Source: https://www.profant.eu/assets/md/gdpr-analyza.html
Timestamp: 2018-12-14 01:09:41+00:00

Document:
Předmluva | Blog Ondřeje Profanta
Pojednává-li se o dopadech, lze počítat s jistou pravděpodobností, že horní hranice pokut bude pro orgány veřejné moci či veřejným subjektům stanovena na 10 milionů Kč. Tak je to stanoveno v návrhu zákona o zpracování osobních údajů(dále jen „doprovodný zákon“)1, zpracovaného na základě zmocnění v GDPR. Dají se ovšem očekávat pozměňovací návrhy rušící tento „dvojí metr“ ve vztahu k soukromému sektoru2, nelze však ani vyloučit přijetí rakouského modelu, kde orgány veřejné moci a veřejné subjekty pokutám nepodléhají vůbec3.
Nutno zmínit i dopady na poli elektronických komunikací v dlouhodobějším horizontu. V tuto chvíli i v době účinnosti GDPR se toto bude vztahovat i na elektronické komunikace. V legislativním procesu je ovšem tzv. nařízení e-privacy4, které bude sloužit jako speciální právní úprava a je možné, že si vyžádá dílčí implementační změny poté, co také nabude účinnosti (odhady jsou na několik měsíců až po dva roky legisvakace, která je některými zájmovými skupinami požadována). S působením územní samosprávy se ovšem sféra elektronických komunikací protíná jen okrajově, takže rozhodně nepůjde o nutnou změnu významnějšího rozsahu.
Pro samosprávy, které jsou před zahájením této fáze, je velmi dobrou zprávou, že v brzké době budou mít připraveny vzorové materiály pro provádění datové analýzy (resp. terminologií Ministerstva vnitra „systémové analýzy“)5. Na základě dohody ÚOOÚ a resortů by se totiž měly jednotlivé resorty věnovat přípravě na účinnost GDPR (tedy zejména metodickému vedení) ve své působnosti. Koordinační roli má plnit Ministerstvo vnitra, které je zároveň gesčním resortem pro územní samosprávu.
Web ÚOOÚ (https://www.uoou.cz/oblasti-zpracovani-osobnich-udaju/ds-1267/p1=1267#ob5), z něhož lze využít základní přehled hlavních předpisů upravujících nakládání s osobními údaji a porovnat jej se svými agendami anebo vlastní dobrovolně zpracovaný přehled evidence osobních údajů zpracovaný v rámci povinně zveřejňovaných informací dle informačního zákona6,
Obsazení pozice pověřence (DPO) si u obcí žádá zejména kapacitu na rozhodnutí o formě zapojení (externí výkon/zaměstnanec) a jeho začlenění v rámci organizační struktury a případné provedení výběrového řízení/kontraktaci externího pověřence či jeho výběr z nabízených sdílených služeb pro územní samosprávy. V současnosti je k dispozici dostatek podkladů7, které účinně objasní možnosti a podmínky ustanovení a fungování pověřence:
a) Pověřence je povinna ustavit každá obec bez ohledu na velikost a příspěvková organizace, která rozhoduje o právech a povinnostech (např. školy) nebo která provádí rozsáhlé zpracování citlivých osobních údajů anebo pravidelné systematické monitorování (např. dopravní podniky). Výslovně dle Ministerstva vnitra nemusí mít pověřence knihovny či technické správy komunikací8. Doprovodný zákon, který je aktuálně v legislativním procesu, definuje v důvodové zprávě příspěvkové organizace (s výjimkou škol, které rozhodují o právech a povinnostech) jako „pomocné“ subjekty, které pověřence mít nemusí. Definitivní podoba doprovodného zákona však v tuto chvíli jasná není – je navržen do zrychleného projednávání v parlamentu, avšak není jisté, že se mu pozměňovací návrhy vyhnou,
c) Zda může zpracovatel do úvah zahrnout i eventuální požadavky jiných právních předpisů, na prvním místě zákona o kybernetické bezpečnosti, pokud mu daná územní samospráva podléhá – tento zákon obsahuje požadavky na povinné smluvní klauzule s poskytovateli cloudových služeb9,
Zmapování nestrukturovaných dat (zejména e-maily, souborové servery, soubory v cloudových řešeních jako SharePoint či interní komunikační kanály) není neobvyklé (v instituci to bývá více než 50% dat) a týká se alespoň zjištění povahy osobních údajů v nich, zejména zda se tam nachází citlivé osobní údaje, a posuzuje se vhodnost nasazení speciálních softwarových nástrojů pro jejich mapování (obvykle výhledově, jsou dost nákladné), hlídá se indexování či i korekce010 anebo řešení interními jednoduchými opatřeními (viz dále část pojednávající o možnostech u nejčastějšího typu těchto dat - e-mailů),
procesy v případech nových institutů GDPR resp. i staronových, kde se právní úprava neplnila dokonale: co, kdo, kdy koná v případě realizace práv subjektů údajů na přístup, výmaz, opravu111,
d) s tím souvisí doporučení WP 29 týkající se zpracování osobních údajů v zaměstnání212, kde se u různých typů zpracování a technologií opakovaně zdůrazňuje právo zaměstnanců na zachování ochrany soukromého života i v zaměstnání. Kontrola zaměstnavatele, co do obsahu korespondence, aktivit online apod. je i na zařízeních zaměstnavatele nutně omezená. Zájmy zaměstnavatele doporučuje WP29 zohlednit řešením, které se jeví velmi praktické a lze doporučit zavést i u zaměstnavatelů - územních samospráv, a to vyhradit zaměstnancům určitý prostor (na pevném disku, ve složce pošty apod.) pro soukromé aktivity, kam je přístup zaměstnavatele omezený, zatímco v ostatním bude právo zaměstnavatele na kontrolu vyšší.
(2) Účelem zpracování je ____
Zpracovatel může pověřit určitými operacemi zpracování /zpracováním jiného dalšího zpracovatele (subkontraktovat). V tomto případě je povinen předem správce písemně informovat o zamýšlených detailech svěření zpracování dalšímu zpracovateli. Toto oznámení musí zejména zahrnovat informace, jaké operace zpracování jsou subkontraktovány, jméno a účinné kontaktní údaje dalšího zpracovatele a časové podmínky subkontraktu. Správce může ve lhůtě __ týdnů od doručení tohoto oznámení zakázat zamýšlené subkontraktování; pokud se nevyjádří, předpokládá se, že souhlas k subkontraktování udělil/neudělil.
(1) Zpracovatel je oprávněn zapojit __ (jméno, kontakty, identifikace) coby dalšího zpracovatele ve smyslu čl. 28 GDPR k zajištění těchto operací zpracování: ______
Pokud subjekt údajů zašle požadavek na využití některého z práv shora uvedených zpracovateli, zpracovatel jej zašle bez zkoumání oprávněnosti bez prodlení/do___ správci na kontaktní e-mail/jiný prostředek komunikace_____ .
Zpracovatel se zavazuje oznámit správci jakékoli porušení zabezpečení osobních údajů (dále jen „incident“) nejpozději do__hodin *(max. 72 hodin pro správce od jeho informování)* na *kontaktní e-mail/jiný prostředek komunikace* ____ . K tomuto oznámení je zpracovatel povinen připojit veškerou dokumentaci ev. ji jinak zpřístupnit správci.
Návrh nařízení o respektování soukromého života a ochraně osobních údajů v elektronických komunikacích a zrušení směrnice č. 2002/58/ES, online: http://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:52017PC0010 ↩
Např. město Černošice: http://www.mestocernosice.cz/e_download.php?file=data/editor/69cs_3.pdf&original=106-evidence_osobnich_udaj%C5%AF_101.pdf ↩
Stanovisko WP 29 k pověřenci č. 2/2017 Zpracování osobních údajů na pracovišti (https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=28294), Metodické doporučení MV k pověřenci (http://www.mvcr.cz/gdpr/clanek/temp002.aspx) ↩
obsahuje § 4 odst. 5 zákona o kybernetické bezpečnosti ↩
bezprostředně před tiskem MV ČR uveřejnilo tzv. Checklisty pro obce, které nabízí ucelené vodítko zejména pro menší obce; online: http://www.mvcr.cz/gdpr/clanek/kontrolni-seznamy-checklisty-pro-obce.aspx ↩
Enterprise Vault, Data Insight apod. ↩
Zejm. § 4b odst. 2 zákona č. 106/1999 Sb., o svobodném přístupu k informacím ↩
tzv. Metodické doporučení k pověřenci, online: http://www.mvcr.cz/gdpr/clanek/poverenec-pro-ochranu-osobnich-udaju-poverenec-pro-ochranu-osobnich-udaju.aspx ↩
Vhodnou pomůckou pro naplánovaní procesů může být materiál Svazu měst a obcí pro implementaci GDPR nazvaný Karta procesu (online ke stažení pro členy SMO na www.smo.cz) ↩
Stanovisko WP 29 č. 2/2017 ke zpracování osobních údajů v zaměstnání ↩
čl. 13 - 17 GDPR, případně též práva na omezení zpracování dle čl. 18 GDPR (práva na přenositelnost, námitka proti zpracování či proti automatizovanému zpracování nebudou u obcí ve většině případů relevantní) ↩
stanovisko WP 29 č. 2/2017 ke zpracování osobních údajů na pracovišti, online: https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=28680 ↩

References: čl. 28
 § 4
 § 4
 zákona č. 106

čl. 13
 čl. 18