Osobní údaje, známé také jako osobní informace nebo údaje umožňující zjištění totožnosti, jsou jakékoli informace týkající se identifikovatelné nebo identifikované osoby. Identifikovatelnou osobou se rozumí fyzická osoba, kterou lze přímo či nepřímo ztotožnit, zejména odkazem na určitý identifikátor (jméno, vlastnost, identifikátor uživatele) nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.čl. 4 odst. 1 GDPR
Ztotožnění osoby podle jedinečného souboru osobních údajů se někdy nesprávně zaměňuje za autentizaci, což je ověření proklamované identity subjektu v informačním systému.
Příklady osobních údajů Jde především o údaje jako např.:
jméno a příjmení adresa telefonní číslo lokační údaje (např. funkce využívající údaje o poloze v mobilním telefonu – tyto údaje mají hodnotu miliard dolarů) e-mailová adresa ve formátu, který umožňuje identifikaci, jako např. jméno.příjmení@firma.com pohlaví věk a datum narození osobní stav adresa IP (Internetový protokol) ID souboru cookie, identifikátor telefonu pro inzerenty fotografický záznam způsob vystupování advokáta v soudním řízení.Rozsudek Krajského soudu v Brně ze dne 7. 11. 2018, č. j. 31 A 68/2018–177
Co se nepovažuje za osobní údaj Jde především o následující:
registrační číslo společnosti, anonymní e-mailová adresa jako je například [email protected] anonymizované údaje.
Obecné nařízení o ochraně osobních údajů (GDPR) Nakládání s osobními údaji může být vzhledem k právu na soukromí omezováno, přičemž v Evropské unii je ochrana osobních údajů upravena především Obecným nařízením o ochraně osobních údajů (GDPR, anglická zkratka General Data Protection Regulation), které platí od 25. května 2018.
Nařízení je platné pro všechny státy Evropské unie, Island, Norsko a Lichtenštejnsko. K přijetí nařízení došlo kvůli nevyhovujícímu právnímu rámci (tento rámec přestal odpovídat nárokům současné doby). Dalším důvodem byla snaha sjednotit právo na celém území Evropské unie.
GDPR se použije, pokud:
podnik se sídlem v EU zpracovává osobní údaje, a to bez ohledu na to, kde skutečné zpracování údajů probíhá nebo podnik je usazen mimo EU, ale zpracovává osobní údaje v souvislosti s nabídkou zboží a služeb fyzickým osobám žijícím v EU nebo sleduje chování jednotlivců v EU. Podniky, které nejsou usazeny v EU, ale zpracovávají údaje občanů Unie, musejí jmenovat svého zástupce v EU. Zahraniční podniky mimo EU, které spolupracují s osobami z členských států Evropské unie, jsou povinny se řídit GDPR. GDPR se nepoužije, pokud: subjekt údajů je po smrti, subjekt údajů je právnická osoba nebo zpracování provádí osoba, která jedná za účelem nesouvisejícím s její živností, podnikáním nebo povoláním.
Citlivé osobní údaje Na citlivé osobní údaje se vztahují zvláštní podmínky pro zpracování. Jsou toEur-lex: Článek 4 odst. 13, 14 a 15 a článek 9 a odůvodnění 51 až 56 GDPR osobní údaje odhalující rasový či etnický původ, politické názory, náboženské vyznání či filozofické přesvědčení, členství v odborech, genetické údaje, biometrické údaje zpracovávané s cílem identifikovat nějakého člověka, údaje související se zdravím, údaje související se sexuálním životem nebo sexuální orientací.
Historie GDPR Právo na soukromí je součásti Evropské úmluvy o lidských právech z roku 1950, která stvrzuje, že každý má právo na ochranu soukromého života, obydlí a komunikace. Na této premise musí Evropská unie zajistit ochranu práv prostřednictvím legislativy.
Společně s vynálezem internetu a pokrokem technologie, musela Evropská unie vyvinout způsob jak chránit svůj prostor. V roce 1995 byla schválena evropská směrnice o ochraně údajů, stanovila minimální standardy ochrany osobních údajů a zabezpečení, které každý členský stát implementoval do svého vlastního práva.
Odpovědnost GDPR stanoví, že správci údajů musí být schopni prokázat, že jsou v souladu s GDPR (nelze jednat retroaktivně).
Zásady:
Určit odpovědnost za ochranu dat svému týmu. Udržovat podrobnou dokumentaci o datech, která jsou shromažďována, jak jsou používána, kde jsou uložena, který zaměstnanec je za ně zodpovědný atd. Vyškolit zaměstnance a zavést technická a organizační bezpečnostní opatření. Uzavřít smlouvy o zpracování údajů s třetími stranami, které zpracovávají údaje. Jmenovat pověřence pro ochranu osobních údajů.
Evropský sbor pro ochranu osobních údajů (EDPB) EDPB přispívá k jednotnému uplatňování pravidel ochrany údajů v celé Evropské unii a prosazuje spolupráci mezi úřady pro ochranu osobních údajů v EU. Posláním je zajišťovat jednotné uplatňování obecného nařízení o ochraně osobních údajů a evropské směrnice o prosazování práva v Evropské unii. EDPB může vydávat obecné pokyny k objasnění pojmů obsažených v evropských právních předpisech v oblasti ochrany údajů a poskytovat zúčastněným stranám jednotný výklad jejich práv a povinností.
Úkoly a povinnosti:
poskytovat obecné vodítko (včetně pokynů, doporučení a osvědčených postupů) k objasnění právních předpisů, poskytovat poradenství Evropské komisi ohledně jakékoli záležitosti související s ochranou osobních údajů a novými navrhovanými předpisy v Evropské unii, činit zjištění ohledně jednotnosti v přeshraničních případech týkajících se ochrany údajů, prosazovat spolupráci a účinnou výměnu informací a osvědčených postupů mezi vnitrostátními dozorovými úřady.
České právní prostředí Obecné nařízení o ochraně osobních údajů platné od 25. května 2018 stanovilo pravidla pro zpracování osobních údajů, včetně práv subjektu údajů (fyzické osoby). V českém právním prostředí toto nařízení nahradilo zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.
Neoprávněné nakládání s osobními údaji může také být trestným činem.§ 180 zákona č. 40/2009 Sb., trestní zákoník
Základní pojmy tykající se ochrany osobních údajů
Správce Rozhoduje o klíčových prvcích zpracování. Některé činnosti zpracování lze považovat za přirozeně spojené s úlohou subjektu (zaměstnavatele vůči zaměstnancům, vydavatele vůči předplatitelům nebo sdružení vůči jeho členům). Správce zodpovídá za důvod a způsob zpracování.
Zpracovatel Zpracovatelem může být fyzická či právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce. Zpracovatel musí splňovat dvě podmínky: jedná se o samostatný subjekt ve vztahu ke správci a osobní údaje zpracovává jménem správce.
Vztah správce - zpracovatel Správce může ke zpracování osobních údajů přibrat i jiný subjekt, který bude pro něho osobní data zpracovávat. Správce by měl využít pouze takového zpracovatele, který s ohledem na povahu, kontext, kategorii osobních údajů a jejich možnosti poskytuje dostatečné záruky vhodných technických a organizačních opatření. Zpracování osobních údajů prostřednictvím zpracovatele musí splňovat požadavky obecného nařízení a zajistit ochranu práv subjektů údajů. Z tohoto důvodu by měla být mezi těmito dvěma subjekty uzavřena písemná smlouva.
Subjekt údajů Subjektem údajů je fyzická osoba, již se osobní údaje týkají. Subjekt údajů není např. právnická osoba, neboť údaje vztahující se k právnické osobě nejsou osobními údaji.
Adaptační zákon Zákon č. 110/2019 Sb., o zpracování osobních údajů, jehož účelem je ustanovení obecného nařízení směrující k členským státům, především o postavení a pravomoci Úřadu pro ochranu osobních údajů. Zákon stanoví některá práva subjektů údajů, věk dítěte pro udělení souhlasu v souvislosti s nabídkou služeb informační společnosti (dovršením 15 let), rozsah povinností jmenovat pověřence pro ochranu osobních údajů, zásady zpracování a ochrany osobních údajů i na zpracování, na něž se obecné nařízení nevztahuje.
Práva subjektu údajů Obecné nařízení podobně jako předchozí zákon č. 101/2000 Sb., o ochraně osobních údajů, přiznává subjektům údajů určitá práva. Správce je povinen reagovat na podanou žádost subjektu údajů neodkladně v případě, že se jedná o žádost podle článku 15 až 22 obecného nařízení. V ostatních případech nejpozději do jednoho měsíce.
Subjekt údajů má právo na informace ohledně zpracování svých osobních údajů (informace o účelu zpracování, totožnost správce, proč se zajímá o osobní údaje, příjemce osobních údajů).
Mezi další práva subjektu údajů, patří:
právo na přístup k osobním údajům, právo na opravu, resp. doplnění, právo na výmaz, právo na omezení zpracování, právo na přenositelnost údajů, právo vznést námitku, právo nebýt předmětem automatizovaného individuálního rozhodování s právními či obdobnými účinky, zahrnující i profilování.
Zpracování osobních údajů Jde o operaci, popř. soubor operací, která je prováděna s osobními údaji nebo se soubory osobních údajů jako např.: shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoli jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.
Souhlas se zpracováním osobních údajů Souhlas je definován podle článku 4 odst. 1 bod 11 obecného nařízení jako svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů (nemohou být vynuceny). Souhlas se podává pouze za konkrétním účelem zpravování, je odvolatelný. Souhlasu je udělen k určitému účelu, pro který jsou osobní údaje zpracovávány. Pokud dojde k odvolání souhlasu, je správce povinen přestat zpracovávat osobní údaje pro účely definované v souhlasu.
Správce nemusí mít ke každému zpracování osobních údajů souhlas subjektu údajů. V takových případech musí mít pro zpracování osobních údajů jiný právní důvod, jde např. o
smluvní vztah se subjektem údajů (typicky prodej zboží, poskytování služeb), plnění právní povinnosti správce nebo realizace jeho oprávněného zájmu nebo plnění úkolu prováděného ve veřejném zájmu.
Obecné nařízení ve svém článku 7 podrobně stanovuje pravidla pro získání, udělení a využití souhlasu, zejména:
srozumitelnost – vyjádření souhlasu musí být srozumitelné a od ostatních závazků a jiných skutečností odlišitelné a dobrovolnost – každý poskytuje svůj souhlas dobrovolně a každý může svůj souhlas odvolat.
Z pohledu obecného nařízení bude platný jen takový souhlas, který byl získán transparentním způsobem, a dotčená osoba jej udělila svobodně. Za neplatný je nutno naopak považovat každý souhlas, kdy byl zákazník při získání služby či výrobku nucen zároveň souhlasit se zpracováním osobních údajů (např. souhlasem zakomponovaným v obchodních podmínkách).
Nesprávné a nedůvodné vyžadování souhlasu bez odpovídající informace pak může být ve svém důsledku posouzeno jako porušení základních zásad pro zpracování, včetně podmínek týkajících se souhlasu a práv subjektů údajů, ve smyslu článku 83 odst. 5 písm. a) a písm. b) GDPR.
Vyžadování souhlasu, zejména prostřednictvím emailu či SMS, se zasíláním reklamních sdělení od osob, které nejsou zákazníky, je sankcionovatelné podle zákona č. 480/2004 Sb. jako nedovolené obchodní sdělení.
Zásady a právní důvody zpracování Zpracování by dle GDPR mělo splňovat následující zásady:
zákonnost, korektnost, transparentnost omezení účelu minimalizace údajů přesnost omezení uložení integrita a důvěrnost.
Jednotlivé zásady jsou rozvinuty v článku 5 odst. 1 obecného nařízení. Vymezení, resp. dodržování těchto zásad, je pro správce zásadní také proto, že v článku 5 odst. 2 obecného nařízení je stanovena odpovědnost správce za jejich dodržování.
Právní důvody zpracování osobních údajů představují oprávnění správce osobní údaje zpracovávat. Správce může zpracovávat osobní údaje pro různé účely (pro každý účel je nezbytný právní důvod zpracování osobních údajů) a je povinen přistoupit k likvidaci osobních údajů, pokud správce pozbude poslední právní důvod ke zpracování osobních údajů.