Implementácia v praxi GDPR JUDr. Miroslava Terem Greštiaková
Agenda Čo prináša GDPR 3 Kam GDPR siaha 7 Najčastejšie problémy 12 Náš prístup 14 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 2
Čo prináša GDPR? 1995 Dňa 4. mája 2016 bolo Nariadenie o ochrane osobných údajov ( GDPR ) zverejnené v Úradnom vestníku Európskej únie. GDPR sa stalo platným 24. mája 2016 a nahradí tak európsku smernicu o ochrane fyzických osôb v súvislosti so spracúvaním osobných údajov z roku 1995 s cieľom vytvoriť zjednotenú právnu úpravu v oblasti ochrany osobných údajov. 2018 2016 V roku 1995, Európska únia prijala európsku smernicu 95/46/EC o ochrane fyzických osôb v súvislosti so spracúvaním osobných údajov. K tomu, aby európska smernica nadobudla účinnosť, musí byť transponovaná do legislatívy členských štátov. 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. Nariadenie o ochrane osobných údajov bude účinné a priamo aplikovateľné odo dňa 25. mája 2018 vo všetkých 28 členských štátoch. Počas účinnosti GDPR budú mať orgány dozoru investigatívne, nápravné, poradenské a schvaľovacie právomoci. Orgány dozoru majú právomoc udeliť pokutu od 2 do 4% celkového celosvetového ročného obratu za predchádzajúci rozpočtový rok alebo pokutu vo výške od 10 do 20 miliónov EUR, podľa toho, čo je vyššie. 3
Čo prináša GDPR? 4% Potenciálna výška sankcie ako % zo svetového obratu 7 Základných individuálnych práv poskytovaných GDPR 72 Hodín na oznámenie bezpečnostných incidentov 250m Náklady na 4% sankciu pre typickú FTSE 100 spoločnosť 28,000 Odhadovaný počet potrebných nových zodpovedných osôb v Európe (IAPP štúdia 2016) 190+ Krajín potenciálne spadajúcich do pôsobnosti GDPR 80+ Nových požiadaviek v GDPR 4 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 4
Čo prináša GDPR? Čo je vlastne osobný údaj? Akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby ( dotknutá osoba ); Identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor,alebo odkazom na jeden či viaceré prvky, ktoré sú špecifickéthe pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby. Vzťah Identifikácia Dotknutá osoba Prepojenie Obsah Účel Výsledok Priama Nepriama Fyzická osoba Meno Číslo OP Lokalizačné údaje Online identifikátor 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 5
Čo prináša GDPR? Rozšírená teritoriálna pôsobnosť Nové vymedzenie niektorých pojmov Nové práva dotknutých osôb Sprísnenie povinností voči regulátorovi a sankcie Povinnosť viesť záznamy o spracovateľských činnostiach Nová úprava postavenia Zodpovednej osoby Prenos osobných údajov 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 6
Kam GDPR siaha? 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 7
GDPR kladie dôraz na komplexný prístup IT architektúra, procesy a bezpečnosť Právo a Compliance Proces riadenia (Governance) GDPR Compliance 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 8
Komplexnosť GDPR Právo a Compliance GDPR Právo a Compliance IT architektúra a procesy Bezpečnosť Proces riadenia (Governance) Právo na informácie Právo na prístup OÚ Právo na opravu Právo na vymazanie Právo na obmedzenie spracúvania Právo na prenosnosť Právo namietať Právo namietať profilovanie 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 9
Komplexnosť GDPR IT architektúra, procesy a bezpečnosť GDPR Právo a Compliance IT architektúra a procesy Bezpečnosť Proces riadenia (Governance) Implementácia vhodných technických opatrení Pseudonymizácia a kryptovanie Business continuity Posúdenie IT rizík Oznamovanie incidentov (72h) 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 10
Komplexnosť GDPR Proces riadenia (Governance) GDPR Právo a Compliance IT architektúra a procesy Bezpečnosť Proces riadenia (Governance) Zodpovedná osoba (DPO) Politika spracúvania OÚ Záznamy o spracovateľských činnostiach Základná ochrana Štandardná ochrana Posúdenie vplyvu 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 11
Najčastejšie problémy 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 12
Čo najčastejšie nespĺňate? Nesprávne zaradenie zodpovednej osoby DPO Chýbajúca governance osobných údajov Nedostatočne resp. vôbec neupravená elektronická likvidácia Nedostatky v oblasti IT štruktúry procesov 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 13
Náš prístup 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 14
Ako začať s prípravou Prípravu a implementáciu nepodceňujte, ale tým to nekončí! Krok 1 Analýza existujúceho stavu As-Is (PDP Audit) Nastavenie kontrolných postupov zaisťujúcich dohľad nad dodržovaním novo zavedených pravidiel a mechanizmov. Pravidelne overovať dostatočnosť a účinnosť prijatých opatrení. Krok 2 Krok 3 Krok 1 Analýza dôsledkov a dopadov GDPR Podrobný plán implementácie Krok 4 Implementácia konkrétnych opatrení 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 15
Analýza dôsledkov Prístup GDPR Business analýza Právna analýza IT architektúra Bezpečnosť Compliance analýza Analýza rizík (voliteľné) Základné služby Voliteľné služby Hlavné činnosti: Príprava existujúcej a budúcej procesnej mapy do úrovne činností vykonávaných jednotlivými úlohami v konkrétnych systémoch a s konkrétnymi dátami. Špecifikácia dopadov na tieto procesy, činnosti a úlohy spracúvajúce osobné údaje. Hlavné činnosti: Identifikácia oblastí s dopadom GDPR, revízia dokumentácie/ príprava nového znenia dokumentácie. Zmapovanie dopadov na procesy. Hlavné činnosti: Aktualizácia a rozšírenie analýzy dopadov do konkrétnych IT systémov. Návrh riešenia na vykonanie úprav v jednotlivých IT systémoch / aplikáciách. Hlavné činnosti: Aktualizácia a rozšírenie analýzy dopadov s ohľadom na IT bezpečnosť. Odporúčaný postup náprav s dôrazom na úlohu prevádzkovateľa a sprostredkovateľa Hlavné činnosti: Začlenenie DPO do organizačnej štruktúry. Nastavenie úloh a pozície DPO. Príprava GDPR Compliance Checklistu. Hlavné činnosti: Príprava prehľadu rizík v zmysle potencionálných sankcií vyplývajúcich z porušenia GDPR v dôsledku nesprávnej implementácie jednotlivých ustanovení. Klasifikácia, priradenie stupňa a kvantifikácie rizika, analýza možnosti mitigácie rizika. GAP analýza Konsolidovaný model zistení a odporúčaných riešení Harmonogram nadväzujúcich prác Komentované dokumenty (voliteľné) Analýza rizík (voliteľné) 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 16
Koľko to bude trvať? Bod Fáza/Aktivity 1. mesiac 2. mesiac 3. mesiac A Projektové plánovanie A.1 Tvorba projektového plánu A.2 Tvorba organizačnej štruktúry projektu A.3 Určenie pracovného postupu s očakávanými výstupmi A.4 Začiatok realizácie projektu B Pochopenie súčasného stavu B.1 Pochopenie vnútorného prostredia spoločnosti B.2 Štruktúrované rozhovory s kľúčovými zamestnancami B.3 Zhrnutie priebežných zistení súčasného stavu C Analýza vplyvu C.1 Biznis analýza C.2 Právna analýza a príprava dokumentov C.3 Analýza štruktúry IT prostredia C.4 Analýza riadenia procesov (compliance analýza) C.5 Bezpečnostná analýza C.6 Finálne posúdenie D E Risk analýza Záver projektu E.1 Schválenie výstupov 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 17
Ďakujeme za pozornosť! 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 18
Otázky? 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 19
Kontakty Deloitte Legal s.r.o., advokátska kancelária Miroslava Terem Greštiaková Advokátka, Partner Tel: +421 903 630 823 E-mail: mgrestiakova@deloittece.com Lenka Novotná Koncipient, Associate Tel: +421 918 677 608 E-mail: lnovotna@deloittece.com 2017 Pre viac informácií kontaktuje Deloitte Legal s.r.o., advokátska kancelária. 20
Deloitte označuje jednu, resp. viacero spoločností Deloitte Touche Tohmatsu Limited, britskej súkromnej spoločnosti s ručením obmedzeným zárukou (UK private company limited by guarantee), a jej členských firiem. Každá z týchto firiem predstavuje samostatný a nezávislý právny subjekt. Podrobný opis právnej štruktúry združenia Deloitte Touche Tohmatsu Limited a jeho členských firiem sa uvádza na adrese www.deloitte.com/sk-onas. Spoločnosť Deloitte poskytuje služby v oblasti auditu, daní, práva, podnikového a transakčného poradenstva klientom v mnohých odvetviach verejného a súkromného sektora. Vďaka globálne prepojenej sieti členských firiem vo viac ako 150 krajinách má Deloitte svetové možnosti a dôkladnú znalosť miestneho prostredia, a tak môže pomáhať svojim klientom dosahovať úspechy na všetkých miestach ich pôsobnosti. Približne 244 000 odborníkov spoločnosti Deloitte sa usiluje konať tak, aby vytvárali hodnoty, na ktorých záleží. 2017 Deloitte na Slovensku