GDPR: Porovnání verzí

 
(Není zobrazeno 25 mezilehlých verzí od stejného uživatele.)
Řádek 1: Řádek 1:
{{Pracuje se}}
 
==Zákony==
 
* '''[[Směrnice Evropského parlamentu a Rady 95/46/ES|Směrnice 95/46/ES]]''' O ochraně fyzických osob v souvislosti se [[Zpracování osobních údajů|zpracováním osobních údajů]] a o volném pohybu těchto údajů - jedná se o předchůdce GDPR. První verze je z roku 1995 a následně docházelo k její aktualizaci až do nahrazení roku 2018. 
 
* '''Nařízení Evropského parlamentu a Rady (EU) 2016/679''' - O ochraně fyzických osob v souvislosti se zpracováním [[Osobní údaje|osobních údajů]] a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES. Bylo vydáno 27.4.2016 s účinnost od 25.5.2018. Obecné nařízení nemění základní zásady zpracování osobních údajů či základní pojmy jako jsou např. osobní údaj, subjekt údajů, správce, zpracovatel či zpracování. Nerozšiřuje ani svoji působnost oproti předchozí právní úpravě. Pro některá zpracování, resp. subjekty, však klade vyšší nároky při zpracování osobních údajů.
 
* '''Zákon č. 110/2019 Sb., O zpracování osobních údajů.''' Dále jen adaptační zákon, upravuje a upřesňuje aplikaci evropské normy do prostředí ČR. Byl vydán 12.3.2019 s účinností od 24.4.2019. Vejitím Adaptačního zákona v účinnost bylo do českého právního řádu zakotveno několik desítek ustanovení, jejichž cílem je upřesnit práva a povinnosti vyplývající z Nařízení GDPR. Tento nový zákon konkretizuje především některá obecná ustanovení Nařízení GDPR, která se týkají věkové hranice k udělení souhlasu se zpracováním osobních údajů, ustanovení týkajících se výše pokut nebo informační povinnosti správce osobních údajů. <ref>CHLEBUS, Tomáš a Jakub DOSTÁL, Nový zákon o zpracování osobních údajů. epravo.cz [online] 2019 [cit. 2021-01-30]. Dostupné z: https://www.epravo.cz/top/clanky/novy-zakon-o-zpracovani-osobnich-udaju-109312.html</ref>
 
* '''Zákon č. 111/2019 Sb.''', kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. Tzv. doprovodný zákon obsahuje souhrn úprav stávajících právních předpisů s dopade pouze na [[Orgán veřejné moci|orgány veřejné moci]], např. [[Trestní řád|trestní řád]], o organizaci a provádění sociálního zabezpečení, [[Notářský řád|notářského řádu]] atp. Byl vydán 12. 3. 2019 s účinnost od 24. 4. 2019.
 
 
 
==Definice GDPR==
 
==Definice GDPR==
Zkratka GDPR v českém znění znamená '''Obecné nařízení o ochraně osobních údajů''' (anglicky General Data Protection Regulation). GDPR představuje nový právní rámec ochrany osobních údajů v evropském prostoru s cílem hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich [[Data|daty]] včetně osobních údajů. GDPR se týká všech firem a institucí, ale i jednotlivců a online služeb, které zpracovávají data uživatelů. GDPR zavedlo astronomické pokuty za porušování pravidel a nařizuje některým správcům nebo zpracovatelům osobních údajů zřídit nezávislou kontrolní funkci DPO (Data Protection Officer, tj. [[Pověřenec]] pro ochranu osobních údajů). <ref name=":1">Co je GDPR? GDPR.cz [online] [cit. 2021-01-24]. Dostupné z: https://www.gdpr.cz/gdpr/.</ref>
+
Zkratka GDPR v českém znění znamená '''Obecné nařízení o [[Ochrana osobních údajů|ochraně osobních údajů]]''' (anglicky General Data Protection Regulation). GDPR představuje nový právní rámec ochrany osobních údajů v evropském prostoru s cílem hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich [[Data|daty]] včetně osobních údajů. GDPR se týká všech firem a institucí, ale i jednotlivců a online služeb, které zpracovávají data uživatelů. GDPR zavedlo astronomické pokuty za porušování pravidel a nařizuje některým správcům nebo zpracovatelům osobních údajů zřídit nezávislou kontrolní funkci DPO (Data Protection Officer, tj. Pověřenec pro ochranu osobních údajů). <ref name=":1">Co je GDPR? GDPR.cz [online] [cit. 2021-01-24]. Dostupné z: https://www.gdpr.cz/gdpr/.</ref>
  
'''Cíl:'''
+
'''Cíle GDPR:'''
 
* nastavit jednotný právní rámec a pravidla pro zacházení s osobními údaji napříč EU
 
* nastavit jednotný právní rámec a pravidla pro zacházení s osobními údaji napříč EU
 
* chránit základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů
 
* chránit základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů
* hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty / osobními údaji
+
* hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty/osobními údaji
  
'''Souhlas:'''
+
'''Zásady zpracování osobních údajů'''
 +
* Zákonnost, korektnost, transparentnost
 +
* Účelové omezení
 +
* Minimalizace údajů (omezení na nezbytný rozsah)
 +
* Přesnost (opravy, vymazání)
 +
* Omezení uložení
 +
* Integrita a důvěrnost (zabezpečení – technické, organizační opatření)
 +
 
 +
'''Souhlas se zpracováním osobních údajů:'''
 
* souhlas nemusí být písemný, ale musí být doložitelný
 
* souhlas nemusí být písemný, ale musí být doložitelný
 
* stejně snadné, jako jeho udělení musí být také jeho odvolatelnost
 
* stejně snadné, jako jeho udělení musí být také jeho odvolatelnost
* v ČR děti do dovršení 15 let mohou dávat souhlas sami (do 15 roku za ně souhlas dávají jejich rodiče)
+
* v ČR děti od dovršení 15 let mohou dávat souhlas sami (do 15 roku za ně souhlas dávají jejich rodiče)
 +
 
 +
==Zákony==
 +
* '''[[Směrnice Evropského parlamentu a Rady 95/46/ES|Směrnice 95/46/ES]]''' O ochraně fyzických osob v souvislosti se [[Zpracování osobních údajů|zpracováním osobních údajů]] a o volném pohybu těchto údajů - jedná se o předchůdce GDPR. První verze je z roku 1995 a následně docházelo k její aktualizaci až do nahrazení roku 2018. 
 +
* '''Nařízení Evropského parlamentu a Rady (EU) 2016/679''' - O ochraně fyzických osob v souvislosti se zpracováním [[Osobní údaje|osobních údajů]] a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES. Bylo vydáno 27.4.2016 s účinností od 25.5.2018. Obecné nařízení nemění základní zásady zpracování osobních údajů či základní pojmy jako jsou např. osobní údaj, subjekt údajů, správce, zpracovatel či zpracování. Nerozšiřuje ani svoji působnost oproti předchozí právní úpravě. Pro některá zpracování, resp. subjekty, však klade vyšší nároky při zpracování osobních údajů.
 +
* '''Zákon č. 110/2019 Sb., O zpracování osobních údajů.''' Dále jen adaptační zákon, upravuje a upřesňuje aplikaci evropské normy do prostředí ČR. Byl vydán 12.3.2019 s účinností od 24.4.2019. Vejitím Adaptačního zákona v účinnost bylo do českého právního řádu zakotveno několik desítek ustanovení, jejichž cílem je upřesnit práva a povinnosti vyplývající z Nařízení GDPR. Tento nový zákon konkretizuje především některá obecná ustanovení Nařízení GDPR, která se týkají věkové hranice k udělení souhlasu se zpracováním osobních údajů, ustanovení týkajících se výše pokut nebo informační povinnosti správce osobních údajů. <ref>CHLEBUS, Tomáš a Jakub DOSTÁL, Nový zákon o zpracování osobních údajů. epravo.cz [online] 2019 [cit. 2021-01-30]. Dostupné z: https://www.epravo.cz/top/clanky/novy-zakon-o-zpracovani-osobnich-udaju-109312.html</ref>
 +
* '''Zákon č. 111/2019 Sb.''', kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. Tzv. doprovodný zákon obsahuje souhrn úprav stávajících právních předpisů s dopade pouze na [[Orgán veřejné moci|orgány veřejné moci]], např. [[Trestní řád|trestní řád]], o organizaci a provádění sociálního zabezpečení, [[Notářský řád|notářského řádu]] atp. Byl vydán 12. 3. 2019 s účinnost od 24. 4. 2019.
  
 
==Osobní údaje==
 
==Osobní údaje==
Řádek 23: Řádek 30:
  
 
===Zvláštní kategorie osobních údajů===
 
===Zvláštní kategorie osobních údajů===
Zvláštní kategorie osobních údajů jsou takové osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení, členství v odborech, zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Za zvláštní kategorii údajů jsou považovány i genetické a [[Biometrické údaje|biometrické údaje]], které jsou zpracovávány za účelem jedinečné identifikace fyzické osoby.  
+
Zvláštní kategorie osobních údajů jsou takové osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení, členství v odborech, zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Za zvláštní kategorii údajů jsou považovány i genetické a biometrické údaje, které jsou zpracovávány za účelem jedinečné identifikace fyzické osoby.  
  
 
'''Zvláštní kategorie osobních údajů lze zpracovávat, pokud:'''
 
'''Zvláštní kategorie osobních údajů lze zpracovávat, pokud:'''
 
 
* subjekt údajů udělil výslovný souhlas,
 
* subjekt údajů udělil výslovný souhlas,
* zpracování je nezbytné pro plnění povinností v oblasti pracovního práva, práva sociálního zabezpečení a sociální ochrany,
+
* zpracování je nezbytné pro plnění povinností v oblasti [[Pracovní právo|pracovního práva]], [[Pracovní právo|práva sociálního zabezpečení]] a sociální ochrany,
 
* zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas,
 
* zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas,
 
* zpracování provádí v rámci svých oprávněných činností nadace, sdružení či jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy nebo na osoby, které s tímto subjektem udržují pravidelné styky související s jeho cíli, a že tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt,
 
* zpracování provádí v rámci svých oprávněných činností nadace, sdružení či jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy nebo na osoby, které s tímto subjektem udržují pravidelné styky související s jeho cíli, a že tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt,
Řádek 35: Řádek 41:
 
* zpracování je nezbytné z důvodu významného veřejného zájmu,
 
* zpracování je nezbytné z důvodu významného veřejného zájmu,
 
* zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovních schopností zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče atd.,
 
* zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovních schopností zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče atd.,
* zpracování je nezbytné z důvodu veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními  
+
* zpracování je nezbytné z důvodu veřejného zájmu v oblasti [[Veřejné zdraví|veřejného zdraví]], jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění bezpečnosti zdravotní péče, léčivých přípravků nebo zdravotnických prostředků,
* zdravotními hrozbami nebo zajištění bezpečnosti zdravotní péče, léčivých přípravků nebo zdravotnických prostředků,
+
* zpracování je nezbytné pro účely [[Archiv|archivace]] ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro [[Statistika|statistické]] účely. <ref>Zvláštní kategorie osobních údajů. Ministerstvo vnitra České republiky [online] [cit. 2021-01-24]. Dostupné z: https://www.mvcr.cz/gdpr/clanek/zvlastni-kategorie-osobnich-udaju.aspx.</ref>
* zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro [[Statistika|statistické]] účely. <ref>Zvláštní kategorie osobních údajů. Ministerstvo vnitra České republiky [online] [cit. 2021-01-24]. Dostupné z: https://www.mvcr.cz/gdpr/clanek/zvlastni-kategorie-osobnich-udaju.aspx.</ref>
 
  
Hlavní role
+
'''Hlavní role v rámci GDPR'''
 
* '''Subjekt údajů:''' fyzická osoba, k níž se osobní údaje vztahují (např. zaměstnanec)
 
* '''Subjekt údajů:''' fyzická osoba, k níž se osobní údaje vztahují (např. zaměstnanec)
 
* '''Správce:''' fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů (např. zaměstnavatel)
 
* '''Správce:''' fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů (např. zaměstnavatel)
* Zpracovatel: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce (např. poskytovatel služeb [[Bezpečnost a ochrana zdraví při práci|BOZP]])
+
* '''Zpracovatel:''' fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce (např. poskytovatel služeb [[Bezpečnost a ochrana zdraví při práci|BOZP]])
 
* '''Příjemce:''' fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoli (např. pojišťovna při šetření pracovního úrazu)
 
* '''Příjemce:''' fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoli (např. pojišťovna při šetření pracovního úrazu)
  
 
===Práva subjektu údajů===
 
===Práva subjektu údajů===
* má v prvé řadě právo na to být informován o zpracování svých osobních údajů při shromažďování osobních údajů
+
* subjekt má v první řadě právo na to být informován o zpracování svých osobních údajů při shromažďování osobních údajů
 
* právo na přístup k osobním údajům,  
 
* právo na přístup k osobním údajům,  
* právo na opravu, resp. doplnění,  
+
* právo na opravu, respektive doplnění,  
 
* právo na výmaz,  
 
* právo na výmaz,  
 
* právo na omezení zpracování,  
 
* právo na omezení zpracování,  
Řádek 63: Řádek 68:
 
* osobní údaje byly zpracovány protiprávně,
 
* osobní údaje byly zpracovány protiprávně,
 
* osobní údaje musí být vymazány ke splnění právní povinnosti,
 
* osobní údaje musí být vymazány ke splnění právní povinnosti,
* osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle článku 8 odst. 1 obecného nařízení. <ref>Práva subjektu údajů. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/6-prava-subjektu-udaju/d-27276/p1=3938.</ref>
+
* osobní údaje byly shromážděny v souvislosti s nabídkou služeb [[Informační společnost|informační společnosti]] podle článku 8 odst. 1 obecného nařízení. <ref>Práva subjektu údajů. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/6-prava-subjektu-udaju/d-27276/p1=3938.</ref>
  
 
===Sankce===
 
===Sankce===
V případě porušení, nezavedení či nepřipravenosti na nové nařízení hrozí povinným subjektům vysoké pokuty, které mohou být v mnoha případech až likvidační. Maximální výše pokuty je 20.000.000 eur nebo 4 % z celkového ročního obratu společnosti (vyšší z obou možností) a bude záviset na řadě faktorů, jako je např. povaha, závažnost a délka porušování, počet poškozených občanů a míra škody, kroky podniknuté správcem či zpracovatelem ke zmírnění škod, kategorie osobních údajů dotčené porušením a řada dalších. Kromě udělení těchto správních pokut mohou být správci či zpracovatelé osobních údajů navíc vystaveni žalobám podaným fyzickými osobami s nárokem na náhradu škody v případě hmotné či nehmotné újmy. <ref>Jaké sankce hrozí firmám, které budou GDPR ignorovat. GDPR.CZ [online] [cit. 2021-01-26]. Dostupné z: https://www.gdpr.cz/gdpr/sankce/.</ref>
+
V případě porušení, nezavedení či nepřipravenosti na nové nařízení hrozí povinným subjektům vysoké pokuty, které mohou být v mnoha případech až likvidační. Maximální výše pokuty je dle Nařízení GDPR 20.000.000 eur nebo 4 % z celkového ročního obratu společnosti (vyšší z obou možností) v rámci České republiky je tato částka upravena a snížena na '''max. 10 milion CZK'''. V rámci udělení sankce bude dále záviset na řadě faktorů, jako je např. povaha, závažnost a délka porušování, počet poškozených občanů a míra škody, kroky podniknuté správcem či zpracovatelem ke zmírnění škod, kategorie osobních údajů dotčené porušením a řada dalších. Kromě udělení těchto správních pokut mohou být správci či zpracovatelé osobních údajů navíc vystaveni žalobám podaným fyzickými osobami s nárokem na náhradu škody v případě hmotné či nehmotné újmy. <ref>Jaké sankce hrozí firmám, které budou GDPR ignorovat. GDPR.CZ [online] [cit. 2021-01-26]. Dostupné z: https://www.gdpr.cz/gdpr/sankce/.</ref>
  
 
===DPA===
 
===DPA===
* Smlouva o zpracování osobních údajů (Data Processing Agreement)
+
* Celým názvem '''Smlouva o zpracování osobních údajů''' (Data Processing Agreement)
 
* Tuto smlouvu spolu uzavírají správci a zpracovatelé, které chtějí pověřit zpracováním osobních údajů
 
* Tuto smlouvu spolu uzavírají správci a zpracovatelé, které chtějí pověřit zpracováním osobních údajů
* Stanovují zde pokyny, podmínky, povinnosti a požadovaná opatření při zpracování osobních údajů
+
* Ve smlouvě stanovují pokyny, podmínky, povinnosti a požadovaná opatření při zpracování osobních údajů
* Zpracovateli nejsou osoby, které se při provádění svých služeb, tj. plnění smlouvy s objednatelem (jinak správcem osobních údajů), mohou pouze nahodile dostat do styku s osobními údaji zpracovávanými tímto správcem, aniž by osobní údaje jakkoliv zpracovávaly. (např. právní poradci, servis [[Informační technologie|IT techniky]] atd.)
+
* Zpracovateli nejsou osoby, které se při provádění svých služeb, tj. plnění smlouvy s objednatelem (jinak správcem osobních údajů), mohou pouze nahodile dostat do styku s osobními údaji zpracovávanými tímto správcem, aniž by osobní údaje, jakkoliv zpracovávaly. (např. právní poradci, servis [[Informační technologie|IT techniky]] atd.)
 
* Příkladem je mzdová agenda, externí [[E-learning|e-learning]] atd. <ref>Zpracovatel. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/zpracovatel/d-29316/p1=4753.</ref>
 
* Příkladem je mzdová agenda, externí [[E-learning|e-learning]] atd. <ref>Zpracovatel. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/zpracovatel/d-29316/p1=4753.</ref>
  
 
===DPO===
 
===DPO===
Pověřenec pro ochranu osobních údajů
+
Důležitým pilířem prokazování souladu s GDPR je jmenování tzv. pověřence pro ochranu osobních údajů neboli DPO (anglicky Data Protection Officer). Ten musí být přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele. Hlavním úkolem DPO bude monitorování souladu zpracování osobních údajů s povinnostmi vyplývajícími z nařízení, provádění interních auditů, školení pracovníků a celkové řízení agendy interní ochrany dat.
Pověřenec pro ochranu osobních údajů musí být přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele.
 
  
Jmenování a ohlášení pověřence
+
'''Jmenování a ohlášení pověřence'''
 
Povinnost jmenovat pověřence se netýká všech správců nebo zpracovatelů, ale pouze těch, kteří provádějí zpracování uvedená v čl. 37 odst. 1 obecného nařízení, pokud:
 
Povinnost jmenovat pověřence se netýká všech správců nebo zpracovatelů, ale pouze těch, kteří provádějí zpracování uvedená v čl. 37 odst. 1 obecného nařízení, pokud:
 
* zpracování provádí orgán veřejné moci či veřejný subjekt;  
 
* zpracování provádí orgán veřejné moci či veřejný subjekt;  
Řádek 85: Řádek 89:
 
* hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů a osobních údajů týkajících se rozsudků v trestních věcech a trestných činů. <ref>Jmenování a ohlášení pověřence. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/jmenovani-a-ohlaseni-poverence/ds-5552/archiv=0&p1=5550.</ref>
 
* hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů a osobních údajů týkajících se rozsudků v trestních věcech a trestných činů. <ref>Jmenování a ohlášení pověřence. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/jmenovani-a-ohlaseni-poverence/ds-5552/archiv=0&p1=5550.</ref>
  
Úkoly pověřence
+
'''Úkoly pověřence'''
 
* poskytování informací a poradenství správci či zpracovateli, včetně zaměstnanců, kteří se na zpracování podílejí,
 
* poskytování informací a poradenství správci či zpracovateli, včetně zaměstnanců, kteří se na zpracování podílejí,
 
* monitorování souladu s nařízením GDPR a dalšími souvisejícími předpisy,
 
* monitorování souladu s nařízením GDPR a dalšími souvisejícími předpisy,
Řádek 96: Řádek 100:
  
 
==GDPR a knihovny==
 
==GDPR a knihovny==
Vzhledem k tomu, že i knihovny přichází do kontaktu s osobními údaji, týká se GDPR i jich. Zpracování osobních údajů uživatelů ([[Uživatel a čtenář v knihovně|čtenářů]]) je součástí rutinního provozu knihoven. Národní knihovna ČR proto připravila projekt, jehož cílem je poskytnout knihovnám základní pravidla a postupy pro nakládání s osobními údaji v souladu s novou legislativou. Příručka si klade za cíl konkretizaci povinností vyplývajících ze zákona knihovnám. Příručka patří k základním metodickým materiálům, které Úřad pro ochranu osobních údajů (ÚOOÚ) doporučuje k využití a je možné jí najít na stránkách [https://ipk.nkp.cz/aktuality/legislativa/01_LegPod/ochrana-osobnich-udaju/ochrana-osobnich-udaju-prirucka-pro-knihovny Informace pro knihovny].
+
Vzhledem k tomu, že i [[Veřejná knihovna|knihovny]] přichází do kontaktu s osobními údaji, týká se GDPR i jich. Zpracování osobních údajů uživatelů ([[Uživatel a čtenář v knihovně|čtenářů]]) je součástí rutinního provozu knihoven. [[Národní knihovna ČR|Národní knihovna ČR]] proto připravila projekt, jehož cílem je poskytnout knihovnám základní pravidla a postupy pro nakládání s osobními údaji v souladu s novou legislativou. Příručka si klade za cíl konkretizaci povinností vyplývajících ze zákona knihovnám. Příručka patří k základním metodickým materiálům, které Úřad pro ochranu osobních údajů (ÚOOÚ) doporučuje k využití a je možné jí najít na stránkách [https://ipk.nkp.cz/aktuality/legislativa/01_LegPod/ochrana-osobnich-udaju/ochrana-osobnich-udaju-prirucka-pro-knihovny Informace pro knihovny].
 +
 
 +
'''V souvislosti s GDPR by se i malé knihovny měly zaměřit na:'''
 +
* '''vybavení knihoven:''' v každé knihovně musí být uzamykatelná skříň na listinné materiály, kam se vždy uloží vše, co obsahuje osobní údaje.
 +
* '''přihlášky čtenáře:''' utvoření nových smluv se čtenáři.
 +
* '''[[Knihovní řád|knihovní řád]]''': nařízení GDPR a nové přihlášky čtenářů se musí promítnout i do knihovního řádu. Buď knihovna, resp. její zřizovatel, schválí nový knihovní řád nebo ke stávajícímu knihovnímu řádu připojí přílohy o tom, co a proč se děje s osobními údaji čtenářů.
 +
* '''[[World Wide Web|webové stránky]]:''' webové prezentace knihoven obecně neobsahují žádné osobní údaje, největším problémem budou ale vystavené fotografie. Neexistuje jasný výklad GDPR ohledně používání fotografií na webu. Mohou se bez problémů použít fotografie, o kterých se dá říci, že pouze dokumentují průběh nějaké akce či dění v knihovně. Tyto fotografie by měly být nejlépe skupinové, z dálky, nic konkrétního. Doporučuje se větší opatrnost, než bylo běžné. Problémem mohou být fotografie dětí.
 +
* '''[[Internet|veřejný internet]]''': registrovaní čtenáři i anonymní návštěvníci z něj mohou přistupovat do svých e-mailových schránek, [[Tisk|tisknout]] své [[Dokument|dokumenty]], [[Scanery|skenovat]] nebo stahovat soubory. Často před opuštěním počítače své soubory neodstraní a ty pak mohou zůstat přístupné dalším uživatelům. Knihovna musí osobní údaje svých uživatelů chránit a platí to i v tomto případě. Pouhé upozornění, že uživatelé mají své soubory mazat, není dostatečné. Řešením může být speciální [[Software|SW]], který po každém uživateli restartuje [[Počítač|PC]] a uvede do původního nastavení, nebo na PC nastavit omezení pro uživatele – nemohou nic stahovat, instalovat apod. <ref>Doporučení pro malé knihovny ohledně nařízení EU - GDPR. Knihovna města Hradec Králové [online] [cit. 2021-01-31]. Dostupné z: https://www.knihovnahk.cz/pro-knihovniky/sluzby/materialy-k-vyuziti/doporuceni-pro-male-knihovny-ohledne-narizeni-eu-gdpr</ref>
  
 
==Zdroje==
 
==Zdroje==

Aktuální verze z 9. 2. 2021, 12:45

Definice GDPR

Zkratka GDPR v českém znění znamená Obecné nařízení o ochraně osobních údajů (anglicky General Data Protection Regulation). GDPR představuje nový právní rámec ochrany osobních údajů v evropském prostoru s cílem hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty včetně osobních údajů. GDPR se týká všech firem a institucí, ale i jednotlivců a online služeb, které zpracovávají data uživatelů. GDPR zavedlo astronomické pokuty za porušování pravidel a nařizuje některým správcům nebo zpracovatelům osobních údajů zřídit nezávislou kontrolní funkci DPO (Data Protection Officer, tj. Pověřenec pro ochranu osobních údajů). [1]

Cíle GDPR:

  • nastavit jednotný právní rámec a pravidla pro zacházení s osobními údaji napříč EU
  • chránit základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů
  • hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty/osobními údaji

Zásady zpracování osobních údajů

  • Zákonnost, korektnost, transparentnost
  • Účelové omezení
  • Minimalizace údajů (omezení na nezbytný rozsah)
  • Přesnost (opravy, vymazání)
  • Omezení uložení
  • Integrita a důvěrnost (zabezpečení – technické, organizační opatření)

Souhlas se zpracováním osobních údajů:

  • souhlas nemusí být písemný, ale musí být doložitelný
  • stejně snadné, jako jeho udělení musí být také jeho odvolatelnost
  • v ČR děti od dovršení 15 let mohou dávat souhlas sami (do 15 roku za ně souhlas dávají jejich rodiče)

Zákony

  • Směrnice 95/46/ES O ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů - jedná se o předchůdce GDPR. První verze je z roku 1995 a následně docházelo k její aktualizaci až do nahrazení roku 2018.
  • Nařízení Evropského parlamentu a Rady (EU) 2016/679 - O ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES. Bylo vydáno 27.4.2016 s účinností od 25.5.2018. Obecné nařízení nemění základní zásady zpracování osobních údajů či základní pojmy jako jsou např. osobní údaj, subjekt údajů, správce, zpracovatel či zpracování. Nerozšiřuje ani svoji působnost oproti předchozí právní úpravě. Pro některá zpracování, resp. subjekty, však klade vyšší nároky při zpracování osobních údajů.
  • Zákon č. 110/2019 Sb., O zpracování osobních údajů. Dále jen adaptační zákon, upravuje a upřesňuje aplikaci evropské normy do prostředí ČR. Byl vydán 12.3.2019 s účinností od 24.4.2019. Vejitím Adaptačního zákona v účinnost bylo do českého právního řádu zakotveno několik desítek ustanovení, jejichž cílem je upřesnit práva a povinnosti vyplývající z Nařízení GDPR. Tento nový zákon konkretizuje především některá obecná ustanovení Nařízení GDPR, která se týkají věkové hranice k udělení souhlasu se zpracováním osobních údajů, ustanovení týkajících se výše pokut nebo informační povinnosti správce osobních údajů. [2]
  • Zákon č. 111/2019 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. Tzv. doprovodný zákon obsahuje souhrn úprav stávajících právních předpisů s dopade pouze na orgány veřejné moci, např. trestní řád, o organizaci a provádění sociálního zabezpečení, notářského řádu atp. Byl vydán 12. 3. 2019 s účinnost od 24. 4. 2019.

Osobní údaje

Osobní údaje jsou veškeré informace vztahující se k identifikované či identifikovatelné fyzické osobě. Mezi obecné osobní údaje řadíme jméno, pohlaví, věk a datum narození, osobní stav, ale také IP adresu a fotografický záznam. Mezi osobní údaje řadíme i tzv. organizační údaje, kterými jsou například e-mailová adresa, telefonní číslo či různé identifikační údaje vydané státem.

Zvláštní kategorie osobních údajů

Zvláštní kategorie osobních údajů jsou takové osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení, členství v odborech, zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Za zvláštní kategorii údajů jsou považovány i genetické a biometrické údaje, které jsou zpracovávány za účelem jedinečné identifikace fyzické osoby.

Zvláštní kategorie osobních údajů lze zpracovávat, pokud:

  • subjekt údajů udělil výslovný souhlas,
  • zpracování je nezbytné pro plnění povinností v oblasti pracovního práva, práva sociálního zabezpečení a sociální ochrany,
  • zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas,
  • zpracování provádí v rámci svých oprávněných činností nadace, sdružení či jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy nebo na osoby, které s tímto subjektem udržují pravidelné styky související s jeho cíli, a že tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt,
  • zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů,
  • zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo při jednání soudů,
  • zpracování je nezbytné z důvodu významného veřejného zájmu,
  • zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovních schopností zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče atd.,
  • zpracování je nezbytné z důvodu veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění bezpečnosti zdravotní péče, léčivých přípravků nebo zdravotnických prostředků,
  • zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely. [3]

Hlavní role v rámci GDPR

  • Subjekt údajů: fyzická osoba, k níž se osobní údaje vztahují (např. zaměstnanec)
  • Správce: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů (např. zaměstnavatel)
  • Zpracovatel: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce (např. poskytovatel služeb BOZP)
  • Příjemce: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoli (např. pojišťovna při šetření pracovního úrazu)

Práva subjektu údajů

  • subjekt má v první řadě právo na to být informován o zpracování svých osobních údajů při shromažďování osobních údajů
  • právo na přístup k osobním údajům,
  • právo na opravu, respektive doplnění,
  • právo na výmaz,
  • právo na omezení zpracování,
  • právo na přenositelnost údajů,
  • právo vznést námitku,
  • právo nebýt předmětem automatizovaného individuálního rozhodování s právními či obdobnými účinky, zahrnujíce i profilování.

Právo být zapomenut

Právo být zapomenut představuje povinnost správce zlikvidovat osobní údaje, pokud je splněna alespoň jedna podmínka:

  • osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány,
  • subjekt údajů odvolá souhlas a neexistuje žádný další právní důvod pro zpracování,
  • subjekt údajů vznese námitky proti zpracování a neexistují žádné převažující oprávněné důvody pro zpracování,
  • osobní údaje byly zpracovány protiprávně,
  • osobní údaje musí být vymazány ke splnění právní povinnosti,
  • osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle článku 8 odst. 1 obecného nařízení. [4]

Sankce

V případě porušení, nezavedení či nepřipravenosti na nové nařízení hrozí povinným subjektům vysoké pokuty, které mohou být v mnoha případech až likvidační. Maximální výše pokuty je dle Nařízení GDPR 20.000.000 eur nebo 4 % z celkového ročního obratu společnosti (vyšší z obou možností) v rámci České republiky je tato částka upravena a snížena na max. 10 milion CZK. V rámci udělení sankce bude dále záviset na řadě faktorů, jako je např. povaha, závažnost a délka porušování, počet poškozených občanů a míra škody, kroky podniknuté správcem či zpracovatelem ke zmírnění škod, kategorie osobních údajů dotčené porušením a řada dalších. Kromě udělení těchto správních pokut mohou být správci či zpracovatelé osobních údajů navíc vystaveni žalobám podaným fyzickými osobami s nárokem na náhradu škody v případě hmotné či nehmotné újmy. [5]

DPA

  • Celým názvem Smlouva o zpracování osobních údajů (Data Processing Agreement)
  • Tuto smlouvu spolu uzavírají správci a zpracovatelé, které chtějí pověřit zpracováním osobních údajů
  • Ve smlouvě stanovují pokyny, podmínky, povinnosti a požadovaná opatření při zpracování osobních údajů
  • Zpracovateli nejsou osoby, které se při provádění svých služeb, tj. plnění smlouvy s objednatelem (jinak správcem osobních údajů), mohou pouze nahodile dostat do styku s osobními údaji zpracovávanými tímto správcem, aniž by osobní údaje, jakkoliv zpracovávaly. (např. právní poradci, servis IT techniky atd.)
  • Příkladem je mzdová agenda, externí e-learning atd. [6]

DPO

Důležitým pilířem prokazování souladu s GDPR je jmenování tzv. pověřence pro ochranu osobních údajů neboli DPO (anglicky Data Protection Officer). Ten musí být přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele. Hlavním úkolem DPO bude monitorování souladu zpracování osobních údajů s povinnostmi vyplývajícími z nařízení, provádění interních auditů, školení pracovníků a celkové řízení agendy interní ochrany dat.

Jmenování a ohlášení pověřence Povinnost jmenovat pověřence se netýká všech správců nebo zpracovatelů, ale pouze těch, kteří provádějí zpracování uvedená v čl. 37 odst. 1 obecného nařízení, pokud:

  • zpracování provádí orgán veřejné moci či veřejný subjekt;
  • hlavní činnosti správce nebo zpracovatele spočívají v operacích zpracování, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů;
  • hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů a osobních údajů týkajících se rozsudků v trestních věcech a trestných činů. [7]

Úkoly pověřence

  • poskytování informací a poradenství správci či zpracovateli, včetně zaměstnanců, kteří se na zpracování podílejí,
  • monitorování souladu s nařízením GDPR a dalšími souvisejícími předpisy,
  • poskytování poradenství na požádání, pokud jde o posouzení vlivu na ochranu osobních údajů, a monitorování jeho uplatňování
  • vypracování záznamů o činnostech zpracování
  • spolupráce s dozorovým úřadem [8]

Úřadu pro ochranu osobních údajů

Úřad pro ochranu osobních údajů (ÚOOÚ) je na základě zákona o zpracování osobních údajů ústředním správním úřadem pro oblast ochrany osobních údajů. Jeho hlavními úkoly jsou monitorovat a vymáhat uplatňování obecného nařízení a dalších předpisů upravujících některé otázky ochrany osobních údajů, tedy působit jako dozorový úřad, a zvyšovat povědomí veřejnosti o ochraně osobních údajů. [9]

GDPR a knihovny

Vzhledem k tomu, že i knihovny přichází do kontaktu s osobními údaji, týká se GDPR i jich. Zpracování osobních údajů uživatelů (čtenářů) je součástí rutinního provozu knihoven. Národní knihovna ČR proto připravila projekt, jehož cílem je poskytnout knihovnám základní pravidla a postupy pro nakládání s osobními údaji v souladu s novou legislativou. Příručka si klade za cíl konkretizaci povinností vyplývajících ze zákona knihovnám. Příručka patří k základním metodickým materiálům, které Úřad pro ochranu osobních údajů (ÚOOÚ) doporučuje k využití a je možné jí najít na stránkách Informace pro knihovny.

V souvislosti s GDPR by se i malé knihovny měly zaměřit na:

  • vybavení knihoven: v každé knihovně musí být uzamykatelná skříň na listinné materiály, kam se vždy uloží vše, co obsahuje osobní údaje.
  • přihlášky čtenáře: utvoření nových smluv se čtenáři.
  • knihovní řád: nařízení GDPR a nové přihlášky čtenářů se musí promítnout i do knihovního řádu. Buď knihovna, resp. její zřizovatel, schválí nový knihovní řád nebo ke stávajícímu knihovnímu řádu připojí přílohy o tom, co a proč se děje s osobními údaji čtenářů.
  • webové stránky: webové prezentace knihoven obecně neobsahují žádné osobní údaje, největším problémem budou ale vystavené fotografie. Neexistuje jasný výklad GDPR ohledně používání fotografií na webu. Mohou se bez problémů použít fotografie, o kterých se dá říci, že pouze dokumentují průběh nějaké akce či dění v knihovně. Tyto fotografie by měly být nejlépe skupinové, z dálky, nic konkrétního. Doporučuje se větší opatrnost, než bylo běžné. Problémem mohou být fotografie dětí.
  • veřejný internet: registrovaní čtenáři i anonymní návštěvníci z něj mohou přistupovat do svých e-mailových schránek, tisknout své dokumenty, skenovat nebo stahovat soubory. Často před opuštěním počítače své soubory neodstraní a ty pak mohou zůstat přístupné dalším uživatelům. Knihovna musí osobní údaje svých uživatelů chránit a platí to i v tomto případě. Pouhé upozornění, že uživatelé mají své soubory mazat, není dostatečné. Řešením může být speciální SW, který po každém uživateli restartuje PC a uvede do původního nastavení, nebo na PC nastavit omezení pro uživatele – nemohou nic stahovat, instalovat apod. [10]

Zdroje

Reference

  1. Co je GDPR? GDPR.cz [online] [cit. 2021-01-24]. Dostupné z: https://www.gdpr.cz/gdpr/.
  2. CHLEBUS, Tomáš a Jakub DOSTÁL, Nový zákon o zpracování osobních údajů. epravo.cz [online] 2019 [cit. 2021-01-30]. Dostupné z: https://www.epravo.cz/top/clanky/novy-zakon-o-zpracovani-osobnich-udaju-109312.html
  3. Zvláštní kategorie osobních údajů. Ministerstvo vnitra České republiky [online] [cit. 2021-01-24]. Dostupné z: https://www.mvcr.cz/gdpr/clanek/zvlastni-kategorie-osobnich-udaju.aspx.
  4. Práva subjektu údajů. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/6-prava-subjektu-udaju/d-27276/p1=3938.
  5. Jaké sankce hrozí firmám, které budou GDPR ignorovat. GDPR.CZ [online] [cit. 2021-01-26]. Dostupné z: https://www.gdpr.cz/gdpr/sankce/.
  6. Zpracovatel. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/zpracovatel/d-29316/p1=4753.
  7. Jmenování a ohlášení pověřence. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/jmenovani-a-ohlaseni-poverence/ds-5552/archiv=0&p1=5550.
  8. Postavení a úkoly pověřence. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/postaveni-a-ukoly-poverence/ds-5556/archiv=0&p1=5550.
  9. Role ÚOOÚ. Úřad pro ochranu osobních údajů [online] [cit. 2021-01-24]. Dostupné z: https://www.uoou.cz/role-uoou/ds-4726/archiv=0&p1=3938.
  10. Doporučení pro malé knihovny ohledně nařízení EU - GDPR. Knihovna města Hradec Králové [online] [cit. 2021-01-31]. Dostupné z: https://www.knihovnahk.cz/pro-knihovniky/sluzby/materialy-k-vyuziti/doporuceni-pro-male-knihovny-ohledne-narizeni-eu-gdpr

Doporučená literatura

  • KVÍTKOVÁ, Adriana a KALANDARIŠVILI, Alexandra. Aplikace GDPR ve společenství vlastníků: zákon o zpracování osobních údajů v praxi. Praha: Verlag Dashöfer, [2019], ©2019. 54 stran. ISBN 978-80-87963-97-5.
  • ČESKO. E-government a GDPR: (soubor zákonů). Plzeň: Vydavatelství a nakladatelství Aleš Čeněk, s.r.o., 2018. 551 stran. ISBN 978-80-7380-717-7.
  • KUNER, Christopher, ed. et al. The EU General Data Protection Regulation (GDPR): a commentary. First edition. Oxford: Oxford University Press, 2020. xci, 1393 stran. ISBN 978-0-19-882649-1.
  • NEZMAR, Luděk. GDPR: praktický průvodce implementací. První vydání. Praha: Grada Publishing, 2017. 301 stran. Právo pro praxi. ISBN 978-80-271-0668-4.
  • GDPR ...: změny v ochraně osobních údajů v návodech a vzorech: praktické nástroje, šablony a formuláře v souladu s nařízením EU: ... Bátrla, Josef et al. Praha: Forum, 2018- . ISSN 2570-8821.

Související články

Organizační struktury, organizování práce -pracovní proces a postup v knihovnách a informačních institucích (základní dokumenty organizace, zřizovací listina, statut, organizační a knihovní řád, výpůjční řád a další dokumenty)
Ochrana osobních údajů
Internet a služby informační společnosti
Právo a internet

Klíčová slova

GDPR, Obecné nařízení o ochraně osobních údajů, osobní údaje, právo