Interná smernica

v oblasti ochrany osobných údajov

podľa čl. 24 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej v texte len „nariadenie“) v súlade s

  • 32 zákona č. 18/2018 Z. z. o ochrane osobných údajov (ďalej v texte len „zákon“)

(ďalej v texte len „smernica“)

Článok 1

Základné ustanovenia

  1. Predmetom tejto Smernice je úprava ochrany a nakladania s osobnými údajmi pri činnostiach, ktoré vykonávajú oprávnené osoby zamestnávateľa, ktorým je spoločnosť BOGA PARTNERS s. r. o., sídlom Námestie sv. Martina 407/3A, IČO:47 312 653 (ďalej len „prevádzkovateľ“).
  2. Oprávnenou osobou sa na účely tejto Smernice rozumie zamestnanec Prevádzkovateľa, ktorý pri výkone svojej pracovnej činnosti nakladá s osobnými údajmi dotknutých osôb (ďalej v texte len „oprávnená osoba“).

 

II.

Všeobecné povinnosti

  1. Osobné údaje musia byť adekvátne zabezpečené vo všetkých prípadoch, kedy sa s nimi v organizácii nakladá.
  2. Oprávnená osoba môže nakladať s osobnými údajmi len za predpokladu, že je to na výkon jej pracovných činností nevyhnutné alebo na základe individuálneho písomného poverenia Prevádzkovateľa.
  3. Oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými prichádza do styku pri výkone svojej pracovnej činnosti alebo činnosti vyplývajúcej z jej poverenia.
  4. Povinnosť mlčanlivosti trvá aj po ukončení pracovného pomeru s oprávnenou osobou.
  5. Oprávnená osoba môže nakladať len s takými osobnými údajmi, ktoré sú nevyhnutné na výkon jej pracovnej činnosti alebo činností vyplývajúcich z poverenia.
  6. Oprávnená osoba môže vykonávať len tie operácie s osobnými údajmi, ktoré sú nevyhnutné na výkon jej pracovnej činnosti alebo činnosti vyplývajúcej z poverenia.
  7. Oprávnená osoba nesmie získavať informácie týkajúce sa osobných údajov nad rámec jej pracovnej činnosti alebo poverenia.
  8. Oprávnená osoba je povinná dbať o to, aby pri výkone jej pracovných činností alebo činností vyplývajúcich z poverenia nedošlo k úniku spracúvaných osobných údajov alebo k narušeniu bezpečnosti spracovateľských operácií.

 

III.

Získavanie osobných údajov

  1. Osobné údaje prevádzkovateľa sú uložené a zálohované vo vlastnej databáze s externým úložiskom.
  2. Do databázy sa oprávnená osoba dostane prostredníctvom individuálneho softvéru, ktorý je prístupný na každom firemnom počítači Prevádzkovateľa.
  3. Každá oprávnená osoba má svoje prístupové meno a heslo potrebné na prístup do softvéru Prevádzkovateľa, pričom jej databáza poskytne len osobné údaje dotknutých osôb v rozsahu jej pracovnej činnosti alebo poverenia.
  4. Pokiaľ by oprávnená osoba potrebovala prístup k osobným údajom vo väčšom rozsahu, ako má k dispozícii v databáze, je povinná žiadať od Prevádzkovateľa individuálny písomný súhlas na získanie týchto údajov na základe žiadosti.
  5. Písomný súhlas udeľuje Prevádzkovateľ na žiadosť, a to len v rozsahu potrebnom na splnenie účelu oprávnenej osoby.
  6. Oprávnená osoba následne predloží písomný súhlas vedúcemu IT oddelenia, ktorý jej poskytne osobné údaje len v rozsahu súhlasu, ktorý udelil Prevádzkovateľ.
  7. Oprávnená osoba nesmie získané osobné údaje poskytovať iným osobám.
  8. Oprávnená osoba nesmie poskytovať svoje prístupové údaje do softvéru Prevádzkovateľa iným osobám.
  9. Oprávnená osoba nesmie používať softvér Prevádzkovateľa pre vlastné potreby.

IV.

Ochrana osobných údajov

  1. Všetky pracovné počítače oprávnených osôb musia byť šifrované.
  2. Po ukončení práce s počítačom musia oprávnené osoby dbať na to, aby boli odhlásené zo systému Prevádzkovateľa, aby nedošlo k narušeniu bezpečnosti osobných údajov neoprávnenými osobami.
  3. Oprávnené osoby musia dbať na to, aby boli všetky spisy a písomnosti, v ktorých sa nachádzajú osobné údaje, po opustení pracoviska uložené v uzamykateľných skrinkách nachádzajúcich sa na ich pracovisku.
  4. Oprávnené osoby musia dbať na to, aby boli kancelárie po ich odchode z pracoviska zamknuté.

IV.

Porušenie bezpečnosti

  1. V prípade, že dôjde k porušeniu bezpečnosti osobných údajov, je oprávnená osoba bezodkladne povinná informovať o tejto skutočnosti svojho nadriadeného a vedúceho IT oddelenia.
  2. Oprávnená osoba je povinná prerušiť svoju činnosť, pričom nesmie vykonať akékoľvek úkony, ktoré by mohli viesť k zvýšeniu rizika bezpečnosti osobných údajov.
  3. Oprávnená osoba je povinná spísať zápisnicu, v ktorej uvedie všetky podrobnosti v rozsahu:
    1. o aké osobné údaje ide,
    2. kedy sa o narušení bezpečnosti dozvedela,
    3. k akému porušeniu bezpečnosti došlo,
    4. ako sa o tomto porušení dozvedela,
    5. aké kroky podnikla.
  4. Oprávnená osoba odovzdá zápisnicu vedúcemu IT oddelenia.
  5. Vedúci IT oddelenia oznámi povahu a rozsah narušenia bezpečnosti Prevádzkovateľovi bezodkladne po tom, čo sa o tejto informácii dozvedel.
  6. Vedúci IT oddelenia je povinný vyvinúť čo najväčšiu snahu o to, aby k ďalšiemu porušovaniu bezpečnosti pri spracúvaní osobných údajov nedošlo, pričom je povinný v čo najkratšom čase odstrániť vzniknuté problémy.
  7. Oprávnená osoba smie vykonávať svoje pracovné činnosti až po súhlase vedúceho IT oddelenia, ktorý potvrdí, že výkon pracovných činností nepredstavuje riziko pre bezpečnosť osobných údajov.
  8. Vedúci IT oddelenia je povinný vypracovať zápisnicu, ktorá bude obsahovať:
    1. druh osobných údajov, ktorých ochrana bola narušená,
    2. pôvod a formu narušenia,
    3. rozsah narušenia a predpokladanú mieru rizika,
    4. opatrenia, ktoré boli vykonané s cieľom odstránenia vzniknutého stavu,
    5. opatrenia, ktoré boli vykonané s cieľom zabezpečenia bezpečnosti osobných údajov.
  9. Vedúci IT oddelenia odovzdá svoju zápisnicu a zápisnicu oprávnenej osoby Prevádzkovateľovi.

V.

Spracúvanie podaní dotknutých osôb

  1. Žiadosti a námietky dotknutých osôb spracúva osoba, ktorej to vyplýva z náplne pracovnej činnosti alebo z poverenia (ďalej len „určená osoba“).
  2. Určená osoba po prijatí žiadosti, námietky alebo sťažnosti dotknutej osoby (ďalej len „podanie“) informuje dotknutú osobu o jej prijatí a ďalšom postupe.
  3. Určená osoba je povinná vyhodnotiť podanie dotknutej osoby najneskôr v lehote 30 dní odo dňa jej doručenia.
  4. Pokiaľ by si vyhodnotenie podania vyžadovalo viac času, je určená osoba povinná kontaktovať Prevádzkovateľa a primerane o tom informovať aj dotknuté osoby.
  5. Po vyhodnotení podania je určená osoba povinná náležite informovať dotknuté osoby vo vyššie stanovenej lehote.