Zásady ochrany osobních údajů

Směrnice pro vyřizování žádostí subjektů údajů uplatňujících svá práva podle obecného nařízení o ochraně údajů

Použité zkratky:

GDPR General Data Protection Regulation

EU Evropská unie

Zákon Zákon č. 110/2019 Sb. Zákon o zpracování osobních údajů

Čl. I

Účel

1. Účelem této směrnice je upravit způsob a postup při vyřizování žádostí subjektů údajů, kterými si tyto uplatní svá práva v souladu s čl. 15 až čl. 22 GDPR. Směrnice se vztahuje na všechny oprávněné osoby, které zpracovávají osobní údaje subjektů údajů v rámci zpracování osobních údajů v informačních systémech správce.
2. Tato směrnice je vydána ve smyslu aktuálně platné legislativy na úseku ochrany osobních údajů.

Čl. II

Základní pojmy

1. Osobní údaj – veškeré informace o identifikované nebo identifikovatelné fyzické osobě (taková osoba se nazývá „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.
2. Informační systém osobních údajů – je jakýkoli uspořádaný soubor osobních údajů, které jsou přístupné podle určených kritérií, bez ohledu na to, zda se jedná o systém centralizovaný, decentralizovaný nebo distribuovaný na funkčním nebo geografickém základě.
3. Souhlas subjektu údajů – souhlasem subjektu údajů je jakýkoli vážný a svobodně daný, konkrétní, informovaný a jednoznačný projev vůle ve formě prohlášení nebo jednoznačného potvrzujícího. 
4. Zpracovávání osobních údajů – zpracováním osobních údajů se rozumí zpracovatelská operace nebo soubor zpracovatelských operací s osobními údaji nebo se soubory osobních údajů, zejména získávání, zaznamenávání, pořádání, strukturování, uchovávání, změna, vyhledávání, prohlížení, využívání, poskytování přenosem, šířením nebo jiným způsobem, přeskupování nebo kombinování, omezení, vymazání, bez ohledu na to, zda se provádí automatizovanými prostředky nebo neautomatizovanými prostředky.
5. Subjekt údajů – subjekt údajů je každá fyzická osoba, jejíž osobní údaje se zpracovávají.
6. Správce osobních údajů – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů.
7. Zpracovatel – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje za správce.
8. Oprávněná osoba – fyzická osoba, která má přístup k osobním údajům správce a zpracovává je na základě jeho pokynu.
9. Práva subjektu údajů – práva subjektu údajů garantovaná v čl. 13 až čl. 22 nařízení Evropského parlamentu a Rady EU 2016/679 o ochraně fyzických osob při zpracování osobních údajů a o volném pohybu takových údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Pro účely této směrnice je to zejména právo na přístup k osobním údajům, právo na opravu osobních údajů, právo na vymazání osobních údajů (právo na zapomnění), právo na omezení zpracování, právo na přenosnost osobních údajů, právo namítat proti zpracování včetně namítání proti profilování (pokud se provádí), právo odvolat souhlas se zpracováním osobních údajů.
10. Účel zpracování osobních údajů – je předem jednoznačně vymezený nebo stanovený záměr zpracovávání osobních údajů, který se váže na určitou činnost.
11. Žadatel – fyzická osoba, která je subjektem údajů a která vykonává svá práva v souladu s nařízením Evropského parlamentu a Rady EU 2016/679 o ochraně fyzických osob při zpracování osobních údajů a o volném pohybu takových údajů, kterým se zrušuje směrnice 95/46 /ES (obecné nařízení o ochraně osobních údajů).
12. Žádost subjektu údajů – forma uplatnění práv subjektů údajů podle čl. 15 až 22 nařízení Evropského parlamentu a Rady EU 2016/679 o ochraně fyzických osob při zpracování osobních údajů a o volném pohybu takových údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). 

Čl. III
Přijímání žádostí subjektů údajů

1. Žádosti subjektů údajů, jimiž si tato práva uplatňují svá práva ve smyslu čl.15 až 22 GDPR, může správce přijmout: a) poštou v souladu s informací uvedenou na webovém sídle správce, jakož i na intranetu pro zaměstnance; b) elektronickou poštou adresovanou na e-mailovou schránku odpovědné osoby nebo v souladu s informací uvedenou na webovém sídle správce. Je-li žádost doručena poštou, po přijetí se žádost potvrdí přijímacím razítkem s uvedením dne přijetí žádosti, čísla řízení a žádost se zapíše do došlé pošty. Následně se žádost zaeviduje do zvláštní evidence vyřizování žádostí subjektů údajů, kterou je třeba vést v souladu s registraturním řádem správce. Po zaevidování do došlé pošty se vyhotoví kopie žádosti (fotokopie, sken), která bude neprodleně postoupena odpovědné osobě nebo kontaktní osobě k vyřizování žádostí subjektů údajů. V případě, že se žádost posílá e-mailem prostřednictvím internetu, je nezbytné dokument ochránit heslem. Originál žádosti se zakládá do zvláštního pořadače určeného k vyřizování žádostí subjektů údajů podle GDPR.
2. Je-li žádost doručena elektronickou poštou, po přijetí se žádost vytiskne, potvrdí razítkem došlé pošty a zapíše do došlé pošty. Výtisk žádosti se zakládá do zvláštního pořadače určeného k vyřizování žádostí subjektů údajů podle GDPR. Po zaevidování do došlé pošty se žádost neprodleně poskytne odpovědné osobě nebo kontaktní osobě k vyřizování žádostí subjektů údajů.

Čl. IV
Evidence žádostí subjektů osobních údajů

1. O přijetí žádosti subjektů osobních údajů se vede zvláštní evidence. Evidenční list tvoří tyto osobní údaje: jméno, příjmení, datum narození, adresa bydliště, telefonní číslo, e-mailová adresa.
2. Dalšími údaji uvedenými v evidenci je označení typu žádosti v návaznosti na čl. 15 až čl. 22 GDPR. 
3. Přijímání žádostí a jejich evidenci zajišťuje Zodpovědná osoba nebo kontaktní osoba. Evidenční záznam se vede v elektronické i v tištěné formě. Tyto záznamy vedené v elektronické formě budou ukládány na intranetu v adresáři s názvem Žádosti subjektů osobních údajů, který bude přístupný pouze pro zodpovědnou osobu nebo kontaktní osobu.

Čl. V

Vybavování žádostí subjektů osobních údajů

1. Každá žádost musí obsahovat následující náležitosti: titul, jméno, příjmení, adresa trvalého pobytu žadatele, e-mailová adresa žadatele. V žádosti žadatel vyznačí svůj status ke Správci osobních údajů.
2. Po obdržení a zaevidování žádosti subjektu údajů je třeba o přijetí žádosti žadatele informovat. Potvrzení přijetí se provádí formou, kterou subjekt údajů zvolila ve své žádosti. V případě, že žadatel nepotvrdil žádnou formu, ale žádost obsahuje dostatečný seznam osobních údajů pro identifikaci subjektu údajů, korespondence s žadatelem se provádí poštou.
3. Pokud žádost neobsahuje všechny náležitosti žádosti, a tudíž je neúplná, tzn. j. neobsahuje všechny identifikační osobní údaje žadatele potřebné k tomu, aby osoba mohla být jednoznačně identifikována, v potvrzení o přijetí žádosti se uvedené informace dožádají s upozorněním na následky nedoplnění žádosti. Formulace tohoto zdůvodnění může být následující: „V případě, že svou žádost nedoplníte svými identifikačními údaji, správce nebude moci žádost vyřídit, protože Vás nedokáže jednoznačně identifikovat.“
4. Po jednoznačné identifikaci žadatele a v souladu s jeho požadavkem se prověří předmět žádosti ve spolupráci s oprávněnými osobami. V odpovědi se uvede, zda byl požadavek akceptován nebo omezen z důvodů legislativních ustanovení ve zvláštních zákonech.

Čl. VI

Právo na přístup k osobním údajům

1. Uplatní-li žadatel své právo na přístup k osobním údajům, vydá se mu potvrzení o zpracování jeho osobních údajů. Potvrzení obsahuje:

a) účely zpracování;

b) kategorie dotčených osobních údajů;

c) příjemci nebo kategorie příjemců, kterým byly nebo budou osobní údaje poskytnuty, zejména příjemci ve třetích zemích nebo mezinárodní organizace;

d) pokud je to možné, předpokládaná doba uchovávání osobních údajů, nebo není-li to možné, kritéria pro její určení;

e) existence práva požadovat od správce opravu osobních údajů týkajících se žadatele nebo jejich vymazání nebo omezení zpracování, nebo práva namítat proti takovému zpracování;

f) právo podat stížnost orgánu dozoru;

g) pokud nebyly osobní údaje získány od subjektu údajů, veškeré dostupné informace, pokud jde o jejich zdroj;

h) existenci automatizovaného rozhodování, včetně profilování uvedeného v či. 1 a 4 GDPR a v těchto případech alespoň smysluplné informace o použitém postupu, jakož i významu a předpokládaných důsledcích takového zpracování pro subjekt údajů.

2. Za jakékoli další kopie, o které žadatel požádá, můžeme účtovat přiměřený poplatek odpovídající administrativním nákladům. Pokud žadatel podal žádost elektronickými prostředky, informace se poskytnou v běžně používané elektronické podobě

Čl. VII

Právo na opravu osobních údajů

1. Pokud žadatel požádá o opravu nebo doplnění osobních údajů, které jsou nepřesné nebo neúplné, bez zbytečného odkladu se tyto údaje opraví nebo doplní. Žadateli se poskytne doplňkové prohlášení o provedení opravy.

Čl. VIII

Právo na výmaz osobních údajů

1. Pokud žadatel požádá o výmaz svých osobních údajů, bez zbytečného odkladu se vymažou jeho osobní údaje, je-li splněn některý z těchto důvodů:

a) osobní údaje již nejsou potřebné pro účely, pro které byly získávány nebo jinak zpracovávány;

b) žadatel odvolá souhlas, na jehož základě se zpracování provádí, pokud neexistuje jiný právní základ pro zpracování;

c) žadatel zpochybňuje zpracovávání podle čl. 1 GDPR a nepřevažují žádné oprávněné důvody pro zpracování nebo žadatel zpochybňuje zpracování podle čl. 2 GDPR;

d) osobní údaje byly zpracovávány nezákonně;

e) osobní údaje musí být vymazány, aby byla splněna zákonná povinnost;

f) osobní údaje byly získávány v souvislosti s nabídkou služeb informační společnosti podle čl. 1 GDPR.

2. Osobní údaje se nevymažou, pokud je zpracování potřebné:

a) k uplatnění práva na svobodu projevu a na informace;

b) ke splnění zákonné povinnosti nebo ke splnění úkolu realizovaného ve veřejném zájmu nebo při výkonu veřejné moci svěřené správci;

c) z důvodů veřejného zájmu v oblasti veřejného zdraví v souladu s či. 2 písm. h) a i), jakož i či. 3 GDPR;

d) pro účely archivace ve veřejném zájmu, pro účely vědeckého nebo historického výzkumu či pro statistické účely podle čl. 1, pokud je pravděpodobné, výmaz znemožní nebo závažným způsobem ztíží dosažení cílů takového zpracování, nebo

e) k prokazování, uplatňování nebo obhajování právních nároků. 

Čl. IX

Právo na omezení zpracovávání osobních údajů

1. Žadatel může požadovat, aby správce omezil zpracování, pokud jde o jeden z těchto případů:

a) žadatel napadne správnost osobních údajů, a to během období umožňujícího správci ověřit správnost osobních údajů;

b) zpracování je protizákonné a žadatel zpochybňuje vymazání osobních údajů a žádá místo toho omezení jejich použití;

c) správce již nepotřebuje osobní údaje pro účely zpracování, ale potřebuje je žadatel k prokázání, uplatňování nebo obhajování právních nároků;

d) žadatel zpochybnil zpracování podle čl. 21 odst. 1 písm. 1 GDPR, a to až do ověření, zda oprávněné důvody na straně správce převažují nad oprávněnými důvody žadatele.

2. Pokud bylo zpracování omezeno, tyto osobní údaje se s výjimkou uchovávání zpracovávají pouze se souhlasem žadatele nebo k prokazování, uplatňování nebo obhajování právních nároků nebo k ochraně práv jiné fyzické nebo právnické osoby nebo z důvodů důležitého veřejného zájmu Unie nebo členského státu.

3. Žadatel, který dosáhl omezení zpracování, se informuje před tím, než bude omezení zpracování zrušeno.

Čl. X

Právo na přenosnost údajů

1. Žadatel může žádostí získat osobní údaje, které se jí týkají a které poskytl správci, ve strukturovaném, běžně používaném a strojově čitelném formátu. Pokud je to technicky možné, může požádat, aby byly tyto údaje přeneseny dalšímu správci, aniž by mu správce, kterému byly tyto osobní údaje poskytnuty, bránil, pokud:

a) se zpracování zakládá na souhlasu nebo na smluvním základě, a

b) pokud se zpracování provádí automatizovanými prostředky.

2. Uvedené právo se nevztahuje na zpracování nezbytné ke splnění úkolu realizovaného ve veřejném zájmu nebo při výkonu veřejné moci svěřené správci. Žádosti nevyhovíme, pokud by přenos údajů měl nepříznivé důsledky na práva a svobody jiných.

Čl. XI

Právo namítat

1. Žadatel má právo kdykoli namítat z důvodů týkajících se jeho konkrétní situace proti zpracování osobních údajů, které se ho týkají a které je vykonáváno na základě či. 1 písm. e) nebo f) GDPR, včetně namítání proti profilování založenému na uvedených ustanoveních. V takovém případě se osobní údaje nesmějí dále zpracovávat, pokud se neprokáží nezbytné oprávněné důvody pro zpracování, které převažují nad zájmy, právy a svobodami žadatele osoby, nebo důvody pro prokazování, uplatňování nebo obhajování právních nároků.
2. Pokud žadatel namítá vůči zpracování za účelem přímého marketingu, osobní údaje již nesmí být pro takové účely dále zpracovávány.
3. Pokud jsou osobní údaje zpracovávány pro účely vědeckého nebo historického výzkumu či pro statistické účely, žadatel má právo vznést námitky z důvodů týkajících se jeho konkrétní situace proti zpracování osobních údajů. Takovému namítání však nevyhovíme, je-li zpracování nezbytné k plnění úkolu z důvodů veřejného zájmu.
4. Žadatel může namítat, aby se na něj nevztahovalo rozhodnutí, které je založeno výlučně na automatizovaném zpracování, včetně profilování, a které má právní účinky, které se ho týkají nebo ho podobně významně ovlivňují. Takové žádosti se nevyhoví, je-li rozhodnutí:

a) nezbytné k uzavření nebo plnění smlouvy mezi žadatelem a správcem,

b) povoleno právem Unie nebo právem členského státu, kterému správce podléhá a kterým se zároveň stanoví i vhodná opatření zaručující ochranu práv a svobod a oprávněných zájmů žadatele, nebo

c) založeno na výslovném souhlasu žadatele.

Čl. XII
Lhůta pro vyřízení žádosti

1. Správce je povinen vyřídit žádost ve lhůtě 30 dnů od doručení.

V odůvodněných případech lze tuto lhůtu prodloužit nejvýše o další dva měsíce. Odůvodněným případem je například složitost žádosti nebo velký počet žádostí. V případě prodloužení lhůty je správce povinen informovat žadatele o této skutečnosti před uplynutím lhůty pro vyřízení žádosti a zdůvodnit prodloužení lhůty.

2. Lhůta je dodržena, pokud správce oznámení o prodloužení lhůty spolu s jejím zdůvodněním podá k poštovní přepravě nejpozději 30. den od převzetí žádosti.

Žádost subjektu údajů na uplatnění jejích práv

ve smyslu článků 15 až 22 obecného nařízení o ochraně údajů (GDPR)

Adresát (správce):

KALI YOGA s.r.o., Podštampilí 711, 783 72 Velký Týnec, IČO: 233 76 333

………………………………………………………………………………………. …………………………………………

Žadatel (subjekt údajů):

Titul, jméno a příjmení: …………………………………….. …………………………………………………………

Adresa: ……………………………………………………………………………………………………………………….

E-mailová adresa: ………………………………………………………………………………………………………..

Status subjektu údajů vůči správci (vyznačit):

• zaměstnanec □ zákazník
• bývalý zaměstnanec□ uchazeč o zaměstnání
• jiná fyzická osoba: ……………………………………………..

Právo, které si podle nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 (dále jen „nařízení GDPR“) subjekt údajů svou žádostí uplatňuje (vyznačit i více možností): 

Odvolání souhlasu v případě, že se osobní údaje zpracovávají na základě souhlasu subjektu údajů (článek 7 nařízení GDPR) 

(odvolání souhlasu nemá vliv na zákonnost zpracování osobních údajů, které byly na jeho základě zpracovávány do jeho odvolání)

Přístup k osobním údajům; potvrzení o zpracování osobních údajů; kopie osobních údajů (článek 15 nařízení GDPR) (přístup nesmí mít nepříznivé důsledky pro práva jiných fyzických osob),

Oprava a doplnění osobních údajů (článek 16 nařízení GDPR),

Výmaz osobních údajů (právo „k zapomenutí“) (článek 17 nařízení GDPR)

(nepotřebných, zpracovávaných nezákonně, při odvolání souhlasu ke zpracování, pokud neexistuje jiný právní základ zpracování; neuplatňuje se při údajích zpracovávaných při výkonu veřejné moci svěřené správci, zpracovávaných za účelem archivace, vědecký nebo statistický účel, historický výzkum, na uplatnění práva na svobodu projevu a práva na informace, na prokazování a uplatňování právních nároků),

Omezení zpracovávání osobních údajů (článek 18 nařízení GDPR)

(do provedení opravy nesprávných údajů; do ověření, zda oprávněné zájmy Úřadu

pro regulaci hazardních her nepřevažují zájmy subjektu údajů; pokud subjekt údajů

namítá výmaz údajů a požaduje jej nahradit omezením zpracování; pokud již

správce údaje nepotřebuje, ale potřebuje je subjekt údajů k uplatnění právního

nároku),

Přenesení osobních údajů zpracovávaných automatizovanými prostředky (článek 20 nařízení GDPR),

Namítání zpracování osobních údajů (článek 21 nařízení GDPR)

(při zpracování na základě veřejného zájmu nebo výkonu veřejné moci zveřejněné správci nebo na základě oprávněných zájmů správce),

uplatnění práva, aby se na subjekt údajů nevztahovalo automatizované individuální rozhodování včetně profilování (článek 22 nařízení GDPR).

Upřesnění údajů k uplatňovanému právu a žádosti:

Způsob, kterým si přeji dostat informaci o vyřízení mé žádosti:

⃣    listinná forma                                      ⃣     elektronická forma (e-mail)

⃣     elektronická schránka (česko.cz)

V …………………………………… dne ……………………………………

…………………………………………………

vlastnoruční podpis subjektu údajů