Jsme účetní firma, která externě zpracovává účetnictví a mzdy na pronájem SW, který není v cloudu. SW je umístěn na našem vlastním serveru. Chtěl bych Vás požádat o informace k našim povinnostem.

Váš dotaz má zásadní problém, neptáte se totiž správně! Pokud Vás budou zajímat pouze povinnosti, tak ty lze ocitovat z nařízení GDPR. Ale realita je jiná, bohužel HORŠÍ. Pokud však chcete vědět, co máte udělat, abyste byli připraveni poskytovat své služby klientovi, tak musíte učinit mnoho kroků a činností. Pokusím se Vám to objasnit asi takto. Bez znalosti informací o Vaší organizaci nelze seriózně a konkrétně odpovědět. Tedy pokud nechcete slyšet obecné citace z nařízení GDPR.

Je potřeba od Vás získat minimálně několik vstupních údajů:

• jsou všichni Vaši pracovníci, kteří se dostávají k datům klientů výhradně Vašimi zaměstnanci? Pokud ne, tak na základě čeho vykonávají danou činnost?
• spravujete si Vaše IT sami nebo používáte externí zdroje? Pokud máte externí zdroje, máte s nimi zajištěno smluvní a technické zabezpečení, aby ochránili data klienta?
• je Váš pronajatý SW instalován ve Vašem prostředí nebo u poskytovatele SW? Je ve smlouvě zajištěna ochrana dat klienta?
• ví Váš klient, že při zpracování jeho osobních údajů mohou s těmito údaji manipulovat i třetí strany?
• máte uzavřeny NDA?
• je pronajatý SW tzv. GDPR compliance a nebo bude do 5/2018 compliance? Máte toto zajištěno smluvně?
• máte písemnou dokumentaci, kde se nacházejí osobní údaje klienta zabezpečenou proti přístupu neoprávněných osob (zde pozor i na uklízečky, správce domu, apod.)??
• máte zálohy dokumentů a dat v zabezpečené místnosti s režimovým přístupem?
• je způsob, jakým ve Vaší firmě přistupujete k osobním údajům prostřednictvím IT dostatečně GDPR ready?
• apod.

Dotazů je poměrně hodně a je vhodné pojmout danou problematiku komplexně. Jakmile bude znám rozsah GDPR ve Vaší společnosti, lze říci, co dále. Nicméně teprve po jejich zodpovězení je možné se vrhnout k vypracování řádné odpovědi. Povinností je totiž méně, než činností a zdrojů (finančních, technických, lidských), jak je zabezpečit. Respektive cesta ke splnění povinností je poměrně složitá a je třeba se jí důkladně věnovat, především pokud zpracováváte osobní údaje jiných subjektů. Zde se můžete totiž dostat i do sankcí a možných soudních sporů právě ze strany subjektu, který Vám osobní údaje svěřuje, což je paradox, ale bohužel i realita.