GDPR a ochrana osobných údajov

1Úvodné ustanovenia a role

Toto informačné memorandum (ďalej len „Memorandum") plní informačnú povinnosť spoločnosti Elvian Technologies s.r.o. (ďalej len „Elvian") podľa čl. 13 a 14 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679, o ochrane fyzických osôb v súvislosti so spracovaním osobných údajov (ďalej len „GDPR"), a podľa zákona č. 110/2019 Zb., o spracovaní osobných údajov (ďalej len „ZSOÚ").

Elvian spracováva osobné údaje v dvoch odlišných rolách, a toto Memorandum sa vzťahuje na obe:

• Správca (čl. 4 ods. 7 GDPR) — vo vzťahu k vlastným zamestnancom, uchádzačom o zamestnanie, dodávateľom, zmluvným partnerom, návštevníkom webu a kontaktným osobám klientov.
• Spracovateľ (čl. 4 ods. 8 a čl. 28 GDPR) — vo vzťahu k osobným údajom zamestnancov klientov (správcov), ktoré Elvian spracováva v rámci služieb mzdového účtovníctva a personálnej agendy podľa pokynov klienta. V tejto role je správcom klient (zamestnávateľ) a subjekty údajov (zamestnanci) uplatňujú svoje práva primárne uňho. Pravidlá spracovania v tejto role upravuje samostatná Zmluva o spracovaní osobných údajov (DPA), viď čl. 11.

2Identifikácia správcu a zodpovednej osoby

Zodpovedná osoba bola vymenovaná v súlade s čl. 37 GDPR s ohľadom na rozsah a povahu spracovania v rámci mzdového a personálneho outsourcingu (najmä rozsiahle systematické spracovanie osobitných kategórií údajov podľa čl. 9 GDPR).

3Kategórie spracovávaných osobných údajov

V rámci výkonu oboch rolí (správca / spracovateľ) spracovávame nasledujúce kategórie osobných údajov. Konkrétny rozsah sa vždy riadi účelom a zásadou minimalizácie podľa čl. 5 ods. 1 písm. c) GDPR:

• Identifikačné údaje — meno, priezvisko, akademický titul, dátum a miesto narodenia, rodné číslo, štátne občianstvo, číslo a typ dokladu totožnosti.
• Kontaktné údaje — adresa trvalého pobytu, doručovacia adresa, telefón, e-mail, ID dátovej schránky.
• Údaje o pracovnom pomere — dátum nástupu a ukončenia, pracovná pozícia, druh pracovnoprávneho vzťahu, výška a zložky mzdy, pracovný úväzok, miesto výkonu práce.
• Mzdové údaje — výplata, daňové odvody, zrážky zo mzdy, exekúcie, dávky nemocenského poistenia, dovolenka, dochádzka.
• Vzdelanie a kvalifikácia — dosiahnuté vzdelanie, certifikáty, kurzy, lekárske prehliadky a povinné školenia (BOZP).
• Údaje o rodinných príslušníkoch — len ak sú nevyhnutné pre daňové úľavy, zdravotné poistenie alebo nárokové dávky (manžel/ka, vyživované deti).
• Bankové údaje — číslo účtu pre výplatu mzdy.
• Osobitné kategórie údajov (čl. 9 GDPR):
  • Údaje o zdravotnom stave — v rozsahu nevyhnutnom pre pracovnolekárske prehliadky, dávky nemocenského poistenia, invalidný dôchodok, ZŤP/P pre daňové úľavy.
  • Členstvo v odborovej organizácii — len ak si zamestnanec žiada o zrážku členského príspevku zo mzdy.

4Účely spracovania

• Plnenie zákonných povinností v oblasti miezd a personalistiky — výpočet a výplata miezd, zrážky daní, odvody na sociálne a zdravotné poistenie, plnenie oznamovacích povinností.
• Plnenie oznamovacích povinností voči orgánom verejnej správy — Česká správa sociálneho zabezpečenia, zdravotné poisťovne, finančný úrad, úrad práce, Český štatistický úrad.
• Vedenie mzdovej a personálnej evidencie v rozsahu vyžadovanom najmä zákonom č. 262/2006 Zb., zákonníkom práce (ČR), zákonom č. 586/1992 Zb., o daniach z príjmov, a zákonom č. 582/1991 Zb., o organizácii a vykonávaní sociálneho zabezpečenia.
• Prevádzka zamestnaneckého portálu — bezpečný prístup zamestnanca k vlastným výplatným páskam, dovolenkám, dokumentom.
• Archivácia dokumentov — v rozsahu a po dobu stanovenú právnymi predpismi (viď čl. 8).
• Vedenie záznamov o činnostiach spracovania podľa čl. 30 GDPR a plnenie povinností voči Úradu na ochranu osobných údajov.
• Ochrana oprávnených záujmov Elvianu — vymáhanie pohľadávok, obhajoba právnych nárokov, zaistenie bezpečnosti IT systémov (logovanie prístupov).

5Právne základy spracovania

6Príjemcovia osobných údajov a sub-spracovatelia

Osobné údaje odovzdávame len nasledujúcim kategóriám príjemcov a vždy v rozsahu nevyhnutne nutnom pre plnenie konkrétneho účelu:

• Klient (zamestnávateľ) — v režime BPO je klient správcom údajov svojich zamestnancov a Elvian mu odovzdáva výstupy spracovania.
• Orgány verejnej správy — Česká správa sociálneho zabezpečenia, zdravotné poisťovne, finančný úrad, úrad práce, súdy a orgány činné v trestnom konaní (v rozsahu zákonnej oznamovacej povinnosti alebo na základe vyžiadania podľa zákona).
• Banky a poskytovatelia platobných služieb — pre účely výplaty miezd a úhrady odvodov.
• Profesionálni poradcovia — audítori, daňoví poradcovia, advokáti (vždy pod zákonnou povinnosťou mlčanlivosti).
• Poisťovne a exekútori — v rozsahu vyžadovanom zákonom (zrážky zo mzdy, výkon rozhodnutia).
• Sub-spracovatelia — poskytovatelia IT a cloudových služieb — prevádzkovatelia mzdového a personálneho softvéru, hosting, e-mail, zálohovanie, kybernetická bezpečnosť. Sub-spracovatelia sú viazaní zmluvou o spracovaní podľa čl. 28 ods. 4 GDPR. Aktualizovaný zoznam sub-spracovateľov Elvian sprístupní klientovi na vyžiadanie.

Osobné údaje nepredávame tretím stranám a nevykonávame automatizované rozhodovanie s právnymi účinkami pre subjekt údajov v zmysle čl. 22 GDPR.

7Odovzdanie mimo EÚ/EHP

Osobné údaje spracovávame primárne na území Európskej únie a Európskeho hospodárskeho priestoru. K odovzdaniu do tretích krajín dochádza len vo výnimočných a jasne odôvodnených prípadoch, a to vždy za podmienok stanovených kapitolou V GDPR (čl. 44 a nasl.):

• Na základe rozhodnutia Európskej komisie o zodpovedajúcej úrovni ochrany podľa čl. 45 GDPR, alebo
• S využitím štandardných zmluvných doložiek prijatých Európskou komisiou podľa čl. 46 ods. 2 písm. c) GDPR, doplnených o doplnkové ochranné opatrenia, ak to vyžadujú okolnosti, alebo
• Na základe inej záruky uvedenej v čl. 46 a 47 GDPR (záväzné podnikové pravidlá, schválené kódexy správania).

8Doba uchovávania údajov

Doba uchovávania jednotlivých kategórií osobných údajov zodpovedá zákonným archivačným lehotám stanoveným najmä nasledujúcimi predpismi:

Po uplynutí archivačnej lehoty sú osobné údaje bezpečne skartované v listinnej podobe a nenávratne zmazané alebo anonymizované v elektronickej podobe.

9Práva subjektov údajov

Každý subjekt údajov (zamestnanec, uchádzač, kontaktná osoba) má v súlade s kapitolou III GDPR nasledujúce práva:

• Právo na prístup (čl. 15) — získať potvrdenie, či sú údaje spracovávané, a kópiu spracovávaných údajov.
• Právo na opravu (čl. 16) — opraviť nepresné údaje alebo doplniť neúplné.
• Právo na výmaz (čl. 17, „právo byť zabudnutý") — v prípadoch, keď spracovanie nie je nutné pre plnenie zákonnej povinnosti alebo iného právneho titulu.
• Právo na obmedzenie spracovania (čl. 18) — pozastaviť spracovanie v zákonom stanovených prípadoch.
• Právo na prenosnosť (čl. 20) — získať údaje v štruktúrovanom strojovo čitateľnom formáte, ak je spracovanie založené na súhlase alebo zmluve a prebieha automatizovane.
• Právo vzniesť námietku (čl. 21) — proti spracovaniu založenému na oprávnenom záujme.
• Právo nebyť predmetom automatizovaného rozhodovania (čl. 22) — Elvian také rozhodovanie nevykonáva.
• Právo odvolať súhlas (čl. 7 ods. 3) — kedykoľvek, ak je spracovanie založené na súhlase (odvolanie nemá spätnú účinnosť).
• Právo podať sťažnosť u dozorného úradu — Úrad na ochranu osobných údajov, Pplk. Sochora 27, 170 00 Praha 7, posta@uoou.cz.

Elvian na žiadosť reaguje bez zbytočného odkladu, najneskôr do 1 mesiaca od jej prijatia. V komplexných prípadoch môže byť lehota predĺžená o ďalšie 2 mesiace, o čom subjekt údajov vopred informujeme.

10Zabezpečenie a postup pri bezpečnostnom incidente

Elvian s ohľadom na povahu, rozsah, kontext a účely spracovania a na pravdepodobnosť a závažnosť rizík pre práva subjektov údajov prijíma vhodné technické a organizačné opatrenia podľa čl. 32 GDPR, najmä:

• Šifrované úložisko (data at rest) a šifrovaný prenos (TLS 1.2+/HTTPS pre zamestnanecký portál a všetky webové aplikácie).
• Riadenie prístupov na princípe „need-to-know" a „least privilege", viacfaktorové overovanie (MFA) pre administrátorské účty.
• Pravidelné zálohovanie s testovaným obnovením a geografickou redundanciou.
• Logovanie prístupov a detekcia neoprávnených alebo nezvyčajných operácií.
• Mlčanlivosť zamestnancov a subdodávateľov — zmluvne, na úrovni vnútornej smernice aj periodických školení.
• Pravidelné školenia zamestnancov v oblasti ochrany osobných údajov a kybernetickej bezpečnosti.
• Vedenie záznamov o činnostiach spracovania podľa čl. 30 GDPR.
• Posúdenie vplyvu na ochranu osobných údajov (DPIA) podľa čl. 35 GDPR pri spracovaní s vysokým rizikom pre práva subjektov údajov.

Postup pri bezpečnostnom incidente: Ak dôjde k porušeniu zabezpečenia osobných údajov v zmysle čl. 4 ods. 12 GDPR, postupuje Elvian podľa interného plánu reakcie na incident:

• Ak je Elvian správcom, ohlási porušenie Úradu na ochranu osobných údajov bez zbytočného odkladu, najneskôr do 72 hodín od okamihu, keď sa o ňom dozvedel, podľa čl. 33 GDPR. Subjekty údajov informuje podľa čl. 34 GDPR, ak je riziko pre ich práva vysoké.
• Ak je Elvian spracovateľom, oznámi porušenie správcovi (klientovi) bez zbytočného odkladu po tom, čo sa o ňom dozvedel, spravidla do 24 hodín, podľa čl. 33 ods. 2 GDPR, a poskytne mu nevyhnutnú súčinnosť pre splnenie jeho oznamovacích povinností.

11Rola spracovateľa a Zmluva o spracovaní (DPA)

Pri poskytovaní služieb mzdového účtovníctva a personálnej agendy vystupuje Elvian spravidla v role spracovateľa v zmysle čl. 28 GDPR. Správcom zostáva klient (zamestnávateľ), ktorý určuje účely a prostriedky spracovania a udeľuje Elvianu pokyny.

Pravidlá spracovania sú upravené samostatnou Zmluvou o spracovaní osobných údajov (Data Processing Agreement, DPA), ktorá tvorí prílohu hlavnej Zmluvy s klientom a spĺňa požiadavky čl. 28 ods. 3 GDPR. DPA upravuje najmä:

• Predmet, dobu trvania, povahu a účel spracovania, kategórie subjektov údajov a typy osobných údajov.
• Zdokumentované pokyny správcu a povinnosti spracovateľa.
• Povoľovanie ďalších sub-spracovateľov (obecné povolenie s povinnosťou predchádzajúcej informácie o zmenách).
• Technické a organizačné opatrenia zabezpečenia.
• Postup oznamovania porušenia zabezpečenia správcovi.
• Súčinnosť pri uplatnení práv subjektov údajov, DPIA a pri auditoch.
• Povinnosti pri ukončení zmluvy — vrátenie alebo výmaz osobných údajov (voľba správcu).

12Kontakt pre otázky GDPR a sťažnosti