Co se stane, když nemáte zásady ochrany osobních údajů

Pokud zjistíte, že jste shromažďovali údaje bez zásad, postupujte metodicky, ne v panice:

1. Sepište všechny formuláře, funkce účtů, analytické či reklamní značky, SDK a poskytovatele, kteří pracují s osobními údaji
2. Navrhněte zásady, které tato fakta přesně popisují, včetně regionálních oddílů, které vyžaduje vaše publikum
3. Zkontrolujte nastavení souhlasu, aby se cookies a sledovací nástroje vyžadující souhlas nespouštěly dřív, než uživatelé souhlasí
4. Zveřejněte zásady na stálé URL adrese a odkažte na ně z patičky, formulářů, nastavení aplikace a záznamů v obchodech
5. Aktualizujte záznamy v App Store, Google Play a na dalších platformách novým odkazem
6. Stanovte datum účinnosti a veďte archiv, aby byly budoucí verze dohledatelné
7. Vyhledejte právní radu, pokud nakládáte s citlivými údaji nebo údaji dětí, obdrželi jste stížnost nebo vás kontaktoval dozorový úřad

Návod jak napsat zásady ochrany osobních údajů podrobně rozebírá každý krok. Pokud chcete začít rychleji, generátor zásad ochrany osobních údajů vás provede stejným soupisem a umožní vám zdarma a bez účtu zobrazit náhled celých zásad.

Neexistuje jediný celosvětový zákon, ale pokud shromažďujete osobní údaje online, téměř jistě se na vás vztahuje alespoň jedno pravidlo. Hlavní z nich:

• GDPR a UK GDPR: vztahují se na organizace usazené v EU nebo ve Spojeném království a na ty mimo ně, které lidem v těchto zemích nabízejí zboží či služby nebo monitorují jejich chování. Články 13 a 14 vyžadují při získávání údajů konkrétní informace.
• CalOPPA: vyžaduje, aby každý provozovatel komerčního webu nebo online služby, který shromažďuje osobně identifikovatelné údaje obyvatel Kalifornie, viditelně zveřejnil zásady ochrany osobních údajů, a to bez jakékoli hranice obratu.
• CCPA: vyžaduje podrobné zásady od výdělečných firem, které splňují některou z jejích prahových hodnot, například roční hrubé příjmy nad $26 625 000 po úpravě platné od 1. ledna 2025.
• Další státy USA a COPPA: mnoho států má komplexní zákony o ochraně soukromí a COPPA vyžaduje online oznámení u služeb zaměřených na děti mladší 13 let.
• Kanada, Brazílie, Austrálie, Nový Zéland: PIPEDA, LGPD a australský i novozélandský zákon o ochraně soukromí (Privacy Act) vyžadují otevřenost ohledně nakládání s osobními údaji.

Průvodce potřebuji zásady ochrany osobních údajů podrobněji prochází jednotlivé situace.

Ano, a s tímto důsledkem se vývojáři často setkají jako s prvním. Pravidlo Applu 5.1.1(i) pro kontrolu aplikací (App Review) stanoví, že všechny aplikace musí obsahovat odkaz na své zásady ochrany osobních údajů v poli metadat v App Store Connect a v aplikaci na snadno dostupném místě. Zásady Google Play pro uživatelská data uvádějí, že všechny aplikace musí zveřejnit odkaz na zásady ochrany osobních údajů v Play Console i v aplikaci, a aplikace, které k žádným osobním a citlivým uživatelským datům nepřistupují, je musí odeslat také.

Bez zásad bude nová aplikace pravděpodobně odmítnuta a stávající aplikace může čelit opatřením při pozdější kontrole. Opatření Google Play mohou zahrnovat odmítnutí, odstranění a pozastavení a závažná nebo opakovaná porušení mohou ohrozit účet vývojáře. Zásady musí být také v souladu se štítky ochrany soukromí a formulářem Bezpečnost dat, které odešlete.

Pokud vydáváte mobilní aplikaci, průvodci zásadami ochrany osobních údajů pro Google Play a zásadami ochrany osobních údajů pro Apple App Store uvádějí přesné požadavky jednotlivých obchodů.

Mnoho nástrojů, na kterých závisíte, stanoví zásady ochrany osobních údajů jako smluvní podmínku jejich používání. Podmínky Google Analytics například vyžadují, abyste zveřejnili zásady ochrany osobních údajů, které uvádějí, že používáte cookies, mobilní identifikátory nebo podobné technologie, a abyste uvedli, že používáte Google Analytics a jak shromažďuje a zpracovává data. Reklamní programy běžně vyžadují obdobné informace o cookies a personalizaci reklam a e-mailové platformy očekávají, že odesílatelé vysvětlí, jak používají údaje odběratelů.

Když porušíte podmínky poskytovatele, může vám poskytovatel podle stejných podmínek obvykle omezit, pozastavit nebo ukončit přístup. Pro firmu, která závisí na příjmech z reklamy nebo na marketingovém seznamu, může být ztráta účtu citelnější než dopis od dozorového úřadu, protože k ní dojde bez slyšení a její zvrácení může trvat.

Řešení je jednoduché: každý nástroj, který používáte, uveďte ve svých zásadách tak, jak to vyžadují jeho podmínky. Průvodci požadavky na zásady ochrany osobních údajů pro Google Analytics a zásady ochrany osobních údajů pro AdSense ukazují, jaká témata formulací jednotliví poskytovatelé očekávají.

Ne každý důsledek přichází od dozorového úřadu. Firemní zákazníci běžně požadují zásady ochrany osobních údajů při výběru dodavatele a bezpečnostních prověrkách. Chybějící zásady, nebo zásady, které zjevně nepopisují váš produkt, vyvolávají otázky, které obchody zpomalí nebo zastaví, zejména u větších zákazníků s vlastními povinnostmi v oblasti ochrany soukromí.

Další praktické dopady se snadno podcení:

• Partnerské a integrační programy, jako je přihlášení přes Google nebo obchody s rozšířeními prohlížeče, často vyžadují URL adresu zásad ještě před schválením
• Poskytovatelé plateb, e-mailů a marketingu očekávají, že obchodníci vysvětlí, jak nakládají s údaji zákazníků
• Investoři a kupci prověřují dokumentaci k ochraně soukromí v rámci due diligence
• Uživatelé stále častěji hledají odkaz na ochranu soukromí, než zadají e-mailovou adresu nebo číslo karty

Žádný z těchto dopadů nepřináší pokutu, ale každý může stát víc na ušlých příjmech a zpožděních než čas potřebný ke zveřejnění přesných zásad. Jasné a poctivé zásady jsou také nenápadným signálem důvěryhodnosti na každé stránce vašeho webu.

GDPR považuje transparentnost za základní povinnost. Podle čl. 83 odst. 5 může porušení ustanovení o právech subjektů údajů v článcích 12 až 22, mezi něž patří i informace, které lidem musíte poskytnout, vést ke správním pokutám až do výše 20 milionů € nebo 4 % celkového celosvětového ročního obratu za předchozí účetní období, podle toho, která částka je vyšší. UK GDPR stanoví odpovídající maximum na 17,5 milionu £ nebo 4 %.

Jde o stropy, nikoli o výchozí částky. Čl. 83 odst. 2 vyžaduje, aby úřady zohlednily povahu, závažnost a dobu trvání porušení, počet dotčených osob, zda šlo o úmysl nebo nedbalost, kroky přijaté ke zmírnění škody a míru spolupráce organizace. Pokuty musí být účinné, přiměřené a odrazující.

Pokuty také nejsou jediným nástrojem. Podle článku 58 mohou dozorové úřady vydávat varování a napomenutí, nařídit uvedení zpracování do souladu s GDPR, nařídit sdělení informací dotčeným osobám a uložit dočasné nebo trvalé omezení zpracování včetně zákazu. Pro malou firmu může mít příkaz k ukončení určité marketingové praktiky větší dopad než teoretická maximální pokuta.

Kalifornie má dva překrývající se režimy. CCPA se vztahuje na výdělečné firmy, které podnikají v Kalifornii a splňují některou z prahových hodnot, například roční hrubé příjmy nad $26 625 000, nákup, prodej nebo sdílení osobních údajů 100 000 či více spotřebitelů nebo domácností, nebo alespoň polovinu ročních příjmů z prodeje či sdílení osobních údajů. Po úpravě z ledna 2025, kterou oznámila Kalifornská agentura pro ochranu soukromí (California Privacy Protection Agency), mohou správní pokuty a občanskoprávní sankce dosáhnout $2 663 za porušení nebo $7 988 za úmyslné porušení či porušení týkající se osobních údajů spotřebitelů, o nichž firma ví, že jsou mladší 16 let. Agentura postupuje ve správním řízení a generální prokurátor může podat občanskoprávní žalobu.

CalOPPA nemá žádnou hranici velikosti. Provozovatel ji porušuje, pokud nezveřejní vyhovující zásady do 30 dnů od upozornění na nesoulad. CalOPPA sama neobsahuje žádné výše sankcí, ale porušení lze stíhat podle kalifornského zákona o nekalé soutěži (Unfair Competition Law), kde mohou občanskoprávní sankce podle § 17206 zákoníku Business and Professions Code dosáhnout $2 500 za porušení.

Částky za jednotlivé porušení rychle rostou, když se počítají za každého uživatele nebo každé stažení. Průvodce CCPA a CPRA vysvětluje, co musí kalifornské informace obsahovat.

Spojené státy nemají obecný federální zákon, který by každé firmě ukládal zveřejnit zásady ochrany osobních údajů. Zákon o Federální obchodní komisi (FTC Act) však zakazuje nekalé nebo klamavé jednání či praktiky v obchodním styku a FTC tuto pravomoc po mnoho let uplatňuje vůči firmám, jejichž prohlášení o ochraně soukromí byla zavádějící nebo jejichž praxe porušovala dané sliby. Narovnání běžně ukládají dlouhodobé povinnosti, jako jsou programy ochrany soukromí, nezávislá hodnocení a podávání zpráv, a porušení příkazu FTC může vést k občanskoprávním sankcím.

Na služby pro děti se vztahuje přísnější pravidlo. Pravidlo COPPA vyžaduje, aby provozovatelé webů a online služeb zaměřených na děti mladší 13 let, nebo provozovatelé, kteří skutečně vědí, že od takových dětí shromažďují osobní údaje, zveřejnili online oznámení o ochraně soukromí a získali ověřitelný souhlas rodičů. Podle pokynů FTC ke COPPA může soud uložit porušovatelům občanskoprávní sankce až do výše $53 088 za porušení, přičemž částka se upravuje o inflaci.

Poučení zní, že riziko nese mlčení i nepřesnost. Absence zásad vás neochrání před pozorností FTC, pokud jsou vaše praktiky nekalé, a zásady, které uvádějí nesprávné informace, vytvářejí vlastní problém s klamáním.

Pokud jsou vaši uživatelé v těchto zemích, i jejich zákony očekávají otevřenost ohledně nakládání s daty:

• Kanada: zásada otevřenosti podle PIPEDA vyžaduje, aby organizace snadno zpřístupnily informace o svých pravidlech a postupech. Úřad komisaře pro ochranu soukromí (Office of the Privacy Commissioner) prošetřuje stížnosti a québecký zákon č. 25 (Law 25) přidává vlastní povinnosti zveřejnění.
• Brazílie: LGPD dává lidem právo na jasné informace o zpracování. Sankce zahrnují varování a pokuty až do výše 2 % obratu společnosti v Brazílii, nejvýše však 50 milionů R$ za jedno porušení.
• Austrálie: subjekty, na které se vztahuje Privacy Act, obvykle firmy s ročním obratem nad 3 miliony A$ a některé menší, musí mít podle APP 1 jasně formulované a aktuální zásady ochrany osobních údajů. OAIC může vést šetření a domáhat se občanskoprávních sankcí za závažné zásahy do soukromí.
• Nový Zéland: Privacy Act 2020 vyžaduje, aby subjekty informovaly lidi o shromažďování údajů, a komisař pro ochranu soukromí (Privacy Commissioner) může prošetřovat stížnosti a vydávat výzvy k zajištění souladu.

Podrobnosti se liší, proto si pro každou zemi, kde působíte, projděte přehled zákonů o ochraně soukromí.