Evropská reforma ochrany osobních údajů - pomůže nebo uškodí podnikům?

Původní evropská legislativa, z níž vychází také český zákon na ochranu osobních údajů, pochází z roku 1995 a nereflektuje aktuální situaci. Nový návrh, jehož první verze byla předložena v roce 2012, zohledňuje rychlý rozvoj moderních technologií a přesouvání běžného života do online prostředí. Podle Evropské komise by měl poskytnout občanům posílenou ochranu jejich osobních údajů a zjednodušit právní prostředí pro firmy.

Jednotný zákon počítá s eliminací současné roztříštěnosti národních legislativ a sjednocením dohledu pod jediného regulátora s celoevropskou působností, což má odbourat administrativní náklady a vést k úsporám pro firmy, zejména ty působící ve více evropských státech. Výši úspor Komise odhaduje na cca 2,3 miliardy eur ročně, ovšem tato predikce nezahrnuje zvýšené náklady související s řadou nových povinností uložených podnikatelům a ostatním subjektům zpracovávajícím osobní údaje.

Liberální přístup k osobním údajům

Nové nařízení dopadne i na české podniky. Tuzemská úprava zákona na ochranu osobních údajů je již nyní poměrně podrobná, protože byla přijata "až" v roce 2000. Oproti některým jiným zemím EU tak zákon počítal s jistými novinkami v souvislosti s moderními informačními technologiemi. Přesto byl již více než dvacetkrát novelizován, naposledy na sklonku minulého roku.

Obecně lze konstatovat, že osobní údaje jsou u nás a ve většině ostatních zemí středoevropského regionu chráněny relativně liberálně v porovnání se státy západní Evropy. Ještě volnější režim má například Bulharsko nebo některé pobaltské země.   

Celoevropská úprava podnikatelům na jednu stranu ulehčí přeshraniční fungování a sdílení údajů, přinese s sebou však i řadu nových povinností a s tím spojených dodatečných nákladů a investic, jak finančních, tak časových. Výsledná bilance tak rozhodně není jednoznačná a ve většině velkých korporací panují spíše obavy z nové administrativní zátěže.

Už teď proto někteří podnikatelé z opatrnosti přistupují k revizi a aktualizaci postupů a dokumentací týkajících se ochrany osobních údajů. Stejně tak bude muset každý podnikatel revidovat, případně zcela nově nastavit proces notifikace a krizového managementu pro případ ohrožení, napadení či ztráty osobních údajů. Jakékoliv ohrožení osobních údajů budou muset podniky do 24 hodin hlásit příslušnému úřadu, a to i v případě, že jsou aktivována bezpečnostní opatření a reálné riziko úniku údajů je minimální.

Úlevy pro malé a střední podniky 

Jako pozitivum lze vnímat fakt, že nová úprava, na rozdíl od té předchozí, alespoň částečně rozlišuje mezi menšími a většími podnikateli. Komise v návrhu představila několik úlev pro malé a střední podniky, díky nimž se na ně některé body nového zákona nebudou vztahovat. Menší firmy se tak vyhnou některým byrokratickým úkonům a nákladům s nimi spojeným a z nové úpravy by teoreticky měly spíše profitovat.

Jednou z diskutovaných částí návrhu, které se malé a střední podniky vyhnou, je povinné zavedení funkce tzv. inspektora osobních údajů, jehož by měly jmenovat všechny orgány státní správy a společnosti s více než 250 zaměstnanci, které osobní údaje zpracovávají. Angažování vhodného a zkušeného člověka by mohlo vést k vyšší informovanosti o pravidlech a obecnému zlepšení povědomí o ochraně osobních údajů ve firmách, aktuální podoba návrhu však není zcela dotažená.

Podle Komise by měl z důvodu nezávislosti být angažován někdo zcela nezávislý (zřejmě externista), což podnikům přinese značné dodatečné náklady. Úprava navíc uspokojivě neupravuje odvolatelnost z funkce, takže podle aktuálního návrhu by byl inspektor prakticky neodvolatelný, a to i v případě porušení svých povinností. Původní návrh počítal s povinným jmenováním inspektora v každé firmě, aktuální verze mluví o povinnosti pouze pro státní správu, u soukromých firem by mělo jít o dobrovolné opatření. Lze tedy jen těžko odhadovat, kolik podniků bude inspektora reálně využívat.