Předávání osobních údajů evropských subjektů údajů do Spojených států amerických

1. Závazek společnosti Arthrex k bezpečnému předávání osobních údajů

Společnost Arthrex zajišťuje, aby veškeré předávání osobních údajů do naší organizace bylo plně v souladu s příslušnými předpisy o ochraně osobních údajů. Ochrana vašich osobních údajů je pro nás prioritou a neustále se snažíme dodržovat standardy stanovené rámcem EU–USA pro ochranu údajů.

Společnost Arthrex ve svých výrobcích, systémech a postupech uplatňuje nezbytná ochranná opatření, která zaručují, že jakýkoli další přenos osobních údajů je chráněn nejvyššími standardy.

Informace o ochraně vašich osobních údajů po celou dobu jejich používání naleznete ve smlouvě o zpracování osobních údajů, kterou s vámi podepíšeme, v oznámení o ochraně osobních údajů společnosti Arthrex nebo v konkrétním oznámení o ochraně osobních údajů, které vám bylo poskytnuto v souvislosti s výrobkem či službou, které používáte.

2. Předávání osobních údajů do Spojených států amerických

Společnost Arthrex dodržuje rámec EU–USA pro ochranu údajů (dále jen „rámec EU–USA“), rozšíření rámce EU–USA pro ochranu údajů na Spojené království a rámec Švýcarsko–USA pro ochranu údajů (dále jen „rámec Švýcarsko–USA“), jak je stanovilo Ministerstvo obchodu USA. Společnost Arthrex potvrdila Ministerstvu obchodu USA, že dodržuje zásady rámce EU–USA pro ochranu údajů (dále jen „zásady rámce EU–USA“), pokud jde o zpracování osobních údajů získaných z Evropské unie a ze Spojeného království na základě rámce EU–USA a rozšíření rámce EU–USA na Spojené království. Společnost Arthrex potvrdila Ministerstvu obchodu USA, že dodržuje zásady rámce Švýcarsko–USA pro ochranu údajů (dále jen „zásady rámce Švýcarsko–USA“), pokud jde o zpracování osobních údajů získaných ze Švýcarska na základě rámce Švýcarsko–USA. Pokud dojde k rozporu mezi podmínkami v těchto zásadách ochrany osobních údajů a zásadami rámce EU–USA a/nebo zásadami rámce Švýcarsko–USA, platí tyto zásady. Chcete-li se dozvědět více o programu rámce pro ochranu údajů a prohlédnout si naši certifikaci, navštivte stránku https://www.dataprivacyframework.gov/.

Následující subjekty Arthrex v USA nebo dceřiné společnosti Arthrex v USA dodržují zásady EU-U.S. DPF, včetně případného rozšíření na UK Extension k EU-U.S. DPF a zásady Swiss-U.S. DPF, a jsou zahrnuty v podání Arthrex k DPF:

• Arthrex, Inc., 1370 Creekside Blvd., Naples, Florida 34108, USA (globální sídlo společnosti)
• Arthrex Manufacturing Inc., 6875 Arthrex Commerce Dr., Ave Maria, FL 34142, USA
• Arthrex California Technology, Inc., 460 Ward Drive, Santa Barbara, California 93111, USA

In compliance with the EU-U.S. DPF and the UK Extension to the EU-U.S. DPF and the Swiss-U.S. DPF, Arthrex commits to refer unresolved complaints concerning our handling of personal data received in reliance on the EU-U.S. DPF and the UK Extension to the EU-U.S. DPF and the Swiss U.S. DPF to ICDR-AAA DPF IRM Service, an alternative dispute resolution provider based in the United States Pokud od nás neobdržíte včasné potvrzení o přijetí vaší stížnosti týkající se zásad rámce osobních údajů, nebo pokud jsme vaši stížnost týkající se zásad rámce nevyřídili k vaší spokojenosti, navštivte webovou stránku https://go.adr.org/dpf_irm.html, na které najdete další informace nebo můžete podat stížnost. Služby společnosti ICDR-AAA jsou poskytovány bezplatně.

V souladu s rámcem EU–USA, rozšířením EU–USA DPF na Spojené království a rámcem Švýcarsko–USA DPF se společnost Arthrex zavazuje řešit stížnosti týkající se zásad DPF ohledně shromažďování  používání vašich osobních údajů. Jednotlivci z EU a Spojeného království a  Švýcarska, kteří mají dotazy nebo stížnosti týkající se nakládání s osobními údaji obdržené na základě rámce EU–USA a rozšíření rámce EU–USA na Spojené království a rámce Švýcarsko–USA, by se měly nejprve obrátit na společnost Arthrex prostřednictvím e-mailové adresy privacy@arthrex.com.

Společnost Arthrex zůstává odpovědná a ručí podle zásad EU–USA a rozšíření tohoto rámce EU–USA na Spojené království a/nebo zásad rámce Švýcarsko–USA DPF za zapojené třetí strany, které budou zpracovávat osobní údaje jménem společnosti Arthrex způsobem, jenž není v souladu s těmito zásadami, ledaže společnost Arthrex prokáže, že nenese odpovědnost za událost, která vedla ke vzniku škody.“ Informace o typu nebo totožnosti třetích stran a účelech, pro které společnost Arthrex zpřístupňuje osobní údaje, naleznete na adrese https://privacy.arthrex.com/cz/nas-zvazek-k-ochrane-osobnich-udaju.

Společnost Arthrex podléhá vyšetřovacím a  donucovací pravomoci americké Federální obchodní komise (FTC). Společnost Arthrex může být požádána o zpřístupnění osobních údajů, které zpracovává dle rámce pro ochranu údajů, v reakci na zákonné žádosti orgánů veřejné moci, včetně splnění požadavků národní bezpečnosti nebo prosazování práva.

Informace o typu nebo totožnosti třetích stran a účelech, za kterými společnost Arthrex zpřístupňuje osobní údaje, naleznete na adrese https://privacy.arthrex.com/cz/nas-zvazek-k-ochrane-osobnich-udaju#Sd-len-osobn-ch-daj. Společnost Arthrex nese odpovědnost za další předávání osobních údajů.

Informace o právech jednotlivců na přístup k jejich osobním údajům a no možnostech omezení jejich použití a zpřístupnění osobních údajů naleznete na adrese https://privacy.arthrex.com/cz/nas-zvazek-k-ochrane-osobnich-udaju#Jak-jsou-va-e-pr-va a v oznámení o ochraně osobních údajů společnosti Arthrex pro oblast EMEA na adrese https://privacy.arthrex.com/cz/evropsky-hospodarsky-prostor-ehp.

3. Možnosti volby

Pokud mají být osobní údaje, na které se vztahuje toto oznámení o ochraně osobních údajů, použity pro nový účel, který se zásadně liší od účelu, pro který byly původně shromážděny nebo následně schváleny, nebo mají být zpřístupněny třetí straně, která není zprostředkovatelem, a to způsobem, který není specifikován v tomto oznámení o ochraně osobních údajů, dá vám společnost Arthrex možnost rozhodnout se, zda mohou být vaše osobní údaje použity nebo zpřístupněny. Žádosti o vyslovení nesouhlasu (opt-out) s takovým použitím nebo zpřístupněním osobních údajů by měly být zasílány na adresu privacy@arthrex.com.

Jisté osobní údaje, jako jsou informace o zdravotním stavu, rasovém nebo etnickém původu, politických postojích, náboženském nebo filozofickém přesvědčení, jsou považovány za „citlivé osobní údaje“. Společnost Arthrex nepoužije „citlivé osobní údaje“ k jiným účelům, než k jakým byly původně shromážděny nebo k jakým byly následně schváleny danou fyzickou osobou, jestliže k tomu společnost Arthrex nezíská váš souhlas.

4. Práva subjektů údajů

Každá fyzická osoba, jejíž osobní údaje byly poskytnuty společnosti Arthrex, má právo získat potvrzení o tom, zda jsou její osobní údaje zpracovávány. V tomto kontextu má fyzická osoba právo požadovat, aby společnost Arthrex opravila nepřesné a/nebo doplnila neúplné osobní údaje; právo požadovat výmaz některých osobních údajů, například těch, které již nejsou potřebné pro legitimní účely; právo požadovat omezení zpracování některých osobních údajů (např. nepřesných údajů); a právo na přenositelnost údajů. Fyzická osoba má rovněž právo vznést námitku proti určitým činnostem zpracování svých osobních údajů. V souladu s místními předpisy o ochraně osobních údajů mají fyzické osoby právo podat stížnost u dozorového úřadu.

Pokud jde o osobní údaje obdržené nebo přijaté na základě rámce pro ochranu údajů nebo pokud nelze vaši stížnost týkající se rámce pro ochranu údajů vyřešit prostřednictvím výše uvedených kanálů, můžete za určitých podmínek požádat o závazné rozhodčí řízení pro některé zbytkové nároky, které nebyly vyřešeny jinými mechanismy nápravy. Co se týče předávání osobních údajů do Spojených států amerických a účasti v rámci pro ochranu údajů, společnost Arthrex bude rozhodovat o podnětech v rozhodčím řízení a dodržovat podmínky stanovené v příloze I rámce pro ochranu údajů, která je k dispozici zde.

5. Posouzení zájmu orgánů Spojených států amerických o předávání osobních údajů ve společnosti Arthrex

Navíc k rozhodnutí o odpovídající ochraně poskytované rámcem EU–USA jsme provedli rozsáhlé posouzení rizik předávání osobních údajů společností Arthrex, přičemž jsme zvážili následující faktory: účel(y), za kterým(i) jsou osobní údaje předávány a zpracovávány (např. marketing, lidské zdroje, ukládání dat, IT podpora, klinická hodnocení).

• Typy subjektů zapojených do zpracování (např. veřejný/soukromý; správce/zpracovatel).
• Odvětví, ve kterém k předávání dochází (např. zdravotnictví, telekomunikace, finance atd.).
• Kategorie předávaných osobních údajů (např. osobní údaje týkající se dětí mohou spadat do oblasti působnosti zvláštních právních předpisů ve třetí zemi).
• Zda budou osobní údaje uloženy ve třetí zemi, nebo zda existuje pouze vzdálený přístup k osobním údajům uloženým v EHP.
• Formát předávaných osobních údajů (např. jako prostý text, pseudonymizované nebo šifrované).
• Možnost, že osobní údaje mohou být předmětem dalšího předávání ze třetí země do jiné třetí země (nebo v rámci téže).

Tyto faktory a zejména povaha předávaných osobních údajů podporují tvrzení, že vláda USA pravděpodobně nebude usilovat o získání předávaných informací. Jako společnost vyrábějící zdravotnické prostředky není Arthrex zapojena do odvětví se zvýšeným zájmem o národní bezpečnost (např. obranné zakázky, podpora zpravodajské komunity, vládní zakázky nebo poskytování kritické infrastruktury). Místo toho předávané informace společností obvykle zahrnují osobní údaje zaměstnanců, zabezpečení datových systémů, přihlašovací údaje a informace o účtech uživatelů online vzdělávání a lékařské záznamy, které mohou obsahovat osobní údaje. Tyto lékařské záznamy se používají především k vývoji specifických chirurgických nástrojů a plánů, ke sledování rekonvalescence a pokroku pacienta v určitých pooperačních situacích a v omezených případech k technické podpoře procesů pořizování chirurgických videozáznamů. Společnost Arthrex získává osobní údaje od své dceřiné společnosti v EU za účelem podpory svých běžných obchodních činností, které nejsou citlivé z hlediska národní bezpečnosti nebo kontrarozvědky. Osobní údaje nejsou ze Spojených států amerických předávány do dalších zemí, a když jsou přenášeny do Spojených států amerických, jsou buď zasílány v zašifrovaném formátu, nebo je k nim bezpečný vzdálený přístup ze Spojených států amerických. Společnost Arthrex neobdržela a pravděpodobně ani neobdrží žádnou žádost vlády USA týkající se osobních údajů zpracovávaných společností Arthrex. Proto nelze důvodně předpokládat, že by osobní údaje zpracovávané společností Arthrex byly předmětem zvláštního zájmu národní bezpečnosti.

6. Další aspekty

Společnost Arthrex případně ukládá a zpracovává osobní údaje evropských subjektů údajů výhradně v rámci Evropské unie. V takových případech nejsou osobní údaje uchovávány ve Spojených státech amerických a jakýkoli přístup k těmto údajům ze Spojených států amerických je založen na požadavku „potřeby znát“, například při plnění úkolů zákaznické podpory, poskytování specifické bezpečnostní pomoci nebo při řešení technických problémů.

Předávání osobních údajů do Spojených států amerických probíhá výhradně na základě zásady „potřeby znát“ / „potřeby mít“ v souladu se smlouvami o zpracování osobních údajů, které popisují organizační a technická opatření zavedená společností Arthrex k ochraně osobních údajů evropských subjektů údajů.

Společnost Arthrex bere na vědomí, že v případě příkazu k zpřístupnění osobních údajů orgánům USA by byla povinna informovat zákazníky a umožnit jim ukončit smlouvu s námi a zastavit předávání osobních údajů naší organizaci. Je důležité poznamenat, že společnost Arthrex nikdy nemusela takové oznámení vydat a na základě výše uvedeného hodnocení je vysoce nepravděpodobné, že by taková okolnost v budoucnu nastala.

7. Závěr

Na základě výše uvedené komplexní analýzy s jistotou tvrdíme, že riziko újmy pro subjekty údajů je minimální. Tento závěr vychází z přísných ochranných opatření a záruk, které společnost Arthrex zavedla, spolu s vysoce nepravděpodobnou pravděpodobností žádostí o přístup k osobním údajům ze strany amerických orgánů v souvislosti s našimi výrobky a službami. Vzhledem k těmto faktorům a v souladu s příslušnými právními povinnostmi proto potvrzujeme, že riziko poškození subjektů údajů považujeme za nevýznamné.

Bez ohledu na nízké riziko týkající se předávání osobních údajů evropských subjektů údajů do USA se společnost Arthrex plně zavazuje dodržovat zásady a ochranná opatření uvedená v rámci EU–USA pro ochranu údajů a ve všech příslušných předpisech, a také osvědčené postupy v oblasti ochrany osobních údajů. Dodržováním těchto standardů zajišťujeme bezpečné a zákonné předávání osobních údajů a prokazujeme tak své neochvějné odhodlání chránit soukromí našich zákazníků.