Audítori už istý čas vykonávajú kontrolnú činnosť v oblasti dodržiavania nového zákona o GDPR na území SR. Žiaľ, vznikli aj prípady, kedy sa to nezaobišlo bez pokutovania. Prečo k nim vôbec dochádza? Najčastejšie kvôli chýbám, ktoré majú za následok porušovanie nariadenia o ochrane osobných údajov. Dnes sa pozrieme na tie najabsurdnejšie, ktoré sa podarilo audítorom nájsť pri kontrolnej činnosti:
1. Podmieňovanie pri vernostnom programe
Prvým zlým príkladom je ponúkať zákazníkom výhody vernostného programu a očakávať za to protihodnotu. V tomto prípade sa jedná o využívanie vernostných zliav výlučne za predpokladu poskytnutia súhlasu na spracovanie osobných údajov. Takýto typ podmieňovania je protizákonný a nie je v súlade s nariadením o ochrane osobných údajov.
Firma nemôže zabrániť zákazníkovi čerpať nimi poskytované zľavy a bonusy, ktoré mu vyplývajú z využívania služieb spoločnosti, príp. z predchádzajúcich nákupov. Najmä ak sa jedná o situáciu, kedy im daná osoba nechce poskytnúť výslovný súhlas na spracúvanie osobných údajov. Každý zákazník má slobodnú voľbu si vybrať, či a ktorej spoločnosti poskytne svoje osobné údaje.
2. Súhlas za súhlasom
Nezmyselné žiadosti o súhlas so spracúvaním osobných údajov nie sú ojedinelé. Takéto žiadosti sa zvyčajne vyskytujú v súvislosti s plnením zmlúv.
Ak napríklad poskytovateľ služieb (napr. mobilný operátor) tvrdí, že potrebuje od svojich klientov súhlas so spracúvaním osobných údajov na účely poskytovania služieb, mýli sa.
Spoločnosť je v každom prípade vystavená povinnosti spracúvať osobné údaje potrebné na uzatvorenie a plnenie zmluvy príp. objednávky. Súhlas je tak neprípustný, pretože môže byť kedykoľvek a v každom prípade odvolateľný.
3. Zbytočné zaznamenávanie hovorov
Ďalšia taktika ako vyžiadať od zákazníkov súhlas, avšak nie je to najšťastnejší postup. V týchto prípadoch sa jedná väčšinou o telefonáty s cieľom oslovovať zákazníkov s určitou ponukou a vyžiadať si od nich opätovný súhlas na spracúvanie osobných údajov. Spoločnosti si tieto telefonáty nahrávajú.
V prípade výslovného súhlasu zákazníka po telefóne začnú tieto osobné údaje spracúvať nanovo. Nie je na tom nič protizákonné, ak sú splnené podmienky stanovené v čl. 7 nariadenia o ochrane osobných údajov. Čo však by sme mohli vytknúť je, že takéto nahrávanie telefonátov je skôr zbytočné. Stačí, ak by spoločnosť zverejnila nové pravidlá týkajúce sa ochrany osobných údajov.
4. Neodvolateľný súhlas
Súhlasy so spracúvaním osobných údajov sa nevyžadujú výlučne od zákazníkov, ale týkajú sa aj samotných zamestnancov. Príklad ďalšej bizardnosti spočíva v absolútnom nepochopení nariadenia GDPR vo forme “neodvolateľného súhlasu” zamestnanca. Už z názvu tohto súhlasu je hádam jasné, že sa jedná o nemysliteľnú situáciu. Tento neodvolateľný súhlas s týkal zverejňovania fotografií zamestnancov vo firemnom časopise.
Aby spoločnosť znížila riziko odvolania súhlasu, vymyslela si tento neodvolateľný súhlas, ktorý je však v každom prípade neprijateľný. Stačilo však do súhlasu napísať, že odvolanie súhlas nemá žiaden vplyv na zákonnosť spracúvania, ktoré vychádza zo súhlasu pred jeho odvolaním. Inak povedané, ak už raz zamestnanec súhlasil s uverejnením fotografie vo firemnom časopise a táto jeho fotografia bola aj uverejnená, nemôže svoj súhlas odvolať, a to dokonca ani bez “neodvolateľného súhlasu”.
5. Vystavovanie zákazníkov zbytočnej byrokracií
Posledným príkladom nepochopenia súhlasu je aj to, ak spoločnosť podstrkuje zákazníkom, okrem administrácie týkajúcej sa uzatvorenia a plnenia zmlúv, aj samostatný súhlas so spracovaním osobných údajov. Súhlas sa v tomto prípade javí ako nevyhnutný na plnenie zmluvy, čím opäť vzniká protizákonné podmieňovanie ako v prípade č. 1, ale aj zbytočnosť súhlasu, ako v prípade č. 2. Aby sa splnil súlad, je potreba zabezpečiť aktualizáciu pravidiel ochrany osobných údajov.
Ak ste sa náhodou v niektorom z týchto príkladom našli, vzdajte sa takého postupu. Je to chyba, ktorá vám narobí viac škody ako osohu.