Pokyn Úroveň přístupu A SŽDC PO-25/2018-ŘO10 Pokyn ředitele odboru personálního Zajištění ochrany osobních údajů při zpracování agendy odboru personálního Schváleno pod čj. S 44 675/2018-SŽDC-GŘ-O10 dne 31. 8. 2018 Ing. Pavel Koucký v. r. ředitel odboru personálního
SŽDC PO-25/2018-ŘO1O Pokyn ředitele odboru personálního Zajištění ochrany osobních údajů při zpracování agendy odboru personálního Gestorský útvar: Správa železniční dopravní cesty, státní organizace Generální Praha www.szdc.cz Rok vydání: 2018 Náklad: vydáno pouze v elektronické podobě Správa železniční dopravní cesty, státní organizace, rok 2018 Tento dokument je duševním vlastnictvím státní organizace Správa železniční dopravní cesty, na které se vztahuje zákon č. 121/2000 Sb., o právu autorském, o právech souvisejících s právem autorským a o změně některých zákonů (autorský zákon), ve znění pozdějších předpisů. Státní organizace Správa železniční dopravní cesty je v uvedené souvislosti rovněž vykonavatelem majetkových práv. Tento dokument smí fyzická osoba použít pouze pro svou osobní potřebu, právnická osoba pro svou vlastní vnitřní potřebu. Poskytování tohoto dokumentu nebo jeho části v jakékoliv formě nebo jakýmkoliv způsobem třetí osobě je bez svolení státní organizace Správa železniční dopravní cesty zakázáno. 2
ZÁZNAMY O OPRAVÁCH A ZMĚNÁCH Držitel listinné podoby tohoto dokumentu je odpovědný za včasné a správné zapracování účinných oprav a změn a za provedení příslušného záznamu. Oprava/změna a její pořadové číslo Číslo jednací Účinnost od Opravu/změnu zapracoval
OBSAH Strana ROZSAH ZNALOSTI... 5 ZKRATKY A ZNAČKY... 6 ČÁST PRVNÍ Úvodní Ustanovení... 7 ČÁST DRUHÁ Stanovení odpovědnosti... 7 ČÁST TŘETÍ Účel a místo zpracování osobních údajů... 7 Článek 1 Oblast BOZP... 7 Článek 2 Oblast FKSP... 7 Článek 3 Oblast vzdělávání... 8 Článek 4 Oblast personálně-mzdové administrace... 9 Článek 5 Místo zpracování osobních údajů... 9 ČÁST ČTVRTÁ Postup při zpracování osobních údajů... 9 Článek 1 Oblast BOZP... 9 Článek 2 Oblast FKSP a komunikace s odborovými organizacemi... 9 Článek 3 Osobní údaje zpracovávané dle předpisu SŽDC Zam1... 10 Článek 4 Osobní údaje zpracovávané na zajištění jazykového a dalšího vzdělávání10 ČÁST PÁTÁ Opatření k ochraně osobních údajů... 11 ČÁST ŠESTÁ Opatření proti neoprávněnému nebo nahodilému přístupu... 11 ČÁST SEDMÁ Opatření proti neoprávněnému zpracování a zneužití... 12 ČÁST OSMÁ Výkon práv subjektů údajů... 12 ČÁST DEVÁTÁ Údržba a opravy výpočetní techniky O10... 12 ČÁST DESÁTÁ Odborná způsobilost osob... 12 ČÁST POSLEDNÍ Závěrečná ustanovení... 13 4
ROZSAH ZNALOSTI Níže uvedená tabulka stanovuje rozsah znalosti tohoto dokumentu pro pracovní zařazení (funkci) nebo činnost, přičemž: informativní znalostí se rozumí taková znalost, při které příslušný zaměstnanec má povědomí o tomto dokumentu, zná předmět jeho úpravy a při náhledu do příslušného ustanovení je schopen se podle takového ustanovení samostatně řídit nebo podle něj samostatně konat; úplnou znalostí se rozumí taková znalost, při které příslušný zaměstnanec má povědomí o tomto dokumentu, zná předmět jeho úpravy a bez náhledu do příslušného ustanovení je schopen se podle takového ustanovení samostatně řídit nebo podle něj samostatně konat; doslovnou znalostí se rozumí taková znalost, při které příslušný zaměstnanec zná text, který je v příslušném ustanovení napsán v uvozovkách kurzivou, přesně a je schopen jej bez náhledu do příslušného ustanovení samostatně reprodukovat. Není-li rozsah znalosti pro pracovní zařazení (funkci) nebo činnost stanoven, stanoví rozsah znalosti, pokud je tak třeba učinit, příslušný vedoucí zaměstnanec. Pracovní činnost nebo zařazení (funkce) Zaměstnanci odboru personálního (O10) Úplná: celý pokyn Znalost ustanovení 5
ZKRATKY A ZNAČKY Níže uvedený seznam obsahuje zkratky a značky použité v tomto dokumentu. V seznamu se neuvádějí legislativní zkratky, zkratky a značky obecně známé, zavedené právními předpisy, uvedené v obrázcích, příkladech nebo tabulkách. BOZP... Bezpečnost a ochrana zdraví při práci FKSP... Fond kulturních a sociálních potřeb GDPR... Nařízení Evropského parlamentu a Rady (EU) 2016/679 HDD... Pevný disk O10... Odbor personální OOPP... Osobní ochranný pracovní prostředek 6
ČÁST PRVNÍ ÚVODNÍ USTANOVENÍ Tento Pokyn ředitele odboru personálního (dále jen Pokyn ) je vydáván na základě ustanovení Směrnice SŽDC č. 97 k zajištění ochrany osobních údajů (dále jen Směrnice č. 97 ) v platném znění. Účelem tohoto Pokynu je aplikace výše uvedené směrnice do konkrétních podmínek při zpracování osobních údajů na odboru personálním. Veškerá ustanovení tohoto Pokynu lze vykládat jen v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen GDPR ), se Směrnicí SŽDC č. 97 a ostatními obecně závaznými předpisy. ČÁST DRUHÁ STANOVENÍ ODPOVĚDNOSTI Za soulad zpracování osobních údajů s GDPR, Směrnicí SŽDC č. 97 a ostatními právními předpisy zodpovídá v oblasti své působnosti ředitel odboru personálního. ČÁST TŘETÍ ÚČEL A MÍSTO ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ Článek 1 Oblast BOZP (1) Osobní údaje zaměstnanců (subjektů údajů) jsou zpracovávány zaměstnanci pověřenými agendou BOZP (pověření zaměstnanci O10 GŘ SŽDC a zaměstnanci CSS) z důvodů objasňování příčin a okolností vzniku pracovních úrazů a nemocí z povolání, včetně následného zajištění odškodnění a z důvodů souvisejících se zajišťováním agendy BOZP, zejména při identifikaci zaměstnanců pro účely školení a ověřování jejich znalostí, identifikaci rizik pro účely vybavení zaměstnanců OOPP apod. (2) Osobní údaje jsou uvedeny v jednotlivých dokumentech a spisových dokumentacích pro níže uvedenou oblast (včetně elektronické evidence vedené na intranetu SŽDC): pracovní úrazy a nemoci z povolání; školení a ověřování znalostí BOZP; identifikace rizik OOPP. Článek 2 Oblast FKSP (1) Osobní údaje subjektů (zaměstnanců, bývalých zaměstnanců a rodinných příslušníků) jsou zpracovávány za účelem poskytování, evidence a kontroly oprávněnosti čerpání příspěvků z FKSP. (2) V oblasti komunikace s odborovými organizacemi jsou osobní údaje zpracovávány za účelem evidence Prohlášení o mlčenlivosti, členství odborových funkcionářů ve výborech odborové organizace (především uvolněných pro výkon funkce v odborové organizaci). 7
Článek 3 Oblast vzdělávání (1) Osobní údaje jsou na oddělení vzdělávání zpracovávány z těchto důvodů: a) plnění požadavků stanovených ve vnitřním předpise SŽDC Zam1 o odborné způsobilosti a znalosti osob při provozování dráhy a drážní dopravy; b) zajištění jazykového a dalšího vzdělávání; c) zajištění spolupráce se školami. (2) Plnění požadavků stanovených ve vnitřním předpise SŽDC Zam1 se týká: a) centrální evidence Doplňkového osvědčení strojvedoucího SŽDC; b) centrálního evidence školitelů pověřených ke školení zaměstnanců SŽDC a zaměstnanců dodavatelů činností; c) centrální evidence přihlášek ke školení (kurzům) prováděných v souladu s požadavky vyšších právních norem a metodických pokynů; d) evidence přihlášek a výkonu zkoušek pro získávání odborné způsobilosti a znalosti osob při provozování dráhy a drážní dopravy; e) oznamování termínu a výkonu vstupního školení a pravidelného školení zaměstnanců SŽDC a zaměstnanců dodavatelů činností; f) výkonu a evidence kontrolní činnosti vykonávané v souladu s požadavky Směrnice SŽDC č. 113 Manuál kontrolní činnosti. (3) Plnění požadavků na zajištění jazykového a dalšího vzdělávání se týká: a) centrální evidence přihlášek, prezenčních listin a fotodokumentace jazykového a dalšího vzdělávání; b) evidence osobních údajů zaměstnanců, kteří se účastní projektů financovaných evropskými či národními fondy; c) evidence účastníků speciálních vzdělávacích projektů např. TOP 30. (4) Plnění požadavků na spolupráci se školami se týká: a) evidence účastníků náborových a odborných akcí; b) evidence studentů spolupracujících na školních pracích; c) evidence studentů účastnících se stipendijního programu ČéDeS a Studentského programu NádraŽák. (5) Osobní údaje zpracovává fyzická osoba v rámci náplně pracovní činnosti v místě (místech) výkonu pracovní činnosti, tzn. zaměstnanec SŽDC určený vedoucím zaměstnancem odboru personálního. (6) Určený zaměstnanec provádějící evidenci, administraci případně výkon úkonů uvedených v části čtvrté není oprávněn poskytovat záznamy a informace třetí straně pokud to nevyžaduje: a) účel jejich zpracování; b) vyšší právní norma; c) oprávněný zájem orgánů veřejné moci. 8
Článek 4 Oblast personálně-mzdové administrace (1) Osobní údaje zaměstnanců (subjektů údajů) jsou zpracovávány pověřenými zaměstnanci z důvodu zajištění personálně-mzdové administrace na základě platné legislativy. (2) Osobní údaje jsou uvedeny v jednotlivých dokumentech a spisových dokumentacích včetně elektronické evidence. Článek 5 Místo zpracování osobních údajů Osobní údaje jsou na odboru personálním zpracovávány na určených pracovištích Generálního ředitelství SŽDC. ČÁST ČTVRTÁ POSTUP PŘI ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ Článek 1 Oblast BOZP (1) Zaměstnanec pověřený agendou BOZP zpracovává osobní údaje v případech: a) objasňování příčin a okolností vzniku pracovních úrazů a nemocí z povolání, kdy osobní údaje zaznamenává do předepsaných dokumentů, včetně dokumentů uložených na intranetu SŽDC kniha úrazů, záznam o úrazu apod.; b) zajišťování školení a ověřování znalostí v souvislosti se zajištění agendy BOZP, kdy osobní údaje zaznamenává do prezenčních listin, certifikátů, dokladů o školení a do informačního systému SAP prostřednictvím Personálního portálu; c) vyhodnocování rizik pro účely přidělení OOPP, kdy osobní údaje zaznamenává do Tabulky pro vyhodnocení rizik pro výběr a použití ochranných prostředků. (2) Pro účely ukončení objasnění příčin a okolností pracovních úrazů a nemocí z povolání, včetně následného odškodnění jsou dokumenty v oblasti objasňování příčin a okolností vzniku pracovních úrazů a nemocí z povolání poskytnuty třetím stranám, a to na základě oprávněného zájmu správce a plnění povinností a výkonu zvláštních práv správce v oblasti pracovního práva. (3) Pro účely řešení úrazů nebo nemocí z povolání je postižený zaměstnanec informován o daných skutečnostech a dále je informován o tom, že jeho osobní údaje v dané věci třetí strana ( pojišťovna i zaměstnavatel) uchovává po dobu 15 let od skončení likvidace pojistné události a v případě, že je poskytována renta, po dobu 30 let od ukončení její výplaty. Protože je toto zpracování prováděno na základě zákona, nemůže zaměstnanec proti tomuto zpracování vznést námitku ani odvolat souhlas, neboť pojišťovna i zaměstnavatel jsou povinni tyto údaje zpracovávat. Navíc je rovněž poskytnuta i informace, že má dotyčný zaměstnanec právo na přístup k jeho osobním údajům, právo na jejich opravu a výmaz, právo na omezení zpracování a právo podat stížnost u dozorového orgánu, včetně způsobu kontaktování pověřence pro ochranu osobních údajů. (4) Ostatní dokumenty a spisové dokumentace, které obsahují osobní údaje, jsou uchovávány v souladu se Spisovým řádem SŽDC R2. Článek 2 Oblast FKSP a komunikace s odborovými organizacemi Evidence a kontrola osobních údajů se provádí na přiděleném počítači, který je chráněn přístupovým heslem. V písemné podobě se pracuje se seznamy subjektů pouze po dobu nezbytně nutnou, ihned poté jsou seznamy skartovány, či uloženy v uzamykatelné skříni v kanceláři odpovědného zaměstnance. 9
Článek 3 Osobní údaje zpracovávané dle předpisu SŽDC Zam1 (1) Součástí centrální evidence Doplňkového osvědčení strojvedoucího SŽDC jsou tyto požadované podklady: a) kopie obou stran licence strojvedoucího; b) kopie osvědčení o výsledku zkoušky zvláštní odborné způsobilosti ZOZ-04; c) doklad s údaji o znalosti infrastruktury; d) průkazová fotografie. (2) Součástí centrální evidence školitelů pověřených ke školení zaměstnanců SŽDC a zaměstnanců dodavatelů činností jsou tyto podklady: a) žádost o zařazení do seznamu školitelů; b) doklad o ukončeném vzdělání; c) doklad o pedagogickém vzdělání; d) doklady prokazující rozsah získaných znalostí potřebných k danému druhu školení. (3) Součástí centrální evidence přihlášek ke školením (kurzům) je přihláška s údaji dle požadavků vyšší právní normy a příslušného metodického pokynu; (4) Součástí evidence přihlášek a výkonu zkoušek pro získání odborné způsobilosti a znalosti osob při provozování dráhy a drážní dopravy jsou: a) kontaktní a profesní údaje týkající se zkoušeného; b) kontaktní a profesní údaje týkající se zkoušejícího; c) kontaktní údaje týkající se zaměstnavatele zkoušeného. (5) Součástí výkonu a evidence kontrolní činnosti vykonávané v souladu s požadavky Směrnice SŽDC č. 113 Manuál kontrolní činnosti jsou: a) kontaktní a profesní údaje týkající se zaměstnance pověřeného k provedení kontroly; b) kontaktní a profesní údaje týkající se kontrolovaného zaměstnance. Článek 4 Osobní údaje zpracovávané na zajištění jazykového a dalšího vzdělávání (1) Součástí centrální evidence přihlášek, prezenčních listin a fotodokumentace do jazykového a dalšího vzdělávání jsou kontaktní údaje zaměstnance. (2) Součástí evidence osobních údajů zaměstnanců, kteří se účastní projektů financovaných evropskými či národními fondy: a) osobní a kontaktní údaje zaměstnance, které vyžaduje příslušná legislativa a orgány financující projekt, fotodokumentace nebo filmová dokumentace z kurzu (může obsahovat tváře zaměstnanců); b) součástí evidence osobních údajů zaměstnanců, kteří se účastní speciálních vzdělávacích projektů např. TOP 30; c) osobní a kontaktní údaje zaměstnance, fotodokumentace nebo filmová dokumentace z kurzu (může obsahovat tváře zaměstnanců). 10
Článek 5 Osobní údaje zpracovávané při spolupráci se školami (1) Součástí evidence účastníku náborových a odborných akcí: a) osobní a kontaktní údaje účastníka; b) kontaktní údaje smluvní či spolupracující školy; c) fotodokumentace nebo filmová dokumentace z náborových akcí (obsahuje tváře účastníků). (2) Součástí evidence studentů spolupracujících na studentských pracích: a) osobní a kontaktní údaje studenta; b) kontaktní údaje smluvní či spolupracující školy. (3) Součástí evidence studentů účastnících se stipendijního programu ČéDes a studentského programu NádraŽák: a) osobní a kontaktní údaje studenta; b) studijní výsledky studenta; c) kontaktní údaje případného zástupce/ručitele studenta; d) kontaktní údaje školy. Článek 6 Osobní údaje zpracovávané při personálně-mzdové administraci V rámci této agendy jsou zpracovávány osobní údaje dle příslušné legislativy a vnitropodnikových předpisů. ČÁST PÁTÁ OPATŘENÍ K OCHRANĚ OSOBNÍCH ÚDAJŮ (1) Veškeré zpracování agendy odboru personálního musí probíhat ve smyslu zpracovaných Záznamů o činnostech zpracování. (2) Vstup do budovy s pracovišti zaměstnanců O10 je zabezpečen vrátným, čtečkou stupních karet či uzamykatelnými vchodovými dveřmi. Vstup do prostoru zpracování osobních údajů/kanceláře je zabezpečen cylindrickou vložkou. (3) Osobní údaje jsou uloženy v uzamykatelných skříních příp. uzamykatelných plechových registrech. V době nepřítomnosti oprávněné osoby jsou klíče od registrů uloženy v uzamčené zásuvce. (4) Náhradní klíče od kanceláří jsou umístěny na nepřetržitě obsazené vrátnici (recepci) nebo v zapečetěné obálce na sekretariátu dle jednotlivých objektů a jeho vydání podléhá režimovým opatřením. ČÁST ŠESTÁ OPATŘENÍ PROTI NEOPRÁVNĚNÉMU NEBO NAHODILÉMU PŘÍSTUPU (1) Přístup do místnosti, kde jsou osobní údaje uloženy, je umožněn pouze oprávněným osobám a to pomocí fyzického klíče. (2) Opravy, úpravy a údržba (včetně běžného úklidu resp. čištění) prostoru, kde probíhá zpracování osobních údajů, prováděné nikoliv oprávněnými osobami, v případě, že nejsou veškeré dokumenty s osobními údaji uzamčeny ve skříních či plechových registrech, jsou možné jen za nepřetržitého osobního dohledu oprávněné osoby. 11
(3) Při každém opuštění prostoru, kde dochází ke zpracování osobních údajů jej poslední oprávněná osoba uzamkne. ČÁST SEDMÁ OPATŘENÍ PROTI NEOPRÁVNĚNÉMU ZPRACOVÁNÍ A ZNEUŽITÍ (1) Přístup ke zpracovávaným a zpracovaným osobním údajům je umožněn jen oprávněným zaměstnancům O10. (2) Přístup k elektronickým záznamům je umožněn jen těmto oprávněným osobám se znalostí přístupového hesla. (3) Není dovoleno nechávat osobní údaje volně k dispozici bez dohledu. Platí, že písemnosti a jiné nosiče osobních údajů je dovoleno uchovávat samostatné pouze v uzamykatelných pracovištích/místnostech, případně pouze v uzamykatelných skříních. (4) Je vyžadováno dodržování zásady prázdného stolu při skončení pracovní doby a zamknuté obrazovky při každém opuštění kanceláře oprávněnou osobou. Na nástěnkách v kancelářích, ani na jiných volně přístupných místech, nesmí být vyvěšeny žádné seznamy s osobními údaji (jména s daty narození, fotografie zaměstnanců se jmény, přístupová hesla apod.). Karty na vstup do budovy a další doklady musí mít oprávněný zaměstnanec pod neustálým dohledem. ČÁST OSMÁ VÝKON PRÁV SUBJEKTŮ ÚDAJŮ (1) Na základě požadavku Pověřence provede odpovědná osoba zpracovávající osobní údaje šetření a vyřídí žádost subjektu údajů. Informaci o vyřízení žádosti předá zpět Pověřenci. (2) Je-li žádost nejasná nebo neúplná, je žadatel vyzván k jejímu upřesnění nebo doplnění. Lhůta pro odpověď na žádost o informaci začne běžet až po dostatečném upřesnění nebo doplnění. ČÁST DEVÁTÁ ÚDRŽBA A OPRAVY VÝPOČETNÍ TECHNIKY O10 (1) Opravy výpočetní techniky zaměstnanců odboru personálního musí probíhat na pracovišti O10 za nepřetržitého osobního dohledu oprávněné osoby. V případě nutnosti provedení opravy mimo pracoviště O10, musí být z výpočetní techniky vyjmut HDD, který obsahuje osobní údaje. Tento HDD musí být uzamčen v souladu s předchozími pokyny. (2) Při výměně výpočetní techniky musí přenos dat probíhat za nepřetržitého osobního dohledu oprávněné osoby. Při přenosu nemůže býti využito síťové úložiště. ČÁST DESÁTÁ ODBORNÁ ZPŮSOBILOST OSOB (1) Osoby pověřené obsluhou zařízení, jímž jsou zpracovávány osobní údaje, musí být poučeny o: a) zachovávání mlčenlivosti o technických, organizačních a zjištěných skutečnostech souvisejících s obsluhou a dbát, aby se tyto skutečnosti nedostaly k nepovolaným osobám. Zásada mlčelivosti se nevztahuje na informační povinnost podle zvláštních zákonů; b) neposkytování jakékoliv informace související se zpracováním osobních údajů jiným než oprávněným osobám. (2) Jedenkrát ročně je prováděno pravidelné proškolení zaměstnanců O10 v problematice ochrany osobních údajů formou e-learningu. 12
ČÁST POSLEDNÍ ZÁVĚREČNÁ USTANOVENÍ (1) V souvislosti s výše uvedenou legislativou ukládám všem zaměstnancům O10, aby zpracování a uchovávání osobních údajů prováděli v souladu s tímto Pokynem. (2) Pokyn nabývá účinnosti dnem zveřejnění. 13