ЕU GENERAL DATA PROTECTION REGULATION ОПШТА УРЕДБА ЕУ О ЗАШТИТИ ПОДАТАКА

Transcription

1 ЕU GENERAL DATA PROTECTION REGULATION ОПШТА УРЕДБА ЕУ О ЗАШТИТИ ПОДАТАКА Повереник за информације од јавног значаја и заштиту података о личности Удружење банака Србије,

2 Шта је Општа уредба о заштити података ЕУ? -Пун назив: Уредба Европског савета и парламента од 27. априла о заштити физичких лица у односу на обраду података о личности, слободном кретању таквих података и о стављању Директиве 95/46/ЕЗ ван снаге (Општа уредба); -документ од значаја за Европски економски простор (EEП) (28 земаља чланица ЕУ + Норвешка, Исланд и Лихтенштајн); -објављена у Службеном листу ЕУ године; -примена од године; -поступак доношења трајао је 4 године, од , са највећим бројем поднетих амандмана на један документ ЕУ!

3 Разлози за доношење Опште уредбе Заштита појединца у дигиталном окружењу -комуникација путем ИТ уређаја (нарочито друштвене мреже); -информисање путем Интернета; -коришћење Интернета за промет роба и услуга; -пренос података у друге земље унутар и изван ЕУ ЕЕП...

4 Разлози за доношење Опште уредбе

5 Разлози за доношење Опште уредбе Јединствено дигитално тржиште ЕУ - ЕЕП Стратегија јединственог дигиталног тржишта ЕУ, усвојена године Циљеви: 1.бољи приступ потрошача и привредних субјеката дигиталним добрима и услугама; 2.стварање окружења које погодује развоју дигиталних мрежа и услуга; 3.стварање европске дигиталне привреде и друштва са дугорочним потенцијалом раста.

6 Примена Опште уредбе I - Непосредно ће се примењивати у свим земљама ЕЕП ; (Директива 46/95 је морала бити преузета националним законодавством) II - Примењиваће се и на обраду података о личности лица на које се подаци односе у Унији коју врши руковалац или обрађивач који нема седиште у Унији, ако су активности обраде повезане са: (а) нуђењем робе или услуга таквим лицима на које се подаци односе у Унији, независно од тога да ли лице на које се подаци односе треба да изврши плаћање или (б) праћењем њиховог понашања, под условом да се њихово понашање одвија унутар Уније, и тада је руковалац или обрађивач дужан да одреди свог представника у једној земљи чланици у којој се налазе лица на која се подаци односе, уз изузетке. III - Високи износи казни за неусклађеност или непоступању по налогу надзорног органа за заштиту података о личности државе чланице: -до 20 милиона евра или до 4% од укупног прошлогодишњег промета на светском нивоу; -изричу их надзорни органи за заштиту података о личности или судови држава.

7 Преамбула Опште уредбе Преамбула има 173 става (!) у којима се објашњавају разлози доношења, најважнији појмови и принципи на којима се Општа уредба заснива, па тако нпр: - став 30 - Online идентификатори (IP адресе, RFID или cookie идентификатори), нарочито у вези са другим подацима који се бележе на серверима, могу бити искоришћени за идентификацију и профилисање физичких лица; - став 43 слободно дати пристанак за обраду података о личности (претпоставка је да није слободно дат уколико није омогућено да буде дат одвојено од других врста обраде иако је то могуће у конкретном случају); - став 47 легитимни интерес руковаоца који претеже у односу на право на заштиту података о личности као правни основ обраде; - став 70 директни маркетинг лице има право да се у сваком тренутку и бесплатно успротиви обради својих података у сврху директног маркетинга, укључујући профилисање које се при томе обавља, о чему мора да буде обавештено на јасан начин и одвојено од свих других информација; - став 71 профилисање аутоматска обрада података којом се процењују лични аспекти у вези са физичким лицем, нпр. радни учинак, финансијски капацитет, здравље.

8 Нормативни део Опште уредбе Нормативни део Опште уредбе има 99 чланова и подељен је на следећих 11 поглавља: -Опште одредбе (предмет и циљеви, подручје примене, дефиниције); -Начела обраде података о личности; -Права лица на које се подаци односе; -Руковалац и обрађивач; -Пренос података о личности у треће земље или међународне организације; -Независни надзорни органи; -Сарадња и конзистентност у примени Опште уредбе; -Правна средства, одговорност и санкције; -Посебне ситуације обраде података о личности; -Делегирани акти и акти за спровођење Опште уредбе; -Завршне одредбе.

9 Начела обраде података о личности -законитост и транспарентност; -јасно одређена, изричита и законита сврха; -обрада минималног броја података потребних за остварење сврхе (data minimisation); -тачност и ажурност података; -ограниченост времена чувања података; -интегритет и поверљивост података.

10 Права лица на које се подаци односе -на информисаност; -на увид у податке и копију података у машински читљивом облику (data portability); -на oпозив пристанка, исправку, прекид обраде и брисање података (right to be forgotten); -на приговор на обраду која се врши по основу легитимног интереса руковаоца, нарочито на директни маркетинг, профилисање и аутоматизовану обраду; -на обавештење о продору у безбедност његових података; -да се обрати надзорном органу и правно средство против његове одлуке; -на накнаду материјалне и нематеријалне штете настале кршењем Опште уредбе.

11 Обавезе руковалаца 1.Одређивање представника у једној од земаља ЕУ; 2.Вођење евиденције о обради података о личности; 3. Обезбеђење сигурности података организационе и техничке мере (укључујући принципе privacy by design & by default); 4.Омогућавање остваривања права лица на која се подаци односе; 5.Сарадња са надзорним органом; 6.Обавештавање надзорног органа и лица на које се подаци односе о продору у безбедност података; 7.Израда процене утицаја на заштиту података- У ПРОПИСАНИМ СЛУЧАЈЕВИМА; 8.Консултације са надзорним органом пре почетка обраде- У ПРОПИСАНИМ СЛУЧАЈЕВИМА; 9.Именовање овлашћеног лица за заштиту података о личности-осим ЗА ИЗУЗЕТКЕ. Кодекси поступања и одобрени механизми сертификације нису обавезни али могу да послуже за доказивање усклађености са Општом уредбом.

12 Privacy by design & by default Руковалац мора применити организационе и техничке мере: -како би спровео начела обраде података о личности и уградио заштитне механизме пре и у току обраде - privacy by design; -како би обезбедио да се обрађују само они подаци о личности који су неопходни за остваривање конкретне сврхе и то по обиму и трајању обраде, доступности и времену чувања података - privacy by default. Мере се планирају узимајући у обзир најновији технолошки развој, трошкове спровођења, природу, обим, контекст и сврху обраде, као и ризике различитих степена вероватноће и озбиљности за права и слободе физичких лица који произилазе из обраде података.

13 Обавезе обрађивача -Да именује представника у једној од земаља ЕУ; -да примењује техничке и организационе мере у складу са захтевима Опште уредбе; -да врши обраду само у складу са уговором закљученим са руковаоцем; -да води евиденцију о обради; -да обавести руковаоца о продору у безбедност података; -да именује одговорно лице за заштиту података (data protection officer) - У ПРОПИСАНИМ СЛУЧАЈЕВИМА; -да сарађује са надзорним органом.

14 Техничке и организационе мере за заштиту података Изричито су наведене: -псеудонимизација и енкрипција; -обезбеђивање трајне поверљивости, целовитости, доступности и отпорности система обраде и услуга; -обезбеђивање поновне доступности и приступа подацима у случају инцидента; -процеси редовног тестирања и процене ефикасности. При процени потребних мера нарочито треба узети у обзир ризике од изненадног или незаконитог уништења, губитка, промене, неовлашћеног откривања или приступа подацима.

15 Процена утицаја на заштиту података Ако је вероватно да ће нека врста обраде, посебно применом нових технологија и узимајући у обзир природу, обим, околности и сврхе обраде, проузроковати велики ризик за права и слободе физичких лица, руковалац пре обраде врши процену утицаја предвиђених поступака обраде на заштиту података о личности. Једна процена може да се односи на више сличних поступака обраде који представљају сличне велике ризике. Процена утицаја на заштиту података из става 1. обавезна је посебно у случају: (а)систематске и обимне процене личних аспеката у вези с физичким лицима која се заснива на аутоматизованој обради, укључујући и израду профила, и која је основ за доношење одлука које производе правно дејство у односу на физичко лице или на сличан начин значајно утичу на физичко лице; (б)масовне обраде посебних категорија података о личности из члана 9. став 1. или података који се односе на кривичну и прекршајну осуђиваност из члана 10; или (в)обимног систематског праћења јавно доступног простора.

16 Претходне консултације са надзорним органом Руковалац се консултује с надзорним органом пре обраде ако је процена утицаја у вези са заштитом података из члана 35. показала да би обрада проузроковала велики ризик у случају да руковалац не примени мере за ублажавање ризика. Приликом консултација с надзорним органом у складу са ставом 1, руковалац надзорном органу доставља: (а)уколико је применљиво, одговарајуће одговорности руковаоца, заједничких руковалаца и обрађивача који учествују у обради, посебно у случају обраде унутар групе повезаних друштава; (б)сврху и средства намераване обраде; (в)заштитне мере и друге мере за заштиту права и слобода лица на која се подаци односе у складу с овом уредбом; (г)уколико је применљиво, податке за контакт овлашћеног лица за заштиту података; (д)процену утицаја у вези са заштитом података из члана 35; и (ђ)све друге информације које надзорни орган затражи. У поступку консултација надзорни орган има овлашћења из члана 58. Опште уредбе, укључујући и привремену или трајну забрану обраде.

17 Овлашћено лице за заштиту података - I Руковалац и обрађивач именују овлашћено лице за заштиту података увек када: (а)обраду врши орган јавне власти или јавно тело, осим судова који поступају у оквиру своје судске надлежности; б)се основне делатности руковаоца или обрађивача састоје из радњи обраде које због своје природе, обима и/или сврха захтевају редовно и систематско масовно праћење лица на која се подаци односе, или (в)се основне делатности руковаоца или обрађивача састоје из масовне обраде посебних категорија података и података о личности који се односе на кривичну и прекршајну осуђиваност. Група повезаних друштава може да именује једно овлашћено лице за заштиту података, под условом да је овлашћено лице за заштиту података лако доступно из сваке пословне јединице. Овлашћено лице за заштиту података може да буде члан особља руковаоца или обрађивача или може да обавља послове на основу уговора о делу.

18 Овлашћено лице за заштиту података - II Овлашћено лице за заштиту података именује се на основу стручних квалификација, а посебно стручног знања о законодавству и пракси у области заштите података и способности обављања задатака из члана 39 Опште уредбе. Руковалац или обрађивач објављује податке за контакт овлашћеног лица за заштиту података и саопштава их надзорном органу. Руковалац или обрађивач морају на одговарајући начин и благовремено да укључе овл. лице у сва питања која се тичу заштите података о личности, пружајући му потребна средства за извршавање тих задатака и остваривање приступа подацима о личности и поступцима обраде, као и за одржавање његовог стручног знања. Овл. лице не прима никакве инструкције приликом обављања тих задатака а руковалац или обрађивач не смеју да га разреше дужности или казне због тога што обавља своје задатке. Овлашћено лице одговара непосредно највишем нивоу руководства руковаоца или обрађивача. Лица на која се подаци односе могу да се обрате овлашћеном лицу за сва питања која се тичу обраде њихових података о личности и остваривања њихових права из Опште уредбе. Овл. лице за заштиту података обавезано је тајношћу или поверљивошћу у вези с обављањем својих задатака, у складу с правом Уније или правом државе чланице. Овл. лице може да обавља и друге задатке и дужности, aко не доводе до сукоба интереса.

19 Овлашћено лице за заштиту података - III Овлашћено лице за заштиту података обавља најмање следеће задатке: (а)информисање и саветовање руковаоца или обрађивача и запослених који врше обраду о њиховим обавезама у складу с Општом уредбом и другим одредбама права Уније или права државе чланице о заштити података; (б)праћење усклађености с Општом уредбом и другим одредбама права Уније или права државе чланице о заштити података, као и политикама руковаоца или обрађивача у вези са заштитом података о личности, укључујући и поделу одговорности, подизање свести и оспособљавање особља које учествује у радњама обраде, као и с тим повезане ревизије; (в)пружање савета, када је то затражено, у погледу процене утицаја у вези са заштитом података и праћење њеног извршавања у складу са чланом 35; (г)сарадња с надзорним органом; (д)деловање као контактна тачка за надзорни орган о питањима која се тичу обраде, што укључује и претходне консултације из члана 36, а у одговарајућим случајевима и саветовање о другим питањима. Овлашћено лице за заштиту података приликом обављања својих задатака води рачуна о ризицима везаним за радње обраде и узима у обзир природу, обим, околности и сврхе обраде.

20 Koдекси поступања I Нису обавезни али могу допринети доказивању усклађености са Општом уредбом; -могу их припремати удружења и друга тела која представљају руковаоце или обрађиваче из одређених области, у сврху прецизирања примене Опште уредбе у тим областима; -приликом њихове израде треба узети у обзир спрецифичности различитих области у којима се врши обрада и посебне потребе микро, малих и средњих правних лица; -одобравају их надзорни органи држава а спровођење надзиру исти органи или посебна тела која акредитују надзорни органи држава.

21 Koдекси поступања II Општа уредба као примере питања која треба уредити кодексима поступања наводи следеће: -правична и транспарентна обрада; -легитимни интерес руковалаца у специфичном контексту; -прикупљање података о личности; -псеудонимизацију података о личности; -информисање јавности и лица на која се подаци односе; -остваривање права лица на која се подаци односе; -информисање и остваривање права деце и начин прибављања пристанка њихових родитеља/старатеља; -примену организационих и техничких мера за заштиту података о личности и принципа privacy by design & by default; -обавештавање надзорног органа и лица на које се подаци односе о продору у безбедност података; -пренос података у треће земље или међународне организације; -вансудске поступке и друге механизме решавања спорова између руковалаца и лица на која се подаци односе.

22 Сертификација Није обавезна али може допринети доказивању усклађености са Општом уредбом; -може да буде успостављена ради доказивања постојања одговарајућих заштитних мера које руковаоци и обрађивачи на које се уредба не примењује обезбеђују у оквиру преноса података о личности трећим земљама или међународним организацијама, путем уговорних или других правно обавезујућих инструмената којима преузимају обавезе примене одговарајућих заштитних мера, укључујући и мере везане за права лица на која се подаци односе; -додељују се сертификати, печати и ознаке за заштиту података; -сертификацију врше сертификациона тела, надзорни орган државе или Европски одбор; -сертификат се руковаоцу или обрађивачу издаје на највише три године и може се обновити под истим условима.

23 Изношење података из ЕУ-ЕЕП Може се вршити по основу: I - одлуке о адекватности треће земље одн. међ. организације; II - примене адекватних мера заштите (обавезујућа корпоративна правила, стандардне уговорне клаузуле, одобрени кодекси понашања или механизми сертификације); III под једним од следећих услова: а) лице на које се подаци односе је изричито пристало на предложени пренос након што је упознато с могућим ризицима таквих преноса за лица на која се подаци односе због непостојања одлуке о адекватности и одговарајућих заштитних мера; (б) пренос је потребан за извршење уговора између лица на које се подаци односе и руковаоца или примену предуговорних мера на захтев лица на које се подаци односе; (в) пренос је потребан ради склапања или извршења уговора склопљеног у интересу лица на које се подаци односе између руковаоца и другог физичког или правног лица; (г) пренос је потребан из важних разлога јавног интереса; (д )пренос је потребан за постављање, остваривање или одбрану правних захтева; (ђ )пренос је потребан за заштиту животно важних интереса лица на које се подаци односе или других лица ако лице на које се подаци односе физички или правно није способан да дâ пристанак; (е) пренос се врши из регистра који према праву Уније или праву државе чланице служи за пружање информација јавности и који је доступан за увид јавности или било ком лицу које може да докаже постојање легитимног интереса, али само ако су испуњени услови прописани правом Уније или правом државе чланице за увид у том посебном случају.

24 Надзор над применом Опште уредбе Врше га независни надзорни органи држава; -широка овлашћења надзорних органа (забрана обраде, брисање података, кажњавање итд.); -обавеза сарадње са надзорним органом; -јачање механизама међусобне сарадње и координације надзорних органа; -Европски одбор за заштиту података.

25 Захваљујем Вам се на пажњи! Повереник за информације од јавног значаја и заштиту података о личности Београд, Булевар краља Александра бр. 15 Тел. 011/ Марко Драгумило, виши саветник Шеф Одсека у Сектору за надзор