PROVÁDĚCÍ NAŘÍZENÍ KOMISE (EU) 2021/1772

ze dne 28. června 2021

podle nařízení Evropského parlamentu a Rady (EU) 2016/679 o odpovídající ochraně osobních údajů poskytované Spojeným královstvím

(oznámeno pod číslem C(2021) 4800)

(Text s významem pro EHP)

EVROPSKÁ KOMISE,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (1), a zejména na čl. 45 odst. 3 uvedeného nařízení,

vzhledem k těmto důvodům:

1. ÚVOD

(1) Nařízení (EU) 2016/679 stanoví pravidla pro předávání osobních údajů správci nebo zpracovateli v Evropské unii do třetích zemí a mezinárodním organizacím, pokud toto předávání spadá do oblasti působnosti uvedeného nařízení. Pravidla pro mezinárodní předávání údajů stanoví kapitola V uvedeného nařízení, tzn. články 44 až 50. Jakkoli je tok osobních údajů do zemí a ze zemí mimo Evropskou unii nezbytný pro rozšiřování mezinárodní spolupráce a přeshraničního obchodu, úroveň ochrany osobních údajů v Evropské unii nesmí být oslabena předáváním těchto údajů do třetích zemí (2).

(2) Podle čl. 45 odst. 3 nařízení (EU) 2016/679 může Komise prostřednictvím prováděcího aktu rozhodnout, že určitá třetí země, určité území či jedno nebo více konkrétních odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany. Za této podmínky se může předávání osobních údajů do třetí země bez nutnosti získat další povolení uskutečnit, jak stanoví čl. 45 odst. 1 a 103. bod odůvodnění uvedeného nařízení.

(3) Podle čl. 45 odst. 2 nařízení (EU) 2016/679 musí přijetí rozhodnutí o odpovídající ochraně vycházet z komplexní analýzy právního řádu dané třetí země, a to jak z hlediska pravidel použitelných pro dovozce údajů, tak z hlediska omezení a záruk vztahujících se k přístupu orgánů veřejné moci k osobním údajům. V tomto posouzení musí Komise určit, zda daná třetí země zaručí úroveň ochrany „v zásadě rovnocennou“ úrovni ochrany zajištěné v Evropské unii (104. bod odůvodnění nařízení (EU) 2016/679). Standard, vůči němuž je „zásadní rovnocennost“ posuzována, je stanoven právními předpisy Evropské unie, a to zejména nařízením (EU) 2016/679, jakož i judikaturou Soudního dvora Evropské unie (3). V tomto ohledu je významný i referenční rámec Evropského sboru pro ochranu osobních údajů (EDPB) pro odpovídající ochranu (4).

(4) Jak objasnil Soudní dvůr Evropské unie, toto nevyžaduje zjištění stejné úrovně ochrany (5). Zejména prostředky, které dotyčná třetí země k ochraně osobních údajů využívá, se mohou lišit od prostředků zavedených v Evropské unii, pokud se v praxi ukážou jako účinné k zajištění odpovídající úrovně ochrany (6). Standard odpovídající ochrany tedy nevyžaduje opakování pravidel Unie slovo od slova. Kritériem je spíše to, zda zahraniční systém jako celek zajišťuje prostřednictvím podstaty práv na ochranu údajů a jejich účinného uplatňování, dozoru nad nimi a vymáhání těchto práv požadovanou úroveň ochrany (7).

(5) Komise pečlivě analyzovala právo a praxi ve Spojeném království. Na základě zjištění uvedených v (8). až (270). bodě odůvodnění dospěla Komise k závěru, že Spojené království zajišťuje odpovídající úroveň ochrany osobních údajů předávaných v rámci oblasti působnosti nařízení (EU) 2016/679 z Evropské unie do Spojeného království.

(6) Tento závěr se netýká osobních údajů předávaných pro účely kontroly imigrace ve Spojeném království nebo osobních údajů, které jinak spadají do oblasti působnosti výjimky z určitých práv subjektu údajů za účelem zachování účinné kontroly imigrace (dále jen „imigrační výjimka“) podle bodu 4 odst. 1 přílohy 2 britského zákona o ochraně údajů. Platnost a výklad imigrační výjimky podle právních předpisů Spojeného království nejsou v návaznosti na rozhodnutí Odvolacího soudu (Anglie a Wales) ze dne 26. května 2021 ustáleny. Ačkoli odvolací soud uznal, že práva subjektu údajů mohou být v zásadě omezena pro účely kontroly imigrace jako „důležitého aspektu veřejného zájmu“, zároveň konstatoval, že imigrační výjimka je ve své současné podobě neslučitelná s právem Spojeného království, neboť v legislativním opatření chybí konkrétní ustanovení stanovující záruky uvedené v čl. 23 odst. 2 britského obecného nařízení o ochraně údajů (dále jen „britské nařízení GDPR“) (8). Za těchto podmínek by měla být předání osobních údajů z Unie do Spojeného království, na která lze použít imigrační výjimku, vyloučena z oblasti působnosti tohoto rozhodnutí (9). Jakmile bude odstraněna neslučitelnost s právem Spojeného království, měly by být imigrační výjimka, jakož i potřeba zachovat omezení oblasti působnosti tohoto rozhodnutí znovu posouzeny.

(7) Tímto rozhodnutím by nemělo být dotčeno přímé uplatňování nařízení (EU) 2016/679 na organizace usazené ve Spojeném království, pokud jsou splněny podmínky týkající se místní působnosti uvedeného nařízení, stanovené v jeho článku 3.

2. PRAVIDLA TÝKAJÍCÍ SE ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

2.1 Ústavní rámec

(8) Spojené království je parlamentní demokracií, v níž je hlavou státu konstituční panovník. Stát má svrchovaný parlament nadřazený všem ostatním vládním institucím, vládu jako orgán výkonné moci, který je sestavován z členů parlamentu a tomuto parlamentu je také odpovědný, a nezávislé soudnictví. Vláda odvozuje své oprávnění ze své schopnosti získat důvěru zvolené Dolní sněmovny Spojeného království a zodpovídá se oběma komorám parlamentu Spojeného království, které nesou odpovědnost za kontrolu vlády a za projednávání a přijímání zákonů.

(9) V oblasti přijímání právních předpisů týkajících se vnitrostátních záležitostí ve Skotsku, Walesu a Severním Irsku, které nevyhradil sám sobě, přenesl Parlament Spojeného království odpovědnost na Skotský parlament, Velšský parlament (Senedd Cymru) a na Shromáždění Severního Irska. Zatímco ochrana údajů je vyhrazenou oblastí, tj. v celé zemi platí stejné právní předpisy, jiné oblasti politiky významné pro toto rozhodnutí jsou decentralizované. Například systémy trestního soudnictví včetně činnosti policie ve Skotsku a Severním Irsku spadají do odpovědnosti přenesené na Skotský parlament, resp. Shromáždění Severního Irska. Spojené království nemá kodifikovanou ústavu ve smyslu pevně zakotveného ústavního dokumentu. Ústavní principy se vyvíjely postupně, a to zejména na základě judikatury a zvyklostí. Ústavní hodnota některých právních předpisů, jako je Magna Carta (Velká listina práv a svobod), Bill of Rights 1689 (Listina práv z roku 1689) a Human Rights Act 1998 (zákon o lidských právech z roku 1998), byla uznána soudy. Základní práva jednotlivců se jako součást ústavního rámce rozvíjela prostřednictvím zvykového práva (common law), uvedených právních předpisů a mezinárodních smluv, zejména Evropské úmluvy o lidských právech, kterou Spojené království ratifikovalo v roce 1951. Spojené království také v roce 1987 ratifikovalo Úmluvu Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat (úmluva č. 108) (10).

(10) Zákon o lidských právech z roku 1998 začleňuje práva obsažená v Evropské úmluvě o lidských právech do práva Spojeného království. Zákon o lidských právech přiznává každému jednotlivci základní práva a svobody stanovené v článcích 2 až 12 a v článku 14 Evropské úmluvy o lidských právech, v článcích 1, 2 a 3 prvního protokolu této úmluvy a v článku 1 jejího třináctého protokolu ve spojení s články 16, 17 a 18 uvedené úmluvy. To zahrnuje právo na respektování soukromého a rodinného života (a právo na ochranu údajů jako součást tohoto práva) a právo na spravedlivý proces (11). Zejména, podle článku 8 úmluvy může orgán veřejné moci do práva na soukromí zasahovat pouze v souladu se zákonem, je-li to v demokratické společnosti nezbytné v zájmu národní bezpečnosti, veřejné bezpečnosti, hospodářského blahobytu země, předcházení nepokojům a trestné činnosti, ochrany zdraví nebo morálky nebo ochrany práv a svobod jiných.

(11) V souladu se zákonem o lidských právech z roku 1998 musí být jakékoli opatření orgánů veřejné moci slučitelné s právem podle úmluvy (12). Kromě toho je třeba primární a podřízené právní předpisy vykládat a uplatňovat způsobem, který je slučitelný s právy podle úmluvy (13).

2.2 Rámec ochrany údajů ve Spojeném království

(12) Spojené království dne 31. ledna 2020 vystoupilo z Evropské unie. Podle Dohody o vystoupení Spojeného království Velké Británie a Severního Irska z Evropské unie a Evropského společenství pro atomovou energii (14) se ve Spojeném království během přechodného období do 31. prosince 2020 nadále používalo právo Unie. Před vystoupením a během přechodného období tvořily legislativní rámec ochrany osobních údajů ve Spojeném království příslušné právní předpisy EU (zejména nařízení Evropského parlamentu a Rady (EU) 2016/679 a směrnice Evropského parlamentu a Rady (EU) 2016/680 (15)) a vnitrostátní právní předpisy, zejména zákon o ochraně údajů z roku 2018 (16), který stanovil vnitrostátní pravidla v případech, které umožňuje nařízení (EU) 2016/679, upřesňoval a omezoval použití pravidel podle nařízení (EU) 2016/679 a prováděl ve vnitrostátním právu směrnici (EU) 2016/680.

(13) Aby se připravila na vystoupení z Evropské unie, přijala vláda Spojeného království zákon o Evropské unii (o vystoupení z Evropské unie) z roku 2018 (17), který začleňuje přímo použitelné právní předpisy Unie do práva Spojeného království (18). Tyto tzv. ponechané právní předpisy EU zahrnují nařízení (EU) 2016/679 v jeho plném rozsahu (včetně bodů odůvodnění) (19). V souladu s uvedeným zákonem musí soudy Spojeného království vykládat nepozměněné ponechané právní předpisy EU v souladu s příslušnou judikaturou Evropského soudního dvora a s obecnými zásadami práva Unie účinnými bezprostředně před koncem přechodného období (označovanými jako „ponechaná judikatura EU“, resp. „ponechané obecné zásady práva EU“) (20).

(14) Podle zákona o Evropské unii (o vystoupení z Evropské unie) z roku 2018 mají ministři Spojeného království pravomoc zavádět prostřednictvím zákonných nástrojů sekundární právní předpisy, aby provedli nutné úpravy ponechaného práva Evropské unie po vystoupení Spojeného království z Evropské unie. V rámci výkonu této pravomoci přijali nařízení v oblasti ochrany údajů, soukromí a elektronických komunikací (změny atd.) (vystoupení z EU) z roku 2019 (dále jen „nařízení v oblasti ochrany údajů, soukromí a elektronických komunikací“) (21). Nařízení v oblasti ochrany údajů, soukromí a elektronických komunikací pozměňují nařízení (EU) 2016/679, které do práva Spojeného království začlenil zákon o Evropské unii (o vystoupení z Evropské unie) z roku 2018, zákon o ochraně údajů z roku 2018 a ostatní právní předpisy v oblasti ochrany údajů, aby odpovídaly vnitrostátním souvislostem (22).

(15) Právní rámec ochrany osobních údajů ve Spojeném království po skončení přechodného období tedy tvoří: — britské nařízení GDPR ve znění začleněném do práva Spojeného království podle zákona o Evropské unii (o vystoupení z Evropské unie) z roku 2018 a pozměněném nařízeními v oblasti ochrany údajů, soukromí a elektronických komunikací (23) a — zákon o ochraně údajů z roku 2018 (24) ve znění pozměněném nařízeními v oblasti ochrany údajů, soukromí a elektronických komunikací.

(16) Jelikož britské nařízení GDPR vychází z právních předpisů EU, pravidla ochrany údajů ve Spojeném království v mnoha ohledech velmi přesně odrážejí odpovídající pravidla platná v Evropské unii.

(17) Kromě pravomocí, které ministrovi přiznává zákon o Evropské unii (o vystoupení z Evropské unie) z roku 2018, několik ustanovení zákona o ochraně údajů z roku 2018 uděluje ministrovi pravomoc přijímat sekundární právní předpisy, kterými se mění některá ustanovení zákona nebo stanoví doplňková a doplňující pravidla (25). Ministr dosud vykonával pouze pravomoc podle článku 137 zákona o ochraně údajů z roku 2018, a to přijmout nařízení o ochraně údajů (poplatky a informace) (změna) z roku 2019, které stanoví okolnosti, za nichž jsou správci údajů povinni platit roční poplatek nezávislému úřadu pro ochranu osobních údajů ve Spojeném království, tedy komisaři pro informace.

(18) A v neposlední řadě jsou další pokyny k právním předpisům Spojeného království v oblasti ochrany údajů uvedeny v kodexech zásad a dalších pokynech přijatých komisařem pro informace. Ačkoli tyto pokyny nejsou formálně právně závazné, mají svou váhu z hlediska výkladu a ukazují, jak se právní předpisy o ochraně údajů používají a jak je komisař v praxi vymáhá. Zejména články 121 až 125 zákona o ochraně údajů z roku 2018 vyžadují, aby komisař vypracoval kodexy postupů pro sdílení údajů, přímý marketing, design odpovídající věku a pro ochranu údajů a žurnalistiku.

(19) Právní rámec Spojeného království, který se použije na údaje předávané podle tohoto rozhodnutí, je tedy z hlediska své struktury a hlavních prvků velmi podobný právnímu rámci, který se používá v Evropské unii. Zahrnuje to skutečnost, že takový rámec se neopírá pouze o povinnosti stanovené ve vnitrostátním právu, které byly formovány právem EU, ale také o povinnosti zakotvené v mezinárodním právu, zejména prostřednictvím dodržování EÚLP a úmluvy č. 108 a podrobení se pravomoci Evropského soudu pro lidská práva ze strany Spojeného království. Tyto povinnosti vyplývají z právně závazných mezinárodních nástrojů, zejména pokud jde o ochranu osobních údajů, a jsou proto obzvláště důležitým prvkem právního rámce posuzovaného v tomto rozhodnutí.

2.3 Časová a územní působnost

(20) Obdobně jako nařízení (EU) 2016/679 se i britské nařízení GDPR použije na zcela nebo částečně automatizované zpracování osobních údajů nebo na jiné zpracování osobních údajů, pokud jsou obsažena v evidenci (26). Definice „osobních údajů“, „subjektu údajů“ a „zpracování“ v britském nařízení GDPR jsou totožné s definicemi v nařízení (EU) 2016/679 (27). Kromě toho se britské nařízení GDPR použije na zpracování ručně zpracovávaných nestrukturovaných osobních údajů (28) v držení určitých orgánů veřejné moci Spojeného království (29), ačkoli články 24 a 25 zákona o ochraně údajů z roku 2018 ruší použití zásad a práv podle britského nařízení GDPR, které nejsou pro takové osobní údaje použitelné. Podobně, jako je stanoveno v nařízení (EU) 2016/679, se britské nařízení GDPR nepoužije na zpracování osobních údajů prováděné fyzickou osobou v průběhu výlučně osobních či domácích činností (30).

(21) Britské nařízení GDPR rozšiřuje svou působnost také na zpracování v průběhu činnosti, která bezprostředně před koncem přechodného období nespadala do oblasti působnosti práva Evropské unie (např. národní bezpečnost) (31) nebo spadala do oblasti působnosti hlavy V kapitoly 2 Smlouvy o Evropské unii (činnosti v oblasti společné zahraniční a bezpečnostní politiky) (32). Stejně jako v systému Evropské unie se britské nařízení GDPR nepoužije na zpracování osobních údajů příslušným orgánem za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a předcházení těmto hrozbám (tzv. „účely prosazování práva“) (taková zpracování namísto toho upravuje část 3 zákona o ochraně údajů z roku 2018 podobně jako směrnice (EU) 2016/680 podle práva Evropské unie) nebo na zpracování osobních údajů zpravodajskými službami (Security Service (Bezpečnostní služba), Secret Intelligence Service (Tajná zpravodajská služba) a Government Communications Headquarters (Vládní ředitelství pro komunikace)), které upravuje část 4 zákona o ochraně údajů z roku 2018 (33).

(22) Územní působnost britského nařízení GDPR je popsána v článku 3 britského nařízení GDPR (34) a zahrnuje zpracování osobních údajů v souvislosti s činnostmi provozovny správce nebo zpracovatele ve Spojeném království (bez ohledu na to, kde zpracování probíhá), jakož i zpracování osobních údajů subjektů údajů, které se nacházejí ve Spojeném království, pokud činnosti zpracování souvisejí s nabídkou zboží nebo služeb těmto subjektům údajů nebo s monitorováním jejich chování (35). To odráží přístup uplatněný v článku 3 nařízení (EU) 2016/679.

2.4 Definice osobních údajů a pojmy správce a zpracovatele

(23) Definice osobních údajů, zpracování, správce, zpracovatele, jakož i definice pseudonymizace stanovené v nařízení (EU) 2016/679 jsou v britském nařízení GDPR (36) zachovány bez podstatných úprav. V čl. 9 odst. 1 britského nařízení GDPR jsou navíc stejným způsobem jako v nařízení (EU) 2016/679 definovány zvláštní kategorie údajů („osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby“). Článek 205 zákona o ochraně údajů z roku 2018 uvádí definici „biometrických údajů“ (37), „údajů o zdravotním stavu“ (38) a „genetických údajů“ (39).

2.5 Záruky, práva a povinnosti

2.5.1 Zákonnost a korektnost zpracování

(24) Osobní údaje by měly být zpracovávány zákonným a korektním způsobem.

(25) Zásady zákonnosti, korektnosti a transparentnosti a důvody pro zákonné zpracování jsou v právu Spojeného království zaručeny prostřednictvím čl. 5 odst. 1 písm. a) a čl. 6 odst. 1 britského nařízení GDPR, které jsou totožné s odpovídajícími ustanoveními nařízení (EU) 2016/679 (40). Článek 8 zákona o ochraně údajů z roku 2018 doplňuje čl. 6 odst. 1 písm. e) tím, že stanoví, že zpracování osobních údajů podle čl. 6 odst. 1 písm. e) britského nařízení GDPR (nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci správce), zahrnuje zpracování osobních údajů, které je nezbytné pro výkon spravedlnosti, výkon funkce kterékoli komory parlamentu Spojeného království, výkon funkce svěřené osobě na základě právního předpisu nebo v rámci právního státu, výkon funkce Koruny, ministra Koruny nebo vládního ministerstva nebo činnost, která podporuje nebo prosazuje demokratickou angažovanost.

(26) Pokud jde o souhlas (jeden z důvodů pro zákonné zpracování), britské nařízení GDPR také beze změny zachovává podmínky stanovené v článku 7 nařízení (EU) 2016/679, to znamená, že správce musí být schopen prokázat, že subjekt údajů udělil souhlas, písemná žádost o vyjádření souhlasu musí být předložena jasně a srozumitelně, subjekt údajů musí mít právo svůj souhlas kdykoli odvolat a při posuzování toho, zda je souhlas svobodný, musí být zohledněna skutečnost, zda je plnění smlouvy podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné. Podle článku 8 britského nařízení GDPR je navíc v souvislosti s poskytováním služeb informační společnosti souhlas dítěte zákonný pouze v případě, že je dítě ve věku nejméně 13 let. To splňuje věkové rozmezí stanovené v článku 8 nařízení (EU) 2016/679.

2.5.2 Zpracování zvláštních kategorií osobních údajů

(27) Pokud se zpracovávají „zvláštní kategorie“ údajů, měly by existovat zvláštní záruky.

(28) Britské nařízení GDPR a zákon o ochraně údajů z roku 2018 obsahují konkrétní pravidla týkající se zpracování zvláštních kategorií osobních údajů, které jsou v čl. 9 odst. 1 britského nařízení GDPR definovány stejným způsobem jako v nařízení (EU) 2016/679 (viz 23. bod odůvodnění výše). Podle článku 9 britského nařízení GDPR je zpracování zvláštních kategorií údajů v zásadě zakázáno, pokud se nepoužije zvláštní výjimka.

(29) Tyto výjimky (vyjmenované v čl. 9 odst. 2 a 3 britského nařízení GDPR) neznamenají žádné podstatné změny oproti čl. 9 odst. 2 a 3 nařízení (EU) 2016/679. Pokud subjekt údajů neudělil výslovný souhlas se zpracováním těchto osobních údajů, je zpracování zvláštních kategorií osobních údajů povoleno pouze za konkrétních a omezených okolností. Zpracování citlivých údajů musí být ve většině případů nezbytné pro konkrétní účel vymezený v příslušném ustanovení (viz čl. 9 odst. 2 písm. b), c), f), g), h), i) a j)).

(30) Kromě toho, pokud výjimka podle čl. 9 odst. 2 britského nařízení GDPR vyžaduje zmocnění ze zákona nebo odkazuje na veřejný zájem, článek 10 zákona o ochraně údajů z roku 2018 společně s přílohou 1 tohoto zákona blíže specifikuje podmínky, které musí být splněny, aby bylo možné výjimek využít. Například v případě zpracování citlivých údajů za účelem ochrany „veřejného zdraví“ (čl. 9 odst. 2 písm. i) britského nařízení GDPR) ustanovení čl. 3 písm. b) části 1 přílohy 1 vyžaduje, aby kromě splnění testu nezbytnosti bylo takové zpracování prováděno „zdravotnickým pracovníkem nebo na jeho odpovědnost“ nebo „jinou osobou, která je vázána povinností mlčenlivosti na základě právního předpisu nebo v rámci právního státu“, a to včetně řádně zavedené povinnosti mlčenlivosti podle zvykového práva.

(31) Pokud jsou citlivé údaje zpracovávány z důvodu významného veřejného zájmu (čl. 9 odst. 2 písm. g) britského nařízení GDPR), část 2 přílohy 1 zákona o ochraně údajů z roku 2018 uvádí úplný seznam účelů, které lze považovat za podstatný veřejný zájem, a pro každý z těchto účelů stanoví zvláštní dodatečné podmínky. Za významný veřejný zájem je například považováno prosazování rasové a etnické rozmanitosti na vyšších úrovních struktury organizací. Zpracování citlivých údajů pro tento zvláštní účel podléhá podrobným požadavkům, včetně toho, že je prováděno v rámci postupu identifikace osob vhodných k zastávání vyšších funkcí, je nezbytné k prosazování rasové a etnické rozmanitosti a není pravděpodobné, že by subjektu údajů způsobilo podstatnou újmu nebo tíseň.

(32) Ustanovení čl. 11 odst. 1 zákona o ochraně údajů z roku 2018 stanoví podmínky pro zpracování osobních údajů za okolností popsaných v čl. 9 odst. 3 britského nařízení GDPR v souvislosti s povinností mlčenlivosti. To zahrnuje situace, kdy je zpracování prováděno zdravotnickým nebo sociálním pracovníkem nebo na jeho odpovědnost nebo jinou osobou, která je za daných okolností vázána povinností mlčenlivosti ze zákona nebo v rámci právního státu.

(33) Kromě toho použití mnoha výjimek vyjmenovaných v čl. 9 odst. 2 britského nařízení GDPR vyžaduje zvláštní a vhodné záruky. V závislosti na povaze zpracování a míře rizika z hlediska práv a svobod subjektů údajů stanoví podmínky zpracování uvedené v příloze 1 zákona o ochraně údajů z roku 2018 různé záruky. Příloha 1 pak stanoví podmínky pro každou situaci zpracování.

(34) V některých případech zákon o ochraně údajů z roku 2018 upravuje a omezuje druh citlivých údajů, které lze zpracovávat pro účely dodržení konkrétního právního základu. Například článek 8 přílohy 1 povoluje zpracování citlivých údajů za účelem prosazování rovnosti příležitostí nebo zacházení. Tuto podmínku zpracování lze použít pouze v případě, že údaje vypovídají o rasovém či etnickém původu, náboženském vyznání či filozofickém přesvědčení, sexuální orientaci nebo se jedná o údaje o zdravotním stavu.

(35) V některých případech zákon o ochraně údajů z roku 2018 omezuje druh správce údajů, který může podmínky zpracování využít. Například článek 23 přílohy 1 upravuje zpracování citlivých údajů v souvislosti s odpověďmi volených zástupců veřejnosti. Tuto podmínku zpracování lze použít pouze v případě, že správcem je volený zástupce nebo správce jedná z jeho pověření.

(36) V některých jiných případech zákon o ochraně údajů z roku 2018 pro možnost použití podmínky zpracování stanoví meze kategorií subjektu údajů. Například článek 21 příloha 1 reguluje zpracování citlivých údajů pro systémy zaměstnaneckého penzijního pojištění. Tuto podmínku lze použít pouze v případě, že dotyčným subjektem údajů je sourozenec, rodič, prarodič nebo praprarodič účastníka systému.

(37) Při využití výjimek podle čl. 9 odst. 2 britského nařízení GDPR, které jsou dále upřesněny v článku 10 zákona o ochraně údajů z roku 2018 a jeho příloze 1, je správce ve většině případů povinen vypracovat „dokument o vhodné politice“. Ten musí vymezovat postupy správce pro zajištění souladu se zásadami uvedenými v článku 5 britského nařízení GDPR. Musí také stanovit koncepce pro uchovávání a výmaz uvedením pravděpodobné doby uchovávání. Správci musí tento dokument podle potřeby revidovat a aktualizovat. Správce musí koncepční dokument uchovávat po dobu šesti měsíců po dokončení zpracování a na požádání jej musí zpřístupnit komisaři pro informace (41).

(38) Podle článku 41 přílohy 1 zákona o ochraně údajů z roku 2018 musí být ke koncepčnímu dokumentu vždy přiložen rozšířený záznam o zpracování. Tento záznam musí sledovat závazky obsažené v koncepčním dokumentu, tj. zda jsou údaje mazány nebo uchovávány v souladu s koncepcí. Pokud koncepce není dodržena, musí protokol zaznamenat příslušné důvody. Záznam musí také popisovat, jak zpracování splňuje článek 6 britského nařízení GDPR (zákonnost zpracování) a uplatněnou zvláštní podmínku v příloze 1 zákona o ochraně údajů z roku 2018.

(39) A v neposlední řadě britské nařízení GDPR stejně jako nařízení (EU) 2016/679 poskytuje obecné záruky pro určité operace zpracování zvláštních kategorií údajů. Článek 35 britského nařízení GDPR vyžaduje posouzení vlivu na ochranu osobních údajů, pokud jsou zvláštní kategorie údajů zpracovávány ve velkém rozsahu. Podle článku 37 britského nařízení GDPR musí správce nebo zpracovatel jmenovat pověřence pro ochranu osobních údajů, pokud jeho hlavní činnosti spočívají v rozsáhlém zpracování zvláštních kategorií údajů.

(40) Pokud jde o osobní údaje týkající se rozsudků v trestních věcech a trestných činů, článek 10 britského nařízení GDPR je totožný s článkem 10 nařízení (EU) 2016/679. Povoluje zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů pouze pod dozorem orgánu veřejné moci nebo jestliže je oprávněné podle vnitrostátního práva poskytujícího vhodné záruky, pokud jde o práva a svobody subjektů údajů.

(41) Pokud zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů neprobíhá pod dozorem orgánu veřejné moci, čl. 10 odst. 5 zákona o ochraně údajů z roku 2018 stanoví, že toto zpracování může probíhat pouze pro konkrétní účely / v konkrétních situacích stanovených v částech 1, 2 a 3 přílohy 1 zákona o ochraně údajů z roku 2018 a podléhá zvláštním požadavkům, které jsou stanoveny pro každý z těchto účelů / každou z těchto situací. Například údaje týkající se rozsudků v trestních věcech mohou zpracovávat neziskové subjekty, pokud a) zpracování provádí v rámci svých oprávněných činností a s vhodnými zárukami nadace, sdružení nebo jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, a b) za podmínky i) že se zpracování vztahuje pouze na současné nebo bývalé členy tohoto subjektu nebo na osoby, které s ním udržují pravidelné styky související s jeho cíli, a ii) že tyto osobní údaje nejsou bez souhlasu subjektů údajů zpřístupňovány mimo tento subjekt.

(42) Kromě toho část 3 přílohy 1 zákona o ochraně údajů z roku 2018 vymezuje další okolnosti, za nichž lze použít údaje týkající se rozsudků v trestních věcech, které odpovídají právním důvodům pro zpracování citlivých údajů podle čl. 9 odst. 2 nařízení (EU) 2016/679 a britského nařízení GDPR (např. souhlas subjektu údajů, životně důležité zájmy jednotlivce, pokud subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas, pokud již subjekt údajů údaje zjevně zveřejnil, pokud je zpracování nezbytné pro určení, výkon nebo obhajobu právního nároku atd.).

2.5.3 Účelové omezení, přesnost, minimalizace údajů, omezení uložení a zabezpečení údajů

(43) Osobní údaje by měly být zpracovávány za konkrétním účelem a následně používány, pouze pokud to není neslučitelné s účelem zpracování.

(44) Tuto zásadu stanoví čl. 5 odst. 1 písm. b) nařízení (EU) 2016/679 a beze změn ji zachovává čl. 5 odst. 1 písm. b) britského nařízení GDPR. Podmínky dalšího slučitelného zpracování podle čl. 6 odst. 4 nařízení (EU) 2016/679 jsou rovněž bez podstatných úprav zachovány v čl. 6 odst. 4 písm. a) až e) britského nařízení GDPR.

(45) Údaje by navíc měly být přesné a v případě potřeby aktualizované. Měly by být také přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelům, pro které jsou zpracovávány, a v zásadě by se neměly uchovávat déle, než je nezbytné pro účely, k nimž jsou dané osobní údaje zpracovávány.

(46) Tyto zásady minimalizace údajů, přesnosti a omezení uložení vymezuje čl. 5 odst. 1 písm. c) až e) nařízení (EU) 2016/679 a beze změn je zachovává čl. 5 odst. 1 písm. c) až e) britského nařízení GDPR.

(47) Osobní údaje by také měly být zpracovávány způsobem, který zajišťuje jejich zabezpečení, včetně ochrany před neoprávněným nebo protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením. Za tímto účelem by podnikatelské subjekty měly přijmout vhodná technická nebo organizační opatření na ochranu osobních údajů před možnými hrozbami. Tato opatření by měla být posuzována s přihlédnutím ke stavu techniky a k souvisejícím nákladům.

(48) Zabezpečení údajů je v právu Spojeného království zakotveno prostřednictvím zásady celistvosti a důvěrnosti v čl. 5 odst. 1 písm. f) britského nařízení GDPR a v článku 32 britského nařízení GDPR, který se týká zabezpečení zpracování. Tato ustanovení jsou totožná s příslušnými ustanoveními nařízení (EU) 2016/679. Navíc britské nařízení GDPR vyžaduje za stejných podmínek, jaké jsou stanoveny v článcích 33 a 34 nařízení (EU) 2016/679, ohlašování případů porušení zabezpečení osobních údajů dozorovému úřadu (článek 33 britského nařízení GDPR) a oznamování případů porušení zabezpečení osobních údajů subjektu údajů (článek 34 britského nařízení GDPR).

2.5.4 Transparentnost

(49) Subjekty údajů by měly být informovány o hlavních znacích zpracování jejich osobních údajů.

(50) To zajišťují články 13 a 14 britského nařízení GDPR, které kromě obecné zásady transparentnosti stanoví pravidla týkající se informací, které mají být poskytovány subjektu údajů (42). Britské nařízení GDPR nezavádí žádné podstatné úpravy těchto pravidel ve srovnání s odpovídajícími články nařízení (EU) 2016/679. Stejně jako v nařízení (EU) 2016/679 však požadavky těchto článků týkající se transparentnosti podléhají několika výjimkám stanoveným v zákoně o ochraně údajů z roku 2018 (viz 55. až 72. bod odůvodnění).

2.5.5 Individuální práva

(51) Subjekty údajů by měly mít určitá práva, která lze vůči správci nebo zpracovateli vymáhat, zejména právo na přístup k údajům, právo vznést námitku proti zpracování a právo na opravu a výmaz údajů. Tato práva mohou zároveň podléhat omezením, pokud jsou tato omezení nezbytná a přiměřená k zajištění veřejné bezpečnosti nebo jiných důležitých cílů obecného veřejného zájmu.

2.5.5.1 Hmotná práva

(52) Britské nařízení GDPR uděluje jednotlivcům stejná vymahatelná práva jako nařízení (EU) 2016/679. Ustanovení, z nichž vyplývají práva jednotlivců, jsou v britském nařízení GDPR zachována bez podstatných změn.

(53) Tato práva zahrnují právo subjektu údajů na přístup k osobním údajům (článek 15 britského nařízení GDPR), právo na opravu (článek 16 britského nařízení GDPR), právo na výmaz (článek 17 britského nařízení GDPR), právo na omezení zpracování (článek 18 britského nařízení GDPR), oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování (článek 19 britského nařízení GDPR), právo na přenositelnost údajů (článek 20 britského nařízení GDPR) a právo vznést námitku (článek 21 britského nařízení GDPR) (43). Poslední zmíněný článek obsahuje i právo subjektu údajů vznést námitku vůči zpracování osobních údajů pro účely přímého marketingu, které stanoví čl. 21 odst. 2 a 3 nařízení (EU) 2016/679. Podle článku 122 zákona o ochraně údajů z roku 2018 musí komisař pro informace vypracovat kodex zásad týkající se provádění přímého marketingu v souladu s požadavky právních předpisů v oblasti ochrany údajů (a nařízení o ochraně soukromí a elektronických komunikacích (směrnice ES) z roku 2003) a další pokyny k podpoře správné praxe v oblasti přímého marketingu, které bude komisař považovat za vhodné. Úřad komisaře pro informace v současné době připravuje kodex přímého marketingu (44).

(54) Právo subjektu údajů nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, které má pro subjekt údajů právní účinky nebo se ho obdobným způsobem významně dotýká, jak je stanoveno v článku 22 obecného nařízení o ochraně osobních údajů, je bez podstatných změn zachováno i v britském nařízení GDPR. Byl však doplněn nový odstavec 3A, který uvádí, že článek 14 zákona o ochraně údajů z roku 2018 stanoví záruky pro práva, svobody a oprávněné zájmy subjektů údajů, pokud je zpracování prováděno podle čl. 22 odst. 2 písm. b) britského nařízení GDPR. Toto ustanovení platí pouze v případě, že základem takového rozhodnutí je povolení nebo požadavek podle práva Spojeného království, a nepoužije se v případech, kdy je rozhodnutí nezbytné na základě smlouvy nebo je učiněno s výslovným souhlasem subjektu údajů. Použije-li se článek 14 zákona o ochraně údajů z roku 2018, musí správce, jakmile je to přiměřeně proveditelné, písemně oznámit subjektu údajů, že bylo přijato rozhodnutí založené výhradně na automatizovaném zpracování. Subjekt údajů má právo požadovat, aby správce (do jednoho měsíce od obdržení oznámení) rozhodnutí znovu zvážil nebo aby přijal nové rozhodnutí, které nebude založeno výhradně na automatizovaném zpracování. Ministr je zmocněn přijmout další ochranná opatření, pokud jde o automatizované rozhodování. Tato pravomoc dosud nebyla využita.

2.5.5.2 Omezení individuálních práv a jiná ustanovení

(55) Zákon o ochraně údajů z roku 2018 stanoví několik omezení individuálních práv, která odpovídají rámci článku 23 britského nařízení GDPR. V tomto rámci nejsou zavedena žádná omezení týkající se práva vznést námitku vůči přímému marketingu podle čl. 21 odst. 2 a 3 britského nařízení GDPR nebo práva nebýt předmětem automatizovaného rozhodování podle článku 22 britského nařízení GDPR.

(56) Omezení jsou upřesněna v přílohách 2–4 zákona o ochraně údajů z roku 2018. Orgány Spojeného království vysvětlily, že se řídí dvěma zásadami: zásadou specifičnosti (uplatnění podrobného přístupu, rozdělení obecných omezení na více specifičtějších ustanovení) a zásadou podmíněnosti (každé ustanovení je doplněno zárukami v podobě omezení nebo podmínek zabraňujících zneužívání) (45).

(57) Omezení popsaná v čl. 23 odst. 1 britského nařízení GDPR jsou formulována tak, aby bylo zajištěno jejich použití pouze za vymezených okolností, jsou-li v demokratické společnosti nutná, a jsou přiměřená sledovanému legitimnímu cíli. V souladu s ustálenou judikaturou týkající se výkladu omezení lze výjimku z režimu ochrany údajů použít v každém konkrétním případě pouze tehdy, je-li to nezbytné a přiměřené (46). Test nezbytnosti musí být „přísný a musí vyžadovat, aby jakýkoli zásah do práv subjektu údajů byl úměrný závažnosti ohrožení veřejného zájmu. Zahrnuje proto klasickou analýzu proporcionality“ (47).

(58) Cíle sledované těmito omezeními odpovídají cílům uvedeným v článku 23 nařízení (EU) 2016/679, s výjimkou omezení týkajících se národní bezpečnosti a obrany, která jsou upravena v článku 26 zákona o ochraně údajů z roku 2018, ale podléhají stejným požadavkům na nezbytnost a přiměřenost (viz 63. až 66. bod odůvodnění).

(59) Některá omezení, například ta, která se týkají prevence nebo odhalování trestné činnosti, zadržování nebo trestního stíhání pachatelů a vyměřování nebo výběru daní či cel (48), umožňují omezení veškerých individuálních práv a povinností transparentnosti (vyjma práv podle čl. 21 odst. 2 a článku 22). Rozsah dalších omezení se omezuje na povinnosti transparentnosti a práva na přístup, například omezení týkající se povinnosti mlčenlivosti advokáta (49), práva na osvobození od požadavku poskytovat informace k vlastnímu neprospěchu (50) a financování společností, zejména prevence obchodování zasvěcených osob (51). Malý počet omezení umožňuje omezit povinnost správce oznámit subjektu údajů porušení zabezpečení údajů a zásady účelového omezení a zákonnosti, korektnosti a transparentnosti zpracování (52).

(60) Některá omezení se na určitý druh zpracování osobních údajů vztahují automaticky „v plném rozsahu“ (uplatnění povinností transparentnosti a individuálních práv je například vyloučeno při zpracování osobních údajů za účelem posouzení vhodnosti osoby pro soudní funkci nebo pro zpracování údajů soudem, tribunálem nebo jednotlivcem, který jedná v rámci soudních pravomocí).

(61) Ve většině případů však příslušný bod přílohy 2 zákona o ochraně údajů z roku 2018 stanoví, že omezení se použije pouze tehdy (a do té míry), pokud by použití ustanovení „pravděpodobně bylo na újmu“ sledovaného legitimního cíle tohoto omezení: například uvedená ustanovení britského nařízení GDPR se nepoužijí na osobní údaje zpracovávané za účelem prevence nebo odhalování trestné činnosti, zadržení nebo trestního stíhání pachatelů nebo vyměření či výběru daní nebo cel „v rozsahu, v jakém by použití těchto ustanovení pravděpodobně bylo na újmu“ kterékoli z uvedených záležitostí (53).

(62) Standardní formulaci „by pravděpodobně bylo na újmu“ soudy ve Spojeném království důsledně vykládají ve smyslu „velmi významné a závažné možnosti újmy na určených veřejných zájmech“ (54). Omezení, které podléhá testu újmy, se tedy lze dovolávat pouze v případě, že existuje velmi významná a závažná možnost, že by přiznání určitého práva ohrozilo dotčený veřejný zájem, a to v rozsahu, v jakém uvedená možnost existuje. Správce je povinen v každém jednotlivém případě posoudit, zda jsou tyto podmínky splněny (55).

(63) Vedle omezení uvedených v příloze 2 zákona o ochraně údajů z roku 2018 stanoví článek 26 zákona o ochraně údajů z roku 2018 výjimku, kterou lze použít u určitých ustanovení britského nařízení GDPR a zákona o ochraně údajů z roku 2018, je-li tato výjimka nutná pro účely ochrany národní bezpečnosti nebo pro účely obrany. Tato výjimka se použije na zásady ochrany údajů (vyjma zásady zákonnosti), povinnosti transparentnosti, práva subjektu údajů, povinnost oznámit porušení zabezpečení údajů, pravidla pro mezinárodní předávání, některé povinnosti a pravomoci komisaře pro informace a pravidla o právní ochraně, odpovědnosti a sankcích, s výjimkou ustanovení o obecných podmínkách pro ukládání správních pokut stanovených v článku 83 britského GDPR a ustanovení o sankcích v článku 84 britského nařízení GDPR. Ustanovení článku 28 zákona o ochraně údajů z roku 2018 navíc upravuje použití čl. 9 odst. 1 tak, aby umožnil zpracování zvláštních kategorií údajů podle čl. 9 odst. 1 britského nařízení GDPR, pokud je zpracování prováděno z důvodu ochrany národní bezpečnosti nebo pro účely obrany, a to s příslušnými zárukami týkajícími se práv a svobod subjektů údajů (56).

(64) Výjimku lze použít pouze v případě, že je to nezbytné k zajištění národní bezpečnosti nebo obrany. Stejně jako v případě ostatních výjimek stanovených zákonem o ochraně údajů z roku 2018 musí správce údajů výjimku posoudit a použít případ od případu. Jakékoli použití výjimky musí být navíc v souladu se standardy lidských práv (podle zákona o lidských právech z roku 1998), podle nichž by jakýkoli zásah do práv na soukromí měl být v demokratické společnosti nezbytný a přiměřený (57).

(65) Tento výklad výjimky potvrzuje Úřad komisaře pro informace, který vydal podrobné pokyny k používání výjimky z důvodu národní bezpečnosti a obrany a objasnil, že správce musí výjimku posoudit a použít případ od případu (58). Pokyny zejména zdůrazňují, že „[n]ejde o plošnou výjimku“ a že pro její použití „nestačí, aby byly údaje zpracovávány pro účely národní bezpečnosti“. Správce, který výjimku využívá, musí naopak „prokázat, že existuje reálná možnost nepříznivého dopadu na národní bezpečnost“, a v případě potřeby se od něj očekává, že „poskytne [Úřadu komisaře pro informace] důkazy o důvodech, proč tuto výjimku použil“. Pokyny obsahují kontrolní seznam a řadu příkladů k dalšímu objasnění podmínek, za nichž se lze této výjimky dovolávat.

(66) Skutečnost, že jsou údaje zpracovávány pro účely národní bezpečnosti nebo obrany, proto sama o sobě pro použití výjimky nestačí. Správce musí posoudit, jaké by byly skutečné důsledky pro národní bezpečnost, pokud by musel dodržet konkrétní ustanovení o ochraně údajů. Výjimku lze použít pouze na ta konkrétní ustanovení, u nichž bylo zjištěno, že představují riziko, a musí být uplatňována v co nejomezenější míře (59).

(67) Tento přístup potvrdil Tribunál pro informace (60). Ve věci Baker v Secretary of State for the Home Department (dále jen „rozsudek ve věci Baker v Secretary of State“) dospěl k závěru, že bylo nezákonné použít výjimku z důvodu národní bezpečnosti jako plošnou výjimku pro přístup k žádostem přijatým zpravodajskými službami. Namísto toho bylo nutné používat výjimku individuálně, na základě posouzení každé žádosti z hlediska její podstaty a s ohledem na právo jednotlivců na respektování jejich soukromého života (61).

2.5.6 Omezení týkající se osobních údajů zpracovávaných pro novinářské, umělecké, akademické a literární účely, jakož i pro archivaci a výzkum

(68) Ustanovení čl. 85 odst. 2 britského nařízení GDPR umožňuje přijmout ustanovení o vynětí osobních údajů zpracovávaných pro novinářské, umělecké, akademické a literární účely z působnosti několika ustanovení britského nařízení GDPR. Výjimky pro zpracování za uvedenými účely uvádí část 5 přílohy 2 zákona o ochraně údajů z roku 2018. Stanoví výjimky ze zásad ochrany údajů (vyjma zásady integrity a důvěrnosti), právní důvody zpracování (včetně zvláštních kategorií údajů a údajů týkajících se rozsudků v trestních věcech atd.), podmínky souhlasu, povinnosti transparentnosti, práva subjektů údajů, povinnost oznamovat případy porušení zabezpečení údajů, požadavek konzultovat s komisařem pro informace před vysoce rizikovým zpracováním a pravidla pro mezinárodní předávání údajů (62). V tomto ohledu se britské nařízení GDPR významně neodchyluje od nařízení (EU) 2016/679, které ve svém článku 85 rovněž stanoví možnost vyjmout zpracování prováděné pro novinářské účely a pro účely akademického, uměleckého či literárního projevu z řady požadavků nařízení (EU) 2016/679. Ustanovení zákona o ochraně údajů z roku 2018, jmenovitě části 5 přílohy 2, jsou slučitelná s britským nařízením GDPR.

(69) Základní vyvažování, které má být provedeno podle článku 85 britského nařízení GDPR, se týká toho, zda je výjimka z pravidel ochrany údajů uvedená v 68. bodě odůvodnění „nutná k uvedení práva na ochranu osobních údajů do souladu se svobodou projevu a informací“ (63). Podle bodu 26 odst. 2 a 3 přílohy 2 zákona o ochraně údajů z roku 2018 Spojené království za účelem dosažení této vyváženosti uplatňuje test „důvodné domněnky“. Aby byla výjimka odůvodněná, musí se správce důvodně domnívat, i) že zveřejnění je ve veřejném zájmu a ii) že použití příslušného ustanovení nařízení GDPR by bylo neslučitelné s novinářskými, akademickými, uměleckými nebo literárními účely. Jak potvrzuje judikatura (64), test „důvodné domněnky“ obsahuje subjektivní i objektivní prvek: nestačí, aby správce prokázal, že byl sám přesvědčen, že dodržet ustanovení je neslučitelné s výše uvedenými účely. Jeho domněnka musí být důvodná, tj. taková, aby o ní mohla být přesvědčena rozumná osoba obeznámená s relevantními skutečnostmi. Správce proto musí při formování své domněnky postupovat s náležitou péčí, aby mohl prokázat její důvodnost. Podle vysvětlení poskytnutých orgány Spojeného království musí být test „důvodné domněnky“ uplatněn u každé jednotlivé výjimky (65). Jsou-li podmínky splněny, považuje se výjimka podle právních předpisů Spojeného království za nezbytnou a přiměřenou.

(70) Podle článku 124 zákona o ochraně údajů z roku 2018 musí Úřad komisaře pro informace vypracovat kodex zásad v oblasti ochrany údajů a žurnalistiky. Práce na tomto kodexu pokračují. V této záležitosti byly vydány pokyny podle zákona o ochraně údajů z roku 1998, které zejména zdůrazňují, že k využití této výjimky nestačí pouze konstatovat, že dodržení ustanovení by pro novinářskou činnost znamenalo komplikace, ale musí existovat jasný argument, že dotčené ustanovení představuje překážku odpovědné žurnalistiky (66). Pokyny k uplatnění testu veřejného zájmu a vyvážení veřejného zájmu vůči zájmu jednotlivce na ochraně soukromí publikovaly i britský regulační úřad pro telekomunikace OFCOM a společnost BBC ve svých redakčních pokynech (67). Tyto pokyny zejména uvádějí příklady informací, které lze považovat za informace ve veřejném zájmu, a vysvětlují nutnost schopnosti prokázat, že veřejný zájem za konkrétních okolností daného případu převažuje nad právy na soukromí.

(71) Po vzoru ustanovení článku 89 nařízení GDPR mohou být z řady vyjmenovaných ustanovení britského nařízení GDPR vyňaty i osobní údaje zpracovávané pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely (68). Pokud jde o výzkum a statistiku, jsou možné výjimky z ustanovení britského nařízení GDPR týkající se potvrzení zpracování, přístupu k údajům a záruk za předání do třetích zemí; práva na opravu; omezení zpracování a námitky vůči zpracování. Pokud jde o archivaci ve veřejném zájmu, jsou možné výjimky také z oznamovací povinnosti ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování a z práva na přenositelnost údajů.

(72) Podle bodu 27 odst. 1 a bodu 28 odst. 1 přílohy 2 zákona o ochraně údajů z roku 2018 jsou výjimky z vyjmenovaných ustanovení britského nařízení GDPR možné, pokud by použití ustanovení „znemožnilo nebo vážně narušilo splnění“ dotčených účelů (69).

(73) Vzhledem k jejich významu pro účinný výkon práv jednotlivce bude jakýkoli relevantní vývoj týkající se výkladu a používání výše uvedených výjimek v praxi (kromě výjimky týkající se zachování účinné kontroly imigrace, jak je vysvětlena v 6. bodě odůvodnění) včetně případného dalšího vývoje judikatury a pokynů Úřadu komisaře pro informace a donucovacích opatření, náležitě zohledněn v rámci nepřetržitého sledování tohoto rozhodnutí (70).

2.5.7 Omezení dalšího předávání

(74) Úroveň ochrany osobních údajů předávaných z Evropské unie správcům nebo zpracovatelům ve Spojeném království nesmí být oslabena dalším předáváním těchto údajů příjemcům ve třetí zemi. Taková „další předání“, která z pohledu správce nebo zpracovatele ve Spojeném království představují mezinárodní předání ze Spojeného království, by měla být povolena pouze tehdy, pokud další příjemce mimo Spojené království sám podléhá pravidlům, která zajišťují úroveň ochrany obdobnou té, která je zaručena v právním řádu Spojeného království. Z tohoto důvodu je použití pravidel britského nařízení GDPR a zákona o ochraně údajů z roku 2018 pro mezinárodní předávání osobních údajů důležitým faktorem k zajištění kontinuity ochrany v případě osobních údajů předávaných z Evropské unie do Spojeného království podle tohoto rozhodnutí.

(75) Režim mezinárodního předávání osobních údajů ze Spojeného království je stanoven v článcích 44–49 britského nařízení GDPR doplněných zákonem o ochraně údajů z roku 2018 a je v podstatě totožný s pravidly stanovenými v kapitole V nařízení (EU) 2016/679 (71). Předávání osobních údajů do třetí země nebo mezinárodní organizaci může probíhat pouze na základě nařízení o odpovídající ochraně (britský ekvivalent rozhodnutí o odpovídající ochraně podle nařízení (EU) 2016/679), nebo pokud nařízení o odpovídající ochraně neexistuje, jestliže správce nebo zpracovatel poskytl vhodné záruky v souladu s článkem 46 britského nařízení GDPR. Pokud nařízení o odpovídající ochraně nebo vhodné záruky neexistují, lze předání provést pouze na základě výjimek stanovených v článku 49 britského nařízení GDPR.

(76) Nařízení o odpovídající ochraně vydaná ministrem mohou stanovit, že určitá třetí země (nebo území nebo odvětví ve třetí zemi), mezinárodní organizace nebo postavení (72) takové země, území, odvětví nebo organizace zajišťuje odpovídající úroveň ochrany osobních údajů. Při posuzování odpovídající úrovně ochrany musí ministr zohlednit naprosto tytéž aspekty, jaké má posoudit Komise podle čl. 45 odst. 2 písm. a) až c) nařízení (EU) 2016/679 vykládaného společně se 104. bodem odůvodnění nařízení (EU) 2016/679 a ponechanou judikaturou EU. To znamená, že při posuzování odpovídající úrovně ochrany ve třetí zemi bude příslušným standardem to, zda dotyčná třetí země zajišťuje úroveň ochrany „v zásadě rovnocennou“ úrovni ochrany zajištěné ve Spojeném království.

(77) Pokud jde o postup, na nařízení o odpovídající ochraně se vztahují „obecné“ procedurální náležitosti stanovené v článku 182 zákona o ochraně údajů z roku 2018. V rámci tohoto postupu musí ministr při navrhování přijetí britských nařízení o odpovídající ochraně Spojeného království konzultovat komisaře pro informace (73). Jakmile ministr nařízení přijme, jsou předložena parlamentu Spojeného království a podléhají postupu „zamítavého rozhodnutí“, v němž mohou obě komory parlamentu tato nařízení přezkoumat a podat návrh na zrušení těchto nařízení ve lhůtě 40 dnů (74).

(78) Podle čl. 17B odst. 1 zákona o ochraně údajů z roku 2018 musí být nařízení o odpovídající ochraně přezkoumávána v nejvýše čtyřletých intervalech a ministr musí průběžně sledovat vývoj ve třetích zemích a mezinárodních organizacích, který by mohl ovlivnit rozhodnutí vydat nařízení o odpovídající ochraně nebo tato nařízení pozměnit či zrušit. Pokud ministr zjistí, že určitá země nebo organizace již nezajišťuje odpovídající úroveň ochrany osobních údajů, musí v nezbytném rozsahu nařízení změnit nebo zrušit a zahájit konzultace s dotčenou třetí zemí nebo mezinárodní organizací ohledně nápravy nedostatečné úrovně ochrany. Tyto procedurální aspekty jsou rovněž odrazem odpovídajících požadavků nařízení (EU) 2016/679.

(79) Pokud neexistují nařízení o odpovídající ochraně, lze mezinárodní předání provést, pokud správce nebo zpracovatel poskytl vhodné záruky v souladu s článkem 46 britského nařízení GDPR. Tyto záruky jsou obdobné jako záruky podle článku 46 nařízení (EU) 2016/679. Zahrnují právně závazné a vymahatelné nástroje mezi orgány veřejné moci nebo veřejnými subjekty, závazná podniková pravidla (75), standardní doložky o ochraně údajů, schválené kodexy chování, schválené mechanismy pro vydání osvědčení a se souhlasem komisaře pro informace smluvní doložky mezi správci (nebo zpracovateli) nebo správní ujednání mezi orgány veřejné moci. Pravidla však byla z procesního hlediska upravena tak, aby fungovala v rámci Spojeného království, zejména standardní doložky o ochraně údajů může přijmout ministr (článek 17C) nebo komisař pro informace (článek 119A) v souladu se zákonem o ochraně údajů z roku 2018.

(80) Pokud neexistuje rozhodnutí o odpovídající ochraně nebo vhodné záruky, lze předání provést pouze na základě výjimek stanovených v článku 49 britského nařízení GDPR (76). Britské nařízení GDPR nezavádí žádné podstatné změny těchto pravidel ve srovnání s odpovídajícími pravidly nařízení (EU) 2016/679. Podle britského nařízení GDPR lze stejně jako podle nařízení (EU) 2016/679 některé výjimky využít pouze za předpokladu, že předání je příležitostné (77). Kromě toho Úřad komisaře pro informace ve svých pokynech k mezinárodním předáním vysvětluje: „Měli byste je používat pouze jako skutečné „výjimky“ z obecného pravidla, podle kterého byste neměli provádět omezená předání, pokud se na ně nevztahuje rozhodnutí o odpovídající ochraně nebo pokud neexistují vhodné záruky“ (78). Pokud jde o předání, která jsou nezbytná z důležitých důvodů veřejného zájmu (čl. 49 odst. 1 písm. d), může ministr vydat nařízení, která stanoví okolnosti, za nichž předání osobních údajů do třetí země nebo mezinárodní organizaci z důležitých důvodů veřejného zájmu není nezbytné. Kromě toho může ministr nařízeními předání určité kategorie osobních údajů do třetí země nebo mezinárodní organizaci omezit, pokud k předání nemůže dojít na základě nařízení o odpovídající ochraně a ministr považuje toto omezení za nezbytné z důležitých důvodů veřejného zájmu. Žádná taková nařízení dosud nebyla přijata.

(81) Tento rámec pro mezinárodní předání se stal použitelným na konci přechodného období (79). Bod 4 přílohy 21 zákona o ochraně údajů z roku 2018 (zavedený nařízeními v oblasti ochrany údajů a soukromí) však stanoví, že ke konci přechodného období se k určitým předáním osobních údajů přistupuje tak, jako by se opírala o nařízení o odpovídající ochraně. Tato předání zahrnují předání do státu EHP, na území Gibraltaru, do orgánu, instituce, úřadu nebo agentury Unie zřízených Smlouvou o EU nebo na základě Smlouvy o EU a do třetích zemí, na které se na konci tohoto období vztahuje unijní rozhodnutí o odpovídající ochraně. V důsledku toho mohou předávání do těchto zemí pokračovat stejně jako před vystoupením Spojeného království z EU. Po skončení přechodného období musí ministr ve lhůtě čtyř let, tedy do konce prosince 2024, provést přezkum těchto zjištění o odpovídající úrovni ochrany. Podle vysvětlení, které poskytly orgány Spojeného království, ačkoli ministr musí tento přezkum provést do konce prosince 2024, přechodná ustanovení neobsahují ustanovení o „skončení platnosti“ a příslušná přechodná ustanovení automaticky nepřestanou být účinná, pokud přezkum nebude do konce prosince 2024 dokončen.

(82) A konečně, pokud jde o budoucí vývoj režimu mezinárodního předávání osobních údajů ve Spojeném království (prostřednictvím přijetí nových předpisů o odpovídající ochraně, uzavření mezinárodních dohod nebo zřízení jiných mechanismů předávání), Komise bude situaci pozorně sledovat a posoudí, zda jsou jednotlivé mechanismy předávání osobních údajů používány způsobem, který zajišťuje kontinuitu ochrany, a v případě potřeby přijme vhodná opatření k řešení možných nepříznivých dopadů na tuto kontinuitu (viz 278. až 287. bod odůvodnění). Jelikož EU a Spojené království mají pro mezinárodní předávání osobních údajů podobná pravidla, předpokládá se, že problémovým rozdílům by se dalo předcházet také prostřednictvím spolupráce, výměny informací a sdílení zkušeností, a to i mezi Úřadem komisaře pro informace a Evropským sborem pro ochranu osobních údajů.

2.5.8 Odpovědnost

(83) Podle zásady odpovědnosti se od subjektů zpracovávajících údaje vyžaduje zavedení vhodných technických a organizačních opatření, aby mohly účinně plnit své povinnosti v oblasti ochrany údajů a jejich plnění byly schopny prokázat, zejména příslušnému dozorovému úřadu.

(84) Zásada odpovědnosti stanovená v nařízení (EU) 2016/679 je v čl. 5 odst. 2 britského nařízení GDPR zachována bez podstatných změn a totéž platí pro článek 24 o odpovědnosti správce, článek 25 o záměrné a standardní ochraně osobních údajů a článek 30 o záznamech o činnostech zpracování. Rovněž jsou zachovány články 35 a 36 o posouzení vlivu na ochranu osobních údajů a předchozích konzultacích s dozorovým úřadem. Články 37 až 39 nařízení (EU) 2016/679 o jmenování a úkolech pověřenců pro ochranu osobních údajů jsou v britském GDPR zachovány bez podstatných změn. Kromě toho jsou v britském nařízení GDPR zachována ustanovení článků 40 a 42 nařízení (EU) 2016/679 o kodexech chování a vydávání osvědčení (80).

2.6 Dohled a vymáhání

2.6.1 Nezávislý dohled

(85) Aby se zajistilo, že odpovídající úroveň ochrany údajů je zaručena v praxi, měl by být zřízen nezávislý dozorový úřad oprávněný monitorovat a vymáhat dodržování pravidel v oblasti ochrany údajů. Při plnění svých povinností a výkonu své pravomoci by tento úřad měl jednat zcela nezávisle a nestranně.

(86) Ve Spojeném království provádí dohled a vymáhání v souvislosti s dodržováním britského nařízení GDPR a zákona o ochraně údajů z roku 2018 komisař pro informace. Komisař pro informace je tzv. výhradní korporace: samostatná právnická osoba, kterou tvoří jedna osoba. Komisaři pro informace je při práci nápomocen úřad. Ke dni 31. března 2020 měl Úřad komisaře pro informace 768 stálých zaměstnanců (81). Sponzorským ministerstvem komisaře pro informace je ministerstvo pro digitální oblast, kulturu, sdělovací prostředky a sport (82).

(87) Nezávislost komisaře je výslovně stanovena v článku 52 britského nařízení GDPR, který podstatným způsobem nemění čl. 52 odst. 1 až 3 nařízení GDPR. Komisař musí při plnění svých úkolů a výkonu svých pravomocí podle britského nařízení GDPR jednat zcela nezávisle, nesmí podléhat vnějšímu vlivu, ať již přímému, nebo nepřímému, a nesmí od nikoho vyžadovat ani přijímat pokyny. Komisař se rovněž musí zdržet jakéhokoli jednání neslučitelného s jeho funkcí a během svého funkčního období nesmí vykonávat žádnou výdělečnou ani nevýdělečnou pracovní činnost neslučitelnou s touto funkcí.

(88) Podmínky jmenování a odvolání komisaře pro informace jsou stanoveny v příloze 12 zákona o ochraně údajů z roku 2018. Komisaře pro informace jmenuje Její Veličenstvo na doporučení vlády na základě spravedlivého a otevřeného výběrového řízení. Uchazeč musí mít odpovídající kvalifikaci, dovednosti a způsobilost. V souladu s Kodexem pro jmenování do veřejných funkcí (83) sestavuje poradní hodnotící panel seznam kandidátů, kteří pro jmenování přicházejí v úvahu. Nežli ministr pro digitální oblast, kulturu, sdělovací prostředky a sport vydá své konečné rozhodnutí, musí příslušná parlamentní výběrová komise provést prověření před jmenováním. Stanovisko komise se zveřejňuje (84).

(89) Komisař pro informace vykonává svou funkci po dobu až sedmi let. Jednotlivec nemůže být komisařem pro informace jmenován vícekrát. Komisaře pro informace může z funkce odvolat Její Veličenstvo na návrh (address) obou komor parlamentu Spojeného království (85). Žádné komoře parlamentu Spojeného království nelze předložit žádost o odvolání komisaře pro informace, pokud ministr nepředloží zprávu, v níž uvede, že dle jeho přesvědčení je komisař pro informace vinen závažným pochybením nebo již nesplňuje podmínky požadované pro výkon jeho funkcí (86).

(90) Financování komisaře pro informace pochází ze tří zdrojů: i) poplatky za ochranu údajů placené správci, které jsou stanoveny v nařízeních ministra (87) (nařízení o ochraně údajů (poplatky a informace) z roku 2018) a představují 85–90 % ročního rozpočtu úřadu (88); ii) podpůrný grant vyplácený vládou komisaři pro informace. Podpůrný grant se používá zejména k financování provozních nákladů komisaře pro informace, pokud jde o úkoly nesouvisející s ochranou údajů (89), a iii) poplatky účtované za služby (90). V současné době nejsou žádné takové poplatky účtovány.

(91) Obecné funkce komisaře pro informace týkající se zpracování osobních údajů, na které se vztahuje britské nařízení GDPR, jsou stanoveny v článku 57 britského nařízení GDPR, který úzce odráží odpovídající pravidla nařízení (EU) 2016/679. Mezi jeho funkce patří sledování a vymáhání britského nařízení GDPR, zvyšování povědomí veřejnosti, vyřizování stížností podaných subjekty údajů, vedení vyšetřování atd. Kromě toho článek 115 zákona o ochraně údajů z roku 2018 vymezuje další obecné funkce komisaře, k nimž patří povinnost poskytovat poradenství parlamentu Spojeného království, vládě a ostatním orgánům a institucím ohledně legislativních a správních opatření týkajících se ochrany práv a svobod jednotlivců v souvislosti se zpracováním osobních údajů a pravomoc vydávat z vlastního podnětu komisaře nebo na požádání stanoviska pro parlament, vládu nebo jiné instituce a orgány i veřejnost k jakékoli otázce související s ochranou osobních údajů. V zájmu zachování nezávislosti soudnictví není komisař pro informace oprávněn vykonávat své funkce v souvislosti se zpracováním osobních údajů jednotlivcem, který jedná v rámci soudních pravomocí, nebo soudem či tribunálem jednajícím v rámci své soudní pravomoci. Dohled nad soudnictvím však vykonávají specializované úřady (viz 99. až 103. bod odůvodnění.)

2.6.2 Vymáhání včetně sankcí

(92) Pravomoci komisaře pro informace stanoví článek 58 britského nařízení GDPR, který nezavádí žádné podstatné změny odpovídajícího článku nařízení (EU) 2016/679. Doplňková pravidla pro výkon těchto pravomocí stanoví zákon o ochraně údajů z roku 2018. Komisař má zejména pravomoc: a) nařídit správci a zpracovateli (a za určitých okolností kterékoli jiné osobě), aby poskytli nezbytné informace, výzvou k podání informací (dále jen „výzva k podání informací“) (91); b) provádět vyšetřování a audity na základě výzvy k posouzení, která může vyžadovat, aby správce nebo zpracovatel komisaři povolil vstoupit do určených prostor, nahlížet do dokumentů nebo zařízení nebo je kontrolovat, vyslechnout osoby zpracovávající osobní údaje jménem správce atd. (dále jen „oznámení o posouzení“) (92); c) získat jiným způsobem přístup k dokumentům atd. správců a zpracovatelů a přístup do jejich prostor v souladu s oddílem 154 zákona o ochraně údajů z roku 2018 (dále jen „pravomoci vstupu a inspekce“); d) vykonávat nápravné pravomoci, a to i formou varování a napomenutí, nebo vydávat příkazy prostřednictvím oznámení o vymáhání, které vyžaduje, aby správci/zpracovatelé provedli určité kroky nebo aby se určitých kroků zdrželi, včetně nařízení správci nebo zpracovateli, aby učinil cokoli podle čl. 58 odst. 2 písm. c) až g) a j) britského nařízení GDPR (dále jen „oznámení o vymáhání“) (93); e) a udělovat správní pokuty formou oznámení o sankci (dále jen „oznámení o sankci“) (94). Posledně jmenované oznámení lze vydat i v případě, že orgán veřejné moci nedodržel ustanovení britského nařízení GDPR (95).

(93) Politika regulačních opatření Úřadu komisaře pro informace stanoví okolnosti, za kterých bude vydávat výzvu k podání informací, oznámení o posouzení, vymáhání nebo sankci (96). Oznámení o vymáhání vydané v reakci na selhání správce nebo zpracovatele může ukládat pouze požadavky, které komisař považuje za vhodné pro účely nápravy selhání. Oznámení o vymáhání a sankci mohou být správci nebo zpracovateli vydána v souvislosti s porušeními kapitoly II britského nařízení GDPR (zásady zpracování), článků 12–22 (práva subjektu údajů), článků 25–39 (povinnosti správců a zpracovatelů) a články 44–49 (mezinárodní předání) britského nařízení GDPR. Oznámení o vymáhání lze vydat i v případě, že správce nesplnil požadavek uhradit poplatek stanovený v nařízeních vydaných podle článku 137 zákona o ochraně údajů z roku 2018. Kromě toho může být kontrolnímu subjektu podle článku 41 nebo subjektu vydávajícímu osvědčení zasláno oznámení o vymáhání, pokud neplní své povinnosti podle britského nařízení GDPR. Oznámení o sankci lze rovněž vydat vůči osobě, která nesplnila výzvu k podání informací, oznámení o posouzení nebo oznámení o vymáhání.

(94) Oznámení o sankci vyžaduje, aby daná osoba zaplatila komisaři pro informace částku uvedenou v oznámení. Při rozhodování o tom, zda vůči určité osobě vydat oznámení o sankci, a při určování výše sankce musí komisař pro informace vzít v úvahu záležitosti vyjmenované v čl. 83 odst. 1 a 2 britského nařízení GDPR, které jsou totožné s odpovídajícími pravidly nařízení (EU) 2016/679 (97). Podle čl. 83 odst. 4 a 5 činí maximální výše správních pokut v případě nesplnění povinností stanovených v uvedených ustanoveních 8 700 000 GBP, resp. 17 500 000 GBP. V případě podniku může komisař pro informace ukládat pokuty také jako procento celosvětového ročního obratu, pokud je tato částka vyšší. Stejně jako v rovnocenných ustanoveních nařízení (EU) 2016/679 jsou tyto částky v čl. 83 odst. 4 a 5 stanoveny na 2 %, resp. 4 %. V případě nesplnění výzvy k poskytnutí informací, oznámení o posouzení nebo oznámení o vymáhání je maximální výší pokuty, která může být uložena oznámením o sankci, částka 17 500 000 GBP, nebo v případě podniku 4 % celosvětového ročního obratu, podle toho, která z částek je vyšší.

(95) Britské nařízení GDPR spolu se zákonem o ochraně údajů z roku 2018 posílilo i další pravomoci komisaře pro informace. Komisař například nyní může prostřednictvím oznámení o posouzení provádět povinné audity ve vztahu ke všem správcům a zpracovatelům, zatímco podle předchozí legislativy, zákona o ochraně údajů z roku 1998, měl komisař tuto pravomoc pouze vůči ústředním vládním institucím a organizacím v oblasti zdravotnictví a ostatní subjekty musely s auditem vyslovit souhlas.

(96) Od zavedení nařízení (EU) 2016/679 vyřizuje Úřad komisaře pro informace přibližně 40 000 stížností subjektů údajů ročně (98) a kromě toho provádí přibližně 2 000 šetření z moci úřední (99). Většina stížností se týká práv přístupu k údajům a zveřejňování údajů. Po svém šetření přijímá komisař donucovací opatření v široké škále odvětví. Přesněji řečeno, podle poslední výroční zprávy Úřadu komisaře pro informace (2019–2020) (100) vydala stávající komisařka během sledovaného období 54 výzev k podání informací, osm oznámení o posouzení, sedm oznámení o vymáhání, čtyři výstrahy, osm návrhů na zahájení trestního stíhání a patnáct pokut (101).

(97) To zahrnuje několik významných peněžních pokut uložených podle nařízení (EU) 2016/679 a zákona o ochraně údajů z roku 2018. Zejména stávající komisařka pro informace v říjnu 2020 uložila britské letecké společnosti pokutu ve výši 20 milionů GBP za porušení zabezpečení osobních údajů, které se dotklo více než 400 000 zákazníků. Na konci října 2020 byla mezinárodnímu hotelovému řetězci uložena pokuta ve výši 18,4 milionu GBP za to, že nezajistil bezpečnost osobních údajů milionů zákazníků, a v listopadu 2020 britský poskytovatel služeb prodávající na internetu lístky na akce dostal pokutu ve výši 1,25 milionu GBP za to, že nechránil platební údaje zákazníků (102).

(98) Kromě donucovacích pravomocí komisaře pro informace popsaných v 92. bodě odůvodnění představují určitá porušení právních předpisů v oblasti ochrany údajů trestné činy, a proto mohou podléhat trestním sankcím (článek 196 zákona o ochraně údajů z roku 2018). Týká se to například vědomého nebo bezohledného získávání nebo zpřístupňování osobních údajů bez souhlasu správce, zajišťování zpřístupnění osobních údajů jiné osobě bez souhlasu správce (103), opětovné identifikace údajů, které jsou osobními údaji, jež byly anonymizovány bez souhlasu správce odpovědného za anonymizaci daných osobních údajů (104), záměrného maření výkonu pravomocí komisaře v souvislosti s inspekcí osobních údajů v souladu s mezinárodními závazky (105), vydávání nepravdivých prohlášení v reakci na výzvu k podání informací nebo ničení údajů v souvislosti s výzvami k podání informací a oznámeními o posouzení (106).

2.6.3 Dohled nad soudnictvím

(99) Dohled nad zpracováním osobních údajů soudy a soudní mocí je dvojí. Pokud osoba vykonávající funkci soudce nebo soud nejedná v rámci soudní pravomoci, zajišťuje dohled Úřad komisaře pro informace. Pokud správce jedná v rámci soudní pravomoci, nemůže Úřad komisaře pro informace vykonávat své dozorové funkce (107) a dohled provádějí zvláštní subjekty. To odráží přístup zvolený v nařízení (EU) 2016/679 (čl. 55 odst. 3).

(100) Zejména ve druhém scénáři zajišťuje tento dohled nad soudy v Anglii a Walesu a tribunály prvního a vyššího stupně v Anglii a Walesu soudní komise pro ochranu údajů (108). Lord nejvyšší soudce (Lord Chief Justice) a vrchní předseda tribunálů vydali oznámení o ochraně osobních údajů (109), které stanoví, jak soudy v Anglii a Walesu zpracovávají osobní údaje v rámci soudní funkce. Obdobné oznámení bylo vydáno v rámci soudnictví Severního Irska (110) a Skotska (111).

(101) Kromě toho v Severním Irsku jmenoval Lord nejvyšší soudce pro Severní Irsko soudce Vrchního soudu soudcem pověřeným dozorem nad ochranou údajů (Data Supervisory Judge) (112). Vydal rovněž pokyny pro soudnictví Severního Irska ve věci postupu v případě ztráty nebo potenciální ztráty údajů a řešení jakýchkoli problémů z toho vyplývajících (113).

(102) Ve Skotsku jmenoval lord nejvyšší soudce (Lord President) soudce pro dozor nad ochranou údajů, který bude vyšetřovat jakékoli stížnosti z důvodu ochrany údajů. Je to stanoveno v pravidlech pro soudní stížnosti, která odrážejí pravidla stanovená pro Anglii a Wales (114).

(103) A konečně, u Nejvyššího soudu je jmenován jeden ze soudců Nejvyššího soudu, aby dohlížel na ochranu údajů.

2.6.4 Soudní ochrana

(104) Aby se zajistila odpovídající ochrana, a zejména vymáhání individuálních práv, měla by být subjektu údajů poskytnuta účinná správní a soudní ochrana, včetně náhrady škody.

(105) Zaprvé má subjekt údajů právo podat stížnost u komisaře pro informace, pokud má za to, že v souvislosti s jeho osobními údaji došlo k porušení britského nařízení GDPR (115). Britské nařízení GDPR zachovává pravidla článku 77 nařízení (EU) 2016/679 týkající se tohoto práva bez podstatných úprav. Totéž platí pro čl. 57 odst. 1 písm. f) a odst. 2, které stanoví úkoly komisaře v souvislosti s vyřizováním stížností. Jak je popsáno v 92. až 98. bodě odůvodnění výše, komisař pro informace má pravomoc posoudit, jak správce a zpracovatel dodržují britské nařízení GDPR a zákon o ochraně údajů z roku 2018, vyžadovat od nich, aby v případě nedodržení předpisů přijali nezbytné kroky nebo se takových kroků zdrželi, a ukládat pokuty.

(106) Zadruhé britské nařízení GDPR a zákon o ochraně údajů z roku 2018 poskytují právo na soudní ochranu vůči komisaři pro informace. Podle čl. 78 odst. 1 britského nařízení GDPR má jednotlivec právo na účinnou soudní ochranu proti právně závaznému rozhodnutí komisaře, které se ho týká. V rámci soudního přezkumu zkoumá soudce rozhodnutí napadené ve stížnosti a zvažuje, zda komisař pro informace jednal zákonným způsobem. Kromě toho čl. 78 odst. 2 britského nařízení GDPR stanoví, že pokud komisař řádně nevyřídí stížnost podanou subjektem údajů (116), má stěžovatel přístup k soudní ochraně. Může se obrátit na tribunál prvního stupně, aby nařídil komisaři přijmout vhodná opatření v reakci na stížnost nebo aby stěžovatele informoval o pokroku při vyřizování stížnosti (117). Kromě toho se každá osoba, které je doručeno jedno z výše uvedených oznámení (výzva k podání informací, oznámení o posouzení, vymáhání nebo sankci), může odvolat k tribunálu prvního stupně (118). Pokud tribunál dospěje k závěru, že rozhodnutí komisaře není v souladu se zákonem, nebo že měl komisař pro informace uplatnit svou diskreční pravomoc jinak, musí tribunál vyhovět opravnému prostředku nebo vydat jiné oznámení nebo přijmout jiné rozhodnutí, které komisař pro informace mohl vydat nebo učinit.

(107) Zatřetí podle článku 79 britského nařízení GDPR a článku 167 zákona o ochraně údajů z roku 2018 mohou jednotlivci získat soudní ochranu vůči správcům a zpracovatelům přímo u soudů. Pokud soud na základě žádosti subjektu údajů dospěje k závěru, že došlo k porušení práv subjektu údajů podle právních předpisů v oblasti ochrany údajů, může soud v souvislosti s daným zpracováním nařídit správci nebo zpracovateli jednajícímu v zastoupení tohoto správce, aby přijal kroky stanovené v soudním příkazu nebo aby se takových kroků zdržel.

(108) Kromě toho článek 82 britského nařízení GDPR a článek 168 zákona o ochraně údajů z roku 2018 stanoví, že kdokoli, kdo v důsledku porušení britského nařízení GDPR utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy. Pravidla pro náhradu újmy a odpovědnost v čl. 82 odst. 1–5 britského nařízení GDPR jsou totožná s odpovídajícími pravidly nařízení (EU) 2016/679. Podle článku 168 zákona o ochraně údajů z roku 2018 zahrnuje nehmotná újma i utrpení. Podle článku 80 britského nařízení GDPR má subjekt údajů také právo pověřit zastupující subjekt nebo organizaci, aby jeho jménem podal(a) stížnost komisaři (podle článku 77 britského nařízení GDPR) a aby jeho jménem uplatnil(a) práva uvedená v článku 78 (právo na účinnou soudní ochranu vůči komisaři), článku 79 (právo na účinnou soudní ochranu vůči správci nebo zpracovateli) a článku 82 (právo na náhradu újmy a odpovědnost) britského nařízení GDPR.

(109) Začtvrté může kromě opravných prostředků popsaných výše každá osoba, která má za to, že orgány veřejné moci porušily její práva, včetně práv na soukromí a ochranu údajů, získat soudní ochranu u soudů Spojeného království podle zákona o lidských právech z roku 1998 (119). Jednotlivec, který tvrdí, že orgán veřejné moci jednal (nebo navrhuje jednat) způsobem, který je neslučitelný s právem podle úmluvy, a tudíž je podle čl. 6 odst. 1 zákona o lidských právech z roku 1998 protiprávní, může proti tomuto orgánu podat žalobu u příslušného soudu nebo tribunálu nebo se dovolávat dotčených práv v jakémkoli soudním řízení, pokud tento jednotlivec je (nebo by byl) obětí protiprávního jednání.

(110) Pokud soud shledá jakýkoli akt orgánu veřejné moci protiprávním, může v rámci svých pravomocí poskytnout takový opravný prostředek nebo soudní ochranu nebo vydat takový příkaz, které považuje za spravedlivé a vhodné (120). Soud může rovněž prohlásit ustanovení primárního právního předpisu za neslučitelné s právem podle úmluvy.

(111) A konečně může jednotlivec po vyčerpání vnitrostátních opravných prostředků dosáhnout nápravy u Evropského soudu pro lidská práva za porušení práv zaručených Evropskou úmluvou o lidských právech.

3. PŘÍSTUP K OSOBNÍM ÚDAJŮM PŘEDÁVANÝM Z EVROPSKÉ UNIE A JEJICH POUŽITÍ ORGÁNY VEŘEJNÉ MOCI VE SPOJENÉM KRÁLOVSTVÍ

(112) Komise také posuzovala právní rámec Spojeného království týkající se shromažďování a následného používání osobních údajů předávaných podnikatelským subjektům ve Spojeném království orgány veřejné moci Spojeného království pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti (dále jen „přístup vlády“). Při posuzování toho, zda by podmínky, za nichž by přístup vlády k údajům předávaným do Spojeného království podle tohoto rozhodnutí splňoval test „zásadní rovnocennosti“ podle čl. 45 odst. 1 nařízení (EU) 2016/679, jak je vykládán Soudním dvorem Evropské unie ve světle Listiny základních práv, Komise zohlednila zejména následující kritéria.

(113) Zaprvé musí být jakékoli omezení práva na ochranu osobních údajů stanoveno zákonem a samotný právní základ, který umožňuje zásah do takového práva, musí vymezovat rozsah omezení výkonu dotčeného práva (121).

(114) Zadruhé, za účelem splnění požadavku proporcionality, podle kterého musí být výjimky z ochrany osobních údajů a její omezení činěny v mezích toho, co je v demokratické společnosti nezbytně nutné pro splnění konkrétních cílů obecného zájmu rovnocenných cílům uznaným Unií, musí předmětná právní úprava třetí země, která daný zásah povoluje, stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření a stanovit minimální požadavky, tak aby osoby, jejichž údaje byly předány, měly dostatečné záruky umožňující účinně chránit své osobní údaje proti riziku zneužití (122). Právní úprava musí zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracovávání takových údajů (123), jakož i podřizovat plnění takových požadavků nezávislému dohledu (124).

(115) Zatřetí musí být tato právní úprava podle vnitrostátního práva právně závazná a tyto právní požadavky musí být pro orgány nejen závazné, ale musí být vůči orgánům dotčené třetí země také vymahatelné u soudu (125). Subjekty údajů musí mít zejména možnost podat žalobu k nezávislému a nestrannému soudu pro získání přístupu ke svým osobním údajům nebo pro dosažení opravy nebo výmazu takovýchto údajů (126).

3.1 Obecný právní rámec

(116) Jakožto výkon pravomoci orgánu veřejné moci musí být přístup vlády ve Spojeném království prováděn při plném dodržení zákona. Spojené království ratifikovalo Evropskou úmluvu o lidských právech (viz 9. bod odůvodnění) a všechny orgány veřejné moci ve Spojeném království jsou povinny jednat v souladu s úmluvou (127). Článek 8 úmluvy stanoví, že jakýkoli zásah do soukromí musí být v souladu se zákonem, v zájmu jednoho z cílů stanovených v čl. 8 odst. 2 a přiměřený s ohledem na tento cíl. Článek 8 rovněž vyžaduje, aby byl zásah „předvídatelný“, tj. aby měl jasný a přístupný právní základ, a aby právní předpis obsahoval vhodné záruky, které zabrání zneužití.

(117) Kromě toho Evropský soud pro lidská práva ve své judikatuře upřesnil, že jakýkoli zásah do práva na soukromí a ochranu údajů by měl podléhat účinnému, nezávislému a nestrannému systému dohledu, který musí zajišťovat buď soudce, nebo jiný nezávislý subjekt (128) (např. správní orgán nebo parlamentní orgán).

(118) Kromě toho musí být jednotlivcům poskytnuta účinná právní ochrana a Evropský soud pro lidská práva objasnil, že tuto právní ochranu musí nabídnout nezávislý a nestranný subjekt, který přijal svůj vlastní jednací řád a je složen z členů, kteří musí v současnosti zastávat nebo v minulosti zastávali vysokou soudní funkci nebo být zkušenými právníky, a že k podání stížnosti u tohoto subjektu nesmí být zapotřebí splnit jakékoli důkazní břemeno. Při svém šetření stížnosti jednotlivce by měl mít nezávislý a nestranný subjekt přístup ke všem příslušným informacím, včetně uzavřených materiálů. A konečně by měl mít pravomoc napravit protiprávní jednání (129).

(119) Spojené království také ratifikovalo úmluvu Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat (úmluva č. 108) a v roce 2018 podepsalo protokol o změně Úmluvy o ochraně osob se zřetelem na automatizované zpracování osobních dat (označovaný jako úmluva č. 108+) (130). Článek 9 úmluvy 108 stanoví, že odchylky od obecných zásad ochrany údajů (článek 5 Kvalita údajů), pravidel upravujících zvláštní skupiny údajů (článek 6 Zvláštní skupiny údajů) a práv subjektu údajů (článek 8 Dodatečné záruky pro subjekt údajů) jsou přípustné pouze v případě, že taková odchylka je stanovena zákonem smluvní strany a představuje nezbytné opatření v demokratické společnosti v zájmu ochrany bezpečnosti státu, veřejné bezpečnosti, měnových zájmů státu nebo potírání trestné činnosti nebo ochrany subjektu údajů nebo práv a svobod jiných osob (131).

(120) Prostřednictvím členství v Radě Evropy, dodržování Evropské úmluvy o lidských právech a podrobení se soudní pravomoci Evropského soudu pro lidská práva proto Spojené království podléhá řadě povinností zakotvených v mezinárodním právu, které tvoří rámec jeho systému přístupu vlády na základě zásad, záruk a individuálních práv podobných těm, které jsou zaručeny právními předpisy EU a jsou použitelné v členských státech. Jak je zdůrazněno v 19. bodě odůvodnění, pokračující dodržování těchto nástrojů je proto obzvláště důležitým prvkem posouzení, na němž se zakládá toto rozhodnutí.

(121) Specifické záruky a práva týkající se ochrany údajů dále zaručuje zákon o ochraně údajů z roku 2018 v případech, kdy jsou údaje zpracovávány orgány veřejné moci, včetně donucovacích orgánů a subjektů v oblasti národní bezpečnosti.

(122) Zejména je v části 3 zákona o ochraně údajů z roku 2018, který byl přijat za účelem provedení směrnice (EU) 2016/680 do vnitrostátního práva, stanoven režim zpracování osobních údajů v rámci vymáhání trestního práva. Část 3 zákona o ochraně údajů z roku 2018 se použije na zpracování osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení (132).

(123) Pojem „příslušný orgán“ je vymezen v článku 30 zákona o ochraně údajů jako osoba vyjmenovaná v příloze 7 zákona o ochraně údajů z roku 2018, jakož i kterákoli jiná osoba, která má zákonné funkce pro jakékoli účely prosazování práva (133). Jak je vysvětleno níže (viz 139. bod odůvodnění), některé příslušné orgány (například Národní kriminální agentura) mohou za určitých podmínek využívat pravomoci, které stanoví zákon o vyšetřovacích pravomocích z roku 2016. V takovém případě se kromě záruk stanovených částí 3 zákona o ochraně údajů z roku 2018 použijí i záruky stanovené zákonem o vyšetřovacích pravomocích z roku 2016. Zpravodajské služby (Tajná zpravodajská služba, Bezpečnostní služba a Vládní ředitelství pro komunikace) nejsou „příslušnými orgány“ (134) spadajícími do oblasti působnosti části 3 zákona o ochraně údajů z roku 2018, a proto se na žádnou z jejich činností nepoužijí pravidla stanovená v uvedené části zákona. Zvláštní část zákona o ochraně údajů z roku 2018 (část 4) je věnována zpracování osobních údajů zpravodajskými službami (další podrobnosti viz 125. bod odůvodnění).

(124) Obdobně jako směrnice (EU) 2016/680 stanoví část 3 zákona o ochraně údajů z roku 2018 zásady zákonnosti a korektnosti (135), účelového omezení (136), minimalizace údajů (137), přesnosti (138), omezení uložení (139) a zabezpečení (140). Tento právní předpis ukládá konkrétní povinnosti týkající se transparentnosti (141) a poskytuje jednotlivcům právo na přístup (142), opravu a výmaz (143) a právo nebýt předmětem automatizovaného rozhodování (144). Od příslušných orgánů se rovněž požaduje, aby zavedly záměrnou a standardní ochranu údajů, vedly záznamy o činnostech zpracování a u některých operací zpracování prováděly posouzení vlivu na ochranu osobních údajů a předem konzultovaly komisaře pro informace (145). Podle článku 56 zákona o ochraně údajů z roku 2018 jsou povinny prokázat dodržování právních předpisů. Kromě toho jsou povinny zavést vhodná opatření k zajištění bezpečnosti zpracování (146) a vztahují se na ně zvláštní povinnosti v případě porušení zabezpečení údajů, včetně oznámení takových porušení komisaři pro informace a subjektům údajů (147). Stejně jako v případě směrnice (EU) 2016/680 je rovněž stanoven požadavek, aby správce (pokud se nejedná o soud nebo jiný soudní orgán jednající v rámci soudních pravomocí) jmenoval pověřence pro ochranu osobních údajů (148), který je správci nápomocen při dodržování jeho povinností a monitorování tohoto dodržování (149). Právní předpisy dále stanoví zvláštní požadavky na mezinárodní předávání osobních údajů třetím zemím nebo mezinárodním organizacím pro účely prosazování práva s cílem zajistit kontinuitu ochrany (150). Ke stejnému datu jako toto rozhodnutí Komise přijala rozhodnutí o odpovídající ochraně podle čl. 36 odst. 3 směrnice (EU) 2016/680, v němž konstatuje, že režim ochrany údajů použitelný na zpracování donucovacími orgány ve Spojeném království zajišťuje úroveň ochrany v zásadě rovnocennou úrovni ochrany, kterou zaručuje směrnice (EU) 2016/680.

(125) Část 4 zákona o ochraně údajů z roku 2018 se použije na veškeré zpracování prováděné zpravodajskými službami nebo jejich jménem. Stanovuje zejména hlavní zásady ochrany údajů (zákonnost, korektnost a transparentnost (151); účelové omezení (152); minimalizaci údajů (153); přesnost (154); omezení uložení (155) a zabezpečení (156)), ukládá podmínky pro zpracování zvláštních kategorií údajů (157), stanoví práva subjektu údajů (158), vyžaduje záměrnou a standardní ochranu údajů (159) a reguluje mezinárodní předávání osobních údajů (160). Úřad komisaře pro informace nedávno vydal podrobné pokyny týkající se zpracování údajů zpravodajskými službami podle části 4 zákona o ochraně údajů z roku 2018 (161).

(126) Zároveň článek 110 zákona o ochraně údajů z roku 2018 stanoví výjimku z konkrétních ustanovení části 4 zákona o ochraně údajů z roku 2018 (162), je-li taková výjimka požadována k zajištění národní bezpečnosti. Tuto výjimku lze využít na základě analýzy jednotlivých případů (163). Jak vysvětlily orgány Spojeného království a potvrdila judikatura, „správce musí zvážit, jaké by byly skutečné důsledky pro národní bezpečnost nebo obranu, pokud by musel dodržet konkrétní ustanovení o ochraně údajů, a zda by mohl přiměřeně dodržet obvyklé pravidlo, aniž by to ovlivnilo národní bezpečnost nebo obranu“ (164). Otázka toho, zda byla výjimka použita správně, podléhá dohledu Úřadu komisaře pro informace (165).

(127) Kromě toho v souvislosti s možností omezit použití těchto výše specifikovaných ustanovení z důvodu ochrany „národní bezpečnosti“ může správce podle článku 111 zákona o ochraně údajů z roku 2018 požádat o osvědčení podepsané ministrem nebo generálním prokurátorem, které potvrzuje, že omezení těchto práv je nezbytným a přiměřeným opatřením k ochraně národní bezpečnosti (166).

(128) Vláda Spojeného království vydala pokyny, které mají správcům pomoci při zvažování, zda požádat o osvědčení o omezení z důvodu národní bezpečnosti podle zákona o ochraně údajů z roku 2018, a tyto pokyny zejména zdůrazňují, že jakékoli omezení práv subjektů údajů z důvodu zajištění národní bezpečnosti musí být přiměřené a nezbytné (167). Všechna osvědčení o omezení z důvodu národní bezpečnosti musí být zveřejněna na webových stránkách Úřadu komisaře pro informace (168).

(129) Osvědčení by mělo být vydáno na pevně stanovenou dobu nejvýše pěti let, aby orgán výkonné moci prováděl jeho pravidelný přezkum (169). Osvědčení uvádí osobní údaje nebo kategorie osobních údajů, na které se výjimka vztahuje, jakož i ustanovení zákona o ochraně údajů z roku 2018, kterých se výjimka týká (170).

(130) Je důležité upozornit, že osvědčení o omezení z důvodu národní bezpečnosti neposkytují další důvod pro omezení práv na ochranu osobních údajů na základě národní bezpečnosti. Jinak řečeno správce nebo zpracovatel může osvědčení uplatnit, pouze pokud dospěl k závěru, že je nutné využít výjimku z důvodu národní bezpečnosti, která – jak je vysvětleno výše – musí být použita individuálně (171). I když se na dotčenou záležitost vztahuje osvědčení o omezení z důvodu národní bezpečnosti, může Úřad komisaře pro informace šetřit, zda bylo v konkrétním případě využití výjimky z důvodu národní bezpečnosti opodstatněné (172).

(131) Kterákoli osoba, jíž se vydání osvědčení přímo dotýká, může proti osvědčení (173) podat opravný prostředek u Vrchního tribunálu (174), nebo pokud osvědčení identifikuje údaje prostřednictvím obecného popisu, může napadnout použití osvědčení pro konkrétní údaje (175). Tribunál přezkoumá rozhodnutí o vydání osvědčení a rozhodne, zda pro vydání osvědčení existovaly rozumné důvody (176). Může zvážit celou řadu otázek, včetně nezbytnosti, přiměřenosti a zákonnosti, pokud jde o dopad na práva subjektů údajů a vyvážení potřeby chránit národní bezpečnost. V důsledku toho může tribunál rozhodnout, že se osvědčení nevztahuje na konkrétní osobní údaje, které jsou předmětem opravného prostředku (177).

(132) Jiný soubor možných omezení se týká omezení, která se podle přílohy 11 zákona o ochraně údajů z roku 2018 použijí na určitá ustanovení části 4 zákona o ochraně údajů z roku 2018 (178) za účelem ochrany jiných důležitých cílů obecného veřejného zájmu nebo chráněných zájmů, jako jsou například výsady parlamentu, povinnost mlčenlivosti, vedení soudních řízení nebo bojová účinnost ozbrojených sil (179). Tato ustanovení se na základě výjimky nepoužijí buď na určité kategorie informací („na základě skupiny“), nebo se nepoužijí v rozsahu, v jakém by jejich použití mohlo poškodit chráněný zájem („na základě újmy“) (180). Výjimek na základě újmy se lze domáhat, pouze pokud by použití uvedeného ustanovení o ochraně údajů pravděpodobně mohlo poškodit dotčený specifický zájem. Použití výjimky musí být proto vždy odůvodněno odkazem na příslušnou újmu, která by v jednotlivém případě pravděpodobně nastala. Výjimky na základě skupiny lze uplatnit pouze pro specifickou úzce definovanou kategorii informací, pro kterou je výjimka udělena. Svým účelem a účinkem jsou podobné několika výjimkám z britského nařízení GDPR (podle přílohy 2 zákona o ochraně údajů z roku 2018), které naopak odrážejí výjimky uvedené v článku 23 nařízení GDPR.

(133) Z výše uvedeného vyplývá, že podle příslušných právních předpisů Spojeného království, jak jsou vykládány také soudy a Komisí pro informace, existují omezení a podmínky, které zajišťují, že tyto výjimky a omezení zůstanou v mezích toho, co je nezbytné a přiměřené k ochraně národní bezpečnosti.

3.2 Přístup orgánů veřejné moci Spojeného království k osobním údajům a jejich použití těmito orgány pro účely prosazování trestního práva

(134) Právo Spojeného království ukládá řadu omezení přístupu k osobním údajům a použití těchto údajů pro účely prosazování trestního práva a stanoví v této oblasti dozorové a ochranné mechanismy, které jsou v souladu s požadavky uvedenými v 113. až 115. bodě odůvodnění tohoto rozhodnutí. Podmínky, za kterých lze takový přístup uskutečnit, a záruky týkající se využívání těchto pravomocí jsou podrobně posouzeny v následujících oddílech.

3.2.1 Právní základy a použitelná omezení / použitelné záruky

(135) Podle zásady zákonnosti zaručené článkem 35 zákona o ochraně údajů z roku 2018 je zpracování osobních údajů pro jakékoli účely prosazování práva zákonné, pouze pokud vychází ze zákona, přičemž buď subjekt údajů udělil souhlas se zpracováním pro daný účel (181), nebo je zpracování nezbytné pro plnění úkolu, který za tímto účelem provádí příslušný orgán.

3.2.1.1 Příkazy k domovní prohlídce a příkazy k předání

(136) V právním rámci Spojeného království je shromažďování osobních údajů od hospodářských subjektů, včetně těch, které by zpracovávaly údaje předané z EU na základě tohoto rozhodnutí o odpovídající ochraně, pro účely prosazování trestního práva přípustné na základě příkazů k domovní prohlídce (182) a příkazů k předání (183).

(137) Příkazy k domovní prohlídce vydává soud, obvykle na návrh vyšetřovatele. Příkazy povolují vyšetřovateli, aby vstoupil do prostor za účelem hledání materiálů nebo osob významných z hlediska jeho vyšetřování a ponechal si cokoli, co spadá do povoleného rozsahu prohlídky, včetně veškerých příslušných dokumentů nebo materiálů obsahujících osobní údaje (184). Příkaz k předání, který musí být rovněž vydán soudem, vyžaduje, aby osoba v něm specifikovaná předložila nebo zpřístupnila materiály, které drží nebo ovládá. Navrhovatel musí soudu odůvodnit, proč je příkaz k domovní prohlídce nebo předložení informací nezbytný, a také proč je ve veřejném zájmu. Existuje několik zákonných pravomocí, které umožňují vydání příkazu k domovní prohlídce a příkazů k předání. Každé ustanovení má svůj vlastní soubor zákonných podmínek, které musí být splněny, aby mohl být příkaz k domovní prohlídce (185) nebo příkaz k předání (186) vydán.

(138) Příkazy k předání a příkazy k domovní prohlídce mohou být napadeny formou soudního přezkumu (187). Pokud jde o záruky, všechny orgány činné v trestním řízení spadající do působnosti části 3 zákona o ochraně údajů z roku 2018 mají přístup k osobním údajům (který představuje formu zpracování) pouze v souladu se zásadami a požadavky stanovenými v zákoně o ochraně údajů z roku 2018 (viz 122. a 124. bod odůvodnění výše). Žádost donucovacího orgánu by proto měla být v souladu se zásadou, podle níž musí být účely zpracování určité, výslovně vyjádřené a legitimní (188) a osobní údaje zpracovávané příslušným orgánem musí být pro tento účel důležité a omezené na nezbytný rozsah (189).

3.2.1.2 Vyšetřovací pravomoci pro účely vymáhání práva

(139) Pouze za účelem prevence nebo odhalování závažných trestných činů (190) mohou určité donucovací orgány, například Národní kriminální agentura nebo policejní ředitel (191), použít cílené vyšetřovací pravomoci podle zákona o vyšetřovacích pravomocích z roku 2016. V takovém případě se kromě záruk stanovených částí 3 zákona o ochraně údajů z roku 2018 použijí i záruky stanovené zákonem o vyšetřovacích pravomocích z roku 2016. Zvláštní vyšetřovací pravomoci, které mohou tyto donucovací orgány využít, zahrnují: cílené odposlechy (část 2 zákona o vyšetřovacích pravomocích z roku 2016), získávání komunikačních údajů (část 3 zákona o vyšetřovacích pravomocích z roku 2016), uchovávání komunikačních údajů (část 4 zákona o vyšetřovacích pravomocích z roku 2016) a cílený vzdálený síťový přístup k zařízení (část 5 zákona o vyšetřovacích pravomocích z roku 2016). Odposlech zahrnuje získávání obsahu komunikace (192), zatímco získávání a uchovávání komunikačních údajů není zaměřeno na získání obsahu komunikace, ale na odpovědi na otázky „kdo“, „kdy“, „kde“ a „jak“ ve vztahu k dané komunikaci. Zahrnuje to například čas a dobu trvání komunikace, telefonní číslo nebo e-mailovou adresu původce a příjemce komunikace a někdy i umístění zařízení, z nichž byla komunikace uskutečněna, účastníka telefonní služby nebo vyúčtování rozepsané na jednotlivé položky (193). Vzdálený síťový přístup k zařízení je soubor technik používaných k získávání různých dat ze zařízení, která zahrnují počítače, tablety a chytré telefony, jakož i kabely, vodiče a paměťová zařízení (194).

(140) Pravomoci cíleného odposlechu lze použít i v případě, že „je to nezbytné pro účely provedení ustanovení nástroje EU pro vzájemnou pomoc nebo mezinárodní dohody o vzájemné pomoci“ (tzv. příkaz ke vzájemné pomoci (195)). Příkazy ke vzájemné pomoci se vydávají pouze ve vztahu k odposlechu, nikoli k získávání komunikačních údajů nebo vzdálenému síťovému přístupu k zařízení. Tyto cílené pravomoci upravuje zákon o vyšetřovacích pravomocích z roku 2016 (196), který společně se zákonem o úpravě vyšetřovacích pravomocí z roku 2000 pro Anglii, Wales a Severní Irsko a zákonem o úpravě vyšetřovacích pravomocí (Skotsko) z roku 2000 pro Skotsko stanoví právní základ a stanoví příslušná omezení a záruky pro použití těchto pravomocí. Zákon o vyšetřovacích pravomocích z roku 2016 rovněž stanoví režim pro použití hromadných vyšetřovacích pravomocí, donucovací orgány však tyto pravomoci nemají (mohou je využívat pouze zpravodajské služby) (197).

(141) K výkonu těchto pravomocí musí orgány získat příkaz (198) vydaný příslušným orgánem (199) a schválený nezávislým soudním komisařem (200) (tzv. postup dvojitého zámku). Získání takového příkazu podléhá testu nezbytnosti a přiměřenosti (201). Jelikož jsou tyto cílené vyšetřovací pravomoci poskytované zákonem o vyšetřovacích pravomocích z roku 2016 stejné jako ty, které mají k dispozici národní bezpečnostní služby, podrobně se podmínkám, omezením a zárukám použitelným na tyto pravomoci věnuje část týkající se přístupu a používání osobních údajů orgány veřejné moci Spojeného království pro účely národní bezpečnosti (viz 177. bod odůvodnění a násl.).

3.2.2 Další použití shromážděných informací

(142) Sdílení údajů donucovacím orgánem s jiným orgánem pro jiné účely, než pro které byly údaje původně shromážděny (tzv. další sdílení), podléhá určitým podmínkám.

(143) Obdobně jako čl. 4 odst. 2 směrnice (EU) 2016/680 umožňuje čl. 36 odst. 3 zákona o ochraně údajů z roku 2018, aby osobní údaje shromážděné příslušným orgánem pro účely vymáhání práva mohly být dále zpracovávány (ať už původním správcem, nebo jiným správcem) pro jakýkoli jiný účel vymáhání práva, pokud je správce ze zákona oprávněn zpracovávat údaje pro tento jiný účel a zpracování je nezbytné a přiměřené tomuto účelu (202). V tomto případě se na zpracování prováděné přijímajícím orgánem vztahují všechny záruky stanovené v části 3 zákona o ochraně údajů z roku 2018 uvedené ve 122. a 124. bodě odůvodnění.

(144) V právním řádu Spojeného království takové další sdílení výslovně umožňují různé zákony. Zejména i) zákon o digitální ekonomice z roku 2017 umožňuje sdílení mezi orgány veřejné moci z několika důvodů, například v případě jakéhokoli podvodu vůči veřejnému sektoru, který by pro orgány veřejné moci znamenal ztrátu nebo riziko ztráty (203), nebo v případě dluhu vůči orgánu veřejné moci nebo Koruně (204); ii) zákon o trestní činnosti a soudech z roku 2013, který umožňuje sdílení informací s Národní kriminální agenturou (National Crime Agency) (205) pro účely boje proti závažné a organizované trestné činnosti, jejího vyšetřování a stíhání; iii) zákon o závažné trestné činnosti z roku 2007, který orgánům veřejné moci umožňuje zpřístupňovat informace organizacím pro boj proti podvodům za účelem předcházení podvodům (206).

(145) Tyto zákony výslovně stanoví, že sdílení informací by mělo být v souladu se zásadami, které stanoví zákon o ochraně údajů z roku 2018. Kromě toho College of Policing (instituce pro vzdělávání policistů) vydala povolený odborný postup pro sdílení informací (207), který má policii pomoci při plnění jejích povinností v oblasti ochrany údajů podle britského nařízení GDPR, zákona o ochraně údajů a zákona o lidských právech z roku 1998. Soulad sdílení s platným právním rámcem pro ochranu údajů samozřejmě podléhá soudnímu přezkumu (208).

(146) Kromě toho, podobně jako článek 9 směrnice (EU) 2016/680 stanoví zákon o ochraně údajů z roku 2018, že osobní údaje shromážděné pro jakékoli účely vymáhání práva mohou být zpracovávány za účelem, který nespočívá ve vymáhání práva, pokud je zpracování povoleno zákonem (209).

(147) Tento typ sdílení zahrnuje dva scénáře: 1) když orgán činný v trestním řízení sdílí údaje s donucovacím orgánem činným v oblasti mimo trestní řízení, který není zpravodajskou službou (např. s finančním nebo daňovým úřadem, úřadem pro hospodářskou soutěž, úřadem pro péči o mládež atd.); 2) když orgán činný v trestním řízení sdílí údaje se zpravodajskou službou. V prvním scénáři bude zpracování osobních údajů spadat do oblasti působnosti britského nařízení GDPR, jakož i části 2 zákona o ochraně údajů z roku 2018. Ve 12. až 111. bodě odůvodnění posoudila Komise záruky poskytované britským nařízením GDPR a částí 2 zákona o ochraně údajů z roku 2018 a dospěla k závěru, že Spojené království zajišťuje odpovídající úroveň ochrany osobních údajů předávaných v rámci oblasti působnosti nařízení (EU) 2016/679 z Evropské unie do Spojeného království.

(148) Ve druhém scénáři, pokud jde o sdílení údajů, které shromáždil orgán činný v trestním řízení, se zpravodajskou službou pro účely národní bezpečnosti, je právním základem, který takové sdílení povoluje, článek 19 zákona o boji proti terorismu z roku 2008 (210). Podle tohoto zákona může kterákoli osoba poskytovat informace kterékoli ze zpravodajských služeb za účelem výkonu kterékoli z funkcí této služby, včetně „národní bezpečnosti“.

(149) Pokud jde o podmínky, za nichž lze údaje sdílet pro účely národní bezpečnosti, zákon o zpravodajských službách (211) a zákon o Bezpečnostní službě (212) omezují možnost zpravodajských služeb získávat údaje na to, co je nezbytné k výkonu jejich zákonem stanovených funkcí. Donucovací orgány, které chtějí sdílet údaje se zpravodajskými službami, budou muset kromě zákonných funkcí agentur stanovených zákonem o zpravodajských službách a zákonem o Bezpečnostní službě (213) zohlednit řadu faktorů/omezení. Článek 20 zákona o boji proti terorismu z roku 2008 objasňuje, že jakékoli sdílení údajů podle článku 19 musí splňovat i právní předpisy o ochraně údajů; což znamená, že se použijí všechna omezení a požadavky podle části 3 zákona o ochraně údajů z roku 2018. Kromě toho vzhledem k tomu, že příslušnými orgány jsou orgány veřejné moci pro účely zákona o lidských právech z roku 1998, musí tyto orgány zajistit, aby jednaly v souladu s právy podle úmluvy, včetně článku 8 EÚLP. Tato omezení zajišťují, že veškeré sdílení údajů mezi donucovacími orgány a zpravodajskými službami bude v souladu s právními předpisy o ochraně údajů a EÚLP.

(150) Pokud příslušný orgán hodlá sdílet osobní údaje zpracovávané podle části 3 zákona o ochraně údajů z roku 2018 s donucovacími orgány třetí země, platí zvláštní požadavky (214). Zejména se tato předání mohou uskutečnit tehdy, jsou-li založena na nařízeních o odpovídající ochraně vydaných ministrem, nebo pokud taková nařízení neexistují, musí být zajištěny vhodné záruky. Článek 75 zákona o ochraně údajů z roku 2018 stanoví, že vhodné záruky jsou zavedeny tehdy, pokud jsou stanoveny právním nástrojem závazným pro zamýšleného příjemce nebo pokud správce po posouzení všech okolností souvisejících s předáním tohoto druhu osobních údajů třetí zemi nebo mezinárodní organizaci dojde k závěru, že k ochraně údajů existují vhodné záruky.

(151) Pokud předání není založeno na nařízení o odpovídající ochraně, může k němu dojít pouze za určitých specifikovaných okolností, označovaných jako „zvláštní okolnosti“ (215). Ty existují v případě, že je předání nezbytné: a) k ochraně životně důležitých zájmů subj