GDPR a ERP: smlouva o zpracování osobních údajů podle čl. 28, subdodavatelé a data mimo EU

ERP obsahuje osobní údaje zaměstnanců (mzdy, docházka, rodná čísla, zdravotní pojišťovny), kontaktní osoby zákazníků a dodavatelů a často i údaje spotřebitelů z e-shopu. Vaše firma je správcem těchto údajů. Dodavatel cloudového ERP, hostingu nebo podpory s přístupem do databáze je obvykle zpracovatelem a podle čl. 28 obecného nařízení o ochraně osobních údajů (GDPR, nařízení (EU) 2016/679) s ním musíte mít smlouvu o zpracování (často nazývanou DPA). Bez ní porušujete povinnosti správce, i když dodavatel data chrání dobře. Před podpisem si ověřte seznam subdodavatelů, místo zpracování a postup při výmazu a ukončení.

Článek patří k přehledu rizika ERP projektu. Text není právní poradenství.

Kdo je kdo

U on-premise systému bez vzdáleného přístupu dodavatele nemusí být dodavatel zpracovatelem; jakmile ale do databáze přistupuje při podpoře, obvykle jím je.

Co musí obsahovat smlouva podle čl. 28

Podle čl. 28 odst. 3 GDPR smlouva stanoví předmět a dobu zpracování, povahu a účel, typ osobních údajů a kategorie subjektů údajů a povinnosti a práva správce. Zpracovatel se v ní zavazuje zejména:

1. zpracovávat údaje jen na doložené pokyny správce,
2. zajistit mlčenlivost osob, které s údaji pracují,
3. přijmout technická a organizační opatření podle čl. 32,
4. nezapojit dalšího zpracovatele bez předchozího povolení správce (konkrétního nebo obecného s možností vznést námitku),
5. pomáhat správci s vyřizováním žádostí subjektů údajů,
6. pomáhat s plněním povinností při porušení zabezpečení a posouzení vlivu,
7. po skončení služby údaje vymazat nebo vrátit podle rozhodnutí správce,
8. poskytnout informace potřebné k doložení souladu a umožnit audity.

Na co se ptát dodavatele

• Seznam subzpracovatelů a kde jsou (země, datová centra).
• Předávání mimo EU/EHP – pokud ano, na jakém základě (rozhodnutí o odpovídající ochraně, standardní smluvní doložky).
• Lhůta ohlášení incidentu správci (abyste stihli 72hodinovou lhůtu pro ohlášení ÚOOÚ podle čl. 33).
• Šifrování dat při přenosu a uložení, zálohy a jejich uchování.
• Přístupy podpory – kdo, kdy a jak se do vaší databáze dostane a zda se to loguje.
• Výmaz po ukončení a jeho potvrzení.

Přístupová práva uvnitř firmy

GDPR není jen smlouva s dodavatelem. V ERP nastavte role tak, aby:

Logování přístupů a pravidelná revize oprávnění (např. při odchodu zaměstnance) patří mezi základní opatření.

Doba uchování vs. výmaz

Osobní údaje v účetních dokladech musíte uchovat po dobu stanovenou zákonem o účetnictví (5, resp. 10 let) a zákonem o DPH (10 let). Mzdové doklady mají vlastní, delší lhůty podle předpisů o důchodovém pojištění (mzdové listy 45 kalendářních let po roce, kterého se týkají, u poživatelů starobního důchodu 10 let – § 35a odst. 4 zákona č. 582/1991 Sb.). Po uplynutí lhůt se údaje mají vymazat nebo anonymizovat. ERP by mělo umět skartaci nebo anonymizaci podle pravidel. Podrobnosti v článku archivace dat v ERP.

Modelový příklad: kontrola smlouvy

Ilustrativní firma zjistí, že dodavatel SaaS má v obchodních podmínkách jen odstavec „zpracováváme data v souladu s GDPR“. Postup:

1. Vyžádat samostatnou smlouvu o zpracování nebo přílohu s náležitostmi čl. 28.
2. Vyžádat seznam subzpracovatelů a informaci o předávání mimo EU.
3. Doplnit lhůtu ohlášení incidentu (např. bez zbytečného odkladu, nejpozději do 24 hodin).
4. Zapsat dodavatele do záznamů o činnostech zpracování (čl. 30), pokud je vedete.

Bezpečnostní stránku řeší článek kybernetická bezpečnost a ERP, smluvní ukončení odchod od dodavatele.

Mzdová data zaměstnanců v ERP

Mzdový modul zpracovává nejcitlivější údaje ve firmě: rodná čísla, údaje o zdravotní pojišťovně, exekuce, srážky ze mzdy, pracovní neschopnost nebo údaje o dětech pro daňové zvýhodnění. Při zavádění ERP proto zvažte:

• zda mzdy vést ve stejném systému jako obchod a sklad, nebo odděleně s přístupem jen pro mzdovou účetní,
• zda externí mzdová kancelář pracuje přímo ve vašem ERP (pak je zpravidla zpracovatelem a potřebujete smlouvu podle čl. 28),
• jak se data předávají do jednotného měsíčního hlášení zaměstnavatele a kdo má přístup k odeslaným hlášením,
• zda testovací prostředí neobsahuje ostrá mzdová data bez anonymizace.

Kdy uvažovat o posouzení vlivu (DPIA)

Posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR se vyžaduje u zpracování, které pravděpodobně představuje vysoké riziko pro práva osob – například rozsáhlé sledování nebo rozsáhlé zpracování zvláštních kategorií údajů. Běžné ERP malé firmy to zpravidla nebude, ale situace se mění, pokud k němu připojíte docházkový systém s biometrií, sledování polohy vozidel nebo hodnocení výkonu zaměstnanců. ÚOOÚ zveřejňuje seznam druhů zpracování, které posouzení vyžadují; ověřte ho před rozšířením systému.

Informační povinnost vůči zaměstnancům a zákazníkům

Zavedení ERP obvykle nemění účely zpracování, ale může změnit příjemce údajů (nový dodavatel, nové datové centrum). Zkontrolujte, zda vaše informace o zpracování osobních údajů pro zaměstnance a zákazníky popisuje kategorie příjemců a případné předávání mimo EU v souladu s novým stavem.

Časté otázky

Stačí, že dodavatel má certifikaci bezpečnosti?

Certifikace (např. podle normy ISO/IEC 27001) je dobrý signál, ale smlouvu podle čl. 28 nenahrazuje.

Musím jmenovat pověřence pro ochranu osobních údajů kvůli ERP?

Povinnost pověřence nevzniká zavedením ERP, ale podle povahy vaší činnosti (např. rozsáhlé zpracování zvláštních kategorií údajů jako hlavní činnost). Ověřte podle čl. 37 GDPR a výkladu ÚOOÚ.

Kdo odpovídá, když dodavatel data ztratí?

Vůči subjektům údajů a úřadu odpovídá správce, a to i za výběr zpracovatele. Zpracovatel odpovídá za porušení svých povinností. Regres vůči dodavateli závisí na smlouvě.

Zdroje

• Úřad pro ochranu osobních údajů – výklad GDPR, ohlašování porušení zabezpečení
• EUR-Lex – nařízení (EU) 2016/679 (GDPR)
• Zákony pro lidi – zákon č. 110/2019 Sb., o zpracování osobních údajů