GDPR a žádost podle stošestky v praxi obcí

PRÁVO PRAKTICKY

GDPR a žádost podle stošestky v praxi obcí

Alice Frýbová

Štěpán Holub

Lenka Švarcová

Pavlína Hlavenková

Vzor citace:

FRÝBOVÁ, A., HOLUB, Š., ŠVARCOVÁ, L., HLAVENKOVÁ, P. GDPR a žádost podle stošestky v praxi obcí. Praha: Wolters Kluwer ČR, 2021, s. 156.

© Alice Frýbová, Štěpán Holub, Lenka Švarcová, Pavlína Hlavenková, 2021

ISBN 978-80-7676-093-6 (brož.)

ISBN 978-80-7676-094-3 (e-pub)

ISBN 978-80-7676-095-0 (mobi)

www.wolterskluwer.cz

O autorech

Autorský tým Holubová advokáti jsou specialisté v oblasti ochrany osobních údajů a výkonu služeb pověřence pro ochranu osobních údajů pro školy a obce. Ve stejném složení Alice Frýbová, Štěpán Holub, Lenka Švarcová a Pavlína Hlavenková již vydali knihu První zkušenosti s GDPR ve školství, kde shrnují vyzkoušené postupy při implementaci GDPR ve školách. Autoři dále pravidelně přispívají do časopisů Řízení školy a všech jejích speciálů (Učitelský měsíčník, Speciál pro školní jídelny, Speciál pro školní družiny, Speciál pro střední školy a Speciál pro školní poradenství). Pro nakladatelství Wolters Kluwer autoři také připravili interaktivní vzory dokumentů pro oblast ochrany osobních údajů. Další informace naleznete na webových stránkách www.holubova.cz.

Alice Frýbová je advokátkou v advokátní kanceláři Holubová advokáti s.r.o. Zaměřuje se především na školské právo, přístup k informacím a ochranu osobních údajů. Je hlavní autorkou publikace První zkušenosti s GDPR ve školství. Pravidelně přispívá do časopisu Řízení školy a všech jeho speciálů.

Štěpán Holub je advokátem a partnerem advokátní kanceláře Holubová advokáti s.r.o. Ve své advokátní praxi se zaměřuje na ochranu osobních údajů, právo nemovitostí a vícegenerační plánování. Je osobou, která za advokátní kancelář vykonává činnost pověřence pro ochranu osobních údajů ve veřejných i soukromých subjektech. Je aktivním členem mezinárodní organizace advokátů AIJA, Eurojuris a Legalmondo. Je spoluautorem publikace První zkušenosti s GDPR ve školství.

Lenka Švarcová je absolventkou Právnické fakulty Univerzity Palackého v Olomouci a v současnosti pracuje na pozici podnikové právničky. Specializuje se na případy související s ochranou osobnosti a na náhradu majetkové i nemajetkové újmy ve zdravotnictví i jiných odvětvích. Je spoluautorkou publikace První zkušenosti s GDPR ve školství.

Pavlína Hlavenková je absolventkou Právnické fakulty Univerzity Karlovy v Praze a v současnosti pracuje v advokátní kanceláři Holubová advokáti s.r.o. Její specializací je právo obchodních společností, ochrana osobních údajů, právo duševního vlastnictví a nemovitostní právo. Je spoluautorkou publikace První zkušenosti s GDPR ve školství.

Seznam použitých zkratek[1]

DPIA (Data Protection Impact Assessment)

posouzení vlivu na ochranu osobních údajů

GDPR

nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

Listina

usnesení předsednictva České národní rady č. 2/1993 Sb., o vyhlášení Listiny základních práv a svobod jako součásti ústavního pořádku České republiky

obč. zák. / občanský zákoník

zákon č. 89/2012 Sb., občanský zákoník

občanský soudní řád

zákon č. 99/1963 Sb., občanský soudní řád

s. ř. s. / soudní řád správní

zákon č. 150/2002 Sb., soudní řád správní

spr. řád

zákon č. 500/2004 Sb., správní řád

tr. řád / trestní řád

zákon č. 141/1961 Sb., o trestním řízení soudním (trestní řád)

trestní zákoník

zákon č. 40/2009 Sb., trestní zákoník

ÚOOÚ

Úřad pro ochranu osobních údajů

zákon 106 / informační zákon

zákon č. 106/1999 Sb., o svobodném přístupu k informacím

zák. o fin. kontrole

zákon č. 320/2001 Sb., o finanční kontrole ve veřejné správě a o změně některých zákonů (zákon o finanční kontrole)

zák. o matrikách

zákon č. 301/2000 Sb., o matrikách, jménu a příjmení a o změně některých souvisejících zákonů

zák. o obcích

zákon č. 128/2000 Sb., o obcích (obecní zřízení)

zák. práce / zákoník práce

zákon č. 262/2006 Sb., zákoník práce

zák. o trestní odpovědnosti právnických osob a řízení proti nim

zákon č. 418/2011 Sb., o trestní odpovědnosti právnických osob a řízení proti nim

zák. o zpracování osobních údajů

zákon č. 110/2019 Sb., o zpracování osobních údajů

[1]  Není-li dále uvedeno jinak, jsou všechny předpisy v textu citovány ve znění pozdějších předpisů.

Předmluva

Vážení čtenáři,

dostává se Vám do rukou příručka, která spojuje téma ochrany osobních údajů a přístupu veřejnosti k informacím. Jedná se o dvě témata, se kterými se obce ve své každodenní praxi potýkají. Tato kombinace byla vybrána záměrně. Po téměř třech letech života s GDPR jsme ve stavu, kdy jsme (snad) schopni toto téma uceleně uchopit a převést do praxe. Využili jsme našich zkušeností z činnosti pověřence pro ochranu osobních údajů pro přípravu části věnující se GDPR a našich ostatních zkušeností pro zákon 106. Část věnující se GDPR představuje dle našeho názoru hlavní povinnosti obce a dává návod, jak tyto povinnosti přenést do praxe, resp. představuje, jakým postupem jsme při implementaci GDPR v obcích postupovali my. Část věnující se zákonu 106 je pojata trochu odlišně. Ačkoliv se jedná také o praktický návod, nepředstavujeme zákon 106 jako celek, ale zaměřujeme se jen na vyřizování žádosti o informace. Příručka rozebírá, jakým způsobem ji mají obce řešit od chvíle, kdy žádost obdrží, až do chvíle, kdy je žádost konečně vyřízena jimi, nadřízeným orgánem nebo soudem.

Příručka vznikla na půdě advokátní kanceláře Holubová advokáti s.r.o. (www.holubova.cz) a podíleli se na ní Alice Frýbová, Štěpán Holub, Lenka Švarcová a Pavlína Hlavenková. Velký dík však patří mnoha dalším, a to primárně redakci školství nakladatelství Wolters Kluwer, v rámci které jsme již dříve vydali předchůdce této příručky, a to „První zkušenosti s GDPR ve školství“. Pokud Vám, čtenářům, bude text v části rozebírající GDPR povědomý, máte pravdu. V části věnující se GDPR jsme vycházeli ve velkém z „Prvních zkušeností s GDPR ve školství“, ponechali jsme strukturu a upravili text pro potřeby obcí.

Dále bychom chtěli poděkovat Zlínskému kraji, který nám laskavě dovolil využít vzory dokumentů, které připravil pro „své“ obce. A v neposlední řadě by tato příručka nevznikla bez velkého nasazení právní redakce Wolters Kluwer, která s nápadem přišla a musela si námi projít několik náročných situací včetně změn zákona během přípravy, revizi celé knihy a začlenění různých schémat do knihy. Věřím, že všechna práce stála za to.

Přejeme Vám příjemné čtení.

Za autorský tým,

Alice Frýbová

ČÁST A

GDPR

I. Úvod

1. Význam ochrany osobních údajů v prostředí obcí

Ačkoliv právo na ochranu osobních údajů dnes patří mezi základní práva člověka, stěží jej lze uplatňovat, když nevíme, kde všude se naše osobní údaje nacházejí. V současné technologické době plné různých chytrých přístrojů a aplikací je složité mít přehled o tom, kdo o nás osobní údaje zpracovává. Rozsah dnes zpracovávaných údajů byl ještě před několika málo lety téměř nepředstavitelný. Zpracování se děje automatizovaně, často aniž by si to člověk uvědomil. Osobní údaje se staly předmětem obchodu některých technologických gigantů jako Facebook či Google. Se stále rostoucím objemem zpracovávaných dat roste riziko jejich zneužití, a tedy i potřeba přísnější regulace.

Osobní údaje však nezpracovávají pouze technologické společnosti, i když právě ony zavdaly příčinu potřeby přijetí GDPR. I orgány veřejné moci zpracovávají osobní údaje, a to ve velkém. Rozdílem oproti zpracování soukromými společnostmi je, že se tomuto zpracování zpravidla nelze vyhnout. Obce, kraje a jiné orgány veřejné moci zpracovávají totiž většinu osobních údajů na základě zákona či veřejného zájmu, což znamená, že občané obce, účastníci správního řízení a ostatní subjekty údajů jsou povinni toto zpracování osobních údajů strpět, ať chtějí nebo ne. Oproti tomu si např. cestující může vybrat, zda sdělí svoje osobní údaje cestovní kanceláři za účelem plnění smlouvy o zájezdu či zajištění víza, nebo se daného zájezdu nezúčastní. Protože je zpracování osobních údajů obcemi „de facto“ povinné, považuje se za rizikovější než zpracování stejným způsobem a ve stejném rozsahu v soukromém sektoru.

Situace u obcí je o to komplikovanější, že je nelze jednoznačně podřadit do jedné škatulky. Existují malé obce, kde je zpracování osobních údajů minimální. Oproti tomu velké obce, které vykonávají vedle samostatné působnosti též působnost přenesenou, zpracovávají zpravidla statisíce osobních údajů. Oproti jiným subjektům je navíc dosah zpracovávání různorodější. Jiné osobní údaje bude zpracovávat odbor živnostenský a jiné odbor stavební. Rozsah zpracování je dán až na výjimky příslušnými předpisy, kterými se daný úsek řídí. To však například v oblasti ochrany životního prostředí čítá několik desítek předpisů, na základě kterých jsou osobní údaje zpracovány. Čím více agend obec zaštiťuje, tím je zpracování osobních údajů rozsáhlejší.

Obce a jiné orgány veřejné moci mají některé povinnosti z GDPR přísnější i proto, že Evropa má vlastní historickou zkušenost s totalitními režimy, které byly postavené na monitorování „nepohodlných“ osob. S ohledem na vývoj technologií je toto sledování jednodušší než v minulosti, čehož se některé státy mimo Evropu rozhodly využít, resp. zneužít.1

2. Vývoj a systematika ochrany osobních údajů

Ochrana osobních údajů je součástí práva na ochranu soukromí. To bylo poprvé definováno ve Všeobecné deklaraci lidských práv v roce 1948. V Evropě byla prvním závazným mezinárodním předpisem upravujícím ochranu soukromí Evropská úmluva o ochraně lidských práv a základních svobod.2 Tato úmluva je pro Českou republiku závazná i v současné době a její porušení, tedy i narušení soukromí, řeší Evropský soud pro lidská práva.

Na počátku 80. let dvacátého století byla přijata Úmluva o ochraně osob se zřetelem na automatizované zpracování osobních dat.3 Tento dokument definoval pojmy jako osobní údaj, automatizované zpracování nebo správce, které jsou v nezměněné formě používány i v GDPR.4 Na technologický vývoj reagovala též Evropská unie, která v 90. letech přijala směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Směrnice je právním aktem Evropské unie, která stanovuje cíle, kterých musejí všechny členské státy dosáhnout. Prostředky, kterými členské státy tyto cíle naplní, však nechává na jejich uvážení. Směrnice musí být transponovány do vnitrostátního práva členských států. To znamená, že každý členský stát musí přijmout vnitrostátní předpis (zákon), kterým naplní cíle stanovené směrnicí.

V souvislosti s přípravou České republiky na vstup do Evropské unie bylo potřeba dát právní řád do souladu s evropskými požadavky, jinými slovy přijmout takové předpisy, které právo EU požadovalo. Takovým předpisem byl i zákon č. 101/2000 Sb., o ochraně osobních údajů transponující směrnici o ochraně osobních údajů. Dále nelze nezmínit ani Listinu základních práv a svobod (dále jen „Listina“), která v čl. 7 odst. 1 garantuje nedotknutelnost soukromí osoby.5

Evropská unie přijala na počátku 21. století další předpis, který významně přispěl ke konkretizaci základních lidských práv a svobod a reagoval na společenský i technologický vývoj. Tímto předpisem je Charta základních práv Evropské unie, která v čl. 8 výslovně upravuje právo na ochranu údajů osobního charakteru. Především stanoví, že s osobními údaji musí být nakládáno čestně, pouze k přesně danému účelu a na základě souhlasu dotyčné osoby či na základě jiného legitimního opodstatnění uvedeného v zákoně. Zároveň také dává všem lidem právo na přístup ke svým osobním údajům a právo na jejich zpřesnění.

Od roku 2010 započaly na evropské půdě přípravy nového komplexního předpisu upravujícího zpracování a ochranu osobních údajů. Tento proces byl dovršen v roce 2016, kdy bylo přijato nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES, tedy GDPR. GDPR zrušilo směrnici o ochraně osobních údajů^6 a v současnosti je hlavním předpisem upravujícím ochranu osobních údajů. Na rozdíl od dřívější směrnice má GDPR formu evropského nařízení. To znamená, že na rozdíl od směrnice je aplikovatelné přímo bez jakéhokoliv dalšího vnitrostátního právního předpisu. Navíc nařízení má přednost před českými zákony. GDPR upravuje celou oblast ochrany osobních údajů komplexně, ve vybraných otázkách dává možnost členským státům upravit některé záležitosti odlišně od textu GDPR. Pokud tak členské státy neučiní, použije se pravidlo obsažené v GDPR.

GDPR vstoupilo v účinnost v celé Evropské unii, tedy i v České republice, dne 25. května 2018.

Ke dni účinnosti GDPR měl být zákon o ochraně osobních údajů zrušen, k tomu však nedošlo. Zrušen byl až s ke dni 24. dubna 2019 s nabytím účinnosti zákona č. 110/2019 Sb., o zpracování osobních údajů. Zákon o zpracování osobních údajů však žádným způsobem „nepřebíjí“ GDPR, ale pouze ho doplňuje v oblastech, kde to GDPR připouští. Jako příklad si lze vzít čl. 8 odst. 1 GDPR, který stanoví, že dítě může samo udělit souhlas v souvislosti s nabídkou služeb informační společnosti, pokud dosáhlo věku 16 let. Zároveň ale GDPR dává oprávnění členským státům tuto hranici snížit až na 13 let. Pokud by Česká republika žádný zákon nepřijala, byla by v České republice stanovena hranice pro udělení souhlasu v souvislosti s nabídkou služeb informační společnosti přímo dítěti na 16 let. Zákon o zpracování osobních údajů však tuto hranici snižuje na 15 let.7 Zákon o zpracování osobních údajů dále mimo jiné stanovuje pravomoci Úřadu pro ochranu osobních údajů jakožto dozorového úřadu v ČR.

Dalším specifikem zákona o zpracování osobních údajů vztahujícím se na obce je povinnost Úřadu pro ochranu osobních údajů upustit od uložení správního trestu, pokud se přestupku dopustil orgán veřejné moci nebo veřejný subjekt usazený v České republice. Jinými slovy, pokud se orgán veřejné moci dopustí přestupku dle § 61 a násl. zák. o zpracování osobních údajů, nelze mu za něj vůbec uložit pokutu, ale pouze nápravné opatření. Důvodem pro tuto úpravu je zejména skutečnost, že v případě pokutování orgánů veřejné správy by šlo de facto pouze o přesouvání peněz v rámci veřejných rozpočtů.8

Ačkoliv je GDPR dozajista nejvýznamnějším evropským předpisem v oblasti ochrany osobních údajů, spolu s ním byly přijaty i další právní předpisy, a to ve formě evropských směrnic.9 V budoucnosti můžeme očekávat přijetí nařízení o respektování soukromého života a ochraně osobních údajů v elektronických komunikacích (nařízení e-Privacy).10 Na rozdíl od GDPR nechrání osobní údaje jako takové, ale důvěrnost elektronické komunikace a zařízení. Nebere tedy ohled, zda jde o osobní či neosobní údaje, a zahrnuje právo na soukromí a důvěrnost veškeré komunikace. Ačkoliv nařízení e-Privacy mělo být přijato spolu s GDPR, ke dni vydání této publikace neprošlo evropským legislativním procesem.

II. Zásady zpracování osobních údajů

Na úvod je důležité vysvětlit, co jsou to právní zásady a jaký je jejich význam. Právní zásady či právní principy jsou jakási obecná pravidla, myšlenky nebo ideje, které nám umožňují pochopit pravý význam konkrétního právního předpisu, konkrétního právního odvětví či právního řádu jako celku a pomáhají nám je správně interpretovat a aplikovat.

V této kapitole si představíme zásady zpracování osobních údajů dle GDPR, tedy jakási obecná pravidla pro GDPR. GDPR je v tomto případě tím konkrétním právním přepisem. Zásady zpracování osobních údajů jsou vymezeny v čl. 5 GDPR. Těmito zásadami se řídí celé GDPR a všechna ostatní ustanovení musejí být vykládána tak, aby s nimi byla v souladu. Tyto základní zásady jsou zároveň i nejvýznamnějšími povinnostmi, které určují, jak může správce zpracovávat osobní údaje.11

Článek 5 odst. 1 GDPR zní:

1. Osobní údaje musí být:

1. ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem („zákonnost, korektnost a transparentnost“) ;

2. shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se podle čl. 89 odst. 1 nepovažuje za neslučitelné s původními účely („účelové omezení“) ;

3. přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány („minimalizace údajů“) ;

4. přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny („přesnost“) ;

5. uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány; osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1, a to za předpokladu provedení příslušných technických a organizačních opatření požadovaných tímto nařízením s cílem zaručit práva a svobody subjektu údajů („omezení uložení“) ;

6. zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením („integrita a důvěrnost“) ;

2. Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit („odpovědnost“) .

Na základě výše uvedeného ustanovení tedy můžeme definovat základní zásady zpracování osobních údajů, které si následně blíže rozebereme.

1. Zásada zákonnosti, korektnosti a transparentnosti

Zásada zákonnosti stanoví, že zpracovávat osobní údaje je možné pouze na základě některého z právních důvodů uvedených v čl. 6 GDPR, jako např. na základě souhlasu subjektu údajů, pro splnění smlouvy, pro splnění právní povinnosti atd.12 Zásada zákonnosti dále stanoví, že zpracování nesmí být protiprávní, což neznamená pouze to, že zpracování nesmí probíhat v rozporu s GDPR, ale také to, že nesmí být v rozporu s právním řádem obecně. Pokud tedy zpracování bude sice v souladu s GDPR, ale v rozporu např. s občanským zákoníkem, zákonem o obcích^13 nebo zákonem o matrikách^14, bude to znamenat porušení zásady zákonnosti.15

Příklad

Zákon o matrikách v § 20 uvádí rozsah údajů, které se zapisují do knihy manželství. GDPR toto specificky nikde neuvádí. Pokud však budeme údaje zpracovávat v rozporu se zákonem o matrikách, zejména pokud bude kniha manželství obsahovat větší rozsah údajů, než stanoví zákon o matrikách, dochází tím nejen k porušení zákona o matrikách, ale i k porušení GDPR, neboť je porušena zásada zákonnosti, případně též zásada minimalizace osobních údajů.

Zásada korektnosti stanoví, že zpracování údajů musí být „čestné a poctivé“ neboli „fér“. Osobní údaje nesmějí být zpracovávány způsobem, který je ve vztahu k subjektu údajů nepřiměřeně škodlivý, neočekávaný nebo zavádějící. Osobní údaje by měly být zpracovávány tak, jak by subjekt údajů důvodně očekával, a nikoli způsobem, který pro něj bude mít neodůvodněně nepříznivý dopad.

Příklad

Pokud jsou osobní údaje zpracovávány za účelem posouzení daňové povinnosti nebo vyměření pokuty za porušení rychlosti, tak i přestože takovéto zpracovávání může způsobit subjektu údajů újmu, nejedná se o porušení zásady korektnosti.16

Zásada transparentnosti stanoví povinnost pro správce být otevřený a upřímný ohledně své totožnosti, důvodu a způsobu zpracování osobních údajů. Je třeba řádně informovat subjekty údajů tak, aby tomu porozuměly. Správce by měl pro účely sdělení informací používat jasný a srozumitelný jazyk.17 Tato zásada je blíže vyjádřena v čl. 12 GDPR, dle kterého se subjektu údajů poskytují informace uvedené v čl. 13 a 14^18 stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků.

Příklad

Projevem této zásady je povinnost srozumitelně informovat subjekty údajů o totožnosti správce, o účelu zpracování osobních údajů, jakým způsobem budou údaje zpracovávány, komu budou údaje zpřístupněny apod.

2. Zásada účelového vymezení

Zásada účelového vymezení stanoví, že osobní údaje musí být shromažďovány pro určité, výslovně vyjádřené a legitimní (v souladu s právním řádem) účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný.19 Na počátku zpracování je tedy třeba jasně vymezit účel zpracování, tedy proč jsou údaje zpracovávány. Následné zpracování je prováděno vždy za tímto účelem. Rozšíření či změna účelu zpracování jsou možné pouze v případě:

1. dalšího zpracování pro účel, který je slučitelný s původním účelem,

2. dalšího zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely,

3. dalšího zpracování ve veřejném zájmu na základě právního předpisu,

4. dalšího zpracování na základě souhlasu subjektu údajů pro nový účel zpracování.

Příklad

Matrikářka zpřístupní seznam nově sezdaných manželských párů svému manželovi, který provozuje cestovní kancelář, aby je mohl oslovit se speciální nabídkou zájezdů pro novomanžele. Takovéto zpřístupnění informací je neslučitelné s účelem, pro který byly informace původně získány, tedy za účelem evidence uzavřených sňatků. Jedná se tak o porušení zásady účelového vymezení. 20

3. Zásada minimalizace údajů

Zásada minimalizace údajů v návaznosti na předchozí zásadu stanoví, že osobní údaje musejí být:

- přiměřené, tedy v dostatečném rozsahu pro řádné splnění účelu zpracování,

- relevantní, tedy musejí mít racionální souvislost s účelem zpracování,

- omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, tedy nezpracováváme údaje, které pro splnění účelu nejsou třeba.

Vždy je tedy třeba zkoumat, zda údaje, které zpracováváme, jsou opravdu nezbytně nutné k účelu zpracování, který byl určen na začátku, a toto musíme být schopni prokázat. Nezbytný rozsah údajů se může v průběhu zpracování měnit, je tak třeba dané aspekty pravidelně přezkoumávat a údaje, které již nejsou nezbytné, mazat.21 V tomto ohledu je však vhodné uvést, že osobní údaje, které obec musí zpracovávat na základě nejrůznějších právních předpisů, jsou vždy relevantní, přiměřené a omezené na nezbytný rozsah.

Příklad

Organizátor školení o GDPR pro obce zpracovává osobní údaje účastníků školení za účelem organizace tohoto školení na základě právního titulu plnění smlouvy. Po účastnících požaduje jméno, příjmení, e-mailovou adresu a rodné číslo. Zpracování rodného čísla v tomto případě nebude přiměřené ani relevantní k danému účelu, a pro tento účel tak není nezbytné. Zpracování rodného čísla proto bude v rozporu se zásadou minimalizace údajů. 22

4. Zásada přesnosti

Zásada přesnosti stanoví, že osobní údaje musejí být přesné a v případě potřeby aktualizované. V souvislosti s tím tak musejí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné, byly bezodkladně vymazány nebo opraveny.23 V návaznosti na tuto zásadu dává GDPR subjektům údajů „právo na opravu“.24 Přesnost údajů nemusí nutně také znamenat jejich pravdivost. Pokud subjekt údajů poskytne nepřesné údaje, obec jako správce nebude odpovídat za jejich nepřesnost. Zároveň je míra požadované přesnosti posuzována vždy ve vztahu k účelu zpracování. Pokud bude pro nějaký účel třeba pouze přibližný údaj, nebude takovéto zpracování považováno za porušení zásady přesnosti. Přesnost údajů by měl správce v rozumné míře zjišťovat i v průběhu zpracování.25

Příklad

Zaměstnanec je propuštěn pro údajné porušení pracovní kázně. Neplatnost výpovědi je následně zaměstnancem napadena u soudu, který dá zaměstnanci za pravdu. Zaměstnanec požaduje smazání veškerých údajů ohledně jeho údajného porušení pracovní kázně. Výpověď zaměstnance je však z hlediska zásady přesná, není tedy důvod tyto údaje mazat. Je však třeba údaje aktualizovat v tom smyslu, že v daném případě byla výpověď neplatná.

5. Zásada omezení uložení

Zásada omezení uložení stanoví povinnost zpracovávat osobní údaje jen po dobu, která je nezbytná pro naplnění účelu zpracování. Osobní údaje musejí být uloženy ve formě umožňující identifikaci subjektů údajů.26 V návaznosti na tuto zásadu dává GDPR subjektům údajů „právo být zapomenut“.27

Údaje v identifikovatelné podobě je možné uložit po delší než nezbytnou dobu pouze tehdy, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely, a za předpokladu, že jsou provedena příslušná technická a organizační opatření dle GDPR.28 Archivace je v právním řádu ČR upravena zákonem č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, a prováděcí vyhláškou č. 259/2012 Sb., o podrobnostech výkonu spisové služby.

Anonymizací údaje přestávají identifikovat subjekt údajů a nadále už nejsou osobními údaji dle GDPR. Anonymizace je proces, kterým jsou osobní údaje upraveny takovým způsobem, že z nich již není možné identifikovat fyzickou osobu, které se týkají, a to ani sloučením s jinými údaji, ke kterým má správce či kdokoli další přístup.29 Tím se anonymizace liší od pseudonymizace. Pseudonymizace je proces, kdy osobní údaje nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že nebudou přiřazeny ke konkrétní fyzické osobě.

Příklad

Příklad anonymizace: Dokument „Jazykový kurz“ obsahuje jmenný seznam účastníků, data narození a bydliště. Dokument se anonymizuje do podoby „Jazykový kurz“ – 30 účastníků (15 žen, 15 mužů), zbylé údaje, tedy jména, data narození a bydliště, se vymažou. Údaje z dokumentu v anonymizované podobě mohou být podle GDPR zpracovávána i po dobu delší než nezbytnou.

Příklad pseudonymizace: Dokument A obsahuje jména účastníků a jejich jedinečný identifikátor (Jana Nováková – XY). Dokument B obsahuje např. hodnocení přiřazené účastníkům podle jedinečných identifikátorů (XY – hodnocení „1“). Dokumenty jsou uchovávány odděleně, jsou užita přiměřená technická a organizační opatření. Zjistit hodnocení konkrétního účastníka z dokumentu B je možné jen za použití dodatečných informací v dokumentu A. Údaje v pseudonymizované podobě mohou být zpracovávány jen po dobu nezbytnou.

6. Zásada integrity a důvěrnosti

Zásada integrity a důvěrnosti stanoví, že osobní údaje musejí být zpracovávány způsobem, který zajistí jejich náležité zabezpečení, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením.30 Zabezpečení zpracování osobních údajů je blíže upraveno v čl. 32 GDPR. Tento článek stanoví, že správce a zpracovatel provedou vhodná technická a organizační opatření, aby zajistili dostatečnou úroveň zabezpečení s ohledem na účel zpracování, náklady, potenciální rizika atd. Dále článek příkladem uvádí některé formy zabezpečení, jedná se o:

- pseudonymizaci a šifrování osobních údajů,

- schopnost zajistit neustálou důvěru a integritu, dostupnost a odolnost systému a služeb zpracování,

- schopnost obnovit dostupnost osobních údajů a přístup k nim včas v případě incidentů,

- proces pravidelného testování a hodnocení účinnosti zavedených opatření.

Příklad

Pro zajištění odolnosti systému při zpracovávání údajů v elektronické podobě může sloužit vhodný zabezpečovací software. Pro zajištění včasné obnovy údajů v elektronické podobě slouží pravidelné zálohování údajů a ukládání na odděleném úložišti.

7. Zásada odpovědnosti

Zásada odpovědnosti stanoví, že správce odpovídá za dodržení výše uvedených zásad a dodržení musí být schopen doložit.31 Odpovědnost správce je blíže upravena v čl. 24 GDPR. Dle uvedeného článku správce s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a závažným rizikům zavede vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s GDPR.

Příklad

K zajištění souladu s GDPR je třeba po posouzení rizik zavést vhodná interní opatření a k prokázání souladu vést komplexní dokumentaci. Těmito opatřeními mohou být řádně zpracovaný spisový, skartační a archivační řád obce a dokumentace o náležitém proškolení zaměstnanců v oblasti ochrany osobních údajů.

III. Základní pojmy a právní důvody zpracování osobních údajů

1. Základní pojmy

Pro správnou aplikaci GDPR jsou pojmy nezbytné. Bez toho, aby bylo jasné, co je osobní údaj nebo zpracování osobních údajů, se o ochraně osobních údajů nelze vážně bavit. Vedle toho GDPR ukládá některé povinnosti pouze zpracovatelům osobních údajů a některé zase např. pouze orgánům veřejné moci a veřejným subjektům. Na pojmy uvedené v této kapitole je v dalších částech publikace hojně odkazováno.

1.1 Osobní údaj^32

Pojem osobní údaj je z povahy věci pro správnou aplikaci GDPR klíčový. GDPR se totiž vztahuje pouze na zpracování osobních údajů, na ostatní zpracování dat se nepoužije. Dle čl. 4 odst. 1 GDPR se osobním údajem rozumějí „veškeré informace o identifikované nebo identifikovatelné fyzické osobě“. Článek dále definuje identifikovanou či identifikovatelnou osobu jako fyzickou osobu, „kterou lze přímo nebo nepřímo identifikovat, zejména s odkazem na určitý identifikátor“. Nařízení samo uvádí příklady těchto identifikátorů, jako jsou „jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby“. Převedeno do neprávnické řeči, osobním údajem je jakákoliv informace, která se pojí s konkrétním člověkem. Pokud tedy obec má statistiku, že nejčastějším příjmením u jejích občanů je Novák, není jméno Novák osobním údajem, protože ho nelze přiřadit ke konkrétní osobě. Naopak v rámci evidence obyvatel je Jan Novák s konkrétním bydlištěm a datem narození osobním údajem, tj. údajem přiřaditelným k určité osobě.

To, že osobním údajem je zpravidla jméno, příjmení, věk, datum narození, fotografie či údaje o přestupcích, nejspíše nikoho nepřekvapí. Jedná se o údaje typicky, i když ne výlučně, zpracovávané ve správních řízeních. Osobním údajem však může být třeba i GPS lokátor. Pokud má obec k dispozici automobily s GPS lokátorem, pak i údaj o aktuální poloze či historii jízd je osobním údajem za předpokladu, že tuto lokalizaci lze přiřadit ke konkrétní osobě. Obdobně to platí u využívání souborů cookies na webových stránkách. Pokud obce využívají složitější webové stránky a pomocí cookies získávají informace o uživatelích webu, pak i např. historie návštěv, prohlížené stránky či hlasování v anketě za podmínky přiřaditelnosti k určité osobě je osobním údajem. Na tomto místě je vhodné upozornit na to, že podmínkou přiřaditelnosti nemusí být znalost pravého jména či příjmení. I vymyšlená identita, e-mail typu 123@gmail.com nebo jedinečná IP adresa postačuje pro splnění podmínky přiřaditelnosti. Zásadní je pouze spojení s jednou osobou. V praxi obcí se často setkáváme se zpracováním telefonických spojení či e-mailů za účelem informování o činnosti obce, uzavírkách či mimořádných událostech.

1.2 Zvláštní kategorie osobních údajů^33

GDPR definuje v článku 9 odst. 1 jako podkategorii osobních údajů tzv. zvláštní kategorie osobních údajů. Zrušený zákon o ochraně osobních údajů užíval pro tyto údaje označení citlivé osobní údaje. Mezi zvláštní kategorie osobních údajů patří údaje vypovídající o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické či biometrické údaje zpracované za účelem jedinečné identifikace fyzické osoby a údaje o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Význam dělení na zvláštní kategorii osobních údajů spočívá v tom, že citlivé údaje jsou více chráněné než ostatní osobní údaje a lze je zpracovávat pouze za zpřísněných podmínek.

Vážení čtenáři, právě jste dočetli ukázku z knihy GDPR a žádost podle stošestky v praxi obcí.
Pokud se Vám líbila, celou knihu si můžete zakoupit v našem e-shopu.