Predpisy o ochrane údajov

Úvod

V spoločnosti Gobel & Partner Ltd, ďalej označovanej ako „spoločnosť“, zhromažďujeme a spracovávame údaje o osobách, t.j. „osobné údaje“ na obchodné účely, vrátane údajov o pracovných pomeroch a personálnych údajov, na účely poskytovania našich služieb, obchodnej administratívy a na marketingové účely. Tieto údaje zahŕňajú osobné údaje o našich zamestnancoch, zákazníkoch, dodávateľoch a iných tretích osobách.

Zákon o ochrane osobných údajov sa musí dodržiavať preto, aby sa chránili osobné údaje, zabezpečili obchodné transakcie a aby sa dodržiavali práva jednotlivcov. Spoločnosť je podľa zákona o ochrane osobných údajov prevádzkovateľom, t.j. osobou, ktorá rozhoduje, ako a na čo osobné údaje použije. Tieto predpisy definujú naše postupy na zabezpečenie dodržiavania zákona o ochrane osobných údajov. Stanovujú tiež vaše povinnosti pri každom spracovaní akýchkoľvek osobných údajov počas vášho pracovného pomeru.

Ak sa často dostávate do styku s osobnými údajmi, musíte absolvovať špeciálne školenie o postupoch na zabezpečenie ochrany osobných údajov vo vzťahu k vašej konkrétnej úlohe alebo oddeleniu. Toto školenie je zamerané na to, aké sú vaše povinnosti podľa týchto predpisov.

Spôsob, akým máte spracovávať a chrániť osobné údaje, upravujú aj ďalšie predpisy. Medzi tie najdôležitejšie patria naše predpisy o systémoch IT a komunikačných systémoch, ktoré ste povinný/-á riadne dodržiavať.

Tieto predpisy nestanovujú zmluvné práva zamestnancov. Podľa potreby sa môžu meniť a dopĺňať.

Na koho sa tieto predpisy vzťahujú?

Tieto predpisy sa vzťahujú na všetkých zamestnancov, dodávateľov, zástupcov, konzultantov, interných pracovníkov, dobrovoľníkov, partnerov a riaditeľov spoločnosti, ktorí sa ďalej spoločne označujú ako „zamestnanci“ alebo odkazujú priamo na vašu osobu.

Kto je v rámci spoločnosti zodpovedný za ochranu osobných údajov

Za dodržiavanie zákonov o ochrane osobných údajov je vo všeobecnosti zodpovedné predstavenstvo spoločnosti. Dohľadom nad dodržiavaním týchto predpisov a zákonov o ochrane osobných údajov a súvisiacim poradenstvom spoločnosť poverila vedúceho oddelenia ochrany personálnych údajov.

Všetci zamestnanci spoločnosti sú do určitej miery zodpovední za to, aby sa osobné údaje spracovávali a ochraňovali v súlade so zákonmi a predpismi, pričom niektorí zamestnanci majú v tejto súvislosti aj špeciálne úlohy, s ktorými musia byť oboznámení a ku ktorým musia absolvovať osobitné školenie alebo inštruktáž.

Ak máte pochybnosti o tom, akým spôsobom máte spracovávať osobné údaje alebo ak máte obavy alebo otázky vo vzťahu k svojej činnosti, prípadne ak máte podozrenie, že došlo k porušeniu týchto predpisov, obráťte sa na vedúceho oddelenia ochrany personálnych údajov.

Prečo je dôležité dodržiavať predpisy o ochrane osobných údajov?

Ak dôjde k porušeniu zákonov o ochrane osobných údajov, spoločnosť, prípadne jednotliví zamestnanci, môžu čeliť vážnym právnym dôsledkom. Môže ísť o trestný čin, pri ktorom hrozí pokuta až do 20 miliónov eur (približne 18 miliónov libier) alebo do výšky 4 % celkového celosvetového ročného obratu spoločnosti, podľa toho, ktorá suma je vyššia. Za porušenie práv jednotlivcov podľa zákona o ochrane osobných údajov sa poškodené osoby môžu tiež domáhať náhrady škody voči našej spoločnosti pred súdom. Porušenie zákona o ochrane osobných údajov môže vážne poškodiť našu značku a dobré meno našej spoločnosti.

Okrem právnej zodpovednosti sa na porušenie vašich povinností podľa týchto predpisov vzťahujú aj disciplinárne konania a vo vážnych prípadoch hrozí výpoveď zo zamestnania.

Čo sú osobné údaje?

Osobnými údajmi sú údaje týkajúce sa žijúcej fyzickej osoby (t.j. dotknutá osoba), ktorú možno identifikovať priamo, na základe identifikátora, alebo nepriamo, na základe odkazu na identifikátor, ako napr. meno, rodné číslo, číslo zamestnanca, e-mailová adresa. Danými fyzickými osobami môžu byť aj vaši kolegovia, spotrebitelia, členovia verejnosti, obchodné kontaktné osoby a pod. Osobné údaje môžu zahŕňať faktické informácie, napr. kontaktné údaje alebo dátum narodenia, názor na činnosť a správanie osoby, alebo informácie, ktoré môžu mať iný vplyv na danú osobu. Môžu súvisieť s osobnými alebo obchodnými vzťahmi.

Osobné údaje sa môžu spracovávať strojovo, napr. v prípade elektronických záznamov, ako sú počítačové zložky alebo e-maily, alebo manuálne, napr. záznamy, ktoré sú súčasťou informačných systémov alebo ktoré sa zhromažďujú na účely informačných systémov, ako sú napr. štruktúrované záznamy a archívy.

Čo znamená „spracovanie“ osobných údajov?

Spracúvaním osobných údajov sa rozumie spracovateľská operácia s osobnými údajmi, napríklad získavanie, zaznamenávanie, uchovávanie, zmena, vyhľadávanie, využívanie, poskytovanie, obmedzenie alebo vymazanie. Patrí sem tiež zasielanie alebo prevádzanie osobných údajov tretím stranám.

Povinnosti súvisiace s ochranou osobných údajov

Za dodržiavanie zákonov o ochrane osobných údajov je zodpovedná spoločnosť, ktorá musí vedieť preukázať, že tieto zákony dodržiava. Aby to mohla spoločnosť zabezpečiť, je dôležité, aby jej zamestnanci dodržiavali príslušné zákony o ochrane osobných údajov a iných interných predpisov spoločnosti, smerníc a pokynov vzťahujúcich sa na spracovanie osobných údajov počas trvania ich pracovného pomeru.

Nižšie uvádzame niekoľko kľúčových povinností podľa zákona o ochrane osobných údajov a podrobné informácie o tom, čo spoločnosť požaduje od zamestnancov pri plnení týchto požiadaviek.

1. Správne, zákonne a transparentné spracovávanie osobných údajov

Právny základ spracovávania

Zákon o ochrane osobných údajov nám umožňuje spracovávať osobné údaje len na správnom a právnom základe, ktorý oprávňuje na spracovávanie informácií.

Príkladmi právneho základu pre spracovanie osobných údajov sú nasledovné:

• dodržiavanie právnych povinností, napr. zákonov vzťahujúcich sa na ochranu zdravia a bezpečnosti alebo daňových zákonov,
• uzatváranie a plnenie zmlúv s dotknutými osobami, napr. pracovnej zmluvy so zamestnancom alebo zmluvy o poskytovaní služieb so zákazníkmi – dotknutými osobami,
• konanie v oprávnenom záujme spoločnosti alebo tretej osoby, napr. spravovanie záznamov o obchodnej činnosti, monitorovanie obchodnej výkonnosti a pod.,
• získavanie predchádzajúceho súhlasu dotknutej osoby napr. na zasielanie priamej marketingovej komunikácie.

Ak sa vyžaduje udelenie súhlasu, súhlas musí byť vážny a slobodne daný, konkrétny, informovaný a jednoznačný a spoločnosť musí byť schopná preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.

Podľa nariadenia Úradu na ochranu osobných údajov (ÚOOÚ) spoločnosť vo vzťahu zamestnávateľ – zamestnanec používa súhlas ako právny základ pre spracovanie údajov zamestnanca len vtedy, ak sú činnosti súvisiace so spracovaním osobných údajov voliteľné.

Vo väčšine prípadov sa súhlas nevyžaduje ani pri iných štandardných obchodných činnostiach zahŕňajúcich spracovanie osobných údajov zákazníkov alebo dodávateľov, avšak súhlas môže byť potrebný pri činnostiach, ktoré nie sú nevyhnutné na riadenie hlavného obchodného vzťahu, ako napríklad pri priamych marketingových činnostiach.

Transparentnosť

Zákon o ochrane osobných údajov ďalej vyžaduje, aby sme osobné údaje spracovávali transparentne, a to tým, že dotknutým osobám poskytneme príslušné zrozumiteľné a stručné informácie o tom, akým spôsobom ich osobné údaje spracovávame.

Dotknutým osobám zvyčajne poskytujeme základné informácie o tom, akým spôsobom spracovávame ich údaje zhromaždené na formulároch, ako sú žiadosti alebo formuláre na webových sídlach, a obsiahlejšie oznámenia týkajúce sa ochrany osobných údajov o tom, aký typ osobných údajov o nich vedieme, na čo ich používame, na akom právnom základe ich spracovávame, komu ich môžeme poskytovať a ako dlho ich uchovávame. Informácie o tom, ako spracovávame osobné údaje zamestnancov, poskytujeme napríklad prostredníctvom oznámení o ochrane súkromia zamestnancov.

Podľa potreby tieto oznámenia poskytujeme spolu s pripomienkami alebo dodatočnými informáciami vtedy, keď dochádza k spracovaniu alebo ak je to vhodné a potrebné pre konkrétnu dotknutú osobu, napríklad pri objednávkach novej služby alebo pri nových udalostiach.

Spracovanie osobných údajov v súlade s vašimi zákonnými pracovnými povinnosťami a pokynmi spoločnosti musí byť správne a zákonné.

Štandardné oznámenia o ochrane súkromia a vyhlásenia, ktoré podávame napríklad zamestnancom, zákazníkom a verejnosti, by mali byť dostačujúce na to, aby boli dotknuté osoby primerane informované o tom, akým spôsobom budete v priebehu trvania vášho pracovného pomeru spracovávať ich osobné údaje. Vždy, keď dochádza k spracovaniu osobných údajov, by ste mali zvážiť, či využijete aj pripomienky alebo poskytnete dodatočné informácie. Dôležité je to najmä vtedy, ak sa domnievate, že dotyčná osoba môže potrebovať pomoc, aby jasne pochopila, ako presne budú jej osobné údaje v rámci spracovania použité.

Všetky nové formuláre zhromažďujúce osobné údaje a navrhované znenie súhlasu musí vopred schváliť vedúci oddelenia ochrany personálnych údajov.

Ak máte obavy v súvislosti s tým, na ako právnom základe sa osobné údaje spracovávajú alebo či boli dotknutým osobám poskytnuté príslušné informácie konkrétne vo vzťahu k novým činnostiam v oblasti spracovania osobných údajov, informujte sa u vedúceho oddelenia ochrany personálnych údajov.

2. Spracovaniu citlivých alebo osobitných kategórií osobných údajov venujte zvýšenú starostlivosť

Niektoré kategórie osobných údajov sú „osobitné“ vzhľadom na svoju osobitnú citlivú povahu. Osobitnými kategóriami osobných údajov sú údaje, ktoré odhaľujú:

• rasový pôvod alebo etnický pôvod,
• politické názory,
• náboženskú vieru a filozofické presvedčenie,
• členstvo v odborových organizáciách,
• fyzické a duševné zdravie,
• údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie,
• genetické údaje a biometrické údaje (ak sa použijú na identifikáciu dotknutej osoby),
• trestné činy a odsúdenia za trestné činy dotknutej osoby.

Pri osobitnej kategórii osobných údajov si zákon o ochrane osobných údajov vyžaduje, aby sme okrem jedného z právnych základov podľa 1. časti mali aj dodatočný právny základ na použitie citlivých údajov. Príslušný právny základ bude závisieť od okolností.

Nižšie sú uvedené právne základy pre spracovanie osobných údajov osobitnej kategórie. Dôvody s hviezdičkou (*) sú pri spracovávaní osobných údajov osobitnej kategórie zamestnancov nevyhnutné:

• na účel plnenia povinností a výkonu osobitných práv v oblasti pracovného práva*,
• na zhodnotenie schopnosti vykonávať prácu na základe lekárskeho posudku, na čo sa vzťahuje povinnosť zachovávať mlčanlivosť,
• na sledovanie rovnosti zaobchádzania vo vzťahu k rasovému a etnickému pôvodu, náboženskej viery, zdravotnému stavu alebo sexuálnej orientácii*,
• na uplatnenie alebo obhájenie právneho nároku*,
• na zabránenie alebo odhalenie nezákonnej činnosti,
• ak dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov.

Ak v priebehu svojho pracovného pomeru spracovávate osobné údaje osobitnej kategórie, musíte venovať zvýšenú pozornosť dodržiavaniu zákona o ochrane osobných údajov. Predovšetkým musíte zabezpečiť, aby:

• boli všetky činnosti súvisiace so spracovaním osobných údajov v súlade s vašimi zákonnými pracovnými povinnosťami a pokynmi spoločnosti,
• bol na spracovanie takýchto osobných údajov právny základ, a to dôvod podľa 1. časti, ako aj dodatočný dôvod podľa tejto 2. časti, ktorý sa hodnotí pri vašich konkrétnych činnostiach,
• boli všetky dotknuté osoby primerane informované o tom, ako sa ich osobné údaje použijú. V niektorých prípadoch bude potrebné aktuálne oznámenie o ochrane osobných údajoch doplniť o podrobnejšie informácie týkajúce sa danej osobitnej kategórie, napr. ak spoločnosť eviduje absencie z dôvodu práceneschopnosti a upravuje pracovné povinnosti zamestnancov s postihnutím alebo vážnym ochorením, môžeme im poskytnúť ad hoc dodatočné oznámenia o ochrane osobných údajov na doplnenie oznámenia o ochrane súkromia zamestnancov;
• ste mali zavedené dodatočné bezpečnostné opatrenia na zachovanie mlčanlivosti s ohľadom na to, že strata alebo zneužitie takýchto osobných údajov môže mať na dané dotknuté osoby oveľa väčší dopad než pri iných typoch osobných údajov.. Pozri aj 7. časť uvedenú nižšie,
• ste mali znenie súhlasu vopred schválené vedúcim oddelenia ochrany personálnych údajov v prípade, ak sa spoliehate na zákonný dôvod ich spracovania.

Ak pracujete s osobnými údajmi osobitnej kategórie často v rámci svojej pracovnej úlohy a pracovných povinností, spoločnosť vám nariadi, aby ste činnosti súvisiace so spracovaním takýchto osobných údajov vykonávali v súlade s vyššie uvedenými požiadavkami.

Ak sa však okolnosti zmenia, napr. ak sa zapojíte do nového projektu alebo aktualizujete existujúci systém s novým spôsobom spracovania osobitnej kategórie osobných údajov, obráťte sa na vedúceho oddelenia ochrany personálnych údajov, aby sa zabezpečilo dodržanie správnych postupov.

Podobne, ak máte obavy v súvislosti s tým, na ako právnom základe sa osobné údaje osobitnej kategórie spracovávajú alebo sa majú dotknutým osobám poskytnúť, informujte sa u vedúceho oddelenia ochrany personálnych údajov.

3. Osobné údaje spracovávajte len na uvedené, výslovné a zákonné účely

Spoločnosť bude spracovávať osobné údaje na základe zákonných dôvodov na vykonávanie obchodných transakcií a správu pracovného pomeru a iných obchodných vzťahov.

Môžete spracovávať len osobné údaje, ktoré pre spoločnosť spracovávate v rámci svojich povinností na zákonné a schválené účely. Nesmiete spracovávať osobné údaje na iné účely, ktoré nesúvisia s vašimi pracovnými povinnosťami.

Spracovávanie osobných údajov na účely, ktoré nezodpovedajú vašim povinnostiam a ktoré nie sú povolené, môže viesť k porušeniu zákona o ochrane osobných údajov, napr. pri použití databázy kontaktov spoločnosti na zistenie adresy bydliska kolegu na osobné účely nesúvisiace s prácou. Takéto konanie môže v konečnom dôsledku poškodiť všetky zúčastnené strany a viesť k disciplinárnym trestom.

Ak sa domnievate, že potrebujete spracovať osobné údaje na iný účel, než na aký boli pôvodne získané, musíte zistiť, či o tom boli dotyčné dotknuté osoby informované, a ak nie, musíte prehodnotiť, či je tento dodatočný účel zákonný v rámci obchodnej činnosti spoločnosti a či zodpovedá pôvodnému účelu.

Ak si nie ste istý/-á, či sú dôvody na spracovanie osobných údajov zákonné, musíte kontaktovať vedúceho oddelenia ochrany personálnych údajov ešte predtým, než začnete spracovávať osobné údaje na takéto dodatočné účely.

4. Overte si, či sú osobné údaje primerané, potrebné a či ich rozsah zodpovedá vášmu zákonnému dôvodu pre ich spracovanie

Zákon o ochrane osobných údajov si vyžaduje, aby sme pri spracovaní osobných údajov zabezpečili, aby boli získané údaje primerané, potrebné a aby ich rozsah zodpovedal zákonnému dôvodu na ich spracovanie, čo sa označuje ako zásada minimalizácie údajov. Inými slovami, žiadame o poskytnutie len takých informácií, ktoré skutočne potrebujeme na naše zákonné obchodné účely, a nežiadame o žiadne informácie, ktoré nepotrebujeme na vykonávanie našich obchodných transakcií.

Mali by ste sa pokúsiť zabezpečiť, aby sa získavali a spracovávali len osobné údaje, ktoré sú skutočne potrebné pre zákonné a povolené účely spoločnosti v rámci vašich povinností.

Musíte tiež zabezpečiť, aby ste mali dostatočné osobné údaje na to, aby ste ich mohli použiť správne a zohľadniť všetky dôležité údaje.

Ak vytvárate formuláre, prostredníctvom ktorých sa získavajú osobné údaje, mali by ste dokázať odôvodniť, na čo sa údaje každej kategórie vyžadujú.

Musíte dodržiavať pokyny spoločnosti o uchovávaní osobných údajov a zabezpečiť, aby sa uchovávali len na takú dobu a na taký účel, ako je to potrebné.

5. Uchovávajte len presné osobné údaje a v prípade potreby ich aktualizujte

Spoločnosť je povinná zabezpečiť, aby osobné údaje boli vždy presné a v prípade potreby priebežne aktualizované. Vyžadujem napríklad, aby nás zamestnanci informovali o každej zmene svojich kontaktných údajov, ako aj osobných informácií. Pravidelne tiež žiadame zamestnancov o aktualizáciu svojich osobných údajov. Okrem toho sa staráme o to, aby sa rozhodnutia ovplyvňujúce dotknuté osoby zakladali na presných a aktuálnych informáciách.

Ak počas vášho pracovného pomeru spracovávate osobné údaje, musíte vynaložiť primerané úsilie na to, aby boli presné a v prípade potreby ich vždy aktualizovať.

Pri získavaní osobných údajov sa snažte získať potvrdenie o tom, či ste ich zaevidovali správne. Ak následne zistíte akékoľvek nepresnosti v osobných údajoch, ktoré spracovávate, musíte ich bezodkladne opraviť alebo vymazať.

Osobné údaje by sa mali uchovávať na čo najmenej rôznych miestach, aby sa zabránilo tomu, že niektoré kópie nebudú aktualizované a nebudú sa zhodovať s ostatnými. Nemali by ste vytvárať ďalšie kópie osobných údajov; mali by ste pracovať s jednou centrálnou kópiou a tú priebežne aktualizovať.

6. Uchovávajte osobné údaje len na potrebnú dobu a len na stanovený účel

Záznamy obsahujúce osobné údaje by sa mali uchovávať len na dobu, na ktorú sú potrebné a len na stanovený účel. Spoločnosť má zavedené predpisy a interné postupy/smernice vzťahujúce sa na zhromažďovanie, uchovávanie a vymazávanie rôznych typov záznamov a informácií, ktoré obsahujú osobné údaje.

Vykonávame potrebné opatrenia na to, aby sa osobné údaje uchovávali po potrebnú dobu, pričom zohľadňujeme nasledujúce kritériá:

• množstvo, povaha a citlivosť osobných údajov,
• nebezpečenstvo poškodenia z dôvodu nepovoleného použitia alebo poskytnutia osobných údajov,
• účely, na ktoré sa osobné údaje spracovávajú, a doba, počas ktorej sa konkrétne údaje musia uchovávať, aby sa dosiahli tieto účely,
• doba, počas ktorej osobné údaje pravdepodobne ostanú presné a aktuálne,
• doba, počas ktorej môžu byť osobné údaje dôležité pre prípadné budúce právne nároky,
• príslušné právne, účtovné, oznamovacie a regulačné požiadavky, ktoré stanovujú, ako dlho sa majú určité záznamy uchovávať.

Oboznámte sa s našimi predpismi, postupmi, smernicami a pokynmi o zhromažďovaní osobných údajov, ktoré sa týkajú vašej pracovnej pozície. Ak je to vo vašej kompetencii, zlikvidujte alebo vymažte všetky informácie, ktoré už nepotrebujete podľa uvedených predpisov.

Ak si nie ste istý/-á, ktoré smernice alebo pokyny o zhromažďovaní osobných údajov sa týkajú vašich pracovných úloh alebo ako sa uplatňujú pri určitých typoch osobných údajov, obráťte sa na vedúceho oddelenia ochrany personálnych údajov.

7. Vykonajte príslušné opatrenia na zabezpečenie osobných údajov

Zabezpečenie osobných údajov a dodržiavanie bezpečnostných postupov spoločnosti na ochranu dôvernej povahy, integrity, dostupnosti a odolnosti osobných údajov je pre spoločnosť a jej zamestnancov kľúčovou úlohou.

Spoločnosť má zavedené predpisy o systémoch IT a komunikačných systémoch, ktoré stanovujú organizačné a technické bezpečnostné opatrenia na ochranu informácií, vrátane osobných údajov.

V rámci podpory spoločnosti pri zabezpečovaní bezpečnosti osobných údajov a ochrany dôvernej povahy a integrity osobných údajov, ktoré budete spracovávať počas svojho pracovného pomeru, požadujeme, aby ste dodržiavali tieto predpisy, ako aj naše predpisy o systémoch IT a komunikačných systémoch a všetky ostatné pokyny spoločnosti vzťahujúce sa na spracovávanie a bezpečnosť osobných údajov.

• ukladajte a konzultujte osobné údaje len v rámci alebo s použitím schválených informácií a komunikačných systémov spoločnosti. Obmedzte uchovávanie osobných údajov na osobných zariadeniach alebo s využitím osobných komunikačných prostriedkov,

• na odosielanie a prijímanie e-mailov používajte softvér chránený heslom a zakódovaný softvér,
• zamykajte zložky s údajmi do bezpečných skriniek vždy, keď je to možné,
• nikdy nenechávajte svoj laptop ani žiadne iné zariadenia a fyzické kópie dokumentov obsahujúcich osobné údaje na verejne dostupných miestach,
• pri prehliadaní osobných údajov vo fyzickej podobe alebo na obrazovke sa uistite, že údaje nevidí nikto iný, kto nie je oprávnený ich vidieť, predovšetkým vtedy, ak si osobné údaje prezeráte na verejne dostupnom mieste,
• pri ukladaní osobných údajov na prenosné zariadenia, ako sú laptopy, smartfóny alebo USB kľúče skontrolujte, či je zariadenie zakódované a chránené heslom,
• skontrolujte, či boli osobné údaje zlikvidované bezpečne a natrvalo, a používajte na to chránenú likvidáciu odpadu alebo skartovače,
• okamžite informujte vedúceho oddelenia ochrany personálnych údajov o každom porušení ochrany osobných údajov (podrobnejšie informácie o porušení ochrany osobných údajov sú uvedené nižšie),
• skontrolujte, či sa poskytovanie osobných údajov zakladá na príslušnom právnom základe a v prípade potreby zabezpečte ochranu osobných údajov (podrobnejšie informácie o zabezpečení ochrany sú uvedené nižšie) pri zahraničných prevodoch alebo pri poskytovaní osobných údajov poskytovateľom služieb – tretím osobám.

8. Pri poskytovaní osobných údajov zvýšte starostlivosť

Poskytovanie osobných údajov je typom spracovania, na ktoré sa teda vzťahujú všetky zásady podľa týchto predpisov.

Interné poskytovanie osobných údajov

Spoločnosť zabezpečuje, aby sa osobné údaje poskytovali interne výhradne vtedy, ak ich príjemca potrebuje vedieť.

Externé poskytovanie osobných údajov

Tretím osobám, vrátane spoločností v rámci skupiny, poskytujeme osobné údaje len vtedy, ak na to máme zákonný dôvod a ak nám to umožňuje zákon o ochrane osobných údajov. Môže to byť v prípade, ak sme zo zákona povinní poskytnúť informácie napr. daňovému úradu na daňové účely alebo ak je to potrebné na plnenie našich zmluvných povinností voči dotknutým osobám, napr. poskytovanie informácií poskytovateľom dôchodkového poistenia zamestnancov.

Spracovaním osobných údajov v našom mene môžeme poveriť aj poskytovateľov služieb – tretie osoby, tzv. sprostredkovateľov, napr. na spracovanie miezd, uchovávanie údajov alebo technologické služby.

Spoločnosť je však aj naďalej zodpovedná za to, aby sprostredkovatelia pri spracovávaní jej osobných údajov dodržiavali zákon o ochrane osobných údajov a tieto predpisy. Bezpečnostné opatrenia na ochranu osobných údajov musíme zhodnotiť a uplatniť pred vymenovaním sprostredkovateľa, ako aj počas jeho služieb. Rozsah týchto opatrení sa môže meniť podľa povahy príslušných činností, ale vždy musia zahŕňať zhodnotenie rizika a kontrolu a stanovenie zmluvných povinností.

Interne môžete iným zamestnancom a zástupcom spoločnosti poskytovať osobné údaje len vtedy, ak príjemca potrebuje vedieť dané informácie v súvislosti so svojou pracovnou pozíciou.

Poskytovateľom služieb a iným tretím osobám, vrátane spoločnostiam v rámci skupiny, môžete poskytovať osobné údaje len vtedy, ak:

• je na to zákonný dôvod a príslušný právny dôvod, napr. ak potrebujú spracovať dané osobné údaje na to, aby mohli poskytovať svoje služby, ako je spracovanie miezd alebo ak im tieto údaje musíme poskytnúť zo zákona,
• o tom boli dotknuté osoby, ktorých osobné údaje sa majú poskytnúť, riadne informované, napr. prostredníctvom oznámenia o ochrane súkromia,
• spoločnosť overila, že boli vykonané príslušné bezpečnostné opatrenia a opatrenia na ochranu osobných údajov vo vzťahu k príslušným osobným údajom, ak sa majú osobné údaje poskytnúť poskytovateľovi služby,
• poskytovateľ služby alebo tretia osoby podpísala zmluvu v písomnej forme, ktorá obsahuje ustanovenia podľa zákona o ochrane osobných údajov, pokiaľ vedúci oddelenia ochrany personálnych údajov nestanovil, že v príslušnom kontexte to nie je potrebné,

Vyššie uvedené požiadavky sa musia dodržiavať predovšetkým v prípade častého poskytovania osobných údajov určeným príjemcom, napr. spracovateľom miezd alebo spoločnostiam v rámci skupiny, ktoré je bežnou a pravidelnou súčasťou vašich úloh. Vždy musíte overiť, či postupujete v súlade s konkrétnymi pokynmi spoločnosti. Ak máte akékoľvek pochybnosti o tom, či dané osobné údaje môžete poskytnúť inej osobe, obráťte sa predtým na vedúceho oddelenia ochrany personálnych údajov.

9. Neprevádzajte osobné údaje do inej krajiny, ak nie sú zavedené príslušné bezpečnostné opatrenia

Prevod osobných údajov do zahraničia zahŕňa ich odosielanie do zahraničia, ich prezeranie, pristupovanie k nim a ich spracovanie z inej krajiny. Zákon Európskej únie o ochrane osobných údajov obmedzuje predovšetkým prevod osobných údajov do krajín mimo Európskeho hospodárskeho priestoru (EHS – t.j. štáty Európskej únie plus Nórsko, Lichtenštajnsko a Island) tak, aby sa neznížila úroveň ochrany osobných údajov dotknutých osôb, pretože zákony iných krajín môžu požadovať nižšiu úroveň ochrany osobných údajov než je to v prípade krajín v rámci EHS.

Aby sa zabezpečilo, že ochrana osobných údajov nebude pri prevode do inej krajiny porušená, spoločnosť hodnotí nebezpečenstvo prevodu osobných údajov mimo Spojeného kráľovstva s ohľadom na zásady týchto predpisov, ako aj na obmedzenia pre takéto prevody mimo EHS, a v prípade potreby má zavedené aj dodatočné bezpečnostné opatrenia.

Ak už budete musieť počas svojho pracovného pomeru previesť osobné údaje dotknutých osôb mimo Spojeného kráľovstva alebo mimo EHS, musíte dodržať príslušné bezpečnostné opatrenia. Ak sú takéto prevody bežnou súčasťou vašich pracovných úloh, aktuálne bezpečnostné opatrenia spoločnosti pravdepodobne už zabezpečujú potrebnú úroveň ochrany osobných údajov.

Ak však prevádzate osobné údaje do zahraničia len vo výnimočných prípadoch, napr. pri novom type spracovateľských činností, ktoré predtým neboli súčasťou vašich bežných pracovných úloh, alebo do krajín, s ktorými ste predtým nepracovali, mali by najprv kontaktovať vedúceho oddelenia ochrany personálnych údajov, s ktorým prevod vopred prekonzultujete.

10. Okamžite oznámte akékoľvek porušenie ochrany súkromia

Spoločnosť berie porušenie ochrany súkromia veľmi vážne. Porušením ochrany môže byť strata zariadenia alebo údajov, používanie nepresných údajov alebo nadbytočného množstva údajov, nedodržanie práv dotknutých osôb, mylné odoslanie osobných údajov nesprávnej osobe, nepovolený prístup, nepovolené používanie alebo nepovolené poskytnutie osobných údajov, úmyselné útoky na systémy spoločnosti alebo krádež záznamov a všetky podobné spôsoby porušenia ochrany osobných údajov zo strany poskytovateľov služieb spoločnosti.

Ak dôjde k porušeniu ochrany, ktorého následkom bude náhodná alebo nezákonná likvidácia, strata, zmena osobných údajov dotknutých osôb alebo nepovolený prístup k nim a ich nepovolené poskytnutie, spoločnosť vykoná okamžité kroky na identifikáciu, vyhodnotenie a nápravu, vrátane zníženia rizika, zabezpečenia nápravy porušenia ochrany a informovania príslušných osôb (pozri nižšie).

Ak spoločnosť zistí, že došlo k porušeniu ochrany osobných údajov, ktoré predstavuje nebezpečenstvo porušenia práv a slobôd jednotlivcov, oznámi to organizácii ÚOOÚ najneskôr do 72 hodín.

Spoločnosť tiež vedie interné záznamy o všetkých prípadoch porušenia ochrany osobných údajov bez ohľadu na ich rozsah a na to, či boli oznámené organizácii ÚOOÚ.

Ak je pravdepodobné, že porušením ochrany osobných informácií vznikne vysoké riziko ohrozenia práv a slobôd jednotlivca, informujeme dotknutú osobu o tom, že došlo k porušeniu ochrany jej údajov, o pravdepodobných dôsledkoch a o tom, aké opatrenia na zmiernenie týchto dôsledkov spoločnosť vykonala.

Ak zistíte alebo ak máte podozrenie, že došlo k porušeniu týchto predpisov, najmä porušeniu bezpečnosti osobných údajov, ste povinný/-á to okamžite nahlásiť vedúcemu oddelenia ochrany personálnych údajov a následne vykonať všetky ostatné potrebné opatrenia.

11. Nepoužívajte profilovanie a automatizované rozhodovanie bez povolenia

Profilovanie alebo automatizované rozhodovanie vzniká pri automatizovanom spracovaní a vyhodnocovaní osobných údajov dotknutých osôb, ktorého výsledkom sú dôležité rozhodnutia vydané vo vzťahu k danej dotknutej osobe. Pri tejto činnosti, kde sa rozhodnutia vykonávajú výhradne na základe profilovania alebo automatizovaného spracovania údajov, vzniká zvýšené nebezpečenstvo pre dotknuté osoby.

Príkladom výhradne automatizovaného rozhodovania je používanie online psychometrických testov na automatizované odmietnutie žiadateľov o prácu, ktorí nespĺňajú minimálne požiadavky na prijatie do zamestnania, bez kontroly človekom, napríklad kontroly výsledkov testov zo strany personálneho pracovníka.

Zákon o ochrane osobných údajov povoľuje rozhodovanie výhradne na profilovaní alebo iných automatizovaných spôsoboch spracovania údajov len vo výnimočných prípadoch. a aj v prípadoch, kedy je profilovanie a iné automatizované rozhodovanie povolené, musia byť zavedené bezpečnostné opatrenia a dotknuté osoby musia mať možnosť vyjadriť na to svoj názor a spochybniť dané rozhodnutie. Pri profilovaní a inom automatizovanom rozhodovaní, ktoré vykonáva spoločnosť vo vzťahu k potenciálnym alebo existujúcim osobným údajom zamestnancov, sa hodnotí, či spĺňajú tieto požiadavky a či sú zavedené príslušné bezpečnostné opatrenia s ohľadom na daný prípad.

12. Integrácia ochrany osobných údajov do činnosti

Zákon o ochrane osobných údajov vyžaduje, aby spoločnosť zapracovala bezpečnostné opatrenia a opatrenia na ochranu osobných údajov do všetkých svojich činností, ktoré sa dotýkajú spracovania osobných údajov, najmä na začiatku nových projektov alebo činností, ktoré môžu mať dopad na súkromie dotknutých osôb. To znamená, že je potrebné zohľadniť niekoľko rôznych faktorov, najmä:

• nebezpečenstvo, pravdepodobnosť a vážnosť spracovania osobných údajov vo vzťahu k právam a slobodám jednotlivcov,
• technologické možnosti,
• náklady na realizáciu,
• povahu, rozsah, okolnosti a účel spracovania osobných údajov.

Okrem toho sa snažíme pravidelne prehodnocovať riziká súvisiace s ochranou osobných údajov, a to počas celej „životnosti“ projektu alebo činností, ktoré súvisia s používaním osobných údajov.

Ak sa zúčastňujete na návrhu alebo realizácii nového projektu alebo činnosti, ktorá súvisí so spracovaním osobných údajov, musíte náležite zohľadniť všetky zásady ochrany osobných údajov podľa týchto predpisov.

Vedúcemu oddelenia ochrany personálnych údajov ste povinný/-á poskytnúť súčinnosť pri pravidelných kontrolách projektov a činností, aby sa overilo, že všetky osobné údaje sú primerane chránené.

Užitočnou pomôckou na hodnotenie úrovne ochrany osobných údajov a súkromia je posúdenie vplyvu na ochranu údajov. Posúdením vplyvu na ochranu údajov sa vyhodnotí potreba a primeranosť spracovateľskej činnosti, ako aj nebezpečenstvo hroziace dotknutej osobe a možné opatrenia na zmiernenie tohto nebezpečenstva. Posúdenie vplyvu na ochranu údajov sa vykoná vtedy, ak je pravdepodobné, že spracovanie osobných údajov bude predstavovať vysoké nebezpečenstvo pre práva a slobody jednotlivca.

Ak sa zúčastňujete na návrhu alebo realizácii nového projektu, ktorý súvisí so spracovaním osobných údajov, musíte kontaktovať vedúceho oddelenia ochrany personálnych údajov a overiť, či je potrebné vykonať posúdenie vplyvu na ochranu údajov alebo podobné hodnotenie nebezpečenstva alebo dodržania požiadaviek. Vedúci vám tiež odporučí, akým spôsobom máte vykonať alebo prispieť k posúdeniu vplyvu na ochranu údajov.

Práva a požiadavky jednotlivcov

Podľa zákona o ochrane osobných údajov majú jednotlivci určité práva súvisiace s tým, ako sa majú spracovávať ich osobné údaje. Dotknuté osoby majú napríklad tieto práva:

• Právo požadovať prístup k osobným údajom týkajúcich sa dotknutej osoby. Dotknutá osoba má právo na to, aby získala kópiu osobných údajov, ktoré o nej vedieme, spolu s informáciami o tom, ako a na aký účel ich spracovávame, ako aj ďalšie práva, ktoré sú uvedené nižšie. To jej napríklad umožňuje, aby si overila, či jej údaje spracovávame zákonne a prípadne aby opravila nepresné údaje.
• Právo na opravu neúplných alebo nepresných osobných údajov, ktoré o dotknutej osobe vedieme.
• Právo odvolať súhlas, ktorý nám udelila.
• Právo požiadať o vymazanie osobných údajov osobných údajov, ktoré o dotknutej osobe vedieme, ak nemáme opodstatnený dôvod na ich ďalšie spracovávanie. Dotknuté osoby majú tiež právo požiadať o vymazanie alebo likvidáciu ich osobných údajov, ak si uplatnili svoje právo namietať spracúvanie osobných údajov (pozri nižšie).
• Právo namietať spracúvanie osobných údajov na priame marketingové účely alebo ak sa odvolávame na naše zákonné záujmy alebo záujmy tretích osôb, kde nemôžeme preukázať, či bol na ich ďalšie spracovanie dostatočný dôvod.
• Právo na obmedzenie spracúvania ich osobných údajov. Dotknuté osoby majú právo požiadať o odloženie spracovávania osobných údajov o nich, napríklad ak žiadajú o ich opravu alebo o uvedenie dôvodu na ich spracovanie.
• Právo požiadať o prevod osobných údajov na dotknutú osobu alebo na inú osobu v štruktúrovanom formáte; toto právo sa tiež označuje ako právo na „prenosnosť osobných údajov“. Uplatniteľnosť tohto práva závisí od právneho základu, na akom sa osobné údaje spracúvajú.
• Právo namietať rozhodnutie založené výlučne na profilovaní alebo automatizovanom spracovaní, právo na získanie ľudskej odpovede a vyjadrenie svojho osobného názoru.

Očakáva sa od nás, že tieto práva budeme plniť bez zbytočného odkladu a pri určitých právach v rámci časového rámca v dĺžke jedného mesiaca.

Dotknuté osoby majú tiež právo podať sťažnosť úradu ÚOOÚ, ak utrpeli škodu z dôvodu porušenia ich práv, a podať žalobu na súd a vymáhať svoje práva a uplatniť si právo na náhradu škody.

Prijatie žiadosti od zamestnanca.

Ak prijmete od dotknutej osoby žiadosť, ktorou si vymáha svoje práva v súvislosti s ochranou svojich osobných údajov alebo ktorou žiada alebo podáva sťažnosť na spôsob použitia jej osobných údajov, musíte túto žiadosť alebo sťažnosť okamžite zaslať vedúcemu oddelenia ochrany osobných údajov, aby mohla byť náležite a v príslušnej lehote spracovaná. Na odpoveď a riešenie danej žiadosti alebo sťažnosti môže byť potrebná vaša pomoc.

Vedenie záznamov

Spoločnosť vedie rôzne záznamy o svojich činnostiach v oblasti spracovania osobných údajov na účely plnenia svojich povinností, ako aj na účely preukázania, že si plní svoje povinnosti podľa zákona o ochrane osobných údajov. Medzi tieto záznamy patrí aj Záznam o spracovaní osobných údajov, ktorý musí obsahovať najmenej nasledujúce informácie: účel spracúvania osobných údajov, kategórie dotknutých osôb a spracúvaných osobných údajov, kategórie príjemcov poskytnutých údajov, informácie o medzinárodných prevodoch osobných údajov, predpokladanú dobu uchovávania osobných údajov, všeobecný popis uplatnených bezpečnostných opatrení a pri osobných údajoch osobitnej kategórie aj dodatočné informácie.

Pri svojej práci ste povinný/-á dodržiavať všetky naše príslušné postupy a smernice, ako aj osobitné pokyny týkajúce sa vedenia záznamov o spracovaní osobných údajov.

Ak počas svojho pracovného pomeru spracovávate osobné údaje dotknutých osôb a zhromažďujete nové typy osobných údajov alebo začínate vykonávať nové typy činností súvisiacich so spracúvaním osobných údajov, či už prostredníctvom novo zavedených alebo rozšírenia existujúcich systémov a technológií, informujte o tom vedúceho oddelenia ochrany osobných údajov, aby sme mali vždy aktuálne záznamy.

Školenia

Všetci naši zamestnanci sú povinní absolvovať základné školenie, aby si splnili svoje povinnosti podľa zákona o ochrane osobných údajov a týchto predpisov. V rámci špeciálnych pracovných úloh zahŕňajúcich používanie osobných údajov sa môže od zamestnancov požadovať, aby absolvovali aj dodatočné školenie.

V tomto smere poskytujeme úvodné školenie, ktoré je súčasťou zaškolenia nových zamestnancov spoločnosti, ako aj priebežné školiace programy, aby sme sa uistili, že zamestnanci vedia a chápu, čo je potrebné na to, aby sa plnili všetky aktuálne predpisy vzťahujúce sa na ich pracovné úlohy. Absolvovanie týchto školení je povinné a vedú sa o ňom záznamy.