Ochrana osobních údajů

Příloha č. 9 ke Knihovnímu řádu Národní knihovny České republiky

Národní knihovna České republiky (dále jen „NK ČR“) se v oblasti zajištění ochrany fyzických osob  v souvislosti se zpracováním jejich osobních údajů na pracovištích NK ČR řídí ustanoveními Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob  v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), známé jako GDPR (dále jen „Nařízení“) a zákona č. 110/2019 Sb., o zpracování osobních údajů (dále jen „Zákon o zpracování OÚ“).

NK ČR postupuje při zpracování osobních údajů podle Nařízení, Zákona o zpracování OÚ, Knihovního řádu NK ČR (dále jen „Knihovní řád“) a dalších obecně závazných, jakož i interních předpisů. Osobní údaje jsou zpracovávány zpravidla vlastními zaměstnanci NK ČR, není-li uvedeno jinak, a to manuálním a automatizovaným způsobem. NK ČR zpracovává pouze přesné a aktuální osobní údaje, z nichž některé za tím účelem ověřuje.

Správcem osobních údajů je Národní knihovna České republiky, státní příspěvková organizace zřízená Ministerstvem kultury, se sídlem Mariánské náměstí 190/5, 110 00 Praha 1, IČO 00023221.

1. Zpracovávané osobní údaje

1.1.  NK ČR zpracovává osobní údaje uživatelů v souladu s Nařízením a Zákonem o zpracování OÚ

A. v rámci smluvního vztahu mezi NK ČR a registrovaným uživatelem vzniklého registrací, který je zpravidla dlouhodobý a vyžaduje
B. zjištění totožnosti uživatele, (dále jen „Registrace“ a „Registrovaný uživatel“);
v rámci vztahu s jednotlivcem ze strany veřejnosti

i. na základě poskytnutí služby na zpravidla jednorázový požadavek;
ii. na základě smluvního vztahu založeného na licenčním oprávnění nebo kooperačním vztahu NK ČR;
(dále jen „Další uživatel“).

C. v rámci smluvních vztahů s jinými institucemi, jejichž registrovaným uživatelům zprostředkovává NK ČR služby (dále jen „Další uživatel“);
D. prostřednictvím kamerového systému se záznamem.

1.2.  V případě, že NK ČR poskytuje osobní údaje Registrovaného uživatele a Dalšího uživatele externímu poskytovateli služby nebo jinému zpracovateli, postupuje sama v souladu s Nařízením a Zákonem o zpracování OÚ a současně k postupu v souladu s Nařízením a Zákonem o zpracování OÚ externího poskytovatele či zpracovatele smluvně zavazuje.

1.3.  NK ČR v souvislosti se zpřístupňováním obsahu elektronických informačních zdrojů prostřednictvím vzdáleného přístupu (online) jednotlivcům ze strany veřejnosti nebo uživatelům, jejichž přístup spravují na základě smluvního vztahu s NK ČR jiné knihovny a právnické osoby, zpracovává osobní údaje těchto osob nebo předává údaje Registrovaného uživatele či Dalšího uživatele partnerským institucím, pokud o předmětnou službu Registrovaný uživatel či Další uživatel požádají.

1.4  Není-li v podmínkách jednotlivých poskytovaných služeb stanoveno jinak, NK ČR nepředává s výjimkou cookies žádné osobní údaje Registrovaného uživatelů či Dalších uživatelů do třetích zemí mimo EU, ani žádným příjemcům nad rámec plnění svých zákonných povinností nebo spolupráce s externími poskytovateli služeb v souladu s GDPR a Zákonem o zpracování OÚ.

2. Účel a právní důvod zpracování osobních údajů

2.1.  NK ČR zpracovává povinné a další osobní údaje. Osobní údaje jsou zpracovávány zejména za účelem poskytování služeb a ochrany majetku, dále ke statistickým, služebním, účetním a právním účelům. Bližší informace zde:

3. Zpracování osobních údajů Registrovaného uživatele

3.1.  Povinné identifikační údaje Registrovaného uživatele:

A. jméno a příjmení;
B. datum narození;
C. adresa trvalého pobytu;
D. kontaktní adresa v ČR, nebo v rámci EU/EHP, pokud se liší od adresy trvalého pobytu;
E. e-mailová adresa u vzdálené registrace
F. druh a číslo osobního dokladu / BankID OID / ID datové schránky;
G. podpis / zaručený či kvalifikovaný elektronický podpis.

3.2.  Doplňkové údaje Registrovaného uživatele:

A. typ a číslo průkazu TP, ZTP, ZTP/P, případně doklad o zdravotním postižení, které opravňuje k přístupu ke speciálním službám;
B. sken/fotka nebo typ a číslo průkazu opravňujícího ke slevám nebo čerpání jiných benefitů na základě interních předpisů NK ČR nebo rezortních předpisů MK ČR.

3.3.  Další údaje Registrovaného uživatele:

A. akademický titul;
B. telefon;
C. e-mailová adresa u registrace na místě.

3.4.  Údaje Registrovaného uživatele podle odst. 3.1. zpracovává NK ČR na základě smluvního vztahu s Registrovaným uživatelem a jsou nezbytné pro provedení Registrace. Osobu, která NK ČR neposkytne své osobní údaje v tomto rozsahu, NK ČR nezaregistruje, ani jí nevydá čtenářský průkaz.

3.5. Údaje Registrovaného uživatele podle odst. 3.2. jsou poskytovány na základě souhlasu Registrovaného uživatele, přičemž údaj dle písm. A. Registrovaný uživatel poskytne, požaduje-li poskytování služeb knihovny v režimu stanoveném pro držitele průkazu TP, nebo ZTP, nebo ZTP/P, nebo pro osoby se zdravotním postižením, a údaj dle písm. B uživatel poskytne, chce-li uplatnit nárok na slevu či jiný benefit.

3.6. Identifikační údaje osoby, která jedná za Registrovaného uživatele, který je držitelem průkazu TP, nebo ZTP, nebo ZTP/P, se zpracovávají v obdobném rozsahu a struktuře jako povinné identifikační údaje Registrovaného uživatele podle odst. 3.1. výše.

3.7.  Údaje podle odst. 3.3. uvede Registrovaný uživatel, pokud chce NK ČR umožnit, aby tyto údaje využívala pro efektivnější komunikaci s ním, např. pro informování o stavu čtenářského konta, stavu objednávek, zasílání informací o historii výpůjček, o službách a změnách v provozu knihovny případně občasné informování o poskytování širší nabídky (nových) služeb a provádění průzkumu čtenářské spokojenosti.

3.8.  Povinné identifikační údaje Registrovaného uživatele ověřuje NK ČR podle platných osobních dokladů vydaných orgány veřejné moci (dále jen „Osobní doklady“) k prokázání totožnosti Registrovaného uživatele. U občanů ČR je takovým dokladem zpravidla občanský průkaz. Povinné identifikační údaje Registrovaného uživatele podle odst. 3.1. ověřuje NK ČR zejména při registraci, při prodloužení platnosti Registrace, při vystavení nového čtenářského průkazu a případně při změně kteréhokoliv z uvedených údajů. V případě uzavírání Smlouvy o poskytování knihovnických a informačních služeb na základě registrace provedené vzdáleně probíhá ověření povinných identifikačních údajů žadatele v souladu s částí čtvrtou Knihovního řádu. Doplňkový údaj Registrovaného uživatele podle odst. 3.2. písm. A) ověřuje NK ČR v okamžiku, kdy Registrovaný uživatel požádá o poskytování služeb v režimu stanoveném pro držitele průkazu TP, nebo ZTP, nebo ZTP/P, nebo pro osoby se zdravotním postižením, které opravňuje k přístupu ke speciálním službám, jakož i při prodloužení platnosti registrace. Ověření totožnosti je nezbytné pro plnění smlouvy uzavřené mezi NK ČR a Registrovaným uživatelem, ověření aktuálnosti zpracovávaných osobních údajů a ochranu knihovního fondu. Doplňkový údaj Registrovaného uživatele podle odst. 3.2. písm. B) ověřuje NK ČR v okamžiku, kdy Registrovaný uživatel požádá o poskytnutí slevy nebo čerpání jiného benefitu.

3.9.  Dále správce shromažďuje údaje o vztahu mezi ním a Registrovaným uživatelem, z nichž některé mohou mít charakter osobního údaje. Služební údaje ve vztahu k Registrovanému uživateli jsou údaje o registraci Registrovaného uživatele a o provedených transakcích s uživatelským kontem či objednávkách včetně místa a času transakce a kódu knihovníka. Účetní údaje jsou údaje o provedených peněžních transakcích, zejména o jejich účelu, místě, čase a dalších náležitostech daných legislativou. Právní údaje jsou údaje spojené zejména s vymáháním pohledávek.

4. Zpracování osobních údajů Dalšího uživatele

4.1.  Údaje o Dalším uživateli:

A. jméno a příjmení (vždy povinný údaj);
B. adresa;
C. e-mailová adresa;
D. typ a číslo průkazu TP, ZTP, ZTP/P, nebo údaj o zdravotním poškození nebo poruše vnímání textu;
E. telefon;
F. IP adresa zařízení v komunikační síti a případně další údaje sbírané automaticky zejména v rámci tzv. cookies.

4.2. Údaje Dalšího uživatele podle odst. 4.1. zpracovává NK ČR v rozsahu nezbytném k poskytnutí jednorázové služby dle čl. 1, odst. 1.1., písm. b), bod i., povinné je zejména poskytnutí jména a příjmení Dalšího uživatele, je-li to u konkrétní služby vyžadováno. V případě, že Další uživatel požaduje poskytnutí služby za zvláštních podmínek podle vnitřních předpisů NK ČR nebo podle zákona č. 121/2000 Sb., autorského zákona, v platném znění (držitel průkazu TP, ZTP, ZTP/P, osoba nevidomá, se zdravotním postižením, které opravňuje k přístupu ke speciálním službám), NK ČR předložené doklady ověřuje a údaje o Dalším uživateli v souvislosti s poskytnutou službou zpracovává v rozsahu stanoveném uvedeným předpisem. Údaje Dalšího uživatele dle odst. 4.1 v souvislosti s poskytováním služeb dle čl. 1 odst. 1.1., písm. b), bod ii., NK ČR ověřuje a zpracovává v rozsahu vyplývajícím ze smlouvy s poskytovatelem licence nebo kooperujícími partnery NK ČR, zpravidla v rozsahu obdobném jako u Registrovaného uživatele.

4.3. Údaje Dalšího uživatele dle čl. 1, odst. 1.1. písm. b), bod ii. ověřuje NK ČR obdobně jako u Registrovaného uživatele, jak je uvedeno v čl. 3 odst. 3.8 této přílohy.

4.4.  Dále správce shromažďuje údaje o vztahu mezi ním a Dalším uživatelem, z nichž některé mohou mít charakter osobního údaje stejně, jako je tomu u Registrovaného uživatele.

5. Newsletter

5.1 Jakákoliv osoba může NK ČR též udělit souhlas s využitím e-mailové adresy, jména a příjmení pro zasílání zpravodaje NK ČR (newsletter), který obsahuje především informace o akcích NK ČR nebo akcích pro veřejnost, které se pořádají v jejích prostorách, novinky a další informace spojené s fungováním a činností NK ČR, knihovnictvím a kulturou.

5.2 Souhlas může být kdykoliv odvolán. Každý zaslaný newsletter NK ČR tuto možnost nabízí. Osobní údaje jsou zpracovávány do odvolání souhlasu.

5.3 Pro rozesílání newsletteru NK ČR zpravidla využívá dodavatele, který je zpracovatelem a NK ČR dohlíží na dodržování všech právních předpisů v oblasti GDPR.

5.4 V souvislosti se zasíláním newsletteru jsou zpracovávány a v aplikaci uchovávány zpravidla následující osobní údaje:

A)    kontaktní údaje:  jméno, příjmení, e-mailová adresa;
B)    údaje sledované aplikací a případně cookies: web tracking, click rate, open rate, typ prohlížeče, typ schránky;
C)    informace automaticky odhadované aplikací: pohlaví, datum svátku.

6. Uchovávání osobních údajů

Osobní údaje uchovává NK ČR:

6.1.  Na originálních písemnostech nebo na jejich kopiích, kterými jsou zejména:

A. smlouva, byla-li uzavřena;
B. registrační formulář, který zaznamenává též změny osobních údajů;
C. písemné objednávky reprografických a informačních služeb;
D. doklady předložené Registrovaným uživatelem nebo Dalším uživatelem, které odůvodňují jeho žádost, pokud je NK ČR uchovává;
E. účetní a další právní doklady;
F. odpovídající elektronické dokumenty.

Tyto písemnosti jsou uchovávány ve služebních prostorách NK ČR, kam je zamezen přístup nepovolaných osob obvyklými prostředky a na serverech či další technice ve vlastnictví nebo užívání NK ČR. Přístup k těmto písemnostem je omezen pouze na zaměstnance NK ČR, kteří s nimi pracují v rámci výkonu své práce a jsou vázáni mlčenlivostí.

6.2.  Dále v databázi evidence Registrovaných uživatelů v knihovním systému, kde jsou uloženy povinné identifikační údaje Registrovaného uživatele, doplňkové údaje Registrovaného uživatele, další kontaktní údaje Registrovaného uživatele, údaje služební a přihlašovací údaje. Databáze je uložena na vyhrazeném serveru NK ČR a její správa zahrnuje standardní ochranu a řízení přístupů tak, aby bylo minimalizováno riziko úniku osobních údajů.

6.3.  V systémech pro poskytování služeb Registrovaným uživatelům a Dalším uživatelům zejména na základě smluvně-licenčních oprávnění a kooperačních smluv NK ČR.

6.4  Doba, po kterou se uchovávají osobní údaje Registrovaného uživatele nebo Dalšího uživatele, a přehled osobních údajů, které se vyskytují v nejčastěji užívaných dokumentech, je uvedena v tabulce. Lhůta pro výmaz začíná běžet v souladu se spisovým a skartačním řádem NK ČR zpravidla po vypršení Registrace, vyřízení objednávky nebo od začátku roku následujícího po uzavření dotazu/objednávky/Registrace.

6.5. V případě Dalšího uživatele, který poskytl osobní údaje prostřednictvím formuláře v prostředí veřejně přístupného online katalogu za účelem zadání požadavku na expedici knihovních dokumentů (dále jen “Předregistrace”), se jeho osobní údaje buď doplní v souvislosti s provedením Registrace, nebo se plně vymažou bez odkladu poté, co je účel Předregistrace zmařen, neboť dotyčný Další uživatel se ve stanovené lhůtě k Registraci podmiňující poskytnutí následné výpůjční služby nedostavil.

6.6 Následující tabulka obsahuje informace o nejčastějších dokumentech, kde se vyskytují osobní údaje Registrovaného uživatele a Dalšího uživatele, o kategoriích údajů a lhůtách pro výmaz.

7. Zpracování osobních údajů v souvislosti se zpřístupňováním webových stránek NK ČR a obsahu elektronických informačních zdrojů NK ČR prostřednictvím vzdáleného přístupu (online)

NK ČR zpracovává v souvislosti se zpřístupňováním obsahu webových stránek, které provozuje, a se  zprostředkováním elektronických informačních zdrojů prostřednictvím vzdáleného přístupu (online) Registrovaným uživatelům podle čl. 1 osobní údaje formou tzv. cookies. Obecně se jedná o tyto typy cookies:

i.        funkční cookies, které jsou nezbytné pro fungování dané služby;
ii.        analytické cookies, za jejichž pomoci lze zlepšovat fungování stránek,
iii.        marketingové cookies, které umožňují sledování preferencí konkrétní osoby a cílení služeb či reklamy.

Některé cookies mohou sbírat osobní údaje návštěvníka webových stránek. Z tohoto důvodu lze odmítnout analytické a marketingové cookies, nebo své rozhodnutí o jejich akceptaci kdykoliv odvolat. Vzhledem k rozsáhlosti služeb nabízených a zprostředkovávaných NK ČR v online prostředí jsou konkrétní informace o rozdělení, účelu, správci a době uložení osobních údajů uvedeny na dotčených webových stránkách, které si subjekt údajů zobrazí.

8. Povinnosti zaměstnanců NK ČR při zpracovávání osobních údajů Registrovaných uživatelů

Všichni zaměstnanci NK ČR jsou povinni zpracovávat osobní údaje všech kategorií Registrovaných uživatelů, Dalších uživatelů i případných dalších osob výhradně v rámci sjednaného druhu práce a popisu své pracovní činnosti a úkolů, které jim byly stanoveny jejich vedoucími zaměstnanci, a to ve výše uvedeném rozsahu a účelu a ve shodě s ustanoveními Nařízení a Zákona o zpracování OÚ, příslušné interní směrnice NK ČR a dalších závazných předpisů. Zaměstnanci NK ČR jsou zavázáni zachovávat mlčenlivost o osobních údajích, s nimiž se seznámili v rámci výkonu své práce nebo v souvislosti s ní.

9. Likvidace osobních údajů

9.1.  NK ČR zpracovává osobní údaje Registrovaného uživatele a Dalšího uživatele od doby, kdy podniknou kroky k uzavření smlouvy s NK ČR nebo poptají nabízené služby.

9.2.  Osobní údaje Registrovaného uživatele a Dalšího uživatele NK ČR uchovává, dokud nenastane důvod k jejich výmazu (zpravidla žádost subjektu údajů) nebo ukončení zpracování osobních údajů.

9.3.  Požádá-li Registrovaný uživatel nebo Další uživatel písemně o ukončení zpracování svých osobních údajů, nemá-li Registrovaný uživatel nebo Další uživatel vůči NK ČR žádné přetrvávající závazky a nebrání-li tomu povinnosti NK ČR vyplývající z právních předpisů nebo trvající smluvní závazky, považuje NK ČR smluvní vztah či poskytování služby za ukončené a osobní údaje bez zbytečného odkladu zlikviduje:

A. skartací originálních písemností podle pravidel Skartačního řádu NK ČR a v souladu s platnými předpisy;
B. smazáním údajů v databázi evidence Registrovaných uživatelů a v dalších systémech nebo jejich nevratnou anonymizací, tyto anonymizované údaje slouží pouze ke statistickým účelům;
C. smazáním údajů o Dalších uživatelích v systémech poskytování služeb ve smyslu čl. 1, odst. 1.1., písm. b) podle pravidel Skartačního řádu NK ČR,
D. smazáním komunikace s Registrovanými uživateli, Dalšími uživateli a uživateli podle čl. 1, odst. 1.1., písm. B), bodu i. v komunikačních prostředcích.

Není-li splněna některá z podmínek v předešlém odstavci 9.3 shora, nebo jsou dány zákonné důvody pro uchování osobních údajů, NK ČR o důvodech, pro které nemůže, resp. není oprávněna žádosti Registrovaného uživatele nebo Dalšího uživatele vyhovět, písemně informuje.

10. Práva subjektu údajů a jejich uplatnění

10.1. Registrovaný uživatel či Další uživatel jako subjekty osobních údajů mají následující práva:

i. Právo přístupu k osobním údajům (čl. 15 Nařízení GDPR)
Subjekt údajů má právo získat od správce potvrzení, zda – a pokud ano, tak jaké – jeho osobní údaje jsou zpracovávány a bližší informace o jejich zpracování.

ii. Právo na opravu, doplnění či výmaz (čl. 16 a 17 Nařízení GDPR)
Subjekt údajů má právo na opravu či doplnění neúplných nebo nepřesných osobních údajů, právo na výmaz osobních údajů, jsou-li pro to splněny podmínky dané uvedeným Nařízením GDPR.

iii. Právo na omezení zpracování (čl. 18 Nařízení GDPR)
Subjekt údajů má právo na omezení zpracování svých osobních údajů, jsou-li pro to splněny podmínky dané Nařízením GDPR.

iv. Právo na přenositelnost údajů (čl. 20 Nařízení GDPR)
Při zpracování osobních údajů na základě souhlasu nebo smlouvy má subjekt údajů právo na předání svých osobních údajů jinému správci, je-li to technicky proveditelné.

v. Právo vznést námitku (čl. 21 Nařízení GDPR)
V případě, že jsou osobní údaje zpracovávány pro splnění úkolu ve veřejném zájmu, pro účely oprávněných zájmů správce nebo v rámci přímého marketingu, má subjekt údajů právo vznést námitku proti zpracování osobních údajů v souladu s Nařízením GDPR.

vi. Právo odvolat souhlas se zpracováním osobních údajů (čl. 7 Nařízení GDPR)
Pokud jsou osobní údaje subjektu údajů zpracovávány na základě souhlasu, má subjekt údajů právo souhlas se zpracováním osobních údajů odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování osobních údajů před odvoláním souhlasu.

10.2 Pokud Registrovaný uživatel nebo Další uživatel netrvá na podání oficiální žádosti a jejím písemném vyřízení, je možné uplatnit právo na opravu či doplnění osobních údajů v Hale služeb či dalších útvarech NK ČR, které jsou oprávněny provádět opravu nebo aktualizaci nepřesných nebo neaktuálních osobních údajů při své běžné činnosti v přímém kontaktu s Registrovaným uživatelem či Dalším uživatelem.

10.3 Pro uplatnění práv subjektu údajů u správce je příslušným odborem Kancelář generálního ředitele. Práva lze uplatnit:

i. e-mailem: gdpr@nkp.cz
ii. datovou schránkou: 5qt8sy8
iii. písemně na adrese: Národní knihovna České republiky, Kancelář generálního ředitele, Mariánské náměstí 190/5, 110 00 Praha 1

Pro urychlení zpracování žádosti je vhodné uvést předmět zprávy „GDPR – uplatnění práv.“ V případě nutnosti může správce požádat o poskytnutí dodatečných informací nezbytných k potvrzení totožnosti subjektu údajů. Pro podání žádosti je možné využít formulář na www.nkp.cz.

10.4. Registrovaný uživatel nebo Další uživatel má právo obrátit se se svým podnětem přímo na dozorový orgán, kterým je:
Úřad pro ochranu osobních údajů
Sídlo: pplk. Sochora 727/27, 170 00 Praha 7 – Holešovice
Tel. č.: +420 234 665 111
e-mail: posta@uoou.cz