GPDR, General Data Protection Regulation

Transkript

1 GPDR, General Data Protection Regulation PV 017 Rzen informacn bezpecnosti Jan Staudek Ð Û Å«Æ ±²³ µ ¹º»¼½¾ Ý Verze : podzim 2018

2 Obecn e narzen o ochran e osobnch udaj u, OU NA RIZENI EVROPSK EHO PARLAMENTU A RADY (EU) 2016/679 ze dne 27. dubna 2016 o ochrane fyzick ych osob v souvislosti se zpracov anm osobnch udaj u a o voln em pohybu techto udaj u Plat pro organizace p usobc v v EU vc. pro organizace extern v uci EU, pokud vykon avaj cinnost v EU v pln em znen plat pro organizace s vce nez 250 zamestnanci, mens organizace maj radu v yjimek Nevztahuje na zpracov an OU fyzickou osobou v r amci cinnosti cist e osobn povahy nebo cinnosti prov ad en e v yhradne v dom acnosti, a tedy bez jak ekoliv souvislosti s profesn nebo obchodn cinnost. Nevztahuje na OU zesnul ych osob Jan Staudek, FI MU Brno PV017, GPDR 1

3 B azov e pojmy a denice osobn udaje, personal data, OU vesker e informace o identikovan e nebo identikovateln e fyzick e osob e (subjektu udaj u), kter e lze pouzt pro identikaci subjektu udaj u Identikovateln a fyzick a osoba je osoba, kter a m uze b yt identikov ana prmo nebo neprmo, zejm ena odkazem na identik ator, jako je jm eno, identikacn cslo, udaje o poloze, on-line identik ator nebo jeden nebo vce faktor u specick ych pro fyzick e, fyziologick e, genetick e, ment aln, ekonomick e, kulturn nebo soci aln totoznosti t eto fyzick e osoby jm eno, identikacn cslo, lokacn udaje, st'ov y identik ator nebo jeden ci vce zvl astnch prvk u fyzick e, fyziologick e, genetick e, psychick e, ekonomick e, kulturn nebo spolecensk e identity subjektu na form atu nez alez (fotograe, text,... ) Za urcit ych okolnost jsou OU i adresa IP, barva vlas u, pracovn nebo politick e n azory Jan Staudek, FI MU Brno PV017, GPDR 2

4 B azov e pojmy a denice Za urcit ych okolnost...???,,radn" nen OU,,zrzek" nen OU,,Tisnov" nen OU,,zrzek" z,,tisnova" asi nebudou OU,,zrzek" a,,radn" z,,tisnova" uz OU mozn a mohou b yt zpracov an, processing jak akoliv operace nebo soubor operac s OU nebo soubory OU kter y je prov aden pomoc ci bez pomoci automatizovan ych postup u shrom azd en, zaznamen an, uspor ad an, strukturov an, ulozen, prizp usoben nebo pozm en en, vyhled an, nahl ednut, pouzit, zprstupn en prenosem, sren nebo jak ekoliv jin e zprstupn en, serazen ci zkombinov an, omezen, v ymaz nebo znicen Jan Staudek, FI MU Brno PV017, GPDR 3

5 B azov e pojmy a denice prolov an, profiling jak akoli forma automatizovan eho zpracov an OU spocvajc v jejich pouzit k hodnocen n ekter ych osobnch aspekt u vztahujcch se k fyzick e osobe, zejm ena k rozboru nebo odhadu aspekt u t ykajcch se jejho pracovnho v ykonu, ekonomick e situace, zdravotnho stavu, osobnch preferenc, z ajm u, spolehlivosti, chov an, msta, kde se nach az, nebo pohybu subjekt mus b yt o kazd em prolovacm procesu nad jeho daty drve, nez d a k nemu souhlas pseudonymizace, pseudonymisation zpracov an OU tak, ze jiz nemohou b yt prirazeny konkr etnmu subjektu udaj u bez pouzit dodatecn ych informac, pokud jsou tyto dodatecn e informace uchov av any oddelene a vztahuj se na n e technick a a organizacn opatren, aby bylo zajist eno, ze nebudou prirazeny identikovan e ci identikovateln e fyzick e osob e Jan Staudek, FI MU Brno PV017, GPDR 4

6 B azov e pojmy a denice spr avce, controller fyzick a nebo pr avnick a osoba, org an verejn e moci, agentura nebo jin y subjekt, kter y s am nebo spolecne s jin ymi urcuje ucely a prostredky zpracov an OU spr avce m uze mt (vzdy smluvne v azan ych) vce zpracovatel u spr avce zav ad vhodn a technick a a organizacn opatren, aby zajistil a byl schopen dolozit, ze zpracov an je prov adeno v souladu s GPDR zpracovatel, processor fyzick a nebo pr avnick a osoba, org an verejn e moci, agentura nebo jin y subjekt, kter y zpracov av a OU pro spr avce Jan Staudek, FI MU Brno PV017, GPDR 5

7 B azov e pojmy a denice souhlas, consent jak ykoli svobodn y, konkr etn, informovan y a jednoznacn y projev v ule, kter ym subjekt udaj u d av a prohl asenm ci jin ym zjevn ym potvrzenm sv e svolen ke zpracov an sv ych OU Mlcen, predem zaskrtnut a polcka nebo necinnost nemohou b yt povazov any za souhlas Subjekt udaj u m a pr avo sv uj souhlas kdykoli odvolat. Odvol anm souhlasu nen dotcena z akonnost zpracov an vych azejcho ze souhlasu, kter y byl d an pred jeho odvol anm. porusen zabezpecen OU, personal data breach porusen zabezpecen, kter e vede k n ahodn emu nebo protipr avnmu znicen, ztr ate, zmene nebo neopr avnen emu poskytnut nebo zprstupn en pren asen ych, ulozen ych nebo jinak zpracov avan ych OU Jan Staudek, FI MU Brno PV017, GPDR 6

8 B azov e pojmy a denice zvl astn kategorie OU { Zakazuje se jejich zpracov an vypovdaj o rasov em ci etnick em p uvodu, politick ych n azorech, n abozensk em vyzn an ci lozock em presv edcen nebo clenstv v odborech, a zpracov an genetick ych udaj u, biometrick ych udaj u za ucelem jedinecn e identikace fyzick e osoby a udaj u o zdravotnm stavu ci o sexu alnm zivote nebo sexu aln orientaci fyzick e osoby V yjimky: subjekt udaj u udelil v yslovn y souhlas, zpracov an je nezbytn e pro ucely plnen povinnost a v ykon zvl astnch pr av spr avce nebo subjektu, zpracov an prov ad v r amci sv ych opr avnen ych cinnost, zpracov an je nezbytn e pro urcen, v ykon nebo obhajobu pr avnch n arok u, zpracov an je nezbytn e z d uvod u verejn eho z ajmu v oblasti verejn eho zdrav,... Jan Staudek, FI MU Brno PV017, GPDR 7

9 B azov e pojmy a denice evidence, filing system jak ykoliv strukturovan y soubor OU prstupn ych podle zvl astnch krit eri, at' jiz je centralizovan y, decentralizovan y, nebo rozd elen y podle funkcnho ci zem episn eho hlediska generick y pojem pokr yvajc vsechny metody zach azen s os. udaji Jan Staudek, FI MU Brno PV017, GPDR 8

10 Z asady zpracov an osobnch udaj u { Osobn udaje mus b yt: zpracov av any korektne a z akonn ym a transparentnm zp usobem { z akonnost, korektnost a transparentnost shromazd'ov any pro urcit e, v yslovne vyj adren e a legitimn ucely { ucelov e omezen primeren e, relevantn a omezen e na nezbytn y rozsah ve vztahu k ucelu, pro kter y jsou zpracov av any { minimalizace udaj u presn e a v prpade potreby aktualizovan e { presnost ulozeny ve form e umoz nujc identikaci subjekt u udaj u po dobu ne dels, nez je nezbytn e pro ucely, pro kter e jsou zpracov av any { omezen ulozen zpracov av any zp usobem, kter y zajist n alezit e zabezpecen OU { odpov ednost Jan Staudek, FI MU Brno PV017, GPDR 9

11 Pr ava subjektu udaj u pr avo zskat od spr avce potvrzen, zda OU, kter e se ho t ykaj, jsou ci nejsou zpracov av any, a pokud je tomu tak, m a pr avo je zskat, a k tomu i ucely zpracov an, id prjemc u, info o dob e, po kterou budou OU ulozeny,... pr avo na to, aby spr avce bez zbytecn eho odkladu opravil nepresn e OU, kter e se ho t ykaj Pr avo na v ymaz (pr avo b yt zapomenut) neplat uz ucel, protipr avn zdroj,... ex. v yjimky { verejn y z ajem, obhajoba pr avnch n arok u,... pr avo zskat OU, kter e se ho t ykaj, jez poskytl spr avci, ve strukturovan em, b ezn e pouzvan em a strojov e citeln em form atu, a predat tyto udaje jin emu spr avci Jan Staudek, FI MU Brno PV017, GPDR 10

12 Pr ava subjektu udaj u pr avo neb yt predm etem z adn eho rozhodnut zalozen eho v yhradn e na automatizovan em zpracov an, vcetn e prolov an, kter e m a pro neho pr avn ucinky nebo se ho obdobn ym zp usobem v yznamne dot yk a... Pr avo na ochranu OU nen pr avem absolutnm; mus b yt posuzov ano v souvislosti se svou funkc ve spolecnosti a v souladu se z asadou proporcionality mus b yt v rovnov aze s dalsmi z akladnmi pr avy Jan Staudek, FI MU Brno PV017, GPDR 11

13 Spr avce / zpracovatel / dozorov y urad Spr avce vyuzv a pouze ty zpracovatele, kter poskytuj dostatecn e z aruky zaveden vhodn ych technick ych a organizacnch opatren Napr. potvrd urove n zajist en InfSec certik atem ISO Spr avce je odpov edn y za prohresky zpracovatele Jak ekoli porusen zabezpecen OU spr avce bez zbytecn eho odkladu a pokud mozno do 72 hodin od okamziku, kdy se o nem dozvedel, ohl as dozorov emu uradu Jan Staudek, FI MU Brno PV017, GPDR 12

14 D ulezit a dokumentace Dokumentace jak organizace vyhovuje GPDR Dokumentace jak organizace zabezpecuje evidenci OU politiky, ISMS,..., idealne certikac ISO/IEC Za kvalitu dokumentace spr avce i zpracovatele odpovd a spr avce Zvl ast e d ulezit e dokumenty V ycet shromazd'ovan ych a zpracov avan ych OU a deklarace ucelu zpracov an Souhlasy se zpracov av anm OU Z aznamy o cinnostech zpracov an OU Jan Staudek, FI MU Brno PV017, GPDR 13

15 Pov erenec pro ochranu osobnch udaj u Data Protection Officer, DPO Role DPO v organizaci se zav ad kdy zpracov an prov ad org an verejn e moci ci verejn y subjekt hlavn cinnosti spr avce nebo zpracovatele spocvaj v operacch zpracov an, kter e kv uli sv e povaze, sv emu rozsahu nebo sv ym ucel um vyzaduj rozs ahl e pravideln e a systematick e monitorov an subjekt u hlavn cinnosti spr avce nebo zpracovatele spocvaj v rozs ahl em zpracov an zvl astnch kategori OU DPO m uze b yt outsourcovan y, sdlen y vce organizacemi,... DPO rad, monitoruje, spolupracuje s dozorov ym org anem Jan Staudek, FI MU Brno PV017, GPDR 14

16 Posouzen vlivu na ochranu osobnch udaj u Data Protection Impact Assessment, DPIA Pokud je pravdepodobn e, ze urcit y druh zpracov an, zejm ena pri vyuzit nov ych technologi, bude s prihl ednutm k povaze, rozsahu, kontextu a ucel um zpracov an bude mt za n asledek vysok e riziko pro pr ava a svobody fyzick ych osob, provede spr avce pred zpracov anm posouzen vlivu zam yslen ych operac zpracov an na ochranu OU Pro DPIA dod av a posudek DPO Seznam druh u operac zpracov an, kter e podl ehaj pozadavku na posouzen vlivu na ochranu OU sestavuje a zverej nuje dozorov y urad Jan Staudek, FI MU Brno PV017, GPDR 15

17 Prklad: Cookies a GDPR Co to jsou cookies? textov e soubory generovan e webov ym serverem a ukl adan e v poctaci prostrednictvm prohlzece ucel: identikace uzivatele, autentizace, charakteristiky uzivatele, relace,... GDPR, cl anek 30 Fyzick ym osob am mohou b yt prirazeny st'ov e identik atory, kter e vyuzvaj jejich zarzen, aplikace, n astroje a protokoly, jako naprklad adresy internetov eho protokolu ci identik atory cookies, nebo jin e identik atory, jako jsou sttky pro identikaci na z aklade r adiov e frekvence. Tmto zp usobem mohou b yt zanech any stopy, kter e mohou b yt zejm ena v kombinaci s jedinecn ymi identik atory a dalsmi informacemi, kter e servery zsk avaj, pouzity k prolov an fyzick ych osob a k jejich identikaci. Jan Staudek, FI MU Brno PV017, GPDR 16

18 Prklad: Cookies a GDPR Kdyz cookies mohou identikovat jednotlivce pres jejich zarzen, povazuj se za osobn udaje Ne kazd e cookie je identikacn! Probl emy s cookies z pohledu GDPR Implicitn souhlas s pouzv anm cookies nen dostatecn y, pouh e navstven str anky se nepovazuje za ud elen souhlasu Stejn e tak nen dostatecn ym souhlasem sd elen na str ance By using this site, you accept cookies Mus b yt stejne snadn e souhlas odvolat, jako jej d at, mus b yt poskytnut y mechanismus, jak se jednotlivec m uze vyv azat z nez adouc sluzby cookies (opt-out option) Jan Staudek, FI MU Brno PV017, GPDR 17