Upozornění pro čtenáře a uživatele této knihy
Všechna práva vyhrazena. Žádná část této tištěné či elektronické knihy nesmí být reprodukována ani šířena v papírové, elektronické či jiné podobě bez předchozího písemného souhlasu nakladatele. Neoprávněné užití této knihy bude trestně stíháno.

Edice právo pro praxi

Ing., Mgr. Luděk Nezmar, MBA

GDPR: Praktický průvodce implementací

Vydala Grada Publishing, a.s.
U Průhonu 22, 170 00  Praha 7
tel.: +420 234 264 401, fax: +420 234 264 400
www.grada.cz
jako svou 6 761. publikaci

Realizace obálky Michal Němec
Sazba a zlom Jan Šístek
Formát ePub Jan Šístek
Odborná redaktorka Ing. Michaela Průšová
Počet stran 304
První vydání, Praha 2017

Vytiskla tiskárna Tisk Centrum, s.r.o., Moravany

© Grada Publishing, a.s., 2017

ISBN 978-80-271-0921-0 (ePub)
ISBN 978-80-271-0920-3 (pdf)
ISBN 978-80-271-0668-4 (print)

1. Úvod a pozadí vzniku

1.1 Shrnutí

Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) známé jako „GDPR“ je v platnosti a účinnost nastává 25. května 2018 po dvouleté periodě určené k přípravě. Nahrazuje tak současný zákon č. 101/2000 Sb., o ochraně osobních údajů.

V současné době lze konstatovat, že naprostá většina firem, organizací i státních institucí či samospráv „zaspala“ a tomuto nařízení nevěnovala pozornost. V této souvislosti musím upozornit na skutečnost, že se nejedná o směrnici či doporučení EU, kterou vláda musí v nějaké podobě někdy implementovat, ale jedná se o nařízení EU platné v rámci všech členských zemí bez možnosti zásadních úprav. Jinými slovy 25. května 2018 může organizace dostat pokutu v plné výši.

GDPR stanovuje firmám a organizacím mnohem větší požadavky na zabezpečení osobních dat, kontrolu procesů a výrazně zvyšuje odpovědnost pod drakonickými sankcemi až do výše 550 mil. Kč nebo 4 % z celosvětového obratu skupiny. Počítá se vyšší sankce. Znalost, jak dodržet předpisy a prakticky aplikovat nařízení za rozumných cenových podmínek, se tak stává klíčovou kompetencí pro splnění požadavků kladených GDPR bez nadměrného finančního zatížení.

Kniha by vám měla být praktickým rádcem, jak dosáhnout souladu při zpracování osobních údajů vašich klientů, pacientů nebo zaměstnanců. Pomůže vám naplánovat a provést potřebné změny ve vašich procesech zpracování dat tak, abyste od 25. května 2018 mohli klidně usínat.

1.2 Pozadí vzniku GDPR

1.2.1 Úvod

V roce 2016 Evropská unie přijala obecné nařízení o ochraně údajů (GDPR), které je platné ve všech 28 členských státech. GDPR vstoupí v účinnost (bude vymahatelné) v květnu roku 2018. Tímto momentem bude každá organizace, instituce, obec, škola, zdravotnické zařízení nebo společnost, která ukládá nebo zpracovává osobní údaje z jakéhokoli členského státu EU, muset splnit požadavky tohoto nařízení.

Nařízení dává subjektům údajů (lidem – občanům) mnohem větší práva, stanovuje mnohem přísnější požadavky jak správcům, tak zpracovatelům (firmám a institucím) a uplatňuje výrazně vyšší sankce, než tomu bylo dosud. Společnosti budou muset zavést řadu nových postupů, aby tyto požadavky splnily. Ve stále méně stabilním ekonomickém a politickém prostředí tak všechny podniky musí reagovat vyšší rychlostí adaptace a větší mírou respektu k duševnímu vlastnictví. Základem úspěchu každé společnosti v současném digitalizovaném světě je schopnost efektivně zpracovávat informace a data, včetně jejich kvalitního zabezpečení. Nikdy předtím nebyl takový tlak na rychlost, hloubku a adopci tak zásadních změn. Organizace jsou nuceny k prudké inovaci a konkurenci. Potřeba „změny jako konstantního faktoru“ je stále přítomna – stejně jako rizika, která se mohou projevit podkopáním úspěchu. Nové předpisy vyžadují společnou a nerozdílnou odpovědnost. Znalost toho, jak dodržovat nové předpisy pomocí včasného praktického přístupu, zajistí, že dodržování předpisů nebude příliš nákladné a ve skutečnosti se použije jako nová podmínka konkurenceschopnosti.

Aby bylo možné v březnu 2018 uplatnit nařízení o obecné ochraně údajů v Evropské unii (GDPR), bude nutné, aby všichni správci a zpracovatelé údajů, kteří zpracovávají osobní údaje obyvatel EU, zavedli příslušná technická a organizační opatření. Budou muset zachovat důvěrnost, integritu, dostupnost i odolnost systémů zpracovávajících osobní data.

Staré čínské přísloví praví: „Co nemá cenu, nemá ani hodnotu.“ Také současná situace potvrzuje pravdivost tohoto rčení, protože cena informací ve světě neustále stoupá a osobní údaje se staly velmi cennou komoditou. Reálná hodnota osobních údajů se objevila teprve nedávno. Kybernetická bezpečnost je jedním z klíčových úkolů budoucnosti, protože krádež osobních údajů vystavuje občany EU významným rizikům. Současné techniky analýzy dat umožňují organizacím sledovat a předvídat individuální chování, dokážou předjímat nákupní rozhodování jedinců a mohou být nasazeny v automatizovaném rozhodování. Kombinace všech těchto faktorů spolu s pokračujícími technologiemi vyvolává řadu otázek a vedla ke snaze zajistit základní bezpečí občanů EU. GDPR je reakcí na rychlou digitalizaci a kybernetizaci našeho prostoru. Zda reakcí úspěšnou, to ukáže až čas.

Mnohým se může zdát, že se jedná o další regulaci, tedy snahu zase uloupnout kousek naší svobody. Ve skutečnosti se tento krok z pohledu běžného občana jeví jako opravdová snaha zabezpečit alespoň základní právo svobody jedince, protože snaha monitorovat každý náš krok, ať už vládou nebo korporacemi, je zjevná.

Nařízení GDPR je novátorské i v tom směru, že se netýká jen entit v rámci EU, ale kohokoliv, kdo chce zpracovávat data občanů EU. Firma z Hong Kongu nebo nevládní organizace z USA působící na území Evropské unie tak musí vyhovět požadavkům GDPR stejně jako česká nebo slovenská firma.

1.2.2 Historie ochrany osobních dat

GDPR vychází z původní směrnice EU o ochraně osobních údajů (DPD). Ve svých požadavcích jde dále než HIPAA v USA či jiné legislativní regulace snažící se o ochranu osobních údajů. GDPR je v současné době nejkomplexnější zákonná norma chránící soukromí občanů.

Směrnice o ochraně osobních údajů (DPD) existuje již dvacet let. Stanovuje minimální standard zákona o ochraně údajů v členských státech EU. Česká republika v roce 2000 přijala vlastní zákon týkající se ochrany osobních údajů. Většina států Evropské unie přijala nějakou legislativu řešící problematiku ochrany osobně identifikovatelných informací.

Vývoj technologií je vždy rychlejší než vývoj právních norem. Důležitá je však reakční doba právního systému na technologické změny. Níže je popsána historie vývoje ochrany osobních údajů z hlediska GDPR.

28. leden 1981: Podpis smlouvy o ochraně osob s ohledem na automatické zpracování osobních údajů. Byla podepsána jako Úmluva Rady Evropy č. 108 a vstoupila v platnost dne 1. října 1985. Všech 47 členů Rady Evropy smlouvu ratifikovalo, s výjimkou Turecka.

4. říjen 1995: Evropská směrnice o ochraně osobních údajů (oficiálně: směrnice 95/46 / ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů) byla vytvořena jako základní prvek ochrany soukromí v rámci EU a práva v oblasti lidských práv. Tato směrnice vstoupila v platnost dne 13. prosince 1995 a požadovala od členských států EU, aby do 24. října 1998 provedly příslušná ustanovení ve vnitrostátním právu.

19. květen 2009: Evropská komise zahájila konferenci věnovanou využití a ochraně osobních údajů a zkoumání nových úkolů týkajících se ochrany soukromí. Součástí konference byl i panel věnující se oblasti ochrany osobních údajů v globalizovaném světě se zvýšenou mobilitou a v souvislosti s moderními komunikačními a informačními technologiemi, výměnou dat mezi veřejnými orgány a soukromými společnostmi a mezinárodními přenosy osobních údajů v rámci cloud computingu[1].

Obrázek 1 – vývoj technologií v porovnání s vývojem legislativy

1. prosinec 2009: Pracovní skupina zřízená podle článku 29 (WP29)[2] a pracovní skupina pro politiku a spravedlnost (WPPJ) zveřejňuje dokument „Budoucnost soukromí“[3] jako reakci na stanovisko Evropské komise v souvislosti s novými výzvami v oblasti ochrany osobních dat. Tehdy aktuální hlavní principy ochrany osobních údajů jsou považovány za stále platné navzdory novým technologiím a globalizaci. Dokument však zdůrazňuje, že úroveň ochrany osobních údajů v rámci EU lze zvýšit lepším uplatňováním stávajících zásad a legislativy v oblasti ochrany osobních údajů v praxi a postupnou modernizací právního rámce.

4. listopad 2010: Evropská komise stanovuje strategii, jak chránit údaje jednotlivců ve všech oblastech, a to včetně vymáhání práva. S tím omezuje byrokratické požadavky a zaručuje volný pohyb údajů v rámci EU. Znamená to přehodnocení dosavadní politiky a Komise tím aplikuje výsledky veřejné diskuze k revizi evropské směrnice o ochraně osobních údajů.

22. červen 2011: Výbor pro občanské svobody, spravedlnost a vnitřní věci (LIBE)[4]přijímá návrh komplexního přístupu k ochraně osobních údajů. Klíčovým tématem se stává budoucnost evropského práva v této oblasti a změna stávající směrnice o ochraně údajů 95/46 / ES[5].

17. listopad 2011: Během zahájení zasedání 35. konference o ochraně soukromí, německého sdružení pro ochranu údajů a ochranu údajů (GDD)[6], Paul Nemitz oznamuje, že Evropská komise plánuje zavést nařízení, které je přímo aplikovatelné ve všech členských státech EU a bude harmonizovat zákony na ochranu osobních údajů v rámci celé Evropě.

25. leden 2012: Evropská komise navrhuje komplexní reformu pravidel EU ochrany osobních údajů z roku 1995 za účelem posílení práv, zejména v online prostředí. Komise konstatuje, že technologický pokrok a globalizace výrazně změnily způsob, jakým jsou osobní data shromažďována, zpřístupňována a využívána. Souběžně s návrhem nařízení o obecné ochraně údajů (5853/12)[7] přijala Komise i směrnici o zpracování údajů za účelem vymáhání práva (5833/12).[8]

21. února 2012: EurActiv[9] oznamuje, že Spojené státy velmi aktivně ovlivnily průběh projednávání ve snaze ochránit zájmy amerických společností působících v EU. V důsledku tohoto tlaku byl text navržený Komisí výrazně upraven ve prospěch USA a po tomto zjištění návrh nebyl už dále projednáván.

23. březen 2012: Pracovní skupina pro ochranu osobních údajů zřízená podle článku 29 (WP29)[10] zveřejnila své stanovisko 01/2012[11] jako počáteční příspěvek k diskusi o reformě ochrany osobních údajů. V tomto stanovisku vítá posílení postavení subjektů údajů, posílení odpovědnosti správců a posílení postavení orgánů dohledu, jak na vnitrostátní, tak na mezinárodní úrovni, s potenciálem výrazně snížit stávající roztříštěnost a posílit ochranu osobních údajů v celé Evropě.

12. duben 2012: Německý poslanec Evropského parlamentu a Výboru pro občanské svobody, spravedlnost a vnitřní věci (LIBE) Jan-Philipp Albrecht je oficiálně jmenován zpravodajem Evropského parlamentu pro nařízení o obecné ochraně údajů.

2. září 2012: Zveřejňuje Evropský parlament studii nazvanou „Reforming the Data Protection Package“[12], kterou realizovala polská advokátní kancelář a němečtí akademičtí pracovníci z Evropského institutu právních studií. Studie upozorňuje na nutnost zlepšení ochrany subjektů, závažné nedostatky v GDPR týkající se nových technologií a služeb, nesoulad práv spotřebitelů a možnost mezinárodní přenositelnosti údajů.

5. říjen 2012: Pracovní skupina pro ochranu údajů podle článku 29 (WP29)[13] zveřejnila své stanovisko 08/2012[14] jako další příspěvek k diskusi o reformě ochrany osobních údajů, která se konkrétně zabývá definicí osobních údajů, pojmem souhlas a postupy v přenesené pravomoci.

25. říjen 2012: Rada bere na vědomí současný stav obecného nařízení o ochraně osobních údajů. Během rozpravy je diskutována zejména volba právního nástroje. Některé delegace upřednostňovaly směrnici namísto nařízení, protože by umožnila větší pružnost tam, kde by to bylo potřebné. Jiné delegace však zvolily formu nařízení, tak jak navrhla Komise.

28. leden 2013: Komisařka EU pro spravedlnost a místopředsedkyně Evropské komise Viviane Redingová během Evropského dne ochrany údajů 2013 zdůrazňuje, že žijeme v digitálním světě, v němž mají osobní údaje obrovskou ekonomickou hodnotu. V tomto digitálním světě je třeba, aby evropské podniky mohly využít nové možnosti výpočetní techniky a sdílení informací, ale ne na úkor evropských spotřebitelů. Jednotný a moderní zákon o ochraně osobních údajů pro Evropskou unii proto musí zajistit důvěru a vytvářet prostor pro růst jednotného digitálního trhu.

14. květen 2013: London Economics zveřejňuje výsledky nezávislého průzkumu[15], který zadal úřad britského komisaře pro informace, aby pomohl porozumět výzvám, které GDPR staví před podniky a organizace. Z dotazovaných 506 podniků nebylo 87 % respondentů schopno odhadnout pravděpodobné náklady na splnění požadavků navrhovaného nařízení a 82 % respondentů nebylo schopno vyčíslit své současné výdaje na dodržování ochrany osobních údajů.

21. říjen 2013: Výbor pro občanské svobody, spravedlnost a vnitřní věci (LIBE)[16] Evropského parlamentu hlasoval za přijetí kompromisního textu GDPR, který obsahoval několik pozměňovacích návrhů, z nichž některé jsou významné ve srovnání s původním návrhem vypracovaným Evropskou komisí v lednu 2012 (např. výrazně zvýšené sankce, rozšířený územní rozsah, přenosy dat do třetích zemí, omezení profilování, pověřenec pro ochranu osobních údajů). Kompromisní návrh byl přijat převážnou většinou (49 pro, 1 proti a 3 se zdrželi) výboru LIBE, který tak dal mandát zpravodaji Jan-Phillipu Albrechtovi, aby s Radou EU vyjednal kompromisní návrh.

28. leden 2014: Místopředsedkyně EU Viviane Redingová vyzývá k vytvoření nové dohody o ochraně osobních údajů během Evropského dne ochrany údajů v roce 2014 s cílem obnovit důvěru v digitální průmysl obecně a s ohledem na transatlantické toky osobních údajů. Vzhledem k tomu, že některé společnosti a vlády nadále považují ochranu dat za překážku, a ne za řešení výzev v digitálním věku, požaduje, aby se začalo u nejnižšího společného jmenovatele a pokračovalo k vysoké úrovni ochrany osobních údajů.

12. březen 2014: Evropský parlament dává silnou podporu GDPR hlasováním na plenárním zasedání s 621 hlasy pro, 10 proti a 22 zdržujícími se hlasování. V návaznosti na toto rozhodnutí Evropského parlamentu dochází k významnému pokroku v reformě ochrany osobních údajů. Tento krok je považován za nevratný a je chápán jako zajištění efektivnější kontroly osob nad jejich osobními údaji.

10. říjen 2014: Rada EU dosahuje částečné shody na konkrétních aspektech návrhu nařízení, kterým se stanoví obecný rámec EU pro ochranu osobních údajů (zejména kapitola IV. o správci a zpracovateli). Částečná shoda je dosažena za vědomí, že:

a) nic není dohodnuto, dokud nebude vše dohodnuto;

b) není dotčeno žádné jiné právo;

c) předsednictví nedává mandát k zapojení do neformálních trialogů s Evropským parlamentem o tomto textu.

7. ledna 2015: Vydává Jan-Philipp Albrecht, německý poslanec Evropského parlamentu a zpravodaj pro GDPR, varování, že GDPR by mohlo být odloženo až do roku 2016 v důsledku neshod Německa, Francie a Spojeného království. Albrecht varoval, že neschopnost odsouhlasit přijetí GDPR povzbudí a zvýší špehování občanů Evropy bezpečnostními službami.

15. červen 2015: Rada EU dosahuje obecné shody nad GDPR. Obecný přístup představuje politickou dohodu, na jejímž základě může Rada nyní zahájit jednání s Evropským parlamentem s cílem dosáhnout celkové dohody o GDPR.

24. června 2015: Původní návrhy Komise na reformu ochrany osobních údajů byly podrobeny přezkumu a změněny zákonodárci jak v Evropském parlamentu, tak v Radě EU[17]. Následovalo setkání zástupců Parlamentu, Rady a Komise v Bruselu a došlo k zahájení takzvaného „trialogu“[18], jehož cílem bylo uzavření dohody o GDPR.

27. července 2015: Evropský inspektor ochrany osobních údajů Giovanni Buttarelli zveřejnil svá doporučení (stanovisko 3/2015)[19] zákonodárcům EU, kteří vyjednávali o konečném znění GDPR. Spustil mobilní aplikaci na porovnávání nejnovějších textů Komise, Parlamentu a Rady pro tablety a chytré telefony.

27. srpna 2015: Server Politico[20] oznámil, že široká průmyslová koalice lobuje v Evropské unii za zrušení článku 43a z návrhu GDPR, který by nutil společnosti k odmítnutí žádostí o osobní údaje z nečlenských zemí. Evropský parlament doplnil návrh o tzv. „Anti-FISA“ klauzuli v návaznosti na zveřejnění informací o sledování Edwarda Snowdena bezpečnostními službami USA. (Rada nezahrnula ustanovení do upřednostňovaného znění nařízení).

9. října 2015: Evropský inspektor ochrany údajů Giovanni Buttarelli aktualizoval své dříve zveřejněné stanovisko ze dne 3. října 2015 o GDPR a zdůraznil důvěru jako nutnou podmínku pro inovativní produkty a služby, které se opírají o zpracování osobních údajů s tím, že nařízení o obecné ochraně osobních údajů musí být příkladem etického přístupu.

12. listopad 2015: V Německu je uveden film „Democracy – Im Rausch der Daten“[21], který ukazuje vytrvalost a tvrdou práci Viviane Redingové, Jana-Phillippa Albrechta, Ralfa Bendratha a dalších na přijetí legislativního rámce pro ochranu osobních údajů v Evropské unii.

9. prosinec 2015: Během diskuse USA a zemí EU o způsobech, jak zvýšit rychlost a zlepšit rozsah sdílení osobních údajů v důsledku útoků na Paříž, Kalifornii a ruské osobní letadlo, generální prokurátor Loretta Lynch varuje, že plánovaná ochrana osobních dat Evropskou unií může podkopat úsilí o potlačení teroristických útoků omezením transatlantického sdílení informací.

15. prosince 2015: V trialogu mezi Komisí, Radou a Parlamentem o evropské reformě ochrany osobních údajů dosáhli vyjednavači klíčového bodu, kdy ti, kteří v minulosti zastávali rozdílná stanoviska k různým tématům projednávaným v souvislosti s GDPR dospěli ke shodě i ve směrnici o přenosu údajů pro policejní a soudní účely.

17. prosince 2015: Výbor pro občanské svobody, spravedlnost a vnitřní věci Evropského parlamentu (LIBE) schválil výsledek třístranných jednání o obecném nařízení o ochraně osobních údajů (GDPR). Převážnou většinou (48 hlasů pro, 4 proti a 4 se zdrželi) výbor LIBE schválil text GDPR včetně ustanovení o jednoznačném, konkrétním a srozumitelném souhlasu, dětech na sociálních sítích, právu na zapomenutí, právu vědět, že vaše údaje byly napadeny, srozumitelnosti jazyka a pokut ve výši až 4 % celkového celosvětového ročního obratu firem.

18. prosinec 2015: Výbor stálých zástupců (Coreper)[22] potvrdil s převážnou většinou (pouze jedním hlasem proti) kompromisní znění schválené Radou, Parlamentem a Komisí dne 15. prosince. Po právně-jazykové revizi těchto textů byl návrh předložen k přijetí Radou a následně Parlamentem. Obecné nařízení o ochraně údajů (a směrnice o předávání údajů pro účely policejní a soudní spolupráce) pravděpodobně vstoupí v účinnost na jaře roku 2018.

21. prosince 2015: Zveřejňuje Evropská komise na základě dohody, kterou nedávno dosáhl Evropský parlament a Rada, informační list obsahující často kladené otázky a odpovědi týkající se evropské reformy v oblasti ochrany osobních údajů.

28. leden 2016: 47 zemí Rady Evropy, jakož i evropské instituce, agentury a orgány oslavily 10. ročník Evropského dne ochrany osobních údajů. Série událostí věnovaných tomuto výročí zahrnovala konferenci, kterou společně uspořádal Evropský parlament a evropský inspektor ochrany osobních údajů pro úředníky EU ohledně reformy v oblasti ochrany osobních údajů.

27. dubna 2016: Je v Úředním věstníku Evropské unie uveřejněno Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Tímto momentem vstupuje GDPR v platnost.

25. května 2018: Nastává účinnost Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. GDPR vstupuje v účinnost.

[1]Cloud computing je model vývoje a používání počítačových technologií založený na internetu. Lze ho také charakterizovat jako poskytování služeb či programů servery dostupnými z internetu s tím, že uživatelé k nim mohou přistupovat vzdáleně, kupř. pomocí webového prohlížeče nebo klienta elektronické pošty.

[2] http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

[3] http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp168_en.pdf

[4] http://www.europarl.europa.eu/committees/cs/libe/home.html

[5] http://www.eurlex.cz/dokument.aspx?celex=31995L0046

[6] https://www.gdd.de/international/english

[7] http://register.consilium.europa.eu/doc/srv?l=EN&f=ST%205853%202012%20INIT

[8] http://register.consilium.europa.eu/doc/srv?l=EN&f=ST%205833%202012%20INIT

[9] http://euractiv.cz/

[10] http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

[11] http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp191_en.pdf

[12] http://www.statewatch.org/news/2012/oct/ep-study-dp.pdf

[13] http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

[14] http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp199_en.pdf

[15] https://ico.org.uk/media/1042341/implications-european-commissions-proposal-general-data-protection-regulation-for-business.pdf

[16] http://www.europarl.europa.eu/committees/cs/libe/home.html

[17] https://europa.eu/european-union/about-eu/institutions-bodies/council-eu_cs

[18] http://ec.europa.eu/codecision/stepbystep/glossary_en.htm

[19] https://edps.europa.eu/sites/edp/files/publication/15-10-09_gdpr_with_addendum_en.pdf

[20] http://www.politico.com/

[21] http://www.democracy-film.de/

[22] http://www.consilium.europa.eu/cs/council-eu/preparatory-bodies/coreper-i/

2. Hodnota osobních údajů

Osobní údaje vytvářejí ekonomickou hodnotu pro digitální trh, zejména pak pro online platformy jako vyhledávače, sociální sítě, online videa apod.

Nařízení Evropské unie o ochraně osobních údajů GDPR definuje osobní údaje jako veškeré informace o identifikované nebo identifikovatelné fyzické osobě; zákon o ochraně osobních údajů jako jakoukoliv informaci týkající se určeného nebo určitelného subjektu údajů. Osobní údaje lze považovat za ekonomické aktivum vytvořené identitami a chováním jedinců, které je obchodováno výměnou za vyšší kvalitu služeb a produktů. Množství uložených osobních údajů rychle roste. Ukazuje se, že 90 procent dat v dnešním světě bylo vytvořeno během posledních dvou let[23].

V rámci dvoustranného tržního mechanismu fungují online platformy jako zprostředkovatelé, kteří shromažďují data od spotřebitelů a prodávají nasbírané informace zejména reklamním firmám. Analýzou dat, která dostávají od spotřebitelů, mohou navrhnout personalizované reklamní strategie šité na míru zákazníkům. Firmy tak efektivněji umisťují své výrobky a spotřebitelé dostávají doporučení nebo reklamní sdělení přizpůsobená jejich zájmům. Jinými slovy, využití osobních údajů odstraňuje asymetrii informací a přispívá k vysoké efektivitě online transakcí.

Obavy z možného zneužití spotřebitelských údajů jsou však na místě. Spotřebitelé si často nejsou vědomi toho, jak mohou být jejich údaje používány v online byznysu, zejména pokud nejsou dostatečně chráněny. Nedostatečná ochrana osobních údajů spotřebitelů může způsobit nerovnoměrnou výměnu ekonomické hodnoty. Za situace, kdy nejsou řádně řešeny procesy, jakými se údaje mohou využívat, dochází ke snížení ochoty jednotlivců své osobní údaje sdílet.

2.1 Osobní údaje a online

Online platformy, jako Google nebo Facebook, využívají osobní údaje, které získávají, k vylepšení svých služeb, a tím i spokojenosti uživatelů. Svou nabídku personalizují a poskytují více osobně zaměřených služeb. Například Facebook používá vložená osobní data pro komunikaci s uživateli, ladí své služby dle jejich profilu a osobnostního zaměření, čímž poskytuje personalizovanější obsah a také reklamu[24].

Online platformy umožňují firmám uvádět své výrobky a/nebo služby na trh pro vybrané publikum. Šum nerelevantní reklamy snižují tím, že umožňují inzerci založenou na osobních údajích uživatelů a demografických charakteristikách. Model inzerce Facebooku funguje na základě analýzy a následného využití osobních údajů jako věk, pohlaví, postoje a zájmy uživatelů. Google volí metodu instalace souboru cookie do prohlížečů uživatelů a zaznamenává typ stránek, které uživatelé navštěvují. Následně propojuje uživatele s určitým zájmem nebo demografickými údaji jako základem pro cílenou reklamu.

Vzhledem k tomu, že tyto platformy neúčtují spotřebitelům žádné poplatky za své internetové služby, mají založen vysoký podíl svých příjmů na reklamě (což samozřejmě závisí na počtu spotřebitelů, kteří jejich služeb využívají). V letech 2014, 2013 a 2012 činila reklama 92 procent, 89 procent a 84 procent příjmů Facebooku[25].

Reklama Googlu vždy generovala hlavní příjmy, což v posledním desetiletí znamenalo více než 90 % celkových výnosů společnosti.

Graf 1 – Příjmy Googlu 2001–2016 [26]

Ve Spojených státech se roční výnosy z online reklamy zvýšily zejména v posledním desetiletí. Celková průměrná roční míra růstu tržeb z online reklamy činila od roku 2005 do roku 2014 více jak 17 %, přičemž celkové příjmy v roce 2014 dosáhly 49,5 miliardy dolarů. Na prudkém vzrůstové křivce jsou i příjmy z mobilní reklamy. Průměrná roční míra růstu mobilní reklamy byla od roku 2010 do roku 2014 okolo 110 procent. Příjmy z reklam na mobilních telefonech v roce 2014 tvořily 75 procent celkových příjmů z online reklamy.

Online reklama změnila celkovou dynamiku reklamního průmyslu v USA a příjmy z online reklamy nyní přesahují výnosy z jakéhokoli jiného reklamního kanálu v USA, včetně televizního vysílání a kabelové televize, které v roce 2014 dosáhly 40,5 miliard dolarů a 25,2 miliardy dolarů.

Hodnota osobních údajů na online platformách je zobrazena výnosy z reklamy za uživatele (ARPU), které pro společnost Google v posledním čtvrtletí roku 2016 dosahovaly v průměru téměř 7 dolarů.

Celosvětová ARPU Facebooku činila v roce 2014 9,45 dolarů, což je o 39 procent vyšší než v roce 2013. Stejně jako u Googlu je i v případě Facebooku prokazatelný trend zvyšujících se výnosů z online reklamy. Lví podíl na tomto růstu je právě schopnost těchto firem efektivně analyzovat a následně využívat k cílené reklamě naše osobní data.

Graf 2 – ARPU Googlu za 2016–2017 v USD [27]

Graf 3 – ARPU Facebooku 2014–2017 v USD

2.2 Hodnota pro firmy

Firmy nejen pasivně konzumují data z online platforem, ale také aktivně rozšiřují své uživatelské databáze a kvalitativně analyzují trendy na straně poptávky. Díky novým produktům a službám založeným na osobních údajích a preferencích mohou nabídku šít na míru zákazníkům a získávají tak větší podíl na trhu, protože lépe vyhoví potřebám svých spotřebitelů. Prognózy ukazují rostoucí význam osobních údajů jak pro soukromé tak i veřejné organizace. Aplikace založené na osobních údajích mohou do roku 2020 poskytnout vyčíslitelné přínosy ve výši až 1 bilionu EUR ročně. Předpokládá se, že tyto aplikace poskytnou až 22 % ročního nárůstu příjmů organizacím veřejného i soukromého sektoru v celkově jinak stagnujícím evropském hospodářství.

Příklady úspor, efektů a inovací, které plynou z využívání osobních údajů, jsou:

• recenze produktů,

• komentáře zveřejňované na stránkách sociálních médií,

• údaje o použití produktů pro lepší zaměření oblasti výzkumu a inovací,

• zkrácení vývojových životních cyklů.

Další online společností, která ve velkém využívá osobních údajů, je platební systém Paypal. Důvodem využití osobních údajů u této firmy je snaha zabránit podvodům při platbách na internetu. PayPal vyvinula systém ke sledování plateb a kombinuje jej s osobními údaji spotřebitelů, jako jsou IP adresy, informace o prohlížeči a další technické údaje. Výsledkem je vyšší důvěra uživatelů v online obchodní transakce[28]. Odhaduje se, že pojišťovny a poskytovatelé zdravotní péče spolu s dalšími organizacemi v řetězci zdravotní péče mohou dosáhnout celkových úspor nákladů ve výši 10–20 procent pomocí efektivního využívání osobních údajů. V případě zdravotnictví pak nejde jen o finanční stránku věci, ale kvalitní a rychlá výměna osobních údajů například mezi sanitkou a nemocnicí může pacientovi zachránit i život. Na druhou stranu, osobní údaje v podobě zdravotní dokumentace mají na černém trhu nejvyšší hodnotu.

Osobní údaje také používají zaměstnavatelé k prověření svých potenciálních zaměstnanců, tzv. pre-employment screening nebo k prověření schopností a možností svých potenciálních zákazníků. Tyto metody se používají ke snížení firemních rizik.

Firmy mohou využívat osobních údajů ke zjištění společenské pověsti nebo k získání informací i z neveřejných rejstříků vedených státní správou[29] a doplnit tak klasický analytický model založený na úvěrovém chování zákazníků. Firmám se vyplatí sledovat i takové potenciální sociální údaje zaměstnanců nebo zákazníků, jakými je počet spojení na LinkedInu nebo vazeb v jiných sociálních sítích.

Osobní údaje firmám pomáhají při zjišťování motivů a úvah zákazníka, který se chystá ukončit využívání jejich služeb nebo chce přestat používat jejich výrobky[30]. S využitím takových technik mohou společnosti realizovat marketingové akce ke zvýšení loajality zákazníků[31]. Detekce „útěků“ je pro firmy velmi důležitá, protože snižuje náklady na udržení stávajících zákazníků. Udržet stávajícího zákazníka je prokazatelně levnější než investice do získání nového klienta[32]. Detekci „útěků“ lze také použít k odhalení zaměstnanců, kteří uvažují o odchodu ze společnosti[33]. Toto detekování se provádí pomocí sběru sociodemografických informací zákazníků nebo zaměstnanců, údajů o využívání služeb a dat o charakteristických vlastnostech jejich přátel a sousedů, včetně počtu přátel, kteří již před časem „zběhli“.

2.3 Benefit pro spotřebitele

Cílená internetová reklama by měla spotřebitelům sloužit jako užitečný informační zdroj, protože je schopna zobrazit reklamy, které souvisí s jejich potenciálně jedinečnými zájmy.

Někdy je dobrovolné sdílení údajů spotřebitelem doprovázeno výslovnými odměnami a dalšími propagačními nabídkami. Společnost Datacoup například platí uživatelům za jejich osobní údaje v poměru k požadavkům inzerentů. Inzerenti mají na oplátku přístup k velkému množství shromážděných, neidentifikovatelných anonymních uživatelských dat Datacoup[34]. Dalším příkladem je Screenwise Trends Panel, aplikace, která sbírá informace o stránkách, které uživatelé navštěvují, o používaných aplikacích a o některých základních informacích, jak uživatelé jednotlivé aplikace využívají. Společnost dává uživatelům po registraci a instalaci nástroje na jejich zařízení až 6 odměn a až 3 dolary za týden při využití všech registrovaných zařízení[35]. Handshake je další online startup, který umožňuje uživatelům sjednat cenu svých dat s firmami, které o data mají zájem a chtějí je koupit. Tyto nové strategie zpochybňují dominantní model shromažďování údajů bez jakéhokoli peněžního přínosu a jasně dokládají, že údaje lze považovat i z pohledu spotřebitele za měnu, která má svou hodnotu.

Za úvahu stojí položit otázku, zda jsou spotřebitelé ochotni sdílet své osobní údaje výměnou za:

• personalizované služby (doporučení a relevantnější reklamy);

• odměny/slevy/další propagační nabídky.

Průzkum[36] uskutečněný Microsoftem mezi 13 200 respondenty, zjistil, že 56 procent respondentů „mnohem pravděpodobněji nakoupí od společností, které jim umožní své výrobky nebo služby tvořit či přetvářet“, zatímco jen 2,4 procenta se zajímají o zařízení a služby, které neumožňují uživatelské přizpůsobení. Jednotlivci si nyní více uvědomují, co chtějí a očekávají od digitálních zařízení a služeb. Stále častěji je vyžadována schopnost aktivně přizpůsobovat služby na základě osobních preferencí. Podíl spotřebitelů, kteří projevili zájem o „přijetí technologie, která by nabídla návrhy a doporučení ke zvýšení spokojenosti a které odpovídají jejich osobnosti a potřebám“, se zvýšila z 50 % v roce 2013 na 55 % v roce 2015.

Samostatný průzkum[37] zjistil, že 70 procent respondentů bylo ochotno sdílet vyhledávací fráze se službami, které zajistí menší počet kroků k dosažení cíle. 82 procent respondentů bylo ochotno sdílet údaje o aktivitách, které nabízí návrhy na zlepšení. 79 procent respondentů bylo ochotno sdílet informace o pohlaví službám, které by přinesly něco nového uživatelům jim podobným.

Výsledky se velmi lišily podle jednotlivých zemí. Na rozdíl od USA by se většina francouzských uživatelů pravděpodobně nebo rozhodně rozhodla nesdílet své osobní údaje výměnou za personalizované/vylepšené výrobky nebo služby[38].

Průzkum provedený společností Aimia[39] zjistil, že většina uživatelů dává přednost tomu, aby společnosti využívaly jejich údaje k nabídce poukazů na pravidelně kupované produkty a méně nabízely svá doporučení nebo cílené reklamy v důsledku sdílení svých osobních dat. Toto zjištění potvrzuje průzkum Microsoftu, který naznačuje, že potenciální konkurence při získávání spotřebitelů zvyšuje ceny osobních údajů.

2.4 Přínosy a ztráty

Generovaná hodnota z osobních údajů prospívá zejména online platformám, firmám a částečně i spotřebitelům. Osobní údaje mohou odstranit asymetrie informací a usnadnit efektivitu transakcí. Online platformy shromažďují údaje od spotřebitelů, které jim slouží k přilákání inzerentů. Zpracováním údajů o spotřebitelích a sdílením hlavních výsledků s jejich inzerenty motivuje firmy k rozvoji kvalitnějších služeb a produktů lépe vyhovující jednotlivcům. Tímto dochází ke zvýšení poptávky na trhu a firmy následně dosahují vyšších výnosů. Spotřebitelé dostávají reklamy na zboží a služby, které jsou blíže jejich preferencím a potřebám.

Zisky z takového dvoustranného mechanismu obchodování lze maximalizovat pouze tehdy, když se spotřebitelé cítí bezpečně při využití online platformy a poskytnou svá osobní data. K tomu dojde jen tehdy, pokud je soukromí spotřebitelů přiměřeně chráněno prostřednictvím právních předpisů a provozních procesů internetových společností. Transparentnost ohledně shromažďování a zpracování osobních údajů a všeobecné dodržování jasných a dobře definovaných pravidel ochrany osobních údajů může významně podpořit vysokou míru hospodářského růstu v digitálním průmyslu[40], ale nemělo by ohrozit práva a svobody jednotlivců.

[23] Statista (2015) anualizovaná reklama Google ARPU od 1. čtvrtletí 2012 do 1. čtvrtletí 2014 (v amerických dolarech), http://www.statista.com/statistics/306570/google-annualized-advertising-arpu/.

[24] Liberty Global, 11. 7. 2017, http://www.libertyglobal.com/PDF/public-policy/The-Value-of-Our-Digital-Identity.pdf

[25] DMR, 11. 7. 2017, http://expandedramblings.com/index.php/facebook-advertising-statistics/

[26] Google‘s ad revenue from 2001 to 2016 (in billion U.S. dollars), 11. 7. 2017, https://www.statista.com/statistics/266249/advertising-revenue-of-google/

[27] Google‘s average revenue per monthly active user from 1st quarter 2015 to 4th quarter 2016 (in U.S. dollars), 11. 7. 2017, https://www.statista.com/statistics/306570/google-annualized-advertising-arpu/

[28] Andrade, P. L., J. Hemerly, G. Recalde and P. Ryan (2014), From Big Data to Big Social and Economic Opportunities: Which Policies Will Lead to Leveraging Data-Driven Innovation’s Potential?, Bilbao-Osorio, B., S. Dutta and B. Lanvin (eds) The Global Information Technology Report 2014, Geneva: World Economic Forum and INSEAD.

[29] Alonso, J., D. Tuesta, C. Cuesta and S. F. de Lis (2014), An approach to the economy of personal data and its regulation, https://www.bbvaresearch.com/wp-content/uploads/2014/11/Observatorio_Econom%C3%ADa_digital_-DATOS_en5.pdf.

[30] Fan, W. and A. Bifet (2012), Mining Big Data: Current Status, and Forecast to the Future, KDD Explorations 14(2): 1–5, available at http://kdd.org/exploration_files/V14-02-01-Fan.pdf

[31] Birtolo et al (2013) , Customer churn detection system: Identifying customers who wish to leave a merchant, in Ali, M. et al (eds) Recent trends in applied artificial intelligence, Berlin: Springer, http://springer.com/chapter/10.1007%2F978-3-642-38577-3_42#page-1

[32] Wei, C. and I. Chiu (2002) Turning telecommunications call details to churn prediction: A data mining approach, Expert Systems with Applications 23: 103–112, available at isiarticles.com/bundles/Article/pre/pdf/21396.pdf. Dror et al, Churn Prediction in New Users of Yahoo! Answers, http://www.cs.cmu.edu/~dpelleg/download/yachurn.pdf

[33] Baesens, B. (2014) Why the use of social networks in HR analytics is very promising, https://www.inostix.com/blog/en/why-the-use-of-social-networks-in-hr-analytics-is-very-promising/

[34] Datacoup, 11. 7. 2017, https://datacoup.com/docs#how-it-works

[35] Screenwise Trends Panel, 11. 7. 2017, https://www.screenwisetrends.com/?utm_source=datafloq&utm_medium=ref&utm_campaign=datafloq

[36] Microsoft (2015a) Microsoft Digital Trends 2015, 11. 7. 2017, https://www.docdroid.net/u0mu/microsoft-advertising-digital-trends-1.pdf

[37] Microsoft (2015b) The consumer data value exchange, 11. 7. 2017, https://news.microsoft.com/apac/2015/06/03/microsoft-research-reveals-understanding-gap-in-the-brand-consumer-data-exchange/#sm.000065txyd1chof9qygxnjm2ksxak#Qks51kjg2Bi2lH21.97

[38] eMarketer.com, Even for personalization, France’s web users stick with basic data, 11. 7. 2017, http://www.emarketer.com/Article/Even-Personalization-Frances-Web-Users-Stick-with-Basic-Data/1012872.

[39] Aimia, The four futures: The digital loyalty survey, 11. 7. 2017, https://www.aimia.com/content/dam/aimiawebsite/CaseStudiesWhitepapersResearch/english/Aimia_Whitepaper_FourFutures_DigitalLoyaltySurvey.pdf

[40] Bruegel, 11. 7. 2017, http://bruegel.org/2016/01/the-economic-value-of-personal-data-for-online-platforms-firms-and-consumers/#_ftn16

3. Co je obecné nařízení GDPR

Obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation, zkratka GDPR), plným názvem nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) představuje právní rámec ochrany osobních údajů platný na celém území Evropské unie, který hájí práva jejích občanů proti neoprávněnému zacházení s jejich daty a osobními údaji. GDPR přebírá všechny dosavadní zásady ochrany a zpracování údajů, na nichž unijní systém ochrany osobních údajů stojí.

Úřad na ochranu osobních údajů se stane dohledovým orgánem, který bude plnit funkci dozoru na území České republiky i po nabytí účinnosti nařízení GDPR po 25. květnu 2018. V této souvislosti je podstatný názor úředníků Úřadu na GDPR, tak jak jej zpracoval Mgr. Tomáš Paták.[41] Níže uvedený text je převzatý z informačního webu ÚOOÚ a vzhledem k tomu, že názor dozorového orgánu je z hlediska případně udílených sankcí zásadní, tak jej uvádím zcela beze změn. Lze předpokládat, že názorová stanoviska budou postupně doplňována, proto je v příloze této publikace uveden i přehled informačních zdrojů, kde lze získat relevantní a aktuální informace k vývoji v oblasti ochrany osobních údajů a nařízení GDPR.

3.1 GDPR – obecné nařízení EU

3.1.1 Co znamená Obecné nařízení o ochraně osobních údajů?

Obecné nařízení představuje nový právní rámec ochrany osobních údajů v evropském prostoru, které bude od 25. května 2018 přímo stanovovat pravidla pro zpracování osobních údajů, včetně práv subjektu údajů (fyzické osoby). V českém právním prostředí tak Obecné nařízení od 25. května 2018 nahradí zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, resp. zákon o ochraně osobních údajů po jeho novele bude již upravovat jen některé aspekty týkající se Úřadu pro ochranu osobních údajů (např. jeho ustavení, organizaci atd.) a některé dílčí záležitosti nutné k dotvoření celého rámce ochrany osobních údajů, které nejsou Obecným nařízením upraveny či je jím umožněno je upravit na vnitrostátní úrovni (nebo dokonce i stanoveno, že mají být upraveny).

Charakteristická pro Obecné nařízení je jeho univerzální použitelnost ve všech státech Evropské unie (a Islandu, Norska a Lichtenštejnska), a tudíž i sjednocující účinek, jelikož jednotná pravidla pro zpracování osobních údajů budou platit v každém státě EU a třech vyjmenovaných. Právě zajištění větší jednotnosti pravidel ochrany osobních údajů bylo i jedním z cílů přijetí Obecného nařízení.

Celý název je Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (Obecné nařízení o ochraně osobních údajů).

Anglická zkratka Obecného nařízení, se kterou se lze setkat v odborných textech či hovoru, je GDPR (General Data Protection Regulation).

3.1.2 Proč muselo dojít k revizi právního rámce ochrany osobních údajů?

K revizi bylo přikročeno z toho důvodu, že současný právní rámec, založený směrnicí 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, již přestal odpovídat současné době, zejména pokud jde o prostředky, které jsou ke zpracování využívány a též i pokud jde o zpracování jako takové, které je daleko komplexnější, než bylo před několika desítkami lety (např. v oblasti profilování, automatizace zpracování osobních údajů atd.). Zároveň v jednotlivých zemích Evropské unie nebyla Směrnicí 95/46/ES dosažena požadovaná míra sjednocení právní úpravy, což správcům působícím ve více zemích činilo problémy.

Cílem Obecného nařízení je přizpůsobení právního rámce ochrany osobních údajů dnešní době, dosažení větší jednoty právního rámce ve všech zemích, na které dopadá, posílení práv subjektu údajů a v neposlední řadě je snahou dosáhnout sjednoceného výkladu Obecného nařízení a dozoru jednotlivými dozorovými úřady.

3.1.3 S nařízením jsem nikdy nepracoval, má nějaké zvláštnosti?

Pokud jde o stanovení práv a povinností, není mezi nařízením a zákonem rozdíl, oba dva právní předpisy přímo adresátům stanovují povinnosti a práva. Jistou zvláštností nařízení oproti zákonu je jeho Preambule, která obsahuje tzv. recitály, což jsou ustanovení předcházející vlastnímu textu nařízení a tato ustanovení jsou v některých případech výkladem či do jisté míry důvodovou zprávou k některým ustanovením vlastního textu nařízení. Je tak vhodné při práci s nařízením sledovat i jednotlivé recitály, které se např. týkají konkrétního článku či institutu nařízení. Dále je nutné vzít v potaz, že celý právní rámec bude dotvářet adaptační zákon, kterým bude novelizovaný zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, a který bude obsahovat i drobné (povolené) odchylky či zvláštní úpravy k Obecnému nařízení. Kompletní právní rámec ochrany osobních údajů tak bude tvořen Obecným nařízením a adaptovaným zákonem o ochraně osobních údajů.

3.1.4 Co znamená datum použitelnosti Obecného nařízení?

Použitelnost znamená jinými slovy účinnost Obecného nařízení, tedy datum, od kdy se Obecné nařízení začne používat neboli aplikovat.

Byť je Obecné nařízení v současné době platné, není ještě účinné (použitelné), tj. prošlo již legislativním procesem, je to tudíž schválený platný dokument, ale jeho účinnost nastane až 25. května 2018. Od tohoto dne se tedy všechny subjekty zainteresované na zpracování osobních údajů budou řídit Obecným nařízením.

Nyní běží pro správce a zpracovatele dvouletá lhůta, aby uvedli ke dni použitelnosti Obecného nařízení svá zpracování osobních údajů do souladu s Obecným nařízením.

3.1.5 Co bude se současným zákonem o ochraně osobních údajů?

Jelikož Obecné nařízení stanovuje práva a povinnosti při zpracování osobních údajů, v tomto rozsahu zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, nahrazuje. Práva a povinnosti v současném zákoně o ochraně osobních údajů budou nahrazena právy a povinnostmi vyplývajícími z Obecného nařízení. Zákon o ochraně osobních údajů po jeho novele bude již upravovat jen některé aspekty týkající se Úřadu pro ochranu osobních údajů (např. jeho ustavení, organizaci atd.) a některé dílčí záležitosti nutné k dotvoření celého rámce ochrany osobních údajů, které nejsou Obecným nařízením upraveny nebo které Obecné nařízení umožňuje upravit na vnitrostátní úrovni. U některých aspektů dokonce Obecné nařízení předpokládá vnitrostátní úpravu. Mezi ně patří například aspekty zpracování osobních údajů pro účely výkonu svobody projevu, práva na informace, svobody vědeckého bádání a umělecké tvorby.

3.1.6 Kdo se bude muset Obecným nařízením řídit?

Obecným nařízením se bude především, pokud jde o povinnosti, řídit subjekt, který provádí zpracování osobních údajů. Takový subjekt je nazýván správcem osobních údajů. Obecným nařízením se řídí i zpracovatel, což je subjekt, který pro správce osobní údaje zpracovává. Pokud jde o práva vyplývající z Obecného nařízení, ta vyplývají fyzické osobě, což je subjekt údajů. Dále se Obecným nařízením budou řídit i dozorové úřady, tj. i Úřad pro ochranu osobních údajů, který bude uplatňovat svěřené pravomoci za účelem plnění stanovených úkolů.

3.1.7 Na jaké činnosti Obecné nařízení nedopadá?

Z působnosti Obecného nařízení jsou vyloučeny činnosti fyzické osoby [viz článek 2 odst. 2 písm. c) Obecného nařízení], při kterých jsou zpracovávány osobní údaje výlučně pro osobní či domácí činnost.

Dále je z působnosti Obecného nařízení vyloučeno zpracování prováděné příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení. To je předmětem úpravy Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV. Jelikož jde o směrnici, je nutné její provedení, které bude vesměs v zákoně č. 273/2008 Sb., o Policii České republiky, a též i v novelizovaném zákoně č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.

3.2 Nové přístupy a povinnosti

3.2.1 Na jakých nových přístupech je Obecné nařízení založeno?

Lze hovořit o dvou nových přístupech, na kterých je Obecné nařízení založeno. Novými přístupy jsou princip odpovědnosti správce a přístup založený na riziku.

Princip odpovědnosti znamená odpovědnost správce za dodržení zásad zpracování, které jsou uvedeny v článku 5 odst. 1 Obecného nařízení a zároveň musí správce být schopen tento soulad doložit. K dokládání souladu budou mimo jiné sloužit kodexy, osvědčení či certifikace, případně záznamy o činnostech zpracování.

Přístup založený na riziku v širším slova smyslu znamená, že správce již od počátku koncipování zpracování osobních údajů musí brát v potaz povahu, rozsah, kontext a účel zpracování a přihlédnout k pravděpodobným rizikům pro práva a svobody fyzických osob a tomu musí přizpůsobit i zabezpečení osobních údajů. V užším slova smyslu můžeme hovořit o přístupu založeném na riziku jako o aplikaci některých povinností pouze v případě, kdy zpracování osobních údajů či porušení zabezpečení (bezpečnostní incident) představuje riziko či vysoké riziko pro práva a svobody fyzické osoby. V tomto rozsahu princip založený na riziku se uplatňuje zejména u nových povinností: ohlašování, resp. oznamování případu porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů, resp. subjektu údajů, posuzování vlivu zpracování na ochranu osobních údajů a povinné konzultace s Úřadem pro ochranu osobních údajů, jejichž aplikace je vázána na přítomnost rizika či vysokého rizika pro práva a svobody fyzických osob.

3.2.2 Jak budu jako správce dokládat soulad zpracování?

Ke splnění stanovené odpovědnosti správce za soulad zpracování se zásadami zpracování a schopnosti tento soulad prokázat, mají správci, jak výslovně zmiňuje Obecné nařízení, napomáhat mimo jiné i kodexy, osvědčení (pečetě, známky) a záznamy o činnostech zpracování.

Kodexy mají správcům, zejména na sektorové úrovni, sloužit jako vodítko správné praxe při zpracování osobních údajů právě s ohledem na specifičnost daného sektoru (např. bankovnictví, telekomunikace, internetové obchody, zdravotnictví).

3.2.3 Osvědčení má sloužit k prokázání souladu zpracování s nařízením.

Záznamy o činnostech zpracování obsahují informace o prováděném zpracování, což správci umožní lehčí orientaci ohledně zpracování, která provádí. Tato povinnost je stanovena v článku 30 Obecného nařízení, přičemž někteří správci jsou vyňati z nutnosti vést záznamy o činnostech zpracování.

Dokládání souladu zpracování však nelze omezit pouze na shora uvedené možnosti, ale dokládání souladu je komplexní činnost, zahrnující dílčí činnosti, mezi které lze zařadit nejen shora uvedené kodexy, osvědčení a záznamy o činnostech zpracování, ale například i zveřejňování informací, které Obecné nařízení ukládá správci zveřejňovat, vyhotovením vnitřních předpisů až po řádnou spolupráci s příslušným dozorovým úřadem.

3.2.4 Kdo bude vydávat kodexy a osvědčení?

Kodexy budou moci vydávat sdružení či jiné subjekty zastupující různé kategorie správců nebo zpracovatelů přičemž návrh kodexu musí být předložen Úřadu pro ochranu osobních údajů, který vydá stanovisko, zdali je daný kodex či návrh na jeho změnu v souladu s Obecným nařízením a pokud shledá, že ano, schválí jej. Schváleným kodexem se pak můžou řídit správci v daném sektoru, např. bankovnictví či zdravotnictvím.

Osvědčení o souladu zpracování bude moci vydávat k tomu akreditovaný subjekt. V současné době probíhají práce na stanovení formy a postupů pro akreditaci a pro vydávání osvědčení ze strany akreditovaných subjektů.

3.2.5 Jaké nové povinnosti Obecné nařízení přináší?

Je nutné zdůraznit, že základní zásady, principy a klíčové instrumenty zůstávají de facto neměnné, resp. byly detailněji pouze rozpracovány a zpřesněny (např. nutnost disponovat pro zpracování právním důvodem, zabezpečení osobních údajů, transparentnost vůči subjektu údajů atd.). Obecné nařízení na těchto základech přináší nástavbu spočívající v dodatečných nových povinnostech, které pro české správce budou nové.

Jde zejména o tyto nové povinnosti:

• povinnost vést záznamy o činnostech zpracování;

• posouzení vlivu na ochranu osobních údajů;

• předchozí konzultace;

• ohlašování případu porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů;

• oznamování případu porušení zabezpečení osobních údajů subjektu údajů;

• ustavení pověřence pro ochranu osobních údajů.

Kromě povinnosti vést záznamy o činnostech zpracování a ustanovit pověřence, jsou ostatní nové povinnosti založeny na přístupu založeném na riziku, tj. jejich uplatnění je vázáno na přítomnost rizika či vysokého rizika pro práva a svobody subjektu údajů. Avšak byť u povinnosti ustanovit pověřence není přímo pracováno s pojmy riziko či vysoké riziko, odráží se v této povinnosti do určité míry též přístup založený na riziku, jelikož pro určitá zpracování, resp. určité subjekty, je povinností ustanovit pověřence pro ochranu osobních údajů.

3.2.6 Kdy musí správce provést posouzení vlivu na ochranu osobních údajů?

Posouzení vlivu na ochranu osobních údajů musí provést správce, pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování bude představovat vysoké riziko pro práva a svobody fyzických osob. Posouzení se musí provést před započetím předmětného zpracování. Pokud byl ustanoven pověřenec pro ochranu osobních údajů, vyžádá si správce jeho posudek.

Posouzení vlivu na ochranu osobních údajů se vyžaduje především:

• u systematického a rozsáhlého vyhodnocování osobních aspektů týkajících se fyzických osob, které je založeno na automatizovaném zpracování, včetně profilování, a na němž se zakládají rozhodnutí, která vyvolávají ve vztahu k fyzickým osobám právní účinky;

• u rozsáhlého zpracování zvláštních kategorií údajů nebo rozsudků v trestních věcech;

• u rozsáhlého systematického monitorování veřejně přístupných prostorů.

3.2.7 Kdy musí správce konzultovat zpracování dat s ÚOOÚ?

Správce je povinen konzultovat zpracování osobních údajů s Úřadem pro ochranu osobních údajů, pokud z posouzení vlivu na ochranu osobních údajů vyplyne, že by dané zpracování mělo za následek vysoké riziko v případě, že by správce nepřijal opatření ke zmírnění tohoto rizika. Účelem předchozí konzultace je tak korigovat hrozící vysoké riziko.

3.2.8 Co jsou záznamy o činnostech?

Záznamy o činnostech zpracování představují do jisté míry náhradu za oznamovací povinnost, která byla Obecným nařízením zrušena. Správce a zpracovatel, pokud se na ně nevztahuje výjimka z povinnosti vést záznamy o činnostech zpracování, jsou povinni vést záznamy s určitými informacemi. Tyto záznamy následně umožní správci prokázat soulad zpracování s Obecným nařízením.

3.2.9 Kdo nemusí vést záznamy o činnostech zpracování?

Vést záznamy o činnostech zpracování nedoléhá na podnik nebo organizaci zaměstnávající méně než 250 osob, ledaže zpracování, které provádí, pravděpodobně představuje riziko pro práva a svobody subjektů údajů, zpracování není příležitostné, nebo zahrnuje zpracování zvláštních kategorií údajů nebo osobních údajů týkajících se rozsudků v trestních věcech.

3.3 Nejdůležitější pojmy

Definice pojmů jsou obsaženy v článku 4 odst. 1 Obecného nařízení.

3.3.1 Co je zpracováním osobních údajů?

Zpracováním je jakákoli operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoli jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.

Zpracování ve smyslu Obecného nařízení však nelze chápat jako jakékoli nakládání s osobním údajem. Zpracování osobních údajů je nutné považovat již za sofistikovanější činnost, kterou správce s osobními údaji provádí za určitým účelem a z určitého pohledu tak činí systematicky. Pro nakládání s osobními údaji způsobem, který není zpracováním, poskytuje ochranu např. zákon č. 89/2012 Sb., občanský zákoník. Obecným nařízením se tak jako správci řídí pouze subjekty, které osobní údaje zpracovávají ve smyslu definice zpracování.

Pojem zpracování má stejný význam, jako měl v zákoně č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.

3.3.2 Co je osobní údaj?

Osobním údajem je každá informace o identifikované nebo identifikovatelné fyzické osobě (subjektu údajů). Identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor (jméno, číslo, síťový identifikátor) nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.

Pojem osobní údaj nebyl oproti zákonu č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, de facto změněn.

3.3.3 Kdo je subjekt údajů?

Subjektem údajů je fyzická osoba, jíž se osobní údaje týkají. Subjekt údajů není právnická osoba. Údaje vztahující se k právnické osobě tak nejsou osobními údaji. Osobní údaje mohou být pouze ve vztahu k žijící fyzické osobě, jelikož Obecné nařízení vylučuje svoji působnost na údaje o zesnulých osobách.

Definice s totožným obsahem jako v zákoně č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.

3.3.4 Co se rozumí profilováním?

Jde o formu automatizovaného zpracování osobních údajů spočívající v jejich použití k hodnocení některých osobních aspektů vztahujících se k fyzické osobě, zejména k rozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází, nebo pohybu.

Byť je profilování nově definováno, nejde de facto o žádnou novinku, jelikož k profilování dochází i v současné době. Profilování není a priori zákonem o ochraně osobních údajů či Obecným nařízením zakázáno. Je však důležité, aby se dělo v předvídaných případech a na základě stanovených pravidel. Profilování je běžné např. ve finančních službách, kdy finanční subjekty profilují např. klienta žádajícího o hypotéku, u kterého hodnotí schopnost splácet.

3.3.5 Kdo je správce?

Správcem je subjekt, nerozhoduje, jaké právní formy, který určuje účely a prostředky zpracování osobních údajů a za zpracování primárně odpovídá. Správce osobní údaje zpracovává pro účely vyplývající z jeho činnosti (např. zákonem stanovené povinnosti, ze smluv), ale může je zpracovávat i pro vlastní určené účely, např. pro své oprávněné zájmy, pokud tyto zájmy nepřevyšují zájem na ochraně základních práv a svobod fyzických osob.

Správcem může být jakýkoli subjekt. Správcem může být i fyzická osoba, pokud zpracovává osobní údaje způsobem, že tento způsob již vylučuje uplatnění výjimky osobní či domácí činnosti, resp. pokud nejde o nakládání s osobními údaji, které ještě nesplňuje definici jejich zpracování.

Vážení čtenáři, právě jste dočetli ukázku z knihy GDPR: Praktický průvodce implementací.
Pokud se Vám líbila, celou knihu si můžete zakoupit v našem e-shopu.