Obvezujuća korporativna pravila

Adekvatna i jedinstvena razina zaštite podataka

Tvrtka Fresenius slijedi brojne zakone o zaštiti podatka širom svijeta. Obvezujuća korporativna pravila postavljaju jedinstvenu i adekvatnu razinu zaštite podataka. To omogućuje internu razmjenu osobnih podataka između Fresenius pravnih osoba (entiteta).

Primjenjiva u cijelom svijetu

Obvezujuća korporativna pravila primjenjuju se na sljedeće Fresenius pravne osobe (entitete):

• Fresenius Kabi AG, uključujući sva društva-kćeri/podružnice 
• Fresenius Digital Technology GmbH
• Fresenius SE & Co. KGaA

Primjenjiva na određene aktivnosti

Obvezujuća korporativna pravila primjenjuju se na sljedeće aktivnosti obrade osobnih podataka: 

• sve aktivnosti pravnih osoba (entiteta) u Europi
• aktivnosti pravnih osoba (entiteta) van Europe:
  • • kada prikupljaju osobne podatke u ime neke Fresenius pravne osobe u Europi ili 
    • kada surađuju s nekom Fresenius pravnom osobom u Europi
    • kada primaju osobne podatke od europskih pravnih osoba
    • kada prikupljaju osobne podatke od ljudi koji se nalaze u Europi za nuđenje roba i usluga ili u vezi s postupcima nadzora

OKP se primjenjuju na sve poslovne procese koji uključuju podatke u papirnatoj formi kao i na procese koji se baziraju na infomacijskoj tehnologiji (IT procesi).

OKP primjenjuju se na sve procese koji omogućuju strukturirano pretraživanje osobnih podataka.

Obvezujuća korporativna pravila postavljaju minimalnu razinu

Ako lokalni zakoni o zaštiti podataka zahtijevaju stroža ili dodatna pravila o obradi osobnih podataka, i ona se moraju dodatno slijediti.

Ako lokalni zakon proturječi Obvezujućim korporativnim pravilima, potrebno je obavijestiti Službenika za zaštitu podataka. U tom slučaju, Službenik za zaštitu podataka će izvršiti dodatnu provjeru i procjenu, te donijeti zaključak o istom.

Ako neka pravna osoba primi nalog nadležnog tijela za otkrivanjem osobnih podataka koji nije u skladu sa zahtjevima Obvezujućih korporativnih pravila, Službenik za zaštitu podataka obavijestit će nadzorno tijelo u Njemačkoj.

Obvezujuća korporativna pravila obvezujuća su za organizaciju i naše zaposlenike

Obvezujuća korporativna pravila obavezna su i obvezujuća za:

• sve Fresenius pravne osobe: potpisuju ugovor
• sve zaposlenike: imaju dužnost slijediti korporativne politike na temelju svojih ugovora o zaposlenju

Organizacije i ljudi mogu imati prava na temelju ovih obveza. 
Provedba Obvezujućih korporativnih pravila i moguće sankcije zbog njihove povrede iste su kao i za kršenje bilo koje druge politike.

Fresenius grupa uspostavila je internu organizaciju za zaštitu podataka te je dodijelila sljedeće uloge i odgovornosti:

• Službenik za zaštitu podataka (Data Protection Officer) nadzire, tj. provjerava i nadgleda slijede li se Obvezujuća korporativna pravila, lokalni zakoni, pravila i procesi. Službenik za zaštitu podataka može provoditi audite, provjere i istrage. Službenik za zaštitu podataka također je kontaktna osoba za nadležna tijela za zaštitu podataka u Europi. Podaci za kontakt su:
  
  Službenik za zaštitu podataka:
  Else-Kröner-Str. 1
  61352 Bad Homburg v.d.H.
  Njemačka
  ili elektroničkom poštom:
  Za Fresenius SE i Netcare: dataprotectionofficer@fresenius.com
  Za Fresenius Kabi pravne osobe: dataprotectionofficer@fresenius-kabi.com
   
• Lokalni savjetnik za zaštitu podataka (Local Data Privacy Advisor) pruža pomoć i savjete zaposlenicima te vlasnicima procesa kad god imaju pitanja ili dvojbi u vezi sa zaštitom podataka. Ako je potrebno, Lokalni savjetnik za zaštitu podataka podržava Savjetnika za zaštitu podataka i Službenika za zaštitu podataka, npr. na zahtjev, u njihovoj funkciji nadzora te kontaktira nadležna tijela, npr. zbog poznavanja lokalnog jezika ili prijevoda.

Savjetnik za zaštitu podataka (Data Privacy Advisor) pruža podršku i savjetovanje Lokalnim savjetnicima za zaštitu podataka te je odgovoran za sustav upravljanja zaštitom podataka. Ako je potrebno, Savjetnik za zaštitu podataka podržava Službenika za zaštitu podataka na njegov zahtjev u njegovoj funkciji nadzora te kontaktira nadležna tijela, npr. zbog poznavanja lokalnog jezika ili prijevoda.

Prilikom obrade osobnih podataka slijedit ćemo načela zaštite temeljnih prava i sloboda pojedinaca, u skladu s Obvezujućim korporativnim pravilima. Svaka pravna osoba mora se pridržavati sljedećih načela prilikom obrade osobnih podataka:

1. načelo: Zakonitost

Kod prikupljanja, korištenja i obrade osobnih podataka nužno je imati dokumentiranu pravnu osnovu. Popis ovih pravnih osnova je ograničen. Primjeri su: 

• obrada je potrebna za provođenje ugovora s pojedincem, poput ugovora o zaposlenju i prodajnih ugovora
• pojedinac je dao privolu
• legitimni interesi tvrtke Fresenius Kabi veći su od negativnih posljedica za pojedince
• potreba za ispunjavanjem drugih zakonskih obveza, poput poreznih zakona, zahtjeva vigilancije ili zahtjeva dobre prakse (GxP).

Posebne kategorije podataka, poput zdravstvenih podataka, trebaju dodatnu pravnu osnovu.
Ako lokalni zakoni zahtijevaju dodatne ili divergentne odredbe, njih je također potrebno slijediti (to može, primjerice, biti važno za podatke zaposlenika).

2. načelo: Transparentnost i poštenje

S osobnim podacima postupamo pošteno i transparentno. Prije ili u trenutku prikupljanja i korištenja osobnih podataka, potrebno je vlasnika osobnih podataka (ispitanika) obavijestiti o sljedećem: 

• tko je odgovoran i kako nas mogu kontaktirati
• koji se podaci prikupljaju
• kako se podaci prikupljaju
• zašto nam podaci trebaju (svrha)
• s kojim se organizacijama podaci dijele
• dijele li se s drugim zemljama
• koliko će se dugo podaci čuvati
• pravna osnova za prikupljanje i korištenje podataka te objašnjenje toga (1. načelo)
• izrađuju li se profili osoba
• donose li se kakve odluke na automatiziran način
• moraju li se podaci dati i što će se dogoditi ako se ne daju
• podaci za kontakt Službenika za zaštitu podataka i nadležnog tijela
• koja prava pojedinci imaju

Sve ove informacije moraju se dati na opsežan i lako pristupačan način, koristeći jasan i lako razumljiv jezik.

3. načelo: Ograničenje svrhe

Osobni podaci koriste se samo za navedene, izričite i legitimne svrhe za koje su i prikupljeni. Daljnje korištenje nije dozvoljeno, osim ako je takvo daljnje korištenje u skladu s izvornom svrhom i/ili poduzete su dodatne mjere.
Svrhe za daljnju obradu koje se u pravilu smatraju sukladnima s izvornom svrhom su: 

• arhiviranje
• interni auditi/revizije
• istrage

(Lokalni) savjetnik za zaštitu podataka dat će informaciju je li promjena svrhe mogla biti dozvoljena. U slučaju dozvoljene promjene svrhe, osobe moraju biti obaviještene o svakoj takvoj promjeni.

4. načelo: Minimiziranje podataka

Prikupljamo i koristimo samo osobne podatke koji su nužni za definiranu svrhu priopćenu pojedincu. To znači da treba osigurati da su osobni podaci relevantni te da nisu prekomjerni s obzirom na svrhu.

5. načelo: Točnost

Osobni podaci moraju biti točni i ažurirani. Moraju se implementirati postupci koji će osigurati brisanje, ispravak ili ažuriranje netočnih podataka bez odgode.

6. načelo: Ograničenje čuvanja

Osobni podaci ne smiju se čuvati dulje nego je potrebno za svrhu u koju su prikupljeni, osim ako zakon tako zahtjeva. U takvom slučaju pristup podacima mora biti ograničen. Ako nema pravne osnove ili svrhe za prikupljanje osobnih podataka, tada oni moraju biti izbrisani ili anonimizirani.

7. načelo: Sigurnost, integritet i povjerljivost

Odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka od uništenja, gubitka, izmjene ili pristupa osobnim podacima (npr. putem odgovarajućeg koncepta uloga i prava, pričuvne kopije i vraćanja stanja ili uporabom enkripcije) moraju biti osigurane. 
Prilikom implementacije takvih mjera, u obzir se moraju uzeti rizici za pojedinca, vlasnika osobnih podataka. Potrebno je osigurati sigurnost IT sustava u skladu s ovim rizicima prilikom postavljanja i održavanja IT sustava. 
Potrebno je prijaviti i dokumentirati svaku povredu sigurnosti koja predstavlja rizik za pojedinca na kojeg se podaci odnose. Ovisno o situaciji, u takvim slučajevima potrebno je također obavijestiti nadzorno tijelo, pojedinca na koje se podaci odnose ili druge organizacije.

8. načelo: Odgovornost

Naša je odgovornost moći dokazati usklađenost s Obvezujućim korporativnim pravilima. To je moguće uz izradu i održavanje odgovarajuće dokumentacije kao što je: 

• evidencija aktivnosti obrade (popis procesa koji uključuju prijenos osobnih podataka)
• tehničke i organizacijske mjere poduzete radi usklađenosti s načelima zaštite podataka i za identifikaciju rizika
• procjena rizika i kontrole zaštite podataka

Izbor izvršitelja obrade

Potrebno je izabrati samo izvršitelje obrade koji jamče implementaciju odgovarajućih tehničkih i organizacijskih mjera na takav način da obrada podataka ispunjava zahtjeve Obvezujućih korporativnih pravila i lokalne zakone o zaštiti podataka. To se mora osigurati ugovorom o zaštiti podataka između odgovarajuće pravne osobe i izvršitelja obrade.

Prijenosi osobnih podataka 

Potrebno je implementirati mjere koje će adekvatno štititi prijenose osobnih podataka drugim organizacijama koje se nalaze izvan Europskog gospodarskog prostora (EEA)-a u skladu s ovim Obvezujućim korporativnim pravilima. To se može napraviti tako da se s drugom organizacijom ugovore standardne ugovorne klauzule koje je usvojila Europska komisija.

Procjena rizika za zaštitu podataka

Za svaku aktivnost obrade podataka potrebno je provesti procjenu rizika zaštite podataka. Ova procjena je formalan proces kojim se procjenjuje učinak te aktivnosti na prava i slobode ispitanika na koje se odnose osobni podaci.

Uočeni nedostaci i mogući rizici moraju se prijaviti i dokumentirati. Nužno je implementirati tehničke i organizacijske mjere za umanjivanje rizika prije nego započne aktivnost obrade podataka.

Procjene učinka na zaštitu podataka

Ako je rezultat procjene rizika zaštite podataka visoki rizik, potrebno je provesti procjenu učinka na zaštitu podataka (Data Protection Impact Assessment). Potrebno je zatražiti savjet Službenika za zaštitu podataka.

Ako se procjenom učinka na zaštitu podataka uoči visok rizik određene aktivnosti obrade podataka, moraju se implementirati adekvatne mjere za umanjivanje takvih rizika prije početka aktivnosti obrade. Ako procjena učinka na zaštitu podataka i dalje ukazuje na visok rizik nakon implementacije mjera, potrebno je konzultirati nadzorno tijelo prije obrade podataka.

Ispitanici odnosno vlasnici osobnih podataka moraju imati mogućnost ostvarenja svojih prava (prava ispitanika):

• Pravo na pristup osobnim podacima: Pojedinac može zatražiti uvid u osobne podatke koje tvrtka Fresenius Kabi obrađuje (npr. svrha obrade, uključene kategorije osobnih podataka, primatelji, razdoblja čuvanja, postojanje automatiziranog donošenja odluka).
• Pravo na ispravak osobnih podataka: Pojedinac može zatražiti ispravak netočnih ili nepotpunih osobnih podataka.
• Pravo na brisanje osobnih podataka: Pojedinac može zatražiti brisanje svojih osobnih podataka, osim ako se moraju zadržati, npr. zbog zakonske obveze čuvanja. 
• Pravo na ograničenje obrade osobnih podataka: Pojedinac može zatražiti ograničenje obrade svojih osobnih podataka u slučaju osporavanja točnosti osobnih podataka ili nezakonite obrade (koja više nije potrebna za odnosne svrhe).
• Pravo dobivanja osobnih podataka u prenosivom formatu: Pojedinac može zatražiti primanje svojih osobnih podataka u uobičajeno upotrebljavanom i čitljivom formatu, ako su ispunjeni sljedeći uvjeti: 
  • pojedinac je ustupio osobne podatke,
  • obrada se temelji na suglasnosti pojedinca ili na ugovoru s pojedincem,
  • obrada se provodi na automatiziran način.
• Pravo prigovora na obradu osobnih podataka: Pojedinac može, zbog svoje osobne situacije, uložiti prigovor na obradu svojih osobnih podataka na temelju legitimnog ili javnog interesa. Takav se zahtjev mora procijeniti. Nadalje, pojedinac može prigovoriti na izravni marketing i izradu profila. Obrada se tada mora zaustaviti.
• Pravo izuzeća od automatiziranog donošenja odluka: Pojedinac ima pravo biti izuzet od automatiziranog donošenja odluka (uključujući izradu profila) koje bi moglo dovesti do pravnih ili sličnih značajnih učinaka na pojedinca, osim:
  • ako je potrebno za sklapanje ili provođenje ugovora između pojedinca i odnosne pravne osobe,
  • ako se temelji na izričitoj suglasnosti pojedinca.

Pristup Obvezujućim korporativnim pravilima

Obvezujuća korporativna pravila moraju biti dostupna pojedincima na odgovarajući način. Obvezujuća korporativna pravila objavljena su na internetu i intranetu. 
Pojedinci također mogu pristupiti Obvezujućim korporativnim pravilima tako da kontaktiraju Službenika za zaštitu podataka ili bilo kojeg člana organizacije za zaštitu podataka. 

Postupanje s pritužbama na Obvezujuća korporativna pravila

Svaki pojedinac ima pravo:

• navesti povredu Obvezujućih korporativnih pravila, lokalnih zakona o zaštiti podataka, naloga nadzornih tijela, internih politika i smjernica ili dobrovoljno preuzetih obveza u vezi sa zaštitom podataka
• ukazati na svoja individualna prava
• ostvariti bilo koje drugo pravo prema Obvezujućim korporativnim pravilima.

Sve takve pritužbe mogu se podnijeti npr. telefonski, elektroničkom poštom ili pismom, usmeno Službeniku za zaštitu podataka, Lokalnom savjetniku za zaštitu podataka ili dežurnom broju za usklađenost poslovanja (compliance hotline).
U slučaju da se pritužba smatra opravdanom, pravna osoba poduzet će odgovarajuće mjere za rješavanje pritužbe te obavijestiti pojedinca o ishodu unutar mjesec dana.

Dužnost i provedba

Pojedinci kojima je nanesena šeta ili su pretrpjeli štetu kao rezultat obrade svojih osobnih podataka imaju pravo provesti odredbe ovih dijelova Obvezujućih korporativnih pravila i, ako je primjenjivo, primiti naknadu pred nadležnim sudom.
U slučaju dokazanih povreda koje su počinile strane s područja izvan EU-a/EGP-a, FSE prihvaća odgovornost i dužnost za sve odštete pojedincima. Pravna osoba koja je uzrokovala štetu dužna je pružiti razumnu pomoć FSE-u u pravovremenom odgovaranju na takve pritužbe ili zahtjeve.

Suradnja s nadzornim tijelima

Svaka pravna osoba mora surađivati s nadzornim tijelima, pridržavati se savjeta u vezi s tumačenjem ovih Obvezujućih korporativnih pravila i prihvatiti podvrgavanje reviziji od strane odnosnih nadzornih tijela.

Edukacija

Svaka pravna osoba dužna je uključiti i obvezati svoje zaposlenike na sudjelovanje u edukaciji o Obvezujućim korporativnim pravilima i zaštiti podataka te redovito ponavljati takvu edukaciju. Općenita edukacija mora se pružiti najmanje dvaput godišnje svim odnosnim zaposlenicima. Nadalje, omogućuje se edukacija specifična za ulogu (npr. za odjel ljudskih potencijala ili nabave) uzimajući u obzir specifične potrebe određenih uloga/osoba.

Revizija

Sve strane obvezat će se na redovite revizije (planirane ili ad hoc revizije) kako bi se procijenila i testirala usklađenost s Obvezujućim korporativnim pravilima te implementaciju adekvatnih i dovoljnih mehanizama za ispravak neusklađenosti pravne osobe s Obvezujućim korporativnim pravilima. Organizacija za zaštitu podataka pratit će sve provedene revizije kako bi procijenila jesu li predložene korektivne mjere prikladno implementirane te će dokumentirati sve ishode u izvješću o reviziji. Svaka pravna osoba stavit će izvješća o reviziji na raspolaganje nadzornim tijelima na njihov zahtjev. 

Ažuriranje Obvezujućih korporativnih pravila

Strane će pregledati lokalne zakone o zaštiti podataka te navesti ako su potrebne izmjene Obvezujućih korporativnih pravila. Tvrtka Fresenius može po potrebi izmijeniti i dopuniti Obvezujuća korporativna pravila. Sve značajne promjene Obvezujućih korporativnih pravila odmah se moraju prijaviti svakoj od pravnih osoba te nadzornom tijelu. Sve druge nesuštinske izmjene i dopune Obvezujućih korporativnih pravila prijavljuju se stranama čim je to izvedivo.