Ochrana osobních údajů (GDPR) na ModelForu

[Luboš Kuna]

Dne 25. května 2018 vstupuje v účinnost "revoluční" Obecné nařízení o ochraně osobních údajů (General Data Protection Regulation - GDPR), které značně rozšiřuje pojem osobní údaj a za cíl má co nejvíce hájit práva občanů proti neoprávněnému zacházení s jejich daty. Navíc ještě nebyl schválen český zákon o zpracování osobních údajů (pokud bude schválen tak, jak je navržen, tak pro nás stejně nic nezmění). GDPR se tak bohužel vztahuje i na nekomerční, zájmové a dobrovolné organizace a spolky, které jakýmkoli způsobem nakládají s osobními daty a bylo nutné se tomu přizpůsobit. Co to znamená pro Modelforum?

1. Web modelforum.cz byl plně převeden na zabezpečenou verzi (https) a byl upraven způsob jeho zálohování,
2. Stávající závazná pravidla byla nahrazena dokumenty Smluvní podmínky užití webu modelforum.cz, Oznámení o ochraně osobních údajů a Využití cookies,
3. Po datu účinnosti budou všichni uživatelé automaticky jednorázově odhlášeni z modelfora. Při dalším přihlášení pak budou požádáni o vyjádření svobodného informovaného souhlasu se zpracováním osobních údajů formou zaškrtávacího tlačítka. Pokud ještě nedosáhli šestnáct let, vztahuje se na ně navíc stejná povinnost zaslat souhlas zákonného zástupce jako u nové registrace (viz níže),
4. Registrace nových uživatelů mladších 16 let bude možná pouze na základě písemného souhlasu zákonného zástupce. Pokud při registraci uživatel použije tlačítko "Ještě mi není šestnáct let" bude přesměrován na odkaz s dokumentem formuláře, který vyplní, vytiskne, nechá podepsat a následně zašle na adresu provozovatele nebo mailem na info@modelforum.cz. Poté bude zaregistrován,
5. V uživatelském profilu přibude tlačítko, které bude uživateli umožňovat odebrat souhlas,
6. Uživatelé, kteří nedají nebo odeberou souhlas budou postupně anonymizováni.

Ke stažení:

Formulář Souhlas _ zákonný zástupce za nezletilého.pdf

(1.77 MiB) 355 krát

Naposledy upravil Luboš Kuna dne 23 kvě 2018, 12:53, celkově upraveno 3

[kragh]

Jen jsem se utvrdil v dojmu, že se vedení EU definitivně zbláznilo...

[Tango]

Web modelforum.cz byl plně převeden na zabezpečenou verzi (https).

Upravíš i odkaz na Modelweb v záhlaví stránky? MW sice na https už je, ale odkaz je pořád na starou verzi.

Jen jsem se utvrdil v dojmu, že se vedení EU definitivně zbláznilo...

Amen

[DeKa]

Jen jsem se utvrdil v dojmu, že se vedení EU definitivně zbláznilo...

Problém není v EU, ale v tom, že český stát nebyl s to (a měl na to několik let) vydat soubor prováděcích vyhlášek. Takže opět ne EU, ale ČR.

[Luboš Kuna]

Tango: odkaz opraven. Díky za upozornění

[navi]

Asi budu hloupej,ale chci se zeptat.Co to pro mě jako obyčejnýho uživatele těchto stránek vlastně znamená.Budu nuset něco předělat nebo se přehlásit???

[StandaP]

Omlouvám se, asi jsem slepý ...
Nevidím nikde checkbox, který mám v záložce "Profil" zaškrtnout ...

... byl jsem slepý, pardon ...

[Luboš Kuna]

navi - pokud ti nevadí (jako že to doteď asi nevadilo, když tu jsi), že jsou na modelforu uloženy některé tvé osobní údaje (v základu mail, IP adresa, nick, heslo), pak stačí v profilu zaškrtnout souhlasím a nic dalšího se neděje. Zbytek je na nás, abychom tvá data zabezpečili a uvedli potřebné do souladu s GDPR. Tolik asi zrychleně a v kostce.

Spadli jsme do žumpy zvané GDPR, které primárně mělo být namířeno proti komerčním subjektům spravujícím a občas i nelegálně obchodujícím s osobními údaji ve velkém. Český stát nás jako vždy podržel a nevydal žádný upřesňující předpis, který by omezoval rozsah GDPR jako v okolních zemích, a nevyjmul z nařízení malé firmy, neziskové organizace a spolky. Advokátní poradny se přece musí napakovat (ceny začínají na 5000Kč za radu). Velké firmy jsou v poho. Nejvíc vystresovaní jsou právě malí podnikatelé, kteří mají někde vedený seznam zákazníků nebo spolky přátel piva, kteří vedou seznam členů a EU jim vyhrožuje astronomickými pokutami. Tož asi tak, ono si to snad sedne.

P.S.
Dovedete si představit vyhlášení výsledků na soutěži (mimochodem taky zpracování osobních údajů) - na prvním místě se umístil modelář číslo 48 s modelem 122, druhý skončil modelář 74 s modelem 145 a třetí modelář 12 s modelem 41? A pro předávání cen se bude muset zřídit neoznačená místnost, kam si budou chodit modeláři po jednom a anonymně budou přebírat ceny? - je to ad absurdum, ale i tak to může skončit.

[72man]

Zaškrtnul jsem, i když GDPR tohle vůbec nevyžaduje. Článek 6 říká, kdy je zpracování zákonné. To je např. pokud je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro splnění právní povinnosti, která se na správce vztahuje.

Registrací na fóru vzniká mezi provozovatelem a uživatelem právní vztah, na základě kterého je možné zpracovávat osobní údaje v odpovídajícím rozsahu i bez explicitního souhlasu. Další údaje, jako např. IP adresa apod., mohou být zpracovávány pro splnění zákonné povinnosti (odpovědnost provozovatele za obsah). Bohužel, kolem GDPR se toho napsalo tolik (a myslím, že většinou spíš nepodložené obavy), že to relevantní se pak ztrácí.

A mimochodem, EU na to jde zase... nepříliš vhodně. Měli bychom se učit, že osobní údaje jsou náš majetek a jako s takovým s nimi máme nakládat. Učit už děti odpovědnosti a sebevědomí v prosazování svých práv. Umět říct "proč chcete právě tyhle údaje? A co s nimi děláte? Tohle uvést nechci." Místo toho raději vymyslela neprůhledné nařízení s drakonickými sankcemi. Přitom kdo bude chtít, cestu k beztrestnému porušování si najde (např. řetězením firem).

EDIT:

6. Uživatelé, kteří nedají nebo odeberou souhlas budou postupně anonymizováni.

Podle GDPR odmítnutí udělení souhlasu nesmí být důvodem k odmítnutí poskytnutí služby. Proto je lepší zpracovávat osobní údaje ne na základě souhlasu, ale na základě právního důvodu. Při odvolání souhlasu by mělo dojít k vymazání osobních údajů definovaných v souhlasu, ale přitom zachování přístupu ke službě. Při zpracování na základě právního důvodu data mažeš až po jeho pominutí.

[Pojistovak]

P.S.
Dovedete si představit vyhlášení výsledků na soutěži (mimochodem taky zpracování osobních údajů) - na prvním místě se umístil modelář číslo 48 s modelem 122, druhý skončil modelář 74 s modelem 145 a třetí modelář 12 s modelem 41? A pro předávání cen se bude muset zřídit neoznačená místnost, kam si budou chodit modeláři po jednom a anonymně budou přebírat ceny? - je to ad absurdum, ale i tak to může skončit.

To je horší než v Blesku, takové strašení.-)

Zaškrtnul jsem, i když GDPR tohle vůbec nevyžaduje. Článek 6 říká, kdy je zpracování zákonné. To je např. pokud je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro splnění právní povinnosti, která se na správce vztahuje.

Přesně tak.-)

A mimochodem, EU na to jde zase... nepříliš vhodně. Měli bychom se učit, že osobní údaje jsou náš majetek a jako s takovým s nimi máme nakládat. Učit už děti odpovědnosti a sebevědomí v prosazování svých práv. Umět říct "proč chcete právě tyhle údaje? A co s nimi děláte?

Tohle je na delší diskusi, ale přesně v tomhle za EU docela zaostáváme a osvěta a výuka je zcela minimální. A nevypadá to, že by se něco lepšilo, spíše naopak.

[Luboš Kuna]

To 72man: jistě jste si všiml, že dáváte souhlas do smluvního vztahu (nebo jste ty dokumenty nečetl?). Ale i zde musíme prokázat, že tento smluvní vztah chcete navázat. K tomu je ten souhlas. Text v banneru vás pouze navádí na potřebné dokumenty. Nebo máte jiný navrh jak souhlas získat?

Vše, co jsem do MF dodělával je na základě instrukcí poradce provozovatele pro GDPR.
Máte-li nějaké konstruktivní rady jak to vyřešit lépe, sem s nimi.

[72man]

Ad smluvní vztah - ten už vznikl zaregistrováním se na fóru. Ale protože to není moje odpovědnost za fórum, respektuju stav a souhlas jsem udělil. Jen jsem dal tip, jak to lze řešit jinak, tj. z právního titulu podle čl. 6 odst. 1 písm. b) a c), a co se tím získá. Jestli si to ověříte a porovnáte se současným řešením, nebo to rovnou zamítnete, to je samozřejmě plně ve vaší kompetenci, do toho nemůžu, ani nechci kecat

EDIT: to, co zmiňuju, je důvod, proč souhlas znovu nevyžadují velké firmy (např. banky, telekomunikační operátoři, pojišťovny...). Ale ještě jednou - k ničemu nenutím a respektuju to, jak to zde je.

[Luboš Kuna]

Rozumím, ale pravé v té dřívější registraci je zakopaný pes přesto, že postupujeme podle 6/1B. Údaje, které se na MF zpracovávají nebyly v době registrace většiny uživatelů považovány za osobní údaje. Až s platnosti Obecného nařízení se IP adresa, nick, mail, heslo ... stávají osobními údaji. Navíc se změnily dokumenty zakládající smluvní vztah. Proto je nutné znovu prokazatelně odsouhlasit (zaškrtnutí/odškrtnutí je logováno včetně časového razítka).

Další varianta je zrušit všechny registrace a nechat všechny se znovu zaregistrovat

[jenda58]

Hezky o tom píše p. Šulc v úvodníku červnového Infa. A jak jsem dopoledne četl o "poradcích Go Do PRde.e", sice budou dobře placení, ale za nic nenesou odpovědnost.

[Vit]

V rádiu nějaká chytrá paní, nejspíš poslankyně povídala, že to Gdpdpr je úžasná a dobrovolná věc a nikdo nás nesmí nutit něco podepisovat. A že obchodník MUSÍ poskytovat služby, i když mu nedáte souhlas! A že když ne, tak se "máme bránit".

Já teda potvrdil bez problémů už asi 80 žádostí, ale jak MF pár let sleduju, říkám si, že je tu dost prudilů, kteří se toho můžou chytit. A až bude někdo takový zanonymizován, to bude stížností...