GDPR v podmínkách statutárního města Karviné

Transkript

1 GDPR v podmínkách statutárního města Karviné Mgr. Lenka Feberová Mgr. Jiří Jarema

2 Ochrana osobních údajů v SMK Ochrana osobních údajů je řešena v širším kontextu řízení informační a kybernetické bezpečnosti Informační bezpečnost Osobní údaje Kybernetická bezpečnost 2

3 Bezpečnostní politika informací Směrnice pro dodavatele Směrnice pro uživatele TCK Celková bezpečnostní politika informací Směrnice pro správce ICT Směrnice pro externí uživatele 3

4 Ochrana osobních údajů v rámci korporace statutární město Karviná magistrát městská policie 12 základních a mateřských škol regionální knihovna sociální služby dům kultury Pověřenec Bezpečnostní správce magistrát městská policie příspěvkové organizace 4

5 Garanti zpracování osobních údajů Garant je zpravidla vedoucí zaměstnanec, který odpovídá za výkon agendy (dle OŘ) Odpovídá za klasifikaci aktiv (určení stupně důvěrnosti) zákonnost zpracování osobních údajů stanovení účelu a prostředků stanovení požadavků na jejich ochranu stanovení přístupu k osobním údajům v daném zpracování zpracování záznamu o činnostech zpracování vyžádání souhlasu a jeho evidenci (pokud je potřeba) splnění informační povinnosti vůči subjektům údajů uzavření smlouvy se zpracovatelem 5

6 Záznamy činností 6

7 Záznamy činností 7

8 Záznamy činností Analýza rizik nemá stanovenou formu! 8

9 Souhlasy Revize všech souhlasů zjištěno nadužívání (nepochopení) žádný nesplňoval požadavky na informovaný souhlas 9

10 Vzor souhlasu 10

11 Vzor souhlasu - pokračování 11

12 Uplatňování práv subjektů údajů Využití koordinovaného stanoviska a role garantů GARANT Přijetí žádosti (podatelna, ) K vyřízení POVĚŘENEC GARANT POVĚŘENEC SUBJEKT ÚDAJŮ 12

13 Technická opatření Technická opatření vycházejí z již existující bezpečnostní politiky informací + některá nově zavedená uspořádání pracoviště + fyzické zabezpečení (zámky, ) privacy filtry šifrování lokálních úložišť přenosných zařízení (notebooky) šifrování přenosných úložišť (flash disky) Nezavádíme technicky náročná řešení hromadné vyhledávání osobních údajů napříč agendami mazání osobních údajů z bezpečnostních záloh v případě jejich výmazu na základě uplatnění práva na výmaz (s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování čl. 32) 13

14 Technická opatření Využívání vazeb AIS na ISZR zásada přesnosti Očekáváme nové verze AISů, které budou umět skartaci nebo anonymizaci zásada omezení uložení Síťové tiskárny na čipové karty výtisk je proveden až po autentizaci uživatele Omezení doby zpracování v přístupovém systému automatické mazání záznamů starších 6 měsíců Omezení doby zobrazení jména na docházkových terminálech automatické zmizení po 60 vteřinách 14

15 Organizační opatření Aktualizace bezpečnostní politiky informací rozšíření povinností a odpovědností garanta role pověřence stanovení procesu vyřizování práv subjektů údajů stanovení procesu hlášení porušení ochrany osobních údajů (pověřenec) role spisové služby (nástroj pro omezení zpracování) Školení všech zaměstnanců vč. příspěvkových organizací využití systému interního vzdělávání (kurz je akreditován u MVČR) cca 400 zaměstnanců školení se opakuje cca 1x za 2 roky (přednáší se aktualizovaná bezpečnostní politika) 15

16 Informační povinnost správce Zveřejněny informace na webu města 16

17 Organizační opatření Veřejně přístupné akce focení informační tabule v místě konání informace na plakátech označení fotografů možnost odmítnout 17

18 Zapojení zpracovatelů zpracovatelem je jakýkoliv jiný subjekt, kterému svěříme nebo zpřístupníme osobní údaje ke zpracování typicky dodavatelé IT služeb vždy uzavřena smlouva o ochraně informací a přístupu do datové sítě za uzavření smlouvy odpovídá garant pověření správce ke zpracování osobních údajů závazek dodržovat bezpečnostní směrnici pro dodavatele 18

19 Zapojení zpracovatelů město jako zpracovatel pro správce I.CA s První certifikační autoritou, a.s. má město uzavřenu příkazní smlouvu na vydávání kvalifikovaných a komerčních certifikátů pro příkazníka, který je správcem dle GDPR zpracovává osobní údaje dotčených osob, město je tedy zpracovatel osobních údajů se správcem (příkazníkem) se uzavírá Smlouva o zpracování osobních údajů dotčených osob 19

20 Zapojení zpracovatelů město jako zpracovatel v případě poskytování hostované spisové služby a negarantovaného úložiště dokumentů obcím ve správním obvodu ORP uzavřena smlouva o poskytování cloudové spisové služby, součástí je provozní a bezpečnostní směrnice Technologického centra Karviná problematika poskytovatele digitální služby (!) dle ZoKB 20

21 Společní správci Poskytování informačních systémů (spisová služba, negarantované úložiště, ekonomický informační systém) příspěvkovým organizacím (software as a service SaaS) příspěvkové organizace určují účel a město diktuje prostředky a politiku informační a kybernetické bezpečnosti společně určují účel a prostředky zpracování = společní správci (čl. 26 Nařízení) RKK ZŠ a MŠ ZŠ a MŠ kompetence vymezeny organizačním řádem, směrnicí a koncepcí poskytování ICT služeb SSK Magistrát ZŠ a MŠ MDK 21

22 Děkujeme za pozornost 22