Potrebuje každá firma rovnakú GDPR dokumentáciu?

Nie. Rozsah dokumentácie závisí od veľkosti firmy, druhu podnikania, kategórií údajov, počtu dotknutých osôb a používaných technológií. Iné povinnosti bude mať menší podnikateľ používajúci základný kontaktný formulár a iné spoločnosť, ktorá vo veľkom rozsahu spracúva údaje zamestnancov, zákazníkov, zdravotné údaje alebo prevádzkuje rozsiahly kamerový systém.

Ako má firma reagovať na žiadosť o vymazanie alebo sprístupnenie údajov?

Najskôr je potrebné overiť totožnosť žiadateľa a posúdiť, ktoré právo si uplatňuje. Nie každej žiadosti o vymazanie možno vyhovieť, napríklad ak firma musí údaje uchovávať na splnenie zákonnej povinnosti alebo na ochranu svojich právnych nárokov.

Čo robiť pri úniku alebo strate osobných údajov?

Firma by mala incident okamžite zdokumentovať, obmedziť jeho následky a posúdiť riziko pre dotknuté osoby. Môže ísť napríklad o nesprávne odoslaný e-mail, stratu notebooku, neoprávnený prístup do systému alebo zverejnenie databázy. Ak je pravdepodobné, že incident povedie k riziku pre práva a slobody fyzických osôb, prevádzkovateľ ho oznamuje dozornému úradu podľa možnosti do 72 hodín od zistenia. Pri vysokom riziku môže byť potrebné informovať aj dotknuté osoby. Úrad má na svojom webovom sídle osobitnú službu na oznamovanie porušení ochrany údajov.

Musí mať každá firma zodpovednú osobu?

Nie. Zodpovednú osobu je povinné určiť iba v prípadoch stanovených GDPR a zákonom, napríklad pri určitom rozsahu pravidelného a systematického monitorovania alebo rozsiahleho spracúvania osobitných kategórií údajov. Aj keď firma zodpovednú osobu povinne nepotrebuje, mala by mať určené, kto interne zodpovedá za vybavovanie žiadostí, aktualizáciu dokumentácie a riešenie bezpečnostných incidentov.