GDPR

se termín spuštění GDPR (General Data Protection Regulation) a tak bychom Vás rádi informovali o tom, jak je náš informační systém připraven na toto nařízení.

Nejprve trochu obecně o GDPR: • Jde o nařízení Evropského parlamentu a Rady EU 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Reguluje zpracování osobních údajů fyzických osob. Do stávajících systémů ochrany osobních dat zavádí celou řadu nových povinností a zásadním způsobem zpřísňuje pravidla jejich správy. • Nařízením GDPR se musí řídit všechny subjekty, které jsou správci a zpracovatelé osobních dat. Vymezení pojmu osobních dat je přitom poměrně široké a zahrnuje např. i technické údaje typu e-mailová adresa, IP adresa, cookies, aj. GDPR se tak dotýká velmi širokého okruhu jak komerčních subjektů, tak i orgánů státní správy nebo samosprávy nebo jimi zřizovaných organizací. Všech, kteří pracují s osobními údaji občanů EU. Stejně tak i samotných občanů EU, kteří se mohou nyní velmi účinně bránit proti neoprávněnému zacházení s jejich osobními daty. GDPR se týká nás všech. • Pokuty při nedodržení nařízení jsou ve výši až 20 milionů EUR. Jedná-li se o podnik, až 4 % celkového ročního obratu celosvětově za předchozí finanční rok (z výše uvedených možností bude vždy vybrána ta, která znamená vyšší pokutu). Navíc hrozí riziko soukromoprávních žalob na náhradu majetkové či nemajetkové újmy. • Nařízení GDPR je již platné od 24. května 2016. Účinné začne být od 25. května 2018. • Osobním údajem se dle § 4 písm. a) zákona č. 101/2000 Sb. rozumí jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. • Za citlivý údaj je považován údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů. Těmto údajům je přiznán zvýšený důraz na jejich ochranu při jejich zpracování dle zákona o ochraně osobních údajů. • Povinnosti osob při zabezpečení osobních údajů: 1) Správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů. 2) Správce nebo zpracovatel je povinen zpracovat a dokumentovat přijatá a provedená technickoorganizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy. • Povinnosti správců a zpracovatelů: - Provést posouzení vlivu na ochranu osobních údajů - Pověřenec pro ochranu osobních údajů (u velkých firem) - Zajistit odpovídající zabezpečení - Vést záznamy o činnostech zpracování - Povinnosti při předávání dalším správcům a využití zpracovatelů - Ohlašovat bezpečnostní incidenty • Zpracováním osobních údajů se myslí: - Jakákoliv operace nebo soubor operací s osobními údaji nebo se souborem osobních údajů - Shromažďování, ukládání, zaznamenání, uspořádání, použití - Zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení - Úkony prováděné pomocí či bez pomoci automatizovaných postupů

Celá problematika je pochopitelně mnohem širší a existuje na toto téma množství materiálů a školení. Většina informací o GDPR je ovšem pouze v obecné rovině a málokdy je informace konkretizována pro potřeby obchodních či výrobních firem. Většinou se pak například nedozvíte, jak přistupovat k firemním údajům, které jsou dostupné z veřejných zdrojů (např. přes ARES či ISIR) a okrajově se dotýkají osobních údajů (telefon, DIČ, jméno kontaktní osoby apod.). Způsob implementace tohoto nařízení ve Vaší společnosti je pak ve Vašich rukou. Důležité je hlavně nemávnout nad GDPR rukou a neprovést žádné relevantní kroky. Doporučujeme opravdu provést posouzení vlivu na ochranu osobních údajů a na základě tohoto posouzení pak navrhnout kroky, kterými se pak budete v této věci řídit. Tyto dokumenty doporučuji provést v písemné podobě, aby v případě kontroly bylo jasné, že jste danou problematiku nezanedbali a úplně ji neignorovali. V tomto mailu se chceme zabývat jen úpravami souvisejícími s našimi aplikacemi. Osobní informace ale budou určitě spravovány v rámci evidence mezd nebo v dokumentech, které mohou být vytvořené např. ve Wordu či Excelu.

Z výše uvedených bodů jsme vycházeli při analýze úprav souvisejících s GDPR. K dispozici je množství nástrojů, které jsme připravili, a které byste vhodným způsobem měli implementovat ve Vaší společnosti. • Možnost definovat úroveň bezpečnosti uživatelských hesel: - lze použít 4 úrovně složitosti hesla

 0: povoluje i heslo nulové délky (stávající nastavení)
 1: heslo s min. délkou 6 obsahující alespoň jeden znak z množin A..Ž, a..ž, 0..9
 2: heslo s min. délkou 8 obsahující alespoň jeden znak z množin A..Ž, a..ž, 0..9 a  !"#$%&'()*+,-./:;<=>?@[\]^_`{|}~
 3: heslo s minimální délkou 10 obsahující alespoň 2 znaky z každé množiny (viz. úroveň 2)

- samostatným parametrem ovlivnit lze minimální délku hesla - lze definovat seznam zakázaných slov, které se nesmí vyskytovat v hesle - lze určit, zda heslo má být měněno ve všech databázích (skladech) současně nebo pro každý sklad zvlášť • Ve strukturách souborů lze určit, které údaje má program považovat za tzv. osobní/citlivé údaje (např. ve struktuře ADRESA to může být Telefon, E-mail, či jméno kontaktu). Tyto údaje lze označit pomocí nového příznaku. Pokud program při zpracování odpovídající tabulky narazí na údaj, který je označen příznakem osobního/citlivého údaje, tak místo něj zobrazí jen znak * (pseudonymizace). • Pokud uživatel potřebuje ke své práci osobní údaj zobrazit a má k tomu příslušné oprávnění, tak musí vyvolat novou funkci Alt+F6/Povolení zobrazení osobních údajů. Program si vyžádá doplňující informace o důvodech zpracování osobních údajů, které uživatel musí vyplnit. Obvyklé důvody zpracování lze vybrat z číselníku důvodů zpracování, který si můžete modifikovat dle vlastních potřeb.

• Informace o prováděné činnosti a o důvodech zpracování jsou zaznamenány do systémového logu. • Lze připravit přehledy či výpisy informací o přístupu k jednotlivým činnostem a údajům • Pro povolení přístupu k osobním údajům v tabulkách a editačních oknech jsou nachystané nové položky menu do nabídky speciálních funkcí (Alt+F6): menu pro práci s odběrateli či dodavateli, doklady, objednávkami na dodavatele, požadavky, pokladní knihou, rozvozy či odběratelskými bonusy. Nastavení pro tyto položky menu je možné ovlivnit standardními přístupovými právy • Program vyžádá potvrzení a zadání důvodů zpracování při dalších činnostech souvisejících převážně s hromadným zpracováním dat, které obsahují citlivé údaje (např. sestava tisknutá pomocí F7, alternativní sestavy, exporty do Excelu a další exporty, export dat do BTR, hromadné mazání apod.). • K dispozici je také nové přístupové právo 1 Právo zpracovávat osobní/citlivé údaje, které umožňuje nastavit výchozí způsob zpracování osobních údajů pro danou skupinu uživatelů • Nastavení pro vybrané činnosti týkající se osobních údajů lze nastavit s různou mírou přísnosti, která do značné míry bude ovlivňovat „obtěžování“ uživatele dotazy na důvody zpracování. Pro jednotlivé sklady nebo pro jednotlivé uživatele lze nastavit různé podmínky odpovídající významu daného skladu nebo postavení uživatele ve společnosti. Způsob ověření důvodu zpracování může být v následujících variantách: 1..nepovolit přístup (výchozí volba pro uživatele bez přístupového práva 1) 2..po ověření důvodů zpracování za pomocí dialogu, které se objeví vždy, povolit (výchozí volba pro uživatele s přístupovým právem 1) 3.. po ověření důvodů zpracování za pomocí dialogu, které se v rámci přihlášení objeví jen jednou, povolit 4.. vždy povolit (bez dialogu) Pro vybrané činnosti (a případně i uživatele) lze definovat výchozí automatickou hodnotu důvodu zpracování citlivých údajů (dialog se pak neobjevuje). Pro vybrané činnosti (a případně i uživatele) lze definovat výchozí hodnota důvodu zpracování citlivých údajů (důvod je pak potřeba potvrdit s možností změnit důvod zpracování pro danou situaci v potvrzovacím dialogu) • U adresáře odběratelů a dodavatelů lze nastavení rozlišit také pro jednotlivé druhy záznamů: Firma/Podnikatel/Soukromá osoba/Zaměstnanec. Lze například pro záznamy typu „firma“ povolit přístup k zobrazení osobních údajů všem uživatelům s povoleným přístupovým právem 1, zatímco pro přístup k záznamům typu „soukromá osoba“ bude vyžadován důvod zpracování. V přehledu odběratelů tak mohou být osobní údaje pro soukromé osoby pseudonymizované, zatímco pro firmy budou vidět všechny údaje. • V adresáři odběratelů a dodavatelů je připravena nová kolonka pro zápis souhlasu se zpracováním osobních údajů s hodnotami neurčeno/ano/ne/výslovný souhlas/odvolaný souhlas/pozastaven • Lze připravit formulář karty odběratele nebo dodavatele pro zobrazení a tisk údajů sledovaných o dané firmě či osobě

Jedním z kroků, který bývá v rámci implementace opatření často sledován je použití software, který K dispozici je aktualizovaná verze skladového i účetního programu, která umožňuje nastavit výše popsané úpravy. Na základě posouzení vlivu na ochranu osobních údajů doporučujeme zhodnotit, jakou formou budou jednotlivé požadavky z GDPR ve Vaší společnosti implementovány. Podle toho pak provedeme odpovídající nastavení.

Kromě výše uvedených bodů souvisejících s úpravami aplikací doporučujeme zvážit také následující věci týkající se přímo či nepřímo GDPR: • Používejte odpovídající operační systémy, které mají dostatečné zabezpečení a jsou dostatečně aktualizovány • Na klientských počítačích a na serverech používejte vhodný antivirový software • Zkontrolujte nastavení zabezpečení serveru i klientských stanic (např. silná hesla do Windows, sdílené síťové prostředky, přístupová práva ke složkám, spuštěné služby a procesy atp.) • Organizujte dokumenty tak, aby byly uložené na serveru ve složkách s možností zálohování a nastavením odpovídajících oprávnění • Data pravidelně zálohujte a zálohy mějte uložené i na médiích, která nejsou běžně připojená k počítačové síti (např. zálohování do cloudu, NAS disk umístěný mimo firmu, USB disky apod.). Zálohy by měly být zabezpečené a případně i zašifrované dostatečně silným heslem. Zálohy by také měly být v pravidelných intervalech kontrolovány, aby se prověřilo, že obsahují očekávané informace • Server (čili hlavní počítač, na kterém jsou uložená data) nepoužívejte pro běžnou práci, ale jen pro administraci systému; pro přístup k aplikacím používejte běžné klientské počítače (data se hůře zabezpečují, pokud má množství uživatelů přístup přímo k serveru). • Databázi PSQL lze nastavit do bezpečnějšího režimu, ve kterém samotná data nejsou dostupná z klientského počítače (nebo je alespoň nelze z klientského počítače přepsat či smazat). Toto nastavení je důležité také v souvislosti se škodlivým software, který po infiltraci do vaší sítě může data nenávratně zašifrovat či smazat • Klientské počítače mohou být k databázi připojeny za pomocí šifrovaného komunikačního protokolu. Přenos dat po vnitřní síti je pak sice pomalejší, zato ale nelze ze síťové komunikace vyčíst obsah zpracovávaných dat • Stará archivní data (např. oddělené sklady obsahující jen záznamy ze starých roků) doporučujeme zpřístupnit jen omezenému množství uživatelů a s co nejnižšími právy. Měl by ale existovat alespoň 1 uživatel s právy umožňující zpracovat archivovaná data z hlediska GDPR (např. právo na výmaz, právo na informace apod.). Data, u kterých už uplynuly zákonné lhůty pro zpracování těchto údajů, by měla být anonymizována