Firemní informační systémy 2017,

1. Změny v ochraně osobních
údajů v souvislosti s novým
nařízením GDPR
Mgr. Kristýna Delmar
Praha, květen 2017

2. Přehled přednášky
• OSOBNÍ ÚDAJE
• POVINNOSTI SPRÁVCE A ZPRACOVATELE
• POVĚŘENEC PRO OCHRANU OSOBNÍCH
ÚDAJŮ
• VHODNÝ POSTUP PRO PŘÍPRAVU NA
ÚČINNOST

3. CHRÁNĚNÉ OSOBNÍ
ÚDAJE

4. Definice dle zákona o ochraně
osobních údajů
•Osobní údaj
•Citlivý osobní údaj
4

5. Definice Směrnice 95/46/ES
Osobní údaj = Veškeré informace o
identifikované nebo identifikovatelné osobě
(subjekt údajů)
5

6. GDPR definice
Osobní údaj = Veškeré informace o
identifikované nebo identifikovatelné fyzické
osobě (dále jen „subjekt údajů“);
6

7. Příklady osobních údajů
• Obecné
• Zvláštní
• *Genetické údaje:
• *Biometrické údaje:
7

8. Údaje nepožívající ochranu při
zpracování
• Právnické osoby
• Anonymizované údaje – pozor na
pseudonymizované údaje
• Osobní údaje zemřelých osob
• Údaje získané v rámci činnosti čistě osobní
povahy, které nemají obchodní či institucionální
charakter.
8

9. Správce/zpracovatel osobních
údajů
„Správcem“ se rozumí fyzická nebo právnická osoba, orgán
veřejné moci, agentura nebo jiný subjekt, který sám nebo
společně s jinými určuje účely a prostředky zpracování
osobních údajů; jsou-li účely a prostředky tohoto zpracování
určeny právem Unie či členského státu, může toto právo určit
dotčeného správce nebo zvláštní kritéria pro jeho určení
„Zpracovatelem“ se rozumí fyzická nebo právnická osoba,
orgán veřejné moci, agentura nebo jiný subjekt, který
zpracovává osobní údaje pro správce
9

10. Povinnosti správce a
zpracovatele
dle GDPR

11. • Oznamovací povinnost bude zrušena a nahrazena
povinností provést tzv. posouzení dopadu na ochranu
osobních údajů.
• Povinnost oznámit dozorovému orgánu k posouzení
neboli k předběžné konzultaci.
• Povinnost vést záznamy o všech zpracováních, za
která nesou odpovědnost.
• Povinnost ohlašování případů narušení bezpečnosti
osobních údajů (tzv. data breaches).
11
Povinnosti správce

12. • Pověřenec pro ochranu osobních údajů
• Povinnost důkladně informovat subjekt osobních údajů
(OÚ) o způsobu zpracovávání osobních údajů – důraz
na souhlas subjektu
• Právo přenositelnosti
• Právo být zapomenut
• Právo být informován o zneužití os. údajů
12
Povinnosti správce

13. Povinnosti zpracovatele
13
• Splnit stejné nároky na ochranu osobních údajů jako
správce
• Mít se správcem uzavřenou smlouvu
• Zpracovávat OÚ pouze dle pokynů správce
• Technická a organizační opatření
• Vést záznamy o zpracování osobních údajů
• Spolupracovat s dozorovým úřadem
• Zákaz pověřování dalších zpracovatelů bez souhlasu
správce
• Informování o změnách a právo na námitky

14. Práva subjektů OÚ
• Právo na přístup
• Právo na opravu
• Právo na přenositelnost údajů („portabilita“)
• Právo vznést námitku
• Právo na omezení zpracování
• Právo na výmaz (právo „být zapomenut“)
• Omezení práv a povinností
14

15. POVĚŘENEC PRO
OCHRANU
OSOBNÍCH ÚDAJŮ
DATA PROTECTION OFFICER

16. Pověřenec
• Nezávislý garant správného nakládání
s osobními údaji
• Forma spolupráce
• Odpovědnost pověřence
16

17. KDO MUSÍ POVĚŘENCE MÍT?
• Orgán veřejné moci
• Hlavní činnosti jsou operace vyžadující rozsáhlé
pravidelné a systematické monitorování osob.
• Hlavní činnosti spočívají v rozsáhlém zpracování
zvláštních kategorií údajů,
• Ostatní pověřence mít mohou.
17

18. Hlavní činnost vs. Podpůrná činnost
• Související se
základními
obchodními a
provozními činnostmi
• Neodmyslitelná
součást činnosti
správce/zpracovatele
• Zpracování zdravotních
údajů pacientů v
nemocnicích
• Činnosti podpůrného
charakteru zajišťující
samotný chod
organizace a přímo
nesouvisející s činností
hlavní
• Vedení evidence za
účelem vyplácení mezd
18

19. Pravidelné a systematické
monitorování osob
• Pravidelnost
• Systematičnost
• Příklady:
• provozování telekomunikačních sítí,
• poskytování telekomunikačních služeb, atd.
19

20. ÚKOLY POVĚŘENCE
• Sleduje soulad
• Školí
• Organizuje interní audity
20

21. Kdo je pověřenec?
• Na základě jaké smlouvy?
• Zaměstnanec
• Subdodavatel
• Komu odpovídá?
• Zvláštní ochrana pověřence
21

22. Co musí pověřenec umět?
• Profesní kvality
• Požadavek minimálního vzdělání?
• Další vhodné znalosti
22

23. Zpracování osobních
údajů

24. Účel zpracování a omezení
• Omezení účelem – stanoven před zpracováním
• Další zpracování (za jiným účelem, než za jakým
byla data shromážděna) - při slučitelnosti
• Automaticky slučitelný účel:
• Vědeckého či historického výzkumu nebo
pro statistické účely
• Archivace ve veřejném zájmu
24

25. Souhlas se zpracováním
• Je titulem pro zpracování osobních údajů
• GDPR upravuje definici a je obtížnější jej získat
pravená definice:
• svobodný, výslovný, vědomý a
jednoznačný projev vůle, daný
prostřednictvím prohlášení, nebo jasnou
souhlasnou akcí (affirmative action)
• Souhlas nelze udělit mlčky, konkludentně
25

26. Jiné důvody pro zpracování OÚ
kromě souhlasu
•Plnění smlouvy
•Splnění právní povinnosti,
•Ochrana životně důležitých zájmů SÚ,
•Veřejný zájem, výkon veřejné moci,
•Oprávněný zájem *
•Členské státy mohou tyto právní důvody specifikovat
právním předpisem
26

27. Zpracování citlivých údajů
• Obecně zákaz zpracování
• Právní důvody:
a) výslovný souhlas subjektu údajů
b) plnění povinností v oblasti pracovního práva a práva v
oblasti sociálního zabezpečení a sociální ochrany, pokud je
to dáno právem Unie či členského státu
c) ochrana životně důležitých zájmů subjektu údajů
d) zpracování se týká osobních údajů zjevně zveřejněných
subjektem údajů;
e) zpracování je nezbytné pro určení, výkon nebo obhajobu
právních nároků nebo pokud soudy jednají v rámci
svých soudních pravomocí;
27

28. Zpracování citlivých údajů
• Právní důvody:
f) zpracování je nezbytné z důvodu významného veřejného
zájmu na základě práva Unie nebo členského státu
g) zpracování je nezbytné pro účely preventivního nebo
pracovního lékařství,
h) zpracování je nezbytné z důvodů veřejného zájmu v
oblasti veřejného zdraví
i) zpracování je nezbytné pro účely archivace ve veřejném
zájmu, pro účely vědeckého či historického výzkumu
nebo pro statistické účely v souladu s čl. 89 odst. 1 GDPR.
28

29. JAK SE PŘIPRAVIT…
…na GDPR

30. • Audit stávající práce s osobními údaji
• Vytvoření nebo aktualizace interních procesů a
předpisů
• Nastavení zabezpečení práce se stávajícími
údaji
• Technické řešení
• Revize dokumentace
• Revize vztahů s externími zpracovateli
30

31. Vynucování a sankce
• Velké množství pravomocí dozorových
úřadů
• Sankce:
• Současný stav = max. 10 mil. Kč
• GDPR = Výrazné zpřísnění sankcí – až do
20 mil. EUR nebo 4 % celosvětového
ročního obratu
31

32. www.fbadvokati.cz
kristyna.delmar@fbadvokati.cz
Mgr. Kristýna Delmar,
právnička a vedoucí sekce inovací