Upozornění pro čtenáře a uživatele této knihy
Všechna práva vyhrazena. Žádná část této tištěné či elektronické knihy nesmí být reprodukována ani šířena v papírové, elektronické či jiné podobě bez předchozího písemného souhlasu nakladatele. Neoprávněné užití této knihy bude trestně stíháno.

Edice právo pro praxi

Ing., Mgr. Luděk Nezmar, MBA

GDPR: Praktický průvodce implementací

Vydala Grada Publishing, a.s.
U Průhonu 22, 170 00  Praha 7
tel.: +420 234 264 401, fax: +420 234 264 400
www.grada.cz
jako svou 6 761. publikaci

Realizace obálky Michal Němec
Sazba a zlom Jan Šístek
Formát ePub Jan Šístek
Odborná redaktorka Ing. Michaela Průšová
Počet stran 304
První vydání, Praha 2017

Vytiskla tiskárna Tisk Centrum, s.r.o., Moravany

© Grada Publishing, a.s., 2017

ISBN 978-80-271-0921-0 (ePub)
ISBN 978-80-271-0920-3 (pdf)
ISBN 978-80-271-0668-4 (print)

1.Úvod a pozadí vzniku

1.1Shrnutí

Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) známé jako „GDPR“ je v platnosti a účinnost nastává 25. května 2018 po dvouleté periodě určené k přípravě. Nahrazuje tak současný zákon č. 101/2000 Sb., o ochraně osobních údajů.

V současné době lze konstatovat, že naprostá většina firem, organizací i státních institucí či samospráv „zaspala“ a tomuto nařízení nevěnovala pozornost. V této souvislosti musím upozornit na skutečnost, že se nejedná o směrnici či doporučení EU, kterou vláda musí v nějaké podobě někdy implementovat, ale jedná se o nařízení EU platné v rámci všech členských zemí bez možnosti zásadních úprav. Jinými slovy 25. května 2018 může organizace dostat pokutu v plné výši.

GDPR stanovuje firmám a organizacím mnohem větší požadavky na zabezpečení osobních dat, kontrolu procesů a výrazně zvyšuje odpovědnost pod drakonickými sankcemi až do výše 550 mil. Kč nebo 4 % z celosvětového obratu skupiny. Počítá se vyšší sankce. Znalost, jak dodržet předpisy a prakticky aplikovat nařízení za rozumných cenových podmínek, se tak stává klíčovou kompetencí pro splnění požadavků kladených GDPR bez nadměrného finančního zatížení.

Kniha by vám měla být praktickým rádcem, jak dosáhnout souladu při zpracování osobních údajů vašich klientů, pacientů nebo zaměstnanců. Pomůže vám naplánovat a provést potřebné změny ve vašich procesech zpracování dat tak, abyste od 25. května 2018 mohli klidně usínat.

1.2Pozadí vzniku GDPR

1.2.1Úvod

V roce 2016 Evropská unie přijala obecné nařízení o ochraně údajů (GDPR), které je platné ve všech 28 členských státech. GDPR vstoupí v účinnost (bude vymahatelné) v květnu roku 2018. Tímto momentem bude každá organizace, instituce, obec, škola, zdravotnické zařízení nebo společnost, která ukládá nebo zpracovává osobní údaje z jakéhokoli členského státu EU, muset splnit požadavky tohoto nařízení.

Nařízení dává subjektům údajů (lidem – občanům) mnohem větší práva, stanovuje mnohem přísnější požadavky jak správcům, tak zpracovatelům (firmám a institucím) a uplatňuje výrazně vyšší sankce, než tomu bylo dosud. Společnosti budou muset zavést řadu nových postupů, aby tyto požadavky splnily. Ve stále méně stabilním ekonomickém a politickém prostředí tak všechny podniky musí reagovat vyšší rychlostí adaptace a větší mírou respektu k duševnímu vlastnictví. Základem úspěchu každé společnosti v současném digitalizovaném světě je schopnost efektivně zpracovávat informace a data, včetně jejich kvalitního zabezpečení. Nikdy předtím nebyl takový tlak na rychlost, hloubku a adopci tak zásadních změn. Organizace jsou nuceny k prudké inovaci a konkurenci. Potřeba „změny jako konstantního faktoru“ je stále přítomna – stejně jako rizika, která se mohou projevit podkopáním úspěchu. Nové předpisy vyžadují společnou a nerozdílnou odpovědnost. Znalost toho, jak dodržovat nové předpisy pomocí včasného praktického přístupu, zajistí, že dodržování předpisů nebude příliš nákladné a ve skutečnosti se použije jako nová podmínka konkurenceschopnosti.

Aby bylo možné v březnu 2018 uplatnit nařízení o obecné ochraně údajů v Evropské unii (GDPR), bude nutné, aby všichni správci a zpracovatelé údajů, kteří zpracovávají osobní údaje obyvatel EU, zavedli příslušná technická a organizační opatření. Budou muset zachovat důvěrnost, integritu, dostupnost i odolnost systémů zpracovávajících osobní data.

Staré čínské přísloví praví: „Co nemá cenu, nemá ani hodnotu.“ Také současná situace potvrzuje pravdivost tohoto rčení, protože cena informací ve světě neustále stoupá a osobní údaje se staly velmi cennou komoditou. Reálná hodnota osobních údajů se objevila teprve nedávno. Kybernetická bezpečnost je jedním z klíčových úkolů budoucnosti, protože krádež osobních údajů vystavuje občany EU významným rizikům. Současné techniky analýzy dat umožňují organizacím sledovat a předvídat individuální chování, dokážou předjímat nákupní rozhodování jedinců a mohou být nasazeny v automatizovaném rozhodování. Kombinace všech těchto faktorů spolu s pokračujícími technologiemi vyvolává řadu otázek a vedla ke snaze zajistit základní bezpečí občanů EU. GDPR je reakcí na rychlou digitalizaci a kybernetizaci našeho prostoru. Zda reakcí úspěšnou, to ukáže až čas.

Mnohým se může zdát, že se jedná o další regulaci, tedy snahu zase uloupnout kousek naší svobody. Ve skutečnosti se tento krok z pohledu běžného občana jeví jako opravdová snaha zabezpečit alespoň základní právo svobody jedince, protože snaha monitorovat každý náš krok, ať už vládou nebo korporacemi, je zjevná.

Nařízení GDPR je novátorské i v tom směru, že se netýká jen entit v rámci EU, ale kohokoliv, kdo chce zpracovávat data občanů EU. Firma z Hong Kongu nebo nevládní organizace z USA působící na území Evropské unie tak musí vyhovět požadavkům GDPR stejně jako česká nebo slovenská firma.

1.2.2Historie ochrany osobních dat

GDPR vychází z původní směrnice EU o ochraně osobních údajů (DPD). Ve svých požadavcích jde dále než HIPAA v USA či jiné legislativní regulace snažící se o ochranu osobních údajů. GDPR je v současné době nejkomplexnější zákonná norma chránící soukromí občanů.

Směrnice o ochraně osobních údajů (DPD) existuje již dvacet let. Stanovuje minimální standard zákona o ochraně údajů v členských státech EU. Česká republika v roce 2000 přijala vlastní zákon týkající se ochrany osobních údajů. Většina států Evropské unie přijala nějakou legislativu řešící problematiku ochrany osobně identifikovatelných informací.

Vývoj technologií je vždy rychlejší než vývoj právních norem. Důležitá je však reakční doba právního systému na technologické změny. Níže je popsána historie vývoje ochrany osobních údajů z hlediska GDPR.

28. leden 1981: Podpis smlouvy o ochraně osob s ohledem na automatické zpracování osobních údajů. Byla podepsána jako Úmluva Rady Evropy č. 108 a vstoupila v platnost dne 1. října 1985. Všech 47 členů Rady Evropy smlouvu ratifikovalo, s výjimkou Turecka.

4. říjen 1995: Evropská směrnice o ochraně osobních údajů (oficiálně: směrnice 95/46 / ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů) byla vytvořena jako základní prvek ochrany soukromí v rámci EU a práva v oblasti lidských práv. Tato směrnice vstoupila v platnost dne 13. prosince 1995 a požadovala od členských států EU, aby do 24. října 1998 provedly příslušná ustanovení ve vnitrostátním právu.

19. květen 2009: Evropská komise zahájila konferenci věnovanou využití a ochraně osobních údajů a zkoumání nových úkolů týkajících se ochrany soukromí. Součástí konference byl i panel věnující se oblasti ochrany osobních údajů v globalizovaném světě se zvýšenou mobilitou a v souvislosti s moderními komunikačními a informačními technologiemi, výměnou dat mezi veřejnými orgány a soukromými společnostmi a mezinárodními přenosy osobních údajů v rámci cloud computingu1.

Obrázek 1 – vývoj technologií v porovnání s vývojem legislativy

1. prosinec 2009: Pracovní skupina zřízená podle článku 29 (WP29)2 a pracovní skupina pro politiku a spravedlnost (WPPJ) zveřejňuje dokument „Budoucnost soukromí“3 jako reakci na stanovisko Evropské komise v souvislosti s novými výzvami v oblasti ochrany osobních dat. Tehdy aktuální hlavní principy ochrany osobních údajů jsou považovány za stále platné navzdory novým technologiím a globalizaci. Dokument však zdůrazňuje, že úroveň ochrany osobních údajů v rámci EU lze zvýšit lepším uplatňováním stávajících zásad a legislativy v oblasti ochrany osobních údajů v praxi a postupnou modernizací právního rámce.

4. listopad 2010: Evropská komise stanovuje strategii, jak chránit údaje jednotlivců ve všech oblastech, a to včetně vymáhání práva. S tím omezuje byrokratické požadavky a zaručuje volný pohyb údajů v rámci EU. Znamená to přehodnocení dosavadní politiky a Komise tím aplikuje výsledky veřejné diskuze k revizi evropské směrnice o ochraně osobních údajů.

22. červen 2011: Výbor pro občanské svobody, spravedlnost a vnitřní věci (LIBE)4přijímá návrh komplexního přístupu k ochraně osobních údajů. Klíčovým tématem se stává budoucnost evropského práva v této oblasti a změna stávající směrnice o ochraně údajů 95/46 / ES5.

17. listopad 2011: Během zahájení zasedání 35. konference o ochraně soukromí, německého sdružení pro ochranu údajů a ochranu údajů (GDD)6, Paul Nemitz oznamuje, že Evropská komise plánuje zavést nařízení, které je přímo aplikovatelné ve všech členských státech EU a bude harmonizovat zákony na ochranu osobních údajů v rámci celé Evropě.

25. leden 2012: Evropská komise navrhuje komplexní reformu pravidel EU ochrany osobních údajů z roku 1995 za účelem posílení práv, zejména v online prostředí. Komise konstatuje, že technologický pokrok a globalizace výrazně změnily způsob, jakým jsou osobní data shromažďována, zpřístupňována a využívána. Souběžně s návrhem nařízení o obecné ochraně údajů (5853/12)7 přijala Komise i směrnici o zpracování údajů za účelem vymáhání práva (5833/12).8

21. února 2012: EurActiv9 oznamuje, že Spojené státy velmi aktivně ovlivnily průběh projednávání ve snaze ochránit zájmy amerických společností působících v EU. V důsledku tohoto tlaku byl text navržený Komisí výrazně upraven ve prospěch USA a po tomto zjištění návrh nebyl už dále projednáván.

23. březen 2012: Pracovní skupina pro ochranu osobních údajů zřízená podle článku 29 (WP29)10 zveřejnila své stanovisko 01/201211 jako počáteční příspěvek k diskusi o reformě ochrany osobních údajů. V tomto stanovisku vítá posílení postavení subjektů údajů, posílení odpovědnosti správců a posílení postavení orgánů dohledu, jak na vnitrostátní, tak na mezinárodní úrovni, s potenciálem výrazně snížit stávající roztříštěnost a posílit ochranu osobních údajů v celé Evropě.

12. duben 2012: Německý poslanec Evropského parlamentu a Výboru pro občanské svobody, spravedlnost a vnitřní věci (LIBE) Jan-Philipp Albrecht je oficiálně jmenován zpravodajem Evropského parlamentu pro nařízení o obecné ochraně údajů.

2. září 2012: Zveřejňuje Evropský parlament studii nazvanou „Reforming the Data Protection Package“12, kterou realizovala polská advokátní kancelář a němečtí akademičtí pracovníci z Evropského institutu právních studií. Studie upozorňuje na nutnost zlepšení ochrany subjektů, závažné nedostatky v GDPR týkající se nových technologií a služeb, nesoulad práv spotřebitelů a možnost mezinárodní přenositelnosti údajů.

5. říjen 2012: Pracovní skupina pro ochranu údajů podle článku 29 (WP29)13 zveřejnila své stanovisko 08/201214 jako další příspěvek k diskusi o reformě ochrany osobních údajů, která se konkrétně zabývá definicí osobních údajů, pojmem souhlas a postupy v přenesené pravomoci.

25. říjen 2012: Rada bere na vědomí současný stav obecného nařízení o ochraně osobních údajů. Během rozpravy je diskutována zejména volba právního nástroje. Některé delegace upřednostňovaly směrnici namísto nařízení, protože by umožnila větší pružnost tam, kde by to bylo potřebné. Jiné delegace však zvolily formu nařízení, tak jak navrhla Komise.

28. leden 2013: Komisařka EU pro spravedlnost a místopředsedkyně Evropské komise Viviane Redingová během Evropského dne ochrany údajů 2013 zdůrazňuje, že žijeme v digitálním světě, v němž mají osobní údaje obrovskou ekonomickou hodnotu. V tomto digitálním světě je třeba, aby evropské podniky mohly využít nové možnosti výpočetní techniky a sdílení informací, ale ne na úkor evropských spotřebitelů. Jednotný a moderní zákon o ochraně osobních údajů pro Evropskou unii proto musí zajistit důvěru a vytvářet prostor pro růst jednotného digitálního trhu.

14. květen 2013: London Economics zveřejňuje výsledky nezávislého průzkumu15, který zadal úřad britského komisaře pro informace, aby pomohl porozumět výzvám, které GDPR staví před podniky a organizace. Z dotazovaných 506 podniků nebylo 87 % respondentů schopno odhadnout pravděpodobné náklady na splnění požadavků navrhovaného nařízení a 82 % respondentů nebylo schopno vyčíslit své současné výdaje na dodržování ochrany osobních údajů.

21. říjen 2013: Výbor pro občanské svobody, spravedlnost a vnitřní věci (LIBE)16 Evropského parlamentu hlasoval za přijetí kompromisního textu GDPR, který obsahoval několik pozměňovacích návrhů, z nichž některé jsou významné ve srovnání s původním návrhem vypracovaným Evropskou komisí v lednu 2012 (např. výrazně zvýšené sankce, rozšířený územní rozsah, přenosy dat do třetích zemí, omezení profilování, pověřenec pro ochranu osobních údajů). Kompromisní návrh byl přijat převážnou většinou (49 pro, 1 proti a 3 se zdrželi) výboru LIBE, který tak dal mandát zpravodaji Jan-Phillipu Albrechtovi, aby s Radou EU vyjednal kompromisní návrh.

28. leden 2014: Místopředsedkyně EU Viviane Redingová vyzývá k vytvoření nové dohody o ochraně osobních údajů během Evropského dne ochrany údajů v roce 2014 s cílem obnovit důvěru v digitální průmysl obecně a s ohledem na transatlantické toky osobních údajů. Vzhledem k tomu, že některé společnosti a vlády nadále považují ochranu dat za překážku, a ne za řešení výzev v digitálním věku, požaduje, aby se začalo u nejnižšího společného jmenovatele a pokračovalo k vysoké úrovni ochrany osobních údajů.

12. březen 2014: Evropský parlament dává silnou podporu GDPR hlasováním na plenárním zasedání s 621 hlasy pro, 10 proti a 22 zdržujícími se hlasování. V návaznosti na toto rozhodnutí Evropského parlamentu dochází k významnému pokroku v reformě ochrany osobních údajů. Tento krok je považován za nevratný a je chápán jako zajištění efektivnější kontroly osob nad jejich osobními údaji.

10. říjen 2014: Rada EU dosahuje částečné shody na konkrétních aspektech návrhu nařízení, kterým se stanoví obecný rámec EU pro ochranu osobních údajů (zejména kapitola IV. o správci a zpracovateli). Částečná shoda je dosažena za vědomí, že:

a) nic není dohodnuto, dokud nebude vše dohodnuto;

b) není dotčeno žádné jiné právo;

c) předsednictví nedává mandát k zapojení do neformálních trialogů s Evropským parlamentem o tomto textu.

7. ledna 2015: Vydává Jan-Philipp Albrecht, německý poslanec Evropského parlamentu a zpravodaj pro GDPR, varování, že GDPR by mohlo být odloženo až do roku 2016 v důsledku neshod Německa, Francie a Spojeného království. Albrecht varoval, že neschopnost odsouhlasit přijetí GDPR povzbudí a zvýší špehování občanů Evropy bezpečnostními službami.

15. červen 2015: Rada EU dosahuje obecné shody nad GDPR. Obecný přístup představuje politickou dohodu, na jejímž základě může Rada nyní zahájit jednání s Evropským parlamentem s cílem dosáhnout celkové dohody o GDPR.

24. června 2015: Původní návrhy Komise na reformu ochrany osobních údajů byly podrobeny přezkumu a změněny zákonodárci jak v Evropském parlamentu, tak v Radě EU17. Následovalo setkání zástupců Parlamentu, Rady a Komise v Bruselu a došlo k zahájení takzvaného „trialogu“18, jehož cílem bylo uzavření dohody o GDPR.

27. července 2015: Evropský inspektor ochrany osobních údajů Giovanni Buttarelli zveřejnil svá doporučení (stanovisko 3/2015)19 zákonodárcům EU, kteří vyjednávali o konečném znění GDPR. Spustil mobilní aplikaci na porovnávání nejnovějších textů Komise, Parlamentu a Rady pro tablety a chytré telefony.

27. srpna 2015: Server Politico20 oznámil, že široká průmyslová koalice lobuje v Evropské unii za zrušení článku 43a z návrhu GDPR, který by nutil společnosti k odmítnutí žádostí o osobní údaje z nečlenských zemí. Evropský parlament doplnil návrh o tzv. „Anti-FISA“ klauzuli v návaznosti na zveřejnění informací o sledování Edwarda Snowdena bezpečnostními službami USA. (Rada nezahrnula ustanovení do upřednostňovaného znění nařízení).

9. října 2015: Evropský inspektor ochrany údajů Giovanni Buttarelli aktualizoval své dříve zveřejněné stanovisko ze dne 3. října 2015 o GDPR a zdůraznil důvěru jako nutnou podmínku pro inovativní produkty a služby, které se opírají o zpracování osobních údajů s tím, že nařízení o obecné ochraně osobních údajů musí být příkladem etického přístupu.

12. listopad 2015: V Německu je uveden film „Democracy – Im Rausch der Daten“21, který ukazuje vytrvalost a tvrdou práci Viviane Redingové, Jana-Phillippa Albrechta, Ralfa Bendratha a dalších na přijetí legislativního rámce pro ochranu osobních údajů v Evropské unii.

9. prosinec 2015: Během diskuse USA a zemí EU o způsobech, jak zvýšit rychlost a zlepšit rozsah sdílení osobních údajů v důsledku útoků na Paříž, Kalifornii a ruské osobní letadlo, generální prokurátor Loretta Lynch varuje, že plánovaná ochrana osobních dat Evropskou unií může podkopat úsilí o potlačení teroristických útoků omezením transatlantického sdílení informací.

15. prosince 2015: V trialogu mezi Komisí, Radou a Parlamentem o evropské reformě ochrany osobních údajů dosáhli vyjednavači klíčového bodu, kdy ti, kteří v minulosti zastávali rozdílná stanoviska k různým tématům projednávaným v souvislosti s GDPR dospěli ke shodě i ve směrnici o přenosu údajů pro policejní a soudní účely.

17. prosince 2015: Výbor pro občanské svobody, spravedlnost a vnitřní věci Evropského parlamentu (LIBE) schválil výsledek třístranných jednání o obecném nařízení o ochraně osobních údajů (GDPR). Převážnou většinou (48 hlasů pro, 4 proti a 4 se zdrželi) výbor LIBE schválil text GDPR včetně ustanovení o jednoznačném, konkrétním a srozumitelném souhlasu, dětech na sociálních sítích, právu na zapomenutí, právu vědět, že vaše údaje byly napadeny, srozumitelnosti jazyka a pokut ve výši až 4 % celkového celosvětového ročního obratu firem.

18. prosinec 2015: Výbor stálých zástupců (Coreper)22 potvrdil s převážnou většinou (pouze jedním hlasem proti) kompromisní znění schválené Radou, Parlamentem a Komisí dne 15. prosince. Po právně-jazykové revizi těchto textů byl návrh předložen k přijetí Radou a následně Parlamentem. Obecné nařízení o ochraně údajů (a směrnice o předávání údajů pro účely policejní a soudní spolupráce) pravděpodobně vstoupí v účinnost na jaře roku 2018.

21. prosince 2015: Zveřejňuje Evropská komise na základě dohody, kterou nedávno dosáhl Evropský parlament a Rada, informační list obsahující často kladené otázky a odpovědi týkající se evropské reformy v oblasti ochrany osobních údajů.

28. leden 2016: 47 zemí Rady Evropy, jakož i evropské instituce, agentury a orgány oslavily 10. ročník Evropského dne ochrany osobních údajů. Série událostí věnovaných tomuto výročí zahrnovala konferenci, kterou společně uspořádal Evropský parlament a evropský inspektor ochrany osobních údajů pro úředníky EU ohledně reformy v oblasti ochrany osobních údajů.

27. dubna 2016: Je v Úředním věstníku Evropské unie uveřejněno Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Tímto momentem vstupuje GDPR v platnost.

25. května 2018: Nastává účinnost Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. GDPR vstupuje v účinnost.

1 Cloud computing je model vývoje a používání počítačových technologií založený na internetu. Lze ho také charakterizovat jako poskytování služeb či programů servery dostupnými z internetu s tím, že uživatelé k nim mohou přistupovat vzdáleně, kupř. pomocí webového prohlížeče nebo klienta elektronické pošty.

2 http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

3 http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp168_en.pdf

4 http://www.europarl.europa.eu/committees/cs/libe/home.html

5 http://www.eurlex.cz/dokument.aspx?celex=31995L0046

6 https://www.gdd.de/international/english

7 http://register.consilium.europa.eu/doc/srv?l=EN&f=ST%205853%202012%20INIT

8 http://register.consilium.europa.eu/doc/srv?l=EN&f=ST%205833%202012%20INIT

9 http://euractiv.cz/

10 http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

11 http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp191_en.pdf

12 http://www.statewatch.org/news/2012/oct/ep-study-dp.pdf

13 http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

14 http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp199_en.pdf

15 https://ico.org.uk/media/1042341/implications-european-commissions-proposal-general-data-protection-regulation-for-business.pdf

16 http://www.europarl.europa.eu/committees/cs/libe/home.html

17 https://europa.eu/european-union/about-eu/institutions-bodies/council-eu_cs

18 http://ec.europa.eu/codecision/stepbystep/glossary_en.htm

19 https://edps.europa.eu/sites/edp/files/publication/15-10-09_gdpr_with_addendum_en.pdf

20 http://www.politico.com/

21 http://www.democracy-film.de/

22 http://www.consilium.europa.eu/cs/council-eu/preparatory-bodies/coreper-i/

2.Hodnota osobních údajů

Osobní údaje vytvářejí ekonomickou hodnotu pro digitální trh, zejména pak pro online platformy jako vyhledávače, sociální sítě, online videa apod.

Nařízení Evropské unie o ochraně osobních údajů GDPR definuje osobní údaje jako veškeré informace o identifikované nebo identifikovatelné fyzické osobě; zákon o ochraně osobních údajů jako jakoukoliv informaci týkající se určeného nebo určitelného subjektu údajů. Osobní údaje lze považovat za ekonomické aktivum vytvořené identitami a chováním jedinců, které je obchodováno výměnou za vyšší kvalitu služeb a produktů. Množství uložených osobních údajů rychle roste. Ukazuje se, že 90 procent dat v dnešním světě bylo vytvořeno během posledních dvou let23.

V rámci dvoustranného tržního mechanismu fungují online platformy jako zprostředkovatelé, kteří shromažďují data od spotřebitelů a prodávají nasbírané informace zejména reklamním firmám. Analýzou dat, která dostávají od spotřebitelů, mohou navrhnout personalizované reklamní strategie šité na míru zákazníkům. Firmy tak efektivněji umisťují své výrobky a spotřebitelé dostávají doporučení nebo reklamní sdělení přizpůsobená jejich zájmům. Jinými slovy, využití osobních údajů odstraňuje asymetrii informací a přispívá k vysoké efektivitě online transakcí.

Obavy z možného zneužití spotřebitelských údajů jsou však na místě. Spotřebitelé si často nejsou vědomi toho, jak mohou být jejich údaje používány v online byznysu, zejména pokud nejsou dostatečně chráněny. Nedostatečná ochrana osobních údajů spotřebitelů může způsobit nerovnoměrnou výměnu ekonomické hodnoty. Za situace, kdy nejsou řádně řešeny procesy, jakými se údaje mohou využívat, dochází ke snížení ochoty jednotlivců své osobní údaje sdílet.

2.1Osobní údaje a online

Online platformy, jako Google nebo Facebook, využívají osobní údaje, které získávají, k vylepšení svých služeb, a tím i spokojenosti uživatelů. Svou nabídku personalizují a poskytují více osobně zaměřených služeb. Například Facebook používá vložená osobní data pro komunikaci s uživateli, ladí své služby dle jejich profilu a osobnostního zaměření, čímž poskytuje personalizovanější obsah a také reklamu24.

Online platformy umožňují firmám uvádět své výrobky a/nebo služby na trh pro vybrané publikum. Šum nerelevantní reklamy snižují tím, že umožňují inzerci založenou na osobních údajích uživatelů a demografických charakteristikách. Model inzerce Facebooku funguje na základě analýzy a následného využití osobních údajů jako věk, pohlaví, postoje a zájmy uživatelů. Google volí metodu instalace souboru cookie do prohlížečů uživatelů a zaznamenává typ stránek, které uživatelé navštěvují. Následně propojuje uživatele s určitým zájmem nebo demografickými údaji jako základem pro cílenou reklamu.

Vzhledem k tomu, že tyto platformy neúčtují spotřebitelům žádné poplatky za své internetové služby, mají založen vysoký podíl svých příjmů na reklamě (což samozřejmě závisí na počtu spotřebitelů, kteří jejich služeb využívají). V letech 2014, 2013 a 2012 činila reklama 92 procent, 89 procent a 84 procent příjmů Facebooku25.

Reklama Googlu vždy generovala hlavní příjmy, což v posledním desetiletí znamenalo více než 90 % celkových výnosů společnosti.

Graf 1 – Příjmy Googlu 2001–201626

Ve Spojených státech se roční výnosy z online reklamy zvýšily zejména v posledním desetiletí. Celková průměrná roční míra růstu tržeb z online reklamy činila od roku 2005 do roku 2014 více jak 17 %, přičemž celkové příjmy v roce 2014 dosáhly 49,5 miliardy dolarů. Na prudkém vzrůstové křivce jsou i příjmy z mobilní reklamy. Průměrná roční míra růstu mobilní reklamy byla od roku 2010 do roku 2014 okolo 110 procent. Příjmy z reklam na mobilních telefonech v roce 2014 tvořily 75 procent celkových příjmů z online reklamy.

Online reklama změnila celkovou dynamiku reklamního průmyslu v USA a příjmy z online reklamy nyní přesahují výnosy z jakéhokoli jiného reklamního kanálu v USA, včetně televizního vysílání a kabelové televize, které v roce 2014 dosáhly 40,5 miliard dolarů a 25,2 miliardy dolarů.

Hodnota osobních údajů na online platformách je zobrazena výnosy z reklamy za uživatele (ARPU), které pro společnost Google v posledním čtvrtletí roku 2016 dosahovaly v průměru téměř 7 dolarů.

Celosvětová ARPU Facebooku činila v roce 2014 9,45 dolarů, což je o 39 procent vyšší než v roce 2013. Stejně jako u Googlu je i v případě Facebooku prokazatelný trend zvyšujících se výnosů z online reklamy. Lví podíl na tomto růstu je právě schopnost těchto firem efektivně analyzovat a následně využívat k cílené reklamě naše osobní data.

Graf 2 – ARPU Googlu za 2016–2017 v USD27

Graf 3 – ARPU Facebooku 2014–2017 v USD

2.2Hodnota pro firmy

Firmy nejen pasivně konzumují data z online platforem, ale také aktivně rozšiřují své uživatelské databáze a kvalitativně analyzují trendy na straně poptávky. Díky novým produktům a službám založeným na osobních údajích a preferencích mohou nabídku šít na míru zákazníkům a získávají tak větší podíl na trhu, protože lépe vyhoví potřebám svých spotřebitelů. Prognózy ukazují rostoucí význam osobních údajů jak pro soukromé tak i veřejné organizace. Aplikace založené na osobních údajích mohou do roku 2020 poskytnout vyčíslitelné přínosy ve výši až 1 bilionu EUR ročně. Předpokládá se, že tyto aplikace poskytnou až 22 % ročního nárůstu příjmů organizacím veřejného i soukromého sektoru v celkově jinak stagnujícím evropském hospodářství.

Příklady úspor, efektů a inovací, které plynou z využívání osobních údajů, jsou:

• recenze produktů,

• komentáře zveřejňované na stránkách sociálních médií,

• údaje o použití produktů pro lepší zaměření oblasti výzkumu a inovací,

• zkrácení vývojových životních cyklů.

Další online společností, která ve velkém využívá osobních údajů, je platební systém Paypal. Důvodem využití osobních údajů u této firmy je snaha zabránit podvodům při platbách na internetu. PayPal vyvinula systém ke sledování plateb a kombinuje jej s osobními údaji spotřebitelů, jako jsou IP adresy, informace o prohlížeči a další technické údaje. Výsledkem je vyšší důvěra uživatelů v online obchodní transakce28. Odhaduje se, že pojišťovny a poskytovatelé zdravotní péče spolu s dalšími organizacemi v řetězci zdravotní péče mohou dosáhnout celkových úspor nákladů ve výši 10–20 procent pomocí efektivního využívání osobních údajů. V případě zdravotnictví pak nejde jen o finanční stránku věci, ale kvalitní a rychlá výměna osobních údajů například mezi sanitkou a nemocnicí může pacientovi zachránit i život. Na druhou stranu, osobní údaje v podobě zdravotní dokumentace mají na černém trhu nejvyšší hodnotu.

Osobní údaje také používají zaměstnavatelé k prověření svých potenciálních zaměstnanců, tzv. pre-employment screening nebo k prověření schopností a možností svých potenciálních zákazníků. Tyto metody se používají ke snížení firemních rizik.

Firmy mohou využívat osobních údajů ke zjištění společenské pověsti nebo k získání informací i z neveřejných rejstříků vedených státní správou29 a doplnit tak klasický analytický model založený na úvěrovém chování zákazníků. Firmám se vyplatí sledovat i takové potenciální sociální údaje zaměstnanců nebo zákazníků, jakými je počet spojení na LinkedInu nebo vazeb v jiných sociálních sítích.

Osobní údaje firmám pomáhají při zjišťování motivů a úvah zákazníka, který se chystá ukončit využívání jejich služeb nebo chce přestat používat jejich výrobky30. S využitím takových technik mohou společnosti realizovat marketingové akce ke zvýšení loajality zákazníků31. Detekce „útěků“ je pro firmy velmi důležitá, protože snižuje náklady na udržení stávajících zákazníků. Udržet stávajícího zákazníka je prokazatelně levnější než investice do získání nového klienta32. Detekci „útěků“ lze také použít k odhalení zaměstnanců, kteří uvažují o odchodu ze společnosti33. Toto detekování se provádí pomocí sběru sociodemografických informací zákazníků nebo zaměstnanců, údajů o využívání služeb a dat o charakteristických vlastnostech jejich přátel a sousedů, včetně počtu přátel, kteří již před časem „zběhli“.

2.3Benefit pro spotřebitele

Cílená internetová reklama by měla spotřebitelům sloužit jako užitečný informační zdroj, protože je schopna zobrazit reklamy, které souvisí s jejich potenciálně jedinečnými zájmy.

Někdy je dobrovolné sdílení údajů spotřebitelem doprovázeno výslovnými odměnami a dalšími propagačními nabídkami. Společnost Datacoup například platí uživatelům za jejich osobní údaje v poměru k požadavkům inzerentů. Inzerenti mají na oplátku přístup k velkému množství shromážděných, neidentifikovatelných anonymních uživatelských dat Datacoup34. Dalším příkladem je Screenwise Trends Panel, aplikace, která sbírá informace o stránkách, které uživatelé navštěvují, o používaných aplikacích a o některých základních informacích, jak uživatelé jednotlivé aplikace využívají. Společnost dává uživatelům po registraci a instalaci nástroje na jejich zařízení až 6 odměn a až 3 dolary za týden při využití všech registrovaných zařízení35. Handshake je další online startup, který umožňuje uživatelům sjednat cenu svých dat s firmami, které o data mají zájem a chtějí je koupit. Tyto nové strategie zpochybňují dominantní model shromažďování údajů bez jakéhokoli peněžního přínosu a jasně dokládají, že údaje lze považovat i z pohledu spotřebitele za měnu, která má svou hodnotu.

Za úvahu stojí položit otázku, zda jsou spotřebitelé ochotni sdílet své osobní údaje výměnou za:

• personalizované služby (doporučení a relevantnější reklamy);

• odměny/slevy/další propagační nabídky.

Průzkum36 uskutečněný Microsoftem mezi 13 200 respondenty, zjistil, že 56 procent respondentů „mnohem pravděpodobněji nakoupí od společností, které jim umožní své výrobky nebo služby tvořit či přetvářet“, zatímco jen 2,4 procenta se zajímají o zařízení a služby, které neumožňují uživatelské přizpůsobení. Jednotlivci si nyní více uvědomují, co chtějí a očekávají od digitálních zařízení a služeb. Stále častěji je vyžadována schopnost aktivně přizpůsobovat služby na základě osobních preferencí. Podíl spotřebitelů, kteří projevili zájem o „přijetí technologie, která by nabídla návrhy a doporučení ke zvýšení spokojenosti a které odpovídají jejich osobnosti a potřebám“, se zvýšila z 50 % v roce 2013 na 55 % v roce 2015.

Samostatný průzkum37 zjistil, že 70 procent respondentů bylo ochotno sdílet vyhledávací fráze se službami, které zajistí menší počet kroků k dosažení cíle. 82 procent respondentů bylo ochotno sdílet údaje o aktivitách, které nabízí návrhy na zlepšení. 79 procent respondentů bylo ochotno sdílet informace o pohlaví službám, které by přinesly něco nového uživatelům jim podobným.

Výsledky se velmi lišily podle jednotlivých zemí. Na rozdíl od USA by se většina francouzských uživatelů pravděpodobně nebo rozhodně rozhodla nesdílet své osobní údaje výměnou za personalizované/vylepšené výrobky nebo služby38.

Průzkum provedený společností Aimia39 zjistil, že většina uživatelů dává přednost tomu, aby společnosti využívaly jejich údaje k nabídce poukazů na pravidelně kupované produkty a méně nabízely svá doporučení nebo cílené reklamy v důsledku sdílení svých osobních dat. Toto zjištění potvrzuje průzkum Microsoftu, který naznačuje, že potenciální konkurence při získávání spotřebitelů zvyšuje ceny osobních údajů.

2.4Přínosy a ztráty

Generovaná hodnota z osobních údajů prospívá zejména online platformám, firmám a částečně i spotřebitelům. Osobní údaje mohou odstranit asymetrie informací a usnadnit efektivitu transakcí. Online platformy shromažďují údaje od spotřebitelů, které jim slouží k přilákání inzerentů. Zpracováním údajů o spotřebitelích a sdílením hlavních výsledků s jejich inzerenty motivuje firmy k rozvoji kvalitnějších služeb a produktů lépe vyhovující jednotlivcům. Tímto dochází ke zvýšení poptávky na trhu a firmy následně dosahují vyšších výnosů. Spotřebitelé dostávají reklamy na zboží a služby, které jsou blíže jejich preferencím a potřebám.

Zisky z takového dvoustranného mechanismu obchodování lze maximalizovat pouze tehdy, když se spotřebitelé cítí bezpečně při využití online platformy a poskytnou svá osobní data. K tomu dojde jen tehdy, pokud je soukromí spotřebitelů přiměřeně chráněno prostřednictvím právních předpisů a provozních procesů internetových společností. Transparentnost ohledně shromažďování a zpracování osobních údajů a všeobecné dodržování jasných a dobře definovaných pravidel ochrany osobních údajů může významně podpořit vysokou míru hospodářského růstu v digitálním průmyslu40, ale nemělo by ohrozit práva a svobody jednotlivců.

23 Statista (2015) anualizovaná reklama Google ARPU od 1. čtvrtletí 2012 do 1. čtvrtletí 2014 (v amerických dolarech), http://www.statista.com/statistics/306570/google-annualized-advertising-arpu/.

24 Liberty Global, 11. 7. 2017, http://www.libertyglobal.com/PDF/public-policy/The-Value-of-Our-Digital-Identity.pdf

25 DMR, 11. 7. 2017, http://expandedramblings.com/index.php/facebook-advertising-statistics/

26 Google‘s ad revenue from 2001 to 2016 (in billion U.S. dollars), 11. 7. 2017, https://www.statista.com/statistics/266249/advertising-revenue-of-google/

27 Google‘s average revenue per monthly active user from 1st quarter 2015 to 4th quarter 2016 (in U.S. dollars), 11. 7. 2017, https://www.statista.com/statistics/306570/google-annualized-advertising-arpu/

28 Andrade, P. L., J. Hemerly, G. Recalde and P. Ryan (2014), From Big Data to Big Social and Economic Opportunities: Which Policies Will Lead to Leveraging Data-Driven Innovation’s Potential?, Bilbao-Osorio, B., S. Dutta and B. Lanvin (eds) The Global Information Technology Report 2014, Geneva: World Economic Forum and INSEAD.

29 Alonso, J., D. Tuesta, C. Cuesta and S. F. de Lis (2014), An approach to the economy of personal data and its regulation, https://www.bbvaresearch.com/wp-content/uploads/2014/11/Observatorio_Econom%C3%ADa_digital_-DATOS_en5.pdf.

30 Fan, W. and A. Bifet (2012), Mining Big Data: Current Status, and Forecast to the Future, KDD Explorations 14(2): 1–5, available at http://kdd.org/exploration_files/V14-02-01-Fan.pdf

31 Birtolo et al (2013) , Customer churn detection system: Identifying customers who wish to leave a merchant, in Ali, M. et al (eds) Recent trends in applied artificial intelligence, Berlin: Springer, http://springer.com/chapter/10.1007%2F978-3-642-38577-3_42#page-1

32 Wei, C. and I. Chiu (2002) Turning telecommunications call details to churn prediction: A data mining approach, Expert Systems with Applications 23: 103–112, available at isiarticles.com/bundles/Article/pre/pdf/21396.pdf. Dror et al, Churn Prediction in New Users of Yahoo! Answers, http://www.cs.cmu.edu/~dpelleg/download/yachurn.pdf

33 Baesens, B. (2014) Why the use of social networks in HR analytics is very promising, https://www.inostix.com/blog/en/why-the-use-of-social-networks-in-hr-analytics-is-very-promising/

34 Datacoup, 11. 7. 2017, https://datacoup.com/docs#how-it-works

35 Screenwise Trends Panel, 11. 7. 2017, https://www.screenwisetrends.com/?utm_source=datafloq&utm_medium=ref&utm_campaign=datafloq

36 Microsoft (2015a) Microsoft Digital Trends 2015, 11. 7. 2017, https://www.docdroid.net/u0mu/microsoft-advertising-digital-trends-1.pdf

37 Microsoft (2015b) The consumer data value exchange, 11. 7. 2017, https://news.microsoft.com/apac/2015/06/03/microsoft-research-reveals-understanding-gap-in-the-brand-consumer-data-exchange/#sm.000065txyd1chof9qygxnjm2ksxak#Qks51kjg2Bi2lH21.97

38 eMarketer.com, Even for personalization, France’s web users stick with basic data, 11. 7. 2017, http://www.emarketer.com/Article/Even-Personalization-Frances-Web-Users-Stick-with-Basic-Data/1012872.

39 Aimia, The four futures: The digital loyalty survey, 11. 7. 2017, https://www.aimia.com/content/dam/aimiawebsite/CaseStudiesWhitepapersResearch/english/Aimia_Whitepaper_FourFutures_DigitalLoyaltySurvey.pdf

40 Bruegel, 11. 7. 2017, http://bruegel.org/2016/01/the-economic-value-of-personal-data-for-online-platforms-firms-and-consumers/#_ftn16

3.Co je obecné nařízení GDPR

Obecné nařízení oochraně osobních údajů (anglicky General Data Protection Regulation, zkratka GDPR), plným názvem nařízení Evropského parlamentu aRady (EU) č. 2016/679 oochraně fyzických osob vsouvislosti se zpracováním osobních údajů aovolném pohybu těchto údajů aozrušení směrnice 95/46/ES (obecné nařízení oochraně osobních údajů) představuje právní rámec ochrany osobních údajů platný na celém území Evropské unie, který hájí práva jejích občanů proti neoprávněnému zacházení sjejich daty aosobními údaji. GDPR přebírá všechny dosavadní zásady ochrany azpracování údajů, na nichž unijní systém ochrany osobních údajů stojí.

Úřad na ochranu osobních údajů se stane dohledovým orgánem, který bude plnit funkci dozoru na území České republiky ipo nabytí účinnosti nařízení GDPR po25.květnu 2018. Vtéto souvislosti je podstatný názor úředníků Úřadu na GDPR, tak jak jej zpracoval Mgr. Tomáš Paták.41 Níže uvedený text je převzatý zinformačního webu ÚOOÚ avzhledem ktomu, že názor dozorového orgánu je zhlediska případně udílených sankcí zásadní, tak jej uvádím zcela beze změn. Lze předpokládat, že názorová stanoviska budou postupně doplňována, proto je vpříloze této publikace uveden ipřehled informačních zdrojů, kde lze získat relevantní aaktuální informace kvývoji voblasti ochrany osobních údajů anařízení GDPR.

3.1GDPR– obecné nařízení EU

3.1.1Co znamená Obecné nařízení oochraně osobních údajů?

Obecné nařízení představuje nový právní rámec ochrany osobních údajů vevropském prostoru, které bude od 25. května 2018 přímo stanovovat pravidla pro zpracování osobních údajů, včetně práv subjektu údajů (fyzické osoby). Včeském právním prostředí tak Obecné nařízení od 25.května 2018 nahradí zákon č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, resp. zákon oochraně osobních údajů po jeho novele bude již upravovat jen některé aspekty týkající se Úřadu pro ochranu osobních údajů (např. jeho ustavení, organizaci atd.) aněkteré dílčí záležitosti nutné kdotvoření celého rámce ochrany osobních údajů, které nejsou Obecným nařízením upraveny či je jím umožněno je upravit na vnitrostátní úrovni (nebo dokonce istanoveno, že mají být upraveny).

Charakteristická pro Obecné nařízení je jeho univerzální použitelnost ve všech státech Evropské unie (aIslandu, Norska aLichtenštejnska), atudíž isjednocující účinek, jelikož jednotná pravidla pro zpracování osobních údajů budou platit vkaždém státě EU atřech vyjmenovaných. Právě zajištění větší jednotnosti pravidel ochrany osobních údajů bylo ijedním zcílů přijetí Obecného nařízení.

Celý název je Nařízení Evropského parlamentu aRady (EU) 2016/679 ze dne 27. dubna 2016 oochraně fyzických osob vsouvislosti se zpracováním osobních údajů aovolném pohybu těchto údajů aozrušení směrnice 95/46/ES (Obecné nařízení oochraně osobních údajů).

Anglická zkratka Obecného nařízení, se kterou se lze setkat vodborných textech či hovoru, je GDPR (General Data Protection Regulation).

3.1.2Proč muselo dojít krevizi právního rámce ochrany osobních údajů?

Krevizi bylo přikročeno ztoho důvodu, že současný právní rámec, založený směrnicí 95/46/ES oochraně fyzických osob vsouvislosti se zpracováním osobních údajů aovolném pohybu těchto údajů, již přestal odpovídat současné době, zejména pokud jde oprostředky, které jsou ke zpracování využívány atéž ipokud jde ozpracování jako takové, které je daleko komplexnější, než bylo před několika desítkami lety (např. voblasti profilování, automatizace zpracování osobních údajů atd.). Zároveň vjednotlivých zemích Evropské unie nebyla Směrnicí 95/46/ES dosažena požadovaná míra sjednocení právní úpravy, což správcům působícím ve více zemích činilo problémy.

Cílem Obecného nařízení je přizpůsobení právního rámce ochrany osobních údajů dnešní době, dosažení větší jednoty právního rámce ve všech zemích, na které dopadá, posílení práv subjektu údajů avneposlední řadě je snahou dosáhnout sjednoceného výkladu Obecného nařízení adozoru jednotlivými dozorovými úřady.

3.1.3Snařízením jsem nikdy nepracoval, má nějaké zvláštnosti?

Pokud jde ostanovení práv apovinností, není mezi nařízením azákonem rozdíl, oba dva právní předpisy přímo adresátům stanovují povinnosti apráva. Jistou zvláštností nařízení oproti zákonu je jeho Preambule, která obsahuje tzv. recitály, což jsou ustanovení předcházející vlastnímu textu nařízení atato ustanovení jsou vněkterých případech výkladem či do jisté míry důvodovou zprávou kněkterým ustanovením vlastního textu nařízení. Je tak vhodné při práci snařízením sledovat ijednotlivé recitály, které se např. týkají konkrétního článku či institutu nařízení. Dále je nutné vzít vpotaz, že celý právní rámec bude dotvářet adaptační zákon, kterým bude novelizovaný zákon č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, akterý bude obsahovat idrobné (povolené) odchylky či zvláštní úpravy kObecnému nařízení. Kompletní právní rámec ochrany osobních údajů tak bude tvořen Obecným nařízením aadaptovaným zákonem oochraně osobních údajů.

3.1.4Co znamená datum použitelnosti Obecného nařízení?

Použitelnost znamená jinými slovy účinnost Obecného nařízení, tedy datum, od kdy se Obecné nařízení začne používat neboli aplikovat.

Byť je Obecné nařízení vsoučasné době platné, není ještě účinné (použitelné), tj. prošlo již legislativním procesem, je to tudíž schválený platný dokument, ale jeho účinnost nastane až 25.května 2018. Od tohoto dne se tedy všechny subjekty zainteresované na zpracování osobních údajů budou řídit Obecným nařízením.

Nyní běží pro správce azpracovatele dvouletá lhůta, aby uvedli ke dni použitelnosti Obecného nařízení svá zpracování osobních údajů do souladu sObecným nařízením.

3.1.5Co bude se současným zákonem oochraně osobních údajů?

Jelikož Obecné nařízení stanovuje práva apovinnosti při zpracování osobních údajů, vtomto rozsahu zákon č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, nahrazuje. Práva apovinnosti vsoučasném zákoně oochraně osobních údajů budou nahrazena právy apovinnostmi vyplývajícími zObecného nařízení. Zákon oochraně osobních údajů po jeho novele bude již upravovat jen některé aspekty týkající se Úřadu pro ochranu osobních údajů (např. jeho ustavení, organizaci atd.) aněkteré dílčí záležitosti nutné kdotvoření celého rámce ochrany osobních údajů, které nejsou Obecným nařízením upraveny nebo které Obecné nařízení umožňuje upravit na vnitrostátní úrovni. Uněkterých aspektů dokonce Obecné nařízení předpokládá vnitrostátní úpravu. Mezi ně patří například aspekty zpracování osobních údajů pro účely výkonu svobody projevu, práva na informace, svobody vědeckého bádání aumělecké tvorby.

3.1.6Kdo se bude muset Obecným nařízením řídit?

Obecným nařízením se bude především, pokud jde opovinnosti, řídit subjekt, který provádí zpracování osobních údajů. Takový subjekt je nazýván správcem osobních údajů. Obecným nařízením se řídí izpracovatel, což je subjekt, který pro správce osobní údaje zpracovává. Pokud jde opráva vyplývající zObecného nařízení, ta vyplývají fyzické osobě, což je subjekt údajů. Dále se Obecným nařízením budou řídit idozorové úřady, tj. iÚřad pro ochranu osobních údajů, který bude uplatňovat svěřené pravomoci za účelem plnění stanovených úkolů.

3.1.7Na jaké činnosti Obecné nařízení nedopadá?

Způsobnosti Obecného nařízení jsou vyloučeny činnosti fyzické osoby [viz článek 2 odst. 2 písm. c) Obecného nařízení], při kterých jsou zpracovávány osobní údaje výlučně pro osobní či domácí činnost.

Dále je způsobnosti Obecného nařízení vyloučeno zpracování prováděné příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost ajejich předcházení. To je předmětem úpravy Směrnice Evropského parlamentu aRady (EU) 2016/680 ze dne 27. dubna 2016 oochraně fyzických osob vsouvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, ovolném pohybu těchto údajů aozrušení rámcového rozhodnutí Rady 2008/977/SVV. Jelikož jde osměrnici, je nutné její provedení, které bude vesměs vzákoně č. 273/2008 Sb., oPolicii České republiky, atéž ivnovelizovaném zákoně č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů.

3.2Nové přístupy apovinnosti

3.2.1Na jakých nových přístupech je Obecné nařízení založeno?

Lze hovořit odvou nových přístupech, na kterých je Obecné nařízení založeno. Novými přístupy jsou princip odpovědnosti správce apřístup založený na riziku.

Princip odpovědnosti znamená odpovědnost správce za dodržení zásad zpracování, které jsou uvedeny včlánku 5 odst. 1 Obecného nařízení azároveň musí správce být schopen tento soulad doložit. Kdokládání souladu budou mimo jiné sloužit kodexy, osvědčení či certifikace, případně záznamy očinnostech zpracování.

Přístup založený na riziku vširším slova smyslu znamená, že správce již od počátku koncipování zpracování osobních údajů musí brát vpotaz povahu, rozsah, kontext aúčel zpracování apřihlédnout kpravděpodobným rizikům pro práva asvobody fyzických osob atomu musí přizpůsobit izabezpečení osobních údajů. Vužším slova smyslu můžeme hovořit opřístupu založeném na riziku jako oaplikaci některých povinností pouze vpřípadě, kdy zpracování osobních údajů či porušení zabezpečení (bezpečnostní incident) představuje riziko či vysoké riziko pro práva asvobody fyzické osoby. Vtomto rozsahu princip založený na riziku se uplatňuje zejména unových povinností: ohlašování, resp. oznamování případu porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů, resp. subjektu údajů, posuzování vlivu zpracování na ochranu osobních údajů apovinné konzultace sÚřadem pro ochranu osobních údajů, jejichž aplikace je vázána na přítomnost rizika či vysokého rizika pro práva asvobody fyzických osob.

3.2.2Jak budu jako správce dokládat soulad zpracování?

Ke splnění stanovené odpovědnosti správce za soulad zpracování se zásadami zpracování aschopnosti tento soulad prokázat, mají správci, jak výslovně zmiňuje Obecné nařízení, napomáhat mimo jiné ikodexy, osvědčení (pečetě, známky) azáznamy očinnostech zpracování.

Kodexy mají správcům, zejména na sektorové úrovni, sloužit jako vodítko správné praxe při zpracování osobních údajů právě sohledem na specifičnost daného sektoru (např. bankovnictví, telekomunikace, internetové obchody, zdravotnictví).

3.2.3Osvědčení má sloužit kprokázání souladu zpracování snařízením.

Záznamy očinnostech zpracování obsahují informace oprováděném zpracování, což správci umožní lehčí orientaci ohledně zpracování, která provádí. Tato povinnost je stanovena včlánku 30 Obecného nařízení, přičemž někteří správci jsou vyňati znutnosti vést záznamy očinnostech zpracování.

Dokládání souladu zpracování však nelze omezit pouze na shora uvedené možnosti, ale dokládání souladu je komplexní činnost, zahrnující dílčí činnosti, mezi které lze zařadit nejen shora uvedené kodexy, osvědčení azáznamy očinnostech zpracování, ale například izveřejňování informací, které Obecné nařízení ukládá správci zveřejňovat, vyhotovením vnitřních předpisů až po řádnou spolupráci spříslušným dozorovým úřadem.

3.2.4Kdo bude vydávat kodexy aosvědčení?

Kodexy budou moci vydávat sdružení či jiné subjekty zastupující různé kategorie správců nebo zpracovatelů přičemž návrh kodexu musí být předložen Úřadu pro ochranu osobních údajů, který vydá stanovisko, zdali je daný kodex či návrh na jeho změnu vsouladu sObecným nařízením apokud shledá, že ano, schválí jej. Schváleným kodexem se pak můžou řídit správci vdaném sektoru, např. bankovnictví či zdravotnictvím.

Osvědčení osouladu zpracování bude moci vydávat ktomu akreditovaný subjekt. Vsoučasné době probíhají práce na stanovení formy apostupů pro akreditaci apro vydávání osvědčení ze strany akreditovaných subjektů.

3.2.5Jaké nové povinnosti Obecné nařízení přináší?

Je nutné zdůraznit, že základní zásady, principy aklíčové instrumenty zůstávají de facto neměnné, resp. byly detailněji pouze rozpracovány azpřesněny (např. nutnost disponovat pro zpracování právním důvodem, zabezpečení osobních údajů, transparentnost vůči subjektu údajů atd.). Obecné nařízení na těchto základech přináší nástavbu spočívající vdodatečných nových povinnostech, které pro české správce budou nové.

Jde zejména otyto nové povinnosti:

• povinnost vést záznamy očinnostech zpracování;

• posouzení vlivu na ochranu osobních údajů;

• předchozí konzultace;

• ohlašování případu porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů;

• oznamování případu porušení zabezpečení osobních údajů subjektu údajů;

• ustavení pověřence pro ochranu osobních údajů.

Kromě povinnosti vést záznamy očinnostech zpracování austanovit pověřence, jsou ostatní nové povinnosti založeny na přístupu založeném na riziku, tj. jejich uplatnění je vázáno na přítomnost rizika či vysokého rizika pro práva asvobody subjektu údajů. Avšak byť upovinnosti ustanovit pověřence není přímo pracováno spojmy riziko či vysoké riziko, odráží se vtéto povinnosti do určité míry též přístup založený na riziku, jelikož pro určitá zpracování, resp. určité subjekty, je povinností ustanovit pověřence pro ochranu osobních údajů.

3.2.6Kdy musí správce provést posouzení vlivu na ochranu osobních údajů?

Posouzení vlivu na ochranu osobních údajů musí provést správce, pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, spřihlédnutím kpovaze, rozsahu, kontextu aúčelům zpracování bude představovat vysoké riziko pro práva asvobody fyzických osob. Posouzení se musí provést před započetím předmětného zpracování. Pokud byl ustanoven pověřenec pro ochranu osobních údajů, vyžádá si správce jeho posudek.

Posouzení vlivu na ochranu osobních údajů se vyžaduje především:

• usystematického arozsáhlého vyhodnocování osobních aspektů týkajících se fyzických osob, které je založeno na automatizovaném zpracování, včetně profilování, ana němž se zakládají rozhodnutí, která vyvolávají ve vztahu kfyzickým osobám právní účinky;

• urozsáhlého zpracování zvláštních kategorií údajů nebo rozsudků vtrestních věcech;

• urozsáhlého systematického monitorování veřejně přístupných prostorů.

3.2.7Kdy musí správce konzultovat zpracování dat sÚOOÚ?

Správce je povinen konzultovat zpracování osobních údajů sÚřadem pro ochranu osobních údajů, pokud zposouzení vlivu na ochranu osobních údajů vyplyne, že by dané zpracování mělo za následek vysoké riziko vpřípadě, že by správce nepřijal opatření ke zmírnění tohoto rizika. Účelem předchozí konzultace je tak korigovat hrozící vysoké riziko.

3.2.8Co jsou záznamy očinnostech?

Záznamy očinnostech zpracování představují do jisté míry náhradu za oznamovací povinnost, která byla Obecným nařízením zrušena. Správce azpracovatel, pokud se na ně nevztahuje výjimka zpovinnosti vést záznamy očinnostech zpracování, jsou povinni vést záznamy surčitými informacemi. Tyto záznamy následně umožní správci prokázat soulad zpracování sObecným nařízením.

3.2.9Kdo nemusí vést záznamy očinnostech zpracování?

Vést záznamy očinnostech zpracování nedoléhá na podnik nebo organizaci zaměstnávající méně než 250 osob, ledaže zpracování, které provádí, pravděpodobně představuje riziko pro práva asvobody subjektů údajů, zpracování není příležitostné, nebo zahrnuje zpracování zvláštních kategorií údajů nebo osobních údajů týkajících se rozsudků vtrestních věcech.

3.3Nejdůležitější pojmy

Definice pojmů jsou obsaženy včlánku 4 odst. 1 Obecného nařízení.

3.3.1Co je zpracováním osobních údajů?

Zpracováním je jakákoli operace nebo soubor operací sosobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoli jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.

Zpracování ve smyslu Obecného nařízení však nelze chápat jako jakékoli nakládání sosobním údajem. Zpracování osobních údajů je nutné považovat již za sofistikovanější činnost, kterou správce sosobními údaji provádí za určitým účelem azurčitého pohledu tak činí systematicky. Pro nakládání sosobními údaji způsobem, který není zpracováním, poskytuje ochranu např. zákon č. 89/2012 Sb., občanský zákoník. Obecným nařízením se tak jako správci řídí pouze subjekty, které osobní údaje zpracovávají ve smyslu definice zpracování.

Pojem zpracování má stejný význam, jako měl vzákoně č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů.

3.3.2Co je osobní údaj?

Osobním údajem je každá informace oidentifikované nebo identifikovatelné fyzické osobě (subjektu údajů). Identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor (jméno, číslo, síťový identifikátor) nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.

Pojem osobní údaj nebyl oproti zákonu č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, de facto změněn.

3.3.3Kdo je subjekt údajů?

Subjektem údajů je fyzická osoba, jíž se osobní údaje týkají. Subjekt údajů není právnická osoba. Údaje vztahující se kprávnické osobě tak nejsou osobními údaji. Osobní údaje mohou být pouze ve vztahu kžijící fyzické osobě, jelikož Obecné nařízení vylučuje svoji působnost na údaje ozesnulých osobách.

Definice stotožným obsahem jako vzákoně č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů.

3.3.4Co se rozumí profilováním?

Jde oformu automatizovaného zpracování osobních údajů spočívající vjejich použití khodnocení některých osobních aspektů vztahujících se kfyzické osobě, zejména krozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází, nebo pohybu.

Byť je profilování nově definováno, nejde de facto ožádnou novinku, jelikož kprofilování dochází ivsoučasné době. Profilování není apriori zákonem oochraně osobních údajů či Obecným nařízením zakázáno. Je však důležité, aby se dělo vpředvídaných případech ana základě stanovených pravidel. Profilování je běžné např. ve finančních službách, kdy finanční subjekty profilují např. klienta žádajícího ohypotéku, ukterého hodnotí schopnost splácet.

3.3.5Kdo je správce?

Správcem je subjekt, nerozhoduje, jaké právní formy, který určuje účely aprostředky zpracování osobních údajů aza zpracování primárně odpovídá. Správce osobní údaje zpracovává pro účely vyplývající zjeho činnosti (např. zákonem stanovené povinnosti, ze smluv), ale může je zpracovávat ipro vlastní určené účely, např. pro své oprávněné zájmy, pokud tyto zájmy nepřevyšují zájem na ochraně základních práv asvobod fyzických osob.

Správcem může být jakýkoli subjekt. Správcem může být ifyzická osoba, pokud zpracovává osobní údaje způsobem, že tento způsob již vylučuje uplatnění výjimky osobní či domácí činnosti, resp. pokud nejde onakládání sosobními údaji, které ještě nesplňuje definici jejich zpracování.

Pojem správce nebyl oproti zákonu č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů změněn.

3.3.6Kdo je zpracovatel?

Zpracovatelem je subjekt, kterého si správce najímá, aby pro něj prováděl sosobními údaji zpracovatelské operace. Jinými slovy zpracovatel zpracovává osobní údaje pro správce. Od správce se zpracovatel liší tím, že vrámci činnosti pro správce může provádět jen takové zpracovatelské operace, kterými jej správce pověří nebo vyplývají zčinnosti, pro kterou byl zpracovatel správcem pověřen. Je nutné poznamenat, že zpracovatel je zpracovatelem pouze ve vztahu kosobním údajům poskytnutým správcem, nikoli osobních údajů, které zpracovává pro účely, které se jej přímo dotýkají (např. je správcem při zpracování osobních údajů vlastních zaměstnanců).

Stejně jako usprávce ani uzpracovatele není určující jeho právní forma.

Pojem zpracovatel nebyl oproti zákonu č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, změněn.

3.4Zásady aprávní důvody zpracování

3.4.1Na jakých zásadách je Obecné nařízení postaveno?

Zásady lze ve stručnosti shrnout na zásady:

• zákonnost, korektnost, transparentnost– správce musí zpracovávat osobní údaje na základě nejméně jednoho právního důvodu avůči subjektu údajů transparentně;

• omezení účelu– osobní údaje musí být shromažďovány pro určité alegitimní účely anesmějí být zpracovávány neslučitelným způsobem stěmito účely;

• minimalizace údajů– osobní údaje musí být přiměřené arelevantní ve vztahu kúčelu, pro který jsou zpracovávány;

• přesnost– osobní údaje musí být přesné;

• omezení uložení– osobní údaje by měly být uloženy ve formě umožňující identifikaci subjektu údajů jen po nezbytnou dobu pro dané účely, pro které jsou zpracovávány;

• integrita adůvěrnost– technické aorganizační zabezpečení osobních údajů.

Jednotlivé zásady jsou rozvinuty včlánku 5 odst. 1 Obecného nařízení. Vymezení, resp. dodržování těchto zásad, je pro správce zásadní, nejen ztoho důvodu, že to jsou de facto zároveň povinnosti, ale iproto, že včlánku 5 odst. 2 Obecného nařízení je stanovena odpovědnost správce za jejich dodržování azároveň povinnost správce být schopen dodržování těchto zásad (povinností) doložit. Jde ovyjádření tzv. principu odpovědnosti správce. Kprokazování souladu stěmito zásadami budou sloužit záznamy očinnostech zpracování atéž kodexy aosvědčení.

3.4.2Co se rozumí právními důvody zpracování osobních údajů?

Právní důvody zpracování osobních údajů znamenají oprávnění správce osobní údaje zpracovávat. Právní důvody tak jsou nezbytným předpokladem, aby vůbec mohlo být hovořeno ze strany správce olegálním zpracování, jelikož pokud by správce nedisponoval řádným právním důvodem ke zpracování osobních údajů, bylo by dále nerozhodné, zdali plní ostatní povinnosti, jelikož by osobní údaje zpracovával nezákonně amusel by osobní údaje zlikvidovat.

Je důležité vědět, že iosobní údaje může správce zpracovávat pro různé účely, přičemž pro každý účel potřebuje právní důvod zpracování osobních údajů. Zpracování osobních údajů se vždy váže kúčelu, na základě kterého se určí právní důvod zpracování. Není vyloučeno, že „jedny“ osobní údaje (nebo jejich určitý souhrn) bude správce zpracovávat pro různé účely, přičemž tyto účely mohou včase vznikat či zanikat, aniž by to představovalo povinnost osobní údaje likvidovat. Povinnost likvidace osobních údajů nastane vpřípadě, kdy správce pozbude poslední právní důvod ke zpracování osobních údajů.

3.4.3Jaké jsou právní důvody zpracování osobních údajů subjektu údajů?

Osobní údaje lze zpracovávat, pokud je přítomen alespoň jeden ztěchto právních důvodů:

• subjekt údajů udělil souhlas pro jeden či více konkrétních účelů;

• zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;

• zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;

• zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;

• zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;

• zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva asvobody subjektu údajů vyžadující ochranu osobních údajů.

3.4.4Co znamená souhlas se zpracováním osobních údajů?

Souhlas (viz definice článek 4 odst. 1 bod 11 Obecného nařízení) je svobodný, konkrétní, informovaný ajednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů. Jde oaktivní adobrovolný projev vůle subjektu údajů, ke kterému nesmí být nucen.

Souhlas je jedním zprávních důvodů, na základě kterého může správce osobní údaje zpracovávat. Souhlas se vždy poskytuje kurčitému účelu zpracování, který musí subjekt údajů znát. Nikoli vždy odvolání souhlasu znamená povinnost správce osobní údaje zlikvidovat, jelikož odvolání souhlasu se děje kurčitému účelu, pro který jsou osobní údaje zpracovávány, přičemž správce může osobní údaje zpracovávat pro jiné účely, pro které využije jiný právní důvod zpracování než souhlas subjektu údajů.

3.4.5Jaké jsou podmínky udělení souhlasu se zpracováním osobních údajů?

Aby bylo možné dosáhnout svobodnosti, konkrétnosti, informovanosti ajednoznačnosti projevu vůle subjektu údajů, stanovuje Obecné nařízení včlánku 7 podmínky vyjádření souhlasu. Zásadní je tzv. odlišitelnost souhlasu, což znamená, že souhlas musí být odlišen od jiných skutečností, ke kterým se subjekt údajů vyjadřuje. Pro názornost, souhlas tak musí být oddělený např. od smlouvy či obchodních podmínek, resp. již není možné, aby byl jejich nedílnou součástí. Zároveň nesmí být uzavření smlouvy (např. na službu) podmiňováno poskytnutím souhlasu se zpracováním osobních údajů. Je však samozřejmé, že vzávislosti na službě či výrobku bude správce muset zpracovávat (bez souhlasu) určité množství osobních údajů subjektu údajů právě pro účely plnění smlouvy či plnění zákonem stanovené povinnosti.

3.4.6Je souhlas odvolatelný?

Subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním není dotčena zákonnost zpracování vycházejícího ze souhlasu, který byl dán před jeho odvoláním. Je nutné si uvědomit, že souhlas byl dáván kurčitým účelům aodvolání souhlasu nemusí vždy představovat pro správce povinnost osobní údaje zlikvidovat, ale bude představovat pro správce pouze povinnost přestat osobní údaje zpracovávat pro určitý účel, ke kterému byl souhlas udělen. Stejně tak ivpřípadě, kdy správce použil souhlas pro případy, kdy mu svědčí jiný právní důvod zpracování osobních údajů, neznamená odvolání souhlasu (tedy úkonu, který nebyl nezbytný pro zpracování) povinnost osobní údaje zlikvidovat či je přestat zpracovávat, např. pokud osobní údaje musí mít pro zákonem stanovené účely.

3.4.7Jak to bude se současnými souhlasy za použitelnosti Obecného nařízení?

Obecné nařízení vrecitálu 171 předpokládá přechod souhlasu, avšak spodmínkou, že souhlas byl udělen způsobem avsouladu spodmínkami Obecného nařízení. To bude pro mnoho správců problematické, jelikož jimi získávaný souhlas nebude splňovat podmínky stanovené včlánku 7 Obecného nařízení, například podmínku odlišitelnosti souhlasu (souhlas nesmí být neoddělitelnou součástí obchodních podmínek) či podmínku nepodmiňovat poskytnutí služby vyžadováním udělení souhlasu se zpracováním osobních údajů.

3.4.8Mohu zpracovávat osobní údaje zveřejněné na internetu?

Osobní údaje patří subjektům údajů aty musí vněkterých případech, zejména vzákonem stanovených případech, strpět jejich zveřejnění např. ve veřejném rejstříku. Osobní údaje ve veřejném rejstříku jsou zveřejněny na základě zákona, jelikož tak zákon stanoví (typicky např. živnostenský rejstřík). Skutečnost, že je stanovena veřejnost rejstříku, neznamená, že zveřejněné osobní údaje lze dále neomezeně přebírat azpracovávat, např. jejich dalším zveřejňováním atím na nich profitovat. Je nutné si uvědomit, že idalší zveřejňování údajů zveřejných rejstříků je zpracováním osobních údajů aktomu musí správci svědčit právní důvod, tj. zákonem předpokládané oprávnění. Jelikož Obecné nařízení oproti zákonu č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, neobsahuje ekvivalent právního důvodu oprávněně zveřejněné osobní údaje, který je vzákoně oochraně osobních údajů obsažen v§5 odst. 2 písm. d), bude další zveřejňování zveřejných rejstříků převzatých osobních údajů za použitelnosti Obecného nařízení problematické, jelikož správce bude muset využít některý zprávních důvodů včlánku 5 odst. 1 Obecného nařízení.

Obdobná situace je iuosobních údajů, které subjekty údajů dobrovolně zveřejňují na internetu za určitým účelem. Ani tyto údaje, byť jsou dobrovolně zveřejněné, nelze bez dalšího zpracovávat, jelikož ivtomto případě by správce měl absenci právního důvodu. Veřejnost údajů nikdy apriori neznamená možnost jejich dalšího bezmezného zpracovávání.

3.5Zvláštní kategorie osobních údajů (citlivé údaje)

3.5.1Proč se rozlišují zvláštní kategorie osobních údajů?

Některé osobní údaje jsou takového charakteru, že mohou subjekt údajů samy osobě poškodit ve společnosti, vzaměstnání, ve škole či mohou zapříčinit jeho diskriminaci. Ztohoto důvodu je taxativně (úplným výčtem) vymezena skupina údajů, které jsou považovány vůči subjektu údajů za citlivé ajimž je poskytnuta ještě zvýšená ochrana při jejich zpracování. Zvýšená ochrana se projevuje zejména ve stanovených zvláštních právních důvodech, na základě kterých je lze zpracovávat, vázanost některých institutů na jejich zpracování, jako hlavní činnosti (např. posouzení vlivu, ustavení pověřence), důraz na jejich zvýšené zabezpečení.

3.5.2Jaké údaje spadají do zvláštní kategorie osobních údajů?

Zvláštní kategorie osobních údajů jsou takové osobní údaje, které vypovídají orasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení, členství vodborech, zdravotním stavu či osexuálním životě nebo sexuální orientaci fyzické osoby. Za zvláštní kategorii údajů jsou považovány igenetické abiometrické údaje, které jsou zpracovávány za účelem jedinečné identifikace fyzické osoby.

Jejich výčet je téměř totožný svýčtem citlivých údajů vzákoně č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, až na údaj oodsouzení za trestný čin, který již nebude považován za zvláštní kategorii osobních údajů, ale podmínky pro zpracování osobních údajů týkajících se rozsudků vtrestních věcech atrestných činů mají zvláštní režim včlánku 10Obecného nařízení.

3.5.3Kdy lze zvláštní kategorie osobních údajů zpracovávat?

Zvláštní kategorie osobních údajů lze zpracovávat, pokud:

• subjekt údajů udělil výslovný souhlas;

• zpracování je nezbytné pro plnění povinností voblasti pracovního práva, práva sociálního zabezpečení asociální ochrany;

• zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby vpřípadě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas;

• zpracování provádí vrámci svých oprávněných činností nadace, sdružení či jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy nebo na osoby, které stímto subjektem udržují pravidelné styky související sjeho cíli, aže tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt;

• zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů;

• zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo při jednání soudů;

• zpracování je nezbytné zdůvodu významného veřejného zájmu;

• zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovních schopností zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče atd.;

• zpracování je nezbytné zdůvodu veřejného zájmu voblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění bezpečnosti zdravotní péče, léčivých přípravků nebo zdravotnických prostředků;

• zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely.

Velmi často bude zmocnění pro zpracování zvláštní kategorie osobních údajů obsaženo vpříslušném právním předpise, kterým se správce musí řídit, či bude vyplývat zoprávněné činnosti správce.

3.6Práva subjektu údajů

3.6.1Jaká jsou práva subjektu údajů?

Práva subjektu údajů jsou důležitým prvkem ochrany osobních údajů jako celku, jelikož subjektúdajů je často ve slabším postavení než správce, atudíž vybalancovávají vztah mezi ním asprávcem.

Subjekt údajů má právo na to, být informován ozpracování jeho osobních údajů. Tím se rozumí právo na určité informace ozpracování jeho osobních údajů. Jde zejména oinformace oúčelu zpracování, totožnosti správce, ojeho oprávněných zájmech, opříjemcích osobních údajů. Vtomto případě jde opasivní právo, jelikož aktivitu musí vůči subjektu údajů vyvinout správce, aby požadované informace stanovené vObecném nařízení subjektu údajů poskytl, resp. zpřístupnil. Úplný výčet informací, které správce poskytuje při shromažďování osobních údajů, lze nalézt včláncích 13 a14 Obecného nařízení. Obecné nařízení formálně rozlišuje poskytování informací vpřípadě, že osobní údaje jsou získány od subjektu údajů, resp. nejsou získány od subjektu údajů. Právo na informování je ekvivalentem práva na informace ozpracování stanoveném v§11 současného zákona č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů.

Mezi další práva subjektu údajů, která jsou mnohdy založena na aktivitě subjektu údajů, patří právo na přístup kosobním údajům, právo na opravu, resp. doplnění, právo na výmaz, právo na omezení zpracování, právo na přenositelnost údajů, právo vznést námitku aprávo nebýt předmětem automatizovaného individuálního rozhodování, včetně profilování.

3.6.2Co se rozumí přístupem kosobním údajům?

Přístupem kosobním údajům se rozumí právo subjektu údajů získat od správce informaci (potvrzení), zda jsou či nejsou jeho osobní údaje zpracovávány apokud jsou zpracovávány, má subjekt údajů právo tyto osobní údaje získat azároveň má právo získat následující informace:

• účely zpracování;

• kategorie dotčených osobních údajů;

• příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny;

• plánovaná doba, po kterou budou osobní údaje uloženy;

• existence práva požadovat od správce opravu nebo výmaz osobních údajů, právo vznést námitku;

• právo podat stížnost udozorového úřadu;

• veškeré dostupné informace ozdroji osobních údajů, pokud nejsou získány od subjektu údajů;

• skutečnost, že dochází kautomatizovanému rozhodování, včetně profilování.

Pokud správce ofyzické osobě žádné údaje nezpracovává, poskytuje se informace, že osobní údaje tazatele nejsou předmětem zpracování osobních údajů ze strany správce.

Jde oekvivalent práva přístupu kosobním údajům, stanoveném v§12 současného zákona č.101/2000 Sb., oochraně osobních údajů aozměně některých zákonů.

3.6.3Co když jsou údaje nepřesné?

Subjekt údajů má právo na opravu nepřesných osobních údajů, které se ho týkají. Neznamená to povinnost správce aktivně vyhledávat nepřesné údaje (avšak nic mu vtom ani nebrání), ani to neznamená povinnost správce např. každoročně požadovat po subjektu údajů aktualizaci jeho údajů. Pokud se subjekt údajů domnívá, že správce zpracovává jeho nepřesné údaje, upozorní jej na to. Je povinností správce, pokud mu subjekt údajů oznámí, že požaduje opravu jeho osobních údajů, zabývat se jeho žádostí.

3.6.4Co znamená právo být zapomenut?

Právo na výmaz (být zapomenut) představuje vObecném nařízení jinými slovy vyjádřenou povinnost správce zlikvidovat osobní údaje, pokud je splněna alespoň jedna podmínka:

• osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány;

• subjekt údajů odvolá souhlas aneexistuje žádný další právní důvod pro zpracování;

• subjekt údajů vznese námitky proti zpracování aneexistují žádné převažující oprávněné důvody pro zpracování;

• osobní údaje byly zpracovány protiprávně;

• osobní údaje musí být vymazány ke splnění právní povinnosti;

• osobní údaje byly shromážděny vsouvislosti snabídkou služeb informační společnosti podle článku 8 odst. 1 Obecného nařízení.

Většina vyjmenovaných případů je součástí isoučasného zákona č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, nebo vyplývají zjeho podstaty.

3.6.5Co znamená právo na přenositelnost údajů?

Právo na přenositelnost je zcela nové právo subjektu údajů, jehož podstatou je možnost za určitých podmínek získat osobní údaje, které se ho týkají ajež správci poskytl, ve strukturovaném, běžně používaném astrojově čitelném formátu, aprávo předat tyto údaje jinému správci, aniž by tomu původní správce bránil. Zároveň má subjekt údajů, pokud požádá, iprávo na to, aby správce předal jeho osobní údaje ve strukturovaném, běžně používaném astrojově čitelném formátu jinému správce, je-li to technicky proveditelné.

Společné podmínky kaplikaci práva na přenositelnost:

• musí jít ozpracování založené na právním důvodu, souhlasu či smlouvě;

• zpracování se provádí automatizovaně.

Výkonem práva na přenositelnost nesmí být nepříznivě dotčena práva asvobody jiných osob.

Kprávu na přenositelnost údajů byl ze strany skupiny WP29 vydán výkladový materiál42.

3.6.6Kdy lze vznést námitku proti zpracování osobních údajů?

Subjekt údajů má zdůvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které jsou zpracovávány na základě právních důvodů:

• zpracování je nezbytné pro plnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen;

• zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany.

Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy asvobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků. Do jisté míry jde oekvivalent práva na vysvětlení dle §21 současného zákona č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů.

Námitku lze vznést iproti zpracování osobních údajů pro účely přímého marketingu nebo profilování. Pokud subjekt údajů vznese námitku proti zpracování pro účely přímého marketingu, nebudou již osobní údaje pro tyto účely zpracovávány.

Jak chápat právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném rozhodování?

Toto právo zajišťuje subjektu údajů, že nebude předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká.

Automatizované rozhodování je přípustné vpřípadě, kdy je nezbytné kuzavření nebo plnění smlouvy mezi subjektem údajů asprávcem, pokud je povoleno právem EU nebo členským státem nebo pokud je založeno na výslovném souhlasu subjektu údajů.

Nelze tak například automatizovaně pokutovat řidiče překročující rychlost, aniž by pokutu nepřezkoumal člověk. Nebo nelze automatizovaně odmítnout žádost oúvěr, aniž by žádost nepřezkoumal člověk.

Zákaz automatizovaného individuálního rozhodování je stanoven iv§11 odst. 6 současného zákona č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů.

3.6.7Jak rychle musí správce reagovat na podanou žádost subjektu údajů?

Pokud se jedná ožádost podle článků 15 až 22 Obecného nařízení, musí být informace opřijatých opatřeních poskytnuta bez zbytečného odkladu avkaždém případě do jednoho měsíce od obdržení žádosti. Lhůtu lze ve výjimečných případech prodloužit odva měsíce, očemž musí být subjekt údajů ze strany správce informován, včetně důvodů prodloužení.

3.6.8Může správce účtovat náklady vsouvislosti správy subjektu údajů?

Zásadně platí, že informace podle článků 13 a14 aveškerá sdělení aúkony podle článku 15 až 22 a34 Obecného nařízení se poskytují ačiní bezplatně. Pouze vpřípadě, kdy jsou žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď uložit přiměřený poplatek, nebo odmítnout žádosti vyhovět. Zjevnou nedůvodnost dokládá správce.

3.6.9Co když subjekt údajů zneužívá své právo?

Zneužitím nelze apriori rozumět výkon práv subjektu údajů. Ozneužití práva subjektem údajů lze hovořit zejména tehdy, pokud se žádosti opakují ajsou zjevně nedůvodné či nepřiměřené. Vtakovém případě může správce uložit přiměřený poplatek nebo odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost dokládá správce.

3.7Správce, zpracovatel

3.7.1Za co správce odpovídá?

Správce odpovídá za dodržování povinností kladených Obecným nařízením. Zcela zásadní je dodržování zásad zpracování, jejichž dodržování zároveň musí být správce schopen doložit. Základním nezbytným předpokladem je existence řádného právního důvodu zpracování osobních údajů, kterým správce musí disponovat, aby vůbec mohl osobní údaje zpracovávat. Zároveň je nutné osobní údaje dostatečně zabezpečit. Samozřejmostí však musí být plnění idalších povinností stanovených Obecným nařízením.

3.7.2Mohou být společní správci?

Ano, nově Obecné nařízení výslovně počítá ismožností tzv. společných správců. Jde opřípad, kdy účel aprostředky zpracování stanoví společně dva nebo více správců, kteří si mezi sebou transparentním ujednáním vymezí své podíly na odpovědnosti za plnění povinností.

3.7.3Jak se mě, jako správce, dotkne Obecné nařízení?

Každého správce se Obecné nařízení dotkne jiným způsobem, ato vzávislosti na aspektech zpracování, které provádí. Tomu musí odpovídat ipřípravy správce na Obecné nařízení. Přístup založený na riziku váže některé povinnosti pouze na riziková či vysoce riziková zpracování, tudíž některé povinnosti mnoho správců nebude muset plnit, zatímco na jiné správce budou dopadat více méně všechny stanovené povinnosti. Každý správce by si měl udělat vlastní analýzu zpracování, které provádí, čímž zjistí, jaké eventuální povinnosti se na něj vztahují. Součástí analýzy může být ivytipování slabých míst správce, např. vzabezpečení či provedení revize právních důvodů ajejich uvedení do souladu spodmínkami Obecného nařízení (např. pokud správce využívá souhlas se zpracováním osobních údajů, provést zhodnocení, zdali udělené souhlasy budou použitelné ivdobě účinnosti Obecného nařízení).

Pokud správce řádně plní povinnosti vyplývající ze současného zákona č. 101/2000 Sb., oochraně osobních údajů aozměně některých zákonů, nemělo by Obecné nařízení pro něj představovat výrazný problém, se kterým by si neporadil.

Důležité též je nezapomenout na osvětu zaměstnanců.

3.7.4Jak na vztah správce– zpracovatel?

Správce může ke zpracování osobních údajů přibrat jiný subjekt, který pro něj bude osobní údaje zpracovávat. Správce by měl využít pouze takového zpracovatele, který sohledem na povahu, kontext, kategorii osobních údajů ajejich možností, poskytuje dostatečné záruky vhodných technických aorganizačních opatření, tak aby zpracování osobních údajů prostřednictvím zpracovatele splňovalo požadavky Obecného nařízení abyla zajištěna ochrana práv subjektu údajů. Za tím účelem musí být mezi správcem azpracovatelem uzavřena písemná smlouva, vníž je stanoven předmět adoba trvání zpracování, povaha aúčel zpracování, typ osobních údajů akategorie subjektů údajů, povinnosti apráva správce. Smlouva dále musí zaručovat určité okolnosti zpracování, viz článek 28 odst. 3 Obecného nařízení.

Není nutné, aby se jednalo osamostatnou smlouvu, lze požadované náležitosti zakomponovat ido jiné smlouvy, kterou správce se zpracovatelem uzavírá vrámci např. obchodního či jiného vztahu.

Správce se přizváním zpracovatele nezbavuje odpovědnosti za zpracování osobních údajů.

3.7.5Může zpracovatel zapojit do zpracování jiného zpracovatele?

Jde otzv. řetězení zpracovatelů, které není apriori zakázáno, nicméně je nutné, aby správce ktomuto dal písemné svolení zpracovateli. Svolení může být dáno kdalšímu konkrétnímu zpracovateli, nebo může být dáno obecné svolení, vtakovém případě však zpracovatel musí správce informovat oveškerých přijetích dalších zpracovatelů nebo jejich nahrazení. Účelem tak je, aby správce, který za zpracování osobních údajů primárně odpovídá, věděl, které subjekty pro něj osobní údaje zpracovávají.

3.8Zabezpečení osobních údajů

3.8.1Jak musí správce zabezpečit osobní údaje?

Správce musí přijmout sohledem na povahu, rozsah aúčely zpracování technická aorganizační opatření, aby zajistil abyl schopen doložit, že zpracování je prováděno vsouladu sObecným nařízením. Každý správce tak bude muset přijmout adekvátní bezpečnostní opatření aukaždého správce takové opatření může být, právě sohledem na povahu, rozsah aúčely zpracování, odlišné.

Jedním zprvků zabezpečení osobních údajů je např. jejich pseudonymizace nebo šifrování. Tyto prvky však nejsou povinné. Jejich dobrovolné nasazení však správci může přinést izproštění např. povinnosti ohlásit případ porušení zabezpečení osobních údajů subjektu údajů.

3.8.2Co se rozumí porušením zabezpečení osobních údajů?

Za porušení zabezpečení osobních údajů se považuje porušení zabezpečení, které vede knáhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů. Pokud dojde kporušení zabezpečení osobních údajů, měl by správce zvážit, zdali nejde ookolnost, kterou je nutné ohlásit dozorovému úřadu, resp. oznámit subjektu údajů. Tyto povinnosti nastanou tehdy, pokud porušení zabezpečení představuje riziko, resp. vysoké riziko pro práva asvobody fyzických osob.

3.8.3Hlášení správce při bezpečnostním incidentu ÚOOÚ

Pokud dojde kporušení zabezpečení osobních údajů, musí správce toto porušení bez zbytného odkladu apokud možno do 72 hodin od okamžiku, kdy se oněm dozvěděl, ohlásit dozorovému úřadu (Úřadu pro ochranu osobních údajů), ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva asvobody fyzických osob. Právě používání pseudonymizace či šifrování může případné riziko zcela eliminovat, atudíž izbavit správce nutnosti případ ohlásit dozorovému úřadu. Vždy je však nutné míru rizika posoudit, ato ivpřípadě, že byla použita pseudonymizace či šifrování.

Voznámení správce subjektu údajů musí popsat povahu porušení zabezpečení, přijatá opatření, pravděpodobné důsledky atéž musí sdělit kontaktní údaje na pověřence pro ochranu osobních údajů, byl-li ustaven.

Pokud nastane porušení zabezpečení uzpracovatele, hlásí jej správci, pro kterého dotčené osobní údaje zpracovává.

3.8.4Oznámení správce při bezpečnostním incidentu subjektu údajů

3.8.5Jak se určí riziko porušení zabezpečení?

3.8.6Existuje povinnost správce šifrovat nebo pseudonymizovat?

3.9Pověřenec pro ochranu osobních údajů

3.9.1Musí mít svého pověřence každá obec?

3.9.2Musí být pověřenec podřízen přímo vedení organizace?

3.9.3Jaké jsou úkoly pověřence pro ochranu osobních údajů?

3.9.4Jaké má mít pověřenec pro ochranu osobních údajů vzdělání?

3.9.5Musí být pověřenec pro ochranu osobních údajů certifikován?

3.9.6Může poskytnout pověřence iprávnická osoba jako službu?

3.10Předávání osobních údajů do jiných zemí

3.10.1Jak lze předávat osobní údaje do zemí Evropské unie?

3.10.2Jaké jsou možnosti předávání osobních údajů do zemí mimo EU?

Možnosti předávání:

• předání založené na rozhodnutí oodpovídající ochraně;

• předání založené na vhodných zárukách;

3.10.3Předání založené na rozhodnutí oodpovídající ochraně

3.10.4Co se rozumí předáváním založeným na vhodných zárukách?

3.10.5Co jsou závazná podniková pravidla?

3.11Sankce, pokuty

3.11.1Jaké jsou podmínky pro ukládání pokut?

3.11.2Jak vysoká může být udělená pokuta?

3.11.3Jsou při ukládání pokut polehčující či přitěžující okolnosti?

3.12Různé

3.12.1Platnost oznamovací povinnosti vsoučasné podobě

3.12.2Co je to skupina WP29?

3.12.3Poskytuje Úřad konzultace kObecnému nařízení?

3.13Příprava na GDPR

3.13.1Kontrolní seznam sebehodnocení

Specifikace účelu: