GDPR. (General Data Protection Regulation) Nařízení EU č. 679/2016 k ochraně osobních údajů. Mgr. Josef Botek tajemník

Transkript

1 GDPR (General Data Protection Regulation) Nařízení EU č. 679/2016 k ochraně osobních údajů Pracovní setkání starostů ORP UH Hotel Skanzen, Modrá Mgr. Josef Botek tajemník

2 GDPR: Nařízení Evropského parlamentu a Rady EU 2016/679 ze dne , nahradí současnou právní úpravu ochrany osobních údajů v nynějším znění směrnice 95/46/ES a nahradí (resp. novelou adaptuje) zákon č. 101/2000 Sb., o ochraně osobních údajů, platnost GDPR v celé EU od , komplexní právní rámec ochrany osobních údajů bude tvořen GDPR a adaptovaným zákonem č. 101/2000 Sb., o ochraně osobních údajů. 2

3 Cíl GDPR: Chránit práva občanů EU proti neoprávněnému zacházení s jejich daty a osobními údaji, sjednocení právního rámce ochrany osobních údajů ve všech zemích EU, na které dopadá, v případě závažného porušení budou firmám hrozit vysoké pokuty, maximální výše Eur nebo 4 % z celkového ročního obratu společnosti, maximální výše pokuty může být udělena, jak malé společnosti, tak velké nadnárodní korporaci. 3

4 Koho se bude nařízení týkat: Každého subjektu, který shromažďuje nebo zpracovává osobní údaje Evropanů, společností a institucí mimo území EU, které působí na evropském trhu, zasáhne i ty, kteří sledují či analyzují chování uživatelů na webu, při používání aplikací nebo chytrých technologií. 4

5 Doporučený postup subjektů: 1. Realizace školení a právních analýz dopadů GDPR, 2. analýza legislativních změn (co bude potřeba realizovat, po přijetí nařízení), 3. příprava interních směrnic, 4. úpravy dokumentů dle GDPR, 5. výkon funkce pověřence pro ochranu osobních údajů, 6. tvorba manuálů pro zaměstnance. 5

6 Duben 2016 květen 2018: Toto rozmezí je určeno na přípravu a implementaci GDPR, všichni, kterých se nařízení týká, musí zrevidovat své informační systémy a postupy nakládání s osobními údaji a dát je do souladu s GDPR, během tohoto období přijmou jednotlivé státy EU prováděcí zákon, jímž upřesní více než padesát bodů, které GDPR svěřuje do jejich národní pravomoci. 6

7 Osobní údaje dle GDPR: Veškeré informace o identifikované nebo identifikovatelné fyzické osobě, jméno, příjmení, datum a místo narození, rodinný stav, rodné číslo, statní příslušnost, národnost, adresa trvalého bydliště, zaměstnání, pozice v zaměstnání, tel. spojení domů - do zaměstnání, vzdělání, znalost cizích jazyků, odborné znalosti a dovednosti, počet dětí, obrazový záznam z kamerového systému. 7

8 Jaké nové povinnosti ukládá GDPR: Povinnost správců a zpracovatelů údajů zavést technická, organizační a procesní opatření za účelem prokázání souladu s principy GDPR, implementace záměrné a nezbytné ochrany dat, vypracování posouzení vlivu na ochranu osobních údajů, jmenování pověřence pro ochranu osobních údajů neboli DPO (Data Protection Officer), vedení záznamů o činnostech zpracování, konzultace s dozorovým orgánem před samotným zpracováním osobních údajů (Úřad na ochranu osobních údajů), ohlašování případů porušení zabezpečení os. údajů. 8

9 Záznamy o činnostech zpracování čl. 30 GDPR: Představují do jisté míry náhradu za oznamovací povinnost stanovenou 16 ZOOÚ, je vymezen taxativní výčet informací, které záznamy musí obsahovat čl. 30 odst. 1 a 2, vyhotovují se písemně, v to počítaje i elektronickou formu, umožňují správci prokázat soulad zpracování s GDPR. 9

10 KATALOGOVÝ LIST AGENDY OÚ - MATRIKA Pořadové číslo katalogového listu 14 Odbor Účel zpracování Kategorie osobních údajů Odbor organizační a vnitřních věcí Agenda matriky (státní evidence narození, uzavření manželství a úmrtí fyzických osob) v souladu se zákonem č. 301/2000 Sb., o matrikách, jménu a příjmení a o změně některých souvisejících zákonů, vyhl. č. 207/2001 Sb., kterou se provádí zákon o matrikách, zákona č. 89/2012 Sb., občanský zákoník, zákona č. 91/2012 Sb., o mezinárodním právu soukromém, zákona č. 500/2004 Sb., správní řád, zákona č. 634/2004 Sb., o správních poplatcích, všechny v platném zněn adresní a identifikační údaje, popisné údaje a údaje o jiných osobách vedené v Knize narození, Knize manželství a Knize úmrtí Souhlas subjektu údajů/ano/ne Kategorie subjektu údajů ne fyzické osoby, které se narodily, uzavřely manželství nebo zemřely v obvodu matričního úřadu Zdroje osobních údajů přímo od subjektu údajů zákonní zástupci subjektu údajů jiné (např. zdravotnická zařízení, pozůstalí) IS Centrální evidence osob vlastní matrika 10

11 Kategorie příjemců Doba uchování Druh zpracování Oznamovací povinnost ÚOOÚ - ano/ne Registrace ÚOOÚ, datum a číslo registrace Způsob zpracování soubor (server/lokální PC) program/aplikace správce aplikace Matrika fyzická osoba, které se matriční zápis týká, nebo členové její rodiny (manžel, rodiče, děti, prarodiče, vnuci a pravnuci), její sourozenci a zplnomocnění zástupci, orgány státu nebo orgány samosprávných územních celků pro úřední potřebu fyzická osoba, která prokáže, že je to nezbytné pro uplatnění jejích práv před orgány státu nebo před orgány územních samosprávných celků, orgány státu nebo orgány územních samosprávných celků pro jejich úřední potřebu statutární orgány církví nebo duchovní jimi zmocnění, jde-li o matriční knihy vedené těmito církvemi do v souladu se Spisovým a skartačním plánem shromažďování, ukládání na nosiče informací, uchovávání, likvidace, další způsoby zpracování (ověření) ne ne manuální - automatizované Kniha narození Kniha manželství Kniha úmrtí IS Centrální evidence osob IS GINIS (evidence osob přihlášených k trvalému pobytu ve správním obvodu MěÚ) Czech POINT Word Ministerstvo vnitra (ISEO) správci IT 11

12 KATALOGOVÝ LIST AGENDY OÚ MATERIÁLY RM a ZM Pořadové číslo katalogového listu 10 Odbor Účel zpracování Kategorie osobních údajů Souhlas subjektu údajů/ano/ne Kategorie subjektu údajů Zdroje osobních údajů Kategorie příjemců Doba uchování Druh zpracování Oznamovací povinnost ÚOOÚ - ano/ne Odbor organizační a vnitřních věcí Materiály související se schůzemi RM a zasedáními ZM zpracovávané v souladu se zákonem č. 128/2000 Sb., o obcích (obecní zřízení), ve znění pozdějších předpisů a dalšími právními předpisy adresní a identifikační údaje: jméno, příjmení, adresa místa trvalého pobytu nebo adresa bydliště a adresa pro doručování, kontaktní spojení ne osoby bez vztahu ke správci zaměstnanci města členové ZM zaměstnanci příspěvkových organizací zřízených městem přímo od subjektu údajů vlastní obyvatelé města dle Spisového a skartačního plánu používání, ukládání na nosiče informací, uchovávání, likvidace, archivnictví ne Registrace ÚOOÚ, datum a číslo registrace ne Způsob zpracování soubor (server/lokální PC) program/aplikace správce aplikace manuální lokální PC Word správci IT 12

13 Ohlašování porušení zabezpečení osobních údajů čl. 33 a 34 GDPR: Správce bez odkladu, do 72 hodin od okamžiku, kdy se dověděl ohlásí dozorovému úřadu porušení, správce dokumentuje případy porušení zabezpečení osobních údajů, přičemž uvede skutečnosti týkající se daného porušení. 13

14 Pověřenec pro ochranu osobních údajů (DPO): Hlavním úkolem DPO bude monitorování souladu zpracování osobních údajů s povinnostmi vyplývajícími z nařízení, provádění interních auditů, provádění školení pracovníků a celkové řízení agendy interní ochrany dat, působení jako kontaktní místo pro dozorový úřad. 14

15 Pozor na střet zájmů u pověřence: Vytvoření pravidel k zamezení střetu zájmů, začlenit do pravidel obecnější vysvětlení střetu zájmů, určit pracovní místa neslučitelná s výkonem funkce pověřence. 15

16 Musí mít svého pověřence každá obec? Vzhledem k tomu, že obec lze považovat za orgán veřejné moci, resp. veřejný subjekt ve smyslu čl. 37 odst. 1 písm. a) GDPR, formálně na ni dopadá povinnost jmenovat pověřence, je nicméně možné, aby pro určitý počet obcí vykonával činnost pověřence např. pověřenec vyššího územně samosprávného celku či několik obcí se dohodlo a najaly si vlastního pověřence. 16

17 Úřad pro ochranu osobních údajů (ÚOOÚ): Doposud hlavním českým regulátorem v oblasti ochrany údajů (zůstane i nadále), bude mít více pravomocí, bude částečně podřízen Evropskému sboru pro ochranu osobních údajů (EDPB - European Data Protection Board), pochybení ze strany ÚOOÚ budou směřována na Evropský sbor pro ochranu osobních údajů (EDPB). 17

18 Informační zdroje: Internetové stránky Úřadu pro ochranu osobních údajů /p1=3938 Internetové stránky GDPR prakticky

19 Děkuji za pozornost. Masarykovo náměstí Uherské Hradiště Mgr. Josef Botek tajemník T E epodatelna@mesto-uh.cz