Software GDPR pro řízení
ochrany osobních údajů

Obecné nařízení o ochraně osobních údajů (nařízení (EU) 2016/679, anglicky General Data Protection Regulation, GDPR) je právo ochrany osobních údajů Evropské unie. Platí od 25. května 2018 přímo ve všech členských státech a stanoví, za jakých podmínek smějí být osobní údaje zpracovávány, jaká práva mají subjekty údajů a jaké povinnosti mají správci a zpracovatelé. V Německu ho doplňuje spolkový zákon o ochraně osobních údajů (BDSG), v Česku zákon č. 110/2019 Sb.

Systém řízení ochrany osobních údajů (DPMS, anglicky Data Protection Management System) je souhrn pravidel, procesů, rolí a důkazů, jimiž organizace dodržuje GDPR a dokáže to doložit. Zahrnuje záznamy o činnostech zpracování, právní základy, technická a organizační opatření, vyřizování žádostí a incidentů i pravidelnou revizi.

Software GDPR zobrazuje požadavky nařízení jako katalog a propojuje je s tím, k čemu se vztahují — činnostmi zpracování, systémy, kategoriemi údajů, dodavateli, osobami. Opakující se činnosti běží jako případy s workflow a lhůtou a záznamy o činnostech zpracování, zpráva DPIA a dokumentace incidentů vznikají z dat místo v tabulkách.

Data Protection Kit je připravený výchozí obsah softwaru DPMS Complaica: typická organizační struktura, šablona záznamů podle čl. 30, hodnocení a zpráva DPIA i katalogy hrozeb a opatření. Tato stránka popisuje funkce a postupy softwaru GDPR; obsah sady představuje stránka o softwaru DPMS.

Deset typů případů s vlastním workflow: činnost zpracování (PA), žádost subjektu údajů (DSR), stížnost (CMP), porušení zabezpečení osobních údajů (DPI), posouzení nutnosti DPIA (TA), posouzení vlivu na ochranu osobních údajů (DPIA), posouzení dopadů předání (TIA), souhlas (CR), posouzení oprávněného zájmu (LIA) a závazek mlčenlivosti (CC). K tomu prověření zpracovatele, bezpečnostní incident a lesson learned.

Podle čl. 12 odst. 3 GDPR bez zbytečného odkladu, v každém případě však do jednoho měsíce od obdržení žádosti. Je-li to nezbytné s ohledem na složitost a počet žádostí, lze tuto lhůtu prodloužit o další dva měsíce; subjekt údajů musí být o prodloužení a jeho důvodech informován do jednoho měsíce od obdržení žádosti. V Complaica nese každá žádost svou lhůtu a dashboard ukazuje, co je splatné.

Podle čl. 33 odst. 1 GDPR ohlásí správce porušení zabezpečení osobních údajů příslušnému dozorovému úřadu bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl — ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Není-li ohlášení učiněno do 72 hodin, musí být současně uvedeny důvody tohoto zpoždění. Zpracovatel ohlásí porušení správci bez zbytečného odkladu. Je-li pravděpodobné, že porušení bude mít za následek vysoké riziko, oznámí se podle čl. 34 bez zbytečného odkladu i subjektům údajů. Podle čl. 33 odst. 5 se dokumentuje každé porušení.

Podle čl. 35 GDPR tehdy, když zpracování — zejména při využití nových technologií — bude mít pravděpodobně za následek vysoké riziko pro práva a svobody fyzických osob. Čl. 35 odst. 3 uvádí zejména systematické a rozsáhlé vyhodnocování osobních aspektů včetně profilování, na němž se zakládají rozhodnutí s právními účinky, rozsáhlé zpracování zvláštních kategorií údajů nebo údajů o trestných činech a rozsáhlé systematické monitorování veřejně přístupných prostorů; dozorové úřady zveřejňují seznamy podle čl. 35 odst. 4. Zda je DPIA nutná, v Complaica vyjasní posouzení nutnosti DPIA u každé činnosti zpracování.

Posouzení, zda je předání osobních údajů do třetí země přípustné: který nástroj kapitoly V se uplatní — rozhodnutí o odpovídající ochraně, standardní smluvní doložky, závazná podniková pravidla —, zda právo cílové země ochranu oslabuje a jaká doplňková opatření jsou nutná. Soudní dvůr EU toto posouzení požadoval v rozsudku Schrems II (C-311/18). V Complaica je TIA typem případu s termínem revize.

Podle čl. 7 odst. 1 GDPR musí být správce schopen doložit, že subjekt údajů udělil souhlas. Podle čl. 7 odst. 3 lze souhlas kdykoli odvolat a odvolání musí být stejně snadné jako jeho udělení. Complaica vede souhlasy jako případy se stavy aktivní, odvolaný a vypršelý, propojené s činností zpracování, která se o ně opírá.

Posouzení, zda se zpracování může opřít o oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR: existuje oprávněný zájem, je zpracování pro něj nezbytné a nepřevažují nad ním zájmy nebo základní práva subjektu údajů? Výsledek se dokumentuje — v Complaica jako případ navázaný na činnost zpracování.

Osoby, které jednají z pověření správce nebo zpracovatele a mají přístup k osobním údajům, smějí tyto údaje zpracovávat pouze na pokyn (čl. 29, čl. 32 odst. 4); pracovníci zpracovatelů musí být podle čl. 28 odst. 3 písm. b) zavázáni k mlčenlivosti. Písemný závazek mlčenlivosti je obvyklým dokladem. Complaica ho vede u každé osoby: odeslaný, podepsaný, prošlý nebo odmítnutý, s dokumentem a datem.

Koncepce výmazu stanoví, kdy a jak se které osobní údaje vymažou. Druhy údajů se přiřazují k pravidlům výmazu — s počátečním okamžikem a lhůtou odvozenými z účelu a ze zákonných povinností uchovávání — a jednotky výmazu popisují, ve kterém systému a s jakou granularitou se maže. Metodu popisuje norma DIN EN ISO/IEC 27555:2025-09, která v září 2025 nahradila DIN 66398. V GDPR za tím stojí zásada omezení uložení (čl. 5 odst. 1 písm. e)), právo na výmaz (čl. 17) a lhůty pro výmaz v záznamech (čl. 30 odst. 1 písm. f)).

Podle čl. 30 GDPR každý správce a každý zpracovatel. Čl. 30 odst. 5 vyjímá podniky a organizace zaměstnávající méně než 250 osob — ne však tehdy, pokud zpracování, které provádějí, pravděpodobně představuje riziko pro práva a svobody subjektů údajů, není příležitostné nebo zahrnuje zvláštní kategorie údajů podle čl. 9 odst. 1 nebo osobní údaje týkající se rozsudků v trestních věcech a trestných činů podle čl. 10. V Complaica vznikají záznamy ze schválených činností zpracování jako zpráva.

Německý spolkový zákon o ochraně osobních údajů (BDSG) využívá otevírací klauzule GDPR. Mimo jiné § 38 BDSG ukládá povinnost jmenovat pověřence pro ochranu osobních údajů, pokud se zpravidla nejméně dvacet osob trvale zabývá automatizovaným zpracováním osobních údajů nebo pokud se provádí zpracování, které podléhá posouzení vlivu na ochranu osobních údajů. V Complaica se BDSG hodnotí jako samostatný katalog požadavků vedle GDPR.

Ano, jako doplňkovou službu. Naši experti na ochranu osobních údajů převezmou roli podle čl. 37 GDPR a § 38 BDSG — jako kontaktní osoba pro dozorový úřad, subjekty údajů a vedení, s Complaica jako pracovním nástrojem. Vedle toho radíme při gap analýze, záznamech, DPIA, zpracovatelských smlouvách a školení.