Ochrana osobních údajů

Příloha č. 9 ke Knihovnímu řádu Národní knihovny České republiky

Národní knihovna České republiky (dále jen „NK“) v oblasti zajištění ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů na pracovištích NK se řídí ustanoveními Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), známé jako GDPR (dále jen „Nařízení“) a zákona č. 110/2019 Sb., o zpracování osobních údajů (dále jen „Zákon o zpracování OÚ“).

NK postupuje při zpracování osobních údajů podle Nařízení, Zákona o zpracování OÚ, Knihovního řádu Národní knihovny České republiky (dále jen „Knihovní řád“) a dalších obecně závazných předpisů. Osobní údaje jsou zpracovávány zpravidla vlastními zaměstnanci NK, není-li uvedeno jinak, a to manuálním a automatizovaným způsobem. NK zpracovává pouze pravdivé a přesné osobní údaje, které za tím účelem ověřuje.

1. Zpracovávané osobní údaje

1.1.  NK zpracovává osobní údaje uživatelů, v souladu s Nařízením a Zákonem o zpracování OÚ

a)    v rámci smluvního vztahu, zpravidla dlouhodobého, vyžadujícího zjištění totožnosti uživatele, na základě smlouvy o poskytování knihovnických a informačních služeb mezi NK a registrovaným uživatelem NK (dále jen „Smlouva“ a „Uživatel“);

b)    v rámci vztahu s jednotlivcem ze strany veřejnosti

i.            na základě poskytnutí služby na zpravidla jednorázový požadavek;
ii.           na základě smluvního vztahu založeného na licenčním oprávnění nebo kooperačním vztahu NK;

(dále jen „Další uživatel“).

1.2.  V případě, že NK poskytuje osobní údaje Uživatele a Dalšího uživatele externímu poskytovateli služby v zájmu zajištění vzdáleného přístupu ke službě či k produktu, postupuje sama v souladu s Nařízením a současně k postupu v souladu s Nařízením externího poskytovatele smluvně zavazuje.

1.3.  NK v souvislosti se zpřístupňováním obsahu svých elektronických informačních zdrojů prostřednictvím vzdáleného přístupu (online) jednotlivcům ze strany veřejnosti nebo uživatelům, jejichž přístup spravují na základě smluvního vztahu s NK jiné knihovny a právnické osoby, zpracovává osobní údaje takových osob.

2. Účel zpracování osobních údajů

2.1.  NK zpracovává povinné a další osobní údaje, statistické údaje, údaje služební, údaje účetní a právní. Údaje jsou zpracovány za účelem:

a)    poskytování služeb Uživatelům a Dalším uživatelům;

b)    ochrany majetku NK, knihovního fondu a informačních zdrojů;

c)    hodnocení spokojenosti Uživatelů a Dalších uživatelů;

d)    kontroly kvality práce zaměstnanců NK;

e)    statistického hodnocení činnosti NK;

f)     evidence účetních operací, pohledávek a závazků;

g)    postupu při vyřizování žádostí Uživatelů a Dalších uživatelů;

h)    informování o službách poskytovaných NK.

3. Zpracování osobních údajů Uživatele

3.1.  Povinné identifikační údaje Uživatele:

a)    jméno a příjmení;

b)    datum narození;

c)    adresa trvalého bydliště;

d)    druh a číslo osobního dokladu.

3.2.  Doplňkové údaje Uživatele:

a)    kontaktní adresa v ČR;

b)    typ a číslo průkazu TP, ZTP, ZTP/P, případně doklad o zdravotním postižení zraku nebo poruše čtení.

3.3.  Další kontaktní údaje Uživatele:

a)    akademický titul;

b)    telefon;

c)    e-mailová adresa.

3.4.  Údaje Uživatele podle odst. 3.1.  zpracovává NK na základě smluvního vztahu s Uživatelem a jsou nezbytné pro provedení registrace. Osobu, která NK neposkytne své osobní údaje v rozsahu podle odst. 3.1., NK nezaregistruje a nevydá jí čtenářský průkaz.

3.5.  Údaj Uživatele podle  odst. 3.2. je poskytován na základě souhlasu Uživatele, přičemž údaj dle  písm. a) Uživatel poskytne, pokud se kontaktní adresa liší od trvalého bydliště, a to v zájmu plynulé komunikace při poskytování služeb Uživateli, a údaj podle písm. b) Uživatel poskytne, požaduje-li poskytování služeb knihovny v režimu stanoveném pro držitele průkazu TP, nebo ZTP, nebo ZTP/P, nebo pro osoby se zdravotním postižením zraku nebo poruchou čtení.

3.6.  Identifikační údaje osoby, která jedná za Uživatele, který je držitelem průkazu TP, nebo ZTP, nebo ZTP/P, se zpracovávají v obdobném rozsahu a struktuře jako povinné identifikační údaje podle odst. 3.1. a doplňkový údaj podle odst. 3.2 písm. a) Uživatele.

3.7.  Údaje podle odst. 3.3. uvede Uživatel, pokud chce umožnit, aby tyto údaje NK využívala pro efektivnější komunikaci s ním, např. pro informování o poskytování širší nabídky služeb, zejména informování o stavu čtenářského konta, stavu objednávek, zasílání informací o historii výpůjček, o službách a změnách v provozu knihovny, dále informování o akcích NK a provádění průzkumu čtenářské spokojenosti.

3.8.  Povinné identifikační údaje Uživatele ověřuje NK podle takových platných osobních dokladů vydaných orgány veřejné moci k prokázání totožnosti Uživatele, podle nichž lze ověřit všechny povinné identifikační údaje. U občanů ČR je takovým dokladem zpravidla občanský průkaz. Povinné identifikační údaje Uživatele podle odst. 3.1. ověřuje NK při registraci, při každém prodloužení platnosti čtenářského průkazu, při vystavení nového čtenářského průkazu a při každé změně kteréhokoliv z uvedených údajů. Doplňkový údaj Uživatele podle odst. 3.2. písm. b) ověřuje NK v okamžiku, kdy Uživatel požádá o poskytování služeb v režimu stanoveném pro držitele průkazu TP, nebo ZTP, nebo ZTP/P, nebo pro osoby se zdravotním postižením zraku nebo poruchou čtení, jakož i při každém prodloužení platnosti čtenářského průkazu.

3.9.  Služební údaje ve vztahu k Uživateli jsou údaje o registraci Uživatele a o provedených transakcích s uživatelským kontem včetně místa a času transakce a kódu knihovníka, a to zejména:

a)    údaje o čtenářských průkazech Uživatele;

b)    jedinečný identifikátor Uživatele v evidenci Uživatelů, který je neměnný po celou dobu uchovávání uživatelského konta;

c)    údaje o přihlášení do uživatelského konta prostřednictvím veřejného elektronického katalogu, Internetu nebo služeb knihovníka;

d)    evidence objednávek, rezervací, absenčních a neanonymních prezenčních výpůjček knihovních dokumentů;

e)    evidence objednávek a přidělení pracovního místa ve studovně;

f)     údaje o přestupcích, nesplněných povinnostech nebo přetrvávajících závazcích Uživatele ovlivňujících podmínky prodloužení registrace Uživatele a poskytování služeb Uživateli;

g)    osobní poznámky k registraci Uživatele;

h)    údaje o přihlášení Uživatele k počítačové síti NK a do elektronických informačních zdrojů vyžadujícím při přihlašování zadání identifikačních kódů Uživatele přidělených nebo akceptovaných NK;

i)      údaje o náhradě škody na vypůjčené knihovní jednotce nebo jiné škody (či bezdůvodného obohacení) vzniklé ve vztahu k programové nebo autorskoprávní složce systému poskytování knihovnických a informačních služeb.

3.10.  Účetní údaje jsou údaje o provedených peněžních transakcích, zejména o jejich účelu, místě, čase a dalších náležitostech.

3.11.  Právní údaje

a)    údaje uvedené ve Smlouvě, případně dalších smlouvách o poskytování služby NK Uživateli či v jiné smluvní dokumentaci;

b)    údaje o právních krocích, které NK učinila vůči Uživateli, který se ocitl v prodlení se splněním svého závazku. Zejména jde o údaje, kdy a kterému orgánu veřejné moci byl adresován příslušný návrh směřující k ochraně práv NK a jak tento orgán veřejné moci o návrhu rozhodl;

c)    údaje uvedené v listinách, kterými Uživatel dokládá skutečnosti uvedené v žádosti.

3.12.   Právní důvod zpracování

Zpracování osobních údajů je prováděno na základě:

a)    plnění právních, resp. zákonných povinností, které se na NK vztahují;

b)    oprávněných zájmů NK;

c)    chráněných zájmů NK;

d)    smlouvy;

e)    souhlasu subjektu údajů.

3.13.  Uživatel, který zjistí nebo se domnívá, že NK zpracovává jeho osobní údaje v rozporu s ochranou soukromého a osobního života, může požádat NK o vysvětlení a odstranění takto vzniklého stavu, zejména opravou, doplněním, omezením zpracování nebo výmazem osobních údajů. Je-li žádost Uživatele shledána oprávněnou, NK odstraní neprodleně závadný stav způsobem podle povahy případu. Žádost je třeba podat písemně v místě samém.

3.14.   V případě, že bude Uživatel nespokojen se zpracováním svých osobních údajů, může podat stížnost přímo na Úřad pro ochranu osobních údajů.

4. Zpracování osobních údajů Dalšího uživatele

4.1.  Údaje o Dalším uživateli:

a)    jméno a příjmení (vždy povinný údaj);

b)    kontaktní adresa, která může být shodná s adresou trvalého bydliště;

c)    adresa trvalého bydliště;

d)    e-mailová adresa;

e)    typ a číslo průkazu TP, ZTP, ZTP/P, nebo údaj o zdravotním poškození nebo poruše vnímání textu;

f)     akademický titul;

g)    telefon;

h)    IP adresa zařízení v komunikační síti.

4.2.  Údaje Dalšího uživatele podle odst. 4.1. zpracovává NK v rozsahu nezbytném k poskytnutí jednorázové služby dle čl. 1, odst. 1.1., písm. b), bod i., povinné je zejména poskytnutí jména a příjmení Dalšího uživatele. V případě, že Další uživatel požaduje poskytnutí služby za zvláštních podmínek podle vnitřních předpisů NK nebo podle zákona č. 121/2000 Sb., autorského zákona, v platném znění (držitel průkazu TP, ZTP, ZTP/P, osoba nevidomá, se zdravotním postižením zraku nebo s poruchami čtení), NK předložené písemnosti ověřuje a údaje o Dalším uživateli v souvislosti s poskytnutou službou zpracovává v rozsahu stanoveném uvedeným zákonem. Údaje Dalšího uživatele dle odst. 4.1.v souvislosti s poskytováním služeb dle čl. 1 odst. 1.1., písm. b), bod ii., NK ověřuje a zpracovává v rozsahu vyplývajícím ze smlouvy s poskytovatelem licence nebo kooperujícími partnery NK, zpravidla v rozsahu obdobném jako u Uživatele.

4.3.  Údaje Dalšího uživatele dle čl. 1, odst. 1.1., písm. b), bod ii. ověřuje NK podle  platných osobních dokladů vydaných orgány veřejné moci k prokázání totožnosti Dalšího uživatele. U občanů ČR je dokladem o totožnosti zpravidla občanský průkaz. Údaje Dalšího uživatele ověřuje NK při uzavírání smlouvy o poskytování služby, při každém jejím prodloužení a při každé změně kteréhokoliv z poskytnutých údajů.

4.4.   Služební údaje ve vztahu k Dalšímu uživateli dle čl. 1, odst. 1.1., písm. b), bod ii. jsou zejména:

a)    smlouva o uživatelském kontě;

b)    údaje o přihlášení do uživatelského konta prostřednictvím Internetu nebo služeb knihovníka;

c)    evidence objednávek;

d)    evidence plnění poskytnutého ze strany NK;

e)    evidence plnění poskytnutého ze strany Dalšího uživatele;

f)     údaje o složené finanční záloze a jejím čerpání;

g)    záznamy o reklamacích a jejich vyřízení.

4.5.  Účetní údaje jsou údaje o provedených peněžních transakcích, zejména o jejich účelu, místě, čase a dalších náležitostech.

4.6.   Právní údaje

a)    údaje uvedené ve smlouvách o poskytování služby NK Dalšímu uživateli či v jiné smluvní dokumentaci;

b)    údaje o právních krocích, které NK učinila vůči Dalšímu uživateli, který se ocitl v prodlení se splněním svého závazku. Zejména jde o údaje, kdy a kterému orgánu veřejné moci byl adresován příslušný návrh směrující k ochraně práv NK a jak tento orgán veřejné moci o návrhu rozhodl;

c)    údaje uvedené v listinách, kterými Další uživatel dokládá skutečnosti uvedené v žádosti.

4.7.   Zpracování osobních údajů je prováděno na základě:

a)    plnění právních, resp. zákonných povinností, které se na NK vztahují;

b)    oprávněných zájmů NK;

c)    chráněných zájmů NK;

d)    smlouvy.

4.8.  Další uživatel, který zjistí nebo se domnívá, že NK zpracovává jeho osobní údaje v rozporu s ochranou soukromého a osobního života, může požádat NK o vysvětlení a odstranění takto vzniklého stavu, zejména opravou, doplněním, omezením zpracování nebo výmazem osobních údajů. Je-li žádost Dalšího uživatele shledána oprávněnou, NK odstraní neprodleně závadný stav způsobem podle povahy případu. Žádost je třeba podat písemně v místě samém.

4.9.  V případě, že bude Další uživatel nespokojen se zpracováním svých osobních údajů, může podat stížnost přímo na Úřad pro ochranu osobních údajů.

5. Uchovávání osobních údajů

Osobní údaje uchovává NK:

5.1.  Na originálních písemnostech nebo na jejich kopiích, kterými jsou:

a)    smlouva a smlouva ve smyslu čl. 1, odst. 1.1., písm. b), bod ii.;

b)    registrační formulář – přihláška uživatele, ve kterém se uvádějí změny údajů oproti stavu zaznamenanému ve Smlouvě;

c)    písemné objednávky reprodukčních a informačních služeb;

d)    doklady předložené Uživatelem nebo Dalším uživatelem, které odůvodňují jeho žádost;

e)    účetní a další právní doklady.

Tyto písemnosti jsou uchovávány ve služebních prostorách NK, kam je zamezen přístup nepovolaných osob obvyklými prostředky. Přístup k těmto písemnostem je omezen pouze na zaměstnance NK, kteří s nimi pracují v rámci sjednaného druhu práce a popisu svých pracovních činností.

5.2.  V databázi evidence Uživatelů v knihovním systému. V databázi jsou uloženy povinné identifikační údaje Uživatele, doplňkové údaje Uživatele, další kontaktní údaje Uživatele, údaje služební a přihlašovací údaje. Databáze je uložena na vyhrazeném serveru NK, přístup do této databáze je chráněn systémem přístupových účtů, hesel a práv stanovených v rozsahu potřebném pro plnění úkolů jednotlivých zaměstnanců NK, případně smluvních dodavatelů služby. Údaje uložené v databázi Uživatelů jsou chráněny antivirovou ochranou a systémem bezpečnostních kopií, které jsou uchovávány mimo budovu NK.

5.3.  V systémech pro poskytování služeb Dalším uživatelům dle čl. 1, odst. 1.1., písm. b), bod ii., tedy na základě smluvně licenčních oprávnění a kooperačních smluv NK.

6. Zpracování osobních údajů v souvislosti se zpřístupňováním webových stránek NK a obsahu elektronických informačních zdrojů NK prostřednictvím vzdáleného přístupu (online)

NK zpracovává v souvislosti se zpřístupňováním obsahu svých webových stránek a svých elektronických informačních zdrojů prostřednictvím vzdáleného přístupu (online) uživatelům podle čl. 1 osobní údaje v následujícím rozsahu a za uváděných podmínek:

6.1.  Cookies Google Analytics

a)    SessionID;

b)    IP adresa;

c)    demografické údaje.

6.2.  Relace připojení

a)    SessionID;

b)    jméno a příjmení Uživatele;

c)    jedinečný identifikátor Uživatele v evidenci Uživatelů;

d)    e-mailová adresa (pokud obsahuje osobní údaje) a afiliace;

e)    IP adresa, ze které je zahájena komunikace připojení se serverem.

6.3.  E-mailová komunikace

a)    e-mailová adresa (pokud obsahuje osobní údaje);

b)    IP adresa, ze které je zahájena komunikace;

c)    údaje, které dobrovolně poskytne uživatel v rámci komunikace za účelem vyřízení této komunikace.

6.4.  Doba, po kterou jsou zpracovávány osobní údaje

a)    Cookies relace připojení - po dobu trvání připojení;

b)    relace připojení - po dobu nezbytně nutnou k detekci neorganického chování uživatelů a nezbytně nutnou pro statistické přehledy;

c)    Cookies Google Analytics - po dobu nezbytně nutnou pro statistické přehledy;

d)    e-mailová komunikace - 6 měsíců od ukončení vzájemné komunikace, nejde-li o řešení incidentu autorskoprávní povahy.

6.5.  Účel a způsob zpracování

a)    zajištění autorizovaného přístupu uživatele;

b)    statistické přehledy;

c)    detekce organického využívaní;

d)    odpovědi na dotazy a komunikace s uživateli.

6.6.  Právní důvod zpracování

Zpracování osobních údajů je prováděno na základě plnění právních, resp. zákonných povinností, které se na NK vztahují, oprávněných zájmů NK, chráněných zájmů správce NK.

7. Povinnosti zaměstnanců NK při zpracovávání osobních údajů uživatelů

Všichni zaměstnanci NK jsou povinni zpracovávat osobní údaje všech kategorií uživatelů podle čl. 1 výhradně v rámci sjednaného druhu práce a popisu své pracovní činnosti a úkolů, které jim byly stanoveny jejich vedoucími zaměstnanci, a to ve výše uvedeném rozsahu a účelu a ve shodě s ustanoveními Nařízení a Zákona o zpracování OÚ, příslušné interní směrnice NK[i] a dalších závazných předpisů.

8. Likvidace osobních údajů

8.1.  NK zpracovává osobní údaje Uživatele a Dalšího uživatele od doby, kdy Uživatel uzavře s NK Smlouvu, případně kdy Další uživatel uzavře s NK smlouvu ve smyslu čl. 1, odst. 1.1., písm. b), bod ii., čímž mimo jiné projeví své srozumění s právním důvodem ke  zpracovávání osobních údajů ze strany NK.

8.2.  Osobní údaje Uživatele a Dalšího uživatele NK uchovává, dokud Uživatel nebo Další uživatel nepožádá písemně o jejich výmaz nebo dokud neuplyne lhůta tří let od posledního přístupu Uživatele nebo Dalšího uživatele ke službě nebo od vypořádání posledního nesplněného závazku Uživatele nebo Dalšího uživatele vůči NK, podle toho, která podmínka je splněna později.

8.3.  Požádá-li, a to písemně, Uživatel nebo Další uživatel o ukončení zpracování svých osobních údajů nebo uplyne-li lhůta podle odst. 8.2., nemá-li Uživatel nebo Další uživatel vůči NK žádné přetrvávající závazky a nebrání-li tomu povinnosti NK vyplývající z právních předpisů nebo trvající smluvní závazky , považuje NK smluvní vztah za ukončený a osobní údaje bez zbytečného odkladu zlikviduje:

a)    skartací originálních písemností podle pravidel Skartačního řádu NK. Pro skartaci se uplatní zákon č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, v platném znění a další právní předpisy,

b)      smazáním údajů v databázi evidence Uživatelů  a v dalších systémech jsou osobní údaje anonymizovány; tyto anonymizované údaje slouží pouze ke statistickým účelům,

c)       smazáním údajů o Dalších uživatelích v systémech poskytování služeb ve smyslu čl. 1, odst. 1.1., písm. b) podle pravidel Skartačního řádu NK,

d)      smazáním komunikace s Uživateli, Dalšími uživateli a uživateli podle čl. 1, odst. 1.1., písm. b), bodu i. v komunikačních prostředcích.

Není-li splněna některá z podmínek v předešlém odstavci 8.3 shora, NK o důvodech, pro které nemůže, resp. není oprávněna žádosti Uživatele nebo Dalšího uživatele vyhovět, písemně informuje.

9. Podání a stížnosti

9.1.  Porušení povinností stanovených Nařízením a Zákonem o zpracování OÚ zakládá odpovědnost NK za škodu, která tím mohla vzniknout třetí straně, či za správní delikt. Zjistí-li Uživatel nebo Další uživatel nebo uživatel podle čl. 1, odst. 1.1., písm. b), bodu i., že došlo k porušení povinností ze strany NK, má právo požadovat po NK neprodlenou nápravu.  Pro účely podání žádostí dle čl. 13 až 22 Nařízení se lze obrátit na příslušný útvar Národní knihovny prostřednictvím standardní písemné korespondence (heslo GDPR), e-mailové adresy gdpr@nkp.cz nebo datové schránky 5qt8sy8.

9.2.  Uživatel, Další uživatel nebo uživatel podle čl. 1, odst. 1.1., písm. b), bodu i. má případně právo obrátit se v případě porušení povinností NK na Úřad pro ochranu osobních údajů se žádostí o zajištění opatření k nápravě. Kontakt: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 17000 Praha 7, tel. linka: 420 234 665 111 (ústředna), https://www.uoou.cz/.

V Praze dne 12. listopadu 2020

PhDr. Vít Richter
generální ředitel Národní knihovny ČR

[i] Opatření generálního ředitele Národní knihovny ČR č. 10/2018 K zajištění ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů na pracovištích Národní knihovny ČR