Ochrana oznamovatelů

Právní základ pro zpracování Vašich osobních údajů:

Poskytnutí a zpracování Vašich osobních údajů je nezbytné na základě plnění právních povinností, a to ze zákona č. 171/2023 Sb., o ochraně oznamovatelů (dále jen „zákon o ochraně oznamovatelů“). Je Vaším právem, nikoli povinností, obrátit se na DPP s oznámením podle zákona o ochraně oznamovatelů. Osobní údaje jsou zákonným požadavkem a důsledkem jejich neposkytnutí je nemožnost ochrany oznamovatele, pokud jeho totožnost nevyjde najevo později, případně omezená možnost posuzování důvodnosti oznámení. V případě oznámení, která nenaplňují znaky oznámení podle zákona o ochraně oznamovatelů (dále jen „oznámení mimo režim zákona o ochraně oznamovatelů“), avšak jejich obsah odůvodňuje další posouzení podle vnitřních norem DPP, jsou osobní údaje zpracovávány na základě oprávněného zájmu správce podle čl. 6 odst. 1 písm. f) GDPR, spočívajícího zejména v prevenci a odhalování protiprávního nebo neetického jednání, ochraně majetku, práv a oprávněných zájmů DPP a v prověřování podnětů souvisejících s dodržováním obecně závazných právních předpisů a vnitřních norem DPP.

Právní základ zpracování tedy v tomto případě je:

• titul: zákon (oznámení v režimu zákona o ochraně oznamovatelů).
• titul: oprávněný zájem (oznámení mimo režim zákona o ochraně oznamovatelů).

Zpracování osobních údajů u oznámení v režimu zákona o ochraně oznamovatelů je založeno na základě zákonného požadavku, přičemž jejich neposkytnutí může mít za následek, že s oznámením nebude nakládáno v souladu se zákonem o ochraně oznamovatelů, případně budou omezeny některé procesní postupy (například znemožnění informování o přijetí oznámení a dalších činnostech).

Zpracovávané osobní údaje

Dle ust. § 2 odst. 2 zákona o ochraně oznamovatelů se jedná o jméno, příjmení, datum narození, kontaktní adresa, nebo jiné údaje, z nichž je možné dovodit totožnost oznamovatele; má se za to, že údaje o totožnosti oznamovatele jsou pravdivé. Oznámení nemusí obsahovat údaje podle věty první, pokud bylo podáno osobou, jejíž totožnost je příslušné osobě známa. Současně budou zpracovávány také informace obsažené v oznámení, jako je popis protiprávního jednání obsaženého v oznámení, informace o osobě, vůči které oznámení směřuje a další podrobnosti o učiněném oznámení.

U oznámení posuzovaných mimo režim zákona o ochraně oznamovatelů může neposkytnutí některých osobních údajů ztížit nebo znemožnit prověření oznámených skutečností a komunikaci s oznamovatelem.

Účely zpracování Vašich osobních údajů:

• přijímání a posuzování oznámení přijatých prostřednictvím vnitřního oznamovacího systému, včetně písemného vyrozumění o jeho přijetí a zaevidování,
• komunikace se subjektem údajů (oznamovatelem), včetně možného vyrozumění o prodloužení lhůty stanovené k vyrozumění o výsledku posouzení oznámení, 
• vyrozumění o výsledku posouzení oznámení, případně vyrozumění o tom, že nejde o oznámení podle zákona o ochraně oznamovatelů,
• vyrozumění o přijatých opatřeních k nápravě nebo předejití protiprávního stavu v návaznosti na podané oznámení,
• přijímání, posuzování a vyhodnocování oznámení mimo režim zákona o ochraně oznamovatelů, jejichž obsah může nasvědčovat porušení právních předpisů nebo vnitřních norem DPP, případně jinému jednání ohrožujícímu oprávněné zájmy DPP.

Příjemci nebo kategorie příjemců osobních údajů

Osobní údaje nejsou předávány. Osobní údaje zpracovávají výlučně příslušné osoby určené ve smyslu zákona o ochraně oznamovatelů, tj. pouze určení zaměstnanci DPP. U oznámení mimo režim zákona o ochraně oznamovatelů mohou být osobní údaje v odůvodněných případech zpřístupněny dalším oprávněným zaměstnancům DPP, je-li to nezbytné pro prověření oznámených skutečností nebo splnění právních povinností DPP.

Doba, po kterou budou osobní údaje uloženy, případně kritéria použitá pro stanovení této doby

Vaše osobní údaje jsou ve smyslu ust. § 21 odst. 2 zákona o ochraně oznamovatelů zpracovávány po dobu 5 let. U oznámení posuzovaných mimo režim zákona o ochraně oznamovatelů jsou osobní údaje uchovávány po dobu nezbytnou k provedení posouzení oznámených skutečností a k ochraně práv a oprávněných zájmů DPP, nejdéle však po dobu 5 let.

Způsob zpracování

Osobní údaje jsou zpracovávány manuálně a také elektronicky. Osobní údaje u oznámení v režimu zákona o ochraně oznamovatelů nejsou zpřístupňovány nikomu s výjimkou příjemců uvedených výše, tj. příslušných osob. U oznámení mimo režim zákona o ochraně oznamovatelů mohou být osobní údaje zpřístupněny dalším oprávněným zaměstnancům DPP pouze tehdy, je-li to nezbytné pro prověření oznámených skutečností, ochranu práv a oprávněných zájmů DPP nebo splnění právních povinností DPP.

Pověřenec pro ochranu osobních údajů a práva subjektů údajů

Označení pověřence pro ochranu osobních údajů a kontakt na něj, jako i práva subjektů údajů naleznete na samostatné záložce: https://www.dpp.cz/osobni-udaje/vase-prava.

Omezení práva na přístup

Pokud pověřenec pro ochranu osobních údajů či správce osobních údajů obdrží v souladu GDPR žádost o přístup k osobním údajům a informacím, které se týkají agendy ochrany oznamovatelů, nebudou se takovou žádostí zabývat a předají ji k vyřízení příslušné osobě.

Příslušná osoba pak vyhodnotí, zda osobní údaje žadatele dle GDPR zpracovává, a následně posoudí, zda je s ohledem na limity stanovené zákonem o ochraně oznamovatelů žadateli možné vyhovět. Příslušná osoba bude muset zejména posoudit, zda by vyhověním žádosti subjektu údajů nemohlo dojít k maření posuzování důvodnosti oznámení, ztížení přijetí nápravných opatření či odhalení totožnosti oznamovatele.  O výsledku posouzení žádosti pak příslušná osoba informuje přímo žadatele, bude-li takový postup adekvátní.

Předávání do třetích zemí a automatizované rozhodování

Správce osobních údajů nemá úmysl předávat osobní údaje do třetích zemí nebo mezinárodní organizaci. K automatizovanému rozhodování, včetně profilování nedochází.