Před vyplněním formuláře nebo dalším prohlížením webu je dobré vědět, co tyto zásady upravují a co je třeba hledat jinde. Nejde o všeobecné obchodní podmínky. Text se věnuje zpracování osobních údajů v rámci webu a služeb AFKTISNOV. Pokud návštěvník přejde přes odkaz na jiný web, informace o tamním nakládání s osobními údaji hledá v zásadách dané služby.
Dokument se zaměřuje zejména na tyto otázky:
- Jaké osobní údaje mohou souviset s používáním webu a k jakému účelu se používají.
- Jak dlouho se údaje uchovávají, kdo k nim může mít přístup a jaká práva má subjekt údajů.
Konkrétní pravidla je třeba číst u příslušného účelu zpracování; samotný úvod neznamená, že se každý popsaný postup týká každého návštěvníka.
Kdo osobní údaje zpracovává
Za zpracování osobních údajů na webu AFKTISNOV, včetně stránky Domů, odpovídá správce osobních údajů. Jeho identifikační a kontaktní údaje i postup, kterým může subjekt údajů uplatnit svá práva vůči správci, uvádějí následující podkapitoly.
Identifikace a kontaktní údaje správce
Správce osobních údajů projektu AFKTISNOV určuje účely a prostředky jejich zpracování. Ze samotného názvu projektu však nelze zjistit, jak se správce oficiálně jmenuje ani kam mu lze psát. Oficiální název správce, adresu a e-mail je třeba hledat v zásadách ochrany osobních údajů nebo na kontaktní stránce webu AFKTISNOV.
Pro dotazy týkající se osobních údajů je potřeba rozlišit údaje o projektu od údajů o správci osobních údajů:
- Oficiální název správce osobních údajů musí vycházet z jeho identifikačních údajů. Označení AFKTISNOV jej samo o sobě nenahrazuje.
- Kontaktní e-mail, poštovní adresu nebo jiný určený kanál je třeba převzít ze zveřejněných údajů správce. Obecný profil projektu či neoficiální komunikační kanál nemusí být určen pro žádosti týkající se osobních údajů.
Při hledání kontaktu pro žádost o výmaz přes stránku Kontaktovat nás je proto vhodné použít pouze údaj výslovně uvedený pro komunikaci se správcem osobních údajů. Chybějící adresu nelze odvozovat z názvu projektu ani nahrazovat adresou podobně pojmenovaného subjektu.
Postup při uplatnění práv subjektu údajů
Subjekt údajů může požádat o přístup k osobním údajům, jejich opravu nebo výmaz, o omezení jejich zpracování či o jejich přenositelnost. Může také vznést námitku proti zpracování osobních údajů. Pokud chce odvolat souhlas se zpracováním osobních údajů, je vhodné to v žádosti výslovně uvést.
- Žádost se nejprve zašle správci osobních údajů AFKTISNOV na kontakt uvedený v zásadách. Je třeba uvést, které právo se uplatňuje a čeho se žádost týká. Při pochybnostech o zpracování osobních údajů je vhodné popsat konkrétní problém, aby na něj správce mohl odpovědět. Při nejasnostech lze využít také Centrum nápovědy.
- Při vyřizování žádosti je třeba postupovat podle pokynů správce. Ve zveřejněných zásadách je třeba ověřit, jak se prokazuje totožnost žadatele a jaká lhůta platí pro odpověď. Bez přesného znění těchto pravidel nelze uvést požadované doklady ani konkrétní termín.
- Pokud odpověď pochybnosti nevyřeší, lze zvážit další postup včetně podání stížnosti. Před obrácením se mimo AFKTISNOV je vhodné uchovat původní žádost i odpověď správce; bude z nich patrné, čeho se věc týká a jak už byla řešena.
Jaké osobní údaje shromažďujeme
Rozsah osobních údajů, které AFKTISNOV zpracovává, závisí na způsobu používání webu. Některé údaje poskytuje návštěvník sám, technické údaje se při používání webu shromažďují automaticky. Soubory cookie popisují zásady používání cookies.
Údaje poskytnuté přímo uživatelem
Při vyplňování formuláře nebo psaní zprávy se předávají údaje zadané přímo uživatelem. Jejich rozsah závisí na konkrétních polích a na tom, co uživatel napíše do volného textu. Kategorie, které AFKTISNOV požaduje, je proto třeba posuzovat podle příslušného formuláře:
- Kontaktní údaje, například e-mailová adresa, mohou být potřebné, pokud má AFKTISNOV na zprávu odpovědět.
- Identifikační údaje, například jméno, se zadávají tehdy, pokud je příslušný formulář vyžaduje pro vyřízení požadavku.
- Volný text zprávy může obsahovat další osobní údaje, které do něj uživatel vloží sám. Pro vyřízení dotazu obvykle stačí popsat jeho předmět bez citlivých informací, které s ním nesouvisejí.
Povinná pole jsou ta, bez nichž nelze daný požadavek vyřídit; ostatní údaje zůstávají nepovinné. Rozlišení je třeba hledat u jednotlivých polí formuláře. Podle obecného nařízení o ochraně osobních údajů (GDPR) se mají pro konkrétní účel standardně zpracovávat pouze nezbytné osobní údaje. To platí i při psaní do otevřeného textového pole: není důvod připojovat údaje, které správce osobních údajů k odpovědi nepotřebuje.
Automaticky sbírané technické údaje a soubory cookie
I při běžném prohlížení může web zaznamenat technické údaje, aniž návštěvník cokoli vyplní. Rozsah záznamů AFKTISNOV musí vycházet z jeho schválených zásad; samotná návštěva stránky ještě neříká, které údaje se skutečně ukládají. Při kontrole je potřeba rozlišit zejména:
- IP adresu a parametry požadavku, pokud je web zaznamenává do technických logů.
- Typ prohlížeče a údaje o zařízení, pokud je web při návštěvě získává.
- Soubory cookie uložené v prohlížeči, jejichž název, poskytovatel, účel a doba platnosti se posuzují jednotlivě.
Soubory cookie potřebné pro fungování stránky nelze bez dalšího považovat za reklamní sledování. O účelu konkrétního souboru rozhodují jeho popis a způsob použití, nikoli jen to, že je uložen v prohlížeči. V nastavení prohlížeče lze uložené soubory cookie zobrazit, smazat nebo omezit jejich další ukládání. Omezení některých souborů může ovlivnit fungování stránky. Přesné parametry souborů cookie používaných na AFKTISNOV je nutné převzít ze schváleného původního dokumentu; bez nich nelze uvést jejich názvy ani dobu platnosti.
Za jakým účelem údaje používáme a na jakém právním základě
AFKTISNOV používá osobní údaje ke konkrétním účelům a každé zpracování osobních údajů se opírá o příslušný právní základ. Ten se odvíjí od toho, proč jsou údaje v dané situaci potřeba.
Zpracování na základě smlouvy a zákonné povinnosti
U údajů potřebných k poskytnutí služby záleží na tom, jakou funkci webu uživatel využívá a jaké údaje tato funkce vyžaduje. Souvislost mezi údajem, účelem a právním základem lze rozlišit takto:
- Údaje potřebné k využití požadované služby se zpracovávají pro její poskytnutí, pokud je zpracování osobních údajů nezbytné pro plnění smlouvy. Rozsah potřebných údajů závisí na konkrétní službě.
- Kontaktní údaje uvedené v dotazu slouží k zaslání odpovědi. Plnění smlouvy je právním základem tehdy, pokud vyřízení dotazu souvisí s jejím plněním; u jiného dotazu se právní základ posuzuje podle jeho účelu.
- Údaje obsažené v dokumentech, které musí správce osobních údajů uchovat kvůli účetním, archivačním či jiným povinnostem, se zpracovávají za účelem splnění těchto povinností, pokud se na daný případ vztahují.
Bez údaje nezbytného pro konkrétní službu ji nemusí být možné poskytnout; bez kontaktního údaje nemusí být možné odpovědět na dotaz. Odvolání souhlasu se nevztahuje na zpracování osobních údajů založené na plnění smlouvy nebo povinnosti správce osobních údajů.
Oprávněný zájem a souhlas se zpracováním údajů
Oprávněný zájem může být základem zpracování osobních údajů například při ochraně webu před zneužitím nebo zajišťování jeho základního provozu. Tyto příklady samy o sobě neříkají, pro které účely jej uplatňuje AFKTISNOV. U konkrétního účelu je proto třeba zjistit, jaké osobní údaje se zpracovávají a proč. Subjekt údajů může proti zpracování osobních údajů založenému na oprávněném zájmu vznést námitku u správce osobních údajů. V námitce je vhodné uvést, kterého účelu se týká.
Souhlas přichází v úvahu tam, kde se o něj AFKTISNOV pro daný účel opírá, například u souborů cookie nebo zasílání novinek, pokud jsou takto nastaveny. Subjekt údajů se musí rozhodnout svobodně a souhlas udělit aktivně. Před rozhodnutím je třeba vycházet z účelu uvedeného přímo u žádosti o souhlas; bez něj nelze určit, s čím se souhlasí.
Udělený souhlas lze kdykoli odvolat. Lze k tomu použít správu souhlasu, pokud je k dispozici, nebo se obrátit na správce osobních údajů prostřednictvím kontaktu uvedeného v těchto zásadách. Odvolání působí do budoucna a nemění zpracování osobních údajů, které na základě souhlasu proběhlo před ním.
Jak dlouho údaje uchováváme
Osobní údaje se uchovávají pouze po dobu nezbytnou pro účel jejich zpracování. Doba uložení se odvíjí od konkrétního účelu; po jejím uplynutí následuje výmaz nebo anonymizace osobních údajů podle příslušného postupu.
Lhůty uložení podle účelu zpracování
Doba uchovávání se může u jednotlivých osobních údajů lišit podle účelu jejich zpracování. Ukončení komunikace nebo relace proto samo o sobě neurčuje, kdy skončí uchovávání všech údajů. U každého účelu je potřeba vycházet z lhůty nebo z kritéria pro její určení uvedeného v zásadách AFKTISNOV.
- U údajů zpracovávaných v souvislosti se smlouvou rozhoduje lhůta přiřazená tomuto účelu. Nelze ji odvozovat pouze od konce jedné relace.
- U údajů zpracovávaných na základě oprávněného zájmu je třeba sledovat, jak zásady vymezují dobu trvání příslušného účelu a případnou lhůtu uchovávání.
- U údajů zpracovávaných na základě souhlasu rozhoduje odvolání souhlasu nebo uplynutí doby uvedené pro daný účel v zásadách, podle toho, co nastane dříve.
- U údajů uchovávaných kvůli povinnostem správce osobních údajů se uplatní lhůta uvedená pro příslušnou povinnost. Může se proto lišit od doby, po kterou trvá komunikace.
Pokud zásady u některého účelu neuvádějí pevný počet dní či let, dobu uchovávání je třeba posoudit podle kritéria, které pro tento účel stanoví. Bez takového údaje nelze určit konkrétní datum konce uchovávání.
Postup při výmazu a anonymizaci dat
Jakmile pomine účel zpracování osobních údajů a není důvod k jejich dalšímu uchování, následuje trvalý výmaz. V elektronických systémech se odstraní příslušné záznamy. Pokud jsou osobní údaje zachyceny také na fyzických nosičích, odstraní se z nich nebo se nosiče zlikvidují tak, aby údaje nebylo možné obnovit. Odvolání souhlasu se týká zpracování osobních údajů založeného na tomto souhlasu; samo o sobě neznamená výmaz záznamů potřebných pro jiný účel.
Jeden údaj může sloužit několika účelům současně. Skončí-li doba uchování pouze pro jeden z nich, přestane se pro tento účel používat, zatímco pro zbývající účel může zůstat uložen. K úplnému výmazu dojde, až pominou i ostatní důvody jeho uchování.
Místo výmazu může následovat anonymizace. Ze záznamu se při ní odstraní všechny identifikátory a vazby, podle nichž by jej bylo možné přiřadit ke konkrétní osobě. Anonymizované statistické údaje proto nelze zpětně spojit s osobou. Pokud by spojení šlo obnovit pomocí uchovaného identifikátoru, o anonymizaci v tomto smyslu by nešlo.
Kdo má k údajům přístup a komu je předáváme
Přístup k osobním údajům je přísně omezen. Pokud se na jejich zpracování podílejí externí partneři, jejich přístup a případné předávání osobních údajů se řídí pravidly popsanými v následujících podkapitolách.
Kategorie zpracovatelů a třetích stran
Přístup externích služeb k osobním údajům závisí na tom, které z nich se podílejí na provozu webu AFKTISNOV. Ve schváleném znění zásad je proto třeba ověřit konkrétní výčet příjemců a u každé uvedené kategorie její roli. Může jít například o služby pro hosting, IT podporu nebo analytiku; samotný typ služby však nedokládá, že ji web využívá ani že má přístup ke všem osobním údajům.
Zpracovatel jedná podle pokynů správce osobních údajů. Pokud schválené zásady uvádějí smlouvu o zpracování osobních údajů, povinnost mlčenlivosti a zákaz použít osobní údaje pro vlastní účely, je třeba tyto závazky vztáhnout jen na zpracovatele, pro které jsou v dokumentu stanoveny. Třetí stranu, která by osobní údaje využívala pro vlastní účely, nelze bez dalšího zařadit do stejné kategorie.
O tom, zda se osobní údaje zpřístupňují také dalším subjektům a za jakých okolností, rozhoduje znění zásad pro AFKTISNOV. Výčet příjemců ani smluvní závazky nelze odvozovat pouze z obvyklého fungování webových služeb.
Podmínky předávání údajů mimo Evropskou unii
Z dostupného znění nevyplývá, zda AFKTISNOV předává osobní údaje do zemí mimo Evropskou unii a Evropský hospodářský prostor (EU/EHP). Přístup externího poskytovatele k údajům sám o sobě takové předání nepotvrzuje. V zásadách ochrany osobních údajů AFKTISNOV je proto třeba hledat, zda správce nebo jeho zpracovatelé zpřístupňují údaje příjemcům mimo EU/EHP a do kterých zemí. Obchodní podmínky AFKTISNOV mohou obsahovat související informace o službě, samy však nepotvrzují, kde se údaje zpracovávají.
Pokud k předávání dochází, zásady by měly uvádět použitou záruku. Může jít o rozhodnutí o odpovídající ochraně pro cílovou zemi nebo o standardní smluvní doložky sjednané s příjemcem údajů. Tyto možnosti samy nepotvrzují, kterou záruku AFKTISNOV skutečně používá; rozhoduje údaj o konkrétním předání.
Případný přenos mimo EU/EHP nesmí snížit úroveň ochrany osobních údajů ani omezit možnost uplatnit práva k nim. Pokud zásady neuvádějí cílovou zemi nebo použitou záruku, lze si tyto informace vyžádat u správce prostřednictvím kontaktních údajů uvedených v zásadách.
Jak chráníme vaše osobní údaje
Podle obecného nařízení o ochraně osobních údajů (GDPR) musí správce osobních údajů přijmout vhodná technická a organizační opatření k jejich ochraně. Správce osobních údajů webu AFKTISNOV se zavazuje tuto povinnost při zpracování osobních údajů plnit; konkrétní opatření popisuje následující část.
Technická a organizační bezpečnostní opatření
Zabezpečený přenos chrání osobní údaje při odesílání přes web, sám však nevypovídá o tom, jak jsou chráněny po uložení. Šifrování uložených údajů a zálohování plní jiné úkoly: omezují přístup k obsahu, případně pomáhají obnovit údaje po jejich ztrátě. Bez výslovného popisu nelze tvrdit, které z těchto postupů AFKTISNOV používá.
Stejně konkrétní musí být popis organizačních opatření. Přístup pověřených osob, jejich povinnost mlčenlivosti a kontroly přístupů mohou snížit riziko neoprávněného nahlížení či pozměnění osobních údajů. Zda a jak jsou tato opatření u AFKTISNOV nastavena, musí vycházet ze schváleného popisu správce osobních údajů. Obecné ujištění o ochraně údajů samo o sobě neříká, kdo k nim může přistupovat ani jak se řeší jejich ztráta nebo zničení.
Při komunikaci přes web záleží také na zabezpečení vlastního zařízení a e-mailové schránky. Přístup k nim může zpřístupnit odeslané zprávy i tehdy, když je přenos přes web chráněn. Zveřejněná technická opatření proto mají smysl posuzovat podle toho, proti kterému riziku skutečně působí.
Časté dotazy k ochraně osobních údajů
Jak lze odvolat souhlas se zpracováním osobních údajů?
Správci osobních údajů je třeba zaslat žádost s uvedením souhlasu, který má být odvolán. Kontaktní údaje jsou v části „Identifikace a kontaktní údaje správce“. U souborů cookie záleží na tom, jaké nastavení web nabízí.
Jak požádat o výmaz osobních údajů?
Žádost o výmaz se zasílá správci osobních údajů na kontakt uvedený v části „Identifikace a kontaktní údaje správce“. Je vhodné uvést, kterých osobních údajů se týká. Zda je lze vymazat, závisí na účelu a právním základu jejich zpracování.
Co dělat, pokud jsou osobní údaje nesprávné?
Subjekt údajů může správce osobních údajů požádat o opravu. V žádosti je potřeba označit nesprávné osobní údaje a uvést správné znění, aby bylo zřejmé, co se má změnit.
Kam se obrátit se stížností?
Se stížností na zpracování osobních údajů se lze obrátit na Úřad pro ochranu osobních údajů. Ochranu osobních údajů upravuje nařízení (EU) 2016/679 a zákon č. 110/2019 Sb., o zpracování osobních údajů.
