Jedna z nových povinností, která na správce a zpracovatele po účinnosti Obecného nařízení o ochraně osobních údajů (dále jen „GDPR“), tedy od 25. května 2018, dopadne, je povinnost vést záznamy o činnostech zpracování. Nedodržení této administrativní povinnosti může být sankcionováno uložením pokuty až do výše deseti milionů eur nebo do výše 2 % z obratu společnosti, příp. skupiny. V aktuálním článku se zamyslíme nad tím, zda se povinnost zpracovat záznam o činnostech zpracování ve smyslu GDPR u podnikatelů v cestovním ruchu zpravidla uplatní, co to v praxi znamená a jak se na plnění povinnosti účinně připravit.
Článek 30 GDPR stanoví, že povinnost vést záznamy o činnostech zpracování má každý správce osobních údajů. Výjimku tvoří společnosti a organizace, které zaměstnávají méně než 250 zaměstnanců. Mohlo by se tudíž na první pohled zdát, že se tato povinnost vztahuje pouze na velké společnosti. Opak je ale pravdou. Výjimka o minimálním počtu zaměstnanců má totiž také výjimku. Výjimka neplatí, pokud zpracování osobních údajů představuje riziko pro práva a svobody subjektů údajů, není příležitostné nebo zahrnuje zpracování zvláštních kategorií údajů (např. údaje o zdravotním stavu). Jinými slovy, pokud správce zpracovává osobní údaje nikoliv příležitostně nebo je toto zpracování rizikové nebo zahrnuje citlivé údaje, pak musí vždy vést záznamy o činnostech zpracování.
Pro oblast cestovního ruchu je zásadní hned první zmíněná výjimka z výjimky. Za příležitostné zpracování se považuje pouze zpracování, které neprobíhá soustavně, to jest například jednorázové zpracování či zpracování malého rozsahu. Trh službami cestovního ruchu je však postaven na pravidelném uzavírání velkého počtu smluv s koncovými zákazníky, tj. subjekty údajů. Podnikatelé v cestovním ruchu tedy zpravidla provádějí soustavné zpracovávání osobních údajů, a proto jim vznikne povinnost vést záznam o činnosti zpracování osobních údajů, i když mají méně než 250 zaměstnanců. Vedle toho mnozí podnikatelé získávají od svých zákazníků údaje o zdravotním stavu nebo předávají informace do ciziny, včetně zemí mimo EU, čímž snadno naplní i další dvě skupiny výjimek z výjimky.
Záznam o činnostech zpracování je písemný dokument, který definuje typ zpracování osobních údajů. Pro každý typ zpracování musí být veden samostatný záznam. Podnikatelé v cestovním ruchu (např. cestovní kanceláře, agentury a hotely) budou mít minimálně dva záznamy, a to jeden pro zaměstnaneckou činnost – nábor zaměstnanců a druhý pro poskytnutí služby zákazníkovi.
 |
||
|
Podnikatelé v cestovním ruchu zpravidla provádějí soustavné zpracovávání osobních údajů, a proto jim vznikne povinnost vést záznam o činnosti zpracování osobních údajů, i když mají méně než 250 zaměstnanců. |
||
|
 |
|
Záznam musí obsahovat kontaktní údaje správce, účel zpracování, kategorie subjektu údajů, kategorie zpracovávaných osobních údajů, kategorie příjemců, informaci, zda jsou osobní údaje předávány v rámci EU či do třetích zemí, a je-li to možné též lhůty pro výmaz osobních údajů a popis technických a organizačních bezpečnostních opatření. Pokud se tedy bude například jednat o zpracování osobních údajů za účelem cíleného marketingu pomocí souborů cookies, subjektem údajů bude uživatel webové stránky, kategorií zpracovávaných osobních údajů bude např. historie objednávek a kategorii příjemců bude představovat sám správce. Obdobně bude nutné postupovat u každého typu procesu zpracování osobních údajů.
Záznamy o činnostech zpracování musejí být písemné, do čehož se počítá též elektronická forma zpracování. V praxi budou záznamy zpravidla vedeny v tabulce či na jednotném formuláři, kam správce podle povahy zpracování vyplní příslušná pole.
Správce je povinen poskytnout záznamy na vyžádání dozorovému úřadu, kterým je Úřad pro ochranu osobních údajů. Za nedodržení této povinnost je Úřad oprávněn uložit pokutu až do výše deseti milionů eur nebo až 2 procenta z obratu společnosti, příp. skupiny.
Tvorbu záznamu o činnosti zpracování nelze zahájit bez přípravy. Předem je nezbytné uskutečnit tzv. mapování osobních údajů. To spočívá ve zjištění, jaké údaje jsou ve společnosti zpracovávány. Zjištěné údaje je třeba následně zhodnotit z hlediska nezbytnosti jejich zpracovávání a ty nezbytné dále třídit a specifikovat v záznamu o činnosti zpracování. Zatímco mapování lze provést s trochou sebedůvěry bez zásadní odborné pomoci, při posuzování nezbytnosti zpracování a při tvorbě záznamu již vstupují do hry právní aspekty, a proto je vhodné konzultovat právníka, ideálně specialistu na GDPR i cestovní ruch. Dále je též vhodné určit osobu, která bude mít aktualizaci záznamu na starosti.
Advokát, který se zabývá poradenstvím ohledně GDPR a ochrany osobních údajů. Je partnerem advokátní kanceláře Holubová advokáti s. r. o., specializující se na cestovní ruch.
Vážení čtenáři, Váš oblíbený portál Celyoturismu.cz bude v horizontu 3 měsíců uzavřen. To podstatné z cestovního ruchu – vývoj, statistiky, analýzy, legislativní problematiku atd. – proto nově najdete na zpravodajském portálu Hospodářské komory ČR www.komoraplus.cz a také ve...
Kazašská nízkonákladová společnost FlyArystan spustí od 12. června přímé spojení mezi Prahou a kazašským Aktau. Odlety Airbusu A320 pro 180 cestujících jsou plánované vždy v neděli, od 6. července přibude ještě čtvrteční let. Dopravce si Českou republiku vybral jako...
Letiště Praha v letošním roce plánuje odbavit dvojnásobek cestujících oproti roku 2021. S předpokládaným nárůstem provozu je pro zachování komfortu nutné navýšit počet spolupracovníků, a to až o 200 zaměstnanců a o desítky pracovníků na dlouhodobé brigády formou dohod mimo...
