Seminář k GDPR

Transkript

1

2

3 Provozování kamerového systému kamerového vedle sledování, nebo jsou v záznamovém zařízení uchovávány informace a zároveň účelem pořizovaných záznamů, případně vybraných informací, je jejich využití k identifikaci fyzických osob v souvislosti s určitým jednáním. Údaje uchovávané v záznamovém zařízení, ať obrazové či zvukové, jsou osobními údaji (tedy: informace z obrazových či zvukových nahrávek umožňují, byť nepřímo, identifikaci osoby).

4 Zpracování osobních údajů provozováním kamerového systému je přípustné: a) v rámci plnění úkolů uložených zákonem (např. Policii České republiky); v těchto případech je třeba dbát ustanovení příslušného zákona, b) dále je toto možné na základě řádného ; c) užití kamerového systému však je možné i bez souhlasu subjektu údajů s využitím ustanovení 5 odst. 2 písm. e) zákona č. 101/2000 Sb.: pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života,

5 Povinnosti správce při provozování kamerového systému vybaveného záznamovým zařízením: a) Kamerové sledování nesmí nadměrně zasahovat do soukromí. (např. majetek je možno chránit před odcizením uzamčením místnosti). Je vyloučeno užití kamerového systému v prostorách určených k ryze soukromým úkonům (např. toalety, sprchy). Je ovšem možné řešení, kdy subjekt údajů má na výběr z alternativ (např. lze monitorovat prostory šatny plaveckého stadionu za předpokladu, že je vymezen prostor pro převlékání, který není kamerami sledován). b) Je třeba předem jednoznačně stanovit účel pořizování záznamů, který musí korespondovat s důležitými, právem chráněnými zájmy správce (např. ochranou majetku před krádeží). Záznamy tak mohou být využity pouze v souvislosti se zjištěním události, která poškozuje tyto důležité, právem chráněné zájmy správce. Přípustnost využití záznamů pro jiný účel musí být omezena na významný veřejný zájem, např. boj proti pouliční kriminalitě.

6 c) Je třeba d) Je třeba řádně snímacích, před neoprávněným nebo nahodilým přístupem, změnou, zničením či ztrátou nebo jiným neoprávněným zpracováním - viz 13 zákona č. 101/2000 Sb. e) o užití kamerového systému (např. nápisem umístěným v monitorované místnosti), viz 11 odst. 5 zákona č. 101/2000 Sb., nejde-li o uplatnění zvláštních práv a povinností vyplývajících ze zvláštního zákona. f) Je třeba zákona č. 101/2000 Sb., viz 1 g) Zpracování osobních údajů je třeba registrovat u Úřadu pro ochranu osobních údajů, nejde-li o uplatnění zvláštního práva či povinností vyplývajících ze zvláštního zákona, viz 18 odst. 1 písm. b) zákona č. 101/2000 Sb.

7

8 Uživatel? IP CESNET: ČVUT: ISP IP: Poskytující ISP Vnitřní síť: 24 bitový blok: Poskytující služby připojení IP:

9 Půjde i o: jako například: identifikátory, nebo či, tags) (radio frequency identification V30

10

11 Patrick Breyer proti Bundesrepublik Deutschland ment.jsf?text=&docid=184668&pageindex=0&d oclang=cs&mode=lst&dir=&occ=first&part=1& cid= dynamická IP adresa je dle rozsudku soudního dvora EU z za určitých okolností osobním údajem

12 Patrick Bayer se u německých soudů domáhal, aby Německo přestalo uchovávat jeho IP adresy, které získalo při jeho návštěvách několika internetových stránek německých spolkových orgánů, které byly veřejně přístupné. Německé soudy přerušily řízení a položily, protože v dané věci neexistuje jednotný výklad práva EU. Jde zejména o to, jestli k tomu, aby nějaký údaj byl osobním údajem, a tedy identifikoval konkrétní osobu, je třeba vycházet z objektivního či relativního kritéria.

13 údaje, jako jsou IP adresy, by mohly být považovány za osobní údaje zpracovávané ISP jiných služeb než připojení (např. provozovatelem internetové stránky), a to i tehdy, (typicky ISP připojení)., neboť mu umožňují přesně určit totožnost uživatele, ale už ne u ISP služeb, který disponuje skutečně pouze údajem o IP adrese a nezná jméno návštěvníka.

14 , která je majitelem počítače, ze kterého byla navštívena internetová stránka,, která mohla tento počítač používat.

15 Z těchto důvodů Soudní dvůr (druhý senát) rozhodl takto: 1) Článek 2 písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že internetového protokolu, kterou tento poskytovatel zpřístupnil veřejnosti, pro uvedeného poskytovatele,

16

17 IP připojovacího prvku (např. AP aj.) MAC adresa PC uživatele IP přidělené PC Jméno PC uživatele nastavené v OS Sep 4 15:40:09 dhcp dhcpd: DHCPDISCOVER from d0: : : : : d4 ( ) via Sep 4 15:40:10 dhcp dhcpd: DHCPOFFER on to d0: : : : : d4 ( ) via Sep 4 15:40:10 dhcp dhcpd: DHCPREQUEST for ( ) from d0: : : : : d4 ( ) via Sep 4 15:40:10 dhcp dhcpd: DHCPACK on to d0: : : : : d4 via IP DHCP

18

19

20

21

22

23

24 Pokud jsou osobní údaje získávány od subjektu údajů, vyžaduje, aby všechny informace určené veřejnosti nebo subjektu údajů byly: - stručné, - snadno přístupné - srozumitelné, - podávané za použití jasných a jednoduchých jazykových prostředků a. 58, 60

25 Subjekt by měl být informován:, nebo - pokud jsou OÚ získávány z jiného zdroje, - jestliže mohou být osobní údaje oprávněně sděleny jinému příjemci, z důvodu využití různých zdrojů. V61

26 - v případech, kdy, zaznamenání či zpřístupnění osobních údajů je výslovně stanoveno právními předpisy, těchto informací subjektu Poskytnutí informací by mohlo vyžadovat neúměrné úsilí zejména tehdy, je-li zpracování prováděno pro ve veřejném zájmu, pro nebo pro. V62

27 Aby bylo v internetovém prostředí posíleno právo být zapomenut, mělo by být rozšířeno právo na výmaz tím, že by správce, který zveřejnil osobní údaje V66

28 údajů podle GDPR,, které by Správce by měl:, zejména v případě zpracování osobních údajů elektronickými prostředky. V59

29 Je-li to možné, měl by správce: - poskytnout dálkový Tím by neměla být nepříznivě dotčena práva ani svobody ostatních, například obchodní tajemství nebo duševní vlastnictví a zejména autorské právo chránící programové vybavení. V případě, že správce zpracovává velké množství informací týkajících se subjektu údajů: (před vlastním poskytnutím informací) V63

30 povaha daného případu porušení zabezpečení osobních údajů doporučení pro dotčenou fyzickou osobu, jak případné nežádoucí účinky zmírnit oznámení by měla být subjektu údajů učiněna, jakmile je to proveditelné, v úzké spolupráci s dozorovým úřadem a v souladu s pokyny tohoto úřadu nebo jiných příslušných orgánů V86

31

32 Zpracování osobních údajů, tj.: - schopnosti sítě nebo informačního systému odolávat na dané úrovni spolehlivosti, - náhodným událostem nebo protiprávnímu či - zlovolnému jednání, představuje oprávněný zájem dotčeného správce údajů. Oprávněný zájem by například mohl spočívat v zabránění neoprávněnému přístupu k sítím elektronických komunikací a šíření škodlivých kódů a zamezení útokům, jejichž důsledkem je odepření služby, a škodám na počítačových systémech a systémech elektronických komunikací. V49

33 Správce by neměl uchovávat osobní údaje pouze za tím účelem, aby mohl reagovat na případné žádosti. V64

34

35

36 Otázka pověřence (na knihovny se nevztahuje) Fotky z akcí, fotky na webu, v tisku jak ošetřit? Dohody s letory vzdělávacích akcí, dohody s dobrovolníky - jak chránit jejich osobní údaje, jak uchovávat Půjčování e-knih a problematika osobních údajů Uvádění jubilantů ve zpravodajích obcí Automatizované knihovní systémy a ochrana osobních údajů Přihlašovací hesla na internetu čtenář se zapomene odhlásit, jak s tím naložit a tel. číslo na přihlášce Zpracování údajů musí být pro konkrétní účel musí být uvedeno např. na přihlášce do knihovny? Jednorázový uživatel knihovny (neregistrovaný) může se legitimovat? Dává své osobní údaje

37