GDPR

Stránka ve výstavbě

Na této stránce se právě pracuje. Prosím needitujte tuto stránku, dokud na ní zůstává tato šablona. Předejdete tak editačnímu konfliktu. Jestliže uběhla od poslední editace doba alespoň dvou dnů, neváhejte tuto šablonu odstranit.

Historie

Nařízení Evropského parlamentu a Rady (EU) 2016/679 - O ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES. Vydáno 27.4.2016, účinnost 25.5.2018. Zákon č. 110/2019 Sb., O zpracování osobních údajů Tzv. adaptační zákon – upravuje aplikaci evropské normy do prostředí ČR. Vydáno 12.3.2019 s účinností 24.4.2019

Definice

Obecné nařízení o ochraně osobních údajů (angl. General Data Protection Regulation neboli GDPR). GDPR představuje nový právní rámec ochrany osobních údajů v evropském prostoru s cílem hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty včetně osobních údajů. GDPR se týká všech firem a institucí, ale i jednotlivců a online služeb, které zpracovávají data uživatelů. GDPR zavedlo astronomické pokuty za porušování pravidel a nařizuje některým správcům nebo zpracovatelům osobních údajů zřídit nezávislou kontrolní funkci DPO (Data Protection Officer, tj. Pověřenec pro ochranu osobních údajů).

Cíl:

• nastavit jednotný právní rámec a pravidla pro zacházení s osobními údaji napříč EU
• chránit základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů
• hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty / osobními údaji

Souhlas:

• souhlas nemusí být písemný, ale musí být doložitelný
• stejně snadné, jako jeho udělení musí být také jeho odvolatelnost
• v ČR děti do dovršení 15 let mohou dávat souhlas sami (do 15 roku za ně souhlas dávají jejich rodiče)

Zvláštní kategorie osobních údajů

Zvláštní kategorie osobních údajů jsou takové osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení, členství v odborech, zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Za zvláštní kategorii údajů jsou považovány i genetické a biometrické údaje, které jsou zpracovávány za účelem jedinečné identifikace fyzické osoby.

Zvláštní kategorie osobních údajů lze zpracovávat, pokud:

• subjekt údajů udělil výslovný souhlas,
• zpracování je nezbytné pro plnění povinností v oblasti pracovního práva, práva sociálního zabezpečení a sociální ochrany,
• zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas,
• zpracování provádí v rámci svých oprávněných činností nadace, sdružení či jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy nebo na osoby, které s tímto subjektem udržují pravidelné styky související s jeho cíli, a že tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt,
• zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů,
• zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo při jednání soudů,
• zpracování je nezbytné z důvodu významného veřejného zájmu,
• zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovních schopností zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče atd.,
• zpracování je nezbytné z důvodu veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními
• zdravotními hrozbami nebo zajištění bezpečnosti zdravotní péče, léčivých přípravků nebo zdravotnických prostředků,
• zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely.

Hlavní role

• Subjekt údajů: fyzická osoba, k níž se osobní údaje vztahují (např. zaměstnanec)
• Správce: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů (např. zaměstnavatel)
• Zpracovatel: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce (např. poskytovatel služeb BOZP)
• Příjemce: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoli (např. pojišťovna při šetření pracovního úrazu)

Práva subjektu údajů

• má v prvé řadě právo na to být informován o zpracování svých osobních údajů při shromažďování osobních údajů
• právo na přístup k osobním údajům,
• právo na opravu, resp. doplnění,
• právo na výmaz,
• právo na omezení zpracování,
• právo na přenositelnost údajů,
• právo vznést námitku,
• právo nebýt předmětem automatizovaného individuálního rozhodování s právními či obdobnými účinky, zahrnujíce i profilování.

Právo být zapomenut

Právo být zapomenut představuje povinnost správce zlikvidovat osobní údaje, pokud je splněna alespoň jedna podmínka:

• osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány,
• subjekt údajů odvolá souhlas a neexistuje žádný další právní důvod pro zpracování,
• subjekt údajů vznese námitky proti zpracování a neexistují žádné převažující oprávněné důvody pro zpracování,
• osobní údaje byly zpracovány protiprávně,
• osobní údaje musí být vymazány ke splnění právní povinnosti,
• osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle článku 8 odst. 1 obecného nařízení.

DPA

• Smlouva o zpracování osobních údajů (Data Processing Agreement)
• Tuto smlouvu spolu uzavírají správci a zpracovatelé, které chtějí pověřit zpracováním osobních údajů
• Stanovují zde pokyny, podmínky, povinnosti a požadovaná opatření při zpracování osobních údajů
• Zpracovateli nejsou osoby, které se při provádění svých služeb, tj. plnění smlouvy s objednatelem (jinak správcem osobních údajů), mohou pouze nahodile dostat do styku s osobními údaji zpracovávanými tímto správcem, aniž by osobní údaje jakkoliv zpracovávaly. (např. právní poradci, servis IT techniky atd.)
• Příkladem je mzdová agenda, externí e-learningu atd.

DPO

Pověřenec pro ochranu osobních údajů Pověřenec pro ochranu osobních údajů musí být přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele.

Jmenování a ohlášení pověřence Povinnost jmenovat pověřence se netýká všech správců nebo zpracovatelů, ale pouze těch, kteří provádějí zpracování uvedená v čl. 37 odst. 1 obecného nařízení, pokud:

• zpracování provádí orgán veřejné moci či veřejný subjekt;
• hlavní činnosti správce nebo zpracovatele spočívají v operacích zpracování, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů;
• hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů a osobních údajů týkajících se rozsudků v trestních věcech a trestných činů.

Úkoly pověřence

• poskytování informací a poradenství správci či zpracovateli, včetně zaměstnanců, kteří se na zpracování podílejí,
• monitorování souladu s nařízením GDPR a dalšími souvisejícími předpisy,
• poskytování poradenství na požádání, pokud jde o posouzení vlivu na ochranu osobních údajů, a monitorování jeho uplatňování
• vypracování záznamů o činnostech zpracování
• spolupráce s dozorovým úřadem

Úřadu pro ochranu osobních údajů

Úřad pro ochranu osobních údajů (ÚOOÚ) je na základě zákona o zpracování osobních údajů ústředním správním úřadem pro oblast ochrany osobních údajů. Jeho hlavními úkoly jsou monitorovat a vymáhat uplatňování obecného nařízení a dalších předpisů upravujících některé otázky ochrany osobních údajů, tedy působit jako dozorový úřad, a zvyšovat povědomí veřejnosti o ochraně osobních údajů.

GDPR a knihovny

Vzhledem k tomu, že i knihovny přichází do kontaktu s osobními údaji, týká se GDPR i jich. Zpracování osobních údajů uživatelů (čtenářů) je součástí rutinního provozu knihoven. Národní knihovna ČR proto připravila projekt, jehož cílem je poskytnout knihovnám základní pravidla a postupy pro nakládání s osobními údaji v souladu s novou legislativou. Příručka si klade za cíl konkretizaci povinností vyplývajících ze zákona knihovnám. Příručka patří k základním metodickým materiálům, které Úřad pro ochranu osobních údajů (ÚOOÚ) doporučuje k využití a je možné jí najít na stránkách Informace pro knihovny.

Zdroje

Doporučená literatura

• KVÍTKOVÁ, Adriana a KALANDARIŠVILI, Alexandra. Aplikace GDPR ve společenství vlastníků: zákon o zpracování osobních údajů v praxi. Praha: Verlag Dashöfer, [2019], ©2019. 54 stran. ISBN 978-80-87963-97-5.
• ČESKO. E-government a GDPR: (soubor zákonů). Plzeň: Vydavatelství a nakladatelství Aleš Čeněk, s.r.o., 2018. 551 stran. ISBN 978-80-7380-717-7.
• KUNER, Christopher, ed. et al. The EU General Data Protection Regulation (GDPR): a commentary. First edition. Oxford: Oxford University Press, 2020. xci, 1393 stran. ISBN 978-0-19-882649-1.
• NEZMAR, Luděk. GDPR: praktický průvodce implementací. První vydání. Praha: Grada Publishing, 2017. 301 stran. Právo pro praxi. ISBN 978-80-271-0668-4.
• GDPR ...: změny v ochraně osobních údajů v návodech a vzorech: praktické nástroje, šablony a formuláře v souladu s nařízením EU: ... Bátrla, Josef et al. Praha: Forum, 2018- . ISSN 2570-8821.

Související články

Organizační struktury, organizování práce -pracovní proces a postup v knihovnách a informačních institucích (základní dokumenty organizace, zřizovací listina, statut, organizační a knihovní řád, výpůjční řád a další dokumenty)
Ochrana osobních údajů
Internet a služby informační společnosti
Právo a internet

Klíčová slova

GDPR, Obecné nařízení o ochraně osobních údajů, osobní údaje, právo