GDPR a Cannabis Social Club: kompletní průvodce ochranou osobních údajů

Cannabis Social Club zpracovává citlivé osobní údaje ve smyslu čl. 9 GDPR — informace o konzumaci konopí mají vztah ke zdraví každého člena. To znamená přísnější povinnosti než pro běžný spolek. Tento průvodce vysvětluje, co váš spolek musí konkrétně udělat.

Proč jsou data CSC citlivými osobními údaji

Čl. 9 GDPR zakazuje zpracování zdravotních údajů bez zvláštní výjimky. Konzumace konopí — množství, frekvence, produkty — může být klasifikována jako zdravotní údaj. Platná výjimka je čl. 9 odst. 2 písm. d): neziskové subjekty s vazbou na zdraví svých členů. Tato výjimka však přichází s podmínkami: přiměřená záruky, omezení na členy, žádné sdílení bez souhlasu.

6 povinností GDPR pro váš spolek

1. Záznamy o zpracování (čl. 30 GDPR)

Musíte vést záznamy o všech zpracováních: správa členů, evidence výdejů, komunikace, účetnictví. Záznamy musí být dostupné na žádost Úřadu pro ochranu osobních údajů (ÚOOÚ).

2. Informační povinnost vůči členům (čl. 13 GDPR)

Každý člen musí při přijetí obdržet jasné informace o zpracování jeho dat: jaká data, za jakým účelem, na jakém právním základě, jak dlouho jsou uchovávána, jaká jsou jeho práva. Předání informací musí být zdokumentováno — nejlépe podpisem v členské smlouvě.

3. Práva subjektů údajů

Každý člen má právo na přístup (čl. 15), opravu (čl. 16), výmaz (čl. 17), omezení zpracování (čl. 18), přenositelnost (čl. 20) a námitku (čl. 21). Váš systém musí umožnit splnění těchto žádostí do jednoho měsíce — tedy rychlý export nebo smazání dat člena.

4. Minimalizace dat

Sbírejte pouze data, která skutečně potřebujete. Fotografie pasu není pro kontrolu výdeje nutná — stačí QR průkazka. Pravidlo: pokud nedokážete jasně pojmenovat účel sběru dat, data neshromažďujte.

5. Technická a organizační opatření (čl. 32 GDPR)

Povinná jsou: šifrování databáze a přenosů, řízení přístupu podle rolí (ne každý pracovník musí vidět vše), pseudonymizace tam, kde je to možné, pravidelné zálohy a politika výmazu po uplynutí doby uchovávání.

6. Smlouva se zpracovatelem (čl. 28 GDPR)

Používáte software třetí strany? Pak je tento poskytovatel zpracovatelem ve smyslu GDPR. Potřebujete zpracovatelskou smlouvu (DPA). Seriózní poskytovatelé ji nabízejí standardně.

THC Gestión a soulad s GDPR

THC Gestión integruje mechanismy požadované GDPR: řízení přístupu podle rolí, šifrované úložiště, exportní funkci pro žádosti o přístup a funkci výmazu pro právo být zapomenut. Zpracovatelská smlouva je k dispozici pro všechny zákazníky z EU.