Úvodní přednáška: Pověřenec pro ochranu osobních údajů dle GDPR

Transkript

1 Úvodní přednáška: Pověřenec pro ochranu osobních údajů dle GDPR Právní rámec a možnosti volného pole působnosti Česko-bavorský workshop dne 8. března 2018 v Evropském domě ve Freyungu Univ. profesor dr. jur. Dirk Heckmann Člen Bavorského Ústavního soudu Katedra veřejného, bezpečnostního a internetového práva Prof. Dr. Dirk Heckmann 1

2 Pověřenec pro ochranu osobních údajů: Muž/žena ve správný čas na správném místě? Prof. Dr. Dirk Heckmann 2

3 Pověřenec pro ochranu osobních údajů dle GDPR: neznámé území nebo bezpečný přístav? Prof. Dr. Dirk Heckmann 3

4 Kde naleznete v GDPR centrální předpisy k pověřenci? Čl. 37 GDPR: Jmenování pověřence pro ochranu osobních údajů Čl. 38 GDPR: Postavení pověřence pro ochranu osobních údajů Čl. 39 GDPR: Úkoly pověřence pro ochranu osobních údajů Prof. Dr. Dirk Heckmann 4

5 Kdo má povinnost jmenovat pověřence? Veřejné instituce (m.j. úřady) Pověřenec pro ochranu osobních údaju musí být povinně jmenován ve všech případech, kromě situace, kdy zpracování probíhá prostřednictvím soudu v rámci jeho justiční činnosti, čl.37 odst. 1 lit. GDPR Neveřejné organizace (m.j. podniky) Prof. Dr. Dirk Heckmann 5

6 Kdo má povinnost jmenovat pověřence? Veřejné instituce (m.j. úřady) Neveřejné organizace (m.j. podniky) Případ 1: Hlavní činnost podniku spočívá v operacích zpracování osobních údajů, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování údajů subjektů, čl. 37 odst. 1 lit. b GDPR nebo Případ 2: Hlavní činnost spočívá v rozsáhlém zpracování zvláštních kategorií dat nebo osobních údajů týkajících se odsouzení za trestné činy, čl. 37 odst. 1 lit. c GDPR Prof. Dr. Dirk Heckmann 6

7 Existují rozdílná ustanovení v národním zákonu o ochraně dat? S 5, 6, 7, 38 BDSG (Spolkový zákon o ochraně osobních údajů) využívá zákonodárce možností uvedených ve čl. 37 odst. 4, 1 GDPR ohledně povinnosti jmenování pověřence v dalších oblastech Povinnosti jmenování u veřejných institucí, 5 odst. 1, 1 GDPR Dodatečná povinnost jmenování pro neveřejné organizace Prof. Dr. Dirk Heckmann 7

8 Existují rozdílná ustanovení v národním zákonu o ochraně dat? 5, 6, 7, 38 BDSG n. F. Povinnosti jmenování u veřejných institucí, 5 odst. 1, 1 GDPR Veřejné instituce mají v každém případě povinnost jmenovat pověřence pro ochranu osobních údajů. Dodatečná povinnost jmenování pro neveřejné organizace Prof. Dr. Dirk Heckmann 8

9 Existují rozdílná ustanovení v národním zákonu o ochraně dat? 5, 6, 7, 38 BDSG n. F. Povinnosti jmenování u veřejných institucí, 5 odst. 1, 1 GDPR Povinnost jmenování pro neveřejné organizace, pokud: - nejméně se 10 osob neustále zabývá automatizovaným zpracováváním dat, - zpracování podléhá posouzení vlivu na ochranu osobních údajů ve smyslu čl. 35 GDPR nebo - zpracování probíhá v obchodním smyslu za účelem (i anonymního) zprostředkování nebo za účelem průzkumu trhu či veřejného mínění Prof. Dr. Dirk Heckmann 9

10 Formální předpoklady při jmenování Interně/externě? Interní a externí jmenování pověřence je možné, čl. 37 odst. 6 GDPR. V rámci celého koncernu? Čl. 37 odst. 2 GDPR umožňuje jmenování koncernového pověřence. Avšak pouze za předpokladu, že je tento pověřenec snadno dosažitelný z každé pobočky. Kdy a jakým způsobem jmenovat? Pověřenec musí být dle čl. 38 odst. 1 GDPR / 6 odst. 1 BDSG řádně a zavčas zapojen před samotným zpracováním. Kvůli možnosti doložení důkazů je doporučeno písemné jmenování. Prof. Dr. Dirk Heckmann 10

11 Jakou kvalifikaci musí pověřenec vykazovat? Čl. 37 odst. 5 GDPR uvádí tři zásadní kritéria: Odborná kvalifikace Odbornost v oblasti ochrany osobních údajů Schopnost k plnění minimálních zákonných povinností Prof. Dr. Dirk Heckmann 11

12 Jakou kvalifikaci musí pověřenec vykazovat? Potřebné jsou zejména: Znalosti evropských a národních předpisů týkajících se ochrany dat Znalosti jednotlivých procesů zpracování Znalosti podniku a jeho organizační struktury Prof. Dr. Dirk Heckmann 12

13 Úkoly a povinnosti pověřence Instrukce a poradenství osob zodpovědných za ochranu dat (také zaměstnanců) Monitorování a dodržování předpisů týkajících se ochrany osobních dat Spolupráce při posouzení vlivu na ochranu osobních údajů Spolupráce s kontrolními orgány Poradenství pro subjekty, jejichž údaje jsou zpracovávány Prof. Dr. Dirk Heckmann 13

14 Postavení pověřence v podniku Pověřenec musí být komplexně podporován. Pověřenec je nezávislý. Platí zákaz diskriminace a zákaz výpovědi. Povinnost mlčenlivosti pověřence. Prof. Dr. Dirk Heckmann 14

15 Jaká další nařízení existují v GDPR v souvislosti s pověřencem? Kontakty na pověřence musí být sděleny subjektům, jejichž údaje jsou zpracovávány. Seznam činností souvisejících se zpracováním musí obsahovat kontakt na pověřence. [Die Tätigkeit einer Aufsichtsbehörde für einen Datenschutzbeauftragten ist unentgeltlich.] Data Breach Notification musí být doplněna o kontakty na pověřence. Zveřejnění kontaktů na pověřence. Sdělení kontaktů na pověřence kontrolním orgánům. Prof. Dr. Dirk Heckmann 15

16 Rizikové povolání - pověřenec? Rizika odpovědnosti pověřence ještě nejsou zcela vyjasněna. Odpovědnost vůči subjektům, jejichž údaje jsou zpracovávány, či odpovědným místům je myslitelná. Zohledněná je také trestní odpovědnost a odpovědnost při správních deliktech. Prof. Dr. Dirk Heckmann 16

17 Závěr a výhled Pověřenec pro ochranu osobních údajů jako úspěšný německý model. Dalekosáhla konkretizace požadavků a povinností. Možný nárůst rizik odpovědnosti pro pověřence. Prof. Dr. Dirk Heckmann 17