GDPR jako rámec odpovědného nakládání s daty
Ochrana osobních údajů není jen právní povinnost. Je to schopnost mít přehled o tom, jaká data organizace používá, proč je potřebuje, kdo s nimi pracuje a jak dokáže své postupy vysvětlit.
GDPR je evropský rámec pro ochranu osobních údajů. Nastavuje pravidla pro organizace, které údaje lidí shromažďují, ukládají, používají nebo předávají dalším stranám. Neřeší jen technické zabezpečení, ale také zákonnost, transparentnost, odpovědnost a schopnost doložit, proč jsou data zpracovávána. [1]
V praxi nestačí vědět, kde data leží. Organizace potřebuje rozumět jejich celé cestě: odkud přišla, do jakých systémů vstoupila, kdo k nim má přístup, jak jsou používána a kdy je správné je odstranit nebo anonymizovat.
Ochrana osobních údajů nezačíná u cookie lišty ani u jedné směrnice. Začíná schopností organizace přesně určit, jaká data zpracovává, za jakým účelem a kdo za jednotlivé kroky odpovídá.
GDPR propojuje právní pravidla s reálným provozem organizace. Zákonný titul, informační povinnost, řízení přístupů, doba uchování, bezpečnost, práce dodavatelů a vyřizování žádostí subjektů údajů musí tvořit jeden navazující systém.
Co přesně GDPR upravuje
GDPR se vztahuje na zpracování informací, které se týkají identifikované nebo identifikovatelné fyzické osoby.
Osobním údajem není pouze jméno, adresa nebo rodné číslo. Podle kontextu může jít také o identifikátor zařízení, pracovní účet, lokalizační údaj, záznam aktivity, fotografii, hlasový záznam nebo kombinaci údajů, která umožní konkrétní osobu odlišit.
Zpracováním je prakticky jakákoli operace s osobními údaji: jejich získání, zaznamenání, uspořádání, použití, porovnání, předání, omezení, archivace, anonymizace nebo výmaz.
Posouzení proto nemá vycházet pouze z názvu databáze nebo dokumentu. Rozhodující je skutečný obsah, účel a možnost vztáhnout informaci ke konkrétnímu člověku.
Principy, které drží práci s daty pod kontrolou
GDPR staví zpracování osobních údajů na sedmi navazujících zásadách. Organizace je musí nejen dodržovat, ale také být schopna jejich uplatnění doložit. [1]
Zákonnost, korektnost a transparentnost vyžadují, aby každé zpracování mělo platný právní základ, probíhalo férově a bylo lidem vysvětleno jasným a srozumitelným způsobem.
Omezení účelu znamená, že údaje se získávají pro konkrétní, výslovně vyjádřené a legitimní účely. Data nemají být neurčitou zásobou pro libovolné budoucí použití.
Minimalizace údajů omezuje rozsah zpracování na informace, které jsou pro daný účel skutečně potřebné. Každé další pole, kopie nebo integrace zvyšuje nároky na správu a rozšiřuje možné dopady incidentu.
Přesnost vyžaduje udržovat údaje správné a podle potřeby aktuální. Chybná data mohou vést k nesprávnému rozhodnutí, odmítnutí služby nebo zásahu do práv konkrétní osoby.
Omezení uložení znamená, že osobní údaje nemají zůstávat v aktivních systémech, exportech nebo zálohách déle, než odpovídá stanovenému účelu a právním povinnostem.
Integrita a důvěrnost vyžadují přiměřenou ochranu před neoprávněným přístupem, změnou, ztrátou nebo zveřejněním. Technická opatření musí odpovídat riziku a charakteru údajů.
Odpovědnost spojuje všechny předchozí zásady. Správce musí být schopný prokázat, že pravidla skutečně uplatňuje v každodenním provozu.
Odpovědnost musí být doložitelná
Dokumentace bez vazby na reálné systémy nestačí. Důkazem souladu jsou procesy, rozhodnutí, technická nastavení a záznamy, které lze zpětně spojit s konkrétní odpovědností.
Organizace musí vědět, kdo rozhoduje o účelu a prostředcích zpracování, kdo provozuje jednotlivé systémy, kdo schvaluje přístupy a kdo řeší žádosti, incidenty nebo změny doby uchování.
Odpovědnost není jednorázový dokument. Vyžaduje pravidelnou aktualizaci evidence, kontrolu skutečného stavu a schopnost doložit důvody významných rozhodnutí.
Právní důvod a konkrétní účel
Každá činnost s osobními údaji musí mít jasně určený účel a odpovídající právní důvod.
GDPR připouští několik právních základů, například plnění smlouvy, právní povinnost, ochranu životně důležitých zájmů, plnění úkolu ve veřejném zájmu, oprávněný zájem nebo souhlas. Tyto základy nejsou vzájemně zaměnitelné a musí odpovídat skutečnému vztahu mezi organizací, člověkem a daným procesem.
Souhlas není univerzálním řešením. Musí být svobodný, konkrétní, informovaný a jednoznačný a jeho odvolání nesmí být složitější než jeho udělení. Pokud je zpracování nezbytné kvůli zákonné povinnosti nebo plnění smlouvy, musí být právní důvod popsán pravdivě.
Změna účelu může vyžadovat nové posouzení slučitelnosti, aktualizaci informační povinnosti a úpravu rozsahu dat, přístupů nebo doby uchování.
Evidence zpracování a datová mapa
Organizace potřebuje průběžný přehled o kategoriích osobních údajů, účelech, právních důvodech, příjemcích, systémech, dodavatelích, přenosech, bezpečnostních opatřeních a dobách uchování.
Evidence činností zpracování nemá být izolovaná tabulka, která se aktualizuje pouze před kontrolou. Měla by být propojena s vlastníky procesů, aplikačním katalogem, datovými toky, smlouvami a skutečnými technickými integracemi.
Organizace nemůže spolehlivě chránit ani odstranit data, o jejichž existenci, umístění nebo kopírování nemá přehled.
Datová mapa pomáhá určit, odkud údaje přicházejí, jakými transformacemi procházejí, do kterých systémů se kopírují a kdo odpovídá za jejich další použití.
Práva lidí nejsou výjimka z procesu
Lidé mohou podle okolností uplatnit právo na informace, přístup, opravu, výmaz, omezení zpracování, přenositelnost nebo námitku proti zpracování. [3]
Vyřízení žádosti by nemělo znamenat ruční hledání napříč dokumenty, e-maily, tabulkami a oddělenými systémy. Organizace musí být schopná ověřit totožnost žadatele, určit rozsah údajů a koordinovat odpověď napříč vlastníky systémů.
Jednotlivá práva nejsou absolutní a mohou mít zákonné výjimky. Rozhodnutí o omezení nebo odmítnutí žádosti ale musí být konkrétní, odůvodněné a dohledatelné.
Dobře nastavené datové prostředí pomáhá určit, kde se údaje nacházejí, kdo za ně odpovídá a jak lze provedené kroky zpětně doložit.
Lhůty, ověření identity a auditní stopa
Žádosti subjektů údajů musí mít známého vlastníka, evidovaný čas přijetí a kontrolovaný postup vyřízení. Organizace musí sledovat zákonné lhůty a včas rozpoznat případy, které vyžadují koordinaci právní, provozní a technické části.
Ověření identity má zabránit vydání údajů neoprávněné osobě, ale nesmí se automaticky měnit v nepřiměřenou překážku pro výkon práv.
Ochrana údajů už v návrhu systému
Data protection by design and by default vyžaduje, aby byla ochrana osobních údajů součástí návrhu procesu a technologie od počátku, nikoliv dodatečnou opravou před spuštěním. [2]
Návrh má zohlednit rozsah sbíraných údajů, výchozí nastavení, přístupová oprávnění, dobu uchování, logování, exporty, integrační rozhraní a možnost vyhovět právům subjektů údajů.
Výchozí konfigurace má zpřístupňovat pouze údaje nezbytné pro daný účel. Uživatel ani správce nemá být nucen aktivně vypínat nadbytečné sdílení, dlouhé uchování nebo příliš široká oprávnění.
Nejlevnější bezpečnostní a právní problém je ten, který nevznikne, protože systém od počátku nesbírá nebo nesdílí více osobních údajů, než skutečně potřebuje.
Řízení identit a přístupových oprávnění
Přístup k osobním údajům má být přiřaditelný konkrétní osobě nebo řízené technické identitě. Sdílené účty oslabují dohledatelnost a komplikují vyšetřování incidentů.
Oprávnění se přidělují podle pracovních rolí a principu nejmenších privilegií. Přístup má být změněn při přesunu pracovníka do jiné role a bez zbytečného odkladu odebrán při ukončení spolupráce.
Oprávněný účet ještě neznamená oprávněné použití dat. Organizace musí řídit nejen to, kdo se přihlásí, ale také co smí s konkrétními údaji provést.
Auditní záznamy mají zachycovat přístup k citlivým datům, významné změny, exporty, administrátorské operace a pokusy o obejití běžných kontrol.
Doba uchování a skutečné odstranění
Doba uchování musí vycházet z účelu, právní povinnosti, smluvních potřeb a obhajoby právních nároků. Obecná formulace „po nezbytně nutnou dobu“ sama o sobě neřídí reálný provoz.
Pravidla musí pokrýt produkční databáze, dokumentová úložiště, exporty, analytické vrstvy, testovací prostředí i zálohy. Odstranění z jednoho systému nemusí automaticky odstranit všechny kopie.
Zpracovatelé, subdodavatelé a smluvní odpovědnost
Organizace často využívá cloudové platformy, analytické služby, podporu, hosting nebo další dodavatele, kteří mohou s osobními údaji pracovat jejím jménem.
Role správce a zpracovatele se neurčuje pouze názvem smlouvy. Rozhodující je, kdo skutečně určuje účely a podstatné prostředky zpracování a kdo jedná podle doložených pokynů. [4]
Před zahájením spolupráce je nutné vyhodnotit bezpečnost, rozsah přístupu, umístění dat, využití dalších zpracovatelů, postup při incidentu a způsob vrácení nebo odstranění údajů po ukončení služby.
Smlouva musí odpovídat skutečnému provozu. Pokud se změní integrační architektura, subdodavatel nebo způsob použití dat, musí se změna promítnout také do evidence, posouzení rizik a smluvního nastavení.
Předávání údajů mimo Evropský hospodářský prostor
Přenos osobních údajů do třetí země vyžaduje vedle běžných pravidel zpracování také odpovídající mechanismus pro mezinárodní předání a posouzení skutečné úrovně ochrany.
Organizace musí znát nejen sídlo přímého dodavatele, ale také umístění infrastruktury, podpory, záloh a navazujících subdodavatelů. Formální smluvní dokument bez znalosti skutečného datového toku neposkytuje dostatečný přehled.
Technická opatření, jako je silné šifrování a řízení klíčů, mohou být důležitou součástí ochrany, nenahrazují však právní základ ani posouzení konkrétního přenosu.
Posouzení vlivu na ochranu osobních údajů
Pokud může plánované zpracování s ohledem na svou povahu, rozsah, kontext nebo účel pravděpodobně vést k vysokému riziku pro práva a svobody lidí, je nutné před jeho zahájením provést posouzení vlivu.
DPIA má popsat zpracování, vyhodnotit jeho nezbytnost a přiměřenost, určit rizika a navrhnout opatření. Nemá být pouze formálním dokumentem vytvořeným po dokončení návrhu.
Porušení zabezpečení osobních údajů
Incidentem není pouze zveřejnění databáze. Porušením může být také ztráta dostupnosti, neoprávněná změna, chybné odeslání, ztracené zařízení nebo přístup osoby, která údaje neměla vidět.
Organizace musí umět incident rychle rozpoznat, omezit jeho dopad, určit dotčené údaje a osoby, vyhodnotit riziko a uchovat důkazy o přijatých rozhodnutích.
Pokud porušení pravděpodobně představuje riziko pro práva a svobody fyzických osob, správce jej oznamuje příslušnému dozorovému úřadu bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl. Některé případy mohou vyžadovat také informování dotčených osob. [5]
Hodiny se nezačínají počítat až ve chvíli, kdy má organizace dokončené vyšetřování. Proto musí mít předem určený postup, odpovědnosti a eskalační kontakty.
Automatizované rozhodování a profilování
Systémy, které hodnotí chování, riziko, způsobilost nebo jiné charakteristiky lidí, mohou zasahovat do jejich práv i tehdy, když používají běžná provozní data.
Organizace musí rozlišit podporu lidského rozhodování od situace, kdy je rozhodnutí založeno výhradně na automatizovaném zpracování a má právní nebo obdobně významný dopad.
Transparentnost vyžaduje srozumitelně vysvětlit účel, vstupní údaje, odpovědnost a dostupné možnosti nápravy. Nestačí pouze uvést, že systém používá algoritmus nebo umělou inteligenci.
GDPR v prostředí Atodatu
Datové a automatizační prostředí má organizaci pomáhat spojit právní odpovědnost s reálným tokem informací.
Atodat může podporovat dohledatelnost zdrojů dat, jejich transformací, vlastníků a navazujících procesů. Tato vrstva pomáhá při aktualizaci evidence zpracování, vyhodnocování dopadu změn a určování míst, kde vznikají další kopie osobních údajů.
Řízení přístupů a auditní stopa umožňují spojit konkrétní identitu s operacemi provedenými nad daty. To podporuje interní kontrolu, vyšetřování incidentů i prokazování odpovědnosti.
Automatizace může zrychlit vyhledání údajů, aplikaci retenčních pravidel nebo koordinaci žádostí subjektů údajů. Musí však fungovat nad přesnými pravidly, schválenými odpovědnostmi a kontrolovanými výjimkami.
Technologie může pomoci povinnosti plnit a dokazovat. Sama o sobě ale neurčuje právní účel, přiměřenost ani odpovědnost za konkrétní zpracování.
Co je nutné rozhodnout před nasazením
Organizace musí vymezit účel, právní důvod, rozsah údajů, vlastníka procesu, příjemce, dodavatele, dobu uchování, přístupová oprávnění a způsob vyřizování práv subjektů údajů.
Dále je nutné určit, jak budou změny systému promítnuty do evidence, kdo posoudí nové riziko, jak budou testována retenční pravidla a kdo bude rozhodovat o výjimkách.
Součástí návrhu má být také postup při incidentu, kontrola mezinárodních přenosů, správa zpracovatelů a ověření, že výchozí nastavení odpovídá zásadě minimalizace.
Co to znamená pro zákazníka Atodatu
Pro zákazníka není nejdůležitější množství interních dokumentů, ale schopnost organizace propojit pravidla s konkrétními daty, systémy a odpovědnostmi.
Dobře řízené prostředí umožňuje vysvětlit, proč se údaje zpracovávají, kdo k nim má přístup, jak dlouho zůstávají v jednotlivých systémech a jak se organizace vypořádá s žádostí, změnou nebo incidentem.
Přístup Atodatu je založený na sledovatelnosti dat, řízení oprávnění a propojení provozního kontextu s konkrétními vlastníky a rozhodnutími.
Odpovědnost nevzniká jedním dokumentem. Vzniká schopností průběžně řídit životní cyklus dat a zpětně prokázat, proč byl každý významný krok proveden.
Chcete projít datové toky, přístupová oprávnění, retenční pravidla nebo požadavky vašeho projektu?
Zdroje a další informace
[1] Evropská unie — Nařízení Evropského parlamentu a Rady (EU) 2016/679 — GDPR
[2] European Data Protection Board — Guidelines 4/2019 on Data Protection by Design and by Default
[3] European Data Protection Board — Data subject rights
[4] European Data Protection Board — Guidelines 07/2020 on the concepts of controller and processor
[5] European Data Protection Board — Porušení zabezpečení osobních údajů
[6] Úřad pro ochranu osobních údajů — Základní příručka k ochraně osobních údajů