Nařízení GDPR nám závidí i v USA

Není to ani půl roku, kdy bylo na evropské nařízení o ochraně osobních údajů (GDPR) nahlíženo jako na nepotřebnou a zbytečnou záležitost, která podniky neúnosně zatěžuje. Stačilo zneužití osobních dat desítek milionů uživatelů sociální sítě Facebook a vše je najednou jinak. Americké firmy začaly samy volat po potřebě regulace a evropské GDPR si berou jako vzor. Přesto české firmy i měsíc před spuštěním nařízení často tápou a nevědí si s nařízením rady. Není přitom zcela smysluplné v důsledku časové tísně dělat unáhlené kroky. V prvé řadě je třeba identifikovat, kde má firma uložena citlivá data např. o zákaznících, zaměstnancích nebo o jiných lidech, se kterými v průběhu let přišla do kontaktu. Mohou to být například uchazeči o zaměstnání atd.

Zavádět kvůli GDPR nový technologický systém, pokud ho ve firmě již historicky nemáte, je nesmysl. Jednoduše se to nevyplatí. V první fázi stačí vymazat všechny informace, které jako firma nepotřebujete − třeba životopisy uchazečů o zaměstnání. Takové střádání informací bude nově podléhat souhlasu se zpracováním osobních údajů. V další fázi je dobré zaměřit se na zaměstnance − nejen zajistit jejich souhlasy se zpracováním údajů, ale zejména je v oblasti ochrany osobních dat náležitě proškolit. Jejich manažeři by je měli především edukovat tak, aby pochopili, jakou cenu mají informace, s nimiž denně pracují. Je vhodné nastavit i přesné interní postupy, jak s informacemi podle konkrétních situací nakládat. Například všichni zaměstnanci by měli vědět, co dělat, když jejich klient pošle žádost o výmaz osobních údajů. Firma by měla mít například politiku zabraňující slabým heslům v počítačích uživatelů. Zaměstnanci se může celkem jednoduše stát, že mu jeho notebook někdo ukradne nebo že ho někde zapomene. Co už by se stát nemělo, je to, že se mu do něj cizí osoba přihlásí a uvidí jeho data.