Helios Red - GDPR

Aktuální verze z 1. 6. 2018, 13:38

Webinář o GDPR

Pokud v tomto článku nenajdete vše, co potřebujete, připravili jsme pro Vás webinář na stejné téma, jehož záznam si můžete zakoupit zde.
Nevíte, co to je webinář? Dozvíte se to zde.

GDPR obecně

viz GDPR na Helios.eu

Jádro systému (všechny moduly Helios Red)

Všechny úkony spojené s aplikací nařízení GDPR je v běžné praxi možné v HELIOS Red realizovat s pomocí standardních nástrojů a funkcí nebo mimo HELIOS Red. Řada činností, např. výpis nebo výmaz osobních údajů však může být spojena s velkou pracností. Z tohoto důvodu je v HELIOS Red od verze 9/10.18.0100 k dispozici i nadstandardní funkce GDPR – Ochrana osobních údajů. Další popis se týká uživatelů této funkce.
Ve všech modulech HELIOS Red je v menu Pomocné práce volba GDPR – Ochrana osobních údajů. V ní je k dispozici evidence subjektů osobních údajů, tj. fyzických osob evidovaných v systému HELIOS Red, případně i mimo něj. Dále je zde evidence účelů zpracování dat, souhlasů se zpracováním dat a dalších akcí, spojených s agendou GDPR.

Subjekty osobních údajů

Jde o číselník fyzických osob evidovaných v systému. Obsahuje identifikaci osoby (jméno, adresa, telefony, e-maily). Dále zde jsou evidovány zdroje informací, tj. způsob, jakým byly údaje o osobě získány (výběr z nabídky). Kromě hlavního zdroje informací lze zaevidovat i další zdroje s poznámkou, kterých údajů se tyto další zdroje týkají. Záznam o subjektu obsahuje i stav subjektu OÚ (Získány souhlasy, Vymazán, Pozastaveno zpracování), stavy subjektu se pak zobrazují na dokladech v HELIOS Red. U subjektu OÚ lze nastavit zákaz používání telefonů, e-mailů a adresních údajů – to je pak signalizováno na všech dokladech v HELIOS Red, kde jsou tyto údaje použité.
Záznam lze založit standardní funkcí „Nový“, ale běžný postup zakládání záznamů o subjektech OÚ je přiřazením u dokladu (faktura, objednávka apod.) nebo číselníku (Partneři, osobní karty v Personalistice) a bude popsán dále (viz Funkce GDPR na dokladech v HELIOS Red).
V položkách k záznamu o subjektu OÚ lze evidovat:

• Souhlasy se zpracováním OÚ: zde se vybírá kód souhlasu z předdefinovaného seznamu (viz dále „Souhlasy“), z tohoto seznamu se přenáší text souhlasu. Dále platnost souhlasu, případně i záznam o odvolání souhlasu.
• Účely zpracování OÚ: vybírá se kód účelu zpracování (viz dále „Účely zpracování“). Lze tak konkrétní osobě přiřadit záznam o konkrétním účelu zpracování jeho osobních údajů.
• Záznam o výpisu osobních údajů: eviduje se, kdy a kým byl dané osobě (na její žádost) vytvořen výpis evidovaných osobních údajů. Záznam se zakládá při spuštění funkce „Výpis údajů“.
• Záznam o výmazu: eviduje se, kdy a kým byl dané osobě (na její žádost) proveden výmaz OÚ. Záznam se zakládá při spuštění funkce „Výmaz údajů“.
• Záznam o pozastavení: eviduje se, kdy a kým bylo dané osobě pozastaveno zpracování OÚ. K tomu dochází zejména v případě, kdy se s danou osobou řeší nějaký požadavek, např. na výmaz OÚ. Zápis této položky nastavuje stav h lavičce na „Pozastaveno zpracování“.

Každý zpracovatel osobních údajů je povinen na základě žádosti subjektu OÚ vytvořit tzv. Výpis osobních údajů nebo provést Výmaz osobních údajů. Výmaz je možné technicky realizovat buď skutečným smazáním dat z databáze, nebo tzv. anonymizací, tj. ponecháním záznamu v databázi s tím, že některé údaje jsou přepsány tak, že z nich není možné určit, o jakou konkrétní osobu se jedná. HELIOS Red používá kombinaci těchto přístupů. Nad subjekty OÚ jsou k dispozici funkce:

Výpis údajů: tiskne informace o subjektu, účely zpracování OÚ svázané s daným subjektem, souhlasy udělené tímto subjektem a seznam všech záznamů v HELIOS Red, kde se osobní údaje dané osoby vyskytují. Po spuštění funkce nejprve prohledá data všech modulů v aktuálním roce + ve dvou předchozích letech. Podmínkou je, že přechody na nový rok byly provedeny standardním způsobem a v datech modulů jsou správně uloženy cesty k předchozímu roku. Nalezená data se zobrazí v tabulce, kde je třeba označit všechny záznamy k tisku (klávesa +), případně jen některé záznamy. Důvodem pro toto označení je, že přiřazení jednotlivých dokladů danému subjektu OÚ nemusí být zcela 100%. Pokud nejsou nastaveny na dokladech přímo vazby na subjekt OÚ (popis dále), pak se funkce pokouší „spárovat“ doklad se subjektem na základě shody jména, ulice, obce, PSČ nebo e-mailu zadaných na dokladech nebo v číselníku partnerů. V tabulce je ve sloupci „Ztotožněn“ uvedeno „Ano“, pokud jde o přímou vazbu mezi subjektem a dokladem/partnerem. Dále je ve sloupci „Důvod zařazení“ uvedeno, na základě jakých údajů byl doklad do výpisu zařazen. Kontrole nabídnutých údajů je třeba před tiskem a zejména před výmazem (viz dále) věnovat zvýšenou pozornost. O výpisu vzniká záznam v položkách subjektu OÚ.

Výmaz údajů: přepisuje (anonymizuje) jméno subjektu OÚ a maže další adresní a kontaktní údaje o subjektu. Výmaz se týká všech záznamů, nalezených a předem zobrazených stejným způsobem, jako u Výpisu údajů. O výpisu vzniká záznam v položkách subjektu OÚ.

Výjimkou jsou osobní údaje vedené v personální a mzdové evidenci. Výmaz těchto údajů podléhá řadě právních předpisů, které ukládají různě dlouhé doby archivace. Proto je nutné výmaz těchto dat provést speciální funkcí přímo v modulu Personalistika, popis najde v dokumentaci k tomuto modulu. POZOR: Výmaz je nevratnou operací a je vždy třeba důkladně zvážit všechny dopady, které spuštění této funkce bude mít!

Účely zpracování

Číselník účelů zpracování, tj. důvodů, z jakých jsou osobní data fyzických osob evidována. Obsahuje kód a popis účelu a dále:

• Právní důvod, tj. na základě čeho jsou data evidována. Nabídka obsahuje: Udělený souhlas, Plnění smlouvy se subjektem, Právní povinnost správce, Ochrana zájmů subjektu, veřejný zájem, Oprávněný zájem, většiny uživatelů HELIOS Red se budou týkat první tři důvody.
• Doba zpracování – po jakou dobu jsou data pro tento účel evidována, informativní údaj, není na něj navázána žádná další funkcionalita.
• Potřebný souhlas – slouží k možnosti provázat účel zpracování s vybraným souhlasem, účel se pak tiskne na výpisu OÚ, pokud je k subjektu OÚ navázán odpovídající souhlas (účel může být k subjektu OÚ navázán i napřímo, viz výše popis položek záznamu subjektu).
• Neaktivní – umožňuje označit záznamy, které se již nemají používat, na příznak není navázána žádná speciální funkcionalita, lze si nastavit např. filtry v nabídkách.
• Dotčené oblasti – určeno pro podrobnější popis účelu zpracování a také agend, dokladů, číselných řad apod., kde jsou data za tímto účelem evidována. Tiskne se na výpisu OÚ.
• Poznámka – interní poznámky, na výpisu OÚ se netiskne.

Definice souhlasů

Číselník souhlasů, obsahuje kód a popis, výchozí platnost v měsících, případě označí „neomezená“, příznak neaktivní (pouze pro možnost nastavení vlastních filtrů) a text souhlasu. Na základě výchozí platnosti se při založení konkrétního souhlasu u subjektu vyplňuje konkrétní datum platnosti. Text souhlasu se z číselníku přenáší do záznamu konkrétního souhlasu konkrétního subjektu OÚ (viz položky záznamu subjektu OÚ).

Funkce GDPR na dokladech v HELIOS Red

Na všech záznamech v modulech HELIOS Red, kde se pracuje s osobními údaji fyzických osob (jméno, adresa, telefony, e-maily) je v pásu ikon funkce GDPR – os.údaje.

Pomocí ní je možné založit a navázat záznam v seznamu subjektů OÚ, případně přiřadit již existující záznam subjektu OÚ. Provázání dokumentu se subjektem OÚ je programem realizováno dvojím způsobem:

1. Pokud je na dokumentu číslo partnera (vazba na číselník Partneři), pak se číslo založeného subjektu OÚ přiřazuje k záznamu v číselníku partnerů. Záznam v Partnerech stačí navázat jen jednou a projeví se na všech dokladech, kde je číslo Partnera vyplněné.
2. Pokud na dokumentu číslo partnera není nebo není vyplněno, pak se číslo subjektu OÚ přiřazuje přímo k dokladu. Pak je nutné navázat subjekt OÚ ke všem dokladům, které obsahují jeho osobní údaje.

Jestliže je ikona „GDPR“ zobrazena nevýrazně, znamená to, že k dokladu/partnerovi není žádný subjekt OÚ přiřazen (to bude případ všech dokladů, kde nejsou data fyzických osob, ale firem). Kliknutím na ikonu se zobrazí dotaz na přiřazení, po potvrzení se zobrazí seznam subjektů OÚ. Zde je možné buď vybrat již existující subjekt OÚ nebo (nejspíš častěji) založit nový subjekt pomocí funkce Nový (F4). V tomto případě se zobrazí karta nově založeného subjektu, do které se přenesou data z dokladu/partnera. V kartě je možné udělat úpravy, záznam se uloží po kliknutí na tlačítko „Uložit a zavřít“ (vpravo nahoře). Tím se dostane záznam mezi subjekty. Vlastní přiřazení pak proběhne po potvrzení OK (horní lišta seznamu) nebo klávesou Enter nebo dvojklikem na řádku seznamu.
U „spárovaných“ dokladů ikona GDPR vyjadřuje stav subjektu OÚ (viz výše Subjekty osobních údajů). Po kliknutí se zobrazí možnosti:

• Zobrazit přiřazený subjekt
• Upravit přiřazený subjekt
• Odstranit přiřazení subjektu – slouží k odstranění vazby mezi záznamem v subjektech OÚ a dokladem/partnerem. Záznam nadále zůstává v evidenci subjektů OÚ. Pokud je potře záznam ze subjektů odstranit, lze to udělat pouze v Subjektech OÚ (menu Pomocné práce/ GDPR).

Signalizace zákazu použití telefonů a e-mailů

Pokud je u subjektu OÚ nastaven zákaz, zobrazí se příslušný údaj barevně zvýrazněný.
Upozornění: Je třeba mít na paměti, že vše, co se týká GDPR se týká pouze dat fyzických osob. Zakládání subjektů OÚ a jejich provazování s doklady má tedy smysl pouze v případě, že se jedná o data fyzických osob, ne firem.

Přístupová práva

Ke všem funkcím, spojeným s GDPR, lze nastavit práva v rozšířeném nastavení práv v modu Správa systému. Nastavení práv věnujte pozornost, aby oprávnění k jednotlivým činnostem měli pouze zodpovědné osoby.

Modul Personalistika

Kromě funkcí, které jsou popsané u jádra aplikace HELIOS Red, jsou v modulu Personalistika některé odlišnosti a dodatečné funkce, které vyplývají z toho, že ve vedení personální a mzdové agendy se pracuje s výrazně vyšším počtem údajů, které mohou patřit do kategorie osobních údajů, než je tomu v ostatních dokladech HELIOS Red. Všechny funkce jsou soustředěny do modulu Personalistika.

Správa osobních údajů

Spouští se ve volbě menu Vstup dat. Zobrazí se seznam údajů, vedených na osobních kartách zaměstnanců (tj. subjektů osobních údajů), připojených databázích (nepřítomnost, rodina, funkce atd.) a ve mzdové evidenci (mzdy, bankovní účty, srážky – exekuce). U každého údaje je uvedeno, na základě jakého oprávnění je osobní údaj evidován, případně po jakou dobu je ze zákona povinnost data uchovávat. Možnosti jsou Zákonná povinnost a Udělený souhlas, případně je u některých údajů nastaveno, že Není osobní údaj. V programu jsou hodnoty přednastaveny, uživatelsky je možné definici podle potřeby upravit (v některých případech můžou existovat různé právní názory na to, co je a není osobním údajem, případně jak dlouho je potřeba údaje evidovat). Interpretace v údaji Roky je taková, že číslo vždy znamená počet let, počínaje od začátku roku následujícího po ukončení pracovního poměru. Číslo 0 znamená, že oprávnění k evidenci údaje zaniká po ukončení pracovního poměru, číslo 1 na konci roku následujícího po výstupu atd. Ke každému z osobních údajů může být navázán kód souhlasu, který je pro evidenci OÚ vyžadován. Platí to i pro Zákonnou povinnost – je možné si vyžádat souhlas k evidování údaje po uplynutí zákonné lhůty pro evidování. Běžně ale u údajů evidovaných na základě zákonné povinnosti není souhlas subjektu OÚ potřeba. Údaje je možné označit pro účely hromadného nastavení vlastní OÚ – viz dále popis funkcí.

Dostupné funkce:

• Oprava záznamu: lze měnit oprávnění, případně dobu archivace, doplnit vlastní komentář a připojit vzor souhlasu. Konkrétní souhlasy konkrétních osob (subjektů OÚ) se evidují v seznamu subjektů osobních údajů (viz popis u jádra HELIOS Red).
• Výmaz os. údajů: Výmaz personálních a mzdových osobních údajů není součástí standardní funkce jádra, je nutné ho dělat zvlášť v modulu Personalistika. Výmaz probíhá na základě definice osobních údajů, evidovaných souhlasů a data ukončení pracovního poměru. Z osobních karet jsou selektivně vymazány údaje, u kterých pominul zákonný důvod pro jejich evidování (od data výstupu uplynul příslušný počet let) a ty, u kterých je vyžadován souhlas a tento souhlas nebyl nalezen v evidenci souhlasů u konkrétního zaměstnance (subjektu OÚ). Obdobně jsou vymazány záznamy v připojených evidencích, tj. rodinných příslušnících, nepřítomnosti, funkcích, číslech účtů, srážkách ze mzdy, mzdových záznamů, ELDP atd.

Ve správě OÚ probíhá výmaz osobních údajů všech zaměstnanců podle výše uvedených pravidel. Vzhledem k tomu, že výmaz je nevratnou operací, je potřeba věnovat správné definici velkou pozornost a důkladně zvážit, kdy tuto funkci použít.

Osobní karty

Nad osobními kartami jsou kromě standardních funkcí popsaných u jádra HELIOS Red k dispozici tyto funkce GDPR:

• Hromadné doplnění subjektů a souhlasů (CTRL+F6):

Funkce slouží k hromadnému založení záznamů do evidence subjektů OÚ a jejich navázání na osobní karty. Je možné označit vybrané záznamy (sloupec Označení přidaný do seznamu záznamů) nebo funkci spustit nad všemi osobními kartami. Následně je možné vyplnit údaje, které budou zapsány ke všem (vytvářeným) subjektům osobních údajů. Po potvrzení těchto společných údajů program prochází seznam vybraných osobních karet a u každé zkontroluje, zda je přiřazený subjekt osobních údajů. Pokud ne, subjekt založí a k založení použije adresní údaje z osobní karty (stejně jako při ručním individuálním založení subjektu). K subjektům osobních údajů všech vybraných osobních karet jsou doplněny (nebo přepsány) hlavní zdroje informací (pokud byl hlavní zdroj zadán) a je přidán (pokud byl vyplněn) i příslušný souhlas. V případě, že jeden subjekt OÚ (tj. jeden zaměstnanec) má více osobních karet (více pracovních poměrů), pak se všechny tyto karty přiřazují stejnému subjektu OÚ. Program se při tom řídí nastavením „Další pracovní vztahy zaměstnance“, které se používá pro korekci daní. Jestliže toto není vyplněno, založí se pro každou osobní kartu samostatný subjekt.

• Výmaz osobních údajů (CTRL+F8):

Funkce slouží k výmazu OÚ pouze jednoho osobního čísla. Rozdíl proti hromadnému výmazu popsanému výše je v tom, že před vlastním výmazem se zobrazí seznam OÚ a jejich hodnot, u kterých jsou údaje k výmazu označeny na základě definice a dalších údajů (viz výše). Zde je ještě možnost seznam údajů k výmazu upravit. POZOR! Vlastní výmaz se už pak řídí pouze označením, takže je třeba případným změnám označení věnovat velkou pozornost!

• Výpis osobních údajů (CTRL+F10): tiskne osobní údaje evidované u aktuálního osobního čísla v personální a mzdové evidenci. Jde o část výpisu OÚ, který celý se tiskne nad seznamem subjektů OÚ (viz popis u jádra).

Modul Obchodní partneři

Aktivací funkce GDPR – ochrana osobních údajů v systému HELIOS Red se v pásu ikon (ribbonu) Přehledu obchodních partnerů zobrazí ikona GDPR- os.údaje:

Tato ikona zajišťuje napojení konkrétního partnera, na kterém je kurzor, svázat s konkrétním subjektem osobních údajů.

Přiřazení Subjektu osobních údajů k Partnerovi

V první fázi, kdy ještě k danému partnerovi není žádný subjekt přiřazen, se po stisku ikony objeví dotaz:

Odpovědí Ano dostaneme k dispozici seznam již existujících (založených) subjektů osobních údajů. V tom okamžiku je možné si buď nějaký subjekt vybrat (a provést přiřazení), nebo založit subjekt nový.
Pokud se má založit subjekt nový (stiskem příslušného tlačítka), jsou údaje o novém subjektu (jeho karta) předvyplněny údaji převzatými z adresy partnera.
Karta partnera:

Karta subjektu:

Kde je možné (a nutné) k subjektu osobních údajů přiřadit příslušné souhlasy (a nesouhlasy) se zpracováním osobních údajů, účely jejich zpracování, různé dokumenty a podobně, tak, jak je u daného subjektu třeba.
Po uložení se příslušný subjekt zařadí do nabídky subjektů:

A následně jej lze přiřadit (stiskem ENTER nebo OK) přiřadit k partnerovi. Pokud bylo přiřazení úspěšné, změní se ikona v pásu ikon:

Tento postup se pak opakuje pro všechny partnery, kteří jsou také subjekty osobních údajů.
V modulu Partneři je vytvořena zvláštní funkce, která dovoluje založit subjekty osobních údajů a provést jejich přiřazení k partnerům hromadně.

1. Nejprve je třeba vybrat a označit ty partnery, kteří jsou fyzickými osobami (na společnosti se ochrana osobních údajů dle GDPR nevztahuje) a se kterými se dá hromadně pracovat – viz společné údaje dále. Označení lze provádět standardními postupy (Insert, filtry…).

2. Pro ulehčení výběru je ve verzi 10 systému HELIOS Red přidán do seznamu zobrazitelných údajů údaj Fyz.osoba?, který nabývá hodnoty Ano u těch partnerů, kteří by mohli být fyzickými osobami, tedy kteří mají vyplněné pouze IČ nebo se neshoduje IČ s třetím až desátým znakem DIČ (u právnických osob – společností – se tyto znaky v České republice shodují). Z uvedeného plyne, že sloupec je spolehlivým údajem pouze v případě správného a úplného vyplnění IČ (a DIČ) a navíc pouze u tuzemských partnerů.

3. Spuštění se po výběru partnerů provede po stisku pravého tlačítka myši:

4. Následně je možné vyplnit údaje, které budou zapsány ke všem (vytvářeným) subjektům osobních údajů:

Po potvrzení těchto společných údajů program prochází seznam vybraných partnerů a u každého zkontroluje, zda je přiřazený (nějaký) subjekt osobních údajů. Pokud ne, subjekt založí a k založení použije adresní údaje z karty partnera (stejně jako při ručním individuálním založení subjektu). K subjektům osobních údajů všech vybraných partnerů jsou doplněny (nebo přepsány) hlavní zdroje informací a je přidán (pokud byly údaje vyplněny) i příslušný souhlas.

Signalizace zákazu použití telefonů a e-mailů

Po přiřazení subjektu osobních údajů k partnerovi jsou pak na základě udělených (a na subjektu vyznačených) souhlasů a nesouhlasů zobrazovány některé osobní údaje podbarvené:

(užití e- mailu a jednoho telefonního čísla není dovoleno – viz výše)

Záložka Kontakty

V modulu Partneři jsou pak dále evidováni v záložce Kontakty zástupci partnerů:

Za předpokladu, že se pohybujeme po tomto seznamu kontaktních osob, vztahuje se ikona GDPR - os.údaje v pásu ikon (a všechny její funkce) nikoli k partnerovi, ale právě k osobě (kontaktu), na kterém je kurzor. Lze tedy navázat subjekt osobních údajů i k jednotlivým kontaktním osobám (i firemních) partnerů. V tomto případě však není k dispozici žádná funkce k hromadnému založení subjektů osobních údajů, neboť nejsou k dispozici adresní údaje jednotlivých kontaktů. Ty se musí doplňovat ručně:

I zde jsou příslušné zákazy/souhlasy s užíváním osobních údajů následně zobrazeny na kartě kontaktu:

Modul Zakázky

V modulu Zakázky existují celkem tři různá místa, která mohou obsahovat osobní údaje, které podléhají GDPR:

• adresa odběratele
• zástupce odběratele
• adresa konečného příjemce

V zásadě se předpokládá, že veškeré tyto informace se získávají z číselníku obchodních partnerů. V tomto číselníku jsou pak příslušné informace o jednotlivých partnerech i jejich zástupcích navázány na Subjekty osobních údajů, pokud je toto požadováno. Tyto vazby se definují přímo ve správě číselníku partnerů. Z toho plyne jednoznačné doporučení zadat si jak údaje o odběrateli i jeho případném zástupci a také případném konečném příjemci, pokud spadající pod ochranu dle GDPR, do číselníku partnerů ještě před jejich zápisem na zakázku. Program potom dokáže ztotožnit údaje ze zakázky s konkrétními Subjekty osobních údajů a tato přiřazení použít ve funkcích správy osobních údajů dle GDPR – např.:

• zařadit zakázku mezi doklady, na kterých je Subjekt veden
• anonymizovat (vymazat) údaje o Subjektu ze zakázky
• podbarvovat pole s osobními údaji Subjektu na základě souhlasů s jejich užíváním

Přiřazení Subjektu osobních údajů k zakázce

K správě Subjektu osobních údajů slouží stejně jako v jiných modulech i zde příslušná ikona GDPR - os.údaje v pásu ikon:

Potom je důležité, které údaje na kartě zakázky jsou a které nejsou vyplněné. Podle toho se prostřednictvím ikony navazují Subjekty osobních údajů k jednotlivým částem karty zakázky.

1. Konečný příjemce je vybrán z číselníku partnerů

Pracuje se s partnerem, který je v číselníku partnerů pod tímto číslem uveden.

2. Pokud je konečný příjemce sice vyplněn, ale není uvedeno jeho číslo v číselníku

Pak se Subjekt osobních údajů vztahuje právě k uvedené adrese – vazba přes číselník partnerů se neaktivuje.

3. Konečný příjemce vyplněn není, odběratel je vybrán z číselníku

Pak se pracuje s partnerem, který je v číselníku partnerů pod tímto číslem uveden.

4. Konečný příjemce vyplněn není, odběratel není v číselníku

V tomto případě se Subjekt osobních údajů ztotožní přímo s uvedeným odběratelem.

Zástupce odběratele je s konkrétním Subjektem osobních údajů vždy svázán pouze prostřednictvím jeho vazby na odběratele. Z toho plyne, že pokud se vyplňuje Zástupce odběratele, musí odběratel existovat v číselníku partnerů a zástupce odběratele musí existovat mezi kontaktními osobami tohoto partnera. Jinak nelze zástupce odběratele jednoznačně svázat s konkrétním Subjektem osobních údajů.
I když tato vazba není definována, jsou přesto údaje o telefonech a e-mailové adrese kontrolovány, zda není (nějakým Subjektem) zakázáno jejich používání: