Časté dotazy

k ochraně osobních údajů ve sportu (GDPR)

Je nutné archivovat originálně podepsaný souhlas v papírové podobě nebo stačí archivovat souhlas naskenovaný například v PC?

GDPR stanovuje pro souhlas v tomto ohledu jedinou podmínku – musí být doložitelný. Takže je lhostejné, zda bude uložen v papírové podobě ve skříni nebo v elektronické podobě v PC za předpokladu, že budete schopni jej dohledat a předložit případné kontrole.

Je nutné mít souhlas podepsaný (tj. fyzicky v evidenci někde) nebo ho stačí „odkliknout“ v rámci elektronické přihlášky na webových stránkách klubu?

Souhlas může být jednoznačně udělen i formou „odkliknutí,“ nicméně znovu platí, že musí být doložitelný. To znamená, že z prokliku na webových stránkách musí vzniknout a být uložen záznam o udělení souhlasu konkrétní fyzické osoby.

Kdo musí zabezpečit informovanost a souhlas? Stačí, aby daný souhlas zabezpečil pouze klub (správce) nebo i svaz (zpracovatel)? Pokud se však jedná o přímé svazové členy, tak daný souhlas musí zabezpečit přímo svaz?

Požadavek informovanosti by měl být splněn nejpozději v okamžiku udělení souhlasu, tudíž by ho měl provádět ten, kdo komu je souhlas udělován. V případě, že je textace souhlasu postavena tak, že je souhlas udělen klubu a zároveň i svazu (resp. ČUSu), postačí, aby souhlas zabezpečil klub. S tímto je počítáno v nových souhlasech zaslaných od ČUSu, které jsou přesně takto koncipovány.

V přihlášce do klubu nezletilého člena máme údaje člena a obou rodičů, hlavně email, telefon a adresu. Můžeme to zpracovávat pouze s jedním souhlasem nebo je potřeba mít jeden formulář pro dítě a další pak pro rodiče?

U fyzických osob mladších 15 let doporučujeme souhlasy spojit do jednoho dokumentu, který podepíše zejména zákonný zástupce a svůj souhlas může udělit i nezletilý člen (není nutné).

Fyzická osoba starší 15 let je oprávněna udělit souhlas sama.

Pokud člen, který bude mít toto podepsané od zákonného zástupce, dosáhne později 18 let, tak mu to dát znovu podepsat nebo to není nutné?

Dle návrhu českého zákona o zpracování osobních údajůnemohou děti do 15 let bez souhlasu zákonných zástupců udělit souhlas se zpracováním osobních údajů. Proto považujeme za korektní souhlas po dosažení hranice 18 let revidovat, neboť tentokráte bude udělen samotnou fyzickou osobou, nikoli zákonným zástupcem.

Pokud členka po svatbě změní příjmení, tak se jí to musí dát opět podepsat nebo to není nutné?

Není to nutné. Pouze je nezbytné aktualizovat osobní údaje.

Co se stane, když souhlas daná osoba nebude chtít podepsat? Rozdíl bude určitě mezi stávajícími členy a členy novými. Jak se postupuje, když nesouhlasí se zpracováním jen jednoho údaje? Daný údaj se v souhlasu škrtne a souhlas se podepíše?

Zde záleží na tom, které údaje fyzická osoba nechce udělit. Pokud nechce udělit osobní údaje, bez kterých nemůže být registrována, pak nezbyde než tuto skutečnost dotčené osobě vysvětlit, případně ji nezaregistrovat. Pokud osoba neudělí souhlas ke zpracování osobního údaje, bez kterého se lze obejít, doporučujeme jej anonymizovat (začernit) a souhlas nechat podepsat.

Jak postupovat v případě pořádání sportovní akce, které se zúčastní i nečlenové spolku tzn. veřejnost? Musí kvůli fotkám a videozáznamu z akce podepisovat i oni souhlas? Jaký je doporučený postup v tomto případě? Nechat podepisovat souhlas s přihláškou/ prezentací na akci? V případě kdy je přístup bez přihlášky či prezentaci, tak vyvěsit ceduli?

Pokud se jedná o klasickou sportovní akci typu fotbalový zápas, domníváme se, že pořizování fotek je odůvodněno zákonnou zpravodajskou licencí dle § 89 občanského zákoníku. V této souvislosti upozorňujeme, že použití zákonné zpravodajské licence musí být přiměřené cíli, který zpravodajská licence předpokládá,tedy informování veřejnostio sportovní akci. Proto lze vyfotit i diváky, nicméně důrazně doporučujeme nefotit je individuálně, ale spíše jako ilustraci dokreslující atmosféru sportovní akce. Například fotka tribuny plné diváků je naprosto přijatelná.

Použití fotografií ve shora popsaném režimu však platí pouze v kontextu zpravodajství, nikoliv však např. při využití pro marketingové, příp. jiné účely.Mimo zpravodajský rámec totiž platí ust. § 84 a 85 občanského zákoníku, která stanoví, žezachytit jakýmkoli způsobem podobu člověka tak, aby podle zobrazení bylo možné určit jeho totožnost, je možné jen s jeho svolením. Rozšiřovat podobu člověka je možné jen s jeho svolením.

Pokud by se chtěl pořadatel akce více fotit diváky a zároveň by se chtěl více jistit, doporučujeme umístit na akci tablo/billboard/plakát s upozorněním, že návštěvou akce divák souhlasí, že může být předmětem fotografování s tím, že pokud si to nepřeje, může to explicitně oznámit fotografovi.

Lze řešit informovanost a souhlas nějakým hromadným způsobem (hromadným souhlasem)?

Vzhledem k tomu, že mezi požadavky na souhlas mimo jiné patří skutečnosti, že má být udělen svobodně a volně, tuto praktiku nedoporučujeme. Subjekt osobních údajů by měl mít možnost jednotlivě odmítnout udělení souhlasu s kterýmkoli osobním údajem, což by bylo v případě velkého archu s podpisy nerealizovatelné.

Pokud není potřeba zpracovávat a evidovat údaje, na které je nutný souhlas, tak stačí informovat členy pouze elektronickou cestou o zpracování údajů např. na webových stránkách?

V případě, že jsou zpracovávány osobní údaje na základě jiného právního titulu než souhlasu, považujeme za korektní subjekty osobních údajů informovat o účelu, době a právním titulu, jakož i potenciálním předání třetím osobám, na webových stránkách.

Počítá se zpracováním vzoru vnitřní směrnice pro klub, kdo v rámci klubu je oprávněn pracovat s údaji a jakým způsobem se ukládají?

Za zásadní považujeme se nad touto problematikou skutečně zamyslet a konkrétně vymezit osoby, které do kontaktu s osobními údaji přichází. Následně doporučujeme tyto osoby proškolit a v ideálním případě i sestavit dokument (např. vnitřní směrnici), kde budou osoby nakládající s osobními údaji vymezeny, stejně jako režim samotného nakládání s nimi. Stačí stručný dokument s těmito základními náležitostmi.

Jak je to se zaměstnanci spolku a zpracování jejích osobních údajů?

Každý zaměstnavatel by měl zpracovávat o svých zaměstnancích zejména ty osobní údaje, které mu uloží zákon. Níže uvádíme výčet zákonných ustanovení vztahujících se k problematice.

Zákon č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů (dále jen „zákoník práce“):

§ 33 (1) Pracovní poměr se zakládá pracovní smlouvou mezi zaměstnavatelem a zaměstnancem, není-li v tomto zákoně dále stanoveno jinak.

§ 34 (2) Pracovní smlouva musí být uzavřena písemně. (5) Každá smluvní strana musí obdržet jedno vyhotovení pracovní smlouvy.

§ 312 (1) Zaměstnavatel je oprávněn vést osobní spis zaměstnance. Osobní spis smí obsahovat jen písemnosti, které jsou nezbytné pro výkon práce v základním pracovněprávním vztahu uvedeném v § 3.

Zákon č. 48/1997 Sb., o veřejném zdravotním pojištění a o změně a doplnění některých souvisejících zákonů, ve znění pozdějších předpisů:

§ 10 Oznamovací povinnost plátců pojistného

(1) Zaměstnavatel je povinen nejpozději do osmi dnů od vzniku skutečnosti, která se oznamuje, provést u příslušné zdravotní pojišťovny oznámení o:

a) nástupu zaměstnance do zaměstnání (§ 2 odst. 3) a jeho ukončení; jde-li o pojištěnce podle § 2 odst. 1 písm. b) oznamuje též tuto skutečnost,

b) změně zdravotní pojišťovny zaměstnancem, pokud mu tuto skutečnost sdělil; oznámení se provede odhlášením od placení pojistného u původní zdravotní pojišťovny a přihlášením k placení pojistného u zdravotní pojišťovny, kterou si zaměstnanec zvolil,

c) skutečnostech rozhodných pro povinnost státu platit za zaměstnance pojistné, a to i v těch případech, kdy povinnost státu vznikla v době, kdy zaměstnanci poskytl pracovní volno bez náhrady příjmu, jsou-li mu tyto skutečnosti známy.

O oznamovaných skutečnostech je zaměstnavatel povinen vést evidenci a dokumentaci. Při plnění oznamovací povinnosti sděluje zaměstnavatel jméno, příjmení, trvalý pobyt a rodné číslo zaměstnance, případně jiné číslo pojištěnce.

Zákon č. 592/1992 Sb., o pojistném na veřejné zdravotní pojištění, ve znění pozdějších předpisů § 25:

(3) Zaměstnavatelé jsou povinni nejpozději v den splatnosti pojistného předat každé zdravotní pojišťovně, u které jsou pojištěni jejich zaměstnanci, přehled o platbách pojistného, který obsahuje součet vyměřovacích základů zaměstnanců pojištěných u příslušné zdravotní pojišťovny, celkovou výši pojistného vypočtenou jako součet pojistného jednotlivých zaměstnanců pojištěných u příslušné zdravotní pojišťovny a počet zaměstnanců, na které se údaje vztahují.

(4) Zaměstnavatelé jsou dále povinni vést průkaznou evidenci o uskutečněných platbách pojistného. Na žádost příslušné zdravotní pojišťovny jsou povinni předložit údaje rozhodné pro výpočet pojistného včetně rodného čísla každého zaměstnance.

(5) Skutečnosti uvedené v předchozích odstavcích jsou zaměstnavatelé povinni doložit.

§ 27 Centrální registr pojištěnců:

(1) Všeobecná zdravotní pojišťovna České republiky vede registr všech pojištěnců veřejného zdravotního pojištění (dále jen "centrální registr pojištěnců") a spravuje jej (dále jen "správce centrálního registru pojištěnců"). Centrální registr pojištěnců obsahuje tyto údaje o pojištěncích: rodné číslo, případně jiné číslo pojištěnce, jméno, příjmení, popřípadě rodné příjmení, adresu pobytu, datum vzniku a zániku pojistného vztahu u příslušné zdravotní pojišťovny; u pojištěnců, za které je plátcem pojistného stát, časové období, v němž je plátcem pojistného stát, označení skupiny pojištěnců, datum odhlášení se ze zdravotního pojištění a přihlášení se do zdravotního pojištění v České republice podle zvláštního právního předpisu,27d) nestanoví-li tento zákon jinak. Vojenská zdravotní pojišťovna sděluje potřebné údaje k vedení centrálního registru pojištěnců o všech svých pojištěncích se zřetelem na způsob vedení centrálního registru pojištěnců a s ohledem na potřebu ochrany utajovaných informací. V případě fúze sloučením Vojenské zdravotní pojišťovny s jinou zdravotní pojišťovnou podle zvláštního právního předpisu24), při které Vojenská zdravotní pojišťovna zanikne, přecházejí práva a povinnosti stanovené tímto zákonem Vojenské zdravotní pojišťovně na nástupnickou zdravotní pojišťovnu.

(2) Státní orgány a právnické osoby, které z úřední povinnosti anebo vzhledem k předmětu své činnosti vedou evidenci osob, jsou povinny na výzvu správce centrálního registru pojištěnců a ve lhůtách tímto správcem stanovených sdělovat správci údaje potřebné pro vedení centrálního registru pojištěnců. Tyto údaje se poskytují bezplatně.

Zákon č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, ve znění pozdějších předpisů.

§ 37 Vedení a předkládání záznamů

(1) Evidence, kterou zaměstnavatel vede o občanech pro účely důchodového pojištění, musí obsahovat tyto údaje:

a) příjmení (včetně všech dřívějších příjmení), jméno, datum a místo narození, pohlaví, místo trvalého pobytu, státní občanství, a byl-li občan účasten důchodového pojištění v cizině a zaměstnavatel je jeho prvním zaměstnavatelem po skončení této účasti, též údaj o názvu a adrese cizozemského nositele pojištění a o cizozemském čísle pojištění,

b) rodné číslo,

c) vznik a skončení pracovního poměru nebo jiného vztahu k zaměstnavateli, který zakládá účast na důchodovém pojištění,

d) vyměřovací základ pojištěnce pro stanovení pojistného na důchodové pojištění za příslušná rozhodná období podle zvláštního zákona,

e) dobu dočasné pracovní neschopnosti, s výjimkou dočasné pracovní neschopnosti, kterou si občan přivodil úmyslně, a karantény, dobu, po kterou trvala potřeba ošetřování nebo péče o dítě ve věku do 10 let nebo jiného člena domácnosti, nejde-li o osoby, které podle zákona o nemocenském pojištění nemají nárok na ošetřovné, a skutečnost, zda pojištěnec v žádosti o ošetřovné uvedl, že je osamělý, dobu, po kterou trvala podpůrčí doba u dávky otcovské poporodní péče podle zákona o nemocenském pojištění, a dobu před porodem, po kterou nebyla vykonávána výdělečná činnost z důvodu těhotenství, nejdříve však od začátku osmého týdne před očekávaným dnem porodu, do dne, který bezprostředně předchází dni porodu,

f) dobu pracovního volna bez náhrady příjmu a neomluvené nepřítomnosti v práci,

g) záznam, zda občan pobírá starobní důchod přiznaný podle § 31 zákona o důchodovém pojištění, kdo jej vyplácí, datum vzniku nároku na tento důchod, popřípadě číslo rozhodnutí o jeho přiznání, jde-li o poživatele důchodu vypláceného orgány ministerstev obrany, vnitra a spravedlnosti,

h) jde-li o obchodní společnost za období před rokem 2014, seznam společníků a členů statutárního orgánu a dozorčí rady této společnosti za jednotlivé kalendářní měsíce a přehled kalendářních měsíců, za které tato společnost neodvedla pojistné na sociální zabezpečení a příspěvek na státní politiku zaměstnanosti, které byla povinna odvést; to platí obdobně pro družstvo,

i) nepodléhá-li zaměstnanec nebo smluvní zaměstnanec pojištění podle zákona o důchodovém pojištění, údaje o jeho pojištění v cizině,

j) dobu vojenské činné služby, nejde-li o vojáky z povolání.

(2) Zaměstnavatel dále vede evidenci

a) o náhradách za ztrátu na výdělku po skončení pracovní neschopnosti náležející za pracovní úraz (nemoc z povolání), které vyplácí, a vystavuje občanům potvrzení o době a důvodu poskytování těchto náhrad a o výši těchto náhrad vyplacených v jednotlivých kalendářních letech,

b) o zvláštním příspěvku horníkům, který vyplácela před rokem 1996, a vystavuje potvrzení občanům o době poskytování příspěvku a o výši příspěvku vyplaceného v jednotlivých kalendářních letech,

c) o dobách uvedených v § 16 odst. 4 větě druhé písm. a), d) a e) zákona o důchodovém pojištění, pokud tyto doby trvaly celý kalendářní měsíc, popřípadě jen po část kalendářního měsíce, pokud pracovní poměr nebo jiný vztah k zaměstnavateli, který zakládá účast na důchodovém pojištění, trval jen po část kalendářního měsíce, a v takovém kalendářním měsíci byl zúčtován příjem, který se zahrnuje do vyměřovacího základu pro stanovení pojistného na sociální zabezpečení, a o výši tohoto příjmu; zaměstnavatel vystavuje potvrzení o těchto dobách a o výši tohoto příjmu na žádost občana za jednotlivé kalendářní roky;

potvrzení podle písmen a) až c) je zaměstnavatel povinen vystavit občanu do 30 kalendářních dnů ode dne doručení žádosti o jeho vystavení.

§ 38 Evidenční listy

(1) Zaměstnavatelé a orgány plnící úkoly v důchodovém pojištění podle § 36 písm. a) až d), f) až n), q), s) a u) až zk) jsou povinni vést pro každého občana uvedeného v těchto ustanoveních, který je účasten důchodového pojištění, evidenční list. Evidenční list nevede okresní správa sociálního zabezpečení, plní-li úkoly zaměstnavatele podle § 36 písm. s).

(2) Evidenční list se vede pro každého občana za jednotlivý kalendářní rok. Pro každý kalendářní rok se vede vždy nový evidenční list, a to i když trvala účast na důchodovém pojištění u téhož zaměstnavatele v předchozím kalendářním roce.

(3) Evidenční list se vede od 1. ledna kalendářního roku nebo ode dne vzniku účasti občana na důchodovém pojištění, vznikla-li tato účast po 1. lednu, a ukončuje se dnem 31. prosince kalendářního roku nebo dnem skončení této účasti, skončila-li tato účast před 31. prosincem.

(4) Do evidenčního listu se zapisují za každý kalendářní rok po účetní závěrce (závěrce mzdových listů), nejpozději však do 30. dubna následujícího kalendářního roku, a v případě skončení účasti na důchodovém pojištění před 31. prosincem do 1 měsíce po konečném vyúčtování příjmů, nejpozději však do 31. ledna následujícího kalendářního roku

a) identifikační údaje zaměstnavatele,

b) jméno, poslední příjmení, rodné příjmení, datum a místo narození, místo trvalého pobytu a rodné číslo občana,

c) druh výdělečné činnosti,

d) doba účasti na důchodovém pojištění,

e) doba důchodového pojištění,

f) vyměřovací základ pro pojistné na sociální zabezpečení a příspěvek na státní politiku zaměstnanosti,

g) doby, které se při stanovení osobního vyměřovacího základu podle § 16 odst. 4 písm. a), d) a j) zákona o důchodovém pojištění vylučují,

h) doby, které se ode dne dosažení věku potřebného pro vznik nároku na starobní důchod nepovažují za výkon výdělečné činnosti pro účely zvýšení procentní výměry starobního důchodu.

5) Zaměstnavatel je povinen vyhotovit stejnopisy evidenčního listu s údaji podle odstavce 4; jeden stejnopis je povinen předložit občanovi k podpisu a založit do své evidence [§ 35a odst. 4 písm. a)] a druhý stejnopis, který opatří podpisem pověřeného zaměstnance nebo jiného oprávněného zástupce a svým razítkem, je povinen vydat občanovi, a to nejpozději v den, kdy předkládá evidenční list příslušnému orgánu sociálního zabezpečení podle § 39 odst. 2 nebo 3. Nesouhlasí-li občan se zápisem zaměstnavatele v evidenčním listu a zaměstnavatel na základě žádosti občana evidenční list včetně jeho stejnopisu neopraví, může občan požádat okresní správu sociálního zabezpečení příslušnou podle § 39 odst. 1 do 30 dnů ode dne převzetí stejnopisu evidenčního listu, aby tento spor rozhodla. Příslušná okresní správa sociálního zabezpečení může zmeškání lhůty uvedené ve větě druhé prominout; proti rozhodnutí o prominutí zmeškání lhůty není odvolání přípustné a toto rozhodnutí je vyloučeno ze soudního přezkumu. Jde-li o osobu ve služebním poměru, s výjimkou státních zaměstnanců podle služebního zákona, platí věty druhá a třetí obdobně s tím, že místo okresní správy sociálního zabezpečení je příslušný orgán sociálního zabezpečení uvedený v § 9 odst. 1.

Jak je to s kontaktními údaji zaměstnanců a volených orgánů zveřejněných na webových stránkách?

Za předpokladu, že výkon pracovní činnosti zaměstnanců, či volených orgánů, předpokládá kooperaci s veřejností, je zveřejnění jejich kontaktních údajů v rámci požadavků dosažitelnosti a transparentnosti legitimní.Současně je nutné uvést jen ty osobní údaje,které je nutné s ohledem na uvedený účel použít.

Za rozumné považujeme uvést jméno, příjmení, funkci, telefonní číslo (nejlépe pracovní) a e-mail (nejlépe pracovní). Zveřejnění jména, příjmení a emailové adresy lze považovat za oprávněný zájem správce osobních údajů, nicméně v zájmu transparentnosti doporučujeme vyžadovat od dotčených osob souhlas se zveřejněním jejich osobních údajů.

Jak revidovat kontaktní formulář na webových stránkách, tak aby odpovídal nařízení GDPR?

Formulář musí především obsahovat jen ty osobní údaje, které nezbytně potřebujete zpracovat k výkonu své činnosti. Zpracování nesmí být ničím podmíněné, tzn. nesmí být spojeno s nějakou další povinností subjektu osobních údajů/fyzické osoby – např. jeho osobní údaje byly využity k nabídce služeb třetích osob a dále.

Zároveň je vhodné pod formulářem fyzické osoby informovat o účelu zpracování, právním titulu, době,po kterou se údaje zpracovávají, a případně jak jsou chráněny.

Budou sportovní organizace potřebovat pověřence? Pokud ano, od jaké velikosti klubu/svazu je potřeba mít pověřence?

Pověřence budou 100% potřebovat organizace s více než 250 zaměstnanci. Takových organizací ve sportovním prostředímoc nebude, na druhou stranu z pohledu smyslu nové právní úpravy by měl být zásadní i počet členů jednotlivých spolků. Dle našeho názoru se povinnost Pověřence pro ochranu osobních údajů netýká menších klubů a tělovýchovných jednot, nicméně sportovních svazů s ohledem na množství členů a zpracovávaných osobních údajů ano.

U větších klubů zpracovávajících osobní údaje svých členů, ale i veřejnosti za účely nejen sportovními, ale třeba i marketingovými a dalšími také doporučujeme, aby v problematice ochrany osobních údajů ustanovili nějakou kompetentní osobu, případně spolupracovali s experty v této oblasti.

Je možné mít pro sportovní prostředí kolektivního pověřence?

Možné to je a tuto praktiku doporučujeme, neboť pro Pověřence bude zásadní i zkušenost z oboru, ve kterém svou funkci vykonává. Zároveň by taková varianta naplňovala požadavek hospodárnosti.

Pro ČUS připravil: GDPR Solution