…ako som spominal, tak ten kamos, pravnik, by sa rad zucastnil…robi v jednej IT firme pravnika, ale tema GDPR ho zaujima, nakolko sa s tym musi vysporiadat aj u neho v praci…na stretko pojde ako fyzicka osoba…
…dohodli sme sa, ze stvrtok posleme/zazdielame otazky, aby piatok nmohli ist na urad a na utorok nech su ready…
Píšem za FinStat. Mňa osobne prekvapilo, že Open Data a GDPR nikto veľmi neriešil a nedalo sa k tomu nič dohľadať. Každého koho som sa pýtal riešil GDPR z toho klasického pohľadu, keď ako zákazník/user dávaš svoje údaje v eshope, telekome, banke.
Na FinState sa nám stáva bežne, že sa ľudia ozvú, že nemáme súhlas na spracovanie ich údajov. Použijú formuláciu, ktorá patrí práve k tým eshopom, telekomom a bankám. Pritom mi tie dáta spracovávame na základe legislatívy a dokumentov, ktoré sa týkajú Open Data.
Ak by sme mali mať súhlas od každého štatutára, tak žiadne Open Data projekty ani neexistujú. Zároveň GDPR nevzniklo kvôli tomu, aby obmedzilo Open Data projekty, ale skôr kvôli tým závažnejším problémom s ochranou osobných údajov (sociálne siete, banky, …).
Ak už sa raz niekto stal podnikateľom, viac menej súhlasil so zákonmi, ktoré zverejňujú jeho dáta vo verejných registroch. A nepriamo aj s tým, že štát tieto dáta poskytuje ako Open Data práve na také účely, ako ich používa FinStat a desiatky, asi aj stovky iných subjektov.
Chápem tiež, že to pre konkrétnu osobu nie je pohodlné, ale takéto zverejnenie jeho dát na Finstate je menej závažné ako kradnutie dát zo sociálnych sietí, alebo bezpečnosť v banke, keďže len preberieme dáta, ktoré už boli zverejnené v registroch.
ÚOOÚ sa k tomu zrejme stavia tak, ako keby naozaj pri spracovaní Open Data boli potrebné súhlasy, resp. sa tie Open Data vôbec nespracovávali.
To je však v rozpore so snahou vlády, štátu, ministerstiev a úradov, ktoré sa naopak snažia, aby sa Open Data publikovali a používali.
Myslím, že UOOU tento postoj prevzal od ľudí, ktorí sa im sťažujú a formuláciu o tom, že organizácie spracúvajúce Open Data potrebujú súhlas na spracovanie ich mena a priezviska a pod.
Ale títo ľudia si tú formuláciu prevzali zo zákona, ktorý rieši použitie osobných údajov (a tieto súhlasy) v iných situáciách (banky, telekomy, eshopy).
Zo skúseností s našimi vlastnými sťažovateľmi na FinState viem (máme na to samostaných ľudí, ktorí riešia sťažnosti), že ľuďom až tak nevadí, že sa spracovávajú ich osobné údaje. Im oveľa viac vadí, že sú zverejnené, dohľadateľné cez google, že ich používame my, že na tom profitujeme a podobne.
Zároveň im nevadí, keď ich údaje sú v zamknutých platených databázach, keď sa nedajú dohľadať cez google a podobne.
A toto je už úplne mimo GDPR, pretože podĺa GDPR nejde o to, či máte produkt/databázu free alebo zamknutý, či sa dá/nedá dohľadať cez google. Subjekt ktorý tie dáta spracováva je z pohľadu GDPR na tom úplne rovnako.
Bohužiaľ UOOU bude viac vadiť verejné použitie, lebo je to viac vidieť a pre nich viac cítiť (ľudia ktorá sa na nich obracajú).
Ak by sme mali FinStat kompletne zamknutý a málokto by o nás vedel a pritom by sme spracovávali tie isté dáta, tak by to skoro nikto neriešil. Ani UOOU by tú tému nebral takto.
Máme však free web, veľkú návštevnosť a z tých 500-700 tis. návštev za mesiac padne niekoľko sťažností mesačne. Čím sú Open Data projekty asi v TOP rebríčkoch podľa počtu sťažností.
Avšak podľa môjho názoru nie podľa závažnosti.
Ďalšia vec je, že ak by aj Open Data neexistovali, Open Data projekty by sa nerobili, tak by stále existovali platené uzamknuté databázy, ktoré by takéto dáta (a aj závažnejšie) spracovávali a predávali. Firmy, ktoré podobné dáta spracovávajú existujú na Slovensku od 90tych rokov a budú existovať - žiadna z týchto firiem nezanikne. A ak by nebolo Open Data, tak by fungovali na základe zmlúv s jednotlivými štátnymi organizáciami (a aj tak stále fungujú).
Rovnako je to aj v Európe, kde existujú stovky veľkých firiem spracúvajúcich dáta ze registrov do platených databáz a nástrojov. Ani jedna z nich po zavedení GDPR nezanikne. Práve naopak - so sprísňujúcou sa reguláciou v iných oblastiach - sa im ešte rozširuje pole pôsobnosti.
Akurát si poriešia procesy a GDPR, ale budú fungovať ďalej.
Naša nevýhoda (myslím tým Open Data projekty všeobecne) je v tom, že je nás viac vidieť na verejnosti. A preto sa viac ľudí bude sťažovať.
Druhá nevýhoda je, že máme menej peňazí na právnikov a GDPR a žiadne peniaze alebo možnosti na lobistov a vyjednávanie oproti klasickým firmám, ktoré robia s registrami.
Čo sa s tým dá robiť:
spoločný postup a argumentácia: prečo sa zverejňujú Open Data, podľa akých smerníc, zmluv, zákonov. Na čo sú dobré Open Data: prečo sú pre ľudí užitočné, aby nebolo vidieť len sťažujúcich sa. A samozrejme konkrétne účely podľa GDPR.
Nejaká forma právnej spolupráce možno cez neziskovky ako je AFP, TIS, aby aj malé študentské tými mohli robiť open data projekty a právničinu a GDPR im zastrešili napríklad tieto neziskovky.
Prezentácie, panelové diskusie a prednášky o Open Data a GDPR, kde by sme argumentovali prečo robíme to čo robíme, prečo je to pre spoločnosť prospešné a že netreba všetko zakazovať, ale hľadať rozumné riešenia.
Ja osobne viem pomôcť s bodom 3 a pripraviť nejaké prezentácie, prednášky, alebo ísť argumentovať niekam do panelu.
Tak isto trochu s bodom 1 a 2, lebo s právnikmi už niečo robíme, s neziskovkami komunikujeme a niektoré výstupy z toho sa dajú použiť aj všeobecne pre Open Data komunitu ako takú.
Neviem o tom nejak detailne vela, ale legislativnym problemom pri spracuvani uz raz zverejnenych osobnych udajov je, ze GDPR nepozna taky samostatny pravny zaklad ako je u nas v § 10 ods. 3 písm. e) zákona č. 122/2013 Z. z. o ochrane osobných údajov (bolo to aj v predchádzajúcom zákone č. 428/2002 Z. z.). A pri kazdom spracuvani osobnych udajov musi byt nejaky pravny zaklad. Takze bud sa najde aj pri open data nejaky zakonny dovod spracuvania alebo bude ozaj mozne ich spracuvat len na zaklade suhlasu (vid cl. 6 GDPR).
Pravnym problemom spracuvania open dat je, ze okrem toho, ze sa mozu prist na majetkove prepojenia verejne cinnych osob a pod., sa mozu zistit aj velmi citlive osobne udaje, napr. cez spajanie sudnych rozhodnuti o rozvode (nevera), starostlivost o malolete deti a pod.
Spytal som sa na mozny konflikt GDPR a iniciativy OpenData na European Open Data portali … poslali mi 11 linkov, z toho vyberam len to co ma zaujalo …
Pokiaľ sa jedná o dáta, tak súdne rozhodnutia neobsahujú žiadne dáta o fyzických osobách, maximálne meno advokáta ak zastupuje stranu ako osoba, nie advokátska kancelária, inak sú tieto výstupy obfuscované.
Okruh verejne dostupných dát (a aj free dostupných u nás na finstate) kde je možno “identifikovať” osobu sú:
Všetko dáta, ktoré nejak súvisia s obchodným stykom a aj tieto datasety vznikli preto aby ztransparentnili obchodný styk. Kto podnikal v dobe, kým takéto datasety neexistovali a hlavne projekty, ktore tieto dáta agregovali vedia, aké ťažké bolo posúdiť odberateľa alebo monitorovať, či náhodou firma nezmenila majiteľa. Napadá ma kopec prípadov, keď je práve dobre spojiť meno s nejakou podozrivou činnosťou a už len preto je dobré ak sú tieto dáta spracovávané.
Nuz, uzitocna mi nakoniec bola ta posledna linka. (Ale vdak aza vsetky, na tych prvych dvoch aspon vidno, ze v sulade s GDPR sa zbavuju “lawyer speaku” a pouzivaju “plain English”.)
Z UK linky teda citujem:
Sustainable approach: facilitate the free flow of data and facilitate the internal market. Protect individuals. Regulation is an investment and users’ trust is value.
Mne z toho vychadza, ze teda o.i. pri nejakom opt-ine mi vysvetlia “a o.i. budu anonymizovane/agregovane/nepozmene data o vas sucastou datasetu ABC na data.gocv.sk/datasret/abc”. To by bolo v zasade cool.
no minimalne zase sa mi zda ze riesime uplne zbytocnosti. OpenData aj GDPR su celoeuropske zalezitosti, ale nik tam neriesi ich nejaky mozny konflikt … inak by uz o tom boli nejake relevantne dokumenty. Cize moj dojem: kym nikde v eurpe neriesia ze by sa to hadam malo nejako sekat … len my tu 
robime paniku.
Tuto je naznak nejakej diskusie, ale bez vysledku. http://forum.aws.chdev.org/t/gdpr-and-ico-considerations/1268
Zasielam otazky na stretko:
Upresnim: “Prenasame paniku z inych for (aj) sem.”
Ono na roznych PS sa uz par uradnikov nechalo pocut, ze v tej kombinacii (Open Data + GDPR) vidia problem. A kedze na tych stretnutiach zastupca UOOU nebol, tak vitam prilezitost ze sa stretnu “ti co maju problem” (alebo si myslia ze maju) s UOOU ohladom toho problemu.
Aj ta UK prezentacia zrejme nevznikla len tak, zrejme ma niekoho upokojit. 
Nuz, zajtra budeme dufam mudrejsi.
…nebol som do konca dnesneho stretka…ale myslim si, ze stretko bolo do urcitej miery prospesne…treba ratat s tym, ze nikto nevie vsetko a kazdy vie nejak prispiet k popisu problemu a jeho moznosti riesenia…
…na stretku padli aj nazory, ze OpenData v SR umreli a pod…
…ja to tak skepticky nevidim…ukazalo sa standardne, ze zakony vznikaju izolovane ako povedala jedna ne-menovana opendata aktivistka @Ivet_Fercikova …
…ocenujem pristup pani z Uradu na ochranu osobnych udajov, ze prisla, ze sa snazila konstruktivne viest debatu a sem-tam nacrtla aj moznosti/hacky ako obmedzenia obist …
…bud sa to napadne na sude, vyda sa judikat, podla ktoreho sa bude nasledne postupovat…
…dalsia moznost je byt proaktivny na strane statu, zmenit legislativu tak, aby to odblokovala a da sa s tym chvalit v ramci EU…napr. UPVII by si to mohol zobrat ako taky mini-legislativny projekt, centralne koordinovat a genericky vyriesit opendata vs. GDPR v SR…
…teraz sa ukaze, ze ci su OpenData pre stat tak dolezite ako sa to prezentuje…lebo je rozdiel moct vidiet a moct aj spracovavat…
Ja este doplnim, co na stretku myslim uplne povedane nebolo ale je dolezite si to uvedomit:
… (tak ako pises) cesta moze viest napr. cez novy zakon o udajoch: ze jasne povie, aby zakony ktore zadavaju povinnost zverejnovat nejake osobne udaje zaroven riadne osetrili sulad s Open Data, aby sa dalo spolahnut na to co hovori Open Data licencia, Vynos 55/2014 (55/2014 Z. z. Výnos o štandardoch pre informačné systémy verejnej správy).
Lebo teda ak by to ostalo “neosetrene”, spracuvatelia “citlivych datasetov” by ostali vo velkej pravnej neistote a len v malom mnozstve pripadov budu schopny naplnit ciele, kvoli ktorym tie datasety boli zverejnene. Tym by sa poprel zmysel zverejnovania.
Vid teda vlakno Zákon o údajoch z ktoreho aj sem zanesiem citaciu z predbezneho ceskeho usmernenia (bold je moj):
V souladu s názorem pracovní skupiny WP 29 je pak ještě nezbytné uvést, že před zveřejněním takových informací v podobě otevřených dat je třeba provést zhodnocení dopadů tohoto zveřejnění na subjekty údajů a jejich chráněná práva. To může provést buď přímo správce, který se rozhodne splnit svoji zákonnou povinnost poskytovat dané informace způsobem publikace otevřených dat. Druhou možností potom je, že dané zhodnocení proběhne na úrovni zákonodárce, který jednoznačně stanoví povinnost poskytovat některé informace jako otevřená data
(Tot aby teda poslanci, ked uz povedia “zverejnit”, tak nech to robia poriadne. A nie ze cast povinnosti v podobe napr. posudenie vplyvov “outsourcuju” na niekoho dalsieho systemom “padajuceho hovna”. Pardon za vyraz.)
Ja teda len pridám moje poznámky zo stretnutia k OpenData vs. GDPR.
Vo Finstate vieme dodať ku každému IS alebo osobnému údaju účel spracovania. Tých účelov je viac na každý IS alebo osobný údaj a sú racionálne. Nie len vymyslené účely nejakým ohýbaním.
V zásade si vieme ošetriť väčšinu vecí, ktoré sa týkajú GDPR. Problém je, že tá na ša verejná (zadamrmo) časť, ktorá je pre spoločnosť najdôležitejšia, tak u nej sa to dá z hľadiska GDPR urobiť najťažšie (lebo tam z podstaty toho že je to verejné nemáme vzťah s užívateľom a neriešime jeho účel použitia).
Tým som chcel povedať, že keď to zoberieme biznisovo, tak sa Open Data dajú celkom dobre použiť aj s osobnými údajmi. Ale ak chceš prevádzkovať verejnú službu zadarmo, tak je to o dosť väčší problém. Čo vlastne ide proti Open Data ako takému.
Na začiatok je dobré ísť na to ako pani Valentová odporúčala, hľadať si účely, vzťah, právny základ a nejako to prispôsobiť. Ale z dlhodobého hľadiska je potrebné nejak všeobecne ošetriť Open Data aj všeobecne, aby nezanikali verejné služby a projekty ako otvorenesudy.sk a free časť Finstatu len preto, že ak máte veľmi konkrétny účel a zákazníka tak to ide, ale keď to robíte všeobecne pre spoločnosť, tak nie.
Do Bruselu kvoli tomuto nikto asi nepojde, ale dobre vediet, ze sa mozno 19.1. dozvieme nieco. Z tejto diskusie vyplynulo, ze s tymto je problem nielen pri otvarani “vladnych” dat ale aj otvarani “vyskumnych” dat. https://twitter.com/sandervdwaal/status/941337784501047296
Dobre si to zhrnul, @Lubor . Tá “pani z ÚOOÚ” je vrchná inšpektorka Tatiana Valentová, Odbor kontroly spracúvania osobných údajov, tatiana.valentova@pdp.gov.sk https://dataprotection.gov.sk/uoou/sk/content/kontakt-0
Celkom pekne je to spracovane aj tu:
Toto vyzera, ze pokial sa do toho neoprie nejaka tazsia vaha (zmruk UPVII, NASES), tak sa z trendsettera dostaneme vyrazne nizsie. Uz sa nebudeme moct chvalit. 