Pokud někdo bude mít k dispozici číslo zásilky a heslo k vyzvednutí, obstará si kradený/falešný OP. Na tento údaj nemají nárok a heslo je dostatečné k vydání zásilky.
Nebyl bych si jistý, že takové ověření před soudem obstojí v případě dražší zásilky. Zvykem je, že totožnost se ověřuje podle platného dokladu (málokdo ví, že zákon nijak nezvýhodňuje občanský průkaz oproti cestovnímu pasu či řidičáku - já jsem se např. u soudu bez problémů prokazoval řidičákem: "Totožnost ověřena dle ŘP číslo:"). No a pak je druhá část: jak Alza prokáže, že ten doklad opravdu zkontrolovala. Opsáním číslo dokladu a prokázáním procesu (který může soud klidně na místě prověřit) to půjde lehce, tento postup je akceptovaný např. i při výdej zásilek na poště.
Je ovšem nutno se podívat i na druhou stranu mince. Číslo dokladu pak v procesu Alzy musí jít co nejdřív do míst, kde už s ním nemohou přijít do styku běžní zaměstnanci. V papírové praxi by stačilo tyto doklady s opasanými údaji průběžně sbírat a archivovat nadřízeným, pokud by se jednalo o digitální dokumentaci, tam už si nějaký postup také domyslíte.
Nabízí se zde srovnání s online bankovnictvím, kde jméno + heslo + autorizační SMS jsou považovány za bezpečné. Tam je to ovšem dáno tím, že bankovní trh je regulován a poměrně dobře kontrolován ČNB, takže banka má procesy související s tímto zabezpečením de facto auditované. V případě Alzy, jejich poměrně překotného vývoje jejich e-shopu a systémů, a práci bůh ví kolika brigádníků, to už může být problematičtější; banka zjednodušeně lépe prokáže že jmého, heslo a autorizační SMS u nich nejde zneužít zaměstnancem, Alza by to prokazovala daleko složitěji.
Tímto směrem by se mi asi ubíraly myšlenky, kdybych řešil GDPR na tento proces v Alze.
Kamarád s daty nenaložil špatně, vyfotil mě a označil mě, nic bez mého souhlasu. Po čase požádám facebook o výmaz.
Facebook zde není arbitrem, aby rozhodoval, jestli jste na té fotce Vy. Ta data nejsou Vaše, ale Vašeho kamaráda. Na něj se musíte v první řadě obrátit, a proti němu bude směřovat v první řadě žaloba. Facebook nemůže na žádost Karla smazat fotky, které jsou na profilu Jardy. Jak by vůbec ověřil, že je na té fotce Karel? Co kdyby se pak obrátil na soud naopak Jarda, že mu Facebook smazal fotografii, kterou legálně vyfotil?
Zde střílíte vedle.
Pokud GDPR požaduje vymazání, není možné jej nahradit např. zneplatněním záznamu. Zde je asi důležité vnímat cíl normy. Řeknu to jinak, např. eshop bude mít mé jméno, adresu, email a nákupní preference. Pokud jej požádám o výmaz, tak primárně z důvodu, abych nebyl cílem marketingové kampaně. Při anonymizaci záznamu (tzn. vymazání emailu, adresy a jména) pořád disponuje nákupními preferencemi a může je využít k marketingovým účelům a směřování reklamy konkrétní skupině obyvatel a tím i ke mě.
GDPR nevyžaduje mazání, ale zapomenutí. Záměrně je použitý tento termín. Z hlediska např. veřejné části Facebooku půjde samozřejmě o vymazání všech zmínek o Vás a referencí na Vás. Ale i ta akce vymazání musí být auditovatelná, a musí obsahovat mechanismy, aby aspoň dočasně bylo možné vzít akci zpět - např. když chybou vymažete víc, než můžete (smažete omylem cizí data). To se s GDPR vůbec nevylučuje. Pokud je to nutné, např. kvůli architektuře, její koherenci, prostě data nemažete, jen zabráníte přístupu všem, kteří s nimi nemají mít co do činění.
Představte si např. že budete provozovat online seznamku, kde Vám budou lidé platit za to, že u Vás mají profil, údaje o sobě, včetně fotografie. Pokud požádáte o to být zapomenut, určitě nemůže poskytovatel smazat Vaše údaje, ale minimálně po zákonnou dobu je bude držet (např. v jiném systému), jako důkaz toho, že Vám plnění poskytl. Kdyby je smazal, tak už jen samotná kontrola DPH a jestli došlo k plnění, by nebyla uskutečnitelná. V případě naší fiktivní seznamky by se uživatelský profil označil, nebo lépe odlil do úplně jiného systému, aby na veřejnost, ani pro marketingové účely vůbec nevykouknul. Na venek pak budete zcela vymazán.
Takže: jednou perspektivou pohledu zákona je soukromí. Tedy, proti Vašemu přání nesmí poskytovatel navenek o Vás uvádět žádné informace. Požádáte Facebook, celý Váš profil od té chvíle bude vypadat smazaný, a Vaše posty buďto zmizí, nebo budou zanonymizovány (pokud to vůbec jde - v případě FB si myslím, že i po zanonymizování budou Vaši přátelé vědět, o koho šlo).
Druhou perspektivou je interní zpracování dat ve firmě, kde musíte dbát na to, aby k informacím měly přístup jen oprávněné osoby, a aby jejich okruh nebyl bezdůvodně příliš široký.
Za co nemůžete jako poskytovatel nést odpovědnost (například): když někdo třetí o někom něco napíše, či cituje (pak je správcem dat ten, kdo to udělal) - ale z toho budou také výjimky - např. v případě zpravodajských serverů, kde články přebírá redakce. Pokud je přebírá a rediguje, pak už za ně zodpovídá vydavatel. Pokud internetový server jen poskytuje neredigovanou platformu pro zveřejňování informací, pak je vlastníkem ten, kdo data pořídil. Analogicky, nemůžete požádat všechny poskytovatele e-mailových serverů, aby vymazali veškeré zprávy, které jste kdy komu poslal. Ty zprávy už patří vlastníkům schránek, a je můžete žádat. Nebo nemůžete nést odpovědnost za rozšíření informací o veřejně činných osobách - tam už je dávno judikováno, že určitý zásah do soukromí musí strpět - např. nebylo by možné, aby Karel Gott chtěl být zapomenut ze zpravodajských serverů, takový požadavek by soud považoval za absurdní. Naopak, kdyby Karel Gott měl vlastní profil na Facebooku, bylo by na místě i technicky proveditelné, aby Facebook jeho profil a jeho posty smazal.
To rozlišení odpovědnosti je pro GDPR také důležité, a bude vždy posuzováno individuálně. Vyjmenovali jsme už takových příkladů, že je zřejmé, že na to nemůže existovat obecné pravidlo. Proto GDPR vyžaduje, abyste si na to pravidla udělal sám, podle Vaší vlastní situace, a měl k tomu ve firmě určenou osobu.
Nemyslím si. Pouze se bojím, že při vágní formě, jakou je GDPR implementována, dopadne z velké části na menší firmy za bagatelní prohřešky (například nevhodně zvolený rozsah sbíraných údajů, nebo nevhodně napsaný souhlas/informace se sběrem údajů). Pro velké hráče (kteří jsou hlavní záminkou vzniku) se bohužel nic nemění.
GRPR dopadne na firmy jedině, pokud dojde k nějakému důsledku. Pokud máte databázi e-mailů, tak holt nesmíte rozeslat spamy, nebo musíte mít zadokumentovaný souhlas osob (opt-in) a poskytnuté mechanismy pro opt-out. Teprve až toto mít nebudete, a na úřad se obrátí zaspamovaný uživatel, tak si to opravdu slíznete. Na tom nevidím nic špatného. Nevidím nic špatného ani na tom, aby se změnilo přemýšlení, a aby i malá firma přemýšlela o tom, jestli potřebuje údaje sbírat, a jak s nimi naloží. Přemýšlím o portfoliu svých klientů, a napadají mě možná dva, možná tři, kteří opravdu pro svůj byznys citlivé údaje sbírat musejí. Zbytek je sbírá buďto jen z plezíru (mohou se hodit), nebo pro marketingové účely.
Je také rozdíl, jestli data sbíráte hromadně, nějakým technickým prostředkem (např. registrační formulář k Vaší službě na internetu), nebo jestli máte adresář obchodních kontaktů nasbíraný svojí letitou obchodní činností. V prvním případě musíte mít explicitní souhlas, v druhém případě ho máte konkludentně, tím, že se s Vámi druhá strana bavila. V druhém případě však např. historicky sebrané e-mailové kontakty nesmíte použít pro hromadnou korespondenci spamu. Naopak, pokud všem svým obchodním partnerům potřebujete sdělit, že měníte sídlo firmy, nebo účet pro platby, je to legální využití takto nasbíraných dat.
Nezapomínejte, že kde není žalobce, tam není soudce. Kdyby k soudu dorazila žaloba pro zásah do soukromí jen kvůli tomu, že někomu přišel jeden e-mail se sdělením změny sídla firmy, soud by zamítl žalobu pro bezdůvodnost. V prvé řadě musí existovat tvrzení žalobce, a k němu důkaz o tom, že k něčemu došlo. Důkaz musí být takového charakteru, aby bylo jasné, že k odpovědnosti máte být volán zrovna Vy. Teprve poté, co toto je splněno, nastupuje procedura důkazního řízení, kde nesete obejktivní odpovědnost. Tedy, pokud rozešlete reklamní e-maily, požádá Vás soud, abyste doložil souhlas příjemce se zasíláním. Patrně budete muset doložit kdy k vyjádření souhlasu došlo, jakými prostředky, jak jste ověřil totožnost nebo opravdovost souhlasu, a jaké bylo znění textu souhlasu.
Pokud nebudete vědět kdy, na jaké internetové stránce, a s jakými podmínkami osoba souhlasila, jste v důkazní nouzi. Nebo byste musel mít proceduru potvrzovacího e-mailu a zpětného odkliku, který ověří souhlas vlastníka e-mailové schránky s daným využitím. Zpětný odklik může, např. pro účely využití e-mailové schránky být dostatečný. Pak je ale ve Vašem zájmu zachovat znění potvrzovacího e-mailu a logy o akcích uživatele.
Další, co bude soud zkoumat je věrohodnost Vašich tvrzení a důkazů. To už je ryze subjektivní proces a od něj je na své židli soudce. Pokud budete firma, která má 10 let stejné zaměstnance, na bezpečnost dbá (zjistí se např. z výpovědí zaměstnanců), bude soud schopný Vašim tvrzením uvěřit. Pokud se ukáže, že se Vám celý tým 20 lidí vymění 2x do roka (opravdu jsou takoví zaměstnavatelé), patrně soud konstatuje, že jste ho nepřesvědčil o dostatečně dobře nastavených procedurách ochrany informací, protože řada 10 svědků, kteří se na pozici odpovědné osoby vystřídali, už nevypovídala přesvědčivě shodně.
Jiným případem může být, pokud využijete procedury renomovaných vendorů, které jsou auditované na GDPR compliance. Samo o sobě Vás to nezbaví odpovědnosti, ale určitě v očích soudu to bude vypadat daleko lépe, když prokážete, že jste se této oblasti věnovali i tímto způsobem.
U malých firem to asi nebude možné, ale u středně velkých a větších firem pak lze uvažovat i o auditu celé oblasti, a určitě audit někým z velké čtyřky by měl u soudu velkou váhu.
Neočekávám, že byste se dostal až před soud kvůli tomu, že pár lidem jednou odešlete e-mail.
64 Odpovědí
13667 Zhlédnutí