GDPR a bezpečnost: propojte ochranná opatření se zpracováním

Dobře řízený systém řízení bezpečnosti informací poskytuje pro GDPR užitečné procesy: správu přístupů, řešení incidentů, hodnocení dodavatelů a odolnost. Ochrana osobních údajů se však ptá také na to, proč je zpracování zákonné, přiměřené a transparentní. Tyto otázky se setkávají v téže obchodní činnosti, vyžadují ale odlišná rozhodnutí.

Úkolem vedení je propojit je, aniž by jedno považovalo za náhradu druhého. Zabezpečená databáze zákazníků může stále obsahovat informace, které firma neměla shromažďovat. Platná smlouva se zákazníkem neprokazuje, že každý, kdo má do databáze přístup, tento přístup skutečně potřebuje. Certifikát ISO 27001 neřeší ani jednu z těchto otázek.

Praktickým výchozím bodem je proto zpracování, nikoli katalog opatření. Určete, co chce firma s osobními údaji dělat, posuďte, zda je taková činnost přípustná, a teprve poté vyberte ochranná opatření podle důsledků možného selhání. Uchovejte zdůvodnění, důkazy, odpovědného vlastníka a další událost, která by měla vyvolat přezkum.

Určete, které zpracování a které odpovědnosti spadají do rozsahu

Obecné nařízení o ochraně osobních údajů upravuje zpracování osobních údajů. Zpracování zahrnuje shromažďování, uložení, nahlédnutí, zpřístupnění, pozměnění i výmaz. Osobními údaji jsou veškeré informace o identifikované nebo identifikovatelné fyzické osobě; nejde jen o jména nebo zjevně citlivé záznamy.

Osobními údaji mohou být pracovní e-mailové adresy, identifikátory zaměstnanců, identifikátory zařízení, historie polohy i konverzace s podporou. Zda konkrétní identifikátor osobním údajem je, závisí na kontextu a na prostředcích, které lze s rozumnou pravděpodobností použít k identifikaci osoby. Nahrazení jmen referenčními čísly obvykle vede k pseudonymizovaným, nikoli anonymním údajům, pokud zůstává možná opětovná identifikace. Pseudonymizované osobní údaje nadále spadají pod GDPR.

Před volbou provozního modelu ověřte územní působnost

Článek 3 se vztahuje na zpracování v souvislosti s činností provozovny v EU, i když samotné zpracování probíhá jinde. Může se vztahovat i na organizaci mimo EU, pokud její zpracování souvisí s nabídkou zboží nebo služeb osobám v Unii nebo s monitorováním jejich chování v Unii. Samotná dostupnost webu otázku zacílení nerozhoduje; posuďte skutečnou nabídku a skutečnou monitorovací činnost.

Pokud se uplatní čl. 3 odst. 2, může článek 27 vyžadovat zástupce v Unii. Výjimky z této povinnosti jsou omezené a nezávisejí jednoduše na velikosti firmy. Výjimka pro příležitostné zpracování navíc vyžaduje splnění stanovených podmínek týkajících se citlivých údajů a rizika. Zástupce nenahrazuje správce, pověřence ani odpovědné vedení.

GDPR vstoupilo v platnost 24. května 2016 a použije se od 25. května 2018. Pro současná rozhodnutí rozlišujte platné právo od navrhovaných zjednodušení. Tisková zpráva o možné výjimce není důvodem k zastavení stávajícího procesu zajištění souladu.

Role určujte podle činnosti, ne podle označení firmy

Správce určuje účely a prostředky zpracování. Zpracovatel zpracovává osobní údaje jménem správce. Společní správci společně určují účely a prostředky a potřebují ujednání podle článku 26, které odráží jejich příslušné odpovědnosti.

Jedna firma může zastávat několik rolí. Poskytovatel softwaru může být zpracovatelem u záznamů nahraných zákazníky a správcem u vlastních mezd, správy účtů a některých bezpečnostních činností. Označení ve smlouvě s dodavatelem je relevantní, nemůže však převážit to, co strany skutečně dělají.

Prvním výstupem by mělo být krátké rozhodnutí o rozsahu: dotčené činnosti, organizační jednotky, role správce nebo zpracovatele, trhy a nevyřešené otázky. Určete vlastníka, který nejasnosti vyřeší dříve, než související zpracování začne nebo se rozšíří.

Oddělte obchodní účel od právního základu

Články 5 a 6 tvoří základ běžného zpracování osobních údajů. Bezpečnost je jednou částí tohoto základu, nikoli cestou, jak jej obejít.

Zásady podle článku 5 se obvykle uvádějí jako sedm: zákonnost, korektnost a transparentnost; omezení účelem; minimalizace údajů; přesnost; omezení uložení; integrita a důvěrnost; a odpovědnost. Odpovědnost vyžaduje, aby správce za soulad odpovídal a byl schopen jej doložit. Nevyžaduje konkrétní softwarový produkt, vyžaduje však obhajitelné vysvětlení podložené vhodnými důkazy.

Převeďte každou zásadu na obchodní otázku:

Pro každý účel zvolte právní základ

Článek 6 stanoví šest právních základů. Jejich podmínky jsou důležitější než jejich názvy:

• Souhlas: svobodný, konkrétní, informovaný a jednoznačný projev vůle, který lze odvolat.
• Smlouva: zpracování nezbytné pro splnění smlouvy s danou osobou nebo pro provedení opatření přijatých před uzavřením smlouvy na její žádost.
• Právní povinnost: zpracování nezbytné pro splnění příslušné právní povinnosti.
• Životně důležité zájmy: zpracování nezbytné pro ochranu životně důležitých zájmů určité osoby.
• Veřejný úkol: zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, s potřebným právním základem.
• Oprávněné zájmy: zpracování nezbytné pro účely oprávněných zájmů, pod podmínkou vyvážení těchto zájmů se zájmy, právy a svobodami dané osoby.

Neuvádějte několik právních základů jako zaměnitelné pojištění. Určete základ, který každý účel skutečně podporuje, a sdělte jej přesně. Doplnění ustanovení do smlouvy se zákazníkem automaticky neznamená, že je zpracování pro tuto smlouvu nezbytné. Podobně oprávněný zájem vyžaduje posouzení; není obecným povolením používat dostupné údaje.

Jako praktické doporučení zdokumentujte test oprávněného zájmu, který pokryje sledovaný zájem, nezbytnost, dopady na lidi, jejich rozumná očekávání a ochranná opatření. Zvažte méně invazivní alternativy. Analýzu udržujte přiměřenou dané činnosti, ale dostatečně konkrétní, aby jí porozuměl i někdo mimo projekt.

Souhlas není univerzálně bezpečnější. Tam, kde okolnosti vyžadují volbu, musí být skutečně dobrovolný a jeho odvolání musí v praxi fungovat. Pracovněprávní vztahy vyvolávají zvláštní pochybnosti o tom, zda je souhlas udělen svobodně. Odvolání ukončuje zpracování založené na tomto souhlasu do budoucna; automaticky nevymaže záznamy, na které se vztahují samostatné zákonné povinnosti uchovávání. Nepřevádějte totéž zpracování zpětně na jiný základ jen proto, že byl souhlas odvolán. Jakékoli samostatné zpracování, například zákonem vyžadované uchovávání, potřebuje vlastní použitelný základ a odpovídající transparentnost.

Zvláštní kategorie údajů, například informace o zdravotním stavu, vyžadují kromě základu podle článku 6 také podmínku podle článku 9. Pro údaje o rozsudcích v trestních věcech a trestných činech platí samostatné požadavky článku 10. Firma by žádnou z těchto kategorií neměla schválit jen proto, že již bylo posouzeno běžné zpracování údajů zákazníků.

Vytvořte záznam o zpracování, který může řídit rozhodování

Záznamy o činnostech zpracování podle článku 30 jsou užitečné, protože propojují právní analýzu s provozní realitou. Záznam správce obsahuje účely, kategorie subjektů údajů a osobních údajů, příjemce, předávání, je-li to možné plánované lhůty pro výmaz a je-li to možné obecný popis bezpečnostních opatření. Zpracovatelé mají odlišnou povinnost vést záznamy, která se týká zpracování prováděného jménem správců.

Výjimka pro organizace s méně než 250 zaměstnanci je podmíněná. Nevztahuje se na zpracování, které není příležitostné, které pravděpodobně představuje stanovené riziko nebo zahrnuje stanovené citlivé kategorie údajů. Malá firma s průběžným zpracováním údajů zaměstnanců nebo zákazníků by neměla předpokládat, že ji počet zaměstnanců povinnosti vést záznamy zbavuje.

Jako organizační jednotku používejte činnosti zpracování. „Cloudová infrastruktura“ je obvykle příliš široký pojem na to, aby vysvětlila, proč se údaje zpracovávají. „Vyřizování požadavků na zákaznickou podporu“ je užitečnější, protože má účel, identifikovatelné osoby, kategorie údajů, příjemce, pravidla uchovávání a podpůrné systémy.

Praktický pracovní záznam může jít nad rámec zákonných položek:

• Vlastník v byznysu a posuzovatel za ochranu osobních údajů.
• Účel a příslušný právní základ.
• Zdroje údajů, kategorie a dotčené skupiny osob.
• Vztahy správce, zpracovatele nebo společných správců.
• Aplikace, exporty, logy a navazující příjemci.
• Pravidla uchovávání a způsob provádění výmazu.
• Odkazy na informace o zpracování, vyřizování práv, dodavatele a předávání.
• Výsledek předběžného posouzení potřeby DPIA a propojená ochranná opatření.
• Datum schválení, nevyřešené úkoly a spouštěče přezkumu.

Doplňující položky jsou doporučením pro koordinaci, nikoli tvrzením, že článek 30 výslovně vyžaduje každou z nich. Jejich hodnota spočívá v tom, že záznam je použitelný při spuštění produktu, žádosti o přístup, změně dodavatele nebo incidentu.

Sladěte záznam se systémy, které lidé skutečně používají

Roční dotazník pravděpodobně neodhalí každý export do tabulky, zkušební aplikaci nebo předplatné AI na úrovni týmu. Porovnejte záznam s informacemi z nákupu, seznamy schválených aplikací, inventáři systémů a rozhovory s vlastníky procesů. Projděte sdílené disky a ruční předávání tam, kde podstatně ovlivňují danou činnost.

Nezaměňujte inventář aktiv se záznamem o zpracování. Inventář aktiv popisuje systémy a závislosti; záznam o zpracování popisuje použití osobních údajů. Propojte je tak, aby jedna aplikace mohla podporovat několik účelů, aniž by se tyto účely slily do nejasného popisu.

Další kontext k pracovnímu postupu najdete v článku vyhledávání dat a ochrana soukromí. Výsledkem vyhledávání by měl být přezkoumatelný seznam nesrovnalostí, nikoli předpoklad, že každé nalezené pole bylo správně klasifikováno nebo právně posouzeno.

Převeďte článek 32 na ochranná opatření pro skutečné důsledky

Článek 32 GDPR vyžaduje, aby správci a zpracovatelé zavedli technická a organizační opatření odpovídající riziku. Posouzení zohledňuje stav techniky, náklady na provedení, povahu, rozsah, kontext a účely zpracování a pravděpodobnost a závažnost rizik pro práva a svobody osob.

Mezi relevantní důsledky patří náhodné nebo protiprávní zničení, ztráta, pozměnění, neoprávněné zpřístupnění a neoprávněný přístup. Dostupnost a integrita jsou proto stejně důležité jako důvěrnost. Ztráta přístupu ke službě může lidem uškodit, i když nebyla odcizena žádná data.

Obecné prohlášení, že „platí bezpečnost podle oborových standardů“, nestačí k vysvětlení, proč ochranná opatření odpovídají konkrétní činnosti. Začněte scénáři: kdo by mohl být dotčen, co by se mohlo stát, jak je to pravděpodobné a jak závažný by mohl být dopad. Poté propojte každý důležitý scénář s preventivními, detekčními a obnovovacími opatřeními.

Omezení přístupu by se měla řídit účelem

U činnosti podpory se ptejte, kteří pracovníci potřebují které záznamy zákazníků, zda citlivé přílohy vyžadují samostatná omezení a kdy má dočasný přístup vypršet. Zvažte privilegovanou správu, přístup dodavatelů v rámci podpory, hromadné exporty, sdílené účty a nouzový přístup.

Užitečnými důkazy jsou definice rolí, schválení přístupů, záznamy o nástupu, přesunu a odchodu zaměstnanců, ujednání o privilegovaném přístupu a dokončené přezkumy přístupů. Přístupová politika dokládá zamýšlené pravidlo. Nedávný přezkum, který ukazuje odebrání nepotřebných oprávnění, dokládá, že se pravidlo skutečně uplatňuje.

Vedení by se mělo ptát, zda organizace dokáže rozlišit oprávněný přístup od vhodného použití. Zaměstnanec může mít technicky platný účet, a přesto používat údaje k neoprávněnému účelu. Záleží na školení, dohledu, návrhu přístupů i na procesech vyšetřování.

Šifrování vyžaduje rozhodnutí o nasazení

Článek 32 uvádí šifrování a pseudonymizaci mezi opatřeními, která je třeba zvážit; neukládá univerzální plošnou povinnost šifrovat v každé situaci. Pokud šifrování zvolíte, určete, co chrání a co nechrání.

Šifrování při přenosu chrání data putující mezi koncovými body, pokud jsou protokoly a autentizace koncových bodů správně nakonfigurovány. Šifrování v klidu chrání uložená data v určitých scénářích hrozeb. Ani jedno automaticky nezabrání oprávněné aplikaci nebo administrátorovi vidět data v otevřené podobě.

Ověřte, kdo spravuje klíče, jak je přístup k nim oddělen a jak se klíče generují, rotují, odvolávají, zálohují a obnovují. Šifrování spravované poskytovatelem může být vhodné pro některá rizika a jiná ponechat nevyřešená. Šifrování, jehož klíče má k dispozici tentýž kompromitovaný aktér, nemusí posuzovaný scénář řešit.

Rozhodnutím vedení není, jaký algoritmus osobně zavést. Jde o to, zda návrh řeší relevantní riziko a zda technický vlastník dokáže tento závěr doložit. Rozdíly na úrovni opatření popisuje článek šifrování a správa klíčů.

Odolnost je třeba prokázat, ne předpokládat

Článek 32 se týká trvalé důvěrnosti, integrity, dostupnosti a odolnosti a také schopnosti včas obnovit dostupnost osobních údajů a přístup k nim v případě incidentu. Úspěšná záloha neprokazuje, že firma dokáže obnovit použitelnou službu.

Očekávání ohledně obnovy stanovte podle zpracování a důsledků přerušení. Testujte obnovu, závislosti, přihlašovací údaje a zacházení s osobními údaji v obnovených prostředích. Uchovávejte doklady o tom, co bylo obnoveno, jak dlouho to trvalo, co selhalo a co bylo opraveno. Pravidla uchovávání a výmazu musí zohledňovat i chování záloh.

Účinnost testujte relevantními důkazy

Článek 32 zahrnuje proces pravidelného testování, posuzování a hodnocení opatření. Vhodná metoda závisí na opatření: přispět mohou přezkumy přístupů, cvičení obnovy, kontroly konfigurace, hodnocení zranitelností, přezkum dodavatelů i cvičení pro řešení incidentů.

Penetrační test může být užitečný, není však univerzální náhradou těchto činností ani plošným požadavkem GDPR. Zaznamenejte testovaný rozsah a jeho omezení. Test jedné aplikace neprokazuje, že nově zavedený marketingový export, napojení dodavatele nebo proces obnovy jsou dostatečně kontrolovány.

U každého podstatného ochranného opatření veďte vlastníka, popis implementace, relevantní důkazy, datum posouzení a další spouštěč přezkumu. Jde o praktickou strukturu důkazů, nikoli o předepsanou šablonu podle článku 32.

Využijte ISMS, aniž byste slučovali závěry o bezpečnosti a ochraně soukromí

ISO/IEC 27001 se týká systému řízení bezpečnosti informací s vymezeným rozsahem. Jeho posouzení rizik, zvládání rizik, provozní procesy, interní audit a přezkoumání vedením mohou podpořit řízení ochranných opatření podle GDPR.

Tento překryv je cenný. Důkazy o správě přístupů, hodnocení dodavatelů, cvičení pro řešení incidentů a testy obnovy často není nutné pro ochranu soukromí vytvářet znovu. Jejich relevanci je však třeba ověřit vůči konkrétní činnosti zpracování a aktuálnímu rozsahu.

Certifikace nezávislým certifikačním orgánem se týká uvedeného rozsahu ISMS. Automaticky nepokrývá každý produkt, subjekt, dodavatele nebo činnost zpracování. Prohlášení o aplikovatelnosti zaznamenává rozhodnutí o použitelnosti a zvládání opatření; není prohlášením, že byly splněny všechny povinnosti podle GDPR.

ISO 27001 navíc samo o sobě není obecným zákonným režimem hlášení porušení. Oznamovací povinnosti podle GDPR je třeba posoudit samostatně. Naopak splnění GDPR neprokazuje, že organizace zavedla všechny požadavky nezbytné pro certifikaci ISO 27001.

GDPR stanoví certifikační mechanismy v článcích 42 a 43. Taková certifikace nesnižuje odpovědnost správce ani zpracovatele a není rovnocenná certifikátu ISO 27001 ani univerzálnímu prohlášení o souladu s právem.

Otázkou pro vedení je tedy opakované využití důkazů se samostatnými závěry: co tento podklad dokládá, pro které systémy a období a které otázky ochrany soukromí zůstávají nezodpovězené?

Rozdělte odpovědnosti mezi vedení, bezpečnost a ochranu soukromí

Funkční provozní model potřebuje víc než sdílenou schránku pro compliance. Vlastníci v byznysu by měli své zpracování popsat a zdůvodnit; bezpečnost by měla posoudit a zavést relevantní ochranná opatření; specialisté na ochranu osobních údajů by měli radit k právním požadavkům, právům subjektů, informacím o zpracování a posouzením. Vedení musí zajistit zdroje a rozhodovat podstatné otázky v mezích zákona.

Pověřenec pro ochranu osobních údajů není automaticky povinný pro každou firmu. Článek 37 zahrnuje orgány veřejné moci a veřejné subjekty, s výjimkou soudů, a organizace, jejichž hlavní činnosti splňují stanovené podmínky rozsáhlého monitorování nebo zpracování citlivých údajů. Vnitrostátní právo může přidat další požadavky, proto ověřte příslušné jurisdikce.

Je-li pověřenec jmenován, má nezávislé poradní a monitorovací povinnosti, musí být zapojen řádně a včas a podléhá přímo nejvyšší úrovni vedení. Pověřenci by se nemělo nařizovat, k jakému závěru má dospět, ani by mu neměly být přidělovány střetové odpovědnosti, v jejichž rámci by určoval účely a prostředky zpracování.

Nedělejte z pověřence vlastníka každého opatření, schvalovatele každého obchodního účelu a zároveň osobu, která tatáž rozhodnutí audituje. Tím se soustřeďují neslučitelné odpovědnosti a provozní týmy mohou nabýt dojmu, že odpovědnost byla přenesena z nich.

Užitečný záznam o schválení určuje navrhujícího vlastníka, odborné doporučení, posouzené důkazy, rozhodující osobu, podmínky a nevyřešené úkoly. Pokud vedení zvolí jiný zákonný přístup, než jaký byl doporučen, zaznamenejte zdůvodnění. Vedení nemůže chybějící právní základ nebo povinné smluvní ustanovení proměnit v soulad tím, že je označí jako „akceptované riziko“.

Hranici vlastnictví podrobněji vysvětluje průvodce odpovědnostmi CISO a pověřence. Pro generálního ředitele je klíčovou otázkou dohledu, zda se neshody dostanou k někomu, kdo může zpracování změnit, ochranné opatření financovat nebo návrh zastavit, a ne jen schválit dokument.

Dodavatele posuzujte podle role, smlouvy a skutečného provedení

Bezpečnostní přezkum dodavatelů a přezkum dodavatelů podle GDPR se překrývají, nejsou však totožné. Nejprve určete, zda je dodavatel zpracovatelem, samostatným správcem, společným správcem, nebo zda má u různých služeb různé role.

Podle článku 28 musí správci využívat zpracovatele, kteří poskytují dostatečné záruky zavedení vhodných technických a organizačních opatření. Vztah se zpracovatelem vyžaduje závaznou smlouvu nebo jiný způsobilý právní akt s předepsaným obsahem. Samotná doložka o mlčenlivosti tento požadavek nesplňuje.

Požadavky článku 28 zahrnují:

• Předmět, dobu trvání, povahu a účel zpracování.
• Typ osobních údajů a kategorie subjektů údajů.
• Povinnosti a práva správce.
• Zpracování na základě doložených pokynů, včetně příslušných ustanovení o předávání.
• Mlčenlivost a bezpečnostní opatření podle článku 32.
• Podmínky pro zapojení dalších zpracovatelů.
• Součinnost při vyřizování žádostí subjektů údajů a plnění stanovených povinností.
• Vrácení nebo výmaz údajů po ukončení služeb, s výhradou příslušných právních požadavků.
• Informace a ujednání o auditech k doložení souladu.

Spolu se smlouvou přezkoumejte i skutečné podmínky služby. Dodavatel může slibovat výmaz, a přitom některé logy uchovávat pro vlastní účel jako správce. Podnikové předplatné může omezovat použití pro trénink, zatímco zkušební účet nikoli. Zpracovatel může využívat několik dalších zpracovatelů s různými lokalitami a způsoby podpory.

Povolení dalších zpracovatelů může být podle článku 28 konkrétní nebo obecné. Při obecném písemném povolení musí zpracovatel správce informovat o zamýšleném přidání nebo nahrazení a dát mu možnost vznést námitku. Provozní otázkou je, kdo tato oznámení přijímá a vyhodnocuje dříve, než zmizí v neobsluhované schránce.

Přezkum smlouvy držte odděleně od posouzení předávání. Smlouva podle článku 28 sama o sobě neposkytuje mechanismus předávání podle kapitoly V. Podpis smlouvy o zpracování ani nezakládá právní základ pro činnost správce.

S nevyjednatelnými podmínkami zacházejte jako s obchodním rozhodnutím

Menší zákazníci mohou mít omezenou vyjednávací sílu. Včasné posouzení je proto důležitější, nikoli volitelné. Zdokumentujte nedostatek, zeptejte se na dostupné alternativy a zvažte změnu konfigurace, omezení údajů, volbu jiné služby nebo upuštění od záměru.

Pokud povinný požadavek zůstane nesplněn, schválení vedením jej nenapraví. Pokud jde o volbu mezi zákonnými možnostmi s různými zbytkovými riziky, může vedení rozhodnout na základě zdokumentovaného doporučení. Nákup by měl tyto situace rozlišovat, místo aby všechny obavy shromažďoval pod jednu kategorii výjimek.

Přezkum dodavatele by měl končit rozhodnutím, podmínkami, odkazy na důkazy a spouštěči opětovného přezkumu, nikoli jen vyplněným dotazníkem.

Navrhněte vyřizování práv dříve, než přijde první obtížná žádost

Články 15–22 upravují práva včetně práva na přístup, opravu, výmaz, omezení zpracování, přenositelnost, námitku a ochranu v souvislosti s některými rozhodnutími založenými výhradně na automatizovaném zpracování. Tato práva mají různé podmínky a výjimky; jediný postup „smazat vše“ je všechna neobslouží.

Podle článku 12 musí organizace odpovědět bez zbytečného odkladu a obvykle do jednoho měsíce od obdržení žádosti. Prodloužení až o další dva měsíce je možné, je-li to nezbytné s ohledem na složitost a počet žádostí, osobu je však třeba o něm informovat do prvního měsíce i s uvedením důvodů. Žádosti se zpravidla vyřizují bezplatně; poplatky nebo odmítnutí jsou omezeny na podmínky nařízení, například zjevně nedůvodné nebo nepřiměřené žádosti, což musí správce doložit.

Vytvořte provozní postup, který funguje napříč kanály podpory, HR, obchodu a ochrany osobních údajů:

1. Zaznamenejte přijetí, uplatňovaná práva a lhůtu.
2. Potvrďte příslušného správce a rozsah.
3. Při důvodných pochybnostech přiměřeně ověřte totožnost.
4. Vyhledejte údaje a určete relevantní systémy, příjemce a zpracovatele.
5. Posuďte použitelné podmínky, výjimky a práva dalších osob.
6. Připravte odpověď nebo úkon a přezkoumejte je.
7. Bezpečně je doručte a uchovejte odpovídající záznam o vyřízení.

Nepožadujte rutinně doklady totožnosti, pokud by postačilo méně invazivní ověření. Stejně tak nevydávejte citlivé záznamy jen proto, že někdo zná e-mailovou adresu. Samotné ověřování je zpracováním osobních údajů a vyžaduje přiměřený přístup.

Odpověď na žádost o přístup obvykle vyžaduje víc než seznam kategorií. Článek 15 zahrnuje kopii zpracovávaných osobních údajů a doplňující informace. Před zpřístupněním přezkoumejte informace o třetích osobách a jejich práva; přítomnost jména jiné osoby neberte jako důvod k zadržení všeho.

Výmaz není absolutní. Mohou se uplatnit zákonné povinnosti uchovávání a další výjimky podle článku 17. Je-li výmaz povinný, určete, jak se promítne do propojených služeb a k relevantním příjemcům a jak obnova ze zálohy zabrání bezděčnému návratu vymazaných záznamů. Případná zákonná omezení vysvětlete přesně.

Automatizace může hlídat lhůty a organizovat vyhledávání, někdo však musí rozhodnout, zda jsou výsledky úplné, zda jsou začernění odůvodněná a zda se uplatní výjimka. Rychle vygenerovaná standardní odpověď není užitečná, pokud vynechá systém obsahující požadované údaje.

Podrobnější postup popisuje článek žádosti subjektů údajů o přístup. Vedení by mělo pravidelně otestovat reprezentativní žádost od přijetí až po bezpečné doručení, místo aby se spoléhalo jen na zveřejněný postup.

Využijte DPIA ke zpochybnění návrhu před jeho schválením

Posouzení vlivu na ochranu osobních údajů podle článku 35 je povinné před zpracováním, které pravděpodobně povede k vysokému riziku pro práva a svobody osob. Nařízení uvádí konkrétní případy, včetně některých významných automatizovaných hodnocení, rozsáhlého zpracování citlivých údajů a systematického rozsáhlého monitorování veřejně přístupných prostorů. Zohlednit je třeba i příslušné seznamy dozorových úřadů.

Navrhované činnosti posuzujte včas. Jako praktické doporučení uchovávejte zdůvodnění i tehdy, když předběžné posouzení dospěje k závěru, že DPIA není nutné, zejména v hraničních případech. Krátký záznam z předběžného posouzení umožní rozhodnutí přehodnotit, když se změní rozsah, technologie nebo účel.

Úplné DPIA by se mělo zabývat čtyřmi propojenými prvky:

• Systematickým popisem zamýšleného zpracování a jeho účelů, případně včetně oprávněných zájmů.
• Nezbytností a přiměřeností ve vztahu k těmto účelům.
• Riziky pro práva a svobody osob.
• Opatřeními plánovanými k řešení rizik a k doložení souladu.

Nezačínejte a nekončete seznamem bezpečnostních hrozeb. Nejprve se ptejte, zda jsou navrhované údaje, frekvence, příjemci a rozhodovací proces nezbytné. Méně invazivní návrh může riziko odstranit účinněji než další technické opatření.

Projekt produktivity zaměstnanců může například navrhovat průběžné pořizování snímků obrazovky. Šifrování a omezený přístup by mohly snížit riziko zpřístupnění, přitom by však zůstaly vážné otázky přiměřenosti, monitorování, očekávání zaměstnanců a vhodnosti méně invazivních opatření. Obchodní účel je třeba prověřit dříve, než bude mít bezpečnostní návrh smysl.

Posuzujte riziko pro lidi, nejen expozici firmy

Zvažte finanční ztrátu, diskriminaci, zneužití identity, ztrátu důvěrnosti, vyloučení ze služeb a další relevantní dopady. Scénář může mít pro firmu omezený finanční dopad a pro jednotlivce dopad podstatný.

Zdokumentujte navrhovaná zmírňující opatření, vlastníky jejich zavedení a posouzení zbytkového rizika. Je-li jmenován pověřenec, vyžádejte si jeho doporučení. Přezkoumejte, zda změny v provozu nebo riziku vyžadují aktualizaci posouzení.

Článek 36 vyžaduje předchozí konzultaci s dozorovým úřadem, pokud z DPIA vyplývá, že by zpracování mělo za následek vysoké riziko v případě, že by správce nepřijal opatření k jeho zmírnění. Pokud organizace nedokáže toto vysoké riziko dostatečně řešit, nemůže požadovanou konzultaci nahradit interním stavem „akceptováno“. Vedení může činnost přepracovat, odložit nebo od ní upustit; nemůže však nakládat s právy jiných lidí, jako by šlo pouze o obchodní riziko.

Propojte reakci na incidenty s rozhodováním o oznámení podle GDPR

Porušením zabezpečení osobních údajů je porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, pozměnění nebo neoprávněnému zpřístupnění osobních údajů či neoprávněnému přístupu k nim. Jde o širší pojem než krádež databáze útočníkem. Posouzení může vyžadovat i omylem odeslaná příloha, ztracené nechráněné zařízení nebo incident ovlivňující dostupnost či integritu osobních údajů.

Podle článků 33 a 34 správci posuzují dvě různé prahové hodnoty pro oznámení:

Lhůta 72 hodin běží od okamžiku, kdy se správce o porušení dozvěděl, nikoli jednoduše od původního časového údaje incidentu nebo od následujícího pracovního dne. Pokud je ohlášení učiněno později, musí k němu být připojeny důvody zpoždění. Informace lze poskytovat postupně, pokud není možné poskytnout vše najednou bez dalšího zbytečného odkladu.

Eskalační řetězec připravte předem: vedoucí incidentu, poradce pro ochranu osobních údajů, odpovědná rozhodující osoba za správce, techničtí vyšetřovatelé, komunikace a kontakty u dodavatelů. Ohlašovací kanál příslušného úřadu si vyhledejte ještě před krizí. Zpracovatel by s informováním správce neměl čekat na vlastní konečný závěr o riziku.

Záznam o incidentu by měl zachytit, co se stalo, dotčené údaje a osoby, pravděpodobné důsledky, omezení dopadů a nápravu a rozhodnutí o oznámení. Čl. 33 odst. 5 vyžaduje dokumentovat porušení zabezpečení osobních údajů včetně skutečností, jejich účinků a přijatých nápravných opatření. Uchovávejte i zdůvodnění, proč porušení ohlášeno nebylo, aby bylo rozhodnutí později srozumitelné.

Šifrování může ovlivnit posouzení rizika i analýzu podle článku 34, ale jen tehdy, je-li jeho ochrana relevantní a účinná. Tvrzení „služba používá šifrování“ nestačí, pokud útočník získal přístup k datům v otevřené podobě přes kompromitovaný účet. Článek 34 obsahuje i další výjimky, například následná opatření zajišťující, že vysoké riziko se již pravděpodobně neprojeví; posuzujte skutečné podmínky, místo abyste uplatňovali obecnou výjimku.

Procvičte jeden scénář zahrnující dodavatele a druhý zahrnující interní zpřístupnění. Cvičení by mělo prověřit sběr důkazů a rozhodovací pravomoci, nejen technické omezení dopadů.

Mezinárodní předávání posuzujte samostatně

Požadavky na předávání podle kapitoly V platí vedle zbytku GDPR. Mechanismus předávání neposkytuje právní základ podle článku 6 a právní základ neodstraňuje potřebu vhodného ujednání o předávání.

Zmapujte skutečné příjemce a přístupové cesty. Hosting v datovém centru v EU je relevantní, sám o sobě však neprokazuje, že nedochází k předávání do třetí země nebo že jsou splněny všechny povinnosti v oblasti ochrany osobních údajů. Zvažte přístup v rámci podpory, další zpracovatele, administrátorský přístup, další zpřístupnění a zapojené strany.

Rámec GDPR pro předávání zahrnuje rozhodnutí o odpovídající ochraně podle článku 45, vhodné záruky podle článku 46 a omezené výjimky podle článku 49. V okamžiku rozhodnutí ověřte příslušný mechanismus a jeho rozsah.

Pokud se spoléháte na ujednání o odpovídající ochraně, které se vztahuje jen na zapojené organizace, ověřte přesného příjemce a pokrytou činnost. Společnost ze skupiny nebo podobná obchodní značka nemusí být pokrytým příjemcem. Uchovejte výsledek a datum ověření.

Pokud používáte standardní smluvní doložky, zvolte doložky odpovídající skutečným rolím stran a vyplňte příslušné přílohy. Posuďte právo a praxi země určení a to, zda jsou k zajištění účinné ochrany potřebná doplňková opatření. Podepsaná smlouva sama o sobě neodpovídá na všechny otázky rizik spojených s předáváním.

Praktický spis o předávání by měl uvádět vývozce a dovozce, údaje a účely, lokality a přístupy, další předávání, zvolený mechanismus, příslušné posouzení, technická nebo organizační opatření a spouštěče přezkumu. Dokumentace poskytovatele může tuto práci podpořit, avšak otázka, zda poskytovatel „má posouzení“, není totéž jako vyhodnocení jeho relevantních zjištění.

Vedení by mělo vědět, které služby závisejí na konkrétním mechanismu a jaké změny by vyžadovaly nové vyhodnocení. To umožňuje promyšlený plán pro nepředvídané situace, aniž by z toho plynulo, že každý dodavatel potřebuje stejnou smluvní záložní variantu.

Využití AI posuzujte jako zpracování, ne jen jako nový nástroj

Aplikace AI může přinést nové příjemce, odvozovat další osobní informace, uchovávat prompty nebo umožnit nový účel. Tyto změny jsou podstatné, i když aplikace využívá stávající jednotné přihlášení a řízení přístupu organizace.

Před schválením osobních údajů ve službě AI určete:

• Přesný úkol a to, zda jsou osobní údaje nezbytné.
• Kategorie vstupů, výstupů a dotčených osob.
• Roli poskytovatele u každého použití, včetně případných účelů tréninku nebo zlepšování.
• Uchovávání, lidský přístup, další zpracovatele a ujednání o předávání.
• Smluvní závazky a relevantní nastavení konfigurace.
• Rizika týkající se přesnosti, zpřístupnění, vyřizování práv a rozhodování.

Nepředpokládejte, že každý poskytovatel modelů je výhradně zpracovatelem. Jeho role závisí na zpracování, které provádí, a na účelech, které určuje. Stejně tak smlouva podle článku 28 nečiní navrhovaný přenos automaticky zákonným. Posuďte účel, právní základ, transparentnost, nezbytnost a všechny další použitelné požadavky.

Je-li firma sama zpracovatelem, může zavedení poskytovatele AI vytvořit vztah s dalším zpracovatelem. Před odesláním údajů zákazníků ověřte pokyny zákazníků a dohodnutý proces povolování. Nový dodatek ke smlouvě není vždy nutný, nutné je však dodržet stávající smluvní a zákonná ujednání.

Článek 22 se týká některých rozhodnutí založených výhradně na automatizovaném zpracování, která mají právní nebo obdobně významné účinky. Formální lidský přezkum problém neřeší, pokud přezkoumávající nemůže výsledek smysluplně posoudit nebo změnit. Zvláštní pozornost vyžadují rozhodnutí o náboru, způsobilosti a finanční rozhodnutí.

Akt o umělé inteligenci a GDPR ukládají odlišné povinnosti. Posouzení podle aktu o umělé inteligenci nenahrazuje DPIA a soulad s GDPR neprokazuje soulad s aktem o umělé inteligenci. Data použitelnosti ověřujte v aktuálním přehledu aktu o umělé inteligenci od Evropské komise, místo abyste do současného projektu přenášeli starý harmonogram ze spuštění.

Při interní práci na ochraně osobních údajů může AI připravovat koncepty popisů ze schválených zdrojů, porovnávat dokumenty nebo navrhovat otázky. Její výstup berte jako koncept. Věrohodně znějící právní základ, opomenutý příjemce nebo nesprávný údaj o uchovávání mohou z uhlazeného dokumentu udělat dokument věcně chybný.

Automatizujte koordinaci a zachovejte odpovědný přezkum

Rostoucí organizace hromadí opakující se práci: aktualizace záznamů o zpracování, lhůty žádostí subjektů údajů, dokumenty dodavatelů, úkoly z posouzení, vypršení platnosti důkazů a rozhodnutí o přezkumu. Automatizace může vstupy a lhůty organizovat. Neměla by však zastírat rozdíl mezi shromažďováním informací a dosažením obhajitelného závěru.

Začněte stabilním procesem a jasným vlastnictvím. Automatizace nejasného předání může nejasnost jen rychleji rozšířit. Definujte, co úkol otevírá, kdo jej dostává, jaké důkazy jsou potřeba, kdo výsledek přezkoumává a čím je práce dokončena.

U konceptů připravených s pomocí AI uchovávejte schválené zdroje a označte nejistoty. Nedovolte, aby vygenerované shrnutí tiše nahradilo smlouvu s dodavatelem nebo posouzení. Přezkoumávající by měli umět rozlišit dodaná fakta, odvozené návrhy a nevyřešené otázky.

Princip nejnižších oprávnění uplatněte i na samotný pracovní postup. Spisy k žádostem subjektů údajů, záznamy o incidentech a posouzení týkající se zaměstnanců mohou obsahovat citlivé informace. Široký přístup do pracovního prostoru pro compliance může podkopat právě ta omezení, která se v něm dokumentují. Minimalizujte osobní údaje v důkazech a omezte přístup k materiálům, které identifikaci skutečně vyžadují.

Užitečnými ukazateli pro vedení jsou úkoly po termínu, chybějící vlastníci, záznamy čekající na přezkum po podstatné změně a opatření se zastaralými nebo nedostatečnými důkazy. Prostý počet dokumentů vypovídá méně. Měřte, zda jsou rozhodnutí a nápravná práce dokončeny, nikoli jen to, zda bylo vygenerováno více textu.

Modelový příklad: marketingová integrace, která využívá stávající bezpečnostní opatření

Následující příklad je ilustrativní. Předpokládejme, že rostoucí B2B softwarová firma má zavedenou databázi zákazníků, ISMS pokrývající její produkční službu a navrhovanou kampaňovou platformu. Marketing chce posílat zprávy k zahájení používání a později propagovat další produkty. Platforma by přijímala kontaktní údaje, události o používání produktu a volné textové poznámky z podpory. Nejde o skutečný výsledek žádného zákazníka ani o popis schopností Secani.

1. Oddělte navrhované účely

Původní požadavek zní „zlepšit zapojení zákazníků“. Vlastník v byznysu jej přepíše na konkrétní účely: nezbytné uvedení do služby, volitelná propagační sdělení a analýza výkonnosti kampaní.

Posuzovatel za ochranu osobních údajů posoudí základ pro každý účel, místo aby na všechny tři uplatnil smlouvu se zákazníkem. Propagační sdělení se mohou řídit i příslušnými vnitrostátními pravidly pro elektronický marketing. Firma nepředpokládá, že samotná analýza oprávněného zájmu podle GDPR tyto samostatné požadavky vyřeší.

Prvním výstupem je rozhodnutí o účelu a základu s přidělenými nevyřešenými otázkami. Marketing nemůže rozšířené použití zahájit jen proto, že integrace prošla technickou bezpečnostní kontrolou.

2. Omezte navrhovaný tok dat

Poznámky z podpory jsou pro personalizaci pohodlné, pro schválenou zprávu k zahájení používání však nejsou potřebné. Mohou také obsahovat informace, u nichž zákazníci neočekávali, že budou znovu použity pro marketing. Návrh je proto vyřazuje.

Technický vlastník omezí události o produktu na ty, které schválený postup potřebuje, a vyloučí podrobné historie uživatelů tam, kde postačí agregovaná nebo jednodušší data o událostech. Tím se expozice sníží dříve, než se přidá další opatření.

Záznam o zpracování nyní popisuje skutečná pole, dotčené uživatele, příjemce, účely a přístup k uchovávání. Informace o zpracování jsou přezkoumány vůči schválené činnosti, nikoli vůči původnímu širokému požadavku.

3. Ověřte ujednání s dodavatelem a o předávání

Nákup určí roli platformy při doručování kampaní a ověří, zda poskytovatel nemá samostatné vlastní účely. Tým přezkoumá smlouvu podle článku 28, ujednání o dalších zpracovatelích, podmínky výmazu, přístup v rámci podpory a použitelný mechanismus předávání.

Možnost hostingu v EU je zaznamenána jako relevantní skutečnost, nepovažuje se však za konec analýzy předávání. Chybějí-li potřebné informace, úkol zůstává otevřený a podmínka spuštění uvádí, co je třeba vyřešit.

4. Bezpečnostní důkazy využijte opatrně

Integrace může využít firemní opatření pro správu identit a stávající proces správy přístupů. Důkazy o těchto opatřeních se propojí, nikoli vytvářejí znovu. Nová kampaňová platforma však má vlastní oprávnění, exporty a nastavení uchovávání.

Vlastník bezpečnosti posoudí kompromitaci účtu, neoprávněný hromadný export, chybné mapování událostí a ztrátu preferencí pro potlačení zasílání. Tým omezí přístup, schválí potřebná oprávnění integrace, otestuje mapování na vhodných testovacích datech a ověří, jak se záznamy mažou nebo potlačují.

Stávající cvičení obnovy produkční služby neprokazuje, že lze správně obnovit preference kampaní. Vlastník samostatně ověří chování obnovy relevantní pro tento postup.

5. Dokončete posouzení a schválení

Posuzovatel za ochranu osobních údajů provede předběžné posouzení potřeby DPIA na základě skutečné činnosti a zaznamená zdůvodnění. Tým také ověří, jak se žádosti o přístup, námitky a žádosti o výmaz dostanou do platformy. Zejména nesmí být námitka proti marketingu zrušena při příští synchronizaci databáze.

Vedení přezkoumá stručný rozhodovací balíček: schválené účely, odstraněné údaje, závěry o dodavateli a předávání, ochranná opatření, otevřené podmínky, vyřizování práv a jmenovité vlastníky. Jakýkoli nevyřešený povinný požadavek dotčené zpracování blokuje, místo aby se převedl na akceptovanou obchodní výjimku.

6. Zachovejte další spouštěč

Schválení je vázáno na posouzenou konfiguraci. Přidání behaviorálního skórování, nahrání poznámek z podpory, změna podmínek tréninku u poskytovatele nebo zavedení nového příjemce vyvolá přezkum. Tým může využít nezměněné bezpečnostní důkazy a nové otázky ochrany soukromí posoudit znovu.

V tom spočívá ústřední rozlišení: společná ochranná opatření mohou zůstat platná, zatímco se účel, příjemce nebo dopad na lidi podstatně změní.

Uveďte přístup do provozu s cíleným prvním rozsahem

Zvolte jednu činnost zpracování s viditelným vlastnictvím v byznysu a zvládnutelnými závislostmi. Zákaznická podpora, nástup zaměstnanců nebo reprezentativní produktový postup mohou odhalit nedostatky, aniž by bylo nejprve nutné přepracovat celou organizaci.

Jako praktické doporučení začněte čtyřmi výstupy:

• Odsouhlaseným popisem zpracování a posouzením rolí.
• Seznamem rozhodnutí o ochraně osobních údajů včetně základu, informací o zpracování, uchovávání, práv a předběžného posouzení DPIA.
• Posouzením ochranných opatření založeným na scénářích a propojeným se stávajícími bezpečnostními důkazy.
• Záznamem o schválení s vlastníky, otevřenými úkoly a spouštěči změn.

V Secani mohou týmy začít s cíleným rozsahem, modelovat podpůrné aplikace, systémy, služby a poskytovatele a propojovat důkazy s požadavky, opatřeními a rozhodnutími. Chybějící důkazy a nevyřešené otázky přezkumu se mohou stát přidělenými úkoly. Návrhy s podporou AI zůstávají konceptem se sledovatelností zdrojů a výslovným lidským schválením. Posuzovatelé za bezpečnost a ochranu soukromí tak získají sdílený kontext důkazů, přičemž jejich odlišné závěry zůstanou viditelné; nenahrazuje to záznamy o zpracování, vyřizování práv ani právní analýzu.

Rozšiřujte až poté, co byl první postup vyzkoušen v praxi. Otestujte na něm změnu dodavatele, žádost subjektu údajů a relevantní scénář incidentu. Pokud tým nedokáže určit vlastníka, dohledat důkazy nebo vysvětlit rozhodnutí, opravte provozní proces dříve, než přidáte další činnosti.

Při přezkoumání vedením položte tři otázky: odpovídá záznam současnému zpracování, řeší ochranná opatření důsledky pro lidi a znovu otevře podstatná změna spolehlivě rozhodnutí? Tyto otázky představují praktický další krok k propojení bezpečnostních záruk s odpovědností podle GDPR.

Otázky, které by mělo vedení výslovně vyřešit

Může generální ředitel schválit výjimku z GDPR?

Vedení může volit mezi zákonnými možnostmi a přidělovat zdroje na řešení rizik. Nemůže se vzdát zákonných požadavků, povolit zpracování bez použitelného základu ani nahradit povinnou předchozí konzultaci interním schválením.

Potřebuje každá změna zpracování nové DPIA?

Ne. Posuďte změnu vůči prahové hodnotě vysokého rizika a přezkoumejte stávající posouzení tam, kde se mění provoz nebo riziko. Zdokumentované rozhodnutí z předběžného posouzení je užitečnější než automatické vypracování úplného DPIA nebo předpoklad, že starý výsledek platí vždy.

Co přezkoumat jako první, když jsou zdroje omezené?

Upřednostněte zpracování s potenciálně závažnými důsledky pro lidi, nevyřešené otázky zákonnosti nebo smluv a provozní lhůty, jako jsou žádosti subjektů údajů a reakce na porušení. Mezery v důkazech využijte k nasměrování šetření, nepředpokládejte však, že činnost s nejvíce chybějícími dokumenty nutně představuje největší riziko.

Který úřad vymáhá GDPR a kolik mohou porušení stát?

Určete příslušný dozorový úřad pro dané zpracování. U způsobilého přeshraničního zpracování závisí mechanismus vedoucího dozorového úřadu zpravidla na hlavní nebo jediné provozovně správce či zpracovatele v EU, přičemž jsou zapojeny i další dotčené úřady. Zástupce podle článku 27 nezakládá provozovnu v EU ani přístup k tomuto mechanismu.

Článek 83 stanoví dvě hlavní úrovně maximálních správních pokut: až 10 milionů EUR nebo 2 % celkového celosvětového ročního obratu podniku za předchozí finanční rok a až 20 milionů EUR nebo 4 %, podle toho, která hodnota je v dané úrovni vyšší. Použitelná úroveň závisí na porušení; jde o horní hranice, nikoli o automatické sankce. Úřady zohledňují okolnosti a mohou také nařídit nápravná opatření nebo omezit zpracování. Článek 82 samostatně upravuje náhradu újmy, pokud porušení způsobí hmotnou nebo nehmotnou újmu.