Upozornění pro čtenáře a uživatele této knihy

Všechna práva vyhrazena. Žádná část této tištěné či elektronické knihy nesmí být reprodukována ani šířena v papírové, elektronické či jiné podobě bez předchozího písemného souhlasu nakladatele. Neoprávněné užití této knihy bude trestně stíháno.

Edice právo pro praxi

Ing., Mgr. Luděk Nezmar, MBA

GDPR: Praktický průvodce implementací

Vydala Grada Publishing, a.s.

U Průhonu 22, 170 00  Praha 7

tel.: +420 234 264 401, fax: +420 234 264 400

www.grada.cz

jako svou 6 761. publikaci

Realizace obálky Michal Němec

Sazba a zlom Jan Šístek

Formát ePub Jan Šístek

Odborná redaktorka Ing. Michaela Průšová

Počet stran 304

První vydání, Praha 2017

Vytiskla tiskárna Tisk Centrum, s.r.o., Moravany

© Grada Publishing, a.s., 2017

ISBN 978-80-271-0921-0 (ePub)

ISBN 978-80-271-0920-3 (pdf)

ISBN 978-80-271-0668-4 (print)

1.Úvod a pozadí vzniku

1.1Shrnutí

Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) známé jako „GDPR“ je v platnosti a účinnost nastává 25. května 2018 po dvouleté periodě určené k přípravě. Nahrazuje tak současný zákon č. 101/2000 Sb., o ochraně osobních údajů.

V současné době lze konstatovat, že naprostá většina firem, organizací i státních institucí či samospráv „zaspala“ a tomuto nařízení nevěnovala pozornost. V této souvislosti musím upozornit na skutečnost, že se nejedná o směrnici či doporučení EU, kterou vláda musí v nějaké podobě někdy implementovat, ale jedná se o nařízení EU platné v rámci všech členských zemí bez možnosti zásadních úprav. Jinými slovy 25. května 2018 může organizace dostat pokutu v plné výši.

GDPR stanovuje firmám a organizacím mnohem větší požadavky na zabezpečení osobních dat, kontrolu procesů a výrazně zvyšuje odpovědnost pod drakonickými sankcemi až do výše 550 mil. Kč nebo 4 % z celosvětového obratu skupiny. Počítá se vyšší sankce. Znalost, jak dodržet předpisy a prakticky aplikovat nařízení za rozumných cenových podmínek, se tak stává klíčovou kompetencí pro splnění požadavků kladených GDPR bez nadměrného finančního zatížení.

Kniha by vám měla být praktickým rádcem, jak dosáhnout souladu při zpracování osobních údajů vašich klientů, pacientů nebo zaměstnanců. Pomůže vám naplánovat a provést potřebné změny ve vašich procesech zpracování dat tak, abyste od 25. května 2018 mohli klidně usínat.

1.2Pozadí vzniku GDPR

1.2.1Úvod

V roce 2016 Evropská unie přijala obecné nařízení o ochraně údajů (GDPR), které je platné ve všech 28 členských státech. GDPR vstoupí v účinnost (bude vymahatelné) v květnu roku 2018. Tímto momentem bude každá organizace, instituce, obec, škola, zdravotnické zařízení nebo společnost, která ukládá nebo zpracovává osobní údaje z jakéhokoli členského státu EU, muset splnit požadavky tohoto nařízení.

Nařízení dává subjektům údajů (lidem – občanům) mnohem větší práva, stanovuje mnohem přísnější požadavky jak správcům, tak zpracovatelům (firmám a institucím) a uplatňuje výrazně vyšší sankce, než tomu bylo dosud. Společnosti budou muset zavést řadu nových postupů, aby tyto požadavky splnily. Ve stále méně stabilním ekonomickém a politickém prostředí tak všechny podniky musí reagovat vyšší rychlostí adaptace a větší mírou respektu k duševnímu vlastnictví. Základem úspěchu každé společnosti v současném digitalizovaném světě je schopnost efektivně zpracovávat informace a data, včetně jejich kvalitního zabezpečení. Nikdy předtím nebyl takový tlak na rychlost, hloubku a adopci tak zásadních změn. Organizace jsou nuceny k prudké inovaci a konkurenci. Potřeba „změny jako konstantního faktoru“ je stále přítomna – stejně jako rizika, která se mohou projevit podkopáním úspěchu. Nové předpisy vyžadují společnou a nerozdílnou odpovědnost. Znalost toho, jak dodržovat nové předpisy pomocí včasného praktického přístupu, zajistí, že dodržování předpisů nebude příliš nákladné a ve skutečnosti se použije jako nová podmínka konkurenceschopnosti.

Aby bylo možné v březnu 2018 uplatnit nařízení o obecné ochraně údajů v Evropské unii (GDPR), bude nutné, aby všichni správci a zpracovatelé údajů, kteří zpracovávají osobní údaje obyvatel EU, zavedli příslušná technická a organizační opatření. Budou muset zachovat důvěrnost, integritu, dostupnost i odolnost systémů zpracovávajících osobní data.

Staré čínské přísloví praví: „Co nemá cenu, nemá ani hodnotu.“ Také současná situace potvrzuje pravdivost tohoto rčení, protože cena informací ve světě neustále stoupá a osobní údaje se staly velmi cennou komoditou. Reálná hodnota osobních údajů se objevila teprve nedávno. Kybernetická bezpečnost je jedním z klíčových úkolů budoucnosti, protože krádež osobních údajů vystavuje občany EU významným rizikům. Současné techniky analýzy dat umožňují organizacím sledovat a předvídat individuální chování, dokážou předjímat nákupní rozhodování jedinců a mohou být nasazeny v automatizovaném rozhodování. Kombinace všech těchto faktorů spolu s pokračujícími technologiemi vyvolává řadu otázek a vedla ke snaze zajistit základní bezpečí občanů EU. GDPR je reakcí na rychlou digitalizaci a kybernetizaci našeho prostoru. Zda reakcí úspěšnou, to ukáže až čas.

Mnohým se může zdát, že se jedná o další regulaci, tedy snahu zase uloupnout kousek naší svobody. Ve skutečnosti se tento krok z pohledu běžného občana jeví jako opravdová snaha zabezpečit alespoň základní právo svobody jedince, protože snaha monitorovat každý náš krok, ať už vládou nebo korporacemi, je zjevná.

Nařízení GDPR je novátorské i v tom směru, že se netýká jen entit v rámci EU, ale kohokoliv, kdo chce zpracovávat data občanů EU. Firma z Hong Kongu nebo nevládní organizace z USA působící na území Evropské unie tak musí vyhovět požadavkům GDPR stejně jako česká nebo slovenská firma.

1.2.2Historie ochrany osobních dat

GDPR vychází z původní směrnice EU o ochraně osobních údajů (DPD). Ve svých požadavcích jde dále než HIPAA v USA či jiné legislativní regulace snažící se o ochranu osobních údajů. GDPR je v současné době nejkomplexnější zákonná norma chránící soukromí občanů.

Směrnice o ochraně osobních údajů (DPD) existuje již dvacet let. Stanovuje minimální standard zákona o ochraně údajů v členských státech EU. Česká republika v roce 2000 přijala vlastní zákon týkající se ochrany osobních údajů. Většina států Evropské unie přijala nějakou legislativu řešící problematiku ochrany osobně identifikovatelných informací.

Vývoj technologií je vždy rychlejší než vývoj právních norem. Důležitá je však reakční doba právního systému na technologické změny. Níže je popsána historie vývoje ochrany osobních údajů z hlediska GDPR.

28. leden 1981: Podpis smlouvy o ochraně osob s ohledem na automatické zpracování osobních údajů. Byla podepsána jako Úmluva Rady Evropy č. 108 a vstoupila v platnost dne 1. října 1985. Všech 47 členů Rady Evropy smlouvu ratifikovalo, s výjimkou Turecka.

4. říjen 1995: Evropská směrnice o ochraně osobních údajů (oficiálně: směrnice 95/46 / ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů) byla vytvořena jako základní prvek ochrany soukromí v rámci EU a práva v oblasti lidských práv. Tato směrnice vstoupila v platnost dne 13. prosince 1995 a požadovala od členských států EU, aby do 24. října 1998 provedly příslušná ustanovení ve vnitrostátním právu.

19. květen 2009: Evropská komise zahájila konferenci věnovanou využití a ochraně osobních údajů a zkoumání nových úkolů týkajících se ochrany soukromí. Součástí konference byl i panel věnující se oblasti ochrany osobních údajů v globalizovaném světě se zvýšenou mobilitou a v souvislosti s moderními komunikačními a informačními technologiemi, výměnou dat mezi veřejnými orgány a soukromými společnostmi a mezinárodními přenosy osobních údajů v rámci cloud computingu[1].

Obrázek 1 – vývoj technologií v porovnání s vývojem legislativy

1. prosinec 2009: Pracovní skupina zřízená podle článku 29 (WP29)[2] a pracovní skupina pro politiku a spravedlnost (WPPJ) zveřejňuje dokument „Budoucnost soukromí“[3] jako reakci na stanovisko Evropské komise v souvislosti s novými výzvami v oblasti ochrany osobních dat. Tehdy aktuální hlavní principy ochrany osobních údajů jsou považovány za stále platné navzdory novým technologiím a globalizaci. Dokument však zdůrazňuje, že úroveň ochrany osobních údajů v rámci EU lze zvýšit lepším uplatňováním stávajících zásad a legislativy v oblasti ochrany osobních údajů v praxi a postupnou modernizací právního rámce.

4. listopad 2010: Evropská komise stanovuje strategii, jak chránit údaje jednotlivců ve všech oblastech, a to včetně vymáhání práva. S tím omezuje byrokratické požadavky a zaručuje volný pohyb údajů v rámci EU. Znamená to přehodnocení dosavadní politiky a Komise tím aplikuje výsledky veřejné diskuze k revizi evropské směrnice o ochraně osobních údajů.

22. červen 2011: Výbor pro občanské svobody, spravedlnost a vnitřní věci (LIBE)[4]přijímá návrh komplexního přístupu k ochraně osobních údajů. Klíčovým tématem se stává budoucnost evropského práva v této oblasti a změna stávající směrnice o ochraně údajů 95/46 / ES[5].

17. listopad 2011: Během zahájení zasedání 35. konference o ochraně soukromí, německého sdružení pro ochranu údajů a ochranu údajů (GDD)[6], Paul Nemitz oznamuje, že Evropská komise plánuje zavést nařízení, které je přímo aplikovatelné ve všech členských státech EU a bude harmonizovat zákony na ochranu osobních údajů v rámci celé Evropě.

25. leden 2012: Evropská komise navrhuje komplexní reformu pravidel EU ochrany osobních údajů z roku 1995 za účelem posílení práv, zejména v online prostředí. Komise konstatuje, že technologický pokrok a globalizace výrazně změnily způsob, jakým jsou osobní data shromažďována, zpřístupňována a využívána. Souběžně s návrhem nařízení o obecné ochraně údajů (5853/12)[7] přijala Komise i směrnici o zpracování údajů za účelem vymáhání práva (5833/12).[8]

21. února 2012: EurActiv[9] oznamuje, že Spojené státy velmi aktivně ovlivnily průběh projednávání ve snaze ochránit zájmy amerických společností působících v EU. V důsledku tohoto tlaku byl text navržený Komisí výrazně upraven ve prospěch USA a po tomto zjištění návrh nebyl už dále projednáván.

23. březen 2012: Pracovní skupina pro ochranu osobních údajů zřízená podle článku 29 (WP29)[10] zveřejnila své stanovisko 01/2012[11] jako počáteční příspěvek k diskusi o reformě ochrany osobních údajů. V tomto stanovisku vítá posílení postavení subjektů údajů, posílení odpovědnosti správců a posílení postavení orgánů dohledu, jak na vnitrostátní, tak na mezinárodní úrovni, s potenciálem výrazně snížit stávající roztříštěnost a posílit ochranu osobních údajů v celé Evropě.

12. duben 2012: Německý poslanec Evropského parlamentu a Výboru pro občanské svobody, spravedlnost a vnitřní věci (LIBE) Jan-Philipp Albrecht je oficiálně jmenován zpravodajem Evropského parlamentu pro nařízení o obecné ochraně údajů.

2. září 2012: Zveřejňuje Evropský parlament studii nazvanou „Reforming the Data Protection Package“[12], kterou realizovala polská advokátní kancelář a němečtí akademičtí pracovníci z Evropského institutu právních studií. Studie upozorňuje na nutnost zlepšení ochrany subjektů, závažné nedostatky v GDPR týkající se nových technologií a služeb, nesoulad práv spotřebitelů a možnost mezinárodní přenositelnosti údajů.

5. říjen 2012: Pracovní skupina pro ochranu údajů podle článku 29 (WP29)[13] zveřejnila své stanovisko 08/2012[14] jako další příspěvek k diskusi o reformě ochrany osobních údajů, která se konkrétně zabývá definicí osobních údajů, pojmem souhlas a postupy v přenesené pravomoci.

25. říjen 2012: Rada bere na vědomí současný stav obecného nařízení o ochraně osobních údajů. Během rozpravy je diskutována zejména volba právního nástroje. Některé delegace upřednostňovaly směrnici namísto nařízení, protože by umožnila větší pružnost tam, kde by to bylo potřebné. Jiné delegace však zvolily formu nařízení, tak jak navrhla Komise.

28. leden 2013: Komisařka EU pro spravedlnost a místopředsedkyně Evropské komise Viviane Redingová během Evropského dne ochrany údajů 2013 zdůrazňuje, že žijeme v digitálním světě, v němž mají osobní údaje obrovskou ekonomickou hodnotu. V tomto digitálním světě je třeba, aby evropské podniky mohly využít nové možnosti výpočetní techniky a sdílení informací, ale ne na úkor evropských spotřebitelů. Jednotný a moderní zákon o ochraně osobních údajů pro Evropskou unii proto musí zajistit důvěru a vytvářet prostor pro růst jednotného digitálního trhu.

14. květen 2013: London Economics zveřejňuje výsledky nezávislého průzkumu[15], který zadal úřad britského komisaře pro informace, aby pomohl porozumět výzvám, které GDPR staví před podniky a organizace. Z dotazovaných 506 podniků nebylo 87 % respondentů schopno odhadnout pravděpodobné náklady na splnění požadavků navrhovaného nařízení a 82 % respondentů nebylo schopno vyčíslit své současné výdaje na dodržování ochrany osobních údajů.

21. říjen 2013: Výbor pro občanské svobody, spravedlnost a vnitřní věci (LIBE)[16] Evropského parlamentu hlasoval za přijetí kompromisního textu GDPR, který obsahoval několik pozměňovacích návrhů, z nichž některé jsou významné ve srovnání s původním návrhem vypracovaným Evropskou komisí v lednu 2012 (např. výrazně zvýšené sankce, rozšířený územní rozsah, přenosy dat do třetích zemí, omezení profilování, pověřenec pro ochranu osobních údajů). Kompromisní návrh byl přijat převážnou většinou (49 pro, 1 proti a 3 se zdrželi) výboru LIBE, který tak dal mandát zpravodaji Jan-Phillipu Albrechtovi, aby s Radou EU vyjednal kompromisní návrh.

28. leden 2014: Místopředsedkyně EU Viviane Redingová vyzývá k vytvoření nové dohody o ochraně osobních údajů během Evropského dne ochrany údajů v roce 2014 s cílem obnovit důvěru v digitální průmysl obecně a s ohledem na transatlantické toky osobních údajů. Vzhledem k tomu, že některé společnosti a vlády nadále považují ochranu dat za překážku, a ne za řešení výzev v digitálním věku, požaduje, aby se začalo u nejnižšího společného jmenovatele a pokračovalo k vysoké úrovni ochrany osobních údajů.

12. březen 2014: Evropský parlament dává silnou podporu GDPR hlasováním na plenárním zasedání s 621 hlasy pro, 10 proti a 22 zdržujícími se hlasování. V návaznosti na toto rozhodnutí Evropského parlamentu dochází k významnému pokroku v reformě ochrany osobních údajů. Tento krok je považován za nevratný a je chápán jako zajištění efektivnější kontroly osob nad jejich osobními údaji.

10. říjen 2014: Rada EU dosahuje částečné shody na konkrétních aspektech návrhu nařízení, kterým se stanoví obecný rámec EU pro ochranu osobních údajů (zejména kapitola IV. o správci a zpracovateli). Částečná shoda je dosažena za vědomí, že:

a) nic není dohodnuto, dokud nebude vše dohodnuto;

b) není dotčeno žádné jiné právo;

c) předsednictví nedává mandát k zapojení do neformálních trialogů s Evropským parlamentem o tomto textu.

7. ledna 2015: Vydává Jan-Philipp Albrecht, německý poslanec Evropského parlamentu a zpravodaj pro GDPR, varování, že GDPR by mohlo být odloženo až do roku 2016 v důsledku neshod Německa, Francie a Spojeného království. Albrecht varoval, že neschopnost odsouhlasit přijetí GDPR povzbudí a zvýší špehování občanů Evropy bezpečnostními službami.

15. červen 2015: Rada EU dosahuje obecné shody nad GDPR. Obecný přístup představuje politickou dohodu, na jejímž základě může Rada nyní zahájit jednání s Evropským parlamentem s cílem dosáhnout celkové dohody o GDPR.

24. června 2015: Původní návrhy Komise na reformu ochrany osobních údajů byly podrobeny přezkumu a změněny zákonodárci jak v Evropském parlamentu, tak v Radě EU[17]. Následovalo setkání zástupců Parlamentu, Rady a Komise v Bruselu a došlo k zahájení takzvaného „trialogu“[18], jehož cílem bylo uzavření dohody o GDPR.

27. července 2015: Evropský inspektor ochrany osobních údajů Giovanni Buttarelli zveřejnil svá doporučení (stanovisko 3/2015)[19] zákonodárcům EU, kteří vyjednávali o konečném znění GDPR. Spustil mobilní aplikaci na porovnávání nejnovějších textů Komise, Parlamentu a Rady pro tablety a chytré telefony.

27. srpna 2015: Server Politico[20] oznámil, že široká průmyslová koalice lobuje v Evropské unii za zrušení článku 43a z návrhu GDPR, který by nutil společnosti k odmítnutí žádostí o osobní údaje z nečlenských zemí. Evropský parlament doplnil návrh o tzv. „Anti-FISA“ klauzuli v návaznosti na zveřejnění informací o sledování Edwarda Snowdena bezpečnostními službami USA. (Rada nezahrnula ustanovení do upřednostňovaného znění nařízení).

9. října 2015: Evropský inspektor ochrany údajů Giovanni Buttarelli aktualizoval své dříve zveřejněné stanovisko ze dne 3. října 2015 o GDPR a zdůraznil důvěru jako nutnou podmínku pro inovativní produkty a služby, které se opírají o zpracování osobních údajů s tím, že nařízení o obecné ochraně osobních údajů musí být příkladem etického přístupu.

12. listopad 2015: V Německu je uveden film „Democracy – Im Rausch der Daten“[21], který ukazuje vytrvalost a tvrdou práci Viviane Redingové, Jana-Phillippa Albrechta, Ralfa Bendratha a dalších na přijetí legislativního rámce pro ochranu osobních údajů v Evropské unii.

9. prosinec 2015: Během diskuse USA a zemí EU o způsobech, jak zvýšit rychlost a zlepšit rozsah sdílení osobních údajů v důsledku útoků na Paříž, Kalifornii a ruské osobní letadlo, generální prokurátor Loretta Lynch varuje, že plánovaná ochrana osobních dat Evropskou unií může podkopat úsilí o potlačení teroristických útoků omezením transatlantického sdílení informací.

15. prosince 2015: V trialogu mezi Komisí, Radou a Parlamentem o evropské reformě ochrany osobních údajů dosáhli vyjednavači klíčového bodu, kdy ti, kteří v minulosti zastávali rozdílná stanoviska k různým tématům projednávaným v souvislosti s GDPR dospěli ke shodě i ve směrnici o přenosu údajů pro policejní a soudní účely.

17. prosince 2015: Výbor pro občanské svobody, spravedlnost a vnitřní věci Evropského parlamentu (LIBE) schválil výsledek třístranných jednání o obecném nařízení o ochraně osobních údajů (GDPR). Převážnou většinou (48 hlasů pro, 4 proti a 4 se zdrželi) výbor LIBE schválil text GDPR včetně ustanovení o jednoznačném, konkrétním a srozumitelném souhlasu, dětech na sociálních sítích, právu na zapomenutí, právu vědět, že vaše údaje byly napadeny, srozumitelnosti jazyka a pokut ve výši až 4 % celkového celosvětového ročního obratu firem.

18. prosinec 2015: Výbor stálých zástupců (Coreper)[22] potvrdil s převážnou většinou (pouze jedním hlasem proti) kompromisní znění schválené Radou, Parlamentem a Komisí dne 15. prosince. Po právně-jazykové revizi těchto textů byl návrh předložen k přijetí Radou a následně Parlamentem. Obecné nařízení o ochraně údajů (a směrnice o předávání údajů pro účely policejní a soudní spolupráce) pravděpodobně vstoupí v účinnost na jaře roku 2018.

21. prosince 2015: Zveřejňuje Evropská komise na základě dohody, kterou nedávno dosáhl Evropský parlament a Rada, informační list obsahující často kladené otázky a odpovědi týkající se evropské reformy v oblasti ochrany osobních údajů.

28. leden 2016: 47 zemí Rady Evropy, jakož i evropské instituce, agentury a orgány oslavily 10. ročník Evropského dne ochrany osobních údajů. Série událostí věnovaných tomuto výročí zahrnovala konferenci, kterou společně uspořádal Evropský parlament a evropský inspektor ochrany osobních údajů pro úředníky EU ohledně reformy v oblasti ochrany osobních údajů.

27. dubna 2016: Je v Úředním věstníku Evropské unie uveřejněno Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Tímto momentem vstupuje GDPR v platnost.

25. května 2018: Nastává účinnost Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. GDPR vstupuje v účinnost.

[1] Cloud computing je model vývoje a používání počítačových technologií založený na internetu. Lze ho také charakterizovat jako poskytování služeb či programů servery dostupnými z internetu s tím, že uživatelé k nim mohou přistupovat vzdáleně, kupř. pomocí webového prohlížeče nebo klienta elektronické pošty.

[2] http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

[3] http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp168_en.pdf

[4] http://www.europarl.europa.eu/committees/cs/libe/home.html

[5] http://www.eurlex.cz/dokument.aspx?celex=31995L0046

[6] https://www.gdd.de/international/english

[7] http://register.consilium.europa.eu/doc/srv?l=EN&f=ST%205853%202012%20INIT

[8] http://register.consilium.europa.eu/doc/srv?l=EN&f=ST%205833%202012%20INIT

[9] http://euractiv.cz/

[10] http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

[11] http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp191_en.pdf

[12] http://www.statewatch.org/news/2012/oct/ep-study-dp.pdf

[13] http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

[14] http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp199_en.pdf

[15] https://ico.org.uk/media/1042341/implications-european-commissions-proposal-general-data-protection-regulation-for-business.pdf

[16] http://www.europarl.europa.eu/committees/cs/libe/home.html

[17] https://europa.eu/european-union/about-eu/institutions-bodies/council-eu_cs

[18] http://ec.europa.eu/codecision/stepbystep/glossary_en.htm

[19] https://edps.europa.eu/sites/edp/files/publication/15-10-09_gdpr_with_addendum_en.pdf

[20] http://www.politico.com/

[21] http://www.democracy-film.de/

[22] http://www.consilium.europa.eu/cs/council-eu/preparatory-bodies/coreper-i/

Table of Contents

1. Úvod a pozadí vzniku

1.1 Shrnutí

1.2 Pozadí vzniku GDPR

1.2.1 Úvod

1.2.2 Historie ochrany osobních dat

2. Hodnota osobních údajů

3. Co je obecné nařízení GDPR

3.1 GDPR – obecné nařízení EU

3.2 Nové přístupy a povinnosti

3.3 Nejdůležitější pojmy

3.4 Zásady a právní důvody zpracování

3.5 Zvláštní kategorie osobních údajů (citlivé údaje)

3.6 Práva subjektu údajů

3.7 Správce, zpracovatel

3.8 Zabezpečení osobních údajů

3.9 Pověřenec pro ochranu osobních údajů

3.10 Předávání osobních údajů do jiných zemí

3.11 Sankce, pokuty

3.12 Různé

3.13 Příprava na GDPR

4. Zásady a principy GDPR

4.2 Princip 2. – Omezení účelem

4.2.3 Povaha údajů a dopad dalšího zpracování na subjekty údajů

4.5 Princip 5. – Omezení uložení

4.5.1 Mazání osobních údajů v IT systémech

4.6 Princip 6. – Integrita a důvěrnost

4.6.4 Kybernetická bezpečnost

5. Práva a odpovědnosti

5.1 Práva osob

5.1.8 Práva spojená s automatizací rozhodování a profilováním

6. Projekt implementace GDPR do organizace

6.1 GAP analýza

6.2 Posouzení vlivu na ochranu osobních údajů (DPIA)

6.2.8 Metodika provádění DPIA

6.2.19 Zpráva o posouzení vlivu na ochranu osobních údajů

6.3 Rizika

7. Souhlas se zpracováním osobních údajů

7.1 Souhlas

7.2 Souhlas v praxi

8. Role a odpovědnosti v rámci GDPR

8.1 Odpovědnosti

8.2 Zpracování mimo EU

8.5 Pověřenec pro ochranu osobních údajů

8.5.14 Postavení pověřence

8.5.15 Úkoly pověřence

8.6 Hlavní činnosti

8.7 Školení

8.8 Personalistika

9. Informační technologie

9.1 GDPR a IT technologie

9.1.1 Tiskárny a reprografická technika

9.1.2 Zabezpečení koncových zařízení

9.2 Kybernetická bezpečnost

9.2.3 Úroveň 1 – kapitola 4 – 10 a způsob, jak lze ISMS použít pro GDPR

9.2.4 Úroveň 2 – procesy ISMS

9.2.6 Úroveň 4 – úprava 114 opatření v příloze A

9.4 Bezpečnost Wi-Fi

9.8 Online

9.9 Online oznámení o ochraně osobních údajů

9.11 Šifrování

9.11.1 Moderní šifry

9.12 Dodavatelé

9.13 Cloud jako outsourcovaná služba

9.14 Narušení integrity dat

9.15 Bezpečnost „by design“

9.15.1 Infrastruktura

10. Doplňující předpisy v oblasti ochrany osobních údajů

10.1 Nařízení o soukromí a elektronických komunikacích (PECR)

10.2 Štít EU – USA na ochranu soukromí

11. Mýty, fakta, otázky a odpovědi

11.1 Pokud chcete zpracovávat osobní údaje, musíte mít souhlas.

12. Slovník pojmů ochrany osobních údajů a GDPR

13. Vzory