Zavrieť

Porady

Ochrana údajov - Bezpečnostný projekt

Luci Luci

Luci je offline (nepripojený) Luci

Dobrý deň,

viem, že o ochrane osobných údajov sa tu už popísalo mnoho užitočných informácií, len sa mi žiaľ nepodarilo násť nejakú skúsenosť s vypracovaním bezpečnostného projektu.
My sme v podstate malá firma (10 zamestnancov), ale údaje sú spracovávané v sieti, ktorá je pripojená na internet. Vyplynula nám teda povinnosť vypracovať bezp. projetk.
Máte niekto skúsenosť s nejakou firmou, ktorá takúto službu zabezpečuje? Alebo dokonca nejakú štruktúru ako projekt vypracovať? Obávam sa, že bez návodu sa ani nehnem, čisto podľa § 16 to nezvládnem...


UPRAVA RICHARD:
Dovolím si zasiahnuť do tohoto príspevku a dať na začiatok rešerš o ochrane os. údajov od VLADAN:
OCHRANA OSOBNÝCH ÚDAJOV – MALÉ ZHRNUTIE

<?xml:namespace prefix = o ns = "urn:schemas-microsoft-comfficeffice" /><o:p></o:p>

Dávam do pléna materiál, ktorý som spracovala na základe absolvovaného školenia dňa 10.6.2005, kde školiteľkou bola JUDr. Drabišinová – kontrolórka na Úrade na ochranu osobných údajov SR.<o:p></o:p>

<o:p> </o:p>

K tomuto materiálu vám ako pomôcka poslúži aj samotný Zákon o ochrane osobných údajov (ďalej „zákon“) č. 90/2005, ktorý nadobudol účinnosť dňa 1.5.2005.<o:p></o:p>

<o:p> </o:p>

1. Zákon upravuje ochranu osobných údajov fyzických osôb pri ich spracúvaní (údajmi fyzických osôb sa rozumejú údaje občanov).<o:p></o:p>

2. Zákon sa vzťahuje, okrem iných, aj na právnické a fyzické osoby, ktoré spracúvajú osobné údaje.<o:p></o:p>

<o:p> </o:p>

§ 3 - Osobný údaj<o:p></o:p>

Údaj týkajúci sa určenej alebo určiteľnej FO, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora (u nás je to RODNÉ ČÍSLO) alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu.<o:p></o:p>

Ak je zverejnené iba meno a priezvisko – nie je to osobný údaj, lebo v našom geografickom priestore (Slovensko) je viacero osôb, ktoré môžu mať rovnaké meno a priezvisko. Ani rodné číslo samo o sebe nie je osobný údaj – z rodného čísla vieme určiť dátum narodenia a pohlavie, nevieme konkrétne určiť, že je to presne osoba XY. Napr. rodné číslo+adresa už možno považovať za osobný údaj, lebo podľa týchto dvoch charakteristík sa dá jednoznačne určiť, identifikovať osobu.<o:p></o:p>

Osobnými údajmi nie sú, ak sú samostatne napr.tieto údaje o fyzickej osobe:<o:p></o:p>

- číslo občianskeho preukazu,<o:p></o:p>

- číslo pasu,<o:p></o:p>

- číslo vodičského preukazu,<o:p></o:p>

- telefónne číslo,<o:p></o:p>

- emailová adresa,<o:p></o:p>

- číslo bankového účtu.<o:p></o:p>

<o:p> </o:p>

§ 4 - Prevádzkovateľ<o:p></o:p>

Právnická a fyzická osoba, ktorá sama alebo spoločne s inými určuje účely a prostriedky spracúvania osobných údajov.<o:p></o:p>

<o:p> </o:p>

§ 4 - Sprostredkovateľ<o:p></o:p>

Právnická a fyzická osoba, ktorá spracúva osobné údaje v mene prevádzkovateľa – tu by mala existovať určitá forma zmluvy alebo písomné poverenie medzi prevádzkovateľom a sprostredkovateľom, ktoré určuje rozsah a podmienky spracúvania osobných údajov. Väčšinou sú to už uzavreté zmluvy na účtovnícke služby, alebo na výpočet miezd, stačí doplniť dodatkom k tejto zmluve, ktorý hovorí o ochrane osobných údajov.<o:p></o:p>

Ak prevádzkovateľ poveril spracúvaním sprostredkovateľa až po získaní osobných údajov, oznámi to dotknutým osobám pri najbližšom kontakte s nimi, najneskôr však do troch mesiacov od poverenia sprostredkovateľa (tu nám školiteľka nevedela jednoznačne povedať, či musím zvlášť upozorniť aj manželku, dieťa, ak mi zamestnanec poskytol ich osobné údaje na spracovanie mzdovej a personálnej agendy).<o:p></o:p>

<o:p> </o:p>

§ 4 - Oprávnená osoba<o:p></o:p>

Každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovnoprávneho vzťahu, na základe poverenia, zvolenia alebo vymenovania a ktorá môže osobné údaje spracúvať len na základe pokynu prevádzkovateľa, zástupcu prevádzkovateľa alebo sprostredkovateľa.<o:p></o:p>

<o:p></o:p>

§ 4 - Dotknutá osoba<o:p></o:p>

Každá fyzická osoba, o ktorej sa spracúvajú osobné údaje.<o:p></o:p>

<o:p> </o:p>

§ 7 - Súhlas dotknutej osoby<o:p></o:p>

Osobné údaje možno spracúvať len so súhlasom dotknutej osoby, ak tento zákon neustanovuje inak!!! Pre nás mzdárov je dôležitý § 7 ods. 3, ktorý hovorí o tom, že ak sa osobné údaje spracúvajú na základe osobitného zákona (napr. sociálne poistenie, zdravotné poistenie, daň z príjmov a pod.), súhlas dotknutej osoby sa NEVYŽADUJE!!!<o:p></o:p>

V tomto § sme sa bavili o tom, že čo ak mi príde zamestnanec s tlačivom pre banku (potvrdenie o príjme) na účely poskytnutia pôžičky alebo úveru – keďže tlačivo dáva vyplniť zamestnanec je si vedomý, že tam budú jeho osobné údaje, tak súhlas k tomuto poskytnutiu netreba.

Určite ste sa stretli s tým, že vyplnené tlačivá a údaje z nich, si banky, resp. spoločnosti, ktoré požičiavajú peniaze, overujú telefonicky. Tento postup však neupravuje žiadny osobitný predpis, preto odporúčanie školiteľky bolo v tom, že na otázky treba odpovedať iba áno/nie, teda potvrdiť iba pravdivosť/nepravdivosť uvedených údajov. Lebo ak by sme do telefónu „chceli“ poskytnúť nejaké osobné údaje, nemohli by sme tak učiniť, lebo na toto už potrebujeme súhlas dotknutej osoby.<o:p></o:p>

Ďalšou témou k tomuto § boli životopisy a žiadosti o prijatie do pracovného pomeru – zaradili sme to do § 7 ods. 4b) – je to istá forma predzmluvného vzťahu, čiže tu sa súhlas dotknutej osoby taktiež nevyžaduje. Týmto uchádzačom by sa mala oznámiť likvidácia ich osobných údajov po splnení účelu, ale je tu možnosť od tejto činnosti upustiť a to podľa § 14 ods. 2.

<o:p> </o:p>

§ 15 – Zodpovednosť za bezpečnosť osobných údajov<o:p></o:p>

Za bezpečnosť osobných údajov zodpovedá prevádzkovateľ a sprostredkovateľ a na tento účel prijme primerané technické, organizačné a personálne opatrenia (tu zaznela otázka aké sú tie primerané opatrenia – tak napríklad: spisy zamestnancov majú byť uložené tak, aby sa „nepovaľovali“ – školiteľka uviedla, že netreba sejf alebo trezor ale primerané opatrenia). Opatrenie vo forme BEZPEČNOSTNÉHO PROJEKTU IS (súčasťou bezpečnostného projektu sú aj bezpečnostné smernice) prijme prevádzkovateľ a sprostredkovateľ, ak sú v IS spracúvané osobitné kategórie osobných údajov (u nás RODNÉ ČÍSLO) a IS je prepojený na verejne prístupnú počítačovú sieť (u nás INTERNET) alebo je prevádzkovaný v počítačovej sieti, ktorá je prepojená na verejne prístupnú počítačovú sieť.<o:p></o:p>

Ostatní, ktorý je nemajú IS prepojený na internet sú povinní vypracovať BEZPEČNOSTNÉ SMERNICE.<o:p></o:p>

V prípade, ak dávate spracovávať mzdy externe a nevlastníte vo firme IS, ktorý obsahuje osobné údaje ale iba kartotéku (teda osobné údaje v listinnej podobe), stačí vám, ako prevádzkovateľovi, vypracovať bezpečnostné smernice a bezpečnostný projekt vypracuje sprostredkovateľ, ak on vlastní IS prepojený na verejne prístupnú počítačovú sieť.<o:p></o:p>

Audit-hodnotiacu správu treba predložiť až na požiadanie úradu, a to vtedy, ak má úrad pochybnosti o bezpečnosti vášho IS.<o:p></o:p>

<o:p> </o:p>

§ 16 – Bezpečnostný projekt<o:p></o:p>

Bezpečnostný projekt by mal obsahovať všetko podľa ods. 3, 4, 5 a bezpečnostné smernice podľa ods. 6.<o:p></o:p>

Vypracovaný bezpečnostný projekt ostáva vo firme, nikde sa neposiela, nikomu sa nepredkladá, podľa neho by sa mala riadiť zodpovedná osoba.<o:p></o:p>

Ešte som sa pýtala školiteľky, kto podpisuje vypracovanie bezpečnostného projektu – odpoveď: bezpečnostný projekt netreba podpisovať, je to záväzný predpis pre oprávnené osoby. Podpisuje sa iba jeho schválenie.<o:p></o:p>

<o:p> </o:p>

§ 17 – Poučenie<o:p></o:p>

Prevádzkovateľ alebo sprostredkovateľ je povinný poučiť oprávnené osoby o právach a povinnostiach ustanovených týmto zákonom.<o:p></o:p>

<o:p> </o:p>

§ 19 – Dohľad nad ochranou osobných údajov<o:p></o:p>

Ak prevádzkovateľ zamestnáva viac ako 5 osôb, výkonom dohľadu písomne poverí zodpovednú osobu.<o:p></o:p>

Odborné vyškolenie zabezpečí prevádzkovateľ, odborným vyškolením sa chápe buď absolvované školenie alebo aj ovládanie zákona a úloh z neho vyplývajúcich. Vtedy stačí Vyhlásenie prevádzkovateľa, že daný človek ovláda tento zákon.<o:p></o:p>

Ak prevádzkovateľ písomne poveril zodpovednú osobu, je povinný o tom písomne informovať úrad, najneskôr do 30 dní odo dňa poverenia a to doporučenou zásielkou. Tlačivo oznámenia sa dá nájsť na www.pdp.gov.sk - v časti registrácia.<o:p></o:p>

Zodpovednou osobu môže byť FO, ktorá má spôsobilosť na právne úkony (t.j. dosiahla vek 18 rokov) a je bezúhonná (nemá zápis v registri trestov). Bezúhonnosť sa preukazuje výpisom z registra trestov, ktorý ostáva u prevádzkovateľa, resp. sprostredkovateľa. Zodpovednou osobou môže byť zamestnanec, sprostredkovateľ alebo aj iná fyzická osoba ale aj živnostník. Živnostník nie je považovaný za štatutárny orgán, preto môže byť zodpovednou osobou.<o:p></o:p>

<o:p> </o:p>

§ 24 – Povinnosť registrácie a evidencie<o:p></o:p>

Prevádzkovateľ registruje IS alebo vedie o nich evidenciu. <o:p></o:p>

<o:p> </o:p>

§ 25 – Podmienky registrácie<o:p></o:p>

Povinnosť registrácie sa vzťahuje na všetky IS, v ktorých sa spracúvajú osobné údaje úplne alebo čiastočne automatizovanými prostriedkami spracúvania s výnimkou tých IS, ktoré:<o:p></o:p>

- podliehajú osobitnej registrácii podľa § 27 ods. 2,<o:p></o:p>

- podliehajú dohľadu zodpovednej osoby,<o:p></o:p>

- obsahujú osobné údaje FO na účely vedenia mzdovej a personálnej agendy – tu spadajú mzdové softy firiem, ktoré nemajú zodpovednú osobu, čiže nemusia registrovať IS (ale musia viesť evidenciu o nich!!!)<o:p></o:p>

<o:p> </o:p>

§ 29 – Podmienky evidencie<o:p></o:p>

O IS, ktoré nepodliehajú registrácii (naše mzdové programy), prevádzkovateľ vedie evidenciu, a to najneskôr odo dňa začatia spracúvania údajov o týchto IS. Rozsah tejto evidencie je totožný s údajmi, ktoré sú uvedené v § 26 ods. 3 – tu je pomôckou Registračný formulár na www.pdp.gov.sk , stačí si ho vytlačiť a urobiť evidenciu podľa bodov tam uvedených. <o:p></o:p>

<o:p> </o:p>

§ 55 – Prechodné ustanovenia<o:p></o:p>

Písomné poverenie zodpovednej osoby prevádzkovateľ oznámi úradu najneksôr do 30. 6. 2005. Vyhlásenie o tom, že zodpovedná osoba bola odborne vyškolená je jednou vetou obsiahnuté už v oznámení prevádzkovateľa, takže nie je potrebné posielať potvrdenie o vyškolení.<o:p></o:p>

<o:p> </o:p>

<o:p> </o:p>

Úrad na ochranu osobných údajov SR pripravuje FAQ (často kladené otázky), neviem kedy sa to zrealizuje, treba sledovať ich stránku.<o:p></o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p></o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

Naposledy upravil Richard : 23.06.05 at 07:51
Usporiadat
Kočtúchová Kočtúchová

Kočtúchová je offline (nepripojený) Kočtúchová

Daniela - thank you, dekuji, dakujem, danke, merci (dúfam , že to znamená dakujééééém ) - fakt - strasne super.
0 0
DanielaSL DanielaSL

DanielaSL je offline (nepripojený) DanielaSL

Mama troch dospelých detí
Joj veď toľko mi neďakujte, veď na to je porada , aby sme si pomáhali, dosť sme ubíjaní zo všetkých strán, tak prečo nepomôcť keď sa dá?
Nikulík to je škoda , že si tu nebola na tom školení a v Poprade vám nič nedali?
Žiadne materiály?
0 0
nikulik nikulik

nikulik je offline (nepripojený) nikulik

Dali nam zakon, a tlaciva na oznamenie zodpov. osoby, na registraciu a tak. Len to sa mi nepacilo ze proste len cital zakon. Kazdy uz bol nahnevany, a ked docital tak sme na neho spustili kopu otazok. Chudak, na niektore ani nevedel odpovedat,ale vynasiel sa . V pondelok mam znova skolenie v pp, ale ohladom registratury.

A ten bezpecnostny projekt co si tu dala, to vam davali na tom skoleni??
0 0
Luci Luci

Luci je offline (nepripojený) Luci

Neda mi, aby som sa tiez nepodakovala, ked som zacinala tuto temu, tak som tajne dufala, ze by niekto mohol mat takyto dokument k dispozicii ... a stalo sa. Este raz, dakujem.
0 0
iva iva

iva je offline (nepripojený) iva

Danka, aj ja sa pripájam s veľkým poďakovaním.
Je to super, už sa na tejto stránke dá nájsť skoro všetko, čo sa týka ochrany os.údajov.
Nemáte náhodou niekto ešte nejaký vzor písomnej zmluvy medzi zamestnávateľom a sprostredkovateľom - ak sa mzdy dávajú spracovávať externe ?
0 0
JanaF JanaF

JanaF je offline (nepripojený) JanaF

Zajtra bude lepsie...:)
Aj ja sa pripajam k podakovaniu... Uz som to stihla aj zhruba prestudovat. Ale poviem vam, ze tieto veci, ktore tu chcu sa studuju na VS, IT.
Velkaaaaaaaaaaa vdaka este raz a prajem vsetkym pekny den
0 0
Masl Masl

Masl je offline (nepripojený) Masl

som dúfam dobrý človek a ešte lepšia mama ...viac
Ak niekto máte záujem tak školenie je 31.5.2005 v Liptovskom Mikuláši o 8.00hod.
0 0
DanielaSL DanielaSL

DanielaSL je offline (nepripojený) DanielaSL

Mama troch dospelých detí
nikulik
Dali nam zakon, a tlaciva na oznamenie zodpov. osoby, na registraciu a tak. Len to sa mi nepacilo ze proste len cital zakon. Kazdy uz bol nahnevany, a ked docital tak sme na neho spustili kopu otazok. Chudak, na niektore ani nevedel odpovedat,ale vynasiel sa . V pondelok mam znova skolenie v pp, ale ohladom registratury.

A ten bezpecnostny projekt co si tu dala, to vam davali na tom skoleni??
Áno , tam sme ho dostali.
0 0
RENATAW RENATAW

RENATAW je offline (nepripojený) RENATAW

Školenie zákona o ochrane osobných údajov je aj v PRIEVIDZI 8.6.2005, organizuje ho firma RACIO EDUCATION SLOVAKIA s.r.o., lektor: PhDr. Anna Miklošová - pracovníčka UOOU Bratislava. Možno sa prihlásiť fax: 046/5439547, alebo racio@racio-pd.sk, 0903651601

čaute

PS. Nemal niekto problém s vytísknutím BP od "DanielaSĽ" - ja áno, ale je to už OK. Danka, inač by si naozaj mohla zverejniť nejaké P.O.BOX, kde by sme ti poslali tú čokoládu. Bola by si iste milo prekvapená, kto všetko Ti ďakuje.

Diky, diky ..... a ešte raz
0 0
jonny123 jonny123

jonny123 je offline (nepripojený) jonny123

zdravim vas.

to ze sem niekto dal tu smernice je mile, chvalyhodne ...... ALE......
citali ste niekto poriadne tu smernicu? vazne si myslite ze staci prepisat zahlavie, nazov firmy, ... a mate vypracovany bezpecnostny projekt a ste schopni uchranit spracovavane osobne udaje? zamyslite sa nad tym.
Ta smernice je viac vyklad zakona, ako stanovenie konkretnych podmienok pre konkretnu firmu ako ma narabat s osobnymi udajmi. Myslite na to ze ked vznikne akykolvek problem VY ste zodpovedni za unik, alebo neopravnene pouzitie osobnych udajov.
Druha vec je ta ze pojem "bezpecnostny projekt" sa nespravne vysvetluje. Tu nejde o len 1 dokument alebo smernicu. Bezpecnostny projekt je subor cinnosti - od analyzy stavu, stanovenie opatreni na zaklade zisteni, spracovanie dokumentov (je ich cca 6, a su konkretne, spracovane na podmienky danej firmy), implementaciu opatreni, atd.
Az ked budete mat toto vsetko, mozete povedat ze mate BEZPECNOSTNY PROJEKT a mozete pokojne spavat s vedomim adekvatnej ochrany osobnych udajov.
0 0
Bubika Bubika

Bubika je offline (nepripojený) Bubika

Ďakujeme za ifnormáciu. Nik z nás však nemal v úmysle len bezhlavo opísať priložený BP bez prečítania a prispôsobenia konkrétnej firme. Ak však jonny123 viete o tom všetkom viac ako my ostatní, tak skúste pomôcť konkrétnym činom :O)
0 0
ik-a ik-a

ik-a je offline (nepripojený) ik-a

Johny123, my si tu pomahame, ako vieme. Su to vsetko len navody ako na to. Ak mas pre nas nieco vhodne, prilep to aj ty.
0 0
Bubika Bubika

Bubika je offline (nepripojený) Bubika

ik-a
Johny123, my si tu pomahame, ako vieme. Su to vsetko len navody ako na to. Ak mas pre nas nieco vhodne, prilep to aj ty.
krasne si to napisala ik-a
0 0
jonny123 jonny123

jonny123 je offline (nepripojený) jonny123

nechcel som znevazovat nikoho pracu ani nikoho snahu, sorry ak to tak vyznelo.

Mozno som vas len chcel trochu dostat do obrazu.
0 0
Bubika Bubika

Bubika je offline (nepripojený) Bubika

jonny123
nechcel som znevazovat nikoho pracu ani nikoho snahu, sorry ak to tak vyznelo.

Mozno som vas len chcel trochu dostat do obrazu.
Za to ti samozrejme dakujeme, pretoze v obraze jednoducho byt musime. Ak k tomu mas aj nejaky konkretny pismenkovy obrazok, tak by si ho ozaj mohol prilepit..............to by sme dakovali aj v zahranicnej reci :O)
0 0
jonny123 jonny123

jonny123 je offline (nepripojený) jonny123

stale ma nechcete pochopit ....... neda sa zobrat tieto veci z jednej firmy a nasadit ich do druhej.

dalsia vec: clovek ktory robi na bezpecnostnom projekte musi byt odbornik na vypoctovu techniku, softver, siete, internet,.....
0 0
Bubika Bubika

Bubika je offline (nepripojený) Bubika

jonny123
stale ma nechcete pochopit ....... neda sa zobrat tieto veci z jednej firmy a nasadit ich do druhej.

dalsia vec: clovek ktory robi na bezpecnostnom projekte musi byt odbornik na vypoctovu techniku, softver, siete, internet,.....
viete, poznam firmy, v ktorych okrem konatela pracuje 1 pracovnicka, ktora robi veskeru agendu. Pochybujem, ze by pan konatel platil odbornika na vypoctovu techniku, ktory mu okrem vypracovania BP je na nic.

I tak som toho nazoru, ze mnoho veci je v jednotlivych firmach podobnych
0 0
jonny123 jonny123

jonny123 je offline (nepripojený) jonny123

s tym suhlasim,

ja som mal na mysli dat si to urobit externe.
Je vela firiem ktore sa tymto zaoberaju
0 0
DanielaSL DanielaSL

DanielaSL je offline (nepripojený) DanielaSL

Mama troch dospelých detí
Pozri , my ťa všetci dobre chápeme. Ja som aj niekde písala , že každý si to má prerobiť na svoje podmienky. Je to len osnova , ktorú nám dali na školení a školil nás naslovovzatý odborník, ktorý nám ten projekt aj názorne ukazoval a vysvetľoval k nemu. Jasné , že nikto to teraz z nás nevytlačí , dá podpísať štatutárovi a šupne do šuflíka pre prípad kontroly.
Nie si ty náhodou z firmy , ktorá robí tieto projekty?
0 0
Zuzana68 Zuzana68

Zuzana68 je offline (nepripojený) Zuzana68

S vypracovaním sa dá súhlasiť jonny123, len problém je v tom, že pri malinkej firme majiteľ nie je ochotný dať si to vypracovať, ale je presvedčený že to zvládne tá jedna pracovníčka čo má na agendu.
0 0
Načítať ďalšie