Source: https://www.jccr.cz/zasady-ochrany-osobnich-udaju?p=3895
Timestamp: 2019-10-22 21:54:56+00:00

Document:
ZÁSADY OCHRANY OSOBNÍCH ÚDAJŮ | Jihočeská centrála cestovního ruchu
Jihočeská centrála cestovního ruchu (dále jen „JCCR“ je příspěvkovou organizací založenou Jihočeským krajem sídlem: U zimního stadionu 1952/2, České Budějovice 7, 370 01 České Budějovice. Hlavní činností organizace je koordinace, podpora a rozvoj cestovního ruchu na území Jihočeského kraje, a to z důvodu všeobecně akceptované prospěšnosti turismu. V rámci těchto aktivit je organizací zpracováváno množství osobních, zejména kontaktních údajů. Podpora hospodářských, sociálních a kulturních práv je zakotvena ústavou i mezinárodními smlouvami. Podpora lokální ekonomiky skrze cestovní ruch je prostředkem k dosažení lepší úrovně těchto práv.
Cílem těchto zásad je seznámit subjekty osobní údajů, tj. veřejnost, poskytovatele produktů a služeb, partnery aj. se zpracováním osobních údajů JCCR a informovat o právech, které mohou subjekty osobních údajů uplatnit.
Písemné znění těchto zásad je dostupné z webových stránek JCCR na www.jccr.cz. a dále jsou k dispozici k nahlédnutí v sídle centrály. Zásady ochrany osobních údajů jsou průběžně aktualizovány a doplňovány v souladu s aktuálním účelem zpracování a aktuální právní úpravou.
zákon č. 320/2001 Sb., o finanční kontrole ve veřejné správě, ve znění pozdějších předpisů, podle kterého jsou kontrolní orgány oprávněny kontrolovat údaje o hospodaření s veřejnými prostředky věrně zobrazují zdroje, stav a pohyb veřejných prostředků a zda tyto údaje odpovídají skutečnostem rozhodným pro uskutečnění veřejných příjmů, výdajů a nakládání s veřejnými prostředky,
zákon č. 255/2012 Sb., o kontrole, který opravňuje kontrolujícího požadovat poskytnutí údajů, dokumentů a věcí vztahujících se k předmětu kontroly nebo k činnosti kontrolované osoby
zákon č. 250/2000 Sb., o rozpočtových pravidlech územních samosprávních celků, v němž jsou upraveny vztahy mezi územně samosprávními celky a příspěvkovými organizacemi
GDPR je založeno na principu odpovědnosti správce (Jihočeské centrály cestovního ruchu) a přístupu založeném na riziku:
princip odpovědnosti znamená odpovědnost centrály za dodržení zásad zpracování, které jsou uvedeny v čl. 5 odst. 1 GDPR a zároveň musí správce být schopen tento soulad doložit (čl. 5 odst. 2 GDPR);
přístup založený na riziku znamená, že centrála musí přihlížet k pravděpodobným rizikům pro práva a svobody fyzických osob, zejména veřejnosti, a tomu musí přizpůsobit i zabezpečení osobních údajů, tj. zavést vhodná technická a organizační zabezpečení.
Správce je osoba, která určuje účely a rozhoduje o tom, jakým způsobem budou osobní údaje zpracovány. V daném případě jde o příspěvkovou organizaci Jihočeského Kraje – Jihočeskou centrálu cestovního ruchu, IČO: 72053127, se sídlem: U zimního stadionu 1952/2, České Budějovice 7, 370 01 České Budějovice
Kontaktní údaje na správce (Jihočeskou centrálu cestovního ruchu):
U zimního stadionu 1952/2, 370 01 České Budějovice
IČO: 72053127
ID datové schránky: 73jpbwd
Pověřencem pro ochranu osobních údajů byla jmenována JUDr. Iva Kuckirová, se sídlem Bašty 413/2, 602 00 Brno.
ID datové schránky: viex3yi
Každé zpracování osobních údajů má svůj účel. Pokud osobní údaje nepotřebujeme, nezpracováváme je. Obecně se účely zpracování osobních údajů rozlišují na
účely k nimž GDPR nevyžaduje váš souhlas – jedná se o zejména o zpracování v rámci plnění zákonných či smluvních povinnosti, popř. pro zpracování nezbytné pro ochranu práv a právem chráněných zájmů či zpracování, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce. V daném případě bude JCCR takto využívat především údaje o smluvních partnerech z důvodů plnění smlouvy, vedení účetnictví a plnění daňových povinností, komunikace a koordinace činností souvisejících s cestovním ruchem.
účely k nimž GDPR vyžaduje váš souhlas – zpracování osobních údajů na vaše přání, kdy zpracování osobních ukončíme ihned, jakmile souhlas odvoláte, např. odebírání newsletterů, či přihlášení do soutěží pořádaných JCCR.
marketingové účely – v některých případech tato kategorie zpracování souhlas vyžaduje, jindy ne; JCCR je nicméně příspěvkovou organizací nepodnikající, hospodařící s příspěvky Jihočeského Kraje. Souhlas vyžadovaný pro zasílání newsletterů má za cíl podporovat veřejný zájem na využívání produktů a služeb cestovního ruchu, nikoliv produkovat zisk správci.
Osobní údaje se mohou v organizaci zpracovávat pouze v souladu s GDPR na základě těchto právních titulů:
zpracování se souhlasem subjektu údajů dle čl. 6 odst. 1 písm. a) GDPR – Váš souhlas získáváme především za účelem poskytování novinek či jiných sdělení formou newsletter a dále pro případ soutěží a zasílání cen v případě výhra v soutěži. Souhlas subjektu údajů musí být informovaný, svobodný a konkrétní. Souhlas je možné kdykoliv odvolat a to žádostí na e-mailovou adresu správce, osobně nebo i jiným způsobem.
zpracování, které je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů dle čl. 6 odst. 1 písm. b) GDPR – jde o situaci, kdy JCCR vystupuje jako smluvní partner;
zpracování, které je nezbytné pro splnění právní povinnosti dle čl. 6 odst. 1 písm. c) GDPR – většina povinností vyplývá ze zákona č. 255/2012 Sb., o kontrole; zákona č. 129/2000 Sb., o krajích; zákona č. 320/2001 Sb., o finanční kontrole ve veřejné správě apod.,
zpracování, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce dle čl. 6 odst. 1 písm. e) GDPR – podpora cestovního ruchu je veřejným zájmem; je totiž prostředkem k dosažení různých ústavních práv, zejména práv hospodářských, sociálních a kulturních. K tomuto omezení bude nicméně docházet zásadně u smluvních partnerů a zaměstnanců.
zpracování, které je nezbytné pro účely oprávněných zájmů JCCR dle čl. 6 odst. 1 písm. f) GDPR – těmito zájmy jsou zejména ochrana práv organizace, zejména ochrana reputace a dobrého jména, ochrana majetku organizace, jejich zaměstnanců, vymáhání pohledávek apod.
Bez vašeho souhlasu mohou být osobní údaje v organizaci zpracovávány pouze v souladu s GDPR na základě těchto právních titulů:
zpracování, které je nezbytné pro splnění právní povinnosti – většina povinností vyplývá ze zákonů o kontrole, zákona o krajích, zákona o veřejné správě apod.;
zpracování, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce – podpora hospodářských, sociálních a kulturních práv je veřejným zájmem; je totiž realizací základních ústavních a mezinárodně uznaných lidských práv
zpracování, které je nezbytné pro účely oprávněných zájmů JCCR – těmito zájmy jsou zejména ochrana práv organizace, zejména ochrana reputace a dobrého jména, ochrana majetku organizace a jejich zaměstnanců, vymáhání pohledávek, aj.;
zpracování, které je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů – jde o situaci, kdy JCCR uzavírá smlouvy o partnerství a spolupráci a třetími subjekty.
prezentace jihočeské centrály cestovního ruchu – jde o oprávněný veřejný zájem na prezentaci výsledků činnosti, další propagaci rozvoje cestovního ruchu hájení jejího dobrého jména a pověsti; osobní údaje jsou bez souhlasu zpracovány pouze v rozumně očekává míře; nedochází k profilování na sociálních sítích;
plnění účetních povinností – správce jakožto příspěvková organizace je z důvodu financování z veřejných prostředků dozorován mnoha orgány, kterým má povinnost poskytovat součinnost při kontrole;
Plnění daňových povinností – správce je zaměstnavatelem, na kterého se vztahují daňové předpisy a předpisy mající význam pro výpočet a úhradu zdravotního i sociálního zabezpečení;
plnění jiných právních povinností, které se na správce vztahují – např. povinnost vyřizovat žádosti o informace;
plnění smluv mezi správcem a územně samosprávními celky – JCCR je založena z vůle Jihočeského Kraje a řídí se zřizovací listinou. K uzavírání smluv s dalšími územně samosprávními celky dochází při uzavírání smluv o partnerství či spolupráci.
zajišťování organizace FAM a PRESS zájezdů – na základě smlouvy, jejímž obsahem je poskytování publicity výměnou za zvýhodněnou cenu zájezdu.
Zde jsou uvedeny příklady právních předpisů, na jejichž základě dochází ke zpracování osobních údajů bez vašeho souhlasu:
zákon č. 320/2001 Sb., o finanční kontrole ve veřejné správě, ve znění pozdějších předpisů, podle kterého jsou kontrolní orgány oprávněny kontrolovat údaje o hospodaření s veřejnými prostředky, věrně zobrazují zdroje, stav a pohyb veřejných prostředků a zda tyto údaje odpovídají skutečnostem rozhodným pro uskutečnění veřejných příjmů, výdajů a nakládání s veřejnými prostředky,
zákon č. 373/2011 Sb., o specifických zdravotních službách, ve znění pozdějších předpisů, ,
odběr novinek (newsletterů) na e-mailové účty
poskytování informací ohledně pořádaných konferencí, workshopů nebo akcí obdobného charakteru
sdílení souborů na cloudovém uložišti
zpracování osobních údajů pro účely zařazení do soutěže a zaslání případné výhry
Jihočeská centrála cestovního ruchu zásadně neposkytuje osobní informace ze zištných nebo jiných důvodů třetím osobám, jestliže nejsou v souladu s hlavním cílem příspěvkové organizace, tedy jestliže nemohou sloužit k rozvoji cestovního ruchu, anebo by takové předání bylo v hrubém nepoměru k zájmům jednotlivců.
podpora rozvoje cestovního ruchu – podpora cestovního ruchu je prostředkem ke zlepšení ústavních práv hospodářských sociálních a kulturních.
Mezi hlavní cíle činnosti JCCR se řadí koordinace aktivit, tvorba produktů cestovního ruchu a propagace produktů a služeb cestovního ruchu.
Prezentace dobrého jména organizace a kraje a ochrana jejich pověstí – z důvodů výše uvedených.
ochrana majetku a bezpečnosti – z důvodu ochrany našeho majetku a majetku, života a zdraví zaměstnanců, jakož i dalších osob, před protiprávním jednáním, ale i v rámci prevence a objasňování civilních deliktů, přestupků či trestných činů může rovněž dojít ke zpracování vašich osobních údajů; pod tento zájem řadíme i zajištění bezpečného průběhu pořádaných akcí.
ochrana práv JCCR a vymáhání pohledávek – v případě soudního sporu vzniklého ze vzájemných soukromoprávních i veřejnoprávních vztahů budeme vaše osobní údaje využívat po dobu trvání soudního sporu, vč. všech řádných i mimořádných opravných prostředků, popř. po dobu jiných řízení či realizace výkonu veřejné moci (např. správní řízení, komunikace s veřejným ochráncem práv, trestní stíhání, …); mezi ochranu našich práv řadíme i vymáhání pohledávek;
usnadnění a urychlení komunikace – pro komunikaci s veřejností využíváme zpravidla e-mailovou adresu, případně i telefonické spojení.
JCCR zpracovává pouze takové údaje, které potřebuje pro účely své činnosti. Jedná se o tyto kategorie osobních údajů:
základní identifikační a kontaktní údaje fyzických osob – jméno a příjmení, e-mailová adresa, telefonní číslo
v případě podnikajících FO a PO - internetové stránky, IČ, sídlo, případně jiné údaje nutné pro fakturace podle platných právních předpisů, pracovní postavení a životopisy zástupců těchto podnikajících právnických osob případně jejich manažerů, stanovy společností, zápisy z jednání
informace ze vzájemné korespondence a komunikace mezi organizací a třetími subjekty,
fotografie –fotografie z výstav, workshopů nebo akcí obdobného charakteru.
Osobní údaje získáme z různých zdrojů, zejména od jejich původců, jejich zástupců, případně od osob oprávněných s těmito údaji disponovat a dále je poskytovat z důvodů veřejného zájmu.
8. JSTE POVINNI JCCR OSOBNÍ ÚDAJE PŘEDÁVAT?
Zpracování osobních údajů pro účely, ke kterým nevyžadujeme váš souhlas, je zákonnou či smluvní povinností, popř. je nezbytné pro ochranu našich práv a právem chráněných zájmů či pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci. V těchto případech je osoba, jíž se osobní údaje týkají, povinna JCCR osobní údaje při požádání předat. JCCR by bez těchto údajů nebyla schopná zajistit plnění právních povinností, kterými je například vedení zákonem uložené dokumentace a evidence, plnění cílů příspěvkové organizace či plnění daňových a obdobných povinností.
Jihočeská centrála cestovního ruchu je povinna uchovávat údaje týkající se jejího hospodaření podle výše zmíněných předpisů. Uchovávání osobních údajů tedy souvisí s povinností vést spisovou službu a pravidly pro skartační řízení. Zákon o archivnictví ukládá organizaci vést spisovou službu a povinnost uchovávat dokumenty a umožnit výběr archiválií. Jde o zákonnou povinnost, a proto jde o zpracování na základě čl. 6 odst. 1 písm. b) GDPR.
Spisovou službu vedeme jak elektronické podobě, tak v určitých případech i v listinné podobě. S tím souvisí i další povinnosti, jako je povinné skartační řízení (§ 7 zákona o archivnictví), povinnost vydat spisový řád (§ 66 odst. 1 zákona o archivnictví), jehož součástí je i spisový a skartační plán, který se zasílá příslušnému archivu bezodkladně po jeho vydání či změně (§ 66 odst. 2 zákona o archivnictví) a povinnost zajistit, aby budova, ve které je umístěna spisovna nebo správní archiv, splňovala stavebně-technické požadavky.
V případě, že jsou osobní údaje předávány zpracovatelům je nezbytné tyto osobní údaje dostatečně zabezpečit. S každým zpracovatelem je potřeba uzavřít tzv. zpracovatelskou smlouvu, kde se zpracovatelé zavazují k mlčenlivosti a dále k tomu, že budou zpracovávat vaše osobní údaje výhradně dle našich pokynů. O vaše osobní údaje se tak nemusíte bát.
Osobní údaje subjektů a jejich zástupců jsou předávány příjemcům nebo zpracovatelům v případech, kdy to vyžadují právní předpisy. Jedná se o předávání orgánům veřejné moci, soudům, kontrolním orgánům, popř. společnostem, které správce pověří činností, pro kterou je zpracování osobních údajů nezbytné, jako např. pořadatel veletrhů, workshopů, soutěží nebo obdobných akcí.
K osobním údajům mají přístup pouze oprávnění pracovníci, nadřízení zaměstnanci, vedení příspěvkové organizace a další oprávněné osoby, které je potřebují pro svou činnost, např. účetní.
Všichni zaměstnanci nakládají s osobní údaji v souladu s přijatou směrnicí o ochraně osobních údajů, a těmito základními zásadami:
Technologické zabezpečení zajišťuje externí společnost se zaměřením na bezpečnost IT. Soubory jsou softwarově chráněny. Přístup k elektronickým datovým souborům je zabezpečen hesly v souladu s nastavením přístupových práv. Zaměstnanci byli poučeni o tom, jak pracovat s prostředky ICT technologií.
zřízení funkce pověřence pro ochranu osobních údajů, který provádí nezávislou kontrolní funkci ochrany osobních údajů u správce,
shromažďování pouze nezbytných osobních údajů, například seznamy zájemců o newsletter obsahují pouze kontaktní e-mailovou adresu, jméno, příjmení a případně telefonní kontakt.
neposkytovat osobní údaje osobám nevykonávajícím veřejnoprávní cíle organizace
právo na přístup k osobním údajům (čl. 15 nařízení GDPR) – subjekty údajů a jejich zákonní zástupci mohou požadovat informace o tom, jaké údaje o nich organizace zpracovává;
právo na opravu osobních údajů (čl. 16 nařízení GDPR) – subjekty údajů a jejich zákonní zástupci mají právo požádat o opravu neúplných či nesprávných osobních údajů, které se jich týkají; tím není dotčena povinnost hlásit změny týkající se osobních údajů a uvádět organizaci správné a úplné osobní údaje potřebné k realizaci vzdělávání;
právo na výmaz osobních údajů (čl. 17 nařízení GDPR) – v určitých stanovených případech má subjekty údajů a zákonný zástupce právo požadovat, aby organizace osobní údaje vymazala; mezi takové případy patří například, že zpracovávané údaje nejsou pro výše zmíněné účely nadále potřebné; organizace osobní údaje sama maže po uplynutí doby nezbytnosti, tj. zejména příslušné skartační lhůty automaticky; subjekt údajů se však může na organizaci se svou žádostí kdykoliv obrátit; žádost subjektu údajů pak podléhá individuálnímu posouzení (i přes právo subjektu údajů na výmaz může mít organizace povinnost či oprávněný zájem si osobní údaje ponechat) a o jejím vyřízení bude subjekt údajů detailně informován;
právo na omezení zpracování osobních údajů (čl. 18 a 19 nařízení GDPR) – organizace zpracovává osobní údaje subjekty údajů a zákonných zástupců pouze v nezbytně nutném rozsahu; pokud by však subjekt údajů či zákonný zástupce měl pocit, že organizace překračuje výše stanovené účely, pro které osobní údaje zpracovává, může subjekt údajů či zákonný zástupce podat žádost, aby jeho/její osobní údaje byly zpracovávány výhradně pro nejnutnější zákonné důvody nebo aby byly osobní údaje zpracovány v omezeném režimu (pouze uchovávány); žádost subjektu údajů pak podléhá individuálnímu posouzení a o jejím vyřízení budete detailně informováni;
právo vznést námitku proti zpracování osobních údajů (čl. 21 nařízení GDPR) – v případech zpracování osobních údajů subjektu jejich zákonných zástupců na základě právního titulu oprávněného nebo veřejného zájmu mají subjekty a jejich zákonní zástupci právo vznést námitku proti zpracování; v takovém případě správce nebo jeho pověřenec provede balanční test (test proporcionality), ve kterém porovná protichůdné zájmy, a vznesenou námitku vyhodnotí;
právo podat stížnost u Úřadu pro ochranu osobních údajů – subjekt údajů nebo zákonný zástupce se může kdykoliv obrátit s podnětem či stížností ve věci zpracování osobních údajů na Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, 170 00 Praha 7; více informace lze nalézt na webové stránce www.uoou.cz.

References: čl. 5
 čl. 6
 čl. 6
 čl. 6
 zákona č. 255
 zákona č. 129
 zákona č. 320
 čl. 6
 čl. 6
 čl. 6