ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ a INFORMACÍ (články 13 a 14 GDPR)

Brembo SpA, se sídlem Via Brembo 25, 24035 Curno (BG), Itálie a ostatní společnosti skupiny Brembo, jak je uvedeno níže (dále jen jednotlivě "společnost", společně "skupina" nebo "společní správci"), zavedly systém prevence a potlačování protiprávního jednání v rámci skupiny, včetně systému zaměřeného na přijímání a správu oznámení o takovém jednání, a to jak prostřednictvím webové platformy, tak prostřednictvím aplikací nazvaných "Legality Whistleblowing", které jsou upraveny firemním postupem pro oznamování protiprávního a neetického jednání (dále jen "platforma pro oznamování").

Systém je sdílen mezi společnostmi, které jako společní správci údajů podle článku 26 obecného nařízení Evropské unie o ochraně osobních údajů - nařízení (EU) 2016/679 (dále jen "GDPR") podepsaly dohodu o společném správci, jejíž výpis je subjektům údajů k dispozici na vyžádání na adresách uvedených v dolní části tohoto sdělení.

V souvislosti se správou výše uvedených oznámení budou společní správci zpracovávat vaše osobní údaje, poskytnuté a/nebo v každém případě obdržené v souvislosti s platformou pro oznamování v souladu s ustanoveními platných právních předpisů o ochraně osobních údajů a tohoto sdělení.

Typ osobních údajů

Osobní údaje získané prostřednictvím oznámení jsou:

• Identifikační údaje oznamovatele, pokud jsou relevantní pro řízení postupu a povolené platnými právními předpisy a v níže uvedených omezeních, včetně jména a příjmení, přihlašovacích údajů k registraci do systému pro oznamování zavedeného společnými správci a spravovaných prostřednictvím platformy pro oznamování, nabízené externím dodavatelem, který působí jako zpracovatel údajů společných správců a je vázán mlčenlivostí, způsoby zcela oddělenými od systémů skupiny. Identifikační údaje a registrační email (který z důvodu ochrany důvěrnosti oznamovatele nemůže být e-mailem společnosti Brembo ) poskytuje oznamovatel při registraci na platformě a podávání oznámení, nebo je lze v případě potřeby získat během šetření a následných hodnocení;
• Identifikační údaje osoby, které se oznámení týká, poskytnuté oznamovatelem a/nebo později získané během šetření a následných posouzení;
• Informace týkající se oznámených událostí v závislosti na obsahu oznámení, včetně veškerých odkazů na údaje týkající se třetích stran, které by měly být zapojeny do událostí, jichž se oznámení týká a které oznamovatel oznámil nebo které byly získány během následného šetření.

Pro účely správy oznámení mohou být osobní údaje doplněny na základě veřejně dostupných informací a/nebo shromažďovány prostřednictvím třetích stran, v závislosti na konkrétních okolnostech oznámení a vždy v souladu se zásadou minimalizace, a/nebo shromažďovány od subjektu údajů a/nebo je již má k dispozici společný správce procesu, jehož se oznámení týká.

Platí, že na základě oznámených skutečností mohou být v rámci odvozených šetření oznámeny nebo následně získány údaje patřící do zvláštních kategorií uvedených v čl. 9 odst.1 GDPR (konkrétně v tomto kontextu údaje odhalující rasový nebo etnický původ, politické názory, náboženské nebo filozofické přesvědčení nebo členství v odborech, údaje týkající se zdraví nebo sexuálního života nebo sexuální orientace osoby) a/nebo údaje týkající se rozsudků v trestních věcech a trestných činů nebo souvisejících bezpečnostních opatření podle čl. 10 GDPR.

Společní správci neshromažďují osobní údaje, které jsou zjevně neužitečné pro zpracování konkrétního oznámení, v případě náhodného shromáždění (při oznámení nebo následném šetření), je okamžitě vymažou. Oznámení proto nesmí obsahovat irelevantní fakta.

Účel a právní základ zpracování

Poskytnuté údaje budou zpracovány za účelem provedení nezbytných šetření na základě platných právních předpisů, která budou mít za cíl ověření platnosti oznamované skutečnosti a přijetí následných správních, soudních a/nebo disciplinárních opatření a postupů.

Právním základem je tedy splnění právní povinnosti (čl. 6 odst.1 písm. c) a v případě zvláštních kategorií údajů čl. 9 odst.2 písm. g) GDPR, jak je stanoveno vnitrostátními předpisy provádějícími směrnici EU 2019/1937) týkající se ochrany osob, které oznamují porušení práva Unie a příslušných vnitrostátních právních předpisů[1] (dále jen "nařízení o oznamování protiprávního a neetického jednání").

Povaha poskytnutí údajů a zpracovatelských metod

Pro registraci a přístup do důvěrné části oznámení na platformě spravované poskytovatelem, který je třetí stranou, je nezbytné, aby oznamovatel poskytl údaje, jako je e-mail a heslo, a tím byla zaručena důvěrnost totožnosti oznamovatele, dotčené osoby a osoby uvedené v oznámení, jakož i obsahu oznámení a související dokumentace; pokud je tedy neposkytne, správce nebude moci oznámení přijmout.

Odeslání oznámení je zcela dobrovolné. Jakmile se však oznamovatel rozhodne oznámení zaslat, musí povinně poskytnout další údaje, jako je jméno a příjmení, anonymní oznámení nejsou možná. Nebudou-li tyto údaje poskytnuty, není možné pokračovat v procesu oznámení.

Údaje budou zpracovávány pomocí IT a elektronických nástrojů s organizační a zpracovatelskou logikou striktně související s výše uvedenými účely, jak je uvedeno v příslušném firemním postupu pro oznamování protiprávního a neetického jednání, a v každém případě za účelem zaručení správnosti, bezpečnosti, integrity a důvěrnosti údajů v souladu s organizačními, fyzickými a logickými opatřeními stanovenými platnými předpisy.

Informace a dokumentace související s oznámením, jakož i informační toky se subjekty zapojenými do kontroly jsou spravovány a uchovávány pouze v rámci platformy, aby byla zaručena nejvyšší úroveň bezpečnosti a důvěrnosti a vše bylo v souladu s příslušnými ustanoveními.

Je nutné uvést, že v případě, kdy byla pro vyhotovení oznámení použita písemná forma, je stále možné se souhlasem zúčastněné strany přistoupit k jejímu uchování prostřednictvím zápisu do vhodného zařízení nebo pomocí podrobného protokolu či záznamu.

V případě oznámení učiněných ústně prostřednictvím komunikačního kanálu platformy pro oznamování nebo přímo vedoucímu interního auditu bude oznámení písemně zdokumentováno s předchozím souhlasem oznamovatele pomocí zápisu na platformě.

Příjemci údajů a přenos údajů

Shromážděné osobní údaje jsou zpracovávány pracovníky pověřenými konkrétně k tomuto zpracování, stanovenými skupinou Brembo, jak je uvedeno v příslušném postupu pro oznamování protiprávního a neetického jednání společných správců, a zejména osobami odpovědnými za oznamování ve společnosti Brembo S.p.A. Globální centrální funkce interního auditu, která jedná na základě konkrétních pokynů týkajících se účelů a metod samotného zpracování.

Osobní údaje jsou rovněž přístupné výhradně za účelem správy platformy pro oznamování společnosti, která platformu pro oznamování poskytuje a provádí outsourcingové činnosti jménem společných správců, kteří byli jmenováni zpracovatelem údajů (Digital PA S.r.l.).

Kromě toho v případech, kdy je to nezbytné pro účely zjištění opodstatněnosti skutečnosti, která je předmětem oznámení, souvisejících šetření a přijetí následných opatření, mohou být osobní údaje subjektů údajů zaslány pracovníkům společného správce, kterého se oznámení týká, a to útvarům odpovědným za přijetí opatření na ochranu společných správců nebo za zahájení případných disciplinárních opatření, jakož i právním konzultantům, soudnímu orgánu a příslušným orgánům a dalším komisím/orgánům veřejného práva kompetentním ve vztahu k oznámenému případu.

Platí, že totožnost oznamovatele nemůže být zveřejněna bez jeho souhlasu, který si příslušný společný správce vyžádá v případech výslovně stanovených v nařízení o oznamování protiprávního a neetického jednání.

Osobní údaje budou zpracovávány v rámci Evropské unie a uloženy na serverech umístěných v Evropské unii. 

Uchovávání osobních údajů

Údaje budou uchovávány po dobu nezbytnou a přiměřenou ke splnění povinnosti uložené nařízením o oznamování protiprávního a neetického jednání. Platí, že v souladu se zásadou minimalizace nebudou shromažďovány osobní údaje, které zjevně nejsou užitečné pro zpracování konkrétního oznámení, a v případě náhodného shromáždění musí být správcem údajů okamžitě vymazány.

Oznámení a příslušná dokumentace jsou uchovávány po dobu nezbytnou pro zpracování oznámení, v každém případě však nejdéle po dobu pěti let ode dne, kdy byl oznamovatel vyrozuměn o konečném výsledku oznámení.

Práva subjektu údajů

Subjekty údajů mohou uplatnit práva stanovená v článcích 15 až 21 GDPR (právo na přístup, opravu, zrušení a omezení zpracování, jakož i námitku) tím, že přednostně kontaktují společnost Brembo S.p.A., která působí jako kontaktní místo, nebo jejího pověřence pro ochranu osobních údajů (DPO) na e-mailové adrese privacy.italy@brembo.com, nebo písemným sdělením na níže uvedenou adresu. Společnost Brembo S.p.A. vyřídí žádost a poskytne zpětnou vazbu v souladu se zákonem (podle čl.  26 odst. 3 GDPR může subjekt údajů v každém případě uplatnit svá práva také vůči ostatním společným správcům na adresách uvedených v tabulce níže), aniž jsou dotčena omezení výkonu práv stanovená platnými vnitrostátními právními předpisy, v případě, že výkon těchto práv může vést k účinnému a konkrétnímu narušení důvěrnosti totožnosti osoby, která oznámila porušení, o němž se dozvěděla z titulu své funkce.

Subjekt údajů může také podat stížnost u příslušného dozorového úřadu (například Garante per la protezione dei dati personali v Itálii).

Totožnost a kontaktní údaje společných správců a pověřence pro ochranu osobních údajů

Správci osobních údajů jsou (v závislosti na společnosti, které se oznámení týká):