Nařízení GDPR je v platnosti od května 2018 a letos to bude přesně 6 let. Nezisková organizace NOYB (Evropské centrum pro digitální práva se sídlem ve Vídni) se proto již v listopadu 2023 rozhodla provést rozsáhlý průzkum v oblasti GDPR. Průzkum se zaměřil zejména na dodržování nařízení v podnicích, jeho přijetí a zavedení nezbytných změn. Prostřednictvím dotazníku se ptali respondentů (zejména tedy odpovědných osob či právníků z oblasti GDPR) na jejich praktické zkušenosti; ukázalo se, že až téměř 75 % z nich očekává relevantní porušení předpisů v průměrné společnosti. Toto číslo je rozhodně alarmující, jelikož nařízení je v platnosti již 6 let.
Před provedením samotného průzkumu, který probíhal online formou dotazníku, bylo důležité vybrat vhodné respondenty. Cílem bylo zaměřit se na osoby, které budou odpovídat nestranně a pravdivě, aby výsledky byly skutečně relevantní. Průzkumu se zúčastnilo 1 048 respondentů, převážně odpovědných osob (interních i externích), konzultantů a právníků se specializací na GDPR. Z geografického hlediska je jejich rozložení nerovnoměrné – z Německa odpovědělo až 203 osob, zatímco Slovensko zastupovalo pouze 5 respondentů. Přesto můžeme konstatovat, že se do průzkumu zapojilo až přibližně 30 zemí. Respondenti převážně pracovali v podnicích s více než 500 zaměstnanci, následovaly střední a malé podniky. Právě velké podniky mají v rámci GDPR velký význam, jelikož se týkají velkého počtu osob, a tedy i velkého množství údajů.
První série otázek v dotazníku se týkala zejména jednotlivých článků GDPR a jejich dodržování v rámci podniků. Jako největší problém se ukázala pravidla pro předávání údajů (články 44–50), kde 68,5 % podniků stále čelí značným problémům s jejich dodržováním. Druhým největším problémem se ukázala dokumentace a organizace (články 24–43), kde mělo větší potíže až 65,8 % podniků. Základní principy GDPR (články 5–11) jsou zvládnuty z 50 %, což znamená, že respondenti se domnívají, že pouze polovina podniků s nimi nemá žádný problém. Informační povinnost a práva dotčených osob (články 13–22) dopadly velmi podobně, přičemž přibližně 40 % podniků má stále problémy s jejich dodržováním.
Manažer pro interní soulad se k těmto výsledkům vyjádřil tak, že ačkoli v této oblasti vnímá zlepšení, většina podnikatelů vnímá GDPR jako něco, co jim komplikuje podnikání.
Další otázky se zaměřovaly zejména na pověřené osoby (DPO – Data Protection Officer) a jejich činnost přímo v podnicích. V zásadě je jejich prvním úkolem seznámit podniky s povinnostmi vyplývajícími z GDPR a „přesvědčit“ je o zavedení změn. Zde nastává první problém – ne každý je ochoten tyto změny přijmout. Největší problém se projevuje v oblasti obchodu a marketingu, kde až 56 % respondentů uvedlo, že je obtížné je přesvědčit o nutných změnách. Následují externí dodavatelé mimo EU/EHP s 51,3 %. Na druhou stranu se ukazují pozitivní výsledky u externích dodavatelů z EU/EHP, kde 38,5 % respondentů uvedlo, že je poměrně snadné je přesvědčit, a pouze 22,4 % uvedlo, že je těžké je přesvědčit. Otázky v dotazníku se týkaly také tlaku, který byl vyvíjen na pověřence pro ochranu osobních údajů (DPO), aby zmírnil požadavky GDPR. Největší tlak zde byl zaznamenán ze strany marketingového a obchodního oddělení, a to až 46,9 %.
Podle DPO z Nizozemska se manažeři zaměřují především na dosahování zisků a dodržují pouze nezbytné minimum, aby splnili zákony a předpisy. Marketingová a IT oddělení se snaží vykonávat pouze svou práci a vyhýbají se radám týkajícím se ochrany osobních údajů. Ani po 5 letech školení o GDPR tomuto nařízení nerozumí a nevědí, jak zákon funguje.
Velmi zajímavé výsledky přinesla série otázek týkajících se interních faktorů, které mohou ovlivnit společnost tak, aby přijala opatření ke zlepšení. Respondenti měli ohodnotit 14 faktorů. Mezi faktory, které dosáhly největšího vlivu, patří zejména: možná ztráta reputace s téměř 66 %, dále pokuty a jiné sankce s 63,4 % a požadavky na soulad ze strany jiných podniků (dodavatelů nebo zákazníků) s 57,9 %. Nejmenší vliv měly, což je velmi překvapivé, pokyny EDPB (Evropského výboru pro ochranu údajů) s 46,8 %. Odůvodnili to tím, že pokyny jsou příliš obecné a v praxi jsou takřka nepoužitelné. Dalšími kategoriemi, které mají velmi nízký vliv, jsou rozhodnutí soudů a rozhodnutí orgánů v jiných jurisdikcích. Odpovědi respondentů dosáhly v obou kategoriích přibližně 46 %, což odůvodnili zejména rozdíly ve výkladu, uplatňování a prosazování GDPR mezi členskými státy EU.
Pokud bychom zohlednili celkovou situaci ohledně GDPR, až 74,4 % respondentů odpovědělo, že pokud by DPA (dozorový orgán) přišla k provozovateli na kontrolu, zjistila by v této oblasti relevantní pochybení. Pouze necelých 8 % si myslí opak. Tato čísla jsou skutečně alarmující.
Po 6 letech, co je nařízení GDPR v platnosti, se ve společnosti alespoň zlepšila informovanost a pohled na osobní údaje, avšak stále se nedaří nařízení GDPR důsledně dodržovat. Na co by se tedy podle průzkumu měly země zaměřit? Průzkum poukázal na některé faktory, které mají skutečně pozitivní a značný vliv. Zaměřit se na vysoké pokuty a zveřejňování zjištění a rozhodnutí, která představují takzvanou dvojsečnou zbraň. Na jedné straně je takové rozhodnutí odstrašujícím příkladem pro jiné společnosti a příležitostí poučit se z konkrétních chyb někoho jiného a vyvarovat se jich. Na druhé straně bude společnost, která se dopustila porušení, spojována s daným rozhodnutím, což může ohrozit její dobré jméno, a tím i vztahy se zákazníky a partnery a v konečném důsledku i výkon podnikatelské činnosti.
Zdroj: NOYB, GDPR: a culture of non-compliance?
