GDPR: Používanie auto-kamier

Auto-kamery, známe aj ako „dashcams“, sa stávajú bežnou výbavou mnohých slovenských vodičov. Nahrávanie videí z ciest môže byť užitočné v prípadoch, keď je potrebné objasniť dopravné nehody, alebo pre osobnú ochranu pri dopravných sporoch. Je však pritom nevyhnutné dodržiavať legislatívne požiadavky a ochranu osobných údajov.

Kamera v aute mnohým vodičom prináša pocit väčšieho bezpečia, no majitelia takýchto kamier si často neuvedomujú mieru zodpovednosti, ktorú so sebou kamera prináša. „Na Slovensku platí, že používanie auto-kamery, ktorá zaznamenáva dianie na verejných priestranstvách, vrátane iných vozidiel a osôb, sa považuje za spracúvanie osobných údajov podľa nariadenia GDPR. To znamená, že vodiči, ktorí používajú auto-kamery, musia dodržiavať určité pravidlá, najmä ak zábery plánujú zverejňovať alebo používať na verejné účely,“ upozorňuje Jakub Berthoty. Vodiči, ktorí dianie v cestnej premávke nahrávajú by mali vedieť preukázať oprávnený záujem. Môže ísť napríklad o ochranu svojich práv alebo dokumentovanie nehodových situácií. Je však dôležité, aby neboli zábery využívané na iné účely, napríklad na komerčné využitie bez súhlasu účastníkov videa.

Ak totiž vodič zverejňuje videá na platformách akou je napríklad YouTube, je povinný verejnosť informovať o používaní kamery. Mal by tak urobiť zreteľným označením vozidla vhodným spôsobom, kde môže odkázať na podrobnejšie informácie na webe. V tomto smere by mohol pomôcť unifikovaný prístup k plneniu informačných povinností na úrovni výrobcov automobilov alebo výrobcov auto-kamier. GDPR pozná mechanizmus certifikácí, značiek a pečatí, kedy by celý informačný postup mohol schváliť Úrad na ochranu osobných údajov. Pri verejnom zdieľaní záberov z auto-kamier sa odporúča tváre osôb a evidenčné čísla vozidiel rozmazať, aby sa zabránilo priamemu identifikovaniu účastníkov. Nedodržanie týchto pravidiel môže viesť k sankciám zo strany Úradu na ochranu osobných údajov.

GDPR: Dôležité šifrovanie

V ére digitalizácie a narastajúceho množstva osobných údajov uložených v elektronických systémoch sa šifrovanie dát stáva nevyhnutným nástrojom pre firmy, ktoré chcú zaistiť súlad s nariadením GDPR. Ochrana súkromia a bezpečnosť osobných údajov sú dnes dôležitejšie ako kedykoľvek predtým, najmä vzhľadom na rastúci počet kybernetických útokov a únikov citlivých dát. Podľa GDPR nariadení sú firmy zodpovedné za ochranu osobných údajov, ktoré zhromažďujú a spracovávajú. Je nevyhnutné, aby boli tieto osobné údaje bezpečne uchovávané a spracované, čo zahŕňa aj ich ochranu pred neoprávneným prístupom. Šifrovanie osobných údajov je jednou z najúčinnejších metód, ako zabezpečiť ich dôvernosť a minimalizovať riziká v prípade bezpečnostných incidentov.

Je však stále dosť firiem, ktoré dôležitosť šifrovania podceňujú. Poľský dozorný orgán zistil, že polovica malých a stredných podnikov odovzdáva osobné údaje zamestnancov účtovníckym firmám, pričom až 23 % z nich priznáva, že citlivé údaje zamestnancov odovzdávajú bez zabezpečenia. Len 31 % respondentov posiela šifrované emaily s chránenou prílohou. „Zistenie poľského regulátora je zarážajúce, no nie nečakané. Dovolím si povedať, že na Slovensku by situácia tiež nebola lepšia, pretože mnohé firmy si stále neuvedomujú, čo všetko sú osobné údaje a ani dôležitosť ich ochrany. Jedinou záchranou pre slovenské firmy je skutočnosť, že vďaka nízko nastaveným pokutám sa GDPR u nás oplatí viac porušovať ako dodržiavať,“ približuje Jakub Berthoty.

Šifrovanie správ pritom poskytuje ochranu pred kybernetickými útokmi a minimalizuje škody v prípade úniku dát. Ak sú totiž osobné údaje šifrované, firma môže byť čiastočne alebo úplne oslobodená od povinnosti nahlásiť porušenie ochrany údajov orgánom a dotknutým osobám a dozorné orgány na túto skutočnosť prihliadajú aj pri šetrení daných incidentov.

Monitoring: Na pracovisku čoraz častejší

Kontrola zamestnancov na pracovisku nie je nič nezvyčajné. Zamestnávateľ tým chráni nielen svoje záujmy, ale aj záujmy zamestnancov s ohľadom na ochranu ich zdravia a života pri práci. Do akej miery je pritom možné neporušovať ochranu súkromia zamestnancov? Problematiku na Slovensku upravuje Zákonník práce, ale nie je možné ignorovať ani GDPR.

Kontrola na pracovisku môže prebiehať viacerými spôsobmi, napr. ide o monitorovanie zamestnancov pomocou mikrofónov, biometrických údajov (evidencia dochádzky prostredníctvom odtlačku prsta) alebo GPS. Zamestnávateľ mmôže tiež kontrolovať elektronickú komunikáciu zamestnanca, či aktivity na sociálnych sieťach. Podľa odborníka na ochranu osobných údajov ale nie je možné zamestnanca kontrolovať len tak. „Základným predpokladom legálneho monitorovania zamestnancov v zmysle Zákonníka práce je existencia vážnych dôvodov spočívajúcich v osobitnej povahe činností zamestnávateľa. V prípade existencie uvedených dôvodov musí nasledovať prerokovanie zavádzaného kontrolného mechanizmu so zástupcami zamestnancov a taktiež povinnosť informovať o zavádzanom kontrolnom mechanizme aj zamestnancov. Z pohľadu GDPR je zas potrebné vypracovať balančný test, upraviť internú dokumentáciu prevádzkovateľa a v prípade potreby aj pripraviť posúdenie vplyvu na ochranu údajov,“ upozorňuje Jakub Berthoty.

Zamestnávatelia by mali vždy pamätať na základné zásady ochrany osobných údajov, a to bez ohľadu na použitú technológiu. Platí tiež, že na obsah elektronickej komunikácie, ktorá sa uskutočnila v prevádzkových priestoroch, sa vzťahuje rovnaká ochrana základných práv ako na analógovú komunikáciu. „Je veľmi nepravdepodobné, že právnym základom na spracúvanie údajov v práci bude súhlas, pokiaľ zamestnanci nemôžu odmietnuť spracúvanie bez nepriaznivých následkov. Sú ale prípady, kedy sa zamestnávateľ môže odvolať na plnenie zmluvy a oprávnené záujmy, avšak len vtedy, ak je spracúvanie jednoznačne nevyhnutné na legitímny účel a je v súlade so zásadami proporcionality a subsidiarity. V každom prípade by zamestnanci mali dostať účelné informácie o prebiehajúcom monitorovaní,“ dopĺňa Jakub Berthoty. Okrem právnej roviny však môže mať sledovanie zamestnancov vplyv aj na atmosféru na pracovisku. „Aj keď je monitorovanie transparentné a zamestnanci sú o ňom informovaní, narúša pocit dôvery, psychického bezpečia a zamestnanci môžu pociťovať strach z toho, čo všetko môže zamestnávateľ sledovať. Odpoveďou manažmentu na túto formu neistoty by malo byť budovanie dôvery cez vzťah a otvorenú komunikáciu s ľuďmi. Manažéri a lídri potrebujú svojim zamestnancom venovať čas a pozornosť a vytvárať priestor, v ktorom sa môžu cítiť vypočutí a cítiť, že na ich názore a nápadoch záleží,“ myslí si Katarína Ožvoldová.

EU: Digitálna identita

Od pandémie sa poskytovanie verejných a súkromných služieb stalo čoraz digitálnejším. Existujúce riešenia digitálnej peňaženky umožňujú používateľom ukladať a prepájať údaje v jedinom prostredí svojich mobilných telefónoch. Podľa Európskej komisie je to však za cenu straty kontroly nad osobnými údajmi, pričom riešenia sú mimo overenej fyzickej identity, čo sťažuje zmierňovanie podvodov aj hrozieb kybernetickej bezpečnosti.

Podľa nového legislatívneho nariadenia prijatom Európskym parlamentom a už dohodnutého s ministrami Európskej únie nová peňaženka digitálnej identity umožní občanom identifikovať sa a autentifikovať sa on-line bez toho, aby sa museli obrátiť na komerčných poskytovateľov - postupu, ktorý vyvoláva obavy o dôveru, bezpečnosť a súkromie. Peňaženka EÚ sa bude používať na dobrovoľnom základe. Počas rokovaní poslanci zabezpečili ustanovenia na ochranu práv občanov a podporu inkluzívneho digitálneho systému tým, že zabránia diskriminácii ľudí, ktorí sa rozhodnú nepoužívať digitálnu peňaženku. V zákone sa stanovujú bezplatné "kvalifikované elektronické podpisy" na používateľov peňaženiek EÚ, dôveryhodné a s rovnakým právnym postavením ako vlastnoručný podpis, ako aj interakcie medzi peňaženkou a peňaženkou s cieľom zlepšiť plynulosť digitálnych výmen.

Poslanci tiež nariadili vytvorenie peňaženky s otvoreným zdrojovým kódom na podporu transparentnosti, inovácií a zvýšenia bezpečnosti. Stanovujú sa v nich aj prísne pravidlá registrácie zúčastnených spoločností a dohľadu nad nimi s cieľom zabezpečiť zodpovednosť a vysledovateľnosť. Prostredníctvom takzvaného informačného panela ochrany osobných údajov budú mať používatelia plnú kontrolu nad svojimi údajmi a budú môcť požiadať o vymazanie svojich údajov, ako je stanovené vo všeobecnom nariadení o ochrane údajov (GDPR).

Telemarketing: Sťažnosti v celej Európe

Aj keď národné legislatívy a dozorné orgány prikladajú telemarketingu rôznu mieru dôležitosti, nevyžiadané marketingové hovory sú predmetom sťažností prakticky v celej Európe. Najnovšie udelil pokuty za nelegálne marketingové hovory britský dozorný orgán Information Commissioner’s Office (ICO) spoločnostiam Poxell Ltd a Skean Homes Ltd. Udelením pokút v celkovej výške až 250 000 libier reagoval na 413 spotrebiteľských sťažností.

Telemarketing je témou aj na Slovensku. Úrad pre reguláciu obdržal podľa Správy o ochrane osobných údajov advokátskej kancelárie Dagital Legal v priebehu roka 2023 viac než 800 podnetov, pričom konania začal v 103 prípadoch. Napriek rastúcemu počtu sťažností verejnosti sú na Slovensku pokuty za porušenie pravidiel telemarketingu stále relatívne nízke, keďže ich priemerná výška predstavuje 580 eur. Najvyššia pokuta dosiahla výšku iba tisíc eur, čo rozhodne nie je dostatočne odradzujúce. Na bežné marketingové volania už nie je na Slovensku nutný súhlas podľa GDPR. Ten je potrebný len na automatické, vopred nahrané marketingové hovory, ktoré prakticky nikto nepoužíva. „Legislatíva, ktorá vstúpila do platnosti vo februári 2022 dala telemarketingu bez súhlasu zelenú. Prešli sme z opt-in režimu do opt-out. Vyvažovať to má tzv. Robinsonov zoznam a predvoľba marketingových volaní, ale aj z týchto pravidiel existujú výnimky, ktoré podľa nás nemajú oporu v GDPR. Nevieme, prečo sú napríklad živnostníci diskriminovaní a nemajú rovnakú ochranu ako fyzické osoby. Dlhodobo upozorňujeme na to, že to čo dovoľuje § 116 zákona o elektronických komunikáciách pri telemarketingu, nemusí dovoľovať GDPR a európska legislatíva,“ zdôrazňuje Jakub Berthoty.

Keďže legislatíva dáva telemarketingovým spoločnostiam pomerne dosť voľnosti, je na spotrebiteľoch, aby sa chránili sami. Jedným zo spôsobom je registrácia do tzv. „Robinsonovho zoznamu“, kde sa môžu zapísať fyzické aj právnické osoby, ktoré si neželajú byť kontaktované za účelom priameho marketingu. Radikálnejšou možnosťou je podanie sťažnosti na telekomunikačný úrad, ktorý bude následne rozhodovať o začatí konania. Ani rozhodnutia telekomunikačného úradu však nemusia pomôcť, keďže daný Úrad rieši len to, či je telemarketing súladný s, beztak problematickým, § 116 zákona o elektronických komunikáciách. Z toho dôvodu by sa mali ľudia obracať prednostne na Úrad na ochranu osobných údajov. „Úrad na ochranu osobných údajov síce nemôže riešiť súlad so zákonom o elektronických komunikáciách, ale to ani nechceme. Chceme, aby sa pri telemarketingu riešil súlad so základnými zásadami s GDPR, pretože stále ide o spracúvanie osobných údajov. V tejto rovine som presvedčený o tom, že mnohé telemarketingové kampane narazia na preukázanie oprávneného záujmu, najmä ak ide o typický cold-calling na nezákazníkov. Tam oprávnený záujem na kontaktovaní jednoducho nepreukážu. Zverejnili sme preto na našej webstránke vzor podania na Úrad na ochranu osobných údajov, ktorý môže každý použiť, prispôsobiť a podať na tento Úrad,“ uzatvára Jakub Berthoty.

GDPR: Výrobca hodiniek čelí sťažnosti

Občianske združenie noyb podalo koncom augusta 2023 sťažnosť voči americkej spoločnosti Fitbit. Tá je dobre známa aj slovenským spotrebiteľom ako výrobca a predajca smart hodiniek na sledovanie životosprávy. Predmetom sťažnosti je zdieľanie citlivých údajov, prenos informácií do tretích krajín a nemožnosť odvolania súhlasu so spracovaním osobných údajov. Podľa advokáta a odborníka na ochranu osobných údajov ide o vážne porušenia GDPR a ePrivicy, ktoré majú vplyv aj na slovenských spotrebiteľov.

Osobné údaje Slovákov používajúcich hodinky Fitbit nemusia byť úplne v bezpečí. Myslí si to občianske združenie noyb, ktoré podalo sťažnosť na americkú spoločnosť, vyrábajúcu a predávajúcu smart hodinky na sledovanie športovej aktivity, fyzickej kondície, srdcovej aktivity, spánku a ďalších životných funkcií. Spoločnosť Fitbit, ktorú v roku 2021 kúpila spoločnosť Google Inc., má aktuálne vyše 100 miliónov registrovaných používateľov. Občianske združenie noyb spoločnosti vyčíta prenos údajov do tretích krajín bez súhlasu používateľov, pričom Fitbit ani len neuvádza, do akých krajín budú spracovávané osobné údaje používateľov poskytnuté (čl. 13 GDPR). Za problematické považuje združenie aj samotné zdieľané údaje, keďže ide o citlivé informácie ako záznamy o strave, spánku, telesných informáciách, ženského zdravia a ďalších telesných funkcií. Udelený súhlas so spracovaním osobných údajov navyše nemožno odvolať. V prípade nesúhlasu so spracúvaním údajov musí používateľ svoj účet zrušiť, pričom stratí všetky doposiaľ zaevidované údaje. (článok 4, 7 a 49 GDPR).

„Pri využívaní hodiniek od spoločnosti Fitbit si klient musí založiť účet a musí súhlasiť so spracovaním svojich osobných údajov, pričom firma neuvádza, do akých tretích krajín sú spracovávané dáta prenášané. Tam vidím jednoznačný rozpor s GDPR a bude veľmi zaujímavé, ako sa dozorné orgány vysporiadajú s prenosmi dát do USA. Slovenským spotrebiteľom odporúčam pozorne čítať podmienky, kým udelia súhlas so spracovaním osobných údajov. Rovnako treba mať na pamäti, že aj udelený súhlas by malo byť možné vždy odvolať,“ uzatvára  Jakub Berthoty.

GDPR: Cezhraničná spolupráca

Európska komisia cíti potrebu bližšieho výkladu mechanizmov spolupráce a konzistentnosti (tzv. one stop shop), a preto prichádza s nariadením, ktoré by malo posilniť spoluprácu pri cezhraničnom presadzovaní GDPR vo viac ako jednom členskom štáte Európskej únie. Nariadenie si bude podľa odborníkov na ochranu osobných údajov na Slovensku vyžadovať úpravu vnútroštátnych pravidiel.

V GDPR by sa mala po novom objaviť špecifická sťažnosť pre cezhraničné spracúvanie, čo by znamenalo, že aj slovenský Úrad na ochranu osobných údajov bude nútený vykladať, či ide alebo nejde o cezhraničné spracúvanie. „Zavedenie nových mechanizmov v zmysle nariadenia by si na Slovensku mohlo v praxi vyžadovať väčšiu mieru pozornosti a „záujmu“ zo strany dozorného orgánu a to predovšetkým pri posudzovaní spracúvania osobných údajov s cezhraničným prvkom. Drvivú väčšinu prípadov spracúvania osobných údajov (a to aj pri spracúvaní s cezhraničným prvkom) totiž v súčasnosti dozorný orgán rieši iba na lokálnej úrovni,“ hovorí Jakub Berthoty. Nové pravidlá prinesú aj novú, predpísanú formu sťažnosti, ktorej výsledkom bude jednotný vzhľad podania a jednotný prístup k potrebným informáciám na posúdenie sťažností. Malo by sa tiež zrýchliť riešenie prípadných sporov a strany sporu by mali byť lepšie pripravené na predpokladaný výsledok.

„Napriek tomu, že cieľom nariadenia nie je úprava vnútroštátnych pravidiel môžeme predpokladať, že prijatie nového nariadenia bude pre Slovensko znamenať úpravu zákona o ochrane osobných údajov a úpravu aj vnútroštátnych procesných pravidiel pri presadzovaní GDPR na národnej úrovni tak, aby sa zjednotili s nariadením a procesnými postupmi pri cezhraničnom spracúvaní namiesto aplikovania rozličných postupov. Veríme, že Slovensko zaujme k novému nariadeniu Komisie pozitívny prístup a za účelom riadneho zabezpečenia ochrany osobných údajov svojich obyvateľov a zjednodušenia niektorých procesov implementuje nové prvky nielen do zákona o ochrane osobných údajov, ale predovšetkým do praxe,“ uzatvára advokát Berthoty.

GDPR: RIziká umelej inteligencie

Umelá inteligencia (AI) dokáže vytvárať vlastné texty aj obrázky, zvládne robiť zápisy z porád či dokonca navrhovať stratégie a rozhodovať o rôznych záležitostiach na základe vstupných dát. Jej schopnosti sa každým dňom posúvajú vpred. Ako sú však chránené dáta používateľov internetu, ktoré pre svoje výstupy AI potrebuje? Tejto otázke sa dnes venujú už viaceré dozorné orgány v Európe. 

Využívanie umelej inteligencie predstavuje neuveriteľné šetrenie času aj zdrojov. Okrem množstva benefitov, ktoré prináša, však existujú aj riziká, predovšetkým pokiaľ k implementácii AI dochádza nekontrolovaným spôsobom. „Umelá inteligencia funguje na základe učenia sa, čo znamená, že sa neriadi vopred naprogramovanými pokynmi. V dôsledku toho môže vytvoriť viacero nejasností a právnych obáv, napr. neobjektívne či diskriminačné prijímanie rozhodnutí, ktoré porušuje všeobecné požiadavky na spravodlivosť a zodpovednosť stanovené GDPR,“ upozorňuje Jakub Berthoty. Takéto situácie môžu podľa neho nastať, keď by AI rozhodovala v pracovno-právnej oblasti (začatie, zmena, ukončenie zmluvných pracovných vzťahov), v oblasti verejnej pomoci (hodnotenie oprávnenosti prideľovania dávok, overovanie pravosti dokladov), v bankovom sektore (rozhodovanie o bonite klienta) či v oblasti súdnictva (posúdenie dôkazov, ich prijateľnosť) a rôznych iných rizikových sektoroch, kedy je nevyhnutné posúdenie ľudským faktorom. Umelá inteligencia často zhromažďuje a analyzuje veľké množstvo osobných údajov, čo vyvoláva otázky týkajúce sa ochrany súkromia a bezpečnosti údajov. Chatboty akým je napr. ChatGPT, využívajú na trénovanie svojho jazykového modelu nespočetné množstvo dostupných údajov z webu, vrátane príspevkov na sociálnych sieťach. Mnohé z týchto údajov sú osobné údaje alebo sú chránené autorskými právami. „Dotknuté osoby musia byť v každom prípade adekvátne informované o používaní umelej inteligencie na spracovanie ich osobných údajov. Ak navyše dochádza k automatizovanému individuálnemu rozhodovaniu (AIR) o ich právach, majú dotknuté osoby právo, aby sa takéto rozhodovanie na nich za stanovených podmienok nevzťahovalo. Pri nezohľadnení týchto faktorov môže dôjsť k porušeniu transparentnosti a zákonného spracúvania osobných údajov,“ zdôrazňuje Jakub Berthoty.

Riziká AI si začali všímať európske dozorné orgány. Taliansky dozorný orgán, ako najaktívnejší spomedzi európskych úradov na ochranu osobných údajov v postupe voči AI technológiám, už zakročil proti ChatGPT, AI Chatbot aj voči Clearview. Dôvodom bolo využívanie množstva údajov zozbieraných z internetu bez právneho základu a ďalších náležitostí. O AI sa však aktívne zaujíma aj nemecký a španielsky dozorný orgán a pracovnú skupinu už vytvoril aj Európsky výbor pre ochranu údajov (EDPB). Napriek rizikám je možné umelú inteligenciu využívať v súlade s GDPR. Dôležitá je zvýšená miera senzitivity pri ochrane súkromia, tak zo strany štátnych inštitúcií, ako aj samotných dotknutých osôb. „Pri používaní AI je potrebný proaktívny prístup k zabezpečeniu ochrany osobných údajov a dbať na dodržanie všetkých podmienok stanovených GDPR. Predovšetkým ide o dodržiavanie základných zásad pri spracúvaní osobných údajov, v rámci vopred vymedzených účelov a existujúcich právnych základov. Rovnako treba dbať na zvýšenú mieru transparentnosti a v tom zmysle náležité informovanie dotknutých osôb, že dochádza k spracúvaniu ich údajov - predovšetkým informovanie dotknutých osôb v prípade AIR, profilovania, či spracúvania osobitných kategórií osobných údajov,“ vysvetľuje Jakub Berthoty. Súčasná regulácia na európskej úrovni má len dopomôcť tomu, aby sa z dobrého sluhu nestal zlý pán. V tomto smere bude vítaným prvkom aj návrh Aktu o umelej inteligencii, ktorý zastreší v budúcnosti predmetnú problematiku na európskej úrovni.

Kyberpezpečnosť: Štvrtina slovenských podnikov už má negatívne skúsenosti

Malé a stredné podniky tvoria 99,9 % počtu firiem na Slovensku. V priebehu apríla t. r. vykonala Agentúra AKO na základe zadania Kompetenčného a certifikačného centra kybernetickej bezpečnosti prieskum o stave kybernetickej bezpečnosti v malých a stredných podnikoch na Slovensku. Len 41 % respondentov z malých podnikov uviedlo, že sú ohrození kyberútokmi, pričom u stredných podnikov to bola nadpolovičná väčšina respondentov (54 %). Vysoké percento záporných odpovedí na dokazuje, že respondenti si dostatočne neuvedomujú hrozby, respektíve nemajú potrebnú znalosť problematiky. Ak ale používate počítač, mobil, webovú stránku, alebo účet v banke, ste potenciálny cieľ útoku. 

 

Podniky si uvedomujú množstvo faktorov, ktoré majú vplyv na zvyšovanie ich úrovne kyberbezpečnosti, pričom v rovnakej miere v prvej trojici uviedli rýchly rozvoj informačných technológií, poučenie z predchádzajúceho incidentu a odporúčania dodávateľov. Motivátormi  na zvyšovanie úrovne kyberbezpečnosti sú legislatívne požiadavky, výsledky analýzy rizík či obavy z negatívnej publicity. V tejto súvislosti Ivan Makatura upozorňuje, že žiadny podnik by nemal očakávať, že návrhy riešenia pri riadení kybernetických rizík „prídu" z externého prostredia. Pri implementácii opatrení by sa podniky mali rozhodne viacej spoliehať na výsledky analýzy rizík a na odporúčania auditu, než na negatívnu skúsenosť s incidentom. „Nerád to hovorím, ale ak sa popálite na incidente, vtedy je už neskoro začať s preventívnymi opatreniami,“ zdôrazňuje Ivan Makatura. 

 

Ako bariéru zvyšovania úrovne kyberbezpečnosti takmer polovica malých a stredných podnikov identifikuje nedostatok digitálnych zručností zamestnancov. Zároveň majú zamestnanci averziu voči bezpečnostným opatreniam, pretože sa primárne potýkajú s nedostatkom bežných digitálnych zručností. Prieskum opäť potvrdil neblahý fakt, že množstvo povinností súvisiacich s implementáciou GDPR mylne ovplyvnil vnímanie štatutárov, že týmto majú zároveň splnené aj povinnosti v kontexte kyberbezpečnosti. Takmer polovica respondentov malých a stredných podnikov však už uviedla, že riadi kyberbezpečnostné riziká, aj keď nie sú povinnými osobami podľa zákona o kybernetickej bezpečnosti. Čím má podnik väčší počet zamestnancov, tým je pravdepodobnejšie, že riadenie rizík majú implementované.

SR: Správa o ochrane osobných údajov

Advokátska kancelária Dagital Legal zverejnila výročnú Správu o ochrane osobných údajov. V slovenských reáliách ide v oblasti ochrany osobných údajov o jedinečný prehľad, keďže dostupné bývajú už len výročné správy Úradu na ochranu osobných údajov. Tie sa ale spravidla zameriavajú skôr na štatistiky o činnosti samotného úradu a nevenujú sa dostatočne problematike samotnej. 

Ubehol rok od nadobudnutia účinnosti nového zákona o elektronických komunikáciách, pričom na jeho základe sa počas uplynulého roka prijali viaceré vyhlášky Úradu pre reguláciu elektronických komunikácií a poštových služieb SR. Ide preto o hlavnú legislatívnu udalosť rokov 2021 aj 2022. Zákon priniesol výraznú zmenu v regulácii nevyžiadanej komunikácie, ktorú podstatne uvoľnil a to najmä vo vzťahu k tele-marketingu. Nie všetky ustanovenia predmetného zákona sú však podľa odborníkov zlučiteľné s režimom podľa GDPR. Za najviac pozitívnu udalosť uplynulého roka správa označuje historicky prvé usmernenie ohľadom ukladania a spracúvania cookies, ktoré vydal Úrad pre reguláciu elektronických komunikácií a poštových služieb SR v máji 2022 a následne v novembri 2022 na podnet odborníkov aktualizoval.

Ani v roku 2022 sa nepodarilo zvoliť nového predsedu Úradu na ochranu osobných údajov. Vláda SR stiahla nomináciu najlepšie hodnoteného JUDr. Juraja Mičuru po zásahu a vypočutí poslanca Dostála. Úrad tak zostáva bez vedenia už od apríla 2020. Okrem predsedu chýbajú aj kvalifikovaní zamestnanci a podľa vlastnej Správy o stave ochrany osobných údajov za rok 2021 je funkčnosť úradu „pred kolapsom“. V roku 2021 operoval so zníženým rozpočtom 1,7 milióna eur a zamestnával 45 pracovníkov. Uložil dokopy 53 pokút v priemernej výške takmer 2.100 eur (spolu cca 110 tisíc eur). Zaujímavé je tu porovnanie s českým náprotivkom, ktorý mal v roku 2021 rozpočet 7,1 milióna eur a 105 zamestnancov. Uložil spolu 40 pokút v priemernej výške 3.700 eur (spolu cca 148 tisíc eur). Alarmujúcu štatistku je najlepšie pozorovať pri porovnaní rokov 2015 (pred GDPR) a 2021 (po GDPR). Zatiaľčo úrad vydá takmer dvakrát viac rozhodnutí s pokutami, vyberie len o 27 % viac. Priemerná výška pokuty totiž klesla z 2.600 eur na 2.000 eur, čo predstavuje úroveň v období pred GDPR. „S príchodom GDPR sme očakávali opačný vývoj. Úrad nepotrebuje vydávať desiatky rozhodnutí a bezvýznamných pokút ročne. Potrebuje sa strategicky zamerať na veľkých hráčov a služby s dopadom na širokú verejnosť, ktoré najviac porušujú pravidlá ochrany osobných údajov. Úrad by tak mal udeľovať menšie množstvo pokút, avšak natoľko vysokých, aby boli dostatočne odstrašujúce. Pre ilustráciu, francúzsky CNIL vybral v roku 2021 iba 18 pokút v celkovej výške 214 miliónov euro. Nejde však len o výšku pokút, ale aj o to, čo pokutujeme. Rozhodnutia by mali jasne ukazovať, že GDPR nie je byrokratickou prekážkou ale predpisom, ktorý chráni každého jedného z nás,“ zdôrazňuje Jakub Berthoty.

EU: Diagnostické zobrazovanie v onkológii

V Bruseli formálne odštartovala európska iniciatíva zameraná na diagnostické zobrazovanie v onkológii. V súlade s Európskou dátovou stratégiou a európskym priestorom pre zdravotné údaje je jednou z hlavných iniciatív európskeho plánu na boj proti rakovine. Spojiť má inovácie v oblasti digitálnych technológií s ochranou údajov garantovanou v Európe v snahe vytvoriť dôveryhodný a bezpečný rámec, v ktorom budú mať výskumníci, inovátori a lekári prístup k cenným údajom. Cieľom je, aby mohli čo najlepšie využívať inovačné riešenia liečby rakoviny a starostlivosti o onkologických pacientov založené na údajoch. Prvým projektom zameraným na diagnostické zobrazovanie v onkológii je EUCAIM a druhým zariadenie na testovanie a experimentovanie v oblasti umelej inteligencie pre zdravie (ZTE – zdravie).

Práca v rámci iniciatívy, ktorá je hlavnou akciou európskeho plánu na boj proti rakovine, sa zameria na vytvorenie digitálnej infraštruktúry, v ktorej sa spoja zdroje s databázami údajov z diagnostického zobrazovania v onkológii z celej EÚ. Zároveň sa zabezpečí dodržiavanie vysokých etických štandardov, dôvera, bezpečnosť a ochrana osobných údajov. Okrem toho infraštruktúra prepojí iniciatívy EÚ, vnútroštátne iniciatívy, siete nemocníc, ako aj výskumné archívy údajov zo zobrazovania a iných relevantných zdravotných údajov. Podľa očakávaní by sa do decembra 2023 mala dokončiť koncepcia celoeurópskej digitálnej infraštruktúry a budú zavedené mechanizmy na spoluprácu. Poskytovatelia údajov sa potom budú môcť pripojiť na túto novú európsku združenú platformu. Jej prvá verzia má byť spustená do konca roka 2024 a konečnú verziu očakávame do konca roka 2025. Úplné fungovanie digitálnej infraštruktúry je plánované na rok 2026.

Technologické inovácie spojené s ochranou údajov môže vytvoriť dôveryhodný rámec pre výskumníkov, inovátorov, lekárov aj pacientov. Výskumníkom zaručí efektívny prístup k väčšiemu množstvu vysokokvalitných údajov, ktoré im umožnia rakovinu skúmať a rozšíriť chápanie tohto ochorenia. Inovátorom vytvorí možnosti vyvíjať a testovať riešenia starostlivosti o onkologických pacientov založené na údajoch. Uľahčenie vývoja riešení založených na údajoch lekárom umožní presnejšie a rýchlejšie klinické rozhodovanie, diagnostiku, liečbu a prediktívnu medicínu v prospech onkologických pacientov. Takisto podporí dátový altruizmus u občanov, ktorí prejavia ochotu alebo dajú súhlas na sprístupnenie svojich údajov na obohatenie súborov zdravotných údajov. Cezhraničná, interoperabilná a bezpečná infraštruktúra s ochranou súkromia urýchli inováciu v lekárskom výskume. Napríklad bude možné vyškoliť nové technológie využívajúce umelú inteligenciu na rozsiahlom súbore údajov, ktorý je štandardizovaný a v úplnom súlade so všeobecným nariadením o ochrane údajov (GDPR). Urýchli sa tak vývoj inovačných nástrojov, ktoré budú môcť zabezpečiť rýchlejšiu diagnózu rakoviny a zlepšenú personalizovanú starostlivosť.

Trend: Compliance požiadavky

Rastie počet organizácií, pre ktoré je splnenie zákonných požiadaviek jedným z kľúčových kritérií výberu riešení IT bezpečnosti. Až 37 % českých a slovenských firiem uviedlo v prieskume (lokálni partneri a zákazmíci GFI Software v ČR a SR)  „compliance“ požiadavky ako jednu zo štandardných či dokonca ako hlavnú požiadavku pri budovaní IT bezpečnosti, ďalšie musia spĺňať špecifické nároky svojho odboru alebo prinajmenšom sa ich dotýka nariadenie GDPR na ochranu osobných dát.

Zvyšujúci sa počet aj nároky zákonných požiadaviek v kombinácii s potrebou neustále vylepšovať úroveň svojej bezpečnosti tak vedú organizácie k vyššiemu dopytu po certifikáciách informačnej bezpečnosti typu ISO 27001. Mnoho firiem zisťuje, že splnenie zákonných požiadaviek na IT bezpečnosť je stále častejšou podmienkou pri výberových riadeniach a pri uzatváranie kontraktov s obchodnými partnermi a získanie certifikácie informačnej bezpečnosti tak vidia ako posilnenie svojej konkurenčnej výhody na trhu.

Najzaujímavejšie zistenia:

- Splnenie zákonných požiadaviek je hlavným kritériom pri výbere bezpečnostného softvéru pre 10 % opýtaných, pre 27 % sú štandardným kritériom, pre 21 % iba v prípade špecifických odborových požiadaviek a pre 24 % iba kvôli GDPR. 18 % firiem nerieši compliance vôbec.
- 16 % organizácií má certifikáciu ISO 27001, ďalších 9 % ju vážne zvažuje a 56 % plánuje niekedy v budúcnosti.
- Hlavným impulzom na získanie certifikácie informačnej bezpečnosti by bolo pre 55 % opýtaných zvýšenie reputácie u zákazníkov, pre 42 % zvýšenie úrovne vlastnej IT bezpečnosti a pre 26 % splnenie zákonných požiadaviek.

Aktuálne: Google Analytics a GDPR

Google Analytics využívajú aj prevádzkovatelia webových stránok na Slovensku. Dozorné orgány štátov Európskej únie však čoraz častejšie upozorňujú na rozpory Google Analytics s ePrivacy a GDPR. Európski regulátori vidia problém predovšetkým v americkej legislatíve (FISA), na základe ktorej majú americké úrady prístup k dátam používateľov danej služby a to aj v prípade, ak ich Google zašifruje. Dotknuté osoby sa voči takýmto zásahom v podstate nemajú právo brániť.

Podľa odborníkov na ochranu osobných údajov je však Google Analytics predsa len možné používať. Podľa advokátskej kancelárie Dagital Legal je rámci verzie Google Analytics 4 možné zabezpečiť silnú pseudonymizáciu dát ešte pred ich prenosom na server Google, čo by malo znemožniť prístup amerických úradov k údajom. Francúzsky dozorný orgán zas odporúča využívanie proxy servera, ktorý zabráni priamemu kontaktu medzi koncovým zariadením používateľa a servermi Google. Ak využívate platenú verziu služby Google Analytics 360 môžete tiež zvážiť aj šifrovanie dát s využitím Big Query a Cloud Key Management Service. Existuje aj iné efektívne riešenie, ako zabezpečiť prenosy do tretích krajín? „Často sa zabúda na tzv. zlatý štandard medzinárodných prenosov údajov, ako záväzné vnútropodnikové pravidlá označil britský dozorný orgán. Tieto môže využívať skupina podnikov alebo podniky zapojené do spoločnej hospodárskej činnosti. V Slovenskej republike s týmto schvaľovacím procesom už máme prvú skúsenosť. Napriek tomu, že úvodné spracovanie potrebnej dokumentácie je náročné, v závere mimoriadne znižuje časové i finančné náklady na prenosy údajov v rámci skupiny a je aj určitou pečaťou kvality pre klientov takýchto medzinárodných skupín,“ dodáva Jakub Berthoty.

Napriek komplikovanosti problému sa možno v dohľadnom čase dočkáme jednoduchého riešenia. Európsky komisár Didier Reynders totiž uviedol, že oficiálny právny text dohody o prenosoch medzi EÚ a USA bude vypracovaný v najbližších týždňoch. Tým sa začne proces posúdenia primeranosti, ktorý povedie k finalizovanej dohode najneskôr do konca prvého štvrťroka budúceho roka. „Ak by sa podarilo prelomiť právo plošného prístupu amerických tajných služieb k údajom používateľov a zaviesť do systému prvky proporcionality a nevyhnutnosti a možno aj väčšieho dohľadu, mohlo by to znamenať, že USA sa, ako celok, stanú primeranou treťou krajinou a mohli by sme do Spojených štátov vykonávať prenosy osobných údajov v podobnom režime, ako v rámci EÚ, resp. EHP. Úplne ideálne by bolo, ak by v USA existovala federálna legislatíva na ochranu osobných údajov, podobná GDPR,“ uzatvára Berthoty.

SR: Usmernenie regulátora bude potrebné prepracovať

Slovenská legislatíva už má prvé záväzné stanovisko regulátora v oblasti cookies a získavania súhlasu návštevníkov internetových stránok. Aj keď podľa Úradu pre reguláciu elektronických komunikácií a poštových služieb nemá povinnosť zverejňovať usmernenia k problematike cookies. Odborníci hodnotia snahu úradu pozitívne, no poukazujú na nedostatočné skúsenosti s výkladom GDPR a z toho prameniace rozpory.

Úrad pre reguláciu elektronických komunikácií a poštových služieb v máji t. r. zverejnil stanovisko odboru štátneho dohľadu k problematike získavania súhlasu s cookies, ktoré je doteraz jediným platným usmernením regulátora k používaniu cookies na Slovensku. „Z usmernenia je však zrejmé, že pre štátnych zamestnancov, ktorí doteraz nesledovali usmernenia Výboru (EDPB), rozhodnutia zahraničných dozorných orgánov, prípadne relevantnú judikatúru, je veľmi ťažké sa v priebehu len niekoľkých mesiacov zorientovať v spleti pravidiel a výkladov. Usmernenie nevie zakryť doteraz neexistujúcu prax Úradu pre reguláciu vo vzťahu ku cookies a ani absenciu skúseností Úrad pre reguláciu s výkladom GDPR,“ upozorňuje Jakub Berthoty. Podľa neho má úrad problém tiež pochopiť vzťah medzi účelom spracúvania a typom cookies, pričom si spája zlučiteľnosť účelov s typmi cookies. „Typy cookies sú len akési zaužívané kategórie, používané skôr v hovorovej reči. Podstatný tu je účel spracovania. Osobne nevidím žiadny rozdiel medzi štatistickou a analytickou cookienou a ani usmernenie tieto rozdiely nepopisuje. Takisto pre mňa nie je jasné, či napríklad Google Analytics cookiena predstavuje štatistickú, analytickú alebo marketingovú cookienu. Z hľadiska GDPR je totiž rozhodujúce to, na aký účel prevádzkovateľ získané údaje spracováva,“ približuje Jakub Berthoty.

Medzi ďalšie nedostatky v usmernení patrí aj absencia vysvetlenia informačných povinností (Cookies policy) a to napriek skutočnosti, že otázka súhlasu je s informačnými povinnosťami kriticky previazaná. Usmernenie tiež nevysvetľuje vzťah medzi ePrivacy a GDPR ani judikatúru SDEÚ (Planet 49). Rovnako absentuje práca s ostatnými kľúčovými usmerneniami Výboru (EDPB) aj s usmerneniami zahraničných dozorných orgánov, ktoré obsahujú viaceré výkladové nuansy dôležité pre prax. Usmernenie sa tiež nevenuje odvolaniu súhlasu ani súhlasu detí a chýbajú aj praktické príklady. V usmernení úradu nájdeme dokonca aj absolútne nezmysly, ako napríklad tvrdenie, že nevyhnutné cookies „neukladajú ani nespracúvajú žiadne osobné údaje užívateľov a ich jediným účelom je prenos alebo uľahčenie prenosu správy prostredníctvom siete“ alebo už spomínané chaotické narábanie s účelmi spracúvania.

Aplikácia: Lekár v telefóne 24/7

Viaceré prieskumy poukazujú na fakt, že približne 20 až 30 % osobných návštev u lekára je úplne zbytočných a dali by sa nahradiť komunikáciou s lekárom cez telefón. Telemedicína sa vďaka Covid 19 výrazne posunula aj na Slovensku. Vymieňať si citlivé informácie o našom zdravotnom stave cez bežný telefonát, chat alebo e-mail však môže predstavovať aj bezpečnostné riziko. Navyše spojiť sa telefonicky so svojim vyťaženým lekárom je neraz skúška trpezlivosti.

Spojiť sa s lekárom 24 hodín denne, 7 dní v týždni a to kdekoľvek, v práci, doma, či na dovolenke ponúka Smart aplikácia MEDDI app – Ordinácia bez hraníc pre záujemcov všetkých poisťovní. Stiahnutie aplikácie je zadarmo, poplatok za rozšírenú verziu sa pohybuje na úrovní platieb za lepšiu streamovaciu alebo internetovú televíziu. Rodičia a zákonní zástupcovia si môžu na jeden účet pridať až štyri deti. Lekári majú prístup zadarmo. Na rozdiel od niektorých existujúcich medicínskych „konzultačných“ aplikácií prostredníctvom MEDDi app používateľ komunikuje s reálnym lekárom, v reálnom čase a nie chatbotom (konverzačným robotom). „MEDDI app umožňuje prepojiť pacienta s lekárom okamžite. Môžete si vybrať, či s ním budete komunikovať telefonicky, prostredníctvom chatu alebo priamo cez videohovor. Aplikácia umožňuje preposielať si potvrdenia, lekárske správy, fotky zranení, užívaných liekov, výsledky CT, MR, či RTG vyšetrení. Výsledkom komunikácie je riadna lekárska správa, umožňuje viesť archív prípadov, e-kartotéku atď. Rovnako, ak chcete získať druhý názor lekára, nemusíte na neho čakať niekoľko dní či týždňov. Funkčnosti aplikácie neustále rozširujeme,“ hovorí Jiří Pecina. Smart apku dnes už využíva takmer 5.000 lekárov a viac než 200.000 používateľov v Česku, na Slovensku, v Maďarsku aj v Latinskej Amerike.

Do vývoja aplikácie bolo doposiaľ preinvestovaných vyše 10 miliónov EUR ( cca 250 mil. Kč). Funkčnosti neustále rozširuje samostatný tím vývojárov. Aj vďaka nim MEDDI app spĺňa nielen dôležité kvalitatívne, ale bezpečnostné kritéria. Aplikácia zabezpečuje s lekárom šifrovanú komunikácia, spĺňa všetky ustanovenia GDPR a medzinárodné normy HL7 (Health Level 7) pre zdravotníctvo. Celá komunikácia a údaje podliehajú 2048-bitovému šifrovaniu. Bezpečnostná architektúra aplikácie je v súlade s požiadavkami Národného úradu pre kybernetickú a informačnú bezpečnosť ČR a EÚ. Údaje používateľov sa nikdy a s nikým nezdieľajú. Aplikácia jednoducho absolútne rešpektuje lekárske tajomstvo.

GDPR: Žaloby od združení

Majú spotrebiteľské združenia právo podávať žaloby aj podľa GDPR? Odpoveďou je rozhodnutie Súdneho dvora EÚ: spotrebiteľské združenia majú napriek špecifickej úprave podľa GDPR právo podávať žaloby za porušovanie GDPR bez poverenia udeleného na tento účel a nezávisle od porušenia konkrétnych práv dotknutých osôb, ak tieto porušenia zasahujú aj do práv na ochranu spotrebiteľa a tieto ich práva reguluje vnútroštátna úprava. Podľa odborníkov ide o dôležité rozhodnutie, ktoré môže urýchliť zlepšovanie ochrany práv spotrebiteľov aj vymáhanie GDPR v celej Európskej únii, vrátane Slovenska.

Rozhodnutie Súdneho dvora EÚ výraznou mierou posilňuje práva občanov EÚ, či už sú v postavení spotrebiteľa alebo dotknutej osoby. Porušenie pravidla týkajúceho sa ochrany osobných údajov totiž môže podľa odborníka viesť k porušeniu pravidiel týkajúcich sa ochrany spotrebiteľov. „V praxi sa teraz môže stať, že obchodníkovi bude za jedno konanie uložená pokuta za porušenie GDPR a súčasne mu bude hroziť aj pokuta za porušenie pravidiel v oblasti ochrany spotrebiteľa. Ak teda úrady na ochranu osobných údajov v EÚ nebudú efektívne vymáhať povinnosti podľa GDPR, môžu nápravu niektorých porušení vyriešiť spotrebiteľské združenia. Napríklad v situácii, kedy nedostatok súhlasu či profilovanie spôsobí aj vznik agresívnej obchodnej praktiky. Je preto potrebné, aby spoločnosti precízne kontrolovali svoje obchodné podmienky aj z pohľadu ochrany osobných údajov,“ upozorňuje Jakub Berthoty.

 

Európska únia už postavenie združení upravuje v smernici č. 2020/1828 o žalobách v zastúpení na ochranu kolektívnych záujmov spotrebiteľov, na základe ktorej majú združenia možnosť žalovať porušenia podľa GDPR. Implementácia novej smernice má termín do 25. decembra 2022 a vnútroštátne opatrenia majú nadobudnúť účinnosť až od 25. júna 2023. Spotrebiteľské združenia budú následne môcť podávať kolektívne žaloby za porušenia GDPR aj podľa spomínanej smernice. Vďaka rozsudku Súdneho dvora EÚ však majú spotrebiteľské združenia právo konať v prípade porušení GDPR, prekrývajúcom sa s ochranou spotrebiteľa už dnes.

GDPR: Cookie lišta v rozpore?

Belgický dozorný orgán rozhodol, že cookie lišta od IAB Europe je v rozpore s GDPR. Ak nadobudne rozhodnutie právoplatnosť, bude mať vplyv aj na slovenských prevádzkovateľov webov. Téma tzv. „cookies“ je na Slovensku dlhodobo podceňovaná, a to aj napriek tomu, že sa týka prakticky všetkých prevádzkovateľov webov. Na čo sa teda máme pripraviť?

V Slovenskej republike upravuje cookies zákon o elektronických komunikáciách, ktorý okrem iného implementuje ePrivacy smernicu Európskej únie. Tá podmieňuje marketingové využívanie cookies súhlasom používateľa. Až v minulom roku však boli zavedené sankcie za porušenie pravidiel cookies, ktoré v slovenskej legislatíve takmer 20 rokov chýbali. Prekvapivá je však ich výška - až do 10 % z obratu. Pokuta tak môže v tomto prípade presiahnuť aj výšku sankcie podľa GDPR, ktorá je v najvyššej sadzbe 4 % z celkového svetového ročného obratu s limitom 20 miliónov eur. Naopak, pri „nepodnikateľoch“ môže byť uložená maximálne pokuta vo výške do 20.000 eur. „Pri zásahoch do súkromia nie je dôležité, či ich robí fyzická alebo právnická osoba alebo či má status podnikateľa, podstatný je dopad porušenia na práva dotknutých osôb. Znenie zákona upravujúce sankcie pre podnikateľov a nepodnikateľov rozdielne bude skôr motiváciou pre obchádzanie zákona“, zhodnotil zavedenie sankcií advokát Jakub Berthoty.

Väčšina prevádzkovateľov nemá čas ani dostatočné vedomosti na riešenie úpravy cookies a volia jednoduché riešenie formou externého dodávateľa rozhrania. Medzi najznámejších poskytovateľov v EÚ patrí spoločnosť IAB Europe so svojím systémom získavania súhlasu Transparency & Consent Framework (TCF). Známe cookie lišty využíva v EÚ až 80 % prevádzkovateľov webov, vrátane gigantov ako Google, Microsoft či Amazon. Cieľom je informovať používateľov o oprávnených záujmoch inzerentov a súčasne získavať súhlas používateľov so spracovaním osobných údajov v systéme real - time bidding (RTB)*. Podľa belgického dozorného orgánu sú však cookie lišty v rozpore s GDPR. IAB Europe bola uložená aj pokuta vo výške 250 tisíc eur a povinnosť vymazať všetky údaje zhromaždené s využitím TCF. V zmysle rozhodnutia TCF totiž okrem iného nezabezpečuje bezpečnosť a dôvernosť osobných údajov, nepoužíva platný právny základ a neinformuje používateľov o tom, ako budú ich osobné údaje ďalej spracúvané. Rozhodnutie zatiaľ nie je právoplatné, keďže IAB Europe podalo odvolanie. Ak však bude neúspešné, budú osobné údaje, ktoré prostredníctvom TCF zhromaždili prevádzkovatelia v EÚ, spracúvané nezákonne, a teda budú musieť byť vymazané. Prevádzkovatelia by mali zvážiť komplexný audit využívania cookies zameraný na to, ktoré osobné údaje skutočne potrebujú a ktoré údaje postačujú aj v anonymizovanej forme, a teda nepodliehajú GDPR. Audit by mal tiež jasne určiť, aké právne základy sú vhodné na príslušné spracúvanie osobných údajov a či využívaný súhlas spĺňa zákonné podmienky.

*RTB je sieť partnerov, ktorá umožňuje zlepšiť predaj reklamného priestoru prostredníctvom využívania dát v reálnom čase a personalizovanej (behaviorálnej) reklamy. Na predaj a nákup reklamného priestoru používa okamžitú automatizovanú on-line aukciu, kde používateľ vstúpi na webovú stránku alebo do aplikácie, ktorá obsahuje reklamný priestor, čím sa aktivuje sa automatizovaný on-line aukčný systém. Tisícky inzerentov ponúkajú v reálnom čase cenu za cielenú reklamu, špecificky prispôsobenú profilu dotknutej osoby. Denne sa takto vydražia miliardy inzerátov.

GDPR: Je prenos osobných údajov z EÚ do USA zakázaný?

Európske dozorné orgány sa začínajú zaoberať prenosmi osobných údajov európskych používateľov do USA. Za problematické považujú americké zákony, ktoré umožňujú po vyžiadaní zdieľanie dát používateľov s americkými agentúrami. Na tieto praktiky americkej vlády upozornil aj známy whistleblower Edward Snowden. Do pozornosti sa v ostatných mesiacoch dostala predovšetkým obľúbená služba Google Analytics.

Podľa rakúskeho dozorného orgánu porušuje služba Google Analytics GDPR, keďže dochádza k prenosu dát používateľov na servery v USA. V súlade s americkou legislatívou k preneseným údajom následne môžu získať prístup americké štátne agentúry, napríklad FBI alebo NSA. Za problematický považuje Google Analytics aj Európsky dozorný úrad pre ochranu údajov (EDPS), ktorý z rovnakých dôvodov pokarhal Európsky parlament. Ten využíval služby Google Analytics a Stripe na webovej stránke slúžiacej na testovanie COVID-19. O nezákonnosti prenosu údajov do USA pri využívaní Google Analytics rozhodol už aj francúzsky dozorný orgán. Obe rozhodnutia nadväzujú na 101 sťažností podaných občianskym združením noyb, z ktorých sa tri týkajú aj slovenských webových stránok.

Známe rakúske rozhodnutie konštatujúce porušovanie GDPR pri používaní Google Analytics hodnotilo jeho nastavenie a zmluvnú dokumentáciu z augusta 2020. Google zareagoval prijatím novej zmluvnej dokumentácie aj dodatočných opatrení platných pre Google Analytics vychádzajúce aj z kľúčových odporúčaní Európskeho výboru pre ochranu údajov v septembri 2021. Aktuálne tak panuje neistota v tom, že či aj pri aplikovaní týchto „nových“ dodatočných záruk a využití nových nastavení zo strany prevádzkovateľa webstránky, by používanie Google Analytics mohlo viesť k porušovaniu GDPR. Kým sa situácia pod vplyvom ďalšej rozhodovacej praxe dozorných orgánov viac nevyjasní, bude existujúce riziko vhodné zmierniť najmä súhrnom viacerých opatrení, a to najmä:

1) používaním funkčnej opt-in lišty na udelenie súhlasu / nesúhlasu s cookies,

2) uzatvorením zmluvy o spracúvaní osobných údajov a nových štandardných zmluvných doložiek,

3) nepovolením spracúvania celej IP adresy pre Google,

4) vypnutím zdieľania údajov a využívania údajov na reklamné účely pre Google v nastaveniach Google Analytics,

5) deaktivovaním funkcie User ID Google,

6) vykonaním rizikového posúdenie cezhraničného prenosu do USA (tzv. Transfer Impact Assessment) a podľa jeho záveru sa definitívne rozhodnúť, či Google Analytics možno v podmienkach konkrétneho prevádzkovateľa využívať.

Napriek záujmu Európskej komisie a dozorných orgánov viacerých členských krajín stále nie sú problémy súvisiace s prenosmi dát do USA vyriešené. Dostupné alternatívy sú podľa odborníka na ochranu osobných údajov buď zmeny v legislatíve USA na federálnej úrovni alebo výrazné obmedzenia ziskov amerických firiem. „Ideálne by bolo, aby Spojené štáty opäť získali status primeranosti, čo je však po zrušení predchádzajúcich dvoch rozhodnutí Európskej komisie možné len v prípade schválenia nového federálneho zákona, podobného GDPR. To však podľa aktuálnych informácií nepovažujem v blízkej budúcnosti za reálne. Alternatívou je oddelenie serverov a uchovávanie dát spadajúcich pod GDPR v Európskom hospodárskom priestore, čo by zo strany amerických spoločností vyžadovalo viaceré investície. V prípade nevhodne zvolenej stratégie by mohlo dôjsť tiež k zníženiu presnosti poskytovaných cielených či analytických služieb. S ohľadom na komplexnosť tzv. FISA legislatívy navyše nevedia často ani špecializovaní americkí právnici s istotou povedať, či by sa na americké entity a ich dcérske spoločnosti problematický zákon naďalej nevzťahoval“, sumarizuje Jakub Berthoty.

Ak chcú používatelia služieb ako Google Analytics dodržiavať GDPR, nemajú veľa možností. „Klientom odporúčame využívať softvér inštalovateľný na ich vlastný webový server, prípadne zvážiť európskych poskytovateľov. To sú aktuálne 100% bezpečné možnosti, ako predísť v tomto ohľade rozporu s GDPR. Uzatvorenie dodatkov k zmluvám s Google, ako Data Processing Agreement (DPA) a Standard Contractual Clauses (SCC), či vykonanie ďalších doplnkových opatrení sú len kroky na zmiernenie dôsledkov na ochranu osobných údajov“, upozorňuje Jakub Berthoty. V prípade akýchkoľvek prenosov do USA a krajín s podobným statusom je nevyhnutné vykonať tzv. transfer impact assessment, ktorým sa vyhodnotí bezpečnosť a okolnosti daného prenosu. Dozorné orgány v celej EÚ sa naň začínajú stále viac sústreďovať. Práve výsledok takéhoto posúdenia by mal podľa Berthotyho poskytnúť aj konkrétnu odpoveď, či nejakú službu z tretej krajiny používať alebo radšej nie.

Kybernetická ochrana: Začína vo vnútri

Možno by ste okolo svojich IT systémov a dátových úložísk najradšej postavili vysokú stenu s ostnatým drôtom. Neustále pripojenie k internetu je totiž nielen nenahraditeľným spojením s okolitým svetom, ale aj bránou pre hekerov pripravených dostať sa k citlivým údajom. Podľa niektorých štúdií uniklo len v roku 2020 až dvanásť miliárd záznamov do nesprávnych rúk. Je možné tomu zabrániť? A ako?

Úsielie o ochranu by mali smerovať k tomu, aby sme sa nebránili len pred útokmi zvonka, ale predovšetkým vnútri. „Základom je dôkladné školenie všetkých zamestnancov, ktorí môžu nevedome či úmyselne kybernetickú škodu spôsobiť. Len pri školeniach by sa to však skončiť nemalo“, pripomína Jiří Bavor. Ďalšou možnosťou ochrany sú Data Leakage / Loss Prevention riešenia (DLP) - preventívne opatrenia na identifikáciu a nastavenie oprávnení prístupu pre jednotlivých používateľov. Zároveň sa sleduje dodržiavanie európskeho nariadenia GDPR, legislatívy o ochrane osobných údajov, finančných údajov, výrobnej dokumentácie, obchodnej komunikácie a ďalších cenných informácií vrátane ich zdieľania. Napr. ak by sa dostali do nepovolaných rúk, tak by sa nemali dať stiahnuť do externých úložísk či odoslať mailom. Hľadaniu vhodného riešenia na kybernetickú bezpečnosť by malo predchádzať zodpovedanie dôležitých otázok: ktoré údaje chceme chrániť, kde ich budeme uchovávať a kto k nim bude mať prístup. Zvláštnu pozornosť si zaslúžia takzvané PLM systémy, cez ktoré zdieľa citlivé informácie o výrobe produktov viacero firiem alebo ich pobočiek, v rámci svojho dodávateľského reťazca, a to často aj medzinárodne.

Čo je však v súčasnosti najväčšia výzva? Komplexná bezpečnosť všetkých súčastí organizácie voči kyberútokom. Už dávno totiž netreba chrániť len takzvanú kancelársku časť. Vo väčšine firiem sú k sieťam pripojené aj výrobné a ďalšie stroje či prístroje, ktoré sú na útoky náchylné úplne rovnako ako počítače a notebooky. Dochádza tak k prepojeniu OT (prevádzkové technológie) a IT (informačné technológie) bezpečnosti. Pod komplexnou ochranou si zároveň môžeme predstaviť celý proces od vypracovania metodiky kybernetickej ochrany a implementácie príslušných technických a organizačných opatrení, školení používateľov, cez zabezpečenie citlivých dát až po prípravu pre prípad útoku a tiež na minimalizáciu škôd po takom útoku. Takú komplexnú ochranu môžu zabezpečiť nástroje Security Information and Event Management (SIEM), ktoré vytvárajú záznamy o všetkých činnostiach v IT aj v OT a následne ich analyzujú, hľadajú potenciálne riziká a včas o nich informujú IT oddelenia. Prepojenie s ďalšími systémami potom umožní i presnú lokalizáciu problému a poskytne návrh jeho riešenia. Podobne fungujú aj takzvané Security Operation Centrá (SOC), ktoré sú strediskom všetkého, čo vo firme slúži na ochranu pred ohrozením firmy a ktoré si možno prenajať ako službu.

V rámci komplexnej ochrany je dôležité počítať s tým, že útok skôr či neskôr príde a vhodnou prípravou možno minimalizovať škody. V takomto prípade pomôžu tzv. Business Recovery plány. Počítať treba so stratou či krádežou dát, ich zneužitím alebo nedostupnosťou, prípadne zastavením výroby, škodami na majetku alebo dokonca aj s rizikom zranenia zamestnancov. V každom prípade ide zároveň o reputačné riziko, ktoré môže firmu na dlhý čas očierniť v očiach zamestnancov, obchodných partnerov či celej verejnosti. Ak existuje možnosť takým škodám zabrániť alebo aspoň ich riziko minimalizovať, musí sa ňou manažment firmy rozhodne vážne zaoberať.

SR: Správa o ochrane osobných údajov za rok 2021

Symbolicky v Európsky deň ochrany osobných údajov (28.1.) bola publikovaná Správa o ochrane osobných údajov za rok 2021. Sumarizuje dianie v oblasti ochrany osobných údajov v Slovenskej republike za uplynulý rok. Na rozdiel od výročných správ Úradu na ochranu osobných údajov ( ÚOOÚ) SR, v ktorých úrad hodnotí predovšetkým vlastnú činnosť, sa zameriava na komplexné hodnotenie vývoja v celej oblasti. 

Správa sumarizuje právoplatné rozhodnutia úradu a prináša aj prehľad pokút, ktoré ÚOOÚ za rok 2021 udelil. Najvyššia pokuta bola vo výške 13.300 eur, najnižšia známa 500 eur. Správa spomína aj pokutu vo výške 40.000 eur (celkovo druhú najvyššiu pokutu uloženú v režime GDPR v SR), ktorá však nadobudla právoplatnosť až v roku 2022, a preto v sumáre nie je detailne spracovaná. V správe sa spomína aj neúspešná voľba predsedu Úradu na ochranu osobných údajov, ale aj Národná stratégia kybernetickej bezpečnosti. Pozitívne vníma rozhodnutie Ústavného súdu SR v prípade eKasa, ktoré pomôže lepšie chápať pojem osobné údaje a pracovať s ním. Zároveň umožní kvalitnejšie formulovať právne normy, ktoré majú slúžiť ako právny základ spracúvania osobných údajov a v neposlednom rade aj chápať mantinely štátu pri zbere dát, vrátane nemožnosti zbierať dáta pre prípadnú potrebu v budúcnosti.

V prvej časti správa hodnotí legislatívne udalosti, kde spomína novelu zákona o kyberbezpečnosti a informačných technológiach vererjnej správy, novelu zákona o ochrane osobných údajov, ale aj nový zákon o elektronických komunikáciách (ZEK). Kým v prvých dvoch prípadoch išlo skôr o kozmetické úpravy, ako problematický vníma správa nový ZEK účinný od 1. februára 2022. Zmeny v ňom sa dotkli predovšetkým tele-marketingu: „V zásade došlo k liberalizácií tele-marketingových volaní bez akejkoľvek verejnej debaty v rámci legislatívneho konania alebo mimo neho. Tieto nové pravidlá neboli totiž v pôvodnom vládnom návrhu zákona z leta 2021 a dostali do znenia ZEK až pozmeňujúcim návrhom skupiny poslancov. Napriek tomu sa zdá, že Úrad pre reguláciu je s týmito diametrálne odlišnými pravidlami stotožnený, aj keď nie je ich autorom.“

Odborníci považujú zmeny, ktoré nový zákon priniesol, za kontroverzné a nerealizovateľné v súlade s GDPR, niektoré zo zmien v § 116 ZEK dokonca až za diskriminačné z pohľadu Ústavy SR a základných ľudských práv, najmä vo vzťahu k fyzickým osobám podnikateľom, ktorí majú podľa nových pravidiel nižšiu úroveň ochrany proti tele-marketingu ako fyzické osoby. ZEK navyše ponecháva dohľad nad príslušnými ustanoveniami (napr. oblasť cookies) aj naďalej Úradu pre reguláciu v elektronických komunikácií a poštových služieb. Dohľad nad ustanoveniami GDPR je pritom v pôsobnosti Úradu na ochranu osobných údajov. „Viacero prípadov z roku 2021 potvrdzuje, že témy ePrivacy a GDPR nemožno ani legislatívne ani v praxi oddeľovať. Obe témy sú nakoľko previazané, že sa im podľa nášho názoru musí venovať jeden regulátor, obdobne ako je tomu v mnohých členských krajinách, vrátane Českej republiky. Možnosť takejto voľby podľa ePrivacy smernice máme, ale nevyužívame ju, čím táto oblasť nesmierne trpí. Netreba sa potom čudovať, že 9 z 10 webstránok a mobilných aplikácií na Slovensku nespĺňa základné podmienky ePrivacy a GDPR“, upozorňuje Jakub Berthoty.