zhodnocení platného právního stavu
Kompetence Úřadu pro státní informační systém jsou pouze rámcově vymezeny zákonem č. 272/1996 Sb., kterým se provádějí některá opatření v soustavě ústředních orgánů státní správy České republiky a kterým se mění a doplňuje zákon České národní rady č. 2/1969 Sb., o zřízení ministerstev a jiných ústředních orgánů státní správy České republiky, ve znění pozdějších předpisů, a mění a doplňuje zákon č. 97/1993 Sb., o působnosti Správy státních hmotných rezerv. Tímto zákonem přešla působnost v oblasti státního informačního systému z bývalého Ministerstva hospodářství (které tyto kompetence nemělo zvláštním zákonem vymezeno) na nově zřízený Úřad pro státní informační systém s tím, že se předpokládalo jednoznačné vymezení jeho kompetencí ve zvláštním zákoně. Vládou předložený zákon byl schválen Poslaneckou sněmovnou Parlamentu ČR, Senátem byl však vrácen z důvodu neslučitelnosti kompetencí v oblasti ochrany osobních údajů a státního informačního systému.
Pojem “informační systém”, jako obecný pojem, je v právním řádu poměrně frekventován. Jde např. o zákony o státním rozpočtu, bankách, okresních úřadech a zápisech vlastnických práv k nemovitostem. Vymezení je uvedeno v § 4 zákona č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech, jako “funkční celek zabezpečující cílevědomé a systematické shromažďování, zpracovávání, uchovávání a zpřístupňování informací”. Pod pojem informační systém je možné zahrnout i další systémy s názvy např. registry, evidence, rejstříky, seznamy atp.
Pojem “informační systémy veřejné správy” není v právním řádu České republiky definován, je tedy nutné tak učinit tímto navrhovaným zákonem. Současně je však nutné respektovat skutečnost, že v rámci informačních systémů veřejné správy je nutné nalézt definovanou míru spolupráce mezi jednotlivými informačními systémy orgánů veřejné správy. Tento přístup reflektuje nejen současný, ale i cílový stav, tj. existenci jednotlivých informačních systémů orgánů veřejné správy, u kterých dochází k vzájemnému poskytování informací při definování právního rámce a organizačních a technických podmínek (včetně ochrany údajů) společných pro všechny tyto informační systémy.
Navrhovaný zákon bude mít přímý dopad do stávajícího právního řádu, a to tím, že mj. stanoví kompetence Úřadu pro státní informační systém, předpokládá zveřejňování informací o datových prvcích obsažených v informačních systémech orgánů veřejné správy, pokud zvláštní zákon nestanoví jinak (viz §5 odst.2 písm. d)), a dále stanoví systém atestací pro ověření technické způsobilosti referenčního rozhraní, produktů, služeb a informačních systémů. Po zprovoznění veřejně přístupného informačního systému obsahujícího základní informace o dostupnosti a obsahu jednotlivých informačních systémů veřejné správy a průběžného vyhodnocování analýz údajů tohoto systému, je možné očekávat případné návrhy na změny nebo doplnění zákonů týkajících se zřízení a provozu informačních systémů a využívání dat z těchto systémů. Tyto změny bude Úřad pro státní informační systém iniciovat ve spolupráci se správci dotčených informačních systémů.
Zásada použitá pro tvorbu informačních systémů veřejné správy, že identifikační údaje fyzických a právnických osob již jednou těmito osobami poskytnuté by neměl jiný orgán po těchto osobách opět vyžadovat, ale pouze dát si od nich odsouhlasit platnost těchto údajů, si však pravděpodobně vyžádá novelizaci řady zákonů, některé z nich budou obsahem předpokládaného návrhu věcného záměru zákonné úpravy základních registrů.
odůvodnění hlavních principů návrhu zákona
Hlavním principem navrhovaného zákona je stanovení některých práv a povinností osob souvisejících s provozem informačních systémů veřejné správy, z toho vyplývajících informačních systémů, stanovení působnosti Úřadu pro státní informační systém jako ústředního správního úřadu pro tvorbu a rozvoj informačních systémů veřejné správy, vytvoření podmínek pro zajištění kompatibility informací vedených orgány veřejné správy a stanovení systému atestací.
Informační systémy veřejné správy jsou pojímány jako soubor jednotlivých informačních systémů, které slouží pro výkon veřejné správy a jsou vedeny ministerstvy, jinými správními úřady, orgány územní samosprávy v přenesené působnosti a dalšími státními orgány (souhrnné označení "orgány veřejné správy"). Východiskem je skutečnost, že jednotlivé informační systémy obsahují informace, které jsou potřebné pro jiné informační systémy, resp. pro zajištění správních činností příslušných orgánů. Cílem navrhovaného zákona je vytvoření podmínek pro zajištění kvalitních dat a bezpečné výměny informací za předem stanovených podmínek. K tomu je také nutno zajistit základní předpoklady pro tvorbu a rozvoj informačních systémů.
vysvětlení nezbytnosti návrhu zákona
V současné době nelze jednotlivé informační systémy orgánů veřejné správy považovat za funkční kooperující celek. Činnost orgánů veřejné správy je zabezpečována autonomními informačními systémy. Komunikace mezi těmito systémy je na různé úrovni, celkově ji však nelze považovat za uspokojivou, vzhledem k tomu, že řada údajů je od občanů i právnických osob vyžadována opakovaně a s následnou vzájemnou komunikací (ať už písemnou, či elektronickou) jsou problémy.
Předkládaný návrh zákona si klade za cíl vytvořit legislativní předpoklady pro efektivní využívání informací z jednotlivých informačních systémů veřejné správy, a postupně tak zlepšit současný stav.
Skutečnost, že pravomoc a působnost Úřadu pro státní informační systém není ve stávajícím právním řádu vymezena, komplikuje jeho činnost. Nutnost jednoznačného a nezpochybnitelného vymezení působnosti Úřadu pro státní informační systém zákonem je tedy naléhavá. Z těchto důvodů a v souladu s druhým bodem usnesení vlády č. 467/1998 jsou kompetence Úřadu pro státní informační systém součástí tohoto návrhu zákona. Toto pojetí je tedy obdobné jako v zákoně č. 89/1995 Sb., o státní statistické službě, ve kterém jsou současně s právy a povinnostmi orgánů státní správy vymezeny i kompetence Českého statistického úřadu.
Nedostatečná stávající právní úprava je také příčinou toho, že převažující část současných resortních informačních systémů shromažďuje a zpracovává informace bez dostatečné legislativní podpory. Součástí návrhu je vytvoření veřejně přístupného informačního systému obsahujícího základní informace o dostupnosti a obsahu jednotlivých informačních systémů veřejné správy za účelem vytvoření základních podmínek pro jejich optimalizaci a zefektivnění.
zhodnocení souladu návrhu zákona s ústavním pořádkem ČR
Předkládaný návrh zákona je v souladu s ústavním pořádkem ČR.
zhodnocení souladu návrhu zákona s mezinárodními smlouvami a právními akty ES
Předkládaný návrh zákona není v rozporu s Evropskou dohodou zakládající přidružení mezi Evropskými společenstvími a jejich členskými státy na jedné straně a Českou republikou na straně druhé publikované pod číslem 7/1995 Sb. Jiné mezinárodní smlouvy se na danou oblast nevztahují. Právní akta Evropského společenství problematiku informačních systémů veřejné správy neupravují.
předpokládaný hospodářský a finanční dosah návrhu zákona
Navrhovaný zákon nepředpokládá vyšší nároky na státní rozpočet, než jaké lze předpokládat při současném trendu rozvoje informačních technologií a služeb. Záměr, sledovaný předkládaným návrhem, je vytvořit podmínky pro optimální rozdělení finančních prostředků státního rozpočtu na základě důsledné analýzy toku informací a technického vybavení jednotlivých systémů, využít v informačním systému informace již získané v jiném informačním systému, omezit obsah dosud provozovaných informačních systémů, a snížit tak náklady na administrativu státu v této oblasti.
Velmi významným společenským rysem využívání informačních služeb bude zvýšení komfortu občana při jednání s úřady (do budoucna možnost vyřízení jeho záležitostí z jednoho místa), omezení zbytečné byrokracie způsobené opakovaným zadáváním osobních údajů jakémukoliv úřadu, který je vyžaduje. Je tedy reálné předpokládat, kromě úspor času a starostí, také úspory výdajů právě u občana, který již nebude muset na své náklady získávat požadované údaje.
Současně se zlepší podmínky pro rozhodování úředníků ve věcech předkládaných občany a zamezí se možnosti uvádět úmyslně nestejné údaje na různých úřadech. Povinností uloženou orgánům veřejné správy zveřejňovat informace o datových prvcích obsažených v jimi provozovaných informačních systémech bude umožněn přístup občanů k informacím o struktuře informačních systémů veřejné správy. Takto pracující systém bude jedním z nástrojů pro plánovanou reformu veřejné správy.
Zvláštní část
K § 1
Předmětem navrhovaného zákona je stanovení některých práv a povinností osob souvisejících s provozem informačních systémů veřejné správy, z toho vyplývající množiny informačních systémů a stanovení působnosti Úřadu pro státní informační systém ("Úřad").
K § 2
Navrhuje se, aby okruh subjektů v působnosti navrhovaného zákona byl vymezen ministerstvy, jinými správními úřady, orgány územní samosprávy v přenesené působnosti a dalšími státními orgány (současně pro tyto subjekty zavedena legislativní zkratka "orgány veřejné správy").
Mezi informační systémy v působnosti tohoto zákona nejsou zařazeny informační systémy vedené podle zvláštních zákonů zpravodajskými službami, Policií ČR při odhalování trestné činnosti, Ministerstvem financí v rámci finančně-analytické činnosti, Národním bezpečnostním úřadem při provádění bezpečnostních prověrek a Ministerstvem obrany. Datový obsah těchto systémů má odlišný charakter a není možné jej obecně sdílet s jinými informačními systémy podléhajícími tomuto zákonu.
Zákon dále stanoví, že v případě nakládání s osobními údaji nejsou tímto zákonem dotčena práva a povinnosti provozovatelů informačních systémů při zpracování informací v informačních systémech, stanovené zvláštními zákony.
K § 3
"Informační činností" prováděnou automatizovaně nebo jinými prostředky se rozumí i dálkový přístup např. prostřednictvím Internetu jako jedné ze současných možností.
Pojem "informační systém" vychází ze zákona č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech. Vzhledem k tomu, že nově navrhovaný zákon o ochraně osobních údajů, o působnosti Úřadu pro ochranu osobních údajů a o změně některých dalších zákonů (návrh zákona prošel 1. čtením v Poslanecké sněmovně Parlamentu České republiky) navrhuje zrušit zákon č. 256/1992 Sb. v celém rozsahu, je při formulaci pojmu "informační systém" vzata za základ definice z tohoto zákona, která je upravena podle současných kritérií. Pojmem informační systém současně rozumíme i registry, rejstříky, seznamy a další evidenční a registrační systémy.
Ostatní definice vycházejí z materiálů Úřadu, resp. současného stavu poznání.
K § 4
Mezi nejdůležitější činnosti Úřadu jsou navrženy ty činnosti, které umožní zefektivnit výměnu informací mezi orgány veřejné správy i směrem k veřejnosti, a především využít již dříve získané informace, a tak méně zatěžovat občany i příslušné orgány. Základním kritériem kompetencí je jednak pomoc (odborná, metodická) dotčeným subjektům provozujícím informační systémy, jednak řešení společných nadresortních záležitostí, konkrétně výměn informací prostřednictvím komunikačních médií.
Základním nástrojem činnosti Úřadu vůči orgánům veřejné správy jsou standardy informačních systémů veřejné správy, které mohou mít podobu jednak technických předpisů např. pro zajištění výměny dat, jednak organizačních či metodických materiálů.
Podrobněji k jednotlivým kompetencím:
Úřad ve spolupráci s orgány veřejné správy vychází při formulaci strategických dokumentů ze Státní informační politiky a Koncepce budování informačních systémů veřejné správy (schválenými vládou) představujících základní rámec, v němž se aplikují principy informačních systémů veřejné správy. To se týká i dokumentů v oblasti bezpečnosti informačních systémů veřejné správy.
Úřad ve spolupráci s orgány veřejné správy navrhuje a spravuje referenční rozhraní, prostřednictvím něhož si budou orgány veřejné správy vyměňovat informace při dodržení principů bezpečnosti a ochrany osobních údajů.
Na základě zmocnění v tomto zákoně Úřad ve spolupráci s orgány veřejné správyvydává standardy a zveřejňuje je ve Věstníku. Cílem této právní úpravy je závaznost standardů informačních systémů veřejné správy pro správce informačních systémů v působnosti tohoto návrhu zákona.
Veřejně přístupný informační systém (metainformační systém) popisuje informační vazby a funkce jednotlivých orgánů veřejné správy (specificky správní funkce), popisuje datový obsah (datové prvky) těchto vazeb (nikoli tedy vlastní data) a vztahy mezi orgány při poskytování informací. Jeho využití spočívá především v koordinovaném využívání již existujících systémů. Současně je možné získaných informací využít pro zmapování podkladů nutných k zajištění rozhodovacích procesů řízení orgánů veřejné správy.
Úřad dále stanoví systém atestací, který bude sloužit pro odborné ověřování technické způsobilosti referenčního rozhraní, produktů, služeb a informačních systémů a jejich shody se standardy informačních systémů veřejné správy. Současně Úřad vydává a odnímá pověření právnickým nebo fyzickým osobám k výkonu atestací.
Pravidla sdílení informací mezi jednotlivými informačními systémy veřejné správy jsou obdobou standardů. Obsahují technické a organizační postupy sdílení a výměny dat při dodržení právních podmínek daných příslušnými právními předpisy, a to prostřednictvím právního a technického prostředí, které je schopno zajistit přenos dat (včetně hlasu, obrazu) s požadovanými parametry. Vzhledem k tomu, že některé orgány veřejné správy již pro své potřeby provozují příslušné komunikační sítě, bude úkolem Úřadu zajistit jejich plnohodnotné využití v rámci jednotného komunikačního prostředí s jednoznačným prioritním cílem - úspory finančních prostředků státního rozpočtu.
Příslušné dokumenty dotýkající se oblasti informačních systémů veřejné správy budou zveřejňovány ve věstníku Úřadu a současně na jeho WWW stránkách (způsob umožňující dálkový přístup).
K § 5
Orgány veřejné správy vytvářejí informační systémy ve své působnosti v návaznosti na vládou schválené dokumenty v oblasti informačních systémů veřejné správy. Jejich resortní působnost ve vztahu k informačním systémům není dotčena, je však jejich povinností dodržovat obecné požadavky společné všem orgánům veřejné správy.
Splnění těchto požadavků zajistí možnost bezproblémového předávání informací mezi orgány veřejné správy a budování jednotlivých informačních systémů již od počátku jako součásti informačních systémů veřejné správy.
Důraz je kladen na princip otevřenosti, tj. navrhovaný zákon si klade za jeden z cílů umožnit zveřejňování informací o struktuře informačních systémů (aby v obecném povědomí existovaly informace o tom, které údaje vlastně příslušný orgán veřejné správy vede).
Orgány veřejné správy jsou dále povinny si vzájemně poskytovat informace pouze prostřednictvím referenčního rozhraní, které má ověřenou technickou způsobilost a zahrnovat požadavky vyplývající ze standardů a atestací do podmínek veřejných zakázek (součást zadávací dokumentace).
Orgány veřejné správy jsou dále povinny zajišťovat ochranu a bezpečnost informací obsažených v jimi provozovaných informačních systémech.
K § 6
Atestace slouží pro ověření, zda referenční rozhraní, produkt, služba nebo informační systém splňuje standardy. Současně se zjišťuje jakost produktů a služeb a stupeň bezpečnosti informačních systémů.
Stanovením systému atestací dochází k přenesení povinnosti dodržovat standardy při dodávkách informačních systémů, produktů i služeb do oblasti informačních systémů veřejné správy na dodavatele těchto systémů, neboť správní úřad není mnohdy schopen tyto vysoce odborné činnosti vykonávat.
Je navrženo, aby se atestačním střediskem mohla stát právnická nebo fyzická osoba, která splňuje zákonem stanovené náležitosti.
K § 7
Žadatel o pověření k výkonu atestací podává Úřadu žádost obsahující základní údaje. Důležitým aspektem je, že atestační středisko musí být nezávislé na dodavatelích či prodejcích produktů, služeb, referenčního rozhraní či informačních systémů, neboť v opačném případě nelze zajistit nezpochybnitelnost zkoušek a na jejich základě vydávaných atestů.
Pověření k výkonu atestací je platné 3 roky od data vystavení. Úřad jej může odejmout, pokud atestační středisko nedodržuje standardy, přestalo splňovat podmínky nutné pro vydání pověření, nebo jím vydávané atesty nejsou testovány na shodu s věcně příslušnými standardy definovanými smlouvou mezi atestačním střediskem a objednatelem.
K § 8
Ověření technické způsobilosti referenčního rozhraní zadává Úřad na základě žádosti orgánu veřejné správy (provozovatele informačního systému) vybranému atestačnímu středisku s tím, že současně hradí náklady atestace.
Tento způsob je finančně výhodnější pro státní rozpočet, neboť Úřad má větší možnosti k dosažení vyšší slevy při zadávání atestací z jednoho místa.
K § 9
Zkoušky shody testovaného referenčního rozhraní, produktu, služby nebo informačního systému provádí atestační středisko porovnáním s definovanými a oběma stranami schválenými technickými normami nebo standardy, a to na základě smluvního vztahu s objednatelem.
Dodržování standardů (např. organizačních, definujících určité postupy při zkouškách) je automatickou povinností atestačního střediska.
K § 10
Výsledkem provedení atestace je vydání protokolu o provedené zkoušce, který definuje, se kterými normami či standardy bylo referenční rozhraní, produkt, služba či informační systém srovnáván a jaký je výsledek srovnání. Pokud je tento výsledek kladný, vydá atestační středisko atest s uvedenými stupni hodnocení.
Délka platnosti atestů odpovídá náročnosti zkoušek a četnosti obměny.
Pro zajištění široké informovanosti orgánů veřejné správy na straně jedné a dodavatelů referenčního rozhraní, produktů, služeb a informačních systémů na straně druhé, má subjekt, který získal atest, právo na zveřejnění této skutečnosti ve věstníku Úřadu.
K § 11
Zákon stanoví, že způsob vydání nebo odnětí pověření k výkonu atestací se řídí správním řádem.
K § 12
Vzhledem k tomu, že většina informačních systémů je již provozována, je orgánům veřejné správy uložena povinnost uvést jejich informační systémy do souladu se standardy vyhlášenými Úřadem do 3 let od jejich vyhlášení.
Pro zajištění bezpečné výměny informací mezi orgány veřejné správy za předem definovaných podmínek (právních, technických, organizačních) je stanoveno, že orgány veřejné správy jsou povinny požádat Úřad o ověření technické způsobilosti informačního systému začleňovaného do informačních systémů veřejné správy, a to do 1 roku ode dne nabytí účinnosti tohoto zákona. V opačném případě nebude informační systém začleněn do informačních systémů veřejné správy.
K § 13
Účinnost zákona je předpokládána dnem vyhlášení s výjimkou ustanovení §5 odst.2) písm. d) a g), která nabývají účinnosti k 1. lednu 2003.
Přechodná doba je nutná z toho důvodu, že správci některých systémů nemusí být technicky připraveni tato ustanovení naplnit v době vyhlášení zákona.
V Praze dne 29. listopadu 1999
předseda vlády
místopředseda vlády a ministr financí
1) Například zákon č. 89/1995 Sb., o státní statistické službě, zákon č. 455/1991 Sb., o živnostenském podnikání (živnostenský zákon), ve znění pozdějších předpisů, zákon č. 48/1997 Sb., o veřejném zdravotním pojištění, ve znění pozdějších předpisů a zákon č. 513/1991 Sb., obchodní zákoník.
2) Zákon č. 153/1994 Sb., o zpravodajských službách, ve znění zákona č. 118/1995 Sb.
3) Zákon č. 283/1991 Sb., o Policii České republiky, ve znění zákona č. 26/1993 Sb., zákona č. 26/1993 Sb., zákona č. 67/1993 Sb., zákona č. 163/1993 Sb., zákona č. 326/1993 Sb., zákona č. 82/1995 Sb., zákona č. 152/1995 Sb., zákona č. 18/1997 Sb., zákona č. 186/1997 Sb., zákona č. 168/1999 Sb. a zákona č. 138/1999 Sb.
4) Zákon č. 61/1996 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti, ve znění zákona č. 15/1998 Sb.
5) Zákon č. 148/1998 Sb., o ochraně utajovaných skutečností a o změně některých zákonů.
6) Zákon č. 219/1999 Sb., o ozbrojených silách České republiky.
7) Například zákon č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech, zákon č. 337/1992 Sb., o správě daní a poplatků, ve znění pozdějších předpisů, zákon č. 106/1999 Sb., o svobodném přístupu k informacím a zákon č. 158/1999 Sb., o sčítání lidu, domů a bytů v roce 2001.
8) Zákon č. 199/1994 Sb., o zadávání veřejných zakázek, ve znění zákona č.148/1996 Sb. a zákona č. 93/1998 Sb.
9) Např. zákon č. 148/1998 Sb., o ochraně utajovaných skutečností, zákon č. 337/1992 Sb., o správě daní a poplatků, ve znění pozdějších předpisů, zákon č. 89/1995 Sb., o státní statistické službě, zákon č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech, č.106/1999 Sb., o svobodném přístupu k informacím.
10) § 2b odst. (1) písm. b), c), e) a f) zákona č. 199/1994 Sb., o zadávání veřejných zakázek, ve znění zákona č. 148/1996 Sb. a zákona č. 93/1998 Sb.
11) § 21 až 24 zákona č. 89/1995 Sb., o státní statistické službě.
12) Občanský zákoník, obchodní zákoník.
13) Např. kritéria bezpečnosti Trusted Computer System Evaluation Criteria (TCSEC), Information Technology Security Evaluation Criteria (ITSEC), Common Criteria for Information Technology Security Evaluation (CC) nebo Canadian Trusted Computer Product Evaluation Criteria (CTCPEC).