Frequently asked questions

Ano, vaši klienti musí být při telefonickém hovoru informováni o účelu záznamu, příjemcích záznamů, o svém právu vznést námitku a o svém právu na přístup k záznamům.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Fyzické osoby mají právo požadovat výmaz osobních údajů, které se jich týkají, a v takovém případě má správce povinnost osobní údaje vymazat. Měli byste odpovědět bez zbytečného odkladu, nejpozději však do jednoho měsíce od obdržení žádosti. Tato lhůta může být prodloužena o další dva měsíce, pokud je žádost příliš složitá a k vyhovění žádosti je zapotřebí více času, pokud je o tom daná osoba informována do jednoho měsíce od obdržení žádosti.

Je důležité si uvědomit, že právo na výmaz není absolutní. Nevztahuje se na případy, kdy jsou dotyčné údaje nezbytné pro:

• výkon práva na svobodu projevu a informací (např. pro účely žurnalistiky);
• splnění právní povinnosti, která vyžaduje zpracování osobních údajů (např. zpracování záznamů o pracovní době zaměstnanců);
• důvody veřejného zájmu v oblasti veřejného zdraví
• účely archivace ve veřejném zájmu nebo pro účely vědeckého či historického výzkumu nebo pro statistické účely; a
• určení, výkon nebo obhajobu právních nároků.

Pokud byly osobní údaje, které mají být vymazány, dříve předány jiným organizacím, musíte tyto příjemce informovat o tom, že fyzická osoba požádala o výmaz, pokud se to neukáže jako nemožné nebo by to vyžadovalo nepřiměřené úsilí.

Více informací:

• Dodržování práv jednotlivců

V případě přímého shromažďování osobních údajů od dotčených fyzických osob musí organizace poskytnout informace o operacích zpracování stručným a transparentním způsobem za použití srozumitelného, snadno dostupného, jasného a jednoduchého jazyka. To lze provést písemně (např. na zadní straně nabídky) nebo elektronickými prostředky (např. na internetových stránkách). Pokud o to dotyčná osoba požádá, můžete tyto informace poskytnout také ústně, ale musí být schopna to později prokázat.

I když byly údaje shromážděny nepřímo, tj. pokud osobní údaje nejsou shromažďovány přímo od fyzické osoby, ale například prostřednictvím třetí strany, musí být fyzickým osobám poskytnuty stejné podrobné informace.

Platná smlouva mezi správcem a zpracovatelem osobních údajů je podle GDPR povinná. Protiprávnímu jednání může být uložena správní pokuta až do výše 10 milionů EUR nebo až do výše 2 % celkového ročního obratu společnosti, podle toho, která hodnota je vyšší.

Dánské a slovinské orgány pro ochranu údajů, jakož i Evropská komise vypracovaly vzorové dohody, které vám pomohou při uzavírání dohody mezi správcem a zpracovatelem.

Více informací:

• Správce nebo zpracovatel údajů

Měli byste odpovědět bez zbytečného odkladu, nejpozději však do jednoho měsíce od obdržení žádosti. Tato lhůta může být prodloužena o další dva měsíce, pokud je žádost příliš složitá a je zapotřebí více času na odpověď, za předpokladu, že je o tom daná osoba informována do jednoho měsíce od obdržení její žádosti.

Musíte to udělat zdarma.

Více informací:

• Respektování práv jednotlivců

Ne, zpracování citlivých údajů je obecně zakázáno. Možné to je jen s výjimkou a za velmi přísných omezení:

• Fyzická osoba udělila výslovný souhlas se zpracováním svých citlivých údajů.
• Zpracování citlivých údajů je nezbytné k tomu, aby správce údajů mohl plnit své povinnosti, zejména v souvislosti se zaměstnáním, sociálním zabezpečením a sociální ochranou. Může se například stát, že správce údajů bude muset zpracovávat citlivé údaje určité osoby, aby mohl určit, zda má tato osoba nárok na určité dávky sociálního zabezpečení nebo pracovní stipendium.
• Zpracování citlivých údajů je nezbytné pro ochranu životně důležitých zájmů osoby, která není fyzicky nebo právně způsobilá udělit souhlas. Například pokud je osoba ponechána v bezvědomí v důsledku nehody a vyžaduje okamžitou lékařskou péči, může být nutné zpracovat údaje o jejím zdravotním stavu, aby mohla být poskytnuta odpovídající lékařská péče.
• Zpracování citlivých údajů se provádí v souvislosti s legitimní činností nadace, sdružení nebo jiné neziskové organizace s politickým, filozofickým, náboženským nebo odborovým cílem a pouze pro zpracování osobních údajů jejich členů, bývalých členů nebo osob, které s nimi udržují pravidelný kontakt.
• Citlivé údaje byly zjevně zveřejněny jednotlivcem.
• Zpracování citlivých údajů je nezbytné v souvislosti se soudním řízením.
• Zpracování citlivých údajů je nezbytné pro záležitosti významného veřejného zájmu.
• Zpracování citlivých údajů je nezbytné v souvislosti s preventivním nebo pracovním lékařstvím. Například posouzení citlivých údajů jednotlivce, jako jsou jeho zdravotní údaje, může být nezbytné k určení jeho pracovní schopnosti jako zaměstnance.
• Zpracování citlivých údajů je nezbytné pro záležitosti veřejného zdraví na základě právních předpisů EU nebo vnitrostátních právních předpisů. Například zpracování citlivých údajů jednotlivců může být nezbytné pro zajištění vysoké kvality zdravotní péče a vysoké kvality zdravotnických výrobků nebo pro boj proti vážným zdravotním hrozbám, jako jsou viry.
• Zpracování citlivých údajů je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely. Zpracování citlivých údajů může být například nezbytné pro poskytnutí přesných statistik o situaci dané země v určité oblasti.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Fyzické osoby se vás mohou zeptat, zda jejich údaje zpracováváte a kde tomu tak je, mají právo na přístup k těmto údajům. Pokud se tak stane a pokud zpracováváte jejich údaje, měli byste například bezplatně poskytnout kopii jejich osobních údajů spolu s veškerými nezbytnými dodatečnými informacemi. Pokud je žádost podána elektronicky, měla by vaše organizace poskytnout požadované informace v běžně používaném elektronickém formátu, pokud jednotliví uživatelé nepožadují jinak.

Více informací:

• Dodržování práv jednotlivců

Zpracováním osobních údajů se rozumí jakýkoli druh činnosti (operace zpracování) prováděné na osobních údajích fyzických osob nebo s nimi. To zahrnuje shromažďování, zaznamenávání, organizování, strukturování, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, nahlížení, dotazování, používání, sdělování přenosem, šíření nebo jakékoli jiné zpřístupňování, srovnávání nebo kombinování, omezování, výmaz nebo ničení osobních údajů.

Obecné nařízení o ochraně osobních údajů se vztahuje na používání souborů cookie, pokud se používají ke zpracování osobních údajů, existují však také konkrétnější pravidla pro cookies soubory, včetně směrnice o soukromí a elektronických komunikacích.

Uložení cookie souboru nebo získání přístupu k již uloženému cookie souboru v koncovém zařízení uživatele je povoleno pouze za podmínky, že dotčený účastník nebo uživatel byl odpovídajícím způsobem informován (zejména o účelech zpracování) a udělil svůj souhlas.

Jedinou výjimkou jsou technicky nezbytné cookies. Organizace nemusí žádat o souhlas při používání technicky nezbytných cookies na svých webových stránkách.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Pseudonymizace spočívá v přeměně osobních údajů tak, aby bez použití dodatečných informací už nemohly být přiřazeny konkrétní fyzické osobě. Tyto dodatečné informace musejí být uchovávány odděleně a podléhají technickým a organizačním opatřením k zajištění toho, aby osobní údaje nebyly přiřazeny fyzické osobě. V praxi to může znamenat nahrazení osobních údajů (jméno, jméno, osobní číslo, telefonní číslo atd.) v souboru údajů nepřímo identifikujícími údaji (alias, pořadové číslo atd.). Pseudonymizované údaje jsou stále osobními údaji a vztahuje se na ně nařízení GDPR.

Anonymizované údaje jsou údaje, které byly anonymizovány takovým způsobem, že fyzická osoba není nebo už není identifikovatelná žádnými prostředky, u nichž je rozumně pravděpodobné, že budou použity. Pokud je anonymizace řádně provedena, nařízení GDPR se na anonymizované údaje už nevztahuje.

Více informací:

• Zabezpečení osobních údajů

Obecné nařízení o ochraně osobních údajů rozlišuje dvě hlavní úlohy: správce osobních údajů a zpracovatel osobních údajů. Toto rozlišení je zásadní, protože správce osobních údajů nese větší odpovědnost a musí plnit více povinností než zpracovatel osobních údajů.

Správci a zpracovateli údajů mohou být fyzické nebo právnické osoby, například: malý nebo střední podnik, orgán veřejné moci, společnost, organizace, státní orgán, sdružení, apod.

Správce osobních údajů určuje účely a prostředky operace zpracování. Správce  tedy rozhoduje o tom, jak a proč se operace zpracování osobních údajů provádí. Zpracovatelé osobních údajů zpracovávají osobní údaje jménem správce osobních údajů. Zpracování prováděné zpracovateli musí být upraveno smlouvou se správcem osobních údajů nebo jiným právním aktem.

Příklady správců osobních údajů:

• společnosti, které zpracovávají osobní údaje svých zákazníků za účelem dokončení prodeje
• finanční instituce, které zpracovávají osobní údaje svých klientů
• sdružení, která zpracovávají údaje svých členů
• školy nebo univerzity, které zpracovávají osobní údaje studentů a učitelů
• nemocnice, které zpracovávají osobní údaje svých pacientů
• státní orgány, které zpracovávají osobní údaje občanů
   

Příklady zpracovatelů údajů:

• malý nebo střední podnik si najme účetní službu k vedení svých účetních knih a záznamů, malý nebo střední podnik je správcem údajů a účetní služba zpracovatelem údajů
• mzdová společnost zpracovává osobní údaje pro malý nebo střední podnik - mzdová společnost bude jednat jako zpracovatel osobních údajů, pokud zpracovává osobní údaje výhradně jménem malého nebo středního podniku. (mzdová společnost tak určuje účely a prostředky zpracování osobních údajů, a je proto správcem osobních údajů)
• malý nebo střední podnik pověří marketingovou společnost shromažďováním e-mailových adres prostřednictvím internetových stránek třetích stran - marketingová společnost tak činí podle výslovných pokynů malého a středního podniku a výhradně pro jeho účely (marketingová společnost vystupuje u této sbírky jako zpracovatel osobních údajů)

Více informací:

• Správce nebo zpracovatel údajů

Některé typy osobních údajů patří do zvláštních kategorií osobních údajů, což znamená, že si zaslouží vyšší míru ochrany, (tzv. citlivé údaje). Tyto osobní údaje zahrnují údaje, které odhalují informace o:

• zdraví jednotlivce
• sexuální orientaci jednotlivce
• rasový nebo etnický původ jednotlivce
• politické názory, náboženské nebo filozofické přesvědčení jednotlivce, členství jednotlivce v odborových organizacích
• biometrické a genetické údaje jednotlivce

Zpracování údajů zvláštní kategorie fyzické osoby je obecně zakázáno, s výjimkou zvláštních okolností, které odůvodňují jejich zpracování.

Více informací:

• Základy ochrany údajů

Pověřenec pro ochranu osobních údajů může být stávající zaměstnanec s dostatečnou znalostí GDPR (pokud jsou jeho pracovní úkoly slučitelné s pracovními úkoly pověřence pro ochranu osobních údajů a nevede to ke střetu zájmů) nebo jím může být externí osoba. Pověřenec pro ochranu osobních údajů by měl být schopen plnit úkoly nezávisle, a měl by být schopen podávat zprávy přímo nejvyššímu vedení organizace.

Více informací:

• Pověřenec pro ochranu osobních údajů

Osobními údaji se rozumí veškeré informace týkající se identifikované nebo identifikovatelné fyzické osoby. Identifikovatelnou osobou je osoba, kterou lze přímo či nepřímo identifikovat. Osobními údaji jsou rovněž různé informace, které by mohly vést k identifikaci konkrétní osoby (subjektu údajů).

Příklady osobních údajů zahrnují:

• jméno a příjmení
• adresu bydliště
• e-mailovou adresu
• číslo průkazu totožnosti
• lokalizační údaje
• adresa internetového protokolu (IP);
• ID souboru cookie
• bankovní účty
• daňové výkazy
• biometrické údaje (např. otisk prstu)
• číslo sociálního zabezpečení
• číslo pasu
• výsledky zkoušek
• známky ve škole
• historie prohlížení
• fotografie jednotlivce
• registrační značka vozidla, apod.

Více informací:

• Základy ochrany údajů

1. Ujistěte se, že osobní údaje, které jste obdrželi, byly shromážděny zákonným způsobem, a že dotčené osoby (subjekty údajů) byly informovány o zpracování jejich osobních údajů.
2. V případě, že třetí strana zpracovává osobní údaje vaším jménem, ujistěte se, že máte smlouvu mezi správcem osobních údajů a zpracovatelem (oú), která podrobně popisuje operace zpracování a prostředky ke zpracování osobních údajů.

A samozřejmě dodržujte všechny povinnosti správců osobních údajů.

Více informací:

• Správce nebo zpracovatel údajů

Zveřejnění jmen vítězů soutěže na vašich internetových stránkách by mohlo být považováno za oprávněný zájem, pokud to můžete prokázat provedením testu vyváženosti s cílem určit, zda vaše oprávněné zájmy převažují nad právy jednotlivců.

Osvědčeným postupem by bylo zavedení interního postupu, v němž by byla vysvětlena pravidla pro zveřejňování osobních údajů vítězů.

Kromě toho by zpracování osobních údajů pro tyto účely mělo být součástí politiky ochrany soukromí výběrového řízení tak, aby účastníci informováni předem o tom, jak budou jejich údaje zpracovávány.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Nezbytná bezpečnostní opatření se mohou lišit v závislosti na povaze osobních údajů, které zpracováváte, a souvisejících rizicích pro jednotlivce. V každém případě existuje několik minimálních opatření, která byste měli zavést:

• zabezpečený přístup do prostor organizace
• používat pravidelně aktualizovaný antivirový software
• pečlivě vybírat hesla
• zajistit, aby byli uživatelé před použitím počítačového vybavení ověřeni
• mít zavedeny zásady zálohování a vyhledávání údajů pro případě incidentu.

Kromě toho některá základní opatření, jako je zamykání obrazovky, když jste pryč a zamykání kanceláře na konci dne, nejsou nikdy na místě...

Více informací:

• Zabezpečení osobních údajů

Ano, můžete, ale GDPR ukládá určité povinnosti podnikům, které sdílejí osobní údaje. Vaše organizace musí informovat fyzické osoby (subjekty údajů), že jejich údaje budete sdílet s třetí stranou. Musíte je také informovat o vašich účelech zpracování, zabezpečení, přístupu a o opatřeních pro uchovávání, která zavedete.

Jmenování pověřence pro ochranu osobních údajů je povinné v těchto třech případech:

• organizace je orgánem veřejné moci
• hlavní činnosti organizace spočívají v pravidelném a systematickém sledování jednotlivců ve velkém měřítku, například geolokace prostřednictvím mobilní aplikace nebo sledování nákupních center a veřejných prostor prostřednictvím kamerového systému
• hlavní činnosti organizace spočívají v rozsáhlém zpracování citlivých údajů nebo osobních údajů týkajících se rozsudků v trestních věcech a trestných činů.

Pověřence pro ochranu osobních údajů lze vždy jmenovat dobrovolně, i když to není vyžadováno zákonem. Vezměte prosím na vědomí, že v takovém případě musíte dodržovat všechna ustanovení GDPR týkající se úkolů a postavení pověřence pro ochranu osobních údajů.

Více informací:

• Pověřenec pro ochranu osobních údajů

Ne, není nutné zveřejňovat záznam o zpracování osobních údajů. Musíte mít však  možnost na požádání zpřístupnit orgánu pro ochranu osobních údajů.

Více informací:

• Soulad