Společnost AW TOOLS INTERNATIONAL s.r.o. (dále jen AWT) považuje ochranu soukromí svých klientů, pacientů, spolupracovníků, jejich rodinných příslušníků i návštěvníků za prvořadou povinnost. S osobními údaji nakládáme v souladu s platnou legislativou České republiky a Evropské unie, zejména s Nařízením Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů, nebo předpisy, které je nahradí.
Cílem tohoto dokumentu je poskytnout informace o tom, jaké osobní údaje AWT shromažďuje, jak s nimi nakládá, z jakých zdrojů je získává, k jakým účelům je využívá, komu je dále může poskytnout, kde lze získat informace o vašich osobních údajích a jaká jsou vaše práva v souvislosti se zpracováním vašich osobních údajů.
Pro zjednodušení je v tomto dokumentu používán pojem klient jako zastřešující označení pro subjekt údajů, tedy fyzickou osobu, k níž se osobní údaje vztahují.
Zásady zpracování osobních údajů
1. Právní tituly pro zpracování osobních údajů
AWT zpracovává osobní údaje zpravidla na základě následujících právních titulů:
- Plnění zákonných povinností (např. zdravotní a sociální předpisy).
- Souhlas klienta: V ostatních případech zpracovává AWT osobní údaje výhradně se souhlasem klienta. Poskytnutí souhlasu je vždy dobrovolné a klient jej může kdykoli odvolat. Poskytnutí souhlasu může být podmínkou pro některé činnosti, které nejsou základními činnostmi AWT.
2. Rozsah a účel zpracování osobních údajů
AWT zpracovává pouze ty osobní údaje, které nezbytně potřebuje pro daný účel. V souladu se zásadou minimalizace dat je naším záměrem zpracovávat pouze nezbytně nutné údaje a jejich uchovávání je nastaveno tak, aby byly ponechány po nezbytně nutnou dobu k zajištění zájmů subjektu údajů nebo ochrany jeho práv či práv na ochranu zájmů AWT.
3. Doba uchovávání osobních údajů
AWT uchovává osobní údaje vždy nejméně po dobu, po kterou jí to stanoví obecně závazné právní předpisy, nebo z důvodu ochrany svých práv či práv na ochranu zájmů AWT. Z důvodu ochrany práv a oprávněných zájmů AWT nebo z důvodu ochrany ekonomických zájmů AWT (např. vykazování daňového plnění) mohou být pro některé druhy osobních údajů stanoveny lhůty pro uchovávání delší.
Osobní údaje zpracovávané na základě souhlasu subjektu údajů jsou zpracovávány po dobu, na kterou je souhlas udělen, resp. do okamžiku, než subjekt údajů svůj souhlas odvolá.
Jakmile daná doba uchování uplyne nebo pozbyly důvody uchování, jsou osobní údaje vymazány, resp. anonymizovány.
4. Zabezpečení osobních údajů
Veškeré osobní údaje, a především citlivé údaje (v papírové i elektronické podobě), jsou pod stálou fyzickou, elektronickou i procedurální kontrolou.
Poskytování osobních údajů třetím stranám
AWT může poskytnout osobní údaje dalším subjektům pouze v případech, kdy je to nezbytné pro ochranu práv AWT, nebo na základě zákonných povinností.
1. Státním orgánům a Policii ČR
Poskytnutí údajů Policii ČR je možné pro účely zahájeného pátrání po konkrétní hledané nebo pohřešované osobě (§ 68 a § 71 zákona č. 273/2008 Sb.).
2. Exekutorům
Údaje o majetku či číslech účtů povinného mohou být poskytnuty exekutorovi (§ 33 zákona č. 120/2001 Sb.).
3. Zdravotní pojišťovně
Poskytnutí údajů zdravotní pojišťovně je možné v souladu s příslušnými zákony.
4. Dalším subjektům
Pokud je to nezbytné pro ochranu práv AWT, např. pojišťovnám nebo soudu při uplatnění nároku na náhradu škody. Rozsah poskytnutých osobních údajů je omezen na údaje nezbytné pro úspěšné uplatnění nároku nebo obranu zájmů AWT.
5. Zpracovatelům
Specializovaným externím subjektům (zpracovatelům), které pro AWT provádějí zpracování na základě smlouvy. Zpracovatel musí vždy poskytnout záruky o technickém a organizačním zabezpečení předávaných osobních údajů.
Přenos osobních údajů do třetích zemí
V rámci Evropského hospodářského prostoru (EHP) platí režim volného pohybu osobních údajů a pro jejich zpracování se uplatní stejná pravidla jako v České republice. V některých případech mohou smluvní partneři AWT zpracovávat osobní údaje ve třetích zemích (mimo EHP), ovšem vždy při dodržení veškerých legislativních požadavků. Pokud dochází ke zpracování osobních údajů v USA, požaduje AWT vždy splnění požadavků v rámci tzv. programu Privacy Shield nebo obdobnou záruku vysoké ochrany osobních údajů.
Práva subjektů údajů
Níže uvedená práva se týkají případů, kdy jsou osobní údaje zpracovávány na základě souhlasu subjektu údajů. Pokud je získávání nebo zpřístupnění osobních údajů výslovně stanoveno obecně závazným právním předpisem, není AWT povinna poskytovat informace dle následujících odstavců.
1. Právo na přístup k osobním údajům
Klient má právo získat potvrzení, zda jsou jeho osobní údaje zpracovávány, a pokud ano, má právo na přístup k těmto údajům a k informacím o jejich zpracování.
2. Právo na opravu
Pokud klient zjistí, že osobní údaje, které o něm AWT zpracovává, jsou nepřesné či jinak neodpovídají skutečnosti, má právo požádat AWT o nápravu.
3. Právo na výmaz
Klient má právo žádat, aby AWT vymazala osobní údaje, které o něm zpracovává.
4. Právo na omezení zpracování
Klient má právo požádat o omezení zpracování svých osobních údajů.
5. Právo na přenositelnost údajů
Předmětem práva na přenositelnost údajů jsou pouze ty osobní údaje, které AWT zpracovává na základě souhlasu klienta a/nebo plnění smlouvy. AWT tyto údaje na žádost poskytne ve strukturované podobě.
6. Právo vznést námitku
Klient má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se ho týkají a jsou zpracovávány na základě veřejného zájmu nebo oprávněného zájmu AWT, včetně profilování. AWT nebude osobní údaje dále zpracovávat, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.
GDPR - Obecná definice a principy
Obecné nařízení na ochranu osobních údajů neboli GDPR (General Data Protection Regulation) je soubor pravidel na ochranu dat, který se dotýká každého, kdo shromažďuje nebo zpracovává osobní údaje Evropanů. Zasáhne firmy, instituce i jednotlivce, kteří zacházejí s osobními údaji zaměstnanců, zákazníků, klientů či dodavatelů.
Cíle GDPR
- Chránit digitální práva občanů EU.
- Zavést nová pravidla pro správce i zpracovatele osobních údajů, včetně prokazatelného doložení souladu s principy GDPR.
- Posílit práva subjektů údajů, umožnit jim například vznést námitku proti zpracování nebo právo na přenositelnost osobních údajů.
Osobní údaj
Osobní údaje jsou veškeré informace vztahující se k identifikované či identifikovatelné fyzické osobě. Mezi obecné osobní údaje řadíme jméno, pohlaví, věk, datum narození, osobní stav, IP adresu a fotografický záznam.
Do kategorie citlivých údajů nařízení nově zahrnuje genetické, biometrické údaje a osobní údaje dětí. Zpracování citlivých osobních údajů podléhá mnohem přísnějšímu režimu.
Zpracovatel a správce dat
Správce údajů je subjekt, který určuje účely a prostředky zpracování osobních údajů. Zpracovatel provádí zpracování jménem správce.
Nařízení zavádí princip zodpovědnosti, který spočívá v povinnosti správců a zpracovatelů údajů zavést technická, organizační a procesní opatření za účelem prokázání souladu s principy GDPR.
Data Protection Officer (DPO)
Pověřenec pro ochranu osobních údajů (DPO) je osoba, jejímž hlavním úkolem je monitorování souladu zpracování osobních údajů s povinnostmi vyplývajícími z nařízení, provádění interních auditů a školení pracovníků.
Povinnost jmenovat DPO nastává ve třech případech, týkajících se zpracování rozsáhlého monitorování občanů nebo rozsáhlého zpracování zvláštních kategorií údajů.
Sankce
V případě porušení pravidel GDPR hrozí povinným subjektům vysoké pokuty, které mohou dosáhnout až 20 000 000 eur nebo 4 % z celkového ročního obratu společnosti.
Případová studie: Biometrické podpisy a bankovnictví
V souvislosti s poskytováním úvěrů se objevila otázka zpracování biometrických podpisů klientů. Biometrický podpis je osobní údaj vyplývající z technického zpracování fyzických či fyziologických znaků, které umožňuje jedinečnou identifikaci. Jedná se například o rychlost a tlak pohybu pera při elektronickém podpisu.
Argumentace banky
Banka argumentovala, že zpracování biometrického podpisu je nezbytné pro uzavření a uchování smluvní dokumentace a zjednodušení tohoto procesu, přičemž klienti dali k tomuto zpracování svůj souhlas.
Stanovisko správního orgánu
Správní orgán (ÚOOÚ) dospěl k závěru, že zpracování biometrického podpisu není nezbytné pro dané účely, neboť v případě uzavírání smluv v listinné podobě není vyžadován. Stejně tak prostý obraz podpisu na dematerializované smluvní dokumentaci je považován za dostatečný. Správní orgán zdůraznil, že správce osobních údajů by si měl být vědom všech zpracovávaných údajů, což v tomto případě nebylo.
Bylo konstatováno, že došlo k porušení zásady minimalizace údajů, jelikož byly shromažďovány a uchovávány biometrické podpisy klientů, které nebyly nezbytně nutné.
Sankce
Sankce byla stanovena s přihlédnutím k vysokému počtu dotčených subjektů údajů a protiprávnímu zpracování zvláštní kategorie osobních údajů. Jako skutečnost snižující závažnost bylo hodnoceno, že nedošlo k dalšímu nakládání s biometrickými údaji, které by zvyšovalo riziko jejich zneužití.
Případová studie: Důchodové zabezpečení a evidence
V jednom z případů se řešila problematika výpočtu starobního důchodu na základě údajů z evidenčního listu důchodového zabezpečení (ELDZ). V ELDZ za roky 1984-1989 nebyl zcela čitelný datum vyhotovení, což komplikovalo přesný výpočet.
Problém s údaji v ELDZ
Krajský soud dospěl k závěru o nedůvodnosti žaloby s odůvodněním, že žalovaná (Česká správa sociálního zabezpečení) není oprávněna k žádné změně údajů v ELDP. Žalobce měl možnost obrátit se na nástupnickou organizaci svého tehdejšího zaměstnavatele s žádostí o vyhotovení opravného evidenčního listu.
Názor Nejvyššího správního soudu
Nejvyšší správní soud shledal kasační stížnost důvodnou. Zdůraznil, že orgány sociálního zabezpečení nejsou pouhými pasivními příjemci údajů, ale aktivními subjekty vedoucími řízení. V daném případě stěžovatel unesl své břemeno důkazní tím, že dostatečným způsobem zpochybnil údaj ELDP. Jelikož výši příjmů ve sporném období nebylo objektivně možné zjistit, bylo navrženo vyloučení této doby z rozhodného příjmu.
Byly projednány také otázky týkající se rozhodného období pro stanovení osobního vyměřovacího základu a vyloučených dob podle zákona č. 155/1995 Sb., s ohledem na přechodná období a možné legislativní opomenutí.
Případová studie: Správní vyhoštění a pobyt cizinců
V dalším případě se řešila žaloba proti rozhodnutí o správním vyhoštění cizince. Správní orgány dovodily počátek nelegálního pobytu z nálezu jízdenky pro městskou hromadnou dopravu, aniž by kriticky přezkoumaly tvrzení žalobce o datu vstupu do země.
Argumentace žalobce
Žalobce tvrdil, že správní orgány nekriticky přezkoumaly jeho tvrzení o datu vstupu a nevyčerpaly všechny možnosti dokazování, nevyslechly svědky ani neopatřily další dokumentaci.
Stanovisko soudu
Soud sdílel přesvědčení žalované, že by cizinec, který údajně bydlí v Polsku, jen stěží držel měsíční kupóny pražské hromadné dopravy, které na sebe časově navazovaly. Tímto bylo zpochybněno tvrzení žalobce o datu vstupu do ČR. Soud rovněž konstatoval, že tvrzení žalobce o tom, že do České republiky naposledy vstoupil až dne 10. 9. 2023, bylo nevěrohodné.
Dále bylo posouzeno, že činnost žalobce nebyla občanskou výpomocí, ale jednalo se o "zaškolování" ve vztahu podřízenosti, což naplňuje definici zaměstnání bez povolení.
