Source: https://www.ucetnictvino.cz/33/ochrana-a-zpracovani-osobnich-udaju-podle-gdpr-pro-ucetni-oddeleni-po-uniqueidmRRWSbk196FNf8-jVUh4ElZd5N8zc2vYBKLdGnWweo23JOFT-FXF9A/?uri_view_type=5
Timestamp: 2018-05-24 10:14:21+00:00
Document Index: 24696171

Matched Legal Cases: ['čl. 35', 'čl. 36', 'čl. 37', 'čl. 40', 'čl. 42', 'čl. 42', 'čl. 1', 'Čl. 332', 'čl. 6', 'čl. 6', 'čl. 6', 'čl. 6', 'čl. 6', 'čl. 6', 'čl. 9', 'čl. 5', 'čl. 5', 'čl. 21', 'čl. 7', 'čl. 21', 'čl. 7']

Ochrana a zpracování osobních údajů (podle GDPR) pro účetní oddělení PO | Účetnictví nevýdělečné organizace profi - příspěvkové organizace, obce, neziskovky
13.3.2018, JUDr. Dušan Srp, Zdroj: Verlag Dashöfer
upravující ochranu a zpracování osobních údajů (podle GDPR)
pro účetní oddělení u obce a příspěvkové organizace jako veřejného subjektu1 [………………]2
(právní stav k 1. 1. 2018)
Příspěvková organizace/Účetní jednotka: [·]3 (dále jen „správce”)
Vnitřní předpis upravující ochranu a zpracování osobních údajů (podle GDPR) pro účetní oddělení
Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 (obecné nařízení o ochraně osobních údajů) (dále jen „Nařízení”) a zákona č. [·]4 Sb., o ochraně osobních údajů (dále jen „Zákon”), účinných ode dne 25. května 2018 (dále společně také jen „Právní předpisy”)
Účinnost od–do/na dobu neurčitou
Skartace: [·]5
1.1 Předmět a cíle vnitřního předpisu
Tento vnitřní předpis upravuje pravidla a postup účetního oddělení správce při ochraně a zpracování osobních údajů fyzických osob, které účetní oddělení při výkonu své pracovní činnosti pro správce zpracovává. Účetní oddělení tvoří zaměstnanci správce v pracovní pozici účetní, jakož i další zaměstnanci a pracovníci, kteří podle organizačního rozhodnutí správce tvoří účetní oddělení správce (dále jen „účetní oddělení”; zaměstnanci a pracovníci účetního oddělení dále jen „účetní”).
1.2 Působnost vnitřního předpisu
1.3 Aktualizace vnitřního předpisu
Obsah vnitřního předpisu je pravidelně, vždy jsou ročně, jinak kdykoliv podle potřeby, kontrolován, vyhodnocován a aktualizován pověřenými zaměstnanci správce, kterým je [·].6
1.4 Přístup k vnitřnímu předpisu
Vnitřní předpis je veřejně přístupný všem zaměstnancům správce. Zpřístupnění vnitřního předpisu třetí straně podléhá předchozímu písemnému souhlasu správce, resp. příslušného pracovníka správce, kterým je [·].7
Podle tohoto vnitřního předpisu a podle právních předpisů:
2.1 „osobními údaji” jsou veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů”); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.
Osobními údaji, které účetní oddělení zpracovává podle tohoto vnitřního předpisu, jsou osobní údaje zaměstnanců správce či jiných fyzických osob, které při své pracovní činnosti účetní oddělení zpracovává (tj. subjektu údajů), zejména: [·].8
2.2 „subjektem údajů” jsou fyzické osoby – zaměstnanci správce či jiné fyzické osoby, jejichž osobní údaje účetní oddělení při své pracovní činnosti pro správce zpracovává;
2.3 „zpracováním” jsou jakékoliv operace nebo soubory operací s osobními údaji nebo se soubory osobních údajů, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako jsou shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
2.4 „omezením zpracování” jsou označení uložených osobních údajů za účelem omezení jejich zpracování v budoucnu;
2.5 „profilováním” je jakákoliv forma automatizovaného zpracování osobních údajů spočívající v jejich použití k hodnocení některých osobních aspektů vztahujících se k fyzické osobě, zejména k rozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází, nebo pohybu;
2.6 „pseudonymizací” je zpracování osobních údajů tak, že již nemohou být přiřazena konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že nebudou přiřazeny identifikované či identifikovatelné fyzické osobě;
2.7 „evidencí” je jakýkoliv strukturovaný soubor osobních údajů přístupných podle zvláštních kritérií, ať již je centralizovaný, decentralizovaný, nebo rozdělený podle funkčního či zeměpisného hlediska;
2.8 „správcem” jsou fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Evropské unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;
Správcem podle tohoto vnitřního předpisu je [·].9,10
Kontaktní údaje správce: [·].11
2.9 „zpracovatelem” jsou fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce;
2.10 „příjemcem” jsou fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoliv. Avšak orgány veřejné moci, které mohou získávat osobní údaje v rámci zvláštního šetření v souladu s právem členského státu Evropské Unie, se za příjemce nepovažují; zpracování těchto osobních údajů těmito orgány veřejné moci musí být v souladu s použitelnými pravidly ochrany údajů pro dané účely zpracování.
Příjemcem dle tohoto vnitřního předpisu je vždy oprávněná osoba.12
2.11 „třetí stranou” jsou fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který není subjektem údajů, správcem, zpracovatelem ani osobou přímo podléhající správci nebo zpracovateli, jež je oprávněna ke zpracování osobních údajů;
2.12 „souhlasem” subjektu údajů je jakýkoliv svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů;
2.13 „porušením zabezpečení osobních údajů” je porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů;
2.14 „dozorovým úřadem” je nezávislý orgán veřejné moci zřízený členským státem podle článku 51 Nařízení.
Dozorovým úřadem správce je Úřad pro ochranu osobních údajů, sídlem Pplk. Sochora 27, 170 00 Praha 7. Tentýž úřad je dozorovým úřadem v případě přeshraničního zpracování osobních údajů.13
K právnímu jednání a zastupování správce při jednání s dozorovými úřady je určen: [odpovědná osoba, …];14
2.15 „dotčeným dozorovým úřadem” je dozorový úřad, kterého se zpracování osobních údajů dotýká, neboť:
2.16 „přeshraničním zpracováním” je buď:
2.17 „oprávněnou osobou” je každý zaměstnanec správce, který z důvodu výkonu svého zaměstnání pro správce přichází do styku s osobními údaji nebo je zpracovává, tj. účetní [·].15 Oprávněné osoby musejí být poučeny, seznámeny s obsahem tohoto vnitřního předpisu; o poučení a seznámení je sepsán písemný záznam. Oprávněné osoby je nutné opětovně poučit, pokud došlo ke změně jejich pracovního zařazení či k jiné změně mající za následek změnu či rozsah pracovních úkonů oprávněné osoby ve vztahu ke zpracování osobních údajů. Přístup k osobním údajům subjektů údajů je striktně omezen pouze na poučené oprávněné osoby;
2.18 „odpovědnou osobou” je [pověřený účetní/pověřený zaměstnanec/oddělení…],16 kontaktní údaje [·],17 který je pověřen správcem plnit práva a povinnosti správce podle tohoto vnitřního předpisu vůči subjektům údajů a být kontaktním místem správce se subjekty údajů.
2.19 „posouzením vlivu” na ochranu osobních údajů se podle čl. 35 Nařízení rozumí provedení posouzení vlivu na ochranu osobních údajů a „předchozími konzultacemi” se podle čl. 36 Nařízení rozumí provedení předchozích konzultací s dozorovým úřadem. Správce po důkladném zhodnocení zpracování osobních údajů podle tohoto vnitřního předpisu [provedl/neprovedl]19 před zpracováním posouzení vlivu a dále [provedl/neprovedl]20 před zpracováním předchozí konzultace s dozorovým úřadem;21
2.20 „pověřencem pro ochranu osobních údajů správce” je podle čl. 37 a dalších Nařízení osoba,22 kterou správce jmenuje pověřencem pro ochranu osobních údajů. Správce [má/nemá]23 určeného pověřence pro ochranu osobních údajů.
Pověřenec poskytuje informace a poradenství účetním při zpracování osobních údajů podle tohoto vnitřního předpisu.
Kontaktní údaje Pověřence: […………];24
2.21 „kodexem chování” se podle čl. 40 Nařízení rozumějí kodexy chování přispívající k řádnému uplatňování Nařízení, které správci a zpracovatelé musejí či mohou dodržovat. Správce se při zpracování osobních údajů [řídí/neřídí]25 kodexem(y) chování.26
Kodex chování je publikován zde: 27[…………];28
2.22 „osvědčením” se podle čl. 42 Nařízení rozumí osvědčení o ochraně osobních údajů. Správce [zpracoval/nezpracoval]29 mechanismus pro vydávání osvědčení a [bylo/nebylo]30 mu vydáno osvědčení podle čl. 42 Nařízení;
a dále:31
2.23 „genetickými údaji” jsou osobní údaje týkající se zděděných nebo získaných genetických znaků fyzické osoby, které poskytují jedinečné informace o její fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku dotčené fyzické osoby;
2.24 „biometrickými údaji” jsou osobní údaje vyplývající z konkrétního technického zpracování týkající se fyzických či fyziologických znaků nebo znaků chování fyzické osoby, které umožňuje nebo potvrzuje jedinečnou identifikaci, například zobrazení obličeje nebo daktyloskopické údaje;
2.25 „údaji o zdravotním stavu” jsou osobní údaje týkající se tělesného nebo duševního zdraví fyzické osoby, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jejím zdravotním stavu;
2.26 „hlavní provozovnou” je:
2.27 „podnikem” je jakákoliv fyzická nebo právnická osoba vykonávající hospodářskou činnost bez ohledu na její právní formu, včetně osobních společností nebo sdružení, která běžně vykonávají hospodářskou činnost;
2.28 „skupinou podniků” je skupina zahrnující řídící podnik a jím řízené podniky;
2.29 „závaznými podnikovými pravidly” je koncepce ochrany osobních údajů, kterou dodržuje správce nebo zpracovatel usazený na území členského státu Evropské unie při jednorázových nebo souborných předáních osobních údajů správci nebo zpracovateli v jedné nebo více třetích zemích v rámci skupiny podniků nebo uskupení podniků vykonávajících společnou hospodářskou činnost;
2.30 „relevantní a odůvodněnou námitkou” je námitka vůči návrhu rozhodnutí za účelem posouzení, zda došlo k porušení Nařízení, nebo zda je zamýšlený úkon v souvislosti se správcem či zpracovatelem v souladu s Nařízením, která jasně dokazuje významnost rizik vyplývajících z návrhu rozhodnutí, pokud jde o základní práva a svobody subjektů údajů, případně volný pohyb osobních údajů v rámci Evropské unie;
2.31 „službou informační společnosti” je služba ve smyslu čl. 1 odst. 1 písm. b) směrnice (EU) 2015/1535 (19);
2.32 „mezinárodní organizací” je organizace a jí podřízené subjekty podléhající mezinárodnímu právu veřejnému nebo jiný subjekt zřízený dohodou mezi dvěma nebo více zeměmi nebo na jejím základě.
Čl. 332
Zpracování osobních údajů správcem podle tohoto vnitřního předpisu podléhá v souladu s Právními předpisy těmto zásadám:
přesné a v případě potřeby aktualizované; musejí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro něž se zpracovávají, byly bezodkladně vymazány nebo opraveny („přesnost”);
Účely zpracování, pro které jsou osobní údaje určeny, jsou interní vedení účetnictví správce a provádění veškerých účetních operací účetními pro správce podle platných právních předpisů.
4.2 Právní základ pro zpracování
Právním základem pro zpracování osobních údajů subjektu údajů je skutečnost, že zpracování je nezbytné pro splnění právních povinností, které se podle platných právních předpisů vztahují na správce podle čl. 6 odst. 1 písm. c) Nařízení, dále že zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce podle čl. 6 odst. 1 písm. e) Nařízení a dále že zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů podle čl. 6 odst. 1 písm. b) Nařízení.
Alternativně lze doplnit: 33
Právním základem pro zpracování osobních údajů subjektu údajů může být v konkrétním případu i souhlas se zpracováním osobních údajů subjektu údajů podle čl. 6 odst. 1 písm. a) Nařízení. Subjekt údajů má právo svůj souhlas kdykoliv odvolat.
4.3 Kategorie osobních údajů
Předmětem zpracování nejsou zvláštní kategorie osobních údajů.34
5.1 Právo subjektu údajů na informace
oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f) Nařízení;35
pokud je zpracování založeno na souhlasu subjektu údajů podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) Nařízení, existence práva odvolat kdykoliv souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním;
5.2 Právo subjektu údajů na přístup k osobním údajům
Pokud správce zpracovává velké množství informací týkajících se subjektu údajů, má možnost před poskytnutím informací požádat subjekt údajů, aby konkrétně uvedl, kterých informací nebo činností zpracování se jeho žádost týká.
5.3 Zajištění a organizace výkonu práv a povinností podle čl. 5 u správce
Povinnosti správce podle tohoto bodu zajišťuje odpovědná osoba. Potvrzení či přístup k osobním údajům podle tohoto bodu je subjektu údajů zasláno či umožněno bez zbytečného odkladu, nejpozději však do jednoho měsíce od doručení žádosti správci. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce. Správce informuje subjekt údajů o jakémkoliv takovém prodloužení do jednoho měsíce od obdržení žádosti spolu s důvody pro tento odklad. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, je-li to možné, pokud subjekt údajů nepožádá o jiný způsob. Pokud správce nepřijme opatření, o něž subjekt údajů požádal, informuje bezodkladně a nejpozději do jednoho měsíce od přijetí žádosti subjekt údajů o důvodech nepřijetí opatření a o možnosti podat stížnost u dozorového úřadu a žádat o soudní ochranu.
Účetní oddělení spolupracuje s odpovědnou osobou podle jejích pokynů a na její požádání při provádění povinností správce podle čl. 5 vnitřního předpisu.
6.1 Právo na opravu
6.2 Právo na výmaz („právo být zapomenut”)
subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 1 Nařízení a čl. 7 vnitřního předpisu a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2 Nařízení a čl. 7 vnitřního předpisu;
osobní údaje musejí být vymazány ke splnění právní povinnosti stanovené v právu Unie nebo členského státu, které se na správce vztahuje;
Povinnost správce vymazat…