Zodpovědná příprava na GDPR s IS Munis

Dne 25. května 2018 nabude účinnosti Nařízení Evropského parlamentu a Rady EU 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), pro které se často používá zkratka GDPR z anglického označení „General Data Protection Regulation“.

Příprava správců osobních údajů na toto nařízení je dlouhodobý proces, který určitě není vhodné odkládat, protože se týká celkového fungování organizace. Není to tedy jen otázka „nějakých“ úprav informačních systémů. Přesto jsou dodavatelé informačních systémů důležití partneři v tomto procesu. Dodavatel informačního systému Munis připravil pro své zákazníky významnou podporu, aby přípravu na GDPR spolehlivě zvládli.

Obecný úvod o GDPR

Transakční protokol dokumentu včetně událostí o nahlížení.
Transakční protokol dokumentu včetně událostí o nahlížení.

Zmíněné nařízení v prostředí České republiky navazuje na stávající ochranu osobních údajů danou zákonem č. 101/2000 Sb., o ochraně osobních údajů. Jedná se tedy o evoluci v této oblasti, která reaguje na postupný rozvoj informační společnosti a zvyšující se nároky na bezpečnost v oblasti kybernetického prostoru. Zaváděné změny lze dále vhodně zasadit do kontextu dalších předpisů, jako je např. zákon č. 181/2014 Sb., o kybernetické bezpečnosti, jehož přístupy jsou založeny na obdobných principech jako ochrana osobních údajů podle GDPR.

Osobní údaje mohou být podle čl. 6 GDPR zpracovány pouze v jasně daných případech. Projdeme si je.

  • Případy, kdy toto zpracování je nezbytné pro splnění smlouvy, nebo pro provedení opatření přijatých před uzavřením smlouvy. Jako příklad z oblasti měst a obcí lze uvést např. faktury a objednávky, které mohou obsahovat osobní údaje a jejichž zpracování vyplývá nejčastěji právě ze smluvních vztahů, i když to samozřejmě může být pokryto i některým jiným důvodem.
  • Případy, kdy toto zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje. Vhodným příkladem je třeba mzdová agenda nebo daňová evidence.
  • Případy, kdy toto zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce. Tento případ bude jednoznačně nejčastějším pro všechna města a všechny obce. V některých případech je složitější rozhodnutí, zda se v tom kterém konkrétním případě jedná o výkon veřejné moci nebo o splnění právní povinnosti, neboť již vlastní výkon veřejné moci vždy musí být (na základě ústavy) podložen zákonem. Jednoznačně nejvhodnější přístup je v tomto případě shodný s přístupem k definici orgánu veřejné moci, tedy s odkazem na jeden ze základních registrů veřejné správy – základní registr agend, orgánů veřejné moci, soukromoprávních uživatelů údajů a některých práv a povinností. Je-li pro danou činnost definována agenda v tomto registru, jde bezpochyby o výkon veřejné moci.
  • Případy, kdy toto zpracování je nezbytné pro účely oprávněných zájmů příslušného správce. Nejčastějším případem tohoto zpracování jsou různé kamerové systémy provozované za účelem ochrany majetku. Nicméně lze sem zahrnout i docházkové systémy, popř. další bezpečností systémy provozované uvnitř organizace. Dalším případem může být zdůvodněné pozastavení skartační operace, které může v oprávněných případech vést k prodloužení skartačních lhůt např. u zápisu jednání rady či zastupitelstva obce, pokud tyto zápis obec potřebuje ke své činnosti.
  • Případy, kdy zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby, jsou v oblasti měst a obcí velmi řídké.
  • Poslední možností jsou případy, které nejsou pokryty žádným z výše uvedených případů, což pak znamená, že subjekt údajů (ten, koho jsou to osobní údaje) musí dát souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů, aby tyto údaje vůbec mohly být zpracovávány. Problematika souhlasu je velmi složitá a nové nařízení definuje řadu povinných vlastností, které musí souhlas mít. Souhlas musí být srozumitelný a snadno přístupný za použití jasných a jednoduchých jazykových prostředků. Dále souhlas nesmí být vyžadován v případech, kdy je zpracování osobních údajů podloženo některým z výše uvedených případů. Pokud bychom tedy v případě obcí např. vyžadovali souhlas při zápisu do matriční knihy, budeme se dopouštět sankcionovatelného chování, neboť uvádíme subjekt údajů v omyl.

Z vyjmenovaných případů zpracování osobních údajů a uvedených příkladů jasně plyne, že problematika ochrany osobních údajů je hodně široká. A to zde byly zmíněny pouze případy, kdy je zpracování možné, a nikoliv celá řada dalších pravidel, které zpracování musí dodržovat. Protože odpovědnost za správné zpracování osobních údajů má vždy vedení dané organizace, přičemž této odpovědnosti se nelze zprostit a přenést ji třeba na zpracovatele, připravila společnost Triada nejen pro své zákazníky specializované semináře zaměřené na problematiku GDPR v oblasti měst a obcí.

IS Munis je připraven

Kontrola pokusů o nelegální přístup do modulů IS Munis.
Kontrola pokusů o nelegální přístup do modulů IS Munis.

Každý správce osobních údajů, tedy každé město i každá obec, bude muset dodržovat různé povinnosti plynoucí z GDPR. Často zmiňovanou povinností je jmenování pověřence pro ochranu osobních údajů. Avšak není to rozhodně jediná povinnost. Je třeba zejména analyzovat, kde všude se v organizaci osobní údaje zpracovávají a připravit hodnocení rizik těchto zpracování. Následně je třeba zavést vhodná opatření pro snižování těchto rizik. Informační systém Munis je připraven, aby vám v naplnění těchto cílů pomohl. Avšak v žádném případě nejsou uvedená opatření jen otázkou informačního systému. Musí být podložena vhodnými organizačními opatřeními, která by měla být vtělena do vnitřních směrnic. Přestože samo GDPR přípravu směrnic nevyžaduje, doporučuje se obecně tato cesta, jako nejjednodušší k naplnění stanovených požadavků.

Pro každé zpracování osobních údajů musí správce připravit tzv. záznam o činnostech zpracování, za něž odpovídá. V této souvislosti je také vhodné připomenout, že zpracování je poměrně široký pojem, který zahrnuje již nahlížení na osobní údaje, a že se to netýká jen automatizovaných zpracování v informačních systémech, ale také případných listinných evidencí. Např. matriční kniha v listinné podobě je zpracováním osobních údajů, u kterého hrozí různá rizika, jako např. zničení či zcizení. Vhodná opatření jsou v řádném uložení těchto knih v bezpečných uzamykatelných prostorách.

Vraťme se ale k záznamům o činnostech zpracování. Tyto záznamy mají podle čl. 30 nařízení obsahovat:

  1. Jméno a kontaktní údaje správce, což je tedy buď obec nebo obecní úřad podle toho, zda se jedná o místní nebo přenesenou působnost.
  2. Jméno a kontaktní údaje pověřence pro ochranu osobních údajů, který musí být jmenován každým orgánem veřejné moci, tedy včetně měst a obcí. Podstatné je v této souvislosti připomenout, že pověřenec pro ochranu osobních údajů může být sdílen více organizacemi, v případě obcí tedy minimálně danou obcí a jimi zřizovanými organizacemi, pokud také mají povinnost pověřence mít, což nyní padá též na všechny základní i mateřské školy.
  3. Účely zpracování, které jsou dány jednak zákonným důvodem a následně konkrétním účelem. Např. pro agendu místních poplatků vedenou v modulu Poplatky informačního systému Munis je zákonným důvodem výkon veřejné moci a účelem výběr místních poplatků dle příslušného zákona.
  4. Popis kategorií subjektů údajů a kategorií osobních údajů. Uveďme zde opět vhodný příklad, např. v modulu Evidence obyvatel informačního systému Munis je veden stálý seznam voličů, ve kterém jsou všichni obyvatelé s místem trvalého bydliště na území obce, kteří dovršili 18 let nejpozději druhý den konání voleb, což je popis kategorie subjektu údajů. O těchto občanech je vedeno jméno, příjmení, rodné příjmení, datum narození, místo trvalého bydliště a popř. informace o zbavení právní způsobilosti. To vše jsou kategorie osobních údajů, které jsou v dané agendě vedeny. Přesně takové popisy příslušných zpracování osobních údajů v jednotlivých modulech IS Munis vám dodavatel tohoto informačního systému samozřejmě poskytne, aby vám zjednodušil vaši přípravu na GDPR.
  5. Kategorie příjemců, kterým byly nebo budou osobní údaje zpřístupněny, včetně příjemců ve třetích zemích nebo mezinárodních organizacích. Mezi tyto příjemce na příkladu volebních seznamů patří jednak úředník pověřený jejich přípravou, ale také např. členové volební komise. Na tomto případě je jasně vidět, že vždy ti, kdo s danými osobními údaji pracují, nemusí být zároveň interní uživatelé daného informačního systému. Je však nezbytné, aby pro tyto uživatele systém disponoval řádným a přehledným nástrojem pro nastavení přístupových práv, aby se k daným údajům mohl dostat opravdu jen pověřený uživatel. Informační systému Munis má samozřejmě takové nastavení přímo ve svém jádru a o každém přiřazení či změně přístupových práv uživatelům zaznamenává údaje do transakčního protokolu pro zpětnou kontrolu.
  6. Informace o případném předání osobních údajů do třetí země nebo mezinárodní organizaci. Tyto případy budou na městech a obecních velmi výjimečné.
  7. Plánované lhůty pro výmaz jednotlivých kategorií údajů. V této souvislosti je třeba apelovat na revizi spisového plánu a jeho nezbytné přílohy – spisového skartačního plánu. Právě v něm musí být definovány příslušné lhůty. Pokud využíváte elektronickou spisovou službu Munis ERMS, bude pro vás přiřazování dokumentů nebo i samostatných evidencí do tohoto plánu velmi jednoduché a následné hlídání těchto lhůt již systém zajistí za vás.
  8. Obecný popis technických a organizačních bezpečnostních opatření, mezi která patří již zmíněné nastavení přístupových práv, ale také vhodná politika hesel, vnitřní směrnice zakazující, aby hesla nebyla napsána na okrajích monitorů nebo spodních stranách klávesnic, dále přikazující, aby při opuštění pracovního místa došlo k zamčení počítače a odhlášení se z aplikací, a mnoho dalších opatření. Informační systém Munis má aplikovánu veškerou podporu, aby vám usnadnil konkrétní implementaci uvedených pravidel. Avšak jejich dodržování musí být nezávisle kontrolováno vnitřními kontrolními procesy v organizaci.
Protokol nahlížení na osobní údaje v modulu Evidence obyvatel.
Protokol nahlížení na osobní údaje v modulu Evidence obyvatel.

Jak již bylo zmíněno, je informační systém Munis připraven na GDPR, přičemž pro následující rok je plánováno další rozšíření funkcí pro snazší výkon práv subjektu údajů, které GDPR přináší. Obrázky u tohoto příspěvku dokládají, jak informační systém Munis pečlivě a spolehlivě sleduje každou práci uživatelů s osobními údaji, včetně případných pokusů o nelegální přístup.

Konkrétní kroky, které je třeba realizovat, vždy závisí na situaci dané organizaci, její velikosti, počtu agend, rozsahu výkonu přenesené působnosti a obdobných atributech. Dodavatel informačních systému Munis je připraven nabídnout svým uživatelům potřebnou součinnost a pomoc se všemi kroky přípravy. Z principu bezpečnosti informačních systémů se doporučuje nepodcenit zejména následující oblasti:

  • adekvátní nastavení přístupových práv a vhodnou politiku hesel,
  • pravidelné aktualizace systému,
  • zálohování, jehož výsledkem jsou ověřené, šifrované a bezpečně uložené zálohy.

Jde pouze o zlomek všech potřebných opatření, avšak soustředili jsme se zde zejména na ty, se kterým vám může pomoci váš dodavatel informačního systému. V každém případě platí, že přípravu na GDPR není vhodní podceňovat. Pokud jste dosud s přípravou nezačali, tak to rozhodně neodkládejte.