Nařízení GDPR přináší dlouho očekávanou a tolik potřebnou regulaci ochrany osobních údajů. Direktiva samotná nicméně nemyslí na otevřená data a databáze firem, které tak nemají žádný speciální právní status. Co se zdá jako zásadní problém, může být při správném uchopení konkurenční výhodou.
Veřejný údaj neznamená využitelný
Firemní databáze staví na otevřených datech – veřejných rejstřících a registrech, jež obsahují osobní údaje zveřejněné na základě zákona (typicky živnostenský rejstřík, obchodní rejstřík, katastr nemovitostí). Bohužel skutečnost, že je rejstřík veřejný, neznamená, že je možné zveřejněné osobní údaje dále využívat. Je nutné si uvědomit, že i další zveřejňování údajů z veřejných rejstříků je zpracováním osobních údajů, a k tomu musí správci svědčit právní důvod, tj. zákonem předpokládané oprávnění.
Vzhledem k tomu, že GDPR nepracuje s právním důvodem oprávněně zveřejněných osobních údajů, bude další zveřejňování z veřejných rejstříků převzatých osobních údajů při aplikování tohoto nařízení problematické. Obdobná situace je i u osobních údajů, které subjekty dobrovolně zveřejňují na internetu za určitým účelem. Ani tyto údaje, byť jsou dobrovolně zveřejněné, nelze bez dalšího souhlasu zpracovávat, protože i v tomto případě by k tomu správce neměl právní důvod.
Žádnou databázi už nekoupíte legálně
U B2B dat se vztahuje GDPR primárně na jména a adresy živnostníků, statutárů a dalších osob, a na telefonní a e-mailové kontakty. Tato data či datové sety, aplikace nebo extrakty obsahující osobní údaje už není možné v EU legálně získat zdarma či za úplatu od žádné společnosti. Žádná společnost totiž nedisponuje souhlasem se zveřejněním, a pokud by jím přeci jen disponovala, není oprávněna v žádném případě tato data poskytnout třetí straně.
Úřad na ochranu osobních údajů k tomu zaujal jasné stanovisko: „Skutečnost, že je stanovena veřejnost rejstříku, neznamená, že zveřejněné osobní údaje lze dále neomezeně přebírat a zpracovávat, např. jejich dalším zveřejňováním, a tím na nich profitovat.“ Což je pro mnoho společností zásadní problém. Podle názoru všech námi oslovených auditorů už žádnou komerční databázi firem a živnostníků nelze v EU legálně zakoupit a využívat.
Přesun do cloudu
Jen v případě naší firmy tu je přes dva tisíce společností, které na našich datech staví své akviziční a marketingové aktivity. Abychom zajistili možnost pracovat s daty o firmách a živnostnících v souladu s GDPR, upravili jsme naši aplikaci Merk.cz tak, aby už žádná data přímo neobsahovala.
Z těchto nástrojů se tedy stal „marketingový cloud“. Platforma, kterou provozujeme, sama žádná data přímo neobsahuje. Jen umožní uživatelům v souladu s GDPR stáhnout data z otevřených zdrojů do jejich cloudového úložiště a pak je filtrovat, prohledávat a exportovat. Takto získaná data lze pak využít v souladu s GDPR (článek 6, odstavec 1).
Celé vypořádání s problematikou GDPR tedy spočívá v kompletní změně uvažování a někdy „překopání“ filozofie firmy i jejích produktů. My jsme s implementací GDPR začali více než před rokem. Obnášela zmapování datových toků, prvotní technologickou a právní analýzu, dále samotnou úpravu aplikací, interní směrnici, úpravu smluvních a obchodních podmínek, a nakonec implementaci interních procesů a závěrečný audit.
Vycítili jsme šanci. Tím, že jsme z naší platformy udělali cloudový datový nástroj, získají naši uživatelé aktuálnější data, navíc v souladu s GDPR. Na začátku pro nás GDPR jako pro poskytovatele dat byla zásadní hrozba, nyní jej vnímáme jako příležitost, díky níž se nám daří získávat nové zákazníky, kteří chtějí nadále pracovat s daty v souladu s GDPR. Navíc jsme zmapovali interní procesy, nastavili sledování přístupů a oprávnění, připravili se na implementaci ISO 27001 a provedli další kroky, na které by jinak nezbyl čas.
Za nás jsou tedy výsledkem zavádění GDPR lepší procesy – a k nim navíc silná konkurenční výhoda.
Autor je ředitelem firmy Imper, provozující službu Merk.cz.
