V květnu příštího roku začne platit evropské nařízení na ochranu osobních údajů, kterému se zkráceně říká GDPR. To se dotkne prakticky všech firem a institucí, které nějakým způsobem zpracovávají osobní údaje. Minulý týden proběhl v Bruselu workshop k GDPR zaměřený na malé a střední podniky. Podle místopředsedy asociace, která tyto podniky sdružuje v Česku, Zdeňka Tomíčka ale workshop nepřinesl moc odpovědí. Ani zástupci Evropské komise netuší, jak bude výklad legislativní novinky vypadat.

„Evropská komise sama na většinu konkrétních otázek položených zástupci SME (malé a střední podniky – pozn. red.) z různých států EU reaguje „it depends“ – není tedy v mnoha bodech jasné, jak bude výklad probíhat,“ uvedl pro server Echo24 místopředseda Asociace malých a středních podniků a živnostníků (AMSP) Zdeněk Tomíček. Nové povinnosti vyplývají z nařízení evropských institucí, které bude platit od jara 2018. To se dotkne všech členských států Evropské unie (EU) a každého, kdo nějakým způsobem s osobními údaji nakládá.

Podle Tomíčka i přístup komise ukazuje, jak zásadní bude GDPR. „Komise upozorňuje, že u většiny nařízení či směrnic žádná výkladová stanoviska před nabytím účinnosti takových předpisů nebývají. Vše je až následně vyjasňováno v praxi a soudními rozhodnutími. GDPR je tedy výjimkou a ukazuje to na důležitost samotného nařízení,“ dodal Tomíček.

Podle Hospodářské komory ale polovina českých podniků vůbec netuší, že se jich nařízení bude týkat. „Z nejnovějšího průzkumu evropských obchodních a hospodářských komor Eurochambres vyplývá, že jen 56 procent evropských firem si je vědomo nových povinností, které s GDPR souvisí. Je přitom téměř jisté, že v samotné ČR nebude povědomí ve srovnání s celou EU nadprůměrné,“ uvedl pro server Echo24 mluvčí komory Miroslav Diro. I proto komora nabízí speciální semináře, příručky a minulý týden k GDPR proběhla i velká konference. 

 AMSP tvrdí, že směrnice může být „bičem“ na firmy. „Dle mého názoru je největší problém v tom, že se podnikatelé musejí nějak vypořádat s novým právním předpisem, v rámci jehož výkladu je mnoho otazníků. Důvodem je mimo jiné použití mnoha vágních slovních obratů v samotném textu GDPR – např. legitime interest, clear action. Pokud se podnikatelé „netrefí,“ hrozí jim vysoké pokuty,“ uvedl Tomíček. 

Těm, kteří svá data dobře nezabezpečí, hrozí sankce až 20 milionů eur (cca 540 milionů korun). Pokuty se mohou pohybovat až do výše 20 milionů eur, nebo jedná-li se o podnik, až do výše 4 procent celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší.

Ministerstvo vnitra se v tomto směru snažilo firmám ulehčit. Při vyjednávání ČR prosadila , že při ukládání pokut nepodnikajícím osobám se má přihlédnout nejen k ekonomické situaci osoby, ale i k obecné úrovni příjmů v daném členském státě, neboť v této oblasti panují v EU stále značné rozdíly.

Úřad na ochranu osobních údajů (ÚOOÚ) i komise společně říkají, že pokud podnikatel nastaví správnou cestu, avšak kontrola přesto odhalí pochybení, pak budou případné postihy minimální. „Tato proklamace však není součástí nařízení ani jakkoli oficiálně deklarována a je tedy otázkou, zda bude plně dodržena,“ dodal Tomíček.