Kaj mora vsebovati razkritje?

Stojimo pred razkritja GDPR s povprečno pogostostjo 3-4 krat na dan.

Če ste v navigacijskem načinu, še veliko več. Tista neskončna zmešnjava »napisanega« ima obveznost obvestiti uporabnika, preden spletno mesto začne zbirati njegove osebne podatke. Ti podatki so lahko posredovani ustno ali pisno, vendar morajo biti vedno v skladu s predpisi GDPR.

Kako se različna podjetja lotevajo teh informacij, veliko pove o njih, o njih sposobnost povezovanja z evropsko uredbo ter njihovo sposobnost in pripravljenost vložiti čas in sredstva v zvezi s tem. Ker je relativno nova stvar, v Italiji uredbe GDPR še ne uporabljajo vsa spletna mesta, ki bi jih morala. Tako se znajdemo pred prostori, ki so popolnoma brez njih. Potem so tu še drugi spletni skrbniki, ki jih je zagrabila panika in so se, da bi imeli predpise o podatkih, odločili, da bodo tri ali štiri besede, nekje plagiat, vrgli ven in ustvarili mini okno za odobritev za uporabnika. Dve ali tri vrstice, ker "stran je itak majhna, nihče je ne obiskuje, ni mi treba tam preživeti ure in zapravljati denarja pri odvetniku". In potem so tu še junaki brez pelerin, tisti, ki kopirajo predpise velikih podjetij in jih izdajajo zanje.

Vsi ti trije pristopi so seveda na svoj način napačni. Kaj morajo vsebovati podatki o obdelavi osebnih podatkov?

Kaj vsebuje razkritje GDPR?

13. in 14. člen Evropske uredbe 16/679 z največjo natančnostjo določata vse vsebine, ki jih je treba obvezno vključiti v razkritje vaših osebnih podatkov. Med temi informacijami omenjamo:

  • zainteresirana stranka. Fizična oseba, ki ima osebne podatke, ki bo kliknila na vaše spletno mesto in se sooča z vašo GDPR.
  • Kdo izvaja zdravljenje. Subjekt, ki obdeluje podatke fizične osebe, upravljavec podatkov ali njegov obstoječi zastopnik.
  • naslov DPO. DPO (Data Protection Officer) je oseba, odgovorna za varstvo osebnih podatkov, novost, ki jo uvaja GDPR. Gre za tehničnega in pravnega svetovalca z nalogo usposabljanja lastnika, vodje in zaposlenih za zagotavljanje skladnosti s pravili zakonodaje. DPO ni obvezen za vse, ampak le za tiste, katerih glavna dejavnost je redno in sistematično spremljanje posameznikov v velikem obsegu. Na primer banke, zavarovalnice, kavarne, bolnišnice …
  • Katera zdravljenja se izvajajo in zakaj.
  • Kakšna je pravna podlaga zdravljenja. Želite obdelati podatke zainteresirane stranke. Na kakšni pravni podlagi lahko to storite? V skladu z GDPR mora vsaka organizacija opredeliti osnovo, na kateri temelji zbiranje podatkov – temeljni korak za posameznika, na katerega se nanašajo osebni podatki. Pravzaprav so pravice ljudi odvisne od izbrane pravne podlage za obdelavo njihovih podatkov!
  • Kateri podatki se zbirajo? Z »osebnimi podatki« razumemo vse informacije, ki vodijo nazaj do posameznega posameznika zaradi njegovih odnosov, lastnosti, navad ali življenjskega sloga. Sem spadajo identifikacijski podatki (ime, priimek, naslov), občutljivi podatki (verska ali spolna usmerjenost), pravosodni podatki (trenutni ali pretekli postopki), podatki o novi tehnologiji (e-pošta ali naslov IP). Dobra GDPR vedno navaja, kateri podatki med temi se zbirajo!
  • Ali obdelava vključuje profiliranje? Določiti ga morate. Profiliranje je avtomatiziran postopek zbiranja podatkov, ki omogoča njihovo analizo in razvrstitev v kategorije ali skupine, tako da je mogoče narediti ocene ali napovedi.
  • Ali se podatki posredujejo zunanjim osebam? V razkritju mora biti navedeno, ali obstajajo zunanji upravljavci, razen upravljavca podatkov.
  • Kako dolgo se hranijo podatki in kako. Ali so shranjeni v oblaku? Na Excelovem listu? Kako dolgo se hranijo?
  • Ali se podatki prenesejo v drugo državo? Razkritje mora sporočiti, če se osebni podatki posredujejo v države zunaj Evropske unije.
  • Kakšne so pravice zainteresirane stranke?

GDPR določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravice:

  1. pravico do obveščenosti o tem, kako in zakaj se vaši podatki obdelujejo
  2. pravico do dostopa do vaših podatkov
  3. pravico do popravka vaših podatkov
  4. pravica do izbrisa podatkov s strani lastnika in upravljavcev
  5. pravica do prenosljivosti podatkov, tj. zahtevati, da se podatki prenesejo ali posredujejo neposredno drugemu podjetju, kadar je to tehnično mogoče
  6. pravico do ugovora, tj. zahtevati od organizacije, ki obdeluje osebne podatke – na podlagi lastnega zakonitega interesa ali v okviru dejavnosti javnega interesa ali za uradno pooblastilo –, da jih ne uporablja
  7. pravica, da ne bodo predmet avtomatiziranih izbir, kot je profiliranje
usposabljanje