Směrnice pro ochranu osobních údajů

KRÁLOVOPOLSKÁ KOVÁRNA, s.r.o. přijala opatření v souladu s evropskou směrnicí pro ochranu osobních dat.

Směrnice pro ochranu osobních údajů, zpracovávaných společností KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.

A) Definice pojmů

Osobní údaje: veškeré informace o identifikované nebo identifikovatelné fyzické osobě (subjekt údajů); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;

Obecné osobní údaje:

a) identifikační údaje - osobní údaje sloužící k jednoznačné a nezaměnitelné identifikaci (jméno, příjmení, titul, rodné číslo, bylo-li přiděleno, datum narození, adresa trvalého pobytu, číslo a další údaje z průkazu totožnosti - občanského průkazu, číslo a další údaje z pasu nebo jiného obdobného dokumentu, podpis, u fyzické osoby podnikatele též daňové identifikační číslo a IČ)

b) kontaktní údaje – osobní údaje umožňující kontakt (zejména subjektem uvedená kontaktní adresa, číslo telefonu, číslo faxu, e-mailová adresa, datová schránka, bankovní spojení a jiné obdobné informace)

c) údaje vztahující se k pracovněprávnímu vztahu zaměstnance – údaje o vykonávané práci, údaje o vzdělávání, školení a dalším rozvoji, údaje o hodnocení, mzdě a dalším odměňování, údaje o plnění daňových povinností a povinných odvodech zejména na sociální a zdravotní pojištění, údaje o pracovnělékařských skutečnostech, údaje obsažené v pracovně právní dokumentaci, údaje o docházce, údaje o aktivitách, které nejsou předmětem práce, avšak jsou s prací obvykle spojeny, apod.)

d) údaje vztahující se k zájemci o zaměstnání u Správce – údaje o kvalifikaci a pracovních zkušenostech, údaje o pracovnělékařských skutečnostech, údaje o důvěryhodnosti, apod.

e) údaje vztahující se ke smluvním vztahům - údaje o obchodech, provizích, obsahu smluvního vztahu, plnění smluvních povinností, vzdělávání, plnění povinností vyplývajících z právních předpisů, údaje o důvěryhodnosti, apod.

Zvláštní kategorie osobních údajů

• údaje o rasovém či etnickém původu
• údaje o politických názorech, náboženském nebo filozofickém vyznání
• údaje o členství v odborech
• údaje o zdravotním stavu (veškeré údaje související se zdravotním stavem, které vypovídají o tělesném nebo dušením zdraví člověka),
• údaje o sexuální orientaci,
• údaje o trestních deliktech či pravomocném odsouzení
• genetické údaje (osobní údaje týkající se zděděných nebo získaných genetických znaků určité fyzické osoby, které vyplývají z analýzy biologického vzorku dotčené fyzické osoby nebo z analýzy jiného prvku, která umožňuje získat rovnocenné informace)
• biometrické údaje (např. vzorek DNA, otisk prstu, scan oční sítnice)
• osobní údaje dětí

Zpracováním je jakákoli operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, která je prováděné pomocí či bez pomoci automatizovaných postupů, jako je – shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření, jakékoli jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz, zničení

Subjektem osobních údajů je vždy pouze fyzická osoba, jíž se osobní údaje týkají – typicky zaměstnanec nebo zákazník-fyzická osoba nebo OSVČ (spolupracující subjekt či zákazník). Subjekt údajů nikdy není právnická osoba. Údaje vztahující se k právnické osobě tak nejsou osobními údaji. Osobní údaje mohou být pouze ve vztahu k žijící fyzické osobě.

Správcem osobních údajů je společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o., IČ 63489341. Správce určuje účely a prostředky zpracování osobních údajů a za zpracování primárně odpovídá (jako zaměstnavatel nebo jako smluvní partner)

Zpracovatelem osobních údajů je ten, koho si správce najímá, aby pro něj prováděl s osobními údaji zpracovatelské operace. Jinými slovy zpracovatel zpracovává osobní údaje pro správce. Od správce se zpracovatel liší tím, že v rámci činnosti pro správce může provádět jen takové zpracovatelské operace, kterými jej správce pověří nebo vyplývají z činnosti, pro kterou byl zpracovatel správcem pověřen.

Aktuální právní úprava – nařízení EP a Rady č. 2016/679 (GDPR)

B) Zpracování osobních údajů zaměstnanců společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.

a) osobní údaje zaměstnanců poskytnuté v rozsahu osobního dotazníku budou zpracovávány pro účely personální a mzdové agendy, a to po dobu nezbytně nutnou, nejdéle však po dobu trvání pracovněprávního vztahu zaměstnance k zaměstnavateli. Po této době budou osobní údaje uchovávány pouze pro účely archivnictví v rozsahu stanoveném příslušnými právními předpisy.

Ze strany zaměstnavatele dochází rovněž k monitorování vlastních prostor za účelem bezpečnosti práce a ochrany majetku. Při tomto zpracování jsou tyto záznamy shromažďovány jako technicky nezbytná součást daného procesu a použité technologie, bez úmyslu případná biometrická data jakkoliv využívat či jinak zpracovávat. Příslušné monitorovací kamery pak pořizují záznamy či snímky v omezené kvalitě, takže z nich nelze jednoznačně určit biometrické markanty. Společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. jako provozovatel monitorovacího systému tyto údaje shromažďuje po omezenou dobu 10 dní pouze jako nedílnou součást shromažďování běžných identifikačních údajů (podoba člověka), a nijak s nimi dále nepracuje. Při využívání monitorovacích systémů tak nedochází k uchování ani k aktivnímu využívání biometriky při identifikaci či autentizaci.

Jednotlivé kategorie zpracovávaných osobních údajů zaměstnavatelem KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. jsou uvedeny v příloze č. 1 této směrnice.

b) právní důvody zpracování osobních údajů zaměstnanců:

• zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje,
• zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany,
• kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů.
• zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů,

c) právní důvody zpracování zvláštní kategorie osobních údajů

• zpracování je nezbytné pro plnění povinností v oblasti pracovního práva, práva sociálního zabezpečení a sociální ochrany,
• zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas,
• zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů,
• zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo při jednání soudů,
• zpracování je nezbytné z důvodu významného veřejného zájmu,
• zpracování je nezbytné z důvodu veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění bezpečnosti zdravotní péče, léčivých přípravků nebo zdravotnických prostředků,
• zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely.

Povinnost zajistit personální a mzdovou agendu je zaměstnavateli uložena zvláštními zákony, a to zejména:

• zákon č. 262/2006 Sb. (zákoník práce), Nařízení vlády 590/2006 Sb.
• zákon č 582/1991 Sb., o organizaci a provádění sociálního zabezpečení
• zákon č. 48/1997 Sb., o veřejném zdravotním pojištění
• zákon č. 586/1992 Sb., o daních z příjmu, všechny v platném znění;

d) osobní údaje zaměstnanců budou zpracovávány pro účely personální agendy v listinné podobě v osobním spise a v elektronické podobě v systému ESO9; pro účely mzdové agendy potom v elektronické podobě v informačním systému ESO9

e) nezbytné osobní údaje budou předávány pouze orgánům finanční a sociální správy nebo jiným příslušným úřadům v případech, kdy tak ukládá zvláštní zákon; jiným subjektům budou osobní údaje předány pouze po předchozím prokazatelném souhlasu zaměstnance;

f) v případě vedení exekuce na majetek zaměstnance je zaměstnavatel povinen poskytnout exekutorovi součinnost ve smyslu § 33 Exekučního řádu. V rámci této součinnosti je zaměstnavatel povinen poskytnout informace, které mají význam pro exekuční řízení. Zejména se jedná o informace:

• že povinný /zaměstnanec) /manžel povinného je u zaměstnavatele v pracovním poměru
• informace o výši příjmu zaměstnance
• informace o výši základní nezabavitelné částky, počtu vyživovaných osob, výčet a pořadí dalších pohledávek,
• informace o instituci, u níž je veden bankovní účet, na který je zasílána mzda, na výslovnou žádost exekutora sdělí zaměstnavatel rovněž konkrétní číslo účtu

Exekutor a jeho zaměstnanci jsou vázáni povinností mlčenlivosti. K poskytnutí osobních údajů zaměstnavatelem exekutorovi, nezbytných ke splnění právní povinnosti zaměstnavatele v postavení správce osobních údajů, není třeba souhlasu subjektu údajů-zaměstnance.

g) osobní údaje nejsou ze strany správce předávány ke zpracování žádným jiným zpracovatelům

C) Zpracování osobních údajů zákazníků či dodavatelů společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.- fyzických osob

a) osobní údaje zákazníků či dodavatelů společnosti KRÁLOVOPOLSKÁ KOVÁRNA – fyzických osob, poskytnuté v rámci uzavřených smluvních vztahů, budou zpracovávány výhradně v rozsahu zákonných povinností společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. pro účely daňové evidence, vlastní evidence pohledávek a závazků společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. a zakázkové agendy, a to v těchto případech:

• zpracování bude nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
• zpracování bude nezbytné pro splnění právní povinnosti, která se na společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. jako správce vztahuje;
• zpracování bude nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
• zpracování bude nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci,
• zpracování bude nezbytné pro účely oprávněných zájmů společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě. zpracování bude nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
• zpracování bude nezbytné pro splnění právní povinnosti, která se na společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. jako správce vztahuje;
• zpracování bude nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
• zpracování bude nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci,
• zpracování bude nezbytné pro účely oprávněných zájmů společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

Zpracování těchto osobních údajů bude probíhat po dobu nezbytně nutnou, nejdéle však po dobu trvání zákonných povinností společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. Po této době budou osobní údaje uchovávány pouze pro účely archivnictví v rozsahu stanoveném příslušnými právními předpisy.

Daňové povinnosti jsou společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. a.s. uloženy zvláštními zákony, a to zejména:

• zákon č. 235/2004 Sb., o dani z přidané hodnoty v platném znění;
• zákon č. 586/1992 Sb., o daních z příjmu v platném znění;
• zákon č. 563/1991 Sb., o účetnictví v platném znění;

b) tyto osobní údaje budou zpracovávány pro účely zakázkové agendy v listinné podobě v zakázkovém spise a v elektronické podobě v informačním systému ESO9; pro účely daňové agendy v elektronické podobě v informačním systému ESO9.

c) nezbytné osobní údaje budou předávány pouze orgánům finanční správy nebo jiným příslušným úřadům v případech, kdy tak ukládá zvláštní zákon; jiným subjektům budou osobní údaje předány pouze po předchozím prokazatelném souhlasu subjektu údajů;

d) v případě vedení exekuce na majetek subjektu údajů je společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. povinna poskytnout exekutorovi součinnost ve smyslu § 33 Exekučního řádu. V rámci této součinnosti je společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. povinna poskytnout informace, které mají význam pro exekuční řízení. Zejména se jedná o informace:

• že je s povinným/subjektem údajů uzavřen smluvní vztah
• informace o výši splatných pohledávek subjektu údajů vůči společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.

Ohledně zpracování osobních údajů zákazníků či dodavatelů společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.- fyzických osob je zpracována samostatná informace, která tvoří přílohu č. 2 této směrnice.

f) Ze strany společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. dochází rovněž k monitorování vlastních prostor za účelem bezpečnosti práce a ochrany majetku. Při tomto zpracování jsou tyto záznamy shromažďovány jako technicky nezbytná součást daného procesu a použité technologie, bez úmyslu případná biometrická data jakkoliv využívat či jinak zpracovávat. Příslušné monitorovací kamery pak pořizují záznamy či snímky v omezené kvalitě, takže z nich nelze jednoznačně určit biometrické markanty. Společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. jako provozovatel monitorovacího systému tyto údaje shromažďuje po omezenou dobu 10 dní pouze jako nedílnou součást shromažďování běžných identifikačních údajů (podoba člověka), a nijak s nimi dále nepracuje. Při využívání monitorovacích systémů tak nedochází k uchování ani k aktivnímu využívání biometriky při identifikaci či autentizaci.

g) osobní údaje nejsou ze strany správce předávány ke zpracování žádným jiným zpracovatelům

D) Práva subjektů údajů

Každý subjekt údajů, zpracovávaných společností KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.- tedy jak zaměstnanec tak dodavatel nebo zákazník - má tato práva:

• Právo být informován - subjekt údajů má právo na to být informován o zpracování jeho osobních údajů. Tím se rozumí právo na určité informace o zpracování jeho osobních údajů. Jde zejména o informace o účelu zpracování, totožnosti správce, o jeho oprávněných zájmech, o příjemcích osobních údajů.
• Právo na přístup - přístupem k osobním údajům se rozumí právo subjektu údajů získat od správce informaci (potvrzení), zda jsou či nejsou jeho osobní údaje zpracovávány a pokud jsou zpracovávány, má subjekt údajů právo tyto osobní údaje získat a zároveň má právo získat další konkrétní informace o tomto zpracování.
• Právo na opravu - subjekt údajů má právo na opravu nepřesných osobních údajů, které se ho týkají.
• Právo na výmaz – právo subjektu a s ní spojená povinnost správce zlikvidovat osobní údaje, pokud je splněna alespoň jedna ze zákonných podmínek pro uplatnění tohoto práva
• Právo na omezení zpracování - subjekt údajů má právo na to, aby správce omezil zpracování, pokud subjekt údajů popírá přesnost osobních údajů, nebo pokud zpracování je protiprávní a subjekt údajů odmítá výmaz osobních údajů a žádá místo toho o omezení jejich použití, nebo pokud správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků nebo pokud subjekt údajů vznesl námitku proti zpracování, dokud nebude ověřeno, zda oprávněné důvody správce převažují nad oprávněnými důvody subjektu údajů.
• Právo na přenositelnost - právo subjektu údajů, jehož podstatou je možnost za stanovených podmínek získat osobní údaje, které se ho týkají a jež správci poskytl, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci, aniž by tomu původní správce bránil.
• Právo na ochranu – subjekt má právo obrátit se v případě porušení povinností správce na Úřad pro ochranu osobních údajů se žádostí o zajištění opatření k nápravě. Práva každého subjektů údajů zpracovávaných společností KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. mohou subjekty údajů uplatňovat prostřednictvím vedoucí personálního úseku, která je určeným kontaktním místem pro tyto subjekty údajů.

Pravidla pro uplatnění práv subjektů údajů:

• subjekt údajů je oprávněn uplatnit svá práva písemně na určeném kontaktním místě nebo osobně s tím, že příslušný zaměstnanec na určeném kontaktním místě provede písemný záznam o uplatnění práva s identifikací subjektu
• příslušný vedoucí zaměstnanec správce dle určeného kontaktního místa zajistí písemnou reakci na uplatnění práva vůči subjektů údajů, a to nejpozději do třiceti dnů od uplatnění
• v písemné informaci správce podrobně informuje subjekt osobních údajů o konkrétním obsahu uplatněných práv a sdělí mu rovněž konkrétní přijatá opatření

E) Pravidla odpovědnosti orgánů a zaměstnanců společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.

Při zpracování osobních údajů je správce KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. povinen dodržovat tato pravidla:

• zpracovávat pouze přesné osobní údaje s ohledem na účel zpracování; v případě zjištění, že zpracovávané osobní údaje nejsou přesné, zpracování zablokovat do doby jejich opravy nebo doplnění, jinak osobní údaje se souhlasem vedoucího odboru zlikvidovat,
• zpracovávat osobní údaje pouze k účelům, k nimž byly shromážděny (k jinému účelu pouze v případě, že fyzická osoba, ke které se osobní údaje vztahují, dala k tomu předem souhlas),
• nesdružovat osobní údaje získané k rozdílným účelům,
• uchovávat osobní údaje pouze po dobu, která je nezbytně nutná k účelu zpracování. Pominul-li účel zpracování konkrétních osobních údajů postupovat v souladu s platným Spisovým a skartačním řádem společnosti , příp. údaje zlikvidovat.
• ukládat nosiče obsahující osobní údaje, a to v listinné i elektronické podobě, na náležitě zajištěná místa (uzamykatelné úschovné objekty nebo uzamykatelné místnosti s možností samostatného vstupu pouze oprávněných osob). Při práci s nosiči postupovat tak, aby jiná osoba nemohla zneužít tyto nosiče jako zdroj informace (dle zásad „čistého stolu“ a „prázdné obrazovky“);
• nepořizovat kopie nosičů s osobními údaji či osobních údajů samých pro jinou než pracovní potřebu a ani to umožňovat jiným; s takovými kopiemi nakládat stejně jako s originálem;
• neumožnit zpracování osobních údajů jiné osobě, která není pro konkrétní účel zpracování oprávněnou osobou;
• vytištěné dokumenty, obsahující osobní údaje, neprodleně po vytištění odebírat z tiskáren, kopírek nebo faxů;

Každý zaměstnanec společnosti je povinen dodržovat tyto zásady ochrany osobních údajů:

• dodržovat pravidla odpovědnosti orgánů a zaměstnanců společnosti dle bodu E) této směrnice
• pracovat s dokumenty či soubory obsahujícími osobní údaje pouze stanoveným způsobem
• neprovádět ukládání a kopie dokumentů obsahujících osobní údaje na jiná média a úložiště, než stanovená, zejména na lokání disky PC, na přenosná datová média a do externích úložišť
• dle svých možností minimalizovat riziko neoprávněného přístupu ke zpracovávaným osobním údajům
• neprodleně oznámit případné porušení bezpečnosti svému nejbližšímu nadřízenému zaměstnanci

Jednatel společnosti jako statutární orgán odpovídá za dodržování pravidel ochrany osobních údajů všech subjektů (zaměstnanců i zákazníků) a to vůči všem dotčeným orgánům a organizacím. Vůči Úřadu pro ochranu osobních údajů i dalším dotčeným orgánům veřejné správy jedná za společnost jednatel. Přestupkovou i trestní odpovědnost nese především samotná společnost KRÁLOVOPOLSKÁ KOVÁRNA s.r.o. a.s., jakož i členové jejího statutárního orgánu v případě porušení jejich zákonných povinností.

Personalista společnosti odpovídá v rámci plnění svých pracovních povinností za dodržování této směrnice jakož i zákonných předpisů týkajících se ochrany osobních údajů v jím zajišťované oblasti personalistiky, a to vůči společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.

IT specialista je pro zajištění ochrany osobních údajů v prostředcích IT povinen zajistit:

• aplikaci opatření bezpečnosti IT
• fyzickou bezpečnost datových úložišť a provozních serverů společnosti
• na základě písemného požadavku vedoucích pracovníků poskytovat přístupová oprávnění oprávněným osobám do informačních systémů, v případě nutnosti provádět jejich blokaci;
• kontrolní činnost k ochraně osobních údajů zpracovávaných v informačních systémech; o zjištěných skutečnostech informovat výkonného ředitele
• poskytování informací oprávněným osobám o zásadách bezpečnosti IT při ochraně osobních údajů v informačním systému;
• vymazání osobních údajů z pevného disku nebo vyjmutí paměťového media prostředků IT v případě jejich odeslání mimo společnost (oprava u servisní organizace, výpůjčka, pronájem, vyřazení, likvidace apod.).

Obchodní ředitel společnosti odpovídá v rámci plnění svých pracovních povinností za dodržování této směrnice jakož i zákonných předpisů týkajících se ochrany osobních údajů v jím zajišťované oblasti obchodní činnosti, a to vůči společnosti KRÁLOVOPOLSKÁ KOVÁRNA s.r.o.

Za „zjištění narušení bezpečnosti osobních údajů“ se považuje situace, kdy dojde k získání a ověření dostatečných informací o tom, že došlo k bezpečnostní události, která měla za následek narušení osobních údajů.

Osoba, která zjistí narušení bezpečnosti osobních údajů, nahlásí tuto skutečnost neprodleně personalistce společnosti, která je o této skutečnosti povinna provést písemný záznam a neprodleně informovat vedení společnosti. V záznamu uvede jméno, příjmení a pracovní zařazení oznamující osoby, datum a čas oznámení a základní popis předmětného narušení bezpečnosti osobních údajů.

Vedení společnosti nejpozději do 72 hodin od nahlášení vyhodnotí, zda je narušení bezpečnosti osobních údajů natolik závažné, že bude třeba kontaktovat Úřad pro ochranu osobních (dále jen Úřad). Povinnost kontaktovat Úřad nastává, pokud by porušení bezpečnosti mělo za následek riziko pro práva a svobody fyzických osob. V případě takovéhoto porušení vedení společnosti bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvědělo, ohlásí Úřadu existenci takového porušení. Pokud není ohlášení úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.

Ohlášení Úřadu musí přinejmenším obsahovat:

a) popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;

b) jméno a kontaktní údaje osoby, které může Úřadu poskytnout bližší informace;

c) popis pravděpodobných důsledků porušení zabezpečení osobních údajů; d) popis opatření, která společnost přijala nebo navrhla k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.

Není-li možné poskytnout informace současně, mohou být poskytnuty postupně bez dalšího zbytečného odkladu.

Oznámení Úřadu se zasílá elektronicky prostřednictvím datové schránky případně dopisem v listinné podobě nebo zasláním formuláře na nosiči dat. Podrobnější pokyny jsou uvedeny na internetových stránkách Úřadu.

Vedoucí personálního úseku dokumentuje veškeré případy porušení zabezpečení osobních údajů, přičemž uvede skutečnosti, které se týkají daného porušení, jeho účinky a přijatá nápravná opatření.

Přílohy