Vedoucí GDPR

Informační povinnost správce osobních údajů

čl. 5.2 Směrnice

Informační povinnost správce osobních údajů

• V případě zpracování osobních údajů musí správce osobních údajů poskytnout subjektu osobních údajů následující informace – tyto informace musíme poskytnout již v okamžiku získání osobních údajů, příp. do jednoho měsíce od jejich získání, pokud osobní údaje nemáme přímo od subjektu osobních údajům, ale od třetí strany:

• Totožnost a kontaktní údaje správce
• Účel zpracování a právní titul, příp. navazující účel zpracování
• Oprávněný zájem, pokud je tento právním titulem
• Příjemce či kategorie příjemců osobních údajů (tj. Komu osobní údaje předáváme)
• Informaci, zda osobní údaje předáváme do třetí země
• Dobu, po kterou osobní údaje budeme zpracovávat
• Práva subjektu údajů a jak je tyto možné uplatnit
• Informaci, zda poskytování osobních údajů probíhá z titulu plnění smlouvy či zákonné povinnosti a zda má subjekt osobních údajů povinnost údaje poskytnout, příp. Jaké mohou být důsledky jejich neposkytnutí
• Informaci o tom, zda dochází k automatickému rozhodování (v rámci činností společnosti skupiny STUDENT AGENCY k takovému zpracování v současné chvíli nedochází)
• Příp. od koho jsme osobní údaje získali

Pro přiblížení klikněte na rámeček

čl. 5.2 Směrnice

• Informační povinnost v současné chvíli plníme prostřednictvím Zásad ochrany osobních údajů (ve vztahu k zákazníkům a dalším dotčeným třetím osobám jako jsou dodavatelé, uchazeči o zaměstnání, návštěvníci webových stránek atd.) a Informací o ochraně osobních údajů zaměstnanců (ve vztahu k zaměstnancům společnosti)

• Dostupné na webových stránkách či v interním systému
• Aktualizované

• Tyto zásady je vždy nutné předkládat/zpřístupnit v okamžiku získávání osobních údajů od subjektu údajů
• Za plnění této povinnosti je odpovědný vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

Povinnost uzavřít zpracovatelskou smlouvu

čl. 5.3 Směrnice

Informační povinnost správce osobních údajů

• Smlouvy mezi správcem osobních údajů a zpracovatelem osobních údajů
• Mohou být uzavřené buď formou dodatku ke smlouvě nebo formou samostatné smlouvy

• Lze využít vzorové smlouvy, které jsou dostupné v interním systému společností, avšak jejich použití je vždy nutné konzultovat s interním nebo externím právníkem společnosti

• Za uzavření smluv je vždy odpovědný vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici) a je povinen zajistit uzavření dodatku či samostatné zpracovatelské smlouvy
• V případě uzavírání zpracovatelských smluv vždy vhodné kontaktovat interního či externího právníka společnosti

čl. 5.3 Směrnice

Povinnost vést záznamy o činnostech zpracování

čl. 5.4 Směrnice

Povinnost vést záznamy o činnostech zpracování

• O veškerých činnostech zpracování osobních údajů je nutné vést záznamy
• Záznam musí obsahovat:

Pro přiblížení klikněte na rámeček

• Identifikaci správce
• Účel zpracování a právní titul
• Kategorii subjektů údajů a kategorii osobních údajů
• Kategorii příjemců
• Informaci o předání do třetí země
• Lhůty pro výmaz
• Popis opatření přijatých na ochranu osobních údajů subjektů

čl. 5.4 Směrnice

• Za vedení záznamů o činnostech zpracování je vždy odpovědná kontaktní osoba uvedená ve Směrnici
• V příloze Směrnice dostupný vzor záznamu, jeho použití nutné vždy konzultovat s interním nebo externím právníkem společnosti

Povinnost provést vhodná technická a organizační opatření

čl. 5.5 Směrnice

Povinnost provést vhodná technická a organizační opatření

• GDPR stanovuje povinnost správce provést vhodná technická a organizační opatření – GDPR nestanovuje přesný výčet, je na správci, aby v rámci principu odpovědnosti doložil, že taková opatření jsou dostatečná k ochraně osobních údajů ve vztahu ke zpracováním, která provádí

• Seznam konkrétních opatření ve společnostech skupiny STUDENT AGENCY je uvedený ve Směrnici

• Za provedení opatření je vždy odpovědný vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

• Odpovědný zaměstnanec provádí rovněž pravidelnou kontrolu dodržování procesů při zpracování osobních údajů jeho podřízenými

• Každý podřízený musí být proškolen o procesech zpracování osobních údajů ve společnostech, a to prostřednictvím e-learningového kurzu určeného pro danou pozici

čl. 5.5 Směrnice

Povinnost ohlásit porušení zabezpečení ochrany osobních údajů

čl. 5.6 Směrnice

Povinnost provést vhodná technická a organizační opatření

• GDPR stanovuje povinnost ohlášení porušení zabezpečení osobních údajů – takovým porušením může být např. rozeslání osobních údajů mailem neoprávněným osobám, napadení softwaru pracujícího s osobními údaji, zveřejnění osobních údajů bez právního titulu atd.
• Pokud k takovému porušení dojde, každý zaměstnanec má povinnost jej nahlásit svému nadřízenému, a to:

• Rozsah takového porušení
• Přesný čas, kdy se o porušení dozvěděl

čl. 5.6 Směrnice

• Vedoucí zaměstnanec je povinen toto porušení konzultovat s kontaktní osobou
• Porušení je nutné nejpozději do 72 hodin nahlásit Úřadu pro ochranu osobních údajů – k ohlášení lze využít formulář, který tvoří přílohu Směrnice
• Kdy není potřeba porušení hlásit?

• Pokud není pravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody subjektu údajů
• Riziko vyhodnotí vedoucí zaměstnanec společně s kontaktní osobou

• Za ohlášení případu porušení zabezpečení je vždy odpovědná kontaktní osoba uvedená ve Směrnici
• Kontaktní osoba dále vypracovává zprávu o porušení (čl. 5.6 Směrnice)

Povinnost ohlásit porušení zabezpečení subjektu údajů

čl. 5.8 Směrnice

Povinnost provést vhodná technická a organizační opatření

• Pokud dojde k porušení zabezpečení, vedoucí dotčeného oddělení posoudí společně s kontaktní osobou riziko takového porušení pro subjekty údajů

• Pokud je riziko vysoké, nutno porušení oznámit dotčeným subjektů pomocí formuláře dle přílohy Směrnice

čl. 5.8 Směrnice

Privacy by default a Privacy by design

Privacy by default a Privacy by design

• GDPR přichází s konceptem standardní ochrany (privacy by default) a záměrné ochrany (privacy by design)

• Koncept standardní ochrany v praxi znamená, že standardně můžeme zpracovávat pouze ty osobní údaje, které jsou pro konkrétní účel nezbytné a ochranu osobních údajů tak vždy nastavit na co nejvyšší možný stupeň

• Koncept záměrné ochrany (privacy by design) v praxi znamená, že při zavádění jakéhokoliv nového procesu je nutné od počátku zvážit dopad na oblast ochrany osobních údajů

• Při zavádění nového procesu je vždy potřeba si vyžádat stanovisko např. Interního či externího právníka či osoby odpovědné za ochranu osobních údajů ve společnosti
• Např. zavádění nového věrnostního programu pro klienty, nový benefitní systém pro zaměstnance atd.

Povinnost provést vhodná technická a organizační opatření

• Osobní údaje se zpracovávají podle postupů uvedených ve Směrnici a podle pokynů nadřízených, za využití přidělených technických prostředků

• Nutno podřízené zaměstnance seznámit se Směrnicí a proškolit prostřednictvím e-learningového kurzu a následně instruovat při konkrétních úkonech

• Osobní údaje se neuchovávají na jiných fyzických nosičích, než které určí vedoucí zaměstnanec
• Každý zaměstnanec musí dávat pozor, aby zpracovávané informace byly dostatečně zabezpečené proti zneužití neoprávněnými osobami a jakékoliv porušení jsou povinni hlásit vedoucímu zaměstnanci
• Vedoucí zaměstnanci zabezpečí přístup k osobním údajům pouze nutnému okruhu zaměstnanců a vedou evidenci přístupu k osobním údajům subjektů

čl. 7 Směrnice

• Přidělení logů a jejich evidence

• Zpracování osobních údajů mimo prostory pracoviště lze pouze se souhlasem vedoucího zaměstnance a za užití vhodných bezpečnostních opatření
• Povinnost zachovávat mlčenlivost
• Povinnost hlásit podezření z porušení bezpečnostních opatření – nutno hlásit vedoucímu zaměstnanci a pozastavit zpracování osobních údajů
• Každý zaměstnanec se řídí zásadou čistého pracovního stolu

• Veškeré nosiče osobních údajů musí být po dobu nepřítomnosti na pracovišti uloženy tak, aby se k nim nemohla dostat třetí nepovolaná osoba
• Fyzické dokumenty či nosiče nechávat v uzamčených prostorech, skříních atd.
• Elektronické dokumenty na zařízeních opatřených heslem
• Login a heslo ponechávat v tajnosti a nesdělovat třetím osobám

Pro přiblížení klikněte na rámeček

Povinnost mlčenlivosti

• Každý zaměstnanec je povinen dodržovat povinnost mlčenlivosti a nesdělovat či neposkytovat informace o zpracovávaných údajích mimo oprávněné osoby
• Závazek mlčenlivosti vyplývá již z pracovní smlouvy
• Kdo může být oprávněnou osobou?

Pro přiblížení klikněte na rámeček

• Subjekt údajů nebo jím prokazatelně pověřená osoba (zde pozor, oprávnění musí být skutečně prokazatelné - neměli bychom např. sdělovat osobní údaje po telefonu bankám či obdobným institucím, které si po telefonu ověřují osobní údaje zaměstnance pro účely poskytování úvěru či půjčky)
• Zaměstnanec společnosti, z jehož pracovní pozice vyplývá nutnost sdělení takových informací
• Zpracovatel osobních údajů
• Inspektor nebo pověřený zaměstnanec Úřadu pro ochranu osobních údajů – v takovém případě však vždy konzultovat s kontaktní osobou uvedenou ve Směrnici
• Dále se může jednat o osoby oprávněné ze zákona (např. Policie atd.)

čl. 9 Směrnice

• Pokud si nejsme jistí, komu můžeme osobní údaje poskytnout, je vždy nejvhodnějším postupem kontaktovat kontaktní osobu uvedenou ve Směrnici

Práva subjektů osobních údajů

• GDPR stanovuje následující práva subjektů osobních údajů:

1. Právo na přístup

2. Právo na opravu

3. Právo být zapomenut = právo na výmaz

4. Právo na omezení zpracování

5. Právo na přenositelnost

6. Právo vznést námitku

7. Právo nebýt předmětem automatizovaného rozhodování

• S výše uvedeným výčtem se pojí právo odvolat souhlas se zpracováním osobních údajů

• Za dodržování práv subjektů osobních údajů je vždy odpovědný produktový manažer/vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

• V případě jakýchkoliv nejasností je vždy nutné konzultovat s kontaktní osobou uvedenou ve Směrnici

čl. 10 Směrnice

Právo odvolat souhlas se zpracováním osobních údajů

čl. 10.2 Směrnice

Informační povinnost správce osobních údajů

• V případě, kdy zpracováváme osobní údaje na základě souhlasu
• Pokud subjekt osobních údajů svůj souhlas odvolá, je nutné jeho osobní údaje zlikvidovat ve všech dostupných podobách
• Likvidace probíhá na základě postupů dle konkrétního technického řešení, v rámci kterého jsou zpracovávány osobní údaje
• Pozor! Osobní údaje je nutné zlikvidovat např. ve všech dostupných databázích

• Pozor! Je možné zlikvidovat pouze ty osobní údaje, které nezpracováváme na základě jiného právního titulu
• Při odvolání souhlasu se zasíláním obchodních sdělení se nelikvidují ty osobní údaje, které zpracováváme např. za účelem poskytování služeb

• Odvolaný souhlas se však nedotýká již proběhlých jednorázových zpracování
• Např. v případě zpracování fotografií není nutné stahovat již zveřejněné propagační materiály, výroční zprávy, videa atd.

• Za řádné plnění práva odvolat souhlas je odpovědný produktový manažer/vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

čl. 10.2 Směrnice

Právo na přístup k osobním údajům

čl. 10.3 Směrnice

Právo na přístup k osobním údajům

• Každý subjekt osobních údajů má právo požádat správce osobních údajů, aby mu sdělil, zda a jaké jeho osobní údaje zpracovává
• V případě uplatnění tohoto práva jsme povinni subjektu údajů informace zdarma poskytnout, a to v rozsahu, v jakém plníme informační povinnost viz. čl 5.2 směrnice

Informační povinnost správce osobních údajů

• V případě zpracování osobních údajů musí správce osobních údajů poskytnout subjektu osobních údajů následující informace – tyto informace musíme poskytnout již v okamžiku získání osobních údajů, příp. do jednoho měsíce od jejich získání, pokud osobní údaje nemáme přímo od subjektu osobních údajům, ale od třetí strany:

• Totožnost a kontaktní údaje správce
• Účel zpracování a právní titul, příp. navazující účel zpracování
• Oprávněný zájem, pokud je tento právním titulem
• Příjemce či kategorie příjemců osobních údajů (tj. Komu osobní údaje předáváme)
• Informaci, zda osobní údaje předáváme do třetí země
• Dobu, po kterou osobní údaje budeme zpracovávat
• Práva subjektu údajů a jak je tyto možné uplatnit
• Informaci, zda poskytování osobních údajů probíhá z titulu plnění smlouvy či zákonné povinnosti a zda má subjekt osobních údajů povinnost údaje poskytnout, příp. Jaké mohou být důsledky jejich neposkytnutí
• Informaci o tom, zda dochází k automatickému rozhodování (v rámci činností společnosti skupiny STUDENT AGENCY k takovému zpracování v současné chvíli nedochází)
• Příp. od koho jsme osobní údaje získali

Klikněte na modrý rámeček pro přiblížení

• Informační povinnost v současné chvíli plníme prostřednictvím Zásad ochrany osobních údajů (ve vztahu k zákazníkům a dalším dotčeným třetím osobám jako jsou dodavatelé, uchazeči o zaměstnání, návštěvníci webových stránek atd.) a Informací o ochraně osobních údajů zaměstnanců (ve vztahu k zaměstnancům společnosti)

čl. 5.2 Směrnice

• Dostupné na webových stránkách či v interním systému
• Aktualizované

• Tyto zásady je vždy nutné předkládat/zpřístupnit v okamžiku získávání osobních údajů od subjektu údajů
• Za plnění této povinnosti je odpovědný vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

čl. 10.3 Směrnice

• První kopie zpracovávaných osobních údajů je vždy zdarma
• V případě žádosti o další kopii zpracovávaných údajů je možné účtovat administrativní náklady (např. tisk dokumentů, poštovné atd.) X Pozor! Nemělo by se však uplatňovat např. u kopií, o které bylo požádáno s delším časovým odstupem a je zde tedy pravděpodobnost, že rozsah zpracovávaných údajů se již mohl změnit
• Jakékoliv účtování administrativních poplatků vždy potřeba důkladně zvážit

• Pozor, abychom osobní údaje skutečně poskytovali osobě oprávněné nakládat s těmito údaji
• Lhůta pro vyřízení takové žádosti je jeden měsíc od obdržení žádosti
• Pokud subjekt o právo na přístup požádá elektronicky, informace předáváme stejnou cestou, pokud subjekt údajů výslovně nepožádá o jinou formu vyřízení
• Za řádné plnění práva na přístup je odpovědný produktový manažer/vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

Právo na opravu osobních údajů

čl. 10.4 Směrnice

Povinnost vést záznamy o činnostech zpracování

• Každý subjekt osobních údajů má právo, aby správce osobních údajů bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají

• S tímto se pojí rovněž právo na doplnění neúplných osobních údajů

• Oprava či doplnění může probíhat z důvodu, že nepřesnost zjistí sám správce, či jakýkoliv jiný subjekt (včetně subjektu údajů)

• Za řádné plnění práva na přístup je odpovědný produktový manažer/vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

• V případě opravy je nutné tyto nové opravené údaje sdělit všem příjemcům osobních údajů (např. poskytovatelé služeb, zpracovatelé atd.)

čl. 10.4 Směrnice

Právo být zapomenut = právo na výmaz

čl. 10.5 Směrnice

Právo být zapomenut = právo na výmaz

(Přibližte bubliny kliknutím)

Kdy naopak není možné údaje vymazat?

Kdy je nutné vymazat osobní údaje?

Jak lze provést výmaz?

• Zpracování osobních údajů již není nutné k dosažení daného účelu
• Subjekt odvolá souhlas se zpracováním osobních údajů a neexistuje jiný právní důvod
• Subjekt údajů vznese námitku a pro zpracování nepřevažují oprávněné důvody, příp. Údaje zpracováváme za účelem přímého marketingu
• Osobní údaje zpracováváme protiprávně
• Osobní údaje musíme vymazat, abychom splnili právní povinnost
• Osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti

• Nelze vymazat ty osobní údaje, které zpracováváme na základě platného právního titulu
• Zpracování osobních údajů je nezbytné pro výkon práva na svobodu projevu a informace, pro splnění právní povinnosti, pro účely archivace ve veřejném zájmu, pro účely výzkumu nebo statistické účely nebo pro určení, výkon nebo obhajobu právních nároků

• Likvidací elektronicky vedených osobních údajů – vždy v závislosti na použitém software – Pozor! Vždy nutné vymazat ze všech software, ve kterých se osobní údaje nachází
• Skartací písemností
• Skartací fyzických datových nosičů

čl. 10.5 Směrnice

• Za řádné plnění práva na výmaz je odpovědný produktový manažer/vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)
• Právo být zapomenut nelze uplatnit u těch zpracování osobních údajů, ke kterým máme platný právní titul – např. jejich zpracování je nezbytné k plnění právní povinnosti, poskytování služby atd.
• Pokud dojde k výmazu osobních údajů, je nutné o takovém výmazu informovat příjemce osobních údajů, zpracovatele atd., pokud se jich tento výmaz dotýká

Právo na omezení zpracování

čl. 10.6 Směrnice

Právo na omezení zpracování

• Kdy je nutné omezit zpracování osobních údajů?

• Pokud subjekt údajů popírá přesnost údajů, zpracování se omezí na dobu potřebnou k ověření správnosti údajů
• Pokud je zpracování protiprávní a subjekt údajů namísto výmazu žádá omezení
• Pokud odpadl účel zpracování, ale subjekt údaje potřebuje kvůli určení, výkonu nebo obhajobě právních nároků
• Pokud subjekt údajů vznesl námitku, a to na dobu potřebnou k ověření, čí oprávněné důvody převažují

• Jakmile opadnou důvody omezení zpracování, takové omezení se neprodleně zruší a odpovědný zaměstnanec o zrušení omezení vyrozumí subjekt údajů – kdy opadnou důvody?

čl. 10.6 Směrnice

• Dojde k opravení údajů nebo k odmítnutí jejich opravy
• Pokud subjekt údajů požádá o výmaz nebo požádá o zrušení omezení
• Pokud subjekt údajů požádá o zrušení omezení (zde bude následovat výmaz údajů)
• Rozhodneme o námitce zpracování

• Za řádné plnění práva na omezení je odpovědný produktový manažer/vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

Právo na přenositelnost osobních údajů

čl. 10.7 Směrnice

Právo na přenositelnost osobních údajů

• Každý subjekt osobních údajů má právo, aby mu správce osobních údajů vydal jeho osobní údaje, které zpracovává, a to ve strukturované a strojově čitelné podobě
• Kdy je možné uplatnit právo na přenos?

• Pokud správce osobních údajů získal údaje ve strojově čitelné podobě na základě souhlasu subjektu údajů nebo v souvislosti s plněním smlouvy
• Pokud se údaje zpracovávají automatizovaně

čl. 10.7 Směrnice

• Pokud o to subjekt údajů požádá a je to technicky proveditelné, jsme povinni předat osobní údaje jinému správci
• Lhůta pro vyřízení žádosti je jeden měsíc od jejího doručení
• Za řádné plnění práva na přenositelnost je odpovědný produktový manažer/vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

Právo vznést námitku

čl. 10.8 Směrnice

Právo na přenositelnost osobních údajů

• Každý subjekt údajů má právo vznést námitku proti zpracování osobních údajů, pokud jsou zpracovávány na základě
• Oprávněného zájmu
• Veřejného zájmu a výkonu veřejné moci

• Pokud je vznesena námitka, jsme povinni posoudit její odůvodněnost a přiměřenost a po dobu posuzování osobní údaje nezpracovávat
• Pokud je námitka zjevně neodůvodněná a nepřiměřená – námitku odmítneme
• Pokud není námitka zjevně neodůvodněná a nepřiměřená – námitku posoudíme věcně (po dobu posouzení námitky musí dojít k omezení zpracování dotčených osobních údajů)

• V rámci posouzení musíme zohlednit konkrétní důsledky zpracování pro subjekt údajů
• Pokud převáží naše oprávněné zájmy – osobní údaje můžeme nadále zpracovávat (Pozor! Důkazní břemeno prokázání takových důvodů leží vždy na nás)
• Pokud převáží oprávněné zájmy subjektu údajů – osobní údaje nesmí být nadále zpracovávány

• Pokud je vznesena námitka proti zpracování za účelem přímého marketingu (především rozesílání newsletterů), osobní údaje nemůžeme nadále za tímto účelem zpracovávat

• Pozor! Nutno u kontaktu evidovat, že byla vznesena námitka a zamezit tak jeho opakovanému zařazení do databází vedených pro účely přímého marketingu

• Za řádné plnění práva vznést námitku je odpovědný produktový manažer/vedoucí dotčeného oddělení (konkrétní přehled odpovědných osob je stanoven ve Směrnici)

čl. 10.8 Směrnice

Právo nebýt předmětem automatizovaného rozhodování

Právo nebýt předmětem automatizovaného rozhodování

• Každý subjekt osobních údajů má právo, aby nebyl předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká (v současné chvíli k obdobných aktivitám ve společnostech skupiny STUDENT AGENCY nedochází)

Dozorový orgán

• Na dodržování předpisů v oblasti ochrany osobních údajů dohlíží Úřad pro ochranu osobních údajů (dále jen „ÚOOÚ)

• Za řádné poskytnutí součinnosti odpovídá kontaktní osoba uvedená ve Směrnici

čl. 10.7 Směrnice

Jak se zachovat v případě obdržení žádosti od ÚOOÚ?

• Vedoucí zaměstnanec o žádosti bezodkladně vyrozumí kontaktní osobu uvedenou ve Směrnici

• V případě fyzické kontroly od ÚOOÚ je nutné bezodkladně vyrozumět vedení společnosti a kontaktní osobu uvedenou ve Směrnici

čl. 10.7 Směrnice

Odpovědnost zaměstnance

Aneb proč je důležité dbát na oblast ochrany osobních údajů a dodržovat veškeré související předpisy

• Každý zaměstnanec je povinen dodržovat povinnosti, které mu plynou ze Směrnice

• Každý zaměstnanec je při zpracování osobních údajů povinen dbát pokynů vedoucího zaměstnance

• Pokud zaměstnanec poruší své povinnosti, které mu plynou ze Směrnice, GDPR a ostatních právních předpisů, odpovídá společnosti za škodu v souladu se zákoníkem práce