Защита данных и GDPR для малого бизнеса в Чехии

Небольшие чешские компании часто считают GDPR чем-то, что случилось с ними в мае 2018 года и было решено баннером о cookie и страницей о конфиденциальности. Регулятор видит постоянный набор обязанностей, которые действуют для любой фирмы с клиентами, сотрудниками или рассылкой. Именно в разрыве между этими взглядами начинаются жалобы и проверки.

Это обзор простым языком, а не юридическая консультация. Регламент объемный, и фирме, которая работает с необычными данными, например о здоровье или данными детей, стоит обратиться к специалисту.

Правовая основа

Общий регламент по защите данных (ЕС) 2016/679 напрямую действует в каждой стране-члене с 25 мая 2018 года. Чехия дополняет его законом № 110/2019 Sb. об обработке персональных данных, который охватывает вопросы, оставленные регламентом национальному праву. Электронный маркетинг и cookie регулируются отдельными национальными нормами, которыми реализованы требования ЕС об электронной приватности: закон об отдельных услугах информационного общества (№ 480/2004 Sb.) для маркетинговых писем и закон об электронных коммуникациях (№ 127/2005 Sb.) для cookie.

Надзорный орган — Управление по защите персональных данных (Úřad pro ochranu osobních údajů, ÚOOÚ). Оно рассматривает жалобы, проводит проверки, публикует разъяснения на чешском и частично на английском и может налагать штрафы.

Что считается персональными данными

Персональные данные — любая информация, относящаяся к определенному или определяемому человеку: имя, адрес электронной почты, номер телефона, IP-адрес, фотография, запись о клиенте, изображение с камеры видеонаблюдения. Кадровые записи ваших сотрудников и контакты клиентов — это персональные данные, как и то, что указано в счете индивидуального предпринимателя.

GDPR применяется, если вы обрабатываете такие данные в рамках деятельности организации в ЕС, а у пражской фирмы она, безусловно, есть. Регламент охватывает бумажные папки так же, как базы данных.

Основные обязанности

Знайте, зачем вам данные. Для каждого использования нужно правовое основание по статье 6: согласие, договор, правовая обязанность, жизненно важный интерес, задача в публичных интересах или законные интересы. Выбирайте то, что действительно подходит. Согласие нередко оказывается самым слабым основанием, потому что оно должно быть добровольным и его можно отозвать. Выставление счета опирается на договор и правовую обязанность, а не на согласие.

Говорите людям, что вы делаете. В уведомлении о конфиденциальности нужно указать, кто вы, что собираете, зачем, на каком основании, как долго храните, кто получает данные и какие права есть у людей. Оно должно быть написано понятным читателю языком, а для чешских клиентов это чешский.

Собирайте только необходимое и храните только столько, сколько нужно. Для подписки на рассылку дата рождения не нужна. Резюме соискателя не должно годами лежать в ящике после того, как должность закрыта.

Защищайте данные. Регламент требует надлежащих технических и организационных мер. Для небольшой фирмы это контроль доступа, резервные копии, шифрование устройств, надежные пароли и ограниченный доступ сотрудников. Большинство зарегистрированных утечек — это потерянные ноутбуки, письма не тому адресату и фишинг.

Правильно работайте с обработчиками. Если данными для вас занимается внешний поставщик, например бухгалтер, расчетное бюро или облачный сервис, в большинстве случаев нужно соглашение об обработке по статье 28. Передача данных за пределы ЕС сопровождается дополнительными требованиями.

Права физических лиц

Люди могут запросить доступ к своим данным, исправить их, в некоторых случаях добиться удаления, ограничить обработку, перенести данные другому поставщику и возразить против определенных видов использования. Обычно на ответ дается один месяц, с ограниченными возможностями продления (по состоянию на 2026 год; уточняйте в официальном источнике). Настройте простой канал, например отдельный адрес электронной почты, и решите, кто отвечает. Поступивший запрос нельзя оставлять без внимания.

Реестр, ответственные лица и оценка воздействия

Регламент требует вести реестр действий по обработке. Статья 30 освобождает организации с численностью менее 250 сотрудников, но не в тех случаях, когда обработка не является разовой, может создавать риск для прав людей или затрагивает особые категории данных. Регулярная обработка данных сотрудников и клиентов обычно не бывает разовой, поэтому многие небольшие фирмы все равно ведут реестр. Достаточно простой таблицы.

Должностное лицо по защите данных нужно только в особых случаях, например для государственных органов или организаций, основная деятельность которых связана с масштабным мониторингом или особыми категориями данных. Небольшому магазину, кафе или консалтинговой фирме оно обычно не требуется. Оценка воздействия на защиту данных обязательна там, где обработка может привести к высокому риску, и ÚOOÚ публикует списки таких случаев (смотрите актуальные списки).

Нарушения

О нарушении безопасности персональных данных нужно сообщить в ÚOOÚ в течение 72 часов с момента, когда о нем стало известно, если только маловероятно, что оно создает риск для прав и свобод людей (по состоянию на 2026 год; уточняйте в официальном источнике). Если риск высок, нужно уведомить и тех, кого это затронуло. Ведите внутренний журнал каждого инцидента, в том числе тех, о которых вы решили не сообщать, с обоснованием.

Cookie, маркетинг и видеонаблюдение

Сайту, который использует необязательные cookie или трекеры, нужно согласие посетителя до их установки. Баннер, подталкивающий людей к кнопке «принять», — частая причина жалоб. Маркетинговые письма физическим лицам, как правило, требуют предварительного согласия, с узким исключением для существующих клиентов и похожих продуктов.

Для видеонаблюдения в магазине или офисе нужны ясная цель, предупреждающие таблички, ограниченный доступ и срок хранения. Наблюдение за работниками сталкивается с дополнительными ограничениями по трудовому праву. О кадровой стороне см. как нанять первого сотрудника и обязанности по расчету зарплат.

Штрафы

Регламент допускает штрафы до 20 млн евро или 4 % мирового годового оборота за самые серьезные нарушения, а за остальные установлены более низкие максимумы (по состоянию на 2026 год; уточняйте в официальном источнике). Меры в отношении малого бизнеса обычно начинаются с жалобы, предупреждения или предписания об исправлении. Фирма, которая может показать, что документировала свои решения, оказывается в куда более сильной позиции.

Сегодня же запишите на одной странице, какие персональные данные у вас есть, где они хранятся и кто их видит. С этого начинается соблюдение требований, и обычно выясняется, что где-то забыта одна-две таблицы.

Это общий обзор, а не юридическая или налоговая консультация.