Regulace soukromí se celosvětově zrychluje. Kromě GDPR a CCPA má dnes komplexní rámce ochrany soukromí několik desítek zemí. Kanada má PIPEDA, Brazílie LGPD, Indie připravuje pravidla a prakticky každá rozvinutá ekonomika zavádí nebo zpřísňuje zákon o soukromí. Pokud váš byznys obsluhuje mezinárodní návštěvníky, musíte znát hlavní rámce mimo Evropu a USA.
Klíčové rámce ochrany soukromí ve světě
Kanada: PIPEDA a zákony provincií
PIPEDA (Personal Information Protection and Electronic Documents Act) je kanadský federální zákon o ochraně soukromí. Vztahuje se na organizace, které sbírají osobní údaje obyvatel Kanady. PIPEDA je svou strukturou podobná GDPR: vyžaduje souhlas, minimalizaci dat, zabezpečení a práva uživatelů. Některé provincie (Quebec, Alberta) mají další provinční zákony o soukromí, které jsou ještě přísnější než PIPEDA.
PIPEDA vymáhá kanadský komisař pro ochranu soukromí. Pokuty mohou dosáhnout milionů dolarů. Aktivně se vymáhá, není to teoretická obava.
Brazílie: LGPD
Brazilské LGPD (Lei Geral de Proteção de Dados) se často nazývá „brazilské GDPR“. Je to komplexní rámec, který vyžaduje souhlas, minimalizaci dat, zabezpečení a práva uživatelů. Sankce podle LGPD jsou přísné: až 2% tržeb (nebo 50 milionů brazilských realů). Vztahuje se na organizace, které zpracovávají data obyvatel Brazílie, bez ohledu na to, kde firma sídlí.
Vymáhání LGPD sílí. Brazílie ho aktivně prosazuje. Pokud máte návštěvníky z Brazílie, soulad je důležitý.
Mexiko: LFPDPPP
Mexický zákon LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de Particulares) je podobný GDPR a vyžaduje souhlas a práva uživatelů. Vymáhá se méně agresivně než GDPR nebo LGPD, ale porušení mohou vést k vysokým pokutám. Pokud podnikáte v Mexiku, potřebujete základní soulad na úrovni GDPR.
Indie: Digital Personal Data Protection Act
Indie nedávno přijala zákon Digital Personal Data Protection Act (DPDPA), účinný od roku 2024. Je méně přísný než GDPR, ale pro většinu sběru dat vyžaduje souhlas a dává uživatelům právo na přístup a smazání. Vymáhání v Indii se teprve buduje, ale soulad se do budoucna očekává.
Asie a Tichomoří: různorodé rámce
Austrálie má novely zákona o soukromí (Privacy Act), které vyžadují přísnější souhlas. Singapur má PDPA. Hongkong má PDPO. Jižní Korea má PIPA. Japonsko má APPI. Thajsko má PDPA. Každý rámec je trochu jiný, ale všechny vyžadují nějakou formu souhlasu a práv uživatelů. Pokud působíte v Asii a Tichomoří, počítejte s tím, že soulad na úrovni GDPR je minimální bezpečný standard.
Globální sbližování pravidel
Zákony o soukromí se ve světě sbíhají k několika společným zásadám: průhlednost (uživatelé musí vědět, co se sbírá), souhlas (je nutné svolení), minimalizace dat (sbírejte jen to nutné), zabezpečení (chraňte, co máte) a práva uživatelů (přístup, smazání, přenesení dat). Pokud postavíte analytiku, která tyto zásady respektuje, splníte většinu světových rámců.
Rozhodnutí o odpovídající ochraně a vzájemné uznávání
Některé země uznávají zákony o soukromí jiných zemí jako „odpovídající“. EU uznává za odpovídající Spojené království, Švýcarsko a další, což usnadňuje přenos dat. Rozhodnutí EU o odpovídající ochraně jsou nejpřísnější. Pokud dodržujete GDPR, pravděpodobně vyhovujete u většiny dvoustranných přenosů dat.
Praktický soulad pro globální provoz
U většiny firem je postup tento: zjistěte, odkud máte významný provoz návštěvníků, upřednostněte tyto jurisdikce a postavte analytiku, která splní nejpřísnější platný standard. Pak ho uplatněte globálně. Je to jednodušší než udržovat konfigurace analytiky pro každou jurisdikci zvlášť.
Regionální odchylky bez roztříštění
Pro každou zemi nepotřebujete jiný analytický systém. Potřebujete jeden systém postavený na nejvyšším platném standardu (obvykle GDPR), který umí pojmout regionální odchylky (např. výslovné mechanismy odmítnutí tam, kde jsou vyžadovány, lokalizaci dat tam, kde je nařízena).
Jak zjistím, zákony kterých zemí se na mě vztahují? Mám použít data o provozu z analytiky?
Ano, použijte analytiku k vymezení. Vytáhněte geografii návštěvníků za posledních 12 měsíců: které země mají významný provoz (5%+)? Jejich zákony se pravděpodobně vztahují i na vás. Prozkoumejte každou zemi s vysokým provozem: EU = GDPR, Kanada = PIPEDA, Brazílie = LGPD, Indie = DPDPA, Austrálie = Privacy Act. Řaďte podle provozu: 40% provozu z EU znamená GDPR na prvním místě. Zkontrolujte také: máte zaměstnance, kanceláře nebo obchodní partnery v některé zemi? Pokud ano, tamní zákony platí bez ohledu na provoz. Analytiku použijte jako výchozí bod a doplňte ji provozními otázkami. Tím získáte svou regulatorní mapu.
LGPD je 2% tržeb, ale GDPR 4%, co je vlastně přísnější?
GDPR 4% je vyšší maximum. Ale záleží i na výpočtu. GDPR: 4% celosvětových tržeb. LGPD: 2% tržeb (nejasné, zda jen z Brazílie, nebo globálně). V praxi: u obou se vymáhání zaměřuje na velké firmy. Porušení u malé firmy: €50k-€500k podle obou. Velikost firmy záleží víc než procento. Prakticky: berte obojí jako přísné. Vyhněte se porušení, místo abyste sázeli na rozdíly v procentech. Obojí je vážné.
Které země nařizují lokalizaci dat a jak to ovlivní mou analytiku?
Lokalizace dat je nařízena v: Rusku, Číně, Indii, Indonésii (2022+), Vietnamu. EU ji reguluje volněji přes SCC a rozhodnutí o odpovídající ochraně. U analytiky: pokud používáte dodavatele z USA (Google Analytics), jeho americké servery lokalizaci porušují. Řešení: dodavatelé s místními servery (servery Google Analytics v EU pro GDPR, indické servery pro indický zákon) nebo místní platformy zaměřené na soukromí. Zkontrolujte svého dodavatele: kde data ukládá? Pokud ne v požadovaných zemích, máte mezeru. Je to volba dodavatele (nastavení), ne provozní věc (soulad je otázka infrastruktury).
Indický zákon vstoupil v platnost 2024, Brazílie vymáhání zpřísňuje. Jak zvládnout pohyblivé cíle?
Tři přístupy: (1) Počkat a uvidět (riskantní, ale u nově vznikajícího vymáhání běžné). (2) Plnit víc, než je nutné (standard GDPR, i když je místní zákon mírnější, bezpečnější, ale víc práce). (3) Sledovat a upravovat (postavit na současných požadavcích a plánovat aktualizace podle změn zákona). Indické DPDPA: v platnost vstoupilo 2024, vymáhání se buduje. Většina firem používá soulad na úrovni GDPR i pro Indii. Brazilské LGPD: aktivní, ale vymáhání se soustředí na velké firmy. Menší firmy čelí nižšímu riziku. Bezpečná strategie: stavět na GDPR pro země s vyvíjejícím se vymáháním, sledovat regulatorní změny čtvrtletně a upravit postup při větších změnách.
Co je Schrems II a jak ovlivňuje mé přenosy analytických dat mezi EU a USA?
Schrems II (2020) zneplatnil Privacy Shield a oslabil standardní smluvní doložky pro přenosy mezi EU a USA. Soud uvedl: samotné SCC nezaručují ochranu, pokud přijímající země umožňuje hromadné sledování. Dopad: potřebujete SCC PLUS doplňková opatření (šifrování, řízení přístupu, minimalizaci dat). U analytiky: pokud používáte dodavatele z USA, musí mít SCC i doplňková opatření. Mnoho dodavatelů, včetně Googlu, je přidalo. Zkontrolujte svého dodavatele: řeší Schrems II? Pokud jen SCC, jste vystaveni riziku. Mnozí nabízejí jako nejjednodušší řešení uložení dat v EU (data zůstanou v EU, žádný přenos).
Liší se regiony v opt-in a opt-out? Mám řešit souhlas podle regionu?
Regiony se liší, ale mechanismus pro každý region zvlášť nepotřebujete. Vzorec: většina přešla na opt-in (výslovný souhlas před sledováním). GDPR = opt-in. CCPA historicky = opt-out (CPRA přechází na opt-in u citlivých dat). LGPD = opt-in. PIPEDA = opt-in. Indie = opt-in. Většina moderních zákonů je opt-in. Zaveďte opt-in globálně (překračuje požadavky opt-out). Jeden mechanismus souhlasu: „Můžeme vás sledovat?“ Ano/ne. Pro historický opt-out podle CCPA přidejte odkaz „Do Not Sell“ (splní Kalifornii). Jeden globální souhlas pokryje regionální odchylky: základ opt-in plus odkaz specifický pro Kalifornii. Konfigurace analytiky pro každý region není potřeba.