Co je pravdy na GDPR?

25.2. 19:07 | Přečteno: 2981× | ostatní | poslední úprava: 26.2. 10:36

Prozatím se čím dál více rozrůstá panika kolem GDPR, tak jsem se chtěl zeptat tímto blogovým zápiskem, jaké jsou vlastně skutečné dopady GDPR. Třeba TADY se píše, že nebude možné normálně zálohovat ani databáze na serveru. Vůbec si nedokážu představit jak takto nějak řeším zálohy a případně obnovy redakčních systémů typu Joomla atd.

Navíc bych chtěl rozjet internetovou poradnu a ani tu nemám moc odvahu v souvislosti s GDPR rozjiždět.

Takže sotva jsem si oddechl s EET, že pro e-shopy přestala platit, tak se chystá další strašák na poctivé webhostingy a tvůrce www aplikací jménem GDPR?        

Komentáře

[JiK]

Zalohovani nesmi byt, ani maily v mailboxu, cely internet zakazat, stromy popíliť, Kefalín! EU to ma promyslene, a ne, ze ne! Nepritel nespi a nedorzovanim smernic bysme mu co, Kefalin, co? Hnali vodu na mlejn. My jim zalijeme chrtany nasi mirovou evropskounijni oceli!

[ehm]

To jsou dva (tvoje) blogy po sobě, ve kterých jen dezinformativně spekuluješ.

[gb34]

Moj server je v USA takze pohoda

[Bedňa]

GDPR platí pre všetky firmy a organizácie na celom svete, ktoré pracujú s dátami občanov EÚ.

[Petr]

Tak to jiste vis co je safe harbour a jak nakladat s daty evropskych zakazniku a urcite mas vse radne ve smlouvach...

[Petr]

Mas pravnika? Porad se. Nemas pravnika? Zkus si to nastudovat. Pokud podnikas a zivi te webhosting, budes muset resit gdpr bez ohledu na to jestli se te to dotkne u zalohovani, nebo u tvych zamestnancu. Gdpr ti zasahuje do kazde oblasti kde pracujes s osobnimi udaji, tudiz pokud zalohujes db ve ktere mas treba jmena telefony svych zamestnancu nebo zakazniku, musis s nimi nakladat dle gdpr. Mimo jine kdyz prestane existovat duvod ke zpracovani osobnich udaju Franty z podpory, budes muset najit zpusob jak ty data odstranit. A je uplne jedno jestli je mas vytistene na nastence s Gagarinem, nebo jestli jsou v zaloha022018.tar.gz. Jak to udelas budes mit definovane ve svych internich postupech. Pokud se tomu nerozumis, a nerozumis, projdi si to se svym poradcem/pravnikem ohledne gdpr. Hledat pravni rady na joomlaneco nebo abclinuxu je jako chtit udelat autoskolu v tescu u peciva.

[corwin78]

Děláme na tom: Piráti prosadili ověření skutečných dopadů zavedení GDPR na podnikatele.

[vencour]

Jestli se nepletu, co bylo doposud ve stavu "až se ucho utrhne s tim něco budem dělat" tak to má být ve stavu "nejcennější jsou zákaznická data".

[Josef Kufner]

Co jsem zatím tak zachytil, GDPR není zas až taková šílenost. Prostě si o tom něco seriózního přečti (a dej sem na to odkaz) a uvidíš. Ve stručnosti je to o tom, že pokud chceš něco dělat s osobními údaji lidí, tak potřebuješ informovaný souhlas těch lidí. Pak musíš být schopen říct, co a proč se s těmi údaji děje a kdo k nim má přístup.

Pak jsou tam nějaké věci okolo odvolání souhlasu a povinnosti umožnit využít služeb i bez souhlasu se zpracováním osobních údajů pro jiné účely než vyžaduje poskytnutí té služby (např. nemusíš e-shopu dát souhlas se spamováním či sledováním když u nich nakupuješ).

Panika kolem toho není, jen běžné zmatení.

[V.]

A nebylo tohle už teď, že se osobní data můžou uchovávat jen pro účel, pro který byla sebrána a jen po danou dobu? Viz zákon 101/2000.
A hele, noscript a google nevidí captchu.

[Josef Kufner]

Jo, něco z toho bylo povinné už dřív. Pokud má někdo v datech pořádek a zachází s daty tak nějak slušně, nemělo by GDPR představovat nijak velký problém.

[Bedňa]

Tak klasika EU je Statan a nariadeniami posiluje temnú stranu.

Možno chce len chrániť užívateľov, ale koho by to zaujímalo. To že EU je Satan je proste jasné.

[Agent]

Tak klasika EU je Statan a nariadeniami posiluje temnú stranu.

V podstatě ano. To, že někdy vyjde nařízení, které není úplně blbé, mi přijde spíš jako chyba v Matrixu.

[Kate]

Na 101/2000 se kašlalo kde to šlo, teď to přestane být tak bezzubé :)

[bigBRAMBOR]

mas pravdu, GDPR rozsiruje to co jsou osobni data a zveda pokuty, zakon uz opravdu platí hodně dlouho. Zatím je kolem toho panika, casem si t osedne a budou na to všichni prdet jako prdí na 101/2000.

[Petr]

Nebudou, protoze pokuty jsou extremne vysoke a muzes je dostat za veci o kterych 101/2000 netusi. Mam zkusenosti s GDPR z DE a minimalne u korporatu nastali zmeny ktere jde tezko ignorovat.

[Cal]

Souhlasim. U nas ve firme (Severni Amerika) zna pojem GDPR uz snad uplne kazdy a resi se to dost vazne.

[bigBRAMBOR]

ano, máte pravdu, dost jsem to zjednodušil, ale podobný zákon tu platí uz dlouhá léta, co se zmenilo je výčet osobních údajů a pokuty, a pár dalších věcí. Malé a střední firmy které na to prděli, na to budou prdět dál, velké korporáty, které měli implementované postupy pro již existující nařízení, případně ISO 27xxx s tím nebudou mít žádné zásadní problémy ani ted. Korporáty které na to ted kašlali se snad leknou pokuty, snad, ale spíš nic.

[Mark Stopka]

Měl by si každý záznam v databázi který je v GDPR scope (při zálohování) šifrovat separátním klíčem a v případě, že ti vznikne povinnost ty osobní data zlikvidovat tak ten šifrovací klíč zahodit.

[Petr]

Coz samozrejme neni asi idelani pristup, protoze osobni udaje maji dle systemu ruznou retenci dat. Treba v ucetnictvi potrebujete mit jmeno na fakture x let, zatimco v systemu rozvozu zbozi jmeno mazete po uskutecneni dodavky. A zase dle konkretnich podminek a pozadavku to nemusi byt pravda.

[davadu]

Přesně tak.:)

[davadu]

GDPR je o legálnosti evidovaných osobních údajů. O jejich minimalizaci. Dříve byl právní názor, sbírejte o klientech, dodavatelích veškerá možná data, co kdyby náhodou. A tohle bych měl v případě kontroly z úřadu být schopen prokázat.

[Odin]

Toto neni pravda. Nic takoveho gdpr samo o sobe nenarizuje.

[Mark Stopka]

(39)

Any processing of personal data should be lawful and fair. It should be transparent to natural persons that personal data concerning them are collected, used, consulted or otherwise processed and to what extent the personal data are or will be processed. The principle of transparency requires that any information and communication relating to the processing of those personal data be easily accessible and easy to understand, and that clear and plain language be used. That principle concerns, in particular, information to the data subjects on the identity of the controller and the purposes of the processing and further information to ensure fair and transparent processing in respect of the natural persons concerned and their right to obtain confirmation and communication of personal data concerning them which are being processed. Natural persons should be made aware of risks, rules, safeguards and rights in relation to the processing of personal data and how to exercise their rights in relation to such processing. In particular, the specific purposes for which personal data are processed should be explicit and legitimate and determined at the time of the collection of the personal data. The personal data should be adequate, relevant and limited to what is necessary for the purposes for which they are processed. This requires, in particular, ensuring that the period for which the personal data are stored is limited to a strict minimum. Personal data should be processed only if the purpose of the processing could not reasonably be fulfilled by other means. In order to ensure that the personal data are not kept longer than necessary, time limits should be established by the controller for erasure or for a periodic review. Every reasonable step should be taken to ensure that personal data which are inaccurate are rectified or deleted. Personal data should be processed in a manner that ensures appropriate security and confidentiality of the personal data, including for preventing unauthorised access to or use of personal data and the equipment used for the processing.

Chce se to naučit číst. GDPR odborníku Kolika Fortune 500 firmám si navrhoval technická řešení problémů vystupujících z GDPR gap analýzy? Já zatím 2 a chystám se na třetí

[MP]

Tak to technicke reseni s tema klicema bych radi videl aspon teoreticky. Neumim si predstavit, ze zalohovani zna vztahy odpovidajici dane osobe na ruznych mistech databaze.

[Petr]

A tam se nekde pise o tom, ze kazdy zaznam ma mit separatni sifrovaci klic? Samozrejme nepise. Tech reseni muze byt x, neni jenom jedno spravne reseni, gdpr muzete vyhovet x zpusoby. Abychom se nebavili o nicem, tak zkusenosti s gdpr mam z DE (korporat vice nez 10k zamestnancu), dodavame systemy pro banky, telko, gov, atd a ve vetsine nasich systemu se resi i gdpr. Pozadavky gdpr splnujeme jako firma uz asi rok, nase reseni je splnuji x mesicu (dle systemu je to ruzne). A ano, u nekterych systemu pouzivame i siforvani jednotlivych zaznamu unikatnim klicem v hsm a zahazujeme nejenom ty klice ale i relevantni data.

[Mark Stopka]

Relevantní data se celkem špatně zahazují v zálohách s forever retention periodou

[Petr]

Proto se treba data obsahujici osobni udaje zalohuji jinak nez treba zalohy VM ktere osobni data alespon u nas neobsahuji... u nas se treba zmenil db navrh u dotcenych aplikaci... jinak forever retention period u vetsiny zaloh nema smysl, k cemu je vam treba zaloha novell netware 3.11 kdyz uz 20 let mate neco jineho?

[Mark Stopka]

No ony ty data obsahující ty osobní informace jsou většinou buď v DMS, nebo v DB a to jsou zrovna ty aplikace kde si ty finanční instituce žádají ty forever retention politiky, protože za nimi kdykoli může přijít finančně analytický útvar MV a prudit je kvůli AML.

[Kkt1]

Bankovnictvi ma sve specifika, pokud se bavime ale obecne o gdpr, tak forever retention neni nikdy dobry napad. Proto jsem uvedl treba ten netware kde za drevnich dob existovali ulozene soubory obsahujici osobni udaje a tudiz ve dnesni dobe jsou minimalne irelevantni (zalohy). Co se tyce DB, tak vetsina prosucentu SW je tlacena k tomu aby jejich SW podporoval procesy ktere souvisi s gdpr, tudiz se i ty DB meni a zalohovani uz neni delane zpusobem vemete DB a date ji nekam na disk, ale prave musite resit retwnci gdpr relevantnich dat. Treba u me to byli desitky meetingu s pravniky, rnd, operations aby se nasli reseni ktere tohle budou podporovat a za ktere nedostaneme my nebo zakaznici pokuty.

[deda.jabko]

A tam se nekde pise o tom, ze kazdy zaznam ma mit separatni sifrovaci klic? Samozrejme nepise. Tech reseni muze byt x, neni jenom jedno spravne reseni, gdpr muzete vyhovet x zpusoby.

Pochop, kdyz konzultujes pro firmy z Fortune 500, proste nemas cas resit takove podruznosti jako, co je politika a co mechanizmus. ;-]

[Odin]

Ok odborniku, a kde tam tedy je narizeno to, co ty tvrdis? Nikde. Zkus to znovu. Tim, ze se prizivujes na gdpr se moc nechlub. Slusny clovek ny o tom pomlcel.

[V.]

Hele, Odine, Ty nejsi pro silne korporace a dominantni vliv kapitalu? Ze zrovna tobe vadi takovahla podnikatelska aktivita

[bigBRAMBOR]

Kolika Fortune 500 firmám si navrhoval technická řešení problémů vystupujících z GDPR gap analýzy? Já zatím 2 a chystám se na třetí

GDPR se týká všech firem, i živnostníků. Na každého dopadne jinak, každý ho bude řešit jinak. Napsat ze kdyz dělát pro velké korporáty, rozumis GDPR vic než všichni ostatní, to je tak nafoukané....

[Mark Stopka]

Když to GDPR řešíš těm korporátům, tak máš přístup k těm Big4 of Accountants konzultantům, kteří ty předpisy znají zpaměti napříč odvětvími... Takže spoustu know-how co řešit v rámci GDPR jsem načerpal od nich; a ty odpovědi na otázku jak to řešit jsem navrhoval já spolu s dalšími konzultanty.

[deda.jabko]

a ty odpovědi na otázku jak to řešit jsem navrhoval já spolu s dalšími konzultanty.

Šikulka.

Když to GDPR řešíš těm korporátům, tak máš přístup k těm Big4 of Accountants konzultantům, kteří ty předpisy znají zpaměti napříč odvětvími...

A vi ti konzultantni z pameti, ze nektere odstavce jsou uvozeny: S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob...

Jak uz tu psal predrecnik, jine reseni se pouzije pro zivnostnika, ktery prodava pletene cepice pres internet, a jine pro telco operatora.

Pokud se nemylim, psal jsi:

Měl by si každý záznam v databázi který je v GDPR scope (při zálohování) šifrovat separátním klíčem a v případě, že ti vznikne povinnost ty osobní data zlikvidovat tak ten šifrovací klíč zahodit.

Zadna takova povinnost z GDPR opravdu neplyne. To, co jsi popsal je jen jeden z mechanismu, jak zajistit shodu s GDPR.

[bigBRAMBOR]

To, co jsi popsal je jen jeden z mechanismu, jak zajistit shodu s GDPR.

hlavně zbytečnej, místo přístupu k údajům a jejich zahazování v záloze, budeš řesit přístup ke klíčům a jejich zahazování, tedy vytlučeš klín klínem, prašť jako uhoď. Pokud chces resit opravdu forever zálohy, mušíš s ohledem na to , ze klíče a šifrovací algoritmy dnes bezpečné budou za 10, 20, 30 let lehce prolomitelné. Řešit musíš tedy i pravidelné přešifrování, tedy změnu klíčů a algoritmů, skartaci předchozích klíčů a kompletních záloh a znouložení prešifrované zálohy. Pokud toto dělat nebudeš, neudělal jsi nic, co by stálo za řeč.

[Mark Stopka]

ze klíče a šifrovací algoritmy dnes bezpečné budou za 10, 20, 30 let lehce prolomitelné.

BLISS.

[davadu]

1) Doproručenm GDPR je data zálohovat, aby nedocházelo k jejich ztrátě

2) Doporučení je vzhledem, k jejich citlivosti a možnému dopadu na vynesení třeba hackerem, data vhodně zabezpečit. Neříká se jestli šifrovat, vhodně nastavit firewall a podobně, ale opatření by mělo být přiměřené finančním možnostem, náročnosti takové implementace a povaze dat

Někdy se stane větší problém, když se ztratí ručně vyplňovaná návštěvní kniha z nevěstince, než když se ztratí seznam zákazníků nějakého eshopu. :)

Z některých diskusí a doporučení bezpečnostních odborníků mi vychází, že nejlepším řešením pro GDPR je nasadit si do firmy Ransomware typu NotPetya. :D (Pak už žádné osobní údaje nesbíráš)

[Sten]

To je zase FUD. GDPR vyžaduje, abyste měl definováno, která data tečou kam a proč a kdo k nim má přístup (tzv. definice rizika založená na přístupu). Zálohovat se s GDPR může a ty hlášky, že to nejde, protože při odvolání souhlasu musíte mazat i v zálohách, je pěkná ukázka, že ten člověk neví o GDPR ani prd. GDPR říká, že data při odvolání souhlasu musíte přestat zpracovávat (nikoliv smazat), a jasně definuje, co se tím myslí. Znamená to smazat data tam, kde to jde bez nepřiměřeného úsilí, a zabránit zpracovávání tam, kde to smazat nejde. Takže u těch záloh, pokud neumožňují mazání jen konkrétních záznamů, to znamená, že si třeba někam poznamenáte, že záznam s ID tím a tím (identifikace smazaného záznamu nesmí být osobní údaj) se má při obnovení ze zálohy smazat, a pokud k obnovení ze zálohy dojde, tak jej hned po obnovení (ještě před zpracováváním) smažete, a tím GDPR vyhovíte. CDčka skartovat nemusíte a oddělené šifrování řádků databáze je taky blbost. Co se týče šifrování obecně, tak GDPR nic takového nevyžaduje, je na vás, jak budete řešit riziko přístupu k těm datům, jestli to bude šifrováním, dedikovaným strojem (pozor na uchovávání dat mimo jurisdikci EU, přístup ze zákona ne-EU země je také rizikový přístup), kontejnery nebo jen na úrovni souborového systému, ale riziko by mělo odpovídat zpracovávaným údajům (asi jako si firmy hlídají zdrojové kódy). Ale ani tohle není novinka, v zásadě jediné, čím se liší od 101/2000 Sb., je, že musíte mít písemně definované to riziko založené na přístupu (tzv. záznamy o zpracovávání; tím se nemyslí log přístupů, ale kudy data tečou a kdo k nim má přístup a proč) a někoho ve firmě, kdo to hlídá. Firem s méně než 250 zaměstnanci, pokud zpracovávání osobních údajů není jejich hlavní činností a nezpracovávají citlivé údaje, se ale netýká ani tohle.

[Migilenik]

Proboha tenhle narod strašaku a strašpytlů to je už k pláči.

!!! Pokud nemáš více než 250 zaměstnanců a hlavní náplní tvé činnosti není zpracování osobních údajů, tak se tě GDPR v podstatě netýká !!! GDPR cílí především na firmy typu FACEBOOK apod !!!

[trekker.dk]

Tenhle omyl může toho, kdo se jím bude řídit, vyjít pěkně draho.

[Petr]

Doporucuji si precist Art. 30 GDPR Records of processing activities, to je bod u ktereho se tech 250 zamestnancu objevuje... jinak strucne:
Keep records
SMEs only have to keep records if data processing is
Regular A threat to people's rights and freedoms Dealing with sensitive data or criminal records Records should contain: Name and contact details of business Reasons for data processing Description of categories of data subjects and personal data Categories of organisations receiving the data Transfer of data to another country or organisation Time limit for removal of data, if possible

Takze pokud jste pekarna s 10 zamestnanci, keep records se vas netyka, ale ostatni veci z gdpr se vas samozrejme dotykaji i kdyz mate treba jenom 1 zamestnance.

[Rezza]

Pekna prednaska o GDPR byla na poslednim OpenAltu (od cloveka z Masarny).

[xsubway]

Díky za odkaz. Přednášející sice není, podle jeho vlastních slov, právník, ale i tak je užitečné si tu přednášku poslechnout.