Důvodová zpráva k zákonu č. 323/2025 Sb. o jednotném měsíčním hlášení zaměstnavatele

DŮVODOVÁ ZPRÁVA

Obecná část

Návrh zákona mění pravidelné informační povinnosti zaměstnavatelů vůči státním institucím. Základním cílem je centralizace sběru dat od zaměstnavatelů a sloučení sběru dat do jediného pravidelně podávaného hlášení, které bude každou z informačních položek obsahovat pouze jednou. Dojde tak ke zjednodušení a zlepšení současného stavu, kdy je podáván vysoký počet hlášení, která obsahují řadu položek duplicitně a jsou podávána v různých termínech na různá místa.

Vlivem navrhované úpravy dojde k zavedení jednotného reportovacího nástroje, který:

• Aplikuje právo na digitální služby státu.
• Zavede jednodušší komunikaci zaměstnavatelů se státními institucemi.
• Sníží administrativní zátěž zaměstnavatelů.
• Povede k efektivní digitalizaci státní správy.
• Odstraní vícečetné zasílání informací, kterými již stát disponuje.
• Umožní tvorbu statistik a analýz nad centralizovanými datovými zdroji.

Zhodnocení platného právního stavu, včetně zhodnocení současného stavu ve vztahu k zákazu diskriminace a ve vztahu k rovnosti mužů a žen

Navržená změna se dotkne hlášení a informačních povinností v rámci působnosti několika resortů a jejich podřízených organizací.

V oblasti sociálního pojištění, které spadá pod Ministerstvo práce a sociálních věcí (dále jen „MPSV“) a je primárně spravováno Českou správou sociálního zabezpečení (dále jen „ČSSZ“), je hlášení údajů zaměstnavatelem za jeho zaměstnance regulováno zákonem č. 589/1992 Sb., o pojistném na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti, ve znění pozdějších předpisů (dále jen „ZPSZ“), zákonem č. 187/2006 Sb., o nemocenském pojištění, ve znění pozdějších předpisů (dále jen „ZNP“), a zákonem č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, ve znění pozdějších předpisů (dále jen „ZOPSZ“).

Další agendou, která spadá pod resort MPSV, je oblast trhu práce, aktivní politiky zaměstnanosti a podpory v nezaměstnanosti, kterou spravuje Úřad práce ČR (dále jen „ÚP“). Povinnost hlásit údaje za zaměstnance je v této oblasti řízena zákonem č. 435/2004 Sb., o zaměstnanosti, ve znění pozdějších předpisů. ÚP spravuje také oblast ochrany zaměstnanců při platební neschopnosti zaměstnavatele, která je upravena zákonem č. 118/2000 Sb., o ochraně zaměstnanců při platební neschopnosti zaměstnavatele a o změně některých zákonů, ve znění pozdějších předpisů. MPSV rovněž provádí statistické zjišťování v rámci Pololetního šetření o průměrném výdělku podle zákona č. 89/1995 Sb., o státní statistické službě, ve znění pozdějších předpisů (více níže, str. 2).

Dotčenou agendou spadající pod Ministerstvo financí (dále jen „MF“) je správa daně z příjmů fyzických osob ze závislé činnosti. Právní úprava tzv. přímých daní, které zahrnují daň z příjmů fyzických osob a daň z příjmů právnických osob, je obsažena v zákoně č. 586/1992 Sb., o daních z příjmů, ve znění pozdějších předpisů (dále jen „zákon o daních z příjmů“). Přestože součástí zákona o daních z příjmů jsou i procesní ustanovení upravující správu daní z příjmů, subsidiárně se aplikuje zákon č. 280/2009 Sb., daňový řád, ve znění pozdějších předpisů (dále jen „daňový řád“), který představuje obecnou procesní normu pro správu daní v širším slova smyslu.

Dalším orgánem, který sbírá údaje za poněkud jiným účelem a odlišným způsobem než jiné orgány centrální státní moci, je Český statistický úřad (dále jen „ČSÚ“). Sběr statistických údajů a zpracování statistik se řídí zákonem č. 89/1995 Sb., o státní statistické službě, ve znění pozdějších předpisů, a Nařízením Evropského parlamentu a Rady (ES) č. 223/2009 ze dne 11. března 2009 o evropské statistice a zrušení nařízení (ES, Euratom) č. 1101/2008 o předávání údajů, na které se vztahuje statistická důvěrnost, Statistickému úřadu Evropských společenství, nařízení Rady (ES) č. 322/97 o statistice Společenství a rozhodnutí Rady 89/382/EHS, Euratom, kterým se zřizuje Výbor pro statistické programy Evropských společenství. Konkrétní zjišťování (sběry údajů, výběrová šetření) se provádějí podle vyhlášky o programu statistických zjišťování, která je každoročně vydávána. Program statistických zjišťování zahrnuje jak zjišťování prováděná ČSÚ, tak i statistická zjišťování resortů v rámci resortních pracovišť státní statistické služby zřízených na základě zákona o státní statistické službě (např. Informace a statistiky o průměrném výdělku – dále jen „ISPV“). Zveřejnění Programu statistických zjišťování na příslušný rok je základní podmínkou vzniku zpravodajské povinnosti pro zpravodajské jednotky, které jsou k jejímu plnění vyzvány ČSÚ nebo příslušným ministerstvem.

Obrázek 1: Současný stav pravidelných hlášení zaměstnavatele

Výsledkem povinností vyplývajících ze zmíněných norem je nejméně 25 hlášení různým institucím v rozdílných termínech (viz Obrázek 1, Tabulka 1), přičemž část sbíraných údajů je hlášena vícečetně. Zaměstnavatelé zahrnutí do výběrových šetření mají další dodatečné povinnosti s dalšími samostatně stanovenými termíny pro splnění. Potřeby statistického sběru formou výběrových šetření dále zatěžují zaměstnavatele, kteří musí pro potřeby různých šetření agregovat hlášené údaje do sumy za celý podnik nebo jeho jednotlivé organizační složky.

V oblasti zpracování dávek nemocenského pojištění jsou v současné době toky informací od zaměstnavatelů (povinně) elektronizované. Potřeba informací pro rozhodnutí o dávkách a stanovení jejich výše nastává vždy ad hoc v návaznosti na sociální událost, se kterou je nárok na dávku spojen. Zaměstnavatel v okamžiku žádosti o dávku zasílá ČSSZ informaci o výdělcích a vyloučených dnech za posledních 12 měsíců tak, aby bylo možné vypočíst příslušnou dávku nemocenského pojištění.

Tabulka 1: Seznam tiskopisů podávaných zaměstnavateli

V oblasti hrazení pojistného na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti je aktuálně měsíčně (do 20. dne následujícího kalendářního měsíce) zasílán Přehled o výši pojistného, kde zaměstnavatel uvádí úhrn vyměřovacích základů a splatného pojistného za zaměstnance a za zaměstnavatele. Na Přehledu o výši pojistného zaměstnavatel případně uplatňuje slevu na pojistném zaměstnavatele (za tzv. zkrácené úvazky).

Individuální údaje za jednotlivé zaměstnance jsou k dispozici ročně po zaslání Evidenčních listů důchodového pojištění (dále jen „ELDP“).

ELDP je nástrojem předávání informací o zaměstnancích v důchodovém pojištění zasílaný zpravidla jednou ročně (vyhotovený nejpozději do 30. dubna a zaslaný nejpozději do 30. května) nebo v jiném termínu, pokud výdělečná činnost zakládající účast na důchodovém pojištění zanikla v průběhu roku (do 1 měsíce po konečném vyúčtování příjmů, nejpozději do 31. ledna následujícího kalendářního roku). ELDP obsahuje informace identifikující pojištěnce, údaje významné pro stanovení důchodových nároků za dané období, zejména informaci o výši dosaženého příjmu (vyměřovací základ), pojištěných a vyloučených dnech a další informace o výdělečné činnosti.

V oblasti chráněného trhu práce se zaměstnavatelé, se kterými ÚP uzavřel dohodu o uznání zaměstnavatele za zaměstnavatele na chráněném trhu práce, zavazují ročně předkládat zprávu o své činnosti (vždy do 15. července následujícího kalendářního roku). Roční zpráva obsahuje informace o průměrných čtvrtletních přepočtených počtech zaměstnanců a zaměstnanců, kteří jsou osobami se zdravotním postižením, informace o předmětu činnosti zaměstnavatele, informace o činnosti zaměstnanců, kteří jsou osobami se zdravotním postižením a informace o místě výkonu práce těchto zaměstnanců.

Další povinná hlášení spadají do oblasti povinného podílu zaměstnávání osob se zdravotním postižením. Zaměstnavatelé s více než 25 zaměstnanci v pracovním poměru mají povinnost do 15. února následujícího roku ohlásit ÚP plnění povinného podílu zaměstnávání osob se zdravotním postižením za uplynulý kalendářní rok a způsob jeho plnění.

V oblasti aktivní politiky zaměstnanosti jsou za účelem poskytování příspěvku na vytvoření pracovní příležitosti v rámci veřejně prospěšných prací a příspěvku na společensky účelné pracovní místo hlášeny ze strany zaměstnavatelů údaje formou vyúčtování mzdových nákladů. Toto hlášení obsahuje identifikaci zaměstnavatele a jeho mzdové náklady a je příjemcem příspěvku podáváno měsíčně.

Další informační povinnost vůči ÚP je plněna zaměstnavateli zaměstnávajícími zaměstnance ze zahraničí, kterými jsou občané jiného členského státu Evropské unie a jejich rodinní příslušníci, rodinní příslušníci občana České republiky či cizinci, u nichž se nevyžaduje povolení k zaměstnání nebo cizinci, u nichž se vyžaduje povolení k zaměstnání, zaměstnanecká karta, karta vnitropodnikově převedeného zaměstnance nebo modrá karta. Zaměstnavatelé hlásí nástup těchto osob (až na výjimky) krajské pobočce ÚP nejpozději v den nástupu k výkonu práce.

Zaměstnavatel má rovněž povinnost hlásit ČSSZ, pro potřeby ÚP, skutečnosti rozhodné pro přiznání a poskytování podpory v nezaměstnanosti, a to do 8 kalendářních dnů od ukončení zaměstnání. Hlášené údaje obsahují identifikaci zaměstnance, dobu trvání zaměstnání, výši průměrného nebo pravděpodobného měsíčního čistého výdělku zjištěného podle příslušných právních předpisů a jiné informace dle zákona o zaměstnanosti.

Pokud se týká oblasti ochrany zaměstnanců při platební neschopnosti zaměstnavatele, pak ÚP písemně oznamuje nejpozději do dne výplaty částek odpovídajících mzdovým nárokům příslušné správě sociálního zabezpečení výši pojistného na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti a příslušné zdravotní pojišťovně výši pojistného na veřejné zdravotní pojištění, datum úhrady a údaje o zaměstnavateli, za jehož zaměstnance uvedené pojistné ÚP odvedl.

MPSV je také garantem pololetního výběrového statistického šetření, které na základě smluvního vztahu realizuje externí subjekt. Sběr dat v tomto šetření probíhá pololetně a míra výběrovosti je pro mzdovou sféru dána velikostí zaměstnavatele. Velcí zaměstnavatelé se účastní plošně, střední zaměstnavatelé mezi 10 a 249 zaměstnanci výběrově a malí zaměstnavatelé pod 10 zaměstnanců rovněž, avšak s menším zastoupením. Šetřené subjekty s 1 až 9 zaměstnanci vykazují údaje za všechny zaměstnance pouze jednou za dva roky. Celkově je ročně dotazováno přibližně 8 % všech zaměstnavatelů reprezentujících cca 50 % zaměstnanců.

Ve mzdové sféře jsou zpravodajskými jednotkami ekonomické subjekty – respondenty ISPV, které odměňují mzdou podle § 109 odst. 2 zákona č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů, a šetření je výběrové a probíhá pololetně.

V platové sféře se jedná o respondenty, kteří odměňují platem podle § 109 odst. 3 zákoníku práce, zákona č. 234/2014 Sb., o státní službě, zákona č. 221/1999 Sb., o vojácích z povolání a zákona č. 361/2003 Sb., o služebním poměru příslušníků bezpečnostních sborů, ve znění pozdějších předpisů. Šetření je plošné a zdrojem dat je v souladu s § 137 zákoníku práce a nařízením vlády č. 328/2013 Sb., o stanovení rozsahu a způsobu poskytovaní údajů do Informačního systému o platech (dále jen „ISP“), který je spravován MF. Toto šetření probíhá pololetně. Zpravodajské jednotky zasílají data vždy do 25. července (za 1. pololetí) a do 25. ledna (za právě ukončený rok). Gestorem šetření je MF. Data za platovou sféru jsou poskytována prostřednictvím Informačních systémů o platu a služebním příjmu (dále jen „ISPSP“) a sice:

• ISP: Informační systém o platu (pro zaměstnance odměňované podle zákona č. 262/2006 Sb., zákoník práce, na základě nařízení vlády č. 328/2013 Sb.).
• ISPSZ: Informační systém o platu státních zaměstnanců (pro státní zaměstnance odměňované podle zákona č. 234/2014 Sb., o státní službě, na základě nařízení vlády č. 328/2013 Sb.).
• ISSPV: Informační systém o služebním platu vojáků z povolání (pro vojáky z povolání odměňované podle zákona č. 221/1999 Sb., o vojácích z povolání, na základě nařízení vlády č. 57/2015 Sb.).
• ISSPr: Informační systém o služebním příjmu (pro příslušníky bezpečnostních sborů odměňované podle zákona č. 361/2003 Sb., o služebním poměru příslušníků bezpečnostních sborů, v platném znění, na základě nařízení vlády č. 507/2004 Sb.).

Hlavní informační povinnost ve vztahu k Finanční správě České republiky (dále jen „FS“) – vyúčtování daně z příjmů fyzických osob ze závislé činnosti vybírané formou záloh má roční periodicitu s termínem do dvou měsíců po uplynutí kalendářního roku; pokud plátce daně podá toto vyúčtování elektronicky, je lhůta pro podání do 20. března. Informacemi obsaženými ve vyúčtování je zejména úhrn sražených záloh na daň po uplatněných slevách, které měl plátce daně povinnost srazit a které plátce daně skutečně srazil. Dále jsou jeho obsahem informace o vyplacených měsíčních daňových bonusech a doplatcích daňových bonusů na vyživované děti. Vyúčtování rovněž obsahuje informace o provedených ročních zúčtováních záloh a daňového zvýhodnění, tj. vrácených přeplatcích na dani a vyplacených doplatcích na daňovém bonusu za předcházející zdaňovací období. Obsahem jsou rovněž počty zaměstnanců v jednotlivých kalendářních měsících. Jedná se ve všech atributech o souhrnné údaje za jednotlivé měsíce za plátce daně bez rozlišení na jednotlivé poplatníky.

Řada zaměstnavatelů je rovněž trvale nebo občasně zahrnuta do sběru údajů prostřednictvím výběrových šetření pro potřeby státní statistické služby ČSÚ (viz výše). I v tomto případě jsou často požadovány údaje, které se duplikují s některým z údajů hlášených jiným ústředním orgánům státní moci a vzniká další administrativní zátěž personálních a mzdových/ekonomických útvarů zaměstnavatelů.

Popsané procesy a hlášení reprezentují nejvýznamnější informační prostředky komunikace mezi zaměstnavateli a státní správou, nejde ovšem o vyčerpávající přehled.

Návrh se týká povinností hlásit údaje potřebné pro výkon svěřených agend úřadům centrální státní moci. Stávající právní úprava v této oblasti klade stejné povinnosti zaměstnavatelům bez ohledu na pohlaví zaměstnávaných osob. Jako taková je zcela genderově neutrální a nemá žádné dopady na rovnost mužů a žen a není ani v rozporu se zákazem diskriminace.

Odůvodnění hlavních principů navrhované právní úpravy, včetně dopadů navrhovaného řešení ve vztahu k zákazu diskriminace a ve vztahu k rovnosti mužů a žen, a vysvětlení nezbytnosti navrhované právní úpravy v jejím celku

Předložený návrh zákona legislativně ukotví zavedení jednotného měsíčního hlášení zaměstnavatele (dále jen „JMHZ“). Po zavedení JMHZ dojde ke sloučení povinností hlášení údajů na straně zaměstnavatele do jediného hlášení v jednom centrálním termínu. Hlášení bude zasíláno jednomu subjektu, kterým bude MPSV, jež se současně stane jediným správcem ICT a databázových systémů resortu práce a sociálních věcí. Z databázových systémů MPSV budou prostřednictvím Informačního systému sdílené služby (dále jen „ISSS“) – zprostředkována příslušná data jednotlivým orgánům veřejné moci, které mají zákonná zmocnění data získávat a tito další uživatelé údajů si budou pro ně připravené údaje potřebné pro výkon svých agend automatizovaně přebírat.

Po uvedení návrhu do praxe dojde k minimalizaci zátěže reportující jednotky – zaměstnavatele. Veškeré potřebné, pravidelně hlášené údaje budou reportovány právě jednou a pouze v jediném termínu. Z praktických důvodů, které na jedné straně reflektují možnosti zaměstnavatelů a na druhé straně potřeby správců agend, bylo pro JMHZ stanoveno, že hlášení za kalendářní měsíc bude podáváno od 1. do 20. kalendářního dne následujícího kalendářního měsíce (Obrázek 2). Veškeré údaje obsažené v hlášení jsou obsahem stávajících hlášení nebo evidencí vedených zaměstnavatelem. Tento přístup nejen že snižuje administrativní zátěž, ale také eliminuje duplicitní zadávání dat do více formulářů. Pro některé subjekty dojde k navýšení počtu reportovaných položek – jde primárně o subjekty, které dnes nejsou zahrnuty ani do plošného ISPSP (garantuje MF, týká se platové sféry), ani do výběrových statistických zjišťování prováděných MPSV a ČSÚ. Tyto subjekty do hlášení zahrnou i položky statistických zjišťování, které v minulosti nepředávaly. Vzhledem k tomu, že ve výběrových šetřeních dochází k rotaci reportujících jednotek, a tedy každý subjekt je dříve či později zahrnut, nedojde k rozšíření o položky, které zaměstnavatelé neevidují, pouze dojde k jejich hlášení každý měsíc.

Stejné platí i pro údaje určené pro FS, které dnes nejsou hlášeny správci daně na měsíční bázi. Nicméně v souladu s § 38j zákona o daních z příjmů platí, že plátci daně jsou povinni vést pro poplatníky s příjmy podle § 6 mzdové listy, rekapitulaci o sražených zálohách a dani srážené podle zvláštní sazby daně za každý kalendářní měsíc i za celé zdaňovací období. Tyto mzdové listy předkládá plátce daně v případě kontroly plnění daňových povinností. Tím, že zaměstnavatel bude hlásit tyto údaje na měsíční bázi, bude mít správce daně přehled o plnění daňových povinností, aniž by musel zatěžovat zaměstnavatele případným formalizovaným kontrolním postupem. Dále na základě sdílení údajů, se kterými disponuje ČSSZ, čerpá FS pro účely své agendy (kontrolní činnosti) data z ELDP zpravidla s kvartální četností, tyto údaje budou nově rovněž získávány prostřednictvím JMHZ.

Vzhledem k času potřebnému na přípravu informačních systémů orgánů FS není možné k navrhovanému datu spuštění projektu jednotného měsíčního hlášení zaměstnavatelů provést hlavní změny, které si tento projekt vyžádá, najednou. Pro oblast daní z příjmů je tak nutné projekt rozdělit do několika fází.

V rámci první fáze změn pro oblast daní z příjmů, s navrženou účinností od 1. ledna 2026, by mělo dojít k úpravě v následujících oblastech:

1. zavedení dočasné oznamovací povinnosti ohledně individualizovaných údajů týkajících se jednotlivých poplatníků daně z příjmů ze závislé činnosti (zaměstnanců) v rozsahu údajů obsažených v jednotném měsíčním hlášení relevantních pro oblast daně z příjmů ze závislé činnosti,
2. zrušení registrační povinnosti plátce daně z příjmů ze závislé činnosti v zákoně o daních z příjmů,
3. sjednocení lhůty pro odvod záloh na daň z příjmů ze závislé činnosti správci daně,
4. zrušení institutu tzv. srážkové daně vybírané zvláštní sazbou u příjmů ze závislé činnosti u fyzických osob daňových nerezidentů, které jsou členy orgánů právnických osob.

V rámci druhé fáze změn pro oblast daní z příjmů, s navrženou účinností od 1. ledna 2027, by mělo dojít k úpravě v následujících oblastech:

1. zavedení povinnosti podávat měsíční hlášení k záloze na daň z příjmů ze závislé činnosti,
2. samovyměření a samodoměření zálohy a daně z příjmů ze závislé činnosti a související změny v sankcích (pokuta, penále, úrok z prodlení),
3. služba předvyplnění daňového přiznání,
4. zavedení oznamovací povinnosti pro vybrané subjekty,
5. zrušení institutu tzv. srážkové daně vybírané zvláštní sazbou u příjmů ze závislé činnosti.

Po dosažení cílového stavu bude FS využívat data z jednotného měsíčního hlášení pro předvyplnění daňových přiznání k dani z příjmů fyzických osob údaji, které se týkají daně ze závislé činnosti, což sníží administrativní náročnost u poplatníků daně z příjmů při vyplňování daňových přiznání. Zároveň na straně zaměstnavatelů dojde ke zrušení dalších povinností, např. podávat roční vyúčtování daně z příjmů fyzických osob ze závislé činnosti.

Obrázek 2: Cílový stav po zavedení JMHZ

Návrh JMHZ se dotýká rovněž agend souvisejících s trhem práce spadajících pod ÚP. V oblasti chráněného trhu práce se zaměstnavatelé, se kterými ÚP uzavřel dohodu o uznání zaměstnavatele za zaměstnavatele na chráněném trhu práce, zavazují ročně předkládat zprávu o své činnosti (vždy do 15. července následujícího kalendářního roku). Roční zpráva obsahuje informace o průměrných čtvrtletních přepočtených počtech zaměstnanců a zaměstnanců, kteří jsou osobami se zdravotním postižením, informace o předmětu činnosti zaměstnavatele, informace o činnosti zaměstnanců, kteří jsou osobami se zdravotním postižením a informace o místě výkonu práce těchto zaměstnanců.

Další povinná hlášení spadají do oblasti povinného podílu zaměstnávání osob se zdravotním postižením. Zaměstnavatelé s více než 25 zaměstnanci v pracovním poměru mají povinnost do 15. února následujícího roku ohlásit ÚP plnění povinného podílu zaměstnávání osob se zdravotním postižením za uplynulý kalendářní rok a způsob jeho plnění.

V oblasti aktivní politiky zaměstnanosti jsou za účelem poskytování příspěvku na vytvoření pracovní příležitosti v rámci veřejně prospěšných prací a příspěvku na společensky účelné pracovní místo hlášeny ze strany zaměstnavatelů údaje formou vyúčtování mzdových nákladů. Toto hlášení obsahuje identifikaci zaměstnavatele a jeho mzdové náklady a je příjemcem příspěvku podáváno měsíčně.

Další informační povinnost vůči ÚP je plněna zaměstnavateli zaměstnávajícími zaměstnance ze zahraničí, kterými jsou občané jiného členského státu Evropské unie a jejich rodinní příslušníci, rodinní příslušníci občana České republiky či cizinci, u nichž se nevyžaduje povolení k zaměstnání nebo cizinci, u nichž se vyžaduje povolení k zaměstnání, zaměstnanecká karta, karta vnitropodnikově převedeného zaměstnance nebo modrá karta. Zaměstnavatelé hlásí nástup těchto osob (až na výjimky) krajské pobočce ÚP nejpozději v den nástupu k výkonu práce.

Zaměstnavatel má rovněž povinnost hlásit ČSSZ, pro potřeby ÚP, skutečnosti rozhodné pro přiznání a poskytování podpory v nezaměstnanosti, a to do 8 kalendářních dnů od ukončení zaměstnání. Hlášené údaje obsahují identifikaci zaměstnance, dobu trvání zaměstnání, výši průměrného nebo pravděpodobného měsíčního čistého výdělku zjištěného podle příslušných právních předpisů a jiné informace dle zákona o zaměstnanosti.

Hlavní principy právní úpravy vyplývají z definovaných cílů jsou zjednodušení nepřehledného systému hlášení různým státním orgánům v různých termínech a odstranění administrativní zátěže vyplývající z vícečetného hlášení stejných údajů.

Počet povinných pravidelných hlášení bude snížen na minimální počet, tedy na jedno hlášení, které bude podáváno v jednotném termínu, kterým bude nejpozději 20. den kalendářního měsíce následujícího po kalendářním měsíci, který je věcným obsahem hlášení. Část hlášení, která není zasílána v pravidelných termínech, ale v ad-hoc termínech navázaných na určité skutečnosti, bude tam, kde je to možné, zahrnuta do JMHZ. Údaje potřebné pro výkon agend tak budou sbírány průběžně a nebude třeba zaměstnavatele zatěžovat hlášeními v okamžiku vzniku určitých událostí. JMHZ současně zajistí, že všechny informační položky, které jsou nyní hlášeny separátně jednotlivým úřadům, budou i nadále sbírány a poskytovány uživatelům údajů (státním úřadům) v rozsahu potřebném pro výkon jejich agend, avšak každá položka bude hlášena pouze jednou. Uživatelé údajů však nebudou moci přistupovat k položkám, které jim nenáleží z titulu zákonného zmocnění. Rozsah potřeb jednotlivých uživatelů údajů bude nadále definován na základě právních předpisů, kterými se tito uživatelé údajů řídí.

Za účelem digitalizace státní správy a minimalizace administrativní zátěže bude JMHZ možné podávat pouze elektronicky. Tento způsob podání minimalizuje administrativní zátěž jak na straně zaměstnavatele, který nebude muset manuálně vyplňovat papírové formuláře za zaměstnance každý měsíc, tak na straně státu, kde správce datové základny, kde budou údaje z JMHZ ukládány, bude moci správu dat provádět automatizovaně bez nutnosti transformace papírových podkladů do elektronické podoby.

Projekt JMHZ rovněž přináší výraznou digitalizaci komunikace se státem, což umožní rychlejší a efektivnější zpracování dat. Zaměstnavatelé nebudou muset zadávat vícečetně údaje, které již státní správa eviduje. Navíc dojde k automatizaci zpracování některých ročních hlášení, jako je ELDP, který bude generován automaticky z měsíčních údajů. Tento krok přinese úspory času i nákladů zaměstnavatelům a přispěje k modernizaci státní správy.

Projekt JMHZ představuje nejen zjednodušení administrativních procesů pro zaměstnavatele, ale také zásadní posun v tom, jak stát pracuje s daty. Implementací tohoto systému získá stát komplexní a ucelený přehled o pracovním trhu, což mu umožní provádět evidence-based politiku. Díky centralizaci a standardizaci dat budou moci státní orgány lépe analyzovat trh práce, identifikovat klíčové trendy a na jejich základě formulovat účinné strategie a politická rozhodnutí.

Pro zaměstnavatele to znamená, že jejich úsilí při podávání hlášení bude lépe využito, protože poskytnutá data nebudou plnit jen administrativní povinnost, ale stanou se součástí datového skladu, který stát využije k efektivnímu řízení celé ekonomiky. Tento systém umožní státu nejen monitorovat aktuální stav na trhu práce, ale také předvídat budoucí potřeby a příležitosti pro růst jednotlivých odvětví. Firmy tak získají přístup k relevantním informacím o trendech v zaměstnanosti, což jim umožní lépe se rozhodovat o svém dalším rozvoji a investicích.

Navíc s jednotným systémem pro sběr dat bude možné provádět sofistikovanější analýzy, které odhalí, v jakých oblastech je potenciál pro ekonomický růst nebo kde je třeba zavést opatření pro zvýšení zaměstnanosti. To nejenže přinese benefity pro zaměstnavatele v podobě efektivnějšího využití lidských a finančních zdrojů, ale také pro občany, kteří budou mít lepší přehled o možnostech rekvalifikace a uplatnění na pracovním trhu.

Správcem systému evidence jednotného měsíčního hlášení bude MPSV, přičemž technickou část, tedy zejména přijímání hlášení, formální a logické kontroly dat a jejich uložení do integrovaného informačního systému MPSV (dále jen „IIS MPSV“) bude vykonávat ČSSZ. MPSV se správcem systému stane zejména proto, že je aktuálním příjemcem většiny hlášených položek a je, při spolupráci s ČSSZ, technicky připraveno technologickou část řešení zajistit. Nutnou podmínkou pro fungování JMHZ je zavedení evidence zaměstnavatelů a evidence zaměstnanců, které budou spadat pod IIS MPSV a budou spravovány MPSV.

Navrhovaná právní úprava nepřináší žádné změny z hlediska zachování rovnosti mužů a žen a není ani v rozporu se zákazem diskriminace. Úprava mění proces a termíny hlášení zaměstnavatelů vůči státním institucím, kde nevznikají žádné rozdíly v závislosti na pohlaví osoby, za kterou je hlášení prováděno.

Současně bude zaměstnanci žádajícímu o poskytnutí úvěru umožněno udělit bance souhlas k tomu, aby si v rámci posuzování jeho solventnosti vyžádala od MPSV poskytnutí údajů o jeho příjmech a zaměstnáních vedených v JMHZ.

Zhodnocení souladu navrhované právní úpravy s ústavním pořádkem České republiky

Návrh zákona o JMHZ nastavuje nový komunikační kanál a proces, kterým budou zaměstnavatelé nově plnit informační povinnost vůči orgánům státní správy nebo orgánům veřejné moci. Zákon mírně modifikuje existující procesy, avšak nepřináší nové povinnosti. Jako takový je návrh zákona v souladu s ústavním pořádkem České republiky, stejně jako je v souladu s ústavním pořádkem stávající právní stav.

Zhodnocení slučitelnosti navrhované právní úpravy s předpisy Evropské unie, judikaturou soudních orgánů Evropské unie nebo obecnými právními zásadami práva Evropské unie a s mezinárodními smlouvami, jimiž je Česká republika vázána

Z hlediska povinnosti hlásit údaje za zaměstnance orgánům centrální státní správy nebo orgánům veřejné moci se na návrh zákona nevztahuje žádný relevantní právní předpis Evropské unie. Návrh zákona nastavuje nový proces k plnění existujících povinností a je předmětem čistě vnitrostátní legislativy.

Vztah k navržené zákonné úpravě má nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Systém JMHZ bude nastaven tak, aby byl v souladu s uvedeným nařízením. Blíže popsáno v kapitole 7 této důvodové zprávy.

Z hlediska přeshraniční komunikace je relevantní nařízení Evropského parlamentu a Rady (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES, v platném znění. Již v současné době ePortál ČSSZ splňuje požadavky tohoto nařízení. Stejné funkcionality bude podporovat i v případě JMHZ.

Návrhu zákona je v souladu s nařízením Evropského parlamentu a Rady (EU) 2018/1724 ze dne 2. října 2018, kterým se zřizuje jednotná digitální brána pro poskytování přístupu k informacím, postupům a k asistenčním službám a službám pro řešení problémů a kterým se mění nařízení (EU) č. 1024/2012, v platném znění.

S ohledem na nařízení (EU) 2018/1724, bude JMHZ nabízet maximálně jednoduché služby, předvyplňovat dostupné položky a nabídne asistenční služby uživatelům.

Povinnost uložená čl. 4 odst. 1 písm. c) směrnice Evropského parlamentu a Rady 2009/52/ES ze dne 18. června 2009 o minimálních normách pro sankce a opatření vůči zaměstnavatelům neoprávněně pobývajících státních příslušníků třetích zemí, není návrhem tohoto zákona nijak dotčena.

Předpokládaný hospodářský a finanční dopad navrhované právní úpravy na státní rozpočet, ostatní veřejné rozpočty a na podnikatelské prostředí České republiky

Navrhovaná právní úprava bude mít dopad na státní a veřejné rozpočty především z hlediska výdajů na úpravu stávajících a implementaci nových informačních systémů pro státní správu. Tyto náklady se budou týkat zejména úprav softwarových systémů, aby mohly efektivně komunikovat s jednotným systémem JMHZ. Veřejné instituce, které budou v pozici zaměstnavatelů, budou muset provést úpravy svých mzdových a personálních systémů, aby splňovaly požadavky JMHZ. Jedná se o investici, která v dlouhodobém horizontu povede ke snížení nákladů spojených s administrativou a zpracováním dat. Náklady na tyto úpravy lze očekávat především v prvních letech implementace, přičemž provozní náklady na udržování systému budou ve srovnání s počátečními náklady minimální.

Dopad do státního rozpočtu

Navrhovaná právní úprava si vyžádá výdaje státního rozpočtu na úpravu stávajících ICT systémů orgánů státní správy nebo vybudování nových softwarových řešení. Většinu těchto nákladů ponese MPSV a ČSSZ. MPSV předpokládá výdaje ve výši 145 mil. Kč a ČSSZ pak 112 mil. Kč. V částce kalkulované za ČSSZ je zahrnuto rovněž 25 mil. Kč, které vyplývají z role uživatele údajů. Uvedená částka bude alokována na úpravu aplikací nemocenského pojištění.

Kromě výše uvedených nákladů na pořízení systému je taktéž nutné alokovat prostředky na údržbu, provoz a podporu těchto systémů, jejichž výše je odhadována na 20 % z hodnoty investice v každém roce využívání tohoto systému. Na základě pilotního provozu JMHZ, který je plánován od 1.7.2025, může dojít k implementaci dodatečných požadavků s cílem zajištění vyšší efektivity řešení, nižších nákladů na straně zaměstnavatelů a souladu s požadavky na uživatelsky přívětivou legislativu.

ČSSZ bude zajišťovat sběr údajů i z resortů, s jejichž agendou není obeznámena, a bude příjemcem výrazně vyššího objemu sbíraných dat.

ČSSZ nepožaduje v souvislosti s JMHZ žádné nové systemizované místo - ani pro metodiku, ani pro výkon agend, ani pro call centrum, přestože na sebe přebírá kompletní administrativu spojenou s příjmem a následnou distribucí JMHZ na MPSV, neboť předpokládá, že efekty souběžně probíhajících projektů (zejména digitalizace dávek nemocenského pojištění) uvolní jistou personální kapacitu, kterou zkonzumuje právě projekt JMHZ.

Další výdaje budou muset vydat další uživatelé údajů. Pro FS je implementace zákona o jednotném měsíčním hlášení zaměstnavatelů zásadní změnou s dopadem jak do stávajících procesů, tak do ICT. Předpokládané výdaje FS na dopadovou analýzu, vývoj, provoz a rozvoj příslušného ICT systému nelze v současnosti stanovit, lze očekávat, že se bude jednat o částku v řádu desítek milionů Kč.

V rámci ČSÚ jde v souvislosti s JMHZ především o případný přesun části stávajících agend MPSV v rámci strukturální mzdové statistiky a činností spojených s agendou Informací a statistik o průměrném výdělku (ISPV) z MPSV. Tyto činnosti jsou nyní řešeny převážně outsourcingem v rámci rezortu MPSV. ČSÚ nyní vede jednání s MPSV o dalším zajištění těchto činností po zahájení sběru dat prostřednictvím JMHZ. Zajištění předpokládaných výdajů ČSÚ na JMHZ se v případě převodu části stávající agendy předpokládá převodem prostředků z MPSV. Jedná se o jedno alokované služební místo a finanční prostředky věcných výdajů v současné době alokované na ISPV v rámci MPSV.

Předpokládané výdaje ČSÚ jsou ve výši 5,1 mil. Kč ročně na implementaci JMHZ do infomačních systémů ČSÚ, správu těchto systémů a na zpracování dat JMHZ a 0,7 mil. Kč ročně na jedno systemizované služební místo. Pro ČSÚ se jedná o pravidelné každoroční náklady. Tyto prostředky budou vydány na úpravu informačních systémů tak, aby byly připraveny stahovat údaje potřebné pro výkon agend z IIS MPSV prostřednictvím vzdáleného přístupu, aby byly připraveny na nový způsob zpracování dat a další související úpravy interních ICT systémů.

Návrh zákona bude mít dopady na rozpočty orgánů veřejné správy, které jsou v pozici zaměstnavatelů a další subjekty jejichž provoz je financován ze státního rozpočtu a to v podobném rozsahu, jako u podnikatelských subjektů v roli zaměstnavatele. Vzhledem k tomu, že tyto subjekty provádí existující hlášení elektronicky, očekává se dopad na tyto subjekty velmi malý.

Dopad na ostatní veřejné rozpočty

Na územní samosprávné celky má návrh zákona dopady za situace, že budou v roli zaměstnavatele, a to stejné jako na podnikatelské subjekty v roli zaměstnavatele.

Dopad na podnikatelské prostředí

Zavedení JMHZ bude mít významný pozitivní dopad na podnikatelské prostředí. Zaměstnavatelé budou moci využívat jednotný systém, který sníží administrativní zátěž spojenou s podáváním hlášení, a to jak časově, tak nákladově. Místo několika samostatných hlášení podávaných různým institucím budou zaměstnavatelé poskytovat jedno souhrnné hlášení, čímž dojde k předpokládané úspoře času do výše 3-5 hodin měsíčně na každého zaměstnavatele. U větších podniků může tato předpokládaná úspora dosahovat až desítek člověkohodin ročně, což v celkovém měřítku znamená snížení administrativní zátěže o miliony člověkohodin ročně.

Pro některé podniky bude implementace JMHZ znamenat jednorázové výdaje spojené s úpravou mzdových a personálních systémů. U větších zaměstnavatelů budou tyto náklady vykompenzovány úsporami v oblasti administrativy již během prvního roku fungování systému. Celkový ekonomický přínos pro podnikatelské prostředí lze navíc očekávat v podobě vyšší efektivity využívání času a zdrojů, což umožní podnikům soustředit se více na vlastní obchodní činnosti a růst.

V současnosti komunikuje se státní správou prostřednictvím elektronického rozhraní (API) nebo datových schránek cca 300 tisíc zaměstnavatelů, představujících přibližně 90 % všech zaměstnavatelů. Přibližně 20 % z nich bude muset provést úpravy mzdových a personálních informačních systémů nad rámec úprav pokrytých existujícími smlouvami dle velikosti a náročnosti v řádu vyšších desítek až stovek tisíc korun.

Zbylých 10 % zaměstnavatelů (30 tisíc) bude muset změnit systém svého výkaznictví (doposud papírového, možná s dílčí počítačovou podporou) a přejít na digitální komunikaci. Individuální změna může dosahovat až nižších statisíců Kč, u mnoha z nich méně. Sumárně půjde o náklady pro zaměstnavatele v řádu nižších jednotek miliard Kč.

Úpravy mzdového a personálního softwaru a související změny výkaznictví tak, aby byly zaměstnavatelé schopni plnit požadavky JMHZ, si celkově vyžádají přibližně 5–8 mld. Kč.

Náklady na tyto úpravy lze očekávat především v prvních letech implementace, přičemž provozní náklady na udržování systému budou ve srovnání s počátečními náklady minimální.

Projekt JMHZ má potenciál nejen výrazně snížit administrativní zátěž zaměstnavatelů, ale také přinést strategické výhody, které přímo ovlivní konkurenceschopnost firem na trhu. Konsolidace a digitalizace hlášení poskytne zaměstnavatelům jednoduchý a efektivní nástroj pro komunikaci se státními orgány, čímž se ušetří značné množství času a zdrojů, které mohou být lépe využity pro hlavní obchodní činnosti.

Díky JMHZ bude stát disponovat ucelenými a aktuálními daty, která umožní hlubší analýzy a predikce vývoje trhu práce. Tyto analýzy mohou firmám poskytnout cenné informace o tom, které sektory ekonomiky rostou a kde se naopak očekávají poklesy, což firmám umožní lépe plánovat a přizpůsobovat své strategie. Současně mohou zaměstnavatelé využít tyto informace k tomu, aby lépe pochopili tržní trendy a identifikovali oblasti, kde existuje největší potenciál pro investice a růst.

Navíc přístup k takto strukturovaným a analyzovaným datům umožní firmám rychleji a přesněji reagovat na změny v poptávce po pracovních silách, ať už jde o potřebu nových kvalifikací nebo přesměrování investic do jiných odvětví. Občané pak díky této analýze získají lepší přehled o tom, jakým směrem se vyvíjí trh práce a jaké obory jsou perspektivní pro rekvalifikaci, což přispěje k jejich lepšímu uplatnění na trhu práce.

Tento systém tedy nejen zjednoduší povinnosti zaměstnavatelů, ale zároveň vytvoří podmínky pro efektivnější řízení ekonomiky a lepší informovanost všech aktérů na trhu. V konečném důsledku tak přinese dlouhodobé výhody jak pro zaměstnavatele, tak pro občany a stát jako celek.

6. Sociální dopady, včetně dopadů na specifické skupiny obyvatel, zejména osoby sociálně slabé, osoby se zdravotním postižením a národnostní menšiny, dopady na ochranu práv dětí a dopady na životní prostředí

Sociální dopady

Návrh zákona nemá žádné sociální dopady.

Dopady na ochranu práv dětí

Změna nemá dopad na ochranu práv dětí.

Dopad na životní prostředí

Změna nemá dopad na životní prostředí.

7. Zhodnocení dopadů navrhovaného řešení ve vztahu k ochraně soukromí a osobních údajů

Připravované nové zpracování osobních údajů formou JMHZ bylo posouzeno v kontextu platných předpisů pro zpracování a ochranu osobních údajů, zejména nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) také známé jako „GDPR“, zákon č. 110/2019 Sb., o zpracování osobních údajů, Legislativních pravidel vlády č. 22 ze dne 11. ledna 2023, a metodiky Úřadu pro ochranu osobních údajů.

Na základě předběžného posouzení nutnosti zpracovat Posouzení vlivu na ochranu osobních údajů (dále jen „DPIA“) ze dne 30. 8. 2024 dospěl předkladatel návrhu zákona o JMHZ k závěru, že DPIA není nutné zpracovávat.

Rozsah osobních údajů předávaných zaměstnavateli do evidence prostřednictvím JMHZ stanoví zvláštní právní předpisy.

Úvěrovým společnostem a bankám budou údaje o zaměstnanci poskytnuty pouze v případech, kdy jí zaměstnanec udělí souhlas k tomu, aby si v rámci posuzování jeho solventnosti vyžádala od MPSV poskytnutí údajů o jeho příjmech a zaměstnáních vedených v JMHZ.

7.1. Účelem připravovaného řešení je primárně:

1. centralizace sběru informací a sloučení sběru do jediného pravidelně podávaného hlášení s cílem zefektivnit komunikaci mezi státem a zaměstnavateli;
2. zjednodušení (snížení kvantity hlášení o subjektech údajů);
3. zlepšení kvality předávaných informací (eliminace duplicit dat);
4. efektivní digitalizace státní správy.

Účelem zpracování osobních údajů je sjednocení povinností hlášení zaměstnavatelů vůči státním institucím a předávání těchto údajů jednotlivým agendám. Rozsah zpracovávaných údajů se v návaznosti na návrh zákona JMHZ nemění.

7.2. Návaznost na současné zpracování osobních údajů

Rozsah nově připravovaného zpracování kategorií osobních údajů se ve srovnání se současným stavem sdílení informací o zaměstnancích povinných subjektů se státem nemění. Rozsah údajů připravovaného zpracování včetně povinného nebo nepovinného charakteru jednotlivých polí a nastavených formátů bude upraven nařízením vlády.

V systému JMHZ budou ukládána pouze data, která jsou nezbytně nutná k výkonu agend integrovaných subjektů. Tato data jsou již nyní státem zpracovávána a využívána podle zvláštních předpisů a legislativní úprava pouze konsoliduje formu jejich sběru a následně také jejich distribuci jednotlivým integrovaným subjektům.

7.3. Posouzení navrhovaného řešení zpracování z hlediska nezbytnosti a přiměřenosti

Výkon uvedených činností nelze zajistit bez zpracování osobních údajů nebo efektivnějším způsobem či jinými prostředky, jež by byly pro ochranu základních práv a svobod a soukromí méně invazivní.

7.4. Posouzení rizik pro práva a svobody fyzických osob a opatření k jejich snížení

V souladu s principem riskantnosti každého zpracování bylo provedeno zhodnocení přiměřenosti úrovně zabezpečení ve vztahu k zajištění relevantních práv a svobod subjektů údajů dotčených novou formou zpracování jejich osobních údajů.

Na základě posouzení rizik zpracování ze dne 30. 8. 2024 došel předkladatel k závěru, že kritické úrovně dosahovalo pouze riziko č. 4 (zpracování údajů velkého rozsahu), jako významné riziko bylo detekováno riziko č. 8 (zpracování osobních údajů v technologicky složitých nebo pokročilých infrastrukturách nebo platformách) a u ostatních rizik byla jejich úroveň nízká nebo žádná.

Osobní údaje zvláštní kategorie podle čl. 9 a 10 GDPR, budou udržována a poskytována pseudononymizovaně. Při registraci zaměstnance bude přiřazen zaměstnanci bezvýznamový identifikátor – osobní identifikační číslo (dále jen „OIČ“, na základě kterého budou data z hlášení uchována a poskytována. Nahrazení významového identifikátoru – rodného čísla – bezvýznamovým přispěje ke snížení rizik při nakládání s osobními údaji.

Z hlediska zabezpečení zasílání údajů nebudou žádné nové prvky z pohledu ochrany osobních údajů zaváděny v souladu s bezpečnostní politikou ČSSZ. Využijí se pouze stávající, které už zaměstnavatelé používají při hlášení podávaných k ČSSZ (šifrování zpráv a jejich podpis).

Klíčovým aspektem ochrany osobních údajů je, že uživatelům údajů budou poskytovány údaje z hlášení JMHZ a z evidence zaměstnance a evidence zaměstnavatele pouze v rozsahu jejich zákonných oprávnění. Uživatelé mohou z IIS MPSV získávat údaje, na něž mají nárok z důvodu plnění úkolů ve své působnosti i zpětně, a to po celou dobu, co se údaje v IIS MPSV nachází.

Údaje z hlášení JMHZ budou využívat klíčové instituce v rámci státní správy, tedy MPSV, ČSSZ, FS, ÚP a ČSÚ. MPSV bude uživatelům údajů poskytovat data z IIS MPSV ve stanovených časech na základě jejich zákonných nároků automatizovaně, tj. zpřístupní data uživatelům na rozhraní IIS MPSV. Uživatelé údajů dostanou informaci o čase zaslání údajů jednotlivými zaměstnavateli. Jednotliví uživatelé údajů nebudou dostávat stejný rozsah údajů, jako poslali zaměstnavatelé. Bankám budou poskytnuty údaje pouze za předpokladu, že zaměstnanec udělí souhlas s poskytnutím údajů o jeho příjmech a zaměstnáních vedených v JMHZ.

V dalších fázích projektu může být okruh uživatelů údajů rozšířen, např. o zdravotní pojišťovny nebo o další soukromoprávní subjekty.

Ochrana osobních údajů bude zajištěna v souladu s níže uvedenými bezpečnostními pravidly pro ICT systémy všech do nového způsobu zpracování zapojených subjektů, což jsou zásady a postupy navržené k ochraně ICT prostředí, dat a informací před neoprávněným přístupem, zneužitím, ztrátou nebo poškozením. Tato pravidla definují, jak mají být ICT systémy spravovány, používány a chráněny, aby byla zajištěna integrita, důvěrnost a dostupnost informací.

JMHZ není definováno jako vlastní informační systém, a tedy prvek Kritické informační infrastruktury. Jedná se o rozšíření Kritické informační infrastruktury pro poskytování příspěvků, dávek a bude sloužit jako centrální sběrné úložiště pro data zasílaná zaměstnavateli. 

Bezpečnost ICT systémů MPSV je garantována vnitřními akty řízení, t. č. konkrétně příkazy ministra č. 12/2023 Politika kybernetické bezpečnosti MPSV, č. 11/2023 Administrátorská bezpečnostní příručka, č. 10/2023 Uživatelská bezpečnostní příručka, č. 26/2023 Proces řízení rizik informační bezpečnosti, č. 25/2023 Proces řízení rizik bezpečnosti informací, č. 19/2024 Politika řízení kontinuity činností č. 28/2019 Metodika tvorby analýzy rizik v ISMS, č. 32/2019 Politika klasifikace aktiv a č. 11/2019 Politika organizační bezpečnosti. Tyto řídící akty transponují veškeré aktuální požadavky v oblasti bezpečnosti osobních údajů a kybernetické bezpečnosti a standardy z nich vyplývající budou aplikovány i na IIS MPSV a JMHZ.

Nastavení informačního systému jak u správce, tak u uživatelů, bude naplňovat základní pilíře bezpečnostních pravidel:

Důvěrnost, tedy zpřístupnění osobních údajů pouze oprávněným uživatelům údajů a subjektům. Mezi použitá opatření bude náležet implementace přístupových práv, používání šifrování, řízení přístupu a autentizace uživatelů údajů.

Integrita, což znamená, že data a informace zůstanou přesné, úplné a nezměněné neoprávněnými zásahy během jejich zpracování a přenosu. Naplnění zásady bude dosaženo použitím kontrolních součtů, digitálních podpisů, řízení verzí a zabezpečení dat proti neautorizovaným změnám.

Dostupnost, tedy zajištění, že ICT systémy a data jsou dostupné oprávněným uživatelům údajů, když je potřebují. Mezi použitá opatření bude patřit implementace zálohování, redundance systémů, ochrana proti DDoS útokům a pravidelná údržba systémů.

Autentizace a autorizace bude zajištěna následně. Uživatelé údajů musí být ověřeni (autentizace) a musí mít přístup pouze k těm systémům a datům, pro které jsou autorizováni. Bude vyžadováno použití silných hesel, multifaktorové autentizace, správné nastavení přístupových práv a rolí.

Řízení přístupu, což představuje omezení přístupu k informacím a systémům na základě role uživatele údajů a principu minimálního oprávnění. Souladu s tímto pilířem bude dosaženo prostřednictvím pravidelné revize uživatelských účtů, řízení privilegovaných přístupů a oddělení povinností.

Bude docházet k pravidelnému zálohování kritických dat a plánování postupů obnovy po havárii pro minimalizaci ztráty dat prostřednictvím automatizovaného zálohování, offsite zálohy nebo pravidelného testování obnovy dat.

Data budou chráněna během přenosu i v klidu (at rest) pomocí šifrování, aby se zabránilo neoprávněnému přístupu k osobním údajům. Mezi použitá opatření může patřit použití SSL/TLS pro přenos dat, šifrování pevných disků a ochrana záloh šifrováním.

Budou prováděny pravidelné aktualizace a opravy softwaru, aby byly eliminovány známé zranitelnosti. Bezpečnostní opravy budou implementovány bez zbytečného odkladu.

Bude prováděno průběžné monitorování a auditování, školení uživatelů údajů o bezpečnostních rizicích a správných postupech pro zachování bezpečnosti ICT systémů a implementován management bezpečnostních událostí.

Hlavními prostředky, které budou implementovány, aby byla ochrana osobních údajů zajištěna, jsou:

Autentizace a autorizace v centrální aplikaci JMHZ

Cílové řešení JMHZ bude s ohledem na plánovanou funkcionalitu primárně back-endovou aplikací, která s okolními informačními systémy (uvnitř resortu MPSV i mimo něj) komunikuje automaticky prostřednictvím rozhraní (API).

Přístup do front-endové části (FE) bude pro koncové uživatele údajů omezen na funkcionality spojené se správou aplikace a provozním dohledem na business úrovni JMHZ – např. dashboard s přehledem aktuálních stavů jednotlivých podání apod. Všichni uživatelé údajů (včetně technických účtů integrovaných aplikací) budou mít svůj účet (elektronickou identitu) a budou se jeho prostřednictvím přihlašovat v rámci ICT MPSV.

Autorizace bude postavena na základě Role-Based Access Control (RBAC) modelu, který autorizuje a omezuje přístup k systému jednotlivým uživatelům údajů na základě jejich rolí v organizaci. Každý uživatel údajů (jeho elektronická identita) bude mít v cílovém řešení JMHZ přístup pouze k funkcím a datům, která jsou autorizována pro jeho aktivní roli (nebo role). Správa elektronických identit uživatelů a přiřazování/odebírání příslušných rolí bude probíhat v resortní správě identit.

Tímto postupem budou naplňovány především požadavky pilíře důvěrnosti, řízení přístupu, dostupnosti, integrity a autentizace/autorizace.

Audit

Všechny přístupy k funkcím a datům JMHZ budou jednotné, bez ohledu na to, zda uživatel údajů přistupuje k poskytované službě pomocí uživatelského rozhraní nebo aplikace. Vždy bude provedeno ověření uživatele údajů a jeho oprávnění k přístupu k datům na základě role nebo oprávnění. Dále bude vytvořen auditní záznam o každém přístupu (nebo zamítnutém přístupu) a o činnosti, kterou uživatel údajů s daty provádí. Každý přístup ke službě bude jednoznačně identifikován a přiřazen koncovému uživateli, který s daty pracuje (i v případě přístupu přes API je nutné přebírat identitu uživatele údajů a ověřovat oprávnění).

V případě výpadku auditního subsystému se předpokládá zastavení informačního systému a jeho opětovné spuštění až po obnovení provozu auditního systému. Auditní systém bude v rámci řešení doplněn o integraci s archivačním systémem a veškeré operace nad auditními záznamy budou logovány do auditní databáze.

Logování, vyhodnocování bezpečnostních událostí a řízení technických zranitelností

Při vykonání konkrétního kroku zpracování či provedení úkolu bude systém logovat, kdo, kdy a co provedl. Auditní logy budou následně odlévány na SIEM MPSV (management bezpečnostních informací a událostí), kde dojde k jejich vyhodnocování. Napojení na bezpečnostní dohled zajistí oddělení pro kybernetickou bezpečnost MPSV ve spolupráci s dodavatelem řešení SIEM a ve spolupráci s provozovatelem ...