Source: https://marekstrba.sk/co-je-gdpr-pre-koho-je-potrebne-gdpr-ako-si-urobit-gdpr-ochrana-osobnych-udajov-platne-od-25-maja-2018/
Timestamp: 2018-10-21 21:53:28+00:00
Document Index: 3226922

Matched Legal Cases: ['§ 4', '§44', '§ 6', '§ 8', '§ 9', '§ 78', '§ 11', '§ 12', '§ 16', '§ 17', '§ 22', '§ 23', '§ 19', '§ 34']

Čo je GDPR? Pre koho je potrebné GDPR? Ako si urobiť GDPR? Ochrana osobných údajov platné od 25. mája 2018 | Marek Štrba
Toľko omielaná téma akou je GDPR, na Slovensku v poslednej dobe nebola. Týka sa totiž každého kto zbiera, spracováva alebo prichádza do kontaktu s osobnými údajmi – teda každého kto podniká a zhromažďuje informácie o fyzických osobách. A netýka sa to len podnikateľov, ale aj neziskovky, školské zariadenia, mestá a obce, a inštitúticie ako také. Téma, ktorá si naozaj zaslúži pozornosť nielen zo strany firiem, ale i zo strany samotných ľudí – užívateľov internetu = dotknutých osôb. Majú totiž v rukách veľkú moc, o ktorej nevedia. A firmy si to ešte neuvedomujú.
Spoločnosti, ktoré vypracujú GDPR vyrástli ako huby po daždi. Na internete je možné nájsť rôzne vzory, potom firmy zamerané len na najlepšiu cenu za vypracovanie a podobne. Skúsenosti z posledných dní ma len presvedčili o tom, že už som spoznal pár firiem (a to ešte boom nezačal), ktoré naleteli a dali si vypracovať dokumenty “skutočným profesionálom” za super cenu. Žiaľ neušetrili – ale zaplatia si to celé ešte raz. GDPR je zamerané na technické zabezpečenie – preto musíte dotyčnej firme uviesť vaše procesy spracovávania a účel. Podozrivo nízka cena, oproti bežným cenám na internete, by mala byť prvotný signál, že niečo nie je v poriadku.
GDPR je skratka z anglického slovného spojenia “General Data Protection Regulation“, čo v preklade do slovenčiny znamená “Všeobecné nariadenie o ochrane údajov“. Bavíme sa o “ochrane osobných údajov”
Čo je osobný údaj? Osobné údaje sú vstupnou bránou do súkromia každého z nás. S osobnými údajmi sa stretávame vkaždodennom živote pri uplatňovaní rôznych spoločenských vzťahov, pričom nie vždy je jasné, čo všetko možno považovať za osobné údaje. Ich zadefinovanie je však žiaduce, pokiaľ má zákon plnohodnotne poskytovať ochranu právam fyzických osôb pred neoprávneným zasahovaním do ich súkromného života pri spracúvaní ich osobných údajov.
Účelom tohto metodického usmernenia je poskytnúť bližší pohľad na pojem osobné údaje, aby spracúvanie osobných údajov fyzických osôb bolo legitímne adôsledné a domáhanie sa ochrany osobných údajov bolo opodstatnené a efektívne.
Pojem osobné údaje (§ 4 ods. 1 zákona)
Osobnými údajmi sú „údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu“.
Definícia pojmu osobné údaje nie je jednoduchá. Po obsahovej stránke sa skladá z niekoľkých základných prvkov, ktoré spoločne vystupujú v pozícií identifikátorov patriacich konkrétnej fyzickej osobe a vytvárajú jej identitu. (zdroj: celé znenie nájdete na tomto odkaze “Metodické usmernenie č. 1/2013 k pojmu osobné údaje” )
Myšlienka vznikla už pred rokmi v Európskom parlamente. Dôvod? Reakcia na vývoj v elektronickom svete a vývoji rôznych internetových eshopov / online a offline aplikácii a platforiem, ktoré vyžadujú a spracovávajú osobné údaje užívateľov. Kde a ako sa spracovávajú tieto osobné údaje? Sú zneužívané? Presne tento problém má riešiť GDPR.
Vývoj technológii za posledné desaťročie veľmi pokročil a tento jav sa v blízkej dobe ani nezmení. Práve naopak. Nakoľko prichádza aj avizovaný “Industry 4.0” alebo po slovensky “Priemysel 4.0” čo v praxi znamená automatizáciu do všetkých oblastí, priamo aj nepriamo to bude mať vplyv aj na svet, ako ho dnes poznáme a prežívame.
Kedy a kde vzniklo GDPR?
Nové nariadenie prijal Európsky parlament v prvej polovici apríla 2016 (mení sa tak smernica 95/46/ES prijatým – NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2016/679) s tým, že platnosť nadobúda – 25. mája 2018. Platnosť a implementácia – každá členská krajina Európskej únie. Dôvod? Pravidlá a zákony okolo ochrany osobných údajov mala každá krajina iné. Preto je veľmi ťažké bojovať proti zneužívaniu osobných údajov, keďže neboli jednotné normy, metodiky, či usmernenia.
Týmto novým nariadením sa celá situácia mení a Európske krajiny tak čaká jednotný, na pár malých detailov, totožný systém, ktorý má ochraňovať užívateľov (obyvateľov členských štátov EÚ), ich súkromie a hlavne mať prehľad o tom, kto a kde spracováva informácie a za akým účelom.
Porovnanie starý zákon vs nové nariadenie
Zákon č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov bol zameraný na “Bezpečnostný projekt”, ktorý si stačilo dať vypracovať renomovanej firme a “odložiť do šuflíka”. Projekt bol skôr zameraný na teóriu, spracovávanie a základné krytie spoločnosti “keby niečo, tak to máme”. Nebola potrebná v mnoho prípadoch ani “Zodpovedná osoba – DPO”.
Zákon č. 18/2018 Z. z o ochrane osobných údajov a o zmene a doplnení niektorých zákonov a k nemu “NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2016/679” je zameraný viac na technické zabezpečenie, pri ktorom je potrebné urobit audit – aké osobné údaje / informácie sa spracovávajú + za akým účelom a k tomu mať vypracovaný proces zabezpečenia. Zabezpečenie sa týka od počítačov / notebookov, cez šifrovacie systémy (heslá, ssl certifikáty, kryptované USB klúče, a pod.), zabezpečenie priestorov (kde sa údaje skladujú), až po samotných ľudí / partnerov, ktorí pre firmu pracujú / spolupracujú ako dodávatelia. Spoločnosť musí mať poverenú “Zodpovednú osobu – DPO”.
Čo je DPO / kto je zodpovedná osoba?
“DPO” je skratka z anglického spojenia “Data Protection Officer” čo by sme voľne do slovenčiny mohli preložiť ako “Osoba poverená pre ochranu osobných údajov”, ale výstižnejšie je pomenovanie “zodpovedná osoba“, ktorá sa uvádza aj v oficiálnych prekladoch / metodikách.
Definíciu a úlohy zodpovednej osoby nájdete na tomto odkaze => kto je zodpovedná osoba. (§44 Určenie zodpovednej osoby, zákon č.18/2018 Z.z)
§ 6 Zásada zákonnosti
§ 8 Zásada minimalizácie osobných údajov
§ 9 Zásada správnosti
Osobné údaje musia byť uchovávané vo forme, ktorá umožňuje identifikáciu dotknutej osoby najneskôr dovtedy, kým je to potrebné na účel, na ktorý sa osobné údaje spracúvajú; osobné údaje sa môžu uchovávať dlhšie, ak sa majú spracúvať výlučne na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel na základe osobitného predpisu8)a ak sú dodržané primerané záruky ochrany práv dotknutej osoby podľa § 78 ods. 8.
§ 11 Zásada integrity a dôvernosti
§ 12 Zásada zodpovednosti
(2) Právny základ na spracúvanie osobných údajov podľa odseku 1 písm. c) a e) musí byť ustanovený v tomto zákone, osobitnom predpise alebo v medzinárodnej zmluve, ktorou je Slovenská republika viazaná; osobitný zákon musí ustanovovať účel spracúvania osobných údajov, kategóriu dotknutých osôb a zoznam spracúvaných osobných údajov alebo rozsah spracúvaných osobných údajov. Spracúvané osobné údaje na základe osobitného zákona možno z informačného systému poskytnúť, preniesť alebo zverejniť len vtedy, ak osobitný zákon ustanovuje účel poskytovania alebo účel zverejňovania, zoznam spracúvaných osobných údajov alebo rozsah spracúvaných osobných údajov, ktoré možno poskytnúť alebo zverejniť, prípadne príjemcov, ktorým sa osobné údaje poskytnú.
(3) Ak spracúvanie osobných údajov na iný účel ako na účel, na ktorý boli osobné údaje získané, nie je založené na súhlase dotknutej osoby alebo na osobitnom predpise, prevádzkovateľ na zistenie toho, či je spracúvanie osobných údajov na iný účel zlučiteľné s účelom, na ktorý boli osobné údaje pôvodne získané, okrem iného musí zohľadniť:
c) povahu osobných údajov, najmä či sa spracúvajú osobitné kategórie osobných údajov podľa
§ 16 alebo osobné údaje týkajúce sa uznania viny za spáchanie trestného činu alebo priestupku podľa § 17,
OPRAVA A VYMAZANIE A OBMEDZENIE SPRACÚVANIA OSOBNÝCH ÚDAJOV (veľmi dôležité)
§ 22 Právo na opravu osobných údajov
§ 23 Právo na výmaz osobných údajov
(2) Prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak dotknutá osoba uplatnila právo na výmaz podľa odseku 1, ak …. celé znenie nájdete na tomto odkaze => https://www.slov-lex.sk/pravne-predpisy/SK/ZZ/2018/18/20180525#paragraf-23
PRÁVA DOTKNUTEJ OSOBY – INFORMÁCIE A PRÍSTUP K OSOBNÝM ÚDAJOM
§ 19 Poskytované informácie, ak osobné údaje sú získané od dotknutej osoby
Ak sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, je prevádzkovateľ povinný poskytnúť dotknutej osobe pri ich získavaní. Celé znenie nájdete na tomto odkaze = https://www.slov-lex.sk/pravne-predpisy/SK/ZZ/2018/18/20180525#paragraf-19
Ešte by som uviedol aj kto je “Sprostredkovateľ”
§ 34 Sprostredkovateľ
(1) Ak sa má spracúvanie osobných údajov uskutočniť v mene prevádzkovateľa, prevádzkovateľ môže poveriť len sprostredkovateľa, ktorý poskytuje dostatočné záruky na prijatie primeraných technických a organizačných opatrení tak, aby spracúvanie osobných údajov spĺňalo požiadavky tohto zákona a aby sa zabezpečila ochrana práv dotknutej osoby. Na poverenie sprostredkovateľa spracúvaním osobných údajov podľa prvej vety sa súhlas dotknutej osoby nevyžaduje.
Celé znenie nájdet na tomto odkaze – https://www.slov-lex.sk/pravne-predpisy/SK/ZZ/2018/18/20180525#paragraf-34
Pokuty, ako strašiak!
Urobil by som veľkú chybu ak by som v závere nespomenul aj “obľúbené” pokuty do výšky 20 mil. eur alebo 4 % z ročného obratu ako zastrašenie. No túto “motiváciu” a plašenie podnikateľov prenechám na iných. Podľa mňa to skôr dotyčné osoby hnevá a vyvoláva negatívny pohľad na danú legislatívu. Opak má byť pravdou. Ruku na srdce – chceme, aby sa naše osobné údaje používali na kšeft? Bez kontroly? Každý z nás je v prvom rade fyzická osoba, ktorá má taktiež svoju “stopu” vo forme osobného údaju.
Áno viem, je to ešte nedokonalé, ale priznajme si jednu vec – každá úloha má svoj začiatok, tu sa za behu postupne zdokonaľujú procesy a nakoniec môže vzniknúť celkom slušný fuknčný systém. No chce to čas. Aplikácia v toľkých krajinách musí mať aj nedostatky – kto by očakával 100% funkčnosť tak robustného spracovania informácii – je pravdepodobne blázon.
Určite mi dáte za pravdu, že je toho viac ako dosť. A to som len “začal”. K danej téme by sa dalo prednášať aj týždeň a stále by bolo o čom diskutovať.
Máte otazky? Chcete poradiť s vypracovaním GDPR? Hľadáte zodpovednú osobu DPO? Napíšte nám:
GDPR GDPR - technické zabezpečenie Metodické usmernenie č. 1/2013 k pojmu osobné údaje ochrana osobných údajov sprostredkovateľská zmluva Vypracovanie GDPR
Marek Štrba 27. marca 2018 30. marca 2018