SEMINÁŘ BEZPEČNOSTNÍ ZÁZNAMY A GDPR: ŠPATNÉ PŘÍKLADY IMPLEMENTACE GDPR Mgr. Ivana Tilkeridu Bc. Radek Kubíček, MBA Praha 6. 12. 2017
CO JSOU TO OSOBNÍ ÚDAJE? Adresa E-mailová adresa Otisk prstu Elektronický vodoměr a měřič spotřeby tepla IP adresa Členství v odborové organizaci Trestní bezúhonnost Profil na sociální síti Sexuální orientace
CO JSOU TO OSOBNÍ ÚDAJE? organizační obecné citlivé = zvláštní kategorie os. údajů OSOBNÍ ÚDAJE
STÁVAJÍCÍ PRINCIPY OCHRANY OS. ÚDAJŮ Zákon č. 101/2000 Sb. o ochraně osobních údajů souhlas se zpracováním os. údajů vyžadován prakticky téměř vždy i ve smlouvách a VOP souhlasy se zpracováním os. údajů jsou obvykle velmi vágní nebo nejednoznačné registrační povinnost správce os. údajů
ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ = jakákoliv operace nebo soubor operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to pomocí či bez pomoci automatizovaných postupů. zpracováním se rozumí zejména: shromažďování, zaznamenání, uspořádání, strukturování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, nahlédnutí, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, omezení, výmaz nebo likvidace
ANONYMIZACE x PSEUDONYMIZACE PSEUDONYMNÍ ÚDAJ = OSOBNÍ ÚDAJ Pseudonymizace spočívá v nahrazení některých identifikačních údajů jiným vhodným identifikátorem klíč je držet odděleně od osobních údajů ANONYMIZOVANÝ ÚDAJ OSOBNÍ ÚDAJ proces anonymizace je procesem nevratné ztráty vazby mezi informacemi a subjektem údajů jeho zpracování nepodléhá režimu anonymizovaná data mají velkou přidanou hodnotu pro statistické účely
ZÁKONNOST ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ Právní povinnost Smlouva Oprávněné zájmy správce či třetí strany Veřejný zájem Životně důležité zájmy subjektu dat Souhlas se zpracováním osobních údajů
ZÁKONNOST ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ PRÁVNÍ POVINNOST minimalizace údajů SMLOUVA plnění smlouvy jednání vedoucí k uzavření smlouvy (na žádost subjektu údajů)
ZÁKONNOST ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ OPRÁVNĚNÉ ZÁJMY SPRÁVCE ČI TŘETÍ STRANY je nutný balanční test omezení zpracování po dobu realizace balančního testu právo vznesení námitky ŽIVOTNĚ DŮLEŽITÉ ZÁJMY SUBJEKTU DAT ve výjimečném případě, pokud subjekt dat není ve stavu, kdy je schopen souhlas udělat
ZÁKONNOST ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ SOUHLAS SE ZPRACOVÁNÍM OSOBNÍCH ÚDAJŮ informovaný konkrétní jednoznačný svobodný jasně odlišitelný od jiných skutečností nutný POUZE v případě, že neexistuje jiný právní titul!!!
ZÁKONNOST ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ SOUHLAS SE ZPRACOVÁNÍM OSOBNÍCH ÚDAJŮ před udělením souhlasu by měl subjekt údajů obdržet informace podle čl. 13 a 14 GDPR doložení souhlasu: správce musí být schopen souhlas KDYKOLIV po dobu zpracování doložit (bez ohledu na formu udělení) zpětvzetí souhlasu: odvolat souhlas musí být stejně snadné jako jej poskytnout
SPRÁVCE A ZPRACOVATEL SPRÁVCE FO nebo PO, která určuje účel a způsoby zpracování nese plnou odpovědnost za zákonnost zpracování a soulad s GDPR musí být schopen soulad s GDPR doložit nese odpovědnost za škodu ve vztahu k subjektům dat ZPRACOVATEL FO nebo PO, který zpracovává data jménem správce a výhradně na jeho pokyn měl by správce upozornit na nezákonnost zpracování pracuje na základě písemné smlouvy řetězení zpracovatelů (subzpracovatelé) pouze s písemným souhlasem správce
SMLOUVA O ZPRACOVÁNÍ povinné náležitosti: předmět, doba trvání, povaha a účel zpracování, typ osobních údajů; závazek mlčenlivosti závazek řídit se pokyny správce povinnost zabezpečit osobní údaje (technická a organizační opatření) po skončení povinnost osobní údaje vrátit nebo vymazat (včetně všech kopií) seznam sub-zpracovatelů jako příloha smlouvy (stačí i kategorie)
CHYBY PŘI PRÁCI S OSOBNÍMI ÚDAJI podcenění nestrukturovaných dat a dat v listinné podobě
CHYBY PŘI PRÁCI S OSOBNÍMI ÚDAJI odemčené počítače v nepřítomnosti na pracovišti ponechání dokumentů s os. údaji bez dozoru CLEAR DESK POLICY
CHYBY PŘI PRÁCI S OSOBNÍMI ÚDAJI práce na nezabezpečených lokálních úložištích neprověřené datové nosiče, otevřené porty využívání nezabezpečených komunikačních kanálů
CHYBY PŘI PRÁCI S OSOBNÍMI ÚDAJI nesprávná archivace a likvidace dokumentů
CHYBY PŘI PRÁCI S OSOBNÍMI ÚDAJI nesprávná archivace a likvidace dokumentů
CHYBY PŘI PRÁCI S OSOBNÍMI ÚDAJI neznalost/ neuvědomění si rizik
ANALÝZA RIZIK A OHLAŠOVACÍ POVINNOST Analýza rizik bez rizika nízké riziko riziko není povinnost hlásit subjektu dat ani ÚOOÚ povinnosti hlásit pouze ÚOOÚ do 72 hodin vysoké riziko povinnost hlásit ÚOOÚ nutné kontaktovat také subjekty údajů
PŘÍKLADY Pracovní smlouva minimalizace údajů, souhlas
PŘÍKLADY Kamerový systém jedná se o oprávněný zájem správce nebo je nutný souhlas?
PŘÍKLADY
Zápisní list žáka - ZŠ PŘÍKLADY
PŘÍKLADY
PŘÍKLADY
PŘÍKLADY
DĚKUJEME ZA POZORNOST Bc. Radek Kubíček, MBA 775 110 979 radek.kubicek@2kconsulting.cz Mgr. Ivana Tilkeridu 732 150 795 ivana.tilkeridu@2kconsulting.cz