1. Význam a benefity

Tato implementovaná bezpečnostní politika

•             je významnou podporou pro již existující procesy na dodržování nařízení GDPR,

•             dává přehled o aktuální situaci zpracování osobních údajů (dále jen OÚ) v organizaci,

•             dává příležitost maximálně využít přínosů digitální revoluce a současně zajišťuje ochranu a důvěru občanů,

•             zvyšuje ochotu uživatelů souhlasit se zpracováním OÚ,

•             zvyšuje ochranu před případnými stížnostmi na porušení ochrany OÚ a

•             snižuje dopady případných sankcí.

2. Rozsah

V rámci působnosti bezpečnostní politiky je implementováno nařízení GDPR do kybernetické bezpečnosti z hlediska organizačního a technického zabezpečení OÚ. Viz popis směrnice.

Vyhláška č. 82/2018 Sb. o kybernetické bezpečnosti § 4.

3. Informační vyhlášení

VVŠ má směrnici na zpracování osobních údajů.

Směrnice stanoví

•             rozsah, způsob, zásady a pravidla při zpracování OÚ,

•             základní pravidla zabezpečení OÚ,

•             vymezuje odpovědnost za zpracování OÚ a

•             práva a povinnosti zaměstnanců, studentů, případně dalších fyzických i právnických osob účastnících se činností souvisejících se zpracováním těchto údajů.

Předmětem úpravy směrnice jsou zpracování OÚ realizovaná zaměstnanci a studenty univerzity při plnění jejich pracovních či studijních povinností, případně dalšími fyzickými a právnickými osobami, které zpracovávají OÚ na základě smlouvy s VVŠ.

Směrnice vychází z nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním OÚ a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně OÚ) (dále jen „obecné nařízení“) a ze zákona č. 110/2019 Sb., o zpracování OÚ (dále jen „zákon“).

a) Charakteristika zpracovávaných osobních údajů

VVŠ vede záznamy o činnostech zpracování (podle čl. 30 obecného nařízení). K tomu se zřizuje registr činností zpracování OÚ na univerzitě (dále jen „registr“).

Registr je ve správě pověřence pro ochranu OÚ.

Registr obsahuje úplnou charakteristiku příslušného zpracování OÚ, zejména:

•             popis činností zpracování OÚ,

•             účel zpracování,

•             kategorie subjektů údajů a

•             popis a kategorie OÚ.

b) Popis přijatých a provedených organizačních opatření pro ochranu osobních údajů

Registr zpracování obsahuje konkretizované informace o přijatých organizačních opatřeních vztahujících se ke každému zpracování OÚ, typicky se jedná o odkaz na další interní normy (nebo jiné dokumenty), které vymezují:

•             kdo má oprávnění přístupu k OÚ, nebo jak toto oprávnění může získat,

•             rozsah přístupu,

•             doba přístupu,

•             zabezpečení přístupu,

•             rozsah zpracování.

Nastavení práv je schvalováno nadřízeným a evidováno v provozních záznamech aktiva.

c) Popis přijatých a provedených technických opatření pro ochranu osobních údajů

Registr zpracování obsahuje konkretizované informace o přijatých technických opatřeních vztahujících se ke každému zpracování OÚ, typicky se jedná o

•             nezbytnost autentizace uživatele prostřednictvím univerzitních přihlašovacích údajů,

•             použití zabezpečených komunikačních protokolů,

•             způsob zajištění monitoringu,

•             nastavení pravidel pro zálohování a skartaci dat apod.