Pravilnik o organizaciji obrade osobnih podataka

Villa MM Stankovci

 

Verzija: 2.0

Datum: 05.09.2024.

 

Sadržaj

1. Uvodne napomene. 
2. Definicije. 
3. Područje primjene Pravilnika. 
4. Službenik za zaštitu podataka. 
5. Opće obveze i nadzor 
6. Procjena učinka. 
7. Vođenje evidencije obrade. 
8. Uvođenje novih procesa. 
9. Izmjena postojećih procesa. 
10. Ostvarivanje prava ispitanika. 
11. Suradnja s nadzornim tijelom.
12. Povrede obrade. 
13. Ažuriranje. 
14. Završne odredbe. 

 

 

1. Uvodne napomene
   • U svrhu osiguranja zakonitog ispunjavanja obveza temeljem Opće uredbe o zaštiti podataka[1] (dalje u tekstu: „GDPR“) društvo Villa MM Stankovci, Stankovci, Stankovci 3, OIB 88164236699 („Villa MM Stankovci“) usvojilo je ovaj Pravilnik o organizaciji obrade osobnih podataka („Pravilnik“).
   • Ovim Pravilnikom uspostavlja se funkcija Službenika za zaštitu osobnih podataka definirana člancima 37. – 39. GDPR-a i člankom 4. i 5. ovog Pravilnika kao interno tijelo društva Villa MM Stankovci nadležno za provedbu, nadzor i organizaciju obrade osobnih podataka te se utvrđuje njegov djelokrug i način rada te postupci međusobne suradnje u ispunjavanju zakonskih obveza društva Villa MM Stankovci
   • Pravilnik stupa na snagu istekom roka od osam dana od objave na oglasnoj ploči društva Villa MM Stankovci te predstavlja obvezujući interni akt društva Villa MM Stankovci

2. Definicije

Pojmovi korišteni u ovom Pravilniku će imati sljedeće značenje:

Povreda osobnih podataka	Bilo kakvo kršenje sigurnosti ili privatnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podatcima. Radi izbjegavanja svake dvojbe, navedeno uključuje bilo koju povredu uzrokovanu od strane radnika, bilo koje osobe koja postupa po ovlaštenju društva Villa MM Stankovci ili treće osobe.
Osobni podatak	Podrazumijeva svaki podatak koji se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi („Ispitanik“) – pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet.
Obrada	Svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.
Voditelj	Fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva Obrade osobnih podataka.
Izvršitelj	Znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime Voditelja.

3. Područje primjene Pravilnika
   • Pravilnik se primjenjuje isključivo na djelovanje osobe koja je sukladno članku 4. Pravilnika imenovana Službenikom za zaštitu podataka.
   • Pravilnik ne uređuje postupanje osobe navedene u stavku 1. ovog članka kada se obraća društvu Villa MM Stankovci u svojstvu Ispitanika u pogledu Obrade vlastitih osobnih podataka od strane društva Villa MM Stankovci
   • Pravilnik se ne primjenjuje na slučajeve kada osoba navedena u stavku 1. ovog članka obavlja poslove u okviru svojeg primarnog radnog mjesta u društvu Villa MM Stankovci, a koji poslovi nisu povezani s imenovanjem iz stavka 1. ovog članka. Obavljanje prethodno navedenih poslova u kontekstu obrade osobnih podataka regulirano je Politikom zaštite osobnih podataka.

4. Službenik za zaštitu podataka
   • Službenik za zaštitu podatka je radnik društva Villa MM Stankovci ili druga osoba koja tu funkciju obavlja na temelju ugovora o djelu, nadležna za nadziranje i usmjeravanje društva Villa MM Stankovci u pogledu zakonitosti obrade osobnih podataka („Službenik“). Njegov/njezin djelokrug rada, dužnosti i prava su propisani GDPR-om i drugim primjenjivim propisima iz područja prava zaštite osobnih podataka.
   • Službenika imenuje uprava društva Villa MM Stankovci
   • Službenik ne može biti opozvan s dužnosti zbog izvršavanja svojih zakonskih zadaća.
   • Službenik izravno odgovara upravi društva Villa MM Stankovci
   • Službenik u organizacijskoj strukturi ne može biti zaposlen na radnom mjestu koje se smatra višim rukovodstvom (primjerice predsjednik uprave, direktor poslovanja, direktor financija, glavni medicinski službenik, voditelj odjela za marketing, voditelj ljudskih resursa ili voditelj odjela za informacijsku tehnologiju), ali i niže uloge u hijerarhijskoj strukturi organizacije ako takvi položaji ili uloge podrazumijevaju utvrđivanje svrhe i načina obrade osobnih podataka.

5. Opće obveze i nadzor
   • Službenik je obvezan pratiti poštivanje odredbi GDPR-a i drugih propisa iz područja zaštite osobnih podataka u društvu Villa MM Stankovci, pratiti usklađenost na razini društva Villa MM Stankovci te provoditi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se osobni podatci u društvu Villa MM Stankovci obrađuju na zakonit način. U tom smislu, njegove obveze, u skladu s člankom 39. GDPR-a, obuhvaćaju najmanje sljedeće:

• informiranje i savjetovanje voditelja obrade ili izvršitelja obrade te radnika koji obavljaju obradu o njihovim obvezama iz GDPR-a te drugim odredbama Unije ili države članice o zaštiti podataka;
• praćenje poštovanja GDPR-a te drugih odredaba Unije ili države članice o zaštiti podataka i politika voditelja obrade ili izvršitelja obrade u odnosu na zaštitu osobnih podataka, uključujući raspodjelu odgovornosti, podizanje svijesti i osposobljavanje osoblja koje sudjeluje u postupcima obrade te povezane revizije;
• pružanje savjeta, kada je to zatraženo, u pogledu procjene učinka na zaštitu podataka i praćenje njezina izvršavanja u skladu s člankom 35. GDPR-a;
• suradnja s Agencijom za zaštitu osobnih podataka kao nadzornim tijelom nadležnim za zaštitu osobnih podataka;
• djelovanje kao kontaktna točka za nadzorno tijelo o pitanjima u pogledu obrade, što uključuje i prethodno savjetovanje iz članka 36. GDPR-a te savjetovanje, prema potrebi, o svim drugim pitanjima.
  • U svrhu ispunjavanja obveza iz ovog članka, Službenik je ovlašten tražiti obavijesti od radnika društva Villa MM Stankovci, provoditi interne inspekcije radi provjere usklađenosti te se izravno obratiti upravi društva Villa MM Stankovci, u slučaju uočenih nepravilnosti ili nepoštivanja odredbi GDPR-a, drugih primjenjivih propisa i Politike zaštite osobnih podataka društva Villa MM Stankovci
  • Službenik je dužan postupati s tajnošću i povjerljivošću u vezi s obavljanjem svojih zadaća.

 

6. Procjena učinka
   • Službenik je nadležan za provedbu procjene učinka na zaštitu podataka u smislu članka 35. GDPR-a.
   • Postupak provođenja procjene sastoji do dvije faze, i to (i) procjene može li proces Obrade osobnih podataka prouzročiti visoki rizik za prava i slobode pojedinaca („Pre-PIA Procjena“) i (ii) procjene učinka na zaštitu podataka („PIA Procjena“).
   • Službenik je uvijek obvezan provesti Pre-PIA Procjenu ako se u Evidenciju obrade uvodi novi ili mijenja postojeći proces obrade. PIA Procjena se provodi samo ako na temelju rezultata Pre-PIA procjene bude vjerojatno da će proces Obrade osobnih podataka prouzročiti visoki rizik za prava i slobode pojedinaca.
   • Službenik provodi Pre-PIA Procjenu te pritom aktivno surađuje s radnicima uključenim u proces Obrade osobnih podataka koji se procjenjuje. U tu svrhu, Službenik ima pravo od radnika tražiti potrebne informacije te provesti analize kako proces funkcionira u stvarnosti.
   • Po završetku Pre-PIA Procjene, Službenik donosi pisanu i obrazloženu odluku kojom utvrđuje postoji li potreba za provedbom PIA Procjene.
   • Službenik provodi PIA procjenu u skladu s člankom 35. GDPR i drugim primjenjivim zakonskim i podzakonskim propisima.
   • Po završetku PIA Analize, Službenik je obvezan surađivati s radnicima uključenim u proces te osigurati da se provedu sve predviđene mjere za rješavanje problema rizika kako bi se ublažili rizici za prava i interese Ispitanika.
   • Nastavno na odredbu prethodnog stavka, pod mjerama predviđenim za rješavanje problema rizika, u skladu s člankom 35., stavkom 7., toč. (d) GDPR-a, podrazumijevaju se zaštitne mjere, sigurnosne mjere i mehanizmi za osiguravanje zaštite osobnih podataka i dokazivanje sukladnosti s GDPR-om, uzimajući u obzir prava i legitimne interese Ispitanika i drugih uključenih osoba.
   • Službenik je obvezan pohraniti u fizičkom i elektroničkom obliku obavijest o provedbi PIA procjene, kao i sve druge odluke i/ili korespondenciju koje se odnose na tu PIA procjenu te Pre-PIA procjenu koja joj je prethodila. Sažete podatke o provedbi PIA procjene treba na odgovarajući način unijeti u Evidenciju.
   • U slučaju da nakon provedbe svih zaštitnih mjera predviđenih PIA Procjenom bude izvjesno da proces Obrade i dalje može dovesti do visokog rizika, Službenik je obvezan savjetovati se s Agencijom za zaštitu osobnih podataka ili drugim nadležnim tijelom u smislu članka 36. GDPR-a.

7. Vođenje evidencije aktivnosti obrade
   • Službenik vodi Evidenciju aktivnosti obrade osobnih podataka („Evidencija“) iz članka 7.2. Politike te poduzima sve potrebne mjere kako bi se osiguralo da Evidencija odražava točno i potpuno stanje obrade osobnih podataka u društvu Villa MM Stankovci U tu svrhu, Službenik ima pravo tražiti potrebne obavijesti od radnika te periodično provoditi interne revizije u svrhu provjere stvarnog stanja.
   • Službenik ima obvezu nadzirati i poduzimati mjere kako bi se osiguralo da podatci sadržani u Evidenciji predstavljaju stvarno stanje obrade osobnih podataka u društvu Villa MM Stankovci U tu svrhu, Službenik može provoditi odgovarajuće izmjene u Evidenciji ili izravno zatražiti potrebne obavijesti od radnika i/ili provedu interne revizije.
   • Službenik je obvezan osigurati da samo ovlašteni radnici društva Villa MM Stankovci imaju pristup Evidenciji. Evidencija se vodi u elektroničkom obliku te je dostupna u zajedničkoj mrežnoj datoteci kojoj pristup, uz Službenika, imaju isključivo u tu svrhu ovlašteni radnici društva Villa MM Stankovci
   • U slučaju bilo kakvih izmjena Evidencije, Službenik je obvezan o tome bez odgode i na odgovarajući način obavijestiti radnike društva Villa MM Stankovci u onoj mjeri koliko je isto nužno za obavljanje njihovih radnih zadataka i/ili potrebno obavještavanje Službenika u svrhu naknadnih izmjena Evidencije, pri tome se prvenstveno rukovodeći zaštitom osobnih podataka sadržanih u Evidenciji. U slučaju da se izmjene odnose samo na jedan odjel i/ili sektor društva Villa MM Stankovci, dovoljno je da se o izmjenama, na način kako je prethodno opisano, obavijesti samo taj relevantni odjel i/ili sektor.
   • Svaka Povreda, zahtjev za ostvarivanjem prava te izmjena procesa se na odgovarajući način evidentira u Evidenciji, uz naznaku datuma nastanka Povrede, zaprimanja zahtjeva za ostvarivanjem prava, odnosno izmjene procesa.

8. Uvođenje novih procesa
   • Ako Službenik bude obaviješten od strane radnika da je potrebno uvesti novi proces obrade ili da postojeći proces obrade nije naveden u Evidenciji, odnosno ako Službenik samostalno primijeti da određeni proces mora biti uveden u Evidenciju, bez odgode će provesti postupak u skladu s ovim člankom.
   • Odmah po primitku obavijesti i/ili saznanja za proces obrade, Službenik će od radnika uključenih u proces zatražiti potrebne obavijesti te utvrditi predstavlja li proces zaista proces Obrade osobnih podataka.
   • Ako Službenik utvrdi da proces ne predstavlja Obradu osobnih podataka, o tome će bez odgode obavijestiti uključene radnike te oni mogu nastaviti s provedbom aktivnosti obuhvaćenih predloženim procesom.
   • U slučaju da Službenik utvrdi da se radi o procesu obrade osobnih podataka, provest će Pre-PIA Procjenu.
   • U slučaju da nije potrebno provesti PIA-procjenu, Službenik će bez odgode uvesti novi proces u Evidenciju te o istome bez odgode obavijestiti uključene radnike koji potom mogu nastaviti s provedbom aktivnosti obuhvaćenih predmetnim procesom.
   • Ako je potrebno provesti PIA-procjenu, Službenik će je bez odgode provesti sukladno članku 6. ovog Pravilnika. Pod uvjetom da se zaštitnim mjerama ograničava visoki rizik Obrade, po provedbi svih potrebnih mjera predviđenih za rješavanje problema rizika sukladno članku 6.8. ovog Pravilnika, Službenik će uvesti novi proces u Evidenciju te o istome bez odgode obavijestiti uključene radnike koji potom mogu nastaviti s provedbom aktivnosti obuhvaćenih predmetnim procesom.

9. Izmjena postojećih procesa
   • U slučaju da Službenik bude obaviješten od strane ovlaštenih radnika društva Villa MM Stankovci da je u Evidenciji uočena nepravilnost u pogledu točnosti ili potpunosti određenog procesa, odnosno ako Službenik samostalno primijeti takvu nepravilnost, provesti će se bez odgađanja postupak u skladu s ovim člankom.
   • Odmah po primitku obavijesti ili saznanja za nepravilnost, Službenik će od radnika uključenih u predmetni proces zatražiti potrebne obavijesti te utvrditi sve izmjene koje se moraju provesti u Evidenciji. Na temelju tako dobivenih informacija, Službenik će provesti Pre-PIA Procjenu.
   • U slučaju da nije potrebno provesti PIA-procjenu, Službenik će bez odgode izmijeniti proces u Evidenciji te o istome bez odgode obavijestiti uključene radnike koji potom mogu nastaviti s provedbom aktivnosti obuhvaćenih predmetnim procesom.
   • Ako je potrebno provesti PIA-procjenu, Službenik će je bez odgode provesti sukladno članku 6. ovog Pravilnika. Pod uvjetom da se zaštitnim mjerama ograničava visoki rizik Obrade, po provedbi svih potrebnih mjera predviđenih za rješavanje problema rizika sukladno članku 6.8. ovog Pravilnika, Službenik će izmijeniti proces u Evidenciji te o istome bez odgode obavijestiti uključene radnike koji potom mogu nastaviti s provedbom aktivnosti obuhvaćenih predmetnim procesom.

 

10. Ostvarivanje prava Ispitanika
    • U slučaju zaprimanja zahtjeva Ispitanika radi ostvarivanja prava iz članaka 15.-22. GDPR-a, radnik društva Villa MM Stankovci koji je zaprimio zahtjev, obvezan je zaprimljeni zahtjev proslijediti Službeniku u roku od 48 (četrdeset i osam) sati od zaprimanja. Službenik mora zaprimljeni zahtjev evidentirati u zasebnom dokumentu koji se vodi u elektroničkom i fizičkom obliku. Napominje se da su u društvu Villa MM Stankovci Ispitanicima na raspolaganju unaprijed kreirani formalizirani obrasci putem kojih se Ispitanicima želi olakšati te u što većoj mjeri pojednostavniti podnošenje zahtjeva radi ostvarivanja prava iz članaka 15.-22. GDPR-a.
    • Po primitku zahtjeva iz prethodnog stavka, Službenik će na odgovarajući način provjeriti identitet Ispitanika te u tu svrhu od Ispitanika može tražiti dodatne informacije koje su nužne za utvrđenje njegova/njezina identiteta (npr. preslika osobne iskaznice). U slučaju da nije moguće utvrditi identitet ispitanika, Službenik će odbiti postupiti po zahtjevu te o tome u roku od najviše 30 (trideset) dana od zaprimanja zahtjeva pisanim putem obavijestiti Ispitanika.
    • Nakon što utvrdi identitet Ispitanika, Službenik procjenjuje je li zahtjev Ispitanika osnovan i u kojoj mjeri. U tu svrhu, Službenik će na temelju podataka iz Evidencije kontaktirati radnike društva Villa MM Stankovci uključene u proces Obrade u okviru kojeg se obrađuju u osobni podaci Ispitanika. Službenik će pažljivo procijeniti sve prikupljene informacije te na temelju istih donijeti odluku o osnovanosti zahtjeva. U slučaju kompleksnijih zahtjeva, Službenik može angažirati eksterne savjetnike.
    • Neovisno o osnovanosti zahtjeva, Službenik sastavlja odgovor za Ispitanika u kojem je dužan obrazložiti smatra li i zašto zahtjev osnovanim, djelomično osnovanim ili neosnovanim te navesti sve radnje koje je i/ili nije poduzeo nastavno na njegov/njezin zahtjev. U slučaju da Službenik odbije u cijelosti ili djelomično postupiti po zahtjevu, u odgovoru se obvezno mora naznačiti da Ispitanik ima pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka ili drugom nadzornom tijelu te uložiti pravni lijek.
    • Odgovor se pruža u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika. Odgovor se uvijek sastavlja u pisanom obliku.
    • Odgovor donesen u skladu s prethodnim stavcima mora biti poslan Ispitaniku najkasnije u roku od mjesec dana od zaprimanja zahtjeva. Taj se rok iznimno može prema potrebi produljiti za dodatna dva mjeseca, ovisno o složenosti i broju zahtjeva. Službenik obavješćuje Ispitanika o svakom takvom produljenju u roku od mjesec dana od zaprimanja zahtjeva, zajedno s razlozima odgađanja.
    • U slučaju zaprimanja zahtjeva Ispitanika radi ostvarivanja prava iz članaka 15.-22. GDPR-a, a koji se odnosi na proces obrade u kojem je društvo Villa MM Stankovci Izvršitelj, Službenik je obvezan o zaprimljenom zahtjevu obavijestiti Voditelja bez odgode, a najkasnije u roku od 12 (dvanaest sati) od zaprimanja. U tom slučaju, Službenik će Ispitanika obavijestiti o osobi Voditelja te ujedno uputiti da prava iz članaka 15.-22. GDPR-a može ostvariti naspram Voditelja.

 

 

11. Suradnja s nadzornim tijelom
    • Službenik djeluje kao kontakt točka za Agenciju za zaštitu osobnih podataka ili drugo nadzorno tijelo kada se ono obraća društvu Villa MM Stankovci u pogledu pitanja zaštite osobnih podataka.
    • Službenik djeluje kao kontakt točka za Ispitanike u pogledu ostvarivanja njihovih prava prema društvu Villa MM Stankovci kao Voditelju.
    • Iako je Službenik obvezan djelovati s tajnošću i povjerljivošću u vezi s obavljanjem svojih zadaća, Službenik se može obratiti nadzornom tijelu i od njega zatražiti savjet o svim pitanjima vezanim za Obradu osobnih podataka.

12. Povrede obrade
    • Nakon što zaprimi obavijest da je došlo do slučajnog ili nezakonitog uništenja, gubitka, neovlaštenog otkrivanja ili pristupa osobnim podatcima koji se obrađuju unutar društva Villa MM Stankovci („Povreda“), Službenik će odmah, a najkasnije u roku od 24 (dvadeset i četiri) sata, održati sastanak s voditeljima odjela u kojima se sumnja da je došlo do Povrede. Po potrebi, sastanku će prisustvovati i uprava društva Villa MM Stankovci
    • Ako se zajednički utvrdi da će Povreda prouzročiti rizik za prava i slobode pojedinaca, najkasnije u roku od 72 (sedamdeset i dva) sata od saznanja za Povredu Službenik izvješćuje:

• Agenciju za zaštitu osobnih podataka ili drugo nadzorno tijelo;
• Ispitanike čiji su osobni podaci obuhvaćeni Povredom.
  • Ako izvješćivanje nije učinjeno unutar 72 (sedamdeset i dva) sata, Službenik mora obrazložiti zašto je došlo do kašnjenja.
  • U slučaju iz stavka 2. ovog članka, ukoliko je u procesu društvo Villa MM Stankovci Izvršitelj, Službenik je obvezan bez odgode, a najkasnije u roku od 12 (dvanaest) sati od saznanja za Povredu, o istome obavijestiti Voditelja. Pritom će Službenik obavijestiti Ispitanika čiji su osobni podaci obuhvaćeni Povredom o osobi Voditelja te ujedno Ispitanika uputiti na ostvarivanje zahtjeva naspram Voditelja.
  • U slučaju procjene da Povreda neće rezultirati rizikom za prava i slobode pojedinaca, o Povredi se ne moraju obavijestiti osobe iz stavka 2. i 4. ovog članka.
  • Izvješćivanje se vrši na internom obrascu društva Villa MM Stankovci te uključuje najmanje sljedeće: (i) prirodu Povrede; (ii) učinak Povrede (npr. kategoriju i broj Ispitanika koji su obuhvaćeni), (iii) vjerojatne posljedice Povrede, (iv) poduzete mitigacijske aktivnosti te (v) upućivanje na Službenika od kojeg je moguće dobiti više informacija.
  • Društvo Villa MM Stankovci pritom pohranjuje u elektroničkom i fizičkom obliku sve dokumente i korespondenciju vezanu uz određenu Povredu.
  • U društvu Villa MM Stankovci uspostavljen je Registar povreda osobnih podataka u kojem se od strane Službenika dokumentiraju sve Povrede osobnih podataka, uključujući činjenice vezane za Povredu, njezine posljedice i mjere poduzete za popravljanje štete.

13. Ažuriranje
    • Društvo Villa MM Stankovci redovito ažurira i revidira ovaj Pravilnik i to najmanje jednom godišnje ili kad god postoje značajne promjene vezane uz regulatorni okvir, sistemske ili kadrovske promjene.

14. Završne odredbe
    • Ova Politika stupa na snagu osmog dana od dana objave na web stranici villammstankovci.hr
    • Po stupanju na snagu ove Politike sukladno stavku 1. ovog članka, ista će biti objavljena na web stranici villammstankovci.hr

 

 

                                                                                                        Villa MM Stankovci          

 

                                                                                               ______________________

                                                                                                        Hrvoje Travnikar

 

[1] Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ