GDPR

Definice GDPR

Zkratka GDPR v českém znění znamená Obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation). GDPR představuje nový právní rámec ochrany osobních údajů v evropském prostoru s cílem hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty včetně osobních údajů. GDPR se týká všech firem a institucí, ale i jednotlivců a online služeb, které zpracovávají data uživatelů. GDPR zavedlo astronomické pokuty za porušování pravidel a nařizuje některým správcům nebo zpracovatelům osobních údajů zřídit nezávislou kontrolní funkci DPO (Data Protection Officer, tj. Pověřenec pro ochranu osobních údajů).

Cíle GDPR:

• nastavit jednotný právní rámec a pravidla pro zacházení s osobními údaji napříč EU
• chránit základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů
• hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty/osobními údaji

Zásady zpracování osobních údajů

• Zákonnost, korektnost, transparentnost
• Účelové omezení
• Minimalizace údajů (omezení na nezbytný rozsah)
• Přesnost (opravy, vymazání)
• Omezení uložení
• Integrita a důvěrnost (zabezpečení – technické, organizační opatření)

Souhlas se zpracováním osobních údajů:

• souhlas nemusí být písemný, ale musí být doložitelný
• stejně snadné, jako jeho udělení musí být také jeho odvolatelnost
• v ČR děti od dovršení 15 let mohou dávat souhlas sami (do 15 roku za ně souhlas dávají jejich rodiče)

Zákony

• Směrnice 95/46/ES O ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů - jedná se o předchůdce GDPR. První verze je z roku 1995 a následně docházelo k její aktualizaci až do nahrazení roku 2018.
• Nařízení Evropského parlamentu a Rady (EU) 2016/679 - O ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES. Bylo vydáno 27.4.2016 s účinností od 25.5.2018. Obecné nařízení nemění základní zásady zpracování osobních údajů či základní pojmy jako jsou např. osobní údaj, subjekt údajů, správce, zpracovatel či zpracování. Nerozšiřuje ani svoji působnost oproti předchozí právní úpravě. Pro některá zpracování, resp. subjekty, však klade vyšší nároky při zpracování osobních údajů.
• Zákon č. 110/2019 Sb., O zpracování osobních údajů. Dále jen adaptační zákon, upravuje a upřesňuje aplikaci evropské normy do prostředí ČR. Byl vydán 12.3.2019 s účinností od 24.4.2019. Vejitím Adaptačního zákona v účinnost bylo do českého právního řádu zakotveno několik desítek ustanovení, jejichž cílem je upřesnit práva a povinnosti vyplývající z Nařízení GDPR. Tento nový zákon konkretizuje především některá obecná ustanovení Nařízení GDPR, která se týkají věkové hranice k udělení souhlasu se zpracováním osobních údajů, ustanovení týkajících se výše pokut nebo informační povinnosti správce osobních údajů.
• Zákon č. 111/2019 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. Tzv. doprovodný zákon obsahuje souhrn úprav stávajících právních předpisů s dopade pouze na orgány veřejné moci, např. trestní řád, o organizaci a provádění sociálního zabezpečení, notářského řádu atp. Byl vydán 12. 3. 2019 s účinnost od 24. 4. 2019.

Osobní údaje

Osobní údaje jsou veškeré informace vztahující se k identifikované či identifikovatelné fyzické osobě. Mezi obecné osobní údaje řadíme jméno, pohlaví, věk a datum narození, osobní stav, ale také IP adresu a fotografický záznam. Mezi osobní údaje řadíme i tzv. organizační údaje, kterými jsou například e-mailová adresa, telefonní číslo či různé identifikační údaje vydané státem.

Zvláštní kategorie osobních údajů

Zvláštní kategorie osobních údajů jsou takové osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení, členství v odborech, zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Za zvláštní kategorii údajů jsou považovány i genetické a biometrické údaje, které jsou zpracovávány za účelem jedinečné identifikace fyzické osoby.

Zvláštní kategorie osobních údajů lze zpracovávat, pokud:

• subjekt údajů udělil výslovný souhlas,
• zpracování je nezbytné pro plnění povinností v oblasti pracovního práva, práva sociálního zabezpečení a sociální ochrany,
• zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas,
• zpracování provádí v rámci svých oprávněných činností nadace, sdružení či jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy nebo na osoby, které s tímto subjektem udržují pravidelné styky související s jeho cíli, a že tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt,
• zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů,
• zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo při jednání soudů,
• zpracování je nezbytné z důvodu významného veřejného zájmu,
• zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovních schopností zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče atd.,
• zpracování je nezbytné z důvodu veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění bezpečnosti zdravotní péče, léčivých přípravků nebo zdravotnických prostředků,
• zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely.

Hlavní role v rámci GDPR

• Subjekt údajů: fyzická osoba, k níž se osobní údaje vztahují (např. zaměstnanec)
• Správce: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů (např. zaměstnavatel)
• Zpracovatel: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce (např. poskytovatel služeb BOZP)
• Příjemce: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoli (např. pojišťovna při šetření pracovního úrazu)

Práva subjektu údajů

• subjekt má v první řadě právo na to být informován o zpracování svých osobních údajů při shromažďování osobních údajů
• právo na přístup k osobním údajům,
• právo na opravu, respektive doplnění,
• právo na výmaz,
• právo na omezení zpracování,
• právo na přenositelnost údajů,
• právo vznést námitku,
• právo nebýt předmětem automatizovaného individuálního rozhodování s právními či obdobnými účinky, zahrnujíce i profilování.

Právo být zapomenut

Právo být zapomenut představuje povinnost správce zlikvidovat osobní údaje, pokud je splněna alespoň jedna podmínka:

• osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány,
• subjekt údajů odvolá souhlas a neexistuje žádný další právní důvod pro zpracování,
• subjekt údajů vznese námitky proti zpracování a neexistují žádné převažující oprávněné důvody pro zpracování,
• osobní údaje byly zpracovány protiprávně,
• osobní údaje musí být vymazány ke splnění právní povinnosti,
• osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle článku 8 odst. 1 obecného nařízení.

Sankce

V případě porušení, nezavedení či nepřipravenosti na nové nařízení hrozí povinným subjektům vysoké pokuty, které mohou být v mnoha případech až likvidační. Maximální výše pokuty je dle Nařízení GDPR 20.000.000 eur nebo 4 % z celkového ročního obratu společnosti (vyšší z obou možností) v rámci České republiky je tato částka upravena a snížena na max. 10 milion CZK. V rámci udělení sankce bude dále záviset na řadě faktorů, jako je např. povaha, závažnost a délka porušování, počet poškozených občanů a míra škody, kroky podniknuté správcem či zpracovatelem ke zmírnění škod, kategorie osobních údajů dotčené porušením a řada dalších. Kromě udělení těchto správních pokut mohou být správci či zpracovatelé osobních údajů navíc vystaveni žalobám podaným fyzickými osobami s nárokem na náhradu škody v případě hmotné či nehmotné újmy.

DPA

• Celým názvem Smlouva o zpracování osobních údajů (Data Processing Agreement)
• Tuto smlouvu spolu uzavírají správci a zpracovatelé, které chtějí pověřit zpracováním osobních údajů
• Ve smlouvě stanovují pokyny, podmínky, povinnosti a požadovaná opatření při zpracování osobních údajů
• Zpracovateli nejsou osoby, které se při provádění svých služeb, tj. plnění smlouvy s objednatelem (jinak správcem osobních údajů), mohou pouze nahodile dostat do styku s osobními údaji zpracovávanými tímto správcem, aniž by osobní údaje, jakkoliv zpracovávaly. (např. právní poradci, servis IT techniky atd.)
• Příkladem je mzdová agenda, externí e-learning atd.

DPO

Důležitým pilířem prokazování souladu s GDPR je jmenování tzv. pověřence pro ochranu osobních údajů neboli DPO (anglicky Data Protection Officer). Ten musí být přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele. Hlavním úkolem DPO bude monitorování souladu zpracování osobních údajů s povinnostmi vyplývajícími z nařízení, provádění interních auditů, školení pracovníků a celkové řízení agendy interní ochrany dat.

Jmenování a ohlášení pověřence Povinnost jmenovat pověřence se netýká všech správců nebo zpracovatelů, ale pouze těch, kteří provádějí zpracování uvedená v čl. 37 odst. 1 obecného nařízení, pokud:

• zpracování provádí orgán veřejné moci či veřejný subjekt;
• hlavní činnosti správce nebo zpracovatele spočívají v operacích zpracování, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů;
• hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů a osobních údajů týkajících se rozsudků v trestních věcech a trestných činů.

Úkoly pověřence

• poskytování informací a poradenství správci či zpracovateli, včetně zaměstnanců, kteří se na zpracování podílejí,
• monitorování souladu s nařízením GDPR a dalšími souvisejícími předpisy,
• poskytování poradenství na požádání, pokud jde o posouzení vlivu na ochranu osobních údajů, a monitorování jeho uplatňování
• vypracování záznamů o činnostech zpracování
• spolupráce s dozorovým úřadem

Úřadu pro ochranu osobních údajů

Úřad pro ochranu osobních údajů (ÚOOÚ) je na základě zákona o zpracování osobních údajů ústředním správním úřadem pro oblast ochrany osobních údajů. Jeho hlavními úkoly jsou monitorovat a vymáhat uplatňování obecného nařízení a dalších předpisů upravujících některé otázky ochrany osobních údajů, tedy působit jako dozorový úřad, a zvyšovat povědomí veřejnosti o ochraně osobních údajů.

GDPR a knihovny

Vzhledem k tomu, že i knihovny přichází do kontaktu s osobními údaji, týká se GDPR i jich. Zpracování osobních údajů uživatelů (čtenářů) je součástí rutinního provozu knihoven. Národní knihovna ČR proto připravila projekt, jehož cílem je poskytnout knihovnám základní pravidla a postupy pro nakládání s osobními údaji v souladu s novou legislativou. Příručka si klade za cíl konkretizaci povinností vyplývajících ze zákona knihovnám. Příručka patří k základním metodickým materiálům, které Úřad pro ochranu osobních údajů (ÚOOÚ) doporučuje k využití a je možné jí najít na stránkách Informace pro knihovny.

V souvislosti s GDPR by se i malé knihovny měly zaměřit na:

• vybavení knihoven: v každé knihovně musí být uzamykatelná skříň na listinné materiály, kam se vždy uloží vše, co obsahuje osobní údaje.
• přihlášky čtenáře: utvoření nových smluv se čtenáři.
• knihovní řád: nařízení GDPR a nové přihlášky čtenářů se musí promítnout i do knihovního řádu. Buď knihovna, resp. její zřizovatel, schválí nový knihovní řád nebo ke stávajícímu knihovnímu řádu připojí přílohy o tom, co a proč se děje s osobními údaji čtenářů.
• webové stránky: webové prezentace knihoven obecně neobsahují žádné osobní údaje, největším problémem budou ale vystavené fotografie. Neexistuje jasný výklad GDPR ohledně používání fotografií na webu. Mohou se bez problémů použít fotografie, o kterých se dá říci, že pouze dokumentují průběh nějaké akce či dění v knihovně. Tyto fotografie by měly být nejlépe skupinové, z dálky, nic konkrétního. Doporučuje se větší opatrnost, než bylo běžné. Problémem mohou být fotografie dětí.
• veřejný internet: registrovaní čtenáři i anonymní návštěvníci z něj mohou přistupovat do svých e-mailových schránek, tisknout své dokumenty, skenovat nebo stahovat soubory. Často před opuštěním počítače své soubory neodstraní a ty pak mohou zůstat přístupné dalším uživatelům. Knihovna musí osobní údaje svých uživatelů chránit a platí to i v tomto případě. Pouhé upozornění, že uživatelé mají své soubory mazat, není dostatečné. Řešením může být speciální SW, který po každém uživateli restartuje PC a uvede do původního nastavení, nebo na PC nastavit omezení pro uživatele – nemohou nic stahovat, instalovat apod.

Zdroje

Doporučená literatura

• KVÍTKOVÁ, Adriana a KALANDARIŠVILI, Alexandra. Aplikace GDPR ve společenství vlastníků: zákon o zpracování osobních údajů v praxi. Praha: Verlag Dashöfer, [2019], ©2019. 54 stran. ISBN 978-80-87963-97-5.
• ČESKO. E-government a GDPR: (soubor zákonů). Plzeň: Vydavatelství a nakladatelství Aleš Čeněk, s.r.o., 2018. 551 stran. ISBN 978-80-7380-717-7.
• KUNER, Christopher, ed. et al. The EU General Data Protection Regulation (GDPR): a commentary. First edition. Oxford: Oxford University Press, 2020. xci, 1393 stran. ISBN 978-0-19-882649-1.
• NEZMAR, Luděk. GDPR: praktický průvodce implementací. První vydání. Praha: Grada Publishing, 2017. 301 stran. Právo pro praxi. ISBN 978-80-271-0668-4.
• GDPR ...: změny v ochraně osobních údajů v návodech a vzorech: praktické nástroje, šablony a formuláře v souladu s nařízením EU: ... Bátrla, Josef et al. Praha: Forum, 2018- . ISSN 2570-8821.

Související články

Organizační struktury, organizování práce -pracovní proces a postup v knihovnách a informačních institucích (základní dokumenty organizace, zřizovací listina, statut, organizační a knihovní řád, výpůjční řád a další dokumenty)
Ochrana osobních údajů
Internet a služby informační společnosti
Právo a internet

Klíčová slova

GDPR, Obecné nařízení o ochraně osobních údajů, osobní údaje, právo