GDPR jak na to - 1. Co ptřebujete vědět

Jako pověřenec pro ochranu osobních údajů, jmenovaný víc než desítkou subjektů, jsem byl nucen zpracovat řadu podkladů pro své zákazníky.

Některé materiály zde zveřejním k obecnému použití.

Konkrétní, pro prokázání souladu potřebné listiny, jsem ochoten komukoliv připravit (upravit) podle potřeb. Vše je možné velmi jednoduše dohodnout na mém E-mailu mrmedved01@gmail.com.

Jen pro orientaci, například za činnost pověřence účtuji podle velikosti organizace od 650 Kč do 5.000 Kč měsíčně, za vyhotovení GAP analýzy pak částku od cca 5.000 Kč počítanou hodinovou sazbou 900 Kč.

Veškeré materiály jsou se zárukou, jsme pojištěni na částku 10 milionů Kč.

Implementace GDPR v postupných krocích

Co potřebujete vědět o GDPR

Cílem, který si obecné nařízení Evropského parlamentu a Rady(EU) 2016/679 o ochraně osobních údajů fyzických osob, je zajistit co nejlépe základní práva fyzických osob daná Listinou práv Evropské unie a Smlouvou o fungování Evropské unie.

K dosažení vytčeného cíle je v rámci daného nařízení zpracován soubor pravidel, jejichž dodržování má vést právě k splnění cíle. Ovšem jako všechna pravidla, tedy domluva o tom, jak budeme postupovat, jsou v některých případech jen obtížně aplikovatelná. Právě proto umožňuje dané nařízení v rámci výkladu jednotlivých ustanovení zpřesnit dle konkrétní situace vlastní řešení, vždy však s tím, že je nutné sledovat základní cíl.

Společnost prochází stálým vývojem, jednak z pohledu technického, osobní údaje fyzických osob jsou dnes zpracovávány a používány nějak, v budoucnosti to bude zřejmě jiné, ale také z pohledu toho, co je třeba chránit, o čem je společnost přesvědčena že je tou hodnotou, která si ochranu zaslouží. Každá fyzická osoba je „vlastníkem“ svých osobních údajů. Ale toto „vlastnictví“ nemůže plně využít. Zákonné povinnosti vedou k tomu, že své osobní údaje musí, ať chce či nechce, sdělit. Právě ale ono sdělení je situace, kdy tomu, komu fyzická osoba své osobní údaje sdělí má povinnost je chránit a nedovolit jejich zneužití. Právě tato povinnost je to, co upravuje nařízení o ochraně osobních údajů.

Každý, kdo zpracovává osobní údaje je povinen dokládat Úřadu pro ochranu osobních údajů soulad své činnosti a postupů v rámci zpracovávání osobních údajů s nařízením EU. K zajištění souladu je potřebné nejen vědět, co vlastně a proč zpracováváme, tedy vytvořit katalog zpracovávaných osobních údajů a zpracování, ale také posoudit, rozdílovou analýzou (GAP) zda postupy, které jsou používány nekolidují s tím, co nařízení požaduje. (Čl. 24 odst. 1 a násl.)

Platí, že nelze nikdy dosáhnout absolutní dokonalosti. Vždy je možné například fyzické zabezpečení zlepšit. Ovšem samo nařízení tuto skutečnost v čl. 25 reflektuje.

1. Správce osobních údajů

Správcem osobních údajů je ten, kdo sám, nebo společně s jinými shromáždí osobní údaje fyzických osob ať už z jakéhokoliv důvodu.

Správcem není fyzická osoba shromažďující osobní údaje pro vlastní potřebu (zájem)či domácí použití.

Správcem je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování.

Zpracovatelem je subjekt, který zpracovává osobní údaje pro správce (na základě smlouvy o zpracování osobních údajů).

Příjemcem je ten, komu osobní údaje fyzických osob správce (zpracovatel) poskytne. Například správa sociálního pojištění u zaměstnanců.

Třetí stranou je subjekt, který není subjektem údajů, správcem, zpracovatelem ani příjemcem a nepodléhá přímo správci nebo zpracovateli. Příkladem je orgán PČR, soudy a podobně.

Správcem osobních údajů se například podnikatel stane okamžikem, kdy přijme prvního zaměstnance, a je jedno, zda se jedná třeba o brigádníka ne krátkou dobu. Správcem je samozřejmě i třeba společenství vlastníků bytových jednotek, pokud jeho členy jsou fyzické osoby nebo poskytuje služby formou smluv (o nájmu) fyzickým osobám. Správcem osobních údajů je každá obec, škola, mateřská školka, knihovna, dopravce vydávající jakékoli jmenovité průkazy a podobně. Správcem je i lékař, krejčí, prostě každý, kdo z jakéhokoliv důvodu shromažďuje osobní údaje fyzických osob.

2. Co jsou osobní údaje

Osobním údajem je vše, co může přímo či nepřímo identifikovat fyzickou osobu. K identifikaci se používají identifikátory. Jen některé identifikátory, například rodné číslo, přímo identifikují konkrétní fyzickou osobu. Většina identifikátorů sama o sobě k identifikaci konkrétní fyzické osoby nepostačuje. (Jméno, příjmení, datum narození, bydliště, telefonní číslo, E-mailová adresa, IP adresa. Samostatně jsou identifikátorem třeba fotografie, fyzické, fyziologické či psychické, ekonomické, kulturní nebo společenské identifikátory).

Jméno a příjmení např. František Novák osobním údajem samo o sobě není. František Novák je poměrně časté spojení jména a příjmení a nelze z něj nijak konkrétní fyzickou osobu identifikovat.

Ve spojení s místem bydliště, např. František Novák, Praha, je již identifikace podstatně zjednodušena. Proto takové spojení dvou identifikátorů již osobním údajem vždy je.

V rámci vyhledávací strategie existuje pojem „vyhledávací pole“, tedy oblast, v které hledáme. Čím víc máme identifikátorů, tím víc se vyhledávací pole zužuje a jsem schopni snáz konkrétní fyzickou osobu identifikovat. Tuto skutečnost reflektuje nařízení o ochraně osobních údajů (čl. 5) minimalizací, tedy omezením rozsahu osobních údajů které shromažďujeme. Čím je jich méně, tím lépe!

3. Co je zpracování osobních údajů

Zpracováním osobních údajů rozumíme jakoukoli operaci, kterou s osobními údaji provádíme. I jen pouhé shromáždění osobních údajů, bez jakékoliv struktury, je zpracováním!

Škola na základě školského zákona shromažďuje údaje o žácích a vedle toho rovněž údaje o jejich zákonných zástupcích (zpravidla rodiče), ale také třeba o to, kdo může dítě vyzvednout, třeba z družiny, mimo ony zákonné zástupce. Pouhé soupisy jmen osob ve vztahu k danému žáku jsou osobními údaji. (Existují tři identifikátory – žák, který je zcela jednoznačně identifikován jménem (příjmení být nemusí!), školou kterou navštěvuje, a k tomu jméno osoby, která je oprávněná žáka převzít).

4. Zásady pro zpracování osobních údajů fyzických osob

Zákonnost, korektnost, transparentnost jsou tři okruhy, které je nutné v rámci implementace vyřešit. Jak, do jaké míry se je vyřešit podaří, je otázkou přístupu správce (zpracovatele) ale také technickou možností. Jinak je třeba přistupovat třeba k informační povinnosti u řádově stovek subjektů údajů a jinak jsou-li dotčeny miliony, jinak u dětí a jinak a seniorů.

Zákonost zpracování je dána čl. 6 nařízení. Zpracování je zákonné pouze tehdy, pokud pro něj máme jeden z přesně definovaných důvodů. Pokud takový důvod nemáme, je zpracování nezákonné!

Jednotlivé zákonné důvody zpracování, jak je vyjmenovává čl. 6 nařízení, jsou v některých případech dále rozvedeny v následujících článcích. Vždy je třeba je chápat v kontextu celého nařízení.

Jednotlivé zákonné důvody mají přímý dopad na práva subjektů údajů. Například při zpracování na základě právní povinnosti vztahující se ne správce, například vedení matriky, evidence obyvatel, matrika žáků školy a další podobné důvody vedou k ztrátě většiny práv subjektů údajů. Zbývá jen právo na informace, opravu a omezení zpracování.

Souhlas ač zdánlivě nejjednodušší, přesto velmi problematický. Vždy je lepší hledat jiný zákonný důvod pro zpracování. Správce musí doložit, že souhlas je udělen svobodně, informovaně a jednoznačně, právě pro to které konkrétní zpracování osobních údajů.

Souhlas je projevem vůle subjektu údajů a jako takový musí obsahovat právní náležitosti.

(Komu je souhlas udělen – správce označen názvem, sídlem, IČ, kým je souhlas udělen Jméno, příjmení, datum narození, bydliště, v jaké věci je souhlas udělen, na jakou dobu je udělen)

Souhlas musí být svobodný. Svobodným je tehdy, pokud je nepodmíněný. Nelze udělením souhlasu podmiňovat například splnění nějaké služby, získání čehosi a podobně. Naopak, služby, profit subjektu, musí být v celém rozsahu zachován i pokud souhlas se zpracováním správci neudělí.

(S ohledem na rizika, která má subjekt údajů při jakémkoliv zpracování jeho osobních údajů, je i z pohledu subjektu údajů udělení souhlasu správci problematické. Vždy je potřeba zvážit veškerá rizika, která udělením souhlasu mohou vzniknout, i v delším časovém odstupu).

Souhlas, pokud je vyjádřen písemným sdělením, musí být samostatný, oddělený od jiných informací, srozumitelný, za použití jednoduchých jazykových prostředků.

Souhlas musí být informovaný, tedy je nutné uvést konkrétně jaké účely správce sleduje.

Souhlas musí být jednoznačný, tedy doslova souhlasím se zpracováním mých osobních údajů v rozsahu např. Jméno a příjmení a bydliště pro potřebu evidence osob oprávněných k převzetí dítěte, postačí křestní jméno.

Souhlas může kdykoliv subjekt údajů odvolat. O této skutečnosti musí být poučen ještě než souhlasí. Odvolání souhlasu musí být stejně snadné, jako souhlas sám.

Souhlas dítěte je možný od 16 let věku samostatně. Za mladší dítě musí souhlasit zákonný zástupce, zpravidla rodič. (Postačí jeden, oba rodiče mají stejná práva).

Správce je povinen přiměřeným způsobem ověřit, že souhlas byl udělen k tomu oprávněnou osobou.

Správce souhlas, pokud je udělen v listinné podobě, vhodným způsobem archivuje k prokázání skutečnosti, že byl udělen. Souhlasy by měly být uloženy odděleně od ostatních osobních údajů.

Správce musí přijmout taková opatření, aby v případě, že souhlas bude odvolán, dále (v budoucnu, po odvolání souhlasu) osobní údaje k němu se vážící prokazatelně nezpracovával.

Souhlas může být neplatným i pro nerovnováhu v postavení správce a toho, kdo souhlas uděluje. Pokud je například správce orgánem veřejné moci, je souhlas nejméně vhodným důvodem zpracování, vždy může vzniknout pochybnost osvobodě jeho udělení.

Splnění smlouvy kterou subjekt údajů uzavře se správcem jako důvod pro zpracování osobních údajů v minimálně nutném rozsahu plně postačuje. Je možné nejen dodat zboží, ale i následně například upozorňovat na novou obdobnou nabídku. Žádný souhlas tak není potřebný pro naprostou většinu internetových obchodů.

Zpracování je nezbytné pro plnění právní povinnosti správce nebo subjektu údajů. Tento zákonný důvod je častý u veřejných institucí, například škol všech stupňů, obcí shromažďujících osobní údaje obyvatel v rámci evidence obyvatel, ale i v případech, kdy je uložena povinnost subjektu údajů zákonem, například zákon o odpadech, zákon o vodách a podobně.

Zákonný zástupce nezletilého dítěte má povinnost dbát, aby se dítě účastnilo povinné školní docházky ve smyslu ustanovení § 36 školského zákona. Nejen, že je povinen přihlásit dítě k zápisu k povinné školní docházce v době stanovené v ustanovení § 36 odst. 4 školského zákona. Zákonný zástupce nezletilého dítěte je povinen i nadále dohlížet na to, aby dítě povinnou školní docházku řádně plnilo. Nesplnění těchto povinností může být vyhodnoceno jako přestupek, ve smyslu ustanovení § 31 zákona č. 200/1990 Sb., o přestupcích. Z pohledu ochrany osobních údajů tak existuje jednoznačně zákonem daná povinnost ke zpracování osobních údajů rodičů školou nebo obdobným vzdělávacím zařízením.

Zpracování je nutné pro ochranu životně důležitých zájmů ať již subjektu údajů nebo jiné fyzické osoby. Toto ustanovení platí pokud subjekt údajů není schopen souhlas udělit z jakéhokoliv důvodu. Příkladem může být náhlá změna zdravotního stavu, kde je nutné pro správný postup znát osobní údaje, identitu postiženého a on není schopen reagovat. Jedná se o zvláštní postup, který vede k výmazu osobních údajů takto získaných pokud okolnosti vedoucí k jeho užití pominou.

Zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce. Tento zákonný důvod pro zpracování je druhým důvodem například u obcí nebo škol. Škola, jako veřejná instituce, má vzdělávací úkol. A ten je ve veřejném zájmu. A proto vše, co se vzděláním bezprostředně souvisí, může být pod tímto zákonným důvodem. Například i to, že škola v rámci lyžařského výcviku nebo výměnného pobytu v zahraničí předá osobní údaje žáků ubytovateli či organizátorovi. Samozřejmě si škola před předáním zajistí prohlášení toho, komu osobní údaje předává, že postupuje v souladu s nařízením EU o ochraně osobních údajů.

Oprávněný zájem správce nebo třetí strany je zvláštním důvodem zpracování. Nelze jej použít pro zpracování prováděné orgánem veřejné moci při plnění jeho úkolů. Jedná se o poměrně širokou kategorii, do které vedle ochrany majetku, například i kamerovým systémem, patří třeba přímý marketing nebo předávání údajů ve skupině spolupracujících správců. Ovšem i třeba charitativní služba, při které jsou zpracovány osobní údaje je oprávněným zájmem.

Oprávněným zájmem může být třeba i účast dítěte na akci, která není pořádána přímo školou ale je v souvislosti s výukou, účast na různých táborech a podobně.

Vždy je nutné při aplikaci tohoto zákonného zpracování posoudit (vybalancovat) dopad zpracování na práva subjektu údajů. Oprávněný zájem nesmí převážit nad chráněnými zájmy subjektů údajů.

Zákonnost zpracování, tedy přiřazení jednotlivých důvodů pro které osobní údaje zpracováváme, je základem celého systému ochrany osobních údajů.

Podle jednotlivých zákonných důvodů zpracování se odlišují práva subjektů údajů. Tuto skutečnost musí správce vždy reflektovat v rámci své informační povinnosti.

Zvláštní kategorií osobních údajů jsou takové údaje, které vypovídají o rase či etniku, politických názorech, náboženském vyznání či filosofickém přesvědčení, členství v odborech, rovněž genetické informace, biometrické údaje pořízené za účelem jedinečné identifikace fyzické osoby a údaje o zdravotním stavu, sexuálním životě nebo sexuální orientaci fyzické osoby je zakázáno.

Zpracovávat lze takové údaje pouze pokud subjekt údajů udělí výslovný souhlas. Právo Unie či členského státu může zakázat zpracování i pokud byl souhlas udělen. Další, v nařízené výjimky, jsou výslovně pro potřeby ochrany veřejného zájmu a slouží pouze pro účely veřejné správy.

Zpracování osobních údajů týkajících se rozsudků v trestních věcech je možné jen pod dozorem orgánu veřejné moci. Například trest obecně prospěšných prací odsouzený vykonává v některé obci. A obec musí mít informace, jaká povinnost mu byla uložena, tedy rozsudek. Zpracování takových informací lze považovat vždy za informace zvláštní kategorie a je proto nutné zajistit odlišení od jakéhokoliv jiného zpracování.

Korektnost, tedy správné/ slušné/ poctivé/ společensky bezvadné/ zdvořilé a charakterní způsoby jednání/chování se v jednotlivých částech nařízení promítají povinností vždy informovat subjekt údajů, nejen o tom, že se jeho údaje zpracovávají, ale také o tom, že má svá práva a jakým způsobem je může uplatnit. Je proto samozřejmé, že již od prvního kontaktu se subjektem údajů se vyžaduje striktně plnit veškerou informační povinnost. Nenaplnění tohoto postupu může vést až k nezákonnosti zpracování a s tím k nepříjemným důsledkům.

Transparentnost představuje jednoznačnou a jasnou formu, kdy jsou vždy dodržena pravidla, která jsou všem stranám jednoznačně známá. Transparentní zpracování osobních údajů začíná správným zákonným důvodem, dodržením minimalizace zpracovávaných údajů a úplností a přesností informace subjektu údajů a končí vyřazením osobních údajů konkrétního subjektu z dalších zpracování uplynutím doby, kterou si správce pro zpracování nastavil a o které subjekt údajů informoval.

Například transparentní je takové zpracováním osobních údajů žáka školy, které začíná informací jeho zákonným zástupcům o tom, jaké osobní údaje budou v souvislosti se školní docházkou školou jako správcem zpracovávány, jaký je právní důvod zpracování, kam budou případně osobní údaje případně postoupeny a že zpracování skončí po té, co žák ukončí docházku do dané školy s tím, že některé osobní údaje jsou archivovány, například třídní knihy. Součástí informace je poučení o právech, které zákonní zástupci v zastoupení žáka školy mají, to je především právo na přístup k informacím, právo na informace o zpracování, právo na opravu a právo na omezení zpracování a právo vznést námitku. Současně musí být předána informace jak mají své právo uplatnit, tedy kontakt na pověřenou osobu ve škole. Dále musí být uveden a jednoznačně označen pověřenec pro ochranu osobních údajů spolu s uvedením všech způsobů kontaktu. Poslední povinnou částí je informace kdo je v daném státě dozorovým orgánem ve věci ochrany osobních údajů a uvedení adresy, i adresy pro E-mailovou komunikaci a telefonního čísla dozorového orgánu.

Takovou informaci může správce poskytnout písemnou formou, nebo i jinými prostředky, například ji umístí na webové stránky školy a zástupce žáků na ni vhodně upozorní. Na žádost subjektu údajů ji musí konkrétní osobě poskytnout i opakovaně.

S takovou informací musí být zákonní zástupci každého žáka seznámeni ještě před tím, než škola začne osobní údaje žáka zpracovávat.

Zákonní zástupci žáků, kteří již jsou delší dobu žáky školy, musí takovou informaci obdržet také.

Informační povinnost končí ukončením školní docházky. Ale ještě před tím, pokud škola formou přihlášky ke studiu jinému správci předá osobní údaje žáka, musí informovat o této skutečnosti opět zákonného zástupce. K předání není potřebný žádný souhlas, je ze zákona, ovšem informace je nezbytná.

Práva subjektů údajů

Subjekt údajů má vždy právo na přístup k svým osobním údajům. Mimo informace o zpracování, které subjektu údajů povinně poskytne správce před zahájením zpracování, má správce rovněž povinnost na žádost subjektu údajů poskytnout mu informace o jeho osobních údajích které zpracovává. Jedinou výjimkou je, že nelze subjekt údajů ztotožnit. Tedy informaci lze poskytnou pouze osobě, která na ní má právo a je nutné, aby své právo prokázala a v rozsahu pouze jí příslušejícím. (Nelze uvést například seznam žáků třídy).

Oprava je jen logickým právem subjektu, který vždy může požadovat, aby jeho osobní údaje byly u správce uvedeny správně. Změna osobních údajů může nastat například změnou adresy, změnou užívaného příjmení a podobně. Není povinností správce takové změny sledovat, ale právem subjektu údajů požadovat opravu.

Právo na výmaz (právo být zapomenut) má subjekt tehdy, pokud osobní údaje již nejsou potřebné pro účel, pro který byly shromážděny, pokud subjekt údajů odvolá souhlas se zpracováním a neexistuje žádný jiný právní důvod pro pracování, subjekt údajů vznese námitky podle čl. 21 odst. 1 proti zpracování a neexistují žádné převažující oprávněné důvody pro další zpracování nebo subjekt údajů vznese námitku podle čl. 21 odst. 2.

Právo na výmaz se netýká těch zpracování, které již byla ukončena. Platí do budoucna. Souhlas lze rovněž odvolat jen do budoucna. Retraktivita není možná. Není možné požadovat, aby správce již skončená zpracování jakkoli měnil!

Správce vymaže osobní údaje subjektu z té databáze, která slouží jako základ pro zpracování.

Například žák školy přejde na jinou školu. A požádá o výmaz. Správce jej již v matrice žáků samozřejmě nepovede a nebude jeho osobní údaje dál jakkoli zpracovávat po té, co splní povinnost danou školským zákonem v takové situaci. Ovšem osobní údaje dále zůstávají ve všech souborech, v kterých byly již zpracovány (zahrnuty).

Jiná situace ovšem nastane, pokud by osobní údaje byly zpracovány protiprávně. Pak je na správci, jak takové osobní údaje ze svých souborů odstraní, ovšem povinen je je odstranit zcela.

Právo „být zapomenut“ není právem absolutním. Zpracování která mají význam pro výkon práva na svobodu projevu a informací, zpracování prováděná na základě právní povinnosti správce nebo subjektu údajů nebo splnění úkolu veřejného zájmu, důvodů veřejného zdraví (čl. 9 ods. 2 písm. h) a i) a čl. 9 odst 3) nebo důvodů archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu a statistické účely se nepoužije, pokud je pravděpodobné, že by vážně ohrozilo jeho naplnění cíle zpracování. Obdobně pro účely nebo obhajobu právních nároků nelze výmaz požadovat.

Právo na omezení zpracování je založeno na tom, že subjekt údajů sám, aktivně, namítá správci přesnost údajů, ovšem zde postačí oprava či kontrola a zpracování může pokračovat, zpracování je protiprávní, tedy správce nemá zákonný důvod, a subjekt údajů odmítne výmaz svých osobních údajů a požaduje omezení zpracování. V takovém případě sice bude dál subjekt údajů veden ve výchozí databázi, ale nesmí být dále zpracováván. To je mnohdy velký problém s ohledem na zpracování rozsáhlých, často i navazujících bází dat.

Zvláštním případem je situace, kdy správce již osobní údaje daného subjektu nepotřebuje, zpracování pro které byly určeny skončilo, ovšem subjekt údajů požaduje, aby jeho osobní údaje dále v evidenci správce byly s ohledem na určení, výkon nebo obhajobu právních nároků. Například pokud vede subjekt se správcem soudní spor o nějakou náhradu, mohou být osobní údaje u správce důkazem.

Omezení zpracování automaticky musí nastat, pokud subjekt údajů vznese námitku dle čl. 21. Do doby, než správce o námitce rozhodne, nesmí osobní údaje daného subjektu zpracovávat. Opět je to značný problém, zejména s ohledem na postupy správce.

Subjekt údajů muže dát i v situaci, kdy uplatnil právo na omezení zpracování správci souhlas se zpracováním. Ovšem jako zcela samostatný a přesně definovaný souhlas.

Správ cemůže rovněž, i bez souhlasu subjektu údajů, zpracovat jeho osobní údaje za trvání námitky zpracování pokud je to nutné k určení, výkonu nebo obhajobě právních nároků, z důvodu ochrany práv jiné fyzické nebo právnické osoby nebo z důvodu důležitého veřejného zájmu. Správce je povinen důvody prokázat!

Správce před tím, než zahájí jakékoli zpracování osobních subjektu údajů, který dosáhl omezení zpracování, je povinen subjekt údajů o daném konkrétním zpracování předem informovat, upozornit jej na to, že zpracování jeho osobních údajů bude provedeno a to podle některého z důvodů v čl. 18 odst. 2.

Právo na přenositelnost údajů má za cíl zjednodušit oznamování osobních údajů novému správci.

Toto právo ovšem není absolutní. Právo lze uplatnit pouze pokud zpracování je založeno na souhlasu subjektu údajů, zpracování je prováděno automatizovaně.

V ostatních případech se právo na přenos osobních údajů neuplatní. V běžných podmínkách současného zpracování osobních údajů se jedná o ojedinělou možnost.

Strojově čitelné jsou, samozřejmě, jakékoli tisky. OCR program je zvládne.

Právo na námitku je omezené pouze na případy, kdy:

1. zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce
2. zpracování je nezbytné pro účely oprávněných zájmů příslušného správce nebo třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu, zejména pokud je subjektem údajů dítě.

Správce osobní údaje nesmí dále zpracovávat pokud neprokáže závažné oprávněné důvody převažující nad zájmy nebo právy a svobodami subjektu údajů, nebo v případech určení, výkonu nebo obhajoby právních nároků.

Subjekt údajů musí být na právo vznést námitku upozorněn a to zřetelně a samostatně, odděleně od jiných informací, a to nejpozději v okamžiku první komunikace správce (zpracovatele) se subjektem údajů. Doklad o tomto upozornění a jeho způsobu je nutné dokládat k prokázání souladu!

Právo vznést námitku má subjekt údajů vždy, pokud se jedná o přímý marketing. Takto vznesená námitka je konečná, správce již nemůže zpracovávat (posílat nabídky) danému subjektu údajů.

Subjekt údajů má právo vznést námitku proti zpracování i pokud se zpracování týká vědeckého či historického výzkumu a statistických účelů. Důvodem námitky je konkrétní situace subjektu údajů. Výjimkou je veřejný zájem.

Automatizované individuální rozhodování včetně profilování je zvláštním způsobem zpracování osobních údajů, kdy celé zpracování je založeno na strojovém rozhodování.

Subjekt údajů má právo nebýt předmětem takového rozhodování.

Výjimkou je zpracování ze smlouvy, mezi subjektem a správcem, zpracování je založeno na výslovném souhlasu subjektu údajů, nebo je zpracování povoleno právem Unie či členského státu které se na daného správce vztahuje. Příkladem je třeba registr obyvatel ČR.

Správci je v případě této námitky uložena povinnost aby v zájmu ochrany práv a svobod subjektu údajů provést „lidský zásah“ či dát subjektu údajů prostor k názoru a právo napadnout rozhodnutí provedené automaticky.

Subjekt údajů zařazený v kategorii zvláštní má právo nebýt předmětem automatizovaného rozhodování a profilování absolutně. Neexistuje žádná výjimka.

Jak dál

Pokud jste dočetli až sem, máte obecnou povědomost o tom, co jsou práva a povinnosti v rámci ochrany osobních údajů.

Správci mají povinnosti, které jsou poměrně rozsáhlé, i když ne nové. Zákon 101/2000Sb. Ochraně osobních údajů zas tak moc odlišným nebyl. To, co je nové, je způsob kontroly. Správce je povinen doložit a prokázat soulad s nařízením. Jak to udělá?

V současné době, duben 2018, neexistuje v České republice žádná certifikační autorita oprávněná jakkoli certifikovat v oblast GDPR. Neexistují ani kodexy chování, které nařízení předpokládá. Ty kodexy by měly zpracovat jednotlivé profesní komory a sdružení. Měli na to víc než dva roky, neudělali nic.

Jediným průkazným způsobem je tak archivace všech dokumentů, které správce v souvislosti s zpracováním vydá ve vztahu k subjektům údajů, veškerých vnitřních nařízení, směrnic a pokynů, kterými reguluje způsob jakým je s osobními údaji nakládán, záznamy o zpracování, pokud má povinnost je vést a také například GAP analýza popisující současný stav a srovnávající jej s požadavkem daným nařízením o ochraně osobních údajů fyzických osob a na tuto analýzu navazující plán opatření, které správce hodlá v nějakém časovém horizontu přijmout.

Povinnost jmenovat pověřence pro ochranu osobních údajů patří mezi prokazováním souladu k významnému kroku. Právě pověřenec je ten, kdo komunikuje s dohledovým úřadem a svým způsobem tak předchází problémům. Proto, pokud někdo jmenuje pověřencem osobu, která není schopná takový úkol splnit, riskuje.

Na stránkách Úřadu pro ochranu osobních údajů jsou velmi podrobné materiály, jak postupovat, ovšem i materiál, kde jsou jednotlivé sankce v případě nedostatků u správců či zpracovatelů popsány. Nejedná se o miliony, ale o logické a zcela jednoznačné postupy. A je zbytečné vystavit se problémům jen proto, že jako správce nechávám všemu volný průběh.

                                                                                                                   Michal Medvěd