Ohlédnutí za projektem GDPR v rámci VŠ. Miroslav Bartošek Masarykova univerzita

Transkript

1 Ohlédnutí za projektem GDPR v rámci VŠ Miroslav Bartošek Masarykova univerzita

2 1 Projekt CRP-GDPR CRP Centralizované rozvojové projekty VŠ Program MŠMT vyhlašovaný každoročně na určitá témata, jen pro VVŠ Cíl: přispět k naplňování priorit Dlouholetého záměru Roční projekty, sdílení kapacit a vytváření sítí VŠ Kategorie CRP 18+ Vyhlášená témata: pro rok 2018 aktivita d) Plnění požadavků stanovených obecně závaznými právními předpisy Komplexní řešení ochrany osobních údajů v prostředí VŠ Řešitel Masarykova univerzita (Bartošek) Zapojeno všech 26 VVŠ Projekt CRP C Dotace 15,2 mil Kč 2 GDPR - rok poté,

3 2 Východiska Připravit a implementovat komplexní řešení ochrany osobních údajů dle požadavků evropského nařízení GDPR ve všech 26 VVŠ ČR Většina VŠ žádné představy jak na to, ani potřebné kapacity MU jako leader, na kterého ostatní spoléhají, určité zkušenosti ÚVT MU: Projekt FR CESNET Pilotní ověření metodiky GDPR v IT prostředí (2017/ /03) IS MU: příprava řešení pro studijní inf-systémy (C ) Komplexní řešení ve smyslu ucelené (všechny podstatné části), nikoliv kompletní (všechny možné případy) Málo času (magické datum )! 3 GDPR - rok poté,

4 3 Cíle 1. Zajistit, aby k datu účinnosti GDPR byli účastnící schopni prokázat základní shodu v klíčových oblastech 2. Analyzovat a implementovat opatření pro všechny zásadní systémy a oblasti zpracování osobních údajů 3. Spojit síly ke společnému postupu při návrhu a nasazení první verze Komplexního řešení 4. Vytvořit základy pro dlouhodobou spolupráci VVŠ v dané oblasti Splněno, Podrobná textová zpráva o řešení (40 stran) 4 GDPR - rok poté,

5 4 Postup řešení Zapojeno všech 26 VVŠ, ale jen málo tvůrčích spoluřešitelů Koordinace (MU) + 8 pracovních skupin Právo (MU) Interní legislativa a personální zajištění (UPOL) Metodiky (UPa) Registr (MU) Služby osobám se specifickými požadavky (MU) Vzdělávání a informovanost (ZČU) Informační systémy (ČVUT) Výzkumná data (MU) 5 GDPR - rok poté,

6 4 Postup řešení Pracovní skupiny paralelní řešení (občas překryvy) Valné hromady koordinace, předávání výstupů, další postup Praha (přípravná), Pardubice (ustanovující), Pardubice (pracovní), Pardubice (před účinností GDPR) Brno (závěrečná + workshop k výzkumným datům) ová konference operativní komunikace Projektový web dokumenty, výstupy, aktuality, diskuse 6 GDPR - rok poté,

7 4 Projektový web 7 GDPR - rok poté,

8 4 Projektový web 8 GDPR - rok poté,

9 4 Projektový web 9 GDPR - rok poté,

10 5 Komplexní řešení 10 GDPR - rok poté,

11 6 Výstupy 1. Přehled o činnostech 2. Identifikace klíčových systémů 3. Právní posouzení 4. Interní legislativa 5. Personální zajištění 6. Metodiky a doporučení 7. Registr zpracování OÚ 8. Posouzení, implementace 9. Výzkumná data 10. Dokumentace 11. Vzdělávání a informovanost 12. Životní cyklus inf-systémů 13. Dlouhodobá spolupráce 11 GDPR - rok poté,

12 6.1 Právní posouzení, ML Právní analýzy GDPR a ochrana osobních údajů v inf-systémech VVŠ Posouzení vlivu na ochranu osobních údajů (DPIA) Office 365 a GDPR Google Suite for Edu soulad s GDPR Aktuální stav právní úpravy ochrany OÚ k datu Metodické listy (MU) Mapování činností zpracování OÚ Smlouvy se zpracovateli Souhlas se zpracováním OÚ Povinnosti při výkonu spisové služby Používání fotografických a AV záznamů Uplatnění práv subjektu údajů Postup při porušení zabezpečení OÚ Doporučení pro používání datových úložišť 12 GDPR - rok poté,

13 6.2 Interní legislativa Směrnice Směrnice VŠ k OÚ, Desatero pro zaměstnance Specifické rozbory a doporučení Zpracování OÚ uchazečů o studium, studentů, absolventů a nestudentů Kamerové systémy veřejných vysokých škol Zabezpečení referentských počítačů součástí VVŠ Zpracování osobních údajů v oblasti celoživotního vzdělávání Zpracování osobních údajů studentů se specifickými potřebami Údaje zveřejňované VVŠ na www-stránkách z pohledu ochrany OÚ Marketing VVŠ ve vztahu ke zpracování osobních údajů Spisový a skartační řád na VVŠ optikou nařízení GDPR Ochrana osobních údajů v oblasti personalistiky Fórum pověřenců VVŠ Schůzky 2x ročně 13 GDPR - rok poté,

14 6.3 Metodiky Překryvy s prací a výstupy dalších pracovních skupin M01 Doporučení pro vypořádání práv a požadavků SÚ M02 Postup při porušení zabezpečení OÚ M03 Doporučení k souhlasům M04 Pořizování a zveřejňování fotografií M05 Posouzení vlivu zpracování na ochranu OÚ M06 Prvotní posouzení rizikovosti zpracování OÚ M07 Test proporcionality M08 Analýza rizik M09 Životopisy Šibeniční termín účinnosti vedl k hektickému pracovnímu nasazení, které mělo za následek některé nedostatky ve vytvořených materiálech nebo paralelní zpracování podobných témat více skupinami. Po nabytí účinnosti pocit sounáležitosti a ochoty sdílet zkušenosti mírně polevil. I poté však vznikly cenné a využitelné materiály, jejichž vzniku určité zklidnění situace naopak prospělo. 14 GDPR - rok poté,

15 6.3 Metodiky předchází zahrnuta zahrnuta Metodika 05 Posouzení vlivu na ochranu osobních údajů Metodika 06 Prvotní posouzení rizikovosti Metodika 07 Test proporcionality Metodika 08 Ohodnotenie rizík Metodika 05 ( ) - šablona popisuje ilustrována Oprávněný zájem I samostatně použitelná ulehčena Metodika 08 ( ) XLS šablona pro vyhodnocení ilustrována Metodika 05 ( ) - příklad vyplnění Metodika 06 ( ) - příklad vyplnění ilustrována 15 GDPR - rok poté,

16 6.4 Vzdělávání a informovanost Informační segmenty segmenty textu k základním pojmům a postupům v Mark Down (exporty pdf, html, docx) Privacy Policy vzory veřejných webových informací ke zpracování a ochraně OÚ na VŠ Příručka pro zaměstnance tištěná a elektronická příručka pro zaměstnance VŠ pro všechny zapojené VŠ E-learningový kurz Moodle-kurz pro prvotní proškolení zaměstnanců (přístup na ZČU nebo lokální) Animovaná vzdělávací videa krátká 3min animovaná videa; youtube kanál Sbírka cizích materiálů v AJ videa od cizích autorů v angličtině 16 GDPR - rok poté,

17 6.4 Vzdělávání a informovanost 17 GDPR - rok poté,

18 6.4 Vzdělávání a informovanost 18 GDPR - rok poté,

19 7 Zhodnocení projekt přínosný Projekt přínosný, cíle i výstupy naplněny Jen částečné naplnění u Dlouhodobé spolupráce Fórum pověřenců platforma pro výměnu zkušeností Pokračovací projekt nepodán nutný delší odstup a zkušenosti z praxe Vysoce pozitivní hodnocení od účastníků projektu: Zároveň bych Vám ráda poděkovala za neskutečnou práci, kterou jste vykonal a pomoc a podporu ostatním VŠ a zároveň cítím tak trochu potřebu se omluvit, že jsme aktivně nepřispívali, nicméně vzhledem k velmi omezené personální kapacitě na GDPR u nás jsem ráda, že se zvládlo alespoň to základní. S veškerou upřímností mohu za sebe říci, že bez Vaší podpory a podpory ostatních členů pracovních skupin bychom u nás nezvládli ani to, co se alespoň dosud podařilo. (spoluřešitelka z jedné VŠ) 19 GDPR - rok poté,

20 7 Zhodnocení zkušenosti 1. Bezbřehost problematiky --x-- nebylo moc o co se opřít 2. Umocněno -- Občas přehnaným alibistickým přístupem -- Rozdílnými (někdy až protichůdnými) názory 3. Neexistuje žádné jedině správné řešení 4. Je těžké uchovat si zdravý rozum a najít správný balanc 5. Preferovat jednoduchá řešení, zaměřit se na podstatné věci 6. Hledání shody je velmi zdlouhavá záležitost 7. GDPR je běh na dlouhou trať 20 GDPR - rok poté,

21 7 Zhodnocení na závěr GDPR a zdravý rozum Stručně řečeno, zdravý rozum není pramenem práva. Avšak výklad by se jim měl určitě řídit. Bylo by nanejvýš nešťastné, kdyby se ochrana osobních údajů měla přeměnit na obstrukci prostřednictvím osobních údajů. Generální advokát CJEU Michal Bobek ve svém Stanovisku ve věci C-13-16, předneseném dne 26. ledna Citováno z prezentace Karla Neuwirta na Fakultě informatiky MU dne Perlička na závěr V. Šmíd. Jak si Masarykova univerzita poradila s ochranou osobních údajů. Zpravodaj ÚVT MU, červen GDPR - rok poté,

22 Dotazy? Miroslav Bartošek, ÚVT MU 22 GDPR - rok poté,