PRAVIDLA OCHRANY OSOBNÍCH ÚDAJŮ
1. ÚVODNÍ USTANOVENÍ
Tento vnitřní předpis, v souladu s nařízením Evropského parlamentu a Rady 2016/679/EU o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů), upravuje způsoby nakládání s osobními údaji při jejich zpracování a používání v případech, kdy správcem osobních údajů je společnost ATRIS investiční společnost, a.s. (dále již jen „Společnost“).
2. PŮSOBNOST SMĚRNICE
Tento vnitřní předpis je závazný pro všechny osoby v zaměstnaneckém či obdobném poměru ke Společnosti a upravuje nakládání s osobními údaji.
3. VYMEZENÍ ZÁKLADNÍCH POJMŮ
3.1. OSOBNÍ ÚDAJ
Veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.
3.2. ZVLÁŠTNÍ KATEGORIE OSOBNÍCH ÚDAJŮ
Genetické údaje, což jsou osobní údaje týkající se zděděných nebo získaných genetických znaků fyzické osoby, které poskytují jedinečné informace o její fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku dotčené fyzické osoby. Biometrické údaje, což jsou údaje vyplývající z konkrétního technického zpracování týkající se fyzických či fyziologických znaků nebo znaků chování fyzické osoby, které umožňuje nebo potvrzuje jedinečnou identifikaci, například zobrazení obličeje nebo daktyloskopické údaje. Údaje o zdravotním stavu, jsou osobní údaje týkající se tělesného nebo duševního zdraví fyzické osoby, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jejím zdravotním stavu. Osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení, členství v odborech, o sexuálním životě nebo sexuální orientaci fyzické osoby.
3.3. ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
Zpracováním osobních údajů je jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.
3.4. SPRÁVCE
Správcem je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení.
3.5. ZPRACOVATEL
Zpracovatelem je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce.
3.6. SOUHLAS
Souhlasem subjektu údajů je jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.
4. ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
Společnost zpracovává osobní údaje subjektů údajů . Seznam činností obsahující osobní údaje je přílohou č.1 této směrnice. Seznam obsahuje popis činností včetně odkazu na příslušný právní předpis, při nichž dochází ke zpracování osobních údajů a používaný software aplikace pro jejich automatizaci.
Osobní údaje lze zpracovávat a uchovávat za předpokladu, že:
a) Zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje.
b) Zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů.
c) Zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby.
d) Zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce.
e) Subjekt údajů udělil souhlas se zpracováním.
Shromažďování osobních údajů může být vykonáváno pouze za účelem, pro který jsou zpracovávány. Každý zaměstnanec, který pracuje s osobními údaji, je povinen zpracovávat pouze přesné osobní údaje, které získal v souladu s obecným nařízením o ochraně osobních údajů. Pokud zjistí, že zpracovávané osobní údaje nejsou s ohledem na stanovený účel přesné, provede bez zbytečného odkladu přiměřená opatření, zejména zpracování blokuje a osobní údaj opraví nebo doplní anebo zlikviduje v souladu se zvláštním vnitřním předpisem Společnosti, upravujícím pravidla nakládání s daty a dokumenty. Při použití osobních údajů v rámci plnění pracovních úkolů jsou zaměstnanci povinni se chovat tak, aby nedošlo k porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů (způsob zabezpečení osobních údajů obsahuje čl. 32 obecného nařízení o ochraně osobních údajů). Za ochranu dat a osobních údajů odpovídá každý zaměstnanec, který data a osobní údaje zpracovává. Za jejich ochranu odpovídá též přímý nadřízený těmto zaměstnancům. Ten je povinen provádět kontrolní činnost a při ní ověřovat, zda s osobními údaji je nakládáno podle obecného nařízení o ochraně osobních údajů a tohoto vnitřního předpisu.
5. DOBA ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ
Zpracování osobních údajů může být vykonáváno jen po nezbytně nutnou dobu. Pomine-li účel, pro který byly osobní údaje zpracovávány, zpracování musí být ukončeno.
Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely archivace, vědeckého či historického výzkumu a statistické.
6. ZÍSKÁVÁNÍ OSOBNÍCH ÚDAJŮ
Nestanoví-li Obecné nařízení o ochraně osobních údajů nebo zvláštní zákon jinak, mohou být osobní údaje zpracovávány pouze s výslovným souhlasem subjektu údajů. V tomto případě musí být subjekt údajů srozuměn s tím, jaké osobní údaje, za jakým účelem a na jak dlouhou dobu jsou poskytovány. Souhlas subjektu údajů musí být správce schopen prokázat po celou dobu zpracování.
Subjekt údajů musí být seznámen s tím, že má právo na:
a) přístup k osobním údajům
b) výmaz
c) opravu, resp. doplnění
d) právo na omezení zpracování
e) právo na přenositelnost údajů
f) právo vznést námitku
g) právo nebýt předmětem automatizovaného individuálního rozhodování s právními či obdobnými účinky, zahrnujíce i profilování Pokud jsou osobní údaje získávány prostřednictvím formulářů, musí každý formulář obsahovat doložku. V textu doložky musí být informace o účelu, za jakým jsou osobní údaje získávány, jakým způsobem budou využívány a prohlášení o tom, že získané osobní údaje nebudou využívány k jiným účelům. Další součástí doložky bude souhlas se zpracováním osobních údajů a seznámení s právy subjektu údajů. Souhlas musí být podepsán subjektem údajů.
7. ZPRACOVÁNÍ POMOCÍ ZPRACOVATELE
Pokud není možné, aby zpracování osobních údajů bylo prováděno přímo Společností, může být prováděno prostřednictvím zpracovatele (v případě Společnosti pověřenou třetí osobou).
V takovém případě Společnost uzavře se zpracovatelem písemnou smlouvu o zpracování osobních údajů obsahující ustanovení, za jakým účelem a na jakou dobu je uzavírána, popis technického a organizačního zabezpečení ochrany osobních údajů vč. dodržení povinností dle čl. 32 obecného nařízení o ochraně osobních údajů.
Smlouvu po schválení podepisuje představenstvo Společnosti v souladu se zvláštním vnitřním předpisem Společnosti.
8. PŘÍSTUP SUBJEKTU ÚDAJŮ K INFORMACÍM
Společnost vydává na žádost subjektu údajů informace, zda osobní údaje, které se ho týkají, jsou nebo nejsou zpracovávány.
Pokud zpracovávány jsou má subjekt údajů k následujícím informacím:
a) účely zpracování
b) kategorie dotčených osobních údajů
c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích
d) plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li je možné určit, kritéria použitá ke stanovení této doby
Lhůta k vyřízení žádosti subjektu údajů je jeden měsíc od obdržení žádosti. Lhůtu lze ve výjimečných případech
prodloužit o dva měsíce, o čemž musí být subjekt údajů ze strany správce informován, včetně důvodů prodloužení.
Informace se subjektům údajů poskytují písemně a bezplatně.
9. OSOBNÍ ÚDAJE V LISTINNÉ PODOBĚ
Dokumenty s osobními údaji v listinné podobě podléhají režimu zvláštního vnitřního předpisu Společnosti, upravujícího spisový a skartační řád. Při práci s nimi musí zaměstnanci společnosti dbát zvýšené opatrnosti.
K dokumentům mají přístup jen ti zaměstnanci, kteří přístup k těmto dokumentům nezbytně potřebují k výkonu svých pracovních činností.
Dokumenty musí být zabezpečeny proti odcizení a prohlížení nepovolanými osobami.
10. ZABEZPEČENÍ INFORMAČNÍHO SYSTÉMU
Základním předpokladem ochrany osobních údajů je zásada, že k osobním údajům mají přístup jen zaměstnanci disponující příslušným oprávněním.
Nastavení přístupových práv včetně jejich úrovně provádí oddělení Správa IT.
Pokud aplikace umožňuje pořizování elektronických záznamů o přístupech k osobním údajům (kdo, kdy, za jakým účelem) musí být taková funkce v běžném provozu aktivní.
Bude-li plánovat Společnost pořízení software, který bude zpracovávat osobní údaje musí být v akvizičních podmínkách požadavek na funkci umožňující pořizování elektronických záznamů o přístupech k osobním údajům – auditní záznam.
Auditní záznam obsahuje informaci o uskutečněném vyhledání informací obsahující osobní údaje a identifikaci uživatele.
Uchovávání datových nosičů obsahující osobní údaje definuje zvláštní vnitřní předpis Společnosti Řád správy informačních a komunikačních technologií. Výjimkou jsou datové nosiče, které jsou součástí spisového archivu. Tyto pak podléhají režimu zvláštního vnitřního předpisu Společnosti Spisový a skartační řád.
Uchovávání datových nosičů obsahující osobní údaje, které již nebudou využívány, není dovoleno. Takové nosiče budou předávány pověřenci pro ochranu osobních údajů uvedeného ve zvláštním vnitřním předpise společnosti, který zajistí jejich likvidaci (např. Zpracovatel je rovněž oprávněn vytvářet kopie datových nosičů s osobními údaji).
Novému zaměstnanci je vytvořen přístup do IS na základě žádosti dle zvláštního vnitřního předpisu Společnosti Řád správy informačních a komunikačních technologií. Poté provede nastavení přístupových práv k aplikacím obsahujícím osobní údaje.
Při ukončení pracovního poměru zaměstnance je pak na základě sdělení vedoucího pracovníka příslušného organizačního útvaru zrušen přístup uživatele k IS a deaktivovány všechny jeho uživatelské účty (viz. zvláštní vnitřní předpis Společnosti Řád správy informačních a komunikačních technologií).
11. PŘÍSTUP DO EVIDENCE ZÁKAZNÍKŮ
Zaměstnanci společnosti, kteří disponují právem přístupu do evidence zákazníků, mohou do evidence zákazníků nahlížet jen v odůvodněných případech při plnění svých pracovních povinností např. zjištění adresy nebo ověření místa trvalého pobytu.
Vkládání a opravy údajů v evidenci zákazníků mohou pouze pověření pracovníci Společnosti.
Zaměstnanec v žádném případě nesmí pořizovat opisy osobních údajů ani vytvářet seznamy obyvatel, které by osobní údaje obsahovaly.
Zaměstnanci jsou rovněž povinni zachovávat mlčenlivost o osobních údajích, k nimž mají tímto způsobem přístup.
12. PŘEDÁVÁNÍ OSOBNÍCH ÚDAJŮ
Předávání osobních údajů dalším stranám (mimo Společnost) je možné jen tehdy, je-li umožněno účinným právním předpisem.
V ostatních případech předání osobních údajů platí následující ustanovení.
O každém takovém předání musí být vyhotoven předávací protokol, který je podepsán osobou předávající, tak osobou přejímající.
Obsahem protokolu jsou všechny důležité okolnosti předání – účel, legislativní opora, popis předávaných dat (rozsah, formát, nosič) a způsob předání. Vzor protokolu o předání osobních údajů je přílohou č. 2 tohoto vnitřního předpisu.
Za předávání osobních údajů je zodpovědný pověřenec pro ochranu osobních údajů.
S předávacími protokoly je nakládáno dle zvláštního vnitřního předpisu Společnosti Spisový a skartační řád.
Předávání spisů s osobními údaji v případě déletrvající nepřítomnosti zaměstnance je v rámci běžného zastupování. Při předávání seznamu činností je třeba brát na vědomí ustanovení dle článku č. 9 tohoto vnitřního předpisu.
13. KONTROLNÍ ČINNOST
Společnost prostřednictvím pověřence pro ochranu osobních údajů provádí namátkovou kontrolu, zda zaměstnanci Společnosti mají v rámci IS přístup jen k takovým evidencím s osobními údaji, ke kterým mají oprávnění. Pověřenec pro ochranu osobních údajů dále monitoruje soulad s obecným nařízením o ochraně osobních údajů, za tímto účelem sbírá informace o zpracování a identifikuje procesy zpracování, analyzuje je a ověřuje jejich soulad. Pověřenec pro ochranu osobních údajů je kontaktním místem pro styk s dozorovým úřadem. O průběhu a výsledku kontroly provedené pověřencem pro ochranu osobních údajů je proveden zápis. Za odstranění zjištěných nedostatků zodpovídá představenstvo Společnosti.
14. MLČENLIVOST
Zaměstnanci, kteří zpracovávají osobní údaje nebo k nim mají přístup, jsou povinni zachovávat mlčenlivost jak o těchto osobních údajích, tak o všech technickoorganizačních opatřeních na jejich ochranu. Tato povinnost trvá i po skončení pracovního poměru zaměstnance.
15. LIKVIDACE OSOBNÍCH ÚDAJŮ
Pomine-li účel, pro který byly osobní údaje zpracovávány, je nutné provést jejich likvidaci. Zvláštní zákon stanoví výjimky týkající se uchovávání osobních údajů pro účely archivnictví a uplatňování práv v občanském řízení soudním, trestním řízení a správním řízení. S ohledem na činnost Společnosti jako obhospodařovatele a administrátora investičních fondů je třeba zohlednit rovněž zvláštní zákony v oblasti finančního trhu a zvláštní vnitřní předpisy Společnosti.
Data uchovávaná na datových nosičích jsou po uplynutí archivační doby likvidována postupem dle zvláštního vnitřního předpisu Společnosti.
Data z přepisovatelných datových nosičů jsou vymazána, nosiče, u kterých tuto operaci nelze provést jsou zlikvidovány fyzicky tak, aby nebyla možná jejich rekonstrukce.
Likvidace (skartace) se provádí dle zvláštního vnitřního předpisu Společnosti Spisový a skartační řád. O každé likvidaci osobních údajů je proveden zápis, který je podepsán. Zápisy o provedené likvidaci jsou ukládány.
16. ZÁVĚREČNÁ USTANOVENÍ
Tento vnitřní předpis může být aktualizován představenstvem Společnosti.
Tento vnitřní předpis je uložen v sídle Společnosti.
