Primjena Uredbe o zaštiti osobnih podataka. Silvana Tomić Rotim

Transcription

1 Primjena Uredbe o zaštiti osobnih podataka Silvana Tomić Rotim

2 Zašto je bitna zaštita osobnih podataka? više mil. korisnika mil. korisnika mlrd. korisnika mil. korisnika

3 Rokovi za primjenu Uredbe 8. i 14. travnja Uredba je prihvaćena od strane Vijeća i Parlamenta 4. svibnja Uredba je stupila na snagu 20 dana nakon njenog objavljivanja u službenom vjesniku Europske unije Uredba se mora primjenjivati od 25. svibnja Primjenjuje se direktno bez potrebe za izradom nacionalnih zakona

4 Struktura Uredbe 173 recitala Daje temeljna načela o zaštiti pojedinaca u vezi s obradom njihovih osobnih podataka 99 članaka u 11 poglavlja Utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka Korisni linkovi:

5 Osnovni pojmovi osobni podaci - svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ispitanik - pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca

6 obrada - svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje

7 voditelj obrade - fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka izvršitelj obrade - fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade

8 "sustav pohrane" - svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi privola ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose

9 pseudonimizacija - obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama

10 predmetno nadzorno tijelo - nadzorno tijelo koje je povezano s obradom osobnih podataka jer: - voditelj ili izvršitelj obrade ima poslovni nastan na tom državnom području - obrada bitno utječe ili je izgledno da će bitno utjecati na ispitanike koji borave u državi članici tog nadzornog tijela - je podnesena pritužba tom nadzornom tijelu

11 Na koga se Uredba odnosi? Na sve ustanove, pravne i fizičke osobe koje imaju najmanje jednog zaposlenog ili nemaju ni jednog zaposlenog, ali imaju kupce, dobavljače ili obrađuju tuđe osobne podatke Na sve maloprodaje, supermarkete, web shopove, banke, kartičarske kuće, telekom operatere, zdravstvene ustanove, fondove, IT organizacije i sve subjekte koje na bilo koji način prikupljaju podatke svojih klijenata, kupaca i dobavljača

12 Glavne odlike Opće uredbe o zaštiti osobnih podataka

13 Subjekti obrade i njihova prava Pravo na informiranje o određenoj obradi i pravo na prigovor obradi ako za to ima dobar razlog, npr. profiliranje u svrhu izravnog marketinga Pravo na pristup i ispravak svojih podataka Blokiranje podataka čija točnost nije dokazana Pravo na ograničavanje obrade vlastitih podataka Pravo na brisanje ili pravo na zaborav Obavijest o svakom brisanju, mijenjanju ili blokiranju podataka prema trećoj strani kojoj su podaci otkriveni Pravo na prijenos podataka u strukturiranom obliku Pravo na naknadu štete

14 Izazovi za organizaciju - 1 Kako identificirati rizike sigurnosti osobnih podataka u svakodnevnom poslovanju - DPIA? Kako upravljati zahtjevima subjekata obrade i odgovoriti u prihvatljivom roku? Kako osigurati zahtjev jedna obrada jedna privola? Kako osigurati pravo na zaborav za sve subjekte obrade i čuvanje podataka samo onoliko koliko je potrebno? Kako osigurati pravo na pristup i ispravak osobnih podataka? Kako osigurati pravo na prijenos osobnih podataka?

15 Izazovi za organizaciju - 2 Kako implementirati privacy by design principe? Kako osigurati vođenje evidencije o svim obradama osobnih podataka? Kako osigurati prijavu sigurnosnog incidenta u prihvatljivom roku? Usklađen Kodeks ponašanja s jasno definiranim organizacijskim pravilima Službenik za zaštitu podataka (DPO)

16

17 Implementacija tehničkih i organizacijskih mjera Voditelji i izvršitelji su obavezni implementirati prikladna tehnička i organizacijska rješenja kako bi osigurali razinu sigurnosti prikladnu riziku: Pseudonimizacija i enkripcija Osiguravanje povjerljivosti, integriteta, dostupnosti i otpornosti za sisteme i procese obrade Privatnost ugrađena u svaki korak procesa od početnog razvoja novog IT projekta, programa, sustava ili kampanje do dizajna, razvoja, kvalitete i puštanja u pogon Sposobnost pravovremenog vraćanja dostupnosti i pristupa osobnim podacima u slučaju incidenta Redovno testiranje i procjenjivanje tehničkih i organizacijskih mjera dizajniranih za osiguravanje sigurnosti obrade podataka (npr. pen test)

18 Imenovanje DPO-a Značajno iskustvo u EU i globalnim zakonima privatnosti, uključujući izrade politika privatnosti, outsourcing ugovora i tehnoloških odredbi Značajno iskustvo u IT operacijama, uključujući posjedovanje certifikata informacijske sigurnosti i pečata privatnosti Značajno iskustvo u reviziji informacijskih sustava, certifikacijskim revizijama i smanjivanju rizika Interni ili eksternalizirani

19 Odgovornosti DPO-a Obavještavanje i savjetovanje voditelja ili izvršitelja obrade te zaposlenika koji obrađuju osobne podatke o njihovim obavezama iz Uredbe Nadziranje poštivanja Uredbe i internih politika te ostale regulative vezane uz zaštitu osobnih podataka Dodjela odgovornosti za zaštitu osobnih podataka zaposlenicima i trećim stranama uključenim u prikupljanje i obradu osobnih podataka Podizanje svijesti i edukacija iz područja zaštite osobnih podataka Ugrađivanje zaštite privatnosti u revizijske procese Savjetovanje kod provedbe procjena učinka na zaštitu podataka Suradnja s nadzornim tijelima Nadziranje procese upravljanje rizikom u obradama osobnih podataka

20 Novosti Uredbe u odnosu na Zakon o zaštiti osobnih podataka RH Šira definicija osobnog podatka (IP adresa, cookies ) Prijava proboja nadzornom tijelu unutar 72h Nužna implementacija privacy by design Jedna obrada jedna privola Pravo na zaborav, čuvanje podataka koliko je potrebno za predmetnu svrhu Nužni kodeksi ponašanja, moguće je certificirati se Mnogo veće kazne

21 Posljedice za nesukladnost Za obavljanje nadzora nad obradom osobnih podataka nadležna je Agencija za zaštitu osobnih podataka (AZOP) Agencija može izricati kazne u slučaju nepoštivanja zahtjeva Uredbe Potreba da se politika zaštite podataka diljem EU ujednači kako bi sva nadzorna tijela postupala slično ili identično Kada je prijestup dovoljno ozbiljan, izriču se vrlo visoke novčane kazne

22 Zahtjevi čije kršenje može prouzročiti kazne od 2% godišnjeg prometa ili 10mil Eura Provjera roditeljskog pristanka za obradu podataka djece mlađe od 13 godina Implementacija prikladnih tehničkih i organizacijskih mjera kako bi se osigurala zaštita osobnih podataka Određivanje odgovornosti voditelja i izvršitelja s obzirom na obveze prema Uredbi Ako voditelji/izvršitelji nisu usklađeni s Uredbom, a nude dobra i usluge subjektima u EU Svaki voditelj i/ili njegov predstavnik će voditi zapisnik o aktivnostima obrade koje su njihova odgovornost Voditelj obrade će obavijestiti Nadzorno tijelo o povredi osobnih podataka unutar 72h od saznanja za povredu Obavljanje procjene rizika zaštite podataka prije obrade koja može rezultirati visokim rizikom za prava i slobode subjekta

23 Zahtjevi čije kršenje može prouzročiti kazne od 4% godišnjeg prometa ili 20mil Eura Osobni podaci moraju biti obrađeni zakonito i pošteno na transparentan način, moraju biti točni i čuvani u obliku koji omogućuje identificiranje subjekata Voditelj mora moći pokazati privolu koju je subjekt dao za obradu vlastitih podataka Obrada posebnih kategorija osobnih podataka je podložna općem pravilu zabrane osim ako se ne radi o iznimnim okolnostima Voditelj mora moći pružiti subjektu informacije o prikupljenim podacima od samog subjekta ili iz drugih izvora Subjekti imaju pravo na ispravak podataka ako su netočni Subjekti imaju pravo na brisanje podataka (tzv. pravo na zaborav ) Subjekti imaju pravo tražiti ograničenja obrade pod određenim uvjetima Subjekti imaju pravo dobiti na uvid svoje informacije u preglednom i strukturiranom obliku

24 Certificiranje Države članice, nadzorna tijela, Odbor i Komisija potiču uspostavu mehanizama certificiranja Mehanizmi certificiranja mogu se uspostaviti kako bi se dokazalo postojanje odgovarajućih mjera zaštite podataka Certificiranje je dobrovoljno i dostupno putem procesa koji je transparentan Certifikate izdaju certifikacijska tijela ili nadležno nadzorno tijelo

25 Plan realizacije projekta usklađivanja Priprema plana usklađivanja Priprema metodologije za analizu stanja Identifikacija izvora osobnih podataka i poslovnih procesa Provedba analize stanja i identifikacija potrebnih mjera Procjena učinka na zaštitu podataka - DPIA Priprema pravnih i organizacijskih preporuka Prijedlog tehničkih rješenja za identificirane poslovne zahtjeve Savjetovanje s nadzornim tijelom Osvješćivanje djelatnika Implementacija organizacijskih i tehničkih mjera

26 Analiza stanja osnovne informacije Cilj: utvrditi razinu sukladnosti / odstupanja od zahtjeva Uredbe Način provedbe: Primjena check liste Razgovori / radionice s odgovornim osobama Analiza dokumentacije Provjera postojećih mjera zaštite osobnih podataka Rezultat: Izvješće o provedenoj analizi stanja status trenutnog stanja i odstupanja od GDPR

27 Analiza stanja grupe zahtjeva Temelji se na 13 grupa zahtjeva: Politika privatnosti Upravljanje zahtjevima i prigovorima ispitanika Upravljanje rizikom treće strane Nadzor u novim operativnim postupcima Nadzor postupaka rukovanja podacima Struktura upravljanja privatnošću Integracija zaštite osobnih podataka u poslovanje Upravljanje rizicima informacijske sigurnosti Registar osobnih podataka Privole i izjave o privatnosti Program edukacije i podizanja svijesti Upravljanje incidentima Praćenje vanjskih zbivanja

28 1-Zanemariv 2-Ograničen 3-Značajan 4-Maksimalan Procjena utjecaja DPIA (ISO Uputstva za procjenu utjecaja na privatnost) Razina utjecaja Neovlašteni pristup osobnim podacima Neautorizirana izmjena osobnih podataka Obrada osobnih podataka bez znanja ispitanika 1-Zanemariva 2-Ograničena 3-Značajana 4-Maksimalana Vjerojatnost

29 Prihvaćanje rizika Prijedlog mjera temeljem rezultata DPIA Smanjenje rizika Smanjenje rizika Ostvaruje se odabirom prihvatljivih organizacijskih i tehničkih mjera Prijenos rizika Izbjegavanje rizika Prihvaćanje rizika Prijenos rizika Izbjegavaje rizika Rizik zadovoljava postavljene kriterije i kao takav može se prihvatiti Prenijeti rizik na vanjskog partnera (osiguravajuća kuća, data centar...) Otkazati izvođenje aktivnosti koje mogu dovesti do rizika

30 Implementacija mjera Za sve rizike visoke razine predlažu se mjere kojima će se ti rizici umanjiti Provodi se savjetovanje s nadzornim tijelom u vezi prihvatljivosti tih mjera Provodi se implementacija mjera u skladu s preporukama i planom implementacije Kontinuirano se nadzire primjenjivost mjera i potencijalni novi rizici

31 Hvala! Pitanja?