Zkratka GDPR, pod kterou se schovává evropské nařízení o ochraně osobních údajů, v posledních týdnech a měsících zaměstnala řadu marketérů. Od 25. května má zlepšit dozor běžných lidí nad tím, co se děje s jejich osobními daty. Paradoxní je, že minimálně v Česku nechává tato novinka veřejnost spíš chladnou.
„Tři pětiny občanů o GDPR nikdy neslyšely a pouze necelá pětina ví, o co jde,“ uvádí čerstvý výzkum agentury STEM/MARK, která pro něj sbírala data v průběhu března. „Zbývající pětina o GDPR slyšela, ale neví, o co se jedná,“ zjistili výzkumníci. „Zdá se, že tu selhává veřejný sektor. Komunikace o GDPR směřuje pouze ke správcům osobních údajů. Nikoliv k občanům, kteří by také měli dostat srozumitelné a dostatečné informace o této oblasti,“ komentuje výsledky Hana Huntová, výkonná ředitelka sdružení SIMAR.
Češi obecně o svá data nemají moc strach: 80 procent dotázaných sdělilo, že ani GDPR je nepřiměje k jejich aktivnější ochraně. Nejhorší pověst má telemarketing. 48 procent lidí připustilo, že se „velmi obává“ zneužití osobních údajů při uzavírání smlouvy po telefonu.
Žádný důvod k panice?
Právníci uklidňují, že se kvůli GDPR nemusí úplně panikařit. „Základní informační povinnosti a poučení jsou v zásadě podobné stávající právní úpravě podle zákona č. 101/2000 Sb., o ochraně osobních údajů,“ říká Karin Pomaizlová z advokátní kanceláře Taylor Wessing Praha. Zákazníci zkrátka museli zpracování svých osobních údajů schválit už podle současné právní úpravy. GDPR je tak spíš příležitost k prověrce, jestli je všechno v pořádku.
„GDPR se týká především firem nad 250 zaměstnanců. Tady jsou v panice ale především malé firmy, účetní kanceláře, ambulantní lékaři, obce…,“ prohlásila eurokomisařka Věra Jourová. „Jsem zavalená znepokojenými dotazy a často vyvracím i fámy o obřích pokutách. Reakce na GDPR je v Česku abnormální a hysterická,“ zhodnotila situaci.
Podle advokátky Pomaizlové si firmy hlavně musí vyhodnotit, jestli souhlas lidí se zpracováním osobních údajů vůbec potřebují. V některých případech o něj totiž ani žádat nemusí, protože osobní údaje mohou zpracovat na základě jiných právních důvodů. Takovým příkladem jsou údaje nutné k uzavření smlouvy.
Častou vadou současných souhlasů je, že z nich není dost jasné, proč vůbec firma osobní údaje potřebuje a co s nimi bude dělat. „Jednoznačně pozitivní je u GDPR zákaz podmiňovat dodání zboží či poskytnutí služby udělením souhlasu se zpracováním osobních údajů, což se dnes často děje, třeba v e-shopech,“ míní Pomaizlová.
„Člověk by měl mít možnost se u jednotlivého zpracování rozhodnout, zda dá souhlas s poskytnutím osobních údajů, nebo ne. Například zákazník e-shopu by měl mít možnost se rozhodnout, zda dá souhlas ke zpracování k marketingovým účelům jen svého telefonu, nebo jen svého e-mailu nebo k oběma kontaktům,“ uvádí advokátka.
Souhlas je klíčová věc, kterou by firmy neměly pustit z hlavy. Když nastane nějaký problém, budou muset doložit, že osobní data zpracovávají oprávněně a že zákazník dal své svolení dobrovolně. „Pokud jste v minulosti získali souhlasy pouhým zahrnutím ve všeobecných obchodních podmínkách, oslovte tyto uživatele znovu, ať vám nově souhlas ‚odškrtnou‘,“ radí advokát Tomáš Šetina, který spolupracuje s firmou Webnode.
„Souhlas by měl být svobodný, konkrétní, informovaný a především jednoznačný. Měl by být napsán srozumitelným, jednoduchým a jasným jazykem,“ připomíná Pomaizlová z Taylor Wessing. Nesmí jít o předem zaškrtnuté políčko a souhlas nesmí být schovaný v jiném dokumentu, musí to být samostatná stránka. Uživateli musí být jasné, komu a proč svá data poskytuje, kdo se k nim dostane a jak tento souhlas může zase zrušit.
Sbohem, já odcházím
Velkou novinkou GDPR je přenositelnost osobních údajů. Každý člověk se může rozhodnout, že požádá firmu o stažení všech údajů, které o něm má uložené, a pak s nimi odejít k její přímé konkurenci. „Otázkou je, jestli firma bude schopna poskytnout fyzickým osobám kopii jejich osobních údajů. Zvládnou tohle podnikové systémy?“ upozorňuje na rizika analýza společnosti Deloitte. „Své údaje si lidé mohou vyžádat ve strukturovaném, běžně používaném a strojově čitelném formátu. Také budou mít právo požádat, aby jedna organizace jejich osobní údaje přímo předala druhé,“ dodává Deloitte.
Právnička Petra Dolejšová z advokátní kanceláře eLegal uklidňuje, že GDPR zároveň dává možnost data neposkytnout, pokud to není technicky možné nebo by s tím byly spojené enormní náklady.
Věrnostní programy v časech GDPR
Některé značky se s odvoláním na GDPR rozhodly úplně skoncovat se zákaznickým klubem. Společnost Sanabilis, která spravuje věrnostní program pro několik stovek zákazníků své lékárny na Praze 6, s jeho změnami začala už od ledna. Vlastní slevové kartičky zruší ke konci května. Místo nich se klienti od června mohou zapojit do jiného lékárenského programu, který provozuje sdružení PharmaPoint. To zastřešuje asi 230 lékáren napříč republikou, Sanabilis tak využije zázemí větší sítě.
Zcela bez náhrady ruší benefitní program české a slovenské zastoupení kosmetické značky Rituals, od 25. května přestane posílat i e-mailový newsletter. V prohlášení pro zákazníky uvádí, že GDPR je „zbytečná a neadekvátní“ administrativní zátěž. „Abychom byli schopni tyto podmínky plnit, museli bychom do této oblasti vynaložit významné finanční prostředky a zaměstnat nové pracovníky na správu agendy osobních údajů,“ argumentuje Rituals. Podrobnosti sdělit nechce. Provozující firma Amerigo na přímý telefonický dotaz odpověděla, že dotazů od novinářů dostává hodně, ale už se ke svému rozhodnutí dále nechce vyjadřovat.
GDPR se naopak nezalekli v síti pekařství Paul, kterou provozuje společnost Lagardere Travel Retail. Jejich program pod názvem Merci Club bude pokračovat i po 25. květnu. Zákazníci se jen musí přihlásit na webu a schválit nové podmínky. Paul je k tomu motivuje soutěží o ceny za více než 200 tisíc korun. „Účastnit se mohou pouze registrovaní členové věrnostního programu,“ upozorňuje. Z pohledu GDPR je podobné motivování k poskytnutí souhlasu v pořádku. Těm, kteří ho dají, je možné nabídnout různé výhody. Není ale možné zákazníka potrestat za to, že se o své osobní údaje dělit nechce.
Konzultanti, právníci a úřady se v této souvislosti shodují, že leckdy bude stačit „selský rozum“. Kdo nechce zákazníky „přečurat“, může být relativně v klidu.
Už máte odklikáno? Facebook pod tlakem blížícího se GDPR začal vyžadovat uživatelské souhlasy s použitím dat pro personalizaci reklam a rozpoznávání obličejů. Podobné výzvy se teď objevují i na dalších sociálních sítích.
Repro: MAM
Eurokomisařka Věra Jourová mírní obavy z nového nařízení. „GDPR má hlavně dopadnout na firmy, které obchodují s údaji a daty a brutálním způsobem je mohou zneužívat,“ uklidňovala veřejnost v rozhovoru pro deník Právo.
Zdroj: Evropská komise
