GDPR - Ochrana osobních údajů při provozování programu STEREO

Dotaz:

Informace pro uživatele programu STEREO v souvislosti s evropskou směrnicí GDPR

Řešení:

Z pohledu GDPR je třeba řešit tyto oblasti:
- zabezpečení uložení dat
- zamezení uložení údajů mimo zabezpečená úložiště (zálohy dat nebo ukládání sestav na přenosná úložiště, externí disky, notebooky)
- nastavení pravidel přístupu k údajům
- dostatečné informování fyzických osob o zpracovateli dat a nakládání s osobními údaji
- záznamy o tom, kdo s údaji nakládá a jakým způsobem
- správné nastavení smluv mezi správcem dat a případnou třetí stranou

Řada věcí je organizačního charakteru, některé se však dotýkají IT řešení.

Používání softwaru STEREO ve vztahu k ochraně osobních údajů a nařízení GDPR se dotýká těchto oblastí:
- zabezpečení dat
- nastavení pravidel přístupu k údajům a pravidel jejich správy
- práv subjektů údajů a možností uživatele programu na ně reagovat

Zabezpečení dat

Data v programu STEREO jsou uložena v databázi BDE (Borland Database Engine), která není šifrovaná. Soubory databáze jsou uoženy na disku ve složce, ke které musí mít uživatel přidělen přístup.

Je třeba zajistit, aby data byla uložena v dostatečně chráněných úložištích.

- u programu používaného na jednotlivých počítačích (bez sdílení dat v síti) můžete umístit data programu (případně i program) na šifrovaný disk, popřípadě šifrovat jen složku. Systémové šifrování disku je možné ve Windows v licencích pro profesionální použití (Windows 7 Enterprise a Ultimate, Windows 10 Pro) nebo pomocí programů třetích stran. Další možností je dostatečně chránit zařízení před ztrátou nebo zneužitím či přístupem nepovolaných osob

- při sdílení dat v síti je třeba data chránit nastavením práv přístupu k síťovým složkám, fyickým zabezpečením přístupu k serverům nebo šifrováním úložišť a nastavením práv uživatelů programu

Nastavení pravidel přístupu k údajům a pravidel jejich správy

STEREO umožňuje nastavit přístup do programu jednotlivým uživatelům pomocí jména a hesla a přidělovat jim oprávnění, která odpovídají jejich funkci.

Uživatel programu, který má právo přístupu k datům konkrétní firmy, si může její údaje zobrazit, případně vyvořit soubor pro náhled sestav nebo elektronické podání formulářů a export dat do souboru. Exporty datových souborů je možné zakázat v nastavení práv uživatele v programu.

Povinností správce a zpracovatele dat je mimo jiné minimalizovat dobu zpracování dat. S tím je spojená potřeba vymazat data, pro jejichž zpracování není důvod nebo doba potřebná k jejich uchovávání už vypršela. Program STEREO umožňuje smazání zpracovávaných firem včetně jejich dat nebo smazání jednotlivých formulářů, pro jejichž zpracování už není důvod. Používáním funkce Datová uzávěrka dojde k odstranění dat předchozího období.

Většiny uživatelů programu se dotkne také povinnost sestavit záznamy o činnostech zpracování. Pro její splnění jsme vydali formulář "Záznam o činnostech zpracování", který sestavení zjednoduší.

Práva subjektů údajů a možnosti uživatele programu na ně reagovat

- právo na přístup k osobním údajům - vydáme formulář "Odpověď na žádost o přístup k osobním údajům", který zjednoduší komunikaci se subjekty osobních údajů, kde se vypíše konkrétní seznam zpracovávaných údajů

- právo na opravu, resp. doplnění - kdykoliv máte možnost upravit jakékoliv uložené údaje

- právo na výmaz - pokud to není omezeno zákonem nebo z důvodu plnění smlouvy můžete v programu smazat veškerá data a formuláře

- právo na přenositelnost údajů - STEREO umožňuje export všech údajů v obecně použitelných formátech

- právo na omezení zpracování, právo vznést námitku, právo nebýt předmětem automatizovaného individuálního rozhodování s právními či obdobnými účinky - toto jsou organiční záležitosti, které software nijak neomezuje

Vydali jsme nové formuláře a vzory dokumentů, které pokrývají nejčastější potřeby v oblasti řešení GDPR. Najdete je ve skupině Ochrana osobních údajů a vzory dokumnetů ve skupině GDPR.

Pokud budete potřebovat zjistit, zda jsou je v datech někde uloženy osobní údaje konkrétního člověka, můžete využít volbu Ostatní / Hledání osobních údajů. Zadáte jméno a příjmení, a zobrazí se seznam agend, které údaje zadané osoby obsahují. Následně můžete vytvořit formulář Odpověď na žádost o přístup k osobním údajům, kam se vytáhnou všechny použité osobní údaje.

Další novou funkcí je vyhledání nepoužívaných záznamů v adresáři firem s možností jejich vymazání. Funkce je dostupná v nabídce Funkce v agendě adresář.

Pro seznámení s problematikou ochrany osobních údajů v souvislosti s evropskou směrnicí "GDPR" vám mohou být užitečné informace zveřejněné na webu Úřadu pro ochranu osobních údajů a Příručka pro přípravu malých a středních firem na GDPR, kterou vydalo Ministerstvo průmyslu a obchodu.

Obsah tohoto článku pro potřeby dokumentace aplikace GDPR si můžete stáhnout zde.