CO OBCE MOHOU UDĚLAT PRO GDPR UŽ NYNÍ?

Transkript

1 CO OBCE MOHOU UDĚLAT PRO GDPR UŽ NYNÍ? Praha,1.února 2018 Mgr. Miroslava Sobková Svaz měst a obcí České republiky

2 AKTUÁLNÍ OTÁZKY MENŠÍCH SAMOSPRÁV I. Úvod II. Stručný popis postupu při implementaci GDPR III. Jak na revizi vlastními silami IV. Vytvořit si přehledy se zdroji osobních údajů V. Co požadovat od dodavatelů SW produktů 2

3 ÚVOD 3 GDPR evropská směrnice o ochraně osobních údajů fyzických osob General Data Protection Regulation Účinná od 25. května 2018 Obec si musí zajistit pověřence pro ochranu osobních údajů, vést vést záznamy o činnostech zpracování Občan bude mít právo na výmaz a přenositelnost dat z evidencí a databází vedených obcí Právo na informace, zda a v jakém rozsahu zpracovávány osobní údaje

4 ÚVOD Definice podle obecného nařízení Osobním údajem je jméno a příjmení konkrétní osoby, příp. jakýkoli jiný údaj, který umožní konkrétní osobu ztotožnit např. telefonní číslo, ová adresa, bydliště, tedy veškeré údaje na základě kterých je fyzická osoba identifikovatelná, lze ji přímo či nepřímo identifikovat 4

5 5 ÚVOD

6 ÚVOD 6 Správcem je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů Zpracovatelem je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce Zpracováním jakákoliv operace s osobními údaji např. ukládání, nahlédnutí, vyhledávání

7 ÚVOD Pseudonymizace osobních údajů - proces skrytí identity, jehož účelem je mít možnost sbírat další údaje týkající se stejného jednotlivce, aniž by bylo nutné znát jeho totožnost. Údaje kódované pomocí klíče jsou klasickým příkladem pseudonymizace. Informace se týkají jednotlivců, kteří jsou označeni kódem, přičemž klíč spojující kódy s běžnými identifikátory těchto jednotlivců (jméno, datum narození, adresa apod.) se uchovává odděleně. Pseudonymizované osobní údaje nejsou anonymizovanými údaji, proto se na ně vztahuje obecné nařízení. 7

8 ÚVOD Fyzická osoba má právo na : 8 přístup ke svým osobním údajům přenositelnost osobních údajů opravu a výmaz osobních údajů právo podat námitku proti zpracování osobních údajů na omezení zpracování

9 II. STRUČNÝ POPIS POSTUPU PŘI IMPLEMENTACI Zaměřte se na činnosti, které provádíte a na dokumenty, se kterými je v rámci těchto činností nakládáno. Dále si vytvořte, nebo pokud existují, projděte a doplňte základní dokumenty úřadu organizační řád, řád nebo směrnice pro provoz výpočetní techniky a spisový řád. Dále se zaměřte na dokumentaci k provozovaným softwarovým produktům. 9

10 II. STRUČNÝ POPIS POSTUPU PŘI IMPLEMENTACI 10 1.určete pracovníka, který bude řešit implementaci Obecného nařízení do praxe úřadu. Výsledkem činnosti by mělo být zvládnutí revizi osobních údajů vlastními silami. připravit si např. seznam agend, které obec vykonává a kde jsou používány osobní údaje fyzických osob; Vytvoření nebo doplnění vnitřních předpisů např. organizační řád, řád pro provoz výpočetní techniky

11 II. STRUČNÝ POPIS POSTUPU PŘI IMPLEMENTACI Co si připravit? Pro přípravu revize osobních údajů, stanovení účelu jejího zpracování, analýzu procesů a analýzu rizik je potřebné si připravit následující informace a podklady např. dokumenty, smlouvy, seznam SW (software) produktů provozovaných obecním úřadem, kde se zpracovávají nebo evidují osobní údaje, např. na jakém PC, notebooku, tabletu SW instalován a kdo jej používá a kdo je také dodavatelem SW;

12 II. STRUČNÝ POPIS POSTUPU PŘI IMPLEMENTACI Připravit si seznam osob, které mají přístup k osobním údajům ze základních registrů, osoby, které mají přístup k CzechPOINTu, např. formou tabulky 12

13 Vzor III. JAK NA REVIZI VLASTNÍMI SILAMI 13

14 III. JAK NA REVIZI VLASTNÍM SILAMI - seznam klíčů k budově a komu byly přiděleny - seznam kódů k elektronickým zabezpečovacím zařízením 14

15 III. JAK NA REVIZI VLASTNÍMI SILAMI Zjistit a vytvořit seznam nařízení a pravidel úřadu, která jsou používána a jsou účinná. Minimálně by měla obec mít: Organizační řád Provozní řád informačního systému Spisový řád, který by měl obsahovat i seznam razítek 15

16 III. JAK NA REVIZI VLASTNÍMI SILAMI Součástí spisového řádu je spisový a skartační plán. Spisový a skartační plán obsahuje seznam typů dokumentů roztříděných do věcných skupin s vyznačenými spisovými znaky, skartačními znaky a skartačními lhůtami. Určení původci zasílají spisový a skartační plán příslušnému archivu bezodkladně po jeho vydání nebo změně. Příslušný archiv spisový a skartační plán uloží. 16

17 III. JAK NA REVIZI VLASTNÍMI SILAMI 17 Při zpracování spisového a skartačního řádu doporučujeme využít konzultace s příslušným archivem Oprávněné zničení dokumentu se prokazuje protokolem o provedeném skartačním řízení nebo protokolem o provedeném výběru archiválií mimo skartační řízení Zničení dokumentu bez provedení výběru archiválií je přestupkem

18 IV. VYTVOŘIT SI PŘEHLEDY A SEZNAMY 1. Vytvořit si seznam zdrojů s výskytem osobních údajů seznam by měl sloužit k přehledu, kde a jak jsou používány osobní údaje. Seznam by měl obsahovat: název zdroje např. doklad, evidence účel zpracování 18

19 IV. VYTVOŘIT SI PŘEHLEDY A SEZNAMY osobní údaje vyskytující se ve zdroji zákonnou normu, která opravňuje k evidenci a zpracování příjemce osobních údajů 2. Z elektronických i listinných zdrojů vytipovat ty, které obsahují osobní údaje a nejsou zpracovávány na základě zákonné normy nebo výkonu veřejné moci 19

20 III. JAK NA REVIZI VLASTNÍMI SILAMI 4. Prověřit veškeré listinné zdroje, v kterých se nacházejí osobní údaje tzn. projít veškeré evidence 5. Připravit platné pracovní smlouvy k revizi Pro zpracování naprosté většiny osobních údajů není nutný souhlas zaměstnance, přesto je doporučeno tento souhlas vyjádřit a to buď v pracovní smlouvě nebo formou dodatku 20

21 Pořadové číslo katalogového listu Pracovní místo Účel zpracování AGENDOVÝ LIST OÚ - Obecní úřad Pořadové číslo listu (může obsahovat i identifikátor např. EK-ekonomika, EV-evidence, SP-správní činnost atd.) Pracovní místo kde dochází ke zpracování OÚ Název, při kterém dochází ke zpracování OÚ Osobní údaje Souhlas subjektu údajů/ano/ne Subjekt údajů Zdroje osobních údajů Příjemce osobních Předání do zahraničí/ano/ne Druh zpracování Způsob zpracování Vyjmenování zpracováním dotčených osobních údajů Pokud existuje souhlas subjektu se zpracováním OÚ. Subjekt dotčený zpracováním OÚ Zdroj, který uvedl a poskytl osobní údaje Kdo (fyzická osoba, organizace) OÚ přijímá (bude k nim mít přístup) Jsou OÚ předávány do zahraničí (seznamy pro zájezdy, družební obce a následná komunikace, smluvní vztahy, fakturace a finanční operace, ) Jaký druh zpracování se bude s OÚ provádět Shromažďování, Zaznamenávání, Uspořádání, Strukturování, Uložení, Přizpůsobení nebo pozměnění dat, Vyhledávání, Nahlédnutí, Použití, Zpřístupnění, Výmaz nebo zničení Manuální práce s papírovými dokumenty, automatizované evidence a zpracování na PC (v sw prostředku) a uvést zda zpracování bude na úřadě nebo bude v cloudu (cloudových službách) 21

22 POKRAČOVÁNÍ AGENDOVÉHO LISTU OÚ Databáze (např. Excel) Informační systém Popis opatření k zajištění požadované ochrany osobních údajů Adresa zpracování, je li odlišná od sídla úřadu Informace získány (kdy) Pokud budou OÚ zaznamenány a zpracovávány v informačním systému obce nebo mohou být uloženy v nějaké lokální databázi např. Excel nebo jiné používané databázi. Jedná se o zabezpečení budovy, kanceláře, skříně (= EZS, zámky skříní, zámky kanceláří, bezpečností dveře). A i o bezpečnosti při zpracování na PC (hesla, antivirová ochrana + pravidla bezpečnosti VT uvedená ve směrnici úřadu) Pokud zpracování OÚ probíhá v jiné budově, než je budova úřadu uvede se adresa. Kdy byly OÚ zdrojem poskytnuty 22 Doba uchování dle Spisového a skartačního řádu Přístupová oprávnění Kdo má oprávnění (na úřadě) s OÚ pracovat (účetní starosta, správce)

23 II. STRUČNÝ POPIS POSTUPU PŘI IMPLEMENTACI Doporučení na základě analýzy je nutné realizovat v praxi a vytvořit si plán postupu nasazení Pravidelná revize včetně vzdělávání a školení obsluhy 23

24 III. JAK NA REVIZI VLASTNÍMI SILAMI 24 Pravidla pro přijímání petic a vyřizování stížností 7. Pro elektronické zdroje resp. informační systémy a programy je nutné ověřit: existenci dokumentace k IS a programům, které obecní úřad používá uživatelská a systémová příručka ověřit, zda systémová příručka obsahuje popis implementovaného systému nebo programu

25 III. JAK NA REVIZI VLASTNÍMI SILAMI licenční podmínky popis podpory uživatele (hot-line, postupy při pomoci) bezpečnostní podmínky popisy systémem vytvářených logů zprávy a výsledky testů a certifikací pokud úřad používá cloudové služby, měl by mít seznam aplikací, které obsahují osobní údaje 25

26 V. CO POŽADOVAT OD DODAVATELŮ SW A DOPLNĚNÍ VNITŘNÍCH PŘEDPISŮ Písemně se dotázat dodavatele IS a programů, zda jeho systémy budou včas na nařízení připraveny a že je připraven spolupracovat s pověřencem pro ochranu osobních údajů Dodavatelé by měli určitě zabezpečit: závazek spolupracovat s pověřencem pro ochranu osobních údajů zajistit splnění dostupnosti údajů a informací o zpracování pro subjekt údajů

27 V. CO POŽADOVAT OD DODAVATELŮ SW A IS A DOPLNĚNÍ VNITŘNÍCH PŘEDPISŮ 2. Smlouva by měla také obsahovat: jak budou zajištěny osoby oprávněné zpracovávat osobní údaje a jejich mlčenlivost jaké jsou podmínky pro zapojení dalšího zpracovatele dle nařízení 679/2016 jakým způsobem budou zajištěna práva subjektu 27

28 V. CO POŽADOVAT OD DODAVATELŮ SW A IS A DOPLNĚNÍ VNITŘNÍCH PŘEDPISŮ schopnost zajistit neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování schopnost obnovit dostupnost osobních údajů a přístup k nim včas v případě fyzických či technických incidentů (nahlášení incidentu 72 hodin na ÚOOÚ) proces pravidelného testování 28

29 Mgr. Miroslava Sobková