GDPR a DORA Požadavky evropského nařízení o digitální provozní odolnosti finančního sektoru (DORA), které nově upravuje oblast kybernetické bezpečnosti tohoto sektoru, přiblížil v minulém čísle časopisu DPO PRO článek s názvem „Je nové evropské nařízení DORA spíše Pandorou? A co přináší?“. Jelikož finanční instituce disponují velkým množstvím osobních údajů, častokrát i citlivého charakteru, jsou přirozeným cílem kybernetických útoků. Nová úprava zohledňující specifika finančního sektoru je také reakcí na kontinuální modernizaci. Finanční sektor nejenže se digitalizoval jako celek, ale v důsledku digitalizace se rovněž prohloubila jeho vzájemná propojení a závislosti a také propojení a závislosti mezi ním a poskytovateli infrastruktury a služeb z řad třetích stran. Nové kyberbezpečnostní požadavky je tedy potřeba reflektovat nikoli izolovaně, ale v souvislostech s již existujícím nebo připravovaným legislativním rámcem. Právě proto je jedním z klíčových . . .

Vzpomínáte? Už v minulém roce se časopis DPO věnoval v té době vyjednávanému evropského legislativnímu návrhu nařízení o digitální provozní odolnosti finančního sektoru (DORA) a jeho očekávaným přesahům do další evropské legislativy, GDPR nevyjímajíc. Pojďme si představit nyní již známé požadavky finálního znění nařízení DORA[1] jako takového a stručně nastínit i kontext celkového legislativního rámce, na který tento významný předpis navazuje. Proč se problematika posílení kybernetické bezpečnosti (nejenom) finančních institucí obecně dostává do centra zájmu? Důležitost odolných informačních a komunikačních technologií (ICT) se výrazně projevila v souvislosti s pandemií covidu-19, která vedla k bezprecedentnímu nárůstu kybernetické aktivity, což s sebou přináší výzvy, příležitosti, avšak rozhodně i možnosti zneužití. Silnou politickou motivaci Evropské komise k přijet . . .

Dynamický technologický vývoj s sebou v posledních dekádách přináší i množství legislativních výzev. Vzniká potřeba právního vymezení fakticky existujících institutů, jakými jsou třeba blockchain, kryptoměna nebo umělá inteligence (UI). Zákonodárci na národní, ale i evropské úrovni tak stojí před nelehkým úkolem, jímž je vytvoření proporcionální právní úpravy, která stanoví meze pro aplikaci nových technologií de facto a taktéž de iure, neboť je třeba zajistit kompatibilitu s již existujícím legislativním rámcem. V neposlední řadě například i s GDPR. Potenciál do budoucna je enormní Tato role je nelehká také proto, že nová úprava by neměla být limitující, což by mohlo vést k nežádoucímu zpomalení výzkumu, vývoje a taktéž oslabení konkurenceschopnosti v dotčených jurisdikcích – a tedy celé EU. Dnes je totiž již znatelná transformační kapacita UI, popř. strojového učení. Mezi nejběžněj . . .

Současná Evropská komise již na začátku svého mandátu zdůrazňovala, že je nutné se zaměřit na rozvoj digitalizace jakožto nástroje pro zjednodušení života obyvatel, jenž přispěje rovněž k posílení konkurenceschopnosti EU v různých oblastech, včetně např. cloud či edge computingu. K těmto snahám o rozvoj digitalizace patří obsáhlá legislativní iniciativa v oblasti sdílení dat, jelikož růstový potenciál ekonomiky založené na datech, jež jsou generována v mnohem větším množství, je enormní. Evropská komise to deklarovala v Evropské strategii pro data,[1] kde vymezila potřebu mezisektorového sdílení dat napříč EU s ohledem na evropské zásady a minimální standardy (včetně obecného nařízením o ochraně osobních údajů, GDPR), dostupnost vysoce kvalitních data setů, praktická, spravedlivá a jasná pravidla pro přístup a použití dat u aplikace transparentních mechanismů správy dat. Hlavní myšlenkou je posílit dostupnost, informovanost a kontrolu obyvatel i podniků nad jejich daty a zároveň zajistit efektivní sekundárn . . .

Kybernetická bezpečnost jako předpoklad ochrany osobních údajů Asi není zapotřebí ani připomínat, jakému nebývalému zájmu odborníků, médií i široké veřejnosti předcházelo přijetí a následný proces implementace Obecného nařízení o ochraně osobních údajů (GDPR). Tento ojedinělý evropský legislativní předpis byl často označován jako revoluční, i když vzhledem k postupnému vývoji ochrany soukromí obecně a osobních údajů specificky by se k zohlednění existence předchozí směrnice o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (transponované zákonem č. 101/2000 Sb., o ochraně osobních údajů) lépe hodil přívlastek evoluční. Jeho význam průběžně vyzdvihuje např. Zuboff v díle „The age of surveillance capitalism“ nebo Nulíček a kol. v komentáři[1] k nařízení, jež ho charakterizuje jako nejvýznamnější legislativní počin v oblasti ochrany osobních údajů za posledních 20 let. Tomu nasvědčuje i výrazná inspirace . . .