GDPR a města


Dle nového evropského nařízení GDPR se povinnost chránit osobní údaje subjektů vztahuje i na obce. Města a obce jsou správci velkého množství osobních údajů a je třeba, aby se na GDPR řádně připravili.

Účinnost nařízení za: 

 

ZPĚT NA HLAVNÍ STRÁNKU GDPR


Jak se připravit na GDPR?


  1. Seznámení se s GDPR
  2. Úvodní analýza
  3. Pověřenec pro ochranu osobních údajů (DPO)
  4. Analýza jednotlivých zpracování OÚ
  5. Implementace opatření u každého zpracování
  6. Stanovení / úprava interních procesů zpracování OÚ a souvisejících dokumentů
  7. Zavedení technických opatření
  8. Školení zaměstnanců - směrnice, procesy a nové technologie zavedené pro zabezpečení OÚ

Bezplatná konzultace

Máte zájem o bezplatnou konzultaci? Kontaktujte nás nebo nám zanechte svůj e-mail, my se vám ozveme.

Petr Nepustil K-net
Ing. Petr Nepustil
IT konzultant
 
+420 734 686 014
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.

Osobní údaje na MÚ


Osobní údaje, které městské úřady spravují lze v zásadě rozdělit do dvou skupin:

  1. Osobní údaje občanů
  2. Osobní údaje zaměstnanců města

Osobní údaje občanů

Městské úřady spravují velké množství osobních údajů svých občanů.

Při analýze osobních údajů je třeba se ptát:

  1. Jaké osobní údaje shromažďujeme
  2. Kde se osobní údaje nachází
    K jakým účelům se osobní údaje využívají
  3. Jak jsou osobní data zabezpečena
  4. Jak jsou nastavena procesní pravidla pro zpracování a předávání osobních dat

Vždy je na místě se ptát, jestli dané osobní údaje vůbec potřebujeme zpracovávat, pokud tato nutnost není, neměli bychom nepotřebná data skartovat a nadále je neshromažďovat.

Musíme rozeznávat, jaký důvod máme ke zpracování osobních údajů:

  1. Pro zpracování máme jako město zákonný důvod
  2. Většina zpracování osobních informacích na městských úřadech bude k naplnění zákonné povinnosti. Zpracování některých osobních informací ukládá například zákon č. 563/1991 Sb. o účetnictví, zákon 89/2012 Sb. o obcích, zákon č. 89/2012 Sb. občanský zákoník, a mnoho dalších. Konkrétně můžeme jmenovat například účely jako evidence smluv, správní rozhodování obce, ekonomické agendy, evidence psů, seznamy pro řízení školy a zajištění potřebných míst a další.

    V takovém případě souhlas ke zpracování osobních údajů nepotřebujeme

  3. Pro zpracování nemáme jako město zákonný důvod
  4. V tomto případě se jedná například o zasílání informačních SMS zpráv, poskytování bezplatné obecní wi-fi, info ostrůvky města, zveřejňování fotografií z vítání občánků.

    V takovém případě jsou souhlasy k zpracování osobních údajů zapotřebí.

Osobní údaje zaměstnanců

Osobní údaje zaměstnanců školy jsou neméně důležité a neměli bychom na jejich ochranu zapomínat.
Opět je na místě se ptát, zda všechny osobní údaje, které o svých zaměstnancích máme nezbytně potřebujeme. Dále se opět pídíme po účelu zpracování osobních údajů.

  1. Pro zpracování má škola jako zaměstnavatel zákonný důvod
  2. Osobní údaje potřebujeme pro pracovní smlouvu, účetnictví, pojištění atd., povinnost zpracovávat osobní údaje nám ukládá nějaký zákon.

    K takovému zpracování souhlas nepotřebujeme.

  3. Pro zpracování nemá město jako zaměstnavatel zákonný důvod
  4. V tomto případě se bude jednat například o zveřejňování osobních kontaktů na webu, zveřejňování nahrávek a fotografií zaměstnanců, vstupní formulář zaměstnance, ukazatel přítomnosti úředníka na webu (zelená tečka),…

    K takovému zpracování souhlas potřebujeme.

Specifika městských úřadů



Město jako zřizovatel

Jako MÚ nesmíme zapomínat ani na organizace, spolky a další instituce, jejichž jsme zřizovatelem. I v těchto oblastech se zpracovávají osobní informace, ať už ze zákonného důvodu či nikoli, a je třeba aby město dohlédlo na řešení GDPR a soulad s tímto nařízením.

Revize souhlasů a smluv

Pro soulad s GDPR bude nutné také revidovat smlouvy a souhlasy se z pracovním osobních údajů, většina z nich nebude požadavkům GDPR vyhovovat, proto je třeba všechny revidovat a nahradit ve znění, které je v souladu s GDPR.

GDPR celkem přesně definuje, jak by měl souhlas se zpracování osobních údajů vypadat. Souhlas musí být srozumitelný, v jednoduchém mateřském jazyce, jednoznačný, časově omezený, musí být samostatně vyjmenovány účely, pro které je souhlas udělován a musí být oddělen od všech smluv. Udělení souhlasu nesmí být ničím podmíněno.

GDPR ukládá správci povinnost zabezpečit osobní data subjektů i v případě poskytnutí těchto údajů třetím stranám, proto je třeba externí zpracovatele (účetní firma, správci IT infrastruktury, úklidové firmy, zahradnické služby, technické služby, …) prověřit z hlediska zabezpečení, nastavit pravidla pro zpracování a zabezpečení v případě nevyhovujících bezpečnostních opatření a nechuti revize smlouvy od takovéto smlouvy odstoupit.

Pověřenec pro ochranu osobních údajů

Města a obce mají povinnost bez výjimky zajistit Pověřence pro ochranu osobních údajů (DPO), jelikož jsou orgánem veřejné moci a těm GDPR jmenování pověřence nařizuje bez výjimky. Pověřenec musí být nezávislým garantem správného nakládání s OÚ a prostředníkem pro komunikaci s Úřadem pro ochranu osobních údajů či veřejností (případným stěžovatelem).

Kde Pověřence najdete?

Pověřencem pro ochranu osobních údajů může být jak externista, tak vlastní zaměstnanec. Pokud se rozhodnete vybrat Pověřence z řad zaměstnanců, musíte dbát na to, aby zaměstnanec v rámci svého pracovního zařazení nezpracovával osobní údaje, což může být v případě městských a obecních úřadů problém. Nesmíme ani zapomínat na to, že osoba vybraná na pozici Pověřence musí být k této práci kompetentní a musí se v problematice GDPR dále vzdělávat. Pověřence Externistu Vám můžeme poskytnout i my na přiměřeně dlouhou pracovní dobu. Důležité je, aby Pověřenec byla jedna fyzická osoba, jejíž jméno a kontakt bude veřejný a lehko dohledatelný pro veřejnost (např. na webu města, úřední vývěsky,…). GDPR umožňuje jmenovat jednoho pověřence pro více menších měst nebo obcí. Města mohou své pověřence také zprostředkovat svým organizacím, u kterých jsou zřizovatelem.

Nejčastější dotazy


Obec má Službu první pomoci (najímá lékaře pro tuto službu), podléhá toto jako služba města GDPR.
 
Ano, budete to muset řešit.
Kolik budeme potřebovat pověřenců, jednoho nebo dva?
 
Záleží od případu pro malé obce může jeden člověk být sdíleným pověřencem třeba pro dvacet obcí. Samozřejmě jeden člověk nezvládne být pověřencem v několika velkých firmách např ČSOB, O2, VZP, tam bude třeba celý tým lidí.
Kdo může být Pověřencem pro ochranu osobních údajů? Může to být například vedoucí pracovník IT oddělení?
 
Vedoucí IT oddělení určitě NE. Nikdo kdo s osobními údaji pracuje a má to v popisu práce nesmí být Pověřencem. Vedení musí být přímým nadřízeným Pověřence. Musí mít právní povědomí o GDPR, prozatím se chystá nějaký vzdělávací cyklus pro pověřence, ale prozatím není žádná certifikace a žádná omezen nejsou.
Jak se řeší souhlasy s webkamery v obci?
 
Pokud reálně poznám, kdo na záznamu je, jestli je auto na mém parkovacím místě nebo nahrávka obsahuje podobné osobní údaje, podle kterých lze osobu identifikovat, je možné webkamery mít, ale musíte mít souhlas pro publikování na webu. Pokud je to pro zabezpečení obecních prostor bez zveřejnění, souhlas nemusí být, musíte pouze zajistit viditelné upozornění na monitorování prostor.
MÚ vyžaduje, abychom měli na dveřích cedulku u lékaře, když opouštíme svoji kancelář a odcházíme k lékaři. Je to dle GDPR v pořádku?
 
Rozhodně ne, pokud jste nepodepsali souhlas, nesmí zaměstnavatel o vás zveřejňovat takovéto informace.
Neměla by být při udělování sankce zohledněna velikost obce?
 
Ano, samozřejmě malá obec s malým počtem obyvatel nedostane stejnou pokutu, jakou by dostala Praha, dopad úniku dat je v tomto případě menší, proto i sankce by měla být nižší.