Jak se připravit na kontrolu Úřadu pro ochranu osobních údajů po zavedení GDPR?

GDPR rovněž zavedlo nové administrativní povinnosti, jimiž správci a zpracovatelé osobních údajů mají dokládat soulad své činnosti s regulací. Mezi tyto nástroje patří především: 

• Vedení záznamů o činnostech zpracování
• Při přípravě nového zpracování provést posouzení jeho vlivu na práva dotčených osob (data processing impact assesment) a v některých případech povinně konzultovat zamýšlená opatření s dozorovým orgánem, Úřadem pro ochranu osobních údajů (ÚOOÚ) (https://www.tx.cz/gdpr/gdpr-analyza-rizik-posouzeni-vlivu-na-ochranu-osobnich-udaju )
• Povinnost řídit a v některých případech i reportovat bezpečnostní incidenty s dopadem na osobní údaje, tzv. případy porušení zabezpečení osobních údajů (data breaches)
• Dle rizikovosti prováděného zpracování vytvořit funkci pověřence pro ochranu osobních údajů, jmenovat do ní dostatečně kvalifikovanou osobu a zajistit jí nezbytné zdroje a prostředky k monitorování souladu činnosti organizace s požadavky GDPR (https://www.tx.cz/gdpr/gdpr-poverenec-pro-ochranu-osobnich-udaju )
• Povinnost ověřovat dodavatele, který se podílí na zpracování osobních údajů, tedy zpracovatele osobních údajů 
• Nezbytné náležitosti zpracovatelské smlouvy
• Specifické nástroje pro ochranu osobních údajů, pokud jsou předávány mimo Evropský hospodářský prostor (především standardní smluvní doložky a závazná podniková pravidla)

Kromě toho také GDPR přináší výrazně vyšší sankce za porušení pravidel při zpracování osobních údajů. Za porušení zásady pro ověření zpracovatele a náležitostí zpracovatelské smlouvy, vedení záznamů o činnostech zpracování, evidence a reportování případů porušení zabezpečení osobních údajů nebo povinnosti jmenovat pověřence pro ochranu osobních údajů a správně jej zařadit do organizační struktury organizace, může být udělena pokuta až do výše 10 milionů EUR, nebo až do výše 2 % celkového ročního obratu celosvětově celé skupiny za předchozí finanční rok, podle toho, která hodnota je vyšší. 

V případě porušení základních pravidel pro zpracování osobních údajů, jako je zákonnost zpracování, minimalizace dat, účelové omezení nebo omezená doba uchování, stejně tak jako za zásadní pochybení při výkonu práv dotčených osob, pak může být organizace postižena sankcí až do výše 20 milionů EUR, nebo až do výše 4 % celkového ročního obratu celosvětově celé skupiny za předchozí finanční rok, podle toho, která hodnota je vyšší.

GDPR také přináší dvě zásadní koncepční změny: 

• Přístup založený na riziku (risk-based approach)
• Zásadu doložitelné odpovědnosti (accountability) - https://www.tx.cz/knihovna/gdpr-sablony-vzory-dokumentu

Dle pravidla přístupu založeného na riziku správce a zpracovatel nemusí veškeré povinnosti, např. v oblasti bezpečnosti dat, plnit plošně, ale mohou zohlednit rizikovost konkrétního zpracování pro dotčené osoby a přiměřenost různých způsobů zabezpečení a nákladů s nimi spojených. Zohlednění rizikovosti zpracování dat se pak promítá i do dalších povinností, jako je např. povinnost jmenovat pověřence pro ochranu osobních údajů, reportovat bezpečností incident či provést dopadovou analýzu při přípravě nového zpracování nebo zapojení nové technologie do stávajícího zpracování osobních údajů. 

Druhou koncepční novinkou je povinnost správce a zpracovatele osobních údajů nejen uvést svoji činnost a praxi do souladu s regulací, GDPR, ale rovněž svůj postup průběžně dokumentovat a být schopen tento soulad doložit. Nestačí tedy pouhé formální jmenování pověřence pro ochranu osobních údajů či vypracování jedné vnitřní směrnice; je nezbytné nastavit celý systém zpracování osobních údajů, aby správce či zpracovatel byl schopen dokázat, že má zpracování osobních údajů pod kontrolou, že ví, jaká data zpracovává, proč a jakým způsobem a že má nastaveny přiměřené procesy pro výkon práv subjektů údajů a plnění dalších nezbytných náležitostí. 

Povinnosti vyplývající z GDPR a dalších předpisů dopadají v zásadě na všechny organizace zpracovávající osobní údaje. To platí i pro povinnost dokládat soulad své činnosti s GDPR a dalšími předpisy. S ohledem na rozsah a citlivost zpracovávaných údajů lze za ty nejrizikovější oblasti, nejrizikovější jak z pohledu práv dotčených osob, tak i možného úniku či zneužití dat, považovat tato odvětví:

• Bankovnictví
• Pojišťovnictví
• Telekomunikace
• Zdravotnictví
• Energetika
• Provozování věrnostních akcí pro spotřebitele (kamenné obchody i e-shopy)
• Provozování rozsáhlých kamerových a další bezpečnostních či monitorovacích nástrojů
• Poskytování cloudových a obdobných služeb a nástrojů určených pro zpracování informací
• Zajišťování nástrojů pro webovou analytiku, profilování a sledování uživatelů na internetu
• Nebankovní poskytovatelé platebních služeb nebo úvěrů
• Státní správa a samospráva
• Školství

Dozorovým úřadem pro všechny výše uvedené sektory je ÚOOÚ. Typickými způsoby, jak ÚOOÚ dozor vykonává, je kontrola na místě a navazující uložení nápravných opatření a finančních sankcí. 

ÚOOÚ může kontrolu zahájit:

• Na základě svého kontrolního plánu
• Na základě stížnosti dotčené osoby nebo dalších subjektů
• Na základě zveřejněných informací, například o úniku dat
• Na základě podnětu postoupeného jiným kontrolním úřadem

Novinky v hmotněprávní úpravě, které GDPR přineslo, jsou již celkem známé. S ohledem na datum účinnosti GDPR by nová pravidla a procesy měly být ve všech organizacích zavedeny. ÚOOÚ již zahajuje první kontroly zaměřené na soulad s GDPR, některé další evropské dozorové úřady ukládají sankce i ve výši několik stovek tisíc EUR. (https://www.tx.cz/gdpr/gdpr-projekt-gdpr-v-praxi )

Jak se tedy prakticky připravit na situaci, kdy u vašich dveří zazvoní inspektor ÚOOÚ a zahájí kontrolu zpracování osobních údajů? 

Workshop s názvem Jak se připravit na kontrolu ÚOOÚ je zaměřen právě na to, aby vás na praktických příkladech na takovouto kontrolu připravil. Nejprve si projdeme několik detailně zpracovaných scénářů popisujících různé organizace s odlišným rozsahem a účelem zpracování osobních údajů (rozsáhlé zpracování klientských dat, zpracování citlivých údajů o zdravotním stavu, zpracování údajů v online prostředí atd.) a s odlišným předmětem a důvodem kontroly. Během dvoudenního workshopu projdete všechny fáze kontroly ÚOOÚ a to:

• Přípravu kontroly
• Místní šetření
• Doplnění podkladů a dokumentace
• Přípravu kontrolního nálezu
• Uplatnění opravných prostředků proti výsledkům kontroly či dalšímu opatření ze strany ÚOOÚ

Společně budeme diskutovat všechny modelové scénáře a ukážeme si u nich, jak s ohledem na specifika dané organizace i předmětu kontroly reagovat na požadavky kontrolních pracovníků, jaké podklady a dokumenty si připravit a předložit v jednotlivých fázích kontroly i jak reagovat na zjištění nedostatků v průběhu kontroly. 

Seminář je určen pro osoby odpovědné za agendu ochrany osobních údajů ať už u správce nebo zpracovatele osobních údajů. Může se jednat o pověřence pro ochranu osobních údajů, ale i jiné osoby, které mají v gesci zajištění souladu nastavených procesů s požadavky GDPR. https://www.tx.cz/produkty/prakticka-prirucka-poverence-pro-ochranu-osobnich-udaju

Cílem semináře je připravit účastníky na dozor ze strany ÚOOÚ, naučit je, jak se připravit na místní šetření a jak během probíhající kontroly postupovat, aby byly účinně hájeny zájmy organizace a aby bylo sníženo riziko negativního kontrolního nálezu, opatření k nápravě či pokuty.  

Získané vědomosti a zkušenosti jsou však v rámci organizace využitelné nejen při přípravě na kontrolu ze strany ÚOOÚ, ale i v rámci řady dalších procesů a snižování jiných rizik. Zkušenosti a know-how získané na workshopu Jak se připravit na kontrolu ÚOOÚ lze využít rovněž pro:

• Kontrolu a efektivní nastavení systému pro zpracování osobních údajů (personal data governance)
• Interní audit zaměřený na některý z procesů, jehož součástí je zpracování osobních údajů, nebo přímo na proces zajišťující ochranu osobních údajů (např. systém na eskalování a řešení data breaches)
• Externí audit, ať už v případě due dilligence, při prověřování organizace, která působí jako zpracovatel osobních údajů, nebo při udělení či ověření certifikace udělené podle GDPR (https://www.tx.cz/gdpr/gdpr-auditor)
• Částečné doložení souladu s dalšími předpisy upravujícími ochranu soukromí nebo informační bezpečnost, zejména se zákonem č. 262/2006 Sb., zákoník práce, nebo zákonem č. 181/2014 Sb., o kybernetické bezpečnosti
• Nastavení odpovídající části compliance management systemu, který může účinně přispět k vyvinění právnické osoby, organizace zpracovávající osobní údaje, z některých trestných činů dle zákona č. 418/2011 Sb., o trestní odpovědnosti právnických osob a řízení proti nim

Tento workshop je nezbytnou součástí kvalifikace každého zaměstnance, který v organizaci zajišťuje ochranu osobních údajů, a jeho výstupy jsou uplatnitelné i při dokládání souladu s dalšími regulatorními předpisy.