Zpracování osobních údajů

VNITŘNÍ PŘEDPIS K OCHRANĚ OSOBNÍCH ÚDAJŮ

ENERGYLOW Plus s.r.o.,
se sídlem Jiráskova 701, 755 01 Vsetín,
IČ: 640 84 701,
zapsaná v obchodním rejstříku vedeném Krajským soudem v Ostravě, oddíl C, vložka 8627,
zastoupená Ing. Karlem Zubkem, jednatelem,
(dále jen „zaměstnavatel“ nebo „správce“),
vydává vnitřní předpis k ochraně osobních údajů v tomto znění:

Preambule

Tento vnitřní předpis k ochraně osobních údajů (dále jen „vnitřní předpis“) je vydáván v návaznosti na přijetí Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), (dále jen „GDPR“), které nabylo účinnosti dne 25. 5. 2018, a kterým došlo ke změně právní úpravy ochrany osobních údajů fyzických osob v souvislosti se zpracováním osobních údajů. Účelem vydání tohoto vnitřního předpisu je, zejména s ohledem na zásadu transparentnosti jako jednu z ústředních zásad GDPR, stanovení podmínek zpracování osobních údajů, jejich ochrany a zabezpečení, a dále informování zaměstnanců, jakožto subjektů údajů o zpracování jejich osobních údajů, o jejich právech.

Článek I

Vymezení pojmů

Pro účely tohoto vnitřního předpisu se v souladu s GDPR rozumí

1. Osobním údajem veškeré informace o identifikované nebo identifikovatelné fyzické osobě; identifikovatelnou fyzickou osobou je fyzická
   osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, např. jméno, adresa, datum
   narození, telefonní číslo apod.
2. Zpracováním jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, která je prováděna pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí,
   použití, zpřístupnění přenosem, šíření, omezení, výmaz nebo zničení;
3. Subjektem údajů zaměstnanec a jeho osoba blízká, jejichž osobní údaje jsou zaměstnavatelem zpracovávány na základě některého ze zákonných důvodů uvedených v GDPR;
4. Správcem ENERGYLOW Plus s.r.o., se sídlem Jiráskova 701, 755 01 Vsetín, IČO: 640 84 701, zapsaná v obchodním rejstříku u Krajského soudu v Ostravě, oddíl C, vložka 8627, který určuje účely a prostředky zpracování osobních údajů;
5. Zpracovatelem fyzická nebo právnická osoba, která zpracovává osobní údaje pro správce;
6. Třetí stranou fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který není subjektem údajů, správcem, zpracovatelem ani osobou přímo podléhající správci nebo zpracovateli, jež je oprávněna ke zpracování osobních údajů;
7. Dozorovým úřadem Úřad pro ochranu osobních údajů sídlící na adrese Pplk. Sochora 27, 170 00 Praha 7.

Článek II

Zásady zpracování osobních údajů

1. Správce je povinen zpracovávat osobní údaje subjektů údajů korektně a zákonným a transparentním způsobem. Zpracování osobních údajů je zákonné, je-li splněna nejméně jedna z podmínek uvedená v článku 6 odst. 1 GDPR, zejména tehdy
   1. udělil-li subjekt údajů souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů,
   2. je-li zpracování nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů,
   3. je-li zpracování nezbytné pro splnění právní povinnosti, která se na správce vztahuje,
   4. je-li zpracování nezbytné pro účely oprávněných zájmů správce, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a
      svobody subjektu údajů vyžadující ochranu osobních údajů.
2. Správce je oprávněn zpracovávat pouze přiměřené a relevantní osobní údaje omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány.
3. Správce je povinen zpracovávat osobní údaje přesné a aktualizované.
4. Správce je povinen zpracovávat osobní údaje způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením.

Článek III

Zpracování osobních údajů správcem

1. Správce je oprávněn zpracovávat pouze ty kategorie osobních údajů, které jsou nezbytné pro splnění správcovy povinnosti, která se na něj vztahuje, pro plnění smlouvy, nebo jejichž zpracování je nezbytné pro účely oprávněných zájmů správce.
2. Správce zpracovává osobní údaje v souladu se zásadami uvedenými v článku II tohoto vnitřního předpisu pro účely plnění pracovněprávních povinností, plnění povinností uložených mu právními předpisy, a to včetně povinností, které pro něj vyplývají ve vztahu k orgánům veřejné správy (dále jen „účel zpracování“). Zpracovává-li správce osobní údaje v nezbytném rozsahu pro účely v předchozí větě uvedené, zpracovává tyto osobní údaje zákonně, a subjekty údajů v souladu s GDPR neudělují správci se zpracováním jejich osobních údajů souhlas.
3. Správce zpracovává:
   1. osobní údaje zaměstnance nejvýše v rozsahu:
      – jméno a příjmení,
      – titul,
      – datum a místo narození,
      – rodné číslo,
      – adresa,
      – rodné příjmení,
      – rodinný stav,
      – státní občanství,
      – zdravotní znevýhodnění,
      – zdravotní pojištění,
      – údaj o pobírání důchodu,
      – telefonní číslo,
      – údaj o bankovním spojení,
   2. a osobní údaje osob blízkých zaměstnance nejvýše v rozsahu:
      – jméno, příjmení, rodné číslo a adresa dítěte zaměstnance,
      – jméno, příjmení, rodné číslo a adresa manžela zaměstnance, popř. údaj o jeho zaměstnavateli (dále jen „kategorie osobních údajů“).
4. Správce je oprávněn zpracovávat kategorie osobních údajů za jiným účelem zpracování nebo ve větším rozsahu, než je uveden v odst. 3, pouze za předpokladu, že mu subjekt údajů udělil se zpracováním osobních údajů pro jeden či více konkrétních účelů souhlas nebo je dán jiný zákonný důvod uvedený v článku 6 odst. 1 GDPR.
5. Správce nezpracovává zvláštní kategorie osobních údajů dle článku 9 GDPR, kterými se rozumí např. osobní údaje vypovídající o rasovém a etnickém původu, politických názorech, náboženském vyznání apod.
6. Správce je povinen vést v souladu s článkem 30 GDPR záznamy o činnostech zpracování osobních údajů, za něž odpovídá, a které poskytne na požádání
   dozorovému úřadu. Tyto záznamy o činnostech zpracování osobních údajů správce v případě změn aktualizuje.
7. Správce zpracovává osobní údaje po dobu nezbytně nutnou. Osobní údaje jsou archivovány nejdéle po dobu vyžadovanou právními předpisy a likvidují se nejpozději po uplynutí archivační doby.
8. Členové statutárního orgánu správce zachovávají o zpracovávaných osobních údajích mlčenlivost.

Článek IV

Zpracování osobních údajů zpracovatelem

1. Správce využije pouze toho zpracovatele, který poskytuje dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby dané zpracování splňovalo požadavky stanovené GDPR a aby byla zajištěna ochrana práv subjektů údajů.
2. Správce je povinen uzavřít se zpracovatelem písemnou smlouvu o zpracování osobních údajů. Správce je povinen stanovit ve smlouvě o zpracování osobních údajů povinnost zpracovatele k mlčenlivosti a závazek zpracovatele přijmout vhodná technická a organizační opatření zajištující ochranu zpracovávaných osobních údajů.
3. Správce je oprávněn předat zpracovateli ke zpracování pouze ty osobní údaje subjektů, jejichž zpracování zpracovatelem je bezpodmínečně nutné za účelem v ní uvedeným.

Článek V

Ochrana a zabezpečení osobních údajů

1. Správce přijme vhodná technická a organizační opatření za účelem ochrany a zabezpečení zpracovávaných údajů, zejména
   1. zabezpečí přístup k listinám obsahujících osobní údaje před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením, zneužitím či zpřístupněním neoprávněným osobám;
   2. zabezpečí přístup do PC, ve kterých jsou uchovávány osobní údaje bezpečným heslem a tato bude pravidelně měnit;
   3. na PC nainstaluje software zajišťující ochranu proti neoprávněnému průniku a proti škodlivým kódům;
   4. data v PC bude pravidelně zálohovat;
   5. nezveřejní listiny obsahující osobní údaje na místě, kde by k nim mohly mít přístup neoprávněné osoby.
2. Správce pravidelně hodnotí přijatá technická a organizační opatření a přizpůsobuje je tak, aby bylo dosaženo účelu ochrany a zabezpečení osobních údajů ve smyslu GDPR.
3. Správce ohlásí jakékoli porušení zabezpečení osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, dozorovému úřadu, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. O tomto porušení správce neprodleně informuje dotčené subjekty údajů.
4. V případě porušení zabezpečení osobních údajů správce přijme bez zbytečného odkladu náležitá opatření, aby bylo dosaženo účelu ochrany a zabezpečení osobních údajů ve smyslu GDPR.

Článek VI

Práva subjektů údajů

1. Subjekt údajů má v souladu s GDPR tato práva
   1. právo na přístup k osobním údajům, tj. právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k informacím uvedeným v článku 15 odst. 1 GDPR;
   2. právo na opravu, tj. právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají; s přihlédnutím k účelům zpracování
      má subjekt údajů právo na doplnění neúplných osobních údajů;
   3. právo na výmaz („právo být zapomenut“), tj. právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu týkají.
      Správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán některý z důvodů uvedených v článku 17 odst. 1 GDPR;
   4. právo na omezení zpracování, tj. právo na to, aby správce omezil zpracování v kterémkoli z případů uvedených v článku 18 odst. 1 GDPR;
   5. právo na přenositelnost údajů, tj. právo získat osobní údaje, které se ho týkají, jež poskytl správci, ve strukturovaném, běžně používaném a strojově
      čitelném formátu, a právo předat tyto údaje jinému správci, aniž by tomu správce, kterému byly osobní údaje poskytnuty, bránil, je-li zpracování osobních
      údajů v daném případě založeno na udělení souhlasu subjektem údajů nebo na základě uzavřené smlouvy a zpracování se provádí automatizovaně;
   6. právo vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě zpracovávání osobních údajů pro účely oprávněných zájmů správce;
   7. právo podat stížnost u dozorového úřadu, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno GDPR.
2. Udělil-li subjekt údajů se svým zpracováním osobních údajů souhlas dle článku III odst. 4, má právo souhlas kdykoli odvolat.
3. Subjekt údajů může svá práva uvedená v odst. 1 pod písm. a) až f) a odst. 2 tohoto článku uplatnit osobně v sídle správce u člena statutárního orgánu nebo na emailové adrese k.zubek@energylow.cz.
4. Subjekt údajů může své právo uvedené v odst. 1 pod písm. g) tohoto článku uplatnit u dozorového úřadu.

Článek VII

Závěrečná ustanovení

1. Tento vnitřní předpis může být měněn pouze písemně.
2. Tento vnitřní předpis nabývá platnosti a účinnosti dnem jeho vydání.
3. Tento vnitřní předpis je vydáván na dobu neurčitou.
4. Přílohou tohoto vnitřního předpisu je prohlášení zaměstnanců o seznámení se s tímto vnitřním předpisem.

ENERGYLOW Plus s.r.o.,
Ing. Karel Zubek, jednatel