GDPR ve zkratce, pro ty, kdo používají cloud

Modul 1: Proč evropský cloud? · Doba čtení: 11 minut

Cíl lekce: Po absolvování této lekce dokážete pojmenovat role a povinnosti z GDPR, které se uplatňují při používání cloudové služby, a vysvětlit, proč zůstáváte odpovědní Vy sami, i když jsou údaje uložené u někoho jiného.

Klíčové pojmy: GDPR (obecné nařízení o ochraně osobních údajů), osobní údaje, zpracování, správce, zpracovatel, subzpracovatel, zásady (čl. 5), odpovědnost (accountability), zpracovatelská smlouva (čl. 28), zabezpečení (čl. 32), předávání údajů (kapitola V), Úřad pro ochranu osobních údajů, pokuty (čl. 83)

Proč se tu najednou mluví o GDPR

GDPR (obecné nařízení o ochraně osobních údajů, anglicky General Data Protection Regulation) je evropské nařízení: Nařízení (EU) 2016/679. Platí přímo ve všech zemích EU od 25. května 2018. V Nizozemí nad jeho dodržováním dohlíží Autoriteit Persoonsgegevens (nizozemský Úřad pro ochranu osobních údajů, AP); v Česku je to Úřad pro ochranu osobních údajů (ÚOOÚ) a v každé další zemi EU existuje vlastní dozorový úřad.

Možná si říkáte: GDPR se týká velkých firem s databázemi zákazníků. Jenže Bakkerij De Korrel spadá pod GDPR také. V poštovní schránce jsou objednávky se jmény, adresami a telefonními čísly. Ve sdílených složkách jsou rozpisy směn, výplatní pásky a kopie dokladu totožnosti nového zaměstnance. V kalendáři jsou jména zákazníků u rozvozových schůzek. To všechno jsou osobní údaje: veškeré informace o identifikované nebo identifikovatelné osobě (čl. 4 bod 1). A ukládání, posílání e-mailem, sdílení a mazání, to všechno je zpracování (čl. 4 bod 2).

Výjimka: co děláte čistě soukromě, jako jsou vlastní rodinné fotky, pod GDPR nespadá (tzv. "výjimka pro osobní či domácí činnosti", čl. 2 odst. 2 písm. c). Jakmile jde o Vaši práci, Vaši firmu nebo Vaše sdružení, GDPR platí.

Toto je vysvětlení, nikoli právní poradenství.

Tři role: kdo je kdo?

Nejdůležitější poznatek: odpovědnost se nepřesouvá spolu s údaji. Pekárna zůstává správcem, i když jsou údaje uložené u cloudové služby. Pokud cloudová služba něco slíbí a následně dojde k problému, pekárna musí být i nadále schopná doložit, že učinila rozumnou volbu a stanovila řádné smluvní podmínky. Tomu se říká povinnost odpovědnosti (čl. 5 odst. 2 a čl. 24).

Pozor: cloudová služba není vždy pouze zpracovatelem. Pokud poskytovatel Vaše údaje používá i pro vlastní účely, například vývoj produktů, reklamu nebo trénování vlastních systémů, je pro tuto část sám správcem. To je jedna z věcí, kterou si ověřujete v podmínkách a ve zpracovatelské smlouvě (lekce 9.2).

Zásady, které se týkají cloudu

Článek 5 uvádí zásady, kterým musí každé zpracování vyhovovat. Pro výběr cloudové služby jsou nejdůležitější tyto:

• Účelové omezení: údaje používáte pouze pro účel, za kterým jste je získali. Služba, která Vaše údaje o zákaznících využívá pro vlastní účely, se s tím dostává do rozporu.
• Minimalizace údajů: neuchovávat víc, než je nutné. Přechod je dobrá příležitost k úklidu (lekce 3.2).
• Omezení uložení: neuchovávat déle, než je nutné. Myslete třeba na staré žádosti o zaměstnání v poštovní schránce.
• Integrita a důvěrnost: přiměřené zabezpečení proti ztrátě, krádeži a neoprávněnému přístupu. To je rozvedeno v článku 32: přijímáte opatření odpovídající riziku, jako je šifrování, správa přístupů, obnova po výpadku a pravidelné testování.

Čtyři povinnosti, se kterými se setkáte při přechodu

1. Vybrat zpracovatele, který poskytuje dostatečné záruky (čl. 28 odst. 1). Musíte tedy zjistit, jak poskytovatel zabezpečuje údaje a kde je zpracovává. To uděláte v modulu 2.
2. Uzavřít zpracovatelskou smlouvu (čl. 28 odst. 3). Ta musí obsahovat povinná témata: co se zpracovává, pokyny, mlčenlivost, zabezpečení, subzpracovatele, pomoc při porušení zabezpečení a co se stane s údaji po ukončení spolupráce. Tomu se věnujeme v lekci 9.2.
3. Vést záznamy o činnostech zpracování (čl. 30). Seznam Vašich zpracování: jaké údaje, proč, s kým sdílené, jak dlouho uchovávané. Po přechodu upravíte příjemce a místo uložení (lekce 9.3).
4. Dodržovat pravidla pro předávání údajů mimo EHP (kapitola V, čl. 44 až 49). Pokud údaje míří do země mimo Evropský hospodářský prostor, je to možné pouze pokud daná země zajišťuje odpovídající úroveň ochrany (rozhodnutí o odpovídající ochraně, čl. 45), nebo s dodatečnými zárukami, jako jsou standardní smluvní doložky (čl. 46). O tom pojednává lekce 1.4.

Co se stane, když něco selže?

Při porušení zabezpečení osobních údajů (například napadený účet, ve kterém jsou uložené údaje zákazníků) musí správce tuto skutečnost do 72 hodin ohlásit dozorovému úřadu, pokud není pravděpodobné, že by to představovalo riziko (čl. 33). Zpracovatel musí správce informovat "bez zbytečného odkladu" (čl. 33 odst. 2). Proto dobrá zpracovatelská smlouva stanoví, jak rychle Vás poskytovatel upozorní.

Dozorový úřad může ukládat pokuty. Maximální výše u nejzávažnějších přestupků činí 20 milionů eur nebo 4 % celosvětového ročního obratu, podle toho, co je vyšší (čl. 83 odst. 5). Pro malé organizace pokuta zřídkakdy představuje největší riziko. Skutečné riziko spočívá ve škodě způsobené zákazníkům a zaměstnancům a ve ztrátě důvěry.

Proč to ovlivňuje volbu Vašeho cloudu

GDPR nezakazuje používání amerických cloudových služeb. Musíte ale umět vysvětlit, proč je Vaše volba odpovědná: jaké údaje, jaká rizika, jaké smluvní podmínky. Čím citlivější jsou údaje (zdraví, děti, finance, personální spisy), tím je toto zvažování závažnější. Pro pekárnu je situace přehledná; pro fyzioterapeutickou praxi nebo školu váží mnohem víc. Služba, která sídlí v EHP, zpracovává údaje v EHP a nemá subzpracovatele mimo EHP, toto zvažování výrazně zjednodušuje, protože se na ni pravidla pro předávání údajů vůbec nevztahují.

V praxi: jak to vypadá u poskytovatele

Poskytovatel, který je používán pro firemní účely, by měl mít zpracovatelskou smlouvu a seznam subzpracovatelů. U WebOké se v často kladených otázkách k návodu na Nextcloud uvádí, že pokud používáte Nextcloud pro firemní účely a ukládáte v něm osobní údaje jiných osob, uzavíráte zpracovatelskou smlouvu. U jiných poskytovatelů podobné informace obvykle najdete pod názvem "Zpracovatelská smlouva", "Data Processing Agreement (DPA)" nebo v právních dokumentech v dolní části webu.

Shrnutí

• I malá organizace zpracovává osobní údaje v e-mailu, kalendáři a souborech, a spadá tedy pod GDPR.
• Vy jste správce; cloudová služba je zpracovatel; její dodavatelé jsou subzpracovatelé.
• Odpovědnost se nepřesouvá spolu s údaji: musíte vybrat zpracovatele s dostatečnými zárukami a být schopní to doložit.
• Důležité články: 5 (zásady), 28 (zpracovatel a zpracovatelská smlouva), 30 (záznamy), 32 (zabezpečení), 33 (porušení zabezpečení do 72 hodin), 44 až 49 (předávání údajů).
• Údaje, které zůstávají v rámci EHP, toto zvažování zjednodušují, protože se na ně pravidla pro předávání nevztahují.

Kvíz

Úkol

Úkol E1.2: Vaše role a údaje. Sestavte krátký seznam osobních údajů, které má Vaše organizace uložené v cloudu (e-mail, kalendář, soubory, chat). U každého druhu uveďte, kdo je správcem, kdo zpracovatelem, a zda se mezi nimi nacházejí citlivé údaje.

Doporučená literatura

Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů funguje postup obdobně.

• Příručka k Nextcloud 15.13: Často kladené otázky o zabezpečení a soukromí
• Příručka k Nextcloud 3.1: Jak WebOké zabezpečuje Váš Nextcloud?
• Nařízení (EU) 2016/679 (GDPR), články 4, 5, 24, 28, 30, 32, 33, 44 až 49 a 83, na EUR-Lex
• Autoriteit Persoonsgegevens (nizozemský Úřad pro ochranu osobních údajů), témata "Zpracovatelská smlouva" a "Nahlášení porušení zabezpečení údajů": https://www.autoriteitpersoonsgegevens.nl