Obecná informace o zpracování osobních údajů Zlínským krajem dle GDPR

Zlínský kraj je správcem osobních údajů subjektů údajů (fyzických osob - občanů, klientů, návštěvníků, účastníků řízení, obchodních partnerů, zaměstnanců, aj.), jejichž osobní údaje zpracovává dle požadavků nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), angl. General Data Protection Regulation, (dále jen „nařízení GDPR“). Zlínský kraj zpracovává osobní údaje dále dle zákona č. 110/2019 Sb., o zpracování osobních údajů a dalších právních předpisů, které se zpracováním a ochranou osobních údajů zabývají. Vysvětlení vybraných pojmů nařízení GDPR naleznete pro lepší obeznámení se s problematikou  - zde.

Kontaktní údaje správce osobních údajů jsou:
Zlínský kraj, třída Tomáše Bati 21, 761 90 Zlín, IČ: 70891320, telefon: +420 577 043 111, e-mail: podatelna@zlinskykraj.cz, ID datové schránky: scsbwku (dále také jako „správce“)

Zlínský kraj jmenoval pověřence pro ochranu osobních údajů, který plní úkoly dle článku 39 nařízení GDPR a je pro subjekty údajů kontaktní osobou pro řešení jejich dotazů, požadavků nebo žádostí.

Kontaktní údaje pověřence pro ochranu osobních údajů jsou:
Mgr. Ing. Zdeněk Vašátko, Zlínský kraj, třída Tomáše Bati 21, 761 90 Zlín, telefon: +420 577 043 580, e-mail: poverenec.oou@zlinskykraj.cz , ID datové schránky: scsbwku

Účely zpracování, pro které jsou osobní údaje určeny

Osobní údaje zpracovává Zlínský kraj pro účely zpracování, které vyplývají ze spravování záležitostí kraje dle zákona č. 129/2000 Sb., o krajích (krajské zřízení) v oblasti výkonu samostatné a přenesené působnosti. Účel zpracování je možno vnímat v rámci zodpovězení důležité otázky: „Proč je nutné zpracovávat právě tyto osobní údaje?“. Není možné totiž zpracovávat osobní údaje bezúčelně. Osobní údaje subjektů údajů tedy zpracovává Zlínský kraj v souvislosti s plněním svých úkolů a při výkonu jednotlivých agend.

Informaci o zpracování osobních údajů Zlínským krajem podle čl. 13 a 14 nařízení GDPR (podle účelů zpracování), ve které jsou uvedeny jednotlivé účely zpracování, právní základy pro zpracování, oprávněné zájmy správce, kategorie subjektů údajů, kategorie osobních údajů, kategorie příjemců, plánované lhůty pro výmaz jednotlivých kategorií osobních údajů a zdroje osobních údajů, naleznete - zde.

Právní základy zpracování osobních údajů

Zákonnost zpracování osobních údajů Zlínským krajem vychází z právních základů uvedených v nařízení GDPR čl. 6 odst. 1 písm.:

1. subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
2. zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
3. zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
4. zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
5. zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
6. zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

Pokud Zlínský kraj zpracovává zvláštní kategorie osobních údajů (dřívější legislativou označované jako citlivé údaje) např. údaje o zdravotním stavu, probíhá jejich zpracování při splnění některé z podmínek nařízení GDPR, uvedených v čl. 9 odst. 2 písm.:

1. subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů;
2. zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv;
3. zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo pokud soudy jednají v rámci svých soudních pravomocí;
4. zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů;
5. zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovní schopnosti zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče či léčby nebo řízení systémů a služeb zdravotní nebo sociální péče na základě práva Unie nebo členského státu nebo podle smlouvy se zdravotnickým pracovníkem a při splnění podmínek a záruk uvedených v odstavci 4, kdy členské státy mohou zachovat nebo zavést další podmínky, včetně omezení, pokud jde o zpracování genetických údajů, biometrických údajů či údajů o zdravotním stavu.

Zpracování na základě souhlasu

Pokud jsou osobní údaje shromažďovány a dále zpracovávány Zlínským krajem na základě uděleného souhlasu subjektu údajů, případně jeho zákonného zástupce, souhlas vždy vyjadřuje svobodný, konkrétní, informovaný a jednoznačný projev vůle subjektu údajů a jeho součástí je vždy informace o právu subjektu údajů udělený souhlas kdykoliv odvolat, aniž je tím však dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním.

Kategorie osobních údajů

Zlínský kraj zpracovává osobní údaje subjektů údajů pro jednotlivé účely zpracování v kategorii osobních údajů identifikačních, kontaktních, popisných, studijních, ekonomických, pracovních, provozních a lokačních, o aktivitách subjektu a o jiné osobě. 
Pro některé účely zpracování Zlínský kraj zpracovává osobní údaje, které spadají do zvláštních kategorií osobních údajů (jedná se např. o údaje o zdravotním stavu).

Příjemci osobních údajů

Zlínský kraj předává osobní údaje v odůvodněných případech a v nezbytném rozsahu příjemcům, kteří se liší dle jednotlivých účelů zpracování. Pokud je např. Zlínský kraj povinen osobní údaje předat v rámci plnění svých povinností stanovených příslušnými právními předpisy, jsou příjemcem osobních údajů ústřední správní úřady, soudy, orgány činné v trestním řízení a jiné orgány veřejné moci.

Pro některé účely zpracování osobních údajů subjektů údajů využívá Zlínský kraj k jejich zpracování příjemce, který je zpracovatelem osobních údajů ve smyslu čl. 28 nařízení GDPR, s nímž má uzavřenou smlouvu, které zavazuje zpracovatele vůči správci a v níž je stanoven předmět a doba trvání zpracování, povaha a účel zpracování, typ osobních údajů a kategorie subjektů údajů, povinnosti a práva správce a zpracovatele.
Zlínský kraj osobní údaje subjektů údajů zpravidla nepředává do třetí země nebo mezinárodní organizaci.
Při zpracování osobních údajů Zlínským krajem nedochází k automatizovanému rozhodování, ani profilování, na jehož základě by byly činěny úkony či rozhodnutí, jejichž obsahem by byl zásah do práv či oprávněných zájmů subjektů údajů.

Doba uložení osobních údajů

Osobní údaje subjektů údajů Zlínský kraj zpracovává po nezbytnou dobu k naplnění účelu zpracování. Po uplynutí této doby jsou osobní údaje zlikvidovány nebo dále uchovány po dobu stanovenou platným Spisovým a skartačním plánem, vydaným v souladu se zákonem č. 499/2004 Sb., o archivnictví a spisové službě.

Zdroje osobních údajů

Zlínský kraj získává osobní údaje pro zpracování:

• přímo od subjektů údajů, zpravidla z jejich žádostí, podnětů, údajů vyplněných na kontaktních formulářích na webových stránkách Zlínského kraje, e-mailů, smluv, souhlasů apod.
• z jiných zdrojů
• z informačního systému základních registrů (ISZR). Dle zákona č. 111/2009 Sb., o základních registrech, jsou registry přístupné orgánům veřejné správy, které mají oprávnění z registru práv a povinností (veřejnosti nepřístupnými). Jedná se o tyto registry:
• Registr obyvatel (ROB),
• Registr osob (ROS),
• Registr územní identifikace a nemovitostí (RÚIAN)
• z informačního systému evidence obyvatel (ISEO), kde je Zlínský kraj a jeho orgán (Krajský úřad Zlínského kraje) uživatelem údajů dle § 3a odst. 4 zákona č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel)
• z veřejně přístupných rejstříků, seznamů a evidencí (např. obchodní rejstřík (OR), živnostenský rejstřík (ŽR), katastr nemovitostí (KN), apod.),
• od jiných správců osobních údajů, pokud tak stanoví příslušný právní předpis (např. zákon č. 500/2004 Sb., správní řád, zákon č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, zákon č. 99/1963 Sb., občanský soudní řád aj.).

Práva subjektu údajů a způsoby jejich uplatnění

V souvislosti se zpracováním osobních údajů má subjekt údajů právo od Zlínského kraje požadovat právo na přístup ke svým osobním údajům, na jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti jejich zpracování, případně uplatnit právo na přenositelnost údajů a další práva podle nařízení GDPR. Tato práva jsou limitována zákonnými povinnostmi správce při zpracování osobních údajů.
Přehled práv subjektu údajů podle zákonnosti zpracování osobních údajů uvedených v jednotlivých článcích nařízení GDPR naleznete -  zde.
Informace o právech subjektu údajů uvedených v jednotlivých článcích nařízení GDPR naleznete -  zde.
Svá práva může subjekt údajů uplatnit vůči Zlínskému kraji prostřednictvím pověřence pro ochranu osobních údajů těmito způsoby:

• písemně na adresu: Zlínský kraj, pověřenec pro ochranu osobních údajů, Mgr. Ing. Zdeněk Vašátko, třída Tomáše Bati 21, 761 90 Zlín,
• v elektronické podobě e-mailem, opatřeným kvalifikovaným nebo zaručeným elektronickým podpisem subjektu údajů zaslaným na e-mail: poverenec.oou@zlinskykraj.cz
  v elektronické podobě prostřednictvím datové schránky subjektu údajů do datové schránky Zlínského kraje ID: scsbwku
• osobním předáním písemné žádosti subjektu údajů na podatelně Zlínského kraje na adrese Zlín, třída Tomáše Bati 21.

Z důvodu své spolehlivé identifikace subjekt údajů uvede v podání nejen své jméno, příjmení, nýbrž také datum narození, adresu místa trvalého pobytu a adresu pro doručení (liší-li se od adresy místa trvalého pobytu) tak, aby bylo následně vyloučeno poskytnutí osobních údajů neoprávněné osobě, jelikož např. někdo jiný, avšak se stejným jménem, by mohl shodou okolností také požádat Zlínský kraj o přístup ke svým osobním údajům. Subjekt údajů může z důvodu usnadnění komunikace se Zlínským krajem nepovinně uvést také své kontaktní údaje (telefonní číslo, e-mailovou adresu).
V případě pochybnosti o totožnosti subjektu údajů, který uplatní své právo podle nařízení GDPR, bude subjekt údajů požádán oprávněnou osobou Zlínského kraje o poskytnutí dodatečných informací nezbytných k potvrzení jeho totožnosti. Ověření totožnosti se provede zpravidla legalizací (úředním ověřením) podpisu na podání, nahlédnutím do průkazu totožnosti nebo jiného dokladu, ze kterého lze fyzickou osobu jako subjekt údajů jednoznačně identifikovat a ztotožnit.
V případě, že nebude možné zjistit a ověřit totožnost subjektu údajů, žádosti bude odmítnuto vyhovět.
Požadavky subjektu údajů budou vždy řádně posouzeny a vypořádány v souladu s příslušnými ustanoveními nařízení GDPR.
V případě, že se subjekt údajů bude domnívat, že zpracováním jeho osobních údajů je porušeno nařízení GDPR, má právo podat stížnost Úřadu pro ochranu osobních údajů.

Změna této informace

I přesto, že se Zlínský kraj při dosažení vysoké míry ochrany osobních údajů subjektů údajů snaží o vysokou míru konzistence při jejich zpracování, nelze vyloučit, že tato informace bude v budoucnu aktualizována či měněna. V takovém případě se zpracování osobních údajů Zlínským krajem bude řídit vždy aktuální informací o zpracování osobních údajů.

Dokumenty ke stažení

Vysvětlení vybraných pojmů nařízení GDPR
Informace o zpracování osobních údajů Zlínským krajem podle čl. 13 a 14 nařízení GDPR_28_04_2021
Přehled práv subjektů údajů podle zákonnosti zpracování osobních údajů dle příslušných článků GDPR
Informace o právu subjektu údajů
Kontaktní údaje pověřence pro ochranu osobních údajů