GDPR v sociálních službách - úvod do tématu Ing. Jaroslav Dolanský 1 1

GDPR Obecné nařízení o ochraně osobních údajů (Global Data Protection Regulation) č. 2016/679 Vstoupí v platnost 25. 5. 2018 (přijato bylo 26. 5. 2016) Je nadřazeno zákonu č. 101/2000Sb. O ochraně osobních údajů a nástupcem směrnice 95/46/ES Týká se všech, kteří zpracovávají osobní údaje Vlastně dochází k úplnému nahrazení stávajících zákonných předpisů na ochranu osobních údajů a v zákoně 101/2000 zůstává pouze definice a kompetence úřadu, jako dohledového a sankčního orgánu. Netýká se pouze fyzických osob, která údaje shromažďují pro svoji potřebu (např. seznam kontaktů), ale paradoxně už se týká firem, které jim k tomu poskytnou prostředky (např. google) 2

Co hrozí Při nedodržení nařízení hrozí zpracovateli: - Pokuty 1.000.000,- až max. 10.000.000,- Kč, lze je ale i prominout Žaloby fyzických osob Trestně právní odpovědnost právnických osob Reputační rizika, ztráta důvěry apod. pozor! – odpovědnost nese vždy statutární zástupce – (a může jí pouze částečně přenést dál dovnitř organizace, nebo na dodavatele) Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 3

Co jsou osobní údaje Osobní údaj je jakákoli informace o fyzické osobě, pokud lze tuto osobu kýmkoli identifikovat. Patří sem tedy např.: - jméno, pohlaví, věk, adresa - telefon, email, uživatelské jméno, cookies, IP adresa - fotografie, video, zvukový záznam - zvláštní osobní údaje: rasa, politické názory, náboženství, sexuální orientace, genetické a biometrické údaje a zdravotní stav Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 4

Jak pracovat s osobními údaji - se souhlasem subjektu, ve veřejném (tj. zákonem vyžadovaném), nebo oprávněném (tj. účelem vyžadovaném) zájmu - minimalizovat údaje a uložení - dodržovat transparentnost, tj. informovat o zpracování - aktualizovat údaje, opravovat je a včas mazat - zabezpečit je proti zneužití Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 5

Jak dodržet GDPR 5. Vyhodnocovat události a hlásit incidenty ÚOOÚ. 4. Stále zjišťovat funkčnost zavedeného systému a systém zlepšovat – auditní proces (accountabilita) 3. Zavést systém ochrany osobních údajů, dokumentovat a opakovaně ho kontrolovat (případně jmenovat DPO - Pověřence). 2. Vědět kde osobní údaje jsou, kdo k nim přistupuje, co s nimi dělá a jaká rizika jim hrozí. 1. Vědět které údaje shromažďuji a proč (na jakém zákonném podkladě). Kdo nehlásí incidenty, ten je nerozpozná, tedy nemá zavedeno GDPR a je nezbytná jeho kontrola. Je to popsáno úmyslně pozpátku, protože ÚOOÚ od počátku říkalo, že zavedení směrnice nic neznamená. Opak je ale pravdou, protože hlavní povinnost hlásit a vyhodnocovat incidenty nutí všechny zpracovatele na sebe hlásit každé porušení směrnice a provést o tom i o řešení záznam. Abych mohl hlásit incident, musím vést dokumentaci a abych mohl vést dokumentaci musím vědět o čem a tím se nakonec dostávám k nutnosti zásadně měnit všechny svoje procesy ve společnosti. Největším problémem potom je, že neexistence hlášení je pro ÚOOÚ vlastně podezřelá, protože naznačuje, že směrnici nedodržuji a stávám se podezřelým. 6

Jak na to 1. Analýza dokumentace stávajícího zpracování (tzv. prohlídky) 2. Analýza rizik a nápravných opatření 3. Definice systému managementu ochrany osobních údajů 4. Tvorba řízené dokumentace 5. Zavedení GDPR do praxe Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 7

Fyzická prohlídka Nutné zhodnotit výskyt osobních údajů a soulad s GDPR v: dokumentaci poskytovatele dokumentaci klientů dokumentaci zaměstnanců dodavatelskoodběratelských vztazích obrazových a audiovizuálních materiálech prostorách, kde je vykonávána činnost poskytovatele ostatních dokumentech a záznamech Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 8 8

Elektronická prohlídka Prostřednictvím zaměstnanců a / nebo dodavatelů IS a / nebo správců posoudit výskyt osobních údajů a soulad s GDPR v: dokumentech v elektronické formě všech databázových strukturách (zde je nezbytné projít všechny aplikace a jejich funkce, stejně jako všechny virtuální prostory pro ukládání a archivaci dat) externích aplikacích, službách a úložištích Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 9 9

Příkladová prohlídka Jedná se o intuitivní formu procesní analýzy, která má za cíl doplnit a zkontrolovat výstupy získané v předchozích prohlídkách. Zároveň se jedná o nástroj umožňující zachytit reálné situace a problémy, především v případech, které nepracují s unifikovanými dokumenty. Principem je zkoumání modelových příkladů zkušenými praktiky. Výstup by teoreticky měl být shodný s fyzickou a elektronickou prohlídkou dohromady. Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 10 10

Příkladová prohlídka Sada zkoumaných příkladů by měla obsahovat všechny činnosti poskytovatele, tj. minimálně jeden příklad pro: každou poskytovanou službu komunikaci s třetími stranami (kraje, MPSV, ostatní úřady, ostatní poskytovatelé apod.) každou interní skupinu agend, nebo agendu (personalistika, účetnictví, dodavatelskoodběratelské vztahy, apod.) vnější prezentaci poskytovatele (www, marketing, propagaci apod.) Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 11 11

Management ochrany osobních dat Plánování Politika uchování a mazání dat Evidence událostí Ostatní řízená dokumentace Realizace Zpracování osobních údajů a záznamy o něm Kontrola Vliv činnosti zpracovatele na ochranu dat Změna Politika bezpečnosti informací a řízení rizik Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 12

DPO - pověřenec Fyzická osoba – externí spolupracovník, nebo zaměstnanec, který se nesmí podílet na zpracování osobních údajů Kontaktní osoba pro ÚOOÚ Vlastní auditor a kontrolor, ale bez pravomoci udělovat sankce DPO komunikuje jménem správce, nebo zpracovatele, ale nemá žádnou odpovědnost a ani ji na něj nelze přenést Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 13

Metodická podpora MPSV Doporučený postup MPSV (kodex chování) Vzory řízené dokumentace Školení metodiků KÚ a jejich podpora Kontaktní centrum Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 14

Největší problémy při zavedení GDPR Nedostatek lidských zdrojů Chybějící adaptační zákon Otázka DPO Oznamovací povinnost Certifikace poskytovatelů Nedostatek finančních zdrojů Zákon byl přijat jako nástroj ochrany spotřebitelů a zamezení šíření spamu, ale sankce jsou natolik astronomické, že má spíše likvidační charakter a dále omezuje možnosti podnikání. I nejmenší udělené sankce jsou pro neziskové organizacelikvidační. Poskytovatelé údajů mají navíc zaručeno právo na náhradu nehmotné újmy, kterou není možné dopředu odhadnout. Nelze zapomenout ani na možnou ztrátu klientů, případně vlastní licence. 15