Захист персональних даних

ІНФОРМАЦІЙНИЙ ОБОВ’ЯЗОК АДМІНІСТРАТОРА  

Шановні громадяни!
У зв’язку з Регламентом Європейського парламенту та Ради (ЄС) 2016/679 про захист фізичних осіб у зв’язку з обробкою персональних даних та про вільний рух таких даних, а також про скасування Директиви 95/46/ЄС (Загальний регламент про захист персональних даних) у редакції пізніших нормативних актів (далі — Регламент GDPR), маємо честь повідомити вас про те, як місто Пржибрам обробляє ваші персональні дані.

АДМІНІСТРАТОРОМ ВАШИХ ПЕРСОНАЛЬНИХ ДАНИХ Є:

Місто Пржибрам
, Tyršova 108, 261 01 Пржибрам I
, ІЧО: 00243132
, електронна пошта: e-podatelna@pribram.eu
, ідентифікатор електронної скриньки міста Пржибрам: 2ebbrqu

УПОВНОВАЖЕНИЙ З ПИТАНЬ ЗАХИСТУ ПЕРСОНАЛЬНИХ ДАНИХ:

Як орган державної влади, ми зобов’язані мати уповноваженого з питань захисту персональних даних, який допомагає нам захищати ваші персональні дані. Нашим уповноваженим з питань захисту персональних даних є:

Keystone Company a.s.
Інж. Радек Врняк
Прага 10, Віногради, Корунна 2569/108
ІЧО: 05983649
Електронна пошта: poverenec@pribram.eu

Яка роль уповноваженого?

До уповноваженого ви можете звертатися з будь-якими запитаннями, пропозиціями та вимогами щодо реалізації ваших прав, які безпосередньо стосуються ваших персональних даних, що використовуються в рамках певної діяльності

Уповноважений фахово оцінить ваші запитання, вимоги та пропозиції, передасть їх адміністратору разом із рекомендаціями щодо їх вирішення, а також, за необхідності, надасть вам базову інформацію та консультацію. Він зобов’язаний дотримуватися конфіденційності та зберігати таємницю навіть щодо скарг. Однак відповідальність за розгляд Ваших запитань, пропозицій, зауважень та вимог несе виключно сам контролер.

ПОНЯТТЯ

• Суб’єкт даних — фізична особа, до якої відносяться персональні дані
• Персональні дані – будь-яка інформація про ідентифіковану або ідентифіковану фізичну особу.
• Ідентифікованою фізичною особою є фізична особа, яку можна прямо або опосередковано ідентифікувати, зокрема за допомогою певного ідентифікатора, наприклад імені, ідентифікаційного номера, дані про місцезнаходження, мережевий ідентифікатор або на один чи кілька особливих елементів фізичної, фізіологічної, генетичної, психічної, економічної, культурної чи соціальної ідентичності цієї фізичної особи
• Чутливі дані — особлива категорія персональних даних — персональні дані, що свідчать про расове чи етнічне походження, політичні погляди, релігійне віросповідання чи філософські переконання або членство в профспілках, обробку генетичних даних, біометричних даних з метою унікальної ідентифікації фізичної особи, а також даних про стан здоров’я, статеве життя чи сексуальну орієнтацію фізичної особи
• Оператор персональних даних — будь-який суб’єкт, який на підставі спеціального закону або за дорученням контролера обробляє персональні дані для контролера. Зокрема, це організації, які управляють інформаційними системами.
• Мета обробки персональних даних — діяльність, процес або дія, для якої необхідно або доцільно обробляти персональні дані суб’єкта даних.
• Підстава для обробки персональних даних – законність (легітимність) обробки персональних даних. Оператор обробляє лише персональні дані суб’єктів даних, щодо яких він уповноважений спеціальним правовим актом або на підставі добровільної договірної угоди, у своїх законних інтересах, під час здійснення публічної влади або виконання завдання в інтересах суспільства, або на підставі добровільної та поінформованої згоди суб’єкта даних.
• Джерела персональних даних — фізична або юридична особа, орган державної влади, агентство або інший суб’єкт, від якого отримано персональні дані.
• Одержувач персональних даних — фізична або юридична особа, орган державної влади, агентство або інший суб’єкт, якому надаються персональні дані.
• Обробка персональних даних — будь-яка операція з персональними даними, така як збір, запис, упорядкування, структурування, зберігання, адаптація, зміна, пошук, перегляд, використання, надання доступу шляхом передачі, поширення, сортування або об’єднання, обмеження, видалення або знищення

 
ЦІЛІ ОБРОБКИ, ДЛЯ ЯКИХ ПРИЗНАЧЕНІ ПЕРСОНАЛЬНІ ДАНІ, ТА ПРАВОВА ОСНОВА ДЛЯ ОБРОБКИ

Місто Пржибрам виступає в якості адміністратора персональних даних (далі — «АДМІНІСТРАТОР»). Персональні дані, отримані від суб’єкта даних (далі — «громадянин»), обробляються з метою виконання юридичних зобов’язань, з метою виконання договору або з огляду на законний інтерес.

АДМІНІСТРАТОР має в паперовій та електронній формі опрацьований Перелік окремих цілей, для яких призначені персональні дані, та правову основу для їх обробки.

МОЖЛИВІ ОДЕРЖУВАЧІ АБО КАТЕГОРІЇ ОДЕРЖУВАЧІВ ПЕРСОНАЛЬНИХ ДАНИХ

ОПЕРАТОР має у паперовій та електронній формі підготовлений перелік окремих категорій одержувачів персональних даних, а також інформацію щодо інших операторів персональних даних, яким, у разі необхідності, передаються персональні дані.

МОЖЛИВИЙ НАМІР ОПЕРАТОРА ПЕРЕДАТИ ПЕРСОНАЛЬНІ ДАНІ ДО ТРЕТЬОЇ КРАЇНИ АБО МІЖНАРОДНОЇ ОРГАНІЗАЦІЇ

Якщо існуватиме правова підстава для передачі персональних даних до третьої країни або міжнародної організації, суб’єкт даних завжди буде проінформований про цей намір. Усі персональні дані мають бути захищені від зловживання.

ТЕРМІН ЗБЕРІГАННЯ ПЕРСОНАЛЬНИХ ДАНИХ

ОПЕРАТОР має у паперовій та електронній формі опрацьований перелік окремих строків, протягом яких персональні дані будуть зберігатися у оператора.

Якщо неможливо визначити строк, протягом якого персональні дані будуть зберігатися у адміністратора відповідно до Закону № 499/2004 Зб., Закону про архівну справу та діловодство та про внесення змін до деяких законів, суб’єкту даних будуть повідомлені критерії, що використовуються для визначення цього строку.

ДОДАТКОВА ІНФОРМАЦІЯ ДЛЯ СУБ’ЄКТА ДАНИХ:

Суб’єкт даних має право вимагати від контролера доступу до персональних даних, що стосуються суб’єкта даних.  Контактною особою для громадян, до яких відносяться персональні дані (тобто суб’єктів персональних даних), є уповноважений з питань захисту персональних даних. Вони можуть звертатися до уповноваженого з усіх питань, пов’язаних з обробкою їхніх персональних даних та реалізацією їхніх прав відповідно до Регламенту.

ПРАВО НА ВИПРАВЛЕННЯ, ОБМЕЖЕННЯ ТА ВИДАЛЕННЯ ПЕРСОНАЛЬНИХ ДАНИХ

Суб’єкт даних має право вимагати від контролера виправлення, обмеження або видалення своїх даних. Право на видалення даних має суб’єкт даних, якщо не існує жодних інших правових підстав для обробки персональних даних або якщо суб’єкт даних відкликає інформовану явну згоду, на підставі якої оброблялися дані, що свідчать про расове чи етнічне походження, політичних поглядів, релігійного віросповідання чи філософських переконань або членства в профспілках, а також обробки генетичних даних, біометричних даних з метою унікальної ідентифікації фізичної особи та даних про стан здоров’я, статеве життя або сексуальну орієнтацію фізичної особи.

ІНФОРМУВАННЯ ПРО МОЖЛИВІ НАСЛІДКИ НЕНАДАННЯ ЦИХ ДАНИХ

Якщо надання персональних даних є вимогою закону чи договору, або вимогою, яку необхідно включити до договору, або якщо суб’єкт даних зобов’язаний надати персональні дані, адміністратор інформує суб’єкта даних про можливі наслідки ненадання цих даних.

ПОДАЛЬША ОБРОБКА ДАНИХ З ІНШОЮ МЕТОЮ

Якщо контролер має намір надалі обробляти персональні дані з іншою метою, ніж та, для якої вони були зібрані, він надасть суб’єкту даних ще до зазначеної подальшої обробки інформацію про цю іншу мету та відповідну додаткову інформацію, зазначену в попередніх пунктах.

Вищезазначені положення щодо інформування суб’єкта даних контролером не застосовуються, якщо суб’єкт даних уже має зазначену інформацію, і в тій мірі, в якій він її має.

ІНФОРМАЦІЯ, ЩО НАДАЄТЬСЯ У ВИПАДКУ, ЯКЩО ПЕРСОНАЛЬНІ ДАНІ НЕ БУЛИ ОТРИМАНІ ВІД СУБ’ЄКТА ДАНИХ

Якщо персональні дані не були отримані від суб’єкта даних, КЕРУЮЧИЙ надає суб’єкту даних таку інформацію:

1. ідентифікаційні та контактні дані іншого контролера та, за необхідності, його представника;
2. у разі необхідності — контактні дані уповноваженого з питань захисту персональних даних;
3. цілі обробки, для яких призначені персональні дані, та правову основу для обробки;
4. категорії відповідних персональних даних;
5. можливих одержувачів або категорії одержувачів персональних даних.

ІНФОРМАЦІЯ ПРО ДЖЕРЕЛО ПЕРСОНАЛЬНИХ ДАНИХ

Якщо КЕРУЮЧИЙ отримує інформацію про суб’єкта даних з інших джерел, ніж безпосередньо від самого суб’єкта даних, він завжди надає інформацію про джерело, з якого походять персональні дані, та, у разі необхідності, інформацію про те, чи походять дані з загальнодоступних джерел.

ТЕРМІН НАДАННЯ ІНФОРМАЦІЇ

Адміністратор надає інформацію, зазначену у двох попередніх абзацах, у розумний строк після отримання персональних даних, але не пізніше ніж через один місяць, з урахуванням конкретних обставин, за яких обробляються персональні дані, або не пізніше моменту, коли вперше відбудеться спілкування з суб’єктом даних,якщо персональні дані мають бути використані для цілей цієї комунікації, або не пізніше ніж під час першого надання доступу до персональних даних, якщо він має намір надати їх іншому одержувачу.

Якщо контролер має намір надалі обробляти персональні дані з іншою метою, ніж та, для якої вони були отримані, він надає суб’єкту даних ще до зазначеної подальшої обробки інформацію про цю іншу мету та відповідну додаткову інформацію, зазначену в першому абзаці.

1. ідентифікаційні та контактні дані іншого контролера та, у разі необхідності, його представника;
2. у разі необхідності — контактні дані відповідального за захист персональних даних;
3. цілі обробки, для яких призначені персональні дані, та правові підстави для обробки;
4. категорії відповідних персональних даних;
5. можливих одержувачів або категорії одержувачів персональних даних;

 
можливий намір контролера передати персональні дані одержувачу в третій країні або міжнародній організації та наявність або відсутність рішення Комісії про відповідний рівень захисту або, у випадках передачі, зазначених у статтях 46 або 47 або у статті 49, абзац 1, другого Регламенту.

Цей обов’язок щодо інформування не застосовується у випадку, якщо суб’єкт даних уже має зазначену інформацію, або якщо буде доведено, що надання такої інформації є неможливим або вимагатиме непропорційних зусиль. Це стосується, зокрема, випадків обробки з метою архівування в інтересах суспільства, для наукових або історичних досліджень, а також для статистичних та подібних цілей, або якщо дані були псевдонімізовані. Ще одним винятком із обов’язку інформування є також випадок, коли персональні дані мають залишатися конфіденційними з огляду на обов’язок дотримання службової таємниці, передбачений законодавством Європейського Союзу або держави-члена.

ПРАВО ГРОМАДЯНИНА НА ДОСТУП ДО ПЕРСОНАЛЬНИХ ДАНИХ

Громадянин має право отримати підтвердження того, чи обробляються персональні дані, що стосуються його, чи ні, і якщо так, то має право отримати доступ до цих персональних даних та до такої інформації:

1. цілі обробки;
2. категорії відповідних персональних даних;
3. одержувачі або категорії одержувачів, яким персональні дані були або будуть надані, зокрема одержувачі в третіх країнах або в міжнародних організаціях;
4. запланований строк зберігання персональних даних або, якщо його неможливо визначити, критерії, що застосовуються для встановлення цього строку;
5. наявність права вимагати від контролера виправлення або видалення персональних даних, що стосуються суб’єкта даних, або обмеження їх обробки, або висловити заперечення проти такої обробки;
6. право подати скаргу до наглядового органу;
7. уся доступна інформація про джерело персональних даних, якщо вони не були отримані від суб’єкта даних;
8. факт того, що відбувається автоматизоване прийняття рішень, включаючи профілювання, якщо ОПЕРАТОР здійснює таке оброблення, та у таких випадках — суттєва інформація щодо застосованої процедури, а також значення та передбачувані наслідки такого оброблення для громадянина.

 
Якщо персональні дані передаються до третьої країни або міжнародної організації, громадянин має право бути поінформованим про відповідні гарантії, що стосуються такої передачі.

ОПЕРАТОР надає копію персональних даних, що обробляються. За додаткові копії на підставі запиту громадянина АДМІНІСТРАТОР може стягувати розумну плату, виходячи з адміністративних витрат. Якщо громадянин подає запит в електронній формі, інформація надається в електронній формі, яка зазвичай використовується, якщо громадянин не вимагає іншого способу.

Право на отримання копії оброблюваних персональних даних не повинно негативно впливати на права та свободи інших осіб.

ПРАВО НА ВИПРАВЛЕННЯ

Громадянин має право вимагати від АДМІНІСТРАТОРА без зайвої затримки виправити неточні персональні дані, що стосуються його. З урахуванням цілей обробки громадянин має право на доповнення неповних персональних даних, у тому числі шляхом надання додаткової заяви.

ПРАВО НА ВИДАЛЕННЯ («ПРАВО НА ЗАБУТТЯ»)

Громадянин має право вимагати, щоб ОПЕРАТОР без зайвої затримки видалив персональні дані, що стосуються громадянина, а ОПЕРАТОР зобов’язаний видалити персональні дані громадянина без зайвої затримки, якщо має місце одна з таких підстав:

1. персональні дані більше не потрібні для цілей, для яких вони були зібрані або іншим чином оброблені;
2. суб’єкт даних відкликає згоду, на підставі якої дані оброблялися відповідно до ст. 6 ч. 1 п. а) або ст. 9 ч. 2 п. а), і не існує жодних інших правових підстав для обробки;
3. суб’єкт даних висуває заперечення проти обробки відповідно до ст. 21 ч. 1, і не існує жодних переважних законних підстав для обробки, або суб’єкт даних висуває заперечення проти обробки відповідно до ст. 21 ч. 2;
4. персональні дані були оброблені з порушенням законодавства;
5. персональні дані мають бути видалені для виконання юридичного обов’язку, встановленого законодавством Європейського Союзу або держави-члена, яке поширюється на контролера;
6. персональні дані були зібрані у зв’язку з наданням послуг інформаційного суспільства відповідно до статті 8, пункт 1.

 
Якщо КОНТРОЛЕР оприлюднив персональні дані та зобов’язаний їх видалити, він вживає, з урахуванням доступних технологій та витрат на їх реалізацію, відповідних заходів, включаючи технічні заходи, щоб повідомити інших контролерів, які обробляють ці персональні дані, про те, що громадянин вимагає видалити всі посилання на ці персональні дані громадянина, їхні копії чи реплікації.

Видалення персональних даних громадянина не може відбутися, якщо обробка даних є необхідною:

1. для реалізації права на свободу вираження поглядів та на інформацію;
2. для виконання юридичного обов’язку, що вимагає обробки відповідно до законодавства Європейського Союзу або держави-члена, яке поширюється на контролера, або для виконання завдання, що здійснюється в інтересах суспільства чи під час здійснення публічної влади, яким контролер уповноважений;
3. з міркувань суспільного інтересу у сфері охорони здоров’я відповідно до ст. 9, п. 2, літ. h) та i), а також ст. 9, п. 3;
4. для цілей архівування в суспільних інтересах, для цілей наукових або історичних досліджень або для статистичних цілей відповідно до ст. 89, п. 1, якщо існує ймовірність, що право, зазначене в пункті 1, унеможливило б або серйозно загрожувало б досягненню цілей зазначеної обробки;
5. для встановлення, здійснення або захисту правових вимог.

ПРАВО НА ОБМЕЖЕННЯ ОБРОБКИ

Громадянин має право вимагати від КОНТРОЛЕРА обмеження обробки у будь-якому з таких випадків:

1. громадянин заперечує достовірність персональних даних — на час, необхідний для того, щоб контролер міг перевірити достовірність персональних даних;
2. обробка є незаконною, а суб’єкт даних відмовляється від видалення персональних даних і замість цього вимагає обмеження їх використання;
3. контролер більше не потребує персональних даних для цілей обробки, але суб’єкт даних вимагає їх для визначення, здійснення або захисту правових вимог;
4. суб’єкт даних висловив заперечення проти обробки відповідно до статті 21, абзац 1, доти, доки не буде перевірено, чи обґрунтовані підстави контролера переважають обґрунтовані підстави суб’єкта даних.
 

Якщо обробка була обмежена відповідно до пункту 1, ці персональні дані, за винятком їхнього зберігання, можуть оброблятися лише:

1. за згодою громадянина або з метою встановлення,
2. реалізації чи захисту правових вимог,
3. з метою захисту прав іншої фізичної або юридичної особи
, 4. з міркувань важливого суспільного інтересу Союзу або будь-якої держави-члена.
 

Громадянин, щодо якого було застосовано обмеження обробки відповідно до пункту 1, заздалегідь повідомляється про те, що обмеження обробки буде скасовано.

ОБОВ’ЯЗОК ПОВІДОМЛЕННЯ ЩОДО ВИПРАВЛЕННЯ АБО ВИДАЛЕННЯ ПЕРСОНАЛЬНИХ ДАНИХ АБО ОБМЕЖЕННЯ ОБРОБКИ

ОПЕРАТОР повідомляє окремим одержувачам, яким було надано доступ до персональних даних, про будь-які виправлення або видалення персональних даних або обмеження обробки, здійснені відповідно до статті 16, статтею 17, пунктом 1 та статтею 18, за винятком випадків, коли це виявляється неможливим або вимагає непропорційних зусиль. Контролер інформує суб’єкта даних про таких одержувачів, якщо суб’єкт даних вимагає цього.

ПРАВО НА ПЕРЕНЕСЕННЯ ДАНИХ

Громадянин має право отримати персональні дані, що стосуються його і які він надав контролеру, у структурованому, загальновживаному та машиночитаному форматі, а також право передати ці дані іншому контролеру, без перешкод з боку контролера, якому були надані персональні дані, перешкоджав цьому, а саме у випадку, якщо: а) обробка ґрунтується на згоді відповідно до ст. 6, п. 1, літ. а) або ст. 9, п. 2, літ. а) або на договорі відповідно до ст. 6, п. 1, літ. б); та б) обробка здійснюється автоматизовано.

Здійснюючи своє право на перенесення даних (згідно з попереднім абзацом), громадянин має право на те, щоб персональні дані були передані безпосередньо одним контролером іншому, якщо це технічно можливо.

Право на перенесення даних не повинно негативно впливати на права та свободи інших осіб.

Обмеження права на перенесення даних:

1. якщо обробка даних необхідна для виконання завдання, що здійснюється в інтересах суспільства;
2. здійснення публічної влади, яким уповноважений КЕРУЮЧИЙ (на підставі законних повноважень органу);
3. якщо це негативно вплине на права та свободи інших осіб.

ПРАВО ВИСУНУТИ ЗАПЕРЕЧЕННЯ

Громадянин має право з причин, пов’язаних із його конкретною ситуацією, у будь-який час подати заперечення проти обробки персональних даних, що стосуються його, на підставі статті 6, абзацу 1, літер е) або f) Регламенту, включаючи профілювання, засноване на цих положеннях. ОПЕРАТОР не продовжує обробку даних, якщо не доведе наявність вагомих законних підстав для обробки, які переважають інтереси або права та свободи громадянина, або для визначення, здійснення чи захисту правових вимог.

АВТОМАТИЗОВАНЕ ІНДИВІДУАЛЬНЕ ПРИЙНЯТТЯ РІШЕНЬ, ВКЛЮЧНО З ПРОФІЛЮВАННЯМ

У рамках діяльності, що здійснюється АДМІНІСТРАТОРОМ, не відбувається автоматизованого прийняття рішень або профілювання, яке має для нього правові наслідки або аналогічним чином суттєво впливає на нього.

НЕПРАВОМІРНІ ВИМОГИ СУБ’ЄКТА ДАНИХ ТА ЇХ ВИРІШЕННЯ

Право на надання інформації не є абсолютним. Право на надання інформації не повинно порушувати права на захист даних іншої особи. Крім того, Регламент також передбачає випадки надмірних та повторюваних запитів, у яких заявник вимагає надання інформації.

У ст. 12 Регламенту регулюються строки, форма та принцип безкоштовності надання інформації про вжиті заходи у відповідь на запити суб’єкта даних, якими він реалізує свої права (ст. 15–22 Регламенту).

У статті 12, пункт 5), друге речення Регламенту зазначено:

Якщо запити, подані суб’єктом даних, є явно необґрунтованими або неспівмірними, зокрема через їх повторюваність, контролер може:

1. стягнути розумну плату, що враховує адміністративні витрати, пов’язані з наданням запитуваної інформації чи повідомлення або з виконанням запитуваних дій; або
2. відмовити у задоволенні запиту»

Очевидну необґрунтованість або неспівмірність запиту доводить КЕРУЮЧИЙ. Отже, тут безпосередньо передбачено нормативно-правову основу для відмови у задоволенні запиту (відмови у вжитті заходів відповідно до запиту) через очевидну необґрунтованість та неспівмірність. Непропорційність вимоги пов’язана з критерієм пропорційності як одним із основних принципів захисту персональних даних.

Принцип пропорційності — це спосіб вирішення ситуації, коли виникає конфлікт між двома або кількома суб’єктивними правами, захищеними об’єктивним правом. Така ситуація оцінюється таким чином, що перевагу отримує те право, яке захищає найважливішу цінність, однак із мінімально необхідним обмеженням інших конкуруючих прав, щоб зберегти пропорційність, тобто співвідношення між окремими правами, що перебувають у конфлікті.

Отже, АДМІНІСТРАТОР має право відмовити у задоволенні запиту. 

У разі відмови у задоволенні запиту ОПЕРАТОР повинен у співпраці з уповноваженою особою підготувати коротке обґрунтування та надіслати заявнику документ про те, що він відмовляє у задоволенні його вимоги, з яких підстав, а також про те, що заявник має право звернутися до наглядового органу, яким є Управління з захисту персональних даних, та до суду.

ЩО ВАМ СЛІД ЗРОБИТИ, ЯКЩО ВИ ВВАЖАЄТЕ, ЩО МИ НЕ ОБРОБЛЯЄМО ВАШІ ПЕРСОНАЛЬНІ ДАНІ НАЛЕЖНИМ ЧИНОМ?

У такому випадку ви можете звернутися до нашого уповноваженого з питань захисту персональних даних або маєте право подати скаргу до наглядового органу, яким є Управління з захисту персональних даних, за адресою: Pplk. Sochora 27, 170 00 Прага 7, телефон: +420 234 665 111 (центральний номер), факс: +420 234 665 444, Електронна поштова скринька (обробляє повідомлення, що надходять на електронну адресу Управління) Електронна пошта: posta@uoou.cz; Електронна скринька: qkbaa2n, веб-сайт: https://www.uoou.cz

ЯК ПОДАТИ ЗАЯВУ?

АДМІНІСТРАТОР приймає запити на інформацію як у паперовій формі, так і в електронній.

Частиною процедури прийняття запиту є перевірка особи заявника. Ця перевірка заявника є необхідною для захисту його персональних даних від несанкціонованого доступу до цієї особистої інформації.

Способи перевірки особи:

1. Прийом через електронну скриньку від електронної скриньки суб’єкта даних
2. Прийом через електронну пошту, де подання підписано дійсним кваліфікованим електронним підписом
3. Перевірка особи у приймальні міста Прїбрам
4. Заява підписана засвідченим підписом (установа, нотаріус)