+Standardized Terminology
|
Standardized Terminology
Description
Mechanisms exist to standardize technology and process terminology to reduce confusion amongst groups and departments.
Possible Solutions & Considerations
Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2
∙ Follow secure coding basics when developing software
Small Business (10-49 staff) / BLS Firm Size Classes 3-4
∙ Secure coding guidelines for developers ∙ Basic security review before release
Medium Business (50-249 staff) / BLS Firm Size Classes 5-6
∙ Formal security engineering principles ∙ Secure design patterns ∙ Threat modeling
Large Business (250-999 staff) / BLS Firm Size Classes 7-8
∙ Enterprise security engineering program ∙ Formal threat modeling ∙ Security architecture standards
Enterprise (> 1,000 staff) / BLS Firm Size Class 9
∙ Enterprise security architecture framework (SABSA) ∙ Formal threat modeling program ∙ Security design patterns library
SCR-CMM
Level 0 Not Performed
Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.
Level 1 Performed Informally
SCR-CMM Level 1 criteria definitions are not available for this control: ▪ A reasonable person would conclude this control requires a structured process. ▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.
Level 2 Planned Tracked
Secure Engineering & Architecture (SEA) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist: ▪ Policies and standards associated with SEA domain capabilities are formally documented and centrally-managed by the entity. ▪ Standardized Operating Procedures (SOP) associated with SEA domain capabilities are documented and maintained by process owners. ▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with SEA domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD). ▪ Secure engineering and architecture-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines). ▪ Secure engineering and architecture management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel. ▪ IT and/or cybersecurity personnel define entity-specific secure engineering practices to protect the Confidentiality, Integrity, Availability and Safety (CIAS) of the entity's TAASD. ▪ IT and/or cybersecurity personnel align secure engineering practices with the entity's broader IT architecture practices. ▪ IT and/or cybersecurity personnel use secure engineering practices to influence Secure Baseline Configurations (SBC).
Level 3 Well Defined
Cybersecurity & Data Protection Governance (GOV) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist: ▪ Policies and standards associated with GOV domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function. ▪ Standardized Operating Procedures (SOP) associated with GOV domain capabilities are well-documented and kept current by process owners. ▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, is appropriately staffed and supported to implement and maintain GOV domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls). ▪ Technology is leveraged to enhance the efficiency and accuracy of governance, risk management and compliance operations (e.g., GRC platform). ▪ An implemented and operational capability exists to standardize technology and process terminology to reduce confusion amongst groups and departments.
Level 4 Quantitatively Controlled
Utilize SCR-CMM Level 3 criteria definitions: ▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control. ▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.
Level 5 Continuously Improving
Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions: ▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control. ▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies. ▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
1. Prehľad
1.1 Odkazy
1.2 Identifikované požiadavky
1.3 Súvisiace predpisy
2. Identifikované požiadavky
Požiadavky
| Zdroj |
Požiadavka |
3. Súvisiace predpisy
Predpisy
| Zdroj |
Regulácia |
|
EULAW
|
Článok 3 Vymedzenie pojmov
Článok 3
Na účely tohto nariadenia sa uplatňuje toto vymedzenie pojmov:
1.
„systém AI“ je strojový systém, ktorý je dizajnovaný na prevádzku s rôznymi úrovňami autonómnosti, ktorý môže po nasadení prejavovať adaptabilitu a ktorý pre explicitné alebo implicitné ciele odvodzuje zo vstupov, ktoré dostáva, spôsob generovania výstupov, ako sú predpovede, obsah, odporúčania alebo rozhodnutia, ktoré môžu ovplyvniť fyzické alebo virtuálne prostredie;
2.
„riziko“ je kombinácia pravdepodobnosti výskytu ujmy a závažnosti tejto ujmy;
3.
„poskytovateľ“ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý vyvíja systém AI alebo model AI na všeobecné účely alebo ktorý si dáva vyvinúť systém AI alebo model AI na všeobecné účely a uvádza ho na trh alebo uvádza systém AI do prevádzky pod svojím vlastným menom alebo ochrannou známkou, či už za odplatu alebo bezodplatne;
4.
„nasadzujúci subjekt“ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý používa systém AI v rámci svojej právomoci, s výnimkou prípadov, keď sa systém AI používa v rámci osobnej neprofesionálnej činnosti;
5.
„splnomocnený zástupca“ je fyzická alebo právnická osoba nachádzajúca sa alebo usadená v Únii, ktorá od poskytovateľa systému AI alebo modelu AI na všeobecné účely dostala a akceptovala písomné splnomocnenie plniť v jeho mene povinnosti a vykonávať postupy stanovené týmto nariadením;
6.
„dovozca“ je fyzická alebo právnická osoba nachádzajúca sa alebo usadená v Únii, ktorá uvádza na trh systém AI, ktorý je označený menom alebo ochrannou známkou fyzickej alebo právnickej osoby usadenej v tretej krajine;
7.
„distribútor“ je fyzická alebo právnická osoba v dodávateľskom reťazci okrem poskytovateľa alebo dovozcu, ktorá na trhu Únie sprístupňuje systém AI;
8.
„prevádzkovateľ“ je poskytovateľ, výrobca výrobku, nasadzujúci subjekt, splnomocnený zástupca, dovozca alebo distribútor;
9.
„uvedenie na trh“ je prvé sprístupnenie systému AI alebo modelu AI na všeobecné účely na trhu Únie;
10.
„sprístupnenie na trhu“ je dodanie systému AI alebo modelu AI na všeobecné účely s cieľom distribuovať ho alebo používať ho na trhu Únie v rámci komerčnej činnosti, či už za odplatu alebo bezodplatne;
11.
„uvedenie do prevádzky“ je dodanie systému AI na prvé použitie priamo nasadzujúcemu subjektu alebo na vlastné použitie v Únii na jeho zamýšľaný účel;
12.
„zamýšľaný účel“ je použitie, na ktoré systém AI určil poskytovateľ vrátane konkrétneho kontextu a podmienok používania, ako sa uvádza v informáciách od poskytovateľa v návode na použitie, v propagačných alebo predajných materiáloch a vyhláseniach, ako aj v technickej dokumentácii;
13.
„odôvodnene predvídateľné nesprávne použitie“ je také použitie systému AI, ktoré nie je v súlade so zamýšľaným účelom, ale ktoré môže byť výsledkom odôvodnene predvídateľného ľudského správania alebo interakcie s inými systémami vrátane iných systémov AI;
▼M1
14.
„bezpečnostný komponent“ je komponent výrobku alebo systému AI, ktorý pre daný výrobok alebo systém AI plní bezpečnostnú funkciu alebo ktorého zlyhanie alebo porucha ohrozuje zdravie a bezpečnosť osôb alebo majetok; na účely tohto vymedzenia pojmu komponent plní bezpečnostnú funkciu, ak je jeho zamýšľaným účelom predchádzať rizikám pre zdravie a bezpečnosť osôb alebo majetok alebo ich zmierňovať;
▼M1
14a.
„mikropodnik, malý a stredný podnik“ alebo „MSP“ je mikropodnik, malý alebo stredný podnik v zmysle vymedzenia v článku 2 prílohy k odporúčaniu Komisie 2003/361/ES;
14b.
„malý podnik so strednou trhovou kapitalizáciou“ je malý podnik so strednou trhovou kapitalizáciou v zmysle vymedzenia v bode 2 prílohy k odporúčaniu (EÚ) 2025/1099;
▼B
15.
„návod na použitie“ sú informácie, ktoré poskytuje poskytovateľ s cieľom informovať nasadzujúci subjekt najmä o zamýšľanom účele a správnom používaní systému AI;
16.
„stiahnutie systému AI od používateľa“ je každé opatrenie, ktorého cieľom je dosiahnutie navrátenia systému AI, ktorý sa sprístupnil nasadzujúcim subjektom, poskytovateľovi alebo jeho stiahnutie z prevádzky, alebo znemožnenie jeho používania;
17.
„stiahnutie systému AI z trhu“ je každé opatrenie, ktorého cieľom je zabrániť, aby sa systém AI, ktorý sa nachádza v dodávateľskom reťazci, sprístupnil na trhu;
18.
„výkon systému AI“ je schopnosť systému AI dosiahnuť jeho zamýšľaný účel;
19.
„notifikujúci orgán“ je vnútroštátny orgán zodpovedný za stanovenie a vykonávanie nevyhnutných postupov na posudzovanie, určovanie a notifikáciu orgánov posudzovania zhody a za ich monitorovanie;
20.
„posudzovanie zhody“ je postup preukázania, či boli splnené požiadavky stanovené v kapitole III oddiele 2 týkajúce sa vysokorizikového systému AI;
21.
„orgán posudzovania zhody“ je orgán, ktorý ako tretia strana vykonáva činnosti posudzovania zhody vrátane skúšania, certifikácie a kontroly;
22.
„notifikovaná osoba“ je orgán posudzovania zhody notifikovaný v súlade s týmto nariadením a inými relevantnými harmonizačnými právnymi predpismi Únie;
23.
„podstatná zmena“ je zmena systému AI po jeho uvedení na trh alebo do prevádzky, ktorú poskytovateľ v počiatočnom posudzovaní zhody nepredpokladal ani neplánoval a v dôsledku ktorej je ovplyvnený súlad systému AI s požiadavkami stanovenými v kapitole III oddiele 2 alebo ktorá vedie k zmene zamýšľaného účelu, z hľadiska ktorého bol systém AI posudzovaný;
24.
„označenie CE“ je označenie, ktorým poskytovateľ vyjadruje, že systém AI je v zhode s požiadavkami stanovenými v kapitole III oddiele 2 a v iných uplatniteľných harmonizačných právnych predpisoch Únie, v ktorých sa stanovuje umiestňovanie tohto označenia;
25.
„systém monitorovania po uvedení na trh“ sú všetky činnosti, ktoré vykonávajú poskytovatelia systémov AI na zhromažďovanie a skúmanie skúseností získaných z používania systémov AI, ktoré uvádzajú na trh alebo do prevádzky, a to na účely zisťovania akejkoľvek potreby okamžite uplatniť všetky potrebné nápravné či preventívne opatrenia;
26.
„orgán dohľadu nad trhom“ je vnútroštátny orgán, ktorý vykonáva činnosti a prijíma opatrenia podľa nariadenia (EÚ) 2019/1020;
27.
„harmonizovaná norma“ je harmonizovaná norma v zmysle vymedzenia v článku 2 bode 1 písm. c) nariadenia (EÚ) č. 1025/2012;
28.
„spoločná špecifikácia“ je súbor technických špecifikácií v zmysle vymedzenia v článku 2 bode 4 nariadenia (EÚ) č. 1025/2012, ktorý predstavuje prostriedok na dosiahnutie súladu s určitými požiadavkami stanovenými v tomto nariadení;
29.
„trénovacie údaje“ sú údaje, ktoré sa používajú na trénovanie systému AI adaptáciou jeho parametrov, ktoré sa dajú naučiť;
30.
„validačné údaje“ sú údaje, ktoré sa používajú na vyhodnotenie natrénovaného systému AI a na doladenie jeho parametrov, ktoré sa nedajú naučiť, a jeho procesu učenia, okrem iného s cieľom zabrániť podtrénovaniu alebo pretrénovaniu;
31.
„validačný súbor údajov“ je samostatný súbor údajov alebo časť súboru trénovacích údajov, a to buď ako pevné alebo variabilné rozdelenie;
32.
„testovacie údaje“ sú údaje, ktoré sa používajú na nezávislé hodnotenie systému AI s cieľom potvrdiť očakávaný výkon tohto systému pred jeho uvedením na trh alebo do prevádzky;
33.
„vstupné údaje“ sú údaje poskytnuté systému AI alebo priamo získané týmto systémom, na základe ktorých systém vytvára výstup;
34.
„biometrické údaje“ sú osobné údaje, ktoré sú výsledkom osobitného technického spracúvania týkajúceho sa fyzických, fyziologických alebo behaviorálnych charakteristických znakov fyzickej osoby, ako sú podoby tváre alebo daktyloskopické údaje;
35.
„biometrická identifikácia“ je automatizované rozpoznávanie fyzických, fyziologických, behaviorálnych alebo psychologických znakov človeka na účely stanovenia totožnosti fyzickej osoby porovnaním biometrických údajov daného jednotlivca s biometrickými údajmi jednotlivcov uloženými v databáze;
36.
„biometrické overenie“ je automatizované overenie totožnosti fyzických osôb porovnaním ich biometrických údajov s biometrickými údajmi, ktoré boli poskytnuté skôr, spočívajúce v porovnaní jedného údaja s príslušným druhým údajom vrátane autentifikácie;
37.
„osobitné kategórie osobných údajov“ sú kategórie osobných údajov uvedené v článku 9 ods. 1 nariadenia (EÚ) 2016/679, článku 10 smernice (EÚ) 2016/680 a článku 10 ods. 1 nariadenia (EÚ) 2018/1725;
38.
„citlivé operačné údaje“ sú operačné údaje súvisiace s činnosťami predchádzania trestným činom, ich odhaľovania, vyšetrovania alebo stíhania, ktorých zverejnenie by mohlo ohroziť integritu trestného konania;
39.
„systém na rozpoznávanie emócií“ je systém AI na účely identifikácie alebo odvodenia emócií alebo úmyslov fyzických osôb na základe ich biometrických údajov;
40.
„systém biometrickej kategorizácie“ je systém AI na účely zaraďovania fyzických osôb do špecifických kategórií na základe ich biometrických údajov, pokiaľ to nie je pomocný úkon pre inú komerčnú službu a nevyhnutne potrebné z objektívnych technických dôvodov;
41.
„systém diaľkovej biometrickej identifikácie“ je systém AI na účely identifikácie fyzických osôb bez ich aktívneho zapojenia, zvyčajne na diaľku prostredníctvom porovnania biometrických údajov osoby s biometrickými údajmi obsiahnutými v referenčnej databáze;
42.
„systém diaľkovej biometrickej identifikácie v reálnom čase“ je systém diaľkovej biometrickej identifikácie, v ktorom zachytávanie biometrických údajov, ich porovnávanie a identifikácia prebiehajú bez výrazného oneskorenia, pričom zahŕňa nielen okamžitú identifikáciu, ale aj identifikáciu s limitovanými menšími oneskoreniami, aby sa zabránilo obchádzaniu pravidiel;
43.
„systém následnej diaľkovej biometrickej identifikácie“ je systém diaľkovej biometrickej identifikácie, ktorý nie je systémom diaľkovej biometrickej identifikácie v reálnom čase;
44.
„verejne prístupný priestor“ je akékoľvek fyzické miesto vo verejnom alebo v súkromnom vlastníctve prístupné neurčenému počtu fyzických osôb bez ohľadu na to, či možno uplatniť určité podmienky prístupu, a bez ohľadu na možné obmedzenia kapacity;
45.
„orgán presadzovania práva“ je:
a)
každý orgán verejnej moci príslušný v oblasti predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo v oblasti výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu, alebo
b)
každý iný orgán alebo subjekt, ktorý bol právom členského štátu poverený vykonávať verejnú moc a verejné právomoci na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu;
46.
„presadzovanie práva“ sú činnosti vykonávané orgánmi presadzovania práva alebo v ich mene na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo na účely výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu;
47.
„úrad pre AI“ je úloha Komisie prispievať k vykonávaniu, monitorovaniu a dohľadu nad systémami AI a modelmi AI na všeobecné účely a k správe a riadeniu AI stanovená v rozhodnutí Komisie z 24. januára 2024; odkazy v tomto nariadení na úrad pre AI sa považujú za odkazy na Komisiu;
48.
„vnútroštátny príslušný orgán“ je notifikujúci orgán alebo orgán dohľadu nad trhom; pokiaľ ide o systémy AI uvedené do prevádzky alebo používané inštitúciami, orgánmi, úradmi a agentúrami Únie, odkazy na príslušné vnútroštátne orgány alebo orgány dohľadu nad trhom v tomto nariadení sa považujú za odkazy na európskeho dozorného úradníka pre ochranu údajov;
49.
„závažný incident“ je incident alebo porucha systému AI, ktoré priamo alebo nepriamo vyústia do ktorejkoľvek z týchto situácií:
a)
smrť osoby alebo vážna ujma na zdraví osoby;
b)
vážne a nezvratné narušenie riadenia alebo prevádzky kritickej infraštruktúry;
c)
porušenie povinností vyplývajúcich z práva Únie, ktorých cieľom je ochrana základných práv;
d)
vážna ujma na majetku alebo životnom prostredí;
50.
„osobné údaje“ sú osobné údaje v zmysle vymedzenia v článku 4 bode 1 nariadenia (EÚ) 2016/679;
51.
„iné ako osobné údaje“ sú údaje iné než osobné údaje v zmysle vymedzenia v článku 4 bode 1 nariadenia (EÚ) 2016/679;
52.
„profilovanie“ je profilovanie v zmysle vymedzenia v článku 4 bode 4 nariadenia (EÚ) 2016/679;
53.
„plán testovania v reálnych podmienkach“ je dokument, v ktorom sa opisujú ciele, metodika, geografický, populačný a časový rozsah, monitorovanie, organizácia a vykonávanie testovania v reálnych podmienkach;
54.
„plán experimentálneho prostredia“ je dokument dohodnutý medzi zúčastneným poskytovateľom a príslušným orgánom, v ktorom sa opisujú ciele, podmienky, časový rámec, metodika a požiadavky na činnosti vykonávané v rámci experimentálneho prostredia;
55.
„regulačné experimentálne prostredie pre AI“ je kontrolovaný rámec zriadený príslušným orgánom, ktorý poskytovateľom alebo potenciálnym poskytovateľom systémov AI ponúka možnosť vyvíjať, trénovať, validovať a testovať, v relevantnom prípade aj v reálnych podmienkach, inovačný systém AI podľa plánu experimentálneho prostredia na obmedzený čas pod regulačným dohľadom;
56.
„gramotnosť v oblasti AI“ sú zručnosti, vedomosti a pochopenie, ktoré poskytovateľom, nasadzujúcim subjektom a dotknutým osobám umožňujú s ohľadom na ich príslušné práva a povinnosti v kontexte tohto nariadenia informovane nasadzovať systémy AI, ako aj získať povedomie o príležitostiach a rizikách AI a o prípadnej ujme, ktorú môže spôsobiť;
57.
„testovanie v reálnych podmienkach“ je dočasné testovanie systému AI na jeho zamýšľaný účel v reálnych podmienkach mimo laboratória alebo inak simulovaného prostredia s cieľom zhromaždiť spoľahlivé a robustné údaje a posúdiť a overiť zhodu systému AI s požiadavkami tohto nariadenia a nepovažuje sa za uvedenie systému AI na trh alebo do prevádzky v zmysle tohto nariadenia za predpokladu, že sú splnené všetky podmienky stanovené v článku 57 alebo 60;
58.
„účastník“ na účely testovania v reálnych podmienkach je fyzická osoba, ktorá sa zúčastňuje na testovaní v reálnych podmienkach;
59.
„informovaný súhlas“ je slobodne poskytnuté, konkrétne, jednoznačné a dobrovoľné vyjadrenie vôle účastníka zúčastniť sa na konkrétnom testovaní v reálnych podmienkach, a to po tom, ako bol informovaný o všetkých aspektoch testovania, ktoré sú relevantné pre jeho rozhodnutie zúčastniť sa;
60.
„deep fake“ je obrazový obsah, audioobsah alebo videoobsah vytvorený alebo zmanipulovaný pomocou AI, ktorý sa podobá na existujúce osoby, objekty, miesta, subjekty alebo udalosti a osobe by sa falošne javil ako autentický alebo pravdivý;
61.
„rozsiahle porušovanie právnych predpisov“ je každé konanie alebo opomenutie v rozpore s právom Únie na ochranu záujmov jednotlivcov, ktoré:
a)
spôsobilo alebo pravdepodobne spôsobí ujmu na kolektívnych záujmoch jednotlivcov s pobytom najmenej v dvoch iných členských štátoch, než je členský štát, v ktorom:
i)
takéto konanie alebo opomenutie malo pôvod alebo sa uskutočnilo;
ii)
sa nachádza alebo je usadený dotknutý poskytovateľ alebo v relevantnom prípade jeho splnomocnený zástupca, alebo
iii)
je usadený nasadzujúci subjekt v čase, keď sa tento nasadzujúci subjekt dopúšťa porušenia právnych predpisov;
b)
spôsobilo, spôsobuje alebo pravdepodobne spôsobí ujmu na kolektívnych záujmoch jednotlivcov a má spoločné znaky vrátane rovnakého protiprávneho konania alebo porušovania rovnakého záujmu, a ktorého sa dopustil súčasne ten istý prevádzkovateľ v najmenej troch členských štátoch;
62.
„kritická infraštruktúra“ je kritická infraštruktúra v zmysle vymedzenia v článku 2 bode 4 smernice (EÚ) 2022/2557;
63.
„model AI na všeobecné účely“ je model AI, a to aj model AI trénovaný veľkým množstvom údajov s použitím samokontroly vo veľkom rozsahu, ktorý má významnú všeobecnú povahu a je schopný kompetentne vykonávať širokú škálu odlišných úloh bez ohľadu na spôsob, akým sa model uvádza na trh, a ktorý možno integrovať do rôznych nadväzujúcich systémov alebo aplikácií, s výnimkou modelov AI, ktoré sa využívajú na účely výskumných, vývojových a prototypových činností pred ich uvedením na trh;
64.
„spôsobilosti s veľkým vplyvom“ sú spôsobilosti, ktoré zodpovedajú spôsobilostiam zaznamenaným v najvyspelejších modeloch AI na všeobecné účely alebo tieto spôsobilosti prevyšujú;
65.
„systémové riziko“ je riziko špecifické pre spôsobilosti s veľkým vplyvom pri modeloch AI na všeobecné účely, ktoré má významný vplyv na vnútorný trh Únie z dôvodu dosahu týchto modelov alebo z dôvodu skutočných alebo odôvodnene predvídateľných negatívnych účinkov na verejné zdravie, bezpečnosť, verejnú bezpečnosť, základné práva alebo spoločnosť ako celok, ktoré možno šíriť vo veľkom rozsahu v celom hodnotovom reťazci;
66.
„systém AI na všeobecné účely“ je systém AI, ktorý je založený na modeli AI na všeobecné účely a ktorý je spôsobilý slúžiť na rôzne účely, a to na priame použitie, ako aj na integráciu do iných systémov AI;
67.
„operácia s pohyblivou rádovou čiarkou“ je akákoľvek matematická operácia alebo funkcia obsahujúca čísla s pohyblivou rádovou čiarkou, ktoré sú podmnožinou reálnych čísel zvyčajne reprezentovaných v počítačoch celým číslom s pevným počtom číslic, škálovaným celočíselným exponentom pevného základu;
68.
„nadväzujúci poskytovateľ“ je poskytovateľ systému AI vrátane systému AI na všeobecné účely, ktorý integruje model AI, bez ohľadu na to, či tento model AI poskytuje sám a je vertikálne integrovaný alebo ho poskytuje iný subjekt na základe zmluvných vzťahov.
|
|
EULAW
|
Článok 4 Vymedzenie pojmov
Článok 4
Na účely tohto nariadenia:
1.
„osobné údaje“ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len „dotknutá osoba“); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;
2.
„spracúvanie“ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
3.
„obmedzenie spracúvania“ je označenie uchovávaných osobných údajov s cieľom obmedziť ich spracúvanie v budúcnosti;
4.
„profilovanie“ je akákoľvek forma automatizovaného spracúvania osobných údajov, ktoré pozostáva z použitia týchto osobných údajov na vyhodnotenie určitých osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým analýzy alebo predvídania aspektov dotknutej fyzickej osoby súvisiacich s výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom;
5.
„pseudonymizácia“ je spracúvanie osobných údajov takým spôsobom, aby osobné údaje už nebolo možné priradiť konkrétnej dotknutej osobe bez použitia dodatočných informácií, pokiaľ sa takéto dodatočné informácie uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia s cieľom zabezpečiť, aby osobné údaje neboli priradené identifikovanej alebo identifikovateľnej fyzickej osobe;
6.
„informačný systém“ je akýkoľvek usporiadaný súbor osobných údajov, ktoré sú prístupné podľa určených kritérií, bez ohľadu na to, či ide o systém centralizovaný, decentralizovaný alebo distribuovaný na funkčnom alebo geografickom základe;
7.
„prevádzkovateľ“ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;
8.
„sprostredkovateľ“ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa;
9.
„príjemca“ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorému sa osobné údaje poskytujú bez ohľadu na to, či je treťou stranou. Orgány verejnej moci, ktoré môžu prijať osobné údaje v rámci konkrétneho zisťovania v súlade s právom Únie alebo právom členského štátu, sa však nepovažujú za príjemcov; spracúvanie uvedených údajov uvedenými orgánmi verejnej moci sa uskutočňuje v súlade s uplatniteľnými pravidlami ochrany údajov v závislosti od účelov spracúvania;
10.
„tretia strana“ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt než dotknutá osoba, prevádzkovateľ, sprostredkovateľ a osoby, ktoré sú na základe priameho poverenia prevádzkovateľa alebo sprostredkovateľa poverené spracúvaním osobných údajov;
11.
„súhlas dotknutej osoby“ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;
12.
„porušenie ochrany osobných údajov“ je porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávnený prístup k nim;
13.
„genetické údaje“ sú osobné údaje týkajúce sa zdedených alebo nadobudnutých genetických charakteristických znakov fyzickej osoby, ktoré poskytujú jedinečné informácie o fyziológii alebo zdraví tejto fyzickej osoby a ktoré vyplývajú najmä z analýzy biologickej vzorky danej fyzickej osoby;
14.
„biometrické údaje“ sú osobné údaje, ktoré sú výsledkom osobitného technického spracúvania, ktoré sa týka fyzických, fyziologických alebo behaviorálnych charakteristických znakov fyzickej osoby a ktoré umožňujú alebo potvrdzujú jedinečnú identifikáciu tejto fyzickej osoby, ako napríklad vyobrazenia tváre alebo daktyloskopické údaje;
15.
„údaje týkajúce sa zdravia“ sú osobné údaje týkajúce sa fyzického alebo duševného zdravia fyzickej osoby, vrátane údajov o poskytovaní služieb zdravotnej starostlivosti, ktorými sa odhaľujú informácie o jej zdravotnom stave;
16.
„hlavná prevádzkareň“ je:
a)
pokiaľ ide o prevádzkovateľa s prevádzkarňami vo viac než jednom členskom štáte, miesto jeho centrálnej správy v Únii s výnimkou prípadu, keď sa rozhodnutia o účeloch a prostriedkoch spracúvania osobných údajov prijímajú v inej prevádzkarni prevádzkovateľa v Únii a táto iná prevádzka má právomoc presadiť vykonanie takýchto rozhodnutí, pričom v takom prípade sa za hlavnú prevádzkareň považuje prevádzkareň, ktorá takéto rozhodnutia prijala;
b)
pokiaľ ide o sprostredkovateľa s prevádzkarňami vo viac než jednom členskom štáte, miesto jeho centrálnej správy v Únii, alebo ak sprostredkovateľ nemá centrálnu správu v Únii, prevádzkareň sprostredkovateľa v Únii, v ktorej sa v kontexte činností prevádzkarne sprostredkovateľa uskutočňujú hlavné spracovateľské činnosti, a to v rozsahu, v akom sa na sprostredkovateľa vzťahujú osobitné povinnosti podľa tohto nariadenia;
17.
„zástupca“ je fyzická alebo právnická osoba usadená v Únii, ktorú prevádzkovateľ alebo sprostredkovateľ písomne určil podľa článku 27 a ktorá ho zastupuje, pokiaľ ide o jeho povinnosti podľa tohto nariadenia;
18.
„podnik“ je fyzická alebo právnická osoba vykonávajúca hospodársku činnosť bez ohľadu na jej právnu formu vrátane partnerstiev alebo združení, ktoré pravidelne vykonávajú hospodársku činnosť;
19.
„skupina podnikov“ je riadiaci podnik a ním riadené podniky;
20.
„záväzné vnútropodnikové pravidlá“ je politika ochrany osobných údajov, ktorú dodržiava prevádzkovateľ alebo sprostredkovateľ usadený na území členského štátu na účely prenosu alebo súborov prenosov osobných údajov prevádzkovateľovi alebo sprostredkovateľovi v jednej alebo viacerých tretích krajinách v rámci skupiny podnikov alebo podnikov zapojených do spoločnej hospodárskej činnosti;
21.
„dozorný orgán“ je nezávislý orgán verejnej moci zriadený členským štátom podľa článku 51;
22.
„dotknutý dozorný orgán“ je dozorný orgán, ktorého sa spracúvanie osobných údajov týka, pretože:
a)
prevádzkovateľ alebo sprostredkovateľ je usadený na území členského štátu tohto dozorného orgánu;
b)
dotknuté osoby s pobytom v členskom štáte tohto dozorného orgánu sú podstatne ovplyvnené alebo budú pravdepodobne podstatne ovplyvnené spracúvaním; alebo
c)
sťažnosť sa podala na tento dozorný orgán;
23.
„cezhraničné spracúvanie“ je buď:
a)
spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii v kontexte činností prevádzkarní prevádzkovateľa alebo sprostredkovateľa vo viac ako jednom členskom štáte, pričom prevádzkovateľ alebo sprostredkovateľ sú usadení vo viac ako jednom členskom štáte; alebo
b)
spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii kontexte činností jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa v Únii, ale ktoré podstatne ovplyvňuje alebo pravdepodobne podstatne ovplyvní dotknuté osoby vo viac ako jednom členskom štáte;
24.
„relevantná a odôvodnená námietka“ je námietka voči návrhu rozhodnutia, či došlo k porušeniu tohto nariadenia, alebo či je plánované opatrenie vo vzťahu k prevádzkovateľovi alebo sprostredkovateľovi v súlade s týmto nariadením, ktoré musí jasne preukázať závažnosť rizík, ktoré predstavuje návrh rozhodnutia, pokiaľ ide o základné práva a slobody dotknutých osôb a prípadne voľný pohyb osobných údajov v rámci Únie;
25.
„služba informačnej spoločnosti“ je služba vymedzená v článku 1 bode 1 písm. b) smernice Európskeho parlamentu a Rady (EÚ) 2015/1535 (
1
);
26.
„medzinárodná organizácia“ je organizácia a jej podriadené subjekty, ktoré sa riadia medzinárodným právom verejným, alebo akýkoľvek iný subjekt, ktorý bol zriadený dohodou medzi dvoma alebo viacerými krajinami alebo na základe takejto dohody.
|
Prepojené úlohy
- Secure Controls Framework -
"The SCF is the Common Controls Framework™ (CCF), the world's most comprehensive cybersecurity and data privacy metaframework - it is also free to use. The entire concept is building secure, compliant and resilient capabilities in the most efficient and cost-effective manner possible.
The SCF is more than just a unified control catalog, since its included content creates a playbook for Governance, Risk & Compliance (GRC) capabilities. Used globally by organizations of every size, the SCF is a robust and scalable solution for security, compliance and resilience controls. As a comprehensive security framework, the SCF maps 1,400+ controls across 200+ laws, regulations, and industry frameworks so you can implement once and comply everywhere.
Like it or not, cybersecurity is a protracted war on an asymmetric battlefield, where the threats are everywhere and as defenders we have to make the effort to work together to help improve cybersecurity and data privacy practices, since we all suffer when massive data breaches occur or when cyber attacks have physical impacts. Hackers share information on attack methods with other hackers, so why shouldn’t the good guys share information on how to best protect an organization? We decided to take action and make a difference, since we feel it is too important to wait for someone else to fix the problems that exist.
The SCF is made up of volunteers, mainly specialists within the cybersecurity profession, who focus on GRC and the cybersecurity side of data privacy. These are auditors, engineers, architects, incident responders, consultants and other specialists who live and breathe these topics on a daily basis. The end product is "expert-derived content" that makes up the SCF." https://securecontrolsframework.com/
Terms & Conditions
The SCF End User License Agreement (EULA) governs the use of the Secure Controls Framework® (SCF) under the Creative Commons Attribution-No Derivatives 4.0 International Public License.
|