Source: https://www.equica.cz/poradenstvi-pro-firmy/gdpr/prehled-novinek-z-oblasti-gdpr-pro-soukrome-spolecnosti/
Timestamp: 2020-06-06 22:36:13+00:00

Document:
Přehled novinek z oblasti GDPR pro soukromé společnosti | Equica
Poradenství pro firmy GDPR Přehled novinek z oblasti GDPR pro soukromé společnosti
Na základě účinnosti zákona č. 110/2019 Sb., o zpracování osobních údajů, musejí veřejnoprávní i soukromoprávní subjekty v postavení správce osobních údajů či zpracovatele osobních údajů provést revizi dokumentace upravující zpracování osobních údajů v organizaci / společnosti.
V prvé řadě je nezbytné provést formální revizi dokumentace týkající se osobních údajů, tj. změnu odkazů na relevantní předpisy, zejména tam, kde dokumenty odkazovaly na předchozí zákon č. 101/2000 Sb., o ochraně osobních údajů. Dále je třeba v rámci revizí dokumentace posoudit, zda na správce osobních údajů či zpracovatele osobních údajů dopadají i dílčí změny některých zákonů, k nimž došlo účinností zákona č. 111/2019 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. Revize dokumentace je potřeba také v případě, že se na organizaci / společnost vztahuje povinnost provádět DPIA (posouzení vlivu na ochranu osobních údajů).
Pořizování a vyhodnocování kamerového záznamu společností
Kamerový záznam (obrazový, videozáznam) je osobním údajem za předpokladu, že lze ze snímku přímo či nepřímo identifikovat konkrétní fyzickou osobu. Společnost má pravomoc pořizovat záznam z kamerového systému ke sledování budov a objektů v jejím vlastnictví či nájmu proto, aby ochránila svůj majetek, kontrolovala své zaměstnance a klienty společnosti (v těchto případech se jedná o ochranu majetku společnosti, ne o ochranu obecné bezpečnosti a veřejného pořádku). Společnost ale nemá pravomoc provozovat kamerové systémy k jiným účelům, např. k odhalovací činnosti. Odhalovací činnost nemůže provádět společnost sama, neboť se jedná o dohled nad veřejným pořádkem či dodržování předpisů v rámci provozu na pozemních komunikacích (tuto pravomoc má Policie ČR nebo obecní policie).
Při provozování kamerového systému musí společnost zajistit informování subjektů údajů snímaných kamerami (informování o daném monitorování a využití kamerových záznamů). Informování by mělo být v souladu se zásadou transparentnosti dostatečně jasné a jednoduché.
Osobní údaje bývalého zaměstnance jsou i po skončení pracovního poměru zaměstnavatelem dále zpracovávány, např. v rámci evidence docházky. Bývalý zaměstnanec může pro získání informace od svého bývalého zaměstnavatele využít práva subjektu údajů na přístup k osobním údajům podle čl. 15 Nařízení GDPR. Součástí tohoto práva je i právo na poskytnutí kopie zpracovávaných osobních údajů, tedy kopie údajů, které jsou o zaměstnanci v evidenci docházky vedeny. Právo na poskytnutí kopie zpracovávaných osobních údajů však nezakládá právo nahlížet do spisů nebo evidencí, tedy např. do evidence docházky nebo osobního spisu (v případě současných zaměstnanců toto výslovně upravuje zákoník práce).
V rámci zpracování osobních údajů je důležité provádět pravidelná školení zaměstnanců společnosti v oblasti ochrany osobních údajů. Obecně je doporučeno proškolit zaměstnance v oblasti ochrany osobních údajů v rámci vstupního školení pro nové zaměstnance – nastupující zaměstnanec standardně vždy projde základním vstupním školením, tj. BOZP, požární ochrana, IT školení atd., k těmto školením je tedy vhodné přidat i ochranu osobních údajů. Všichni zaměstnanci společnosti by měli být seznámeni se základy GDPR, měli by min. znát základní pojmy a umět identifikovat osobní údaje.
Při využívání online rezervačního systému zadávají klienti do systému své jméno a telefonní číslo. Jsou-li tyto osobní údaje poskytovány v souvislosti se vznikem právního vztahu, např. v souvislosti s uzavřením smlouvy (tj. klient si rezervuje službu, ohledně které se uzavírá smlouva), je pro vznik a realizaci daného právní­ho vztahu nezbytná oboustranná výměna informací. V případě následné rezervace služby není tedy potřeba sou­hlasu subjektu se zpracováním osobních údajů a plně postačuje splnění informační po­vinnosti o zpracování osobních údajů na webových stránkách.
Opodstatněnost doložení trestní bezúhonnosti – výpisu z Rejstříku trestů v průběhu trvání pracovněprávního vztahu, či před jeho uzavřením, je buď zákonem stanovená povinnost, nebo je dána povahou pracovní náplně zaměstnance společnosti.
Zaměstnavatel (společnost) smí dle ustanovení § 30 odst. 2 zákona č. 262/2006 Sb., zákoník práce, vyžadovat v souvislosti s jednáním před vznikem pracovního poměru od fyzické osoby, která se u něj uchází o práci, jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy.
Zveřejněná informace o možnosti zasílat motivační dopisy a životopisy na danou pracovní pozici musí obsahovat konkrétní kontakt pro zaslání těchto dokumentů (nemělo by se tedy jednat o obecnou adresu přístupnou několika zaměstnancům společnosti) a dále musí obsahovat poučení o tom, jak budou chráněny osobní údaje uchazeče / potenciálního zaměstnance, které zaměstnavatel ve výběrovém řízení získá.
Při zajišťování bezpečnosti a ochrany zdraví při práci a požární ochrany zaměstnavatel (společnost) zpracovává osobní údaje zaměstnanců. Zaměstnavatel je povinen zabezpečit osobní údaje zaměstnanců bez ohledu na to, zda si plnění povinností BOZP a PO zajišťuje sám (svým zaměstnancem), nebo prostřednictvím externí společnosti.
Dobu uchovávání dokumentů vztahujících se k BOZP a PO řeší Spisový a skartační řád společnosti, v některých případech je doba uchování upravena přímo právním předpisem, např.:
Vedení a archivace personální agendy musí korespondovat se schváleným Spisovým a skartačním plánem původce (společnosti). Pokud jsou položky z oblasti personalistiky ve Spisovém a skartačním plánu společnosti uvedeny pod samostatnými spisovými znaky, musí je zaměstnanci společnosti i takto ukládat a nelze je vkládat do spisu, který má spisový znak a skartační režim jiný než zbytek dokumentů.
Osobní spis zaměstnance společnosti má být koncipován jako typový spis s více součástmi – je chápán jako složka zaměstnance bez skartačního režimu, do které budou vkládány k němu se vážící dokumenty se svými skartačními režimy. Tyto dokumenty se budou průběžně ze složky zaměstnance skartovat poté, co jim uplynou přidělené skartační lhůty. Vyskartováním posledního dokumentu osobní spis zaměstnance zanikne.
Mzdovou agendu, tj. doklady, které byly zaměstnavatelem (společností) vytvořeny či získány při zpracování mezd zaměstnanců a týkající se sociálního a zdravotního pojištění zaměstnanců, odvádění daní atd., je nutné uchovávat po dobu určenou zákonem:
Zveřejňování informací o přítomnosti zaměstnanců společnosti na pracovišti
Některé společnosti v návaznosti na transparentnost činností a dostupnost služeb poskytovaných zákazníkům zveřejňují na webových stránkách společnosti (prostřednictvím docházkového systému společnosti) informace o přítomnosti či nepřítomnosti jednotlivých zaměstnanců společnosti na pracovišti. Takové zveřejnění osobních údajů představuje nedůvodný zásah do práv subjektů údajů (zaměstnanců společnosti) na ochranu jejich osobního a soukromého života a není proto v souladu se základními zásadami vyjádřenými v čl. 5 Nařízení GDPR.
Zveřejnění informace o přítomnosti zaměstnance společnosti na pracovišti navíc nevede k vyšší informovanosti zákazníka. Zákazník z uvedené informace pouze zjistí, že konkrétní zaměstnanec společnosti je v danou chvíli přítomen v zaměstnání. Zveřejněná informace ovšem nezaručuje přítomnost zaměstnance společnosti na jeho pracovišti po celou pracovní dobu.
Součástí některých formulářů společnosti mohou být navíc i doplňující údaje, mezi které patří kontaktní údaje osob (subjektu údajů), např. telefon, e-mailová adresa, datová schránka atd.
V případě zveřejnění smluv v registru smluv je potřeba provést anonymizaci osobních údajů. Ministerstvo vnitra ČR vydalo Metodický návod k aplikaci zákona o registru smluv – metodickou pomůcku k anonymizaci zveřejňovaných dokumentů – především smluv v registru smluv, na profilu zadavatele nebo na webových stránkách, ale jako metodický návod může posloužit i pro obecná pravidla anonymizace ostatních typů dokumentů. Jedná se o aktualizovanou Metodiku MV ČR, která se zaměřuje na aplikaci zákona o registru smluv, ale na stranách 53-54 je formou tabulky velmi přehledně popsáno, které položky je a není nutné před zveřejněním anonymizovat. Zároveň nám dovolte Vám připomenout, abyste při anonymizaci nezapomínali ani na přílohy smlouvy nebo např. notářské doložky.
Kamerový systém společnosti na veřejných prostranstvích

References: zákona č. 110
 zákona č. 111
 čl. 15
 § 30
 zákona č. 262
 čl. 5