GDPR – revoluce, nebo rozvedení stávajícího?

Toto označení kritizuje a na pravou míru uvádí Úřad na ochranu osobních údajů (dále jako „ÚOOÚ“), když říká, že jedním ze základních znaků ochrany osobních údajů je kontinuita.[4] GDPR totiž v cílech i zásadách zpracování a ochrany osobních údajů navazuje na stávající právní úpravu,[5] což konstatuje i vlastní text GDPR např. v čl. 9 recitálu. Obecné nařízení tedy vychází ze stávající právní úpravy, ale dává si za cíl poradit si se současnou nekonzistentností právní úpravy ochrany osobních údajů v rámci členských států EU. Toho chce docílit prostřednictvím jednotné aplikace jasných pravidel.  

Porovnáme-li obsahově GDPR a směrnici 95/46/ES, dojdeme k závěru, že využívají stejné definice nejdůležitějších pojmů[6] a blízké jsou si i v zásadách zpracování osobních údajů.[7] Zaměříme-li se na pravidla stanovená pro subjekty, které osobní údaje zpracovávají (správce a zpracovatele), zjistíme, že GDPR většinou „pouze“ zpřesňuje a podrobně rozvádí to, co je již ustanoveno ve směrnici 95/46/ES a z. č. 101/2000 Sb., o ochraně osobních údajů, v platném znění (dále jen „ZOOÚ“). V tomto kontextu lze tedy říci, že GDPR vedle detailnější právní úpravy stávajících povinností správců obsahuje i povinnosti nové (jako je např. ohlašování případů porušení zabezpečení osobních údajů či jmenování pověřence pro ochranu osobních údajů, viz dále). Podobně je tomu i u práv subjektů údajů. GDPR rozpracovává práva subjektů údajů, která již mají, a přidává i některé novinky (např. v podobě práva na přenositelnost údajů[8]). To z této úpravy ještě nečiní revoluci a strašáka podnikatelských subjektů, i když přechod na novou úpravu a její důsledná implementace bude aktivitou náročnou časově i na zdroje. Zejména pro ty subjekty, které dosud ochranu osobních údajů zanedbávaly.

Na revidovaná a přísnější pravidla ochrany osobních údajů lze pohlížet i pozitivně. Občanům (subjektům údajů) mohou poskytnout větší kontrolu nad jejich osobními údaji. Cílem GDPR je zejména ochránit subjekty údajů ve vztahu k rozvíjející se digitalizaci, profilování uživatelů internetu a sběru velkého počtu dat o nás. Zásadní ale vždy zůstává vymahatelnost povinností. Každý subjekt by měl postupovat obezřetně a vážit, komu a za jakých podmínek poskytuje osobní údaje. Nejde ani tak o běžný vztah např. zaměstnance a zaměstnavatele nebo o nákupy na internetu. V dnešní době jde spíše o různé aplikace, hry a kvízy, které získávají osobní údaje ze so­ciál­ních sítí, a roboty, kteří sledují naši aktivitu na internetu.

GDPR je dobrým podnětem pro podniky, které dosud pravidla ochrany osobních údajů důsledně neimplementovaly, aby si provedly interní audit v oblasti nakládání s osobními údaji, zmapovaly své rezervy a začaly efektivně řešit případné nedostatky v této oblasti. Firmy, které podnikají na úrovni EU, budou profitovat z rovných podmínek, které budou zásluhou GDPR pro všechny subjekty působící v EU (bez ohledu na to, kde se nachází jejich sídlo) shodné. Předpokládán je také pozitivní vliv důvěry v nově nastolovanou ochranu osobních údajů na budování jednotného digitálního trhu jako jedné z hlavních priorit EU,[9] a tím i na (digitální) ekonomiku.[10] 

Důvody pro novou úpravu ochrany osobních údajů 

I když podstata právní úpravy ochrany osobních údajů včetně základních zásad a klíčových institutů zůstává v GDPR v podstatě stejná jako u směrnice 46/95/ES, byla komplexní revize právní úpravy této oblasti nutná. Jak již naznačují předchozí řádky, za potřebou aktualizace stojí zejména technologický a společenský vývoj, v jehož důsledku se stávající právní rámec zřízený směrnicí 95/46/ES[11] stal zastaralým, přestával postupně odpovídat aktuálním požadavkům dnešní doby (době čtvrté průmyslové revoluce) a nezastřešuje již problematiku ochrany osobních údajů dostatečně.[12] V době tvorby (90. léta 20. století) stejně jako v době zavádění tohoto evropského předpisu neexistovaly různé sociální sítě. Existovala např. sice základní myšlenka cloud computingu,[13] ale k vlastnímu poskytování cloudových služeb[14] začalo docházet mnohem později. Nepočítalo se ani s dalšími technologiemi, které jsou dnes více než běžné. Internet věcí[15] existoval nejspíš pouze v hlavách vizionářů a počítačových expertů. V důsledku rozvoje technologií se mění způsoby sběru, využití i přístupnosti dat, včetně osobních údajů. Technický pokrok jde nezadržitelně kupředu, a tak i dnes je již zřejmé, že ani nová regulace představovaná GDPR nepokrývá stoprocentně všechny oblasti ochrany dat. Podle názorů odborníků bude GDPR v době své účinnosti zaostávat za technologickým pokrokem nejméně o pět let.

Z pohledu dnešních zkušeností se jeví, že zvolit pro právní úpravu ochrany osobních údajů na evropské úrovni formu směrnice nebylo šťastné. Právní akt ve formě směrnice totiž sice stanovuje cíl, kterého musí všichni členové EU (během stanovené doby) dosáhnout, ale ponechává na nich způsob, jakým tak učiní. V návaznosti na směrnici 95/46/ES tak vznikly jednotlivé národní právní předpisy (28), které se od sebe více či méně odlišují. To přinášelo firmám nemalé náklady jak časové, tak finanční, jelikož musely dodržovat v rámci podnikání na jednotném trhu EU různé podmínky, které si národní zákony kladly nad rámec směrnice. Taková „volnost“ se tedy v oblasti ochrany osobních údajů za stávajících technologických možností jeví jako nevhodná. Forma nařízení, která byla zvolena pro úpravu novou (GDPR), dává v něm obsaženým pravidlům celounijní platnost. Přímá použitelnost či lépe řečeno účinnost a také závaznost GDPR ve všech členských státech EU bez nutnosti ho do jednotlivých národních právních řádů transponovat si klade za cíl právní úpravu sjednotit a nastolit rovné podmínky pro všechny společnosti, které působí v rámci EU.

I přes přímou aplikovatelnost GDPR bude ale nezbytné stávající český předpis (z. č. 101/2000 Sb., o ochraně osobních údajů) zásadním způsobem upravit. Ministerstvo vnitra se jako gestor implementace nového právního rámce ochrany osobních údajů rozhodovalo mezi novelizací a přípravou předpisu zcela nového. Nakonec 18. srpna 2017 zveřejnilo návrh zcela nového zákona o ochraně osobních údajů i návrh změn dotčených zákonů. 

Základní cíle GDPR 

Recitál GDPR definuje základní poslání a záměry nových pravidel ochrany osobních údajů, reprezentovaných zejména tímto nařízením. Obecně má přispět k dotvoření prostoru svobody, bezpečnosti, práva a hospodářské unie. Má směřovat k hospodářskému i společenskému pokroku, posilování a sbližování národních ekonomik. Výsledkem mají být kvalitní životní podmínky. Toho má být specificky dosaženo prostřednictvím sjednocení rozdílů v oblasti ochrany osobních údajů v celé EU, vedoucím k eliminaci rizik v této oblasti, a tedy větší právní jistotě fyzických osob i obchodních společností.

Bude-li dosaženo v rámci EU jednotné úrovně ochrany podpořené jasnými pravidly pro její vymáhání, povede to k odstranění překážek bránících volnému pohybu osobních údajů, a tedy k rozvoji digitálního trhu a ekonomiky, jak již bylo zmíněno. Profitovat z toho budou jak fyzické osoby, tak ekonomické subjekty. 

Základní zásady ochrany osobních údajů 

GDPR je založeno na dvou (nových) přístupech:

– principu odpovědnosti správce za dodržení zásad zpracování[16] včetně schopnosti shodu se zásadami doložit,[17] a

– principu rizika.

Principem rizika se myslí to, že správce od samého počátku zpracování osobních údajů musí brát v úvahu rozsah, kontext, povahu a účel zpracování a zároveň průběžně přihlížet k možným rizikům, která může zpracování znamenat pro práva a svobody fyzických osob. Povinností správce je, aby všem těmto okolnostem přizpůsobil zabezpečení osobních údajů.

Čl. 2 recitálu GDPR zdůrazňuje, že zásady a pravidla ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů mají respektovat jejich základní práva a svobody, zejména právo na ochranu osobních údajů.

Základními zásadami zpracování osobních údajů jsou podle GDPR:

– zákonnost,[18]

– správnost a transparentnost,[19]

– účelové omezení,[20]

– minimalizace údajů,[21]

– přesnost,[22]

– omezení uložení,[23]

– integrita a důvěrnost,[24] a

– odpovědnost správce.[25]

Až na poslední zde uvedenou zásadu jsou všechny obsaženy také v ustanoveních směrnice 95/46/ES,[26] a logicky tedy také v ZOOÚ, podle kterého smí správce osobních údajů zpracovávat taková data pouze se souhlasem subjektu údajů,[27] ke stanovenému účelu,[28] pouze v nezbytném rozsahu[29] pro naplnění tohoto účelu a pouze po nezbytnou dobu.[30] Nadto ZOOÚ požaduje, aby osobní údaje získané k rozdílným účelům nebyly sdružovány.[31] 

Zákonnost 

Správce vyhoví požadavkům zásady zákonnosti, pokud v odpovídajícím rozsahu splní alespoň jednu z podmínek danou čl. 6 odst. 1 GDPR:

– získá souhlas subjektu údajů se zpracováním jeho osobních údajů pro jeden či více konkrétních účelů;[32]

– zpracování je nutné pro jednání o smlouvě nebo plnění smlouvy uzavřené se subjektem údajů;[33]

– zpracování je nezbytné pro splnění právní povinnosti správce;[34]

– zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů či jiné fyzické osoby;

– zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen;[35]

– zpracování je nezbytné pro účely oprávněných zájmů správce či třetí strany s výjimkou případů, kdy mají přednost zájmy nebo základní práva a svobody subjektu údajů, které vyžadují ochranu osobních údajů.[36] 

Transparentnost a odpovědnost 

Aby zpracování osobních údajů bylo možné považovat za transparentní,[37] je třeba, aby správce zpracovával osobní údaje otevřeně, nezatajoval důvody, proč potřebuje osobní údaje zpracovávat (účely zpracování), a také, aby plnil svou informační povinnost vůči subjektům údajů.[38] Povinností správce je zajistit, aby subjekt údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem, za použití jasných a jednoduchých jazykových prostředků získal veškeré potřebné informace o zpracování jeho osobních údajů, jako je identifikace správce a jeho případného zástupce,[39] účel a právní základ zpracování,[40] příjemce osobních údajů, úmysl správce předat osobní údaje do třetí země nebo mezinárodní organizaci a případně také informace o době uložení osobních údajů, o právu na přístup k osobním údajům, možnost podat stížnost u dozorového orgánu, možnost odvolat udělený souhlas, o právu na opravu, omezení zpracování, či dokonce výmaz atd. Jsou-li osobní údaje získávány přímo od subjektu údajů, poskytuje správce příslušné informace v okamžiku získání osobních údajů.

S transparentností se také úzce pojí již zmiňovaný princip odpovědnosti. Transparentnost má vést k uvědomění si, že zpracování osobních údajů může zasáhnout a více či méně zasahuje do života fyzických osob a v důsledku nedostatečné ochrany může mít na tyto osoby (negativní) dopad. K takovému uvědomění má dojít nejen na straně správců, ale také na straně subjektů údajů, které v současné době nejeví dostatečný zájem o to, jak je s jejich daty (v zásadě poskytovanými na každodenní bázi) nakládáno, a tedy ani nevyvíjejí žádný tlak na správce. GDPR by podle Evropské komise tuto situaci mohlo začít měnit. 

Práva subjektů údajů 

Jedním z cílů GDPR je posílit práva subjektů údajů. Toho má být dosaženo prostřednictvím podrobnější a propracovanější úpravy již prověřených institutů a též prostřednictvím zakotvení a úpravy institutů nových. Konkrétně GDPR stanovuje subjektům údajů:

– právo na přístup k osobním údajům (viz čl. 15 GDPR),[41]

– právo na opravu a doplnění neúplných osobních údajů (viz čl. 16 GDPR),[42]

– právo na výmaz, resp. právo být zapomenut (viz čl. 17 GDPR),

– právo na omezení zpracování (čl. 18 GDPR),

– právo na přenositelnost údajů (viz čl. 20 GDPR), a

– právo vznést námitku (viz čl. 21 GDPR). 

Právo na přístup k osobním údajům 

Subjekt údajů má právo na to, aby mu správce potvrdil, zda zpracovává jeho osobní údaje, a pokud ano, má právo získat přístup k nim i k informacím, které se tohoto zpracování týkají. Je-li subjekt údajů dobře obeznámen se skutečností, že jsou jeho data zpracovávána, může pak samozřejmě realizovat i další práva s nimi spojená, jako je právo na opravu či doplnění, právo na přenositelnost údajů a další. Má své osobní údaje pod kontrolou a může s nimi podle vlastního uvážení nakládat.

V současné době je toto právo subjektu údajů zakotveno i v § 12 ZOOÚ. Správce je na žádost subjektu údajů povinen poskytnout mu informaci o zpracování jeho osobních údajů bez zbytečného odkladu. 

Právo na opravu 

Právo na opravu je provedením zásady správnosti. Jeho obsahem je povinnost správce bez zbytečného odkladu opravit nepřesné osobní údaje konkrétního subjektu údajů a ne­úplné osobní údaje s přihlédnutím k účelu zpracování doplnit.

S neaktuálními, nepřesnými nebo neúplnými informacemi se stávající právní úprava vypořádává v § 5 odst. 1 písm. a) ZOOÚ, který správci dává za povinnost zpracovávat pouze přesné osobní údaje, a je-li to nezbytné, aktualizovat je. Pokud správce zjistí, že zpracovává údaje, které této podmínce nevyhovují, musí provést příslušná přiměřená opatření, jako je blokování zpracování a oprava či doplnění osobních údajů. Pokud by to nebylo možné, je povinen takové osobní údaje zlikvidovat.[43] Informaci o blokování, opravě, doplnění či likvidaci správce povinně bez zbytečného odkladu sdílí se všemi příjemci.

Právo na výmaz – právo být zapomenut 

Právo být zapomenut stejně jako právo na přístup k osobním údajům a právo na opravu existovalo již před přijetím GDPR,[44] bylo založeno směrnicí 95/46/ES, ze které je dovodil[45] Soudní dvůr EU (velký senát) v rozsudku ze dne 13. 5. 2014, ve věci C-131/12, Google Spain SL, Google Inc. proti Agencia Española de Protección de Datos (AEPD). Pan Mario Costeja Gonzáles si přál vymazat internetový novinový článek, který obsahoval informaci z roku 1998 o nuceném prodeji jeho nemovitosti z důvodu dluhu na sociálním pojištění, který však byl následně uhrazen. Se svou žádostí namířenou proti internetovému deníku La Vanguardia a proti Google Spain SL a Google Inc. kontaktoval španělský úřad pro ochranu osobních údajů (AEPD). Vzhledem k výjimce z ochrany osobních údajů pro účely žurnalistiky nebo uměleckého a literárního projevu obsažené ve španělské legislativě však úřad stížnost v části namířené proti elektronickým novinám zamítl. V části proti společnostem Google jí však vyhověl s tím, že jim uložil povinnost odstranit Gonzálesovy osobní údaje z jejich indexu a zabránit budoucímu přístupu k nim.

V rámci rozhodování tohoto sporu vznesl španělský Nejvyšší soud na Soudní dvůr EU (dále jako „SDEU“) předběžné otázky na místní a věcnou působnost směrnice 95/46/ ES a na vlastní výklad práva „být zapomenut“. SDEU vyložil příslušná ustanovení směrnice 95/46/ES[46] tak, že činnost vyhledávačů[47] je třeba jednoznačně považovat za zpracování osobních a jiných údajů ve smyslu směrnice 95/46/ES. Dále se vyslovil v tom smyslu, že provozovatele internetového vyhledávače považuje za správce osobních údajů,[48] a je tedy za jejich zpracování prostřednictvím poskytované služby také odpovědný. Soud dále prostřednictvím širokého výkladu pojmu zpracování osobních údajů odvodil, že ustanovení směrnice 95/46/ES dopadají na činnost vyhledávače Google i přes skutečnost, že Google Inc. je americkou právnickou osobou, není veřejně známo, kde se nacházejí její servery, na kterých jsou data uložena, a madridská pobočka se zabývá „pouze“ reklamou, podporou prodeje a marketingem. SDEU dospěl k závěru, že i když nelze jednoznačně říci, že místem zpracování údajů je oblast EU, zaměřuje se Google na obyvatele členského státu EU a zpracovávání osobních údajů prostřednictvím vyhledávače Google podléhá právní úpravě směrnice 95/46/ES. Co se týče práva být zapomenut, SDEU dovodil, že s ohledem na účel zpracování a plynutí času se může původní zákonné zpracování dat dostat do rozporu s ustanoveními směrnice 95/46/ES. V případě, že dříve zpracované údaje již nejsou nezbytné pro účely, pro které byly shromažďovány či zpracovávány, mohou se zdát nepřiměřenými nebo nepodstatnými a jejich subjekt požádá o jejich odstranění, musí mu provozovatel vyhledávače vyhovět. Toto právo subjektu údajů a povinnost správce zpracovávaných dat jsou omezeny možnou převahou zájmu veřejnosti mít k dané informaci při internetovém vyhledávání přístup. Provozovatel vyhledávače je osobou, které náleží právo i povinnost posoudit důvodnost (zákonnost) žádosti subjektu údajů o výmaz informace. Musí přitom přihlížet jak k právu subjektu údajů na ochranu soukromí, tak k právu veřejnosti na přístup ke konkrétní informaci jako výsledku vyhledávání.

Od 25. 5. 2018, kdy GDPR vstoupí v účinnost, již nebude dovozování práva být zapomenut nutné. Právo na výmaz je totiž v čl. 17 GDPR přímo zakotveno. Podle čl. 17 odst. 1 GDPR má subjekt údajů právo, aby správce jeho osobní údaje vymazal, přičemž správce má povinnost tak bez zbytečného odkladu učinit, pokud je dán alespoň jeden z důvodů stanovených v čl. 17 odst. 1 písm. a) až f) GDPR (např. osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny a zpracovávány; subjekt údajů odvolá svůj souhlas se zpracováním a neexistuje žádný další právní důvod pro zpracování; subjekt údajů vznese námitky proti zpracování, v neposlední řadě může být důvodem protiprávnost zpracování). Čl. 17 odst. 2, který hovoří o situaci, kdy byly osobní údaje správcem zveřejněny, má vazbu na prostředí internetu. Jeho podstatou je ochrana osobnosti před negativními následky publicity spočívajícími v tom, že každý člověk má právo požádat internetové vyhledávače,[49] aby se postaraly o odstranění výsledků vyhledávání,[50] ve kterých je obsaženo jeho jméno.[51]

Proces realizace práva být zapomenut, zejména jde-li o výmaz informací zveřejněných online, není ale zcela jednoduchý. Začíná žádostí dotčené osoby o výmaz. K odstranění nechtěných informací však nedochází automaticky. Každá individuální žádost[52] musí být zvážena, posouzena a odborní pracovníci společnosti provozující daný internetový vyhledávač rozhodnou, zda jí bude vyhověno. Předmětem posouzení je zejména skutečnost, zda je v konkrétním případě vhodné upřednostnit právo jednotlivce být zapomenut před právem veřejnosti na informace.

Právo subjektu údajů na výmaz jeho osobních údajů má své hranice a omezení. Je limitováno výkonem práva na svobodu projevu a informace, plněním povinnosti vyžadující zpracování osobních údajů ve veřejném zájmu či výkonu veřejné moci, nezbytností zpracování osobních údajů pro účely archivace ve veřejném zájmu a pro účely vědeckého nebo historického výzkumu a pro účely statistické a také pro určení, výkon nebo obhajobu právních nároků. Vzhledem k celé řadě výjimek, kterými GDPR výkon práva být zapomenut omezuje, je nasnadě otázka jeho uplatnění a skutečného vymáhání.

Právo na omezení zpracování 

Čl. 18 GDPR upravuje právo subjektu údajů, aby v taxativně vyjmenovaných případech správce omezil zpracování jeho osobních údajů. Jde o případy, kdy subjekt údajů popírá přesnost zpracovávaných osobních údajů, nebo když jde o zpracování protiprávní a subjekt odmítá jejich výmaz a místo toho žádá o omezení jejich použití. Dále se jedná o situace, kdy správce již údaje pro účely zpracování nepotřebuje, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků. Zpracování osobních údajů může být také dočasně omezeno, pokud proti němu subjekt údajů vznesl námitku a správce nebo zpracovatel prověřují, zda převažují oprávněné důvody na jeho straně nad důvody subjektu údajů.

Dnes obdobnou úpravu obsahuje i ZOOÚ, podle § 21 ZOOÚ má subjekt údajů mj. právo žádat blokaci svých osobních údajů, pokud se domnívá, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou jeho soukromého a osobního života nebo v rozporu se zákonem.[54] 

Právo na přenositelnost údajů 

Subjekt údajů (fyzická osoba) má právo získat bezplatně[55] své osobní údaje, které poskytl správci, a také právo tyto údaje bez omezení předat jinému správci. Je-li to technicky proveditelné, má subjekt údajů právo na předání svých osobních údajů přímo mezi samotnými správci. V čl. 20 GDPR nalezneme podmínky, za kterých subjekt údajů toto své právo nabývá:

– jedná se o osobní údaje (poskytnuté subjektem údajů);

– tyto osobní údaje jsou zpracovávány automatizovaně;

– k jejich zpracování dochází pro konkrétní účely;

– subjekt údajů, který osobní údaje poskytuje, musí s jejich zpracováním předem udělit souhlas nebo musí jít o zpracování nezbytné pro splnění smlouvy, jejíž je subjekt údajů smluvní stranou. Výkonem práva na získání osobních údajů nesmí být negativně ovlivněna práva a svobody třetích stran.

Ustanovení o portabilitě dat správci předepisuje, aby údaje poskytl subjektu údajů v běžně používaném a strojově čitelném formátu.

Je vhodné zdůraznit, že uplatnění práva jednotlivce na přenositelnost údajů neznamená automaticky ukončení vzájemných vztahů či spolupráce, není ani důvodem pro samočinný výmaz dat ze systémů správce. Subjekt údajů může i po přenosu dat efektivně využívat služby správce původního.

V praxi nejčastěji půjde o přenos dat mezi nejrůznějšími aplikacemi, jako jsou např. běžecké či jiné sportovní platformy, hudební platformy, sdílené kalendáře, elektronická pošta, vyhledávače zaměstnání, aplikace shromažďující informace o zdravotním stavu, platformy umožňující seznámení, úložiště fotografií apod.

Přenositelnost údajů je zcela nové právo vytvořené EU k podpoře konkurence na digitálním trhu. Jeho aplikace v praxi již nyní vyvolává řadu otázek. Proto se problematikou přenositelnosti dat, resp. výkladem příslušných ustanovení podrobněji zabývá pracovní skupina WP29.[56] Ta na konci loňského roku zveřejnila svá výkladová stanoviska, která, i když nejsou právně závazná, mají jako právní názor kontrolního orgánu zásadní význam. Jedno z nich je právě také věnované institutu práva na přenositelnost vlastních, správci poskytnutých osobních údajů.[57]

K účelu práva na přenositelnost údajů WP29 uvádí, že „dává subjektům údajů možnost obdržet své údaje (ve strukturovaném, běžně používaném a strojově čitelném formátu) a znovu je použít pro vlastní účely a napříč různými službami, usnadní jim přenášet, kopírovat nebo předávat osobní údaje bez jakýchkoliv zábran z jednoho IT prostředí do jiného. To posiluje pozici subjektů údajů jako spotřebitelů (nemusí již zůstávat u jednoho poskytovatele), a v podstatě tak dostávají možnost spravovat si své údaje samy či je přenášet od jednoho správce k jinému, aniž by tomu původní správce mohl nějak bránit.“[58]

Z pohledu správce osobních údajů to, pokud provádí zpracování osobních údajů automatizovaně, zejména znamená nutnost být technicky připraven kdykoliv a kterémukoliv subjektu údajů poskytnout jeho osobní údaje, které zpracovává, v přiměřeném formátu, který umožnuje přenos a další po­užití těchto údajů. V této souvislosti WP29 správcům doporučuje, aby pro subjekty údajů měli připravenu možnost přímého stažení jejich údajů a možnost jejich přímého přenosu k jinému správci. K tomu podle WP29 může být využito rozhraní pro programování aplikací (Application Programming Interface, API). Jiným řešením je uložení a uchovávání osobních údajů jejich subjektem na důvěryhodných úložištích třetích stran. Subjekt údajů pak správcům „jen“ povolí přístup ke svým osobním údajům a udělí jim souhlas se zpracováním.

Výkladové pokyny WP29 hovoří o povinnosti správců informovat subjekty údajů o jejich právu na přenositelnost dat, a to jednoduchým, stručným a jasným způsobem. Dále je správcům doporučováno, aby jednoduchým a srozumitelným způsobem vysvětlovali subjektům údajů rozdíly mezi různými typy údajů, které mohou při výkonu práva na přenositelnost obdržet. Vždy půjde o osobní údaje subjektu údajů, a pouze ty, které subjekt údajů správci sám poskytl.

WP29 správcům doporučuje, aby si vytvořili vhodné postupy, které subjektu údajů umožní podání žádosti o přenos údajů a také získání jeho dat. Součástí takového postupu musí být také spolehlivé ověření totožnosti žadatele o přenos dat. To by však neměl být problém, jelikož takové postupy již správci zaváděli u práva na likvidaci osobních údajů. V případě online aplikací mají subjekty údajů, např. uživatelé sociálních sítí, přístup ke svým osobním údajům pomocí unikátního log-in jména a hesla. Není tedy třeba vytvářet nic nového a zvláštního pro potřeby ověření totožnosti subjektu údajů žádajícího o přenos svých osobních dat.

WP29 ve stanovisku vyjadřuje svůj názor a doporučuje správcům dat vykládat pojem „osobní údaje týkající se subjektu údajů“ extenzivním způsobem, a to v případech, kdy subjektem údajů vyžádaná data zpracovávaná správcem obsahují také informace o třetích osobách a subjekt údajů je bude využívat pro své osobní účely. Jako příklad takových datových souborů uvádí WP29 záznamy o příchozích a odchozích telefonních hovorech či historii bankovního účtu, zahrnující příchozí i odchozí platební transakce. Dalším příkladem může být přenos souboru fotografií umístěných subjektem údajů na některé ze sociálních sítí. I když jsou na fotografiích kromě subjektu údajů třetí osoby, může si je subjekt údajů vyžádat a může si vyžádat také jejich přenos k jinému správci údajů. Zároveň WP29 v takovém případě zdůrazňuje, že tyto údaje přenášené k novému správci nesmí být zpracovány pro účely tohoto správce a nakládání s nimi musí zůstat subjektu, který přenos dat inicioval (subjektu údajů).

Široký výklad spočívá rovněž ve výkladu termínu „poskytnout“. Jde o to, že při poskytování osobních údajů nemusí jít pouze o informace poskytnuté a zadané vědomě a aktivně subjektem údajů, ale může jít také o údaje získané prostřednictvím využívání určité služby či zařízení (např. polohu určenou chytrým telefonem). Naopak takovým údajem nemohou být data odvozená z údajů poskytnutých jejich subjektem (např. uživatelský profil vytvořený analýzou základních dat z chytrého měření). Na taková data se pak právo přenositelnosti nevztahuje (nebyla poskytnuta subjektem údajů) a správci nejsou povinni je subjektům údajů poskytovat.

GDRP upravuje přenositelnost osobních údajů a správci nyní řeší praktickou stránku věci, aby byli od května 2018 schopni nově nastaveným povinnostem vyhovět. Až praktické aplikace ustanovení GDPR ukáží veškeré možnosti komer­čního využití práva na přenositelnost dat a jeho impakt na vývoj evropského digitálního trhu. Nechme se tedy překvapit konkrétními technickými řešeními správců osobních údajů a též zájmem, jak na straně subjektů údajů o to svá data přenášet k jiným správcům, tak na straně správců takové osobní údaje přebírat i třeba z důvodů kybernetické bezpečnosti. 

Právo vznést námitku 

GDPR dává subjektu údajů možnost vznést námitku proti zpracování jeho osobních údajů nejen pro účely přímého marketingu,[59] ale z důvodů konkrétní situace také v případě zpracovávání prováděného ve veřejném zájmu nebo výkonu veřejné moci, kterým je správce pověřen, nebo pro účely oprávněných zájmů správce či třetí strany,[60] a to kdykoliv. Pokud jde o zpracování osobních údajů pro marketingové potřeby, nebudou pak jeho osobní údaje již dále zpracovávány. Stejného výsledku lze v současné době docílit odvoláním souhlasu se zpracováním osobních údajů. 

Povinnosti správců osobních údajů 

GDPR staví na stejných zásadách jako směrnice 95/46/ES, které podrobněji rozpracovává a dále na nich buduje nové povinnosti spočívající ve vedení záznamu o činnostech zpracování, posuzování vlivu zpracování na ochranu osobních údajů, v konzultacích s dozorovým úřadem, ohlašování porušení zabezpečení osobních údajů (úřadu dozoru či subjektu údajů) a ve jmenování pověřence na ochranu osobních údajů. Všechny tyto nové povinnosti vycházejí z možného (vysokého) rizika pro práva a svobody subjektů údajů v digitálním prostředí. Předpokladem zákonného fungování subjektů, které se zabývají zpracováním a spravováním osobních údajů (tedy správce[61] a zpracovatele[62]), je tyto povinnosti znát a rovněž mít povědomí o tom, jakým způsobem je naplňovat. Důležité je si uvědomit, že povinovány nebudou pouze subjekty evropské. GDPR totiž bude aplikováno v souvislosti se subjekty osobních údajů, které se nacházejí na území Evropské unie.[63] Umístění sídla či provozovny správce či zpracovatele osobních údajů v tomto případě nebude hrát roli. Jakmile správce nebo zpracovatel bude nakládat[64] s osobními údaji subjektů, které se nacházejí na území EU, musí být připraven splnit veškeré požadavky, které na zpracování osobních údajů klade GDPR.[65]

Již bylo zmíněno, že jedním ze základních požadavků GDPR je odpovědnost správce,[66] jejímž obsahem je povinnost zavedení, revidování a případné aktualizování vhodných technických a organizačních opatření, aby správce osobních údajů zajistil a také byl schopen doložit zpracování osobních údajů v souladu s GDPR. Očekává se, že osobní údaje budou zpracovávány pouze pro konkrétní účel, v nezbytném rozsahu, pouze po nutnou dobu (minimalizace) a všude, kde to bude možné, aby byly osobní údaje pseudonymizovány, tj. aby bez dodatečných (odděleně uchovávaných) informací nemohly být přiřazeny konkrétnímu subjektu údajů.[67] S odpovědností zpracovatele a správce úzce souvisí zajištění příslušné úrovně zabezpečení zpracování osobních údajů zohledňující rizika zničení, pozměnění, neoprávněného zpřístupnění osobních údajů apod.[68] Pokud dojde k jakémukoliv porušení zabezpečení osobních údajů, je povinností správce bez zbytečného odkladu[69] takovou skutečnost ohlásit dozorovému úřadu a za určitých podmínek i dotčeným subjektům údajů.[70] 

Pověřenec pro ochranu osobních údajů[71] 

Samostatnou a velmi diskutovanou kapitolou nové úpravy ochrany osobních údajů je osoba pověřence pro ochranu osobních údajů,[72] který má být ustanoven, aby v příslušné organizaci napomáhal zajišťovat soulad s ustanoveními GDPR.[73] Jeho jmenování ale není povinné paušálně pro všechny správce či zpracovatele.[74]

Funkce pověřence je nezbytná tam, kde zpracování provádí orgán veřejné moci nebo veřejný subjekt,[75] hlavní činnost správce nebo zpracovatele spočívá v operacích vyžadujících rozsáhlé pravidelné a systematické monitorování subjektů údajů nebo kde hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů, jako je rasový a etnický původ, politické názory, náboženské vyznání nebo filozofické přesvědčení, členství v odborech, genetické a biometrické údaje nebo údaje o zdravotním stavu nebo sexuálním životě či sexuální orientaci fyzické osoby,[76] a též údajů týkajících se rozsudků v trestních věcech a trestných činů anebo souvisejících bezpečnostních opatření.[77] To znamená, že pokud činností správce není rozsáhlé pravidelné a systematické monitorování subjektů údajů nebo rozsáhlé zpracování zvláštních kategorií údajů (např. údaje o rasovém původu, genetické nebo biometrické údaje nebo údaje o zdravotním stavu), pak pověřence jmenovat nemusí. Pokud tedy lékař zpracovává osobní údaje svých pacientů, pakliže nejde o zpracování rozsáhlé, rovněž nemusí jmenovat pověřence, i když zpracovává zvláštní kategorii údajů. Kromě těchto situací může národní právo členských států požadovat jmenování pověřence i v dalších případech. Tak je tomu např. v Německu, které si tuto možnost prosadilo v rámci přípravy GDPR.

Tím není vyloučeno dobrovolné jmenování pověřence pro ochranu osobních údajů v podniku. I dobrovolně jmenovaný pověřenec pro ochranu osobních údajů musí být do funkce ustanoven a svou činnost vykonávat zcela v souladu s veškerými podmínkami GDPR.

Od osoby pověřence je nutné důsledně[78] odlišovat zaměstnance, který má v podniku v popisu práce zabezpečení řádného zpracování osobních údajů. Kterýkoliv podnik může ustanovit někoho ze zaměstnanců, aby byl zodpovědný za agendu zpracování osobních údajů, jde však pouze o interní organizační řád podniku a navenek taková osoba nemá postavení pověřence pro ochranu osobních údajů. Jmenování pověřence pro ochranu osobních údajů (ani osoby zodpovědné za zpracování osobních údajů v podniku mimo rámec GDPR) nevylučuje zodpovědnost jednotlivých manažerů za legální zpracování osobních údajů na jejich úseku (např. v personálním oddělení za zpracování osobních údajů zaměstnanců, v obchodním oddělení za zpracování osobních údajů dodavatelů či zákazníků, v IT oddělení za bezpečnost uložených a zpracovávaných osobních údajů) ani vyvinění organizace jako takové z odpovědnosti za řádné zpracování osobních údajů. WP29 v této souvislosti zdůrazňuje,[79] že pověřenec nenese osobní zodpovědnost za dodržování GDPR, vždy jsou to správci nebo zpracovatelé, kteří musí shodu zpracování osobních údajů s GDPR zajistit a také ji doložit. Zároveň správce nebo zpracovatel mají důležitou roli ve vytváření podmínek pro účinné plnění úkolů pověřence, zejména mu garantovat dostatečnou samostatnost a zajistit potřebné zdroje[80] pro efektivní výkon jeho funkce.

Jestliže správce nebo zpracovatel má zákonnou povinnost jmenovat pověřence pro ochranu osobních údajů, pak též musí zveřejnit kontaktní údaje pověřence pro ochranu osobních údajů a sdělit je také dozorovému úřadu. Pro zveřejnění není předepsaná žádná forma. To znamená, že podnik může tuto osobu uvést např. na svých webových stránkách, dále pak její jméno a kontakt na ni uvádět zejména v souhlasu se zpracováním osobních údajů, v informacích o zpracování osobních údajů povinně sdělovaným subjektům údajů, v textu věnujícím se cookies[81] zveřejňovaném prostřednictvím webových stránek správce nebo zpracovatele a v interních směrnicích věnovaných ochraně osobních údajů.

Správce či zpracovatel musí pověřence pro ochranu osobních údajů vybrat a jmenovat na základě jeho profesních kvalit, zejména s ohledem na jeho odborné znalosti práva a praxe v oblasti ochrany údajů a schopnosti plnit úkoly stanovené v GDPR, zejména poskytovat poradenství správcům či zpracovatelům a zaměstnancům, kteří provádějí zpracování, o jejich povinnostech podle GDPR a dalších právních předpisech na ochranu osobních údajů; monitorovat plnění povinností podle právních předpisů na ochranu osobních údajů v podniku při zpracování osobních údajů; a poskytovat poradenství, pokud jde o posouzení vlivu na ochranu osobních údajů. Potřebná úroveň odborných znalostí by se měla určit zejména podle prováděných operací zpracování a podle ochrany, která se vyžaduje pro osobní údaje zpracovávané správcem nebo zpracovatelem.[82] Požadavek GDPR na to, aby pověřenec měl odborné znalosti práva v oblasti ochrany osobních údajů, neznamená, že pověřencem může být pouze kvalifikovaný právník. Jde o osobu, která by měla dobře rozumět vnitřním procesům konkrétního podniku. V případě rozsáhlého automatizovaného zpracování osobních údajů (což se u profilingu předpokládá) by vhodným pověřencem mohla být např. osoba, která má znalosti v oblasti analýzy dat a kybernetické bezpečnosti.

Ve svých oficiálních praktických doporučeních a výkladových stanoviscích k ustanovením GDPR ohledně funkce pověřence se WP29 poměrně intenzivně věnuje podmínkám jmenování pověřence. Nalezneme zde výklad pojmu „hlavní činnost“, který v souvislosti s podmínkami povinného jmenování pověřence GDPR užívá. WP29 odkazuje na čl. 97 recitálu GDPR, ve kterém je stanoveno, že hlavní činnosti správce souvisejí s jeho činnostmi základními a nevztahují se na zpracování osobních údajů jakožto činnost pomocnou. Zároveň však WP29 také upozorňuje, že nelze vylučovat aktivity, při kterých zpracování dat tvoří nedílnou součást činnosti správce (zpracovatele) údajů. Jako názorný příklad WP29 uvádí nemocnici, jejíž hlavní činností je poskytovat zdravotní péči, což ale není dost dobře možné bez zpracování osobních údajů pacientů (jejich zdravotních záznamů). A to je důvod, proč v případě nemocnice je zpracování osobních údajů považováno také za hlavní činnost, a tudíž nemocnice je povinna pověřence jmenovat.

Další pomocný výklad WP29 k podmínkám jmenování pověřence je s odkazem na čl. 91 recitálu GDPR zaměřen na pojem „rozsáhlé zpracování“. Výklad nedefinuje hranici, od které lze zpracování považovat za rozsáhlé, i když v souvislosti s praktickou aplikací GDPR se výhledově počítá se vznikem standardního postupu, jak určit, co znamená „rozsáhlý“ ve vztahu k určitým typům zpracování. V tuto chvíli výklad WP29 poskytuje výchozí faktory (jako je počet dotčených subjektů, objem zpracovávaných dat či rozsah datových položek, doba trvání nebo nepřetržitost zpracovatelské činnosti a její územní rozsah), jejichž vyhodnocení napomůže při rozhodování, zda je správce povinen jmenovat pověřence z důvodu rozsáhlého zpracování osobních údajů.

Dále se WP29 vypořádává také s termínem „pravidelné a systematické monitorování subjektů údajů“ s tím, že pod monitoring je třeba zahrnout všechny formy sledování a profilování[83] na internetu, přičemž ale o pojmu monitorování nelze uvažovat omezeně pouze pro online prostředí. Příkladem činností, které mohou zakládat pravidelné a systematické monitorování subjektů údajů podle WP29 je provozování telekomunikačních sítí nebo poskytování telekomunikačních služeb, daty řízený marketing, profilování a skoring pro účely posouzení rizik, např. pro účely hodnocení úvěrového rizika, behaviorální reklama, věrnostní programy, kamerové systémy, inteligentní domy atd.

Slovo „pravidelný“ WP29 charakterizuje pomocí jedné či kombinací těchto charakteristik: průběžný nebo opakující se v pravidelných intervalech a po určitou dobu; stále se opakující nebo opakovaný v daných časech; neustále nebo pravidelně se vyskytující. Podobným způsobem WP29 vykládá také slovo „systematický“ jako kombinaci následujících charakteristik: vyskytující se podle určitého systému; přednastavený, organizovaný nebo metodický; uskutečňovaný jako součást obecného plánu pro sběr dat a vykonávaný jako prvek strategie.

Čl. 37 odst. 2 GDPR umožňuje skupině podniků jmenovat jediného společného pověřence. To lze ale pouze v případě, že bude snadno dosažitelný z každého jednotlivého podniku. Také v této záležitosti podává WP29 svůj výklad. Pojem „dosažitelnost“ se vztahuje k pověřenci jako ke kontaktní osobě, a to pro subjekty údajů,[84] dozorové orgány[85] i uvnitř organizace (pro správce nebo zpracovatele a jeho zaměstnance).[86] Aby byla dostupnost zajištěna, musí být k dispozici kontaktní údaje pověřence a pověřenec musí být schopen účinně komunikovat se subjekty údajů a spolupracovat s dozorovým úřadem. Dosažitelnost pověřence musí být reálná, proto WP29 jako obecné pravidlo doporučuje, aby pověřenec sídlil v EU, a to bez ohledu na skutečné sídlo správce nebo zpracovatele. 

Ohlašování případů porušení zabezpečení osobních údajů 

Článek 33 GDPR zakotvuje povinnost správce hlásit bez zbytečného odkladu (do 72 hodin od zjištění) dozorovému úřadu jakékoliv porušení zabezpečení osobních údajů. Pokud dojde k prodlevě, poskytne spolu s hlášením dozorovému úřadu také informace o důvodech tohoto zpoždění. Pokud je pravděpodobné, že následkem porušení zabezpečení osobních údajů je vysoké riziko pro práva a svobody subjektů údajů, má správce oznamovací povinnost také vůči těmto subjektům (viz čl. 34 GDPR).

Rezortní kodexy správné praxe 

Ke splnění povinností správce osobních údajů dle GDPR budou moci podniky doložit, že zpracování osobních údajů provádějí v souladu se schválenými rezortními kodexy.[87] GDPR předpokládá, že různé zájmové organizace v jednotlivých sektorech průmyslu vypracují zásady správné praxe, které budou aplikovat obecné zásady GDPR na konkrétní obor, a tyto poté, co budou schváleny příslušným dozorovým orgánem, budou sloužit jako etalon správné praxe v daném oboru. Akreditované subjekty budou moci o tom vydávat i osvědčení. 

Záznamy správce 

Za účelem doložení respektování povinností stanovených GDPR budou správci i zpracovatelé povinni vést podrobné záznamy (vedené dle čl. 30 GDPR) o činnostech zpracování. Tyto záznamy lze považovat za určitou náhradu oznamovací povinnosti, kterou GDPR zrušilo.[88]

Vedle záznamů dle čl. 30 GDPR bude třeba, aby podniky měly vytvořeny vnitřní předpisy ohledně zpracování osobních údajů, zavedeny mechanismy pro posuzování vlivu činnosti podniku na ochranu osobních údajů,[89] a to zejména u druhů zpracování, která mohou znamenat vysoké riziko pro práva a svobody fyzických osob (vč. případné předchozí konzultace s relevantním dozorovým úřadem podle čl. 36 GDPR), či spolupráci (na žádost) s příslušným dozorovým úřadem.[90] 

Postihy za nedodržení pravidel GDPR

Vedle možnosti soudní i mimosoudní ochrany v případě porušení práv při zpracovávání osobních údajů tak definuje GDPR v čl. 83 podmínky pro ukládání správních pokut. V tisku se často zmiňují vysoké horní hranice pokut, které GDPR umožňuje uložit v případě nedodržování pravidel pro zpracování osobních údajů. Maximální výše pokuty je stanovena ve výši 20 milionů eur nebo, jedná-li se o podnik, až do výše 4 % z celkového ročního obratu celosvětově za předchozí finanční rok (záleží, která z hodnot je vyšší).

U každého individuálního případu je nutné zajistit účinnost a přiměřenost sankce, aby uložená pokuta měla odrazující funkci. Otázkou stále zůstává, jak bude možné dosáhnout harmonizace výše pokut na území EU v situaci, kdy jsou ekonomiky členských států stále velmi odlišné.

V tomto okamžiku samozřejmě nelze predikovat, jak budou dozorové úřady postupovat při ukládání pokut v konkrétních případech. To ukáže až praxe. 

Je pesimismus namístě? 

Jak se blíží nástup účinnosti GDPR, množí se obavy a dotazy na složitost naplnění požadavků GDPR. Nabízí se však také jiný přístup. Dívat se na GDPR jako na příležitost, jako na možnost nastolit ve firmě pořádek v oblasti ochrany osobních údajů a nakládání s nimi. Možným východiskem je datový audit, po kterém pak bude následovat implementace jednotlivých opatření k zajištění shody s GDPR. Zásadní investice předpokládáme zejména u podniků, které se dosud ochranou osobních údajů příliš nezabývaly, a u správců provádějících rozsáhlé automatizované zpracování osobních údajů, zejména v oblasti monitorování subjektů údajů a predikce jejich chování v prostředí internetu a internetové reklamy. Jako velmi pozitivní vnímáme možnost vzniku profesních kodexů správné praxe, které umožní zohlednit specifika v různých podnikatelských oborech a mohou přinést právní jistotu do podnikání. Vznik takových profesních kodexů však bude jistě nějakou dobu trvat, navíc je žádoucí, aby tyto kodexy byly harmonizovány napříč členskými státy EU.