Vzor citace: JANEČKOVÁ, E. GDPR. Praktická příručka implementace. Praha: Wolters Kluwer ČR, a. s., 2018, s. 136.

Právní stav publikace je k 1. 3. 2018.

© JUDr. Eva Janečková, 2018

ISBN 978-80-7552-248-1 (brož.)

ISBN 978-80-7552-288-7 (e-pub)

ÚVOD

V současné době se osobní údaje staly velmi cennou komoditou. Rozsah zpracovávaných osobních údajů se stále zvětšuje a stále více zasahuje do všech oblastí lidského života. Díky dokonalejším a dostupnějším technologiím se shromažďování obrovského množství údajů stává snadnější a přístupnější více lidem.

Přesto se mnoho lidí stále dívá na ochranu osobních údajů jako na něco zcela zbytečného a obtěžujícího. Bez ohledu na případnou polemiku o nutnosti zakotvit ochranu osobních údajů právním předpisem či o vhodnosti zvoleného řešení, je však nutné respektovat fakt, že existuje právní úprava, kterou je zapotřebí implementovat a řídit se jí.

Úpravu ochrany osobních údajů je třeba hledat již v Listině základních práv a svobod, kde je v článku 10 odst. 3 uvedeno, že každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě. Ochrana osobních údajů je tedy právem ústavním, jinak řečeno, je to právo s nejvyšší silou.

Ochrana osobních údajů našla své místo i v zákoně č. 40/2009 Sb., trestní zákoník, ve znění pozdějších předpisů. Tento zákon uvádí:

(1) Kdo, byť i z nedbalosti, neoprávněně zveřejní, sdělí, zpřístupní, jinak zpracovává nebo si přisvojí osobní údaje, které byly o jiném shromážděné v souvislosti s výkonem veřejné moci, a způsobí tím vážnou újmu na právech nebo oprávněných zájmech osoby, jíž se osobní údaje týkají, bude potrestán odnětím svobody až na tři léta nebo zákazem činnosti.

(2) Stejně bude potrestán, kdo, byť i z nedbalosti, poruší státem uloženou nebo uznanou povinnost mlčenlivosti tím, že neoprávněně zveřejní, sdělí nebo zpřístupní třetí osobě osobní údaje získané v souvislosti s výkonem svého povolání, zaměstnání nebo funkce, a způsobí tím vážnou újmu na právech nebo oprávněných zájmech osoby, jíž se osobní údaje týkají.

(3) Odnětím svobody na jeden rok až pět let, peněžitým trestem nebo zákazem činnosti bude pachatel potrestán,

a) spáchá-li čin uvedený v odstavci 1 nebo 2 jako člen organizované skupiny,

b) spáchá-li takový čin tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem,

c) způsobí-li takovým činem značnou škodu, nebo

d) spáchá-li takový čin v úmyslu získat pro sebe nebo pro jiného značný prospěch.

(4) Odnětím svobody na tři léta až osm let bude pachatel potrestán,

a) způsobí-li činem uvedeným v odstavci 1 nebo 2 škodu velkého rozsahu, nebo

b) spáchá-li takový čin v úmyslu získat pro sebe nebo pro jiného prospěch velkého rozsahu.

Ustanovení § 180 tak obsahuje v odstavcích 1 a 2 dvě samostatné základní skutkové podstaty.

První skutková podstata je vymezena v odstavci 1 a chrání každého před neoprávněným zveřejněním, sdělením, zpřístupněním, jiným zpracováváním nebo přisvojením si osobních údajů shromážděných o jiném v souvislosti s výkonem veřejné moci.

Druhá skutková podstata v odstavci 2 sankcionuje neoprávněné zveřejnění, sdělení nebo zpřístupnění třetí osobě osobních údajů získaných v souvislosti s výkonem povolání, zaměstnání nebo funkce pachatele, jestliže tím pachatel porušil státem uloženou nebo uznanou povinnost mlčenlivosti.[1]

Nejznámějším zákonem, který se zabývá ochranou osobních údajů, je zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů. Tato úprava prováděla Směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, která stanovila základní pravidla pro zpracování osobních údajů, povinnosti správců osobních údajů a práva subjektu údajů. Směrnice však pochází již z roku 1995 a je tedy 22 let stará. V těchto letech došlo k prudkému rozvoji informačních technologií, ke změnám v kategoriích nejčastěji zpracovávaných osobních údajů i k určitému smazání hranic mezi státy. Vzhledem k tomu, že v současné době má každý stát svou vlastní právní úpravu (a navzdory tomu, že všechny zákony vychází ze Směrnice 95/46/ES), v mnoha oblastech se značně liší, přináší tato skutečnost komplikace.

Směrnice tedy jednoznačně zastarala. Proto vyvstala potřeba úpravu zmodernizovat a sjednotit. Na základě zkušeností z aplikování Směrnice bylo jako právní forma nové úpravy vybráno nařízení. Nařízení má obecnou závaznost (podobá se vnitrostátnímu zákonu) – upravuje konkrétní skutkové situace pro abstraktně určené adresáty. Je závazné ve všech svých částech (nemůže být adresáty aplikováno nahodile a pouze v některých částech). Důležité je především to, že je přímo použitelné v každém členském státě (automaticky zakládá práva a povinnosti v právním řádu členských států). V okamžiku vstupu v platnost platí ve všech členských státech bez ohledu na existenci případných adaptačních zákonů a všechny orgány členského státu, správní úřady i soudy jsou povinny nařízení aplikovat. V okamžiku, kdy nařízení vstoupí v platnost, vytlačuje veškeré vnitrostátní právo, které je s ním v rozporu.

Dne 27. dubna 2016 schválil Evropský parlament konečnou podobu Nařízení Evropského parlamentu a Rady 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Jedná se o nová pravidla v oblasti ochrany osobních údajů. Nařízení EU jsou pro členské státy závazná a přímo použitelná. Platí v celém svém rozsahu v celé EU. To znamená, že zmíněné nařízení nahradí dosud platnou národní právní úpravu realizovanou zákonem č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“). Nařízení musí členské země do 6. května 2018 převést do vnitrostátní legislativy, platit začne od 25. května 2018.

Odkazovat na obecné nařízení jako na směrnici o ochraně osobních údajů je nejen nesprávné, ale může být nevhodně zavádějící i proto, že současně s ním byla přijata opravdu také směrnice o ochraně osobních údajů, a to směrnice Evropského parlamentu a Rady EU 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV, zkráceně neoficiálně nazývaná trestněprávní směrnice o ochraně osobních údajů. Odlišnost je ve věcné působnosti obou předpisů, jež souhrnně vytvářejí nový rámec ochrany osobních údajů v Evropské unii; působnost směrnice 2016/680 zahrnuje zpracování osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.[2]

Zároveň byl vytvořen návrh tzv. adaptačního zákona, který je návrhem zákona o ochraně osobních údajů. „Návrh nového zákona o ochraně údajů má mimo jiné formou adaptace zajistit soulad vnitrostátní právní úpravy s obecným nařízením o ochraně osobních údajů, jehož hlavním cílem je účinná ochrana osobních údajů v celé Evropské unii, která vyžaduje posílení a podrobné vymezení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají a o jejich zpracování rozhodují, a dále též rovnocenné pravomoci dozorových úřadů při monitorování a zajišťování souladu s pravidly ochrany osobních údajů, jakož i rovnocenné sankce za jejich porušování v členských státech.

Řádné fungování vnitřního trhu vyžaduje, aby volný pohyb osobních údajů v Evropské unii nebyl omezován z důvodů souvisejících s ochranou osobních údajů fyzických osob. Jednotná úroveň ochrany fyzických osob v celé Evropské unii zamezí rozdílům bránícím volnému pohybu osobních údajů v rámci vnitřního trhu a poskytne hospodářským subjektům, včetně mikropodniků a malých a středních podniků, právní jistotu a transparentnost, které fyzickým osobám ve všech členských státech zajistí stejnou úroveň práv vymahatelných právními prostředky a správcům a zpracovatelům uloží povinnosti a úkoly, prostřednictvím důsledného monitorování zpracování osobních údajů a rovnocenných sankcí ve všech členských státech, jakož i účinné spolupráce mezi dozorovými úřady jednotlivých členských států.“[3]

Zároveň byl vytvořen návrh zákona, kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů.

[1] Janečková, E.: Obecná povinnost mlčenlivosti zaměstnanců obce. In: UNES 12/2015.

[2] Desatero omylů o GDPR, https://www.uoou.cz/desatero-omylu-o-nbsp-gdpr/d-23799/p1=4720

[3] Důvodová zpráva k zákonu o ochraně osobních údajů.

SEZNAM POUŽITÝCH POJMŮ

Nařízení

Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

(General Data Protection Regulation)

osobní údaje

definice podle zákona o ochraně osobních údajů: jakékoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu

definice podle Nařízení: veškeré informace o identifikované nebo identifikovatelné fyzické osobě – o subjektu údajů

správce

definice podle zákona o ochraně osobních údajů: každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů může správce zmocnit nebo pověřit zpracovatele, pokud zvláštní zákon nestanoví jinak

definice podle Nařízení: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení

subjekt údajů

identifikovatelná fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, např. jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby

souhlas

definice podle zákona o ochraně osobních údajů: svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů

definice podle Nařízení: jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů

Porušení zabezpečení osobních údajů

porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů

zákon o ochraně osobních údajů

zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů

zpracovatel

definice podle zákona o ochraně osobních údajů: každý subjekt, který na základě zvláštního zákona nebo pověření správcem zpracovává osobní údaje podle tohoto zákona

definice podle Nařízení: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce

zpracování (osobních údajů)

definice podle zákona o ochraně osobních údajů: jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace

definice podle Nařízení: jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení

zvláštní kategorie osobních údajů

osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech,

genetické údaje a biometrické údaje zpracovávané za účelem jedinečné identifikace fyzické osoby

údaje o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby

adaptační zákon

nový zákona o ochraně osobních údajů, který je ve stádiu návrhu

upravuje v souladu s Nařízením některé oblasti specificky pro Českou republiku

WP29

pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená směrnicí Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995

dozorový úřad

Úřad pro ochranu osobních údajů

pověřenec (DPO)

osoba dozorující u správce či zpracovatele zpracování osobních údajů

posouzení vlivu (DPIA)

posouzení pravděpodobného rizika zamýšleného zpracování

I.

Povinnosti obsažené v GDPR

KAPITOLA 1

Základní zásady Nařízení a jejich odraz v povinnostech

Změny, které Nařízení přinese, jsou poměrně rozsáhlé. Proto se kolem tohoto dokumentu začala šířit celá řada mýtů. Velmi často se lze setkat s tvrzením, že se jedná o zcela novou právní úpravu, o revoluci v oblasti ochrany osobních údajů, o zcela neprobádané území. Skutečností však je, že se o zcela novou a neznámou úpravu nejedná. Celá řada povinností je shodná s těmi dosavadními, některé již známé instituty Nařízení ponechává téměř beze změny, jiné upravuje novým způsobem. Úplných novinek jen několik.

Před zahájením samotné analýzy je proto třeba udělat si udělat přehled o tom, jaké povinnosti Nařízení obsahuje.

Některé základní povinnosti, z nichž většinu již správci a zpracovatelé osobních údajů znají, vyplývají ze zásad zpracování osobních údajů, které jsou uvedeny v článku 5. Každá z těchto zásad odpovídá některé z povinností, jak je zná zákon o ochraně osobních údajů.

1.1 Zásada zákonnosti, korektnosti a transparentnosti

Všechna zpracování osobních údajů je možné realizovat pouze na základě zákonných titulů, které musí být dostatečně specifické, korektní a transparentní. Tato zásada vyjadřuje premisu, že ke zpracování osobních údajů musí vždy být minimálně jeden z důvodů uváděných v Nařízení. V případě, že zákonný důvod není nalezen nebo pomine, je nezbytné osobní údaje zlikvidovat. Jestliže od počátku neexistoval řádný právní důvod zpracování, jedná se o nelegální zpracování a tento nedostatek nelze zhojit bezvadným plněním ostatních povinností stanovených Nařízením. Zásada zákonnosti, tj. přítomnost právního důvodu zpracování, je tedy základním předpokladem, aby bylo možné hovořit o zpracování osobních údajů jako o zákonném.[4]

Zásada zákonnosti také stanoví, že zpracování nesmí být protiprávní, což znamená, že nesmí probíhat za nelegálním či nelegitimním účelem. Zákaz protiprávního zpracování přitom neznamená pouze to, že zpracování nesmí probíhat v rozporu s Nařízením, ale také to, že nesmí být v rozporu s právním řádem obecně. Pokud tedy zpracování bude splňovat nároky plynoucí z Nařízení, ale nebude probíhat např. v souladu s občanským zákoníkem, bude to znamenat porušení zásady zákonnosti. Porušením této zásady je také získání či jiné zpracování osobních údajů v rozporu se smluvní povinností, povinností mlčenlivosti nebo základním právem na soukromí.[5]

Tato zásada odpovídá § 5 odst. 1 písm. g) zákona o ochraně osobních údajů, který říká, že správce je povinen shromažďovat osobní údaje pouze otevřeně; je vyloučeno shromažďovat údaje pod záminkou jiného účelu nebo jiné činnosti. V těchto ustanoveních je zohledněna jedna ze základních myšlenek ochrany osobních údajů, a tou je výsadní postavení subjektu údajů. Právě subjekt údajů je tím, kdo by měl ve většině případů rozhodovat o zpracování svých osobních údajů a kdo by měl vždy minimálně mít přehled o tom, jak je s jeho údaji nakládáno, a to i v případech, kdy o samotném zpracování rozhodovat nemůže. Splnění povinnosti shromažďovat osobní údaje pouze otevřeně, tedy nikoli pod záminkou jiného účelu nebo jiné činnosti, je podstatnou podmínkou efektivní ochrany osobních údajů, zejména proto, že na základě uvedených informací se subjekt údajů může sám na ochraně svých osobních údajů aktivně podílet, tj. svobodně se rozhodnout, zda za daných podmínek své osobní údaje poskytne, nebo se domáhat nápravy, nejsou-li jeho osobní údaje zpracovávány v souladu s právní úpravou.

Součástí transparentnosti je tedy to, že správce nejen nebude zastírat pravý účel, pro který byly osobní údaje shromážděny a jsou dále zpracovávány, ale že také nebude zastírat svou pravou identitu, způsob zpracování atd. a že bude úplně plnit svou informační povinnost.

Výše uvedená zásada částečně odráží i povinnost uvedenou v § 5 odst. 1 písm. h) zákona o ochraně osobních údajů, podle něhož má správce povinnost nesdružovat osobní údaje, které byly získány k rozdílným účelům. Takovým sdružením by totiž mohlo dojít k citelnému zásahu do soukromého a osobního života subjektu údajů. Spojením informací totiž vzniká nová kvalita osobního údaje, jež obvykle není v této podobně nikde k dispozici a která může výrazně více vypovídat o soukromí fyzické osoby a přesahuje tak zákonný vymezený rámec. Takovým krokem by pak byl krácen subjekt údajů na svých právech, neboť by ztratil přehled o zpracovávaných údajích a prováděné zpracování by nebylo dostatečně korektní a transparentní.

Výčet zákonných titulů obsahuje Nařízení v článku 6, kde uvádí, že zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů – tento zákonný důvod je shodný s pravidlem obsaženým v § 5 odst. 2 zákona o ochraně osobních údajů. Souhlasem a jeho parametry se Nařízení zabývá především v článku 7, ale věnuje se mu i několik recitálů (viz následující kapitola). Podle nových pravidel by měl být souhlas využit až v případě, kdy správci nesvědčí žádný z dále uvedených zákonných důvodů.

b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů – ani tento zákonný důvod není neznámý. Je obsažený v § 5 odst. 2 písm. b) zákona o ochraně osobních údajů.

V první situaci zohledněné tímto zákonným důvodem je smluvní vztah mezi subjektem údajů a další osobou, tedy správcem, již uzavřen (jestliže je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů) a je třeba údaje buď uchovávat, nebo i v průběhu smluvního vztahu získávat jiné než původně poskytnuté osobní údaje. Formální souhlas se zpracováním není vyžadován, neboť lze dovodit, že osobní údaje budou získávány (správci poskytnuty) právě subjektem údajů, a to proto, aby smluvní vztah mohl být realizován, a je tak v zájmu subjektu údajů takové údaje poskytnout.

Druhou možností je situace, kdy „smluvní iniciativu“ vyvine subjekt údajů sám a pro přípravu smlouvy poskytne druhé smluvní straně (správci) takové osobní údaje, aby smlouva mohla být vůbec uzavřena nebo případně změněna. I zde tedy platí, že subjekt údajů je plně informován, jaké osobní údaje poskytl, jakému správci, pro jaký účel (plnění smlouvy) a na jak dlouho, tedy minimálně po dobu od poskytnutí údajů po ukončení smluvního vztahu, pokud nějaký jiný právní předpis nestanoví dobu delší.

Tento zákonný důvod se tedy vztahuje pouze na zpracování vztahující se k plnění ze smlouvy, nikoli na vymáhání nesplněných závazků, které plynou ze smlouvy, ze strany subjektu údajů. Ať už se jedná o podání žaloby, předání exekutorovi k vymáhání, či jiný způsob, kterým se správce snaží domoci svých práv, je nutné tento úkon opřít o jiný zákonný důvod. Tím obvykle bývá ochrana oprávněných zájmů správce.

c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje – tento právní důvod je znám z § 5 odst. 2 písm. a) zákona o ochraně osobních údajů. Z dikce je zřejmé, že se taková právní povinnost bude týkat povinností stanovených právním předpisem. Takový předpis dokonce ani nemusí přímo formálně stanovovat nebo určovat, že osobní údaje budou zpracovávány. K uplatnění výjimky bude bezpochyby postačovat skutečnost, že bez zpracování osobních údajů by správce nemohl dodržet svou právní povinnost stanovenou právním předpisem.

Skutečně se musí jednat o právní povinnost, nikoli o pouhé oprávnění. Správce nemůže mít na výběr, jestli povinnost splní, nebo ne. Některé právní předpisy v současné době stanoví pouze oprávnění. Od účinnosti Nařízení toto však již nebude dostatečný právní pro zpracování osobních údajů. Jakékoli zpracování bude nutné opřít o jiný právní titul, např. o oprávněné zájmy správce.[6]

d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby – ani tento zákonný důvod není nový. Je obsažen v § 5 odst. 2 písm. c) zákona o ochraně osobních údajů.

Zpracování založené na tomto zákonném důvodu by mělo v zásadě proběhnout pouze tehdy, pokud zjevně nemůže být založeno na jiném právní základě. Za povšimnutí stojí, že oproti zákonu o ochraně osobních údajů je možné v rámci tohoto právního důvodu zpracovávat osobní údaje subjektu údajů nejen za účelem ochrany jeho životně důležitých zájmů, ale i jiné fyzické osoby.[7]

e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce – novinkou je zákonný důvod uvedený pod písmenem e). Tento důvod však v České republice bude jen zřídkakdy využitelný samostatně, neboť většina úkolů ve veřejném zájmu a každý výkon veřejné moci je prováděn na základě zákona, čímž se vracíme k zákonnému důvodu uvedenému pod písmenem c).

f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě – poslední ze zákonných důvodů je obdobou § 5 odst. 2 písm. e) zákona o ochraně osobních údajů. Jedná se o jakousi zbytkovou kategorii, do které se obvykle vejde většina účelů zpracování, které nebylo možné opřít o jiný zákonný důvod. Jedná se o kategorii velmi pružnou, kterou však nesmí použít orgány veřejné moci při plnění jejich úkolů. Zpracování osobních údajů na základě tohoto zákonného důvodu není bezbřehé. Limitem takového zpracování jsou zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, což správci často přehlíží. Jinak řečeno, oprávněné zájmy správce končí tam, kde začínají zájmy nebo základní práva a svobody subjektu údajů.

1.2 Zásada účelového omezení

Osobní údaje je možné zpracovávat pouze pro určité, výslovně vyjádřené a legitimní účely.

Tato zásada odpovídá § 5 odst. 1 písm. f) zákona o ochraně osobních údajů, podle něhož má správce povinnost zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Je tedy nepřípustné, aby správce shromáždil osobní údaje k určitému účelu a následně je on sám nebo zpracovatel zpracoval k účelu jinému, což by pravděpodobně znamenalo, že subjekt údajů zůstane bez informace o tomto novém účelu. Tímto ustanovením se současně vylučuje možnost obcházení právní úpravy a zároveň je kladen limit libovůli správců. Je zde výrazně zohledněno základní pravidlo zpracování osobních údajů, a to že subjekt údajů je tím, kdo by měl mít plnou informaci o zpracování svých osobních údajů a v mezích možností rozhodovat, jak s jeho údaji bude naloženo.

1.3 Zásada minimalizace údajů

Zpracování musí být přiměřené, relevantní, omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány. Zásada minimalizace je odrazem povinnosti, kterou dosud známe pod § 5 odst. 1 písm. d) zákona o ochraně osobních údajů, podle něhož má správce povinnost shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu. Splnění této povinnosti bude tedy vyžadovat přesné vymezení minimálního rozsahu konkrétních osobních údajů, které budou v daném případě k naplnění stanoveného účelu skutečně potřebné. Je tak třeba o každém osobním údaji rozhodnout, zda je či není pro daný účel nezbytný, popř. při které kombinaci ostatních údajů je nezbytný. Zvolí-li si správce nějaký rozsah osobních údajů, které hodlá zpracovávat, měl by být schopen u každého jednotlivého údaje odpovědět na otázku, proč je daného údaje třeba pro dosažení stanoveného účelu. Cílem je dosažení situace, kdy účelu zpracovávání bude dosaženo s použitím co nejužší skupiny osobních údajů. Ty zbylé by měl správce bez zbytečného odkladu zlikvidovat (nebo je vůbec nezačít shromažďovat), neboť jejich další uchovávání by odporovalo tomuto ustanovení. Pro správce bude v mnoha případech skupina zpracovávaných osobních údajů vymezena pomocí právní úpravy, v jejímž rámci bude k zpracovávání osobních údajů docházet.[8]

1.4 Zásada přesnosti

Správce osobních údajů je povinen aktualizovat údaje, které zpracovává, což vyplývá již z § 5 odst. 1 písm. c) zákona o ochraně osobních údajů, podle něhož je správce povinen zpracovat pouze přesné osobní údaje, které získal v souladu s tímto zákonem. Je-li to nezbytné, osobní údaje aktualizuje. V této části však Nařízení přináší novinku. Podle článku 5 odst. 1 písm. d) osobní údaje musí být přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny.

Praxe ukázala, že aktualizovat osobní údaje a mít údaje stále aktuální je v mnoha případech složité, ne-li nemožné. Správce proto přijme veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné, byly bezodkladně vymazány nebo opraveny.

Přesnost musí být zjišťování jak při shromažďování, tak v průběhu zpracování. Nařízení ani současná právní úprava nestanoví, jakým způsobem má být tato povinnost zajišťována.

Z uvedeného je však zřejmé, že každý, kdo zpracovává osobní údaje, musí v závislosti na rozsahu a okolnostech předmětného zpracování přijmout systém opatření, jejichž prostřednictvím zajistí, že nebudou zpracovávány nepřesné či chybné osobní údaje (tj. případné nedostatky v kvalitě údajů budou zjištěny), a dále že nebudou uchovávány osobní údaje, jejichž zpracování již není z hlediska dosažení stanoveného cíle nezbytné.

Vážení čtenáři, právě jste dočetli ukázku z knihy GDPR - Praktická příručka implementace.
Pokud se Vám líbila, celou knihu si můžete zakoupit v našem e-shopu.