Legal/Compliance se ptá: Jaký máte právní základ a dokumenty k GDPR pro Empatyzer?

TL;DR: Stručně: máme DPA, provedli jsme DPIA tam, kde je to nutné, hostujeme data v EU, používáme šifrování a separaci klientů, máme politiku retence a postupy pro uplatnění práv subjektů a omezení použití pro pracovní hodnocení.

  • DPA: smlouva o zpracování s jasně vymezenými rolemi a povinnostmi.
  • DPIA: hodnocení dopadů na ochranu osobních údajů tam, kde profilování nebo citlivé údaje zvyšují riziko.
  • Právní základ: závisí na scénáři (oprávněný zájem, plnění smlouvy, případně souhlas).
  • Retence: plán minimalizace, anonymizace a výmaz na vyžádání.
  • Práva subjektu: přístup, oprava, výmaz, omezení, přenositelnost, námitka, zákaz plně automatizovaného rozhodování.

Jak Empatyzer podporuje posouzení souladu s GDPR?

Empatyzer organizuje ochranu údajů podle jasně popsaných zásad zpracování, uchovávání, výkonu uživatelských práv a přístupu, což usnadňuje posouzení řešení právním oddělením a oddělením Compliance.

Podívat se na EmpatyzerPřihlásit se / zaregistrovat sePřehrát video

Empatyzer poskytuje vzor DPA a popis technicko‑organizačních opatření pro bezpečnost údajů. Tam, kde zpracování zahrnuje profilování nebo citlivé informace a může mít značný dopad na práva osob, provádíme nebo pomáháme s DPIA a dodáváme shrnutí zjištění a nápravná opatření. Data hostujeme na serverech v EU, používáme šifrování v klidu i při přenosu, oddělení úložišť klientů, auditní logy a řízení přístupu administrátorů. Doporučujeme posoudit konkrétní scénáře: hromadné analytické zpracování se často opírá o oprávněný zájem správce, zatímco individuální výsledky spojené s osobní diagnózou vyžadují základ smluvní nebo zvážení souhlasu vzhledem k nerovnováze postavení zaměstnance. Retence vychází z principu minimalizace: osobní surová data jsou uchovávána omezenou dobu podle harmonogramu a poté anonymizována pro souhrnné reporty; výmaz účtu odstraní data z provozních souborů a provede korekce agregovaných statistik podle stanovené procedury. Empatyzer nezasílá surové individuální výsledky zaměstnavateli, používá agregaci a prahové hodnoty ve zprávách, čímž snižuje riziko identifikace a zneužití. Ve smlouvách a podmínkách máme zákaz používání nástroje pro formální hodnocení zaměstnanců a klauzule proti škodlivému využití dat, přičemž klíčové je také, aby klient implementoval interní pravidla užívání a eskalační procesy. Postupy pro uplatnění práv subjektů popisují, jak podat žádost, lhůty pro odpověď, ověření identity a kroky pro opravu, omezení zpracování, výmaz a přenositelnost. V případě bezpečnostního incidentu informujeme klienta neprodleně, nejpozději do pěti pracovních dnů, a poskytneme logy a nápravná opatření; o dalším oznamování orgánům dohlíží administrátor jako správce. Nepoužíváme data klientů k tréninku veřejných modelů; přístup dodavatele je omezený, auditovaný a logovaný.

Dostupné dokumenty: DPA, vzor DPIA nebo její shrnutí, politika retence, instrukce pro uplatnění práv subjektů a popis zabezpečení a incidentních postupů; právní základy a konkrétní nastavení zavádíme ve spolupráci s klientem.

Zdroje a výzkum

  1. European Parliament & Council of the European Union. (2016). Regulation (EU) 2016/679 (General Data Protection Regulation). Official Journal of the European Union, L 119, 1–88. Source
  2. European Data Protection Board. (2020). Guidelines 4/2019 on Article 25 Data Protection by Design and by Default (Version 2.0). Source
  3. National Institute of Standards and Technology. (2020). Security and Privacy Controls for Information Systems and Organizations (NIST SP 800-53 Rev. 5). https://doi.org/10.6028/NIST.SP.800-53r5 DOI: 10.6028/NIST.SP.800-53r5
  4. Autio, C., Schwartz, R., Dunietz, J., Jain, S., Stanley, M., Tabassi, E., Hall, P., & Roberts, K. (2024). Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.AI.600-1 DOI: 10.6028/NIST.AI.600-1

Autor: Empatyzer

Publikováno:

Aktualizováno:

 

""

—