Ochrana osobných údajov nie je v Európe len právna abstrakcia. Od mája 2018, kedy nadobudlo plnú účinnosť nariadenie Európskeho parlamentu a Rady 2016/679, známe ako GDPR, sa každá organizácia, ktorá pracuje s údajmi fyzických osôb, ocitla v režime, v ktorom musí svoje konanie vedieť obhájiť. Nie iba pred dotknutou osobou, ale predovšetkým pred dozorným orgánom. Pokuty, ktoré dozorné úrady udelili za posledných osem rokov v celej Únii, prekročili niekoľko miliárd eur. Pritom väčšina pochybení nevznikla zo zlej vôle. Vznikla z prehliadnutia signálov, ktoré odborná komunita nazýva červenými vlajkami (Red Flags).
Červená vlajka je situácia, postup alebo praktika, ktorá nie je automaticky hneď protiprávna, ale predstavuje vážne riziko, že prekročí hranicu zákonnosti. Niekedy ide ale už aj o jasnú indikáciu, že hranica prekročená už bola.
Inokedy ide len o varovný signál, ktorý si vyžaduje okamžitú analýzu. Tento článok mapuje najčastejšie signály a vysvetľuje nielen prečo sú problematické, ale opiera sa aj o konkrétne ustanovenia GDPR.
1. Súhlas, ktorý nie je súhlasom
Asi najčastejšou červenou vlajkou je nesprávne získaný súhlas (jeden z právnych základov). Článok 4 ods. 11 GDPR definuje súhlas ako slobodný, konkrétny, informovaný a jednoznačný prejav vôle. Článok 7 ho ešte dopĺňa, že prevádzkovateľ musí byť schopný preukázať, že dotknutá osoba súhlas dala, a že súhlas musí byť odlíšiteľný od ostatných záležitostí, formulovaný zrozumiteľne a v jednoduchom jazyku.
Príklad z praxe. E-shop pri registrácii umiestni jedno zaškrtávacie políčko s textom: súhlasím s obchodnými podmienkami, spracovaním údajov na marketingové účely, zasielaním newslettera a profilovaním pre personalizovanú reklamu.
Toto je však za hranou. Kombinovanie viacerých účelov do jediného súhlasu odporuje princípu konkrétnosti. Dotknutá osoba nemá reálnu možnosť odmietnuť napríklad profilovanie a zároveň pokračovať v nákupe. Francúzsky úrad CNIL dokonca pokutoval Google v januári 2019 sumou päťdesiat miliónov eur práve za neprehľadný a nedostatočne granulárny súhlas.
Iný typický prípad. Pri vstupe na webovú stránku sa zobrazí cookie lišta s veľkým zeleným tlačidlom prijať všetko a malým, sivým, sotva viditeľným odkazom odmietnuť alebo nastaviť preferencie. Toto je klasický dark pattern praktika. Európsky výbor pre ochranu údajov vo svojich usmerneniach z roku 2022 jasne uviedol, že vizuálna nerovnováha medzi voľbami narúša slobodu súhlasu. Súhlas získaný takto je neplatný a prevádzkovateľ spracúva údaje bez právneho základu, čo je porušenie článku 6 GDPR.
2. Účel, ktorý sa nenápadne rozširuje
Princíp obmedzenia účelu zakotvený v článku 5 ods. 1 písm. b) GDPR hovorí, že osobné údaje sa musia získavať na konkrétne určené, výslovne uvedené a legitímne účely. Nesmú sa ďalej spracúvať spôsobom, ktorý je s týmito účelmi nezlučiteľný.
Konkrétny príklad. Spoločnosť poskytujúca kuriérske služby získala od zákazníkov adresy a telefónne čísla na účely doručenia zásielok. Po dvoch rokoch sa marketingové oddelenie rozhodlo využiť túto databázu na zasielanie reklamných SMS o nových službách. Prevádzkovateľ argumentoval, že ide o oprávnený záujem podľa článku 6 ods. 1 písm. f).
Toto je však tiež za hranou. Účel, na ktorý boli údaje získané, bol doručenie tovaru. Marketing je ale nový účel, ktorý si vyžaduje buď nový súhlas, alebo (ak je vhodnejší oprávnený záujem podľa článku 6 ods. 1 písm. f), tak aj riadne vykonaný test proporcionality v zmysle recitálu 47, ktorý zohľadňuje rozumné očakávania dotknutej osoby. Zákazník, ktorý si objednal doručenie balíka, logicky neočakáva, že po dvoch rokoch dostane reklamnú SMS na niečo iné, než čo bolo predmetom zmluvného vzťahu pred tým.
Ešte vážnejší prípad nastáva v zamestnaneckom kontexte. Zamestnávateľ získal od zamestnancov údaje o zdravotnom stave v rámci pracovnej zdravotnej služby. Treba jedným dychom podotknúť, že to nesmie byť informácia o presnej diagnóze a podobne. Maximálne môže dostať informáciu, že zamestnanec je alebo nie je schopný danú pozíciu vykonávať. Tieto údaje však neskôr použil pri rozhodovaní o povýšení. Ide tu o spracúvanie osobitnej kategórie údajov v zmysle článku 9 GDPR, ktoré bez výslovného súhlasu alebo inej zákonnej výnimky nemá žiadny právny základ. Zároveň ide o jasné porušenie princípu obmedzenia účelu. Takéto konanie spravidla končí pokutou v hornej hranici sadzby, teda až do dvadsiatich miliónov eur alebo štyroch percent ročného obratu.
3. Minimalizácia, ktorá sa nekoná
Článok 5 ods. 1 písm. c) GDPR ukladá zásadu minimalizácie údajov. Spracúvané údaje musia byť primerané, relevantné a obmedzené na nevyhnutný rozsah vo vzťahu k účelu. V praxi je porušenie tejto zásady jedným z najčastejších, a pritom najľahšie identifikovateľných.
Príklad. Fitness centrum vyžaduje pri registrácii do členstva rodné číslo, dátum narodenia, fotokópiu občianskeho preukazu, údaje o zdravotnom poistení a kontakt na blízku osobu. Účelom je uzatvorenie zmluvy o členstve. Rodné číslo, ktoré síce už nie je tkz. špeciálnym osobným údajom, by sa však na tento účel nemalo používať, pretože na tento účel nie je potrebné. Zároveň s rodným číslom treba ale stále pracovať veľmi uvážene a opatrne. Ak sa použiť nemusí, tak sa mu treba vyhnúť. Dátum narodenia bohato stačí. Fitness centrum sa tak vyhne aj duplicite. Kópia občianskeho preukazu tiež nie je potrebná, keďže postačuje overenie totožnosti nahliadnutím. Údaj o zdravotnom poistení nie je relevantný, pokiaľ klub neposkytuje zdravotné služby. Kontakt na blízku osobu môže byť odôvodnený pri sledovaní zdravotných rizík, ale spravidla by malo ísť len o dobrovoľný údaj. Takéto získavanie je teda za hranou.
Iný príklad. Realitná kancelária pri prehliadke nehnuteľnosti odfotí občiansky preukaz záujemcu z dôvodu bezpečnosti. Bezpečnostný záujem je legitímny, ale nevyhnutnosť vyhotovenia fotografie preukazu je sporná. Postačuje overenie totožnosti a zápis mena. Prečo je tomu tak? Fotografia preukazu obsahuje rodné číslo, fotografiu, podpis, číslo dokladu a ďalšie údaje, ktoré nesúvisia s daným účelom. Európske dozorné orgány opakovane zdôraznili, že nadbytočné zhromažďovanie údajov nie je možné dodatočne ospravedlniť tvrdením, že údaje neboli ďalej použité.
4. Doba uchovávania, ktorá nikdy nekončí
Článok 5 ods. 1 písm. e) GDPR ukladá zásadu minimalizácie uchovávania. Údaje sa nesmú uchovávať dlhšie, ako je to potrebné pre účel, na ktorý sa spracúvajú. Prevádzkovateľ má mať jasne stanovené retenčné lehoty a po ich uplynutí má údaje vymazať alebo anonymizovať.
Príklad z praxe. Personálna agentúra uchováva životopisy uchádzačov od roku 2014 v zdieľanom priečinku. Argumentuje, že môže uchádzača v budúcnosti osloviť s novou ponukou. Toto je tiež určite tá povestná červená vlajka. Bez jasne stanovenej lehoty, bez pravidelnej revízie a bez aktualizovaného súhlasu ide po určitom čase o nezákonné uchovávanie. Európske dozorné orgány opakovane potvrdili, že obvyklá lehota pre uchovávanie životopisov bez aktívneho výberového konania je šesť mesiacov až jeden rok, prípadne dlhšie len s výslovným súhlasom uchádzača.
Ešte častejším javom je to, že spoločnosť nemá retenčné lehoty stanovené pre žiadny typ údajov. Prípadne, ak ich aj má, tak ich má rozdelené len podľa niekoľkých nejasných kritérií a chýbajú zdôvodnenia retenčných termínov pre každý jednotlivý osobný údaj. Údaje o zákazníkoch, zamestnancoch, dodávateľoch a kandidátoch ostávajú v systémoch v tom horšom prípade donekonečna. Pri kontrole dozorného úradu takýto stav predstavuje samostatné porušenie a väčšinou aj indikátor širších systémových nedostatkov.
5. Prenos do tretej krajiny bez záruk
Kapitola V GDPR upravuje prenos osobných údajov do tretích krajín a medzinárodných organizácií. Štandardné zmluvné doložky síce zostali platným nástrojom, ale prevádzkovateľ musí vždy vykonať aj takzvaný TIA - Transfer Impact Assessment, teda posúdenie vplyvu prenosu.
Po rozsudku Súdneho dvora Európskej únie vo veci Schrems II z júla 2020 sa zmenili aj pravidlá prenosu osobných údajov do Spojených štátov amerických. Tam je to ako na hojdačke. Raz sú USA v pozícii tzv. tretej krajiny a inokedy akoby boli súčasťou EÚ, teda osobné údaje sa môžu prenášať, ak je americká spoločnosť zaregistrovaná na Data Privacy Framework, ktorú vedie Ministerstvo obchodu USA.
Príklad. Slovenský e-shop využíva cloudového poskytovateľa so sídlom v Spojených štátoch na ukladanie zákazníckej databázy. Poskytovateľ má štandardné zmluvné doložky. Prevádzkovateľ však nevykonal posúdenie, či americké právne predpisy umožňujú zachovať úroveň ochrany v zmysle GDPR. Toto je za hranou. Po prijatí Data Privacy Framework v júli 2023 sa síce situácia pre certifikovaných amerických poskytovateľov zlepšila, ale povinnosť overiť, či konkrétny poskytovateľ je certifikovaný a či sa naňho rámec vzťahuje, leží na prevádzkovateľovi. Je otázkou, či to vôbec niekto robí.
Ďalší prípad. Spoločnosť používa nástroj na webovú analytiku, ktorý odosiela údaje vrátane IP adries do tretej krajiny bez akýchkoľvek záruk. Rakúsky a francúzsky dozorný úrad v rokoch 2022 a 2023 vyhlásili používanie niektorých konfigurácií Google Analytics za nezlučiteľné s GDPR. Slovenský úrad sa k podobnej argumentácii pripojil tiež. Aj tu platí, že samotné dodržanie technických nastavení nestačí, ak chýba právny rámec prenosu.
6. Práva dotknutej osoby ako formálna prekážka
Články 12 až 22 GDPR zakotvujú práva dotknutej osoby. Právo na prístup, opravu, vymazanie, obmedzenie spracúvania, prenosnosť, namietanie a právo nepodliehať automatizovanému rozhodovaniu. Prevádzkovateľ má na vybavenie žiadosti lehotu jeden mesiac s možnosťou predĺženia o dva mesiace pri komplexných žiadostiach. Žiadosť má byť vybavená bezodkladne a bezplatne.
Príklad červenej vlajky. Klient banky podá žiadosť o prístup k svojim osobným údajom. Banka odpovie po dvoch mesiacoch, poskytne neúplný výpis a vyžiada poplatok za prípravu kópií. Toto je za hranou hneď v troch ohľadoch. Lehota bola prekročená bez riadneho odôvodnenia, výpis nebol úplný, poplatok je v zmysle článku 12 ods. 5 prípustný len pri zjavne neopodstatnených alebo neprimerane sa opakujúcich žiadostiach.
Iná situácia. Zákazník požiada e-shop o vymazanie svojich údajov. Prevádzkovateľ odpovie, že údaje vymazať nemôže, lebo ich potrebuje na účtovné účely. To môže byť čiastočne pravda, ale len pre konkrétne údaje a konkrétne obdobie podľa zákona o účtovníctve, teda zvyčajne napríklad 10 rokov pre účtovné doklady. Údaje, ktoré nesúvisia s účtovnou stopou, napríklad marketingové preferencie alebo história prehliadania, musia byť vymazané. Plošné odmietnutie žiadosti je nezákonné.
7. Bezpečnostné opatrenia, ktoré existujú len na papieri
Článok 32 GDPR ukladá prevádzkovateľovi a sprostredkovateľovi povinnosť zaviesť primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti zodpovedajúcej riziku. Recitál 83 dopĺňa, že posúdenie rizika má zohľadňovať aj náklady, povahu spracúvania, rozsah, kontext a účely.
Príklad. Lekárska ambulancia uchováva zdravotnú dokumentáciu pacientov na zdieľanom disku v lokálnej sieti bez šifrovania, bez riadenia prístupov a s univerzálnym heslom, ktoré pozná každý zamestnanec. Toto je za hranou. Spracúvanie zdravotných údajov je spracúvaním osobitnej kategórie údajov v zmysle článku 9, čo zvyšuje požiadavky na bezpečnosť. Absencia šifrovania, absencia riadenia prístupov a zdieľané heslo predstavujú jednotlivo aj v súhrne závažné pochybenie.
Iný príklad. Spoločnosť zaviedla bezpečnostnú politiku, smernicu o ochrane údajov, plán reakcie na incidenty a školenia zamestnancov. Na papieri všetko zodpovedá štandardu. V praxi sa však politiky neaktualizujú päť rokov, školenia sa konajú raz pri nástupe a potom nikdy, plán reakcie nebol nikdy testovaný. Pri kontrole dozorný úrad takúto situáciu spravidla hodnotí ako neexistenciu opatrení, nie ako ich nedostatok. Forma bez obsahu totiž nie je žiadnym opatrením.
8. Sprostredkovateľské vzťahy bez zmluvy
Článok 28 GDPR požaduje, aby sa vzťah medzi prevádzkovateľom a sprostredkovateľom upravil písomnou zmluvou (zmluva o ochrane osobných údajov alebo DPA - Data Protection Agreement), alebo iným právnym úkonom s presne definovaným obsahom ako je predmet spracúvania, doba trvania, povaha a účel spracúvania, typ údajov, kategórie dotknutých osôb, povinnosti a práva prevádzkovateľa.
Príklad. Spoločnosť využíva externého poskytovateľa miezd. Mzdové údaje zamestnancov sa odosielajú poskytovateľovi e-mailom v nezašifrovanom súbore. Zmluva medzi spoločnosťami pokrýva len cenu služby a SLA. Žiadna doložka o spracúvaní osobných údajov neexistuje. Toto je tiež za hranou. Bez zmluvy podľa článku 28 ide o nezákonné poskytnutie údajov tretej strane. Zodpovednosť nesie primárne prevádzkovateľ, ale aj sprostredkovateľ.
Iná situácia. Spoločnosť používa marketingový nástroj prevádzkovaný v cloude. Pri registrácii do nástroja klikla na obchodné podmienky, ktoré obsahujú aj doložku o spracúvaní údajov. Toto môže byť v poriadku, ak doložka spĺňa požiadavky článku 28. Často však nespĺňa, najmä ak je formulovaná všeobecne, formálne, neobsahuje záruky v prípade prenosu do tretej krajiny alebo neumožňuje audit. Prevádzkovateľ má povinnosť aktívne preveriť obsah doložky, nie sa naňho len spoľahnúť.
9. Záznam o spracovateľských činnostiach, ktorý nikto nevedie
Článok 30 GDPR ukladá vedenie záznamu o spracovateľských činnostiach. Pri organizáciách s viac ako dvestopäťdesiatimi zamestnancami je povinný vždy. Pri menších len v určitých prípadoch, napríklad ak spracúvanie nie je príležitostné, zahŕňa osobitné kategórie údajov alebo môže predstavovať riziko pre práva a slobody dotknutých osôb. V praxi to však znamená, že väčšina aktívne pôsobiacich organizácií ho viesť potrebuje.
Príklad. Stredne veľká spoločnosť s päťdesiatimi zamestnancami spracúva údaje zákazníkov, dodávateľov, zamestnancov a marketingových kontaktov. Záznam neexistuje. Pri kontrole dozorný úrad spravidla okamžite konštatuje porušenie. Záznam je základným nástrojom, na ktorom stoja všetky ďalšie povinnosti, vrátane posúdenia rizík a posúdenia vplyvu na ochranu údajov podľa článku 35.
10. Posúdenie vplyvu, ktoré sa nevykoná
Článok 35 GDPR vyžaduje vykonať posúdenie vplyvu na ochranu údajov, takzvané DPIA - – Data Protection Impact Assessment, vždy keď spracúvanie pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb. Európsky výbor a národné dozorné úrady zverejnili zoznamy operácií, pri ktorých je DPIA povinné. Patria sem rozsiahle systémy biometrickej identifikácie, sledovanie zamestnancov, profilovanie s právnymi účinkami, inovatívne technológie.
Príklad za hranou. Zamestnávateľ zavedie systém na sledovanie produktivity zamestnancov, ktorý zaznamenáva aktivitu na obrazovke, čas strávený v jednotlivých aplikáciách a hodnotí výkon na základe algoritmu. DPIA nebola vykonaná. Konzultácia s dozorným úradom podľa článku 36 nebola vykonaná. Pri kontrole to takmer s istotou skončí pokutou aj nariadením zastaviť spracúvanie.
Záver, ktorý nie je záverom
Červené vlajky pri spracúvaní osobných údajov nie sú vyčerpávajúcim zoznamom ani v reálnom živote a ani v tom článku. GDPR je rámcová úprava, ktorá pracuje s princípmi a kontextom. To, čo je v jednej situácii prijateľné, môže byť v druhej za hranou. Spoločným menovateľom všetkých uvedených prípadov je však jeden fakt. Vznikajú vtedy, keď prevádzkovateľ nahliada na ochranu údajov ako na formálnu povinnosť, ktorú treba odbaviť, namiesto toho, aby ju vnímal ako súčasť dôvery medzi sebou a osobami, ktorých údaje spracúva.
Princíp zodpovednosti zakotvený v článku 5 ods. 2 GDPR znamená, že prevádzkovateľ musí byť schopný preukázať dodržiavanie všetkých zásad. Toto preukazovanie nie je možné improvizovať v deň kontroly. Buduje sa systematicky, dokumentuje sa priebežne a testuje sa pravidelne. Organizácie, ktoré toto pochopili, červené vlajky rozpoznávajú skôr, ako sa stanú porušením. Tie, ktoré to nepochopili, sa s nimi stretávajú v rozhodnutiach dozorných úradov. A tam už nejde o varovanie, ale o sankciu.
