Prezentace z konference Digidějovice 2018 Mgr. Jitka Kmošková

1. Co přinese
GDPR?
Jitka Kmošková
České Budějovice, únor 2018

2. Přehled přednášky
• Osobní údaje
• Povinnosti správce a zpracovatele
• Pověřenec pro ochranu osobních údajů
• Vybrané otázky se zaměřením na
marketing
• Vhodný postup přípravy na účinnost

3. 3
Marketéři Personalisté
Dodavatelé
software
Zákazníci
Kdo jste? Týká se Vás GDPR?

4. Chráněné
osobní
údaje

5. Definice
Osobní údaj
Zvláštní (citlivý) osobní údaj
5

6. 6

7. Údaje nepožívající ochranu při
zpracování
• Právnické osoby
• Anonymizované údaje – pozor na
pseudonymizované údaje
• Osobní údaje zemřelých osob
• Údaje získané v rámci činnosti čistě osobní
povahy, které nemají obchodní či institucionální
charakter.
7

8. Správce/zpracovatel osobních
údajů
Správce - určuje účely a prostředky zpracování osobních
údajů
Zpracovatel - zpracovává osobní údaje pro správce
Příjemce – může být správce, zpracovatel, ani jeden
8

9. Zpracování osobních
údajů

10. Účel zpracování a omezení účelem
• Musí být stanoven před zpracováním
• Další zpracování za jiným účelem, než za jakým
byla data shromážděna - pouze je-li slučitelný
1) Automaticky slučitelný účel:
• Vědecký či historický výzkum nebo pro
statistické účely
• Archivace ve veřejném zájmu
10

11. Tituly pro zpracování údajů
= zákonnost zpracování
• Splnění smlouvy
• Splnění právní povinnosti
• Ochrana životně důležitých zájmů
• Veřejný zájem nebo výkon veřejné moci
• Oprávněný zájem
• Souhlas subjektu údajů
11

12. Souhlas se zpracováním
• Je titulem pro zpracování osobních údajů
• GDPR upravuje definici a je obtížnější jej získat:
• svobodný, výslovný, vědomý a
jednoznačný projev vůle, daný
prostřednictvím prohlášení, nebo jasnou
souhlasnou akcí (affirmative action)
• Nadužívaný titul
12

13. Problematické souhlasy
Souhlas zaměstnance – pochybnost o
svobodnosti
Souhlas mlčky – nutnost prokázat souhlas
Souhlas dítěte se zasíláním obchodních sdělení
(např. newsletterů) – věková hranice 16 let (resp.
13 let dle návrhu zákona)
Name of presentation 13

14. Povinnosti správce a
zpracovatele
dle GDPR

15. Povinnosti správce
• Oznamovací povinnost - zrušena
• Posouzení dopadu na ochranu osobních údajů
• Předběžná konzultace s ÚOOÚ
• Povinnost vést záznamy o zpracováních
• Povinnost ohlašování a oznamování případů
narušení bezpečnosti osobních údajů (tzv. data
breaches)
15

16. Povinnosti správce
(a zpracovatele)
• Povinnost důkladně informovat subjekt osobních
údajů o způsobu zpracování osobních údajů
• Povinnost uzavřít smlouvu mezi správcem a
zpracovatelem
• Povinnost přijmout vhodná technická a organizační
opatření
• Pověřenec pro ochranu osobních údajů
16

17. Práva subjektů OÚ
• Právo na přístup
• Právo na opravu
• Právo na přenositelnost údajů („portabilita“)
• Právo vznést námitku
• Právo na omezení zpracování
• Právo na výmaz (právo „být zapomenut“)
• Právo nebýt předmětem automatizovaného
rozhodování
17

18. POVĚŘENEC PRO
OCHRANU
OSOBNÍCH ÚDAJŮ
DATA PROTECTION OFFICER
Pověřenec pro ochranu
osobních údajů
DATA PROTECTION OFFICER

19. Pověřenec
• Nezávislý garant správného nakládání s osobními
údaji a prostředník mezi správcem, veřejností a
ÚOOÚ
• Forma spolupráce?
• Komu odpovídá?
• Zvláštní ochrana pověřence
19

20. Kdo musí mít pověřence?
• Orgán veřejné moci
• Hlavní činnosti jsou operace vyžadující rozsáhlé
pravidelné a systematické monitorování osob
• Hlavní činnosti spočívají v rozsáhlém zpracování
zvláštních kategorií údajů
• Ostatní pověřence mít mohou
20

21. Hlavní činnost vs. Podpůrná činnost
21
Hlavní činnost Podpůrná činnost
• Související se základními
obchodními a provozními
činnostmi
• Činnosti podpůrného charakteru
zajišťující samotný chod organizace
a přímo nesouvisející s činností
hlavní
• Neodmyslitelná součást
činnosti správce/zpracovatele
• Zpracování údajů klientů firmy
• Vedení evidence za účelem vyplácení
mezd

22. Úkoly pověřence
• Sleduje soulad
• Školí
• Organizuje interní audity
• Komunikuje s ÚOOÚ a veřejností
22

23. Vybrané otázky
k GDPR

24. Obchodní sdělení
• Každý email propagující odesílatele (i přání)
• Režim opt-out – e-mailové adresy získané v
souvislosti s činností odesílatele
• Režim opt in – ostatní e-mailové adresy
* Nařízení e-privacy vs. GDPR
24

25. Obchodní sdělení – OPT OUT
• Souvislost s prodejem
• Obdobnost výrobku a služby
• Možnost odhlášení
25

26. Obchodní sdělení – OPT IN
• Jak může být poskytnut souhlas?
• Možnost odhlášení
• Doporučení: double opt in (odkaz v
potvrzovacím e-mailu)
• Nelze využívat zveřejněné e-mailové adresy
26

27. Nařízení e-privacy a přímý
marketing
• Ve fázi návrhu evropského nařízení
• Nadále možné využívat e-mailové adresy
získané v souvislosti „s prodejem výrobku a
služby“
• Kontakt však musí být získán v souladu s GDPR
27

28. Cookies
• GDPR nemění
• Nadále platí OPT IN
•
28

29. Fotografie zaměstnanců –
marketing a PR
• Se souhlasem
• Fotografie, z nichž je osoba identifikovatelná
• Bez souhlasu
• Fotografie zachycující průběh různých akcí
označené jen názvem akce a nikoli jmény
29

30. Vynucování a sankce
• Velké množství pravomocí dozorových
úřadů
• Sankce:
• Současný stav = max. 10 mil. Kč
• GDPR = Výrazné zpřísnění sankcí – až do
20 mil. EUR nebo 4 % celosvětového
ročního obratu
• Návrh zákona = limit 10 mil. Kč pro orgány
veřejné moci a veřejné subjekty
30

31. Odpovědnost
• Objektivní odpovědnost správce a
zpracovatele za újmu způsobenou
komukoliv porušením GDPR (čl. 82 GDPR)
• Odpovědnosti se lze zprostit, pokud správce
nebo zpracovatel prokáže, že nenese žádným
způsobem odpovědnost za událost, která ke
vzniku újmy vedla.
31

32. Jak se připravit…
…na GDPR

33. 1. REVIZE STÁVAJÍCÍHO STAVU
• Vytvoření seznamu a map procesů
zpracovávání osobních údajů
(např. agendy stávajících a bývalých
zaměstnanců, CRM, záznamy z kamerových
systémů atd.)
• Zmapování míst uložení osobních údajů a
jejich zabezpečení
(např. listiny, kartotéky, archivy, PC, software,
síť, cloud, e-mail atd.)
33

34. 2. ANALÝZA MEZER (GAP) A
ANALÝZA RIZIK, PLÁN OPATŘENÍ
• Posouzení, jak je organizace připravena plnit
povinnosti dle GDPR
• Rizika (Integrita, Důvěrnost, Dostupnost)
• Plán opatření
34

35. 3. IMPLEMENTACE POTŘEBNÝCH
OPATŘENÍ
Obvykle:
• Vnitřní předpisy
• Zásady zpracování osobních údajů
• Předávání informací
• Úprava smluv se zpracovateli
• Souhlasy
• Záznamy o zpracování
• Technická opatření
35

36. www.fbadvokati.cz
jitka.kmoskova@fbadvokati.cz
Jitka Kmošková
právnička