Obecné nařízení o ochraně osobních údajů(GDPR)

Přehled

Nové zákony o soukromí a nejlepší postupy s Odoo

Od 25. května 2018, Obecné nařízení o ochraně osobních údajů (GDPR) vešly v platnost, čímž začala nová éra ochrany dat a soukromí pro všechny. Určitě jste o GDPR slyšeli a četli až příliš mnoho informací, takže může být těžké se zorientovat v tom, co přesně to znamená pro vaši firmu, v reálných dopadech, a co byste měli udělat, abyste byli v souladu s novými pravidly.

V Odoo jsme oddáni tomu, abychom následovali nejlepší praktiky v oblasti bezpečnosti a ochrany soukromí. Neustále se snažíme poskytovat nejvyšší úroveň ochrany všem našim uživatelům a zákazníkům, nehledě na jejich lokaci nebo národnost. A tyto zkušenosti aplikujeme na všechna naše data, nejenom na osobní data.

A proto Odoo SA a její pobočky splňují GDPR.

Co potřebujete vědět o GDPR

Je to EU regulace, jejíž cílem je sladit a aktualizovat současnou legislativu ochrany soukromí, jako třeba EU Data Privacy Directive, kterou také nahrazuje. Stanovuje pravidla ochrany fyzických osob s ohledem na zpracovávání jejich osobních dat a pro přesuny osobních dat v rámci Evropy.

Je to nařízení, nikoliv směrnice, a proto je okamžitě vynutitelné ve všech členských státech EU, bez ohledu na domácí zákony každé země. Jednotlivé země EU mají určitou kontrolu nad interpretací drobných detailů, ale fundamentální pravidla jsou stejná pro všechny, kdekoliv v rámci EU.

GDPR také přináší tuto legislativu do nového milénia, a pokrývá sociální sítě, cloud computing, kybernetický zločin a výzvy, které přinášejí v oblasti ochrany osobních dat a bezpečnosti.

Stručně řečeno: Nepanikařte!

GDPR není průlomovou novou legislativou a ve své podstatě je krokem kupředu pro občany a firmy.

Je todobrá věc!

Rádi bychom zdůraznili, že GDPR může být skvělá věc pro vás a vaše zákazníky. Dodržování HDPR sice může zpočátku znamenat spoustu práce, ale má to i své výhody:

• Zvýšená důvěra vašich zákazníků a uživatelů
• Zjednodušení: ta samá pravidla se aplikují napříč všemi zaměmi EU
• Racionalizace a centralizace vašich firemních procesů

Cílem GDPR je dát jednotlivcům větší kontrolu nad jejich osobními daty. Pokud vaše společnost spustí odpovídající strategie a systémy, bude ve finále jednodušší na řízení a bezpečnější po mnoho let dopředu.

Jaká jsou rizika v případě nedodržení pravidel?

Maximální možná trest za nedodržení pravidel je administrativní pokuty ve výši 20 milionů eur, nebo 4% vašeho globálního ročního obratu, dle toho, co je vyšší. Menší limit 10 milionů eur nebo 2% vašeho globálního ročního obratu se může uplatnit za méně závažná provinění.

Tyto limity mají za cíl být odrazující pro podniky všech velikostí, ale GDPR také vyžaduje aby případné pokuty byly přiměřené.

Kontrolní orgány (v čechách například Úřad pro ochranu osobních údajů) musí brát v potaz okolnosti každého případu, včetně povahy, vážnosti a doby trvání přestupku. Tyto kontrolní orgány mají právovyšetřovat a stanovit nápravná opatření, která mohou zahrnovat omezení či zakázání dotyčné činnosti, bez nutnosti uložit pokuty.

Dalším rizikem v případě nedodržení pravidel je ztráta důvěry vašich zákazníků a prospektů, kterým záleží na tom, jak zpracováváte jejich data!

Na závěr, mnohé kontrolní orgány uvedly, že nebudou ukládat pokuty v roce 2018, ale očekávají, že firmy budoudemonstrovat úsilí v implementaci nezbytných opatření.

Hlavní principy GDPR

Rozsah

Nařízení se vztahuje na jakékoliv zpracováníosobních údajů jakoukoliv organizací:

1. Pokud se správcovská nebo zpracovatelská organizace nachází v rámci EU
2. Pokud se organizacenenachází v EU, ale zpracovává osobní data subjektů, nacházejících se v EU a zabývá se komerčními nabídkami nebo průzkumy chování.

Rozsah tím pádem zahrnuje i společnosti mimo EU, což nebyl tento případ u starší legislativy.

Role

Nařízení rozlišuje dva základní typy entit:

• Správce dat: jakákoliv entita, která rozhoduje o účelech a prostředích zpracovávání osobních dat, ať už samostatně nebo společně. Obecně vzato je každá organizace správcem svých vlastních dat.
• Zpracovatel dat: jakákoliv entita, která zpracovává data jménem správce dat.

Pokud například vaše společnost vlastní databázi, která je hostována na Odoo Cloud službě, pak vy jstesprávce této databáze, a Odoo SA je pouze zpracovatel dat. Pokud budete používat Odoo na svých vlastních serverech, jste jak správcem, tak zpracovatelem těchto dat.

Osobní data

GDPR poskytuje širokou definici osobních dat: jakákoliv informace, související s identifikovanou nebo identifikovatelnou fyzickou osobou.Identifikovatelná osoba je taková osoba, která může být identifikována, přímo nebo nepřímo, pomocí jejich jména, emailu, telefonního čísla, biometrických údajů, lokačních dat, finančních dat, atd. Online identifikátory (IP adresa, ID zařízení,...) jsou v tomto také zahrnuty.

Toto se aplikuje i ve firemním prostředí: info@odoo.com není považován za osobní údaj, ale john.smith@odoo.com ano, protože může být použit k identifikaci fyzické osoby v rámci společnosti.

GDPR také vyžaduje vyšší úroveň ochrany pro citlivá data, mezi které patří konkrétní oblasti osobních dat, jako například zdraví, genetika, rasové nebo náboženské informace.

Zásady zpracování dat

Abyste byli v souladu s nařízením, aktivity zpracování dat se musí řídit následujícími pravidly:
(dle článku 5 GDPR)

1. Zákonnost, férovost a transparentnost: pro sběr dat musíte mít právní základ, jasný záměr, a musíte o tom informovat dotyčný subjekt.

   • Mějte jednoduché a jednoznačné zásady ochrany soukromí, a odkazujte se na ně, kdykoliv sbíráte data
   • Ověřte si právní rámec pro každou z vašich aktivit, sbírající data

2. Omezení účelem: jakmile jednou posbíráte data za určitým účelem, vyžádejte si povolení, pokud je chcete využít za jiným účelem.

   Např. - Nemůžete se rozhodnout prodat zákaznická data, pokud nebyla posbírána za tímto účelem.

3. Minimalismus: musíte sbírat pouze ta data, která jsou nezbytná pro váš účel

4. Přesnost: Měli byste podstoupit přiměřené kroky, aby data , která jste posbírala, zůstala aktuální, vzhledem k jejich účelu

   Např. - Ujistěte se, že řešíte nedoručitelné emaily a opravte nebo vymažte daný email.

5. Omezení doby uložení: osobní data by měla být uložena pouze po dobu nezbytně nutnou k naplnění jejich primárního účelu.

   Určete časové rozmezí, po jehož uplynutí dojde ke smazání nebo revizi osobních údajů, které zpracováváte, v závislosti na jejich účelu.

6. Bezúhonnost a mlčenlivost: zpracovatel dat musí implementovat patřičné řízení přístupů. zabezpečení a opatření pro prevenci ztráty dat, v souladu s typem a rozsahem dat, které jsou zpracovávány.

   Např. - Ujistěte se, že máte funkční systém záloh, s patřičnými zabezpečovacími mechanismy, včetně šifrování citlivých dat, jako třeb hesla,...

7. Zodpovědnost: správci dat jsou zodpovědní za dodržování výše zmíněných zásad a musí být schopni demonstrovat jejich dodržování.

   • Navrhněte a udržujte mapování toku dat skrze vaši organizaci a popište zásady dodržování postupů pro vaše procesy zpracovávání dat
   • Informujte své zákazníky skrze jednoznačné zásady ochrany osobních údajů

Právní základ

Abyste byli v souladu s GDPR (první zásada), zpracovávání osobních údajů musí být založeno naoednom ze šesti možných právních základů, dle článku 6 (1):

1. Souhlas. Je platný ve chvíli, kdy datový subjekt explicitně a dobrovolnědal souhlas poté, co byl vhodně informován, včetnějednoznačně vyjádřeného a konkrétního účelu. Důkazní břemeno v tomto leží na správci dat.
2. Nezbytnost pro vykonání kontraktu, nebo na vykonání požadavků od datového subjektu, v rámci přípravy kontraktu.
3. Splnění právní povinnosti, která je uložena správci dat.
4. Ochrana životně důležitých zájmů. Například ve chvíli, kdy je zpracování dat nezbytné k záchraně života.
5. Ve věci veřejného zájmu nebo úředního orgánu.
6. Oprávněný zájem. Použitelný ve chvíli, kdy správce dat má oprávněný zájem, který není v rozporu se zájmy a základními právy datového subjektu.

Jedna z hlavních změn, které GDPR přineslo oproti předchozím regulacím na ochranu osobních údajů, jsou přísnější požadavky na obdržení platného souhlasu.

Práva datových subjektů

Existující práva na ochranu dat jedinců jsou nadále rozšířena díky GDPR. Organizace se musí připravit na zpracování požadavků od datových subjektů včas (do 1 měsíce) a zdarma, pro tyto oblasti:

1. Právo na přístup - Jednotlivci mají právo vědět, co a jak se zpracovává ohledně jejich osobních údajů, a to plně transparentním způsobem;
2. Právo na nápravu - Jednotlivci mají právo na opravu nebo doplnění jejich osobních údajů;
3. Právo na výmaz - Jednotlivci mají právo na vymazánísvých osobních údajů z legitimních důvodů (stáhnutí souhlasu, nepotřebnost pro daný účel, atd.);
4. Právo na omezení - Jednotlivci mohou požádat správce dat ozastavení zpracováváníjejich osobních údajů, pokud nechtějí nebo nemohou zažádat o úplné vymazání;
5. Právo námitky - Jednotlivci mají kdykoliv právo na námitky vůči konkrétnímu zpracování jejich osobních údajů, jako například za účely přímého marketingu;
6. Přenositelnost dat - Jednotlivci mají právo požádat, aby jejich osobní údaje, držené správcem dat, byly poskytnuty jim, nebo jinému správci dat.

Jak byste se měli připravit na GDPR

Zde jsou klíčové kroky, které navrhujeme pro implementaci GDPR do vaší firmy:

1. Připravtemapování datových toků napříč aktivitami, které se týkají zpracovávání dat, abyste získalijasnou představu o současné situaci. Kontrolní orgány často poskytují vzory tabulek, které vám v tomto mohou pomoci. Pro každý proces je dobré vypsat typ osobních údajů, se kterými pracuje a způsob, jakým byly posbírány ; účel, právní základ a podmínky vymazání ; technické a organizační bezpečnostní opatření asubdodavatele (zpracovatele) zahrnuté v procesu.

   Je nezbytné, abyste toto mapování pravidelně aktualizovali, vzhledem k vývoji vašich procesů.
2. Na základě kroku 1, zvolte svounápravnou strategii pro jakékoliv zpracovávání dat, pro které nemáte právní základ (např. chybějící souhlas) nebo kde nemáte nasazena patřičná bezpečnostní opatření. Přizpůsobte své procesy, interní postupy, přístupová práva, zálohy, monitorování, atd.
3. Zveřejněte a udržujte aktuální jednoznačné zásady ochrany osobních údajů na vašem webu. Vysvětlete, jaká osobní data zpracováváte, jak to děláte a jaká jsou práva jednotlivců ve vztahu k jejich datům.
4. Zrevidujte vaše smlouvy s právním poradcem a uzpůsobte je dle GDPR.
5. Rozhodněte, jak budete řešit různé typy požadavků od datových subjektů.
6. Připravte svůj vlastní postup odezvy na incident, pro případ úniku dat.

V závislosti na vaši situaci mohou být přidány další body na tento seznam, jako například určení pověřence pro ochranu osobních údajů. Rozhodně konzultujte své právní poradce a interní procesní experty k určení jakýchkoliv dalších relevantních opatření.

Jak Odoo dodržuje GDPR

Pro Odoo není implementace ochrany osobních údajů a bezpečnostních praktik ničím novým. Coby společnost provozující cloudové hostování musíme neustále revidovat a vylepšovat naše systémy, nástroje a procesy. Jen tak můžeme zůstat bezkonkurenční a bezpečnou platformou.

Naše GDPR role

Naše zodpovědnosti v oblasti ochrany osobních dat závisí nan typu našich zpracovatelských aktivit:

Naše role	Zpracování dat	Typ dat
Datovýsprávce & zpracovatel	Na Odoo.com	Osobní data, poskytovaná přímo, našimi zákazníky, prospekty, partnery a všemi přímými uživateli Odoo.com (jména, emaily, addresy, hesla, ...)
Datovýzpracovatel	Na Odoo Cloud (Odoo Online, Odoo.sh a ostatní Odoo Enterprise Services)	Jakákoliv osobní data, ukládaná v databázích našich zákazníků, hostovaných na Odoo Cloudu nebo nám zaslaná v rámci používání některé z našich služeb. Vlastníkem této databáze jesprávce dat.
Žádná role	Na vlastních serverech	Jakákoliv data ukládaná v Odoo databázích, hostovaných na vlastních serverech, nebo na jakémkoliv hostingu, který není spravovaný námi.

Naše GDPR dokumenty

Coby správce dat, jsou naše aktivity popsány v našich zásadách ochrany osobních údajů, které byly aktualizovány pro zahrnutí GDPR. Tyto zásady jednoznačně vysvětlují jaká data zpracováváme, proč je zpracováváme a jak je zpracováváme. S tímto se pojí naše bezpečnostní zásady , které vysvětlují jaké bezpečnostní praktiky používáme v Odoo, v rámci všech úrovní (technické i organizační), abychom zajistili že vaše data jsou zpracovávána v zabezpečené podobě.

Kromě těchto zásad, naše aktivity v roli Správce dat jsou podmíněné přijetím našeho souhlasu s Odoo Enterprise licencí. Tento souhlas byl aktualizován aby zahrnul nezbytné klauzule o ochraně dat (často nazývané jako "Souhlas se zpracováním dat"), dle GDPR.
Coby zákazník Odoo S.A. nemusíte pro přijetí těchto změn nic dělat, automaticky se na vás tyto nové záruky vztahují a v případě absence jakýchkoliv námitek budeme vaše mlčení považovat za souhlas.

Kromě těchto dokumentů jsme také aktualizovali náš web, aby obsahoval upozornění o ochraně osobních údajů na všech relevantních místech. Vše proto, aby byli naši uživatelé informováni všude, kde je to zapotřebí.

Jak vám Odoo pomáhá implementovat GDPR

Používání Odoo pro řízení vaší firmysamo o soběnení dostatečné pro dodržování GDPR, protože toto nařízení se týká celé vaší organizace. Avšak díky tomu, že Odoo centralizuje vaše data, obsahuje granulární kontrolu přístupových práv a zajišťuje, že všechna data jsou na správném místě, je skvělým pomocníkem při dodržování GDPR.

Zde je několik cest, jak si myslíme, že vám Odoo může pomoci v kontextu GDPR, ať už pro hostování na vlastních serverech, nebo v Odoo Cloudových datatabázích.

Právo na přístup (Čl. 15) a právo na přenositelnost dat (Čl. 20)

• Odoo poskytuje nástroje, aby datové subjekty mohly v samoobslužném režimu zpřístupnit a aktualizovat své osobní údaje, skrze:
  • Zákaznický portál umožňuje uživatelům procházet své dokumenty: adresy a kontakty, faktury, nabídky, objednávky, úkoly, tikety, nákupy, předplatné, dodací listy, platby a také komunikaci, kolem těchto dokumentů.
  • Stránka emailových seznamů, umožňuje uživateli revidovat a spravovat své odběry newsletterů (například pro Odoo.com: https://www.odoo.com/groups)
  • Profil na fóru umožňuje uživatelům fóra zrevidovat všechny své aktivity na první pohled
• Pokud potřebujete exportovat všechna data, nebo pracovat se soukromými daty, která nejsou dostupná přes zákaznický portál, jsou zapotřebí manuální úkony.
  Běžně můžete všechny relevantní dokumenty vidět z top lišty na kontaktním záznamu uživatele, ke kterému jsou napojeny. Pak můžete vyexportovat všechny informace skrze “Vytisknout jako PDF” funkcionalitu prohlížeče, nebo skrze Akce>Export menu, ze seznamu kontaktů nebo ze seznamu jejich dokumentů.
  Obě tyto možnosti poskytují výstup, který je v souladu s GDPR elektronickými formáty.
• Kromě tohoto je také možné, že některá data nejsou napojena na záznam kontaktu, protože byly poskytnuta v separátním kontextu. Tyto je také třeba zrevidovat, ať už vyhledáváním skrze jméno nebo emailovou adresu, například:
  • Registrace na události
  • Prospekty & příležitosti ve vašem CRM

Právo být zapomenut (Čl. 17)

GDPR dává datovým subjektům právo požadovat výmaz svých osobních údajů, za konkrétních okolností, jako třeba:

• Data již nejsou potřebná, vzhledem k jejichúčelu;
• Odebrání souhlasu se zpracováním dat, které byly zpracovávány pouze na základě souhlasu;
• Zpracování dat je z nějakého důvodunezákonné.

Pokud vyhodnotíte, že je požadavek legitimní a potvrdili jste identitu subjektu, můžete se pokusit vymazat odpovídající kontakt v Odoo. Toto je bezpečná operace: Odoo tuto akci zablokuje, pokud existují obchodní záznamy, které se pojí ke kontaktu (faktura, kontakt, dodací list, příspěvek na fóru, atd.). V tomto případě se musíte rozhodnout, jestli máte povinnost zachovat tyto dokumenty a odmítnout požadavek o výmaz.

Pokud nemáte žádný právní důvod zachovat osobní informace, ale nemůžete či nechcete smazat daný dokument nebo kontakt, můžete zvážit jejich anonymizaci. Můžete přejmenovat daný kontakt a změnit jeho rozpoznatelná data (email, adresa, atd.), nebo přeřadit jeho dokumenty ke generickému anonymnímu kontaktu. Jakmile je vše správně anonymizováno, tato data již nejsou považována za osobní data.

Omezení zpracování (Čl. 18) a odvolání souhlasu (Čl. 7)

Uživatelé se často ptají po vyřazení z obchodních emailů. Pokud byl váš email poslán skrze Odoo, uživatelé mohou sami využít "odhlásit se" odkaz v patičce. Můžete ale také manuálně zaškrtnout "odhlášeno" pole na kontaktu nebo v prospektu/příležitosti. Záznamy označené jako “odhlášeno” jsou automaticky vyřazeny s mailových kampaní, ale stále mohou obdržet přímé zprávy od uživatelů (např. nabídky a faktury).

Právo na opravu (Čl. 16) a přesnost dat (Čl. 5 (1) d)

Neplatné či změněné emailové adresy jsou běžným zdrojem chyb v datech. Pokud je emailové integrace správně nastavena (což je výchozí stav na Odoo Cloud službě), pak Odoo bude detekovat nedoručitelné emaily ve vašich kampaních a navýší Nedoručitelné pole o číslo nedoručitelných emailů. Pak můžete pravidelně revidovat vaše kontakty a prospekty, pomocí custom vyhledávání na "Nedoručitelné vyšší než 0" a vyčistit/smazat je.

Odběratelé Odoo Diskuzních kanálů jsou automaticky odhlášeni po 10 nedoručených zprávách.

Co se týče opravy dat, uživatelé a zákazníci si mohou sami opravit svá osobní data (jméno, email, adresa) skrze Odoo portál.

Souhlas (Čl. 7)

Když sbíráte osobní data skrze výchozí Odoo mechanismy (např. kontaktní formulář, přihlášení na odběr emailů, registrace na událost), pak musíte vyjádřit jasný účel a právní základ pro jejich zpracování. Toto závisí hlavně na tom, jak budete používat tato data.

Pokud je účel konkrétní a zřejmý (např. uložení registrovaných účastníků události, aby se jim daly zasílat informace o události ; přihlášení někoho do mailového seznamu, dle jejich volby), nepotřebujete explicitně vyžadovat souhlas (tato osobní data jsou nezbytná pro splnění smlouvy - Čl. 6 (1) b). Stále však musíte uvést jasný účel vůči uživateli a odkázat ho na stránku zásad ochrany osobních údajů, kde získá více informací. Můžete použít Odoo editor webových stránek, abyste patřičně upravili formuláře a přidali nezbytné informace.

Pokud ale plánujete použít posbíraná data za jinými účely, musíte obdržet explicitní souhlas s každým z těchto účelů od uživatele. Doporučená cesta je přidat zaškrtávací pole na váš formulář, aby se získal souhlas a každým konkrétním účelem (např. "Prosím, posílejte mi slevy a promo akce na podobné produkty emailem"). Abyste tohoto dosáhli s Odoo, můžete:

1. Použít Odoo Studio a přidat zaškrtávací pole (boolean) na daný dokument, kde se sbírají osobní data (např. prospekt/příležitost), což bude vyjadřovat souhlas s tímto účelem
2. Přidat zaškrtávací pole na váš webový formulář, pomocí Odoo editoru webových stránek
3. Použít tato pole při zpracovávání dat za tímto účelem, například v při filtrování cílových skupin v marketingových kampaních

Záměrná ochrana osobních údajů (Čl. 25)

Záměrná ochrana osobních údajů je v srdci našeho R&D v Odoo a vždy používáme nejlepší bezpečnostní praktiky, abychom náš software udělali bezpečnější, robustnější a odolnější pro všechny.

Kontrola přístupů - Výchozí kontrola přístupů, založená na přístupových skupinách v Odoo, vám umožňuje omezit přístup k osobním údajům pro každého uživatele, dle jeho potřeb. (např. projektový manažer nepotřebuje přístup k uchazečům o práci). Pokud pravidelně revidujete přístupové skupiny přidělené uživatelům a spravujete své role v případě změn ve vaší organizaci, pak máte solidní základ pro ochranu osobních dat. Také můžete jednoduše přidávat nebo editovat přístupové skupiny, aby seděly na míru vaší organizaci.

Pravidla záznamů - Pro doladění přístupu k osobním datům můžete použít funkcionality pravidel záznamů, které vám umožňují omezit přístup k dokumentům na základě hodnot v polích. Pravidla záznamů mohou zablokovat čtení a/nebo zápis záznamů, a fungují pro každý typ dokumentu separátně. Pro více informací shlédněte naši dokumentaci.

Hesla - Odoo ukládá hesla pomocí zabezpečeného hashování. také je možné využít externí autentikační systémy, jako OAuth 2.0 nebo LDAP, aby se celkově předešlo ukládání hesel.

Data zaměstnanců - Jedna z oblastí, kde Odoo databáze běžně obsahují citlivá osobní data, je záložka Osobní informace na zaměstnanecké kartě a jejich kontrakty. Tato část zaměstnanecké databáze je viditelná pouze pro HR oddělení (přístupová skupina "HR pracovník"), kteří ji potřebují ke své práci. Tato ochrana zahrnuje soukromé adresy zaměstnanců: od Odoo 12 až po Odoo 17, se tyto ukládají jako kontakt typu "Osobní", který je viditelný pouze HR pracovníkům. Od verze 17.0 se soukromá adresa ukládá přímo na kartu zaměstnance.

Zabezpečení zpracování (Čl. 25 & 32)

Pokud používáte Odoo Online nebo Odoo.sh služby, pak máme nasazené techniky ochrany osobních údajů a jejich zabezpečení na všech úrovních. Více se můžete dozvědět v sekci bezpečnostních zásad.
Pokud používáte Odoo na vlastních serverech, jste sami zodpovědní za jejich patřičné zabezpečení. S tím můžete začít díky bezpečnostním doporučením v naší technické dokumentaci nasazení Odoo.