NOVÉ NARIADENIE EÚ O OCHRANE OSOBNÝCH ÚDAJOV v kontexte kybernetickej bezpečnosti. Brno, 31. mája 2017

Transkript

1 NOVÉ NARIADENIE EÚ O OCHRANE OSOBNÝCH ÚDAJOV v kontexte kybernetickej bezpečnosti Brno, 31. mája 2017

2 Nariadenie Európskeho parlamentu a rady (EÚ) 2016/679 Z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) uplatňuje sa od 25. mája 2018

3 Evolúcia alebo revolúcia?

4 evolúcia v európskom svete ochrany údajov dotknutá osoba posilnenie postavenia nové pravidlá pre prevádzkovateľa prevádzkovateľ posilnenie postavenia voči sprostredkovateľovi reflektuje na vývoj technológií

5 Čo GDPR prináša pre MsP? zodpovednosť prevádzkovateľa prevádzkovateľ je zodpovedný za súlad a musí ho vedieť preukázať zákonnosť, spravodlivosť, transparentnosť - zákonné spracúvanie, založené na legálnom právnom základe, spravodlivé - poskytnúť zrozumiteľnú informáciu FO spôsob a účel spracúvania údajov - všetky informácie musia byť pre FO ľahko prístupné, pochopiteľné, zrozumiteľné zlučiteľnosť účelov - spracúvanie údajov na iný účel, než na ktorý boli získané výnimka, zlučiteľnosť (okrem privilegovaných účelov archivácia vo verejnom záujme, vedecký, historický výskum, štatistika)

6 Čo GDPR prináša pre MsP? zodpovednosť prevádzkovateľa prevádzkovateľ je zodpovedný za súlad a musí ho vedieť preukázať minimalizácia údajov - spracúvať primerané údaje, nevyhnutné na dosiahnutie účelu (osobitný zákon) správnosť údajov - správne a podľa potreby aktuálne - prijať opatrenia na zabezpečenie opravy (alebo vymazania) údajov, ktoré sú z hľadiska účelu nesprávne

7 Čo GDPR prináša pre MsP? zodpovednosť prevádzkovateľa prevádzkovateľ je zodpovedný za súlad a musí ho vedieť preukázať minimalizácia uchovávania - uchovávať vo forme umožňujúcej identifikáciu DO, kým je to potrebné na daný účel - dlhšie archivácia vo verejnom záujme, vedecký, historický výskum, štatistika - primerané bezpečnostné opatrenia - ochrana práv a slobôd DO primeraná bezpečnosť integrita a dôvernosť údajov - ochrana pred neoprávneným a nezákonným spracúvaním, stratou, zničením, poškodením prostredníctvom primeraných technických a organizačných opatrení

8 Čo GDPR prináša pre MsP? oznamovacia a registračná povinnosť vedenie záznamov o spracovateľských činnostiach každý prevádzkovateľ musí vedieť definovať VŠETKY spracovateľské činnosti povinnosť mať DPO (zodpovedná osoba) povinnosť určiť zodpovednú osobu platí pre prevádzkovateľa aj sprostredkovateľa spracúvanie vykonáva orgán verejnej moci, verejnoprávny subjekt spoločná jedna zodpovedná osoba pre viac subjektov zverejniť kontaktné údaje DPO a oznámiť dozornému orgánu

9 Čo GDPR prináša pre MsP? zodpovednosť prevádzkovateľa prevádzkovateľ je zodpovedný za súlad a musí ho vedieť preukázať (zákonnosť, spravodlivosť, transparentnosť, zlučiteľnosť účelov, minimalizácia údajov, správnosť údajov, minimalizácia uchovávania, primeraná bezpečnosť integrita a dôvernosť údajov) oprávnený záujem prevádzkovateľa nevzťahuje sa na spracúvanie orgánmi verejnej moci pri výkone ich úloh

10 Čo GDPR prináša pre MsP? sprostredkovateľ poveriť na základe zmluvy, plnej moci, poverenia... činnosť len na základe pokynov prevádzkovateľa, v jeho mene, v súlade s N (zákonom) subdodávateľ osobitné alebo všeobecné písomné povolenie prevádzkovateľa povinnosť poskytnúť záruky odborné znalosti, spoľahlivosť, zdroje na prijatie technických a organizačných bezpečnostných opatrení zodpovednosť za škody spôsobené odchýlením od pokynov prevádzkovateľa, iné spracúvanie poskytnúť prevádzkovateľovi všetky info na preukázanie splnenia povinností umožniť kontrolu a audit prevádzkovateľovi alebo inému audítorovi, ktorého prevádzkovateľ poveril

11

12 BEZPEČNOSŤ povinnosť prevádzkovateľa prijatie primeraných bezpečnostných opatrení podmienky spracúvania riziká a dopad na práva a súkromie DO zhodnotenie dopadov znalosť všetkých spracovateľských č. spracovateľské operácie vo vzťahu k účelu (povinnosť viesť záznamy o spr. č.) SČ účel, právny základ, podmienky

13 BEZPEČNOSŤ Životný cyklus OU získanie likvidácia Bezpečnosť spracúvanie uchovávanie

14 BEZPEČNOSŤ kontrola na spracovateľskými činnosťami kto čo ako podmienky CIEĽ bezpečnosť eliminácia možných rizík a dopadov POVINNOSŤ vždy prijať primerané bezpečnostné opatrenia

15 Prevádzkovateľ VŽDY prijať BO technické personálne organizačné posúdenie vplyvu bez posúdenia vplyvu

16 Bezpečné spracúvanie - ako deklarovať podľa GDPR? dôvernosť len ten komu sú určené integrita nepozorovaná modifikácia dostupnosť prístup k údajom odolnosť systémov a služieb schopnosť obnoviť incident zálohovanie testovanie, posudzovanie, hodnotenie BP pravidelne šifrovanie

17 Posúdenie vplyvu KEDY? vysoké riziko pre práva a slobody DO podmienky spracúvania (technológie, rozsah, účel) posúdenie spr. operácií vo vzťahu k účelu GDPR vždy povedie k vysokému riziku systematické a rozsiahle hodnotenie osobných aspektov FO vrátane profilovania (autom. rozhodovanie s právnym účinkom veľký rozsah? - osobitná kategória, uznanie viny systematické monitorovanie verejne prístupných miest vo veľkom rozsahu

18 Zoznam spracovateľských činností black list - povinnosť white list možnosť chýbajú centrálne stanovené kritériá pripravuje WP29 usmernenie vychádzať by malo zo štandardov účel, zdroj OU, charakter spracovateľských činností (technológie, prenos mimo EÚ), dopad na DO

19 Posúdenie vplyvu Novinka? Na čo sa pripraviť? medzinárodné normy a štandardy analýza rizík zásah dopráv a právom chránených záujmov

20 Začať už teraz s identifikáciou procesov, ich analýzou a návrhom opatrení

21 Ďakujem za pozornosť Tatiana Valentová