Odpověď hned: Místo uložení dat nepřenáší odpovědnost. Ať spisová služba běží na serveru ve vaší budově, nebo u dodavatele, povinnosti podle zákona č. 499/2004 Sb. plní dál vaše organizace a správcem osobních údajů zůstává také ona; dodavatel je jen zpracovatel a to, co smí, se podle čl. 28 odst. 3 GDPR řídí smlouvou. Rozhodujte se proto podle pěti věcí: kdo obnoví provoz a čím to doloží, kdo všechno se k datům dostane jako další zpracovatel, které náklady se v dané variantě nefakturují, jak dlouho musí data přežít smlouvu (skartační lhůta může být podle § 66 odst. 5 archivního zákona až sto let) a co vám zůstane v ruce při odchodu.

Kde to běží, neurčuje, kdo to podepíše

Otázka „vlastní server, nebo cloud" se vede jako technický spor. Ve skutečnosti je to spor o odpovědnost: obě varianty vedou ke stejným povinnostem, jen je rozdělují mezi jiné lidi a jinam schovávají náklady.

Tenhle text neřeší, jaký typ systému potřebujete — jestli stačí sdílený disk, nebo musíte mít elektronickou spisovou službu, rozebírá Spisová služba, DMS, nebo sdílený disk. Tady jde o otázku další v pořadí: kde to poběží a kdo ponese následky.

Co platí v obou variantách stejně

Než začnete porovnávat, oddělte to, co se hostingem nemění:

  • Povinnost vykonávat spisovou službu má původce, ne dodavatel. Veřejnoprávní původci ji podle § 63 odst. 3 zákona č. 499/2004 Sb. vykonávají v elektronických systémech spisové služby; obce neuvedené v § 63 odst. 1 a školy v rozsahu podle § 63 odst. 2.
  • Spisový a skartační plán vydává původce (§ 66 odst. 1 a 2) a ukládání po dobu skartační lhůty ve spisovně ukládá § 68 odst. 1 — bez ohledu na to, čí je disk.
  • Správcem osobních údajů zůstává organizace. Dodavatel je zpracovatel a podle čl. 28 odst. 1 GDPR ho smíte využít jen tehdy, poskytuje-li „dostatečné záruky zavedení vhodných technických a organizačních opatření".

Cloud tedy přesouvá práci, ne povinnost. A vlastní server nepřesouvá nic, jen k povinnosti přidává provoz.

Kritérium 1: kdo je zpracovatel a co má ve smlouvě

U cloudu je zpracovatel zřejmý. U vlastního serveru bývá přehlížený, a přitom skoro vždycky existuje: externí správce sítě se vzdáleným přístupem, dodavatel aplikace s údržbovým účtem, firma odvážející zálohy. Každý z nich zpracovává osobní údaje z vašeho systému a čl. 28 odst. 3 GDPR chce, aby to bylo podložené smlouvou s vymezeným předmětem, dobou, povahou a účelem zpracování. Tři body ze stejného článku se ověřují nejhůř:

  1. Doložené pokyny. Podle písm. a) zpracovává zpracovatel údaje „pouze na základě doložených pokynů správce". Patří sem i to, co smí dodavatel dělat s daty v testovacím prostředí a při ladění chyby.
  2. Další zpracovatelé. Podle čl. 28 odst. 2 nesmí zpracovatel zapojit dalšího bez předchozího konkrétního nebo obecného písemného povolení a při obecném povolení vás musí o zamýšlených změnách informovat, abyste mohli vznést námitky.
  3. Právo na audit. Podle písm. h) vám zpracovatel poskytne informace potřebné k doložení plnění povinností a umožní audity včetně inspekcí. Ptejte se, jak u něj probíhají.

Kritérium 2: dostupnost, a kdo ji obnoví v pátek večer

Čl. 32 odst. 1 GDPR požaduje opatření odpovídající riziku, „případně včetně" písm. b) schopnosti zajistit neustálou důvěrnost, integritu, dostupnost a odolnost systémů a písm. c) schopnosti obnovit dostupnost osobních údajů a přístup k nim včas v případě fyzických či technických incidentů — a písm. d) pravidelné testování účinnosti těch opatření.

Obě varianty proto mají zodpovědět stejně konkrétně: kdo obnovu provede a v jakém čase; odkud se obnovuje a je ta kopie mimo dosah stejné události (požár, voda, ransomware, chybný příkaz správce); a kdy naposledy někdo obnovu vyzkoušel a kde je o tom zápis.

Archivní zákon popisuje starost o úložiště názorně: u budovy se spisovnou § 68 odst. 4 jmenuje ohrožení povodní, požár, průnik vody i vstup nepovolané osoby. Serverovna takový výčet nemá — rizika jsou ale stejná.

Otázka Vlastní server Cloud u dodavatele Co si nechat doložit
Kdo provoz obnoví váš správce, často jeden člověk tým dodavatele podle smlouvy jméno role a dostupnost mimo pracovní dobu
Kde je druhá kopie často ve stejné budově v infrastruktuře dodavatele místo uložení, oddělení od primárního běhu
Kdo se k datům dostane zaměstnanci a externí správce dodavatel a jeho poddodavatelé seznam dalších zpracovatelů (čl. 28 odst. 2)

Kritérium 3: náklady, které nejsou na faktuře

Ceny tu neuvádíme, každá organizace má jiný rozsah. Kvalitativně je ale rozdíl popsatelný přesně: cloud většinu nákladů zviditelní na faktuře, vlastní provoz je rozpustí do práce lidí a do rizika.

U vlastního serveru se zapomíná na obměnu hardwaru, licence, čas správce na aktualizace a monitoring, druhé úložiště mimo budovu, testy obnovy, zastupitelnost toho jednoho člověka, který tomu rozumí, a odstávku, po kterou se nepracuje. Nic z toho nezdraží nabídku — všechno to spolkne rozpočet jinde. U cloudu se naopak zapomíná na položky, které přijdou později: růst úložiště v čase (spisová služba se nezmenšuje), testovací prostředí, integrace na další agendy, školení nových lidí a součinnost při ukončení smlouvy. K oběma variantám proto připočtěte i cenu situace, kdy to nefunguje: u serveru den bez systému, u cloudu den bez konektivity nebo bez dodavatele.

Kritérium 4: data musí přežít smlouvu

Kritérium, které v nabídkách nebývá, a přitom rozhoduje nejvíc. Vyřízené spisy jsou podle § 68 odst. 1 zákona č. 499/2004 Sb. uloženy ve spisovně po dobu trvání skartační lhůty, jejíž délka může být podle § 66 odst. 5 až 100 let. Běžná smlouva o provozu trvá roky. Ta dvě čísla se nepotkají a je nutné dopředu vědět, co se stane mezi nimi.

Do stejného místa míří GDPR z opačné strany. Podle čl. 28 odst. 3 písm. g) zpracovatel po ukončení služeb v souladu s rozhodnutím správce všechny osobní údaje buď vymaže, nebo vrátí správci, a vymaže existující kopie — „pokud právo Unie nebo členského státu nepožaduje uložení daných osobních údajů". Tahle výhrada je u spisové služby zásadní: archivní povinnost uložení požaduje, takže „po skončení smlouvy vše smažeme" je pro původce špatná odpověď. Ve smlouvě musí stát, která z variant nastane, v jaké lhůtě a podobě.

Počítejte i se scénářem, který nezpůsobí dodavatel. Při zrušení určeného původce se podle § 68a provádí spisová rozluka: rušený původce zpracuje její plán včetně časového rozvrhu a zašle ho příslušnému archivu, dokončuje ji právní nástupce, zřizovatel nebo likvidátor. Slučování organizací není teoretická situace a špatná odpověď na otázku, kdo v tu chvíli technicky drží data, ji prodraží.

Kritérium 5: co si odvezete, až budete odcházet

Nejlepší test obou variant je odchod nanečisto, dokud jste zákazník. Proč složka plná PDF/A není kompletní export, rozebírá Odchod od dodavatele spisové služby.

Hosting k tomu přidává jeden snadno přehlédnutelný rozdíl. U vlastního serveru máte databázi, ale nemusíte mít export: data jsou vaše a přesto nepřenositelná, dokud dodavatel aplikace nedodá nástroj, který z nich udělá dávku podle Národního standardu. U cloudu je to naopak — export bývá funkcí produktu, ale k databázi se nedostanete. Obě varianty obstojí jen tehdy, když si ověříte, že dávka jde naimportovat jinam, ne že se dá stáhnout.

Veřejná správa: cloud z katalogu se netýká všech

U organizací napojených na stát přibývá zvláštní vrstva. Zákon č. 365/2000 Sb. dovoluje orgánu veřejné správy v § 6l odst. 1 využívat pouze cloud computing, který splňuje požadavky podle § 6n a je poskytovaný poskytovatelem státního cloud computingu nebo poskytovatelem zapsaným v katalogu cloud computingu; podle § 6l odst. 3 musí orgán před uzavřením smlouvy zařadit systém do bezpečnostní úrovně a § 6n písm. d) žádá, aby úroveň cloudu byla stejná nebo vyšší.

Než ale tohle vezmete jako svou povinnost, ověřte dvě věci. Za orgán veřejné správy označuje § 1 odst. 1 systémy spravované státními orgány, orgány územních samosprávných celků nebo státními právnickými osobami. A podle § 1 odst. 4 se zákon nevztahuje na provozní informační systémy s výjimkou státními orgány spravovaných, mezi které písm. b) řadí elektronické systémy spisové služby. Škola zřízená obcí tedy není ve stejné situaci jako ministerstvo — zato zřizovatel může mít vlastní pravidla. Nechte si písemně potvrdit, co platí pro vás.

A věc, kterou u škol říkáme sami za sebe: atest systému spisové služby škola mít nemusí, § 63 odst. 3 ji z něj vyjímá (podrobněji v článku o elektronické spisové službě pro školy). Věcné požadavky zákona, vyhlášky č. 259/2012 Sb. a Národního standardu ale plní každý systém, ať běží kdekoli.

Tři situace, na kterých se rozhodnutí láme

Dejte oběma variantám tři scénáře a nechte si popsat, co se stane:

  1. V pátek v 16:00 přestane systém odpovídat. Kdo to zjistí, komu voláte, kdo drží zálohu, kdy se pracuje dál a kdo o výpadku udělá záznam.
  2. Dodavatel změní vlastníka, zdraží nebo skončí. Kolik času máte na přechod, kdo drží data v mezidobí a jak mezitím plníte povinnosti.
  3. Organizace se slučuje nebo ruší. Kdo připraví plán spisové rozluky, komu se předává a jak se dokumenty technicky dostanou jinam.

Varianta, která na všech třech odpoví jmény a lhůtami, je bezpečnější než ta, která odpoví technologií.

Kde v tom smí pomoct AI

Hosting a AI spojuje jedna otázka: kde se data zpracovávají a kdo je v řetězci další. Posílá-li systém dokumenty k vyhodnocení jinam, je to pro čl. 28 odst. 2 GDPR další zpracovatel se vším, co k tomu patří. Ptejte se na to stejně důsledně jako na místo uložení; hranici mezi návrhem a rozhodnutím rozebírá AI nad firemními dokumenty.

Co AI dělat smí, je vždycky stejný cyklus: náhled → potvrzení → auditní stopa. V InvoAIM se citlivá změna nezapíše bez vědomého potvrzení uživatele a zůstane po ní stopa s tím, kdo a kdy ji potvrdil (Co je InvoAIM). A dvě věci, které tvrdit nebudeme: InvoAIM není atestovaný systém spisové služby a žádný software nepřevezme vaši odpovědnost za správnost evidence.

Časté otázky

Je cloud pro spisovou službu legální? Zákon o archivnictví a spisové službě místo uložení dat neřeší, určuje, co musí umět systém a původce. U orgánů veřejné správy ale platí pravidla podle § 6l a § 6n zákona č. 365/2000 Sb. — nejdřív si ověřte, jestli do téhle skupiny vaše organizace podle § 1 odst. 1 a 4 vůbec patří.

Je vlastní server bezpečnější, protože data máme u sebe? Sám o sobě ne. Bezpečnost se podle čl. 32 odst. 1 GDPR posuzuje podle zavedených opatření a schopnosti včas obnovit dostupnost, ne podle vzdálenosti k disku. Server bez druhé kopie mimo budovu a bez vyzkoušené obnovy je rizikovější než dobře provozovaná služba — a naopak.

Nevíte, jestli vaše varianta obstojí ve všech třech scénářích? Projděme si to spolu — Miroslav Jaroš, +420 724 689 762, miroslav.jaros@ithope.cz. Školám a organizacím audit spisovny zdarma, revizním firmám 14denní vyzkoušení na vlastních datech.

Zdroje