Informace o zpracování a ochraně osobních údajů na MU
V souladu s čl. 13 a 14 Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) – dále jen obecné nařízení – informuje Masarykova univerzita subjekty údajů o podmínkách, za jakých jsou zpracovávány a chráněny jimi poskytované osobní údaje a jaká mají subjekty údajů v oblasti zpracování a ochrany osobních údajů práva.
Správce osobních údajů
Správcem osobních údajů je Masarykova univerzita, Žerotínovo nám. 617/9, 601 77 Brno, IČO: 00216224, DIČ: CZ00216224, ID datové schránky: 9tmj9e4.
Masarykova univerzita (dále též MU) je veřejná vysoká škola podle zákona č. 111/1998 Sb., o vysokých školách. V rámci svého poslání MU svobodně a samostatně uskutečňuje vzdělávací a v souvislosti s ní vědeckou a výzkumnou, vývojovou a inovační, uměleckou nebo další tvůrčí činnost a s nimi související činnosti.
Pověřenec pro ochranu osobních údajů
Pověřenkyní pro ochranu osobních údajů Masarykovy univerzity je Mgr. Iva Zlatušková, poverenec@muni.cz, telefon 549 49 1030.
Zásady pro zpracování osobních údajů na MU
Masarykova univerzita považuje ochranu osobních údajů za důležitou a věnuje jí velkou pozornost. MU osobní údaje zpracovává pouze v rozsahu, který je nezbytný pro činnost univerzity, případně souvisí se službami, které subjekty údajů na MU využívají. Osobní údaje MU chrání v maximální možné míře a v souladu s platnými právními předpisy. Zásady a pravidla při zpracování osobních údajů na Masarykově univerzitě upravuje směrnice MU č. 1/2018 Ochrana a zpracování osobních údajů. Směrnice aplikuje principy a zásady vyplývající z obecného nařízení:
- Zásadu zákonnosti, která ukládá povinnost zpracovávat osobní údaje vždy v souladu s právními předpisy a na základě alespoň jednoho právního titulu.
- Zásadu korektnosti a transparentnosti, která ukládá povinnost zpracovávat osobní údaje transparentně a poskytnout informace o způsobu jejich zpracování spolu s informací o tom, komu budou osobní údaje zpřístupněny. Patří sem také povinnost MU v případech závažného porušení bezpečnosti či úniku osobních údajů o takové skutečnosti subjekty údajů informovat.
- Zásadu účelového omezení, která umožňuje zpracovávat osobní údaje pouze za jasně vymezeným účelem.
- Zásadu minimalizace údajů, která ukládá povinnost zpracovávat pouze osobní údaje nezbytné, relevantní a přiměřené ve vztahu k účelu jejich zpracování.
- Zásadu přesnosti, která ukládá povinnost přijmout veškerá rozumná opatření umožňující zajistit pravidelnou aktualizaci či opravu zpracovávaných osobních údajů.
- Zásadu omezení uložení, která ukládá povinnost uchovávat osobní údaje pouze po dobu, která je nezbytná pro konkrétní účel, pro který jsou zpracovávány. Jakmile pomine doba nutná pro zpracování nebo účel zpracování, osobní údaje jsou vymazány nebo anonymizovány, tj. upraveny tak, aby nebyly propojitelné s konkrétní osobou.
- Zásadu integrity a důvěrnosti, nepopiratelnosti a dostupnosti, která správci ukládá povinnost osobní údaje zabezpečit a chránit před neoprávněným či protiprávním zpracováním, ztrátou či zničením. Z těchto důvodů MU přijímá četná technická i organizační opatření pro ochranu osobních údajů. Současně MU dbá na to, aby k osobním údajům měli přístup pouze pověření zaměstnanci.
- Zásadu odpovědnosti, která MU ukládá povinnost být schopná doložit dodržování všech shora vyjmenovaných zásad a podmínek.
Účely zpracování osobních údajů
Při naplňování svého poslání zpracovává Masarykova univerzita osobní údaje pro následující účely:
- Vzdělávací činnost
- Studium
- Výuka
- Přijímací řízení
- Výměnné pobyty
- Celoživotní vzdělávání
- Knihovní služby
- Vědecko-výzkumná, vývojová a tvůrčí činnost
- Realizace vědecké, výzkumné a vývojové činnosti
- Řešení projektů
- Pořádání odborných konferencí
- Publikační a vydavatelská činnost
- Habilitační a profesorská řízení
- Ochrana práv
- Podání podle zákona č. 171/2023 Sb., o ochraně oznamovatelů
- Administrativa a provoz organizace
- Personalistika a mzdy
- Ekonomika a účetnictví
- Veřejné zakázky
- Správa majetku
- Provozní agendy
- E-infrastruktura (výpočetní a úložné systémy, počítačová síť, elektronická pošta, hlasová síť)
- Poskytování informací dle zákona č. 106/1999 Sb., o svobodném přístupu k informacím
- Bezpečnost a ochrana zdraví při práci, požární ochrana, krizové řízení a ochrana obyvatel
- Správa a sdílení informací pro účely zdravotního pojištění
- Interní vzdělávání
- Ochrana majetku a bezpečnost
- Kamerové systémy
- Přístupy do zabezpečených prostorů
- Bezpečnostní monitoring provozu počítačové sítě
- Zpracování bezpečnostních incidentů
- Objektová bezpečnost
- Komerční činnost
- Obchodní centrum MU
- E-shop MU
- Stravovací a ubytovací služby
- Smluvní komerční činnost
- Informační a propagační činnost
- Institucionální webové stránky
- Marketing a propagace
- Interní elektronické zpravodaje pro zaměstnance a studenty
- Absolventi
- Dětská univerzita MjUNI
- Zdravotnická a dobrovolnická činnost
- Provoz zdravotnických zařízení
- Provoz pracovišť společných s fakultními nemocnicemi
- Zajišťování a organizace dobrovolnické činnosti
Kategorie osob, jejichž osobní údaje MU zpracovává
Masarykova univerzita zpracovává osobní údaje těchto kategorií osob (subjektů údajů):
- Zaměstnanci: osoby v pracovně-právním vztahu k MU
- Uchazeči o zaměstnání: osoby účastnící se výběrových řízení na vypsané pracovní pozice na MU
- Studenti: osoby účastnící se všech forem vzdělávání na MU včetně krátkodobých studijních pobytů, celoživotního vzdělávání, Univerzity třetího věku a Dětské univerzity MjUNI
- Uchazeči o studium: osoby účastnící se přijímacího řízení ke studiu na MU, případně k účasti na jiných formách vzdělávání na MU
- Absolventi a další osoby, které v minulosti studovaly na MU
- Externí spolupracovníci: osoby bez pracovněprávního vztahu na MU zapojené do vzdělávacích, výzkumných, smluvních a dalších aktivit MU
- Účastníci výzkumu: osoby zapojené v roli zkoumaných subjektů do výzkumných aktivit a projektů
- Zákazníci: osoby využívajících či nakupující služby a produkty MU
- Žadatelé o uznání zahraničního VŠ vzdělání a kvalifikace v ČR
- Žadatelé o informace dle zákona č. 106/1999 Sb., o svobodném přístupu k informacím
- Osoby dotčené oznámením podaným podle zákona č. 171/2023 Sb., o ochraně oznamovatelů
- Návštěvníci nebo účastníci akcí pořádaných MU
- Účastníci správních nebo soudních řízení vedených s MU
Kategorie zpracovávaných osobních údajů
Masarykova univerzita zpracovává osobní údaje poskytnuté přímo jednotlivými fyzickými osobami a osobní údaje vytvořené v rámci činností zpracování a nezbytné pro jejich zajištění.
- Identifikační údaje: jméno, příjmení, datum a místo narození, rodinný stav, rodné číslo, titul, státní příslušnost, číslo osobního dokladu, digitální identifikátor, podpis apod.
- Kontaktní údaje: adresa, elektronická adresa, ID datové schránky, telefonní číslo apod.
- Popisné údaje: vzdělání, znalost cizích jazyků, odborná kvalifikace, znalosti a dovednosti, počet dětí, portrétní fotografie, video/audio záznam o osobě, vojenská služba, předchozí zaměstnání, zdravotní pojišťovna, členství v zájmových organizacích, trestní bezúhonnost, apod.
- Studijní údaje: záznamy o studiu a studijních aktivitách, průběh studia, studijní výsledky, studijní ocenění apod.
- Ekonomické údaje: bankovní spojení, mzda, odměny, poplatky, závazky a pohledávky, objednávky, nákupy, daně apod.
- Pracovní údaje: záznamy o práci a pracovních aktivitách, zaměstnavatel, pracoviště, pracovní zařazení a pozice, pracovní hodnocení, pracovní ocenění apod.
- Provozní a lokační údaje: údaje z elektronických systémů vztahujících se ke konkrétnímu subjektu údajů – např. údaje o využití informačních systémů, o datovém provozu a elektronické komunikaci, o využívání telefonu, o přístupu do různých prostorů, záznamy z kamerových systémů apod.
- Údaje o aktivitách subjektu: publikační činnost, údaje o odborných aktivitách, účasti na konferencích, zapojení do projektů, údaje o pracovních či studijních cestách apod.
- Údaje o jiné osobě: adresní a identifikační údaje člena rodiny, manžel/manželka, dítě, partner/partnerka apod.
- Zvláštní kategorie osobních údajů: citlivé osobní údaje zachycující informaci o zdravotním stavu, členství v odborech apod.
Právní důvody zpracování osobních údajů
Právním základem pro zpracování osobních údajů ve výše uvedených oblastech činností je vždy alespoň jeden z uvedených právních důvodů:
- Plnění právní povinnosti vztahující se na správce: osobní údaje MU zpracovává za účelem splnění legislativní povinnosti jako správce. Jedná se zejména o zákon č. 111/1998 Sb., o vysokých školách; zákon č. 130/2002 Sb., o podpoře výzkumu, experimentálního vývoje a inovací; zákon č. 262/2006 Sb., zákoník práce; zákon č. 563/1991 Sb., o účetnictví; zákon č. 127/2005 Sb., o elektronických komunikacích; zákon č. 480/2004 Sb. o některých službách informační společnosti; zákon 181/2014, o kybernetické bezpečnosti; zákon č. 171/2023 Sb., o ochraně oznamovatelů a další.
- Plnění smlouvy: osobní údaje MU zpracovává pro účely uzavření smluvního vztahu a následného plnění z něj, případně před uzavřením smlouvy.
- Souhlas subjektu údajů: osobní údaje jsou zpracovávány na základě souhlasu, který subjekt údajů pro jeden či více konkrétních účelů zpracování udělil.
- Ochrana zájmů subjektu údajů: zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby.
- Veřejný zájem: zpracování je nezbytné pro splnění úkolů MU prováděných ve veřejném zájmu nebo při výkonu veřejné moci.
- Oprávněný zájem správce, který spočívá zejména v
- zajištění podpůrných činností pro naplňování poslání MU
- ochraně práv
- ochraně majetku a zamezení podvodům
- předávání osobních údajů v rámci součástí univerzity pro vnitřní administrativní a provozní účely
- zajištění bezpečnosti počítačové sítě a informací.
Předávání osobních údajů
Předávání osobních údajů jinému správci je možné pouze na základě konkrétního právního předpisu, který takovou možnost či povinnost upravuje, nebo na základě souhlasu subjektu údajů. Příjemci osobních údajů za účelem naplnění zákonných povinností MU jsou zpravidla orgány veřejné moci.
V odůvodněných případech mohou být osobní údaje, které jsou uložené v informačních systémech MU, zpracovávány zpracovateli – externími dodavateli služeb, a to výhradně na základě smlouvy o zpracování osobních údajů. Jedná se především o:
- provozovatele informačních systémů a software
- poskytovatele pracovně-lékařských služeb
- poskytovatele skartačních služeb
- externí odborníky v jednotlivých agendách a poskytovatele externího poradenství.
Předání osobních údajů do států mimo Evropskou unii je možné výlučně na základě právního předpisu nebo mezinárodní smlouvy, kterou je Česká republika vázána. Volný pohyb osobních údajů v rámci Evropské unie z důvodu ochrany fyzických osob v souvislosti se zpracováním osobních údajů není omezen ani zakázán.
Doba uchování osobních údajů
Osobní údaje se uchovávají pouze po dobu nezbytně nutnou ve vztahu k dané činnosti zpracování osobních údajů a v souladu s obecně závaznými právními předpisy a směrnicí MU č. 2/2016 Spisový řád. Po uplynutí skartační lhůty jsou listinné i digitální písemnosti obsahující osobní údaje podle ustanovení § 8 zák. 499/2004 Sb., o archivnictví a spisové službě zahrnuty do skartačního řízení.
Osobní údaje, které MU zpracovává na základě souhlasu subjektu údajů, jsou uchovávány pouze po dobu, na kterou byl souhlas udělen, a při trvání účelu, k němuž byl souhlas udělen.
Práva subjektu údajů při zpracování osobních údajů
Subjekt údajů má podle čl. 15-22 obecného nařízení právo
- na přístup k osobním údajům
- na opravu osobních údajů
- na výmaz osobních údajů
- na omezení zpracování osobních údajů
- na přenositelnost osobních údajů
- odvolat souhlas se zpracováním osobních údajů
- vznést námitku proti zpracování osobních údajů a
- právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování osobních údajů týkajících se své osoby.
Uplatnění práv subjektu údajů
Subjekt údajů je oprávněn uplatnit svá práva vůči správci osobních údajů vyplývající z obecného nařízení, a to:
- písemnou žádostí s úředně ověřeným podpisem, nebo na základě úředně ověřené plné moci, zaslanou na adresu: Masarykova univerzita, pověřenec pro ochranu osobních údajů, Žerotínovo nám. 9, 601 77 Brno, nebo
- zasláním žádosti do datové schránky Masarykovy univerzity, ID datové schránky MU: 9tmj9e4, nebo
- zasláním žádosti formou e-mailové zprávy opatřené alespoň uznávaným elektronickým podpisem žadatele na adresu: poverenec@muni.cz, nebo
- zasláním žádosti formou e-mailové zprávy z institucionální elektronické adresy MU na adresu: poverenec@muni.cz.
Podrobněji jsou postup a náležitosti žádosti upraveny v dokumentu Informace pro subjekty údajů k uplatnění jejich práv.
Právo podat stížnost u dozorového úřadu
Subjekt údajů má právo podat žádost, stížnost či podnět ke zpracování osobních údajů dozorovému úřadu.
Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7,
ID datové schránky ÚOOÚ: qkbaa2n,
telefonní číslo: +420 234 665 111, webové stránky: www.uoou.cz, elektronická adresa: posta@uoou.cz
Přístup k osobním údajům online
Subjekt údajů, který využívá či využíval informační systémy MU, má přístup ke svým zpracovávaným osobním údajům online po přihlášení a autentizaci v příslušných informačních systémech univerzity (GDPR rozcestník MU).
Ohlašování podezření na porušení zabezpečení osobních údajů
Formulář pro ohlášení podezření na porušení zabezpečení osobních údajů
Tato informace je dostupná v české a anglické verzi. Dojde-li k rozporu mezi těmito verzemi, přednost má verze česká.