Možná to znáte. Vaše firma vyvinula skvělý produkt, třeba SaaS. Máte zákazníky, kteří do vašeho produktu nahrávají data o svých zaměstnancích/zákaznících apod. Vy jejich data ukládáte, vyhodnocujete, případně nabízíte další služby a funkcionality.
Doba je rychlá a konkurence taky. Jak ale udržet prst na tepu vývoje? Neustálým zlepšováním vašeho produktu. Ideálně na souboru reálných dat, která mohou být osobními údaji skutečných uživatelů.
Za jakých podmínek můžete pro testování použít ostrá data, aniž byte porušili povinnosti vyplývající z GDPR?
U Soudního dvora Evropské unie probíhá řízení o předběžné otázce, ve kterém jsou obsažena užitečná vodítka pro používání reálných dat v rámci testovacích databází.
Soudní řízení u Soudního dvora EU prozatím není u konce. K celé věci bylo před pár měsíci vydáno stanovisko generálního advokáta. V něm se soustředí na dvě základní zásady, které musí být v případě testovacích databází zohledněny - účelové omezení a časové omezení uložení.
Jinými slovy, pokud má být využití testovacích databází v souladu s GDPR, musí být zásady správně zohledněny v rámci plnění ostatních povinností vyplývajících z GDPR.
Zásada účelového omezení se z pohledu generálního advokáta sestává ze dvou částí:
Každý případ dalšího použití zpracovávaných osobních údajů (než pro které byly údaje původně shromážděny) musí být prověřen z pohledu konkrétního účelu nového zpracování a jeho slučitelnosti s původním účelem shromáždění těchto dat.
V praxi se často setkáváme s případy, kdy jsou shromážděná data dále zpracovávána pro několik dalších účelů. Nicméně i různé účely konkrétního zpracování musí mít objektivní a dostatečně úzkou souvislost.
Proto, aby bylo využívání testovací databáze v souladu se zásadou účelového omezení, musí být toto testování uživatelé předpokládat ( = být informováni). Zároveň se musí jednat o testování, které souvisí s funkcionalitami daného produktu. Nedoporučujeme databázi využít například pro jiné aplikace.
Potřebujete připravit informační povinnost pro uživatele vaší aplikace? Neváhejte nás kontaktovat ↗.
Aby bylo možné testovací databázi využít, musí být údaje uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány.
Odůvodnění k GDPR jednoznačně uvádí, že doba, po kterou jsou osobní údaje uchovávány, musí být „omezena na nezbytné minimum“.
Pro využití testovací databáze tak je potřeba, aby byla "ostrá data" uložena pouze po dobu potřebnou k testování a následně došlo k jejich výmazu, nebo anonymizaci.
Dobu uložení doporučujeme nastavit komplexně, napříč celou společností. Pro všechny činnosti zpracování. Ideální je jednoduchý dokument, kde bude proces popsán. Takový dokument umíme nachystat, neváhejte se na nás obrátit ↗.
Ve světle stanoviska generálního advokáta lze konstatovat, že využívání reálných dat v rámci testovací databáze je možné za splnění předepsaných podmínek. Je potřeba:
Výše uvedené informace nejsou finální. Stanovisko generálního advokáta nemusí být rozhodující pro rozhodnutí Soudního dvora Evropské unie. Pokud máte zájem sledovat aktuální postup naleznete zde ↗.