Čo je nové, Strana 6

Digitálny svet je dnes prirodzeným prostredím pre prácu, podnikanie aj bežný život. Nakupujeme online, komunikujeme cez aplikácie, využívame cloudové služby, inteligentné zariadenia v domácnostiach a čoraz častejšie aj nástroje umelej inteligencie. Spolu s pohodlím však rastie aj riziko. Kybernetická bezpečnosť už dávno nie je téma „len pre IT oddelenie“. Je to otázka kontinuity podnikania, ochrany súkromia, dôvery zákazníkov a v širšom kontexte aj národnej bezpečnosti.

Ako odborník a poradca pre GDPR vnímam kybernetickú bezpečnosť aj cez prizmu ochrany osobných údajov. V praxi platí jednoduché pravidlo: bez primeranej bezpečnosti nie je možné dlhodobo zabezpečiť ani súlad s GDPR, ani dôveru ľudí, ktorých údaje spracúvate.

Prečo kybernetická bezpečnosť dnes rozhoduje

Digitalizácia priniesla efektivitu, ale zároveň zväčšila „útočnú plochu“. Kým kedysi boli dáta uložené v kancelárii na jednom serveri, dnes sú rozptýlené v cloude, v mobiloch, v SaaS aplikáciách, v e-mailoch, v externých úložiskách a často aj v zariadeniach typu IoT.

Riziká sa zvyšujú najmä kvôli týmto trendom:

• Cloudové služby a práca na diaľku: prístup k dátam odkiaľkoľvek je výhoda, no zároveň výzva pri nastavovaní prístupov a kontroly.
• IoT zariadenia: kamery, senzory, inteligentné zámky a ďalšie zariadenia sú často slabo zabezpečené a aktualizované nepravidelne.
• Umelej inteligencia a automatizácia: pomáha aj útočníkom, napríklad pri tvorbe presvedčivých phishingových správ alebo automatizovanom vyhľadávaní zraniteľností.
• Prepojené dodávateľské reťazce: aj keď máte bezpečnosť dobre nastavenú, slabým miestom môže byť dodávateľ, integrátor alebo externý správca.

Kybernetická bezpečnosť preto chráni nielen samotné systémy, ale aj dôsledky incidentov, ktoré sú často drahšie než samotná technická obnova.

Čo je kybernetická bezpečnosť (prakticky)

Kybernetická bezpečnosť je súbor procesov, technológií a opatrení, ktoré chránia:

• systémy a zariadenia (servery, počítače, mobily),
• siete (interné siete, Wi‑Fi, VPN),
• aplikácie a služby (web, e-shop, CRM, cloud),
• dáta (obchodné, osobné, finančné),

pred neoprávneným prístupom, poškodením, zmenou, únikom alebo zneprístupnením.

V praxi nejde o jeden nástroj. Ide o kombináciu pravidiel, ľudí a technológií, ktoré spolu tvoria odolné prostredie.

Základné princípy kybernetickej bezpečnosti

Ak by sme to mali zhrnúť do prehľadného rámca, vo väčšine organizácií sa bezpečnosť skladá z troch pilierov: identifikácia a ochrana, prevencia a detekcia, reakcia a obnova.

1) Identifikácia a ochrana dát (najmä osobných)

Najprv musíte vedieť, aké dáta máte, kde sú a kto k nim pristupuje. V kontexte GDPR je to úplný základ, pretože bez prehľadu neviete posúdiť riziká ani nastaviť primerané opatrenia.

Praktické opatrenia:

• Klasifikácia dát (napr. verejné, interné, dôverné, osobné údaje).
• Riadenie prístupov: prístup len pre tých, ktorí ho skutočne potrebujú (princíp minimálnych oprávnení).
• Šifrovanie: šifrovanie diskov, záloh a prenosu údajov (napr. TLS), pri citlivých dátach aj šifrovanie na úrovni databáz alebo súborov.
• Správa identít: centrálne účty, kontrola oprávnení, pravidelné revízie prístupov, rýchla deaktivácia účtov pri odchode zamestnanca.

2) Prevencia a detekcia (zabrániť, ale aj včas odhaliť)

Mnohé útoky nie sú sofistikované. Sú úspešné preto, lebo organizácia nemá základné opatrenia alebo ich nevie vynucovať.

Typické prvky:

• Firewall a segmentácia siete: obmedzenie toho, čo sa môže s čím spájať.
• Antivírus/EDR: ochrana koncových zariadení, detekcia podozrivého správania.
• E-mailová bezpečnosť: filtrovanie phishingu a škodlivých príloh, ochrana domény (SPF, DKIM, DMARC).
• Logovanie a monitoring: zbieranie logov a vyhodnocovanie bezpečnostných udalostí, aby ste vedeli odhaliť incident skôr, než spôsobí škody.
• Bezpečné konfigurácie: vypnuté nepotrebné služby, pravidlá pre prístupy, bezpečné nastavenie cloudu.

3) Reakcia a obnova (keď sa niečo stane)

Otázka dnes často neznie „či“, ale „kedy“ nastane bezpečnostný incident. Dobre nastavená reakcia dokáže dramaticky znížiť škody, prestoje a právne riziká.

Dôležité sú najmä:

• Incident response plán: kto robí čo, komu sa hlási incident, ako sa eskaluje, aké sú kroky izolácie a analýzy.
• Zálohy a obnova: pravidelné testovanie obnovy, oddelené zálohy, ideálne aj offline alebo nezmeniteľné úložiská (ochrana proti ransomvéru).
• Cvičenia a simulácie: napríklad phishing testy alebo tabletop cvičenia na reakciu pri úniku dát.
• Právny a komunikačný plán: kedy komunikovať zákazníkom, partnerom a v prípade GDPR, aj dozornému orgánu.

Prečo je kybernetická bezpečnosť kľúčová pre firmy, jednotlivcov aj štát

Dopad na firmy: prestoje, strata dôvery a pokuty

Kybernetický incident môže spôsobiť:

• prerušenie prevádzky (výroba, objednávky, fakturácia, e-shop),
• finančné straty (výkupné, forenzná analýza, obnova, právne služby),
• poškodenie reputácie (zákazníci odídu rýchlo, návrat je pomalý),
• zmluvné sankcie (porušenie SLA, záväzkov voči partnerom),
• regulačné dôsledky (GDPR a bezpečnostné povinnosti).

Z pohľadu GDPR je dôležité uvedomiť si, že pokuta nie je jediný problém. Často je bolestivejšie to, že musíte incident zdokladovať, vyšetrovať, informovať dotknuté osoby a následne investovať do nápravných opatrení pod tlakom času.

Dopad na jednotlivcov: krádež identity a zneužitie účtov

Pre bežných ľudí sú typické riziká:

• prevzatie e-mailu alebo sociálnych sietí,
• zneužitie platobných údajov,
• krádež identity (napríklad na úvery alebo podvody),
• vydieranie cez kompromitované fotografie, účty alebo správy.

Veľa incidentov začína nenápadne. Jedno kliknutie na falošnú stránku, opakovane používané heslo alebo neaktualizovaný telefón a problém je na svete.

Dopad na štát: kritická infraštruktúra a strategické riziká

Štát a verejné služby sú závislé od digitálnych systémov. Útoky môžu zasiahnuť:

• energetiku, vodárenstvo, dopravu,
• nemocnice a zdravotnícke systémy,
• registre a služby verejnej správy,
• komunikačné a informačné systémy.

V tejto oblasti už nejde len o peniaze, ale aj o bezpečnosť obyvateľov a stabilitu krajiny. Preto sa čoraz viac hovorí aj o legislatívnych požiadavkách, odolnosti a povinnom reportingu incidentov.

Cookies a kybernetická bezpečnosť: prečo to spolu súvisí

Na mnohých weboch sa používajú cookies na pohodlné prehliadanie, analýzu návštevnosti a zlepšovanie webu. Z pohľadu bezpečnosti je dôležité, aby:

• boli cookies nastavené bezpečne (napríklad Secure, HttpOnly, primerané SameSite),
• sa citlivé údaje neukladali do cookies nevhodným spôsobom,
• analytické a marketingové nástroje boli kontrolované z hľadiska prístupu k údajom a prenosov mimo EÚ.

Tu sa často stretáva bezpečnosť s GDPR a ePrivacy pravidlami. Nestačí mať len „cookies lištu“. Dôležité je vedieť, aké technológie na webe bežia a aké riziká prinášajú.

Overené best practices, ktoré znižujú riziko najrýchlejšie

Ak by som mal vybrať opatrenia s najvyšším prínosom, ktoré dávajú zmysel takmer všade, sú to tieto:

1. Školenia a bezpečnostné povedomie zamestnancov
   Phishing a sociálne inžinierstvo sú stále najčastejším vstupným bodom. Krátke, pravidelné školenia a praktické testy sú účinnejšie než jednorazová prezentácia raz ročne.
2. Pravidelné aktualizácie systémov a aplikácií
   Patch management je základ. Zraniteľnosti v bežných systémoch sú často verejne známe a útočníci ich zneužívajú automatizovane.
3. Silné heslá a viacfaktorové overenie (MFA)
   MFA výrazne znižuje riziko prevzatia účtov aj pri úniku hesiel. Pre kritické systémy by malo byť MFA štandardom.
4. Zálohovanie a test obnovy
   Zálohy bez testu obnovy sú iba dobrý pocit. Overte, že viete obnoviť kľúčové systémy v realistickom čase.
5. Priebežný monitoring a analýza udalostí
   Čím skôr incident odhalíte, tým lacnejšie ho riešite. Aj menšia firma môže mať zmysluplný monitoring, či už interne alebo cez externého partnera.
6. Riadenie prístupov a pravidelné revízie oprávnení
   Najmä pri odchodoch zamestnancov, zmenách rolí a externistoch. Účty a prístupy sa musia upratovať priebežne.

Budúce výzvy: AI útoky, IoT a štátom podporované kampane

Kybernetická bezpečnosť nie je statická. Útočníci sa prispôsobujú rýchlo.

• AI generované útoky: presvedčivejšie phishingy, deepfake hlasové podvody, automatizované prieskumy a personalizované správy.
• IoT zraniteľnosti: rast počtu zariadení znamená rast rizík, najmä ak výrobca prestane poskytovať aktualizácie.
• Štátom podporované útoky: sofistikované kampane, ktoré cielia na strategické odvetvia a často sa ťažko pripisujú konkrétnemu aktérovi.

To všetko znamená, že bezpečnosť musí byť dlhodobý program, nie jednorazový projekt.

Záver: bezpečnosť je investícia do dôvery a odolnosti

Kybernetická bezpečnosť v dnešnom digitálnom svete chráni organizácie, štát aj jednotlivcov. V praxi chráni dáta, infraštruktúru a najmä dôveru. A dôvera je v digitálnej ekonomike mena, ktorú si budujete roky a môžete ju stratiť za jeden deň.

Ak chcete začať pragmaticky, urobte tri veci: zmapujte svoje dáta a prístupy, zaveďte MFA a zálohovanie s testom obnovy, a nastavte školenia proti phishingu. Potom na tom stavajte ďalej. Kybernetická bezpečnosť je kombinácia rozumných pravidiel, disciplíny a technológií, ktoré spolu vytvárajú odolné digitálne prostredie.

Často kladené otázky

Prečo je kybernetická bezpečnosť dnes nevyhnutná pre podniky aj jednotlivcov?

Kybernetická bezpečnosť je kľúčová, pretože digitalizácia rozšírila útočnú plochu – dáta sú uložené v cloude, mobiloch, IoT zariadeniach či SaaS aplikáciách. Bez primeranej ochrany hrozí strata dôvery zákazníkov, porušenie GDPR a ohrozenie kontinuity podnikania.

Čo zahŕňa pojem kybernetická bezpečnosť v praxi?

Kybernetická bezpečnosť predstavuje súbor procesov, technológií a opatrení na ochranu systémov, sietí, aplikácií a dát pred neoprávneným prístupom, poškodením, únikom alebo zneprístupnením. Ide o kombináciu pravidiel, ľudí a technológií vytvárajúcich odolné digitálne prostredie.

Aké sú základné princípy kybernetickej bezpečnosti?

Bezpečnosť sa skladá z troch pilierov: identifikácie a ochrany dát (najmä osobných), prevencie a detekcie hrozieb, ako aj reakcie a obnovy po incidente. Tieto kroky zabezpečujú komplexnú ochranu organizácie i jej údajov.

Ako súvisí kybernetická bezpečnosť s ochranou osobných údajov podľa GDPR?

Bez primeranej kybernetickej bezpečnosti nie je možné zabezpečiť súlad s GDPR ani dôveru osôb, ktorých údaje spracúvate. Ochrana dát znamená vedieť, aké údaje máte, kde sú uložené a kto k nim má prístup, čo je základom pre nastavenie primeraných bezpečnostných opatrení.

Aké riziká prinášajú moderné technológie ako cloudové služby a IoT zariadenia?

Cloudové služby umožňujú prístup k dátam odkiaľkoľvek, čo zvyšuje nároky na správu prístupov a kontrolu. IoT zariadenia často bývajú slabo zabezpečené a nepravidelne aktualizované, čím predstavujú potenciálne vstupné body pre útoky.

Prečo je dôležité riadiť prístupy k dátam v rámci kybernetickej bezpečnosti?

Riadenie prístupov zabezpečuje, že k citlivým alebo osobným údajom majú prístup len oprávnené osoby podľa princípu potreby vedieť. To minimalizuje riziko neoprávneného prístupu či úniku dát a pomáha dodržiavať požiadavky GDPR.

Ak máte web, e-shop, ambulanciu, firmu s kamerovým systémom, posielate newsletter alebo len zbierate kontakty cez formulár, tak spracúvate osobné údaje. A hneď na začiatku prichádza jedna z najčastejšie podceňovaných povinností podľa GDPR: informačná povinnosť.

Ako odborník a poradca pre GDPR to vidím opakovane. Organizácia má zmluvy, bezpečnostné opatrenia, niekedy aj záznamy o spracovateľských činnostiach, ale „to najviditeľnejšie“ smerom k ľuďom chýba alebo je neúplné. Výsledok je jednoduchý: riziko pokuty, sťažností a hlavne strata dôvery.

V tomto článku vám zrozumiteľne vysvetlím:

• čo je informačná povinnosť,
• kedy ju musíte splniť,
• aké informácie sú povinné,
• ako to urobiť prakticky (web, cookies, formuláre, offline),
• na čo si dať pozor, aby informácie neboli len „papierovo“, ale naozaj v súlade s GDPR.

Čo je informačná povinnosť a prečo na nej GDPR stojí

Informačná povinnosť znamená, že dotknutú osobu musíte vopred (alebo v zákonných lehotách) informovať, ako budete spracúvať jej osobné údaje.

GDPR tým sleduje jednu základnú hodnotu: transparentnosť. Ľudia majú vedieť:

• kto ich údaje spracúva,
• prečo,
• na akom právnom základe,
• ako dlho,
• komu ich poskytnete,
• aké majú práva a ako ich uplatnia.

Prakticky: nestačí mať spracovanie „legálne“. Musí byť aj zrozumiteľne vysvetlené.

Kedy musíte informácie poskytnúť (priame vs. nepriame získanie údajov)

GDPR rozlišuje dve situácie:

1) Údaje získavate priamo od osoby

Typicky:

• kontaktný formulár,
• objednávka v e-shope,
• registrácia účtu,
• prihlásenie na newsletter,
• žiadosť o cenovú ponuku,
• papierový formulár na recepcii.

Kedy informovať: najneskôr v čase získania osobných údajov.

Inými slovami: keď človek zadáva údaje, už vtedy musí mať možnosť sa dozvedieť, čo sa s nimi bude diať.

2) Údaje získavate nepriamo (z iného zdroja)

Napríklad:

• získate kontakt od obchodného partnera,
• pracujete s databázou z verejných zdrojov,
• dostanete údaje od sprostredkovateľa,
• využijete leady od tretej strany.

Kedy informovať:

• do jedného mesiaca od získania údajov, alebo
• pri prvom kontakte s osobou, alebo
• pri prvom poskytnutí údajov inému príjemcovi (ak k tomu dôjde skôr).

Toto je častá chyba v B2B: firma si povie „veď je to pracovný kontakt“. Aj pracovný e-mail môže byť osobný údaj. A informačná povinnosť tým nezmizne.

Čo presne musíte uviesť: povinné náležitosti podľa GDPR

Nižšie je praktický zoznam toho, čo musí byť v informáciách (najčastejšie v dokumente „Zásady ochrany osobných údajov“ alebo „Informácie o spracúvaní osobných údajov“).

1) Kto údaje spracúva (identita a kontakt prevádzkovateľa)

Uveďte:

• názov firmy/organizácie,
• sídlo,
• IČO (odporúčané),
• kontakt (e-mail, telefón, adresa),
• prípadne kontaktný bod pre GDPR otázky.

Ak máte zástupcu v EÚ (typicky mimo EÚ subjekty), uveďte aj jeho údaje.

2) Kontaktné údaje zodpovednej osoby (DPO), ak je určená

Ak máte určenú zodpovednú osobu, uveďte:

• meno alebo aspoň funkčný kontakt,
• e-mail/telefón.

Pozor: ak DPO nemáte a nemáte povinnosť ju určiť, nič „nevymýšľajte“. Častá prax je dať do politiky „DPO: info@firma.sk“, hoci DPO formálne neexistuje. To je riziko.

3) Účely spracúvania

Účely musia byť konkrétne, nie vágne. Príklady:

• vybavenie objednávky a doručenie tovaru,
• správa používateľského účtu,
• vybavovanie dopytov,
• zasielanie newslettera,
• marketing na sociálnych sieťach,
• zabezpečenie priestorov kamerovým systémom,
• účtovníctvo a plnenie zákonných povinností.

4) Právny základ spracúvania

Ku každému účelu patrí právny základ, napríklad:

• plnenie zmluvy,
• plnenie zákonnej povinnosti,
• oprávnený záujem,
• súhlas,
• ochrana životne dôležitých záujmov (zriedkavé),
• verejná moc/verejný záujem (najmä verejný sektor).

Dôležité: nesprávne zvolený právny základ je jedna z najdrahších chýb. Ak napríklad posielate marketing bez súhlasu, musíte mať jasne odôvodnený oprávnený záujem a zároveň umožniť jednoduchý opt-out. V mnohých prípadoch je však bezpečnejšie pracovať so súhlasom, najmä pri cookies a niektorých formách online marketingu.

5) Oprávnené záujmy (ak sa na ne spoliehate)

Ak je právny základ „oprávnený záujem“, musíte ho pomenovať. Napríklad:

• ochrana majetku a bezpečnosť (kamera),
• prevencia podvodov,
• základná marketingová komunikácia s existujúcimi zákazníkmi.

Odporúčam mať k tomu aj interné posúdenie (LIA). Do informácií dávate stručné vysvetlenie.

6) Príjemcovia alebo kategórie príjemcov

Uveďte, komu údaje poskytujete. Typicky:

• kuriérske spoločnosti,
• poskytovateľ e-shop platformy,
• hosting a správa servera,
• účtovník,
• poskytovateľ e-mailingu,
• IT podpora,
• právne služby.

Môžete uviesť konkrétnych príjemcov alebo kategórie. Dôležité je, aby to nebolo „nikomu“ a potom v realite posielate údaje tretím stranám.

7) Prenosy do tretích krajín a záruky

Ak používate nástroje mimo EÚ/EHP (časté pri marketingu, analytike, cloude), musíte uviesť:

• že dochádza k prenosu do tretej krajiny alebo medzinárodnej organizácie,
• aké sú záruky (napr. rozhodnutie o primeranosti, štandardné zmluvné doložky),
• prípadne informáciu o tom, ako získať kópiu záruk alebo kde sú dostupné.

Tu sa často lámu cookies a analytické nástroje. Nestačí len napísať „používame Google“. Treba popísať prenosy a právny rámec.

8) Doba uchovávania alebo kritériá na jej určenie

Ľudia majú vedieť, ako dlho údaje držíte:

• „po dobu trvania zmluvy a následne X rokov“,
• „do odvolania súhlasu“,
• „po dobu vybavenia žiadosti a následne X dní/mesiacov“,
• „kamerové záznamy 15 dní“ (príklad, vždy podľa odôvodnenia).

Ak neviete presnú dobu, uvediete kritériá.

9) Práva dotknutej osoby

Musíte jasne uviesť práva, najmä:

• právo na prístup,
• opravu,
• vymazanie,
• obmedzenie spracúvania,
• prenosnosť údajov,
• namietať (najmä pri oprávnenom záujme a priamom marketingu).

A prakticky: ako ich uplatniť (kam napísať, čo uviesť v žiadosti).

10) Právo odvolať súhlas (ak je relevantný)

Ak spracúvate na základe súhlasu, musíte povedať:

• že súhlas je možné kedykoľvek odvolať,
• že odvolanie nemá vplyv na zákonnosť spracúvania pred odvolaním,
• ako odvolanie spraviť (odkaz, e-mail, nastavenia účtu, cookie lišta).

11) Právo podať sťažnosť dozornému orgánu

Na Slovensku je to Úrad na ochranu osobných údajov SR. Uveďte, že osoba má právo podať sťažnosť, ideálne aj s odkazom na web úradu.

12) Zákonná alebo zmluvná povinnosť poskytnúť údaje a následky neposkytnutia

Ak sú údaje potrebné napríklad na uzatvorenie zmluvy alebo splnenie zákona, napíšte:

• ktoré údaje sú povinné,
• prečo,
• čo sa stane, ak ich osoba neposkytne (napr. nemožno dodať tovar, nemožno vybaviť reklamáciu).

13) Automatizované rozhodovanie a profilovanie (ak existuje)

Ak robíte automatizované rozhodovanie vrátane profilovania s právnymi alebo podobne významnými účinkami, musíte to uviesť a vysvetliť:

• logiku,
• význam,
• predpokladané dôsledky.

V praxi veľa organizácií profilovanie nerobí v zmysle GDPR prísnej definície, ale ak používate pokročilé reklamné systémy, personalizáciu alebo scoring, oplatí sa to posúdiť.

Ako majú informácie vyzerať: stručne, zrozumiteľne a prístupne

GDPR nežiada, aby ste napísali 10 strán právničiny. Žiada, aby informácie boli:

• stručné (bez balastu),
• transparentné (nič neskrývať),
• zrozumiteľné (bežný človek tomu rozumie),
• ľahko dostupné (nie schované),
• v jazyku, ktorému cieľová skupina rozumie.

Z praxe odporúčam:

• vrstvený prístup: krátke zhrnutie + detailná verzia,
• krátke vety, jasné nadpisy, zoznamy,
• minimum interných skratiek.

Praktické príklady: web, formuláre a cookies

Informačná povinnosť na webe (privacy policy)

Najčastejší spôsob je publikovať dokument na webe, napríklad:

• „Ochrana osobných údajov“
• „Zásady ochrany osobných údajov“
• „Informácie o spracúvaní osobných údajov“

Dajte odkaz do pätičky webu, k formulárom a všade, kde zbierate údaje.

Formuláre (kontaktný, dopyt, registrácia)

Pri formulári odporúčam:

• krátku informáciu priamo pri tlačidle odoslania,
• odkaz na detailné zásady,
• ak ide o súhlas (napr. newsletter), samostatný checkbox bez predzaškrtnutia.

Príklad logiky:

• Dopyt: právny základ môže byť predzmluvný vzťah alebo oprávnený záujem.
• Newsletter: spravidla súhlas (a jednoduché odhlásenie).

Cookies a „komfortné prehliadanie“

Pri cookies je dôležité oddeliť:

• nevyhnutné cookies (na funkčnosť),
• analytické cookies (analýza návštevnosti a zlepšovanie webu),
• marketingové cookies (reklama a remarketing).

Ak používate cookies na analýzu návštevnosti a zlepšovanie webu alebo na marketing, väčšinou potrebujete:

• jasné informácie, čo sa zbiera a prečo,
• správne nastavený súhlasový mechanizmus (cookie lišta),
• možnosť súhlas odmietnuť a neskôr zmeniť.

Len text „Cookies používame pre vaše pohodlie“ nestačí. Je to síce bežná veta, ale bez konkrétností je informačne slabá.

Kde organizácie najčastejšie robia chyby

Z praxe pri kontrolách a auditoch sa opakujú najmä tieto problémy:

1. Chýba právny základ ku konkrétnemu účelu alebo je uvedený nesprávne.
2. Neuvádzajú sa príjemcovia (pritom sa údaje posielajú kuriérom, e-mailingovej službe, hostingu).
3. Prenosy mimo EÚ sú ignorované alebo opísané nejasne.
4. Doba uchovávania je „po dobu nevyhnutnú“ bez vysvetlenia, čo to znamená.
5. Práva osôb sú skopírované ako zo zákona, ale chýba praktický postup uplatnenia.
6. Cookies: lišta existuje, ale nesprávne. Napríklad nie je možné odmietnuť, alebo sa cookies ukladajú ešte pred súhlasom.
7. Informácie sú ťažko dostupné alebo napísané tak, že im bežný človek nerozumie.

Ako splniť informačnú povinnosť v praxi (krátky postup)

Ak to chcete spraviť poriadne a bez chaosu, postupujte takto:

1. Spíšte účely spracúvania (čo robíte s údajmi v celej organizácii).
2. Ku každému účelu určte kategórie údajov, právny základ, doby uchovávania, príjemcov.
3. Overte, či máte sprostredkovateľské zmluvy tam, kde treba (hosting, účtovníctvo, e-mailing).
4. Skontrolujte prenosy do tretích krajín a nastavte záruky.
5. Napíšte informácie v ľudskej slovenčine, ideálne v štruktúre podľa bodov vyššie.
6. Zverejnite a prepojte ich na miestach zberu údajov (web, formuláre, papierové tlačivá).
7. Pravidelne aktualizujte: pri zmene procesov, dodávateľov, nástrojov, legislatívy.

Prečo sa oplatí byť transparentný aj nad rámec minima

GDPR je v tomto logické. Keď ľudia chápu, čo robíte s ich údajmi, menej sa boja a menej podávajú sťažnosti. Transparentnosť nie je len „splnenie povinnosti“. Je to aj reputačná poistka.

Ak používate cookies na komfortné prehliadanie, analýzu návštevnosti a zlepšovanie webu, povedzte to jasne. Ak posielate newsletter, vysvetlite frekvenciu a obsah. Ak máte kameru, označte priestor a vysvetlite lehotu uchovania.

Zhrnutie

Informačná povinnosť je povinnosť informovať ľudí o spracúvaní ich osobných údajov jasne, včas a zrozumiteľne. Musíte uviesť najmä identitu prevádzkovateľa, účely a právne základy, príjemcov, prenosy do tretích krajín, dobu uchovávania, práva dotknutých osôb, možnosť odvolať súhlas, právo podať sťažnosť a informáciu o tom, či je poskytnutie údajov povinné.

Ak si nie ste istí, či vaše texty a nastavenia (najmä cookies) skutočne spĺňajú GDPR, oplatí sa urobiť krátku revíziu. V praxi to býva jedna z najrýchlejších úprav, ktorá výrazne zníži riziká.

Často kladené otázky

Čo je informačná povinnosť podľa GDPR a prečo je dôležitá?

Informačná povinnosť znamená, že dotknutú osobu musíte vopred alebo v zákonných lehotách informovať o spracovaní jej osobných údajov. Je to základná hodnota GDPR – transparentnosť. Ľudia musia vedieť, kto ich údaje spracúva, prečo, na akom právnom základe, ako dlho, komu ich poskytnete a aké majú práva.

Kedy musím poskytnúť informácie o spracovaní osobných údajov?

Ak získavate údaje priamo od osoby (napríklad cez formulár alebo objednávku), musíte ju informovať najneskôr v čase získania údajov. Ak údaje získavate nepriamo (napríklad od obchodného partnera alebo z verejných zdrojov), informácie musíte poskytnúť do jedného mesiaca od získania údajov, pri prvom kontakte s osobou alebo pri prvom poskytnutí údajov inému príjemcovi.

Aké informácie musia byť súčasťou informačnej povinnosti podľa GDPR?

Musíte uviesť identitu a kontaktné údaje prevádzkovateľa (názov firmy, sídlo, IČO, e-mail, telefón), účel a právny základ spracovania, dobu uchovávania údajov, príjemcov údajov a práva dotknutej osoby vrátane spôsobu ich uplatnenia.

Ako zabezpečiť, aby informačné povinnosti boli v súlade s GDPR a nie len „papierové“?

Informácie musia byť zrozumiteľné a ľahko dostupné pre dotknuté osoby. Na webe by mali byť jasne viditeľné v sekcii ochrany osobných údajov alebo pri formulároch. Pri offline spracovaní by mali byť k dispozícii tlačené materiály alebo iné vhodné spôsoby komunikácie. Dôležité je pravidelne aktualizovať tieto informácie podľa aktuálnych spracovateľských aktivít.

Platí informačná povinnosť aj pre pracovné kontakty v B2B prostredí?

Áno, aj pracovný e-mail môže byť osobným údajom a naň sa vzťahuje GDPR. Preto musí firma splniť informačnú povinnosť aj pri takýchto kontaktoch – napríklad informovať zamestnancov obchodného partnera o spracovaní ich údajov.

Ako prakticky implementovať informačnú povinnosť na webe a pri online formulároch?

Na webe sa odporúča mať dokument „Zásady ochrany osobných údajov“ alebo „Informácie o spracovaní osobných údajov“, ktorý je ľahko dostupný. Pri online formulároch by mala byť viditeľná krátka informácia alebo odkaz na tieto zásady ešte pred odoslaním údajov. Tiež je potrebné zabezpečiť súhlas so spracovaním tam, kde je to relevantné.