Zaštita osobnih podataka

I.

Temeljne odredbe

1. Predmet ove Smjernice uređenje je zaštite osobnih podataka i postupanja s njima pri aktivnostima koje obavljaju ovlaštene osobe poslodavca, a to je društvo ELLMAN, s.r.o., Muškátová 732/23,
Lozorno 900 55, IČO: 35 949 309 (dalje u tekstu: „Voditelj obrade“).

2. Ovlaštenom osobom u smislu ove Smjernice smatra se zaposlenik Voditelja obrade koji pri obavljanju svojih radnih aktivnosti postupa s osobnim podacima ispitanika (dalje u tekstu: „Ovlaštena osoba“).

II.

Opće obveze

1. Osobni podaci moraju biti primjereno zaštićeni u svim slučajevima u kojima se s njima postupa u organizaciji.

2. Ovlaštena osoba smije postupati s osobnim podacima samo pod uvjetom da je to nužno za obavljanje njezinih radnih aktivnosti ili na temelju pojedinačnog pisanog ovlaštenja Voditelja obrade.

3. Ovlaštena osoba dužna je čuvati povjerljivost osobnih podataka s kojima dolazi u doticaj pri obavljanju svojih radnih aktivnosti ili aktivnosti koje proizlaze iz njezina ovlaštenja.

4. Obveza čuvanja povjerljivosti traje i nakon prestanka radnog odnosa s ovlaštenom osobom.

5. Ovlaštena osoba smije postupati samo s onim osobnim podacima koji su nužni za obavljanje njezinih radnih aktivnosti ili aktivnosti koje proizlaze iz ovlaštenja.

6. Ovlaštena osoba smije obavljati samo one postupke s osobnim podacima koji su nužni za obavljanje njezinih radnih aktivnosti ili aktivnosti koje proizlaze iz ovlaštenja.

7. Ovlaštena osoba ne smije prikupljati informacije koje se odnose na osobne podatke izvan okvira svojih radnih aktivnosti ili ovlaštenja.

8. Ovlaštena osoba dužna je paziti da pri obavljanju njezinih radnih aktivnosti ili aktivnosti koje proizlaze iz ovlaštenja ne dođe do curenja obrađivanih osobnih podataka ili do narušavanja sigurnosti postupaka obrade.

9. Zabranjeno je navoditi osobni identifikacijski broj u ugovorima sklopljenima s fizičkom osobom.

10. Zabranjeno je na privatnim profilima na društvenim mrežama objavljivati fotografije i druge aktivnosti iz radne djelatnosti.

11. Fotografije izrađene na privatnim uređajima ovlaštena osoba dužna je pohraniti na za to namijenjen uređaj voditelja obrade i bez odgode ih ukloniti (izbrisati) sa svojeg privatnog uređaja.

III.

Prikupljanje osobnih podataka

1. Osobni podaci voditelja obrade pohranjeni su i sigurnosno kopirani u vlastitoj bazi podataka s vanjskom pohranom.

2. Ovlaštena osoba pristupa bazi podataka putem pojedinačnog softvera koji je dostupan na svakom službenom računalu Voditelja obrade.

3. Svaka ovlaštena osoba ima svoje korisničko ime i lozinku potrebne za pristup softveru Voditelja obrade, pri čemu joj baza podataka pruža samo osobne podatke ispitanika u opsegu njezinih radnih aktivnosti ili ovlaštenja.

4. Ako bi ovlaštenoj osobi bio potreban pristup osobnim podacima u većem opsegu nego što joj je dostupno u bazi podataka, dužna je na temelju zahtjeva od Voditelja obrade zatražiti pojedinačnu pisanu suglasnost za pribavljanje tih podataka.

5. Pisanu suglasnost daje Voditelj obrade na zahtjev i samo u opsegu potrebnom za ispunjenje svrhe ovlaštene osobe.

6. Ovlaštena osoba zatim predočuje pisanu suglasnost voditelju IT odjela, koji joj pruža osobne podatke samo u opsegu suglasnosti koju je dao Voditelj obrade.

7. Ovlaštena osoba ne smije pribavljene osobne podatke davati drugim osobama.

8. Ovlaštena osoba ne smije svoje pristupne podatke za softver Voditelja obrade davati drugim osobama.

9. Ovlaštena osoba ne smije upotrebljavati softver Voditelja obrade za vlastite potrebe.

IV.

Korištenje interneta

1. Korištenje internetskih usluga od strane ovlaštenih osoba namijenjeno je izvršavanju radnih zadataka.

2. Pri korištenju interneta mora se voditi računa o povjerljivosti prenesenih informacija.

3. Ovlaštena osoba pri pristupu internetu dužna je poštovati sljedeća načela:

a. pristup internetu upotrebljavati ponajprije u skladu sa svojim opisom posla/funkcijom,

b. postupati prema upozorenjima antivirusnog programa,

c. ne pristupati nepoznatim internetskim stranicama neprovjerenog sadržaja ako to nije potrebno za obavljanje radnih zadataka/funkcije,

d. lozinke koje se upotrebljavaju za pristup internim informacijskim sustavima ne upotrebljavati za pristup javnim internetskim uslugama.

V.

Elektronička pošta

1. Elektronička pošta upotrebljava se za potrebe interne i vanjske komunikacije.
2. Skupne e-poruke ovlaštena osoba dužna je slati sa skrivenim adresama e-pošte (skrivena kopija) kako se pojedini primatelji ne bi upoznali s adresama e-pošte ostalih ispitanika – primatelja.
3. Zabranjeno je slati osobne podatke ispitanika u otvorenim e-porukama ili u otvorenom privitku. Privitke je potrebno zaštititi lozinkom. Lozinka se mora poslati drugim komunikacijskim kanalom, npr. SMS-om ili telefonom. Ako takva mogućnost ne postoji, lozinku je potrebno poslati u zasebnoj e-poruci.
4. U slučaju prestanka radnog ili drugog odnosa s ovlaštenom osobom voditelj obrade prestaje upotrebljavati adresu e-pošte te ovlaštene osobe u roku od 30 dana od prestanka tog odnosa.

VI.
Kadrovska sigurnost

1. Pri prestanku radnog ili drugog odnosa (npr. prestanak funkcije direktora) ovlaštena osoba (zaposlenik, direktor…) dužna je predati radnu dokumentaciju, uključujući spise, sve dodijeljene inventarne predmete, posuđene knjige i ključeve.
2. Sve ovlaštene osobe moraju biti upoznate s osnovnim sigurnosnim načelima prije nego što dobiju pristup informacijskom sustavu voditelja obrade i svrhama obrade. Upoznavanje provodi odgovorna osoba. Dokaz o upoznavanju pohranjuje se u osobni dosje zaposlenika
3. Ovlaštenoj osobi može se dodijeliti tehničko sredstvo (npr. službeni mobitel, prijenosno računalo), čije preuzimanje ovlaštena osoba potvrđuje potvrdom o preuzimanju sredstva. Pri vraćanju sredstva ovlaštena osoba ima pravo zatražiti potvrdu o predaji.

VII.

Fizička sigurnost

1. Informatička oprema (računala, prijenosna računala i sl.) mora biti smještena u prostorijama koje se mogu zaključati. Prostorija u kojoj se nalazi informatička oprema mora se zaključati pri svakom odlasku ovlaštene osobe. Nakon završetka rada ovlaštena osoba dužna je:

a. isključiti osobno računalo ili se s njega odjaviti,

b. zaključati ormare s materijalima koji sadrže osobne podatke (ako se ormari mogu zaključati).

VIII.

Upravljanje ključevima i pristupnim karticama

1. Ovlaštenoj osobi pri stupanju na posao/funkciju dodjeljuje se jedan ključ od vrata

prostorije u kojoj će obavljati radnu aktivnost/funkciju.

2. Svaki gubitak ključa od ureda ovlaštena osoba dužna je bez odgode e-poštom prijaviti

svojem nadređenom i odgovornoj osobi.

3. Za ključeve je odgovorna osoba kojoj su dodijeljeni. Te je ključeve ovlaštena osoba dužna

predati nadređenom u slučaju prestanka njezina radnog ili drugog odnosa.

IX.

Ostale mjere

1. Ovlaštena osoba (zaposlenik, direktor) dužna je pri svakom napuštanju prostorije, ako u prostoriji više nema druge ovlaštene osobe, zaključati prostoriju i ponijeti ključ sa sobom.

2. Prije odlaska iz prostorije ovlaštena osoba dužna je provjeriti jesu li zatvoreni prozori u njezinoj prostoriji.

3. Ovlaštena osoba ne smije mijenjati postavke antivirusnog programa niti isključivati rezidentni antivirusni program bez suglasnosti voditelja IT odjela.

4. Svako sumnjivo, neuobičajeno ponašanje računala, odnosno kvar, ovlaštena osoba dužna je odmah prijaviti voditelju IT odjela.

5. Ovlaštena osoba ne smije samovoljno instalirati računalne programe, bilo s memorijskih medija ili s interneta. Programe smije instalirati samo uz suglasnost nadređenog nakon prethodnog savjetovanja s voditeljem IT odjela.

6. Svaka ovlaštena osoba mora imati dodijeljenu lozinku kojom se autentificira i koju čuva u tajnosti. Ovlaštena osoba ne smije otkriti svoju lozinku kojom se autentificira. Lozinka ne smije biti zapisana i pohranjena na vidljivom ili lako dostupnom mjestu. Ovlaštena osoba odgovorna je za neovlašteno otkrivanje svoje lozinke drugoj osobi, a time i za njezinu zlouporabu i prouzročenu štetu.

7. Ovlaštena osoba ne smije dopustiti rad na računalu osobi koja nije ovlaštena.

8. Ako na jednom računalu radi više osoba, ovlaštena osoba mora se prijaviti svojim korisničkim imenom i lozinkom nakon što se prethodno odjavi ovlaštena osoba koja je prije radila na tom računalu.

X.

Povreda sigurnosti

1. Ako dođe do povrede sigurnosti osobnih podataka, ovlaštena osoba dužna je o tome bez odgode obavijestiti svojeg nadređenog i voditelja IT odjela.

2. Ovlaštena osoba dužna je prekinuti svoju aktivnost, pri čemu ne smije poduzeti nikakve radnje koje bi mogle dovesti do povećanja rizika za sigurnost osobnih podataka.

3. Ovlaštena osoba dužna je sastaviti zapisnik u kojem navodi sve pojedinosti u opsegu:

a. o kojim je osobnim podacima riječ,

b. kada je saznala za povredu sigurnosti,

c. do kakve je povrede sigurnosti došlo,

d. kako je saznala za tu povredu,

e. koje je korake poduzela.

4. Ovlaštena osoba predaje zapisnik voditelju IT odjela.

5. Voditelj IT odjela obavještava Voditelja obrade o prirodi i opsegu povrede sigurnosti bez odgode nakon što sazna za tu informaciju.

6. Voditelj IT odjela dužan je uložiti najveći mogući napor kako ne bi došlo do daljnjih povreda sigurnosti pri obradi osobnih podataka, pri čemu je dužan u najkraćem mogućem roku otkloniti nastale probleme.

7. Ovlaštena osoba smije obavljati svoje radne aktivnosti tek nakon suglasnosti voditelja IT odjela, koji potvrđuje da obavljanje radnih aktivnosti ne predstavlja rizik za sigurnost osobnih podataka.

8. Voditelj IT odjela dužan je izraditi zapisnik koji sadržava:

a. vrstu osobnih podataka čija je zaštita povrijeđena,

b. izvor i oblik povrede,

c. opseg povrede i pretpostavljenu razinu rizika,

d. mjere poduzete radi otklanjanja nastalog stanja,

e. mjere poduzete radi osiguranja sigurnosti osobnih podataka.

9. Voditelj IT odjela predaje svoj zapisnik i zapisnik ovlaštene osobe Voditelju obrade.

XI.

Obrada podnesaka ispitanika

1. Zahtjeve i prigovore ispitanika obrađuje osoba kojoj to proizlazi iz ovlaštenja (dalje u tekstu: „odgovorna osoba“).

2. Odgovorna osoba nakon zaprimanja zahtjeva, prigovora ili pritužbe ispitanika (dalje u tekstu: „podnesak“) obavještava ispitanika o njegovu zaprimanju i daljnjem postupku.

3. Odgovorna osoba dužna je ocijeniti podnesak ispitanika najkasnije u roku od 30 dana od dana njegova primitka.

4. Ako bi ocjena podneska zahtijevala više vremena, odgovorna osoba dužna je kontaktirati Voditelja obrade i o tome primjereno obavijestiti i ispitanike.

5. Nakon ocjene podneska odgovorna osoba dužna je na odgovarajući način obavijestiti ispitanike u prethodno utvrđenom roku.

XII.

Rad od kuće

1. Tijekom rada od kuće potrebno je upotrebljavati službene uređaje (prijenosna i stolna računala)
2. Ako to nije moguće, pri radu od kuće putem vlastitih uređaja potrebno je upotrebljavati samo antivirusne programe i rješenja u oblaku koje preporučuje poslodavac te postaviti automatska ažuriranja programa koji se upotrebljavaju.
3. Pri radu od kuće potrebno je raditi s aktiviranim VPN-om (Virtual Private Network) ili s drugom zaštićenom aplikacijom koju je odobrio poslodavac.
4. Bez aktiviranog VPN-a zabranjeno je otvarati dokumente ili programe koji sadrže osobne podatke ili druge osjetljive podatke.
5. Uređaji (prijenosna ili stolna računala) koji se upotrebljavaju pri radu od kuće ne smiju ostati otključani u slučaju odsutnosti ovlaštene osobe ( i pri kratkotrajnom udaljavanju od uređaja potrebno je uređaj staviti u stanje mirovanja).
6. Tijekom rada od kuće potrebno je poštovati odobreni sustav lozinki i zaključavati uređaj koji se upotrebljava pri radu u vrijeme odsutnosti.
7. Za internetsku pohranu dokumenata koji sadrže osobne podatke i za slanje dokumenata koji sadrže osobne podatke smiju se upotrebljavati samo odobrena rješenja u oblaku i komunikacijske aplikacije.
8. Pri radu od kuće ne upotrebljavati (ako je moguće) privatne adrese e-pošte ili telefonske brojeve.
9. Pri radu od kuće zabranjeno je upotrebljavati javno dostupna komunikacijska sredstva (WhatsApp, Facebook i sl.) za komunikaciju ili za slanje ili predaju dokumenata koji sadrže osobne podatke.
10. Zabranjeno je raditi s uređajima putem kojih se obrađuju osobni podaci na javno dostupnim mjestima te je potrebno paziti na poštovanje općih sigurnosnih mjera koje se odnose na zaštitu uređaja od krađe ili kopiranja njihova sadržaja (osobito ne ostavljati te uređaje bez nadzora u prisutnosti strane osobe ili kada se ti uređaji prenose na javno dostupnim mjestima, npr. u prtljažniku automobila).
11. U slučaju bilo kakvih sigurnosnih incidenata ovlaštena osoba dužna je bez odgode kontaktirati poslodavca i odgovornu osobu.

XIII.

Zajedničke, prijelazne i završne odredbe

1. Ova Smjernica stupa na snagu 01.10.2021

2. Ova Smjernica obvezujuća je za sve ovlaštene osobe voditelja obrade.

Lozorno, 01.06.2025