Kompletní privacy program od auditu a RoPA, přes DPIA, DSAR procesy, cookie consent a mezinárodní přenosy dat až po breach response do 72 hodin a externího pověřence pro ochranu osobních údajů.
GDPR compliance, data discovery, privacy by design a operativní DPO podpora.
Soulad s nařízením EU 2016/679, zákonem č. 110/2019 Sb. a ePrivacy směrnicí. Právní základy zpracování, principy, práva subjektů údajů.
Mapování osobních údajů napříč systémy (M365, CRM, ERP, cloud, on-prem), klasifikace citlivosti a Records of Processing Activities (RoPA).
Začlenění ochrany dat do návrhu produktů a procesů – minimalizace, pseudonymizace, šifrování, retence a privacy-friendly defaults.
Nastavení rolí (DPO, controller, processor), incident response pro data breach, odpovědi na žádosti DSAR a kontinuální audit.
Modulární služby od auditu a dokumentace po DPO as a Service.
Hloubkový audit zpracování osobních údajů, gap analýza vůči GDPR, ePrivacy, AI Act a sektorové regulaci. Akční plán s prioritami.
Vytvoření a údržba evidence zpracování dle čl. 30 GDPR – účely, kategorie subjektů, příjemci, lhůty, technická a organizační opatření.
Privacy policy, cookie policy, ZZOÚ, interní směrnice, DPA / SCC, zpracovatelské smlouvy, retenční politiky a záznamy souhlasů.
Data Protection Impact Assessment pro vysoce rizikové zpracování (biometrie, profilování, AI, monitoring) a Legitimate Interest Assessment.
Procesy a šablony pro vyřízení žádostí (přístup, oprava, výmaz, přenositelnost, námitka), automatizace přes ticketing a SLA.
Transfer Impact Assessment (TIA), Standard Contractual Clauses (SCC), BCR, Schrems II analýza pro USA, UK a třetí země.
Implementace CMP (OneTrust, Cookiebot, Usercentrics), audit cookies a trackerů, soulad s TTPÚ, ePrivacy a GDPR souhlasy.
Návrh a implementace anonymizace, pseudonymizace, tokenizace, end-to-end šifrování, key management a data masking pro non-prod prostředí.
Klasifikace citlivých dat, DLP politiky v Microsoft Purview, Symantec, Forcepoint, monitoring exfiltrace a insider threat.
Retenční katalog dle účelu, automatizace mazání v M365, databázích a backupech, evidence o splnění práva na výmaz.
Incident response pro data breach, posouzení rizika, oznámení ÚOOÚ do 72 hodin, komunikace se subjekty údajů a post-incident review.
Externí pověřenec pro ochranu osobních údajů – konzultace, audity, dokumentace, školení, komunikace s ÚOOÚ a kontinuální dohled.
Privacy je povinnost pro každý subjekt zpracovávající osobní údaje.
Strukturovaný 4-fázový privacy program s kontinuální DPO podporou.
Inventarizace systémů a osobních údajů, mapování datových toků, gap analýza vůči GDPR, ePrivacy, AI Act a sektorovým předpisům.
RoPA, DPIA, retenční politiky, privacy policy, DPA / SCC, návrh privacy by design a technických opatření (šifrování, pseudonymizace).
Nasazení CMP, DLP, DSAR procesů, školení zaměstnanců, integrace privacy do SDLC, vendor management a třetích stran.
DPO podpora, kontinuální monitoring, kvartální reviews, breach response, aktualizace dokumentace a příprava na audity ÚOOÚ.
Měřitelné cíle privacy programu a regulatorní limity.
Privacy není o šabloně dokumentace, ale o reálném snížení rizika pokut a důvěře zákazníků. Stavíme privacy program s ohledem na byznys, technologie a integraci s NIS2, ISO 27001 a AI Act.
Domluvit konzultaciPro DPO, právníky, IT i management.
DPO je povinný dle čl. 37 GDPR pro: orgány veřejné moci, subjekty s rozsáhlým systematickým monitoringem subjektů (např. trackování chování), a subjekty zpracovávající rozsáhle zvláštní kategorie údajů (zdravotní, biometrické) nebo údaje o trestních věcech. I když není povinný, doporučujeme externího DPO jako levnější a nezávislejší variantu.
Controller (správce) určuje účely a prostředky zpracování – nese hlavní odpovědnost. Processor (zpracovatel) zpracovává data jménem controllera dle pokynů (typicky cloud / SaaS / IT dodavatel). Vztah musí být upraven zpracovatelskou smlouvou (DPA) dle čl. 28. Joint controllers sdílejí odpovědnost a musí mít transparentní ujednání.
1) Detekce a izolace incidentu, 2) posouzení rizika pro subjekty údajů, 3) oznámení ÚOOÚ do 72 hodin (pokud je riziko), 4) oznámení subjektům údajů (pokud je vysoké riziko), 5) evidence v interním registru breaches, 6) post-incident review a nápravná opatření. Příprava breach response playbooku je klíčová – v reálném incidentu není čas vymýšlet.
Od července 2023 je v účinnosti EU-U.S. Data Privacy Framework (DPF) – pro certifikované americké subjekty stačí samotná certifikace. Pro ostatní třetí země nebo necertifikované subjekty: SCC (Standard Contractual Clauses) + Transfer Impact Assessment (TIA) + případná dodatečná opatření (šifrování, pseudonymizace). U Microsoftu a AWS doporučujeme zvolit EU regiony a EU Data Boundary.
Ano, pokud zpracování zahrnuje systematické vyhodnocování osobních aspektů (profilování), automatizované rozhodování s právními účinky, rozsáhlý monitoring nebo zvláštní kategorie údajů. AI Act navíc přidává Fundamental Rights Impact Assessment (FRIA) pro vysoce rizikové AI systémy. DPIA a FRIA lze často sloučit do jednoho posouzení.
GDPR řeší ochranu osobních údajů, NIS2 kybernetickou bezpečnost služeb, AI Act bezpečné a etické AI. Oblasti se prolínají: NIS2 vyžaduje technická opatření, která pomáhají i GDPR (šifrování, MFA, incident response), AI Act vyžaduje ochranu dat při trénování modelů. Doporučujeme integrovaný compliance program místo silových silos.
Pro všechny netechnicky nezbytné cookies a trackery (analytika, marketing, social) je nutný informovaný, konkrétní, svobodný a odvolatelný souhlas (opt-in) před jejich nastavením. Funkční cookies (košík, jazyk, login) souhlas nevyžadují. Pre-ticked checkboxy a cookie walls jsou nezákonné. Doporučujeme nasadit Consent Management Platform (CMP).
Nabízíme bezplatnou Privacy Readiness Assessment – posouzení vaší GDPR zralosti, dokumentace a připravenosti na kontrolu ÚOOÚ.