Herzlich Willkommen
2 AGENDA UVÍTÁNÍ ČASOVÝ HARMONOGRAM REALIZACE PRÁVNÍ REGULACE Srdečně vítejte JEDNOTNÁ POVINNOST JMENOVÁNÍ na Česko-bavorském workshopu Pověřenec na ochranu osobních údajů dle GDPR POVĚŘENCE POKUTY POVINNOST VEDENÍ ZÁZNAMŮ O ČINNOSTI ZPRACOVÁNÍ ZAKÁZEK Autor: Rainer Aigner Stav ke dni: 08.03.2018 KONTROLNÍ ÚŘADY OZNAMOVACÍ POVINNOST
3 O NÁS Ochrana osobních údajů- Competence-Center Ochrana osobních údajů & IT Security Managemengt TÜV certifikace pro výkon pověřence pro ochranu os. údajů www.aigner-business-solutions.com Těšíme se na Vás v našem Competence Center na ochranu osobních údajů: TÜV certifikace pro výkon auditu pro ochranu os. údajů aigner business solutions GmbH Goldener Steig 42 94116 Hutthurm Okres Passau Docent certifikovaný IHK Znalec pro ochranu os. údajů &Datenschutz & IT Security Zkušenosti z branže již od1995
4 GDPR FIRST LOOK 25.05.2018 Užití GDPR Časový harmonogram realizace 25.05.2016 GDPR nabývá účinnosti GDPR nabývá účinnosti dle čl. 99 odst. 1 GDPR 20. den po jejím zveřejnění ve věstníku Evropské unie. GDPR však stále ještě není bezprostředně použitelným právem. GDPR platí až po uplynutí dvou let. Takto je uvedeno ve čl. 99, odst. 2 GDPR. To znamená: Do platnosti GDPR, tedy do 25. 5. 2018 platí nadále dosavadní zákony (především Spolkový zákon o ochraně osobních údajů BDSG a ustanovení telemediálního zákona TMG). GDPR také nenahradí všechny stávající německé zákony, avšak má pouze přednost při uplatnění před německými zákony! Pro praktické užití nebude mít tento právní rozdíl téměř žádný vliv... 2 ROKY
5 GDPR FIRST LOOK Obecné nařízení EU o ochraně osobních údajů GDPR Upravuje zacházení s osobními údaji, které nemají nic Další zákony Přehled právních regulací společného s komunikací skrze sítě jako např. změnu hesla nebo přístup k dokumentům Spolkový zákon o ochraně osobních údajů BDSG (nově) Tento zákon byl schválen jako část doplňovacího a implementačního zákona EU (DSAnpUG-EU). Nejnovější znění BDSG vstoupí v platnost společně s GDPR a nahradí tak zcela v současnou chvíli stále aktuální BDSG. Telekommunikationsgesetz Telemediengesetz Arbeitsgesetz Betriebsverfassungsgesetz Bayrisches Krankenhausgesetz Sozialgesetzbuch I-XII
6 JEDNOTNÁ POVINNOST JMENOVÁNÍ POVĚŘENCE Platí celoevropská povinnost jmenování pověřence pro ochranu osobních údajů Specifikace k pověřenci- Jmenování pověřence čl. 37 GDPR V Německu platí: Firma musí dle 38 BDSG (nově) jmenovat interního nebo externího pověřence pro ochranu osobních údajů, pokud se min. deset osob zpravidla a neustále zabývá automatizovaným zpracováním osobních údajů. Odlišné regulace GDPR v ostatních zemích EU, za jakých podmínek je potřeba jmenovat pověřence - ve většině zemí se jedná o novum! V Německu nadále platí: Od >9 zaměstnanců Kontaktní údaje pověřence musí být zveřejněny sděleny kontrolním úřadům. a
7 SANKCE A POKUTY Dosavadní riziko v Německu Pokuta až: 50.000 43 odst. 1 BDSG např. pokud nebyl či pouze jen zdánlivě byl jmenován pověřenec Pokuta až: 300.000 43 odst. 1 BDSG např. při liknavém nebo neoprávněném sběru osobních údajů
8 SANKCE A POKUTY Riziko po GDPR Pokuta až: 10 Mio. Pokuta až: 20 Mio. nebo až 2% celkového celosvětově dosaženého ročního obratu* v uplynulém finančním období nebo až 4% celkového celosvětově dosaženého ročního obratu */** v uplynulém finančním období * podle toho, která hodnota je vyšší (čl. 83 EU GDPR) ** Platí roční obrat celého koncernu, nikoliv jen jednotlivých právnických subjektů
9 JEDNOTNÁ POVINNOST JMENOVÁNÍ POVĚŘENCE Úkoly pověřence I Informování a poradenství pro odpovědné osoby a zaměstnance I Podpora při tvorbě dokumentace v souvislosti s ochranou osobních údajů I Kontrola smluv v souvislosti se zpracováním zakázek I Dohled nad dodržováním předpisů v souvislosti s ochranou osobních údajů stejně jako strategií odpovědných vedoucí pro ochranu osobních údajů včetně určování kompetencí, nad senzibilizací a školeními zaměstnanců podílejících se na zpracování osobních údajů a nad související kontrolou Zodpovědnost pověřence Povinnost dohledu ze strany pověřence neimplikuje, že může být za nedodržení předpisů GDPR osobně zodpovědný. Právní důsledky neplnění povinností Porušení předpisů v souvislosti s výkonnem pověřence ze čl. 37 až 39 GDPR (stejně jako nejmenování pověřence, nedostatečná podpora nebo znevýhodňování pověřence atd.) lze pokutovat dle čl. 83 odst. 4 a GDPR. I Spolupráce s kontrolními úřady I Kontaktní osoba pro kontrolní úřady a subjeky, jejichž údaje jsou zpracovávány
10 GDPR již neveřejné Povinnost vedení záznamů o činnosti Firma musí nezávisle na povinnosti jmenovat pověřence - dle čl. 30 EU GDPR vést záznamy o všech činnostech souvisejících se zpracováním osobních údajů. Toto je jen jedna z vícero nových povinností týkajících se vedení záznamů. Při dodržení zákonných povinností budou tyto záznamy hrát rozhodující roli. Protože takový seznam obsahuje záznamy a přehled všech použitých metod, při kterých jsou zpracovávány osobní údaje. platí také pro nejmenší podniky Žádné vedení záznamů = pokuta! Vedení seznamu činností spojených ze zpracováním osobních údajů
11 ZPRACOVÁNÍ ZAKÁZEK Zpracování zakázek Smlouva s opatřeními k zajištění bezpečnosti při využití externích Zpravidla musí být s každým zpracovatelem zakázky uzavřena smlouva o činnostech tak, aby byly v souladu s právními předpisy. Smlouva musí být uzavřena v písmené nebo - nově - v elektronické podobě. Povinný obsah takové smlouvy zůstává převážně stejný jako doposud. Jedním z důležitých bodů se však stává především znázornění povinných opatření k zabezpečení zpracování dle č. 32 GDPR. poskytovatelů služeb
12 ZPRACOVÁNÍ ZAKÁZEK Nové povinnosti a odpovědnosti Poruší-li zpracovatel zakázky povinnost zpracování dle právních předpisů zpracováním dat zadavatele pro vlastní účely nebo účely třetích osob, stává se plně odpovědným dle čl. 28 odst. 10 GDPR - se všemi právními důsledky, např. také v souvislosti se zajištěním práv subjektů, jejichž údaje jsou zpracovávány. Nové jsou v GDPR také speciální regulace odpovědnosti pro zpracovatele zakázek při porušení ustanovení vyplývající ze čl. 82 GDPR. Zpracovatelům zakázek tak při porušení GDPR hrozí povinnost uhradit odškodné subjektům, jejichž údaje jsou zpracovávány. Pro zpracovatele zakázek tím také vzniká nová povinnost vést v budoucnu též seznam činností souvisejících ze zpracováním, dle čl. 30 odst. 2 GDPR, a to pro všechny kategorie prováděných činností zpracování. Tyto musí být vždy na vyžádání kontrolních orgánů dány k dispozici, např. při kontrolách.
13 ZÁKLADNÍ Andrea Voßhoff Veřejné instituce Spolkový úřad pro ochranu osobních údajů Die Bundesbehörde für den Datenschutz Kdo dohlíží v Německu na dodržování GDPR? Thomas Kranig Neveřejné instituce, podniky v BAVORSKU Bavorský zemský úřad pro ochranu osobních údajů Das bayerische Landesamt für Datenschutz Aufsicht (BayLDA)
14 OZNAMOVACÍ POVINNOST Oznamovací povinnost při incidentech týkajících se osobních údajů během 72 hodin Zavedení oznamovací povinnosti vůči kontrolním úřadům týkající se všech nehod s osobními údaji, až na jednu výjimku - takto uvedeno v zákoně, a to pokud nepovede k riziku subjektů, jejichž údaje jsou zpracovávány. Oznamovací povinnost neplatí, pokud ztracená data byla zakódovaná nebo byla uplatněna opatření na omezení výše škod, která výše uvedené riziko pro subjekty, jejich údaje jsou zpracovávány, odstranila. Co tato formulace však konkrétně znamená, nevědí po našem dotazu momentálně (ještě) ani kontrolní úřady. Oznámení musí být podáno v budoucnu do 72 hodin u odpovědného kontrolního úřadu.
15 VÝZVA www.docu-safe.de Jak řešíme tuto výzvu? Váš trezor s dokumenty pro citlivá data s osobními údaji I Poskytujeme poradenství (ano, my nutíme ) naše klienty zesíleně směrem k EU GDPR! Integrovaný systém úkolů a systém ticketů s funkcí upomínek I Klientům nabízíme již dnes webovou softwarovou platformu, aby s účinností GDPR klienti činnosti spojené se zpracováním osobních údajů již prováděli v elektronické podobě. * Čl.30 EU GDPR vedení záznamu o činnostech zpracování. Vedení záznamů zmíněných v odstavci 1 a 2 musí být prováděno písemně, a to lze také v elektronické formě. www.docu-safe.de Softwarové řešení pro ochranu osobních údajů aigner business solutions GmbH
16 PŘEDNÁŠKA OCHRANA OSOBNÍCH ÚDAJŮ Dotazy? Velmi děkuji za Vaši pozornost.
17 KONTAKT 2018 8. März aigner business solutions GmbH Jednatel: Rainer Aigner Goldener Steig 42 94116 Hutthurm TEL +49 (0)8505 91927 0 FAX +49 (0)8505 91927 69 Kontakt info@aigner-business-solutions.com www.aigner-business-solutions.com