Úřední věstník L 215 , 25/08/2000 S. 0007 - 0047



Rozhodnutí Komise ze dne 26. července 2000 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně poskytované podle zásad "bezpečného přístavu" a s tím souvisejících "často kladených otázek" vydaných Ministerstvem obchodu Spojených států (oznámeno pod číslem K(2000) 2441) (Text s významem pro EHP) (2000/520/ES) KOMISE EVROPSKÝCH SPOLEČENSTVÍ, s ohledem na Smlouvu o založení Evropského společenství, s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 25 odst. 6 uvedené směrnice, vzhledem k těmto důvodům: (1) V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předání osobních údajů do třetí země docházelo pouze, pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členského státu provádějící ostatní ustanovení směrnice. (2) Komise může dospět ke zjištění, že třetí země zajišťuje odpovídající úroveň ochrany. V tomto případě lze osobní údaje z členských států předávat, aniž by bylo nezbytné poskytnutí dalších záruk. (3) V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů a s ohledem na dané podmínky. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená zmíněnou směrnicí [2] vydala pokyny k takovým hodnocením [3]. (4) S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající povahy této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářely skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Společenství. (5) Odpovídající úrovně ochrany při předávání údajů ze Společenství do Spojených států je podle tohoto rozhodnutí dosaženo tehdy, jestliže organizace dodržují zásady "bezpečného přístavu" pro ochranu osobních údajů předávaných z členského státu do Spojených států (dále jen "zásady") a často kladených otázek (Frequently Asked Questions, dále jen "FAQ"), které představují pokyny pro provádění těchto zásad vydaných vládou Spojených států dne 21. července 2000. Organizace dále musí zveřejnit své zásady pro ochranu soukromí a podléhat pravomoci Federální obchodní komise (Federal Trade Commission, FTC) podle článku 5 zákona Federal Trade Commission Act, který zakazuje nekalé nebo klamavé jednání či praktiky v obchodě nebo související s obchodem, nebo jiného na základě zákona vytvořeného orgánu, který účinně zajistí dodržování zásad prováděných v souladu s FAQ. (6) Oblasti nebo taková zpracování údajů, jež nepodléhají pravomoci žádného z orgánů veřejné správy Spojených států, které jsou vyjmenovány v příloze VII tohoto rozhodnutí, leží mimo oblast působnosti tohoto rozhodnutí. (7) Pro zajištění řádného uplatňování tohoto rozhodnutí je nezbytné, aby dotčené osoby, jako např. subjekty údajů, vývozci údajů nebo orgány pro ochranu údajů, mohly rozpoznat organizace, které přijaly zásady a FAQ. Za tímto účelem se Ministerstvu obchodu Spojených států nebo jeho zmocněnci ukládá vést a zpřístupnit veřejnosti seznam organizací, které samy osvědčují, že přijaly zásady prováděné v souladu s FAQ, a které podléhají pravomoci alespoň jednoho orgánu veřejné správy uvedeného v příloze VII tohoto rozhodnutí. (8) V zájmu průhlednosti a proto, aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést v tomto rozhodnutí výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů bez ohledu na zjištění odpovídající úrovně ochrany. (9) Je možné, že tzv. "bezpečný přístav" vytvořený zásadami a FAQ bude nutno případně přezkoumávat na základě zkušeností, s ohledem na vývoj v oblasti ochrany soukromí za situace, kdy technologie neustále usnadňují předávání a zpracování osobních údajů, a na základě zpráv orgánů pověřených jeho prosazováním. (10) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená článkem 29 směrnice 95/46/ES vydala stanoviska k úrovni ochrany poskytované zásadami "bezpečného přístavu" ve Spojených státech, ke kterým se přihlédlo při přípravě tohoto rozhodnutí [4]. (11) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného článkem 31 směrnice 95/46/ES. (12) V souladu s rozhodnutím Rady 1999/468/ES, a zejména jeho článkem 8, přijal Evropský parlament dne 5. července 2000 usnesení A5–0177/2000 k návrhu rozhodnutí Komise o odpovídající ochraně poskytované podle zásad "bezpečného přístavu" a s tím souvisejících "často kladených otázek" (FAQ) předložených Ministerstvem obchodu Spojených států [5]. Komise návrh rozhodnutí znovu prověřila na základě tohoto usnesení a došla k závěru, že přestože Evropský parlament považuje za nutná některá vylepšení zásad "bezpečného přístavu" a souvisejících FAQ předtím, než bude možno vycházet z toho, že zajišťují "odpovídající ochranu", nezjistil, že by Komise přijetím rozhodnutí překročila své pravomoci, PŘIJALA TOTO ROZHODNUTÍ: Článek 1 1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se pro všechny činnosti spadající do oblasti působnosti zmíněné směrnice má za to, že "zásady bezpečného přístavu" (dále jen "zásady") uvedené v příloze I tohoto rozhodnutí a prováděné podle pokynů obsažených v často kladených otázkách (dále jen "FAQ") vydaných Ministerstvem obchodu Spojených států dne 21. července 2000, jak jsou uvedeny v příloze II tohoto rozhodnutí, zajišťují odpovídající úroveň ochrany osobních údajů předávaných ze Společenství organizacím usazeným ve Spojených státech, s ohledem na následující dokumenty vydané Ministerstvem obchodu Spojených států: a) přehled mechanismů pro prosazování zásad bezpečného přístavu uvedený v příloze III; b) memorandum o náhradách škod způsobených porušením soukromí a o výslovném zmocnění podle práva Spojených států uvedené v příloze IV; c) dopis Federal Trade Commission uvedený v příloze V; d) dopis Ministerstva dopravy Spojených států uvedený v příloze VI. 2. Při každém předání údajů musí být splněny následující podmínky: a) organizace přijímající údaje se jednoznačně a veřejně zavázala dodržovat zásady prováděné v souladu s FAQ a b) tato organizace podléhá zákonným pravomocím orgánu veřejné správy Spojených států, který je uveden v příloze VII tohoto rozhodnutí a který je oprávněn vyšetřovat stížnosti a v případě nedodržení zásad prováděných v souladu s FAQ poskytnout nápravu proti nekalým nebo klamavým praktikám, jakož i náhradu škody fyzickým osobám bez ohledu na zemi bydliště nebo jejich státní příslušnost. 3. Podmínky uvedené v odstavci 2 se považují za splněné každou organizací, která sama osvědčuje, že přijímá zásady prováděné v souladu s FAQ, dnem, kterým tato organizace oznámí Ministerstvu obchodu Spojených států (nebo jeho zmocněnci) veřejné vyhlášení svého závazku uvedeného v odst. 2 písm. a) a název orgánu veřejné správy uvedeného v odst. 2 písm. b). Článek 2 Toto rozhodnutí se vztahuje výlučně na odpovídající úroveň ochrany zajišťovanou ve Spojených státech podle zásad prováděných v souladu s FAQ s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se uplatňování ostatních ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech, zejména článku 4 zmíněné směrnice. Článek 3 1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byla dodržována vnitrostátní ustanovení přijatá k provedení jiných ustanovení směrnice 95/46/ES než článku 25, mohou tyto orgány vykonávat své stávající pravomoci, aby zastavily toky údajů vůči organizaci, která sama osvědčila, že přistoupila k zásadám prováděným v souladu s FAQ s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech: a) pokud orgán veřejné správy Spojených států uvedený v příloze VII tohoto rozhodnutí nebo nezávislý odvolací orgán ve smyslu písmene a) zásady provádění uvedené v příloze I tohoto rozhodnutí zjistí, že tato organizace porušuje zásady prováděné v souladu s FAQ; nebo b) pokud je velmi pravděpodobné, že zásady jsou porušovány; pokud se lze důvodně domnívat, že příslušný výkonný orgán včas nepřijal nebo nepřijme přiměřená opatření nezbytná pro vyřešení sporné věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování organizace a poskytly jí možnost zaujmout stanovisko. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování zásad prováděných v souladu s FAQ a jakmile jsou o tom informovány dotčené příslušné orgány ve Společenství. 2. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle odstavce 1. 3. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním toho, aby byly dodržovány zásady prováděné v souladu s FAQ ve Spojených státech, nejsou dostatečná. 4. Pokud informace shromážděné podle odstavců 1, 2 a 3 prokáží, že kterýkoli subjekt pověřený zajištěním toho, aby byly dodržovány zásady prováděné v souladu s FAQ ve Spojených státech, neplní účinně svou úlohu, uvědomí o tom Komise Ministerstvo obchodu Spojených států, a bude-li třeba, předloží návrh opatření postupem podle článku 31 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho působnost. Článek 4 1. Toto rozhodnutí lze kdykoli upravit s ohledem na zkušenosti s jeho uplatňováním nebo jestliže úroveň ochrany poskytovaná zásadami a FAQ bude převýšena požadavky kladenými právem Spojených států. Komise zhodnotí v každém případě provádění tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům a veškeré významné poznatky sdělí výboru zřízenému článkem 31 směrnice 95/46/ES a zejména sdělí veškeré důkazy, které by mohly mít vliv na hodnocení, prováděné podle článku 1 tohoto rozhodnutí, zda poskytují odpovídající úroveň ochrany ve smyslu článku 25 směrnice 95/46/ES, a veškeré důkazy, že se toto rozhodnutí uplatňuje diskriminačním způsobem. 2. Komise předloží, je-li to nezbytné, návrhy opatření postupem podle článku 31 směrnice 95/46/ES. Článek 5 Členské státy přijmou veškerá opatření nezbytná pro dosažení souladu s tímto rozhodnutím nejpozději do 90 dnů ode dne jeho oznámení členským státům. Článek 6 Toto rozhodnutí je určeno členským státům. V Bruselu dne 26. července 2000. Za Komisi Frederik Bolkestein člen Komise [1] Úř. věst. L 281, 23.11.1995, s. 31. [2] Internetová adresa této pracovní skupiny je: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm [3] WP 12: Přenos osobních údajů do třetích zemí: provádění článků 25 a 26 směrnice EU o ochraně údajů, přijato pracovní skupinou dne 24. července 1998. [4] PS 15: Stanovisko 1/99 k úrovni ochrany údajů ve Spojených státech a pokračující diskusi mezi Evropskou komisí a Spojenými státy.PS 19: Stanovisko 2/99 k přiměřenosti "mezinárodních zásad bezpečného přístavu" vydané Ministerstvem obchodu Spojených států dne 19. dubna 1999.PS 21: Stanovisko 4/99 k často kladených otázkám, které má vydat Ministerstvo obchodu Spojených států v souvislosti s navrhovanými zásadami "bezpečného přístavu".PS 23: Pracovní dokument o současném stavu pokračujících diskusí mezi Evropskou komisí a vládou Spojených států na téma "mezinárodní zásady bezpečného přístavu".PS 27: Stanovisko 7/99 k úrovni ochrany údajů, kterou poskytují zásady "bezpečného přístavu", tak jak byly uveřejněny spolu s často kladenými otázkami, a další související dokumenty zveřejněné Ministerstvem obchodu Spojených států dne 15. a 16. listopadu 1999.PS 31: Stanovisko 3/2000 k dialogu mezi EU a USA na téma dohody o "bezpečném přístavu".PS 32: Stanovisko 4/2000 k úrovni ochrany poskytované "zásadami bezpečného přístavu". [5] Usnesení dosud nebylo zveřejněno v Úředním věstníku. -------------------------------------------------- PŘÍLOHA I ZÁSADY "BEZPEČNÉHO PŘÍSTAVU" PRO OCHRANU OSOBNÍCH ÚDAJŮ vydané Ministerstvem obchodu Spojených států dne 21. července 2000 Komplexní právní úprava Evropské unie týkající se ochrany soukromí — směrnice o ochraně údajů (dále jen "směrnice") — nabyla účinnosti dne 25. října 1998. Tato směrnice požaduje, aby se předávání osobních údajů uskutečňovala pouze do těch třetích zemí, které zajišťují "odpovídající" úroveň ochrany soukromí. Spojené státy a Evropská unie sice sledují stejný cíl, kterým je zvýšení ochrany soukromí svých občanů, avšak Spojené státy přistupují k otázkám ochrany soukromí odlišně než Evropská unie. Spojené státy uplatňují odvětvový přístup, který je založen na kombinaci právních předpisů, nařízení a samoregulace. Vzhledem k těmto rozdílům vyjadřuje mnoho organizací ve Spojených státech nejistotu ohledně dopadu "odpovídající úrovně ochrany" vyžadované Evropskou unií pro předávání osobních údajů z Evropské unie do Spojených států. Za účelem snížení této nejistoty a vytvoření lépe předvídatelného rámce pro taková předávání údajů vydává ministerstvo obchodu v rámci své zákonné pravomoci pěstovat, podporovat a rozvíjet mezinárodní obchod tento dokument a často kladené otázky (dále jen "zásady"). Tyto zásady byly vyvinuty na základě konzultací s představiteli průmyslu a široké veřejnosti za účelem usnadnění obchodu mezi Spojenými státy a Evropskou unií. Jsou určeny výlučně organizacím ve Spojených státech, které získávají osobní údaje z Evropské unie, aby mohly splnit požadavky "bezpečného přístavu" a z něj vyplývající domněnku "odpovídající" ochrany údajů. Vzhledem k tomu, že tyto zásady byly vytvořeny výhradně k tomuto zvláštnímu účelu, může být jejich využití pro jiné účely nevhodné. Tyto zásady nelze použít jako náhradu za vnitrostátní právní předpisy týkající se zpracování osobních údajů v členských státech, jimiž se provádí směrnice. Rozhodnutí organizací splnit požadavky "bezpečného přístavu" je zcela dobrovolné a organizace mohou tyto požadavky splnit různými způsoby. Organizace, které se rozhodnou přijmout tyto zásady, musí tyto zásady dodržovat, aby mohly získat a udržet si výhody plynoucí z "bezpečného přístavu", a musí veřejně prohlásit, že tak činí. Jestliže se například některá organizace připojí k programu na ochranu soukromí, který byl vytvořen v soukromém sektoru a který je v souladu s těmito zásadami, splní požadavky "bezpečného přístavu". Organizace může tyto požadavky splnit také vytvořením vlastních opatření na ochranu soukromí, pokud jsou v souladu s těmito zásadami. Jestliže při dodržování těchto zásad spoléhá organizace zcela nebo zčásti na samoregulaci, musí být nedodržení takové samoregulace rovněž postižitelné podle oddílu 5 Federal Trade Commission Act zakazujícího nekalé nebo klamavé jednání nebo podle jiného zákona či nařízení zakazujícího takové jednání. (Viz v příloze seznam orgánů veřejné správy Spojených států uznávaných Evropskou unií.) Dále mohou organizace podléhající právním a správním nebo jiným předpisům (nebo pravidlům), které účinně zajišťují ochranu osobních údajů, rovněž využívat výhod plynoucích z "bezpečného přístavu". Ve všech případech jsou výhody plynoucí z "bezpečného přístavu" zaručeny ode dne, ve kterém organizace, která usiluje o splnění požadavků "bezpečného přístavu", sama osvědčí ministerstvu obchodu (nebo jeho zmocněnci), že přijímá tyto zásady, a to v souladu s pokyny pro vlastní osvědčení uvedenými v často kladených otázkách (FAQ). Dodržování těchto zásad může být omezeno: a) v rozsahu nezbytném pro splnění požadavků bezpečnosti státu, veřejného zájmu nebo prosazování zákonů; b) zákonem, správním nařízením nebo judikaturou, které vytvářejí protichůdné závazky, nebo výslovným zmocněním za předpokladu, že při výkonu takového zmocnění může organizace prokázat, že nedodržení zásad je omezeno na rozsah nezbytný pro dodržení nadřazených oprávněných zájmů, jimž má takové zmocnění sloužit; nebo c) jestliže směrnice nebo právo členského státu umožňují výjimky nebo odchylky, pokud se takové výjimky nebo odchylky uplatňují ve srovnatelných souvislostech. V souladu s cílem zvýšit ochranu soukromí by organizace měly usilovat o úplné a transparentní uplatňování těchto zásad, včetně toho, že uvedou, v jakých případech se výjimky ze zásad povolené podle písmene b) budou v jejich programu na ochranu soukromí uplatňovat pravidelně. Z téhož důvodu se očekává, že pokud podle těchto zásad nebo práva Spojených států existuje možnost volby, organizace zvolí pokud možno vyšší úroveň ochrany. Organizace mohou chtít z praktických nebo jiných důvodů uplatňovat tyto zásady na veškerá zpracování údajů, jsou však povinny uplatňovat je na údaje předané teprve po přistoupení k "bezpečnému přístavu". Organizace nejsou povinny pro splnění požadavků "bezpečného přístavu" uplatňovat tyto zásady na manuálně zpracovávané osobní údaje. Organizace, které hodlají využívat výhod plynoucích z "bezpečného přístavu" za účelem získávání manuálně zpracovávaných informací z EU, musí uplatňovat zásady na veškeré takové informace předané po jejich přistoupení k "bezpečnému přístavu". Organizace, která hodlá rozšířit výhody plynoucí z "bezpečného přístavu" na osobní informace týkající se lidských zdrojů, předávané z EU pro využití v rámci zaměstnaneckých vztahů, musí tuto skutečnost oznámit, když sama osvědčuje ministerstvu obchodu (nebo jeho zmocněnci) přijetí zásad, a musí splnit požadavky uvedené v často kladených otázkách týkající se vlastního osvědčení. Organizace budou moci také poskytovat ochranná opatření nezbytná podle článku 26 směrnice, jestliže uplatní v písemných dohodách s osobami, které předávají údaje z EU, zásady na hmotněprávní ustanovení o ochraně soukromí, jakmile tato další ustanovení pro takové vzorové smlouvy schválí Komise a členské státy. V otázkách výkladu a dodržování zásad "bezpečného přístavu" (včetně často kladených otázek) a příslušných opatření na ochranu soukromí prováděných organizacemi náležejícími k "bezpečnému přístavu" se uplatňuje právo Spojených států, s výjimkou případů, ve kterých se organizace zavázaly ke spolupráci s evropskými orgány pro ochranu údajů. Není-li stanoveno jinak, uplatní se veškerá ustanovení zásad "bezpečného přístavu" a často kladených otázek ve všech relevantních případech. "Osobní údaje" a "osobní informace" jsou údaje týkající se určené nebo určitelné fyzické osoby, které spadají do oblasti působnosti směrnice, organizace ve Spojených státech je obdržela z Evropské unie a jsou zaznamenané v jakékoli podobě. OZNAMOVACÍ POVINNOST Organizace musí informovat fyzické osoby o tom, za jakým účelem informace o nich shromažďuje a využívá, jak se mohou na organizaci obrátit v případě jakýchkoli dotazů nebo stížností, jakým třetím osobám tyto informace předává a jaké možnosti volby a prostředky tato organizace poskytuje fyzickým osobám, aby mohly omezit používání a předávání těchto informací. Toto oznámení musí být učiněno jasně a zřetelně při první příležitosti, při které je fyzická osoba požádána, aby poskytla organizaci své osobní údaje, nebo co možná nejdříve poté, avšak v každém případě předtím, než tato organizace takové údaje použije pro účely jiné, než pro jaké je předávající organizace původně shromáždila či zpracovala, nebo než je poprvé předá třetí osobě [1]. MOŽNOST VOLBY Organizace musí fyzickým osobám dát možnost zvolit (odmítnout), zda jejich osobní údaje mohou být a) předány třetí osobě [2] nebo b) použity k účelu, který je neslučitelný s účelem (účely), ke kterému (kterým) byly původně shromážděny nebo následně dotčenou fyzickou osobou schváleny. Dotčeným fyzickým osobám musí být umožněn výkon jejich práva na volbu jasným, srozumitelným, snadno dostupným a finančně přijatelným postupem. U citlivých informací (např. osobní údaje vypovídající o zdravotním stavu, rasovém nebo etnickém původu, politických postojích, náboženském nebo filozofickém přesvědčení, členství v odborových organizacích nebo informace o sexuálním životě dané osoby) musí být poskytnuta možnost potvrzující nebo výslovné volby (svolení), jestliže mají být tyto informace předány třetí osobě nebo použity k účelu, který neodpovídá účelu, pro který byly původně shromážděny nebo pro který byly následně dotčenou fyzickou osobou schváleny výkonem práva na volbu. V každém případě by měly organizace s jakýmikoli informacemi získanými od třetí osoby, které třetí osoba označí za citlivé a takto s nimi zachází, zacházet jako s citlivými informacemi. DALŠÍ PŘEDÁNÍ Při předávání informací třetí osobě musí organizace uplatňovat zásady oznamovací povinnosti a možnosti volby. Jestliže organizace hodlá předávat informace třetí osobě, která je jí pověřená a jedná podle jejích pokynů ve smyslu poznámky pod čarou, může tak učinit, pokud se buď nejprve přesvědčí, že tato třetí osoba přijímá zásady "bezpečného přístavu" nebo podléhá směrnici nebo je u ní jinak zjištěna odpovídající úroveň ochrany, anebo s takovou třetí osobou uzavře písemnou dohodu, v níž se požaduje, aby tato třetí osoba zajistila nejméně stejnou úroveň ochrany soukromí, jakou vyžadují příslušné zásady "bezpečného přístavu". Jestliže organizace splní tyto požadavky, neponese odpovědnost (pokud se sama nedohodne jinak), pokud třetí osoba, které tyto informace předá, je zpracuje v rozporu s omezeními nebo se svými prohlášeními, ledaže by organizace věděla nebo musela vědět, že tato třetí osoba údaje zpracuje takovým nepřípustným způsobem, a neučinila náležité kroky, aby takovému zpracování zabránila nebo je zastavila. BEZPEČNOST Organizace, které vytvářejí, uchovávají, používají nebo šíří osobní údaje, musí učinit přiměřená bezpečnostní opatření, aby zabránily jejich ztrátě, zneužití a neoprávněnému přístupu k nim, jejich předávání, změně nebo zničení. INTEGRITA ÚDAJŮ V souladu se zásadami musí být osobní údaje podstatné pro účely, pro které se mají použít. Organizace nesmí zpracovávat osobní údaje způsobem, který je neslučitelný s účelem, pro který byly původně shromážděny nebo následně dotčenou fyzickou osobou schváleny. V rozsahu nezbytném pro tyto účely je organizace povinna podniknout přiměřené kroky, aby zajistila spolehlivost údajů pro zamýšlený účel, jejich přesnost, úplnost a aktuálnost. PRÁVO NA PŘÍSTUP Fyzické osoby musí mít přístup k osobním údajům, které o nich organizace uchovává, a musí mít možnost opravit, změnit nebo vymazat ty, které jsou nepřesné, ledaže by s tím spojené výdaje nebo náklady na poskytnutí přístupu byly v daném případě neúměrné ohrožení soukromí fyzické osoby nebo kdyby byla porušena práva osob jiných než dotčené fyzické osoby. PROSAZOVÁNÍ Účinná ochrana soukromí musí zahrnovat mechanismy zajišťující dodržování zásad "bezpečného přístavu", opravné prostředky pro fyzické osoby, jichž se údaje týkají a které byly dotčeny nedodržením těchto zásad, jakož i sankce pro organizace, jestliže se zásadami neřídí. Takové mechanismy musí zahrnovat alespoň a) snadno dostupné, finančně přijatelné a nezávislými orgány prováděné řízení, ve kterém budou vyšetřovány veškeré stížnosti a spory předkládané fyzickými osobami a bude o nich rozhodnuto s odvoláním na zásady a bude přiznána náhrada škody v případech, ve kterých to stanoví platné právo nebo iniciativy soukromého sektoru; b) následné postupy, kterými se ověřuje, zda osvědčení a tvrzení podniků o jejich opatřeních na ochranu soukromí jsou pravdivá a že tato opatření jsou prováděna tak, jak se uvádí; a c) povinnost odstranit problémy vzniklé v důsledku nedodržení zásad organizacemi, které prohlásily, že je přijímají, jakož i odpovídající sankce pro takové organizace. Sankce musí být dostatečně přísné, aby bylo zajištěno, že organizace budou tyto zásady dodržovat. [1] Není nutné oznamovat nebo poskytovat možnost volby, jestliže jsou údaje zpřístupněny třetí straně, která je pověřená plněním úkolů jménem organizace a jedná podle jejích pokynů. Zásada dalšího předání však platí i v tomto případě. [2] Není nutné oznamovat nebo poskytovat možnost volby, jestliže jsou údaje zpřístupněny třetí straně, která je pověřená plněním úkolů jménem organizace a jedná podle jejích pokynů. Zásada dalšího předání však platí i v tomto případě. -------------------------------------------------- PŘÍLOHA II ČASTO KLADENÉ OTÁZKY (FREQUENTLY ASKED QUESTIONS, FAQ) FAQ 1 — Citlivé údaje Ot.: Musí organizace u citlivých údajů vždy poskytnout možnost výslovné volby (svolení)? Odp.: Ne, taková možnost volby se nevyžaduje, pokud je zpracování (1) v životně důležitém zájmu subjektu údajů nebo jiné osoby; (2) nezbytné pro uplatnění právních nároků nebo pro obhajobu; (3) nezbytné k poskytnutí zdravotní péče nebo určení diagnózy; (4) prováděno v rámci zákonné činnosti nadace, sdružení nebo jakékoli jiné neziskové organizace s politickým, filozofickým, náboženským nebo odborářským zaměřením a za podmínky, že se zpracování týká výhradně členů této organizace nebo osob, které s ní jsou v pravidelném kontaktu v souvislosti s jejími cíli a že údaje nebudou předány třetím osobám bez souhlasu subjektů údajů; (5) nezbytné pro splnění povinností této organizace vyplývajících z pracovního práva; nebo (6) pokud se týká údajů, které dotčená fyzická osoba prokazatelně zveřejnila. FAQ 2 –Výjimky pro novinářskou činnost Ot.: Vzhledem ke svobodě tisku zaručené ústavou Spojených států a k výjimce pro novinářské materiály uvedené ve směrnici, použijí se zásady "bezpečného přístavu" na osobní údaje, které se shromažďují, uchovávají nebo rozšiřují pro novinářské účely? Odp.: Tam, kde se právo na svobodný tisk zakotvené v Prvním dodatku k Ústavě Spojených států střetává se zájmy na ochraně soukromí, musí vyvážení těchto zájmů, pokud jde o činnost fyzických či právnických osob ve Spojených státech, upravovat První dodatek. Na osobní údaje, které se shromažďují za účelem zveřejnění, rozhlasového či televizního vysílání nebo jiných způsobů veřejného sdělování novinářských materiálů, bez ohledu na to, zda jsou skutečně použity, jakož i na informace nalezené v dříve uveřejněných materiálech pocházejících z mediálních archívů se zásady "bezpečného přístavu" nevztahují. FAQ 3 — Druhotná odpovědnost Ot.: Nesou odpovědnost podle zásad "bezpečného přístavu" poskytovatelé internetových služeb (Internet service providers, ISP), telekomunikační společnosti nebo jiné organizace, jestliže pouze přenášejí, přesměrovávají, přepojují nebo dočasně ukládají jménem jiných organizací informace, které mohou porušovat ustanovení těchto zásad? Odp.: Ne. Stejně jako samotná směrnice, ani zásady "bezpečného přístavu" nezakládají druhotnou odpovědnost. Organizace není odpovědná v rozsahu, v němž pouze dále předává údaje přenášené třetími osobami a neurčuje účel ani prostředky zpracování těchto osobních údajů. FAQ 4 — Investiční bankovnictví a audity Ot.: Činnost auditorů a investičních bankéřů může zahrnovat zpracovávání osobních údajů bez souhlasu či vědomí dotčené fyzické osoby. Za jakých okolností je to slučitelné se zásadami oznamovací povinnosti, možnosti volby a práva na přístup? Odp.: Investiční bankéři nebo auditoři smějí zpracovávat osobní údaje bez vědomí dotčené fyzické osoby pouze v rozsahu nezbytném a po dobu nezbytnou pro splnění zákonných požadavků nebo požadavků vyplývajících z veřejného zájmu a v dalších případech, v nichž by uplatněním těchto zásad byly dotčeny oprávněné zájmy organizace. Mezi takové oprávněné zájmy patří kontrola dodržování zákonných povinností společnostmi a sledování účetnictví a potřeba zachování důvěrnosti související s případnými akvizicemi, fúzemi, společnými podniky nebo jinými podobnými transakcemi, které provádějí investiční bankéři nebo auditoři. FAQ 5 — Úloha orgánů pro ochranu údajů Ot.: Jak mohou společnosti, které se zaváží ke spolupráci s Orgány pro ochranu údajů v Evropské unii (DPA), tyto závazky přijmout a jak se budou provádět? Odp.: Podle zásad "bezpečného přístavu" se musí organizace usazené ve Spojených státech, které získávají osobní údaje z EU, zavázat, že budou využívat účinné mechanismy, aby bylo zajištěno dodržování zásad "bezpečného přístavu". Jak je konkrétněji uvedeno v zásadě prosazování, patří sem: a) opravné prostředky určené fyzickým osobám, jichž se údaje týkají, b) následné postupy pro ověření, zda jejich osvědčení a tvrzení o postupech při ochraně soukromí jsou pravdivá, a c) povinnost organizací napravit problémy vzniklé v důsledku nedodržení zásad "bezpečného přístavu" a přijmout příslušné sankce za porušení těchto zásad. Má se za to, že organizace splňuje ustanovení písmen a) a c) zásady prosazování, jestliže splňuje požadavky této FAQ pro spolupráci s orgány pro ochranu údajů. Organizace se může zavázat ke spolupráci s orgány pro ochranu údajů ve svém osvědčení, že přijímá zásady "bezpečného přístavu", které adresuje Ministerstvu obchodu Spojených států (viz FAQ 6 o tomto vlastním osvědčení), a to prohlášením, ve kterém uvede, že: 1. se rozhodla splnit požadavky uvedené pod písmeny a) a (c) zásady prosazování "bezpečného přístavu" tím, že se zavazuje ke spolupráci s orgány pro ochranu údajů; 2. bude spolupracovat s orgány pro ochranu údajů při vyšetřování a řešení stížností vznesených s odvoláním na zásady "bezpečného přístavu" a 3. podrobí se doporučení příslušných orgánů pro ochranu údajů v případě, že tyto orgány dojdou k názoru, že organizace musí podniknout konkrétní opatření, aby splnila zásady "bezpečného přístavu", včetně opatření vedoucích k nápravě nebo odškodnění ve prospěch fyzických osob, které byly poškozeny v důsledku nedodržení těchto zásad, a poskytne orgánům pro ochranu údajů písemné potvrzení, že takové opatření provedla. Spolupráce ze strany orgánů pro ochranu údajů má podobu informací a doporučení a probíhá tímto způsobem: - orgány pro ochranu údajů poskytují doporučení prostřednictvím svého neformálního orgánu vytvořeného na úrovni Evropské unie, jehož úkolem bude mimo jiné napomáhat zajišťovat harmonizovaný a soudržný přístup, - tento orgán bude poskytovat rady dotčeným organizacím ve Spojených státech v případě nevyřešených stížností fyzických osob na nakládání s osobními údaji, které byly předány z Evropské unie v rámci "bezpečného přístavu". Doporučení mají zajistit, aby zásady "bezpečného přístavu" byly uplatňovány správně, a budou zahrnovat veškeré opravné prostředky ve prospěch dotčené fyzické osoby (osob), jež orgány pro ochranu údajů budou považovat za přiměřené, - tento orgán bude poskytovat rady na základě žádostí dotčených organizací nebo stížností přijatých přímo od fyzických osob na organizace, které se zavázaly ke spolupráci s orgány pro ochranu údajů pro účely "bezpečného přístavu", přičemž bude tyto fyzické osoby povzbuzovat a v případě nutnosti jim napomáhat k tomu, aby nejdříve využily vnitřních mechanismů pro vyřizování stížností, které daná organizace nabízí, - doporučení se budou vydávat teprve poté, co byla oběma stranám sporu poskytnuta dostatečná příležitost zaujmout stanovisko a předložit veškeré důkazy, které si přejí uvést. Orgán se bude snažit poskytnout doporučení v co nejkratší době, jak jen to požadavek řádného procesu umožní. Zpravidla se tento orgán bude snažit poskytnout doporučení do 60 dnů od přijetí stížnosti nebo žádosti, a pokud to bude možné, rychleji, - orgán zveřejní výsledky svého vyšetřování předložených stížností, pokud to bude považovat za vhodné, - poskytování doporučení tímto orgánem nezakládá žádnou odpovědnost orgánu ani jednotlivých orgánů pro ochranu údajů. Jak bylo uvedeno výše, organizace, které se rozhodnou využít pro řešení sporů této možnosti, se musí zavázat, že se podrobí doporučení orgánů pro ochranu údajů. Jestliže se organizace nepodrobí doporučení do 25 dnů od jeho doručení a zpoždění uspokojivě nevysvětlí, orgán vytvořený orgány pro ochranu údajů oznámí svůj záměr buď předložit věc americké Federal Trade Commission či jinému federálnímu nebo státnímu orgánu Spojených států se zákonnými pravomocemi k výkonu rozhodnutí v případech podvodu nebo zkresleného prohlášení, nebo konstatovat, že dohoda o spolupráci byla závažným způsobem porušena, a musí být proto považována za neplatnou. V posledně jmenovaném případě informuje orgán Ministerstvo obchodu Spojených států (nebo jeho zmocněnce), aby mohl být seznam organizací náležejících k "bezpečnému přístavu" odpovídajícím způsobem změněn. Jakékoli nesplnění závazku spolupracovat s orgány pro ochranu údajů, jakož i nedodržení zásad "bezpečného přístavu" je žalovatelné jako klamavé praktiky podle oddílu 5 FTC Act Spojených států nebo jiných podobných zákonů. Organizace, které se rozhodnou pro tuto možnost, budou povinny platit roční poplatek určený na krytí provozních nákladů orgánu vytvořeného orgány pro ochranu údajů a mohou být navíc požádány, aby uhradily náklady na veškeré potřebné překlady vyplývající z poradenské činnosti orgánu v souvislosti s vyšetřováním žádostí nebo stížností podaných proti nim. Roční poplatek nepřesáhne 500 USD a pro menší společnosti bude nižší. Možnost spolupráce s orgány pro ochranu údajů bude dostupná organizacím, které se připojí k zásadám "bezpečného přístavu", po dobu tří let. Orgány pro ochranu údajů opětovně posoudí před uplynutím tohoto období toto ujednání, jestliže se ukáže, že počet organizací ve Spojených státech, které se rozhodly pro tuto možnost, je příliš vysoký. FAQ 6 — Vlastní osvědčení Ot.: Jakým způsobem organizace sama osvědčí, že přijímá zásady "bezpečného přístavu"? Odp.: Výhody plynoucí z "bezpečného přístavu" jsou zajištěny ode dne, ve kterém organizace sama osvědčí Ministerstvu obchodu Spojených států (nebo jeho zmocněnci), že přijímá tyto zásady v souladu s níže uvedenými pokyny. Za účelem vlastního osvědčení o přijetí zásad "bezpečného přístavu" poskytne organizace Ministerstvu obchodu Spojených států (nebo jeho zmocněnci) dopis podepsaný vedoucím pracovníkem jménem organizace, v němž musí být uvedeny alespoň následující informace: 1. název organizace, poštovní adresa, e-mailová adresa, číslo telefonu a faxu; 2. popis činnosti organizace v souvislosti s osobními údaji přijímanými z EU; 3. popis ustanovení na ochranu soukromí u dané organizace uplatňovaných pro takové osobní údaje, obsahující: a) údaj o tom, kde jsou tato ustanovení přístupná k nahlédnutí veřejnosti, b) datum, kdy nabyla účinnosti, c) kontaktní místo pro vyřizování stížností, žádostí o přístup k informacím a dalších záležitostí vyplývajících z "bezpečného přístavu", d) konkrétní orgán zřízený zákonem, který je příslušný projednávat stížnosti na organizaci ohledně případných nekalých nebo klamavých praktik a porušení předpisů na ochranu soukromí (a který je uveden v příloze k zásadám "bezpečného přístavu"), e) název případných programů na ochranu soukromí, jichž se organizace účastní, f) způsob ověřování (např. vnitřní, prostřednictvím třetí osoby) [1] a g) nezávislé odvolací řízení, v rámci něhož lze vyšetřit nevyřešené stížnosti. Pokud si organizace přeje rozšířit výhody plynoucí z "bezpečného přístavu" na údaje o lidských zdrojích předávané z EU pro využití v rámci zaměstnaneckých vztahů, může tak učinit, jestliže existuje orgán zřízený zákonem, který je příslušný projednávat stížnosti na organizaci ohledně těchto údajů o lidských zdrojích a který je uveden v příloze k zásadám. Organizace musí navíc uvést tuto skutečnost ve vlastním osvědčení a zavázat se ke spolupráci s příslušným(i) orgánem (orgány) v EU v souladu s použitelnými ustanoveními FAQ 9 a FAQ 5 a k tomu, že bude dodržovat doporučení vydaná takovými orgány. Ministerstvo (nebo jeho zmocněnec) povede seznam všech organizací, které vydají takové osvědčení a kterým tak náleží výhody "bezpečného přístavu", a bude takovýto seznam aktualizovat na základě každoročních dopisů obsahujících osvědčení a oznámení a přijatých podle FAQ 11. Takové dopisy obsahující vlastní osvědčení musí být zasílány alespoň jednou ročně. V opačném případě bude organizace odstraněna ze seznamu a nebudou jí již nadále náležet výhody vyplývající z "bezpečného přístavu". Jak tento seznam, tak dopisy obsahující vlastní osvědčení zaslané organizacemi budou zpřístupněnyveřejnosti. Všechny organizace, které učiní vlastní osvědčení k zásadám "bezpečného přístavu", musí ve svých příslušných zveřejněných prohlášeních týkajících se opatření na ochranu soukromí uvést, že přijímají zásady "bezpečného přístavu". Závazek přijímat zásady "bezpečného přístavu" není časově omezen ve vztahu k údajům, které organizace obdržela v době, ve které požívá výhod "bezpečného přístavu". Tento závazek znamená, že se na takové údaje nadále vztahují zásady "bezpečného přístavu" tak dlouho, dokud je organizace uchovává, používá nebo předává, a to i v případě, že následně z jakéhokoli důvodu "bezpečný přístav" opustí. Organizace, která přestane existovat jako samostatná právnická osoba v důsledku fúze nebo převzetí, to musí předem oznámit Ministerstvu obchodu Spojených států (nebo jeho zmocněnci). Toto oznámení by mělo rovněž obsahovat údaj o tom, zda přebírající subjekt nebo subjekt vzniklý fúzí (1) bude nadále podle práva, podle něhož se převzetí nebo fúze uskutečnily, vázán zásadami "bezpečného přístavu" nebo (2) se rozhodne sám vydat osvědčení, že přijímá zásady "bezpečného přístavu", nebo poskytne jiná ochranná opatření, jako např. písemnou dohodu zajišťující dodržování zásad "bezpečného přístavu". Neuplatní-li se ani bod (1) ani bod (2), musí být neprodleně vymazány veškeré údaje, které byly získány v rámci "bezpečného přístavu". Organizace nemusí uplatňovat na veškeré osobní informace bez rozdílu zásady "bezpečného přístavu", ale musí je uplatňovat na veškeré osobní údaje, které obdržela z Evropské unie poté, co přistoupila k "bezpečnému přístavu". Jakákoli zkreslená prohlášení vůči veřejnosti o tom, že organizace uplatňuje zásady "bezpečného přístavu", mohou být žalována Federal Trade Commission nebo jiným příslušným orgánem veřejné správy. Zkreslená prohlášení vůči Ministerstvu obchodu Spojených států (nebo jeho zmocněnci) mohou být žalována podle False Statements Act (18 U. S. C. § 1001). FAQ 7 — Ověřování Ot.: Podle jakých následných postupů organizace ověřují, že osvědčení a tvrzení o jejich opatřeních na ochranu soukromí v rámci "bezpečného přístavu" jsou pravdivá a že se tato opatření provádějí skutečně tak, jak je v nich uvedeno a v souladu se zásadami "bezpečného přístavu"? Odp.: Organizace, aby splnila požadavky na ověřování podle zásady prosazování, může taková osvědčení a tvrzení ověřit buď sama, nebo nechat provést kontrolu externí osobou. V případě posuzování prováděného samotnou organizací musí být takovým ověřením zjištěno, že zveřejněná opatření organizace na ochranu soukromí u osobních údajů získaných z EU jsou přesná, úplná, oznámená na viditelném místě, plně provedená a přístupná. Dále musí být zjištěno, že tato opatření na ochranu soukromí jsou v souladu se zásadami "bezpečného přístavu"; že fyzické osoby jsou informovány o vnitřních postupech pro vyřizování stížností a o nezávislých mechanismech, jejichž prostřednictvím mohou podávat své stížnosti; že organizace má své postupy pro školení zaměstnanců v provádění těchto opatření a že postihuje nedodržování těchto opatření; a že má vnitřní postupy pro pravidelnou objektivní kontrolu dodržování výše uvedených opatření. Prohlášení ověřující posuzování prováděné samotnou organizací musí podepsat vedoucí pracovník nebo jiný zmocněný zástupce organizace alespoň jednou ročně a musí být poskytnuto na žádost fyzických osob nebo v souvislosti s vyšetřováním nebo stížností na nedodržování předpisů. Organizace musí uchovávat záznamy o provádění svých opatření na ochranu soukromí vytvořených podle zásad "bezpečného přístavu" a na žádost v souvislosti s vyšetřováním nebo stížností na nedodržování předpisů je musí poskytnout nezávislému orgánu odpovědnému za vyšetřování stížností nebo orgánu, který je příslušný rozhodovat v případech nekalých a klamavých praktik. Pokud se organizace rozhodne pro externí kontrolu dodržování, musí tato kontrola prokázat, že opatření organizace na ochranu soukromí u osobních údajů získaných z EU jsou v souladu se zásadami "bezpečného přístavu", že se dodržují a že fyzické osoby jsou informovány o způsobech, kterými mohou podávat stížnosti. Metody kontroly mohou bez omezení zahrnovat audit, namátkové kontroly, použití "návnady" nebo popřípadě použití technologických nástrojů. Prohlášení osvědčující úspěšné provedení externí kontroly musí být podepsáno buď kontrolující osobou,nebo vedoucím pracovníkem či jiným zmocněným zástupcem organizace alespoň jednou ročně a musí býtposkytnuto na žádost fyzických osob nebo v souvislosti s vyšetřováním nebo stížností na nedodržování zásad. FAQ 8 — Právo na přístup Zásada práva na přístup: Fyzické osoby musí mít přístup k osobním údajům, které o nich organizace uchovává, a musí mít možnost opravit, pozměnit nebo vymazat ty, které jsou nepřesné, ledaže by s tím spojená zátěž nebo náklady na poskytnutí přístupu nebyly v daném případě úměrné ohrožení soukromí fyzické osoby nebo by byla porušena práva třetích osob. Ot. 1: Je právo na přístup absolutní? Odp. 1: Ne. Podle zásad "bezpečného přístavu" má právo na přístup zásadní význam pro ochranu soukromí. Konkrétně umožňuje fyzickým osobám ověřovat správnost o nich uchovávaných informací. Nicméně povinnost organizace poskytovat přístup k osobním údajům, které uchovává o fyzických osobách, podléhá zásadě proporcionality nebo únosnosti a v určitých případech musí být zmírněna. Důvodová zpráva ke Směrnicím OECD o ochraně soukromí z roku 1980 vskutku jasně stanoví, že povinnost organizace poskytnout přístup není absolutní. Nepožaduje mimořádně důkladné vyhledávání, jaké se vyžaduje např. při soudním vyšetřování, ani nepožaduje umožnit přístup ke všem různým formám, v nichž mohou být údaje v organizaci uloženy. Zkušenosti spíše ukazují, že požaduje-li někdo přístup k údajům, které jsou o něm uchovávány, organizace by se měly řídit především důvodem či důvody, které k žádosti vedly. Například, je-li žádost neurčitá nebo týká-li se příliš široké oblasti, může organizace navázat s danou osobou rozhovor, aby lépe porozuměla motivu její žádosti a nalezla požadované údaje. Organizace se může dotazovat, se kterou její organizační složkou (složkami) byla osoba v kontaktu, nebo jaká je povaha (nebo využití) údajů, které jsou předmětem žádosti o poskytnutí přístupu. Fyzické osoby však nejsou povinny své žádosti o poskytnutí přístupu k vlastním údajům zdůvodňovat. Náklady a zátěž představují důležité hledisko a musí být brány v úvahu, avšak nejsou rozhodující pro určení toho, zda je poskytnutí přístupu únosné. Například, jestliže se informace využívají při rozhodnutích, která mají na fyzickou osobu podstatný dopad (např. zamítnutí či přiznání důležitých výhod, jako je pojištění, hypotéka nebo zaměstnání), pak je v souladu s ostatními ustanoveními těchto FAQ organizace povinna tyto informace předat i v případě, že je to relativně obtížné nebo nákladné. Nejsou-li požadované informace citlivé nebo se nevyužívají při rozhodnutích, která mají na fyzickou osobu podstatný dopad (např. necitlivé marketingové údaje, podle nichž se rozhoduje, zda fyzické osobě bude zaslán katalog), avšak jsou-li snadno dostupné a není-li jejich poskytnutí nákladné, pak je organizace povinna poskytnout přístup k faktickým údajům, které o dané fyzické osobě uchovává. Takové informace mohou zahrnovat údaje získané od samotné fyzické osoby, údaje shromážděné během nějaké transakce nebo údaje získané od třetích osob, které k ní mají nějaký vztah. Vzhledem k tomu, že právo na přístup je jako takové základem ochrany soukromí, měly by se organizace vždy v dobré víře snažit, aby byl přístup poskytnut. Například, pokud je třeba určité informace chránit a lze je snadno oddělit od jiných informací, které jsou předmětem žádosti o poskytnutí přístupu, organizace by měla chráněné informace oddělit a ostatní informace dát k dispozici. Jestliže organizace rozhodne, že v některém konkrétním případě je nutno přístup zamítnout, musí podat fyzické osobě požadující přístup vysvětlení, proč takto rozhodla, a uvést kontaktní místo, které podá další informace. Ot. 2: Co jsou důvěrné obchodní informace a smějí organizace zamítnout přístup k osobním údajům v zájmu jejich ochrany? Odp. 2: Důvěrné obchodní informace (ve Federal Rules of Civil Procedure on discovery označované jako "confidential commercial information") jsou informace, jejichž zveřejnění se organizace brání zvláštními opatřeními, protože takové zveřejnění by zvýhodnilo konkurenta na trhu. Důvěrné obchodní informace může představovat konkrétní počítačový program používaný organizací, např. program pro modelování, nebo podrobnosti tohoto programu. Pokud lze důvěrné obchodní informace snadno oddělit od jiných informací, které jsou předmětem žádosti o poskytnutí přístupu, organizace by měla důvěrné obchodní informace oddělit a informace, které nejsou důvěrné, dát k dispozici. Organizace mohou zamítnout nebo omezit přístup v tom rozsahu, v jakém by jeho poskytnutí odhalilo jejich vlastní důvěrné obchodní informace ve smyslu výše uvedeném, jako např. marketingové závěry nebo klasifikace vytvořené organizací, nebo důvěrné obchodní informace jiného subjektu, na které se vztahuje povinnost utajení vyplývající ze smlouvy, pokud by byla taková povinnost utajení za daných okolností obvyklá nebo uložená. Ot. 3: Může organizace při poskytování přístupu poskytnout fyzickým osobám pouze osobní informace o nich, odvozené ze svých databází nebo musí poskytnout přístup k databázím samotným? Odp. 3: Poskytnutí přístupu může mít formu poskytnutí informací o uchovávaných údajích fyzické osobě, a nevyžaduje se, aby fyzická osoba získala přístup k databázi organizace. Ot. 4: Musí organizace své databáze restrukturalizovat, aby mohla poskytnout přístup k údajům? Odp. 4: Organizace musí poskytnout přístup pouze v rozsahu, v jakém informace uchovává. Zásada práva na přístup nevytváří sama o sobě žádnou povinnost uchovávat, udržovat, reorganizovat nebo restrukturalizovat soubory s osobními informacemi. Ot. 5: Tyto odpovědi jasně dokládají, že za určitých okolností lze přístup zamítnout. Za jakých dalších okolností může organizace zamítnout zpřístupnění osobních informací fyzické osobě? Odp. 5: Takové okolnosti jsou omezené a důvody pro zamítnutí přístupu musí být vždy konkrétně uvedeny. Organizace může odmítnout poskytnout přístup k informacím v rozsahu, v němž by jejich zveřejnění pravděpodobně ohrozilo důležité veřejné zájmy, jako je např. bezpečnost státu, obrana nebo veřejná bezpečnost. Přístup lze zamítnout dále v případech, ve kterých se osobní informace zpracovávají výhradně pro výzkumné nebo statistické účely. Další důvody pro zamítnutí nebo omezení přístupu jsou: a) narušení výkonu či vynucování práva, včetně prevence, vyšetřování nebo odhalování trestných činů nebo práva na spravedlivý proces; b) narušení občanskoprávního řízení, včetně prevence, vyšetřování nebo sledování právních nároků nebo práva na spravedlivý proces; c) zveřejnění osobních informací, které obsahují odkazy na jinou fyzickou osobu (osoby), jestliže se tyto odkazy nedají upravit; d) porušení zákonného nebo jiného profesního práva nebo povinnosti; e) porušení nezbytné důvěrnosti budoucích nebo probíhajících jednání, jako např. při převzetí veřejně obchodovatelných společností; f) narušení bezpečnostních prověrek zaměstnanců nebo postupů pro předkládání stížností; g) narušení důvěrnosti, která může být po omezenou dobu nezbytná v souvislosti s plánováním nového obsazení pracovních míst a s reorganizací společnosti; h) narušení důvěrnosti, která může být nezbytná v souvislosti se sledováním, kontrolou nebo jinými zákonem předepsanými regulačními funkcemi souvisejícími se řádným hospodářským nebo finančním řízením; nebo i) jiné okolnosti, za nichž by zátěž nebo náklady na poskytnutí přístupu byly neúměrné nebo za nichž by byla porušena práva nebo oprávněné zájmy jiných osob. Organizace, která se odvolává na výjimku, má povinnost prokázat, že se na ni vztahuje (což je zpravidla daný případ). Jak bylo výše uvedeno, fyzické osobě musí být sděleny důvody zamítnutí nebo omezení přístupu a kontaktní místo, které podá další informace. Ot. 6: Může organizace uložit poplatek na krytí nákladů za poskytnutí přístupu? Odp. 6: Ano. Směrnice OECD připouštějí, že organizace mohou uložit poplatek za předpokladu, že nebude přemrštěný. Organizace tedy mohou uložit přiměřený poplatek za poskytnutí přístupu. Uložení poplatku může být užitečné jako odrazující prostředek vůči opakovaným a kverulantským žádostem. Organizace, které se zabývají prodejem veřejně dostupných informací, mohou tedy za zodpovězení žádostí o poskytnutí přístupu uložit svůj obvyklý poplatek. Fyzické osoby mohou eventuálně žádat o přístup ke svým informacím organizaci, která je původně shromáždila. Přístup nesmí být odmítnut z důvodů vysokých nákladů, jestliže je fyzická osoba ochotna tyto náklady uhradit. Ot. 7: Je organizace povinna poskytnout přístup k osobním informacím získaným z veřejných záznamů? Odp. 7: Nejprve pro ujasnění pojmu: veřejné záznamy jsou takové záznamy, které vedou vládní orgány nebo jiné subjekty na jakékoli úrovni a které jsou obecně přístupné veřejnosti za účelem nahlédnutí. Na takové informace není nutné uplatňovat zásadu práva na přístup, pokud nejsou kombinovány s jinými osobními informacemi, s výjimkou případů, kdy se malé množství informací z neveřejných záznamů používá pro indexování nebo uspořádání informací z veřejných záznamů. Je však nutno dbát na zachování podmínek, které pro nahlížení do záznamů stanovily příslušné orgány. Avšak v případech, kdy jsou informace z veřejných záznamů kombinovány s jinými informacemi z neveřejných záznamů (jinými než je uvedeno výše), musí organizace poskytnout přístup k veškerým takovým informacím, pokud se na ně nevztahují jiné povolené výjimky. Ot. 8: Uplatní se zásada práva na přístup na veřejně dostupné osobní informace? Odp. 8: Stejně jako u informací z veřejných záznamů (viz ot. 7), není nutné poskytovat přístup k informacím, které jsou již veřejně dostupné široké veřejnosti, pokud nejsou kombinovány s informacemi, jež nejsou veřejně dostupné. Ot. 9: Jak se může organizace chránit před opakovanými nebo kverulantskými žádostmi o přístup? Odp. 9: Organizace nemusí na takové žádosti o přístup reagovat. Z tohoto důvodu mohou organizace uložit přiměřený poplatek a přiměřeně omezit počet žádostí o přístup od jedné osoby, které lze v daném časovém období uspokojit. Při stanovování takových omezení by měla organizace brát v úvahu takové faktory, jako je četnost aktualizace informací, účel, k němuž jsou údaje využívány, a povaha informací. Ot. 10: Jak se může organizace chránit před podvodnými žádostmi o přístup? Odp. 10: Organizace není povinna poskytnout přístup, dokud neobdrží dostatečné informace, podle nichž by mohla potvrdit totožnost žadatele. Ot. 11: Existuje lhůta, v jejímž rámci je nutno na žádosti o poskytnutí přístupu odpovědět? Odp. 11: Ano, organizace by měly odpovídat bez nadměrného prodlení a v přiměřené časové lhůtě. Tento požadavek lze splnit různými způsoby, jak uvádí důvodová zpráva ke směrnicím OECD o ochraně soukromí z roku 1980. Například správce údajů, který podává subjektům údajů informace pravidelně, může být osvobozen od povinnosti okamžitě odpovídat na jednotlivé žádosti. FAQ 9 — Lidské zdroje Ot. 1: Pokrývají zásady "bezpečného přístavu" předávání osobních údajů z EU do Spojených států shromážděných v souvislosti se zaměstnaneckými vztahy? Odp. 1: Ano, pokud společnost usazená v EU předává osobní údaje o svých zaměstnancích (bývalých nebo současných) shromážděné v souvislosti se zaměstnaneckými vztahy mateřské, přidružené nebo nikoli přidružené společnosti, která poskytuje služby ve Spojených státech a přijímá zásady "bezpečného přístavu", požívá předávání výhod "bezpečného přístavu". V takových případech podléhá shromažďování a zpracovávání informací před jejich předáním vnitrostátním právním předpisům toho členského státu EU, ve kterém jsou shromažďovány, a musí být dodržovány veškeré podmínky pro předávání nebo omezení předávání vyplývající z těchto předpisů. Zásady "bezpečného přístavu" se uplatní, pouze pokud se předávají nebo zpřístupňují záznamy o určených fyzických osobách. Statistické výkazy zakládající se na agregovaných údajích o zaměstnancích nebo využívání anonymních nebo pseudonymních údajů nepředstavují ohrožení soukromí. Ot. 2: Jak se na takové informace uplatní zásada oznamovací povinnosti a možnosti volby? Odp. 2: Organizace ve Spojených státech, která přijala informace o zaměstnancích z EU v rámci "bezpečného přístavu", smí tyto informace sdělovat třetím osobám nebo je používat pro jiné účely pouze v souladu se zásadami oznamovací povinnosti a možnosti volby. Například, pokud organizace hodlá využít osobní informace shromážděné v rámci zaměstnaneckého vztahu pro účely nesouvisející se zaměstnáním, jako například pro marketingová sdělení, musí organizace ve Spojených státech předem poskytnout dotčeným fyzickým osobám možnost volby, ledaže již dříve souhlasily s využitím informací pro takové účely. Taková volba navíc nesmí být důvodem k omezení pracovních příležitostí nebo k sankcím vůči takovým zaměstnancům. Je nutno upozornit na skutečnost, že určité všeobecně platné podmínky pro předávání údajů z některých členských států mohou vyloučit jiné využití takových informací i po uskutečnění jejich předání do zemí mimo EU; takové podmínky je nutno dodržovat. Zaměstnavatelé by dále měli vynaložit přiměřené úsilí, aby vyhověli individuálním potřebám zaměstnanců ohledně ochrany soukromí. Může jít například o omezení přístupu k údajům, zavedení anonymity pro určité údaje nebo přidělení kódů či pseudonymů, pokud skutečná jména nejsou pro účel řízení potřebná. V rozsahu a po dobu nezbytnou k zachování oprávněných zájmů organizace je při povyšování, jmenování nebo jiných podobných personálních rozhodnutích organizace od oznamovací povinnosti a od povinnosti umožnit volbu osvobozena. Ot. 3: Jak se uplatňuje zásada práva na přístup? Odp. 3: V odpovědích na FAQ o právu na přístup je uvedeno, z jakých důvodů může být zamítnut nebo omezen požadovaný přístup k informacím o lidských zdrojích. Zaměstnavatelé v Evropské unii musí samozřejmě dodržovat místní právní předpisy a zajistit, aby zaměstnanci z Evropské unie měli takový přístup k těmto informacím, jaký požadují právní předpisy v jejich zemích, bez ohledu na to, kde jsou tyto údaje zpracovávány a uchovávány. Zásady "bezpečného přístavu" požadují, aby organizace, která takové údaje zpracovává ve Spojených státech, spolupracovala při poskytování takového přístupu buď přímo nebo prostřednictvím zaměstnavatele z EU. Ot. 4: Jak může zaměstnanec prosazovat práva týkající se jeho údajů podle zásad "bezpečného přístavu"? Odp. 4: Pokud se tyto informace využívají pouze v rámci zaměstnaneckého vztahu, nese vůči zaměstnanci hlavní odpovědnost za údaje nadále společnost usazená v EU. Z toho plyne, že pokud si evropští zaměstnanci stěžují na porušování svých práv na ochranu údajů a nejsou spokojeni s výsledky vnitřní kontroly, řízení o stížnosti a odvolacího řízení (nebo jiných postupů pro předkládání pracovních stížností použitelných podle kolektivní smlouvy), měli by se obrátit na příslušný státní nebo federální orgán pro ochranu údajů nebo orgán příslušný pro pracovněprávní záležitosti v zemi, ve které jsou zaměstnáni. To platí i v případech, kdy k údajnému zneužití jejich osobních informací došlo ve Spojených státech a odpovědnost nese organizace ve Spojených státech, která informace od zaměstnavatele obdržela, a nikoli zaměstnavatel, jde tedy o údajné porušení zásad "bezpečného přístavu", a nikoli o porušení vnitrostátních právních předpisů, jimiž se provádí směrnice. Tímto způsobem se nejúčinněji vyřeší, jak uvést do souladu často se navzájem překrývající práva a povinnosti stanovené místním pracovním právem a kolektivními smlouvami, jakož i a právem na ochranu údajů. Organizace ve Spojených státech, která přistoupila k zásadám "bezpečného přístavu", která využívá údaje v oblasti lidských zdrojů předávané z Evropské unie v rámci zaměstnaneckého vztahu a která si přeje, aby se na taková předávání vztahovaly zásady "bezpečného přístavu", se tedy musí zavázat, že bude v takových případech spolupracovat při vyšetřováních prováděných příslušnými orgány EU a že se podřídí jejich doporučení. Orgány pro ochranu údajů, které souhlasily s tímto druhem spolupráce, o tom informují Evropskou komisi a Ministerstvo obchoduSpojených států. Jestliže si organizace ve Spojených státech, která přistoupila k zásadám "bezpečného přístavu", přeje předávat údaje v oblasti lidských zdrojů z členského státu, jehož orgán pro ochranu údajů s takovou spoluprací nesouhlasil, použije se ustanovení FAQ 5. FAQ 10 — Smlouvy podle článku 17 Ot.: Jestliže dochází k předávání údajů z EU do Spojených států pouze za účelem jejich zpracování, je nutné uzavřít smlouvu bez ohledu na účast zpracovatele na zásadách "bezpečného přístavu"? Odp.: Ano. Správci údajů v Evropské unii musí vždy při předání za účelem pouhého zpracování údajů uzavřít smlouvu, bez ohledu na to, zda ke zpracování dochází v EU nebo mimo ni. Cílem smlouvy je ochrana zájmů správce údajů, tedy fyzické či právnické osoby, která určuje účel a prostředky zpracování a která nese plnou odpovědnost za údaje vůči dotčené fyzické osobě (osobám). Smlouva tedy blíže určuje zpracování, které má být prováděno, a veškerá opatření nezbytná k zajištění bezpečnosti údajů. Organizace ve Spojených státech, která přijala zásady "bezpečného přístavu" a která získává osobní informace z EU pouze za účelem zpracování, tedy nemusí na takové informace tyto zásady uplatňovat, protože v souladu s příslušnými právními předpisy EU (které mohou být přísnější než odpovídající zásady "bezpečného přístavu") za ně vůči dotčené fyzické osobě zůstává odpovědným správce údajů v EU. Protože organizace, které náležejí k "bezpečnému přístavu", poskytují odpovídající ochranu údajů, nemusí být smlouvy uzavírané s organizacemi náležejícími k "bezpečnému přístavu" o pouhém zpracování údajů předem schvalovány (nebo bude takové schválení poskytnuto členskými státy automaticky), jak by to bylo vyžadováno u smluv uzavíraných s příjemci, kteří nenáleží k "bezpečnému přístavu" nebo jinak neposkytují odpovídající ochranu. FAQ 11 — Řešení sporů a prosazování Ot.: Jak se v praxi provádějí požadavky na řešení sporů obsažené v zásadě prosazování a jak se řeší soustavné nedodržování zásad "bezpečného přístavu" ze strany organizace? Odp.: Zásada prosazování stanoví, jakým způsobem se vynucuje dodržování zásad "bezpečného přístavu". Jak splnit požadavky bodu b) této zásady je uvedeno ve FAQ o ověřování (FAQ 7). Tato FAQ 11 se věnuje bodům a) a c), které oba vyžadují nezávislé odvolací mechanismy. Tyto mechanismy mohou mít různou podobu, avšak musí splňovat požadavky zásady prosazování. Organizace mohou tyto požadavky splnit některým z těchto způsobů: (1) dodržováním programů na ochranu soukromí vytvořených v soukromém sektoru, které do svých pravidel zahrnují zásady "bezpečného přístavu" a které obsahují účinný donucovací mechanismus, jak je popsán v zásadě prosazování; (2) podřízením se orgánům dozoru vytvořeným na základě zákona nebo nařízení, které zajišťují vyřizování individuálních stížností a řešení sporů; nebo (3) závazkem spolupracovat s orgány pro ochranu údajů nacházejícími se v Evropské unii nebo s jejich zmocněnými zástupci. Zde vyjmenované možnosti představují příklady a výčet není vyčerpávající. Soukromý sektor může vytvořit jiné donucovací mechanismy, pokud splňují požadavky zásady prosazování a těchto FAQ. Je třeba si povšimnout, že požadavky zásady prosazování doplňují požadavky uvedené v odstavci 3 úvodu k zásadám "bezpečného přístavu", podle kterých musí být samoregulační opatření vynutitelná podle článku 5 Federal Trade Commission Act nebo podobného zákona. Odvolací mechanismy Spotřebitelé by měli být povzbuzováni k tomu, aby vznášeli případné stížnosti u příslušných organizací předtím, než se obrátí na nezávislé odvolací orgány. To, zda je takový odvolací orgán nezávislý, je faktická otázka, a lze to prokázat různými způsoby, například jeho transparentním složením a financováním nebo prokazatelným osvědčením odpovídající činnosti. Jak požaduje zásada prosazování, opravné prostředky musí být pro fyzické osoby snadno dostupné a finančně přijatelné. Orgány zabývající se řešením sporů jsou povinny přezkoumat každou stížnost přijatou od fyzických osob, ledaže by stížnosti byly zjevně bezdůvodné nebo nemíněné vážně. To nebrání tomu, aby odvolací orgán stanovil kritéria přípustnosti stížností, avšak taková kritéria musí být transparentní a odůvodněná (mohou například vyloučit stížnosti, které nespadají do oblasti působnosti daného programu na ochranu údajů nebo mají být řešeny jiným subjektem) a nesmí narušovat povinnost zabývat se oprávněnými stížnostmi. Odvolací orgány musí dále fyzickým osobám při podání stížnosti poskytnout úplné a snadno dostupné informace o tom, jak probíhá postup při řešení sporů. Takové informace by měly obsahovat zmínku o praktikách uplatňovaných orgánem při ochraně soukromí v souladu se zásadami "bezpečného přístavu" [2]. Orgány by měly rovněž spolupracovat při rozvoji nástrojů pro usnadnění řízení o stížnostech, jako jsou např. standardizované formuláře pro podávání stížností. Opravné prostředky a sankce Výsledkem využití opravných prostředků, které poskytuje orgán zabývající se řešením sporů, by mělo být to, že organizace následky nedodržení zásad, pokud je to možné, odstraní nebo napraví a že její budoucí zpracování bude v souladu se zásadami, případně bude ukončeno zpracovávání osobních údajů fyzické osoby, která vznesla stížnost. Sankce musí být dostatečně přísné, aby bylo zajištěno, že organizace bude zásady dodržovat. Škála různě přísných sankcí umožní orgánu zabývajícímu se řešením sporů přiměřeně reagovat na různě závažné případy nedodržení zásad. Sankce by měly zahrnovat jak zveřejnění zjištěných případů nedodržení zásad, tak za určitých okolností požadavek na vymazání údajů [3]. Další sankce mohou zahrnovat pozastavení a odnětí možnosti prokazovat se pečetí, náhradu škody vzniklé fyzickým osobám v důsledku nedodržení zásad nebo soudního příkazu. Orgány zabývající se řešením sporů a samoregulační orgány soukromého sektoru musí oznamovat případy, kdy organizace, jež náležejí k "bezpečnému přístavu", nedodržují jejich rozhodnutí, příslušnému orgánu veřejné správy s rozhodovací pravomocí nebo soudům a informovat Ministerstvo obchodu Spojených států (nebo jeho zmocněnce). Činnost FTC FTC se zavázala přednostně projednávat žádosti přijaté od soukromých samoregulačních organizací jako např. BBBOnline nebo TRUSTe a od členských států EU týkající se stížností na nedodržování zásad "bezpečného přístavu" a rozhodovat, zda bylo porušeno ustanovení oddílu 5 FTC Act, který zakazuje nekalé nebo klamavé jednání či praktiky v obchodě. Dojde-li FTC k závěru, že existuje důvodné podezření, že ustanovení oddílu 5 byla porušena, může dosáhnout vydání úředního příkazu k zastavení činnosti, který zakáže sporné praktiky, nebo může podat žalobu u federálního okresního soudu, který — vyhoví-li žalobě — může vydat soudní příkaz se stejným účinkem. FTC může uložit občanskoprávní sankce za porušení úředního příkazu k zastavení činnosti a může postupovat proti neuposlechnutí soudního příkazu federálního soudu občanskoprávní nebo trestněprávní cestou. FTC oznámí Ministerstvu obchodu Spojených států veškeré své podniknuté kroky. Ministerstvo obchodu podněcuje ostatní orgány veřejné správy, aby mu podávaly informace o konečných výsledcích ve všech takových případech nebo o jiných rozhodnutích ve věci dodržování zásad "bezpečného přístavu". Soustavné nedodržování zásad Jestliže organizace soustavně nedodržuje zásady "bezpečného přístavu", ztrácí nárok požívat výhod z něj plynoucích. K soustavnému nedodržování dochází tehdy, když organizace, která sama osvědčila Ministerstvu obchodu Spojených států (nebo jeho zmocněnci) přijetí těchto zásad, se odmítá podřídit konečnému rozhodnutí samoregulačního orgánu nebo orgánu veřejné správy nebo když takový orgán rozhodne, že organizace nedodržuje zásady tak často, že již není věrohodné její tvrzení, že tak činí. V těchto případech musí organizace takové skutečnosti neprodleně oznámit Ministerstvu obchodu Spojených států (nebo jeho zmocněnci). Nesplnění této povinnosti může být žalováno podle False Statements Act (18 U. S. C. § 1001). Ministerstvo obchodu Spojených států (nebo jeho zmocněnec) zaznamená do jím vedeného veřejného seznamu organizací, které samy osvědčují přijetí zásad "bezpečného přístavu", každé oznámení o soustavném nedodržování těchto zásad, ať již je obdrží od organizace samé, od samoregulačního orgánu nebo od orgánu veřejné správy, avšak teprve po uplynutí lhůty třiceti (30) dnů poté, co organizaci, jež neplnila zásady, upozorní a poskytne jí možnost reagovat. Z veřejného seznamu vedeného Ministerstvem obchodu Spojených států (nebo jeho zmocněncem) je tedy zřejmé, které organizace mají a které již nemají zajištěny výhody plynoucí z "bezpečného přístavu". Organizace, která požádá o účast v samoregulačním orgánu za účelem opětovného splnění požadavků "bezpečného přístavu", musí tomuto orgánu poskytnout úplné informace o své předchozí účasti na "bezpečném přístavu". FAQ 12 — Možnost volby — okamžik vyslovení nesouhlasu Ot.: Umožňuje fyzické osobě zásada možnosti volby vykonat právo volby pouze na počátku vztahu nebo kdykoli? Odp.: Obecně je účelem zásady možnosti volby zajistit, aby byly osobní informace používány a předávány způsobem, který je v souladu s očekáváními a volbami dotčené fyzické osoby. V souladu s tím by měla mít taková osoba právo využít možnosti vyslovit nesouhlas s používáním osobních informací pro přímý marketing kdykoli, v rámci přiměřených omezení stanovených organizací, jako je např. poskytnutí času, aby organizace mohla nesouhlas účinně zohlednit. Organizace může též požadovat dostatečné informace k potvrzení totožnosti osoby, která vyslovuje nesouhlas. Ve Spojených státech mohou fyzické osoby vykonat tuto volbu také prostřednictvím využití ústředního programu pro vyslovení nesouhlasu, jako je např. program Mail Preference Service sdružení Direct Marketing Association. Organizace, které se účastní programu Mail Preference Service sdružení Direct Marketing Association, by měly podporovat dostupnost této služby pro spotřebitele, kteří si nepřejí dostávat komerční informace. V každém případě by fyzické osobě měla být poskytnuty snadno přístupné a finančně dostupné mechanismy, aby vykonala své právo volby. Podobně může organizace použít informace pro určité účely přímého marketingu tehdy, pokud nelze fyzické osobě poskytnout možnost vyslovit nesouhlas před jejich použitím, jestliže poskytne dané osobě bezprostředně poté (a na požádání kdykoli) možnost odmítnout (aniž by fyzické osobě vznikly náklady) příjem dalších sdělení přímého marketingu a jestliže organizace toto její přání splní. FAQ 13 — Informace související s cestováním Ot.: Kdy mohou být předávány organizacím nacházejícím se mimo EU informace o rezervacích letenek a další informace související s cestováním, např. o pravidelných cestujících, hotelových rezervacích nebo zvláštních potřebách, jako např. o zvláštních nábožensky odůvodněných požadavcích kladených na jídelníček či o nutné lékařské péči? Odp.: Takové informace lze předávat za různých okolností. Podle článku 26 směrnice lze předávat osobní údaje "do třetí země, která nezajišťuje odpovídající úroveň ochrany ve smyslu čl. 25 odst. 2", pod podmínkou, že (1) je to nezbytné pro poskytnutí služeb vyžádaných spotřebitelem nebo pro splnění podmínek smlouvy, jako je např. smlouva s pravidelným cestujícím; nebo (2) s tím spotřebitel nepochybně vyslovil souhlas. Organizace ve Spojených státech přijímající zásady "bezpečného přístavu" poskytují odpovídající ochranu osobních údajů, a proto mohou přijímat údaje z EU, aniž by musely splňovat tyto podmínky nebo jiné podmínky uvedené v článku 26 směrnice. Protože zásady "bezpečného přístavu" zahrnují zvláštní pravidla pro citlivé informace, mohou být takové informace (které někdy musí být shromažďovány, např. ve spojení s potřebou lékařské péče o zákazníka) zahrnuty v předání údajů organizacím účastnícím se "bezpečného přístavu". V každém případě však musí organizace, která předává informace, dodržovat právní předpisy členského státu EU, v němž provádí svou činnost; a tyto právní předpisy mohou mimo jiné ukládat zvláštní podmínky pro nakládání s citlivými údaji. FAQ 14 — Léčiva Ot. 1: Pokud se v EU shromažďují osobní údaje a předávají se do Spojených států za účelem farmaceutického výzkumu nebo pro jiné účely, uplatní se právní předpisy členského státu, nebo zásady "bezpečného přístavu"? Odp. 1: Právní předpisy členského státu se uplatní na shromažďování osobních údajů a jejich zpracování uskutečněné před předáním do Spojených států. Zásady "bezpečného přístavu" se uplatní na údaje po jejich předání do Spojených států. Údaje používané pro farmaceutický výzkum a další účely by měly být popřípadě anonymní. Ot. 2: Osobní údaje získané při konkrétní lékařské nebo farmaceutické výzkumné studii hrají často významnou roli v budoucím vědeckém výzkumu. Pokud jsou osobní údaje shromážděné pro jednu výzkumnou studii předány organizaci ve Spojených státech v rámci "bezpečného přístavu", smí tato organizace tyto údaje použít pro novou vědeckovýzkumnou činnost? Odp. 2: Ano, jestliže to dotčené osobě bylo hned od počátku řádně oznámeno a jestliže jí byla poskytnuta možnost volby. Takové oznámení by mělo poskytnout informace o budoucím konkrétním využití údajů, jako jsou např. pravidelná následná šetření, související studie nebo marketing. Je zřejmé, že ne všechny budoucí způsoby využití údajů lze vyjmenovat, protože nový způsob využití ve výzkumu může vzniknout na základě nových poznatků o původních údajích, nových lékařských objevů a pokroků, jakož i vývoje ve zdravotnictví a v legislativě. Oznámení by tedy mělo případně obsahovat vysvětlení, že osobní údaje mohou být využity při budoucích lékařských a farmaceutických výzkumných činnostech, které nelze dopředu předvídat. Jestliže využití údajů neodpovídá obecnému výzkumnému záměru (záměrům), pro který byly údaje původně shromážděny, nebo s kterým dotčená fyzická osoba následně souhlasila, je nutno získat nový souhlas. Ot. 3: Co se stane s osobními údaji, jestliže se účastník dobrovolně nebo na žádost sponzora rozhodne odstoupit od klinických zkoušek? Odp. 3: Účastníci se mohou kdykoli rozhodnout nebo být požádáni odstoupit od klinických zkoušek. Údaje shromážděné před odstoupením však mohou být nadále zpracovávány spolu s ostatními údaji shromážděnými v rámci klinických zkoušek, jestliže na to byl účastník jasně upozorněn v oznámení v době, kdy souhlasil se svou účastí. Ot. 4: Společnosti vyrábějící léčiva a zdravotnické prostředky smějí poskytovat osobní údaje z klinických zkoušek provedených v EU regulačním orgánům ve Spojených státech pro účely regulace a dohledu. Jsou podobná předání povolena také pro jiné subjekty než regulační orgány, např. společnosti a jiné vědce? Odp. 4: Ano, v souladu se zásadami oznamovací povinnosti a možnosti volby. Ot. 5: Z důvodu zajištění objektivity nesmějí při mnoha klinických zkouškách účastníci a často ani samotní výzkumníci mít přístup k informacím o tom, jakému léčení se každý účastník podrobuje. Pokud by k nim měli přístup, ohrozilo by to platnost výzkumu a jeho výsledků. Budou mít účastníci těchto klinických zkoušek (tzv. "slepých" studií) přístup k údajům o svém léčení během zkoušek? Odp. 5: Ne, takový přístup nemusí být účastníkovi poskytnut, jestliže mu bylo toto omezení vysvětleno předtím, než se účastnil zkoušky, a jestliže by předání takových informací ohrozilo integritu výzkumného úsilí. Souhlas s účastí na zkouškách za těchto podmínek je postačující pro vzdání se práva na přístup k informacím. Po dokončení zkoušky a provedení analýzy výsledků by účastníci měli mít přístup ke svým údajům, jestliže o to požádají. Měli by je požadovat především od lékaře nebo jiného poskytovatele lékařské péče, který je ošetřoval v rámci klinické zkoušky, nebo případně od společnosti, která průzkum financovala. Ot. 6: Musí společnost vyrábějící léčiva nebo zdravotnické prostředky uplatňovat zásady "bezpečného přístavu" týkající se oznamovací povinnosti, možnosti volby, dalšího předání a práva na přístup ve svých opatřeních ke sledování bezpečnosti a účinnosti svých výrobků, včetně podávání zpráv o negativních událostech a sledování stavu pacientů/osob užívajících určitá léčiva nebo zdravotnické prostředky (např. kardiostimulátor)? Odp. 6: Ne, a to v rozsahu, v němž je přijetí zásad "bezpečného přístavu" v rozporu s dodržováním zákonných povinností. To platí jak pro zprávy např. poskytovatelů lékařské péče společnostem vyrábějícím léčiva a zdravotnické prostředky, tak pro zprávy společností vyrábějících léčiva a zdravotnické prostředky orgánům veřejné správy, jako je např. americká Food and Drug Administration. Ot. 7: Údaje určené pro výzkum jsou u zdroje zásadně kódovány pomocí unikátního klíče vedoucím výzkumným pracovníkem tak, aby nebyla zřejmá totožnost konkrétních subjektů údajů. Farmaceutické společnosti financující takový výzkum klíč neobdrží. Kód k unikátnímu klíči má pouze výzkumný pracovník, který tak může za určitých okolností danou osobu identifikovat (např. je-li potřebný následný lékařský dohled). Představuje předání takto kódovaných údajů z EU do Spojených států předání osobních údajů, které podléhá zásadám "bezpečného přístavu"? Odp. 7: Ne. V tomto případě nejde o předání osobních údajů, které by podléhalo zásadám "bezpečného přístavu". FAQ 15 — Veřejné záznamy a veřejně přístupné informace Ot.: Je nutné uplatňovat zásady oznamovací povinnosti, možnosti volby a dalšího předávání na veřejné záznamy nebo veřejně přístupné informace? Odp.: Zásady oznamovací povinnosti, možnosti volby a dalšího předávání není nutno uplatňovat na informace z veřejných záznamů, pokud nejsou kombinovány s informacemi z neveřejných záznamů a pokud jsou dodrženy podmínky, které pro nahlížení stanovily příslušné orgány. Dále není obecně nutné uplatňovat zásady oznamovací povinnosti, možnosti volby a dalšího předávání na veřejně přístupné informace, ledaže evropská předávající organizace upozorní na to, že takové informace podléhají omezením, která vyžadují, aby organizace uplatňovala tyto zásady pro zamýšlené účely. Organizace nenesou odpovědnost za to, jakým způsobem takové informace použijí ti, kteří je získají z uveřejněných materiálů. Pokud bude zjištěno, že organizace úmyslně zveřejnila osobní informace v rozporu s těmito zásadami, takže tyto výjimky přinesly prospěch jí samé nebo jiným, přestane splňovat požadavky "bezpečného přístavu" a ztratí výhody z něho plynoucí. [1] Viz FAQ 7 o ověřování. [2] Orgány zabývající se řešením sporů nejsou povinny dodržovat zásadu prosazování. Mohou se také odchýlit od zásad "bezpečného přístavu", jestliže se při plnění svých konkrétních úkolů setkají s protichůdnými povinnostmi nebo pokud to je výslovně povoleno. [3] Orgány zabývající se řešením sporů rozhodují o okolnostech, za nichž tyto sankce použijí, podle vlastního uvážení. Jedním z faktorů, které je třeba brát v úvahu při rozhodování o vymazání údajů, je citlivost daných údajů a dále okolnost, zda organizace shromáždila, používala nebo zveřejnila informace v očividném rozporu se zásadami. -------------------------------------------------- PŘÍLOHA III Přehled prosazování zásad "bezpečného přístavu" Federální a státní pravomoci v souvislosti s "nekalými a klamavými praktikami" a ochrana soukromí Toto memorandum popisuje pravomoc Federal Trade Commission (FTC) podle oddílu 5 Federal Trade Commission Act (U. S. C., svazek 15, §§ 41-58 ve znění pozdějších předpisů) zakročit proti subjektům, které nechrání osobní informace v souladu se svými prohlášeními nebo závazky. Zabývá se též výjimkami z této pravomoci a možností jiných federálních a státních orgánů jednat v případech, kdy FTC pravomoc nemá [1]. Pravomoci FTC v případě nekalých nebo klamavých praktik Oddíl 5 Federal Trade Commission Act prohlašuje "nekalé nebo klamavé jednání či praktiky v obchodě nebo související s obchodem" za protiprávní, viz U. S. C., svazek 15, § 45 písm. a) odst. 1. Oddíl 5 svěřuje FTC plnou pravomoc zabránit takovým jednáním a praktikám, viz U. S. C., svazek 15, § 45 písm. a) odst. 2. V souladu s tím může FTC po provedení formálního slyšení vydat "příkaz ke zdržení se konání" ("cease and desist order"), aby bylo ukončeno protiprávní chování, viz U. S. C., svazek 15, § 45 písm. b). Jestliže to vyžaduje veřejný zájem, může FTC také usilovat o vydání předběžného soudního zákazu nebo předběžného či konečného opatření u okresního soudu Spojených států, viz U. S. C., svazek 15, § 53 písm. b). V případech široce rozšířeného nekalého nebo klamavého jednání nebo praktik nebo pokud již vydala v této věci příkazy ke zdržení se konání, může FTC vyhlásit správní předpis týkající se takových jednání nebo praktik, viz U. S. C., svazek 15, § 57a. Každý, kdo neuposlechne příkazu FTC, podléhá občanskoprávní sankci až do výše 11000 USD, přičemž každý den, kdy porušení trvá, představuje samostatné porušení [2], viz U. S. C., svazek 15, § 45 odst. 1. Rovněž každý, kdo vědomě poruší předpis FTC, odpovídá do výše 11000 USD za každé porušení, U. S. C., svazek 15, § 45 písm. m). Donucovací opatření může učinit buď ministerstvo spravedlnosti, nebo, pokud tak odmítne učinit, FTC, U. S. C., svazek 15, § 56. Pravomoci FTC a ochrana údajů Při výkonu svých pravomocí podle oddílu 5 zastává FTC názor, že nepravdivé uvedení důvodů, proč se informace od spotřebitelů shromažďují nebo jak budou využity, představuje klamavé praktiky [3]. Například v roce 1998 FTC podala stížnost na společnost GeoCities za předání informací, které shromáždila na své internetové stránce, třetím osobám pro reklamní účely bez předchozího svolení a v rozporu se svými prohlášeními [4]. Pracovníci FTC rovněž tvrdili, že shromažďování osobních informací získaných od dětí a prodej a předávání těchto informací bez souhlasu rodičů pravděpodobně rovněž představuje nekalé praktiky [5]. Ve svém dopise generálnímu řediteli Evropské komise panu Johnu Moggovi zmínil předseda FTC pan Pitofsky omezení pravomocí FTC chránit soukromí v případech, kdy nedošlo ke zkreslenému prohlášení (případně k žádnému prohlášení) o tom, jakým způsobem budou shromážděné informace použity. (Dopis předsedy FTC — pana Pitofsky panu Johnu Moggovi, ze dne 23. září 1998.) Avšak společnosti, které chtějí využívat navrhované zásady "bezpečného přístavu", budou muset osvědčit, že budou chránit shromažďované informace v souladu s předepsanými obecnými zásadami. Z toho vyplývá, že osvědčí-li společnost, že bude osobní údaje chránit, a pak tak neučiní, jednalo by se o zkreslené prohlášení a "klamavé praktiky" ve smyslu oddílu 5. Protože se příslušnost FTC vztahuje na nekalé nebo klamavé jednání či praktiky "v obchodě nebo související s obchodem", není příslušná zasahovat v případě shromažďování a využívání osobních informací pro nekomerční účely, například při získávání finančních prostředků pro dobročinné účely (viz dopis pana Pitofsky, s. 3). Využití osobních informací v jakékoli komerční transakci však kritérium pro příslušnost FTC splňuje. Tedy například, jestliže zaměstnavatel prodává osobní informace o svých zaměstnancích společnosti zabývající se přímým marketingem, spadá tato transakce do působnosti oddílu 5 FTCA. Výjimky podle oddílu 5 Oddíl 5 stanoví výjimky z pravomoci FTC rozhodovat o nekalém nebo klamavém jednání či praktikách pro: - finanční instituce, včetně bank, spořitelen a záložen a úvěrových družstev, - provozovatele veřejných telekomunikačních sítí a veřejné dopravce provozující dopravu mezi jednotlivými státy USA, - letecké dopravce a - balírny a provozovatele ohrazených shromaždišť dobytka. Viz U. S. C., svazek 15, § 45 písm. a) odst. 2. Jednotlivé výjimky a příslušný regulační orgán, jenž vykonává odpovídající pravomoci, jsou podrobněji rozvedeny níže. Finanční instituce [6] První výjimka se týká "bank, spořitelen a záložen ve smyslu oddílu 18 písm. f) odst. 3 (U. S. C., svazek 15, § 57a písm. f) odst. 3)" a "federálních úvěrových družstev ve smyslu oddílu 18 písm. f) odst. 4 (U. S. C., svazek 15, § 57a písm. f) odst. 4)" [7]. Tyto finanční instituce podléhají namísto toho předpisům vydaným Federal Reserve Board, Office of Thrift Supervision [8] a National Credit Union Administration Board (viz U. S. C., svazek 15, § 57a písm. f)). Tyto regulační orgány mají vydávat nařízení nezbytná k zabránění nekalým a klamavým praktikám ze strany těchto finančních institucí [9] a vytvořit zvláštní oddělení zabývající se vyřizováním stížností spotřebitelů. (U. S. C. svazek 15, § 57a písm. f) odst. 1). Konečně, výkonná pravomoc vyplývá z oddílu 8 Federal Deposit Insurance Act (U. S. C., svazek 12, § 1818) pro banky a spořitelny a záložny a z oddílů 120 a 206 Federal Credit Union Act pro federální úvěrová družstva (U. S. C., svazek 15, §§ 57a písm. f) odst. 2-4). Ačkoli pojišťovnictví není v seznamu výjimek oddílu 5 výslovně zahrnuto, McCarran-Ferguson Act (U. S. C., svazek 15, § 1011 a násl.) obecně ponechává regulaci pojišťovací činnosti jednotlivým státům Spojených států [10]. Dále podle oddílu 2 písm. b) McCarran-Ferguson Act nesmí žádný federální zákon prohlásit za neplatnou, narušit nebo nahradit úpravu jednotlivého státu, "ledaže by se takový zákon týkal výslovně pojišťovací činnosti" (U. S. C., svazek 15, § 1012 písm. b)). Ustanovení FTC Act jsou však použitelná na pojišťovnictví "v takovém rozsahu, v jakém tato činnost není upravena zákony jednotlivých států" (ibid.). Je také třeba poznamenat, že McCarran-Ferguson Act přenechává pravomoc státům pouze v oblasti "pojišťovací činnosti". FTC si tedy zachovává zbytkovou pravomoc v případech, ve kterých se pojišťovací společnosti dopustí nekalých nebo klamavých praktik při jednáních nesouvisejících s pojišťovací činností. Například by tomu mohlo být tak tehdy, když pojistitelé prodávají osobní informace týkající se jejich pojištěnců společnostem zabývajícím se přímým marketingem nepojišťovacích produktů [11]. Veřejní dopravci Druhá výjimka podle oddílu 5 se týká těch veřejných dopravců, kteří "podléhají zákonům upravujícím obchod" (U. S. C., svazek 15, § 45 písm. a) odst. 2). V tomto případě termín "zákony upravující obchod" odkazuje na podhlavu IV hlavy 49 United States Code a na Communications Acts z roku 1934 (U. S. C., svazek 47, § 151 a násl.). Viz U. S. C., svazek 15, § 44. U. S. C., svazek 49, podhlava IV (doprava mezi státy USA) zahrnuje železniční, silniční dopravce a provozovatele vodní dopravy, makléře, speditéry a podniky potrubní přepravy (U. S. C., svazek 49, § 10101 a násl.). Tito různí veřejní dopravci podléhají úpravě Surface Transportation Board, což je nezávislý orgán v rámci ministerstva dopravy (U. S. C., svazek 49, §§ 10501, 13501 a 15301). V každém případě je dopravci zakázáno předat informace o povaze, místu určení a dalších aspektech nákladu, které by mohly být užity v neprospěch odesílatele Viz U. S. C., svazek 49, §§ 11904, 14908 a 16103. Budiž poznamenáno, že tato ustanovení se týkají informací o nákladu odesílatele, a tudíž se zjevně nevztahují na osobní informace o odesílateli, které nijak nesouvisejí s danou zásilkou. Communications Act stanoví regulaci "mezistátního a mezinárodního obchodu v přenášení sdělení po drátě či rádiových vlnách" prostřednictvím Federal Communication Commission (FCC). Viz U. S. C., svazek 47, §§ 151 a 152. Kromě provozovatelů veřejných telekomunikačních sítí se Communications Act vztahuje též na televizní a rozhlasové společnosti a poskytovatele kabelových služeb, kteří nejsou veřejnými dopravci. Posledně zmíněné společnosti proto jako takové nesplňují podmínku pro udělení výjimky podle oddílu 5 FTC Act. Proto je pro vyšetřování nekalých a klamavých praktik těchto společností příslušná FTC, zatímco FCC má konkurující příslušnost pro uplatňování své nezávislé pravomoci v této oblasti, jak je popsáno níže. Podle Communications Act má "každý provozovatel veřejných telekomunikačních sítí" včetně místních společností povinnost důvěrně nakládat s informacemi o zákazníkovi pro vnitřní potřebu [12] (U. S. C., svazek 47, § 222 písm. a)). Kromě toho, že tento zákon stanoví obecnou pravomoc pro ochranu soukromí, byl Communications Act změněn Cable Communications Policy Act z roku 1984 (tzv. Cable Act, U. S. C., svazek 47, § 521 a násl.), aby zejména provozovatelům kabelových sítí ukládal, že musí chránit "osobně určitelné informace" o svých účastnících (U. S. C., svazek 47, § 551) [13]. Cable Act omezuje shromažďování osobních informací provozovateli kabelových sítí a požaduje, aby tito provozovatelé informovali účastníka o povaze shromažďovaných informací a o způsobu jejich využití. Cable Act dává účastníkům právo na přístup k informacím o nich samotných a vyžaduje, aby provozovatelé kabelových sítí zničili informace, jakmile je již nepotřebují. Communications Act zmocňuje FCC k prosazování těchto dvou ustanovení na ochranu soukromí, ať již z vlastního podnětu, nebo jako reakci na stížnost zvenčí (U. S. C., svazek 47, §§ 205, 403; ibid. § 208) [14]. Jestliže FCC rozhodne, že provozovatel veřejných telekomunikačních sítí (rovněž provozovatel kabelových služeb) porušil ustanovení oddílu 222 nebo 551 o ochraně soukromí, má v zásadě tři možnosti, jak postupovat. Za prvé, po vyslechnutí a zjištění porušení může FCC nařídit provozovateli, aby vyplatil peněžitou náhradu škody [15] (U. S. C., svazek 47, § 209). FCC může také provozovateli nařídit zdržení se protiprávních praktik nebo opomenutí (U. S. C., svazek 47, § 205 písm a)). Konečně, FCC může provozovateli rovněž nařídit, aby "dodržoval a následoval (jakékoli) předpisy nebo praktiky" případně vydané a předepsané FCC. (Ibid.) Soukromé osoby, které se domnívají, že provozovatel veřejné telekomunikační sítě nebo kabelové sítě porušil příslušná ustanovení Communications Act nebo Cable Act, mohou buď podat stížnost u FCC, nebo vznést nárok u federálního okresního soudu (U. S. C., svazek 47, § 207). Stěžovateli, který u federálního soudu zvítězí ve sporu proti provozovateli veřejné telekomunikační sítě ve věci porušení povinnosti důvěrně nakládat s informacemi o zákazníkovi pro vnitřní potřebu v širším smyslu oddílu 222 Communications Act, bude přiznán nárok na náhradu skutečné škody a úhradu nákladů právního zastoupení (U. S. C., svazek 47, § 206). Stěžovateli, který žaluje ve věci porušení ochrany soukromí podle oddílu 551 Cable Act platného pro kabelové služby, může být navíc vedle náhrady skutečné škody a úhrady nákladů právního zastoupení přiznána rovněž náhrada škody punitivní povahy a přiměřená náhrada nákladů řízení (U. S. C., svazek 47, § 551 písm. f)). FCC přijala podrobné předpisy pro provádění oddílu 222 (Viz CFR, svazek 47, 64.2001-2009). Tyto předpisy stanoví konkrétní ochranná opatření, aby byly proti neoprávněnému přístupu chráněny informace o zákaznících související se sítí. Podle nich musí provozovatelé veřejných telekomunikačních sítí: - vyvinout a provádět softwarové systémy, které označí, zda byl zákazník informován o zpracování svých údajů, resp. poskytl souhlas, když se jeho záznam poprvé objeví na obrazovce, - udržovat elektronický "prověřovací záznam", který umožní sledovat přístup k účtu zákazníka, včetně informací o tom, kdo, kdy a za jakým účelem záznam zákazníka otevřel, - vyškolit své zaměstnance v oprávněném využívání informací o zákazníkovi souvisejících se sítí a zavést vhodné disciplinární postupy, - zavést monitorovací a kontrolní postup, který by zajistil dodržování předpisů také při provádění aktivního marketingu, a - každoročně osvědčovat FCC, jak jsou tyto předpisy dodržovány. Letečtí dopravci Letečtí dopravci Spojených států i zahraniční, kteří podléhají Federal Aviation Act z roku 1958, jsou rovněž předmětem výjimky podle oddílu 5 FCCA (viz U. S. C., svazek 15, § 45 písm. a) odst. 2). Ta zahrnuje každého, kdo poskytuje mezistátní nebo mezinárodní leteckou přepravu zboží, cestujících nebo pošty (viz U. S. C., svazek 49, § 40102). Letečtí dopravci podléhají pravomoci Ministerstva dopravy Spojených států. Proto je ministr dopravy oprávněn činit opatření, která by "zabránila nekalým, klamavým, dravým nebo protisoutěžním praktikám v letecké dopravě" (U. S. C., svazek 49, § 40101 písm. a) odst. 9). Ministr dopravy může vyšetřovat, zda se letecký dopravce Spojených států či zahraniční nebo prodejce letenek dopustili nekalých nebo klamavých praktik, jestliže to je ve veřejném zájmu (U. S. C., svazek 49, § 41712). Po vyslechnutí může ministr dopravy vydat příkaz ke zdržení se protiprávní praxe. (Ibid.) Pokud je nám známo, ministr dopravy zatím nevyužil této své pravomoci v souvislosti s ochranou soukromí u osobních informací zákazníků leteckých společností [16]. Existují dvě ustanovení na ochranu soukromí u osobních informací, které platí pro letecké dopravce ve zvláštních případech. Za prvé, Federal Aviation Act chrání soukromí uchazečů o místo pilota, viz U. S. C., svazek 49, § 44936 písm. f). Letečtí dopravci sice smějí získávat záznamy týkající se zaměstnání uchazeče, avšak tento zákon dává uchazeči právo být informován o tom, že záznamy byly vyžádány, a dále právo souhlasit s takovou žádostí, opravit nepřesnosti a požadovat, aby bylo umožněno nahlédnutí do těchto záznamů pouze osobám rozhodujícím o jeho přijetí do zaměstnání. Za druhé, předpisy ministerstva dopravy vyžadují, aby informace ze seznamů cestujících shromážděné pro administrativní účely byly v případě letecké havárie "uchovány jako důvěrné a předány pouze Ministerstvu zahraničí Spojených států, National Transportation Board (na jeho žádost) a Ministerstvu dopravy Spojených států" (14 CFR část 243, § 243.9 písm. c) ve znění dodatku 63 FR 8258). Balírny a provozovatelé ohrazených shromaždišť dobytka S ohledem na Packers and Stockyards Act z roku 1921 (U. S. C., svazek 7, § 181 a násl.) je v rozporu se zákonem, "aby se balírna masných výrobků v souvislosti s hospodářskými zvířaty, masem, masnými výrobky nebo nezpracovanými živočišnými produkty nebo obchodník s živou drůbeží v souvislosti s živou drůbeží dopouštěli nebo využívali jakýchkoli nekalých, nespravedlivě diskriminačních nebo klamavých praktik či prostředků" (U. S. C., svazek 7, § 192 písm. a); viz též U. S. C., svazek 7, § 231 písm. a) — zákaz "nekalých, nespravedlivě diskriminačních nebo klamavých praktik nebo prostředků" v souvislosti s hospodářskými zvířaty). Hlavní odpovědnost za provádění těchto ustanovení nese ministr zemědělství, přičemž FTC si zachovává příslušnost v oblasti maloobchodních transakcí a u obchodů v drůbežářském průmyslu (U. S. C., svazek 7, § 227 písm. b) odst. 2). Není jasné, zda by ministr zemědělství posuzoval balírnou či provozovatelem ohrazených shromaždišť dobytka způsobené porušení zásad ochrany osobního soukromí v souladu s vyhlášenou politikou jako "klamavé" praktiky podle Packers and Stockyards Act. Výjimka podle oddílu 5 se však uplatní na fyzické osoby, osobní společnosti nebo kapitálové společnosti pouze "v tom rozsahu, v němž podléhají Packers and Stockyards Act". Jestliže tedy ochrana soukromí nespadá do působnosti Packers and Stockyards Act, pak se pravděpodobně výjimka podle oddílu 5 neuplatní a balírny a provozovatelé ohrazených shromaždišť dobytka budou v tomto ohledu podléhat pravomoci FTC. Pravomoci států v případě "nekalých nebo klamavých praktik" Podle analýzy zpracované pracovníky FTC "všech 50 států a dále District of Columbia, Guam, Portoriko a Panenské ostrovy přijaly zákony na zamezení nekalým nebo klamavým obchodním praktikám, které se více méně podobají Federal Trade Commission Act ("FTCA")" (viz FTC fact sheet, opětovně vydaný v "Comment, Consumer Protection: The Practical Effectiveness of State Deceptive Trade Practices Legislation", 59 Tul. L. Rev. 427 (1984)). Ve všech případech má donucovací orgán pravomoc "vést vyšetřování pomocí předvolání s hrozbou trestního postihu nebo občanskoprávních výzev k podání vysvětlení či vydání podkladů, vyžadovat prohlášení o dobrovolném dodržování předpisů, vydávat příkazy ke zdržení se konání nebo žádat o soudní nařízení zamezující používání nekalých nebo klamavých obchodních praktik nebo praktik příčících se dobrým mravům. (Ibid.) Ve 46 státech právo umožňuje soukromé žaloby na náhradu skutečné škody, na dvojnásobnou, trojnásobnou náhradu škody či náhradu škody punitivní povahy a v některých případech na náhradu nákladů řízení a nákladů právního zastoupení. (Ibid.)" Například zákon státu Florida Deceptive and Unfair Trade Practices Act opravňuje nejvyššího státního zástupce tohoto státu vyšetřovat a podávat občanskoprávní žaloby v případech "nekalé soutěže, nekalých nebo klamavých obchodních praktik nebo praktik příčících se dobrým mravům," včetně nepravdivé nebo klamavé reklamy, klamavých výsad nebo obchodních příležitostí, podvodného telemarketingu a pyramidových her. Viz též N. Y. General Business Law § 349 (zákaz nekalého jednání a klamavých praktik v podnikání). Tyto poznatky potvrzuje průzkum provedený v tomto roce National Association of Attorneys General (NAAG). Ze 43 států, které odpověděly, platí ve všech tzv. "mini FTC" zákony nebo jiné zákony poskytující srovnatelnou ochranu. Podle téhož průzkumu NAAG uvedlo 39 států, že by měly pravomoc vyšetřovat stížnosti obyvatel jiných států. Pokud jde konkrétně o ochranu soukromí spotřebitelů, uvedlo 37 ze 41 států, které odpověděly, že by reagovaly na stížnosti obviňující společnost, pro niž jsou příslušné, že nedodržuje vlastní pravidla na ochranu soukromí. [1] Nerozebíráme zde veškeré federální zákony, které se zabývají ochranou soukromí v určitých případech, ani státní zákony či zvykové právo (common law), jež by mohly být použitelné. Mezi federální zákony upravující komerční shromažďování a používání osobních informací patří mimo jiné Cable Communications Policy Act (U. S. C., svazek 47, § 551), Driver's Privacy Protection Act (U. S. C., svazek 18, § 2721), Electronic Communications Privacy Act (U. S. C., svazek 18, § 2701 a násl.), Electronic Funds Transfer Act (U. S. C., svazek 15, §§ 1693, 1693m), Fair Credit Reporting Act (U. S. C., svazek 15, § 1681 a násl.), Right to Financial Privacy Act (U. S. C., svazek 12, § 3401 a násl.), Telephone Consumer Protection Act (U. S. C., svazek 47, § 227) a Video Privacy Protection Act (U. S. C., svazek 18, § 2710). Mnohé státy USA mají v těchto oblastech obdobné právní předpisy. Viz např. Mass. Gen. Laws kap. 167B, § 16 (zakazuje finančním institucím předávat finanční záznamy svých zákazníků třetí straně bez souhlasu zákazníka nebo soudního řízení) N. Y. Pub. Health Law § 17 (omezuje použití a předávání záznamů o zdravotním nebo duševním stavu a poskytuje pacientům právo na přístup k těmto informacím). [2] V takovém případě může okresní soud Spojených států vydat rovněž soudní zákaz a poskytnout přiměřenou soudní pomoc za účelem prosazení příkazu FTC, viz U. S. C., svazek 15, § 45 odst. 1. [3] "Klamavé praktiky" se definují jako tvrzení, opomenutí nebo jednání, která mohou být pro rozumné spotřebitele podstatným způsobem zavádějící. [4] Viz www.ftc.gov/opa/1998/9808/geocitie.htm. [5] Viz dopis FTC organizaci Center for Media Education, www.ftc.gov/os/1997/9707/cenmed.htm. Dále zákon Children's Online Privacy Protection Act z roku 1998 svěřuje FTC zvláštní pravomoc usměrňovat shromažďování osobních údajů získaných od dětí provozovateli internetových stránek a poskytovateli online služeb, viz U. S. C., svazek 15, §§ 6501-6506. Konkrétně tento zákon vyžaduje, aby poskytovatelé online služeb před shromážděním, použitím nebo předáním osobních údajů získaných od dětí toto oznámili a vyžádali si ověřitelný souhlas rodičů. Ibid., § 6502 písm. b). Tento zákon také dává rodičům právo na přístup k informacím a právo odmítnout svolení k pokračujícímu využití těchto informací. Ibid. [6] Prezident Clinton podepsal dne 12. listopadu 1999 zákon Gramm-Leach-Bliley Act (Pub. L. 106-102, kodifikovaný v U. S. C., svazek 15, § 6801 a násl.), který tím vstoupil v platnost. Tento zákon omezuje finanční instituce při předávání osobních informací o svých zákaznících. Zákon požaduje po finančních institucích mimo jiné, aby informovaly všechny zákazníky o svých zásadách a praxi při ochraně soukromí v souvislosti se sdílením osobních informací s přidruženými a nikoli přidruženými společnostmi. Zákon zmocňuje FTC, federální orgány pro bankovnictví a další orgány, aby vydaly nařízení, jimiž se provádí ochrana soukromí požadovaná tímto zákonem. Tyto orgány předložily návrhy příslušných nařízení. [7] Podle definice se tato výjimka nevztahuje na oblast cenných papírů. Makléři, obchodníci s cennými papíry a další subjekty podnikající v této oblasti proto podléhají v případech nekalého nebo klamavého jednání a praktik konkurující příslušnosti Securities and Exchange Commission a FTC. [8] Výjimka uvedená v oddíle 5 se původně odvolávala na Federal Home Loan Bank Board, který byl zrušen v srpnu 1989 zákonem Financial Institutions Reform, Recovery and Enforcement Act z roku 1989. Jeho úkoly byly přeneseny na Office of Thrift Supervision a dále na Resolution Trust Corporation, Federal Deposit Insurance Corporation a Housing Finance Board. [9] Oddíl 5 sice vyňal finanční instituce z příslušnosti FTC, ale současně stanoví, že kdykoli FTC vydá ustanovení týkající se nekalého nebo klamavého jednání a praktik, mají finanční regulační orgány přijmout do 60 dnů obdobné předpisy. Viz U. S. C., svazek 15, § 57a písm, f) odst. 1. [10] "Pojišťovnictví a všechny osoby na něm účastné podléhají zákonům jednotlivých států, jimiž je toto podnikání popř. jeho zdanění upraveno." U. S. C., svazek 15, § 1012 písm. a). [11] FTC uplatnila svou příslušnost vůči pojišťovacím společnostem v různých situacích. V jednom případě přijala FTC opatření vůči podniku kvůli klamavé reklamě ve státě, v němž neměl povolení k podnikání. Příslušnost FTC byla založena na tom, že stát neměl žádnou účinnou možnost zasáhnout do činnosti tohoto podniku, neboť ten se nacházel mimo dosah práva tohoto státu. Viz FTC v. Travelers Health Association, 365 U. S. 293 (1960). [12] Pod pojmem "informace o zákazníkovi pro vnitřní potřebu" se rozumějí informace týkající se "množství, technické konfigurace, druhu, účelu a rozsahu využívání telekomunikační služby" zákazníkem a informace vyplývající z telefonního účtu. (U. S. C., svazek 47, § 222 písm. f) odst. 1). Tento pojem však nezahrnuje informace o seznamu účastníků. Ibid. [13] Tento zákon výslovně nedefinuje "osobně určitelné informace" (personally identifiable information). [14] Tato pravomoc zahrnuje právo požadovat náhradu škody za porušení ochrany soukromí jak podle oddílu 222 zákona Communications Act, tak, v případě účastníků kabelových sítí, podle oddílu 551 zákona Cable Act, kterým byl změněn Communications Act. Viz též U. S. C., svazek 47, § 551 písm. f) odst. 3 (občanskoprávní žaloba u federálního okresního soudu je nevýlučný opravný prostředek, který "má vedle jiných zákonných opravných prostředků účastník kabelové sítě k dispozici"). [15] Avšak skutečnost, že stěžovateli nevznikla žádná přímá škoda, není důvodem odmítnutí stížnosti (U. S. C., svazek 47, § 208 písm. a)). [16] Je nám známo, že v tomto odvětví existuje úsilí vyrovnat se s otázkou ochrany údajů. Zástupci tohoto odvětví projednávali navrhované zásady "bezpečného přístavu" a jejich možné dopady na letecké dopravce. Projednáván byl též návrh na přijetí opatření na ochranu údajů v odvětví, v jejichž rámci by se zúčastněné společnosti výslovně podřídili pravomoci ministerstva dopravy -------------