Miliardový dopad GDPR na obce a města

Školní jídelny s identifikačními čipy, mateřské a základní školy, pravděpodobně i sportovní a kulturní spolky a další organizace. Ti všichni se budou muset vypořádat s novými pravidly pro ochranu osobních údajů, které do celé EU přináší GDPR. Dopady do rozpočtů měst a obcí budou značné.

Až na miliardu korun v prvním roce odhaduje vedení Svazu měst a obcí (SMO) náklady samosprávy spojené se zavedením Nařízení evropského parlamentu o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů známé pod zkratkou GDPR. Nízký odhad je, že obce a města a jimi zřizované organizace budou potřebovat tisíc pověřenců – specialistů na ochranu osobních údajů. Velmi pravděpodobně to však bude více. Kromě pověřenců samotných obcí, o kterých jsme podrobně psali v textu Obce a města musejí shánět odborníky na IT a právo v jednom. Kvůli implementaci…budou „dohlížitele“ nad osobními údaji potřebovat především ty organizace, které pracují s dětmi (osobami do 15 let). „Školy základní a mateřské, ale i sportovní a kulturní spolky budou muset přijmout nová pravidla, protože pracují s osobami, které GDPR zařazuje do kategorie hodné zvláštní ochrany osobních údajů. Vzhledem k tomu, že většinově jsou zřizovány obcemi a městy, dopadne nakonec tato povinnost na naše členy,“ říká zástupce výkonného ředitele a jednatel Svazu měst a obcí a bývalý dlouholetý primátor Kladna Dan Jiránek.

Školy a školky jsou orgány veřejné moci (OVM), jelikož rozhodují o přijetí či nepřijetí dítěte do svého zařízení a posléze samozřejmě zpracovávají osobní údaje. A to nejen žáků, ale i jejich rodičů či jiných zákonných zástupců. „To nemluvíme o tolik v poslední době inkluzi ve školách, jelikož školy budou uchovávat podrobné informace o zdravotním stavu žáků, jejich rodinné a sociální situaci,“ upozorňuje Jiránek, který nedávno na téma GDPR ve školských zařízeních zřizovaných městy a obcemi jednal s vedením Ministerstva školství ČR.

Hlavní úskalí vidí v obrovských sankcích, které jsou v Nařízení zakotveny. Každý stát má však možnost pokuty upravit v národní legislativě. Svaz měst a obcí usiluje o to, aby změna Zákona o ochraně osobních údajů (101/2000 Sb.) zahrnovala i zmírnění sankcí pro města a obce a jimi zřizované organizace. „Pokud by nějaká mateřská škola dostala pokutu několik desítek tisíc euro, tak to de facto může zruinovat i samotnou obec a to je nemyslitelné. Snažíme se novelu zákona připravit jako technickou změnu, která projde legislativním procesem rychle bez pozměňovacích návrhů. Je jasné, že v současném volebním období Poslanecké sněmovny Parlamentu ČR to není možné, ale budeme se snažit, aby ji projednala nová Sněmovna co nejdříve,“ říká jednatel SMO.

V bodě 38 preambule Nařízení se píše: „Děti zasluhují zvláštní ochranu osobních údajů, protože si mohou být méně vědomy dotčených rizik, důsledků a záruk a svých práv v souvislosti se zpracováním osobních údajů. Tato zvláštní ochrana by se měla zejména vztahovat na používání osobních údajů dětí pro účely marketingu nebo vytváření osobnostních i uživatelských profilů a shromažďování osobních údajů týkajících se dětí při využívání služeb nabízených přímo dětem. Souhlas nositele rodičovské zodpovědnosti by neměl být nutný v případě preventivních či poradenských služeb nabízených přímo dětem.“

Na angažování pověřenců bude potřeba plat okolo 30-35 tisíc korun, s odvody okolo 45 tisíc. „To máme zhruba půl miliardy. Další půl miliardy počítám na nejrůznější úpravy softwaru a dalších náležitostí. Tím se dostáváme ke zmiňované miliardě,“ říká Dan Jiránek s tím, že je otázkou, jestli tak velké náklady vyváží riziko prozrazení osobních údajů.

Obce a města jsou navíc zřizovateli také domovů pro seniory, pečovatelských domů a dalších institucí, kde se také pracuje s osobními údaji a budou se muset připravit na požadavky Nařízení GDPR. A to se ještě nemluví o sportovních klubech, kulturních a dalších spolcích, které zajišťují dění v obci a péči o volný čas dětí. „Co bude například se sportovními aktivitami dětí ve vesnických fotbalových klubech, či u dobrovolných hasičů zůstává velkou otázkou,“ říká Dan Jiránek.

Dan Jiránek odhaduje, že města a obce budou potřebovat nejméně tisíc pověřenců. „Je to velmi střízlivý odhad, pravděpodobně jich bude potřeba daleko více. My už dnes pracujeme s tím, že některé služby pro obce soustřeďujeme do Center společných služeb a přípravy na GDPR nám do tohoto projektu přesně zapadají. Domnívám se, že by pověřenci mohli v těchto centrech také působit,“ říká Jiránek. Centra společných služeb, o kterých jsme podrobně psali v loňském listopadovém článku, využívá na 1700 obcí ve více než 80 dobrovolných svazcích.

Bývalý primátor Kladna míní, že služby pověřenců budou zahrnuty také do náplně činností Center společných služeb. Z Nařízení vyplývá, že jeden pověřenec může obsluhovat více organizací. „Bude potřeba zjistit, jaké všechny údaje jednotlivé školy, či jiné organizace uchovávají. V případě, že se pak tyto údaje sjednotí, dokážu si představit, že jeden pověřenec může zvládnout například dvacet organizací. Domnívám se však, že bude potřeba oddělit agendy měst a obcí a pak agendy škol, školek a dalších organizací zřizovaných městy,“ míní Jiránek

Pokud je na pověřence kladen nárok, že by to měli být lidé znalí práva i IT systémů, jak jsme psali v textu Obce a města musejí shánět odborníky na IT a právo v jednom. Kvůli implementaci…, odhaduje Jiránek, že na jejich angažování bude potřeba plat okolo 30-35 tisíc korun, s odvody okolo 45 tisíc. „To máme zhruba půl miliardy. Další půl miliardy počítám na nejrůznější úpravy softwaru a dalších náležitostí. Tím se dostáváme ke zmiňované miliardě,“ říká Jiránek s tím, že je otázkou, jestli tak velké náklady vyváží riziko prozrazení osobních údajů, které evropské nařízení o GDPR řeší.

Jiří Reichl