Právní a ekonomické aspekty porušení bezpečnosti osobních údajů v kontextu internetu věcí

Ing. Mgr. František Kasl

Doctoral thesis

Legal and Economic Aspects of Personal Data Breach in the Context of the Internet of Things

Abstract:

Cílem představované studie bylo zkoumat, zda má současná právní úprava povinností při porušení zabezpečení osobních údajů dle Obecného nařízení účelné uplatnění i v prostředí internetu věcí, a pokud ano, pak jakými úpravami lze překonat případné zjištěné výzvy a překážky. Na tuto problematiku je nahlíženo ze čtyř perspektiv. Úvod do tématu je z perspektivy kyberbezpečnosti. Je zde provedeno zakotvení pojmu porušení bezpečnosti osobních údajů a vyložen jeho vztah k pojmu bezpečnostní incident. Následně jsou představeny možné podoby porušení bezpečnosti, doložen rozsah a četnost tohoto jevu a nastíněn trend jeho vývoje. Poté je vysvětlena možná újma jednotlivců v důsledku porušení bezpečnosti. Následně je přistoupeno k tématu z právní perspektivy. V jejím rámci je nabídnut celostní rozbor právních rámců s povinnostmi směřujícími k zabránění či zmírnění dopadů porušení bezpečnosti jak v rámci Evropské unie, tak ve Spojených státech amerických. Ty jsou následně diskutovány s cílem identifikovat jejich překážky a limity. Další kapitola přibližuje dopad technologické proměny prostředí, které vymezuje pojmem internet věcí. Pozornost je věnována novým výzvám, které toto prostředí přináší pro zpracování osobních údajů. Rozmanitost situací, které pod tento pojem spadají je zachycena za pomoci tří dílčích scénářů: automatizované komunikace mezi zařízeními, prostředí chytrého města a proměny postavení mikropodniků. Tyto pohledy jsou doplněny o perspektivu ekonomickou. Ta je využita k modelování rozhodování povinných subjektů ohledně dodržování uložených povinností ve spojení s porušením bezpečnosti. Poté je přistoupeno k propojení představených perspektiv, jsou shrnuty získané poznatky o porušení bezpečnosti v kontextu internetu věcí a jsou diskutována možná řešení pro odhalené překážky dodržování příslušných povinností.

Abstract:

The goal of the presented research was to assess, if the current legal framework of obligations related to personal data breach under GDPR are purposefully applicable also in the context of internet of things and if so, then which changes can help to overcome eventual discovered challenges or obstacles to it. This issue is studied from four perspectives. The introduction to the topic is from the cyber security perspective. The term personal data breach is defined and explained in relation to the term security incident. Next are presented possible forms of personal data breach, offered evidence for the scope and frequency of this phenomenon and outlined the future trend of its development. Pursuant to that the potential harm for individuals from personal data breach is explained. After that, the topic is approached from the legal perspective. Within it is presented a comprehensive analysis of the legal frameworks with obligations aimed at prevention or mitigation of personal data breach in the EU, as well as in the United States. These are then discussed with the aim to identify challenges and limits applicable to them. The next chapter introduces the impact of technological change of the context, which is defined by the term internet of things. The attention is focused on the new challenges, which are brought by it to personal data processing. The variety of situations, which fall under this term, is captured through three partial scenarios: automated machine-to-machines communication, smart city environment and change in the role of microenterprises. These views are completed with an economic perspective. This is used for modelling the decision-making of the obliged parties regarding their compliance with the obligations related to personal data breach. Subsequently, the presented perspectives are merged, the obtained findings regarding personal data breach in the context of internet of things are summarized and then the possible solutions for the discovered challenges of compliance with the respective obligations are discussed.

Keywords

porušení bezpečnosti osobních údajů, ohlašovací povinnost, oznamovací povinnost, internet věcí, ochrana osobních údajů, Obecné nařízení, kyberbezpečnost, personal data breach, notification obligation, communication obligation, internet of things, personal data protection, GDPR, cyber security

Language used: Czech

Date on which the thesis was submitted / produced: 23. 9. 2020

Thesis defence

• Date of defence: 11. 3. 2021
• Supervisor: doc. JUDr. Mgr. Martin Škop, Ph.D.
• Reader: doc. JUDr. Pavel Mates, CSc., JUDr. Tomáš Rychlý, Ph.D.

Masaryk University

Faculty of Law

Doctoral programme / field:
Theoretical Legal Sciences (4-years) / Law Information and Communication Technologies