Účel směrnice: Účelem této směrnice je stanovit základní pravidla a postupy pro zpracování osobních údajů ve společnosti MATISTOTELES s.r.o. a zajistit soulad s požadavky nařízení GDPR a souvisejících zákonů (zejména zákona č. 110/2019 Sb., o zpracování osobních údajů). Zároveň směrnice upravuje opatření k prevenci legalizace výnosů z trestné činnosti a financování terorismu (AML), aby Společnost plnila povinnosti podle zákona č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti (dále jen „AML zákon“). Směrnice je jedním z organizačních opatření ochrany osobních údajů ve smyslu čl. 32 GDPR a současně vnitřním předpisem k naplnění povinností dle AML zákona.

Působnost: Tato směrnice je závazná pro všechny pracovníky společnosti MATISTOTELES s.r.o. (dále jen „Společnost“), kteří zpracovávají osobní údaje nebo plní jiné činnosti upravené v GDPR či AML zákoně. Každý zaměstnanec či externí spolupracovník Společnosti je povinen se s touto směrnicí seznámit a dodržovat ji. Porušení povinností stanovených touto směrnicí může být považováno za závažné porušení pracovní kázně nebo smluvních povinností. Směrnice se vztahuje na veškeré zpracování osobních údajů prováděné Společností, a to jak automatizovanými, tak neautomatizovanými prostředky, jakož i na všechny činnosti Společnosti spadající pod režim AML zákona.

Termíny, definice a zkratky: Pro účely této směrnice platí následující vymezení pojmů:

• GDPR – Nařízení Evropského Parlamentu a Rady (EU) 2016/679 ze dne 27. 4. 2016 (obecné nařízení o ochraně osobních údajů).
• Osobní údaj – jakákoliv informace o identifikované nebo identifikovatelné fyzické osobě (subjektu údajů); identifikovatelnou fyzickou osobou je taková osoba, kterou lze přímo či nepřímo identifikovat odkazem na určitý identifikátor (např. jméno, identifikační číslo, lokační údaj, síťový identifikátor) nebo jeden či více prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní či společenské identity této fyzické osoby.
• Zpracování osobních údajů – jakákoli operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, která je prováděna pomocí či bez pomoci automatizovaných postupů (např. shromažďování, zaznamenání, uspořádání, uložení, přizpůsobení či pozměnění, vyhledání, nahlédnutí, použití, předání, šíření, seřazení, kombinování, omezení, výmaz nebo zničení osobních údajů).
• Správce – ten, kdo určuje účel a prostředky zpracování osobních údajů (pro účely této směrnice jde o naši Společnost jakožto správce údajů svých klientů, zaměstnanců apod.).
• Zpracovatel – subjekt, který zpracovává osobní údaje pro Správce na základě jeho pokynů (typicky externí služba zpracovávající údaje – účetní firma, poskytovatel IT úložiště, právní zástupce, apod., s nímž má Společnost uzavřenu smlouvu o zpracování osobních údajů).
• Subjekt údajů – každá fyzická osoba, o níž jsou zpracovávány osobní údaje (např. zákazník, uživatel webu, zaměstnanec).
• Pracovník – pro účely této směrnice jakákoli osoba, která vykonává činnost pro Společnost, zejména zaměstnanec v pracovním poměru, osoba pracující na dohodu, externí konzultant či dodavatel služeb, pokud při své činnosti přichází do styku s osobními údaji či s procesy spadajícími pod GDPR/AML.
• Dozorový úřad – Úřad pro ochranu osobních údajů (ÚOOÚ), který v ČR vykonává dozor nad dodržováním GDPR a zákona o zpracování osobních údajů. (V textu dále též „ÚOOÚ“ nebo „dozorový úřad“.)
• DPO – Data Protection Officer, neboli pověřenec pro ochranu osobních údajů ve smyslu čl. 37 GDPR. (Pozn.: Společnost MATISTOTELES s.r.o. není povinna pověřence jmenovat, neboť nespadá do kategorií správců uvedených v čl. 37 GDPR; může však pověřence ustanovit dobrovolně. V době vydání této směrnice nemá Společnost jmenován žádný DPO. Pokud by byl v budoucnu jmenován, budou jeho údaje a povinnosti doplněny do této směrnice.)
• Společnost – obchodní společnost MATISTOTELES s.r.o., IČO: 245 92 269, se sídlem Římská 1222/33, Vinohrady, 120 00 Praha 2, zapsaná v OR vedeném Městským soudem v Praze, oddíl C, vložka 443776. Společnost v čele se svým statutárním orgánem (jednatelem Mateuszem Leonem Jagodou) nese odpovědnost za plnění povinností dle této směrnice.
• Povinná osoba (dle AML) – osoba povinná podle AML zákona; v rámci této směrnice jde o Společnost MATISTOTELES s.r.o., pokud vystupuje v situacích, kdy na ni dopadají povinnosti dle AML zákona (zejména při uskutečnění obchodu v hotovosti v hodnotě ≥ 10 000 EUR nebo při jiných činnostech vyjmenovaných v § 2 AML zákona).
• Klient – fyzická nebo právnická osoba, se kterou Společnost navazuje obchodní vztah či provádí jednorázový obchod spadající pod AML zákon (typicky zákazník nakupující zboží nad stanovený limit v hotovosti, případně jiný partner, u něhož je nutno provést identifikaci a kontrolu dle AML).
• Identifikace a kontrola klienta – postupy podle AML zákona (§ 7 a § 9 a násl. AML zákona) zahrnující zjištění a ověření totožnosti klienta (popř. jeho zástupce či skutečného majitele), získání informací o účelu a povaze obchodu, případně zjištění původu finančních prostředků a vyhodnocení, zda klient není politicky exponovanou osobou či osobou ze sankčních seznamů.
• Neobvyklá (podezřelá) transakce – obchod nebo jednání klienta, které vzbuzuje podezření na legalizaci výnosů nebo financování terorismu; definice dle § 6 AML zákona. Může jít např. o transakci neodpovídající povaze či objemu obvyklému pro daného klienta, rozdělení plateb těsně pod limit, neochotu poskytnout identifikační údaje apod.
• FAÚ – Finanční analytický úřad, státní orgán příslušný pro přijímání hlášení o podezřelých obchodech a kontrolu plnění povinností podle AML zákona.

Zásady zpracování osobních údajů ve Společnosti: Veškeré zpracování osobních údajů provádí Společnost v souladu s principy stanovenými v čl. 5 GDPR:

1. Zákonnost, korektnost a transparentnost – Osobní údaje zpracováváme vždy na základě některého z právních důvodů dovolených právními předpisy (zejména čl. 6 GDPR) a vůči subjektům údajů jednáme korektně a otevřeně. Vůči zákazníkům, zaměstnancům i jiným subjektům plníme svoji informační povinnost dle čl. 13 a 14 GDPR (subjekty údajů jsou srozumitelně informovány o účelech zpracování, svých právech atd., zpravidla prostřednictvím dokumentu Zásady zpracování osobních údajů dostupného na našem webu, případně individuálním poučením).
2. Účelové omezení – Osobní údaje shromažďujeme a zpracováváme pouze k jasně vymezeným a legitimním účelům a dále je nezpracováváme způsobem, který by byl s těmito účely neslučitelný. Konkrétní účely zpracování v rámci Společnosti určují členové statutárního orgánu nebo jimi výslovně pověřené osoby. Tyto osoby rovněž určují, jaké osobní údaje a jak dlouho budou pro daný účel zpracovávány, a zajišťují, že evidence těchto informací je vedena (např. v tzv. záznamech o činnostech zpracování podle čl. 30 GDPR – viz dále).
3. Minimalizace údajů – Zpracováváme osobní údaje pouze v rozsahu, který je nezbytný pro naplnění daného účelu. Pracovníci smějí zpracovávat jen ty osobní údaje, které skutečně potřebují ke splnění svých pracovních povinností. Společnost implementovala omezení přístupů: zaměstnanci mají přístup pouze k těm databázím či složkám, které jsou relevantní pro jejich pracovní roli.
4. Přesnost – Udržujeme osobní údaje přesné a aktuální. Pokud zjistíme nebo obdržíme informaci, že některý osobní údaj je nepřesný či neaktuální, zajistíme jeho opravu nebo výmaz bez zbytečného odkladu. Každý zaměstnanec, který zjistí nepřesnost či neúplnost osobních údajů, je povinen to nahlásit nadřízenému nebo příslušné pověřené osobě (např. odpovědnému manažerovi, případně pověřenci, pokud by byl ustanoven), aby mohla být sjednána náprava.
5. Omezení uložení – Osobní údaje uchováváme ve formě umožňující identifikaci subjektů údajů pouze po nezbytnou dobu, která je nutná pro účely, pro které jsou zpracovávány. Tyto doby uchování jsou stanoveny jednak právními předpisy (např. lhůty pro archivaci účetních dokladů, personálních dokumentů apod.), jednak vnitřními předpisy Společnosti (např. v záznamech o činnostech zpracování). Po uplynutí stanovené doby jsou osobní údaje buď bezpečně vymazány, nebo anonymizovány.
6. Integrita a důvěrnost – Osobní údaje zpracováváme způsobem, který zajišťuje jejich náležité zabezpečení, včetně ochrany před neoprávněným či protiprávním přístupem, zneužitím, ztrátou, zničením či poškozením. Za tím účelem Společnost přijala vhodná technická a organizační opatření (viz dále sekce Zabezpečení osobních údajů). Všichni pracovníci jsou povinni zachovávat mlčenlivost o osobních údajích, k nimž při výkonu své práce získají přístup.

Povinnosti a odpovědnost Společnosti jako správce: Statutární orgán Společnosti (jednatel) je odpovědný za zajištění souladu zpracování osobních údajů s GDPR. Jednatel (případně jím pověřená odpovědná osoba) zejména:

• Určuje konkrétní účely a prostředky zpracování pro jednotlivé agendy (evidence) osobních údajů ve Společnosti.
• Dbá na to, aby ke každému zpracování existoval odpovídající právní titul dle čl. 6 GDPR (popř. čl. 9 GDPR pro zvláštní kategorie údajů). Typickými právními důvody v naší Společnosti jsou: plnění smlouvy se subjektem údajů (např. zpracování údajů zákazníků pro účely dodání objednaného zboží), plnění právní povinnosti (vedení účetnictví, hlášení úřadům), oprávněné zájmy Společnosti (např. kamerový monitoring k zajištění bezpečnosti), a souhlas subjektu údajů (zejména pro marketingové účely u osob, které nejsou našimi zákazníky).
• Zajišťuje vedení a aktualizaci Záznamů o činnostech zpracování dle čl. 30 GDPR. Tyto záznamy obsahují přehled jednotlivých zpracování osobních údajů (účel, právní základ, kategorie subjektů a údajů, příjemci, doby uložení atd.). Záznamy spravuje jednatel nebo jím pověřená osoba a jsou k dispozici pro případnou kontrolu ÚOOÚ.
• Přijímá technická a organizační opatření k zabezpečení osobních údajů (viz níže) a průběžně vyhodnocuje jejich účinnost. V této souvislosti provádí hodnocení rizik pro práva a svobody subjektů údajů a zohledňuje je při volbě ochranných opatření (princip privacy by design a by default je uplatňován – např. nové IT systémy jsou vybírány s ohledem na požadavky bezpečnosti a minimalizace údajů).
• Zajišťuje, že Společnost plní informační povinnost vůči subjektům údajů při získání údajů (dle čl. 13/14 GDPR) a řádně vyřizuje žádosti subjektů údajů o výkon jejich práv (dle čl. 15–22 GDPR). Podrobnosti k postupu při žádostech subjektů jsou uvedeny dále.
• V případě, že by určité zpracování osobních údajů mohlo představovat vysoké riziko pro práva a svobody osob, zajistí před jeho zahájením posouzení vlivu na ochranu osobních údajů (DPIA) dle čl. 35 GDPR. To se může týkat např. zavedení nového rozsáhlého monitorovacího systému, profilování zákazníků apod. Pokud by ani po přijetí opatření vyšlo najevo, že vysoké riziko přetrvává, konzultuje jednatel před zahájením zpracování ÚOOÚ (čl. 36 GDPR).
• V případě porušení zabezpečení osobních údajů (tzv. data breach) zajistí jednatel nebo jím pověřená osoba splnění oznamovací povinnosti: ohlášení ÚOOÚ do 72 hodin a případné informování subjektů údajů bez zbytečného odkladu, pokud je pravděpodobné vysoké riziko pro jejich práva (viz kapitola níže Postup při porušení zabezpečení).
• Sleduje právní vývoj a metodická doporučení dozorových orgánů (např. stanoviska ÚOOÚ, Evropského sboru pro ochranu údajů – EDPB) a v reakci na ně aktualizuje tuto směrnici či jiné vnitřní postupy.

Povinnosti zaměstnanců a zpracovatelů: Každý pracovník Společnosti, který při své práci zpracovává osobní údaje, je povinen:

• Zpracovávat osobní údaje pouze v souladu s pokyny Společnosti a v mezích své pracovní náplně. Pracovníci smějí používat osobní údaje jen pro účely, pro které byly shromážděny, a v rozsahu nezbytném pro splnění svých úkolů.
• Zachovávat mlčenlivost o osobních údajích a souvisejících bezpečnostních opatřeních. Tato povinnost trvá i po skončení pracovního poměru či jiné spolupráce se Společností.
• Chrání přístupové údaje k informačním systémům a databázím před zneužitím – pracovník nesmí sdělovat své přihlašovací údaje (hesla) jiné osobě, ani je nikde volně odkládat. Je povinen dodržovat interní zásady pro bezpečná hesla a pravidelně hesla měnit, je-li to vyžadováno.
• Oznamovat zjištění: Pokud pracovník zjistí či má podezření, že v souvislosti se zpracováním osobních údajů došlo k porušení této směrnice či právních předpisů (např. neoprávněný přístup, únik dat, ztráta dokumentu obsahujícího osobní údaje, neoprávněné či nadbytečné zpracování), je povinen tuto skutečnost neprodleně nahlásit nadřízenému nebo příslušné pověřené osobě (viz Příloha 1 – Seznam pověřených osob a jejich rolí). Totéž platí, pokud obdrží od subjektu údajů nějakou žádost či stížnost týkající se jeho osobních údajů – zaměstnanec ji musí neprodleně předat pověřené osobě (typicky manažerovi odpovědnému za vyřizování žádostí subjektů údajů, případně DPO, pokud by byl jmenován).
• Účastnit se školení a vzdělávání v oblasti ochrany osobních údajů a AML (viz dále).

Externí dodavatelé – zpracovatelé osobních údajů (např. účetní firma, poskytovatel IT cloudu) jsou smluvně zavázáni zpracovávat osobní údaje pouze dle pokynů Společnosti, dodržovat bezpečnostní standardy a pomáhat Společnosti v plnění povinností vůči subjektům údajů. Pověřená osoba ve Společnosti (např. jednatel nebo právní oddělení) vede evidenci všech zpracovatelů a uzavřených zpracovatelských smluv. Pracovníci zodpovědní za komunikaci s dodavateli musí dbát na to, aby žádné osobní údaje nebyly předány externí osobě bez zajištění odpovídající smluvní ochrany (s výjimkou případů, kdy externí subjekt je sám nezávislým správcem, např. státní úřad).

Pověřenec pro ochranu osobních údajů (DPO): Vzhledem k povaze činností Společnosti MATISTOTELES s.r.o. (nejde o orgán veřejné moci ani rozsáhlé zpracování citlivých údajů či systematické monitorování osob) není dle čl. 37 GDPR povinné Pověřence jmenovat. Společnost k datu vydání této směrnice nemá DPO ustanoveného. Pokud by v budoucnu Pověřenec jmenován byl (ať již povinně, nebo dobrovolně), budou do směrnice doplněny: identifikační a kontaktní údaje Pověřence a vymezení jeho úkolů v souladu s čl. 39 GDPR. Do té doby plní určité úkoly spojené s dohledem nad ochranou osobních údajů přímo statutární orgán společnosti (jednatel), případně jím pověřený administrativní pracovník. Ten zejména monitoruje soulad zpracování s právními předpisy a touto směrnicí, poskytuje zaměstnancům konzultace ohledně ochrany údajů a může komunikovat s ÚOOÚ (v případě kontroly apod.).

Další pověřené osoby (organizace ochrany údajů): Statutární orgán Společnosti může písemně pověřit konkrétní zaměstnance určitými úkoly v rámci ochrany osobních údajů nebo AML. Typicky Společnost jmenuje: Manažera IT a bezpečnosti, který odpovídá za technická opatření k zabezpečení dat (správu hesel, šifrování, antivirovou ochranu, zálohování apod.); Manažera pro stížnosti a žádosti subjektů údajů, jenž přijímá a vyřizuje žádosti klientů o uplatnění práv; případně Manažera pro AML agendu (viz dále), který dohlíží na implementaci povinností podle AML zákona. Aktuální seznam těchto pověřených osob a jejich konkrétních rolí je uveden v Příloze 1 této směrnice. Všichni zaměstnanci musí vědět, na koho se obrátit v případě řešení konkrétního problému (únik dat, žádost subjektu údajů, podezřelá transakce atd.). V případě, že některý z Manažerů není jmenován, plní jeho funkci a povinnosti jednatel společnosti. 

Evidence a dokumentace: Společnost vede předepsanou dokumentaci o zpracování osobních údajů, zejména:

• Záznamy o činnostech zpracování (čl. 30 GDPR) – viz výše; jsou uloženy u jednatele a pravidelně aktualizovány.
• Záznamy o incidentech – každé porušení zabezpečení osobních údajů (např. ztráta zařízení s daty, neoprávněný přístup) se eviduje v interním seznamu incidentů, včetně popisu události, přijatých opatření a případného ohlášení ÚOOÚ. Tuto evidenci spravuje sekretariát jednatele nebo pověřený bezpečnostní pracovník.
• Záznamy a kopie komunikace se subjekty údajů – veškeré žádosti subjektů údajů a naše odpovědi archivujeme v digitální či písemné podobě tak, abychom mohli doložit splnění povinností (uchování alespoň po dobu 3 let od vyřízení žádosti). Případné opakované žádosti téhož subjektu mohou být zpoplatněny, pokud to zákon umožňuje (standardně při zjevně nedůvodných či přehnaných žádostech – v takovém případě Společnost může účtovat administrativní poplatek nebo žádost odmítnout s odůvodněním).
• Interní směrnice a metodiky – kromě této směrnice může mít Společnost případně další vnitřní předpisy (např. směrnici kybernetické bezpečnosti, etický kodex apod.), které spolu tvoří ucelený rámec compliance. Statutární orgán odpovídá za to, že všechny tyto dokumenty jsou pravidelně revidovány a uvedeny do souladu s aktuální legislativou.

Postup při uplatnění práv subjektů údajů: Každá fyzická osoba, o níž Společnost zpracovává osobní údaje (subjekt údajů), má práva dle kapitoly III GDPR – zejména právo na přístup k údajům, právo na opravu, výmaz, omezení zpracování, přenositelnost a právo vznést námitku či stížnost u ÚOOÚ. Společnost je povinna umožnit subjektům výkon těchto práv.

• Přijímání žádostí: Pokud subjekt údajů podá jakoukoli žádost týkající se jeho osobních údajů (např. zašle e-mail s žádostí o informace, doručí dopis s námitkou, osobně požádá zaměstnance apod.), pracovník, který žádost obdrží, ji neprodleně postoupí pověřené osobě (viz Příloha 1). Typicky vyřizuje tyto žádosti jednatel nebo jím určený manažer pro žádosti subjektů údajů.
• Ověření totožnosti: Před poskytnutím informací či provedením úkonu si Společnost přiměřeně ověří identitu žadatele, aby nedošlo k poskytnutí údajů neoprávněné osobě. Způsob ověření závisí na druhu žádosti a komunikačním kanálu – může zahrnovat kontrolní otázky, požadavek na podpis či elektronický podpis, případně další bezpečnostní prvky.
• Lhůty pro vyřízení: Společnost vyřizuje žádosti bez zbytečného odkladu, nejpozději do 1 měsíce od obdržení žádosti. Ve výjimečných případech (složitá či mnohonásobná žádost) lze lhůtu prodloužit o další dva měsíce, o čemž však Společnost žadatele včas informuje včetně uvedení důvodů prodloužení. Pokud by Společnost žádosti nevyhověla (např. požaduje-li subjekt něco, na co nemá podle GDPR právo, nebo je žádost zjevně nedůvodná), sdělí žadateli důvod zamítnutí a poučení o možnosti stížnosti u ÚOOÚ.
• Forma odpovědi: Informace subjektu údajů poskytujeme zpravidla stejnou formou, jakou byla žádost podána, pokud subjekt neurčí jinak. Tedy přijde-li žádost e-mailem, zašleme odpověď na tutéž e-mailovou adresu, přijde-li písemně, odpovíme dopisem. V odůvodněných případech můžeme zvolit jiný adekvátní způsob (např. bezpečnou datovou schránku).
• Obsah odpovědi: V případě práva na přístup poskytneme kromě kopií osobních údajů také informace dle čl. 15 GDPR (účely zpracování, kategorie údajů, příjemci, plánovaná doba uchování, práva subjektu, zdroj údajů, zda dochází k automatizovanému rozhodování vč. profilování, případně informace o přenosech do třetích zemí). Při výkonu práva na přenositelnost předáme údaje ve strukturovaném běžně používaném formátu (např. CSV, XML) buď přímo subjektu, nebo na jeho žádost jinému správci, je-li to technicky proveditelné. Při žádosti o výmaz posoudíme, zda jsou splněny podmínky (čl. 17 GDPR) – pokud ano, údaje smažeme a potvrdíme to subjektu; pokud ne (např. údaje musíme dál zpracovávat z důvodu právní povinnosti či oprávněných zájmů), sdělíme žadateli, proč vymazat nelze. U práva na opravu či omezení zpracování provedeme požadovanou úpravu (opravíme nepřesné údaje, označíme údaje za omezené) a informujeme subjekt o provedení. Při námitce proti zpracování na základě oprávněných zájmů vyhodnotíme, zda nadále existují závažné oprávněné důvody na naší straně – pokud ne, ukončíme zpracování; pokud ano, sdělíme je subjektu. Námitku proti marketingu vyřizujeme vždy kladně – tj. okamžitě zastavíme využívání údajů pro obchodní sdělení.
• Poplatky: První poskytnutí informací je zdarma. Za opakované či zjevně nepřiměřené žádosti může Společnost účtovat administrativní poplatek odpovídající nákladům (např. 50 Kč za každý další výtisk či mimořádnou žádost), nebo může žádosti odmítnout, pokud je to obhajitelné dle čl. 12 odst. 5 GDPR. O případném zpoplatnění či odmítnutí rozhoduje jednatel (případně DPO, bude-li ustanoven) a žadateli to písemně zdůvodní.

Zabezpečení osobních údajů: Společnost udržuje taková technická a organizační opatření, aby zpracovávané osobní údaje byly chráněny před neoprávněným či nezákonným zpracováním a před náhodnou ztrátou, zničením či poškozením (čl. 32 GDPR). Mezi hlavní opatření patří:

• Fyzické zabezpečení – Uzamykatelné kanceláře, omezený přístup do prostor Společnosti (pouze pro pověřené osoby), zabezpečené uzamčení dokumentů obsahujících osobní údaje v skříních nebo kartotékách. Citlivé dokumenty (např. smlouvy, personální složky) jsou uchovávány v uzamykatelných skříních a přístup k nim má jen pověřený personál.
• Kontrola přístupu do IT systémů – Každý zaměstnanec má přidělen unikátní přihlašovací účet do informačních systémů. Systémy jsou chráněny silnými hesly, které se pravidelně mění. Přístupy zaměstnanců jsou konfigurovány podle jejich role („need-to-know“) – např. účetní vidí účetní data, ale nemá přístup k složkám HR apod. Po odchodu zaměstnance jsou jeho účty ihned deaktivovány.
• Šifrování a pseudonymizace – Citlivé elektronické databáze (obsahující např. hesla zákazníků, zdravotní údaje zaměstnanců apod.) jsou šifrovány. Přenosy osobních údajů mimo vnitřní síť jsou zabezpečeny šifrováním (SSL/TLS pro webové stránky, šifrované e-mailové přílohy s heslem zaslaným separátně apod.). Pokud to účel dovoluje, používáme pseudonymizaci (oddělení identifikačních údajů od ostatních dat).
• Antivirová a bezpečnostní ochrana – Všechny počítače ve Společnosti mají aktuální antivirový program a firewall. Operační systémy a software jsou pravidelně aktualizovány, aby byly zavedeny bezpečnostní záplaty.
• Zálohování dat – Pravidelně zálohujeme důležité databáze (zákaznický systém, účetnictví atd.) na zabezpečené úložiště. Zálohy jsou šifrované a uchovávány odděleně. Provádíme testy obnovy dat ze záloh, abychom měli jistotu, že v případě havárie lze data obnovit.
• Kamerový systém – V prostorách sídla Společnosti je instalován bezpečnostní kamerový systém (monitoruje vstup a kanceláře) z důvodu ochrany majetku a bezpečnosti osob. Kamery snímají obraz ve vyznačených zónách a záznamy jsou uchovávány po dobu maximálně 7 dnů (s ohledem na kapcitu úložiště pro kamerové záznamy), poté automaticky smazány (není-li zjištěn incident vyžadující delší uchování).
• Organizační politika – Zaměstnanci jsou pravidelně školeni o zásadách bezpečné práce s daty (např. nezasílat citlivé údaje nešifrovaně, neodnášet nezabezpečeně dokumenty mimo pracoviště, zamykat počítač při odchodu od stolu, neinstalovat neschválený software, dávat pozor na phishingové e-maily, atd.). Existují pravidla pro používání soukromých zařízení k pracovním účelům (pokud je to povoleno, musí být schválena a zabezpečena IT oddělením).
• Posouzení dodavatelů – Před předáním osobních údajů externímu dodavateli (zpracovateli) ověřujeme, že poskytuje garance zabezpečení (např. má certifikace typu ISO 27001, používá šifrování, má interní směrnice pro ochranu dat). Ve smlouvách se zpracovateli jsou ujednány povinnosti ohledně ochrany dat a právo Společnosti provádět u nich audity.

Společnost průběžně vyhodnocuje rizika a přizpůsobuje bezpečnostní opatření aktuálním hrozbám. Každý pracovník musí dodržovat nastavená pravidla – jejich porušení (např. používání neautorizovaného cloudu k ukládání firemních dat, nepovolené kopírování údajů na flash disk apod.) může být důvodem k disciplinárnímu řešení.

Postup při porušení zabezpečení osobních údajů: „Porušením zabezpečení“ se rozumí jakékoli narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, pozměnění, neoprávněnému zpřístupnění či zpřístupnění osobních údajů (čl. 4 odst. 12 GDPR). Pokud nastane bezpečnostní incident tohoto charakteru, postupuje se následovně:

• Okamžitá reakce a ohlášení uvnitř firmy: Každý zaměstnanec, který zjistí nebo má podezření na porušení zabezpečení (např. ztráta notebooku s daty, hekerský útok, omylem rozeslaný e-mail s osobními údaji nesprávným adresátům apod.), ihned informuje svého nadřízeného a pověřenou osobu pro incidenty (viz Příloha 1). Tato pověřená osoba (např. manažer IT bezpečnosti) bez odkladu incident prověří, přijme první opatření k zamezení dalších škod (např. odpojení napadeného systému, změna hesel, svolání krizového týmu) a zdokumentuje zjištěné skutečnosti.
• Analýza incidentu: Pověřená osoba ve spolupráci s jednatelem ASAP vyhodnotí povahu incidentu a posoudí rizika pro subjekty údajů. Pokud se ukáže, že incident pravděpodobně nepovede k riziku pro práva a svobody dotčených osob (např. data byla sice ztracena, ale byla šifrována a zálohována), nemusí se incident oznamovat ÚOOÚ. Pokud však nelze vyloučit riziko (např. unikla nešifrovaná klientská data), je třeba do 72 hodin od zjištění incidentu podat hlášení ÚOOÚ.
• Ohlášení dozorovému úřadu: Odpovědná osoba (jednatel, případně pověřený manager) oznámí porušení ÚOOÚ bez zbytečného odkladu prostřednictvím datové schránky nebo formuláře ÚOOÚ. Pokud je oznámení podáno později než 72 hodin po zjištění, musí obsahovat zdůvodnění zpoždění. Oznámení zahrnuje: popis incidentu (co se stalo, kategorie a přibližný počet dotčených subjektů a záznamů), pravděpodobné důsledky, opatření přijatá nebo navržená k nápravě (včetně zmírnění negativních dopadů) a kontaktní údaje na osobu, která může ÚOOÚ poskytnout detailnější informace. Před odesláním notifikace ji případně Společnost konzultuje s DPO (pokud by byl jmenován). Kopii podaného hlášení archivujeme.
• Informování subjektů údajů: Pokud je pravděpodobné, že incident bude mít za následek vysoké riziko pro práva a svobody dotčených osob (např. unikly citlivé údaje, které mohou být zneužity k podvodům či ohrožují soukromí subjektů), Společnost bez zbytečného odkladu informuje i dotčené subjekty údajů o porušení. Informace se poskytne jednotlivě (např. e-mailem, dopisem) a musí srozumitelně popsat podstatu incidentu, přijatá opatření a doporučení, jak mají dotčené osoby chránit sebe (např. si změnit heslo, dát si pozor na podezřelé maily apod.). Pokud by přímé informování vyžadovalo nepřiměřené úsilí (např. jde o velmi mnoho osob), může Společnost vydat veřejné oznámení (např. na webu) s podobným efektem. Oznamování subjektům není nutné, pokud Společnost následně realizuje opatření, která zaručí, že vysoké riziko se již pravděpodobně neprojeví (např. dodatečně zašifruje data uniklá v použitelném tvaru), nebo pokud by informování vyžadovalo nepřiměřené úsilí – v tom případě se přistoupí k veřejnému oznámení. Rozhodnutí o informování subjektů činí jednatel po konzultaci s DPO/pověřenou osobou.
• Záznam a nápravná opatření: Veškeré případy porušení zabezpečení se zaznamenávají v interním Registru incidentů (viz výše). Jednatel společně s pověřenými osobami analyzuje příčiny incidentu a zavede opatření k předcházení podobných situací v budoucnu (např. úprava postupů, dodatečné školení zaměstnanců, investice do bezpečnostních technologií). Záznam o incidentu obsahuje i popis přijatých opatření.

Školení a zvyšování povědomí: Společnost MATISTOTELES s.r.o. zajišťuje, že všichni pracovníci, kteří přicházejí do styku s osobními údaji nebo vykonávají činnosti spadající pod AML režim, jsou řádně obeznámeni se svými povinnostmi. Za tímto účelem:

• Nástupní školení: Každý nově nastupující zaměstnanec prochází školením o zásadách ochrany osobních údajů (GDPR) a o povinnostech dle AML zákona, pokud jsou pro jeho pozici relevantní. Součástí je i seznámení s touto směrnicí, s interními postupy a se sankcemi za jejich porušení. Zaměstnanec podpisem stvrdí, že byl poučen a směrnici rozumí.
• Pravidelné školení: Všichni dotčení pracovníci jsou minimálně jednou ročně školeni/opakován výklad – formou prezenčního semináře nebo e-learningu – o aktuálních pravidlech GDPR a AML. Školení zahrnuje i obeznámení s případnými novelami zákonů, s novými vnitřními postupy, připomenutí bezpečnostních zásad a vyhodnocení případných incidentů s poučením do budoucna.
• Záznam o školení: O každém provedeném školení se vyhotoví záznam (datum, obsah, školitel, proškolené osoby). Tyto záznamy eviduje personální oddělení nebo jiná pověřená osoba a uchovávají se po dobu minimálně 5 let. Pověřená osoba dohlíží, že každý příslušný zaměstnanec absolvuje školení v předepsané lhůtě.
• Testování znalostí: Společnost může formou vědomostních testů či kontrolních otázek ověřovat, zda zaměstnanci porozuměli svým povinnostem. V případě, že by zaměstnanec opakovaně neprokazoval dostatečné znalosti, bude mu poskytnuto dodatečné individuální proškolení.
• Aktualizace školení: Obsah školení je pravidelně aktualizován podle vývoje legislativy a doporučení dozorových orgánů (např. nové pokyny ÚOOÚ, metodiky FAÚ apod.). Školení zahrnuje i praktické příklady a modelové situace (např. jak reagovat na žádost subjektu údajů, jak rozpoznat podezřelý obchod).

Dohled a kontrola dodržování směrnice: Za dodržování této směrnice odpovídá statutární orgán Společnosti (jednatel). Ten také funguje jako kontaktní osoba pro zaměstnance v otázkách bezpečnosti a ochrany osobních údajů i AML povinností. Pokud má jakýkoli zaměstnanec pochybnosti o správném postupu či výkladu této směrnice, obrací se na jednatele (případně na pověřence, bude-li ustanoven, nebo jinou pověřenou osobu dle Přílohy 1). Výklad podaný statutárním orgánem je závazný.

Jednatel rovněž odpovídá za pravidelnou aktualizaci této směrnice tak, aby odrážela aktuální právní stav a organizační uspořádání Společnosti. Minimálně jednou ročně provede revizi směrnice (případně ve spolupráci s DPO či právním poradcem) a v případě potřeby ji upraví nebo předloží ke schválení směrnici novou.

ČÁST II – Prevence legalizace výnosů z trestné činnosti a financování terorismu (AML)

Společnost MATISTOTELES s.r.o. je povinnou osobou podle AML zákona (zákon č. 253/2008 Sb.), pokud provádí nebo zprostředkovává obchody v hotovosti v hodnotě ≥ 10 000 EUR nebo vykonává jinou činnost uvedenou v § 2 AML zákona. Ačkoliv primární činností Společnosti je provoz internetového obchodu (kde většina plateb probíhá bezhotovostně) a komunitní platformy, Společnost bere vážně svou povinnost zamezit zneužití svých služeb k praní špinavých peněz či financování terorismu. Tato část směrnice stanoví interní zásady a postupy k naplnění AML požadavků.

Identifikace a kontrola klienta: V případech, kdy Společnost vstupuje do obchodního vztahu či provádí jednorázový obchod spadající pod AML povinnosti, musí být nejprve provedena identifikace klienta a tzv. základní nebo rozšířená kontrola klienta (Customer Due Diligence, CDD) dle § 7 a § 9 AML zákona.

• Kdy identifikujeme: Povinnost identifikace nastává zejména při přijetí nebo výplatě platby v hotovosti přesahující 10 000 EUR (nebo ekvivalent v jiné měně) u jednoho obchodu nebo série souvisejících obchodů. Dále také vždy, když je prováděn podezřelý obchod (viz níže), i když nedosahuje uvedené hodnoty. Identifikaci provedeme i při navázání trvalejšího obchodního vztahu (např. uzavření rámcové smlouvy) bez ohledu na výši transakcí, je-li to předepsáno zákonem.
• Jak identifikujeme: Klient (fyzická osoba) je povinen předložit platný doklad totožnosti (občanský průkaz nebo pas; cizinec případně cestovní doklad s vízem, je-li vyžadováno). Zaměstnanec Společnosti porovná podobu osoby s fotografií na dokladu a opíše z dokladu potřebné údaje: jméno a příjmení, rodné číslo nebo datum narození, trvalý pobyt (případně jinou adresu bydliště), státní občanství, druh a číslo dokladu, orgán, který jej vydal, a platnost. Tyto údaje zaznamená do interní Evidenční karty klienta (viz Příloha 2 – formulář) a klient potvrdí správnost podpisem. U právnické osoby provede pracovník identifikaci zástupce (fyzické osoby) stejným způsobem a získá údaje o zastupované právnické osobě (obchodní firmu, IČO, sídlo, jméno a narození osob jednajících a skutečného majitele). Jako zdroj využije výpis z obchodního rejstříku nebo z evidence skutečných majitelů; v případě zahraniční firmy si vyžádá srovnatelné dokumenty.
• Rozsah kontroly: Kromě zjištění totožnosti klienta provede pověřený pracovník kontrolu klienta – tzn. zjistí účel a zamýšlenou povahu obchodu či obchodního vztahu (např. dotazem, k čemu slouží požadovaná služba nebo proč klient platí vysokou hotovostní částku), případně původ finančních prostředků, pokud jde o nestandardně vysokou sumu. Dále posoudí, zda klient není tzv. politicky exponovanou osobou (PEP) – dotáže se klienta a prověří jeho jméno v dostupných seznamech (např. databáze PEP, sankční seznamy EU/OSN). Pokud by šlo o PEP, uplatní se zpřísněná kontrola (schválení transakce jednatelem, zjištění původu majetku klienta atd.). Obdobně u klientů ze zemí s vyšším rizikem (dle seznamu FATF/EU) se přijmou dodatečná opatření (např. vyžádání dodatečných dokladů, souhlas vedení s navázáním spolupráce).
• Odmítnutí obchodu: Jestliže klient odmítne poskytnout potřebnou součinnost k identifikaci nebo kontrola odhalí, že by obchod mohl porušit sankce či zákon, Společnost obchod neprovede a zváží podání hlášení FAÚ (viz níže).

Evidence a uchovávání údajů (AML): O každé provedené identifikaci sepíše pověřený pracovník Záznam o identifikaci klienta (Příloha 2). Tento záznam včetně případných kopií dokladů uchovává Společnost 10 let od uskutečnění obchodu nebo ukončení obchodního vztahu, podle toho, co nastane později (§ 16 AML zákona). Stejně tak se 10 let archivují veškeré dokumenty a informace získané v rámci kontroly klienta (např. korespondence, záznamy o zjišťování zdroje peněz, výsledky prověření v seznamech). Tyto materiály jsou zabezpečeny obdobně jako citlivé osobní údaje – v uzamčených složkách (papírové) a ve vyhrazeném šifrovaném úložišti (elektronické). Přístup k nim má jen jednatel a jím určené osoby. Po uplynutí desetileté lhůty jsou dokumenty skartovány nebo bezpečně smazány.

Společnost vede interní Evidenci podezřelých obchodů a oznámení FAÚ (viz Příloha 3), kam zaznamenává všechny vyhodnocené podezřelé transakce a zda byly či nebyly oznámeny Finančnímu analytickému úřadu. Tato evidence pomáhá při následných kontrolách a vyhodnocování efektivity našich AML postupů; podléhá přísné důvěrnosti.

Hlášení podezřelých obchodů: Pokud pracovník Společnosti při styku s klientem nebo při realizaci transakcí zjistí skutečnosti nasvědčující tomu, že může jít o podezřelý obchod (např. klient nápadně obchází limit rozdělením plateb, poskytuje zjevně nepravdivé informace, transakce nedává ekonomický smysl, jde o neobvykle vysokou částku v hotovosti bez jasného původu apod.), neprodleně informuje určenou odpovědnou osobu pro AML (viz Příloha 1). Touto odpovědnou osobou je zpravidla jednatel společnosti, případně jím výslovně pověřený zaměstnanec (např. compliance officer). Odpovědná osoba situaci vyhodnotí; může si vyžádat doplňující informace od klienta či od pracovníka. Trvá-li podezření, odpovědná osoba bez zbytečného odkladu podá oznámení o podezřelém obchodu Finančnímu analytickému úřadu (FAÚ) (§ 18 AML zákona). Oznámení se zasílá elektronicky prostřednictvím zabezpečeného kanálu (typicky datovou schránkou FAÚ nebo pomocí příslušné aplikace). V oznámení se uvedou veškeré známé informace o podezřelém obchodě, klientovi, včetně identifikačních údajů, popisu transakce a odůvodnění, proč ji považujeme za podezřelou.

Pozastavení transakce: Pokud je to možné a účelné, Společnost zároveň s podáním hlášení odloží provedení podezřelého obchodu do doby, než FAÚ vydá instrukce, nejdéle však o 48 hodin od doručení oznámení (§ 20 AML zákona). FAÚ může v této lhůtě nařídit delší pozastavení (až 5 pracovních dnů) nebo zajištění prostředků. Po marném uplynutí lhůty lze transakci provést, pokud FAÚ neoznámi, že přebírá věc (např. postoupí ji policii). O těchto krocích rozhoduje jednatel ve spolupráci s právním poradcem.

Mlčenlivost a zákaz upozornění: Všichni zaměstnanci berou na vědomí, že jsou ze zákona povinni zachovávat mlčenlivost o tom, že bylo učiněno oznámení FAÚ či že je prověřován podezřelý obchod (§ 38 AML zákona). Je zakázáno informovat klienta nebo jakoukoli třetí osobu o tom, že jeho transakce byla vyhodnocena jako podezřelá nebo že byla nahlášena FAÚ. Porušení této povinnosti („tipping-off“) je závažným porušením zákona s postihy i pro jednotlivce. Interně jsou informace o podezřelých obchodech sdělovány pouze těm zaměstnancům, kteří jsou nezbytně nutní k prošetření a k učinění hlášení.

Interní kontrola a spolupráce s orgány: Statutární orgán je odpovědný za zavedení a funkčnost Interního kontrolního systému AML. Nejméně jednou ročně provádí vyhodnocení, zda zavedené procesy (identifikace klientů, archivace, hlášení) fungují efektivně a zda odpovídají aktuálním rizikům. Do tohoto hodnocení mohou být zapojeni i externí poradci. Společnost úzce spolupracuje s FAÚ a dalšími orgány – včas reaguje na výzvy k podání vysvětlení, poskytuje požadované dokumenty a umožňuje výkon kontroly (FAÚ či jiného dozorového orgánu). Všichni zaměstnanci jsou povinni takovou kontrolu strpět a poskytnout součinnost (např. vysvětlení postupu, předložení evidencí).

Rizikový profil a opatření: Společnost vypracovala Vnitřní hodnocení rizik v oblasti praní peněz a financování terorismu, kde vymezila typy obchodů a klientů z hlediska rizikovosti. Obecně je riziko vyhodnoceno jako spíše nízké (hlavní činností je maloobchod s nízkými jednotkovými částkami, převážně bezhotovostně), avšak existují potenciální rizikové situace – např. náhlé velké hotovostní objednávky drahého zboží, neobvyklé požadavky ohledně plateb či zasílání do třetích zemí. Na základě tohoto hodnocení Společnost přijala adekvátní opatření (viz výše: identifikace nad 10 000 EUR, monitoring transakcí, apod.). Hodnocení rizik bude minimálně jednou ročně revidováno a v případě změn podnikání aktualizováno (např. pokud by Společnost začala poskytovat nové finanční služby, vstoupila na rizikové trhy apod.). Vnitřní hodnotící zpráva je k dispozici FAÚ na vyžádání.

Školení v oblasti AML: Program školení popsaný výše (Sekce Školení a zvyšování povědomí) zahrnuje také výcvik zaměstnanců v rozpoznávání a oznamování podezřelých obchodů a v procedurách identifikace klientů. Zaměstnanci jsou seznamováni s aktuálními metodami "praní peněz" zjištěnými v praxi a s návody FAÚ, ČNB či profesních organizací (např. u advokátů pokyny České advokátní komory) relevantních pro naši činnost. Minimálně jednou ročně se pro relevantní zaměstnance uskuteční specializované AML školení dle § 23 AML zákona. Součástí je i prokazatelný test znalostí. O absolvování AML školení se vede samostatný záznam (jako součást Přílohy 3 – Plán a evidence školení).

Závěrečná ustanovení: Tato směrnice nabývá účinnosti dnem 1. května 2026 a nahrazuje případné dřívější interní předpisy v této oblasti. Zaměstnanci byli s obsahem směrnice seznámeni dne … (každý stvrdil svým podpisem na prezenční listině). Nedílnou součástí směrnice jsou Přílohy uvedené níže. Směrnici schválil a vydal jednatel Společnosti; je uložena v listinné podobě v sídle Společnosti a v elektronické podobě na intranetu. Všichni pracovníci jsou povinni se touto směrnicí řídit.

Směrnice bude pravidelně aktualizována v reakci na legislativní vývoj nebo změnu činností Společnosti. Aktualizace vydává statutární orgán formou číslovaných dodatků nebo nových úplných znění směrnice. Za aktualizaci odpovídá jednatel (ve spolupráci s případným pověřencem a právními poradci).

Přílohy:

1. Seznam pověřených osob a jejich rolí (např. manažer pro ochranu osobních údajů, manažer IT bezpečnosti, kontaktní osoba pro AML atd., s uvedením jmen a funkce).
2. Formulář záznamu o identifikaci klienta (vzor formuláře k §7 AML zákona, obsahující kolonky pro údaje z OP/pasu klienta, podpis klienta a pracovníka apod.).
3. Evidence zpracování a školení – a) Souhrnná tabulka záznamů o činnostech zpracování osobních údajů podle čl. 30 GDPR; b) Plán a záznamy o školeních GDPR/AML (termíny, účastníci); c) Evidence případných incidentů a hlášení ÚOOÚ/FAÚ.
4. Vzory souhlasů a oznámení subjektům údajů – vzorový text souhlasu se zpracováním OU (např. pro marketing), vzor informace pro klienty dle čl. 13 GDPR, vzor odpovědi na žádost subjektu, vzor interního záznamu o vyřízení žádosti.
5. Interní postup při podezřelém obchodu – schematický diagram nebo stručný popis kroků pro zaměstnance, jak postupovat při zjištění neobvyklé transakce (oznámit odpovědné osobě, neprovádět transakci, vyplnit interní hlášení, atd.).

V Praze dne 1. 5. 2026

Mateusz Leon Jagoda
Jednatel společnosti MATISTOTELES s.r.o.