Pokyny

Pokyny týkající se zpracování a ochrany osobních údajů

Pro účely agendy ochrany osobních údajů je určena kontaktní osoba - Petr Veselý, oddělení výpočetní techniky

Primární kontaktní email: This email address is being protected from spambots. You need JavaScript enabled to view it.

Pokyn č. 4 - Rozesílání hromadných e-mailů

V případě rozesílání hromadných e-mailů z pracovního e-mailu (více viz Pokyn č. 3) více osobám (subjektům údajů) na jejich soukromé e-mailové adresy je doporučeno použít výhradně funkce tzv. skryté kopie. Zveřejnění soukromé e-mailové adresy prostřednictvím jejího uvedení do pole adresát ("Komu") nebo prosté kopie ("Kopie") a rozposlání dalším adresátům e-mailu není z hlediska GDPR přípustné.

Příklad: Při komunikaci vyučujícího se studenty semináře jsou obvykle pro zasílání sdělení prostřednictvím e-mailu používány soukromé e-mailové adresy studentů. Je třeba dbát, aby při hromadném rozeslání jednoho e-mailu na více e-mailových adres nenastala situace, při které by student zjistil e-mailové adresy ostatních studentů. Podobným příkladem může být hromadné oslovení účastníků přihlášených na konferenci atd.

Pokyn se nevztahuje na pracovní komunikaci, při které je hromadně rozesílán e-mail na další pracovní e-mailové adresy nebo je zasílán v rámci spolupracující skupiny, kde se účastníci vzájemně znají a mezi sebou e-maily obvykle komunikují.

Příklady, kdy je použití seznamu v kopii oprávněné:

• Vedoucí pracoviště z pracovní e-mailové adresy zasílá sdělení všem svým zaměstnancům na jejich pracovní e-mail.
• Jakákoli pracovní komunikaci při použití pracovních e-mailů.
• Při komunikaci vyučujícího se skupinou studentů v rámci projektu, společné činnosti nebo jiné situaci, kdy jde o skupinu lidí, kteří o sobě vzájemně vědí.

Zdůvodnění:

Soukromá e-mailová adresa je osobním údajem. Její zveřejnění prostřednictvím e-mailu je proto v rozporu s GDPR.

Pokyn č. 3 - Používání soukromých e-mailových adres

Pro zasílání pracovních e-mailů uvnitř NHÚ i ze strany NHÚ vůči třetím stranám slouží všem zaměstnancům výhradně pracovní e-mailové účty pod interní doménou "cerge-ei.cz" případně "ei.cas.cz". Z hlediska GDPR není přípustné při zasílání pracovních e-mailů, komunikaci se studenty, řešení agendy úředně-správního charakteru apod. použití soukromých e-mailových účtů nebo účtů jiné organizace.

Komunikace z e-mailových účtů jiných pracovišť ohledně činností souvisejících s agendou NHÚ je možná pouze v případě pracovněprávního vztahu dané osoby k jinému pracovišti, a to výhradně prostřednictvím účtů vedených pod doménou Univerzity Karlovy, Akademie věd ČR (včetně společných pracovišť UK a AVČR), některé z fakultních nemocnic, CESNET nebo pod oficiální doménou některé z veřejných vysokých škol či veřejných výzkumných institucí.

Přeposílání e-mailů na další pracoviště zaměstnance, tzn. možnost automatického přeposílání z e-mailového účtu pod doménou cerge-ei.cz na jiný e-mailový účet zaměstnance, je možné realizovat pouze v případě, že organizace, u které je cílový e-mailový účet veden, je některou z organizací uváděných v předchozím odstavci. Přesměrování na účty vedené pod jinými doménami není z hlediska GDPR přípustné.

Pokyn nijak neomezuje umístění a typ e-mailových schránek subjektů, se kterými komunikace probíhá. Např. pokud student uvede ke komunikaci s ním e-mailovou adresu zřizovanou u externího poskytovatele, je samozřejmě možné mu i nadále zasílat e-maily na tuto adresu.

Nadále platí, že do e-mailu je možné uvést pouze ty osobní údaje, jejichž zveřejnění nemůže mít na danou osobu žádný vliv, nebo takové, o kterých subjekt údajů sám e-mailem komunikuje (tj. komunikaci sám zahájil).

Zdůvodnění:

V případě zaslání e-mailu mimo interní doménu jsou potenciální osobní údaje obsažené v e-mailu předávány třetím subjektům (t. j. organizaci, která provozuje takovou emailovou doménu). Pro toto předání nemá NHÚ souhlas a jedná se tedy o porušení pravidel GDPR. Komunikace z cizího (soukromého) e-mailu přímo se subjekty údajů navíc toto porušení zveřejňuje a tím dává velmi snadnou možnost podat proti postupu NHÚ stížnost.

V neposlední řadě je používání e-mailových účtů vedených mimo interní doménu (případně mimo doménu spolupracujících institucí) problematické také z hlediska kybernetické bezpečnosti

Pokyn č. 2 - Zveřejnění seznamu studentů/absolventů

Zveřejnění seznamu studentů či absolventů v tištěné podobě (např. ve výroční zprávě, publikaci k promoci) nebo na webových stránkách není přípustné bez souhlasu studentů.

V případě souhlasu je zveřejnění přípustné pouze v rozsahu, k jakému dal student souhlas (tedy např. ke zveřejnění výsledkové listiny účastníků soutěže, kde účastníci byli o zveřejnění informování v rámci přihlášky na soutěž a potvrzením přihlášky do soutěže tak vyjádřili souhlas).

Zdůvodnění

Zákony ČR včetně zákona o vysokých školách neukládají žádnou povinnost zveřejnit v tištěné podobě či na veřejně přístupné webové stránce seznam studentů či absolventů. Pro zveřejnění seznamu studentů či absolventů tak neexistuje zákonný důvod. Zveřejnění osobních údajů studenta či absolventa ve výroční zprávě, publikaci k promoci či na veřejně přístupné webové stránce je možné výhradně se souhlasem tohoto subjektu údajů.

Pokyn č. 1 - Hlášení ztráty zařízení