Srdečně vítejte. na Česko-bavorském workshopu. Pověřenec na ochranu osobních údajů dle GDPR. Autor: Rainer Aigner Stav ke dni:

Transkript

1 Herzlich Willkommen

2 2 AGENDA UVÍTÁNÍ ČASOVÝ HARMONOGRAM REALIZACE PRÁVNÍ REGULACE Srdečně vítejte JEDNOTNÁ POVINNOST JMENOVÁNÍ na Česko-bavorském workshopu Pověřenec na ochranu osobních údajů dle GDPR POVĚŘENCE POKUTY POVINNOST VEDENÍ ZÁZNAMŮ O ČINNOSTI ZPRACOVÁNÍ ZAKÁZEK Autor: Rainer Aigner Stav ke dni: KONTROLNÍ ÚŘADY OZNAMOVACÍ POVINNOST

3 3 O NÁS Ochrana osobních údajů- Competence-Center Ochrana osobních údajů & IT Security Managemengt TÜV certifikace pro výkon pověřence pro ochranu os. údajů Těšíme se na Vás v našem Competence Center na ochranu osobních údajů: TÜV certifikace pro výkon auditu pro ochranu os. údajů aigner business solutions GmbH Goldener Steig Hutthurm Okres Passau Docent certifikovaný IHK Znalec pro ochranu os. údajů &Datenschutz & IT Security Zkušenosti z branže již od1995

4 4 GDPR FIRST LOOK Užití GDPR Časový harmonogram realizace GDPR nabývá účinnosti GDPR nabývá účinnosti dle čl. 99 odst. 1 GDPR 20. den po jejím zveřejnění ve věstníku Evropské unie. GDPR však stále ještě není bezprostředně použitelným právem. GDPR platí až po uplynutí dvou let. Takto je uvedeno ve čl. 99, odst. 2 GDPR. To znamená: Do platnosti GDPR, tedy do platí nadále dosavadní zákony (především Spolkový zákon o ochraně osobních údajů BDSG a ustanovení telemediálního zákona TMG). GDPR také nenahradí všechny stávající německé zákony, avšak má pouze přednost při uplatnění před německými zákony! Pro praktické užití nebude mít tento právní rozdíl téměř žádný vliv... 2 ROKY

5 5 GDPR FIRST LOOK Obecné nařízení EU o ochraně osobních údajů GDPR Upravuje zacházení s osobními údaji, které nemají nic Další zákony Přehled právních regulací společného s komunikací skrze sítě jako např. změnu hesla nebo přístup k dokumentům Spolkový zákon o ochraně osobních údajů BDSG (nově) Tento zákon byl schválen jako část doplňovacího a implementačního zákona EU (DSAnpUG-EU). Nejnovější znění BDSG vstoupí v platnost společně s GDPR a nahradí tak zcela v současnou chvíli stále aktuální BDSG. Telekommunikationsgesetz Telemediengesetz Arbeitsgesetz Betriebsverfassungsgesetz Bayrisches Krankenhausgesetz Sozialgesetzbuch I-XII

6 6 JEDNOTNÁ POVINNOST JMENOVÁNÍ POVĚŘENCE Platí celoevropská povinnost jmenování pověřence pro ochranu osobních údajů Specifikace k pověřenci- Jmenování pověřence čl. 37 GDPR V Německu platí: Firma musí dle 38 BDSG (nově) jmenovat interního nebo externího pověřence pro ochranu osobních údajů, pokud se min. deset osob zpravidla a neustále zabývá automatizovaným zpracováním osobních údajů. Odlišné regulace GDPR v ostatních zemích EU, za jakých podmínek je potřeba jmenovat pověřence - ve většině zemí se jedná o novum! V Německu nadále platí: Od >9 zaměstnanců Kontaktní údaje pověřence musí být zveřejněny sděleny kontrolním úřadům. a

7 7 SANKCE A POKUTY Dosavadní riziko v Německu Pokuta až: odst. 1 BDSG např. pokud nebyl či pouze jen zdánlivě byl jmenován pověřenec Pokuta až: odst. 1 BDSG např. při liknavém nebo neoprávněném sběru osobních údajů

8 8 SANKCE A POKUTY Riziko po GDPR Pokuta až: 10 Mio. Pokuta až: 20 Mio. nebo až 2% celkového celosvětově dosaženého ročního obratu* v uplynulém finančním období nebo až 4% celkového celosvětově dosaženého ročního obratu */** v uplynulém finančním období * podle toho, která hodnota je vyšší (čl. 83 EU GDPR) ** Platí roční obrat celého koncernu, nikoliv jen jednotlivých právnických subjektů

9 9 JEDNOTNÁ POVINNOST JMENOVÁNÍ POVĚŘENCE Úkoly pověřence I Informování a poradenství pro odpovědné osoby a zaměstnance I Podpora při tvorbě dokumentace v souvislosti s ochranou osobních údajů I Kontrola smluv v souvislosti se zpracováním zakázek I Dohled nad dodržováním předpisů v souvislosti s ochranou osobních údajů stejně jako strategií odpovědných vedoucí pro ochranu osobních údajů včetně určování kompetencí, nad senzibilizací a školeními zaměstnanců podílejících se na zpracování osobních údajů a nad související kontrolou Zodpovědnost pověřence Povinnost dohledu ze strany pověřence neimplikuje, že může být za nedodržení předpisů GDPR osobně zodpovědný. Právní důsledky neplnění povinností Porušení předpisů v souvislosti s výkonnem pověřence ze čl. 37 až 39 GDPR (stejně jako nejmenování pověřence, nedostatečná podpora nebo znevýhodňování pověřence atd.) lze pokutovat dle čl. 83 odst. 4 a GDPR. I Spolupráce s kontrolními úřady I Kontaktní osoba pro kontrolní úřady a subjeky, jejichž údaje jsou zpracovávány

10 10 GDPR již neveřejné Povinnost vedení záznamů o činnosti Firma musí nezávisle na povinnosti jmenovat pověřence - dle čl. 30 EU GDPR vést záznamy o všech činnostech souvisejících se zpracováním osobních údajů. Toto je jen jedna z vícero nových povinností týkajících se vedení záznamů. Při dodržení zákonných povinností budou tyto záznamy hrát rozhodující roli. Protože takový seznam obsahuje záznamy a přehled všech použitých metod, při kterých jsou zpracovávány osobní údaje. platí také pro nejmenší podniky Žádné vedení záznamů = pokuta! Vedení seznamu činností spojených ze zpracováním osobních údajů

11 11 ZPRACOVÁNÍ ZAKÁZEK Zpracování zakázek Smlouva s opatřeními k zajištění bezpečnosti při využití externích Zpravidla musí být s každým zpracovatelem zakázky uzavřena smlouva o činnostech tak, aby byly v souladu s právními předpisy. Smlouva musí být uzavřena v písmené nebo - nově - v elektronické podobě. Povinný obsah takové smlouvy zůstává převážně stejný jako doposud. Jedním z důležitých bodů se však stává především znázornění povinných opatření k zabezpečení zpracování dle č. 32 GDPR. poskytovatelů služeb

12 12 ZPRACOVÁNÍ ZAKÁZEK Nové povinnosti a odpovědnosti Poruší-li zpracovatel zakázky povinnost zpracování dle právních předpisů zpracováním dat zadavatele pro vlastní účely nebo účely třetích osob, stává se plně odpovědným dle čl. 28 odst. 10 GDPR - se všemi právními důsledky, např. také v souvislosti se zajištěním práv subjektů, jejichž údaje jsou zpracovávány. Nové jsou v GDPR také speciální regulace odpovědnosti pro zpracovatele zakázek při porušení ustanovení vyplývající ze čl. 82 GDPR. Zpracovatelům zakázek tak při porušení GDPR hrozí povinnost uhradit odškodné subjektům, jejichž údaje jsou zpracovávány. Pro zpracovatele zakázek tím také vzniká nová povinnost vést v budoucnu též seznam činností souvisejících ze zpracováním, dle čl. 30 odst. 2 GDPR, a to pro všechny kategorie prováděných činností zpracování. Tyto musí být vždy na vyžádání kontrolních orgánů dány k dispozici, např. při kontrolách.

13 13 ZÁKLADNÍ Andrea Voßhoff Veřejné instituce Spolkový úřad pro ochranu osobních údajů Die Bundesbehörde für den Datenschutz Kdo dohlíží v Německu na dodržování GDPR? Thomas Kranig Neveřejné instituce, podniky v BAVORSKU Bavorský zemský úřad pro ochranu osobních údajů Das bayerische Landesamt für Datenschutz Aufsicht (BayLDA)

14 14 OZNAMOVACÍ POVINNOST Oznamovací povinnost při incidentech týkajících se osobních údajů během 72 hodin Zavedení oznamovací povinnosti vůči kontrolním úřadům týkající se všech nehod s osobními údaji, až na jednu výjimku - takto uvedeno v zákoně, a to pokud nepovede k riziku subjektů, jejichž údaje jsou zpracovávány. Oznamovací povinnost neplatí, pokud ztracená data byla zakódovaná nebo byla uplatněna opatření na omezení výše škod, která výše uvedené riziko pro subjekty, jejich údaje jsou zpracovávány, odstranila. Co tato formulace však konkrétně znamená, nevědí po našem dotazu momentálně (ještě) ani kontrolní úřady. Oznámení musí být podáno v budoucnu do 72 hodin u odpovědného kontrolního úřadu.

15 15 VÝZVA Jak řešíme tuto výzvu? Váš trezor s dokumenty pro citlivá data s osobními údaji I Poskytujeme poradenství (ano, my nutíme ) naše klienty zesíleně směrem k EU GDPR! Integrovaný systém úkolů a systém ticketů s funkcí upomínek I Klientům nabízíme již dnes webovou softwarovou platformu, aby s účinností GDPR klienti činnosti spojené se zpracováním osobních údajů již prováděli v elektronické podobě. * Čl.30 EU GDPR vedení záznamu o činnostech zpracování. Vedení záznamů zmíněných v odstavci 1 a 2 musí být prováděno písemně, a to lze také v elektronické formě. Softwarové řešení pro ochranu osobních údajů aigner business solutions GmbH

16 16 PŘEDNÁŠKA OCHRANA OSOBNÍCH ÚDAJŮ Dotazy? Velmi děkuji za Vaši pozornost.

17 17 KONTAKT März aigner business solutions GmbH Jednatel: Rainer Aigner Goldener Steig Hutthurm TEL +49 (0) FAX +49 (0) Kontakt info@aigner-business-solutions.com