Vnitřní předpis zaměstnavatele o zpracování a ochraně osobních údajů

Odkazy:
Čl. 4–5 GDPR
Čl. 24 GDPR

Komentář:
Prostřednictvím vydání tohoto vnitřního předpisu plní zaměstnavatel některé své povinnosti, které mu v souvislosti se zpracováváním osobních údajů ukládá nařízení GDPR.
Uvedená varianta vzoru vnitřního předpisu vychází z předpokladu, že zaměstnavatel zpracovává zejména ty osobní údaje, které musí zpracovávat podle zvláštních právních předpisů nebo je jich třeba k uplatnění práv a povinností zaměstnavatele.
Pokud by zaměstnavatel zpracovával i jiné osobní údaje, musel by jednak stanovit účel tohoto zpracování jednak zajistit, aby se zpracováním vyslovil subjekt údajů informovaný souhlas odpovídající požadavkům vyplývajícím z GDPR.
Vnitřní předpis rámcově nastiňuje organizační a technická opatření k zajištění, že zpracování je prováděno v souladu s nařízením GDPR. Tato opatření musí každý správce doplnit a přizpůsobit tak, aby odpovídala jeho podmínkám, účelu zpracování, způsobu zpracování atd. Existenci těchto opatření je zaměstnavatel povinen doložit. Tato opatření musí být podle potřeby revidována a aktualizována.
Pokud je to s ohledem na činnosti zpracování přiměřené, měla by uvedená opatření zahrnout i uplatňování vhodných koncepcí v oblasti ochrany údajů správcem.

Vnitřní předpis zaměstnavatele o zpracování a ochraně osobních údajů
(podle čl.  5 a 24 nařízení GDPR)

Vnitřní předpis zaměstnavatele č. …………………

O ochraně osobních údajů

Zaměstnavatel:	…………………
Sídlo/adresa:	…………………
IČ:	…………………

I. Obecná část

1.	Zaměstnavatel je ve smyslu čl. 4 bodu 7) nařízení GDPR správcem osobních údajů.
2.	Tento vnitřní předpis upravuje zpracování a ochranu osobních údajů, které zaměstnavatel jako správce zpracovává o svých zaměstnancích a osobách, které se o zaměstnání ucházejí.
3.	Tento vnitřní předpis je vydáván především pro stanovení účelu, k němuž jsou osobní údaje zpracovávány, stanovení prostředků a způsobu zpracování osobních údajů a zdokumentování technických a organizačních opatření k zajištění ochrany osobních údajů.

II. Zásady zpracování osobních údajů

1.	Zaměstnavatel při zpracování osobních údajů dodržuje zásady:
-	zákonnosti, korektnosti a transparentnosti,
-	účelového omezení,
-	minimalizace údajů,
-	přesnosti,
-	omezeného uložení,
-	integrity a důvěrnosti
2.	Zaměstnavatel odpovídá za dodržení souladu s výše uvedenými zásadami.

III. Určení zpracovávaných osobních údajů

1.	Ve vztahu ke svým zaměstnancům zpracovává zaměstnavatel osobní údaje, kterými jsou:
-	jméno a příjmení,
-	rodné číslo,
-	místo trvalého bydliště, případně jiné místo, kde zaměstnanec pobývá,
-	číslo občanského průkazu nebo průkazu o povolení k pobytu,
-	dosažené vzdělání a kvalifikace,
-	státní příslušnost,
-	počet nezletilých dětí,
-	………………………
1.	Ve vztahu k fyzickým osobám, které se ucházejí o zaměstnání, zpracovává zaměstnavatel osobní údaje, jimiž jsou:
-	jméno a příjmení,
-	dosažené vzdělání a kvalifikace,
-	kontaktní údaje (telefonní číslo nebo e-mailová adresa),
-	předchozí pracovní zkušenosti,
-	…………………………….

IV. Účel zpracování osobních údajů
1.	Osobní údaje zpracovávané ve vztahu k zaměstnancům zaměstnavatele, kterými jsou jméno a příjmení, rodné číslo, místo trvalého bydliště, číslo občanského průkazu nebo průkazu o povolení k pobytu, státní příslušnost a počet nezletilých dětí, zpracovává zaměstnavatel za tím účelem, aby vyhověl povinnostem souvisejícím se zaměstnáváním fyzických osob, vyplývajícím z právních předpisů především v oblasti nemocenského, důchodového a zdravotního pojištění, daní z příjmu a zaměstnanosti.
2.	Osobní údaj zpracovávaný ve vztahu k zaměstnancům zaměstnavatele, kterým je informace o dosaženém vzdělání a kvalifikaci, zpracovává zaměstnavatel jednak za tím účelem, aby mohl plnit povinnosti vyplývající ze smlouvy uzavřené se zaměstnancem (především povinnost přidělovat zaměstnanci práci, pro kterou má zaměstnanec vzdělání či kvalifikaci), a jednak za účelem plnění smluv uzavřených se smluvními partnery zaměstnavatele, v nichž se zaměstnavatel zavazuje k provedení úkonů či služeb prostřednictvím k tomu kvalifikovaných osob (zaměstnanců).
3.	Osobní údaj zpracovávaný ve vztahu k zaměstnancům zaměstnavatele, kterým je …………………………………, zpracovává zaměstnavatel za účelem ………………………………………………………………………………………….
4.	Osobní údaje zpracovávané ve vztahu k fyzickým osobám, které se ucházejí o zaměstnání, zpracovává zaměstnavatel za účelem výběru vhodného uchazeče v rámci provádění opatření směřujících k uzavření smlouvy (výběrového řízení), k nimž dochází na základě návrhu osoby ucházející se o zaměstnání.

V. Prostředky a způsob zpracování osobních údajů
1.	Zaměstnavatel získává výše uvedené osobní údaje prostřednictvím životopisů zaslaných uchazeči o zaměstnání v rámci výběrového řízení a prostřednictvím vstupních osobních dotazníků vyplňovaných zaměstnanci v souvislosti se vznikem pracovního poměru.
2.	Osobní údaje zpracovává zaměstnavatel
2.a	v listinné podobě v osobních spisech a spisech o uchazečích o zaměstnání, které zaměstnavatel ve vztahu ke svým zaměstnancům, resp. uchazečům o zaměstnání vede.
2.b	v elektronické podobě v databázi, kterou zaměstnavatel ve vztahu ke svým zaměstnancům, resp. uchazečům o zaměstnání vede.
3.	Zaměstnanci mají právo na přístup k osobním údajům, které zaměstnavatel ve vztahu k nim zpracovává.

VI. Technická a organizační opatření k zajištění ochrany osobních údajů
1.	Osobní údaje
1.a	uchovávané v listinné podobě jsou zabezpečeny uzamčením na určeném místě, které se nachází ………………… .
1.b	uchovávané v elektronické podobě jsou zabezpečeny prostřednictvím ………………… .
2.	K osobním údajům zpracovávaným zaměstnavatelem mají přístup pouze zaměstnanci, u kterých je tento přístup nezbytný vzhledem k povinnostem, jež plní v pracovněprávním vztahu k zaměstnavateli, a zaměstnanci, kteří mají podle zákoníku práce právo nahlížet do osobních spisů zaměstnanců. Jedná se o zaměstnance na pozicích:
	………………… ,
	………………… ,
	………………… ,
	………………… .
3.	Zaměstnanci, kteří mají přístup k osobním údajům, jsou povinni o obsahu těchto údajů zachovávat mlčenlivost, a to i po skončení jejich pracovního poměru.
4.	Zaměstnanci, kteří se podílí na zabezpečení osobních údajů, jsou povinni o bezpečnostních opatřeních přijatých za účelem zajištění ochrany osobních údajů zachovávat mlčenlivost, a to i po skončení jejich pracovního poměru.
5.	Každý zaměstnanec, který je vázán mlčenlivostí o osobních údajích nebo bezpečnostních opatřeních, musí být na tuto svou povinnost zaměstnavatelem individuálně upozorněn a musí být rovněž poučen o právních souvislostech ochrany osobních údajů.

VII. Uchovávání a likvidace osobních údajů
1.	V souvislosti se skončením výběrového řízení provede zaměstnavatel likvidaci osobních údajů uchazečů o zaměstnání, pro jejichž zpracování odpadl důvod.
2.	V souvislosti se skončením pracovního poměru provede zaměstnavatel likvidaci osobních údajů zaměstnanců, pro jejichž zpracování odpadl důvod.
3.	Zaměstnavatel i po skončení pracovního poměru po předepsanou dobu archivuje písemnosti, jejichž uchování mu ukládají zvláštní právní předpisy především v oblasti daní, důchodového, nemocenského a zdravotního pojištění.
4.	Zaměstnavatel i po skončení pracovního poměru po nezbytně nutnou uchovává písemnosti, které jsou nezbytné k ochraně práv zaměstnavatele.

VIII. Závěrečná ustanovení
Tento vnitřní předpis nabývá účinnosti dne ………………… a vydává se na dobu neurčitou.

V	…………………
Dne	…………………

	Zaměstnavatel (statutární orgán)

	…………………