Kybernetická bezpečnosť vo svetle novej právnej úpravy

Transkript

1 Kybernetická bezpečnosť vo svetle novej právnej úpravy Mgr. Ing. Martin Konvit

2 Obsah tohto príspevku Bezpečnostné incidenty podľa vybraných právnych aktov nariadenia GDPR smernice NIS + návrhu zákona o kybernetickej bezpečnosti nariadenia eidas zákona o elektronických komunikáciách Návrh nariadenia eprivacy

3 Bezpečnostné incidenty Firma Yahoo čelí pre úniky dát z 500 miliónov účtov žalobe Kvôli bezpečnostným pochybeniam zo strany Švédska sa mohli českí technici dostať k policajným databázam T-Mobile CZ dostal pokutu za obrí únik dát o klientoch. Utiekli adresy alebo výšky platieb HBO hlási obrovský únik dát, hackeri ukradli aj scenár k novému dielu Hry o tróny Najmasívnejší únik dát v histórii zasiahol celé Yahoo

4 Zdroj:

5 Bezpečnostný incident

6 Bezpečnostný incident nariadenie GDPR Nariadenie GDRP Nariadenie EP a Rady č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) Porušenie ochrany osobných údajov (Personal data breach) Porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávnený prístup k nim

7 Bezpečnostný incident smernica NIS Smernica NIS Smernica EP a Rady č. 2016/1148 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii Incident (Incident) Každá udalosť, ktorá má skutočne nepriaznivý vplyv na bezpečnosť sietí a informačných systémov

8 Bezpečnostný incident návrh zákona o KB Návrh zákona o kybernetickej bezpečnosti Kybernetický bezpečnostný incident Akákoľvek udalosť, ktorá má negatívny vplyv na kybernetickú bezpečnosť alebo ktorej následkom je 1. strata dôvernosti dát, zničenie dát alebo prelomenie integrity systému, 2. obmedzenie alebo odmietnutie dostupnosti základnej služby alebo digitálnej služby, 3. vysoká pravdepodobnosť kompromitácie činností základnej služby alebo digitálnej služby alebo 4. ohrozenie bezpečnosti informácií

9 Bezpečnostný incident nariadenie eidas Nariadenie eidas Nariadenie EP a Rady č. 910/2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zrušení smernice 1999/93/ES Bezpečnostný incident (Security incident) narušenie bezpečnosti alebo integrity s významným vplyvom na poskytovanú dôveryhodnú službu alebo osobné údaje uchovávané v rámci nej

10 Bezpečnostný incident zákon o EK Zákon o elektronických komunikáciách Zákon č. 351/2011 Z. z. o elektronických komunikáciách v znení neskorších predpisov Porušenie ochrany osobných údajov porušenie ochrany osobných údajov môže nepriaznivo ovplyvniť osobné údaje alebo súkromie dotknutých účastníkov alebo užívateľov môže mať negatívny vplyv na dotknutých účastníkov a užívateľov

11 Hlásenie bezpečnostných incidentov

12 Nariadenie GDPR Hlásenie B. I. je len jednou z mnohých povinností prevádzkovateľa Doložiť, že spracovanie je vykonávané v súlade GDPR Zaviesť vhodné technické a organizačné opatrenia Vykonať posudzovanie vplyvu na ochranu údajov Ohlásiť prípady porušenia bezpečnosti DPIA (Posúdenie vplyvu na ochranu údajov)

13 Hlásenie B. I. nariadenie GDRP Hlásenie incidentov - prevádzkovateľ Hlásenie dozornému orgánu (článok 33) Najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, ak neskôr zdôvodniť omeškanie Výnimka - ak nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb hlási sa dozornému orgánu - príslušnému podľa článku 55

14 Hlásenie B. I. nariadenie GDRP Obsah hlásenia opis povahy porušenia ochrany osobných údajov vrátane kategórií a približného počtu dotknutých osôb, ktorých sa porušenie týka kategórií a približného počtu dotknutých záznamov o osobných údajoch; údaje zodpovednej osoby alebo iného kontaktného miesta opis pravdepodobných následkov porušenia ochrany osobných údajov opis opatrení prijatých alebo navrhovaných prevádzkovateľom s cieľom napraviť porušenie ochrany / zmierniť potenciálne nepriaznivé dôsledky

15 Hlásenie B. I. nariadenie GDRP Hlásenie incidentov - prevádzkovateľ Hlásenie dotknutej osobe (článok 34) bez zbytočného odkladu, ak porušenie ochrany pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb Výnimky prevádzkovateľ prijal primerané technické a organizačné ochranné opatrenia (a uplatnil ich) napr. údaje nečitateľné pre všetky osoby, ktoré nie sú oprávnené mať k nim prístup (napríklad šifrovanie)

16 Hlásenie B. I. nariadenie GDRP Hlásenie dotknutej osobe výnimky prevádzkovateľ prijal následné opatrenia, ktorými sa zabezpečí, že vysoké riziko pre práva a slobody dotknutých osôb pravdepodobne už nebude mať dôsledky; ak by ohlásenie D.O. by to vyžadovalo neprimerané úsilie informovať verejnosť, alebo podobné opatrenie zaručí sa, že dotknuté osoby budú informované rovnako efektívnym spôsobom

17 Hlásenie B. I. nariadenie GDRP Sprostredkovateľ podá oznámenie prevádzkovateľovi bez zbytočného odkladu po tom, čo sa o porušení ochrany osobných údajov dozvedel

18 Hlásenie B. I. smernica NIS Povinnosť hlásiť bezpečnostné incidenty má Prevádzkovateľ základných služieb (PZS) Poskytovateľ digitálnych služieb (PDS) Možnosť hlásiť dobrovoľne - subjekty odlišné od PZS a PDS

19 Hlásenie B. I. smernica NIS Hlásenie Prevádzkovateľom základných služieb incidenty, ktoré majú závažný vplyv na kontinuitu základných služieb, ktoré poskytujú bez zbytočného odkladu príslušnému orgánu alebo jednotke CSIRT incidenty príslušný orgán alebo jednotka CSIRT môže informovať o jednotlivých incidentoch verejnosť ak je informovanosť verejnosti potrebná na zabránenie incidentu riešenie prebiehajúceho incidentu

20 Hlásenie B. I. smernica NIS Hlásenie Prevádzkovateľom základných služieb obsah hlásenia počet používateľov postihnutých narušením základnej služby dĺžka trvania incidentu geografické rozšírenie z hľadiska oblasti, ktorú incident postihol

21 Hlásenie B. I. smernica NIS Hlásenie Prevádzkovateľom digitálnych služieb incident, ktorý má závažný vplyv na poskytovanie služby uvedenej v prílohe III, ktorú poskytujú v rámci Únie bez zbytočného odkladu príslušnému orgánu alebo jednotke CSIRT incidenty príslušný orgán alebo jednotka CSIRT môže informovať o jednotlivých incidentoch verejnosť ak je informovanosť verejnosti potrebná na zabránenie incidentu riešenie prebiehajúceho incidentu

22 Hlásenie B. I. smernica NIS Hlásenie Prevádzkovateľom digitálnych služieb obsah hlásenia počet používateľov postihnutých narušením základnej služby dĺžka trvania incidentu geografické rozšírenie z hľadiska oblasti, ktorú incident postihol stupeň narušenia fungovania služby rozsah vplyvu na hospodárske a spoločenské činnosti

23 Hlásenie B. I. návrh zákona o KB Transpozícia smernice NIS v SR návrh zákona o kybernetickej bezpečnosti Hlásenie incidentov Hlási sa NBÚ SR Povinnosť hlásenia PZS PDS Možno hlásiť i dobrovoľne Hlásenie prostredníctvom jednotného informačného systému kybernetickej bezpečnosti

24 Hlásenie B. I. zákon o elektronických komunikáciách Hlásenie incidentov - 56 ods. 5 zákona Podnik, ktorý poskytuje verejné služby Pri porušení ochrany osobných údajov je podnik povinný bezodkladne oznámiť úradu porušenie ochrany osobných údajov bezodkladne informovať dotknutých účastníkov a užívateľov o porušení ochrany osobných údajov

25 Hlásenie B. I. zákon o elektronických komunikáciách Hlásenie incidentov - 64 ods. 3 zákona Podnik, ktorý poskytuje verejné siete alebo služby Povinný bezodkladne informovať úrad o narušení bezpečnosti alebo integrity, ktoré mali významný vplyv na prevádzku sietí alebo služieb Hlási sa: Úradu pre reguláciu elektronických komunikácií a poštových služieb

26 Hlásenie B. I. nariadenie eidas Hlásenie incidentov článok 19 nariadenia Povinné osoby Kvalifikovaní poskytovatelia dôveryhodných služieb Nekvalifikovaní poskytovatelia dôveryhodných služieb

27 Hlásenie B. I. nariadenie eidas Hlásenie bez zbytočného odkladu, najneskôr však do 24 hodín orgánu dohľadu a prípadne iným príslušným orgánom

28 Návrh nariadenia eprivacy

29 Návrh nariadenia eprivacy Nariadenie EP a Rady o rešpektovaní súkromného života a ochrane osobných údajov v elektronických komunikáciách a o zrušení smernice 2002/58/ES (smernica o súkromí a elektronických komunikáciách) Návrh: zo dňa Účinnosť: od účinnosti nariadenia GDPR (25. mája 2018)?

30 Návrh nariadenia eprivacy Lex specialis k nariadeniu GDPR pre oblasť ochrany základných práv a slobôd FO a PO pri poskytovaní a využívaní elektronických komunikačných služieb najmä práva na rešpektovanie súkromného života a komunikácií ochranu fyzických osôb v oblasti spracovania osobných údajov voľný pohyb údajov z elektronických komunikácií a elektronických komunikačných služieb v rámci Únii

31 Návrh nariadenia eprivacy Kľúčové aspekty nariadenia Vecná pôsobnosť Územná pôsobnosť Osobná pôsobnosť Spracúvanie údajov z elektronických komunikácií poskytovateľmi EKS obsah komunikácie metadáta komunikácie Cookies, iné sledovacie nástroje Nevyžiadané marketingové komunikácie

32 Návrh nariadenia eprivacy Kľúčové body právnej úpravy vo vzťahu ku koncovým používateľom (KÚ) Dôvernosť údajov Úprava spracovania, ukladanie a vymazania údajov Ochrana informácií uložených v koncových zariadeniach Súhlas KÚ so spracovaním údajov Práva KÚ na kontrolu elektronických komunikácií Možnosť voľby nastavenia ochrany súkromia

33 Návrh nariadenia eprivacy Kľúčové body právnej úpravy vo vzťahu ku koncovým používateľom Povinnosť upozorňovať KÚ na konkrétne bezpečnostné riziká Právo na náhradu škody

34 Návrh nariadenia eprivacy Prostriedky nápravy rovnaké ako prostriedky uvedené v článkoch 77, 78 a 79 nariadenia GDPR Právo podať sťažnosť dozornému orgánu Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu Právo na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi Právo na náhradu škody a zodpovednosť aplikácia článku 82 nariadenia GDPR Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa

35 Návrh nariadenia eprivacy Dozorné orgány monitorovanie uplatňovania nariadenia zodpovedné sú dozorné orgány v zmysle nariadenia GDPR dozorné orgány budú spolupracovať s vnútroštátnymi regulačnými orgánmi

36 Ďakujem za pozornosť!

37 SEMANČÍN & PARTNERS s.r.o. Advokátska kancelária Polus Tower I, Vajnorská 100/A Bratislava, Slovenská Republika Mgr. Ing. Martin Konvit