Zoznam aktuálnych kontrol - NKU

Bratislavský samosprávny kraj

IČO: 36063606
Sídlo: Sabinovská 16, 82005 Bratislava-Ružinov
Kontrolované obdobie: 2016-2019
Termín kontroly: 15.07.2019 - 05.11.2019
Stav kontroly: Ukončená

DataCentrum elektronizácie územnej samosprávy Slovenska (DEUS)

IČO: 45736359
Sídlo: Kýčerského 5, 81105 Bratislava-Staré Mesto
Kontrolované obdobie: 2016-2019
Termín kontroly: 17.07.2019 - 28.10.2019
Stav kontroly: Ukončená

Košický samosprávny kraj

IČO: 35541016
Sídlo: Námestie Maratónu mieru 1, 04266 Košice-Staré Mesto
Kontrolované obdobie: 2016-2019
Stav kontroly: Ukončená

Zistenia

                                        Prevádzkovateľ nekonal v súlade s čl. 1 ods. 1 nariadenia GDPR tým, že do doby jeho účinnosti, nedal do súladu pravidlá ochrany fyzických osôb pri spracovaní OÚ a pravidlá týkajúce sa voľného pohybu OÚ.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Prevádzkovateľ tým, že v prípade výberových konaní medzi požadovanými dokladmi vyžadoval aj súhlas dotknutej osoby so spracovaním OÚ konal v rozpore s čl. 7 ods. 4 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

Mesto Banská Bystrica

IČO: 00313271
Sídlo: Československej armády 26, 97401 Banská Bystrica
Kontrolované obdobie: 2016-2019
Termín kontroly: 10.07.2019 - 28.11.2019
Stav kontroly: Ukončená

Mesto Hanušovce nad Topľou

IČO: 00332399
Sídlo: Mierová 333/3, 09431 Hanušovce nad Topľou
Kontrolované obdobie: 2016-2019
Termín kontroly: 17.07.2019 - 17.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Mesto spracúvalo osobné údaje na právnom základe podľa čl. 6 ods. 1 písm. f/ nariadenia GDPR „oprávnený záujem“, ktorý sledoval prevádzkovateľ, a to v IS Kamerový systém, pričom pred spracúvaním osobných údajov nevykonal tzv. balančný test, resp. test proporcionality, či nad záujmami prevádzkovateľa neprevažujú záujmy dotknutých osôb v zmysle Metodického usmernenia ÚOOÚ č. 2/2018 a recitálu 47 k nariadeniu GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Mesto v bezpečnostnej dokumentácii nemalo upravené konkrétne kritériá, podľa ktorých posúdi a rozhodne, či porušenie ochrany osobných údajov povedie alebo nepovedie k riziku pre práva a slobody fyzických osôb, čo nebolo v súlade s čl. 33 ods. 1 a čl. 34 ods. 1 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Bezpečnostná politika mesta nebola vypracovaná v rozsahu podľa § 29 písm. a) výnosu 55/2014 Z. z., keď neobsahovala napríklad určenie špecifických zodpovedností a povinností v oblasti informačnej bezpečnosti alebo určenie aktív, ktoré sú pre povinnú osobu kritické, čo ich ohrozuje a zásady ich ochrany.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto neustanovilo konkrétnu osobu zodpovednú za informačnú bezpečnosť, čo nebolo v súlade s § 29 ods. c) a d) výnosu 55/2014 Z. z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nemalo zavedený postup pre disciplinárne konanie v prípade porušenia bezpečnostnej politiky, čo nebolo v súlade § 30 písm. d) výnosu 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto nemalo vypracovaný dokument podľa štandardu pre manažment rizík pre oblasti informačnej politiky podľa § 31 výnosu 55/2014 Z. z. Mesto neurčilo kritické procesy, ktoré by mohli prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS a nemalo vypracované plány na obnovu činnosti nefunkčných, poškodených alebo zničených kritických IS verejnej správy, čo nebolo v súlade s § 31 písm. d) a f) výnosu 55/2014 Z. z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        V čase výkonu kontroly nebola uskutočnená žiadna kontrola informačnej bezpečnosti, čo nebolo v súlade s  § 32 písm. a) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto nemalo vypracovaný dokument podľa štandardu pre sieťovu bezpečnosť a neviedlo evidenciu o všetkých miestach prepojenia sietí, ktoré boli v jej správe vrátane prepojení s externými sieťami, čo nebolo v súlade s § 34 výnosu č. 55/2014 Z. z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nemalo vypracovaný dokument podľa štandardu pre fyzickú bezpečnosť podľa § 35 výnosu č. 55/2014 Z. z. Zároveň nebola zabezpečená ochrana pred výpadkom zdroja elektrickej energie pre tie časti IS, ktoré vyžadujú nepretržitú prevádzku a neboli vypracované pravidlá pre vymazávanie, vyraďovanie a likvidáciu zariadení IS a všetkých záloh.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto nemalo vypracovaný dokument podľa štandardu pre monitorovanie a manažment bezpečnostných incidentov podľa § 37 výnosu č. 55/2014 Z. z. Mesto neviedlo evidenciu výpadku IS a spôsobu jeho riešenia.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nemalo vypracovaný dokument podľa štandardu pre zálohovanie a fyzické ukladanie dát podľa § 39 a § 40 výnosu č. 55/2014 Z. z. Archivačné zálohy sa v dvoch kópiách nevyhotovovali, čo nebolo v súlade s § 39 písm. a) a b) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto nemalo vypracovaný dokument podľa štandardu pre riadenie prístupu podľa § 41 výnosu č. 55/2014 Z. z. Mesto nezaviedlo identifikáciu používateľov pri vstupe do IS verejnej správy, neurčilo postup a zodpovednosť pre prideľovanie prístupových práv, nevypracovalo bezpečnostné zásady pre mobilné pripojenie do IS verejnej správy a pre prácu na diaľku, nevypracovalo pravidlá pre administrátorov systému a neviedlo formalizovanú dokumentáciu prístupových práva všetkých používateľov IS verejnej správy, čo nebolo v súlade s § 41 výnosu č. 55/2014 Z. z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nemalo vypracovaný dokument podľa štandardu pre účasť tretej strany podľa § 43 výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto Kysucké Nové Mesto

IČO: 00314099
Sídlo: Nám. Slobody 94, 02401 Kysucké Nové Mesto
Kontrolované obdobie: 2016-2019
Termín kontroly: 08.09.2019 - 29.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Mesto podmieňovalo vypísanie výberového konania (predzmluvný vzťah) súhlasom dotknutej osoby, čo nebolo v súlade s čl. 7 od. 4 Nariadenia (EÚ) a bolo to výsledkom nesprávnej aplikácie Nariadenia (EÚ).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Mesto spracúvalo osobné údaje prostredníctvom kamerového systému bez dôkladného posúdenia (balančného testu, resp. testu proporcionality), či nad záujmami prevádzkovateľa neprevažujú záujmy dotknutých osôb tak, ako to predpokladá Nariadenie (EÚ) a zdôrazňuje sa v recitáli 47 k Nariadeniu (EÚ).

Typ nedostatku: Odchýlka od súladu

                                        Mesto nemalo určenú zodpovednú osobu za informačnú bezpečnosť, čo nebolo v súlade 
s § 29 písm. c) výnosu MF SR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Ustanovenie zamestnanca do funkcie zodpovednej osoby pred účinnosťou Nariadenia (EÚ) bez úspešného absolvovania skúšky na výkon zodpovednej osoby nebolo v súlade s § 24 ods. 1 a 2 zákona 122/2013.

Typ nedostatku: Odchýlka od súladu

                                        Mesto nezabezpečilo plnenie úloh zodpovednej osoby pre mestskú knižnicu a informačný systém „Masmédiá mesta“ v súlade s čl. 39 ods. 1 Nariadenia (EÚ).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Mesto Leopoldov

IČO: 00312703
Sídlo: Hlohovská cesta 104/2, 92041 Leopoldov
Kontrolované obdobie: 2016-2019
Stav kontroly: Ukončená

Zistenia

                                        Mesto nemalo vypracovaný dokument podľa štandardu pre aktualizáciu IKT podľa § 42 výnosu MFSR 55/2014 Z. z ani postupy schvaľovacieho procesu pre zmeny existujúcich a zavedenie nových informačných systémom ISVS a IKT, ktorý zahŕňa bezpečnostné požiadavky podľa § 42 výnosu 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto Michalovce

IČO: 00325490
Sídlo: Námestie osloboditeľov 30, 07101 Michalovce
Kontrolované obdobie: 2016-2019
Termín kontroly: 08.08.2019 - 17.10.2019
Stav kontroly: Ukončená

Mesto Nováky

IČO: 00318361
Sídlo: Nám.SNP 349/10, 97271 Nováky
Kontrolované obdobie: 2016-2019
Termín kontroly: 10.07.2019 - 06.11.2019
Stav kontroly: Ukončená

Zistenia

                                        Preverením štandardov pre riadenie informačnej bezpečnosti bolo zistené, že mesto zodpovednosť za bezpečnosť a obsah každého významného aktíva nepriradilo konkrétnemu vlastníkovi (gestorovi) čo nebolo v súlade s ustanovením § 29 písm. f) výnosu, podľa ktorého štandardom pre riadenie informačnej bezpečnosti je určenie konkrétnej zodpovednosti za jednotlivé aktíva povinnej osoby.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Kontrolou štandardov pre personálnu bezpečnosť bolo zistené, že postup pre disciplinárne konanie v prípade porušenia bezpečnostnej politiky mesto nemalo upravené čo nebolo v súlade s ustanovením § 30 písm. d) výnosu, podľa ktorého štandardom pre personálnu bezpečnosť je vypracovanie postupu pre disciplinárne konanie vo vzťahu k zamestnancovi alebo vo vzťahu k tretej strane, ktorí porušia bezpečnostnú politiku povinnej osoby alebo niektorý zo súvisiacich predpisov.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Kontrolou jednotlivých štandardov manažmentu rizík pre oblasť informačnej bezpečnosti a štandardov pre kontrolný mechanizmus riadenia informačnej bezpečnosti bolo zistené, že uvedené štandardy mesto nemalo prijaté. Uvedený konanie mesta nebolo v súlade s ustanovením § 31 písm. d), f)  výnosu, podľa ktorých štandardom pre manažment rizík pre oblasť informačnej bezpečnosti je analyzovanie procesov povinnej osoby, ktoré sú podstatné pre plnenie činnosti povinnej osoby z hľadiska ich závislosti na informačných systémoch verejnej správy a určenie procesov, ktoré nemôžu prebiehať v prípade výpadku alebo  obmedzenia funkčnosti príslušných informačných systémov verejnej správy - tieto procesy sú kritickými procesmi a vypracovanie plánov na obnovu činnosti nefunkčných, poškodených alebo zničených kritických informačných systémov verejnej správy.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Kontrolou jednotlivých štandardov manažmentu rizík pre oblasť informačnej bezpečnosti a štandardov pre kontrolný mechanizmus riadenia informačnej bezpečnosti bolo zistené, že uvedené štandardy mesto nemalo prijaté. Uvedený konanie mesta nebolo v súlade s ustanovením § 32 písm. a) výnosu, podľa ktorého štandardom pre kontrolný mechanizmus riadenia informačnej bezpečnosti je dodržiavanie bezpečnostnej politiky povinnej osoby a zabezpečenie a vykonávanie vnútornej kontroly alebo auditu informačnej bezpečnosti, ktorého periodicita sa určuje v bezpečnostnej politike povinnej osoby.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Kontrolou sieťovej bezpečnosti bolo zistené, že mesto má zabezpečenú ochranu voči prístupu z vonkajšieho prostredia do IS a ochranu vnútorného prostredia formou firewallov, no nevedie evidenciu o všetkých miestach prepojenia sietí, ktoré sú v správe mesta vrátane prepojení s externými sieťami a problematiku sieťovej bezpečnosti nemá upravenú interným predpisom. Uvedený postup mesta nebol v súlade s ustanovením § 34 písm. b) výnosu, podľa ktorého štandardom pre sieťovú bezpečnosť je vedenie evidencie o všetkých miestach prepojenia sietí v správe povinnej osoby vrátane prepojení s externými sieťami, ktorými sú všetky prepojenia, ktoré nemá povinná osoba pod svojou správou.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Kontrolou fyzickej bezpečnosti a bezpečnosti prostredia bolo zistené, že mesto nemalo vypracované pravidlá pre údržbu, uchovávanie a evidenciu technických komponentov, čo nebolo v súlade s ustanovením § 35 písm. h) bod 1. výnosu, podľa ktorého štandardom pre fyzickú bezpečnosť a bezpečnosť prostredia je vypracovanie, zavedenie a kontrola dodržiavania pravidiel pre údržbu, uchovávanie a evidenciu technických komponentov informačného systému verejnej správy a zariadení informačného systému verejnej správy.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Kontrolou štandardov pre monitorovanie a manažment bezpečnostných incidentov bolo zistené, že mesto nemalo zavedenú evidenciu každého výpadku informačného systému a spôsobu jeho riešenia čo nebolo v súlade s ustanovením § 37 písm. d) výnosu, podľa ktorého štandardom pre monitorovanie a manažment bezpečnostných incidentov je zavedenie evidencie každého výpadku informačného systému verejnej správy a spôsobu jeho riešenia.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Kontrolou štandardov minimálneho technického zabezpečenia bolo zistené, že mesto nemalo zavedené štandardy pre periodické hodnotenie zraniteľnosti. Uvedený postup mesta nebol v súlade s ustanovením § 38 písm. a) a b) výnosu, podľa ktorého štandardom periodického hodnotenia zraniteľnosti je pravidelné hodnotenie slabých miest a ohrození informačného systému verejnej správy identifikovaných podľa bezpečnostnej politiky povinnej osoby s periodicitou najmenej raz ročne, umožnenie vykonávania neinvazívnych penetračných testov podľa § 22 zákona vo verejne dostupných programových prostriedkoch orgánom vedenia a podľa jeho pokynov na základe ich výsledkov prijímať potrebné opatrenia a informovať orgán vedenia o ich prijatí.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Preverením uvedených dokumentov a s nimi súvisiacich činností (zálohovanie a fyzické ukladanie záloh)  bolo zistené, že mesto nevytváralo archivačnú zálohu predpísaným spôsobom. V prípade archivačnej zálohy postup mesta nebol v súlade s ustanovením § 39 písm. b) výnosu, podľa ktorého štandardom pre zálohovanie je vytvorenie archivačnej zálohy v dvoch kópiách.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Preverením uvedených dokumentov a s nimi súvisiacich činností (zálohovanie a fyzické ukladanie záloh) bolo zistené, že mesto nevytváralo archivačnú zálohu predpísaným spôsobom. V prípade archivačnej zálohy postup mesta nebol v súlade s ustanovením § 40 písm. b) výnosu, podľa ktorého štandardom pre fyzické ukladanie záloh je fyzické ukladanie druhej kópie archivačnej zálohy v inom objekte ako sa nachádzajú technické prostriedky informačného systému verejnej správy, ktorého údaje boli archivované, tak aby bolo minimalizované riziko poškodenia alebo zničenia dátových nosičov archivačnej zálohy v dôsledku požiaru, záplavy alebo inej živelnej pohromy.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Preverením predloženej dokumentácie bolo zistené, že štandardy pre aktualizáciu informačno-komunikačných technológií mesto nemalo zavedené, čo nebolo v súlade s ustanovením § 42 písm. a) body 1. a 2. výnosu, podľa ktorých štandardom pre aktualizáciu informačno-komunikačných technológií je zavedenie postupov s počiatočným stanovením a zahrnutím bezpečnostných požiadaviek a schvaľovacieho procesu pre zmenu konfigurácie, zavádzanie nových alebo aktualizáciu a rozširovanie funkcionality existujúcich informačných systémov verejnej správy alebo ich častí; v prípade automatizovanej on-line aktualizácie sa schvaľovanie zavádza iba, ak si vyžaduje finančné zdroje alebo je aktualizácia príliš rozsiahla, zavádzanie nových informačno-komunikačných technológií u povinnej osoby najmä s ohľadom na zaistenie kompatibility a zachovanie potrebnej úrovne bezpečnosti.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Kontrolou bolo ďalej zistené, že mesto nevykonalo posúdenie vplyvu na ochranu osobných údajov, čím nepostupovalo v súlade s ustanovením článku 35 ods. 1 Nariadenia EU, podľa ktorého ak typ spracúvania, najmä s využitím nových technológií a s ohľadom na povahu, rozsah, kontext a účely spracúvania pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ pred spracúvaním vykoná posúdenie vplyvu plánovaných spracovateľských operácií na ochranu osobných údajov.

Typ nedostatku: Odchýlka od súladu

                                        V prípade zodpovednej osoby, ktorá nepodlieha priamo primátorovi mesto nepostupovalo v súlade s ustanovením článku 38 ods. 3 nariadenia, podľa ktorého zodpovedná osoba podlieha priamo najvyššiemu vedeniu prevádzkovateľa.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Mesto Piešťany

IČO: 00612031
Sídlo: Nám. SNP 3, 92145 Piešťany
Kontrolované obdobie: 2016-2019
Stav kontroly: Ukončená

Zistenia

                                        Smernica na ochranu osobných údajov bola aktualizovaná k 01.09.2019, čo nebolo v súlade so zákonom č.18/2018, ktotrý nadobudol účinnosť od 25.05.2018, kedy mala byť táto smernica aktualizovaná.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 18/2018 Z.z.

Mesto Považská Bystrica

IČO: 00317667
Sídlo: Centrum 2/3, 01713 Považská Bystrica
Kontrolované obdobie: 2016-2019
Termín kontroly: 23.07.2019 - 28.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Pracovný poriadok neobsahoval podmienku, že majetkové priznania zamestnancov sa spracúvajú v osobitnom IS a nezakladajú sa do osobného spisu zamestnanca, čo nebolo v súlade s ustanovením čl. 32 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Nakladanie s osobitnými kategóriami OÚ pri činnosti BOZP nebolo detailnejšie upravené. Tieto OÚ si vyžadovali zvýšenú ochranu a povinnosť mlčanlivosti podľa čl. 9 ods. 1 GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Pravidlá pre oblasť práv dotknutej osoby – pravidlá, postupy a oznámenia boli z hľadiska obsahu úplné, ale v niektorých prípadoch všeobecné. Vo viacerých prípadoch neobsahovali pravidlá aj podrobnosti ktoré sú uvedené v jednotlivých článkoch GDPR (napr. 14, 17 a 20).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Smernice neukladali povinnosť oprávnenej osobe viesť evidenciu v spise, z ktorého spracovávané OÚ pochádzali, že bola vytvorená kópia dokladu obsahujúceho OÚ, ani zákaz ponechávať dokumenty (spisy) odložené v opustenom (resp. uzamknutom) dopravnom prostriedku v súlade s čl. 24 ods. 1 a 2, čl. 25 ods. 1 a 2 GDPR a § 78 ods. 11 nového zákona o ochrane OÚ.

Typ nedostatku: Odchýlka od súladu

                                        Preverením bezpečnostných smerníc bolo zistené, že mesto neurčilo všetky okruhy bezpečnostných zásad pre prácu s pracovnou stanicou, s mobilnými prostriedkami IT, s prenosnými médiami a s internetom, čo nebolo v súlade s ustanoveniami článkov 24 a 25 GDPR a tiež s ustanovením podľa § 78 ods. 11 nového zákona o ochrane OÚ.
                                    
                                            Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu
                                        
                                            Porušený predpis: 18/2018 Z.z.

Mesto nekonalo v súlade s čl. 24 ods. 1 druhá veta nariadenia EÚ, keď nepreskúmalo a neaktualizovalo Bezpečnostný projekt z roku 2013 v zmysle štandardu pre riadenie informačnej bezpečnosti (§ 29 písm. a výnosu MF SR č. 55/2014 Z. z.).

Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nepreukázalo, že malo prijaté vhodné technické a organizačné opatrenia, aby zabezpečilo, že spracúvanie údajov sa vykonávalo v súlade s ustanovením čl. 24  nariadenia EÚ, čo nebolo v súlade s čl. 28 ods. 3 nariadenia EÚ.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Mesto Prešov

IČO: 00327646
Sídlo: Hlavná 73, 08001 Prešov
Kontrolované obdobie: 2016-2019
Termín kontroly: 21.07.2019 - 17.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Mesto nemalo zavedený postup pre disciplinárne konanie v prípade porušenia bezpečnostnej politiky.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto nemalo vypracovaný dokument podľa štandardu pre manažment rizík pre oblasti informačnej politiky podľa § 31 výnosu MF SR o štandardoch pre IS verejnej správy. Neboli určené kritické procesy, ktoré by mohli prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nemalo zavedené evidenciu každého výpadku IS a spôsobu jeho riešenia.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto nemalo vypracovaný dokument podľa štandardu pre periodické hodnotenie zraniteľnosti.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

Mesto Sabinov

IČO: 00327735
Sídlo: Námestie slobody 57, 08301 Sabinov
Kontrolované obdobie: 2016-2019
Termín kontroly: 16.07.2019 - 17.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Bezpečnostná politika mesta nebola vypracovaná v rozsahu podľa § 29 písm. a) výnosu MF SR o štandardoch pre IS verejnej správy, keď neobsahovala napríklad určenie špecifických zodpovedností a povinností v oblasti informačnej bezpečnosti alebo určenie aktív, ktoré sú pre povinnú osobu kritické, čo ich ohrozuje a zásady ich ochrany.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto neustanovilo konkrétnu osobu zodpovednú za informačnú bezpečnosť-

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nemalo zavedený postup pre disciplinárne konanie v prípade porušenia bezpečnostnej politiky.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto nemalo vypracovaný dokument podľa štandardu pre manažment rizík pre oblasti informačnej politiky podľa § 31 výnosu MF SR o štandardoch pre IS verejnej správy. Neboli určené kritické procesy, ktoré by mohli prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS a vypracované plány na obnovu činnosti nefunkčných, poškodených alebo zničených kritických IS verejnej správy.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nemalo vypracovaný dokument podľa štandardu pre periodické hodnotenie zraniteľnosti, čo nebolo v súlade s § 38 výnosu MF SR o štandardoch pre IS verejnej správy, podľa ktorého štandardom pre periodické hodnotenie zraniteľnosti je pravidelné hodnotenie slabých miest a ohrození IS verejnej správy identifikovaných podľa bezpečnostnej politiky povinnej osoby s periodicitou najmenej raz ročne.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto nemalo vypracovaný dokument podľa štandardu pre riadenie prístupu podľa § 41 výnosu MF SR o štandardoch pre IS verejnej správy. Mesto neurčilo postup a zodpovednosť pre prideľovanie prístupových práv, nevypracovalo bezpečnostné zásady pre mobilné pripojenie do IS verejnej správy a pre prácu na diaľku a nevypracovalo pravidlá pre administrátorov systému, čo nebolo v súlade s § 41 výnosu MF SR o štandardoch pre IS verejnej správy

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Mesto nemalo vypracovaný dokument podľa štandardu pre aktualizáciu informačno-komunikačných technológií podľa § 42 výnosu MF SR o štandardoch pre IS verejnej správy a dokument podľa štandardu pre účasť tretej strany podľa § 43 výnosu MF SR o štandardoch pre IS verejnej správy.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Mesto Trenčín

IČO: 00312037
Sídlo: Mierové námestie 2, 91164 Trenčín
Kontrolované obdobie: 2016-2019
Termín kontroly: 18.07.2019 - 05.11.2019
Stav kontroly: Ukončená

Zistenia

                                        Preverením štandardov pre riadenie informačnej bezpečnosti bolo zistené, že mesto zodpovednosť za bezpečnosť a obsah každého významného aktíva nepriradilo konkrétnemu vlastníkovi (gestorovi), čo nebolo v súlade s ustanovením § 29 písm. f) výnosu, podľa ktorého štandardom pre riadenie informačnej bezpečnosti je určenie konkrétnej zodpovednosti za jednotlivé aktíva povinnej osoby.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

V prípade archivačnej zálohy postup mesta nebol v súlade s ustanovením § 39 písm. a) a b) výnosu, podľa ktorých štandardom pre zálohovanie je zabezpečenie archivačnej zálohy podľa periodicity určenej v bezpečnostnej politike povinnej osoby, najmenej raz za dva mesiace, ak ide o archivačnú zálohu a vyhotovenie archivačnej zálohy v dvoch kópiách.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        V prípade archivačnej zálohy postup mesta nebol v súlade s ustanovením  § 40 písm. a) a b) výnosu, podľa ktorých štandardom pre fyzické ukladanie záloh je ukladanie jednej kópie archivačnej zálohy do uzamykateľného priestoru a druhej kópie archivačnej zálohy ukladanie v inom objekte ako sa nachádzajú technické prostriedky informačného systému verejnej správy, ktorého údaje boli archivované, tak aby bolo minimalizované riziko poškodenia alebo zničenia dátových nosičov archivačnej zálohy v dôsledku požiaru, záplavy alebo inej živelnej pohromy.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Preverením predloženej dokumentácie bolo zistené, že štandardy pre aktualizáciu informačno-komunikačných technológií mesto nemalo zavedené, čo nebolo v súlade s ustanovením § 42 písm. a) body 1. a 2. výnosu, podľa ktorých štandardom pre aktualizáciu informačno-komunikačných technológií je zavedenie postupov s počiatočným stanovením a zahrnutím bezpečnostných požiadaviek a schvaľovacieho procesu pre zmenu konfigurácie, zavádzanie nových alebo aktualizáciu a rozširovanie funkcionality existujúcich informačných systémov verejnej správy alebo ich častí; v prípade automatizovanej on-line aktualizácie sa schvaľovanie zavádza iba, ak si vyžaduje finančné zdroje alebo je aktualizácia príliš rozsiahla, zavádzanie nových informačno-komunikačných technológií u povinnej osoby najmä s ohľadom na zaistenie kompatibility a zachovanie potrebnej úrovne bezpečnosti.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

Mesto Trnava

IČO: 00313114
Sídlo: Hlavná 1/1, 91771 Trnava
Kontrolované obdobie: 2016-2019
Stav kontroly: Ukončená

Mesto Zlaté Moravce

IČO: 00308676
Sídlo: 1. mája 2, 95301 Zlaté Moravce
Kontrolované obdobie: 2016-2019
Termín kontroly: 23.07.2019 - 23.10.2019
Stav kontroly: Ukončená

Mesto Žarnovica

IČO: 00321117
Sídlo: Nám. SNP 33, 96681 Žarnovica
Kontrolované obdobie: 2016-2019
Termín kontroly: 10.07.2019 - 29.09.2019
Stav kontroly: Ukončená

Mesto Želiezovce

IČO: 00307696
Sídlo: SNP 2, 93701 Želiezovce
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 28.10.2019
Stav kontroly: Ukončená

Ministerstvo práce, sociálnych vecí a rodiny Slovenskej republiky

IČO: 00681156
Sídlo: Špitálska 4-6, 81643 Bratislava-Staré Mesto
Kontrolované obdobie: 2016-2019
Termín kontroly: 11.07.2019 - 29.10.2018
Stav kontroly: Ukončená

Ministerstvo spravodlivosti Slovenskej republiky

IČO: 00166073
Sídlo: Župné nám. 13, 81311 Bratislava-Staré Mesto
Kontrolované obdobie: 2016-2019
Termín kontroly: 14.07.2019 - 28.10.2019
Stav kontroly: Ukončená

Nitriansky samosprávny kraj

IČO: 37861298
Sídlo: Rázusova 2A, 94901 Nitra
Kontrolované obdobie: 2016-2019
Termín kontroly: 31.07.2019 - 29.10.2019
Stav kontroly: Ukončená

Obec Babie

IČO: 00332241
Sídlo: Babie 9, 09431 Babie
Kontrolované obdobie: 2016-2019
Termín kontroly: 06.08.2019 - 27.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Starostka obce bola ZO v období od 29.05.2018 do 30.07.2019, čo nebolo v súlade s čl. 37 ods. 5 a ods. 6 Nariadenia GDPR.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Registratúrny poriadok neobsahoval podrobnosti o postupe pri spracovaní elektronických registratúrnych záznamov a ich ochrane, čím nebol dodržaný súlad s § 16a zákona č. 395/2002 Z. z. a ich ochrane podľa § 24a vyhlášky MV SR č. 628/2002 Z. z

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 628/2002 Z.z.

                                        Obec do času, keď starostka obce bola aj ZO nepreskúmala nové povinnosti, ktoré prinášalo Nariadenie GDPR oproti zákonu č. 122/2013 Z. z. Zároveň nepreskúmala všetky IS, v ktorých spracúvala OÚ, neurčila okruh spracovateľských činností, ktoré mohli viesť k vysokému riziku pre práva a slobody fyzických osôb a nevykonala posúdenie vplyvu na OOÚ. Uvedené skutočnosti neboli v súlade s ustanovením § 24 ods. 1 Nariadenia GDPR
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Kontrolou bolo zistené, že nedošlo k uzatvoreniu dohody podľa čl. 26 ods. 1 Nariadenia GDPR medzi spoločnými prevádzkovateľmi v súvislosti s určením ich zodpovedností za plnenie povinností najmä pokiaľ išlo o vykonávanie práv dotknutej osoby, poskytovať jej informácie uvedené v článkoch 13 a 14 podľa uvedeného nariadenia.

Typ nedostatku: Formálna nezrovnalosť

                                        Obec neuzatvorila s SOÚ Sveržov, ktorý jej zabezpečoval personálnu agendu zmluvu o sprostredkovaní, čo nebolo v súlade s čl. 28 ods. 3 Nariadenia GDPR.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Kontrolou bolo zistené, že dodávatelia informačných systémov neboli poučení o schválenej bezpečnostnej politike povinnej osoby a o povinnostiach z nej vyplývajúcich pre tretie osoby podľa ustanovenia § 30 písm. a) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        V oblasti manažmentu rizík bolo zistené, že obec neurčila okruh kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS podľa ustanovenia § 31 písm. d) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec ako prevádzkovateľ neviedla evidenciu o všetkých miestach prepojenia sietí, ktoré boli v správe obce vrátane prepojení s externými sieťami, čo nebolo v súlade s ustanovením § 34 písm. b) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec mala definované intervaly pre vykonávanie záloh a ich fyzického ukladania, ale nemala zadefinované oblasti, ktoré povinne podliehali zálohovaniu a tiež nemala vypracovaný dokument podľa štandardu pre zálohovanie, čo nebolo v súlade s § 39 výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec neviedla formalizovanú dokumentáciu prístupových práv všetkých používateľov podľa ustanovenia § 41 písm. j) výnosu č. 55/2014 Z. z., čo nebolo v súlade s citovanými ustanoveniami výnosu.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec tým, že nemala vypracovaný prevádzkový dokument podľa štandardu pre aktualizáciu IKT podľa § 42 výnosu č. 55/2014 Z. z. a nemala zavedené postupy ani schvaľovací proces pre zavedenie nových ISVS a IKT, nepostupovala v súlade s vyššie citovaným výnosom.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nemala vypracovaný dokument podľa štandardu pre účasť tretej strany podľa ustanovenia § 43 výnosu č. 55/2014 Z. z. a ani bližšie špecifikované procesy súvisiace s činnosťou tretej strany v IS obce.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

Obec Baláže

IČO: 00313297
Sídlo: Baláže 10, 97611 Baláže
Kontrolované obdobie: 2016-2019
Termín kontroly: 10.07.2019 - 29.09.2019
Stav kontroly: Ukončená

Obec Belža

IČO: 00323951
Sídlo: Belža 0, 04458 Belža
Kontrolované obdobie: 2016-2019
Termín kontroly: 16.07.2019 - 07.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Kontrolou bolo zistené, že od 25.05.2018 do 08.10.2019 obec ako prevádzkovateľ a na druhej strane sprostredkovateľ spracúvali osobné údaje na základe sprostredkovateľskej zmluvy, ktorá nebola v súlade s  nariadením GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 2016/679

Obec Bojničky

IČO: 00312274
Sídlo: Bojničky 90, 92055 Bojničky
Kontrolované obdobie: 2016-2019
Stav kontroly: Ukončená

Zistenia

                                        Obec nevypracovala pravidlá, podľa ktorých oprávnené osoby prevádzkovateľa postupovali, ak je právnym základom spracúvanie OÚ súhlas dotknutej osoby, čo nebolo v súlade  s čl. 6 ods. 1 písm. a) GDPR, v ktorom sú určené pravidlá pre zákonnosť spracúvania OÚ.
                                    
                                            Typ nedostatku: Finančná nezrovnalosť

Obec nemala vypracované pravidlá, podľa ktorých oprávnené osoby rozhodovali o tom, či prenos OÚ do tretích krajín alebo medzinárodným organizáciám bol možný a pri prenosoch vyžadujúcich primerané záruky, čo nebolo v súlade s čl. 6 ods. 1 písm. a) nariadenia GDPR a čl. 46 nariadenia GDPR, v ktorom sú určené pravidlá pre zákonnosť spracúvania OÚ a primerané záruky pre prenos údajov do tretích krajín.

Typ nedostatku: Finančná nezrovnalosť

                                        Kontrolou bolo zistené, že postup pri niektorých pravidlách nebol kontrolovaným subjektom konkrétne upravený, čím obec nepostupovala v súlade s:
- čl. 18 ods. 3 nariadenia GDPR, podľa ktorého, kontrolovaný subjekt informuje dotknuté osoby, ktoré dosiahli obmedzenie spracúvania, pred tým, ako bude obmedzenie zrušené,
- čl. 24 ods. 1 a ods. 2 nariadenia GDPR, podľa ktorého prevádzkovateľ príjme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením (GDPR).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec neanalyzovala dopady spracúvania osobných údajov pre práva a slobody fyzických osôb a nevykonala posúdenie vplyvu na ochranu údajov. Tým, že obec nevykonala posúdenie vplyvu spracúvania osobných údajov, obec nekonala v súlade s ustanovením § 35 ods. 1 a 3 písm. a) a c) nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        V oblasti manažmentu rizík bolo zistené, že obec neurčila okruh kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS podľa ustanovenia § 31 písm. d) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nemala vypracovaný dokument podľa štandardu pre aktualizáciu IKT podľa § 42 výnosu MFSR 55/2014 Z. z ani postupy schvaľovacieho procesu pre zmeny existujúcich a zavedenie nových informačných systémom ISVS a IKT, ktorý zahŕňa bezpečnostné požiadavky podľa § 42 výnosu 55/2014 Z. z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

Obec Bočiar

IČO: 00690171
Sídlo: Bočiar 0, 04457 Bočiar
Kontrolované obdobie: 2016-2019
Termín kontroly: 16.07.2019 - 29.09.2019
Stav kontroly: Ukončená

Zistenia

                                        V kontrolovanom období mala obec vypracované viaceré pravidlá, podľa ktorých oprávnené osoby prevádzkovateľa postupovali pri operáciách súvisiacich s osobnými údajmi. Bezpečnostná smernica na ochranu osobných údajov č. 1/2014 z 19.10.2015, nebola aktualizovaná od 25.05.2018 v súlade s nariadením GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 2016/679

Kontrolovaný subjekt nemal vypracované pravidlá podľa štandardov pre aktualizáciu softvéru, zálohovanie a fyzické ukladanie záloh, aktualizáciu informačno-komunikačných technológií, účasť tretej strany s výnosom č. 55/2014 Z. z..

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Obec vo svojich pravidlách nevymedzila pracovné pozície, ktoré by boli nezlučiteľné s výkonom funkcie zodpovednej osoby. Napriek tomu obec pri určení zodpovednej osoby neskúmala, či výkon funkcie zodpovednej osoby nepovedie ku konfliktu záujmov. Kontrolovaný subjekt porušil nariadenia GDPR tým, že určil zodpovednú osobu, ktorá podľa pracovnej zmluvy vykonávala činnosti, ktoré boli nezlučiteľné s výkonom funkcie zodpovednej osoby.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 2016/679

Obec Bystré

IČO: 00332275
Sídlo: Bystré 98, 09434 Bystré
Kontrolované obdobie: 2016-2019
Termín kontroly: 01.08.2019 - 17.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Obec v oblasti zabezpečenia personálnej bezpečnosti vo svojich interných smerniciach nevypracovala postup pre disciplinárne konanie v prípade porušenia bezpečnostnej politiky
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec neurčila kritické procesy, ktoré by mohli prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

Obec Dlžín

IČO: 00648221
Sídlo: Dlžín 0, 97226 Dlžín
Kontrolované obdobie: 2016-2019
Termín kontroly: 17.07.2019 - 29.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Obec v oblasti interných aktov riadenia nemala bližšie špecifikované postupy, ako nakladať s OÚ dotknutých osôb:
- pri sprístupňovaní informácií podľa zákona o slobode informácií
- pri zverejňovaní zmlúv, objednávok a faktúr
- pri predkladaní a uchovávaní majetkových priznaní zamestnancov obce
- pri zabezpečovaní bezpečnosti a ochrany zdravia pri práci.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nemala uzatvorenú zmluvu so sprostredkovateľom a nepreverovala, či sprostredkovateľ spĺňal všetky podmienky aj podľa nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 nariadenia GDPR, keď interné akty riadenia nešpecifikovali presné pokyny pre oprávnené osoby, napr. pri uplatňovaní si práva na obmedzenie spracúvania svojich OÚ, pre posudzovanie, či ide alebo nejde o situáciu, že oznámenie je nemožné, resp. si to vyžaduje neprimerané úsilie ako aj podrobnosti o tom, aké vhodné opatrenia zaviedol prevádzkovateľ na zaručenie práv a slobôd oprávnených záujmov dotknutej osoby.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 nariadenia GDPR, keď interné akty riadenia neukladali viaceré povinnosti používateľovi, najmä keď nebol určený postup pri komunikácii so sprostredkovateľom, nebola zabezpečená diskrétnosť pri spracúvaní OÚ pri ich získavaní od inej osoby.

Typ nedostatku: Odchýlka od súladu

                                        Tým, že obec neurčila všetky okruhy bezpečnostných zásad pre prácu s mobilnými prostriedkami IT, s prenosnými média a s internetom, nepostupovala v súlade s ustanoveniami článkov 24 a 25 GDPR a tiež s ustanovením podľa § 78 ods. 11 zákona č.18/2018 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu
                                        
                                            Porušený predpis: 18/2018 Z.z.

Organizácia neaplikovala vypracované pseudonymizačné techniky v žiadnom IS a nemala špecifikované a zavedené pravidlá šifrovacích techník na ochranu OÚ podľa čl. 32 ods. 1 písm. a) nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Preverením predložených bezpečnostných dokumentov bolo zistené, že obec nepreskúmala a neaktualizovala bezpečnostné smernice pre riadenie informačnej bezpečnosti v zmysle štandardu pre riadenie informačnej bezpečnosti podľa ustanovenia § 29 písm. a) výnosu MF pre IS, čo nebolo v súlade s čl. 24 ods. 1 druhá veta nariadenia EÚ.
                                    
                                            Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec neinformovala ÚOOÚ SR o určení ZO, čím nekonala v súlade s článkom 37 ods. 7 GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Obec nemala so spoločnosťou ktorá pre obec poskytovala služby BOZP a požiarnej ochrany uzatvorenú zmluvu o ochrane OÚ, ktorá by okrem iného riešila podmienky za ktorých je sprostredkovateľ oprávnený zapojiť do spracúvania ďalšieho sprostredkovateľa v zmysle čl. 28 ods. 2 a 4 GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec Dolné Otrokovce

IČO: 00312428
Sídlo: Dolné Otrokovce 44, 92061 Dolné Otrokovce
Kontrolované obdobie: 2016-2019
Termín kontroly: 17.07.2019 - 24.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Kontrolou interného predpisu upravujúceho pravidlá a postup pri zverejňovaní zmlúv, objednávok a faktúr bolo zistené, že tento neobsahuje postupy oprávnených osôb  pri zverejňovaní zmlúv, najmä aké údaje fyzických osôb možno zverejniť.  Interný predpis upravujúci uchovávanie majetkových priznaní zamestnancov obec vypracovaný nemá ako aj postupy pri poistení zamestnanca vyslaného na pracovnú cestu v zmysle čl. 32 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec neanalyzovala a nepreskúmala sprostredkovateľské zmluvy a zmluvy s externými subjektami, ktorí mali postavenie sprostredkovateľa, či spĺňajú podmienky podľa nariadenia GDPR v zmysle čl. 28,29 a 32 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Postupy prenosu osobných údajov do tretích krajín obec  v zmysle článku 44 až 46 nariadenia GDPR stanovené nemala.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou spracúvania osobných údajov na základe súhlasu dotknutej osoby bolo zistené, že tento nebol v období po 25.5.2018 poskytovaný v zmysle § 5 písm. a) a § 14 zákona č. 18/2018 Z. z. Obec Dolné Otrokovce využívala vzory Súhlasov so spracovaním osobných údajov na základe už neplatného zákona č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 84/2014 Z. z.

Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu Porušený predpis: 18/2018 Z.z., 18/2018 Z.z.

                                        V rámci transparentnosti poskytovaných informácií dotknutým osobám NKÚ SR zistil, že obec na svojom webovom sídle neinformuje dotknuté osoby o  ich práve na prístup k osobným údajom,  na opravu osobných údajov, na výmaz, obmedzení spracúvania osobných údajov, prenosnosti osobných údajov, práve namietať proti spracúvaniu, práve udelený súhlas odvolať, lehotách na vybavenie, práve dotknutej osoby podať sťažnosť dozornému orgánu, IS v ktorých spracúva osobné údaje v zmysle čl. 12 ods. 1 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec neviedla evidenciu o jednotlivých oprávnených osobách, do ktorých IS majú prístup ako aj ich oprávnení. v zmysle čl. 32 ods. 4 Nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        V prípade zmeny prístupových práv v IS obec opätovné poučenie nevykonáva a nemá ho stanovený v internom predpise v zmysle čl. 24 ods.1 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou bolo zistené, že požiadavka na zložitosť hesla pri identifikácii a autentizácii neobsahuje minimálne osem znakov. Podľa interných predpisov je to iba šesť znakov, čím je ohrozená ochrana práv a slobôd fyzických osôb pri spracúvaní osobných údajov podľa pravidiel GDPR. Smernice taktiež neupravujú povinnosť používateľovi prenášať mobilné prostriedky IT v ochranných obaloch určených na tento účel a nezakazuje mobilné prostriedky IT pripájať do verejných dátových sietí vo voľne prístupných kaviarňach, letiskách, nákupných centrách a dopravných prostriedkoch v zmysle čl. 24 ods. 1 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Kontrolou bolo zistené, že obec nevykonala posúdenie vplyvu na ochranu OÚ v rámci IS, ktoré prevádzkuje v zmysle čl. 35 Nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Bezpečnostná dokumentácia obce nespĺňala štandardy pre riadenie informačnej bezpečnosti v zmysle § 29 písm. c) d), § 31 písm. f), a § 32 písm. a) výnosu č. 55/2014 Z .z.

Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu, Odchýlka od súladu Porušený predpis: 55/2014 Z.z., 55/2014 Z.z., 55/2014 Z.z.

                                        Kontrolou bolo zistené, že obec nezverejnila informácie o zodpovednej osobe v zmysle článku 37 ods. 7. nariadenia GDPR. Nepreverila odborné kvality v oblasti práva a OOÚ v zmysle čl. 37 ods. 5 nariadenia GDPR. 
V súvislosti so spracovaním a ochranou osobných údajov zodpovedná osoba nepredložila vedeniu obce žiadne návrhy, odporúčania, rady  ani konzultácie podľa článku 39 ods.1 písm. a) b) nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou bolo zistené, že v pozícii sprostredkovateľa bolo niekoľko dodávateľov. Obec však nepreverovala, či poskytujú dostatočné záruky na to, že príjmu primerané technické a organizačné opatrenia v súlade s GDPR podľa čl. 28 ods. 1 nariadenia GDPR ako aj, či sprostredkovateľ sám neurčil účely a prostriedky spracúvania osobných údajov v zmysle čl. 28 ods.10 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

Obec Gbeľany

IČO: 00321273
Sídlo: Urbárska 366/3, 01302 Gbeľany
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 07.10.2019
Stav kontroly: Ukončená

Zistenia

                                        V Bezpečnostnej dokumentácií - časť IT smernica boli zadefinované úlohy pre správcu siete. Táto funkcia v kontrolovanom období nebola zriadená a obsadená. Uvedené nebolo v súlade s ustanovením čl.24 ods. 1 Nariadenia (EÚ), podľa ktorého prevádzkovateľ prijme vhodné technické a organizačné opatrenia s ohľadom na povahu, rozsah, kontext a účely spracúvania
                                    
                                            Typ nedostatku: Odchýlka od súladu

Pravidlá a postup pri zverejňovaní zmlúv, objednávok a faktúr mala obec vypracované v internom predpise „Zásady poskytovania informácií“. Tento predpis neobsahoval podrobnosti o tom, ako postupovať pri sprístupňovaní osobných údajov fyzických osôb.

Typ nedostatku: Odchýlka od súladu

                                        Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia (Bezpečnostný projekt a Bezpečnostná dokumentácia) neobsahovali a nešpecifikovali presné pokyny pre oprávnené osoby.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec ako prevádzkovateľ konala nad rámec ustanovenia čl. 6 ods. 1 písm. b) Nariadenia (EÚ),keď vyhlásila výberové konanie, v rámci ktorého podmienila účasť vo výberovom konaní predložením písomného súhlasu uchádzača so spracúvaním osobných údajov na účely výberového konania.

Typ nedostatku: Odchýlka od súladu

                                        Nebol uplatnený správny základ spracúvania osobných údajov. Uzatvorenie zmluvy bolo podmienené poskytnutím súhlasu dotknutej osoby, a to napriek tomu, že sa jednalo o zmluvný základ spracúvania osobných údajov podľa čl. 6 ods. 1 písm. b) Nariadenia (EÚ) – spracúvanie bolo nevyhnutné na plnenie zmluvy.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Porušenie čl. 7 bod. 3 Nariadenia (EÚ), podľa ktorého odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie. Obec zaviazala dotknutú osobu, že odvolanie súhlasu je možné len písomnou formou na adresu obce, aj keď zmluva bola uzatvorená osobne.

Typ nedostatku: Odchýlka od súladu

                                        Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia neobsahovali a nešpecifikovali presné pokyny pre oprávnené osoby, a to nebola špecifikovaná metodika tzv. balančného testu, resp. miera posúdenia.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Interný akt riadenia neurčoval podrobnosti, aké informácie má oprávnená osoba poskytnúť dotknutej osobe, ak išlo o rozhodnutie založené výlučne na automatizovanom spracúvaní. Nebola upravená metodika, akým spôsobom oprávnená osoba rozhodne/posúdi, či poskytnutie kópie s osobnými údajmi dotknutej osobe nebude mať nepriaznivé dôsledky na práva a slobody iných osôb. Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia neobsahovali a nešpecifikovali presné pokyny pre oprávnené osoby

Typ nedostatku: Odchýlka od súladu

                                        Obec pred spracúvaním osobných údajov vo forme kamerového záznamu nevykonala tzv. balančný test. Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia neobsahovali a nešpecifikovali presné pokyny pre oprávnené osoby.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nemala v bezpečnostnej dokumentácií zadefinované kritéria v zmysle čl. 33 ods. 1 a čl. 34 ods. 1 Nariadenia (EÚ).

Typ nedostatku: Odchýlka od súladu

                                        Obec formálne prijala technické a organizačné opatrenia, ale nepreukázala aplikovanie niektorých 
z nich v prax napr. administrátor systému. Opatrenia neboli prijaté vhodne, čo nebolo v súlade 
s ustanovením čl. 24 ods. 1 Nariadenia (EÚ).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Spracúvanie osobných údajov bez uzatvorenej sprostredkovateľskej zmluvy bolo v nesúlade s ustanovením čl. 28 bod 3 Nariadenia (EÚ

Typ nedostatku: Odchýlka od súladu

                                        Obec nepreverovala, či sprostredkovatelia poskytovali dostatočné záruky, že príjmu primerané technické a organizačné opatrenia v súlade s Nariadením (EÚ).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Prevádzkovateľ nepreskúmal podľa čl. 28 ods. 10 Nariadenia (EÚ) uzatvorené sprostredkovateľské zmluvy a neposúdil, či deklarovaný sprostredkovateľ sám neurčil účely a prostriedky spracúvania osobných údajov, a teda či sa v súvislosti s daným spracúvaním nemal považovať za prevádzkovateľa.

Typ nedostatku: Odchýlka od súladu

                                        Zmluva o zabezpečení činností zodpovednej osoby bola zverejnená iba ako naskenovaný obrázok, čo nebolo v súlade s ustanovením § 18 písm. d) výnosu č. 55/2014 Z. z. (Ďalej, v predmetnej zmluve boli určené tri ZO ale na webovom sídle boli uvedené štyri ZO).
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nepriradila zodpovednosť za bezpečnosť a obsah každého významného aktíva konkrétnemu vlastníkovi a neustanovila osobu zodpovednú za informačnú bezpečnosť, čím nedodržala ustanovenie § 29 písm. c) a f) výnosu č. 55/2014 Z. z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Obec neurčila kritické procesy, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS, čím nedodržala ustanovenie § 31 písm. d) výnosu 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nedodržala ustanovenie § 32 písm. a) výnosu č. 55/2014 Z. z., keď nevedela deklarovať zloženie krízového štábu (uvedený v bezpečnostnej dokumentácií) ani jeho právomoci. Tiež obec nevykonala vnútornu kontrolu (audit) informačnej bezpečnosti.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Obec porušila ustanovenie § 41 písm. f) výnosu č. 55/2014 Z. z., že nemala vypracované bezpečnostné zásady pre mobilné pripojenie do IS VS a pre prácu na ďiaľku.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec Geča

IČO: 00690236
Sídlo: Geča 382, 04410 Geča
Kontrolované obdobie: 2016-2019
Termín kontroly: 25.07.2019 - 30.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Obec nemala v bezpečnostnej dokumentácii upravený prenos osobných údajov do tretích krajín, alebo medzinárodným organizáciám, ako to upravuje Nariadenie EÚ GDPR v čl. 44 až čl. 46.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 2016/679

Prevádzkovateľ vydal pravidlá pre oprávnené osoby, ktoré upravovali postup v prípade, keď si dotknutá osoba uplatní právo na prístup k svojim osobným údajom, právo na opravu a vymazanie, právo na obmedzenie spracúvania svojich osobných údajov, právo na odvolanie súhlasu. Pravidlá neobsahovali podrobnosti, aké zmysluplné informácie má oprávnená osoba poskytnúť dotknutej osobe, ak ide o rozhodnutie založené výlučne na automatizovanom spracúvaní podľa čl. 15 ods. 1 písm. h) Nariadenia EÚ GDPR a neobsahujú ani pravidlá a podrobnosti o poskytovaní dostupných informácií o zdroji podľa čl. 15 ods. 1 písm. g) Nariadenia EÚ GDPR, z ktorého prevádzkovateľ osobné údaje získal, ak ich nezískal priamo od dotknutej osoby.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 2016/679

                                        Prevádzkovateľ na svojom webovom sídle neinformoval o lehote, v ktorej bude žiadosť dotknutej osoby o uplatnenie práva vybavená a ani za akých okolností môže byť lehota na vybavenie žiadosti predĺžená a tiež, že o predĺžení lehoty je prevádzkovateľ povinný dotknutú osobu informovať, čím nepostupoval v súlade s čl. 12 ods. 1 až 3 Nariadenia EÚ GDPR
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 2016/679

Prevádzkovateľ na svojom webovom sídle neinformoval o tom, za akých okolností môže prevádzkovateľ odmietnuť konať na základe žiadosti (o uplatnenie práva) dotknutej osoby, čím nepostupoval v súlade s čl. 12 ods. 1, 2 a 5 Nariadenia EÚ GDPR

Typ nedostatku: Odchýlka od súladu Porušený predpis: 2016/679

                                        Prevádzkovateľ na svojom webovom sídle neinformoval o tom, v akých IS osobné údaje spracúva, na akom právnom základe a na aký účel, čo bolo v rozpore s čl. 12 ods. 1 a ods. 2 a čl. 13 ods. 1 písm. c) Nariadenia EÚ GDPR
                                    
                                            Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu
                                        
                                            Porušený predpis: 2016/679, 2016/679

Bezpečnostná smernica upravovala požiadavku na zložitosť hesla a zmenu hesla pri prvom prihlásení, alebo pri vyzradení hesla, ale neupravovala povinnosť zmeniť heslo na výzvu IS aspoň raz za 90 dní.

Typ nedostatku: Formálna nezrovnalosť

                                        Bezpečnostná smernica neobsahovala podmienku, že pracovná stanica pridelená používateľovi nesmie zároveň slúžiť ako server pre iných používateľov, čo nebolo v súlade s čl. 24 ods. 1 a 2 Nariadenia EÚ GDPR, s  čl. 25 ods. 1 a 2 Nariadenia EÚ GDPR, § 78 ods. 11 zákona č. 18/2018 Z. z. - aplikácia štandardov na procesy spracúvania a ochrany osobných údajov
                                    
                                            Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu, Odchýlka od súladu
                                        
                                            Porušený predpis: 18/2018 Z.z., 2016/679, 2016/679

Obec mala vypracované, platné a účinne bezpečnostné dokumenty: Bezpečnostné opatrenia-Implementácia bezpečnostnej politiky, Bezpečnostnú smernicu, Bezpečnostnú smernicu informačnej bezpečnosti a Bezpečnostnú politiku obce Geča – Smernica. Ani jedna z vymenovaných smerníc, neukladala oprávneným osobám povinnosť overiť po zadaní webovej adresy a pred vložením osobných údajov do prostredia webovej stránky, či elektronická adresa (e-mailová adresa), na ktorú sa správa posiela, skutočne patrí osobe (osobám), ktorým je správa určená. Neukladala ani vykonať kontrolu presmerovania, tzn. či skutočne dochádza k presmerovaniu na požadovanú cieľovú webovú stránku.

Typ nedostatku: Formálna nezrovnalosť

                                        Dokument Bezpečnostná politika obce Geča neobsahoval vymedzenie dokumentov, ktoré by mala obec vypracovať na zaistenie informačnej bezpečnosti ako to ukladal § 29 písm. a) bod 13 výnosu MF SR
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 18/2018 Z.z.

Obec neviedla evidenciu o miestach prepojenia sietí, ktoré sú v správe obce ani prepojenia s externými sieťami, ako to ukladal § 34 písm. b) výnosu MF SR

Typ nedostatku: Odchýlka od súladu Porušený predpis: 18/2018 Z.z.

                                        Obec nemala zabezpečenú ochranu IS pred výpadkom elektrickej energie, ako je ustanovené            v § 35 písm. e) výnosu MF SR
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 18/2018 Z.z.

Obec neviedla evidenciu každého výpadku informačného systému a spôsobu jeho riešenia, ako to ukladal § 37 písm. d) výnosu MF SR

Typ nedostatku: Odchýlka od súladu Porušený predpis: 18/2018 Z.z.

                                        Obec nemala zmluvne zabezpečené, že nesplnenie bezpečnostných požiadaviek treťou stranou by obec oprávňovalo neukončiť príslušnú etapu projektu alebo neprevziať jej dielo alebo prácu, čím nezabezpečila štandard pre účasť tretích strán podľa § 43 písm. e) výnosu MF SR
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 18/2018 Z.z.

Zodpovedná osoba nevykazovala svoju činnosť a nepredkladala štatutárovi obce žiadne výkazy o svojej činnosti.

Typ nedostatku: Formálna nezrovnalosť

Obec Hermanovce nad Topľou

IČO: 00332402
Sídlo: Hermanovce nad Topľou 195, 09434 Hermanovce nad Topľou
Kontrolované obdobie: 2016-2019
Termín kontroly: 06.08.2019 - 27.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Registratúrny poriadok bol aktualizovaný k 01.07.2019 a obsahoval postup pri spracovaní elektronických registratúrnych záznamov avšak neobsahoval informácie o ich ochrane podľa § 24a vyhlášky MV SR č. 628/2002 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 628/2002 Z.z.

Obec do októbra 2019 nemala vydaný organizačný poriadok, pracovný poriadok a poriadok odmeňovania. Podľa § 13 ods. 4 písm. d) zákona č. 369/1990 Zb. o obecnom zriadení v znení neskorších predpisov starosta obce vydáva pracovný poriadok, organizačný poriadok obecného úradu a poriadok odmeňovania zamestnancov obce.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 369/1990 Zb.

                                        Kontrolou bolo zistené, že nedošlo k uzatvoreniu dohody podľa čl. 26 ods. 1 nariadenia GDPR medzi spoločnými prevádzkovateľmi v súvislosti s určením svojich zodpovedností za plnenie povinností najmä pokiaľ išlo o vykonávanie práv dotknutej osoby, poskytovať jej informácie uvedené v článkoch 13 a 14 podľa uvedeného nariadenia.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Nezabezpečením poučenia o schválenej bezpečnostnej politike povinnej osoby a o povinnostiach z nej vyplývajúcich pre tretie osoby kontrolovaný subjekt nepostupoval v súlade s ustanovením § 30 písm. a) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        V oblasti manažmentu rizík bolo zistené, že obec neurčila okruh kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS podľa ustanovenia § 31 písm. d) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec ako prevádzkovateľ neviedla evidenciu o všetkých miestach prepojenia sietí, ktoré boli v správe obce vrátane prepojení s externými sieťami, čo nebolo v súlade s ustanovením § 34 písm. b) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec mala definované intervaly pre vykonávanie záloh a ich fyzického ukladania, ale nemala zadefinované oblasti, ktoré povinne podliehali zálohovaniu a tiež nemala vypracovaný dokument podľa štandardu pre zálohovanie, čo nebolo v súlade s § 39 výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec neviedla formalizovanú dokumentáciu prístupových práv všetkých používateľov podľa ustanovenia § 41 písm. j) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec tým, že nemala vypracovaný prevádzkový dokument podľa štandardu pre aktualizáciu IKT podľa § 42 výnosu č. 55/2014 Z. z. a nemala zavedené postupy ani schvaľovací proces pre zavedenie nových ISVS a IKT, nepostupovala v súlade s vyššie citovaným výnosom.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nemala vypracovaný dokument podľa štandardu pre účasť tretej strany podľa ustanovenia § 43 výnosu č. 55/2014 Z. z. a ani bližšie špecifikované procesy súvisiace s činnosťou tretej strany v IS obce.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

Obec Hronovce

IČO: 00307041
Sídlo: Levická cesta 3, 93561 Hronovce
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 23.10.2019
Stav kontroly: Ukončená

Obec Jalšové

IČO: 00312592
Sídlo: Jalšové 148, 92231 Jalšové
Kontrolované obdobie: 2016-2019
Stav kontroly: Ukončená

Zistenia

                                        Interný predpis upravujúci postup uchovávania majetkových priznaní zamestnancov, ako aj postupy pri poistení  zamestnanca vyslaného na pracovnú cestu, obec  v zmysle čl. 32  nariadenia GDPR nemala vypracované.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou dokumentácie BOZP bolo zistené, že táto neobsahovala postup pri nakladaní s osobnými údajmi, ktoré by boli zaznamenané pri kontrolnej činnosti v zmysle čl. 9 ods. 1 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Kontrolou bolo zistené, že obec v rámci implementácie opatrení nepreskúmala zmluvy v súvislosti s pozíciou sprostredkovateľa. Neanalyzovala podmienky podľa GDPR a neidentifikovala  opatrenia, ktoré bolo potrebné vykonať v súvislosti s GDPR v zmysle. čl. 28, 29 a 32 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou bolo zistené, že bezpečnostná dokumentácia v rámci práv dotknutej osoby neobsahovala podrobnosti, ak ide o spracúvanie nevyhnutné na účely oprávnených záujmov, či a akým spôsobom prevádzkovateľ informuje dotknuté osoby o oprávnenom záujme, ktorý sleduje prevádzkovateľ alebo tretia strana v zmysle čl. 13 ods. 1 písm. d) nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        V súvislosti  s uplatňovaním práv dotknutej osoby bolo kontrolou NKÚ SR zistené, že pravidlá  neobsahovali podrobnosti aké zmysluplné informácie má oprávnená osoba poskytnúť dotknutej osobe ak ide o rozhodnutie založené výlučne na automatizovanom spracúvaní čl. 15 ods. 1 písm. h) nariadenia GDPR,  o poskytovaní dostupných informácií o zdroji, z ktorého prevádzkovateľ OÚ získal, ak ich nezískal priamo od dotknutej osoby čl .15 ods.1 písm. g) nariadenia GDPR,  o výmaze, ak dotknutá osoba namieta nezákonnosť spracúvania jej osobných údajov čl. 17 ods. 1 písm. d) nariadenia GDPR, o postupe oprávnenej osoby pre prípad, že dotknutá osoba požaduje od prevádzkovateľa informáciu o príjemcoch, ktorým údaje poskytol,  o postupe  ako má oprávnená osoba  posúdiť, či prenos údajov nemá nepriaznivé dôsledky na práva a slobody iných osôb,  podmienku, že odpoveď zaslaná listovou zásielkou môže byť len vo forme doporučenej zásielky s poznámkou „do vlastných rúk, aby nemohlo dôjsť k doručeniu informácií osobe, ktorej sa netýkajú.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nemá interný predpis, ktorý by upravoval oblasť upratovania priestorov vzhľadom na ochranu OÚ v zmysle § 79 ods. 2 zákona č. 18/2018 Z.z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 18/2018 Z.z.

                                        Kontrolou základných pravidiel a pokynov pre oprávnené osoby bolo zistené, že neobsahovali povinnosť  poučiť dotknutú osobu o jej právach a získať údaje, ktoré sú nevyhnuté na dosiahnutie účelu v zmysle čl. 13 nariadenia GDPR, ako aj povinnosť postupovať pri komunikácii so sprostredkovateľom  len v rozsahu zmluvne dohodnutých podmienok.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Požiadavka na zložitosť hesla, nebola stanovená minimálnou početnosťou znakov v zmysle čl. 25 ods. 1 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Pravidlá a pokyny pre oprávnené osoby  pri práci s mobilnými prostriedkami IT má obec upravené v IT Smernici, pričom bolo zistené, že táto neukladala  povinnosť používateľa prenášať mobilné prostriedky IT mimo organizáciu v ochrannom obale, priebežne vykonávať zálohovanie informácií uložených v mobil. prostriedku IT na prenosné médium z dôvodu možného zlyhania systému a nezakazovala používateľovi pripájanie  do nebezpečných verejných dátových sietí v zmysle čl. 24 ods. 1 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

V rámci kontroly pokynov pre oprávnené osoby pri práci s mobilnými médiami bolo zistené, že bezpečnostná dokumentácia neukladala používateľovi povinnosť zabezpečiť, aby pri uskladnení prenosných médií nedošlo k ich poškodeniu (prachom, vlhkosťou, teplotou, pôsobením silného magnetického poľa) a nezakazovala používať prenosné médium, ktoré javí známky poruchy, alebo upozorňuje, že treba médium skontrolovať v zmysle čl. 24 ods. 1 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Pravidlá a pokyny pre prácu s internetom a elektronickou poštou má obec upravené v IT Smernici. Kontrolou bolo zistené,  že smernica  neukladala používateľovi povinnosť overiť, či elektronická  adresa, na ktorú sa správa posiela, skutočne patrí osobe ktorej je určená ,zasielať elektronickou poštou  osobné údaje len vtedy, ak je to nevyhnuté a ich prenos je zabezpečený šifrovaním. Uvedená smernica nezakazovala používateľovi posielať v prílohe správy s príponou exe, com, bat ako aj používať počtové konto obce na súkromné účely v zmysle čl. 24 ods. 1 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nemala spracované pravidlá, podľa ktorých by oprávnené osoby postupovali pri posudzovaní vplyvu na OÚ v zmysle čl. 24 ods. 1 nariadenia GDPR

Typ nedostatku: Odchýlka od súladu

                                        Obec nemá vypracované pravidlá na zavedenie  šifrovacích a pseudonymizačných  techník na ochranu OÚ v zmysle čl. 32 ods. 1 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Bezpečnostná dokumentácia obce nespĺňala štandardy pre riadenie informačnej bezpečnosti v zmysle § 29 písm. c) d), § 31 písm. f), a § 32 písm. a) výnosu č. 55/2014 Z .z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Kontrolou bolo zistené, že v pozícii sprostredkovateľa bolo niekoľko dodávateľov. Obec však nepreverovala, či poskytujú dostatočné záruky na to, že príjmu primerané technické  a organizačné opatrenia v súlade s GDPR podľa čl. 28 ods. 1  nariadenia GDPR ako aj, či sprostredkovateľ sám neurčil  účely a prostriedky spracúvania osobných údajov  v zmysle čl. 28 ods.10 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec Kotrčiná Lúčka

IČO: 00321397
Sídlo: Kotrčiná Lúčka 0, 01302 Kotrčiná Lúčka
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 29.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Obec nekonala v súlade s  čl. 24 ods. 1 a 2, čl. 25 , 28 a 30 a čl. 32 až 39 Nariadenia (EÚ) a § 78 ods. 11 zákona 18/2018, keď nevykonala analýzu stavu údajov do 25.05.2018.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Obec nepostupovala v súlade s čl. 24 ods. 1 a 2, čl. 35 Nariadenia (EÚ) a nevzal do úvahy zásady uvedené v bodoch 84 a 90 Memoranda Nariadenia (EÚ), keď nemal vypracované postupy, podľa ktorých by oprávnené osoby vedeli, ako majú postupovať pri posúdení vplyvu na ochranu osobných údajov.

Typ nedostatku: Formálna nezrovnalosť

                                        Obec v súvislosti s ustanovením zodpovednej osoby do funkcie a určením jej postavenia a pôsobnosti v rámci organizácie nekonala v súlade s čl. 24 ods. 1 a 2, čl. 37, čl. 38 Nariadenia (EÚ), keď neurčila a nezabezpečila, aby zodpovedná osoba riadnym spôsobom a včas bola zapojená o všetkých záležitostí, ktoré súvisia s ochranou osobných údajov.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Spracúvanie osobných údajov bez uzatvorenej sprostredkovateľskej zmluvy bolo nesúlade s ustanovením čl. 28 bod 3 Nariadenia (EÚ).

Typ nedostatku: Formálna nezrovnalosť

                                        Obec nepreverovala, či sprostredkovateľ poskytoval dostatočné záruky, že príjme primerané technické a organizačné opatrenia v súlade s Nariadením (EÚ). Obec sa spoliehala len na vyhlásenie sprostredkovateľa, že spĺňajú príslušné požiadavky podľa Nariadenia (EÚ).
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Obec nekonala v súlade s § 29 výnosu MF SR, keď nevypracovala a neschválila bezpečnostnú politiku.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade s § 30 písm. a) a c) výnosu MF SR, keď nezabezpečil pre všetkých zamestnancov a osoby, ktoré vykonávajú činnosti pre obec (povinnú osobu) vyplývajúce zo zmluvných záväzkov poučenie o schválenej bezpečnostnej politike obce a nezabezpečil, aby povinnosti vyplývajúce z bezpečnostnej politiky obce a z pracovného zaradenia zamestnanca boli uvedené v jeho pracovnej zmluve alebo inom dokumente týkajúcom sa jeho právneho vzťahu s obcou.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade s § 31 písm. d) a f) výnosu MFSR, keď nemal upravené pravidlá pre manažment rizík pre oblasť informačnej bezpečnosti.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade s § 32 písm. a) výnosu MFSR, keď nevykonával vnútornú kontrolu alebo audit informačnej bezpečnosti.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade s § 38 výnosu MF SR, keď nevykonával periodické hodnotenie zraniteľnosti a nemal vypracovaný dokument podľa štandardu periodické hodnotenie zraniteľnosti.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade s § 41 písm. f) výnosu MF SR keď nemal vypracované bezpečnostné zásady pre mobilné pripojenie do ISVS a pre prácu na diaľku.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade s § 42 výnosu MF SR, keď nemal vypracované pravidlá podľa štandardu pre aktualizáciu IKT podľa § 42 písm. a) výnosu MF SR a nemal zavedené postupy a schvaľovací proces pre zmeny existujúcich a zavedenie nových ISVS a IKT.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade  s § 43 výnosu MF SR, keď nemal vypracované pravidlá podľa štandardu pre účasť tretej strany podľa § 43 výnosu MF SR.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec Krasňany

IČO: 00321401
Sídlo: Krasňany 0, 01303 Krasňany
Kontrolované obdobie: 2016-2019
Termín kontroly: 02.06.2019 - 29.09.2019
Stav kontroly: Ukončená

Obec Liešťany

IČO: 00318230
Sídlo: Liešťany 0, 97227 Liešťany
Kontrolované obdobie: 2016-2019
Termín kontroly: 17.07.2019 - 29.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Pracovný poriadok neobsahoval podmienku, že majetkové priznania zamestnancov sa spracúvajú
v osobitnom IS a nezakladajú sa do osobného spisu zamestnanca, čo nebolo v súlade s ustanovením čl. 32 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Nakladanie s osobitnými kategóriami OÚ pri činnosti BOZP nebolo detailnejšie upravené. Tieto OÚ si vyžadovali zvýšenú ochranu a povinnosť mlčanlivosti podľa čl. 9 ods. 1 GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Organizácia nemala vypracované pravidlá v zmysle čl. 24 ods. 1 a 2 a čl. 35 GDPR ako aj § 78 ods.11 nového zákona o ochrane OÚ pri posudzovaní vplyvu na ochranu údajov.
                                    
                                            Typ nedostatku: Odchýlka od súladu, Odchýlka od súladu
                                        
                                            Porušený predpis: 18/2018 Z.z.

Obec Lutiše

IČO: 00321451
Sídlo: Lutiše 66, 01305 Lutiše
Kontrolované obdobie: 2016-2019
Termín kontroly: 06.08.2019 - 06.10.2019
Stav kontroly: Ukončená

Zistenia

                                        obec nedodržala ustanovenie §57a výnosu č. 55/2014 Z. z., ktorý určil štandardy pre prijímanie a čítanie podpísaných elektronických dokumentov.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prijatý interný akt riadenia v istom rozsahu nebol aplikovateľný v podmienkach obce

Typ nedostatku: Formálna nezrovnalosť

                                        interné akty riadenia neobsahovali a nešpecifikovali presné pokyny pre oprávnené osoby
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

výberové konanie - išlo o tzv. predzmluvný vzťah, bolo podmienené súhlasom

Typ nedostatku: Formálna nezrovnalosť

                                        obec nevykonala posúdenie vplyvu
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

technické opatrenia obce nezahŕňali politiku šifrovania

Typ nedostatku: Formálna nezrovnalosť

                                        obec nemala určenú ZO
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

jedna sprostredkovateľská zmluva bola uzatvorená až dňa 09.11.2018. Od 25.05.2018 do 09.11.2018 teda sprostredkovateľ spracúval OÚ bez uzatvorenej sprostredkovateľskej zmluvy podľa nariadenia GDPR

Typ nedostatku: Formálna nezrovnalosť

                                        funkcia správcu IT a administrátora nebola v kontrolovanom období obsadená zodpovedným zamestnancom
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

obec ako orgán verejnej moci porušila ustanovenie § 1 zákona č. 177/2018 Z. z., podľa ktorého obec pri svojej úradnej činnosti je povinná používať údaje evidované v informačných systémoch verejnej správy a vyhotovovať si z nich výpisy

Typ nedostatku: Formálna nezrovnalosť

                                        obec nezabezpečovala pravidelné preškoľovanie oprávnených osôb v rokoch 2016, 2017 a 2018 podľa čl. VII bod 6. Bezpečnostnej smernice z 01.09.2015.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

obec neidentifikovala rozsah a obsah bezpečnostných incidentov a nezaviedla povinnosť ich hlásenia podľa ustanovenia § 37 písm. b) bod 1. a 2. výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        obec neurčila okruh bezpečnostných zásad pre mobilné pripojenie do informačného systému verejnej správy a pre prácu na diaľku, nepostupovala v súlade s ustanovením § 41 písm. f) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

umiestnenie komponentov IS kamerového systému nebolo v súlade s ustanovením § 35 písm. c) výnosu č. 55/2014 Z. z. Prevádzkové pomery obce však iné (vhodné) umiestnenie IS neumožňovali.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec nepriradila zodpovednosť za bezpečnosť a obsah každého významného aktíva konkrétnemu vlastníkovi (gestorovi) a nemala ustanovenú osobu zodpovednú za informačnú bezpečnosť. - nedodržala ustanovenie § 29 písm. c) a f) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nezabezpečovala poučenie o bezpečnostnej politike a ochrane údajov zamestnancov organizácie a tretích strán pred ich prvým vstupom do IS a to ja napriek tomu, že mala vypracovaný dokument podľa štandardu pre personálnu bezpečnosť neurčila okruh kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS a nemal vypracované (havarijné) plány na obnovu činnosti nefunkčných, zničených alebo poškodených ustanovenie § 30 písm. a) a ustanovenie § 31 písm. d) a f) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        nevykonávala pravidelný audit informačnej bezpečnosti - nedodržala ustanovenie § 32 písm. a) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

nemala zavedené pravidlá pre sťahovanie súborov z externých sietí. - nedodržala ustanovenie § 33 písm. d) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        neviedla evidenciu o všetkých miestach prepojenia sietí, ktoré boli v správe organizácie vrátane prepojení s externými sieťami - nedodržala ustanovenie § 34 písm. b) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

nemala vypracované a implementované pravidlá pre prácu v zabezpečenom priestore a pravidlá pre údržbu, uchovávanie a evidenciu technických komponentov IS - nedodržala ustanovenie § 35 písm. h) bod 1 a ustanovenie § 35 písm. d) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        nemala vypracované bezpečnostné zásady pre mobilné pripojenie do IS VS a pre prácu na diaľku a neviedla formalizovanú dokumentáciu prístupových práv všetkých používateľov IS - nedodržala ustanovenie § 41 písm. f) a § 41 písm. j) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

obec bezodkladne nezverejnila zmluvu so ZO, porušila ustanovenie § 5a ods. 9 zákona č. 211/2000 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 211/2000 Z.z.

Obec Moštenica

IČO: 00313602
Sídlo: Moštenica 77, 97613 Moštenica
Kontrolované obdobie: 2016-2019
Termín kontroly: 16.07.2019 - 24.11.2019
Stav kontroly: Ukončená

Obec Nezbudská Lúčka

IČO: 00648256
Sídlo: Nezbudská Lúčka 130, 01324 Nezbudská Lúčka
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 30.09.2019
Stav kontroly: Ukončená

Zistenia

                                        Obec neanalyzovala pravidlá  a postupy zavedenia povinností v zmysle Nariadenia (EÚ), čím nekonala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ). Obec nepreskúmala IS, v ktorých spracúvala osobné údaje a neanalyzovala, či spracúvanie v každom z nich bolo zákonné podľa čl. 5 Nariadenia (EÚ).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nevykonala posúdenie vplyvu podľa čl. 35 Nariadenia (EÚ). Systematické kamerové monitorovanie verejných priestorov podliehalo povinnému posúdeniu vplyvu podľa usmernenia ÚOOÚ SR.

Typ nedostatku: Odchýlka od súladu

                                        Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia neobsahovali a nešpecifikovali presné pokyny pre oprávnené osoby (napr. Predpis BOZP bližšie nešpecifikoval postup nakladania s osobitnými kategóriami).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec neupravila konkrétne postupy pre spracúvanie osobných údajov, tým nekonala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ) (napr. prenos osobných údajov do tretích krajín a pod.),

Typ nedostatku: Odchýlka od súladu

                                        Obec nepreukázala, že poskytovala dotknutej osobe pri získavaní osobných údajov priamo od nej informácie v rozsahu podľa čl. 13 ods. 1 až 3 Nariadenia (EÚ). Informácie, ktoré bola obec povinná poskytnúť dotknutej osobe podľa čl. 13 ods. 1 až 3  a čl. 14 ods. 1 až 4 Nariadenia (EÚ), neboli zverejnené na jej webovom sídle, čím bol porušený čl. 12 ods. 1 Nariadenia (EÚ).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia neobsahovali a nešpecifikovali presné pokyny pre oprávnené osoby (napr. uplatniť právo na výmaz svojich osobných údajov, namietať proti rozhodnutiu založenom výlučne na automatizovanom spracúvaní osobných údajov a pod.)

Typ nedostatku: Odchýlka od súladu

                                        Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia neobsahovali 
a nešpecifikovali presné pokyny pre oprávnené osoby. Obec neaktualizovaním bezpečnostného projektu 
k 25.05.2018 nekonala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia neobsahovali a nešpecifikovali presné pokyny pre oprávnené osoby, a to nebola špecifikovaná metodika tzv. balančného testu, resp. miera posúdenia.

Typ nedostatku: Odchýlka od súladu

                                        Prevádzkovateľ nemal v bezpečnostnom projekte zadefinované kritéria v zmysle čl. 33 ods. 1 a čl. 34 ods. 1 Nariadenia (EÚ)
                                    
                                            Typ nedostatku: Odchýlka od súladu

Tým, že prevádzkovateľ neurčil zodpovednú osobu od 25.05.2018, nekonal v súlade s čl. 37 ods. 1 písm. a) Nariadenia (EÚ).

Typ nedostatku: Odchýlka od súladu

                                        Spracúvanie osobných údajov bez uzatvorenej sprostredkovateľskej zmluvy bolo v nesúlade s ustanovením čl. 28 bod 3 Nariadenia (EÚ).
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nepreverovala, či sprostredkovatelia poskytovali dostatočné záruky na to, že príjmu primerané technické a organizačné opatrenia v súlade s Nariadením (EÚ) a spoliehala sa na ich vyhlásenie, čím nebolo zaručené, že sprostredkovatelia prijali primerané opatrenia tak, ako deklarovali svojim vyhlásením podľa čl. 28 ods. 1 Nariadenia (EÚ).

Typ nedostatku: Odchýlka od súladu

                                        Obec nedodržala ustanovenie § 57a výnosu č. 55/2014 Z. z., ktorý určil štandardy pre prijímanie a čítanie podpísaných elektronických dokumentov.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nepriradila zodpovednosť za bezpečnosť a obsah každého významného aktíva konkrétnemu vlastníkovi a neustanovila osobu zodpovednú za informačnú bezpečnosť, čím nedodržala ustanovenie § 29 písm. f) a písm. c) výnosu č. 55/2014 Z. z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Obec porušila ustanovenie § 30 písm. a) a b) výnosu č. 55/2014 Z. z. tým, že obec nezabezpečila poučenie o bezpečnostnej politike a ochrane údajov zamestnancov tretích strán pred ich prvým vstupom do IS.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec porušila § 31 písm. d) výnosu č. 55/2014 Z. z. tým, že nestanovila okruh kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Bezpečnostný projekt stanovil povinnosť vykonávať bezpečnostné kontroly (audity) v závislosti od predmetu kontroly raz za mesiac, resp. štvrťrok, ale v praxi žiadne kontroly neboli vykonávané, tým obec porušila ustanovenie § 32 písm. a) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nedodržala ustanovenie § 34 písm. b) výnosu č. 55/2014 Z. z. tým, že neviedla evidenciu o všetkých miestach prepojenia sietí, ktoré boli v jej správe vrátane prepojení s externými sieťami.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Obec nedodržala ustanovenie § 41 písm. c) a j) výnosu č. 55/2014 Z. z. tým, že nemala určený postup a zodpovednosť pre prideľovanie prístupových práv a neviedla formalizovanú dokumentáciu prístupových práv všetkých používateľov.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec Oslany

IČO: 00318396
Sídlo: Nám. Slobody 2, 97247 Oslany
Kontrolované obdobie: 2016-2019
Termín kontroly: 10.07.2019 - 20.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Pracovný poriadok neobsahoval podmienku, že majetkové priznania zametnancov sa spracúvajp v osobitnom IS a nezakladajú sa do osobného spisu zamestnanca, čo nebolo v súlade s ustanovením čl. 24 nariadenia GDPR
                                    
                                            Typ nedostatku: Odchýlka od súladu

Nakladanie s osobitnými kategóriami osobných údajov pri činnosti BOZP nebolo detailnejšie upravené. Tieto osobné údaje si vyžadovali zvýšenú ochranu a povinnosť mlčanlivosti podľa čl .9 ods. 1 nariadenia GDPR

Typ nedostatku: Odchýlka od súladu

                                        Prevádzkovateľ nekonal v súlade s § 29 písm. a)  výnosu o štandardoch ISVS, keď nevypracoval bezpečnostnú politiku.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nemal vypracované pravidlá podľa štandardov pre: - manažment rizík pre oblasť informačnej bezpečnosti podľa § 31 písm. d) a f) výnosu o štandardoch ISVS, - kontrolný mechanizmus riadenia informačnej bezpečnosti podľa § 32 výnosu o štandardoch ISVS a taktiež nevykonával vnútornú kontrolu / audit informačnej bezpečnosti podľa § 32 písm. a) výnosu o štandardoch ISVS, - fyzickú bezpečnosť a bezpečnosť prostredia a to pre údržbu, uchovávanie a evidenciu technických komponentov IS podľa § 35 písm. h) bod 1 výnosu o štandardoch ISVS, pre narábanie s údajmi v elektronickej podobe, dokumentáciou systému a pamäťovými médiami, aby sa zabránilo ich neoprávnenému zverejneniu, odstráneniu, poškodeniu, modifikácii podľa § 35 písm. h) bod 6 výnosu o štandardoch ISVS a pre vymazávanie, vyraďovanie a likvidáciu zariadení IS a všetkých záloh podľa § 35 písm. h) bod 4 výnosu o štandardoch ISVS, - monitorovanie a manažment bezpečnostných incidentov podľa § 37 výnosu o štandardoch ISVS, - riadenie prístupu podľa § 41 výnosu MF SR, nemal vypracované bezpečnostné zásady pre mobilné pripojenie do IS VS a pre prácu na diaľku podľa § 41 písm. f) výnosu MF SR, a nemal ani zabezpečené, aby fyzické osoby zodpovedné za správu a prevádzku IS VS mali prístup len k údajom, ktoré nevyhnutne potrebujú na vykonávanie pridelených úloh podľa § 41 písm. h) výnosu o štandardoch ISVS a taktiež neviedol formalizovanú dokumentáciu prístupových práv všetkých používateľov IS VS podľa § 41 písm. j) výnosu o štandardoch ISVS, - aktualizáciu IKT podľa § 42 písm. a) výnosu o štandardoch ISVS, - a nemal zavedené postupy a schvaľovací proces pre zmeny existujúcich a zavedenie nových IS VS a IKT, - účasť tretej strany podľa § 43 výnosu o štandardoch ISVS.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Obec nedodržala ustanovenie čl. 28 ods. 3 nariadenia GDPR, keď nemala prijaté vhodné technické a organizačné opatrenia, aby zabezpečila a bola schopná preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec Petrovce

IČO: 00332674
Sídlo: Petrovce 89, 09431 Petrovce
Kontrolované obdobie: 2016-2019
Termín kontroly: 06.08.2019 - 27.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Registratúrny poriadok neobsahoval podrobnosti o postupe pri spracovaní elektronických registratúrnych záznamov a ich ochrane, čím nebol dodržaný súlad s § 16a zákona č. 395/2002 Z. z. a § 24a vyhlášky 628/2002 Z. z
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 628/2002 Z.z.

Nezabezpečením poučenia o schválenej bezpečnostnej politike povinnej osoby a o povinnostiach z nej vyplývajúcich pre tretie osoby kontrolovaný subjekt nepostupoval v súlade s ustanovením § 30 písm. a) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        V oblasti manažmentu rizík bolo zistené, že obec neurčila okruh kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS podľa ustanovenia § 31 písm. d) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Kontrolnej skupine neboli predložené žiadne záznamy z vykonaných kontrol, ani plán kontrol a v tejto súvislosti bolo zistené, že Plán kontrol nebol prevádzkovateľom vypracovaný a kontroly neboli vykonávané, čo nebolo v súlade s ustanovením § 32 písm. a) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Smernicu podľa štandardu pre sieťovú bezpečnosť obec vypracovanú nemala a ako prevádzkovateľ neviedla evidenciu o všetkých miestach prepojenia sietí, ktoré boli v správe obce vrátane prepojení s externými sieťami, čo nebolo v súlade s ustanovením § 34 písm. b) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec mala definované intervaly pre vykonávanie záloh a ich fyzického ukladania, ale nemala zadefinované oblasti, ktoré povinne podliehali zálohovaniu a tiež nemala vypracovaný dokument podľa štandardu pre zálohovanie, čo nebolo v súlade s § 39 výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec neviedla formalizovanú dokumentáciu prístupových práv všetkých používateľov podľa ustanovenia § 41 písm. j) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nemala vypracovaný prevádzkový dokument podľa štandardu pre aktualizáciu IKT podľa § 42 výnosu č. 55/2014 Z. z. a nemala zavedené postupy ani schvaľovací proces pre zavedenie nových ISVS a IKT.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec nemala vypracovaný dokument podľa štandardu pre účasť tretej strany podľa ustanovenia § 43 výnosu č. 55/2014 Z. z. a ani bližšie špecifikované procesy súvisiace s činnosťou tretej strany v IS obce.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec Podkonice

IČO: 00313670
Sídlo: Podkonice 0, 97641 Podkonice
Kontrolované obdobie: 2016-2019
Termín kontroly: 16.07.2019 - 24.11.2019
Stav kontroly: Ukončená

Obec Pohronský Ruskov

IČO: 00307394
Sídlo: Hlavná 74, 93562 Pohronský Ruskov
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 28.10.2019
Stav kontroly: Ukončená

Obec Povrazník

IČO: 00313742
Sídlo: Povrazník 22, 97655 Povrazník
Kontrolované obdobie: 2016-2019
Termín kontroly: 11.07.2019 - 29.09.2019
Stav kontroly: Ukončená

Obec Slovenská Ľupča

IČO: 00313823
Sídlo: Nám. SNP 13, 97613 Slovenská Ľupča
Kontrolované obdobie: 2016-2019
Termín kontroly: 11.07.2019 - 24.11.2019
Stav kontroly: Ukončená

Obec Sokoľany

IČO: 00690741
Sídlo: Sokoľany 193, 04457 Sokoľany
Kontrolované obdobie: 2016-2019
Termín kontroly: 16.07.2019 - 06.11.2019
Stav kontroly: Ukončená

Obec Staré Hory

IČO: 00313831
Sídlo: Staré Hory 0, 97602 Staré Hory
Kontrolované obdobie: 2016-2019
Termín kontroly: 17.07.2019 - 29.09.2019
Stav kontroly: Ukončená

Obec Trakovice

IČO: 00313092
Sídlo: Trakovice 38, 91933 Trakovice
Kontrolované obdobie: 2016-2019
Stav kontroly: Ukončená

Zistenia

                                        :  Kontrolou interných predpisov bolo zistené, že vnútorný predpis vypracovaný v zmysle zákona o slobodnom prístupe k informáciám  neobsahoval ustanovenia zamerané na obmedzenie  sprístupňovania OÚ v zmysle čl. 32 nariadenia GDPR. Interný predpis upravujúci predkladanie a uchovávanie majetkových priznaní zamestnancov v zmysle čl. 32 nariadenia GDPR, ako aj postupy pri poistení zamestnanca vyslaného na pracovnú cestu obec vypracovaný nemala.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou dokumentácie BOZP bolo zistené, že táto neobsahovala postup pri nakladaní s osobnými údajmi, ktoré by boli zaznamenané pri kontrolnej činnosti v zmysle čl. 9 ods. 1 nariadenia GDPR

Typ nedostatku: Odchýlka od súladu

                                        Obec neanalyzovala a nepreskúmala sprostredkovateľské zmluvy a zmluvy s externými subjektami, ktorí mali postavenie sprostredkovateľa, či spĺňajú podmienky  v zmysle čl. 28,29 a 32  nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou bolo zistené, že bezpečnostná dokumentácia neobsahovala postupy prenosu osobných údajov do tretích krajín v zmysle čl.44 až 46 nariadenia GDPR

Typ nedostatku: Odchýlka od súladu

                                        Pravidlá pre oprávnené osoby neobsahovali podrobnosti o tom, za akých okolností oprávnené osoby informácie dotknutej osobe neoznamujú v zmysle čl. 14 ods. 5 GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou bolo zistené, že obec Trakovice nemá interný predpis, z ktorého by vyplývalo, že osoby ktoré upratujú priestory so spismi sú oprávnenými osobami, resp. sú zaviazané povinnosťou mlčanlivosti v zmysle § 79 ods. 2 zákona č. 18/2018.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 18/2018 Z.z.

                                        Základné pravidlá a pokyny pre prácu s pracovnou stanicou má obec upravené v bezpečnostnej smernici bod 3, pričom bolo zistené, že smernica neobsahovala podmienku, že  pracovná stanica nesmie zároveň slúžiť ako server pre iných používateľov v zmysle čl. 24 ods.1 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Kontrolou bezpečnostnej dokumentácie bolo zistené, že táto neobsahovala pravidlá pre oprávnené osoby pri spracúvaní OÚ v papierovej forme v zmysle čl. 24 ods. 1 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Konkrétnu osobu, zodpovednú za oznamovanie porušenia ochrany OÚ dotknutým osobám podľa čl. 34 nariadenia GDPR, obec  v zmysle čl. 24 ods. 1 nariadenia GDPR stanovenú nemala.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Bezpečnostná dokumentácia obce nespĺňala štandardy pre riadenie informačnej bezpečnosti v zmysle § 29 písm. c) d), § 31 písm. f), a § 32 písm. a) výnosu č. 55/2014 Z .z.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Kontrolou bolo zistené, že obec Trakovice nezverejnila  kontaktné údaje  ZO v zmysle čl. 37       ods. 7 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

V súvislosti so spracovaním a ochranou osobných údajov zodpovedná osoba nepredložila vedeniu obce žiadne návrhy, odporúčania, rady ani konzultácie podľa článku 39 ods.1 písm. a) b) nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Kontrolou bolo zistené, že v pozícii sprostredkovateľa bolo niekoľko dodávateľov. Obec však nepreverovala, či poskytujú dostatočné záruky na to, že príjmu primerané technické  a organizačné opatrenia v súlade s GDPR podľa čl. 28 ods. 1  nariadenia GDPR ako aj, či sprostredkovateľ sám neurčil  účely a prostriedky spracúvania osobných údajov  v zmysle čl. 28 ods.10 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec Varín

IČO: 00321711
Sídlo: Námestie sv. Floriána 1, 01303 Varín
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 29.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 Nariadenia (EÚ), keď interné akty riadenia neobsahovali postup pri predkladaní a uchovávaní majetkových priznaní, ktorý by obsahoval aj podmienku, že majetkové priznania zamestnancov sa spracúvajú v osobitnom IS a nezakladajú sa do osobného spisu zamestnanca
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nekonala v súlade s čl. 24 ods. 1 a 2, čl. 25 , 28 a 30 a čl. 32 až 39 Nariadenia (EÚ) a § 78 ods. 11 zákona 18/2018, keď nevykonala analýzu stavu údajov do 25.05.2018, neaktualizovala bezpečnostnú dokumentáciu z roku 2015 alebo nevypracovala novú bezpečnostnú dokumentáciu.

Typ nedostatku: Odchýlka od súladu

                                        Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 nariadenia (EÚ), keď nevypracovala pravidlá (metodiku), resp. nezdokumentovala pokyny pre oprávnené osoby ako majú postupovať
-	pri spracúvaní osobných údajov na základe zmluvy, 
-	pri spracúvaní osobných údajov na základe súhlasu dotknutej osoby, ktoré by obsahovali podrobnosti o informáciách, ktoré sú povinné oznámiť dotknutej osobe a postupoch, ktoré sú povinné plniť pri spracúvaní v rôznych situáciách a pri odvolaní súhlasu,
-	na aplikáciu kritérií stanovených v čl. 6 ods. 4 Nariadenia (EÚ) a pre prípady, kedy dochádza k spracúvaniu osobitných kategórií osobných údajov podľa čl. 9 ods. 1  Nariadenia (EÚ),
-	pre prípady, kedy dochádza (mohlo by dôjsť) k prenosu osobných údajov do tretích krajín alebo medzinárodným organizáciám.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nepostupovala v súlade s čl. 12 ods. 1 až 7 a čl. 24 ods. 1 a 2 Nariadenie (EÚ), keď nevypracoval pravidlá a nezdokumentoval pokyny pre oprávnené osoby, ktoré by komplexne riešili postupy pri získavaní osobných údajov, uplatňovaní práv dotknutých osôb a plnení oznamovacej povinnosti prevádzkovateľa.

Typ nedostatku: Odchýlka od súladu

                                        Obec  nepostupovala v súlade s čl. 24 ods. 1 a 2, čl. 35 Nariadenia (EÚ) a nevzal do úvahy zásady uvedené v bodoch 84 a 90 Memoranda Nariadenia (EÚ), keď nemal vypracované postupy, podľa ktorých by oprávnené osoby vedeli, ako majú postupovať pri posúdení vplyvu na ochranu osobných údajov.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec v súvislosti s ustanovením zodpovednej osoby do funkcie a určením jej postavenia a pôsobnosti v rámci organizácie bola v konflikte záujmov, čo bolo v nesúlade s čl. 38 ods. 6 Nariadenia (EÚ).

Typ nedostatku: Odchýlka od súladu

                                        Obec nepostupovala v súlade s čl. 35 ods. 1 až 3 Nariadenia (EÚ) a Usmernením WP 29 týkajúcom sa posúdenia vplyvu, keďže pred účinnosťou Nariadenia (EÚ) ani neskôr nevykonala posúdenie vplyvu na ochranu osobných údajov a v tejto súvislosti sa neradila so zodpovednou osobou
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec v prípadoch, keď nepreverovala sprostredkovateľov, či poskytujú dostatočné záruky na to, že prijmú primerané technické a organizačné opatrenia v súlade s Nariadením (EÚ), nepostupovala v súlade s čl. 28 ods. 1 Nariadenia (EÚ).

Typ nedostatku: Odchýlka od súladu

                                        Obec nevydala pravidlá a pokyn pre oprávnené osoby, ako nakladať s osobnými údajmi, zaznamenané pri kontrolnej činnosti (§ 9 ods. 1 písm. b) zákona o BOZP.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 124/2006 Z.z.

Prevádzkovateľ nekonal v súlade s § 29 písm. f) výnosu MF SR, keď nemal upravený postup pre určenie konkrétnej zodpovednosti za jednotlivé aktíva a vyvodenie zodpovednosti pri zistení porušenia bezpečnostnej politiky.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Obec nemala určenú zodpovednú osobu za informačnú bezpečnosť, čo nebolo v súlade s § 29 písm. c) výnosu MF SR.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade s § 30 písm. d) výnosu MF SR, keď nemal upravený postup pre vyvodenie zodpovednosti pri zistení porušenia bezpečnostnej politiky.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade s § 31 písm. d) a f) výnosu MFSR, keď nemal upravené pravidlá pre manažment rizík pre oblasť informačnej bezpečnosti.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade s § 32 výnosu MFSR, keď nemal vypracovaný dokument podľa štandardu pre kontrolný mechanizmus riadenia informačnej bezpečnosti a tiež § 32 písm. a) výnosu MF SR, keď nevykonával vnútornú kontrolu alebo audit informačnej bezpečnosti.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade v súlade  s § 33 výnosu MF SR, keď nemal vypracovaný dokument podľa štandardu pre ochranu proti škodlivému kódu.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade v súlade s § 35 výnosu MF SR, keď nemal vypracovaný dokument pre údržbu, uchovávanie a evidenciu technických komponentov IS podľa § 35 písm. h) bod 1 výnosu MF SR, nemal vypracované pre vymazávanie, vyraďovanie a likvidáciu zariadení IS a všetkých záloh podľa § 35 písm. h) bod 4 výnosu MF SR a nemal vypracované ani pravidlá pre narábanie s údajmi v elektronickej podobe, dokumentáciou systému a pamäťovými médiami, aby sa zabránilo ich neoprávnenému zverejneniu, odstráneniu, poškodeniu alebo modifikácii podľa § 35 písm. h) bod 6 výnosu MF SR.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade s § 37 výnosu MF SR, keď nemal postup pre ohlasovanie bezpečnostných incidentov, ktorý by obsahoval postup riešenia jednotlivých typov bezpečnostných incidentov a spôsob ich vyhodnotenia podľa § 37 písm. a) bod 2 výnosu MF SR.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade s § 38 výnosu MF SR, keď nevykonával periodické hodnotenie zraniteľnosti a nemal vypracovaný dokument podľa štandardu periodické hodnotenie zraniteľnosti.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade  s § 39 výnosu MF SR, keď nemal vypracované pravidlá podľa štandardu pre zálohovanie.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade s § 41 výnosu MF SR, keď nemal vypracované pravidlá podľa štandardu pre riadenie prístupu, nemal vypracované bezpečnostné zásady pre mobilné pripojenie do IS VS a pre prácu na diaľku podľa § 41 písm. f) výnosu MF SR, pravidlá pre administrátorov systému, ktoré by upravovali, že budú mať len prístup k údajom, ktoré nevyhnutne potrebujú na vykonávanie pridelených údajov podľa § 41 písm. h) výnosu MF SR a taktiež neviedol formalizovanú dokumentáciu prístupových práv všetkých používateľov ISVS podľa § 41 písm. j) výnosu MF SR.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Prevádzkovateľ nekonal v súlade  s § 42 výnosu MF SR, keď nemal vypracované pravidlá podľa štandardu pre
aktualizáciu IKT podľa § 42 písm. a) výnosu MF SR a nemal zavedené postupy a schvaľovací proces pre zmeny existujúcich a zavedenie nových ISVS a IKT.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Prevádzkovateľ nekonal v súlade s § 43 výnosu MF SR, keď nemal vypracované pravidlá podľa štandardu pre účasť tretej strany podľa § 43 výnosu MF SR.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

Obec Vyšný Žipov

IČO: 00332950
Sídlo: Vyšný Žipov 83, 09433 Vyšný Žipov
Kontrolované obdobie: 2016-2019
Termín kontroly: 06.08.2019 - 27.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Registratúrny poriadok síce obsahoval podrobnosti o postupe pri spracovaní elektronických registratúrnych záznamov  avšak neobsahoval informácie o ich ochrane, podľa § 24a vyhlášky MV SR č. 628/2002 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 628/2002 Z.z.

Obec nepreskúmala nové povinnosti ktoré prinášalo nariadenie GDPR oproti zákonu č. 122/2013 Z. z a to do času uzatvorenia zmluvy s externou ZO t. j. od 25.05.2018 do 19.12.2018, čo nebolo v súlade s čl. 24 ods. 1 nariadenia GDPR.

Typ nedostatku: Formálna nezrovnalosť

                                        Kontrolou bolo zistené, že nedošlo k uzatvoreniu dohody podľa čl. 26 ods. 1 Nariadenia GDPR medzi spoločnými prevádzkovateľmi v súvislosti s určením ich zodpovedností za plnenie povinností najmä pokiaľ išlo o vykonávanie práv dotknutej osoby, poskytovať jej informácie uvedené v článkoch 13 a 14 podľa tohto nariadenia.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť

Kontrolou bolo zistené, že obec nezabezpečovala poučenie o schválenej bezpečnostnej politike povinnej osoby a o povinnostiach z nej vyplývajúcich pre tretie osoby podľa ustanovenia § 30 písm. a) výnosu č. 55/2014 Z. z.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec nepostupovala v súlade s ustanovením § 31 písm. d) výnosu č. 55/2014 Z. z. tým, že neurčila okruh kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec ako prevádzkovateľ neviedla evidenciu o všetkých miestach prepojenia sietí, ktoré boli v správe obce vrátane prepojení s externými sieťami, čo nebolo v súlade s ustanovením § 34 písm. b) výnosu č. 55/2014 Z. z.

Typ nedostatku: Finančná nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec mala definované intervaly pre vykonávanie záloh a ich fyzického ukladania, ale nemala zadefinované oblasti, ktoré povinne podliehali zálohovaniu a tiež nemala vypracovaný dokument podľa štandardu pre zálohovanie, čo nebolo v súlade s § 39 výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec neviedla formalizovanú dokumentáciu prístupových práv všetkých používateľov podľa ustanovenia § 41 písm. j) výnosu č. 55/2014 Z. z., čo nebolo v súlade s citovanými ustanoveniami výnosu.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

                                        Obec tým, že nemala vypracovaný prevádzkový dokument podľa štandardu pre aktualizáciu IKT podľa § 42 výnosu č. 55/2014 Z. z. a nemala zavedené postupy ani schvaľovací proces pre zavedenie nových ISVS a IKT, nepostupovala v súlade s vyššie citovaným výnosom.
                                    
                                            Typ nedostatku: Formálna nezrovnalosť
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nemala vypracovaný dokument podľa štandardu pre účasť tretej strany podľa ustanovenia § 43 výnosu č. 55/2014 Z. z. a ani bližšie špecifikované procesy súvisiace s činnosťou tretej strany v IS obce.

Typ nedostatku: Formálna nezrovnalosť Porušený predpis: 55/2014 Z.z.

Obec Zalaba

IČO: 00587648
Sídlo: Zalaba 84, 93573 Zalaba
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 27.10.2019
Stav kontroly: Ukončená

Obec Zbrojníky

IČO: 00307688
Sídlo: Zbrojníky 166, 93555 Zbrojníky
Kontrolované obdobie: 2016-2019
Termín kontroly: 23.07.2019 - 28.10.2019
Stav kontroly: Ukončená

Obec Zemianske Kostoľany

IČO: 00651001
Sídlo: 4. apríla 60/28, 97243 Zemianske Kostoľany
Kontrolované obdobie: 2016-2019
Termín kontroly: 10.07.2019 - 06.11.2019
Stav kontroly: Ukončená

Zistenia

                                        Preverením štandardov pre riadenie informačnej bezpečnosti bolo zistené, že obec v bezpečnostnej politike neurčila dokumenty, ktoré vypracuje na zaistenie informačnej bezpečnosti a zodpovednosť za bezpečnosť a obsah každého významného aktíva nepriradilo konkrétnemu vlastníkovi (gestorovi) čo nebolo v súlade s ustanovením § 29 písm. a) bod 13. a  písm. f) výnosu, podľa ktorého štandardom pre riadenie informačnej bezpečnosti je určenie dokumentov, ktoré povinná osoba na zaistenie informačnej bezpečnosti vypracuje a uvedie ich zoznam a určenie konkrétnej zodpovednosti za jednotlivé aktíva povinnej osoby.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Určenie kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS nemala obec stanovené, čo nebolo v súlade s ustanovením § 31 písm. d) výnosu, podľa ktorého štandardom pre manažment rizík pre oblasť informačnej bezpečnosti je analyzovanie procesov povinnej osoby, ktoré sú podstatné pre plnenie činnosti povinnej osoby z hľadiska ich závislosti na informačných systémoch verejnej správy a určenie procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných informačných systémov verejnej správy; tieto procesy sú kritickými procesmi.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Preverením jednotlivých pravidiel a činností bolo zistené, že obec nemá zavedené pravidlá pre sťahovanie súborov z externých sietí a šifrovanie elektronických dokumentov, čo nebolo v súlade s ustanovením § 33 písm. d) a f) výnosu, podľa ktorých štandardom pre ochranu proti škodlivému kódu je určenie pravidiel pre sťahovanie súborov prostredníctvom externých sietí a podpora šifrovania elektronických dokumentov.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Evidenciu o všetkých miestach prepojenia sietí, ktoré sú v správe obce vrátane prepojení s externými sieťami obec neviedla, čo nebolo v súlade s ustanovením § 34 písm. b) výnosu, podľa ktorého štandardom pre sieťovú bezpečnosť je vedenie evidencie o všetkých miestach prepojenia sietí v správe povinnej osoby vrátane prepojení s externými sieťami, ktorými sú všetky prepojenia, ktoré nemá povinná osoba pod svojou správou.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

                                        Formalizovanú dokumentáciu prístupových práv všetkých používateľov obec neviedla, čo nebolo v súlade s ustanovením § 41 písm. j) výnosu, podľa ktorého štandardom pre riadenie prístupu je vedenie formalizovanej dokumentácie prístupových práv všetkých používateľov informačného systému verejnej správy.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec Čavoj

IČO: 00318035
Sídlo: Čavoj 0, 97229 Čavoj
Kontrolované obdobie: 2016-2019
Termín kontroly: 17.07.2019 - 17.10.2019
Stav kontroly: Ukončená

Zistenia

                                        Pracovný poriadok neobsahoval podmienku, že majetkové priznania zamestnancov sa spracúvajú
v osobitnom IS a nezakladajú sa do osobného spisu zamestnanca, čo nebolo v súlade s ustanovením čl. 24 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nemala spracované pravidlá BOZP, kde by mala bližšie špecifikované nakladanie s osobitnými kategóriami OÚ pri činnosti BOZP, ktoré vyžadovali zvýšenú ochranu a povinnosť mlčanlivosti, čo nebolo v súlade s ustanovením čl. 24 ods. 1 a 2 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Obec nepostupovala v súlade s čl. 24 ods. 1 a 2 nariadenia GDPR, keď nemala komplexne upravené pravidlá  a pokyny pri používaní kamerového systému.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec nemala spracované pravidlá, podľa ktorých oprávnené osoby postupujú pri nahlasovaní porušenia ochrany osobných údajov dozornému orgánu. Uvedeným spôsobom obec nepostupovala v súlade s čl. 24 ods. 1 nariadenia GDPR

Typ nedostatku: Odchýlka od súladu

                                        Prevádzkovateľ nemal vypracované pravidlá podľa štandardov pre:
-	manažment rizík pre oblasť informačnej bezpečnosti podľa § 31 písm.  f) výnosu o štandardoch ISVS,
-	fyzickú bezpečnosť a bezpečnosť prostredia a to pre údržbu, uchovávanie a evidenciu technických komponentov IS podľa § 35 písm. h) bod 1 výnosu o štandardoch ISVS, pre vymazávanie, vyraďovanie a likvidáciu zariadení IS a všetkých záloh podľa § 35 písm. h) bod 4 výnosu o štandardoch ISVS,
-	periodické hodnotenie zraniteľnosti podľa § 38 výnosu o štandardoch ISVS,
-	aktualizáciu IKT podľa § 42 písm. a) výnosu o štandardoch ISVS a nemal zavedené postupy a schvaľovací proces pre zmeny existujúcich a zavedenie nových IS VS a IKT.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec pri určení ZO neskúmala, či výkon funkcie ZO nepovedie ku konfliktu záujmov. Prípadný konflikt záujmov ZO mal byť obcou preskúmaný k dátumu účinnosti nariadenia GDPR, pretože konflikt záujmov bol novým právnym inštitútom, zavedený týmto predpisom., čo nebolo s súlade s ustanovením čl. 38 ods. 6 nariadenia GDPR.

Typ nedostatku: Odchýlka od súladu

                                        Neexistovali žiadne formalizované výstupy z monitorovania ochrany osobných údajov, ktoré mala zodpovedná osoba vykonávať. 
Zodpovedná osoba nevypracúvala ani žiadne záznamy o svojej činnosti (napríklad na ročnej báze), čo nebolo v súlade s čl. 39 nariadenia GDPR.
                                    
                                            Typ nedostatku: Odchýlka od súladu

Obec Čaňa

IČO: 00324060
Sídlo: Osloboditeľov 22, 04414 Čaňa
Kontrolované obdobie: 2016-2019
Termín kontroly: 04.08.2019 - 17.10.2019
Stav kontroly: Ukončená

Obec Červeník

IČO: 00312355
Sídlo: Červeník 26, 92042 Červeník
Kontrolované obdobie: 2016-2019
Stav kontroly: Ukončená

Zistenia

                                        V oblasti manažmentu rizík bolo zistené, že obec určila okruh kritických procesov, ktoré nemôžu prebiehať v prípade výpadku alebo obmedzenia funkčnosti príslušných IS podľa ustanovenia § 31 písm. d) výnosu č. 55/2014 Z. z.
                                    
                                            Typ nedostatku: Odchýlka od súladu
                                        
                                            Porušený predpis: 55/2014 Z.z.

Obec nemala vypracovaný dokument podľa štandardu pre aktualizáciu IKT podľa § 42 výnosu MFSR 55/2014 Z. z ani postupy schvaľovacieho procesu pre zmeny existujúcich a zavedenie nových informačných systémom ISVS a IKT, ktorý zahŕňa bezpečnostné požiadavky podľa § 42 výnosu 55/2014 Z. z.Kontrolovaný subjekt nemal bližšie špecifikované procesy súvisiace s činnosťou tretej strany v IS.

Typ nedostatku: Odchýlka od súladu Porušený predpis: 55/2014 Z.z.

Obec Šarovce

IČO: 00307521
Sídlo: Šarovce 128, 93552 Šarovce
Kontrolované obdobie: 2016-2019
Termín kontroly: 22.07.2019 - 23.10.2019
Stav kontroly: Ukončená

Obec Ždaňa

IČO: 00324973
Sídlo: Ždaňa 118, 04411 Ždaňa
Kontrolované obdobie: 2016-2019
Termín kontroly: 25.07.2019 - 28.10.2019
Stav kontroly: Ukončená

Sociálna poisťovňa

IČO: 30807484
Sídlo: 29. augusta 8 - 10, 81363 Bratislava-Staré Mesto
Kontrolované obdobie: 2016-2019
Termín kontroly: 14.07.2019 - 10.10.2019
Stav kontroly: Ukončená

Všeobecná zdravotná poisťovňa, a.s.

IČO: 35937874
Sídlo: Panónska cesta 2, 85104 Bratislava-Petržalka
Kontrolované obdobie: 2016-2019
Termín kontroly: 11.07.2019 - 24.10.2019
Stav kontroly: Ukončená

Úrad geodézie, kartografie a katastra Slovenskej republiky

IČO: 00166260
Sídlo: Chlumeckého 2, 82007 Bratislava-Ružinov
Kontrolované obdobie: 2016-2019
Termín kontroly: 26.05.2019 - 20.08.2019
Stav kontroly: Ukončená

Ústredie práce, sociálnych vecí a rodiny

IČO: 30794536
Sídlo: Špitálska 8, 81267 Bratislava-Staré Mesto
Kontrolované obdobie: 2016-2019
Termín kontroly: 11.07.2019 - 29.10.2019
Stav kontroly: Ukončená

Žilinský samosprávny kraj

IČO: 37808427
Sídlo: Komenského 2622/48, 01109 Žilina
Kontrolované obdobie: 2016-2019
Termín kontroly: 28.05.2019 - 30.09.2019
Stav kontroly: Ukončená

Doména gov.sk je oficálna

Táto stránka je zabezpečená