EuroLimonádový Joe aneb Koňská opera GDPR

Jedním z eurodárečků pod stromečkem pro rok 2018 je GDPR.  Článků o této zbruselu nové regulaci vyšlo zatím málo, a byly většinou psány šroubovaným jazykem. Takže tentokrát jinak: GDPR je nová Gigantická a Drahá PRuda.

Jako vždy ve westernu s kladným superhrdinou je na začátku dojemná snaha posunout pokrok světa k zářným zítřkům. A jako vždy jsme tou září oslněni k oslepnutí stejně, jako když ve filmu Limonádový Joe vchází hlavní hrdina do baru, aby sjednal nápravu mezi zpustlíky (tedy námi). Stejně tak EU nařízení GDPR o ochraně osobních údajů v roce 2016 řeklo, že se v květnu 2018 vrátí a s ním přijde zákon. No, Martin Schulz, tehdy předseda Evropského parlamentu, předtím knihovník-alkoholik, který GDPR podepsal, nyní SPD v Německu, už stojí na prahu – celý v bílém, kolty proklatě nízko. A zákon GDPR s ním. Budeme nadšeni, že nás ochrání jako Limonádový Joe bezbrannou krásnou Winnifred nebo se opět staneme obětí jeho nejnižších pudů, jak by řekl Horác Hogo Fogo Badman. Sázím na Badmana.

Tak za prvé: v roce 2018, pokud nejste bezdomovec od mimina a nezúčastnil jste se ani vítání občánků a nevyvinul nikdy žádnou aktivitu vůči úřadům nebo nedejbože na internetu, vězíte v síti „databází“ až po uši. A ochrana vašich osobních dat je věcí stejně iluzorní jako to, že Limonádový Joe je statečný ochránce práva a spravedlnosti. Jak se i z filmu nakonec dozvíme, jen nekompromisně zastupuje své firemní zájmy, kde „padouch nebo hrdina, my jsme jedna rodina“, hlavně, že obraty firmy Kolalok a syn rostou. V době, kdy (byť jste jen průměrně aktivní člověk) si každý do minuty na netu zjistí, kdo jste, včetně data narození a trvalého bydliště (např. obchodní rejstřík), jaké nemovitosti vlastníte (katastr), v jaké sociální síti se mrskáte, jaké máte postoje a názory, jak vypadáte, na co se díváte, co kupujete a za kolik, jak často, kam jezdíte na dovolenou, co jste vystudovali, kolik berete, jaké máte dluhy (rejstřík dlužníků), jakých spolků jste členem… Tak v této době, zhruba 30 let po poslední možnosti, jak tento „trend“ účinně regulovat, jde o nařízení, diplomaticky řečeno, zpozdilé. Chtělo by se říct s křížkem po funuse, ale to už nejde, tak korektněji: s burkinami po zavření bazénu.

Za druhé: I sám Brusel si uvědomil, že spoustu vašich osobních údajů je třeba i nadále evidovat, a to i zcela nezávisle na vašem právu na ochranu soukromí, bez vašeho vědomí, natož souhlasu. Takže prakticky jakýkoli vznešený úmysl GDPR vaše citlivá data ochránit je vzápětí negován horami výjimek. Až zbyde jen váš soused, který vám ovšem kouká denně do talíře, takže toho už neoblafnete tvrzením, že jste čistí jak lilie. Už v článku 19 tzv. Důvodů se praví, že: Ochrana fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem předcházení trestným činům nebo jejich vyšetřování, odhalování či stíhání nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení a volný pohyb těchto údajů jsou upraveny zvláštním právním aktem Unie. Proto by se toto nařízení nemělo uplatňovat na činnosti zpracování za těmito účely. A ruku na srdce, že byste nemohli být potenciální zločinci a hrozba pro veřejnou bezpečnost? A to jsem si myslel, že Veřejná bezpečnost už byla zrušená! V článku 39 Důvodů je také hezká věta: Aby se zajistilo, že osobní údaje nebudou uchovávány déle, než je nezbytné, měl by správce stanovit lhůty pro výmaz nebo pravidelný přezkum. Jenže, praxe je strom zelený. Třeba trestní rejstřík má skutečně své lhůty pro výmaz (zahlazení) vašich prohřešků po nějakých letech, ale ejhle, když něco provedete, vyšetřovatel dobře ví o vašich tzv. zahlazených trestech až do krádeže rumu v sámošce ve vašich třinácti. Myslíte, že na vás pohlíží jako na netrestaného? Vzpomínáte, jak na bývalého starostu Prahy 1 kdysi vyhrabali, že jako teenager ukradl něco ze sklepa? Jednou gauner, vždycky gauner.

Takže „veřejná moc“ o vás bude nadále vést všechno, co uzná za vhodné. Že i zcela zbytečné nebo poškozující údaje, to nikdo přezkoumávat nebude. Zapomeňte. Ale vy, no vy, neschovávejte se, jste přeci fyzická nebo právnická osoba, to je po čertech jiná. Směrnice GDPR je vámi napěchovaná. Vy totiž umíte jen otravovat, škodit, zneužívat, krást, nebo dokonce podnikat! Tak vy se pod vládou GDPR pěkně prohnete: časově, finančně, i trestně. Vůbec to nepodceňujte. Znění směrnice už není mlhavé s mnoha výklady. Bývávalo. Jedna pikantérie: je to snad poprvé, co jsem četl veřejné přiznání vůdců EU, že jejich výplody nejsou vždycky geniální, ale občas i zcela pitomé a nefunkční – díky za nevídanou upřímnost. V článku 89 Důvodů se totiž doslova píše: Směrnice 95/46/ES stanovila obecnou povinnost ohlašovat zpracování osobních údajů dozorovým úřadům. Tato povinnost přináší administrativní a finanční zátěž, avšak nepřispěla ve všech případech ke zlepšení ochrany osobních údajů. Proto by měla být tato nerozlišená obecná ohlašovací povinnost zrušena…  Jinými slovy: promiňte, administrativně a finančně jsme vám naložili, až jste sotva lezli, ale vono to nefungovalo. Ale nejásejte, nový zákon už je dokonalý, tohle už fungovat bude! A víte, proč? Protože tu máte nově sankce. A mastnější než vaše huby po štědrovečerním hodování. Nesplníte? Čeká na vás až 20 milionů EUR pokuty. A to je v korunách půl miliardy. A to ani nemluvím o velkých firmách, ty jsou na tom ještě daleko hůř. Budou cálovat až 4% z ročního obratu firmy. Představte si, jak třeba v takovém Googlu z toho musí být na prášky. Protože se sankce počítá z celosvětového obratu firmy. No, Google měl loni roční obrat 94,76 miliard dolarů, to máme nějaké dva biliónky korun, z toho 4 procentíčka, to máme… to máme pokutičku… 81 miliard korun! Tak, kluci gůglovský, že byste nepřestali zlobit, až za vámi zase přijdeme s tím výmazem absolutně škodlivých, dezinformačních, nenávistných xenofobních webů, co? A že byste všechno, ale všecičko, z naší nové směrnice dodrželi? Nedoufejte! Tak například tenhle nevinný paragráfek: V souladu se směrnicí Rady 93/13/EHS (10) by prohlášení o souhlasu navržené správcem mělo být poskytnuto ve srozumitelném a snadno přístupném znění za použití jasného a jednoduchého jazyka a nemělo by obsahovat nepřiměřené podmínky. Že nevíte, co je to srozumitelné znění? Četli jste někdy například souhlas s podmínkami takových itunes (bez souhlasu vás dál Apple nepustí). Četli? Všechno, ty stohy stránek? Opravdu? A všemu rozuměli, všechno si tam našli, milí rádcové? A to nemluvím o zvláštních podmínkách pro děti. Ty EU hlídá jako Cerberus podsvětí. Tam musíte být podle směrnice dokonce srozumitelní s přihlédnutím k jejich věku. Takže nabízím zcela zdarma znění takových podmínek: Milé děti, vstupujete jako Rumcajs do našeho tajemného lesa Řáholce, zvaného Ajtjůns. Pokud si něco koupíte od naší Manky, třeba hrneček nebo tak, souhlasíte s tím, že z něj budete pít jenom vy, nebudete ho podle původního hrnečku vyrábět a pak třeba nabízet na trhu v Jičíně… No, dál nebudu unavovat.

Nestačí? A co třeba takové další ustanovení z Důvodů: Souhlas (myšleno souhlas třeba klienta firmy-s používáním osobních údajů -pozn. aut.) by neměl být považován za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout nebo odvolat, aniž by byl poškozen. Tak vy jste nabízeli, aby zároveň váš zákazník podepsal na jeden zátah (třeba souhrnné Obchodní podmínky) i souhlas s evidencí vašich údajů? A vlastně to podvázali, něčím dalším podmínili? Tak to už nepůjde, holenkové. A budete klientův absolutně svobodný souhlas muset vláčet jako důkazní břemeno vy, jako firma. Jste-li firma internetová, třeba jen malý on line obchůdek s ponožkami, tak to budete muset hodně váš web přeprogramovat, žádné zaškrtnutí políčka, ale pěkně confirmed double opt-in, čili přinejmenším po projevení zájmu klienta zaslání dotazu na jeho mail, klientovo potvrzení, že tedy opravdu ano, že souhlasí a zaslání zpět vám. Jinak to nedokážete doložit v budoucnosti. A dozoři jednou přijdou, ne že ne. A tuhle čilou korespondenci musíte uchovat na věčné časy, tedy do odvolání klienta přinejmenším.  A hlavně, nezapomeňte, že informování o podmínkách zpracování osobních údajů musí být především: stručné, srozumitelné, snadno přístupné a za použití jasných a jednoduchých jazykových prostředků. Tedy opět u dětiček musíte roztomile šišlat, u lovců mamutů musíte mluvit jejich řečí, tedy typu Hanga, há, sekyra, kolíky, vzhůru, ejá ajó. No, to se tedy vaši právníci zapotí. A co je to to snadno přístupné? No, třeba, že to dáte na hlavní stránku vašeho webu, a neschováte to do třetího levelu. Že bude vaše úvodní stránka webu vypadat jak vyhláška EU? Ale to je přeci krásné.

Nařízení GDPR se ovšem s nějakou srozumitelností nepáře, no dovolte! Víte třeba, co je pseudonymizace? Tak si to mazejte nastudovat, protože na ní musíte dohlížet nejvíc. Řekněme, že jste dodavatel nožních protéz. V Horní Lhotě vedete jednoho zákazníka, který nemá jednu nohu. Jenže k vaší smůle v Horní Lhotě žije jen jeden obyvatel bez nohy, ten váš zákazník. No přece Franta Vopička. A vy ho nezpseudonymizujete ani za prase. Protože na základě pouhých dvou údajů, že bydlí v Horní Lhotě a nemá nohu už jste jasně ukázali na chudáka Frantu Vopičku. Ale to nesmíte! A už v tom lítáte. Že jste netušili, že v Horní Lhotě mají jen jednoho jednonohého? Ale to je přeci vaše starost, to vědět. Pokud na to přijdete dřív než dozorový úřad, navrhuji rychlé řešení. Zajedete do Horní Lhoty a ještě aspoň jednomu obyvateli useknete nohu. Je to hrozné, souhlasím, ale pořád lepší než zaplatit půl miliardy na pokutě, ne? Aby byli aspoň dva. Radši však tři, co kdyby se jeden odstěhoval.

Úplná lahůdka, milé fyzické a právnické osoby, je však  kap. 2, článek 5d: Údaje musí být přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny („přesnost”). Co když dozorový komisař kápne na špatný nebo nepřesný údaj? No, to vám teda nepřeju. Pěkně jste to flákali a svou ubohou databázi klientů o dvou milionech položek denně neaktualizovali. Trapné výmluvy, že se lidi pořád stěhujou, vdávají, mění emaily, telefony, svoje zdraví, čísla bankovních kont a někteří zcela podrazácky dokonce umírají… A jestli si myslíte, že vás zachrání slůvko „rozumná“ v tomhle článku? Víte, co myslí bruselský úředník pod slovem „rozumná“? Sledujete, co vyvádějí třeba v oblasti migrace do Evropy? Připadá vám to „rozumné“? Tak na „rozum“ bych moc nespoléhal. A vést evidenci o zesnulých osobách, to je podle GDPR úplně největší hřích. Hned všechno vymazat, neuctivci k majestátu smrti! Je tu pár komplikací, třeba dluh u mrtvého klienta, který půjde do dědického řízení. Nebo takový pohřební ústav, jeho „zákazníci“ bývají mrtví dost často. A souhlas s nakládáním s jejich osobními údaji vám ne a ne podepsat. Ale, jak řečeno, vždycky se dá nějaká výjimka najít, tak snad zrovna tady nebezpečí nehrozí.

A pak se vám stane nehoda. Někdo vám databázi klientů ukradne. Marné budou vaše hanebné výmluvy, že jste ji vedli odděleně od všeho dalšího, mohutně šifrovali a server v ocelovém trezoru umístili. A klíče od trezoru že měl jen prezident, arcibiskup, předseda vlády… no však to znáte od korunovačních klenotů. Jste v háji. Do 72 hodin se musíte úřadu sami napráskat, co kdyby jen úřadu, všem postiženým klientům, jejichž data vám šlohli. Neomlouvá, že třeba přesně nevíte, kolik toho ukradli, jaká data. Musíte to vědět. Tak praví zákon GDPR. Tady už se těším třeba na banky. Těm krade kdekdo kdeco. Vůbec se tím nechlubí a já je chápu. Takové oznámení může způsobit i run na banku. Jen si představte, že vám jako klientu Báječné banky přijde zkroušené oznámení, že vaše údaje o tom, že jste si deset let ze svého účtu předpláceli pornostránky Vyhonsiho můžou být kdekoli. A ten dopis z banky ještě navíc otevře jako první vaše manželka. Hrůza! Nepůjdete hned vymydlit všechny vaše účty u tohohle ústavu? To samé u nemocnic. Příběhy o zdravotní dokumentaci, vyhozené nezodpovědně nemocniční úřednicí do popelnice, nejsou žádné scifi. Staly se. A zase, když vám nemocnice bude muset do 72 hodin napsat, že údaje o vašich pohlavních chorobách právě visí na webových stránkách Co-jste-chtěli-vědět-o-svém-kandidátu-na-prezidenta-a-neřekl-vám-to, asi vás to také nepotěší. Výdaje za právníky firmám či institucím notně zvýší i možnost, dodaná GDPR, že vás klient může zažalovat doma i v místě bydliště, takže můžete klidně vést i tisíce soudních sporů v zahraničí.

Oddechnout si naopak díky GDPR u některých zvláštních kategorií osobních údajů můžou všichni imigranti, náboženští fanatici, političtí radikálové, homo- i transsesxuálové, prostitutky, pedofilové, odboráři a další. V článku 9, odst.1 se výslovně říká: Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Pokud ovšem prodáváte potraviny, a chtěli byste katolíkovi poslat vánočku, Židovi chanukovou koblihu a muslimovi nějakou tu halal potravinu (a hlavně to nesplést!), tak sorry. A na cílený direct marketing sexshopu úplně zapomeňte. Když ve vaší firemní databázi klientů naleznou kontroloři údaj, že Franta Vopička má o nohu míň, je černoch, homosexuál, luterán, čte Marxe, je šéf odborů v místní pískovně, má cukrovku a váží 220 kilo, budete pověšeni za jistou část těla do průvanu přímo v bruselském sídle. A bez zaplacení pokuty 500 milionů vás neodříznou. Zajímavé ale je, že v tomto výčtu zcela chybí údaj o národnosti. Proč? Protože to je přece zcela bezvýznamné. Tedy pro Brusel. A ještě další zajímavost. Tyhle výše uvedené zakázané údaje budou moci vést nezisková sdružení a nadace, náboženské organizace, odboráři. Čímpak si zasloužily tu elitní výjimku a oblibu bruselských úředníků? Ale nesmějí je zveřejnit. Pšt, pšt.

A jak máte rozumět tomuto ustanovení?: Subjekt údajů má právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká. No, lehce. Nemůžete např. z pracovního pohovoru vyloučit předem „strojově“ nikoho, i když víte, že ho nikdy nepřijmete. Automat za vás nesmí z databáze vyškrtnout před vaším lidským rozhodnutím zájemkyně o práci na předku v dole (diskriminace žen, to byste přeci nechtěli), ale zase vy, chlap, se klidně můžete hlásit na saunéra v čistě ženské sauně (jsou takové). Ale asi vás po pohovoru nevezmou, možná jako eunucha, ale na to se vás nemějí zeptat. Já se třeba hodlám hlásit na pozici náhradní matky, břicho na to mám a nikdo mě předem automaticky nebude diskriminovat. A basta.

Samozřejmě, že tahle nová legrace, zvaná GDPR, nás bude něco stát. A dokonce i ty, kterých se vůbec netýká a je jim úplně lhostejné, kdo jaké údaje o nich vede. Některé bude stát hodně. Začněme u tvorby nových úřadů a „posílení“ těch stávajících. Jako první pamatoval Brusel samozřejmě sám na sebe.  Vznikne nový Evropský sbor pro ochranu osobních údajů, to máme předsedu, za každý stát Unie zástupce tamního dozorového úřadu, inspektor ochrany údajů, zástupci, nějaké ty úřednické krysy, sekretářky, služební auta, platy, diety… Samozřejmě pak všechny dozorové úřady, kterým práce naroste do obludných rozměrů. Vždyť budou muset radit, koordinovat, konzultovat, vydávat potvrzení, schvalovat kodexy, předávat si zkušenosti z jednotlivých států, navštěvovat se a diskutovat. Jen těch krásných zahraničních cest. A k tomu budou hostit zástupce jiných dozorových úřadů. Už se také těšíte, jak se ve vašich firemních databázích hrabou Němci, Francouzi, Italové, Švédi? Protože to zákon GDPR umožňuje. Jen jim prý musí stát za zadkem český dozor. No, už to vidím, že by si ani na svačinku neodskočil?

A pak zástupy tzv. pověřenců. Každý podnik, firmička či jen samostatně výdělečně činná fyzická osoba by měla mít aspoň jednoho mravenečka-pověřenečka. Platit ho budete vy, milí podnikatelé, majitelé firem, akcionáři. Některé subjekty ho mít nemusí, ale to víte, ty pokuty, ještě si rádi pověřence pořídí. Nebo aspoň intenzivní konzultace. Všimli jste si, kolik se vyrojilo v poslední době inzertních nabídek „pomoci“ s GDPR? I já už byl na školení, školící byli dva a ani nás proškolit nestihli, tolik toho k povídání a vysvětlování bylo. Zaplatili jsme. A některé podniky, ty, které musí mít pověřence (třeba všechny, co pracují s údaji klientů masově, nejen banky, pojišťovny, statistické firmy, ale i třeba on line shopy)? No jen si poslechněte, jak se tvoří nová teplá místečka pro kámoše právníky, protože (i když směrnice vzdělání nedefinuje), asi jste už pochopili, že jen někdo honěný v paragrafech a osobních údajích to zvládne. A kdybyste nepochopili, jeden z paragarfů GDPR říká natvrdo: Pověřenec pro ochranu osobních údajů musí být jmenován na základě svých profesních kvalit, zejména na základě svých odborných znalostí práva a praxe v oblasti ochrany údajů a své schopnosti plnit úkoly stanovené v článku 39. A je to. Varuji podnikatele, aby do této funkce vybírali rukou hedvábnou, protože GDPR praví, že pak už je pověřenec z firmy NEVYHODITELNÝ. Takový zastrčený paragraf, nepřehlédněte ho!:  Správce a zpracovatel zajistí, aby pověřenec pro ochranu osobních údajů nedostával žádné pokyny týkající se výkonu těchto úkolů. V souvislosti s plněním svých úkolů není správcem nebo zpracovatelem propuštěn ani sankcionován. Pověřenec pro ochranu osobních údajů je přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele. No, není to sladké? Budete jen velet, nikdy sám pracovat na zavádění GDPR, to oddřou jiní. Pověřenec bude nejen nevyhoditelný, ale ani ho nemůžete sankcionovat, tedy mu třeba sebrat prémie. Může být i zcela neschopný, protože není za svou práci zodpovědný. Nijak a nikdy. Zodpovědnost nese vždy správce a zpracovatel, tedy chudák, který ho jmenoval. Ať mu pověřenec poradí tunu blbostí, sám všechno zpacká a prošvihne všechny termíny a lhůty, a firma dostane pokutový flastr přes celé firemní logo, nesmí se mu stát nic. Je tu možná jistá pojistka – jmenujte pověřence, ale do popisu práce mu napište např. i vytírání podlahy (protože nemusí dělat jen pověřenecké práce, což i GDPR připouští). Když bude celá jeho náplň práce jen GDPR, jste v loji. Za tu špatně vytřenou podlahu byste ho však vyhodit mohli.

A pověřenci budou samozřejmě i ve státní správě. Víte, kolik mají na ministerstvech, krajských a obecních úřadech, databází? A jak špatně jsou vedeny či ještě vůbec nevedeny? To bude lidiček, a o tuhle funkcičku bude sakra zájem. Sen každého úředníka: nepropustitelný, velící v rukavičkách, nezodpovědný, neschopný… Že už jich takových i dnes znáte dost? No, no, no, vy žertéři.  No a tyhle lidi zaplatíte ze svých daní. A to jste ještě nedali ani floka do vlastních opatření, čili najmutí právníků, kteří přepíšou vaše firemní předpisy, obchodní podmínky, smlouvy… A programátory, kteří vše přeprogramují, vaše databáze, dotazníky, formuláře, weby, on line shopy. Kolik to tak bude stát? Odpověď vám dá třeba zástupce České spořitelny, pověřenec Jiří Januška. Spořitelnu to bude stát sto milionů, jen GDPR, ano, slyšíte dobře. A kolik je tu bank, pojišťoven, cestovek, výzkumných firem, internetových firem, podniků, …

Tak co uděláme s tím zákonem GDPR, milí čtenáři? Pistolník Gripo pro Limonádového Joea má řešení: Hodíme ho tady do té studny. A Limonádový Joe jen suše odpoví, jak se na eurogentlemana sluší: Tak prosím, abyste ji označili jako hygienicky závadnou. Nakonec se nám přeci jen něco z GDPR může hodit. Směrnice upravuje takzvaný výmaz údajů. Tak, co kdybychom v EU uplatnili své právo na výmaz a vymajzli, dokud je čas?

Jak dlouho ještě bude euroHogo Fogo tvrdit, že euroregulace podávané v malých dávkách neškodí v jakémkoli množství? Tak už víte, proč má i Eurolimonádový Joe podtitul Koňská opera? Protože takový opus z dílny eurošimlů se jinak nazvat nedá. Í ha há. Už v květnu. Coming soon.