RODO

W związku z wejściem w życie dnia 25.05.2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) zwanego dalej RODO, „Katowicki Węgiel” Sp. z o.o. informuje:

Postanowienia wprowadzające

 Cele i deklaracje
1) „Katowicki Węgiel” Sp. z o.o. jako administrator danych, świadomy wagi zagrożeń jakie niesie ze sobą przetwarzanie danych osobowych dla wolności i praw osób, których dane dotyczą, uznaje ochronę tych danych, w szczególności zapewnienie ich bezpieczeństwa, za jeden z priorytetów działalności Spółki.
2) Administrator danych podjął działania mające na celu wdrożenie przez „Katowicki Węgiel” Sp. z o.o. przepisów o ochronie danych osobowych oraz zapewnienie stałej zgodności działalności Spółki z tymi przepisami.

„Katowicki Węgiel” Sp. z o.o. powołał Inspektora Ochrony Danych, z którym mogą się Państwo skontaktować pisząc na adres iod@wegiel.katowice.pl lub na adres korespondencyjny Sekcja Kadr Anna Wysocka-Brojanowska,  „Katowicki Węgiel” Sp. z o.o. ul. ks. Franciszka Ścigały 14, 40-205 Katowice
 
 
Zasady przetwarzania danych osobowych przyjęte przez „Katowicki Węgiel” Sp. z o.o. w celu zapewnienie zgodności działalności Spółki z przepisami RODO (przeciwdziałanie ryzyku naruszenia wolności i praw osób, których dane dotyczą)

1. Realizacja zasad ochrony danych osobowych

1) Zasada legalności przetwarzania. Należy zapewnić by dane osobowe były przetwarzane wyłącznie po spełnieniu jednego z warunków dopuszczalności przetwarzania określonych w art.. 6 ust. 1 RODO, a w przypadku szczególnych kategorii danych (tzw. danych wrażliwych) art.. 9 i art. 10 RODO.

2) Zasada rzetelności przetwarzania. Przetwarzanie rzetelne należy rozumieć jako przetwarzanie uczciwie w stosunku do osoby, których dane dotyczą. Podejmując dowolne czynności przetwarzania należy brać pod uwagę  (respektować) prawa i interesy podmiotów danych. Należy wziąć pod uwagę, że przetwarzanie może być dokuczliwe dla podmiotu danych i spróbować  zminimalizować te uciążliwości. Nie można też próbować oszukiwać, ani wykorzystywać braku wiedzy lub trudnej sytuacji podmiotu danych.  

3) Zasada przejrzystości przetwarzania. Należy zapewnić przejrzystą informację podmiotom danych o dotyczącym ich przetwarzaniu. Powinny być stworzone ścieżki komunikacji umożliwiające zainteresowanym skorzystanie z przyznanych im praw.

4) Zasada ograniczoności celu. Dane wolno zbierać jedynie w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie wolno ich przetwarzać po zebraniu w sposób niezgodny z tymi celami. Do celu należy dostosować nie tylko ilość zbieranych danych, ale też zakres ich przetwarzania oraz okres przez który są przechowywane.

5) Minimalizacja danych. Dane powinny być adekwatne do celu, czyli ograniczone do niezbędnego minimum. Metodą urzeczywistnienia tej zasady może być m.in. pseudonimizacja. Gdy cel przetwarzania tego nie wymaga to w ogóle nie należy dokonywać identyfikacji osobowej.

6) Prawidłowość danych. Dane powinny być prawdziwe (zgodne z prawdą) i w razie potrzeby uaktualniane. Należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane.

7) Ograniczenie przechowywania. Dane wolno przechowywać w formie umożliwiającej identyfikację osoby, której one dotyczą, jedynie przez okres niezbędny dla realizacji celów, w których dane te są przetwarzane.

8) Integralność i poufność. Przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych

9) Rozliczalność. Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie.

2. Realizacja obowiązków informacyjnych i zapewnienie przejrzystej komunikacji

1) Informacje przekazywane podmiotom danych należy formułować w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

2) Należy uprawdopodobnić, że informacje są przekazywane osobie, której dane dotyczą. W razie wątpliwości należy zażądać dodatkowych informacji w celu zweryfikowania tożsamości, osoby, która się kontaktuje w celu uzyskania informacji.

3) Przekazując informacje podmiotowi danych należy zadbać o to by informacja ta obejmowała wyłącznie dane go dotyczące. Należy dołożyć starań, by informacja przekazywana jednej osobie nie zdradzała informacji o innych.

4) Zbierając informacje bezpośrednio od osoby, której dotyczą należy jednocześnie przekazać tej osobie informacje wskazane w art. 13 ust. 1 i 2 RODO. Obowiązek ten należy zrealizować w trakcie pozyskiwania informacji. 

5) Gdy dane są zbierane z innego źródła niż od osoby, której dotyczą to należy spełnić obowiązek informacyjny w zakresie art.. 14 ust. 1 i 2 RODO. Należy to zrobić w rozsądnym terminie (do miesiąca) od zebrania informacji, nie później jednak niż przy pierwszej komunikacji z podmiotem danych lub pierwszym udostępnieniem danych.

6) Stosowną informację w zakresie art.. 13 ust. 1 i 2 lub art.. 14 ust. 1 i 2 RODO należy podmiotowi danych przekazać także w przypadku zmiany celu przetwarzania dokonanym po zebraniu danych, chyba, że został już o tym uprzedzony.

7) Należy zapewnić ścieżki komunikacji umożliwiające osobom, których dane dotyczą kontakt w celu realizacji przyznanych im praw.

3. Realizacja żądań osób, których dane dotyczą

1) Jeżeli zainteresowany skorzysta z prawa dostępu do danych (zażąda informacji na temat dotyczącego go przetwarzania) to udziela się mu jej zgodnie z art. 12 ust. 1 i 2 RODO. Jeśli podmiot danych tego zażąda, a jest to możliwe, przekazuje się mu także kopię dotyczących go danych. Informacji na żądanie udziela się zasadniczo w terminie 1 miesiąca, chyba, że sprawa jest skomplikowana. Wtedy przedłużenie terminu następuje zgodnie z art. 12 ust. 3 RODO.

2) Jeżeli zainteresowany skorzysta z prawa do sprostowania, to na jego żądanie dokonuje się sprostowania nieprawidłowych danych. Prawo to obejmuje też uzupełnienie niekompletnych danych, przy czym kompletność ocenia się z uwzględnieniem celów przetwarzania. O ile to możliwe, to o dokonanym sprostowaniu informuje się odbiorców, którym dane zostały przekazane.

3) Jeżeli zainteresowany skorzysta z prawa do usunięcia danych (bycia zapomnianym) to na jego żądanie usuwa się dotyczące go dane, chyba że spełnione są wymogi ich dalszego przetwarzania z art. 17 ust. 3 RODO. O ile to możliwe, to o dokonanym usunięciu informuje się odbiorców, którym dane zostały przekazane. Gdy dane zostały upublicznione należy podjąć starania w celu usunięcia wszelkich łączy do tych danych, ich kopii lub replikacji stworzonych przez innych administratorów. 

4) Jeżeli zainteresowany skorzysta z prawa do ograniczenia przetwarzania, to na jego żądanie należy ograniczyć przetwarzanie do wskazanych czynności, chyba, że zachodzą przesłanki ich dalszego przetwarzania, w szczególności te wymienione w art. 18 ust. 2 RODO.  O ile to możliwe, to o dokonanym ograniczeniu informuje się odbiorców, którym dane zostały przekazane.

5) Jeżeli zainteresowany skorzysta z prawa do przeniesienia danych to dostarcza mu się dotyczących go danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego. Prawo to przysługuje, gdy dane mają postać zapisu elektronicznego i są przetwarzane na podstawie warunku zgody lub realizacji umowy. Na żądanie zainteresowanego dane dostarcza się bezpośrednio wskazanemu przez niego podmiotowi.  

6) Jeżeli zainteresowany skorzysta z prawa sprzeciwu wobec przetwarzania jego danych osobowych, w tym profilowania, powołując się na swoją szczególną sytuację, to należy zaprzestać dalszego przetwarzania dotyczących go danych, chyba, że spełnione są przesłanki dalszego przetwarzania określone w art. 21 ust. 1 RODO.

7) Jeżeli zainteresowany skorzysta z prawa sprzeciwu wobec przetwarzania jego danych w celach marketingowych, w tym profilowania, to nie można nie uwzględnić sprzeciwu.

4. Zgoda na przetwarzanie danych osobowych

1) Jeżeli zgodnie z art. 6 ust. 1 lub 9 ust. 1 RODO podstawą przetwarzania danych osobowych jest zgoda osoby, której dane dotyczą to przyzwolenie na przetwarzanie danych powinno być dobrowolne, konkretne, świadome i jednoznaczne. Musi spełniać też wymogi rozliczalności i transparentności.

2) Zapewnia się prawo do wycofania zgody.

3) Nie jest dopuszczalne uzależnienie wykonania usługi niezwiązanej bezpośrednio ze zgodą od jej udzielenia.

5. Profilowanie

1) Podejmowanie zautomatyzowanych decyzji wobec indywidualnych osób, w tym profilowanie, jest dopuszczalne wyłącznie w przypadkach określonych w art. 22 ust. 3, w szczególności, gdy zainteresowana osoba wyraziła na to zgodę.

2) Osobie, wobec której są podejmowane zautomatyzowane decyzje lub którą się profiluje zapewnia się:

• prawo do zakwestionowania tej decyzji;
•  prawo do wyrażenia własnego stanowiska w przedmiocie podejmowanych wobec niej decyzji i profilowania;
• prawo do uzyskania interwencji ludzkiej, czyli do indywidualnego rozpatrzenia jej sprawy przez administratora danych;
• prawo do wniesienia sprzeciwu zgodnie z art. 21 ust. 1 i 2 RODO.

6. Udostępnianie danych osobowych

1) Jeśli zgodnie z przepisami prawa administrator danych jest zobowiązany do przekazywana danych osobowych wskazanym podmiotom (np. Urzędowi Skarbowemu lub ZUS) to upoważnieni pracownicy administratora danych realizują ten wymóg zgodnie z zakresem swoich obowiązków służbowych stosując się ściśle do wskazanych przepisów.

2) Jeśli do administratora danych wystąpi z wnioskiem o udzielenie informacji osobowej podmiot, który twierdzi, że jest uprawniony do uzyskania takiej informacji na podstawie przepisów prawa udostępnienie informacji może nastąpić jedynie po:

• zweryfikowaniu podstawy prawnej udostępnienia;
• zweryfikowaniu czy składający wniosek jest podmiotem za który się podaje;
• odnotowaniu udostępnienia w ewidencji udostępnień danych osobowych.  

3) Jeśli do administratora danych wystąpi z wnioskiem o udzielenie informacji osobowej podmiot, który nie jest uprawniony do uzyskania takiej informacji na podstawie przepisów prawa udostępnienie informacji może nastąpić jedynie gdy:

• cel przetwarzania nie ulega zmianie;
• osobie, której dane mają być udostępnione zostanie umożliwione skorzystanie z prawa sprzeciwu;
• nastąpi zweryfikowanie tożsamości podmiotu składającego wniosek;
• udostępnienie zostanie odnotowane w ewidencji udostępnień danych osobowych.

7. Przekazywanie danych do państw trzecich lub organizacji międzynarodowym

1) Przekazywanie danych osobowych do państw trzecich jest zasadniczo zabroniona, chyba, że decyzję taką podejmie administrator danych, ze względu na szczególne okoliczności.

2) W przypadku określonym w ppkt. 1) przekazanie jest dokonywane wyłącznie zgodnie z wymogami określonymi w art. 44-50 RODO. Administrator danych dokłada staranności, by zapewnić stopień ochrony osób fizycznych zagwarantowany w RODO.

8. Współpraca z podmiotami przetwarzającymi

1) Jeśli wymagają tego okoliczności administrator danych może podjąć decyzje o powierzeniu przetwarzania danych osobowych podmiotowi przetwarzającemu.

2) Wybierając podmiot przetwarzający administrator danych dokłada staranności, by podmiot ten zapewniał wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO.

3) Powierzenie danych osobowych podmiotowi przetwarzającemu następuje na podstawie pisemnej umowy określającej przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, a także obowiązki i prawa administratora danych i podmiotu przetwarzającego.

4) Umowa o której mowa w ppkt. 3) zawiera, jeśli to właściwe, w szczególności:

a. zobowiązanie przetwarzającego do tego, że przetwarzanie danych osobowych będzie się odbywało wyłącznie na udokumentowane polecenie administratora danych,

b. deklarację przetwarzającego, że osoby upoważnione przez niego do przetwarzania danych osobowych zobowiązały się lub zobowiążą do zachowania w tajemnicy dane osobowe oraz sposób ich zabezpieczenia;

c. deklarację przetwarzającego, że wdrożył lub wdroży odpowiednie środki techniczne i organizacyjne, aby zapewnić odpowiedni stopień bezpieczeństwa zgodnie z art. 32 RODO,

d. deklarację przetwarzającego wskazującą, że jeśli korzysta lub będzie korzystać z usług innego podmiotu przetwarzającego, to wypełnia lub wypełni warunki określone w art. 28 ust. 2 i 4 RODO,

e. zobowiązanie przetwarzającego do pomocy administratorowi danych poprzez odpowiednie środki techniczne i organizacyjne w wywiązaniu się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w pkt. 1-7,

f. zobowiązanie przetwarzającego do pomocy administratorowi danych w realizacji obowiązków wynikających z przepisów RODO,

g. zobowiązanie przetwarzającego do usunięcia lub zwrotu wszelkich danych osobowych administratora oraz wszelkich ich istniejących kopii po zakończeniu świadczenia usług, jeśli administrator danych wystąpi z takim żądaniem.

9. Współadministrowanie

1) Jeśli wymagają tego okoliczności administrator danych może podjąć decyzje o wspólnym ustaleniu celów i sposobów przetwarzania danych osobowych z innym administratorem (tzw. współadministrowanie).

2) Uzgodnienie wskazane w ppkt. 1) jest zawierane w formie umowy pisemnej.

3) Umowa o której mowa w ppkt. 2) w przejrzysty sposób:

a. określa odpowiednie zakresy odpowiedzialności dotyczącej wypełniania obowiązków wynikających z RODO, w szczególności obowiązków informacyjnych oraz innych obowiązków względem osób, których dane dotyczą, 

b. wskazuje jak osoby, których dane dotyczą mogą kontaktować się w celu uzyskania informacji i realizacji przysługujących im praw.

4) Umowa o której mowa w ppkt. 1) w zakresie w jakim dotyczy osób, których dane mają być przetwarzane jest udostępniana tym osobom na ich żądanie.