radca prawny Maciej Gawroński Konferencja: Bezpieczne dane bezpieczny biznes Warszawa,

Transkrypt

1 radca prawny Maciej Gawroński 1 Konferencja: Bezpieczne dane bezpieczny biznes

2 Uchwalenie RODO Tekst RODO został oficjalnie opublikowany w Dzienniku Urzędowym Unii Europejskiej Wejście w życie RODO Stosowanie przepisów jest zawieszone do Przyjęcie przez Grupę Roboczą art. 29 trzech Wytycznych Opublikowanie przez GIODO Poradnika dla ABI Publikacja projektu części przepisów nowej ustawy o ochronie danych osobowych Publikacja zmodyfikowanych Wytycznych przyjętych przez Grupę Roboczą art. 29 Publikacja polskiej wersji językowej Wytycznych dotyczących oceny skutków dla ochrony danych (DPIA) oraz ustalenia, czy przetwarzanie z dużym prawdopodobieństwem może powodować wysokie ryzyko Rozpoczęcie stosowania RODO Wytyczne dotyczące inspektorów ochrony danych Wytyczne dotyczące prawa do przenoszenia danych Wytyczne dotyczące ustalenia wiodącego organu nadzorczego właściwego dla administratora lub podmiotu przetwarzającego Wykonywanie obowiązków ABI, przyszłego inspektora ochrony danych, w świetle ogólnego rozporządzenia o ochronie danych Wytyczne dotyczące inspektorów ochrony danych Wytyczne dotyczące prawa do przenoszenia danych Wytyczne dotyczące ustalenia wiodącego organu nadzorczego właściwego dla administratora lub podmiotu przetwarzającego Grupa Robocza przyjęła wytyczne dotyczące oceny skutków, przewidzianej w art. 35 RODO. Zgodnie z art. 99 RODO, rozporządzenie ma zastosowanie od 25 maja 2018 r. Warszawa, Jednocześnie następuje uchylenia dyrektywy 95/46 WE, implementowanej do polskiego porządku prawnego Ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. 2

3 ADMINISTRACYJNE CYWILNE ü Kara pieniężna do EURO lub 2 % całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego np. ochrona prywatności na etapie projektowania, bezpieczeństwo danych osobowych ü Kara pieniężna do EURO lub 4 % całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego np. warunki udzielenia zgody, naruszenie zasad przekazywania danych do państw trzecich ü Prawo do odszkodowania od administratora lub podmiotu przetwarzającego każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO ü Uprawnienia naprawcze organu nadzorczego decyzje administracyjne (oprócz lub zamiast kar pieniężnych) ü Prawo osoby, której dane dotyczą do wniesienia skargi do organu nadzorczego oraz prawo do ochrony przed sądem 3

4 Gdy ktoś na nas doniesie. Kto? Klienci, pracownicy, związki zawodowe. Dlaczego? Gdy przetwarzamy bez podstawy prawnej Gdy nie poradzimy sobie z obsługą praw jednostki (wyższa kara) Gdy wyciekną nam dane osobowe (padniemy ofiarą ataku hakerskiego? A może wystarczy, że reprezentant handlowy ukradnie nam dane klientów i sprzeda konkurencji, albo stażysta skopiuje bazę marketingową na pendrive i zgubi na dworcu) Gdy asystentka wyśle send to all zamiast bcc Gdy bezprawnie skorzystamy z pozaunijnego cloudu (wyższa kara) 4

5 RODO stawia przed instytucjami nowe wyzwania, takie jak: Ø podejście oparte na ryzyku Ø uwzględnienie prywatności w projektowaniu swojej działalności Ø założenie ochrony prywatności (privacy by default) Ø zapewnienie przenoszalności danych Ø kontrola cyklu życia danych (usuwanie danych, proporcjonalność przetwarzania) Ø ograniczenie profilowania Ø raportowanie naruszeń ochrony danych Ø drakońskie kary, których wysokość można pewnie będzie mitygować, ale które co do zasady będą nieuchronne Ø zwiększona odpowiedzialność za dostawców (chociaż skłonność banków do śrubowania wymogów względem nich może zwrócić się przeciwko samym bankom nie będzie bowiem uzasadnienia, dla którego bank miałby stosować niższy poziom zabezpieczenia danych niż ten, którego wymaga od swojego dostawcy). 5

6 prawo do bycia obsłużonym (zakaz ignorowania) prawo do cofnięcia zgody prawo do równołatwości niezgody prawo do informacji o zbieraniu danych prawo do czytelności prawo do wygodnej elektronicznej obsługi praw prawo dostępu do danych przetwarzanych praw do usunięcia danych (bycia zapomnianym) prawo do ograniczenia przetwarzania prawo do ludzkiej interwencji prawo do kopii danych prawo do przeniesienia danych prawo sprzeciwu prawo sprostowania i uzupełnienia prawo do informacji o naruszeniu prawo do skargi i do odwołania prawo do odszkodowania prawo do wsparcia organizacji społecznej 6

7 1. Mapa identyfikacja przepływów danych 2. Ustalenie położenia danych / procesorów 3. System do obsługi praw jednostki (frontend) => API systemy rejestrują wykonane prawa jednostki 4. Redakcja (komunikatywna) dokumentów dla jednostek, weryfikacja wzorów dokumentów pod kątem RODOzgodności może ogólne odesłanie do strony systemu obsługi praw jednostki 5. Nowa informacja o zbieraniu (przetwarzaniu) danych 6. Ocena niezbędnej dokumentacji (polityki, rejestr przetwarzania, upoważnienia, regulamin zgłaszania naruszeń / zdarzeń operacyjnych) 7. System obsługi naruszeń 72h w tym wymogi względem przetwarzających 8. Opracowanie nowej umowy powierzenia 9. Wymagania względem podwykonawców 10. Analiza ryzyka przetwarzania kategorii danych (a w tym kategoryzacja danych pod kątem ryzyka) 11. Decyzja co do stosowania pseudonimizacji / wytyczne 12. Wymogi co do nowych systemów i procesów privacy by design 13. Wyznaczenie IODy 14. Na później sektorowy kodeks postępowania 7

8 Gawronski & Partners jest niezależną polską firmą prawniczą o szerokim obszarze doradztwa prawnego i wsparcia konsultingowego dla biznesu i planowanym szybkim wzroście zespołu i rozwoju na rynku usług prawniczych Centralnej Europy Gawronski & Partners jest owocem ponad dwudziestu lat doświadczenia jej partnera zarządzającego Macieja Gawrońskiego, począwszy od praktyki w kancelarii radcy prawnego ( ), poprzez pracę w firmie z tzw. Wielkiej Czwórki ( ), przez niezależną polską kancelarię prawniczą ( ), następnie otwarcia i zarządzania polską praktyką międzynarodowej sieci z centralą w Londynie ( ), aż do otwarcia nowoczesnej praktyki prawniczej 8

9 Autorytet w dziedzinie ochrony prywatności i danych osobowych, IT i prawa nowych technologii. Posiada dwudziestoletnie doświadczenie w doradztwie prawnym. Jest jednym z czterechekspertów Technologii, Mediów i Telekomunikacji rekomendowanych przez Ranking Kancelarii Prawniczych Rzeczypospolitej Maciej jest uznanym ekspertem regulacji sektora finansowego, szczególnie z obszaru technologii, outsourcingu, tajemnicy bankowej, ryzyka operacyjnego, ciągłości działania, ochrony danych osobowych i bezpieczeństwa informacji, prawa konsumenckiego, gwarancji bankowych. Posiada również szerokie doświadczenie w doradztwie korporacyjnym. Doradzał bankom, ubezpieczycielom, instytucjom płatniczym w sprawach z obszaru prawa spółek, sporów cywilnych, konsumenckich i regulacyjnych. Jest jednym z najbardziej poważanych prawnych ekspertów od Cloud Computingu w Polsce i Unii Europejskiej, z wyjątkowym doświadczeniem i dorobkiem naukowym w tym obszarze. Maciej Gawroński jest: redaktorem, autorem lub współautorem wielu publikacji Gdańskiej Akademii Bankowej i Forum Technologii Bankowej przy Związku Banków Polskich, w tym: przełomowej publikacji na temat Cloud Computingu Raportu Związku Banków Polskich Cloud Computing w sektorze finansowym Regulacje i standardy (2011), raportu Związku Banków Polskich Cloud Computing (2013), raportu Związku Banków Polskich Big Data w bankowości (2016), rozdziałów publikacji Gdańskiej Akademii Bankowej Wyzwania Informatyki Bankowej (2014, 2015, 2016). autorem publikacji z zakresu cyberbezpieczeństwa oraz wdrożenia Rozporządzenia o Ochronie Danych Osobowych (RODO), współautorem koncepcji zasad przenoszenia danych zaimplementowanych w RODO ekspertem Komisji Europejskiej ds. kontraktów Cloud Computingowych konsultantem Grupy Roboczej Artykułu 29 w zakresie klauzul powierzenia przetwarzania danych ekspertem prawnym Krajowej Izby Gospodarczej wykładowcą studiów podyplomowych w Szkole Głównej Handlowej w Warszawie w zakresie Zastosowania technologii Cloud Computingu w modelowaniu biznesowym współautorem analizy wykonalności wdrożenia Cloud Computingu w administracji publicznej w Polsce (2014) oraz prelegentem na licznych polskich i zagranicznych konferencjach dotyczących technologii, ochrony danych osobowych i bankowości. Maciej Gawroński Managing Partner w Gawroński & Partners Maciej.Gawronski@gawr onski.co 9