PROCEDURA REALIZACJI PRAW OSÓB, KTÓRYCH DANE DOTYCZĄ

przetwarzanych w Spółce Inżynierów SIM Sp. z o.o.

§ 1. Spółka Inżynierów SIM Sp. z o.o. realizuje następujące prawa osób, których dane dotyczą:

prawo do przejrzystego informowania i przejrzystej komunikacji (obowiązek informacyjny) uprawnienie osoby, której dane dotyczą, polegające na otrzymaniu od Administratora wszelkich informacji, o których mowa w art. 13 i 14 Rozporządzenia, w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem;

prawo dostępu do danych osobowych uprawnienie osoby, której dane dotyczą, polegające na uzyskaniu potwierdzenia, czy jej dane osobowe podlegają przetwarzaniu, a jeżeli tak, to do uzyskania do nich dostępu oraz informacji wymienionych w pkt 4.3. – zgodnie z art. 15 Rozporządzenia;

prawo do ograniczenia przetwarzania danych uprawnienie osoby, której dane dotyczą, polegające na żądaniu ograniczenia przetwarzania jej danych, rozumiane jako oznaczenie przechowywanych danych osobowych, zarówno w postaci elektronicznej, jak i w postaci papierowej, w celu ograniczenia ich przyszłego przetwarzania (nakaz przechowywania przez Administratora Danych dotychczas zebranych danych osobowych oraz brak możliwości dokonywania na nich innych operacji niż przechowywanie) – zgodnie z art. 18 Rozporządzenia;

prawo do przenoszenia danych uprawnienie osoby, której dane dotyczą, polegające na żądaniu przeniesienia jej danych osobowych bezpośrednio do innego Administratora Danych – zgodnie z art. 20 Rozporządzenia;

prawo do sprostowania danych uprawnienie osoby, której dane dotyczą, polegające na możliwości żądania niezwłocznego sprostowania danych osobowych jej dotyczących – zgodnie z art. 16 Rozporządzenia;

prawo do usunięcia danych (prawo do bycia zapomnianym) uprawnienie osoby, której dane dotyczą, polegające na możliwości żądania niezwłocznego usunięcia danych osobowych jej dotyczących – zgodnie z art. 17 Rozporządzenia;

prawo do wniesienia sprzeciwu uprawnienie osoby, której dane dotyczą, polegające na możliwości wniesienia przez tę osobę w każdym momencie sprzeciwu – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e lub f Rozporządzenia – zgodnie z art. 21 Rozporządzenia;

prawo do wniesienia odwołania od zautomatyzowanego podejmowania decyzji uprawnienie osoby, której dane dotyczą, polegające na możliwości wniesienia przez tę osobę odwołania od decyzji podjętej w sposób zautomatyzowany, które musi zostać rozpatrzone przez człowieka – zgodnie z art. 22 Rozporządzenia;

§ 2. Realizacja obowiązków informacyjnych:

1. Spółka Inżynierów SIM Sp. z o.o. zobowiązana jest do udzielania każdej osobie, której dane są przetwarzane informacji dotyczącej przetwarzania jej danych osobowych w przypadku zbierania danych osobowych dotyczącej takiej osoby lub w przypadku zmiany celu przetwarzania danych osobowych w stosunku do celu, dla którego dane osobowe zostały pierwotnie zebrane.

2. Zakres obligatoryjnych informacji, który powinien zostać przekazany przez SIM osobie, której dane dotyczą, zgodnie z art. 13-14 RODO, obejmuje:

1) tożsamość i dane kontaktowe Administratora;

2) cel lub cele przetwarzania danych osobowych;

3) danych kontaktowych Koordynatora ds. ochrony danych;

4) podstawę prawną przetwarzania danych osobowych;

5) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców danych osobowych;

6) oznaczenie okresu, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe – kryteria ustalania tego okresu;

7) informacje o prawie do żądania od SIM dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; 

8) informację o prawie wniesienia skargi do organu nadzorczego; 

9) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych; 

10) informację o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu o którym mowa w art. 22 ust. 1 i 4 RODO oraz w przypadku zautomatyzowanego podejmowania decyzji – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. 

3. Dodatkowo, jeżeli ma to zastosowanie o:

1) zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej 

2) prawie do cofnięcia zgody na przetwarzanie danych osobowych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem – jeżeli podstawą przetwarzania danych osobowych jest art. 6 ust. 1 lit. a RODO lub art. 9 ust. 2 lit. a RODO;

3) źródłach pochodzenia danych osobowych oraz gdy ma to zastosowanie informacji czy pochodzą one ze źródeł publicznie dostępnych – jeżeli dane osobowe zostały pozyskane z innego źródła niż bezpośrednio od osoby, której dane dotyczą.

4. W przypadku zbierania danych osobowych bezpośrednio od osoby, której dane dotyczą, informacja jest przekazywana przez Administratora podczas pozyskiwania danych osobowych. 

5. W przypadku zbierania danych osobowych z innych źródeł niż od osoby, której dane dotyczą informacja jest przekazywana przez Administratora: 

1) w rozsądnym terminie, nie później jednak niż w ciągu miesiąca od dnia pozyskania danych; 

2) najpóźniej przy pierwszej komunikacji z osobą, której dane dotyczą, jeżeli dane osobowe mają być wykorzystywane do komunikacji z taką osobą; 

3) najpóźniej przy pierwszym ujawnieniu danych, jeżeli Administrator planuje ujawnienie danych osobowych innemu podmiotowi. 

6. Administrator Danych przekazuje informację w zwięzłej, przejrzystej, zrozumiałej i dostępnej formie, jasnym i prostym językiem. Komunikacja w tym zakresie odbywa się w języku polskim, w dowolnej formie pisemnej, dokumentowej (elektronicznej) lub ustnej. W szczególności informacja może być udzielona poprzez: 

1) odrębny dokument przekazany osobie, której dane dotyczą w formie pisemnej lub dokumentowej, w tym w wiadomości tekstowej lub e-mail; 

2) klauzulę informacyjną zawartą w dokumentach przeznaczonych dla osoby, której dane dotyczą; 

3) klauzulę informacyjną zamieszczoną w systemie teleinformatycznym do której dostęp ma osoba, której dane dotyczą; 

4) komunikat głosowy przekazany telefonicznie lub osobiście po potwierdzeniu tożsamości osoby, której dane dotyczą. 

7. Administrator Danych zobowiązany jest do umożliwienia osobom, których dane są przetwarzane zapoznania się z informacją dotyczącą przetwarzania ich danych, jednakże  nie ma obowiązku wykazania, że informowane osoby faktycznie zapoznały się z treścią informacji dotyczącej przetwarzania danych osobowych.

8. Administrator Danych może odstąpić od skierowania do osoby, której dane dotyczą części lub całości informacji dotyczącej przetwarzania danych na podstawie art. 15 ust. 4 RODO, jeżeli jest w stanie wykazać, że spełniona została minimum jedna z poniższych przesłanek: 

1) osoba, której dane dotyczą posiada przekazywane informacje; 

2) udzielenie informacji osobie, której dane dotyczą, iż przetwarza jej dane osobowe uzyskane ze źródeł innych niż ta osoba jest niemożliwe lub wymagałoby niewspółmiernego dużego wysiłku albo wymagałoby pozyskiwania informacji dodatkowych z innych źródeł zewnętrznych. 

9. Jeśli Administrator danych przetwarza dane osobowe niepozwalające mu na identyfikację osoby, której dane dotyczą, nie ma on obowiązku pozyskania dodatkowych informacji w celu realizacji obowiązku informacyjnego z innych źródeł (przykładowo poszukiwania adresu korespondencyjnego, adresu e-mail, numeru telefonu itp.)

§ 3. Ogólne zasady realizacji praw osób innych niż spełnianie obowiązku informacyjnego: 

1. Osoba, której dane dotyczą może zgłosić żądanie zrealizowania powyższych uprawnień, tzn. może złożyć wniosek w następujący sposób:

a. osobiście, poprzez wypełnienie WNIOSKU O REALIZACJĘ PRAW OSOBY, KTÓREJ DANE DOTYCZĄ, przedłożonego wnioskodawcy przez pracownika sekretariatu, który ma obowiązek ustalenia tożsamości wnioskodawcy prosząc go o okazanie stosownego dokumentu np.: dowodu osobistego, paszportu lub prawa jazdy;

b. poprzez wiadomość e-mail przesłaną na adres rodo@sim.com.pl, pod warunkiem, iż możliwe jest potwierdzenie tożsamości wnioskodawcy alternatywnym kanałem komunikacji wskazanym przez osobę, której dane dotyczą, w przypadku braku takiego kanału Koordynator ds. Ochrony Danych wysyła do wnioskodawcy wniosek poprzez wiadomość e-mail o wskazanie takiego kanału aby możliwe było ustalenie tożsamości osoby składającej wniosek;

c. na piśmie lub WNIOSKU pobranym ze strony internetowej, przekazanym osobiście lub poprzez operatora pocztowego, jeżeli potwierdzenie tożsamości wnioskodawcy jest możliwe alternatywnym kanałem komunikacji wskazanym przez osobę, której dane dotyczą.

2. Wniosek skierowany do SIM podlega realizacji przez Koordynatora ds. Ochrony Danych, po uprzednim zweryfikowaniu tożsamości osoby, której dane dotyczą.  

3. Odpowiedź na złożony wniosek, jest udzielana tą samą drogą, którą wpłynął wniosek lub drogą wskazaną przez wnioskodawcę i następuje w terminie 1 miesiąca od dnia wpływu wniosku. Z uwagi na dużą liczbę żądań lub skomplikowany charakter żądania, termin na udzielenie odpowiedzi może zostać przedłużony o kolejne 2 miesiące. Przed upływem 1 miesiąca, licząc od wpływu wniosku Koordynator informuje o tym fakcie wnioskodawcę wraz z podaniem przyczyn przedłużenia. 

4. Wszystkie wnioski są wolne od opłat, jednakże w przypadku, gdy żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, a w szczególności gdy żądanie ma swoją powtarzalność SIM może:

1) ustalić wysokość opłaty do pobrania, uwzględniając administracyjne koszty obsługi żądania, koszty prowadzenia komunikacji lub koszty wynikające z podjęcia żądanych działań. W przypadku ustalenia opłaty, Administrator Danych informuje osobę, której dane dotyczą, w terminie 1 miesiąca od wpływu wniosku, o wysokości opłaty, wskazując podstawy uznania żądania za nadmierne lub nieuzasadnione, przed realizacją żądania;

2) odmówić podjęcia działań, w przypadku odmowy podjęcia działań, Administrator Danych informuje osobę, której dane dotyczą, w terminie 1 miesiąca od wpływu wniosku, o odmowie podjęcia działań, wskazując podstawy uznania żądania za nadmierne lub nieuzasadnione, przed realizacją żądania.

5. Administrator Danych informuje o sprostowaniu lub usunięciu danych osobowych lub ograniczeniu przetwarzania danych osobowych każdego odbiorcę, któremu ujawniono dane osobowe, chyba że w wyjątkowych przypadkach okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku. Administrator Danych informuje osobę, której dane dotyczą, o tych odbiorcach, jeżeli tego zażąda.

6. Realizacja przedmiotowych praw nie może niekorzystnie wpływać na prawa i wolności innych osób, nie może także naruszać tajemnicy przedsiębiorstwa, własności intelektualnej czy praw autorskich.

§ 4. Opis postępowania w celu realizacji praw osób, których dane dotyczą. 

1. Realizacja prawa dostępu do danych osobowych: 

1.1. Osoba, której dane dotyczą, może zwrócić się do SIM z wnioskiem o dostęp do danych jej dotyczących.

1.1. W ramach przedmiotowego prawa wnioskodawca jest uprawniony do uzyskania dostępu do danych osobowych oraz następujących informacji:

1.1.1. cele przetwarzania;

1.1.2. kategorie danych osobowych;

1.1.3. informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych oraz podjętych w związku z tym zabezpieczeniach;

1.1.4. w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu;

1.1.5. informacje o prawie do żądania od Administratora Danych sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania;

1.1.6. informacje o prawie wniesienia skargi do organu nadzorczego;

1.1.7. jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle;

1.1.8. informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 Rozporządzenia, oraz przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

1.2. Przed podaniem informacji możliwe jest zwrócenie się do wnioskodawcy z prośbą o sprecyzowanie informacji lub czynności przetwarzania, których dotyczy żądanie.

1.3. Załącznikiem do udzielanej odpowiedzi jest kopia danych osobowych w formie zaszyfrowanej podlegających przetwarzaniu.

2. Realizacja prawa do sprostowania danych osobowych: 

2.1. Osoba, której dane dotyczą, może zwrócić się do SIM z wnioskiem o sprostowanie swoich danych osobowych. 

2.3. Poprzez sprostowanie danych osobowych należy rozumieć:

2.3.1. poprawienie nieprawidłowych danych osobowych lub 

2.3.2. uzupełnienie niekompletnych danych osobowych. 

3. Realizacja prawa do usunięcia danych (do „bycia zapomnianym”): 

3.1. Osoba, której dane dotyczą, może zwrócić się do SIM z wnioskiem o usunięcie swoich danych osobowych.

3.2. Osoba realizująca wniosek wskazuje zakres danych osobowych możliwych do usunięcia, z zastrzeżeniem, że usunięcie danych osoby możliwe jest tylko w przypadku wystąpienia jednej z przesłanek:

3.2.1. dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;

3.2.2. osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a Rozporządzenia i nie ma innej podstawy prawnej przetwarzania;

3.2.3. osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania na mocy art. 21 Rozporządzenia i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania;

3.2.4. dane osobowe były przetwarzane niezgodnie z prawem;

3.2.5. dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego;

dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1 Rozporządzenia.

3.3. Odmowa uwzględnienia całości lub części wniosku może wynikać w szczególności z faktu, że dalsze przetwarzanie danych osobowych jest niezbędne:

3.3.1. do korzystania z prawa do wolności wypowiedzi i informacji;

3.3.2. do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy przepisów prawa lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy wykonawczej powierzonej Administratorowi Danych;

3.3.3. do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych;

3.3.4. do ustalenia, dochodzenia lub obrony roszczeń.

3.4. Po ustaleniu zakresu możliwych do usunięcia danych osobowych, z uwzględnieniem prawnie uzasadnionych interesów realizowanych przez Administratora Danych lub przez stronę trzecią, dane te są niezwłocznie usuwane ze wszystkich nośników, na których się znajdują, niezależnie od ich formy.

3.5. W celach dowodowych zachowuje się wniosek osoby oraz treść odpowiedzi, co nie rodzi niezgodności z obowiązującymi przepisami w zakresie ochrony danych osobowych.

4. Realizacja prawa do ograniczenia przetwarzania danych osobowych: 

4.1. Osoba, której dane dotyczą, może zwrócić się do SIM z wnioskiem o ograniczenie przetwarzania swoich danych osobowych.

4.2. Osoba, której dane dotyczą, ma prawo żądania ograniczenia przetwarzania danych osobowych w następujących przypadkach:

4.2.1. osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający sprawdzić prawidłowość tych danych;

4.2.2. przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;

4.2.3. Administrator Danych nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;

4.2.4. osoba, której dane dotyczą wniosła sprzeciw na mocy art. 21 ust. 1 Rozporządzenia wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie Administratora Danych są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą.

4.3. Przed uchyleniem ograniczenia przetwarzania danych osobowych Administrator Danych informuje o tym wnioskodawcę.

5. Realizacja prawa do przenoszenia danych: 

5.1. Osoba, której dane dotyczą, może zwrócić się do SIM z wnioskiem o udostępnienie lub przesłanie do innego administratora swoich danych osobowych.

5.2. Wniosek jest rozpatrywany pozytywnie, gdy przetwarzanie odbywa się w sposób zautomatyzowany na podstawie zgody osoby (art. 6 ust. 1 lit. a Rozporządzenia) lub zawartej umowy (art. 6 ust. 1 lit. b Rozporządzenia). Przeniesieniu podlegają dane osobowe, które podmiot danych sam dostarczył Administratorowi Danych (dane przekazane aktywnie i świadomie przez osobę, której dane dotyczą, oraz wygenerowane poprzez jej działanie – zaobserwowane w związku z korzystaniem przez nią z usług lub urządzeń). Prawo do przenoszenia danych osobowych nie obejmuje danych osobowych wytworzonych przez SIM, czyli uzyskanych w wyniku wtórnego przetwarzania danych pozyskanych.

5.3. Osoba realizująca wniosek przygotowuje plik z danymi osobowymi wnioskodawcy i zapisuje go w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, np. CSV, XML.

5.4. Zależnie od treści wniosku, dane osobowe są przekazywane osobie, której dane dotyczą, lub wskazanemu przez nią administratorowi.

5.5. Przekazanie lub przesłanie pliku do innego administratora realizowane jest w sposób zapewniający bezpieczeństwo danych osobowych.

5.6. Realizacja przedmiotowego prawa nie oznacza automatycznego usunięcia danych osoby, które przetwarzane są przez Administratora Danych.

6. Realizacja prawa do sprzeciwu wobec przetwarzania danych osobowych:

6.1. Osoba, której dane dotyczą, może złożyć wniosek, w którym sprzeciwia się przetwarzaniu swoich danych osobowych, w tym profilowaniu.

6.2. Realizacja przedmiotowego prawa jest możliwa, gdy przetwarzanie jest realizowane w związku z prawnie uzasadnionym interesem realizowanym przez SIM, który nie jest nadrzędny wobec interesów, praw i wolności osoby, której dane dotyczą (art. 6 ust. 1 lit. f Rozporządzenia). W związku z tym Administrator Danych odmawiając zaprzestania przetwarzania danych osobowych może powołać się na:

6.2.1. istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania danych osobowych, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub

6.2.2. istnienie podstaw do ustalenia, dochodzenia lub obrony roszczeń.

6.3. Jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść skutecznie sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim.

7. Realizacja prawa do niepodlegania decyzji, opartej na zautomatyzowanym przetwarzaniu w tym profilowaniu: 

7.1. Realizacja przedmiotowego prawa nie będzie miała miejsca w sytuacji, w której przetwarzanie danych osobowych:

7.1.1. nie jest w pełni zautomatyzowane, tj. finalną decyzję podejmuje człowiek na podstawie wyników zautomatyzowanego przetwarzania oraz innych czynników;

7.1.2. nie rodzi wobec osoby skutków prawnych ani też znacząco na nią nie wpływa;

7.1.3. jest niezbędne do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a SIM (podstawą przetwarzania jest art. 6 ust. 1 lit. b Rozporządzenia);

7.1.4. jest dozwolone przepisami prawa (podstawą przetwarzania jest art. 6 ust. 1 lit. c Rozporządzenia) i przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą;

7.1.5. opiera się na wyraźnej zgodzie osoby, której dane dotyczą (podstawą przetwarzania jest art. 6 ust. 1 lit. a Rozporządzenia).