SŽDC PO-36/2018-ŘO15. Pokyn ředitele odboru provozuschopnosti. Ochrana osobních údajů při zajištění činnosti odboru provozuschopnosti

Transkript

1 Pokyn Úroveň přístupu A SŽDC PO-36/2018-ŘO15 Pokyn ředitele odboru provozuschopnosti Ochrana osobních údajů při zajištění činnosti odboru provozuschopnosti Schváleno pod čj. S53507/2018- SŽDC-GŘ-O15 dne Ing. Bohuslav Stečínský, MSc. ředitel odboru provozuschopnosti v. r.

2 SŽDC PO-36/2018-ŘO15 Název Pokyn ředitele odboru provozuschopnosti Gestorský útvar: Správa železniční dopravní cesty, státní organizace Generální ředitelství Odbor provozuschopnosti (O15) Praha Rok vydání: 2018 Náklad: vydáno pouze v elektronické podobě Správa železniční dopravní cesty, státní organizace, rok Tento dokument je duševním vlastnictvím státní organizace Správa železniční dopravní cesty, na které se vztahuje zákon č. 121/2000 Sb., o právu autorském, o právech souvisejících s právem autorským a o změně některých zákonů (autorský zákon), ve znění pozdějších předpisů. Státní organizace Správa železniční dopravní cesty je v uvedené souvislosti rovněž vykonavatelem majetkových práv. Tento dokument smí fyzická osoba použít pouze pro svou osobní potřebu, právnická osoba pro svou vlastní vnitřní potřebu. Poskytování tohoto dokumentu nebo jeho části v jakékoliv formě nebo jakýmkoliv způsobem třetí osobě je bez svolení státní organizace Správa železniční dopravní cesty zakázáno. 2

3 ZÁZNAMY O OPRAVÁCH A ZMĚNÁCH Držitel listinné podoby tohoto dokumentu je odpovědný za včasné a správné zapracování účinných oprav a změn a za provedení příslušného záznamu. Oprava/změna a její pořadové číslo Číslo jednací Účinnost od Opravu/změnu zapracoval 3

4 OBSAH Strana ROZSAH ZNALOSTI... 5 ČÁST PRVNÍ ÚVODNÍ USTANOVENÍ... 6 ČÁST DRUHÁ STANOVENÍ ODPOVĚDNOSTI... 6 ČÁST TŘETÍ ÚČEL A MÍSTO ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ... 6 ČÁST ČTVRTÁ POSTUP PŘI ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ... 6 ČÁST PÁTÁ OPATŘENÍ K OCHRANĚ OSOBNÍCH ÚDAJŮ... 7 ČÁST ŠESTÁ OPATŘENÍ PROTI NEOPRÁVNĚNÉMU NEBO NAHODILÉMU PŘÍSTUPU... 7 ČÁST SEDMÁ OPATŘENÍ PROTI NEOPRÁVNĚNÉMU ZPRACOVÁNÍ A ZNEUŽITÍ... 8 ČÁST OSMÁ PŘÍSTUP SUBJEKTU ÚDAJŮ... 8 ČÁST DEVÁTÁ ODBORNÁ ZPŮSOBILOST OSOB... 8 ČÁST DESÁTÁ ZÁVĚREČNÉ USTANOVENÍ

5 ROZSAH ZNALOSTI Níže uvedená tabulka stanovuje rozsah znalosti tohoto dokumentu pro pracovní zařazení (funkci) nebo činnost, přičemž: informativní znalostí se rozumí taková znalost, při které příslušný zaměstnanec má povědomí o tomto dokumentu, zná předmět jeho úpravy a při náhledu do příslušného ustanovení je schopen se podle takového ustanovení samostatně řídit nebo podle něj samostatně konat; úplnou znalostí se rozumí taková znalost, při které příslušný zaměstnanec má povědomí o tomto dokumentu, zná předmět jeho úpravy a bez náhledu do příslušného ustanovení je schopen se podle takového ustanovení samostatně řídit nebo podle něj samostatně konat; doslovnou znalostí se rozumí taková znalost, při které příslušný zaměstnanec zná text, který je v příslušném ustanovení napsán v uvozovkách kurzivou, přesně a je schopen jej bez náhledu do příslušného ustanovení samostatně reprodukovat. Není-li rozsah znalosti pro pracovní zařazení (funkci) nebo činnost stanoven, stanoví rozsah znalosti, pokud je tak třeba učinit, příslušný vedoucí zaměstnanec. Pracovní činnost nebo zařazení (funkce) Zaměstnanci odboru provozuschopnosti Znalost ustanovení Úplné - celý předpis 5

6 ČÁST PRVNÍ ÚVODNÍ USTANOVENÍ Tento Pokyn ředitele odboru provozuschopnosti (dále jen Pokyn ) je vydán na základě ustanovení Směrnice SŽDC č. 97 k zajištění ochrany osobních údajů (dále jen Směrnice č. 97 ) v platném znění. Účelem tohoto Pokynu je aplikace výše uvedené Směrnice č. 97 do konkrétních podmínek při zpracování osobních údajů na odboru provozuschopnosti (dále jen O15 ). Veškerá ustanovení tohoto Pokynu lze vykládat jen v souladu s nařízením EP a Rady (EU) 2016/679 obecné nařízení o ochraně osobních údajů (dále jen GDPR ), ostatními příslušnými obecně závaznými právními předpisy a Směrnicí SŽDC č. 97, ochrana osobních údajů. ČÁST DRUHÁ STANOVENÍ ODPOVĚDNOSTI Za soulad zpracování osobních údajů s GDPR, Směrnici č. 97 a ostatními právními předpisy zodpovídá ředitel odboru provozuschopnosti. ČÁST TŘETÍ ÚČEL A MÍSTO ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ (1) Účelem zpracování osobních údajů je dokumentace docházky zaměstnanců O15. Dokumentace docházky zaměstnanců O15 obsahuje měsíční přítomnost a nepřítomnost zaměstnanců O15 včetně dovolenkových lístků, potvrzení o pracovní neschopnosti, cestovních příkazů apod. Po ukončení kalendářního měsíce jsou doklady předávány spolu s uzávěrkou docházky na odbor personální. Místo zpracování osobních údajů: GŘ SŽDC, objekt Křižíkova 552/2, Praha 8 Karlín, kancelář sekretariátu O15 č (2) Osobní údaje se u O15 zpracovávají také za účelem administrace, evidence, organizace a výkonu zkoušek prováděných podle předpisu SŽDC Zam1, Přílohy č. 3, Přílohy č. 4 a Přílohy č. 6. Konkrétní podmínky při zpracování osobních údajů a zajištění ochrany osobních údajů při administraci, evidenci, organizaci a výkonu zkoušek prováděných podle předpisu SŽDC Zam1 řeší Pokyn SŽDC PO-21/2018-NPS a Příkaz SŽDC PR 1/2018-NPS. Místo zpracování osobních údajů: v kancelářích určených zaměstnanců (dle Příkazu náměstkyně GŘ pro provozuschopnost dráhy SŽDC PR-1/2018-NPS) - GŘ SŽDC, objekt Křižíkova 552/2, Praha 8 Karlín, kancelář č. 005, č. 009, č. 017 a v kancelářích pověřených předsedů zkušebních komisí O15: - v objektu Křižíkova 552/2, Praha 8 Karlín, č. 005, č. 009, č. 013, č. 017, č. 306, č. 205A. - v objektu detašovaného pracoviště Nerudova 1, Olomouc, kancelář č a č (3) Účelem zpracování osobních údajů u O15 je i dokumentace evidence osobních aut v aplikaci Webdispečink. Místo zpracování osobních údajů: GŘ SŽDC, objekt Křižíkova 552/2, Praha 8 Karlín, kancelář č ČÁST ČTVRTÁ POSTUP PŘI ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ (1) Pro účely dle části třetí odst. 1: zaměstnanci odboru O15 dokladují svou přítomnost a nepřítomnost na předkládaných dokumentech. (2) Pro účely dle části třetí odst. 2: určení zaměstnanci a pověření předsedové zkušebních komisí postupují při zpracování osobních údajů při administraci, evidenci, organizaci a výkonu 6

7 zkoušek prováděných dle předpisu SŽDC Zam1 podle Příkazu SŽDC PR 1/2018-NPS a Pokynu SŽDC PO-21/2018-NPS. (3) Pro účely dle části třetí odst. 3: určený zaměstnanec po ukončení kalendářního měsíce předává doklad o podrobné sestavě knihy jízd v listinné podobě na odbor ekonomiky a kontrolingu, oddělení autoprovozu. ČÁST PÁTÁ OPATŘENÍ K OCHRANĚ OSOBNÍCH ÚDAJŮ (1) Vstup do budovy Křižíkova 552/2 je pro zaměstnance zabezpečen elektronickou kontrolou vstupu za využití průkazu zaměstnance a vrátnicí s nepřetržitým provozem. Zaměstnanci bez průkazu zaměstnance se na vrátnici zapíší do sešitu, kde uvedou čas příchodu a obdrží návštěvní kartu. Při odchodu ze zaměstnání tuto kartu proti odpisu odevzdají. Vstupy do prostorů zpracování osobních údajů jsou zabezpečeny zámky FAB. (2) Náhradní klíče od místností jsou uloženy na nepřetržitě obsazené vrátnici v zapečetěných obálkách a jejich vydání podléhá režimovým opatřením. (3) Osobní údaje zpracovávané pro účel docházky jsou v listinné podobě uloženy v uzamykatelné skříni na sekretariátu O15. Elektronická podoba je v aplikaci EVYDO SŽDC. (4) Osobní údaje zpracovávané pro účel administrace, evidence, organizace a výkon zkoušek prováděných podle předpisu SŽDC Zam1 jsou v listinné podobě uloženy v kancelářích určených zaměstnanců a pověřených předsedů zkušebních komisí O15 uvedených v částí třetí odst. 2. v uzamykatelných skříních. V elektronické podobě jsou vedeny v databázi Centrálního systému evidence zkoušek. (5) Osobní údaje zpracovávané pro účel evidence osobních aut jsou v aplikaci Webdispečink a nejsou v listinné podobě uchovávány. (6) Likvidace osobních údajů se řídí interním předpisem R2 Spisový řád. ČÁST ŠESTÁ OPATŘENÍ PROTI NEOPRÁVNĚNÉMU NEBO NAHODILÉMU PŘÍSTUPU (1) Opravy, úpravy a údržba prostředků zpracování osobních údajů a prostoru, kde probíhá zpracování osobních údajů, prováděné nikoliv oprávněnými osobami jsou možné jen za nepřetržitého osobního dohledu oprávněné osoby. (2) Při každém opuštění prostoru, kde dochází ke zpracování osobních údajů, jej poslední oprávněná osoba uzamkne. (3) Po pracovní době probíhá běžný úklid resp. čištění, proto všechny osobní údaje musí být v té době zabezpečeny v uzamykatelných skříních. (4) Při každém opuštění pracoviště musí oprávněná osoba, která má ve svém počítači (dále PC ) uložena osobní data, zabezpečit uzamčení svého PC. Lze to provést pomocí tlačítek ctrl_alt_delete a vybrat první z možností tedy Uzamknout tento počítač. Případně lze požádat HelpDesk o možnost nastavení automatického uzamykání PC po určitém časovém intervalu (např. po 1 minutě nečinnosti), kdy oprávněná osoba nepracuje s PC. (5) Při odchodu ze zaměstnání po ukončení pracovní doby je nutné všechny PC s uloženými osobními daty vypnout. Pokud se jedná o PC zaměstnanců, kteří mají zaveden vzdálený přístup ke svým datům, pak PC nevypínají, ale použijí volbu Odhlásit se. (6) Objekt budovy Křižíkova 552/2 a objekt budovy Nerudova 1 je pod nepřetržitým kamerovým dohledem. Místnosti, ve kterých jsou osobní údaje uloženy, nemají samostatný kamerový dohled. 7

8 ČÁST SEDMÁ OPATŘENÍ PROTI NEOPRÁVNĚNÉMU ZPRACOVÁNÍ A ZNEUŹITÍ (1) Přístup ke zpracovávaným a zpracovaným osobním údajům je umožněn jen oprávněným osobám ve smyslu Směrnice č. 97. (2) Přístup k elektronickým záznamům je umožněn jen těmto oprávněným osobám se znalostí přístupového hesla, případně těm zaměstnancům, kterým jsou zřízena přístupová práva na příslušné složky s osobními daty (ostatní zaměstnanci než oprávnění se k příslušné složce na sdíleném disku nedostanou). V dotčených PC byl instalován antivirový program s vlastností logování programu, který umožňuje získat podrobné informace o aktivitách a úkonech provedených tímto antivirovým programem. (3) Není dovoleno nechávat osobní údaje volně k dispozici bez dohledu. Platí, že písemnosti a jiné nosiče osobních údajů je dovoleno uchovávat samostatné pouze v uzamykatelných místnostech, případně pouze v uzamykatelných skříních. (4) Je vyžadováno dodržování zásady prázdného stolu a zamknuté obrazovky. ČÁST OSMÁ PŘÍSTUP SUBJEKTU ÚDAJŮ (1) Subjekt údajů má právo na přístup ke svým osobním údajům zpracovávaných SŽDC, na jejich opravu nebo výmaz, popřípadě na omezení zpracování, na přenositelnost a právo vznést námitku proti zpracování. (2) Za účelem uplatnění svých práv se může každý subjekt údajů obrátit na Pověřence, a to prostřednictvím ové adresy gdpr@szdc.cz, a to osobně nebo písemně. (3) O všech došlých žádostech subjektů údajů a jejich vyřízení je vedena evidence u Pověřence. (4) Pověřenec žádost posoudí a postoupí ji k vyřízení O15. Po vyřízení žádosti zašle O15 odpověď Pověřenci, který zašle odpověď subjektu údajů o vyřízení jeho žádosti. (5) Po provedeném šetření vydá Pověřenec pokyn k uplatnění práva ve všech systémech vedených odborem informatiky spravovaných prostřednictvím odborného útvaru (vlastníka dat). (6) Žádosti se vyřizují bez zbytečného odkladu, nejpozději však do jednoho měsíce od přijetí žádosti od subjektu údajů. ČÁST DEVÁTÁ ODBORNÁ ZPŮSOBILOST OSOB Osoby pověřené zpracováváním osobních údajů, musí: zachovat mlčenlivost o technických, organizačních a zjištěných skutečnostech souvisejících s osobními údaji a dbát, aby se tyto skutečnosti nedostaly k nepovolaným osobám. Zásada mlčelivosti se nevztahuje na informační povinnost podle zvláštních zákonů neposkytovat jakékoliv informace související se zpracovávanými osobními údaji sdělovacím prostředkům či jiným než k tomu oprávněným osobám 1x ročně absolvovat školení z GDPR včetně přezkoušení formou e-learningu 8

9 ČÁST DESÁTÁ ZÁVĚREČNÉ USTANOVENÍ (1) V souvislosti s výše uvedenou legislativou ukládám všem zaměstnancům zpracování a uchovávání osobních údajů v souladu s tímto Pokynem. (2) V případě, že by v budoucnu došlo k rozšíření nebo změně ve zpracování osobních údajů zaměstnancem O15, má tento zaměstnanec povinnost kontaktovat nadřízeného a upozornit jej na nesoulad tohoto Pokynu s praxí. Na základě tohoto upozornění pak bude zvážena úprava, případně doplnění tohoto Pokynu. (3) S tímto Pokynem bude prokazatelně seznámen každý zaměstnanec O15. (4) Pokyn nabývá účinnosti dnem zveřejnění. 9

10 SOUVISEJÍCÍ DOKUMENTY Mezinárodní a národní právní předpisy, technické normy Nařízení Evropského parlamentu a Rady (EU) 2016/679 obecné nařízení pro ochranu osobních údajů Vnitřní předpisy Směrnice SŽDC č. 97 Ochrana osobních údajů SŽDC PR-1/2018 Příkaz náměstkyně GŘ pro provozuschopnost dráhy SŽDC PO-21/2018 Pokyn náměstkyně GŘ pro provozuschopnost dráhy Předpis SŽDC Zam1 Předpis odborné způsobilosti a znalosti osob při provozování dráhy a drážní dopravy 10