SMĚRNICE PRO OCHRANU OSOBNÍCH ÚDAJŮ

Transkript

1 Základní škola T.G. Masaryka a Mateřská škola Písek, Čelakovského 24 SMĚRNICE PRO OCHRANU OSOBNÍCH ÚDAJŮ Vypracoval: Schválil: Mgr. Jiří Kothánek, ředitel školy Mgr. Jiří Kothánek, ředitel školy Směrnice nabývá platnosti dne: Směrnice nabývá účinnosti dne: Změny ve směrnici jsou prováděny formou číslovaných písemných dodatků, které tvoří součást tohoto předpisu. 1. Působnost a zásady směrnice 1.1. Tato směrnice je závazná pro všechny zaměstnance Základní školy T.G. Masaryka a Mateřské školy Písek, Čelakovského 24 (dále jen škola nebo Správce ), kteří se v rámci plnění svých úkolů dostanou do kontaktu s osobními údaji subjektů údajů. Kontrolu dodržování směrnice zabezpečují vedoucí zaměstnanci školy v rámci svých pravomocí daných organizačním řádem školy, pracovními náplněmi a dalšími vnitřními předpisy školy Tato směrnice upravuje postupy zaměstnanců školy, případně dalších osob, při nakládání s osobními údaji, pravidla pro získávání, shromažďování, ukládání, použití, šíření a uchovávání osobních údajů Tato směrnice je závazná i pro další osoby, které mají se školou jiný právní vztah (např. smlouva o dílo, nájemní smlouva) a které se zavázaly postupovat podle této směrnice. 2. Vymezení pojmů 2.1. Pro účely této směrnice se níže uvedenými pojmy rozumí: GDPR: General Data Protection Regulation (NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) Osobní údaj: veškeré informace o fyzické osobě (např. jméno, adresa, datum narození, rodné číslo ) na základě kterých lze tuto osobu identifikovat Zvláštní kategorie údajů: osobní údaj takového charakteru, že může subjekt údajů sám o sobě poškodit ve společnosti, v zaměstnání, ve škole, nebo může zapříčinit jeho diskriminaci. Jde o údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj 1

2 subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů Zpracování osobních údajů: jakákoliv operace s osobními údaji, jako je shromáždění, zaznamenání, uložení, pozměnění, nahlédnutí, použití, šíření, omezení, výmaz apod Správce: právnická nebo fyzická osoba (v tomto případě škola), která určuje účely a prostředky zpracování osobních údajů Zpracovatel: fyzická nebo právnická osoba, nebo subjekt, který zpracovává osobní údaje pro Správce Subjekt údajů: fyzická osoba, k níž se osobní údaje vztahují Pověřenec pro ochranu osobních údajů: osoba, která posuzuje činnost Správce či zpracovatele, zda je v souladu s platnou právní úpravou, informuje je, radí, dává doporučení Vedoucí zaměstnanec: zástupci ředitele, vedoucí vychovatelka, vedoucí učitelky MŠ, ekonom, vedoucí školní kuchyně. 3. Zákonnost, korektnost, transparentnost zpracování osobních údajů 3.1. Jakékoli osobní údaje jsou zpracovávány zákonným způsobem, tedy buď na základě zákona (právního předpisu), nebo se souhlasem subjektu údajů, jehož údaje se zpracovávají a z dalších právních důvodů Správce zajišťuje průběžnou kontrolu, zda nedochází ke zpracování osobních údajů nad rámec stanovený právním předpisem, zda údaje, které Správce získává, jsou pro jeho činnost nezbytné; zda všechny údaje jsou zpracovávány v souladu s právními předpisy. Údaje jsou poskytovány stručným, srozumitelným a snadno přístupným způsobem, za použití jednoznačných a jednoduchých jazykových prostředků Správce s osobními údaji nakládá uvážlivě, souhlas se zpracováním osobních údajů nenadužívá Správce dbát na to, aby osobní údaje byly pravdivé a přesné, při uzavírání smluv a právním jednání postupuje se zřetelem na povinnost chránit osobní údaje před zneužitím. Poskytuje při zpracování osobních údajů zvláštní ochranu dětem Subjekty údajů, jejichž osobní údaje jsou Správcem zpracovávány, jsou informovány prokazatelným způsobem: o rozsahu a účelu zpracovávaných údajů, zda jde o zpracovávání pro splnění právní povinnosti, nebo o zpracování na základě poskytnutého souhlasu, o důvodech a lhůtách uložení informací, o možnostech subjektu údajů při odvolání souhlasu, obracet se na zpracovatele dat, na možnosti námitek, na právo požadovat omezení zpracování dat jejich opravu či výmaz Pokud je pro zpracování osobních údajů nezbytný souhlas subjektu údajů, pak musí být informovaný, konkrétní, svobodný a jednoznačný. Zpracování osobních údajů je možné provádět až po získání souhlasu. Souhlas se uchovává po celou dobu zpracování údajů. 4. Účelové omezení zpracování osobních údajů 4.1. Osobní údaje jsou shromažďovány pouze pro určité, výslovně vyjádřené a legitimní účely. Údaje shromážděné pro různé účely nelze spojovat, musí být evidovány a zpracovány odděleně. 2

3 4.2. Rozsah zpracovávaných informaci je dán: platnými právními předpisy, platnými smlouvami, veřejným zájmem, výkonem veřejné moci, oprávněným zájmem Správce, zpracováním nezbytným pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby, zvláštními účely, které vyplynou z provozu Správce. Při těchto účelech jsou informace od subjektů údajů zpracovávány výhradně na základě poskytnutého souhlasu Rozsah osobních údajů zpracovávaných o dětech/žácích je dán požadavky právních předpisů, tzn. související s jednoznačnou identifikací dítěte/žáka (datum narození, místo narození, rodné číslo, státní příslušnost, bydliště, údaj o zákonném zástupci, soudní rozhodnutí vztahující se k přidělení dítěte do výchovy, nutný zdravotní údaj apod.) Rozsah osobních údajů zpracovávaných o zákonných zástupcích dětí/žáků a dalších osobách je dán požadavky právních předpisů, tzn. souvisejí s jednoznačnou identifikací zákonných zástupců dětí/žáků (jméno, příjmení, bydliště, kontakt, např. telefonní číslo pro případ nutného kontaktu školy se zákonným zástupcem v rámci ochrany zdraví, bezpečnosti a práv žáka, další údaje nezbytné např. pro vydání správního rozhodnutí apod.), 4.5. Rozsah osobních údajů zpracovávaných o zaměstnancích je dán požadavky právních předpisů a stanoven tak, aby zpracovávané údaje spolehlivě a věrohodně prokazovaly vznik, průběh a ukončení pracovně právního vztahu zaměstnance, včetně poskytování platu; dále splnění povinností vůči třetím osobám (např. zdravotní pojišťovny, ČSSZ, finanční úřad) a předpisů o archivaci Po uchazečích o zaměstnání jsou vyžadovány a zpracovávány pouze osobní údaje nezbytné pro posouzení vhodnosti uchazečů (kvalifikace, zdravotní způsobilost, apod.). Další rozšiřující informace jsou požadovány až po případném rozhodnutí o uzavření pracovně právního vztahu. Zaslané dokumenty od neúspěšných uchazečů jsou skartovány a jejich osobní údaje jsou vymazány, pokud zde není jiný právní důvod zpracování. 5. Minimalizace zpracování osobních údajů 5.1. Zpracovávané informace jsou omezeny jen na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, nelze požadovat údaje nepřiměřené, nerelevantní a pokud nejsou nezbytné. Údaje nelze uchovávat poté, co pomine právní základ, poté, co je naplněn účel zpracování Zaměstnanci školy jsou při získávání údajů subjektů údajů povinni používat výhradně Správcem schválené formuláře a jiné dokumenty Zvýšená pozornost je věnována zpracování zvláštní kategorii údajů. Tyto údaje jsou Správcem zpracovávány jen v nezbytném rozsahu a při zvýšeném zabezpečení. 6. Přesnost zpracování osobních údajů 6.1. Přesnost údajů je zajištěna: ověřováním údajů poskytnutých subjektem údajů, například porovnáním s osobními doklady, pravidelnými opakovanými kontrolami, aktivním dotazováním, 3

4 uplatněním práva na opravu subjektem údajů. 7. Omezení uložení zpracování osobních údajů 7.1. Osobní údaje jsou uloženy pouze po nezbytnou dobu. Ta vychází zejména ze zákona o archivnictví, dalších relevantních předpisů a skartačního plánu spisového řádu Na konci úložné doby jsou data přezkoumána a odstraněna, pokud neexistuje oprávněný důvod pro jejich další uchování Listinné dokumenty jsou zničeny pomocí skartovacích kancelářských zařízení, nebo prostřednictvím certifikovaných společností zabývající se skartací a archivací dokumentů Dokumenty uložené v elektronické podobě jsou zničeny: fyzickou destrukcí datových nosičů, pokud jde o CD, DVD, použitím software zabezpečující vymazání (nesmí jít o pouhé smazání dokumentů, musí jít o opakované přepsání původních souborů novými údaji). 8. Integrita a důvěrnost zpracování osobních údajů 8.1. Osobní data jsou Správcem zpracovávána způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí technických a organizačních opatření před neoprávněným přístupem k údajům, náhodnou ztrátou, zničením, nebo poškozením. 9. Technická a organizační opatření správce 9.1. Povinnosti zaměstnanců školy jsou: počínat si tak, aby neohrozil ochranu osobních údajů zpracovávaných školou, zamezit nahodilému a neoprávněnému přístupu k osobním údajům zaměstnanců, dětí/žáků, zákonných zástupců a dalších osob, které škola zpracovává, neposkytovat bez právního důvodu žádnou formou osobní údaje zaměstnanců školy, dětí/žáků, zákonných zástupců cizím osobám a institucím, tedy ani telefonicky ani e- mailem ani při osobním jednání, zabezpečit spisy s osobními údaji tak, že v uzamykatelných prostorách budou dokumenty s osobními údaji umístěny do zamčených skříní, kartoték, v době jejich přítomnosti i nepřítomnosti umožnit přístup do kanceláře pouze oprávněným osobám, zamykat kanceláře při své nepřítomnosti (i krátkodobé) na pracovišti a zamezit vniknutí třetí neoprávněné osobě. Dveře musejí být v nepřítomnosti oprávněné osoby uzamčeny a okna uzavřeny, odhlásit se z PC v případě nečinnosti, k elektronické komunikaci (např. ) používat jen školní počítače (tzn. pevné stanice, služební notebooky), k elektronické komunikaci spojené se školou využívat jen přidělených ových adres školy, tzn. s koncovou doménou..@tgmpisek.cz, nepřeposílat školní y na své soukromé y, nepracovat s osobními údaji na ploše, je nutné vše zabezpečit a ukládat do příslušných zabezpečených složek, zavést pravidla čistého stolu (dokumenty s osobními údaji nejsou ponechány volně na stole), 4

5 nutnost dodržovat bezpečnostní pravidla při manipulaci se svěřeným elektronickým zařízením (mobilní telefon zámek obrazovky/heslo, ochrana PC heslem apod.), pokud zjistí porušení ochrany osobních údajů, neoprávněné použití osobních údajů, zneužití osobních nebo jiné neoprávněné jednání související s ochranou osobních údajů, bezodkladně zabránit dalšímu neoprávněnému nakládání, zejména zajistit znepřístupnění, a ohlásit tuto skutečnost řediteli školy či příslušnému vedoucímu zaměstnanci Další technická opatření: pseudonymizace, anonymizace,šifrování, antivirus a firewall, pravidelně aktualizované operační systémy ICT, logování, diferencované přístupy v ICT systémech, politika hesel (zadávat dostatečně silná hesla, tzn. kombinace malých a velkých písmen a číslic; nevyužívat data narození apod.; nepoužívat stejné heslo pro více přístupů; heslo pravidelně měnit), pravidla pro y, tzn. důsledná kontrola adresátů, patička u s žádostí o zaslání zpět, není-li adresován dané osobě, automatická archivace a likvidace ů po určité době, pravidelné zálohování a zabezpečení záloh Klíčový režim: klíč od uzamykatelného prostoru i od uzamykatelných úložišť bude mít u sebe pouze oprávněná osoba a tyto klíče bude mít stále u sebe. Vedoucí zaměstnanec má k dispozici klíče od všech uzamykatelných prostorů v rámci úseku Třídní výkazy, katalogové listy a další materiály ze školní matriky, které obsahují osobní údaje dětí/žáků: jsou trvale uloženy v uzamykatelných skříních v kanceláři ředitele školy nebo zástupce ředitele příslušného stupně, třídním učitelům jsou zapůjčeny na nezbytně dlouhou dobu k provedení zápisů, v době zápisu pololetní klasifikace žáků jsou v čase určeném zástupcem ředitele příslušného stupně zapůjčeny pedagogům daného stupně do sborovny katalogové složky žáků, učitelé zapisují klasifikaci jen dle svého úvazku a výhradně ve sborovně; zástupce ředitele příslušného stupně každý den katalogové složky znovu vkládá do uzamykatelné skříně ve své kanceláři, nelze celé či jejich části vynášet ze školy, předávat cizím osobám nebo kopírovat a kopie poskytovat neoprávněným osobám Elektronická školní matrika je vedena v zabezpečeném informačním systému modulu aplikace dm Software dle smlouvy s firmou dm Software s.r.o., do tohoto systému mají přístup jednotliví pedagogové školy a to jen na základě jedinečného přihlašovacího jména a hesla a pouze v rámci oprávnění daného funkčním zařazením, při práci s elektronickou evidencí nesmí oprávněné osoby opouštět počítač bez odhlášení se, nemohou nechat nahlížet žádnou jinou osobu a musí chránit utajení 5

6 přihlašovacího hesla; a v případě nebezpečí jeho vyzrazení jej ihned ve spolupráci s ředitelem školy změnit, přístupy nastavuje ředitel školy nebo jím pověřený zaměstnanec školy (dle pokynů ředitele školy), který nastavuje potřebné zabezpečení dat a školní počítačové sítě Osobní spisy zaměstnanců jsou uloženy v uzamykatelných skříních v kanceláři ředitele školy, přístup k nim má ředitel školy nebo zástupce ředitele, zastupuje-li ředitele, případně, je-li to nutné též mzdová účetní Písemná hodnocení a posudky, která se odesílají mimo školu, např. pro potřeby soudního řízení, přijímacího řízení, zpracovávají zaměstnanci určení ředitelem školy. Nejsou však oprávněni samostatně tato hodnocení podepisovat, poskytovat a odesílat jménem školy a mají povinnost zachovávat mlčenlivost o dané věci Seznamy dětí/žáků se nezveřejňují, neposkytují bez vědomého souhlasu zákonných zástupců dětí/žáků jiným fyzickým či právnickým osobám nebo orgánům, které neplní funkci orgánu nadřízeného škole nebo nevyplývá-li to ze zákona V propagačních materiálech školy, ve výroční zprávě či ročence školy, na školním webu či na nástěnkách ve škole apod. lze s obecným souhlasem zákonných zástupců dětí/žáků uveřejňovat textové informace o úspěších dětí/žáků (např. u soutěží umístění na předních místech) s uvedením pouze jména (případně ročníku). Při publikování v tisku se autor dotazuje na souhlas zákonného zástupce dítěte/žáka Psychologické, lékařské a jiné průzkumy a testování mezi dětmi/žáky, jejichž součástí by bylo uvedení osobních údajů dítěte/žáka, lze provádět jen se souhlasem zákonného zástupce dítěte/žáka. To se netýká anonymních průzkumů, které však musí souviset se vzděláváním na dané škole a musí s nimi předem písemně souhlasit ředitel či zástupce ředitele; to platí zvláště v případě, že výsledky jsou poskytovány mimo školu Pokud jsou pro vedení dokumentace využívány formuláře a software, je nutné provést kontrolu, zda nepožadují či nenabízejí evidenci nadbytečných údajů a tyto údaje nezpracovávat K osobním údajům mají přístup osoby k tomu oprávněné zákonem nebo na základě zákona Do jednotlivých dokumentů školy, které obsahují osobní údaje, mohou nahlížet: do osobního spisu zaměstnance, vedoucí zaměstnanci, kteří jsou zaměstnanci nadřízeni, dále pak orgán inspekce práce, úřad práce, soud, státní zástupce, příslušný orgán Policie ČR, Národní bezpečnostní úřad a zpravodajské služby; zaměstnanec má právo nahlížet do svého osobního spisu, činit si z něho výpisky a pořizovat si stejnopisy dokladů v něm obsažených, a to na náklady zaměstnavatele, do údajů žáka ve školní matrice pedagogičtí pracovníci školy (v rozsahu daném pedagogickou funkcí), do údajů o zdravotním stavu žáka, zpráv o vyšetření ve školním poradenském zařízení, lékařských zpráv - výchovný poradce, vedoucí pedagogičtí pracovníci, třídní učitel, školní psycholog, školní speciální pedagog, do spisu, vedeném ve správním řízení účastníci správního řízení, vedoucí pedagogičtí pracovníci, osoba, která je zmocněna s úředním spisem pracovat po dobu řízení Škola alespoň jednou za rok provede zhodnocení postupů při nakládání a zpracování osobních údajů. Zjistí-li se, že některé postupy školy jsou zastaralé, zbytečné nebo se neosvědčily, učiní škola bezodkladně nápravu. 6

7 10. Záznamy o činnostech zpracování O činnostech při zpracování jsou Správcem vedeny písemné záznamy, které jsou dostupné na webových stránkách školy Záznamy jsou vedeny podle jednotlivých agend Každý zaměstnanec má záznamy k dispozici v listinné nebo elektronické podobě Záznamy o činnostech obsahují následující údaje: identifikace Správce, identifikace pověřence pro ochranu osobních údajů, účely zpracování, popis kategorií subjektů údajů a kategorií osobních údajů, kategorie příjemců, případné předání do třetích zemí, lhůty pro výmaz, popis opatření Správce poskytne na požádání záznamy dozorovému úřadu. 11. Školení Škola zajišťuje: úvodní proškolení všech zaměstnanců při nabytí účinnosti směrnice GDPR, vstupní školení všech nových zaměstnanců při vzniku jejich pracovněprávního vztahu, periodická školení Dále zajišťuje preventivní školení postupu: při výskytu případů porušení zabezpečení osobních údajů a při změně pravidel pro zabezpečení osobních údajů daných touto směrnicí, nebo směrnicemi, na které se odkazuje, Při ukončování pracovněprávního vztahu zaměstnanců jsou tito poučeni o tom, že jejich povinnosti při ochraně osobních údajů trvají i po ukončení pracovněprávního vztahu ke škole Každý zaměstnanec je povinen seznámit se s ochranou osobních údajů při přijetí do pracovního poměru. Dále je povinen podepsat protokol o vstupním proškolení, který mu bude Správcem předložen v podobě přílohy pracovní smlouvy Správce je povinen každého nově příchozího zaměstnance proškolit, že: je nutné postupovat dle skartačního řádu v případě dokumentů, u nichž uplynula skartační či archivační doba, skartovat veškeré dokumenty s osobními údaji, u kterých skončil účel jejich zpracování, a není zde žádný právní důvod jejich dalšího zpracování, u dokumentů, u kterých skončil účel jejich zpracování a které je nutné si nadále ponechat, je nezbytné stanovit následný účel zpracování a podřadit jej pod některý z výčtu právních důvodů Správce je povinen každý subjekt údajů seznámit s informacemi dle článku 13 a 14 GDPR. 12. Zajištění počítačové (kybernetické) bezpečnosti Kybernetická bezpečnost je zajišťována na všech počítačích Správce (tzn. umístěných trvale ve škole i notebooků zaměstnanců poskytnutých školou): instalací antivirových programů, firewallu, stanovením přístupových práv, hesel, zákazu sdílení hesel několika osobami, pravidelné zálohování dat tak, aby nedošlo k jejich ztrátě při případném odcizení či poruše počítače a byla zajištěna schopnost obnovy dat v případě fyzických či technických incidentů, zajištění automatických bezpečnostních aktualizací používaného software, 7

8 při jakékoli likvidaci hardware musí být znemožněna možnost získání uložených osobních údajů, používání pouze silných hesel (heslo o délce minimálně osmi znaků, vždy musí jít o kombinaci malých a velkých písmen a čísel, případně zvláštních znaků), mazání a neotvírání nevyžádané pošty, odmazávání SPAM v ové schránce i v počítačích, pravidelný servis a výpočetní techniky je zaměřen i na kontrolu oblasti bezpečnosti dat, je prováděno pravidelné testování přijatých technických a organizačních opatření, pravidelným školením zaměstnanců v této oblasti Skenování: při skenování dokumentů do společné složky je nutné vše neprodleně vymazat Kopírování: při tisku a kopírování je nutné ihned vyzvedávat vytištěné či okopírované dokumenty z tiskárny, dokumenty s osobními údaji přednostně tisknout na tiskárnách v kancelářích, každý zaměstnanec je povinen zamykat místnost s kopírovacím zařízením. 13. Provozování kamerového systému správce Kamerové systémy školy jsou bez záznamového zařízení. Slouží jen pro identifikaci osoby před vstupem do školy po zazvonění na kanceláře. 14. Směrnice, vnitřní předpisy správce Vydané vnitřní předpisy školy jsou průběžně doplňovány o problematiku GDPR Postup v oblasti ochrany osobních údajů se řídí vždy touto směrnicí Ostatní interní předpisy školy musí být vždy v souladu se směrnicí o ochraně osobních údajů. 15. Zpracovatelské smlouvy a úprava ostatních smluv správce Správce je povinen uzavřít s každým zpracovatelem zpracovatelskou smlouvu nebo dodatek zpracovatelské smlouvy Náležitost zpracovatelské smlouvy nebo dodatku: předmět zpracování, doba trvání zpracování, povaha a účel zpracování, typ osobních údajů, kategorie osobních údajů, povinnosti a práva Správce, informace, že zpracování probíhá na základě doložených pokynů Správce, povinnost mlčenlivosti, závazek přijmout vhodná technická a organizační opatření dle článku 32 GDPR, podmínka pro zapojení dalšího zpracovatele, závazek zohlednění povahy zpracování a nápomoci Správci včetně nápomoci dle článku 32 a 36 GDPR, na pokyn Správce je zpracovatel povinen vymazat osobní údaje nebo je vrátit Správci a kopie vymaže, zpracovatel je povinen poskytnout správci součinnost k doložení uvedených povinností Uzavírá-li škola jakoukoli smlouvu (nájemní smlouvu, smlouvu o dílo, smlouvu o poskytnutí služeb, nepojmenovanou smlouvu apod.), k jejímuž plnění je zapotřebí druhé smluvní straně poskytnout osobní údaje, řídí se výše uvedenými body v článku 15. 8

9 16. Postup ohlašování případů porušení zabezpečení ÚOOÚ V případě, kdy dojde k porušení zabezpečení osobních údajů je Správce povinen bez zbytečného odkladu tj. do 72 hodin od doby, kdy se o této skutečnosti dozvěděl, nahlásit porušení zabezpečení Úřadu pro ochranu osobních údajů Vyhodnotí-li Správce, že je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody subjektu údajů, nemusí porušení ohlašovat Správce je povinen v této záležitosti vést evidenci porušení zabezpečení ochrany osobních údajů ve formě schválených šablon. Vedení těchto evidencí je přeneseno na vedoucí zaměstnance Ohlášení se prování ve formě formuláře, který jsou vedoucí zaměstnanci povinni mít u sebe v listinné nebo elektronické podobě Vedoucí zaměstnanec zaznamená neprodleně porušení zabezpečení do šablony a ohlásí tuto skutečnost řediteli školy bez zbytečného odkladu, který ji oznámí pověřenci pro ochranu osobních údajů Pověřenec pro ochranu osobních údajů je odpovědný za ohlášení porušení zabezpečení Úřadu pro ochranu osobních údajů ve stanovené lhůtě. V případě nedodržení stanovené povinnosti ve formě zaznamenání porušení zabezpečení do šablony a nahlášení této skutečnosti řediteli školy, dopadá odpovědnost na vedoucího zaměstnance Náležitosti šablony: popis povahy případu, kategorií a množství dotčených subjektů údajů; kontaktní údaje pověřence pro ochranu osobních údajů; popis pravděpodobných důsledků; popis opatření, která Správce přijal nebo navrhl k přijetí s cílem vyřešit porušení nebo zmírnit důsledky Náležitosti formuláře: identifikační údaje Správce; identifikace pověřence pro ochranu osobních údajů; typ oznámení; hlavní údaje k porušení zabezpečení; doplňující informace Správce je povinen seznámit zaměstnance s touto povinností. 17. Postup oznamování případů porušení zabezpečení subjektu údajů V případě, kdy dojde k porušení zabezpečení osobních údajů je Správce povinen bez zbytečného odkladu tj. do 72 hodin od doby, kdy se o této skutečnosti dozvěděl, oznámit porušení zabezpečení subjektu údajů Vyhodnotí-li Správce, že je nepravděpodobné, že by porušení mělo za následek vysoké riziko pro práva a svobody subjektu údajů, nemusí porušení ohlašovat Správce je povinen v této záležitosti vést evidenci porušení zabezpečení ochrany osobních údajů ve formě schválených šablon. Vedení těchto evidencí je přeneseno na vedoucí zaměstnance Oznámení se prování ve formě formuláře, který jsou vedoucí zaměstnnaci povinni mít u sebe v listinné nebo elektronické podobě Vedoucí zaměstnanec zaznamená neprodleně porušení zabezpečení do šablony a ohlásí tuto skutečnost řediteli školy bez zbytečného odkladu, který ji oznámí pověřenci pro ochranu osobních údajů Pověřenec pro ochranu osobních údajů je odpovědný za oznámení porušení zabezpečení subjektu údajů ve stanovené lhůtě. V případě nedodržení stanovené povinnosti ve formě zaznamenání porušení zabezpečení do šablony dopadá odpovědnost na vedoucího zaměstnance. 9

10 17.7. Náležitosti šablony: popis povahy případu, kategorií a množství dotčených subjektů údajů; kontaktní údaje pověřence pro ochranu osobních údajů; popis pravděpodobných důsledků; popis opatření, která Správce přijal nebo navrhl k přijetí s cílem vyřešit porušení nebo zmírnit důsledky Náležitosti formuláře: identifikační údaje Správce; identifikace pověřence pro ochranu osobních údajů; typ oznámení; hlavní údaje k porušení zabezpečení; doplňující informace Správce je povinen seznámit zaměstnance s touto povinností. 18. Pověřenec pro ochranu osobních údajů správce Pro školu je pověřencem pro ochranu osobních údajů zaměstnanec města. Se školou je uzavřena Smlouva o výkonu funkce pověřence GDPR Kontaktní údaje pověřence pro ochranu osobních údajů je Správce povinen uveřejnit na internetových stránkách a sdělit je dozorovému úřadu Povinnosti pověřence pro ochranu osobních údajů: poskytování informací a poradenství Správci a příspěvkovým organizacím, monitorování souladu s GDPR, poskytování poradenství na požádání, pokud jde o posouzení vlivu na ochranu osobních údajů a monitorování jeho uplatňování dle článku 35 GDPR, spolupráce s dozorovým úřadem, působení jako kontaktní místo pro dozorový orgán Pověřenec pro ochranu osobních údajů je také kontaktní osobou pro subjekty osobních údajů Pověřenec pro ochranu osobních údajů řeší uplatňování práv subjektů údajů v součinnosti s kontaktní osobou školy, kterou je ředitel a jeho statutární zástupce. 19. Právo na přístup subjektu údajů Subjekt údajů má právo získat od Správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k informacím dle článku 15 GDPR Správce je povinen poskytnout kopii zpracovávaných osobních údajů. Za další kopie je Správce oprávněn účtovat poplatek na základě administrativních nákladů Uplatňování práv subjektů údajů vyřizuje ředitel školy případně jeho statutární zástupce V případě uplatňování práv ze strany subjektů údajů je postupováno následovně: při osobní žádosti zaměstnanec školy poskytne subjektu údajů informaci o řediteli školy, který je kompetentní v tomto případě žádost přijmout, ředitel školy sepíše se subjektem údajů záznam, při písemné žádosti odevzdá zaměstnanec školy písemnost řediteli školy, při elektronické žádosti zaměstnanec školy odešle písemnost řediteli školy Ředitel školy kontaktuje neprodleně po obdržení žádosti osoby vedoucího zaměstnance, který je povinen poskytnout součinnost řediteli školy ve lhůtě 3 pracovních dnů Na základě shromážděných dat od vedoucího zaměstnance/-ů vyhotoví ředitel školy odpověď ve lhůtě stanové GDPR. 20. Právo na opravu a doplnění subjektu údajů 10

11 20.1. Subjekt údajů má právo na to, aby Správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají. S přihlédnutím k účelu zpracování má subjekt údajů právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení Správce je povinen na základě upozornění subjektu údajů opravit či doplnit jím udávané nepřesné údaje V případě provedené opravy informuje o těchto změnách příjemce osobních údajů a ostatní správce V případě uplatňování práv ze strany subjektů údaje je postupováno následovně: při osobní žádosti zaměstnanec školy poskytne subjektu údajů informaci o řediteli školy, který je kompetentní v tomto případě žádost přijmout, ředitel školy sepíše se subjektem údajů záznam, při písemné žádosti odevzdá zaměstnanec školy písemnost řediteli školy, při elektronické žádosti zaměstnanec školy odešle písemnost řediteli školy Po vyhodnocení oprávněného nároku budou údaje opraveny nebo doplněny zaměstnanci zpracovávajícími dotčené osobní údaje. 21. Právo na výmaz subjektu údajů Subjekt údajů má právo na to, aby Správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a Správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z důvodů uvedených v článku 17 GDPR Pokud Správce osobní údaje zveřejnil a je povinen je podle článku 17 GDPR odst. 1 vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či repliky V případě provedeného výmazu informuje o těchto změnách příjemce osobních údajů a ostatní správce V případě uplatňování práv ze strany subjektů údaje je postupováno následovně: při osobní žádosti zaměstnanec školy poskytne subjektu údajů informaci o řediteli školy, který je kompetentní v tomto případě žádost přijmout, ředitel školy sepíše se subjektem údajů záznam, při písemné žádosti odevzdá zaměstnanec školy písemnost řediteli školy, při elektronické žádosti zaměstnanec školy odešle písemnost řediteli školy Po vyhodnocení oprávněného nároku budou údaje vymazány zaměstnanci zpracovávajícími dotčené osobní údaje. 22. Právo na omezení zpracování subjektu údajů Subjekt údajů má právo na to, aby Správce omezil zpracování v případech uvedených v článku 18 GDPR V případě provedeného omezení zpracování informuje o těchto skutečnostech příjemce osobních údajů a ostatní správce V případě uplatňování práv ze strany subjektů údaje je postupováno následovně: při osobní žádosti zaměstnanec školy poskytne subjektu údajů informaci o řediteli školy, který je kompetentní v tomto případě žádost přijmout, ředitel školy sepíše se subjektem údajů záznam, při písemné žádosti odevzdá zaměstnanec školy písemnost řediteli školy, 11

12 při elektronické žádosti zaměstnanec školy odešle písemnost řediteli školy Po vyhodnocení oprávněného nároku bude omezeno zpracování osobních údajů provedeno zaměstnanci zpracovávajícími dotčené osobní údaje. 23. Právo na přenositelnost subjektu údajů Subjekt údajů má právo získat osobní údaje, které se ho týkají, jež poskytl Správci, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci, aniž by tomu Správce, kterému byly osobní údaje poskytnuty, bránil, a to v případě že: zpracování je založeno na souhlasu podle článku 6 odst. 1 písm. a) nebo článku 9 odst. 2 písm. a), zpracování je založeno na smlouvě podle článku 6 odst. 1 písm. b), a zpracování se provádí automatizovaně (pomocí výpočetní techniky) Subjekt údajů má právo na to, aby osobní údaje byly předány přímo jedním Správcem správci druhému, je-li to technicky proveditelné Toto právo se nevztahuje na zpracování nezbytné pro plnění úkolů ve veřejném zájmu nebo při výkonu veřejné moci, kterým je Správce pověřen V případě uplatňování práv ze strany subjektů údaje je postupováno následovně: při osobní žádosti zaměstnanec školy poskytne subjektu údajů informaci o řediteli školy, který je kompetentní v tomto případě žádost přijmout, ředitel školy sepíše se subjektem údajů záznam, při písemné žádosti odevzdá zaměstnanec školy písemnost řediteli školy, při elektronické žádosti zaměstnanec školy odešle písemnost řediteli školy Po vyhodnocení oprávněného nároku bude postupováno dle článku 20 GDPR. 24. Právo vznést námitku subjektu údajů Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě článku 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků V případě uplatňování práv ze strany subjektů údajů je postupováno následovně: při osobní žádosti zaměstnanec školy poskytne subjektu údajů informaci o řediteli školy, který je kompetentní v tomto případě žádost přijmout, ředitel školy sepíše se subjektem údajů záznam, při písemné žádosti odevzdá zaměstnanec školy písemnost řediteli školy, při elektronické žádosti zaměstnanec školy odešle písemnost řediteli školy Po vyhodnocení oprávněného nároku bude postupováno dle článku 21 GDPR. 25. Výčet situací a postupy při vyžadování souhlasu se zpracováním a při odvolání souhlasu Souhlas musí být konkrétní, jednoznačný, svobodný a informovaný. Udělení souhlasu muže být následující: a) výslovné, b) nevýslovné. 12

13 25.2. Správce musí být po celou dobu trvání souhlasu schopen doložit, že subjekt údajů souhlas udělil Pokud je souhlas subjektu údajů vyjádřen písemným prohlášením, které se týká rovněž jiných skutečností, musí být žádost o vyjádření souhlasu předložena způsobem, který je od těchto jiných skutečností jasně odlišen (např. Smlouva) Subjekt údajů má právo svůj souhlas kdykoliv odvolat. O této možnosti musí být subjekt údajů předem informován. Odvolání souhlasu musí být stejně snadné, jako jeho udělení Souhlas může být odvolán: a) v papírové podobě, b) elektronicky, c) ústně, o čemž bude proveden záznam Správce vyžaduje po subjektu údajů souhlas pouze tehdy, je-li to nezbytně nutné Správce je oprávněn souhlas vyžadovat tehdy, pokud zde není jiný právní důvod shromáždění nebo zpracování osobních údajů dle článku 6 GDPR Náležitosti souhlasu: identifikace Správce, identifikace pověřence pro ochranu osobních údajů, údaje subjektu údajů, účel zpracování, rozsah zpracovávaných osobních údajů, oprávněný zájem Správce, příjemce nebo kategorie příjemců, případný úmysl Správce poskytnou údaje do třetích zemí, doba trvání souhlasu, existence práv subjektu údajů, právo souhlas kdykoliv odvolat, informaci o tom, že osobní údaje budou zpracovávány automatizovaně, podpis, datum a místo Souhlas se poskytuje podle účelu např. na celé období školní docházky na škole, na školní rok, na dobu školy v přírodě apod. 26. Nakládání se zvláštní kategorií osobních údajů Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby Zvláštní kategorii osobních údaje může Správce zpracovávat v případech uvedených v článku 9 GDPR Do zvláštní kategorie osobních údajů řadíme také osobní údaje dětí. 27. Informační povinnost dle článku 13 GDPR Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným, a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace dle článku 13 a 14 GDPR a učiní veškerá sdělení dle článku 15 až 22 a 34 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti. 13

14 27.2. Informace jsou poskytovány písemně nebo jinými prostředky, ve vhodných případech v elektronické formě Správce je povinen poskytnout subjektu údajů v okamžiku získání jeho osobních údajů informace dle článku 13 GDPR Informační povinnost provede Správce prostřednictvím zásad ochrany osobních údajů (dále jen zásady ) následovně: žádosti: zásady budou vyvěšeny na internetových stránkách a v prostorách Správce a odkazy na ně budou zakomponovány do jednotlivých žádostí, smlouvy: zásady budou ke smlouvám přikládány v papírové podobě, rozhodnutí, výzvy k doplnění atd.: zásady budou přikládány v papírové podobě při prvním kontaktu se subjektem údajů, ohlášení: zásady budou přikládány v papírové podobě při prvním kontaktu se subjektem údajů, matrika: zásady budou přikládány k relevantním dokumentům v papírové podobě, legalizace, vidimace, informační systémy veřejné správy: zaměstnanec seznámí subjekt údajů se zásadami a místem uložení zásad ústně. Subjekt údajů se bude moci se zásadami seznámit na konkrétním místě v papírové podobě. Zaměstnanec je povinen mít zásady k dispozici pro případné jejich vyžádání, výběrová řízení na nové zaměstnance: zásady budou zakomponovány přímo do vyhlášeného výběrového řízení, případně může být zakomponován odkaz na zásady vyvěšené na internetových stránkách, pozvánky: odkaz na zásady vyvěšené na internetových stránkách a v prostorách Správce budou zakomponovány do pozvánky, pracovní smlouvy: zásady budou ke smlouvám přikládány v papírové podobě, osobní dotazník: odkaz na zásady vyvěšené na internetových stránkách a v prostorách Správce budou zakomponovány osobního dotazníku, formuláře: odkaz na zásady vyvěšené na internetových stránkách a v prostorách Správce budou zakomponovány do formulářů, vyhlášky: odkaz na zásady vyvěšené na internetových stránkách a v prostorách Správce budou zakomponovány do vyhlášek, V každém relevantním dokumentu bude poučení o informační povinnosti Správce Informační povinnost při elektronické komunikaci: datová zpráva: odkaz na zásady vyvěšené na internetových stránkách a v prostorách Správce budou zakomponovány do datové zprávy, odkaz na zásady vyvěšené na internetových stránkách a v prostorách Správce budou zakomponovány do u Pokud subjekt údajů dané informace má a do té míry, v níž je má, Správce není povinen mu je opakovaně poskytovat. 28. Informační povinnost dle článku 14 GDPR V případě, že osobní údaje nebyly získány od subjektu údajů, poskytne Správce subjektu údajů informace dle článku 14 GDPR Správce poskytne subjektu údajů informace následujícím způsobem: v přiměřené lhůtě po získání osobních údajů, ale nejpozději do jednoho měsíce, s ohledem na konkrétní okolnosti, za nichž jsou osobní údaje zpracovávány, 14

15 nejpozději v okamžiku, kdy poprvé dojde ke komunikaci se subjektem údajů, mají-li být osobní údaje použity pro účely této komunikace, nejpozději při prvním zpřístupnění osobních údajů, pokud je má v úmyslu zpřístupnit jinému příjemci, Pokud subjekt údajů dané informace má nebo se ukáže, že poskytnutí takové informace není možné a dále v případech uvedených dle článku 14 GDPR, Správce není povinen mu je poskytovat Informační povinnost provede Správce prostřednictvím zásad ochrany osobních údajů nebo telefonicky. 29. Závěrečná ustanovení Kontrolou provádění ustanovení této směrnice je pověřen ředitel školy Uložení směrnice se řídí spisovým řádem školy Směrnice nabývá účinnosti a platnosti dne V Písku Mgr. Jiří Kothánek, v.r. ředitel školy 15