GDPR

Radka Švejdová
kontakt e-mail: jidelna@cdmck.cz
Prostřednictvím uvedeného pověřence můžete uplatňovat svá práva vůči
Centru dětí a mládeže Česká Kamenice, příspěvková organizace. v oblasti GDPR.
 

Definice základních pojmů užívaných v oblasti ochrany osobních údajů
Osobní údaj – veškeré informace o identifikované nebo identifikovatelné fyzické osobě; identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby
Subjekt údajů – subjektem údajů je fyzická osoba, k níž se osobní údaje vztahují;
Správce – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů
Zpracovatel – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce
Příjemce – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty
Zpracování osobních údajů – jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení
Zvláštní kategorie osobních údajů – údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

CDM zpracovává osobní údaje na základě těchto právních titulů:
plnění právní povinnosti správce, plnění smlouvy, plnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci a souhlas subjektu údajů se zpracováním osobních údajů a oprávněný zájem správce
CDM využívá následující právní tituly zpracování osobních údajů pro následující účely zpracování osobních údajů:
Zpracování je nezbytné pro splnění právní povinnosti správce 
Účely zpracování přímo související s osobními údaji žáků a zákonných zástupců žáka:

Školské zařízení zpracovává zvláštní kategorie osobních údajů žáků a zaměstnanců v následujícím rozsahu.
Zpracování zvláštních kategorií osobních údajů žáků:
Školské zařízení zpracovává zvláštní kategorie osobních údajů žáků, zejm. údaje o zdravotním stavu žáků, údaje o znevýhodnění dítěte (mentální, tělesné, zrakové nebo sluchové postižení, závažné vady řeči, závažné vývojové poruchy učení, závažné vývojové poruchy chování, souběžné postižení s více vadami nebo autismem), údaje uvedené v doporučení školských poradenských zařízení, posudky poskytovatelů zdravotních služeb.
Školské zařízení zpracovává tyto údaje pouze na základě zákonného zmocnění (zejm. § 28 odst. 2 písm. f), g) zákona č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání (dále jen školský zákon); § 9 zákona č. 258/2000 Sb., o ochraně veřejného zdraví; § 2 odst. 4 vyhlášky MŠMT č. 107/2005 Sb., o školním stravování; vyhláška MŠMT č. 64/2005 Sb., o evidenci úrazů dětí, žáků a studentů)
Školské zařízení tyto údaje zpracovává na základě právního titulu uvedeného v čl. 9 odst. 2 písm. b) GDPR – zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů.
 Zpracování zvláštních kategorií osobních údajů zaměstnanců:
Školské zařízení zpracovává zvláštní kategorie osobních údajů zaměstnanců, zejm. údaje o zdravotní způsobilosti a zdravotním stavu, údaje o odsouzeních a trestech dostupné z rejstříku trestů.
Školské zařízení zpracovává tyto údaje pouze na základě zákonného zmocnění (zejm. zákon č. 262/2006 Sb., zákoník práce; zákon č. 563/2004 Sb., o pedagogických pracovnících; zákon č. 373/2011, o specifických zdravotních službách; vyhláška MZCR č. 79/2013 Sb., o provedení některých ustanovení zákona č. 373/2011 Sb., o specifických zdravotních službách).
Školské zařízení tyto údaje zpracovává na základě právního titulu uvedeného v čl. 9 odst. 2 písm. b) GDPR – zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů.
 

Školské zařízení získává osobní údaje zejména od subjektu údajů.
Školské zařízení může získávat osobní údaje od jiného subjektu než subjektu údajů, ovšem pouze na základě oprávnění stanoveného zvláštními právními předpisy.
 

Pro vedení mzdového účetnictví a účetnictví CDM poskytuje některé údaje externí firmě. Zpracovatelem těchto osobních údajů je podnikající fyzická osoba Iveta Medunová, Malá Veleň 20, Děčín II., 405 02 IČ0: 72680946, a to na základě smlouvy o zpracování osobních údajů, pro účely vedení mzdového účetnictví.
Osobní údaje mohou být dále předány pouze na základě oprávnění uvedeného ve zvláštním právním předpisu nebo s prokazatelným souhlasem subjektu údajů.
 

Osobní údaje jsou pod stálou fyzickou, organizační i technickou kontrolou. Školské zařízení disponuje technickými, bezpečnostními a organizačními opatřeními, jimiž je zajištěna ochrana zpracovávaných údajů před neoprávněným přístupem nebo přenosem, před jejich ztrátou nebo zničením, jakož i před jiným možným zneužitím.
Dokumenty obsahující osobní údaje jsou uchovávány dle skartačních lhůt nastavených spisovým a skartačním řádem školského zařízení. Po uplynutí skartačních lhůt jsou osobní údaje buď skartovány, nebo předány k archivaci.
 

Uplatnit svá práva může subjekt údajů písemně na adrese školského zařízení, elektronicky do datové schránky školského zařízení, nebo osobně u ředitele školského zařízení na výše uvedené adrese.
Právo na přístup k osobním údajům
Subjekt údajů má právo požadovat po školském zařízení, aby mu sdělilo informaci o tom, zda zpracovává osobní údaje, které se ho týkají. Pokud školské zařízení osobní údaje zpracovává, má subjekt údajů právo tyto osobní údaje a informace o zpracování obdržet. 
Informaci ve stanoveném rozsahu (čl. 15 GDPR), případně kopii zpracovávaných osobních údajů, vyhotoví školské zařízení bez zbytečného odkladu, maximálně do 30 dnů, ve zvlášť složitých případech až do 90 dnů od obdržení žádosti. Informace bude předána subjektu údajů v písemné podobě osobně, případně doručena do datové schránky nebo prostřednictvím provozovatele poštovních služeb, nebude-li výslovně dohodnut jiný způsob doručení. Poskytnutí informace je bezplatné, ovšem pokud by ze strany subjektu údajů docházelo ke zneužívání tohoto práva, například prostřednictvím opakovaných žádostí uplatňovaných krátce po sobě, je možné žádostem nevyhovět, případně za ně požadovat přiměřený poplatek za vynaložené administrativní náklady.
Právo na opravu osobních údajů
Subjekt údajů může požádat o opravu osobních údajů, které se ho týkají, v případě, že jsou nepřesné nebo neúplné. Po obdržení žádosti školské zařízení bezodkladně omezí zpracování osobních údajů do doby ověření jejich správnosti a provedení případné opravy. 
Po ověření, případně opravení osobních údajů, školské zařízení bezodkladně, maximálně do 30 dnů, ve zvlášť složitých případech až do 90 dnů, od obdržení žádosti, informuje subjekt údajů o tom, že byla ověřena správnost osobních údajů, případně provedena oprava, omezení zpracování bude zrušeno a ve zpracování osobních údajů bude školské zařízení dále pokračovat. Informace bude předána subjektu údajů v písemné podobě osobně, případně doručena do datové schránky nebo prostřednictvím provozovatele poštovních služeb, nebude-li výslovně dohodnut jiný způsob doručení. Poskytnutí informace je bezplatné, ovšem pokud by ze strany subjektu údajů docházelo ke zneužívání tohoto práva, zejm. pokud by žádosti byly zjevně nedůvodné nebo nepřiměřené, je možné žádostem nevyhovět, případně za ně požadovat přiměřený poplatek za vynaložené administrativní náklady.
 
 
Právo na výmaz osobních údajů
Subjekt údajů může požadovat po školském zařízení, aby zlikvidovalo jeho osobní údaje a dále je neuchovávalo. Školské zařízení vymaže osobní údaje za následujících podmínek:

Školské zařízení nevymaže osobní údaje, pokud je zpracování nezbytné pro splnění právní povinnosti nebo pro splnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je školské zařízení pověřeno, případně jsou-li splněny další podmínky z výjimky práva na výmaz dle čl. 17 odst. 3 GDPR.
O provedení (neprovedení) výmazu informuje školské zařízení subjekt údajů bezodkladně, maximálně do 30 dnů, ve zvlášť složitých případech až do 90 dnů, od obdržení žádosti. Informace bude předána subjektu údajů v písemné podobě osobně, případně doručena do datové schránky nebo prostřednictvím provozovatele poštovních služeb, nebude-li výslovně dohodnut jiný způsob doručení. Poskytnutí informace je bezplatné, ovšem pokud by ze strany subjektu údajů docházelo ke zneužívání tohoto práva, zejm. pokud by žádosti byly zjevně nedůvodné nebo nepřiměřené, je možné žádostem nevyhovět, případně za ně požadovat přiměřený poplatek za vynaložené administrativní náklady.
Právo na omezení zpracování
Subjekt údajů může požádat školské zařízení, aby omezilo zpracování osobních údajů, které se ho týkají, a to v následujících případech:

O omezení zpracování osobních údajů školské zařízení bezodkladně, maximálně do 30 dnů, ve zvlášť složitých případech až do 90 dnů, od obdržení žádosti, informuje subjekt údajů. Informace bude předána subjektu údajů v písemné podobě osobně, případně doručena do datové schránky nebo prostřednictvím provozovatele poštovních služeb, nebude-li výslovně dohodnut jiný způsob doručení. Poskytnutí informace je bezplatné, ovšem pokud by ze strany subjektu údajů docházelo ke zneužívání tohoto práva, zejm. pokud by žádosti byly zjevně nedůvodné nebo nepřiměřené, je možné žádostem nevyhovět, případně za ně požadovat přiměřený poplatek za vynaložené administrativní náklady.
Pokud pominou důvody pro omezení zpracování, školské zařízení omezení neprodleně zruší. O zrušení omezení bude školské zařízení subjekt údajů dopředu bezodkladně informovat.
Právo na přenositelnost údajů
Subjekt údajů může toto právo uplatnit pouze v případě, že je zpracování osobních údajů prováděno automatizovaně a zároveň je založeno na souhlasu subjektu údajů nebo na plnění smlouvy. Subjekt údajů má právo získat osobní údaje, které se ho týkají, jež poskytl školskému zařízení, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci, aniž by tomu správce, kterému byly osobní údaje poskytnuty, bránil.
Na základě podmínek stanovených GDPR nelze v současné době toto právo subjektů údajů realizovat, neboť ve školském zařízení neprobíhá takové zpracování osobních údajů, na které by se toto právo vztahovalo.
Právo vznést námitku
Subjekt údajů má právo vznést námitku proti zpracování osobních údajů na základě právního titulu oprávněného zájmu a plnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci. Jakmile školské zařízení námitku proti zpracování obdrží, bez zbytečného odkladu omezí zpracování osobních údajů subjektu údajů, jež námitku podal a námitku posoudí. V rámci posouzení námitky musí školské zařízení prokázat, že má pro zpracování závažné oprávněné důvody, které převažují na zájmy a svobodami subjektu údajů – tzv. balanční test. V případě, že školské zařízení prokáže oprávněné důvody zpracování, je oprávněno osobní údaje dále zpracovávat; pokud školské zařízení oprávněné důvody neprokáže, musí zpracování osobních údajů ukončit.
O výsledku řízení informuje školské zařízení subjekt údajů bezodkladně, maximálně do 30 dnů, ve zvlášť složitých případech až do 90 dnů, od doručení žádosti. Pokud školské zařízení prokáže oprávněné důvody pro zpracování osobních údajů, informuje zároveň subjekt údajů o ukončení omezení zpracování osobních údajů. Informace bude předána subjektu údajů v písemné podobě osobně, případně doručena do datové schránky nebo prostřednictvím provozovatele poštovních služeb, nebude-li výslovně dohodnut jiný způsob doručení. Poskytnutí informace je bezplatné, ovšem pokud by ze strany subjektu údajů docházelo ke zneužívání tohoto práva, zejm. pokud by námitky byly zjevně nedůvodné nebo nepřiměřené, je možné jim nevyhovět, případně za ně požadovat přiměřený poplatek za vynaložené administrativní náklady.
Právo na odvolání souhlasu se zpracováním osobních údajů
Subjekt údajů může kdykoli odvolat svůj souhlas se zpracováním osobních údajů. Odvoláním souhlasu ztrácí školské zařízení právní titul pro zpracování osobních údajů a subjektu údajů vzniká právo na výmaz osobních údajů. Školské zařízení na základě uplatnění tohoto práva vyhledá a zlikviduje všechny osobní údaje zpracovávané na základě odvolaného souhlasu.
Právo podat stížnost u dozorového úřadu
Subjekt údajů se může obrátit na dozorový úřad se stížností, pokud se domnívá, tedy má důvodné podezření, že při zpracování osobních údajů dochází k porušení GDPR.