GDPR v praxi aneb pohled na implementaci v informačních systémech

Provozovatelé kvalitních školních informačních systémů by měli škole poskytnout součinnost při tvorbě školní DPIA analýzy, protože právě autoři systémů mají nejlepší přehled o tom, jak si jejich systém stojí ve vztahu ke GDPR.

iŠkola.cz například poskytuje školám vypracovanou modelovou DPIA analýzu dle čl. 35 GDPR, týkající se právě části informačního systému s důležitou částí vyhodnocení rizik. Dále deklaruje, že její materiální, organizační, technické i personální zdroje poskytují zákazníkům dostatečné záruky, že zpracování osobních údajů bude v souladu s GDPR a bude zajištěna ochrana práv subjektu údajů (čl. 28 odst. 1 GDPR). Škola tak může použít tuto DPIA analýzu a plně ji integrovat do vlastní DPIA.

Na základě vyhodnocení rizik pak jednotlivé informační systémy definují jejich .

Z vyhodnocení rizik systému iŠkola.cz například vyplývá, že pro provoz informačního systému z pohledu správce a uživatele je největším rizikem kompromitace přihlašovacích údajů k některému z účtů systému. Vzhledem k této skutečnosti byl vytvořen propracovaný systém pro minimalizaci dopadů možného úniku dat subjektu údajů, založený na míře osobních údajů, ke kterým měl vlastník kompromitovaného účtu přístup. Dle uživatelské podrole a nastavené politiky uživatelských práv (jejichž variabilita vychází z 51 volitelných možností) pro daného konkrétního uživatele se však přístup k datům podstatně liší. Pokud správce ohlásí, že k některému uživatelskému účtu bylo přistupováno neoprávněně, lze okamžitě zamezit jakémukoliv dalšímu přístupu na daný nahlášený účet. Správce pak může ze systému obdržet přehled o rozsahu možných dat, která mohl útočník získat, a to s výčtem konkrétních údajů s absolutně přesným soupisem dotčených subjektů údajů. Jinými slovy: Pokud majitel kompromitovaného účtu neměl přístup ke konkrétním datům, pak se k nim nemohl nijak dostat ani útočník. Všechny tyto činnosti jsou otázkou jen několika málo minut.

Dle čl. 15 odst. 1 má subjekt údajů právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou, či nejsou zpracovávány, a pokud ano, má včetně dalších informací.

Už z principu účelu využití je školní informační systém naplněn osobními údaji žáků, zákonných zástupců, ale např. i zaměstnanců. Ve většině případů k vedení dat existuje pro školy zákonná povinnost, např. dle § 28 zákona č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání (školský zákon), či vyhlášky č. 364/2005 Sb., o vedení dokumentace škol a školských zařízení a školní matriky a o předávání údajů z dokumentace škol a školských zařízení a ze školní matriky.

Pokud tedy bude správce požádán subjektem údajů o informace o jeho datech a účelech jejich zpracování, není alespoň z pohledu informačního systému iŠkola.cz nic jednoduššího než vygenerovat tiskovou sestavu, přehledný souhrn informací dle čl. 15 GDPR. Správce tak místo složité analýzy informačního systému a sběru informací získá vše zásadní za několik málo kliknutí myší.

GDPR přináší dle čl. 17 mimo jiné i právo subjektu údajů na výmaz. To znamená, že subjekt údajů se může po škole oprávněně .

Školní informační systém by měl mít v této souvislosti dostupnou funkcionalitu, která zajistí výmaz relevantních dat ve všech souvisejících agendách, ale přitom nenaruší konzistentnost dat školy ve vztahu k plnění zákonných povinností.

Zajímavé je zmínit, že právo na výmaz by se mělo týkat i . To však může způsobit komplikace zejména administrátorům těch informačních systémů, které nepracují v online režimu, resp. v cloudu, a to proto, že pokud škola provede zálohu dat svého serveru, poté subjekt údajů požádá o výmaz a následně administrátor systému z nějakého důvodu obnoví data ze zálohy, pak samozřejmě obnoví i data, která již mají být zapomenuta, a tím pádem poruší nařízení. Taková data lze jedině ihned po obnově ze zálohy smazat, ovšem evidovat a uhlídat takové případy se může stát noční můrou. iŠkola například na tuto situaci pamatuje a poměrně sofistikovaným algoritmem zajistí právo výmazu i v zálohách.

I když ve valné většině případů nebude škola řešit problematiku udělení souhlasu, protože zpracovává informace na základě zákonné povinnosti, může nastat situace, kdy přece jen , typicky např. při zveřejňování fotografií a dalších údajů nebo v souvislosti s účastí studentů v soutěžích, olympiádách, středoškolských odborných činnostech apod.

V iŠkole pro takové situace existuje nástroj, pomocí něhož mohou školy žádat své systémem autentizované uživatele o souhlas se zpracováním osobních údajů. Jednotlivé subjekty údajů mají pomocí tohoto nástroje možnost souhlas či nesouhlas jednoznačně vyjádřit a úplně stejně jednoduchým způsobem mohou udělený souhlas i odvolat. Škola má zároveň k dispozici přehlednou evidenci žádostí o souhlas s detekcí změn a upozorňovacím systémem, pokud dojde k odebrání souhlasu se zpracováním. V rámci této evidence změn pak může danou změnu v souhlasu adekvátně vyhodnotit, např. odejmout ze stránek školy fotografie subjektu údajů, který odebral souhlas pro tento účel zpracování.

Přímo v systému nabízí iŠkola.cz GDPR modul, který školám pomůže vést celou potřebnou agendu týkající se problematiky osobních údajů. Škola tak může mít všechny údaje na jednom místě, což je výhodné např. v případě kontroly ze strany dozorového orgánu.

Praktický dopad účinnosti GDPR přinese škole nejen řadu legislativních povinností, ale i sérii nových praktických činností, které bude muset vykonávat. Zpracování takových operací může výrazně zjednodušit a urychlit školní informační systém. Je ale třeba, aby byl na GDPR funkčně připraven.