení.
Školenie ochrana osobných údajov: Je povinné?
Zákon síce neustanovuje presnú periodicitu školení. Vyžaduje však, aby osoby spracúvajúce údaje boli riadne poučené. To znamená, že školenie musí byť: preukázateľné, zdokumentované, primerané rizikám.
Ako často realizovať GDPR školenie?
Pri nástupe zamestnanca. Každý nový pracovník musí vedieť: čo sú osobné údaje a ako s nimi pracovať.
Raz ročne. Najčastejšie odporúčaná periodicita.
Pri legislatívnych zmenách. Ak sa menia interné procesy.
Pri incidente. Ak došlo k úniku údajov.
Benefity GDPR online školenia cez Edumio
Mnohé firmy stále organizujú zdĺhavé prezenčné školenia. Moderné organizácie prechádzajú na e-learning.
Prečo GDPR cez Edumio?
1. Dostupnosť 24/7
Zamestnanci sa môžu školiť z kancelárie, z domu, počas služobnej cesty. Z PC, notebooku, tabletu či mobilu.
2. Automatická evidencia
Pri kontrole máte k dispozícii:
- záznam o absolvovaní,
- prehľad a upozornenia o neobsolvovaní a nedokončení online školenia,
- výsledky testov,
- dobu platnosti školenia
- certifikáty.
3. Úspora nákladov
Nie je potrebné organizovať termíny, zabezpečovať školiteľov, prerušovať prevádzku.
4. Aktualizovaný obsah
Legislatíva GDPR je hlavný pilier pre obsah školení, ktorý reflektuje na legislatívne zmeny, nové riziká, odporúčania z praxe.
5. Jednoduchá administrácia
HR oddelenie má jasný prehľad kto školenie absolvoval, komu končí platnosť, koho treba vyškoliť.
Aké sankcie hrozia?
Toto je časť, ktorú firmy často podceňujú. Úrad na ochranu osobných údajov môže uložiť opatrenia a pokuty. Výška sankcií závisí od:
- závažnosti porušenia,
- počtu dotknutých osôb,
- miery zavinenia,
- spolupráce počas kontroly.
GDPR umožňuje uložiť pokuty až do výšky:
- 10 miliónov eur alebo 2 % celkového celosvetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia,
- pri závažných prípadoch až 20 miliónov eur alebo 4 % celkového celosvetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia.
Najčastejšie chyby slovenských firiem
Používanie univerzálnych vzorov, ale každá firma je iná.
Neškolenie zamestnancov – dokumentácia bez školení nestačí.
Neaktualizované smernice – procesy sa menia. Dokumentácia zostáva rovnaká.
Slabé heslá – prístup k údajom býva nedostatočne chránený.
Uchovávanie údajov príliš dlho – firmy často nevedia, kedy údaje vymazať.
Príklad z praxe:
Predstavte si firmu s 50 zamestnancami. Má HR oddelenie, obchodníkov, marketing, účtovníctvo. Všetci pracujú s osobnými údajmi. Firma má GDPR dokumentáciu. Nikto ju však nečítal. Pri kontrole sa zistí, že chýbajú záznamy o školeniach, zamestnanci nepoznajú pravidlá, neexistujú poučenia. Výsledkom môže byť vysoká pokuta a reputačné škody.
Prečo si firmy vyberajú Edumio?
Edumio pomáha organizáciám zabezpečiť nielen obsah školení, ale aj ich preukázateľnosť.
Výhody:
- online školenie bez obmedzení,
- certifikáty o absolvovaní,
- evidencia výsledkov,
- jednoduchá administrácia,
- možnosť školiť stovky- tisícky zamestnancov naraz,
- úspora času HR oddelenia,
- profesionálny obsah.
Pre mnohé firmy sa Edumio stalo spôsobom, ako premeniť GDPR z administratívnej povinnosti na efektívne riadený proces.
GDPR pre firmy a HR manažérov – skontrolujte si, či máte:
- Informácie o spracúvaní osobných údajov
- Záznamy o spracovateľských činnostiach
- Interné smernice
- Poučenia oprávnených osôb
- Zmluvy so sprostredkovateľmi
- Bezpečnostné opatrenia
- Evidenciu školení
- Pravidelné GDPR školenie zamestnancov
- Proces riešenia incidentov
- Aktualizovanú dokumentáciu
GDPR nie je jednorazový projekt ani dokument uložený v zásuvke. Ide o systém pravidiel, procesov a zodpovednosti, ktoré musia fungovať každý deň. Firmy, ktoré investujú do kvalitnej dokumentácie a pravidelného vzdelávania zamestnancov, výrazne znižujú riziko incidentov, pokút aj poškodenia reputácie.
Ak hľadáte jednoduchý spôsob, ako zabezpečiť preukázateľné GDPR školenie pre svojich zamestnancov, získať evidenciu absolvovania a odbremeniť HR oddelenie od administratívy, riešením je e-learningová platforma Edumio.sk. Moderné online vzdelávanie pomôže splniť povinnosti efektívne, bez zbytočných nákladov a s istotou, že vaši zamestnanci vedia, ako správne chrániť osobné údaje. Kliknite na edumio.sk a vyplňte formulár.
FAQ: Najčastejšie otázky
Je GDPR povinné pre každú firmu?
Áno. Ak spracúvate osobné údaje, GDPR sa vás týka bez ohľadu na veľkosť firmy.
Musíme mať školenie ochrany osobných údajov?
Áno, osoby pracujúce s osobnými údajmi musia byť poučené a firma musí vedieť preukázať splnenie tejto povinnosti.
Ako často treba školiť zamestnancov?
Odporúča sa minimálne raz ročne a vždy pri nástupe nového zamestnanca.
Stačí nám ochrana osobných údajov PDF z internetu?
Nie. Dokumentácia musí zodpovedať reálnym procesom vašej organizácie.
Hrozia pokuty aj malým firmám?
Áno. Kontrola a sankcie sa môžu týkať aj malých spoločností či živnostníkov.