GDPR: 5 kontrol před odesláním osobních údajů

Sken občanského průkazu, personální spis, seznam zákazníků: jakmile soubor obsahuje údaje umožňující identifikovat osobu, je jeho odeslání zpracováním osobních údajů ve smyslu GDPR — a nástroj, který používáte, se stává článkem tohoto řetězce. Zde je pět kontrol, které byste měli provést, než kliknete na „odeslat“.

Týká se vás to? (spoiler: ano)

GDPR neplatí jen pro velké platformy: účetní kancelář přijímající výplatní pásky, fotograf dodávající portréty, malá firma odesílající personální spis — všichni zpracovávají osobní údaje. Odpovědnost nelze delegovat na nástroj, ale volba nástroje vás zavazuje.

1. Kde jsou data hostovaná

První otázka pro vaši přenosovou službu: kde jsou soubory uložené? Hosting v Evropském hospodářském prostoru zásadně zjednodušuje soulad s předpisy; předání mimo EHP vyžaduje dodatečné záruky (rozhodnutí o odpovídající ochraně, standardní smluvní doložky). TransferNow hostuje v Evropě, s možností volby regionu podle nabídky.

2. Smluvní rámec (DPA)

Pokud jednáte za právnickou osobu, je přenosová služba vaším zpracovatelem ve smyslu článku 28: vztah musí upravovat smlouva o zpracování osobních údajů (DPA). Ověřte, že existuje a je dostupná — je to dokument, který si váš pověřenec (DPO) vyžádá. Ta naše je veřejná, odkazujeme na ni z našich zásad ochrany osobních údajů.

3. Doba uchování

GDPR vyžaduje, aby se údaje neuchovávaly déle, než je nezbytné. Přeloženo do řeči přenosu souborů: odkaz s expirací je výhoda pro soulad. Zvolte dobu odpovídající skutečné potřebě — 7 dní často stačí — a službu, která umožní odkaz deaktivovat, jakmile je předání hotové.

4. Dohledatelnost

Když přijde dotaz — od klienta, od úřadu — musíte umět říct, kdo měl k údajům přístup. Jmenovité upozornění na každé stažení tuto stopu poskytne bez jakékoli další procedury: kdo si soubor vyzvedl a kdy.

5. Minimalizace

Nejjednodušší a nejopomíjenější zásada: posílejte jen to, co je nezbytné. Kompletní složka „pro jistotu“ znásobuje riziko. Před každým citlivým odesláním jedna otázka: potřebuje tento příjemce všechny tyto soubory?

Těchto pět bodů nenahradí právní poradenství — pokrývají ale to, co pověřenec (DPO) zkontroluje jako první. Technickou stránku doplňuje náš bezpečnostní checklist.