GDPR – nové pravidlá o ochrane osobných údajov

Prezentace na téma: "GDPR – nové pravidlá o ochrane osobných údajov"— Transkript prezentace:

1 GDPR – nové pravidlá o ochrane osobných údajov
Nezávislý inštitút ochrany súkromia GDPR – nové pravidlá o ochrane osobných údajov Zuzana Valková výkonná riaditeľka 9. november 2017, Okrúhly stôl SAEC, hotel APOLLO, Bratislava

2 Zmeny sa začnú uplatňovať už o 6 mesiacov: v hlavnej úlohe GDPR
GDPR: zoznámte sa Osobné údaje sú kľúčom do súkromia človeka, ale aj cenným aktívom nielen štátu, ale aj podnikateľského sektora Hodnota osobných údajov ... sa za uplynulých pár rokov rapídne zvýšila Zmeny sa začnú uplatňovať už o 6 mesiacov: v hlavnej úlohe GDPR Ciele GDPR rovnaká úprava a priama uplatniteľnosť vo všetkých členských štátoch EÚ, vymožiteľnosť nové výzvy a požiadavky, vývoj informačných a komunikačných technológií technologická neutralita a záruka ochrany v budúcnosti Nezávislý inštitút ochrany súkromia

3 Všeobecný pohľad na GDPR
všeobecná povaha nariadenia jednotná úprava vo všetkých členských štátoch EÚ, miera flexibility v rozsahu stanovenom GDPR záväznosť a prednosť pred zákonom priama uplatniteľnosť, vo všeobecnosti nie je potrebné preberať ustanovenia GDPR do národného zákona ... nový zákon o ochrane osobných údajov je však potrebný Rozsiahla úprava GDPR: 11 kapitol a 99 článkov Platnosť a účinnosť GDPR: už od mája 2016 Delegované akty podľa GDPR majú legislatívnu funkciu môžu buď dopĺňať alebo meniť existujúce právne predpisy alebo zosúlaďovať určité nepodstatné prvky legislatívneho aktu s najnovšími vedeckými poznatkami alebo s vývojom na trhu GDPR predpokladá 2 delegované akty Nezávislý inštitút ochrany súkromia

4 Uplatniteľnosť GDPR: od 25. mája 2018
Implementačné akty podľa GDPR vykonávacie predpisy / vykonávanie právnych predpisov opatrenia, ktorými zabezpečuje jednotné uplatňovanie právnych aktov EÚ v celej EÚ GDPR predpokladá 7 implementačných aktov Malé a stredné podniky nariadenie vyžaduje zohľadnenie osobitných potrieb mikro, malých a stredných podnikov (drobné) kompromisy pri plnení povinností Každá spoločnosť (vrátane štátneho sektora) bude musieť porozumieť svojej zodpovednosti na dosiahnutie súladu s GDPR finančný dopad pokút môže byť motivujúci alebo skôr nátlakový? Dôvera je kľúčom k úspechu, spokojnosti a získavaniu si klientov Uplatniteľnosť GDPR: od 25. mája 2018 Nezávislý inštitút ochrany súkromia

5 Dôležité zmeny podľa GDPR
Pôsobnosť (dosah) GDPR dodržovanie pravidiel mimo členských štátov Základné pojmy osobné údaje a osobitná kategória osobných údajov účel vs. informačný systém osobných údajov právny základ a zákonnosť spracúvania zlučiteľnosť účelov, použitie údajov na ďalšie spracúvanie za stanovených podmienok doplnenie nových pojmov Fotografia ako osobitná kategória osobných údajov ... áno či nie? zmena v prospech prevádzkovateľov Nezávislý inštitút ochrany súkromia

6 Bezpečnosť nadovšetko a prísnejšia zodpovednosť
Súhlas dotknutej osoby a požiadavky na jeho platnosť „unambiguous“ (jednoznačný) súhlas vs. „explicit“ (výslovný) súhlas forma súhlasu nie je rozhodujúca požiadavka na osobitné vyjadrenie súhlasu vopred označené políčko súhlasu je porušením GDPR súhlas dieťaťa v súvislosti so službami informačnej spoločnosti Marketingové aktivity priamy marketing, ako oprávnený záujem prevádzkovateľa prečo nie? ale bude to aj také jednoduché ...? zmena e-privacy smernice (zákona o elektronických komunikáciách), pripravuje sa nové európske nariadenie Bezpečnosť nadovšetko a prísnejšia zodpovednosť ochrana by design a by default dôraz na prvky ochrany, ako pseudonymizácia a šifrovanie živý cyklus, nielen jednorazová záležitosť vysoké sankcie Nezávislý inštitút ochrany súkromia

7 Posilnenie práv dotknutých osôb
nové práva: najmä právo na prenosnosť, likvidácia osobných údajov a právo na výmaz (právo byť zabudnutý) precizovanie existujúcich práv vymožiteľnosť Vzťah prevádzkovateľ - sprostredkovateľ zmluva alebo iný právny akt zmena náležitosti zmluvy (iné právneho aktu) oproti terajšej úprave písomná povaha vzájomného vzťahu, vrátane elektronickej podoby pomoc prevádzkovateľovi zabezpečiť plnenie povinností a pri výkone práv dotknutých osôb audit / kontrola zo strany prevádzkovateľa Záznamy o spracovateľských činnostiach Posúdenie vplyvu na ochranu osobných údajov, predchádzajúca konzultácia Nezávislý inštitút ochrany súkromia

8 Oznámenie porušenia ochrany (bezpečnosti) osobných údajov
úradu na ochranu osobných údajov dotknutej osobe Zodpovedná osoba povinnosť mať zodpovednú osobu pri vybraných spracovateľských činnostiach odbornosť zodpovednej osoby vs. skúška podľa zákona č. 122/2013 Z. z. posilnenie postavenia zodpovednej osoby a podpora zo strany prevádzkovateľa / sprostredkovateľa náklady na plnenie úloh zodpovednej osoby náklady na udržiavanie odborných znalostí zodpovednej osoby externá osoba na základe zmluvy o poskytovaní služieb kontakt s dotknutými osobami Ďalšie pravidlá podľa GDPR na báze dobrovoľnosti certifikácia kódexy správania Nezávislý inštitút ochrany súkromia

9 Prehľad povinností dnes a zajtra
Súlad s legislatívou súlad so zákonom č. 122/2013 Z. z. už dnes súlad s GDPR od 25.mája 2018 Prevádzkovateľ môže spracúvať osobné údaje na viaceré účely, v závislosti od predmetu činnosti a pôsobnosti osobitných zákonov Zodpovednosť a jej preukázateľnosť nastavenie procesov a postupov / opatrenia na spracúvanie osobných údajov v súlade s legislatívou dokumentácia ochrany osobných údajov Všeobecný prehlaď povinností dnes a zajtra Nezávislý inštitút ochrany súkromia

10 ✓ / zmeny: zákonnosť spracúvania
Dnes GDPR Interne Vymedziť účel a podmienky spracúvania ✓ Dodržiavať zásady spracúvania ✓/ rozšírenie zásad Právny základ ✓ / zmeny: zákonnosť spracúvania Osobné údaje a osobitná kategória ✓ / zmeny: rozsah Poučenie a záznam o poučení oprávnenej osoby ✓ / zmeny Zodpovedná osoba Pravidlá cezhraničného prenosu ✓/ zmeny Bezpečnosť a dokumentácia Zodpovednosť x Záznamy o spracovateľských činnostiach Oznámenie porušenia ochrany osobných údajov Posúdenie vplyvu na ochranu osobných údajov Ďalšie čiastkové zmeny zmeny Nezávislý inštitút ochrany súkromia

11 Dnes GDPR K dotknutým osobám
Informačná povinnosť ✓/ zmeny Súhlas ✓/ zmeny: dve kvality súhlasov (jednoznačný a výslovný) Právo na potvrdenie spracúvania ✓ Právo na informácie ✓ / zmeny Právo na informácie o zdroji Právo na odpis osobných údajov Právo na opravu osobných údajov Právo na likvidáciu osobných údajov ✓ / zmeny: právo byť zabudnutý Právo na blokovanie osobných údajov x Právo namietať voči spracúvaniu Právo namietať automatizované rozhodovanie Právo na obmedzenie Právo na prenosnosť Oznámenie porušenia ochrany osobných údajov Zodpovednosť na škodu Nezávislý inštitút ochrany súkromia

12 K sprostredkovateľovi
Dnes GDPR K sprostredkovateľovi Dbať na odbornú, technickú, organizačnú a personálnu spôsobilosť sprostredkovateľa ✓ Zmluva, náležitosti zmluvy a viazanosť ✓/ zmeny Súhlas so subdodávateľom Právo preniesť na sprostredkovateľa plnenie povinností x Prenesenie zodpovednosti v rozsahu zmluvy ✓ / zmeny Priame zapojenie sprostredkovateľa – pomoc pri plnení úloh Výkon auditu / kontroly u sprostredkovateľa Štandardné zmluvné doložky Zodpovednosť na škodu Nezávislý inštitút ochrany súkromia

13 ✓ (úprava priamo v GDPR)
Dnes GDPR K úradu Evidencia IS x Oznamovacia povinnosť IS Osobitná registrácia IS Skúška zodpovednej osoby Oznámenie o poverí zodpovednej osoby ✓ Oznámenie o obmedzení práv dotknutej osoby Záväzné vnútropodnikové pravidlá ✓ (úprava priamo v GDPR) Súčinnosť pri výkone dozoru úradom Spolupráca s dozorným orgánom pri výkone jeho úloh / kompetencií Oznámenie porušenia ochrany osobných údajov Predchádzajúca konzultácia pri posúdení vplyvu Kódexy správania Certifikácia / certifikačný subjekt Nezávislý inštitút ochrany súkromia

14 Prínosy a dopady Prínosy vo všeobecnej rovine
zjednotenie pravidiel v oblasti ochrany osobných údajov v členských štátoch EÚ posilnenie rozmeru vnútorného trhu technologická neutralita, priestor realizácie a vývoja Prínosy pre prevádzkovateľov zníženie náročnosti pri podnikaní v členských štátoch v dôsledku zjednotenia pravidiel možnosť inšpirovať sa v iných členských krajinách spôsob získania dôvery Prínosy pre dotknuté osoby, prínosy pre dozorné orgány Nezávislý inštitút ochrany súkromia

15 Posúdenie rozsahu dopadov na spoločnosť
zoznámenie sa s GDPR → analýza → kalkulácia dopadov / nákladov Časová náročnosť začať sa oboznamovať a pripravovať na nové pravidlá je potrebné už dnes Personálna a odborná náročnosť nové povinnosti a pravidlá, zmeny zodpovedná osoba vzdelávanie / školenia Administratívna náročnosť ... nové / zmenené postupy, nová / zmenená dokumentácia a implementácia do praxe Zmena stratégie a prístupu Nezávislý inštitút ochrany súkromia

16 Nezávislý inštitút ochrany súkromia
Finančná náročnosť dôvod, prečo sa začať oboznamovať s GDPR a identifikovať kroky a náklady na prechod na nové pravidlá, priebežná príprava Dopady na IT systémy funkcionality a nastavenia ... alebo akým spôsobom je uchovávaný dôkaz o súhlase alebo jeho odmietnutí? je riešená žiadosť o výmaz / likvidáciu osobných údajov z informačných systémov osobných údajov? sú systémy koncipované tak, aby „pasovali“ na účely v prípadoch porušenia ochrany? iné kompatibilita systémov medzi prevádzkovateľom a sprostredkovateľom prenosnosť údajov Vysoké pokuty diferenciácia podľa porušenia: 10mil eur / 2% alebo 20mil eur / 4% celkového svetového ročného obratu obligatórnosť uloženia podľa GDPR fakultatívnosť uloženia podľa návrhu nového zákona o ochrane osobných údajov Nezávislý inštitút ochrany súkromia

17 Hodnota za osobné údaje začiatok uplatňovania: 25. máj 2018
GDPR predstavuje príležitosť rozvoj biznisu, vývoj systémov nové pracovné miesta získanie dôvery a nových klientov ale prináša aj záťaž Individuálne posúdenie vlastnej agendy, dopadov a príprava na prechod na GDPR kedy sa začať pripravovať? prečo sa začať pripravovať? ako sa pripraviť? začiatok uplatňovania: 25. máj 2018 Nezávislý inštitút ochrany súkromia

18 Key points na záver Všeobecná zodpovednosť každého prevádzkovateľa, zodpovednosť sprostredkovateľa Hranice rozsahu zodpovednosti je možné posúvať za splnenia podmienok stanovených GDPR Individuálne posúdenie vlastnej agendy a dopadov, súlad so zákonom č. 122/2013 Z. z. Príprava na prechod na GDPR, ktorý je potrebné datovať na 25.mája 2018 príprava je potrebná už dnes už plynie prechodné obdobie na zabezpečenie súladu s GDPR Potreba výkladových stanovísk / usmernení / odporúčaní Nevyhnutnosť vzdelávania / školení a konzultácií Nezávislý inštitút ochrany súkromia

19 Ďakujem za pozornosť Kontakt: nios@nios.sk www.nios.sk
Nezávislý inštitút ochrany súkromia