Česká legislativa v oblasti ochrany osobních údajů je založena na dvou klíčových dokumentech – zákonech č. 101/2019 Sb. o ochraně osobních údajů a č. 300/2002 Sb. o správě veřejných záznamů. Tyto předpisy navazují na směrnici EU 2016/680, ale s některými specifickými českými prvky, které zvyšují ochranu dat zejména pro veřejné orgány. Zákon č. 101/2019, který vstoupil v platnost v roce 2021, nahradil dosavadní zákon o ochraně osobních údajů z roku 1992 a přinesl výrazně silnější povinnosti pro všechny subjekty, které zpracovávají osobní údaje – od firem po veřejné správu.
Jednou z nejdůležitějších novinek je povinnost pro subjekty, které zpracovávají osobní údaje, provádět systematickou analýzu rizik a zavádět adekvátní technické a organizační opatření. Podle statistik z roku 2023 bylo v Česku za poslední tři roky zahájeno 1 245 vyšetřování Úřadem pro ochranu osobních údajů (ÚOOOU), z toho 42 % bylo spojeno s porušením bezpečnosti zpracování. Nejčastějšími případy byly chyby při zpracování dat klientů v bankovnictví nebo chybné zpracování zdravotnických údajů v zdravotnictví. ÚOOOU také v roce 2022 vydalo 180 výroků o porušování práv osobních údajů, z nichž 68 % bylo spojeno s nedodržováním povinností při zpracování dat pro marketingové účely.
- Česká republika je jednou z mála zemí v EU, která zavádí povinnost pro subjekty zpracovávat osobní údaje předávat je do zahraničí pouze tehdy, když je zajištěna dostatečná ochrana (článek 49 zákona č. 101/2019).
- V roce 2022 bylo ÚOOOU podáno 13 500 žádostí o přístup k osobním údajům, z toho 8 200 bylo vyhověno a 5 300 bylo zamítnuto z důvodu nedostatečné dokumentace právního základu pro zpracování.
- Povinnost informovat o zpracování osobních údajů musí být uvedena v jednoduchém jazyce, a to nejpozději v době první interakce s osobou. V praxi se často setkáváme s případy, kdy informace jsou nečitelnými technickými texty nebo jsou zasílány poštou, což může vést k porušení.
- Od roku 2023 platí nová pravidla pro zpracování dat v rámci veřejné správy, které zakazují automatizované rozhodování o osobě bez jejího souhlasu, pokud by to mohlo mít významné důsledky.
- V roce 2021 byly ÚOOOU předloženy 1 870 žádosti o vydání výroků o porušení, z toho 72 % bylo spojeno s porušováním pravidel ochrany při zpracování dat v oblasti zdravotnictví.
Prakticky nejvíce se projevuje povinnost dokumentovat každý proces zpracování osobních údajů. Podle průzkumu z roku 2023 si 43 % firem uvědomuje, že nejsou schopné dokázat, že dodržují všechny povinnosti z zákona. Nejčastější chybou je nedokumentování právního základu pro zpracování, což může vést k vysokým pokutám až do výše 30 milionů Kč nebo 6 % obratu společnosti. Například v roce 2022 byla společnost za porušení ochrany osobních údajů ve zdravotnictví potrestána pokutou 18 milionů Kč.
Nejvýznamnějším výzvou pro české subjekty je také ochrana údajů v digitálním prostředí. Podle studie z roku 2023 je 68 % českých firem náchylných k útokům na data, a to zejména kvůli slabým bezpečnostním opatřením při cloudových službách. ÚOOOU proto v posledních letech zvýšilo kontrolní aktivity zejména v oblasti cloudových služeb a mobilních aplikací, kde se často setkává s nedodržováním technických a organizačních opatření.
V praxi se často setkáváme s případy, kde subjekty nechápají, jak se správně přistupovat k ochraně osobních údajů. Například v roce 2022 bylo ÚOOOU podáno 1 200 stížností na nevyhovující zpracování dat v rámci marketingových kampaní, kde byly osobní údaje zpracovávány bez souhlasu nebo bez dostatečné transparentnosti. Dalším problémem je nedostatečné školení zaměstnanců, kteří se přímo podílejí na zpracování osobních údajů. Podle průzkumu z roku 2023 pouze 32 % českých firem poskytuje pravidelné školení v oblasti ochrany osobních údajů.
https://piperspin.co.cz/cscz607
Vzhledem k rostoucímu významu ochrany osobních údajů je nezbytné, aby české subjekty nejen dodržovaly právní předpisy, ale také aktivně pracovaly na zlepšení svých bezpečnostních opatření. V budoucnu se očekává, že se povinnosti budou ještě zvyšovat, zejména v oblasti automatizace a zpracování dat v mezinárodním měřítku. Pro úspěšné dodržování těchto pravidel je klíčové nejen dodržování zákona, ale také přiměřená a transparentní komunikace s osobami, jejichž údaje jsou zpracovávány.