GDPR Compliance Checklist pre právne kancelárie
Pri niektorých porušeniach môže GDPR pokuta dosiahnuť 20 miliónov eur alebo 4 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia.
Tento praktický checklist vám pomôže zabezpečiť compliance a vyhnúť sa sankciám. Každý krok obsahuje konkrétne kroky a nástroje.
€20M / 4 %
horná hranica pri niektorých porušeniach
72h
na nahlásenie data breach
1 mesiac
lehota na výmaz údajov
1. Základná dokumentácia
Záznam spracovateľských činností (ZSČ)
Evidencia všetkých spracúvaných osobných údajov, účelov, príjemcov a lehôt uchovávania.
Interné smernice GDPR
Písomné pravidlá pre zamestnancov: ako spracúvať údaje, čo robiť pri data breach, atď.
Zmluvy so spracovateľmi
Ak dodávateľ spracúva osobné údaje v mene kancelárie, uzatvorte s ním zmluvu podľa čl. 28 GDPR. Pri samostatnom prevádzkovateľovi sa posudzuje právny vzťah a povinnosti osobitne.
2. Technické a organizačné opatrenia
Šifrovanie údajov
V prenose: HTTPS/TLS pre všetky komunikácie
V pokoji: Encrypted databázy, šifrované disky
Prístupové práva (Role-Based Access)
Nie každý zamestnanec potrebuje vidieť všetky údaje. Implementujte role:
- Partner: full access
- Advokát: prístup k svojim klientom
- Asistent: len viewing, bez exportov
Audit log (záznamy prístupov)
Zaznamenávajte prístupy a dôležité zmeny podľa rizika a interných pravidiel. Dĺžku uchovávania určte podľa účelu a zásady minimalizácie; GDPR neurčuje všeobecnú minimálnu dobu jedného roka.
Zálohy a disaster recovery
Nastavte zálohy, ochranu a obnovu primerane riziku a citlivosti údajov. Pravidelne overujte, či sa dajú obnoviť; GDPR neurčuje jednotný denný interval.
Anonymizácia / Pseudonymizácia
Pre interné testy, analytics, reporty používajte anonymizované údaje. Odporúčame implementovať procesy pre anonymizáciu citlivých údajov.
3. Práva dotknutých osôb
Na odpoveď máte spravidla 1 mesiac. Predĺženie najviac o ďalšie 2 mesiace je možné, ak to vyžaduje zložitosť alebo počet žiadostí. O predĺžení a jeho dôvodoch informujte žiadateľa do prvého mesiaca.
Právo na prístup (čl. 15 GDPR)
Klient má právo získať informácie o spracúvaní a kópiu osobných údajov, ktoré spracúvate. Kópia nesmie nepriaznivo zasiahnuť do práv a slobôd iných osôb.
Právo na opravu (čl. 16 GDPR)
Klient môže požiadať o opravu nesprávnych údajov (napr. zmenená adresa).
Právo na výmaz / "right to be forgotten" (čl. 17 GDPR)
Klient môže požiadať o vymazanie údajov. Výnimka: ak máte právnu povinnosť uchovávať (napr. archívne lehoty).
Právo na prenosnosť údajov (čl. 20 GDPR)
Prenositeľnosť sa za podmienok čl. 20 GDPR týka údajov, ktoré klient poskytol, pri automatizovanom spracúvaní založenom na súhlase alebo zmluve. Nejde o všeobecný export všetkých údajov.
4. Postup pri Data Breach (únik údajov)
Ak porušenie ochrany osobných údajov pravdepodobne povedie k riziku pre práva a slobody ľudí, prevádzkovateľ ho oznámi ÚOOÚ bez zbytočného odkladu, ak možno, najneskôr do 72 hodín od zistenia. Ak je riziko nepravdepodobné, oznámenie úradu sa nevyžaduje.
Okamžité zadokumentovanie incidentu
Zapíšte: čo sa stalo, kedy, aké údaje unikli, koľko ľudí je dotknutých, ako k tomu došlo.
Posúdenie rizika
Posúďte pravdepodobnosť a závažnosť následkov vzhľadom na okolnosti prípadu. Samotný druh údaja, napríklad emailová adresa alebo zdravotný záznam, bez kontextu nestačí na určenie rizika.
Posúdenie oznámenia ÚOOÚ
Zaznamenajte posúdenie rizika a dôvod rozhodnutia. Ak sa oznamuje, dodržte lehotu podľa čl. 33 GDPR; pri oneskorení vysvetlite dôvod.
Informovanie dotknutých osôb
Ak porušenie pravdepodobne povedie k vysokému riziku, informujte dotknuté osoby bez zbytočného odkladu podľa čl. 34 GDPR, okrem prípadov, keď platí zákonná výnimka.
Nápravné opatrenia
Opravte zraniteľnosť, zmeňte heslá, aktualizujte bezpečnostné protokoly.
Tip: Vytvorte si Data Breach Response Plan dopredu. V strese incidentu nebudete improvizovať.
5. Školenie a osveta zamestnancov
Ľudia, ktorí pracujú s osobnými údajmi, potrebujú zrozumiteľné pokyny a školenie primerané svojej úlohe a rizikám spracúvania.
Priebežné školenia podľa rizika: ochrana údajov, phishing, bezpečné prihlasovanie a postup pri incidente; GDPR neurčuje pevný ročný interval.
Pokyny a mlčanlivosť: zabezpečte, aby osoby s prístupom k údajom konali podľa pokynov a povinností, ktoré sa na ne vzťahujú.
Testovanie (phishing simulations): pošlite fake phishing email a pozrite, kto klikne
Clear desk policy: žiadne dokumenty s osobnými údajmi nechávané na stole cez noc
Quick Wins: Implementujte dnes
Zapnite 2FA (two-factor authentication) na všetkých účtoch s prístupom k údajom
Skontrolujte zálohy a obnovu: zvoľte ochranu a interval podľa rizika a overte, že obnovu možno vykonať
Audit prístupových práv: kto má prístup k čomu? Odobratie zbytočných prístupov
Skontrolujte záznamy o spracovateľských činnostiach: veďte ich, ak sa na vás vzťahuje čl. 30 GDPR, a udržiavajte ich aktuálne
Skontrolujte dodávateľov: overte ich bezpečnostné opatrenia, roly pri spracúvaní, zmluvy a prípadné prenosy mimo EHP
GDPR compliance nie je jednorazová úloha
GDPR súlad závisí od konkrétnych účelov, právnych základov, rolí, zmlúv, bezpečnostných opatrení a lehôt uchovávania. Tento všeobecný checklist nenahrádza posúdenie konkrétneho spracúvania ani právne poradenstvo.
Pred použitím si overte aktuálne podmienky služby a spracovateľskú dokumentáciu.