Članak #1

Ovim pravilnikom definirani su organizacijski, tehnički i logičko-tehnički postupci i mjere za osiguranje osobnih podataka u Rdeča Oranža, s ciljem da se osigura:

• da se osobni podaci obrađuju zakonito, pošteno i transparentno;
• da se osobni podaci prikupljaju u posebne, eksplicitne i zakonite svrhe, te se ne obrađuju na način koji nije u skladu s tim svrhama;
• da se prema zadanim postavkama obrađuju samo osobni podaci koji su potrebni za svaku pojedinu svrhu obrade; ova se obveza odnosi na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje njihovog čuvanja i njihovu dostupnost;
• da se poštuju i štite prava i slobode pojedinaca na koje se osobni podaci odnose;
• da je osigurana sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja;
• da tvrtka može dokazati usklađenost sa zakonodavstvom u području zaštite osobnih podataka.
• Odredbama ovog pravilnika utvrđene su obveze djelatnika Rdeče Oranže koje samo oni moraju poštovati. Odredbe ovog pravilnika odnose se i na druge osobe koje u društvu rade na temelju ugovora koji nisu ugovor o radu. U slučaju nedoumica u vezi sa značenjem bilo koje odredbe ovog dokumenta obratite se direktoru Martinu Korošecu.

Članak #2

Izrazi korišteni u ovoj politici imaju sljedeća značenja:

• Osobni podaci – značenje je isto kao i ono definirano GDPR-om
• Fizička osoba – je određena ili fizička osoba koja se može identificirati i na koju se odnose osobni podaci; fizička osoba je prepoznatljiva ako ju je moguće izravno ili neizravno identificirati, prvenstveno pozivom na identifikacijski broj ili na jedan ili više čimbenika koji karakteriziraju njezin fizički, fiziološki, psihički, ekonomski, kulturni ili društveni identitet, pri čemu način identifikacije ne uzrokuje velike troškove ili ne zahtijeva puno vremena;
• Prikupljanje osobnih podataka – značenje je isto kao i ono definirano GDPR-om
• Obrada osobnih podataka – značenje je isto kao i ono definirano GDPR-om
• Voditelj osobnih podataka – značenje je isto kao i ono definirano GDPR-om
• Osjetljivi osobni podaci – značenje je isto kao i ono definirano GDPR-om
• Korisnik osobnih podataka – značenje je isto kao i ono definirano GDPR-om
• Nositelj podataka – sve vrste sredstava na kojima su podaci zabilježeni ili snimljeni (dokumenti, akti, materijali, spisi, računalna oprema uključujući magnetske, optičke ili druge računalne medije, fotokopije, audio i slikovni materijal, mikrofilmovi, uređaji za prijenos podataka i dr.).
• Zaposlenici – su osobe koje imaju sklopljen ugovor o radu s poduzećem, osobe koje u poduzeću rade kao učenici ili studenti, osobe koje u poduzeću rade na temelju ugovora između poduzeća i poslodavca, koje obavljaju djelatnost pružanje poslova drugim poslodavcima, te osobe koje za društvo obavljaju poslove na temelju građanskopravnih ugovora.
• Sigurnosni incident – označava sigurnosnu povredu koja rezultira slučajnim ili nezakonitim uništenjem, gubitkom, izmjenom, neovlaštenim otkrivanjem ili pristupom osobnim podacima koji se prenose, pohranjuju ili na drugi način obrađuju.

Članak #3

Društvo vodi i održava evidenciju aktivnosti obrade osobnih podataka s propisanim sastavnicama, sukladno odredbama članka 30. GDPR-a, i to za svaku zbirku zasebno. Evidencija o aktivnostima obrade vodi se u elektroničkom obliku, pristup je moguć na prethodni zahtjev. Za vođenje evidencije o poslovima obrade odgovoran je svaki voditelj odjela unutar kojeg se vodi pojedina zbirka, a nadzor provodi ravnatelj.

Članak #4

U društvu ili za potrebe društva smiju se obrađivati ​​samo oni osobni podaci za koje postoji odgovarajuća pravna osnova prema odredbama GDPR ili drugog zakonodavstva. Ukoliko ne postoji zakonska osnova za obradu, potrebno je odmah prestati s aktivnom obradom osobnih podataka i onemogućiti im pristup, te o nepostojanju osnove obavijestiti direktora društva koji određuje daljnje postupanje s tim podacima. Osobni podaci smiju se prikupljati samo u određene i zakonite svrhe i ne smiju se dalje obrađivati ​​na način da bi njihova obrada bila u suprotnosti s tim svrhama, osim ako zakonom nije drugačije određeno. Kada tvrtka namjerava dalje obrađivati ​​osobne podatke u svrhu koja nije svrha za koju su osobni podaci prikupljeni, potrebno je unaprijed provjeriti je li nova svrha kompatibilna s izvornom te o tome pripremiti pisano izvješće. Mjere za osiguranje sigurnosti konkretnih (zbirki) osobnih podataka kao što su pseudonimizacija i enkripcija, ograničenje vremena pohrane i pristupa, ograničenje obrade, ograničenje svrhe i dr., te način provedbe utvrđuje ravnatelj u prijedlog upravitelja.

Prema GDPR-u, vođenje ove evidencije nije potrebno za tvrtke s manje od 250 zaposlenika, OSIM AKO: – nije vjerojatno da obrada predstavlja rizik za prava i slobode pojedinaca (dakle, invazivna je); – obrada NIJE povremena; – obrada uključuje posebne vrste podataka. S obzirom na navedeno, posebice uvjet (ne)učestalosti obrade, preporučamo da evidenciju aktivnosti obrade vode i tvrtke koje imaju manje od 250 zaposlenih. Posebne vrste osobnih podataka smiju se obrađivati ​​samo u skladu s odredbama GDPR-a i drugih zakona. Tijekom obrade ovi podaci moraju biti posebno označeni i osigurani na način da je neovlaštenim osobama onemogućen pristup istima. Pojedinac mora biti obaviješten o obradi osobnih podataka u skladu s odredbama članaka 12., 13. i 14. GDPR-a. Za izradu obavijesti odgovoran je svaki voditelj odjela unutar kojeg se vodi pojedina zbirka. Svaki voditelj službe unutar koje se vodi pojedina zbirka dužan je (za svaku pojedinu zbirku) utvrditi i voditi pisani popis osoba koje, zbog prirode posla i/ili funkcije u društvu, mogu obrađivati ​​određene osobne podatke ili imati pristup zbirkama (u daljnjem tekstu “ovlašteni izvršitelji obrade”). Voditelji odjela dužni su pisani popis ovlaštenih izvršitelja obrade dostaviti direktoru društva. Prije obrade osobnih podataka ovlašteni izvršitelji obrade moraju se upoznati s odredbama GDPR-a i sadržajem ove uredbe, o čemu su dužni potpisati posebnu izjavu „Dodatak ugovoru o obradi podataka”.

Članak #5

Pojedinac ima pravo od tvrtke dobiti potvrdu o tome obrađuju li se njegovi osobni podaci, a ako se obrađuju, pravo na pristup osobnim podacima (uvid) i informacijama iz 1. stavka 15. GDPR-a. Pojedinac ima pravo zahtijevati da tvrtka bez nepotrebnog odgađanja ispravi netočne ili potpune nepotpune osobne podatke koji se na njega odnose. Pojedinac ima pravo zahtijevati da tvrtka izbriše osobne podatke koji se na njega odnose bez nepotrebnog odgađanja, kada postoji jedan od sljedećih razloga: – osobni podaci više nisu potrebni za svrhe za koje su prikupljeni ili na drugi način obrađeni; – pojedinac opozove privolu na temelju koje se obrada odvija, a ne postoji druga pravna osnova za obradu; – pojedinac se protivi obradi, a ne postoje važniji pravni razlozi za njihovu obradu; – osobni podaci obrađeni su nezakonito; – osobni podaci moraju biti izbrisani radi ispunjenja zakonske obveze zbog ispunjenja zakonskih obveza; – osobni podaci prikupljeni u vezi s ponudom usluga informacijskog društva od maloljetne osobe. Pojedinac ima pravo zahtijevati od društva da ograniči obradu kada postoji jedan od sljedećih slučajeva: – pojedinac osporava točnost podataka, i to za razdoblje koje društvu omogućuje provjeru točnosti osobnih podataka; – obrada je nezakonita i pojedinac se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe; – društvo više ne treba osobne podatke za potrebe obrade, ali ih pojedinac treba za podnošenje, provedbu ili obranu pravnih zahtjeva; – pojedinac je podnio prigovor u vezi s obradom dok se ne provjeri prevladavaju li legitimni razlozi voditelja obrade nad razlozima pojedinca na koje se osobni podaci odnose. Pojedinac ima pravo zaprimiti osobne podatke koje daje društvu u strukturiranom, uobičajeno korištenom i strojno čitljivom obliku te pravo proslijediti te podatke drugom voditelju obrade bez da ga društvo u tome ometa, kada: – je obrada na temelju privole i – obrada se provodi automatiziranim sredstvima. Direktor društva je dužan osigurati da pojedinci budu upoznati s pravima iz prethodnih stavaka ovog članka na primjeren način koji je u skladu sa zahtjevima GDPR-a. Ravnatelj također osigurava jedinstvenu kontaktnu točku kojoj se pojedinci mogu obratiti kako bi ostvarili svoja prava. Voditelj je odgovoran za ostvarivanje prava pojedinaca i komuniciranje s njima. Ako se osobni podaci pojedinca nalaze u više zbirki, direktor društva određuje nadležnog voditelja odjela.

Članak #6

Voditelj odjela ili druga osoba koja to otkrije dužna je upozoriti ravnatelja na činjenicu da planirana obrada osobnih podataka, osobito (ali ne isključivo) primjenom novih tehnologija, uzimajući u obzir prirodu, opseg, okolnosti i svrhe obrada osobnih podataka, mogla dovesti do velikog rizika za prava i slobode pojedinca. U tom slučaju ravnatelj odlučuje je li potrebno provesti procjenu utjecaja namjeravanih radnji obrade na zaštitu osobnih podataka. Za samu izradu procjene utjecaja odgovoran je voditelj, odnosno druga osoba koju voditelj ovlasti. Obvezni su sudjelovati svi djelatnici koji mogu dati potrebne podatke i procjene. Procjena učinka provodi se u pisanom obliku i uključuje: – sustavan opis namjeravanih radnji obrade i svrhe obrade, kao i, kada je to prikladno, legitimne interese kojima društvo teži; – procjena nužnosti i razmjernosti radnji obrade u odnosu na njihovu svrhu; – procjena rizika za prava i slobode pojedinaca na koje se osobni podaci odnose; – mjere za rješavanje rizika, uključujući mjere zaštite, sigurnosne mjere i mehanizme za osiguravanje zaštite osobnih podataka i dokazivanje usklađenosti s GDPR-om, uzimajući u obzir prava i legitimne interese ispitanika i drugih dotičnih osoba. Ako voditelj službe ili druga osoba koja je izradila procjenu učinaka utvrdi da bi namjeravana obrada uzrokovala visok rizik da društvo ne poduzme mjere za smanjenje rizika, dužan je o tome obavijestiti direktora društva, prosuditi jesu li potrebne konzultacije s nadzornim tijelima.