Jasně že víme. Provedeš analýzu - sepíšeš jaká data zpracováváš (získáváš, uchováváš a pracuješ s nimi), kdo a jak je ve firmě zpracovává. U každého zpracování určíš, na základě jakého právního titulu je zpracováváš:
1) Plnění právní povinnosti - uchovávání dat ti ukládá nějaký zákon (data retention, zákonem dané náležitosti smluv..)
2) Plnění smlouvy nebo jednání o jejím uzavření - logicky jsou nějaká data nezbytná k tomu, aby jsi plnil smlouvu se subjektem údajů - jako ISP potřebuješ znát fakturační adresu, adresu instalace, nějaké kontakty, nějaké technické údaje...
3) Veřejný zájem - se běžně podnikatele spíše netýká
4) Životně důležitý zájem - u ISP taky příliš nepřichází v úvahu
5) Oprávněný zájem - je v podstatě vše co si jsi schopen obhájit, že nezbytně potřebuješ - fotky pro lepší zajištění servisu, LOGy a statistiky pro řešení potíží a reklamací apod.
6) Souhlas se zpracováním osobních údajů - k tomu přistoupíš až v okamžiku, kdy na zpracovávaná data nejsi schopen aplikovat nic z výše uvedeného.
Upozorňuji, že zdaleka nejde jen o to CO za data se skladuje ale především JAK se pak s nimi pracuje. Např. LOGy z DNS serverů můžeš automatizovaně zpracovávat a vytvářet nějaké anonymní statistiky (počet dotazů z celé sítě...) apod. a toto můžeš snadno označit za oprávněný zájem. Pokud by jsi ale ze stejných dat např. analyzoval na jaké weby uživatel chodí a podle toho např. vytvářel cílenou reklamu nebo nějaké "hodnocení" uživatele, tak už to jednoznačně oprávněný zájem nebude a potřeboval by jsi souhlas.
Když už budeš mít hotovou tu analýzu, doplníš do ni jak jsou data zabezpečena proti úniku a ztrátě, po jaké době mají být skartována, přidáš nějakou obecnou omáčku kolem manipulace s osobími daty a toto vydáš ve firmě jako směrnici - všichni povinně podepíšou.
Každopádně, pokud máš jen LOGy v běžném rozsahu a data nezbytná pro poskytnutí služby, nijak podrobněji ve vztahu k uživateli nic nezpracováváš a nic nepředáváš (neprodáváš) dalším subjektům, schováš vše pod 1,2,5 souhlas nepotřebuješ.
Uvědom si, že subjektem údajů jsou nejen zákazníci ale i dodavatele (nájmy střech...) a také zaměstnanci.
Zpracování by mělo být transparentní - informace o zpracování (tedy co, za jakým účelem, na jakém právním základě) by bylo dobré z pohledu zákazníka zveřejnit (třeba na webu podobně jako VOP), zaměstnance (kde se toho asi zpracovává více) prokazatelně informovat (třeba zápis z porady...).
Pozor na nějaké strojové zpracování, které může mít na subjekt údajů přímé následky. Např. pokud automatizovaně sleduješ výkonnost zaměstnanců, nebo ti GPSka automaticky hlídá překročení povolené rychlosti ve firemních autech, neměly by takto získaná data mít automatizovaný vliv na výplatu (prémie...). Tzn. pokud někdo jezdí autem moc rychle, tobě o tom přijde mail a ty mu sáhneš na prémie je to OK. Pokud by se místo mailu rovnou automaticky udělalo -500 na výplatě, je to problém.
