Source: https://www.uoou.cz/kontrola-plneni-povinnosti-spravce-pri-zabezpeceni-osobnich-udaju-zadatelu-o-davky-a-zamestnancu-mpsv-a-uradu-prace-cr-ministerstvo-prace-a-socialnich-veci/ds-4461/archiv=1&p1=3958
Timestamp: 2020-04-06 12:29:38+00:00
Document Index: 57931239

Matched Legal Cases: ['zákona č. 101', 'zákona č. 101', '§ 6', 'zákona č. 101', '§ 6', 'zákona č. 101', '§ 13', 'zákona č. 101', '§ 13', '§ 13', 'zákona č. 101', '§ 13', 'zákona č. 101', '§ 13', '§ 13', 'zákona č. 101', '§ 45', 'zákona č. 101']

Kontrola plnění povinností správce při zabezpečení osobních údajů žadatelů o dávky a zaměstnanců MPSV a Úřadu práce ČR (Ministerstvo práce a sociálních věcí): Téma I - Svět bez soukromí: Úřad pro ochranu osobních údajů
Kontrola MPSV a společností (Fujitsu a VITSOL) byla zahájena na základě pokynu předsedkyně Úřadu reagujícího na podnět Národního bezpečnostního úřadu. Z obsahu podnětu vznikala obava ze zneužití zálohovaných dat ministerstva a úřadů práce v externích datových centrech, z jejich řádného vrácení a nevratné likvidace společnostmi (zpracovateli podle zákona č. 101/2000 Sb.).
MPSV přistoupilo k Prováděcí smlouvě (smlouva uzavřená Ministerstvem vnitra ČR se společností Fujitsu), na jejímž základě došlo k modifikaci smluvního vztahu postupným uzavíráním dodatků. Předmětem dodatků byl závazek společnosti poskytovat ministerstvu a úřadům práce služby, spočívající v poskytování pronájmu výpočetní kapacity v externích datových centrech, na nichž byly provozovány nejen informační systémy zajišťující výplaty nepojistných sociálních dávek a dávek státní politiky zaměstnanosti, ale i informační systémy pro Identity management a elektronickou spisovou službu ministerstva a úřadů práce. Uvedené služby pak pro Fujitsu zajišťovala společnost VITSOL.
Z obsahu podnětu vznikla obava, že při ukončení smluvního vztahu ministerstva se společnostmi by mohlo dojít ke zneužití zálohovaných dat v externích datových centrech, z jejich řádného vrácení a nevratné likvidace dat. Aby kontrolující eliminovali reálné riziko, vydali Rozhodnutí o nařízení předběžného opatření. Společnostem tak bylo nařízeno zdržet se a zabránit jakékoliv činnosti, která by vedla ke změně či výmazu dat (osobních údajů žadatelů sociálních dávek, zaměstnanců a souvisejících provozních dat MPSV a úřadů práce).
V souvislosti s výše uvedeným byla kontrola zaměřena na plnění povinností ministerstva při zabezpečení osobních údajů žadatelů o dávky a zaměstnanců, zejména pak na přijetí technicko-organizačních opatření při ukončení smluvního vztahu se společnostmi při procesu řádného vrácení veškerých zálohovaných dat MPSV, úřadů práce, nevratné likvidace osobních údajů a dále přijetí opatření při kontrole přístupů k záznamům o činnostech se zálohovanými daty v externích datových centrech (k tzv. logům).
Společnosti v datových centrech zálohovaly (zpracovávaly) velký rozsah osobních údajů nejen žadatele o sociální dávky, který je nezbytný shromažďovat a dále zpracovávat za účelem přiznání jednotlivých dávek (např. jméno, příjmení, rodné příjmení, datum a místo narození, rodné číslo, adresa bydliště, telefon, e-mail, datová schránka, číslo občanského průkazu, číslo cestovního dokladu, číslo karty sociálního systému, číslo bankovního účtu), ale i některých osobních údajů společně posuzovaných osob žadatele o příspěvek či dávku. Dále v souladu se zákonem č. 329/2011 Sb., o poskytování dávek osobám se zdravotním postižením a o změně souvisejících zákonů, byly zálohovány i citlivé údaje vypovídající o zdravotním stavu žadatele (zdravotní postižení). V souvislosti se správou informačních systémů pro Identity management a elektronickou spisovou službu byly v externích datových centrech zálohovány i další osobní údaje (zaměstnanců MPSV a úřadů práce).
Podle Nařízení vlády č. 432/2010 Sb., o kritériích pro určení prvku kritické infrastruktury, se řadí informační systémy ministerstva mezi kritické systémy, a proto je nezbytné, aby správci takovýchto systémů důsledně plnili povinnosti při zabezpečení osobních údajů. V případě, kdy ministerstvo jako správce dle zákona č. 101/2000 Sb. pověří zpracováním osobních údajů zpracovatele (společnost), musí postupovat v souladu s § 6 zákona č. 101/2000 Sb. Toto ustanovení zákona deklaruje, že: „Pokud zmocnění nevyplývá z právního předpisu, musí správce se zpracovatelem uzavřít smlouvu o zpracování osobních údajů. Smlouva musí mít písemnou formu. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.“
Kontrolující vyhodnotili obsah smluvních ujednání ministerstva se společností Fujitsu, zejména Prováděcí smlouvu a její postupně uzavírané dodatky. Tyto nejenže neobsahovaly záruky společnosti (zpracovatele) o technickém a organizačním zabezpečení ochrany osobních údajů, ale neupravovaly ani konkrétní postupy a opatření smluvních stran při ukončení smluvního vztahu v souvislosti se zpracováním osobních údajů. Ministerstvo tak porušilo citované ustanovení § 6 zákona č. 101/2000 Sb.
Dále se kontrolující zaměřili na plnění povinnosti ministerstva při zabezpečení osobních údajů žadatelů o dávky a dalších posuzovaných osob zálohovaných v datových centrech. Podle § 13 odst. 1 zákona č. 101/2000 Sb. je „správce a zpracovatel povinen přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů.“ Podle odst. 2 téhož ustanovení zákona je „správce nebo zpracovatel povinen zpracovat a dokumentovat přijatá a provedená technicko-organizačních opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy.“ Odst. 4 písm. c) § 13 citovaného zákona ukládá správci nebo zpracovateli povinnost „pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány.“
Kontrolující vyhodnotili zjištěný stav a konstatovali, že v průběhu ukončování služeb se společnostmi, ministerstvo v souvislosti s vrácením záloh a likvidací dat přijalo dostatečná technicko-organizační opatření ve smyslu ustanovení § 13 odst. 1 odst. 2 zákona č. 101/2000 Sb.
Podle smluvních ujednání se společnostmi nemělo ministerstvo přístup k záznamům o činnosti se zpracovávanými daty v datových centrech (k tzv. logům). Ze strany MPSV jako správce tak bylo nezbytné přijmout podle § 13 odst. 1 zákona č. 101/2000 Sb. opatření související s pravidelnou kontrolou oprávněnosti přístupů k datům uloženým v datových centrech. Kontrolou bylo zjištěno, že během trvání smluvního vztahu, tj. od přistoupení k Prováděcí smlouvě, ministerstvo neplnilo kontrolní činnost směrem k ustanovení § 13 odst. 4 písm. c), a tím porušilo povinnost vyplývající z § 13 odst. 1) zákona č. 101/2000 Sb., a v důsledku tak ztratilo průběžnou kontrolu nad nakládáním s produkčními daty zálohovanými v externích datových centrech.
Kontrolující se v rámci provedené kontroly zaměřili i na přijetí opatření při likvidaci osobních údajů v datových centrech v souvislosti s ukončením smluvního vztahu se společnostmi. MPSV spolu se společnostmi stanovilo jednoznačný postup pro likvidaci dat a kontrolující konstatovali, že provedená opatření, na nichž se MPSV aktivně podílelo, znemožnilo zneužití dat před jejich smazáním a vybraný způsob smazání dat zaručoval vysoký stupeň účinné likvidace dat.
Za spáchání správního deliktu dle § 45 odst. 1 písm. h) zákona č. 101/2000 Sb. Úřad ministerstvu uložil pokutu ve výši 150.000 Kč.
Umístění: Složky dokumentů > Mapa stránek > Hlavní menu > Dozorová a rozhodovací činnost > Ukončené kontroly > Kontroly za rok 2016 > Kontrolní činnost podle zákona o ochraně osobních údajů - 1. pololetí > Kontrola plnění povinností správce při zabezpečení osobních údajů žadatelů o dávky a zaměstnanců MPSV a Úřadu práce ČR (Ministerstvo práce a sociálních věcí)