PROVÁDĚCÍ ROZHODNUTÍ KOMISE (EU) 2021/1773

ze dne 28. června 2021

podle směrnice Evropského parlamentu a Rady (EU) 2016/680 o odpovídající ochraně osobních údajů poskytované Spojeným královstvím

(oznámeno pod číslem C(2021) 4801)

EVROPSKÁ KOMISE,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na směrnici Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (1), a zejména na čl. 36 odst. 3 uvedené směrnice,

vzhledem k těmto důvodům:

1. ÚVOD

(1) Směrnice Evropského parlamentu a Rady (EU) 2016/680 stanoví pravidla pro předávání osobních údajů příslušnými orgány v Unii třetím zemím a mezinárodním organizacím, pokud toto předávání spadá do oblasti působnosti uvedené směrnice. Pravidla pro mezinárodní předávání údajů příslušnými orgány stanoví kapitola V směrnice (EU) 2016/680, konkrétně články 35 až 40. Jakkoli je tok osobních údajů do zemí a ze zemí mimo Evropskou unii nezbytný pro účinnou spolupráci v oblasti prosazování práva, musí být zaručeno, že úroveň ochrany poskytovaná osobním údajům v Evropské unii nebude takovým předáváním údajů znehodnocena (2).

(2) Podle čl. 36 odst. 3 směrnice (EU) 2016/680 může Komise prostřednictvím prováděcího aktu rozhodnout, že určitá třetí země, určité území či jedno nebo více konkrétních odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany. Za této podmínky se může uskutečnit předávání osobních údajů do třetí země bez nutnosti získat další povolení (s výjimkou případů, kdy musí s předáním souhlasit jiný členský stát, od něhož byly údaje získány), jak stanoví čl. 35 odst. 1 a 66. bod odůvodnění směrnice (EU) 2016/680.

(3) Jak uvádí čl. 36 odst. 2 směrnice (EU) 2016/680, přijetí rozhodnutí o odpovídající ochraně musí vycházet z komplexní analýzy právního řádu dané třetí země. Ve svém posouzení musí Komise určit, zda daná třetí země zaručuje úroveň ochrany „v zásadě rovnocennou“ úrovni ochrany zajištěné v Evropské unii (67. bod odůvodnění směrnice (EU) 2016/680). Standard, vůči němuž je „zásadní rovnocennost“ posuzována, je stanoven právními předpisy EU, a to zejména směrnicí (EU) 2016/680, jakož i judikaturou Soudního dvora Evropské unie (3). V tomto ohledu je významný i referenční rámec Evropského sboru pro ochranu osobních údajů týkající se odpovídající ochrany (4).

(4) Jak objasnil Soudní dvůr Evropské unie, nevyžaduje to zjištění stejné úrovně ochrany (5). Zejména prostředky, které dotyčná třetí země k ochraně osobních údajů využívá, se mohou lišit od prostředků zavedených v Evropské unii, pokud se v praxi ukážou jako účinné k zajištění odpovídající úrovně ochrany (6). Standard odpovídající ochrany tedy nevyžaduje opakování pravidel Unie slovo od slova. Kritériem je spíše to, zda zahraniční systém jako celek zajišťuje prostřednictvím podstaty práva na soukromí a jeho účinného uplatňování, dozoru a vymáhání požadovanou úroveň ochrany (7).

(5) Komise pečlivě analyzovala relevantní právo a praxi ve Spojeném království. Na základě níže uvedených zjištění dospěla Komise k závěru, že Spojené království zajišťuje odpovídající úroveň ochrany osobních údajů předávaných příslušnými orgány v Unii, které spadají do oblasti působnosti směrnice (EU) 2016/680, příslušným orgánům ve Spojeném království v oblasti působnosti části 3 zákona o ochraně údajů z roku 2018 (8).

(6) Toto rozhodnutí má účinek v tom smyslu, že uvedené předávání údajů se může uskutečnit bez nutnosti získat další povolení, a to po dobu čtyř let s výhradou možného prodloužení, a aniž by byly dotčeny podmínky stanovené v článku 35 směrnice (EU) 2016/680.

2. PRAVIDLA TÝKAJÍCÍ SE ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ PŘÍSLUŠNÝMI ORGÁNY PRO ÚČELY PROSAZOVÁNÍ TRESTNÍHO PRÁVA

2.1. Ústavní rámec

(7) Spojené království je parlamentní demokracií. Má svrchovaný parlament nadřazený všem ostatním vládním institucím, vládu jako orgán výkonné moci, který je sestavován z členů parlamentu a tomuto parlamentu je také odpovědný, a nezávislé soudnictví. Vláda odvozuje své oprávnění ze své schopnosti získat důvěru zvolené Dolní sněmovny Spojeného království a zodpovídá se oběma komorám parlamentu Spojeného království (Dolní sněmovna a Horní sněmovna), které nesou odpovědnost za kontrolu vlády a za projednávání a přijímání zákonů. V oblasti přijímání právních předpisů týkajících se určitých vnitrostátních záležitostí ve Skotsku, Walesu a Severním Irsku přenesl parlament Spojeného království odpovědnost na Skotský parlament, Velšský parlament (Senedd Cymru) a na Shromáždění Severního Irska. Zatímco ochrana údajů je záležitostí vyhrazenou parlamentu Spojeného království, tj. v celé zemi platí stejné právní předpisy, jiné oblasti politiky významné pro toto rozhodnutí jsou decentralizované. Například systémy trestního soudnictví včetně činností policie (činností vykonávaných policejními silami) ve Skotsku a Severním Irsku spadají do odpovědnosti přenesené na Skotský parlament, resp. Shromáždění Severního Irska (9).

(8) Spojené království nemá kodifikovanou ústavu ve smyslu pevně zakotveného ústavního dokumentu, ústavní principy se vyvíjely postupně, a to zejména na základě judikatury a zvyklostí. Je uznána ústavní hodnota některých právních předpisů, jako je Magna Carta (Velká listina práv a svobod), Bill of Rights 1689 (Listina práv z roku 1689) a Human Rights Act 1998 (zákon o lidských právech z roku 1998). Základní práva jednotlivců se jako součást ústavního rámce rozvíjela prostřednictvím zvykového práva (common law), uvedených právních předpisů a mezinárodních smluv, zejména Evropské úmluvy o lidských právech (dále jen „EÚLP“), kterou Spojené království ratifikovalo v roce 1951. Spojené království v roce 1987 také ratifikovalo Úmluvu o ochraně osob se zřetelem na automatizované zpracování osobních dat (úmluva č. 108), přijatou Radou Evropy (10).

(9) Zákon o lidských právech z roku 1998 začleňuje práva obsažená v EÚLP do práva Spojeného království. Zákon přiznává každému jednotlivci základní práva a svobody stanovené v článcích 2 až 12 a v článku 14 EÚLP, v článcích 1 až 3 prvního protokolu této úmluvy a v článku 1 jejího třináctého protokolu ve spojení s články 16 až 18 EÚLP. To zahrnuje právo na respektování soukromého a rodinného života, které pak zahrnuje právo na ochranu údajů a právo na spravedlivý proces (11). Konkrétně podle článku 8 EÚLP může orgán veřejné moci do práva na soukromí zasahovat pouze v souladu se zákonem, je-li to v demokratické společnosti nezbytné v zájmu národní bezpečnosti, veřejné bezpečnosti, hospodářského blahobytu země, předcházení nepokojům a zločinnosti, ochrany zdraví nebo morálky nebo ochrany práv a svobod jiných.

(10) V souladu se zákonem o lidských právech z roku 1998 musí být jakékoli opatření orgánů veřejné moci slučitelné s právem zaručeným podle EÚLP (12). Kromě toho je třeba primární a podřízené právní předpisy vykládat a uplatňovat způsobem, který je slučitelný s těmito právy (13). Pokud má určitý jednotlivec za to, že jeho práva včetně práv na ochranu soukromí a ochranu údajů byla orgány veřejné moci porušena, může dosáhnout nápravy u soudů Spojeného království podle zákona o lidských právech z roku 1998 a po vyčerpání vnitrostátních opravných prostředků může dosáhnout nápravy u Evropského soudu pro lidská práva, pokud jde o porušení práv zaručených podle EÚLP.

2.2. Rámec ochrany údajů ve Spojeném království

(11) Spojené království dne 31. ledna 2020 vystoupilo z Unie. Podle Dohody o vystoupení Spojeného království Velké Británie a Severního Irska z Evropské unie a Evropského společenství pro atomovou energii (14) se ve Spojeném království během přechodného období do 31. prosince 2020 nadále používalo právo Unie. Před vystoupením a během přechodného období tvořily legislativní rámec ochrany osobních údajů ve Spojeném království upravující zpracování osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, příslušné části zákona o ochraně údajů z roku 2018, kterým byla ve vnitrostátním právu provedena směrnice (EU) 2016/680.

(12) Aby se připravila na vystoupení z EU, přijala vláda Spojeného království zákon o Evropské unii (o vystoupení z Evropské unie) z roku 2018 (dále jen „zákon o vystoupení z EU“) (15), který začleňuje přímo použitelné právní předpisy Unie do práva Spojeného království a stanoví, že tzv. vnitrostátní právní předpisy odvozené z práva EU jsou účinné i po skončení přechodného období. Část 3 zákona o ochraně údajů z roku 2018 (16), kterým se ve vnitrostátním právu provádí směrnice (EU) 2016/680, představuje „vnitrostátní právní předpis odvozený z práva EU“ podle zákona o vystoupení z EU. V souladu se zákonem o vystoupení z EU musí soudy Spojeného království vykládat nepozměněné „vnitrostátní právní předpisy odvozené z práva EU“ v souladu s příslušnou judikaturou Soudního dvora Evropské unie a s obecnými zásadami práva Unie účinnými bezprostředně před koncem přechodného období (označovanými jako „ponechaná judikatura EU“, resp. „ponechané obecné zásady práva EU“) (17).

(13) Podle zákona o vystoupení z EU mají ministři Spojeného království pravomoc zavádět prostřednictvím zákonných nástrojů sekundární právní předpisy, aby provedli nutné úpravy ponechaného práva Evropské unie po vystoupení Spojeného království z Unie. Výsledkem výkonu této pravomoci jsou nařízení (vystoupení z EU) z roku 2019 v oblasti ochrany údajů, soukromí a elektronických komunikací (změny atd.) (dále jen „nařízení v oblasti ochrany údajů, soukromí a elektronických komunikací“) (18). Ta pozměňují právní předpisy Spojeného království v oblasti ochrany údajů včetně zákona o ochraně údajů z roku 2018, aby odpovídaly vnitrostátním souvislostem (19).

(14) V důsledku toho budou právní standardy pro zpracování osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení ve Spojeném království po skončení přechodného období podle dohody o vystoupení nadále vymezeny v příslušných částech zákona o ochraně údajů z roku 2018, avšak ve znění pozměněném nařízeními v oblasti ochrany údajů, soukromí a elektronických komunikací, zejména v části 3 uvedeného zákona. Obecné nařízení o ochraně osobních údajů ve Spojeném království (dále jen „britské nařízení GDPR“) se pro tento druh zpracování nepoužije.

(15) Část 3 zákona o ochraně údajů z roku 2018 stanoví pravidla zpracování osobních údajů pro účely prosazování trestního práva včetně zásad ochrany údajů, právních důvodů (zákonnosti) zpracování, práv subjektů údajů, povinností příslušných orgánů jako správců a omezení dalšího předávání. Použitelná pravidla pro dohled, prosazování a nápravu použitelná v oblasti prosazování práva jsou zároveň uvedena v částech 5 a 6 zákona o ochraně údajů z roku 2018.

(16) S ohledem na významnou úlohu, kterou v oblasti prosazování práva hrají policejní síly, by navíc měla být zvážena pravidla, která upravují činnost policie. Vzhledem k tomu, že činnost policie je decentralizovanou oblastí, jsou na činnost policie a) v Anglii a Walesu; b) ve Skotsku a c) v Severním Irsku použitelné různé právní předpisy, které jsou však z hlediska obsahu často podobné (20). Různé druhy pokynů navíc poskytují další objasnění, jak by měly být používány pravomoci policie. Existují tři hlavní druhy pokynů pro policii: 1) statutární pokyny vydané v rámci právních předpisů, jako je etický kodex (21) a kodex zásad pro správu údajů policie (22) vydaný podle zákona o policii z roku 1996 (23) nebo tzv. „kodexy PACE“ (24) vydané podle zákona o policii a důkazech v trestním řízení (25), 2) povolený odborný postup pro správu údajů policie (dále jen „povolený odborný postup“) (26), které vydala policejní akademie, a 3) operativní pokyny (zveřejněné samotnou policií). Národní rada policejních ředitelů (National Police Chiefs Council, koordinační orgán pro všechny policejní síly Spojeného království) zveřejňuje operativní pokyny, které všechny policejní síly schválily, a které proto platí na celostátní úrovni (27). Cílem těchto pokynů je zajistit soulad mezi silami z hlediska způsobu správy údajů (28).

(17) Kodex zásad pro správu údajů policie vydal ministr v roce 2005 na základě pravomocí stanovených v článku 39 A zákona o policii z roku 1996 (29). Jakýkoli kodex zásad vydaný podle zákona o policii musí být schválen ministrem a před předložením parlamentu Spojeného království musí být konzultován s Národní kriminální agenturou. Ustanovení čl. 39 A odst. 7 zákona o policii vyžaduje, aby policie řádně zohledňovala kodexy vydané podle tohoto zákona, a tudíž se od policie očekává, že bude kodexy dodržovat (30). Pokyny, které nepředstavují zákonný právní předpis (například povolený odborný postup), musí být vždy v souladu s kodexem zásad pro správu údajů policie, který má vyšší právní sílu (31). V každém případě, ačkoli by mohlo dojít k určitým operativním situacím, kdy se policisté budou muset od těchto pokynů odchýlit, jsou stále povinni dodržovat požadavky části 3 zákona o ochraně údajů z roku 2018 (32).

(18) Další pokyny k právním předpisům Spojeného království v oblasti ochrany údajů týkajícím se zpracování v oblasti prosazování práva poskytuje Úřad komisaře pro informace (33) (další podrobnosti o Úřadu komisaře pro informace viz 93. až 109. bod odůvodnění). Jakkoli tyto pokyny nejsou právně závazné, v soudním řízení by soudy byly povinny zohlednit jakékoli jejich porušení, neboť mají interpretační sílu a ukazují, jak komisař právní předpisy v oblasti ochrany údajů vykládá a prosazuje v praxi (34).

(19) A v neposlední řadě musí donucovací orgány Spojeného království zajistit soulad s EÚLP a s úmluvou č. 108, jak uvádí 8. až 10. bod odůvodnění.

(20) Svou strukturou a hlavními složkami je tedy právní rámec upravující zpracování údajů orgány činnými v trestním řízení ve Spojeném království velmi podobný právnímu rámci platnému v EU. Zahrnuje to skutečnost, že takový rámec se neopírá pouze o povinnosti stanovené ve vnitrostátním právu, které byly formovány právem EU, ale také o povinnosti zakotvené v mezinárodním právu, zejména prostřednictvím dodržování EÚLP a úmluvy č. 108 a podrobení se pravomoci Evropského soudu pro lidská práva ze strany Spojeného království. Tyto povinnosti vyplývají z právně závazných mezinárodních nástrojů, zejména pokud jde o ochranu osobních údajů, a jsou proto obzvláště důležitým prvkem právního rámce posuzovaného v tomto rozhodnutí.

2.3. Věcná a územní působnost

(21) Věcná působnost části 3 zákona o ochraně údajů z roku 2018 se shoduje s působností směrnice (EU) 2016/680, jak je uvedena v čl. 2 odst. 2 směrnice. Část 3 se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů příslušným orgánem a na neautomatizované zpracování příslušným orgánem týkající se osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

(22) Kromě toho, aby správce spadal do oblasti působnosti části 3, musí být „příslušným orgánem“ a zpracování musí být prováděno pro „účely prosazování práva“. Režim ochrany údajů, který je posuzován v tomto rozhodnutí, se proto vztahuje na všechny činnosti těchto příslušných orgánů v oblasti prosazování práva.

(23) Pojem „příslušný orgán“ je vymezen v článku 30 zákona o ochraně údajů jako osoba vyjmenovaná v příloze 7 zákona o ochraně údajů z roku 2018, jakož i kterákoli jiná osoba, která má zákonné funkce pro jakékoli účely prosazování práva. Příslušné orgány vyjmenované v příloze 7 zahrnují nejen policejní síly, ale i všechna ministerstva Spojeného království , jakož i jiné orgány s vyšetřovacími funkcemi (např. Commissioner for Her Majesty’s Revenue and Customs (komisař Daňové a celní správy Spojeného království), Welsh Revenue Authority (orgán daňové správy ve Walesu), Competition and Markets Authority (Úřad pro hospodářskou soutěž a trhy), Her Majesty’s Land Register (Katastrální úřad Spojeného království) nebo Národní kriminální agentura), státní zastupitelství, další orgány činné v trestním řízení a další držitele funkcí nebo organizace vykonávající činnosti v oblasti prosazování práva (35). Část 3 zákona o ochraně údajů z roku 2018 se vztahuje také na soudy při výkonu jejich soudních funkcí, s výjimkou části týkající se práv subjektu údajů a dohledu Úřadu komisaře pro informace (36). Seznam příslušných orgánů uvedený v příloze 7 není konečný a ministr jej může aktualizovat nařízeními s přihlédnutím ke změnám v organizaci veřejných úřadů (37).

(24) Dotčené zpracování musí být také prováděno pro „účely prosazování práva“, které jsou vymezeny jako prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení (38). Zpracování příslušným orgánem se neřídí částí 3 zákona o ochraně údajů z roku 2018, pokud k němu nedochází pro účely prosazování práva. Bude tomu tak například v případě, kdy Úřad pro hospodářskou soutěž a trhy vyšetřuje případy, v nichž se nejedná o trestní stíhání (např. fúze společností). V takovém případě se použije britské nařízení GDPR společně s částí 2 zákona o ochraně údajů z roku 2018, protože zpracování osobních údajů příslušnými orgány se provádí pro jiné účely než prosazování práva. Aby určil, který režim ochrany údajů se na dotčené zpracování osobních údajů použije (část 3 nebo část 2 zákona o ochraně údajů z roku 2018), musí příslušný orgán, tj. správce, posoudit, zda je „primárním účelem“ takového zpracování jeden z účelů prosazování práva podle zákona o ochraně údajů z roku 2018.

(25) Pokud jde o územní působnost části 3 zákona o ochraně údajů z roku 2018, čl. 207 odst. 2 stanoví, že zákon o ochraně údajů se použije na zpracování osobních údajů v rámci činností subjektu zřízeného pro celé území Spojeného království. To zahrnuje orgány veřejné moci na území Anglie, Walesu, Skotska a Severního Irska, která spadají do věcné působnosti části 3 zákona o ochraně údajů z roku 2018 (39).

2.3.1. Definice osobních údajů a zpracování

(26) Hlavní pojmy v oblasti osobních údajů a zpracování jsou vymezeny v článku 3 zákona o ochraně údajů z roku 2018 a používají se v celém tomto zákoně. Definice úzce navazují na odpovídající definice uvedené v článku 3 směrnice (EU) 2016/680. Podle zákona o ochraně údajů z roku 2018 se osobními údaji rozumí veškeré informace o identifikované nebo identifikovatelné žijící fyzické osobě (40). Podle čl. 3 odst. 3 zákona o ochraně údajů z roku 2018 je fyzická osoba identifikovatelná, pokud ji lze z daných informací přímo či nepřímo identifikovat, například s odkazem na jméno nebo určitý identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby. Pojem „zpracování“ je vymezen jako operace nebo soubor operací, které jsou prováděny s informacemi nebo soubory informací, jako je a) shromáždění, zaznamenání, uspořádání, strukturování nebo uložení; b) přizpůsobení nebo pozměnění; c) vyhledání, nahlédnutí nebo použití; d) zpřístupnění osobních údajů přenosem, šířením nebo jakýmkoliv jiným způsobem; e) seřazení nebo zkombinování nebo f) omezení, výmaz nebo zničení. Kromě toho zákon vymezuje „citlivé zpracování“ jako „a) zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech; b) zpracování genetických údajů nebo biometrických údajů za účelem jedinečné identifikace fyzické osoby; c) zpracování údajů o zdravotním stavu; d) zpracování údajů o sexuálním životě nebo sexuální orientaci fyzické osoby“ (41). V tomto ohledu článek 205 zákona o ochraně údajů z roku 2018 uvádí definici „biometrických údajů“ (42), „údajů o zdravotním stavu“ (43) a „genetických údajů“ (44).

(27) Článek 32 zákona o ochraně údajů z roku 2018 objasňuje definice „správce“ a „zpracovatele“ v kontextu zpracování osobních údajů pro účely prosazování práva, přičemž úzce navazuje na rovnocenné definice ve směrnici (EU) 2016/680. Správcem se rozumí příslušný orgán, který určuje účely a prostředky zpracování osobních údajů. Je-li zpracování vyžadováno ze zákona, je správcem příslušný orgán, kterému daný právní předpis tuto povinnost ukládá. Zpracovatel je vymezen jako kterákoli osoba, která zpracovává osobní údaje pro správce (kromě zaměstnanců správce).

2.4. Záruky, práva a povinnosti

2.4.1. Zákonnost a korektnost zpracování

(28) Podle článku 35 zákona o ochraně údajů z roku 2018 musí být zpracování osobních údajů zákonné a korektní, obdobně jako podle čl. 4 odst. 1 písm. a) směrnice (EU) 2016/680. V souladu s čl. 35 odst. 2 zákona o ochraně údajů z roku 2018 je zpracování osobních údajů pro jakékoli účely prosazování práva zákonné, pouze pokud má základ v právu, přičemž buď subjekt údajů udělil souhlas se zpracováním pro daný účel, nebo je zpracování nezbytné pro plnění úkolu, který za tímto účelem provádí příslušný orgán.

2.4.1.1. Zpracování na základě právních předpisů

(29) Obdobně, jako je stanoveno v článku 8 směrnice (EU) 2016/680, musí být taková zpracování s cílem zajistit zákonnost zpracování podle části 3 zákona o ochraně údajů z roku 2018 „právně podložená“. „Zákonným“ zpracováním se rozumí zpracování povolené právním předpisem, zvykovým právem nebo královskými výsadami (45).

(30) Pravomoci příslušných orgánů se obecně řídí zákonnými předpisy, což znamená, že jejich funkce a pravomoci jsou jasně stanoveny v právních předpisech přijatých Parlamentem (46). V některých případech se policie i další příslušné orgány vyjmenované v příloze 7 zákona o ochraně údajů z roku 2018 mohou při zpracování údajů opřít o zvykové právo (47). Zvykové právo postupně vznikalo v podobě precedentů stanovených rozhodnutími soudů. Zvykové právo je relevantní v kontextu pravomocí, které má k dispozici policie, jež z tohoto pramene práva odvozuje svou základní povinnost chránit veřejnost odhalováním a prevencí trestné činnosti (48). Policejní síly však mají k výkonu této povinnosti pravomoci na základě zvykového práva i právních předpisů (49). Pokud má policie pravomoc na základě zákonného právního předpisu, je tato pravomoc nadřazena jakékoli pravomoci podle zvykového práva (50).

(31) Soudy uznaly, že šíře pravomocí a povinností policisty podle zvykového práva zahrnuje „všechny kroky, které se mu zdají nezbytné pro udržení klidu, předcházení trestné činnosti nebo ochranu majetku před újmou v důsledku trestného činu“ (51). Pravomoci podle zvykového práva nejsou bezvýhradnými pravomocemi. Podléhají řadě omezení, včetně omezení stanovených soudy (52) a právními předpisy, zejména zákonem o lidských právech z roku 1998 a zákonem o rovnosti z roku 2010 (53). U příslušných orgánů zpracovávajících údaje podle části 3 zákona o ochraně údajů z roku 2018 to navíc zahrnuje výkon pravomocí podle zvykového práva v souladu s požadavky stanovenými v zákoně o ochraně údajů z roku 2018 (54). Rozhodnutí o provedení jakéhokoli druhu zpracování údajů musí dále zohledňovat požadavky příslušných pokynů, jako je kodex zásad pro správu údajů policie, jakož i pokyny specifické pro jednu ze zemí Spojeného království (55). Vláda a operativní policejní složky vydávají řadu pokynů s cílem zajistit, aby policisté vykonávali své pravomoci zpracování v mezích stanovených zvykovým právem nebo příslušným zákonem (56).

(32) Královské výsady představují další složku „práva“ a odkazují na určité pravomoci svěřené Koruně a vykonatelné výkonnou mocí, které se nezakládají na právním předpisu, nýbrž jsou odvozeny ze svrchovanosti panovníka (57). Existuje jen velmi málo příkladů výsadních pravomocí, které jsou relevantní v kontextu prosazování práva. Patří k nim například rámec vzájemné právní pomoci, který umožňuje sdílení údajů ze strany ministra se třetími zeměmi pro účely prosazování práva, a pravomoc sdílet údaje tímto způsobem není vždy stanovena v zákonném právním předpisu (58). Královské výsady jsou vázány zásadami zvykového práva (59) a jsou podřízeny obecnému právu, tudíž podléhají omezením stanoveným zákonem o lidských právech z roku 1998 a zákonem o ochraně údajů z roku 2018 (60).

(33) Obdobně jako článek 8 směrnice (EU) 2016/680 režim Spojeného království vyžaduje, aby za účelem dodržení zásady zákonnosti měly příslušné orgány povinnost zajistit, aby v případech, kdy je zpracování právně podloženo, bylo rovněž „nezbytné“ provádět daný úkol za účelem prosazování práva. V tomto ohledu poskytuje Úřad komisaře pro informace pokyny, které objasňují, že „se musí jednat o cílený a přiměřený způsob dosažení daného účelu. Zákonný základ se nepoužije, pokud můžete účelu rozumně dosáhnout jinými, méně rušivými prostředky. Nestačí tvrdit, že zpracování je nezbytné, protože to tak nejvíce vyhovuje způsobu vašeho podnikání. Jde o to, zda je zpracování pro uvedený účel nezbytné.“ (61)

2.4.1.2 Zpracování na základě „souhlasu“ subjektu údajů

(34) Jak uvádí 28. bod odůvodnění, čl. 35 odst. 2 zákona o ochraně údajů z roku 2018 stanoví možnost zpracovávat osobní údaje na základě „souhlasu“ fyzické osoby.

(35) Souhlas však zřejmě není právním základem relevantním pro operace zpracování spadající do oblasti působnosti tohoto rozhodnutí. Operace zpracování, na které se vztahuje toto rozhodnutí, se ve skutečnosti budou vždy týkat údajů, které byly předány podle směrnice (EU) 2016/680 příslušným orgánem členského státu příslušnému orgánu Spojeného království. Obvykle tedy nebudou zahrnovat takový druh přímé interakce (shromažďování) mezi orgánem veřejné moci a subjekty údajů, který může být založen na souhlasu podle čl. 35 odst. 2 písm. a) zákona o ochraně údajů z roku 2018.

(36) Ačkoli se tudíž využití souhlasu nepovažuje za relevantní pro posouzení prováděné podle tohoto rozhodnutí, pro úplnost je třeba uvést, že v kontextu prosazování práva není zpracování nikdy založeno pouze na souhlasu, neboť příslušný orgán musí mít vždy příslušnou pravomoc, která mu umožňuje zpracovávat údaje (62). To konkrétně znamená, že – podobně, jako je povoleno podle směrnice (EU) 2016/680 (63) – souhlas slouží jako další podmínka umožňující určité omezené a specifické operace zpracování, které by jinak nemohly být provedeny, například odběr a zpracování vzorku DNA jednotlivce, který není podezřelou osobou. V tomto případě by zpracování nebylo provedeno, pokud by souhlas nebyl udělen nebo byl vzat zpět (64).

(37) V případech vyžadujících souhlas jednotlivce musí být takový souhlas jednoznačný a musí zahrnovat zjevné potvrzení (65). Policejní útvary jsou povinny mít oznámení o ochraně osobních údajů, mimo jiné včetně nezbytných informací souvisejících s platným použitím souhlasu. Některé z nich navíc zveřejňují další materiály o tom, jak dodržují právní předpisy v oblasti ochrany údajů, včetně toho, jak a kdy by použily souhlas jako právní základ (66).

2.4.1.3 Citlivé zpracování

(38) Pokud se zpracovávají „zvláštní kategorie“ údajů, měly by existovat zvláštní záruky. V tomto ohledu, obdobně jako ustanovení článku 10 směrnice (EU) 2016/680, poskytuje část 3 zákona o ochraně údajů z roku 2018 silnější záruky pro tzv. citlivé zpracování (67).

(39) Podle čl. 35 odst. 3 zákona o ochraně údajů z roku 1998 mohou příslušné orgány zpracovávat citlivé údaje pro účely prosazování práva pouze ve dvou případech: 1) subjekt údajů udělil souhlas se zpracováním pro daný účel prosazování práva a v době, kdy je zpracování prováděno, má správce zaveden příslušný dokument o vhodné politice (68), nebo 2) zpracování je nezbytně nutné pro účely prosazování práva, zpracování splňuje alespoň jednu z podmínek uvedených v příloze 8 zákona o ochraně údajů z roku 2018 a v době, kdy je zpracování prováděno, má správce zaveden příslušný dokument o vhodné politice (69).

(40) Pokud jde o první případ a jak je vysvětleno v 38. bodě odůvodnění, využití souhlasu se nepovažuje za relevantní u takového druhu situace předání, na který se vztahuje toto rozhodnutí (70).

(41) Pokud se zpracování citlivých údajů neopírá o souhlas, lze je provést na základě jedné z podmínek uvedených v příloze 8 zákona o ochraně údajů z roku z roku 2018. Tyto podmínky se týkají zpracování nezbytného pro zákonem stanovené účely; soudní správu; ochranu životních zájmů subjektu údajů nebo jiné osoby; ochranu dětí a ohrožených osob; právní nároky; soudní akty; předcházení podvodům; archivaci, pokud jsou osobní údaje zjevně zveřejněny subjektem údajů. Kromě případu, kdy jsou údaje zjevně zveřejněny, podléhají všechny podmínky uvedené v příloze 8 testu „nezbytné nutnosti“. Jak objasnil Úřad komisaře pro informace, „nezbytná nutnost v této souvislosti znamená, že zpracování musí souviset s naléhavou společenskou potřebou a nemůžete jej rozumně provést méně rušivými prostředky“ (71). Některé podmínky navíc podléhají dalším omezením. Například pro využití podmínky „zákonem stanovených účelů“ a „podmínky ochrany“ (body 1 a 4 přílohy 8) je třeba vyhovět dalšímu podstatnému testu veřejného zájmu. Kromě toho, pokud jde o podmínky týkající se ochrany dítěte (bod 4 přílohy 8), musí být subjekt údajů rovněž v určitém věku a musí být považován za ohrožený. Správce může navíc podmínku uvedenou v bodě 4 přílohy 8 použít pouze v případě konkrétních okolností (72). Podobně existují omezení týkající se podmínek „soudních aktů“ a „předcházení podvodům“ (bod 7, resp. bod 8 přílohy 8). Obě podmínky jsou použitelné pouze pro konkrétní správce. V případě soudních aktů může takovou podmínku použít pouze soud nebo jiný soudní orgán a v případě prevence podvodů se o tuto podmínku mohou opřít pouze správci, kteří jsou organizacemi činnými v oblasti boje proti podvodům.

(42) A konečně, pokud se zpracování opírá o jednu z podmínek uvedených v příloze 8, resp. článek 42 zákona o ochraně údajů z roku z roku 2018, musí být zaveden „dokument o vhodné politice“, který vysvětluje postupy správce pro zajištění souladu se zásadami ochrany údajů a politikami správce týkajícími se uchovávání a výmazu osobních údajů, a platí povinnosti vedení rozšířené evidence.

2.4.2. Účelové omezení

(43) Osobní údaje by měly být zpracovávány za konkrétním účelem a následně používány, pouze pokud to není neslučitelné s účelem zpracování. Tuto zásadu ochrany údajů zaručuje článek 36 zákona o ochraně údajů z roku 2018. Toto ustanovení obdobně jako čl. 4 odst. 1 písm. b) směrnice (EU) 2016/680 stanoví, že a) účel prosazování práva, pro který jsou osobní údaje při jakékoli příležitosti shromažďovány, musí být určitý, výslovně vyjádřený a legitimní a b) takto shromážděné osobní údaje nesmí být zpracovávány způsobem, který není slučitelný s účely, pro které byly údaje shromážděny.

(44) Pokud příslušné orgány zpracovávají údaje pro účely prosazování práva, mohou účely zahrnovat archivaci, vědecký či historický výzkum a statistické účely (73). V těchto případech zákon o ochraně údajů z roku 2018 rovněž objasňuje, že archivace (nebo zpracování pro vědecký či historický výzkum a statistické účely) není povolena, pokud je prováděna u rozhodnutí vydaných ve vztahu ke konkrétnímu subjektu údajů nebo pokud je pravděpodobné, že archivace způsobí subjektu podstatnou újmu nebo tíseň (74).

2.4.3. Přesnost a minimalizace údajů

(45) Údaje musí být přesné a dle potřeby aktualizované. Musí být rovněž přiměřené, relevantní a nikoli přebytečné ve vztahu k účelům, pro které jsou zpracovávány. Obdobně, jako je stanoveno v čl. 4 odst. 1 písm. c), d) a e) směrnice (EU) 2016/680, jsou tyto zásady zajištěny v článcích 37 a 38 zákona o ochraně údajů z roku 2018. Musí být přijata veškerá rozumná opatření zajišťující, aby osobní údaje, které jsou nepřesné (75), byly bezodkladně vymazány nebo opraveny (76) s přihlédnutím k účelu, pro který jsou zpracovávány (77), a aby nebyly pro žádný účel prosazování práva předávány ani zpřístupňovány osobní údaje, které jsou nepřesné, neúplné nebo již nejsou aktuální (78).

(46) Kromě toho britský režim ochrany údajů stanoví – obdobně, jako je stanoveno v článku 7 směrnice (EU) 2016/680 –, že osobní údaje založené na skutečnostech je třeba pokud možno rozlišovat od osobních údajů založených na osobních hodnoceních (79). V příslušných případech, a pokud je to možné, se musí jednoznačně rozlišovat mezi osobními údaji týkajícími se různých kategorií subjektů údajů, jako jsou podezřelé osoby, osoby odsouzené za trestný čin, oběti trestného činu a svědci (80).

2.4.4. Omezení uložení

(47) Podle článku 5 směrnice (EU) 2016/680 by se údaje zásadně neměly uchovávat déle, než je nezbytné pro účely, k nimž jsou zpracovávány. Podle článku 39 zákona o ochraně údajů z roku 2018 a obdobně, jako je stanoveno v článku 5 uvedené směrnice, je zakázáno uchovávat osobní údaje zpracovávané pro jakékoli účely prosazování práva po dobu delší, než je nezbytné s ohledem na účel, pro který jsou zpracovávány. Právní režim Spojeného království vyžaduje, aby byly stanoveny přiměřené lhůty pro pravidelné přezkoumání nutnosti dalšího uchovávání osobních údajů pro jakékoli účely prosazování práva. Další pravidla pro postupy týkající se uchovávání osobních údajů a příslušné lhůty jsou stanovena v příslušných právních předpisech a pokynech upravujících pravomoci a fungování policie. Například v Anglii a Walesu poskytuje rámec pro zajištění jednotného a na riziku založeného procesu uchovávání, přezkumu a likvidace pro správu operačních policejních informací kodex zásad pro správu údajů policie, který vypracovala policejní akademie, společně s povoleným odborným postupem pro správu údajů policie (81). Tento rámec stanoví pro všechny složky policie jasná očekávání ohledně způsobu, jakým by měly být informace vytvářeny, sdíleny, používány a spravovány v rámci jednotlivých policejních útvarů a jiných agentur a mezi nimi (82). Očekává se, že policie bude kodex zásad dodržovat, a toto dodržování kontroluje Inspektorát policejního a hasičského a záchranného sboru Jejího Veličenstva (83).

(48) Policejní sbor Severního Irska není ze zákona povinen dodržovat kodex zásad pro správu údajů policie. Rámec správy údajů policie přijatý v roce 2011 je však doplněn příručkou Policejního sboru Severního Irska (84), která stanoví zásady a postupy týkající se způsobu, jakým je v Severním Irsku kodex zásad pro správu údajů policie uplatňován.

(49) Ve Skotsku policejní síly používají standardní operační postup pro uchovávání záznamů (85), který podporuje politiku správy záznamů policejního sboru ve Skotsku (86). Standardní operační postup pro uchovávání záznamů stanoví konkrétní pravidla pro uchovávání záznamů policií ve Skotsku.

(50) Kromě všeobecného požadavku přezkumu záznamů, který platí v celém Spojeném království, jsou další podrobnosti uvedeny v lokalizovaných předpisech. K příkladům v Anglii a Walesu patří zákon o policii a důkazech v trestním řízení, ve znění zákona o ochraně svobod z roku 2012, který obsahuje ustanovení o uchovávání otisků prstů a profilů DNA, jakož i o zvláštním režimu pro osoby, které nebyly odsouzeny (87). Zákon o ochraně svobod rovněž zřídil funkci komisaře pro uchovávání a používání biometrických materiálů (dále jen „komisař pro biometriku“) (88). Zvláštní pravidla pro fotografie pořízené při zadržení jsou stanovena v pokynech pro přezkum fotografií pořízených při zadržení z roku 2017 (89). Pokud jde o Skotsko, zákon o trestním řízení (Skotsko) z roku 1995 stanoví pravidla pro získávání a uchovávání otisků prstů a biologických vzorků (90). Stejně jako v případě Anglie a Walesu upravují právní předpisy uchovávání biometrických údajů v různých případech (91).

2.4.5. Zabezpečení údajů

(51) Osobní údaje musí být zpracovávány způsobem, který zajišťuje jejich zabezpečení, včetně ochrany před neoprávněným nebo protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením. Za tímto účelem by orgány veřejné moci měly přijmout vhodná technická nebo organizační opatření na ochranu osobních údajů před možnými hrozbami. Tato opatření musí být posuzována s přihlédnutím ke stavu techniky a k souvisejícím nákladům.

(52) Tyto zásady se odrážejí v článku 40 zákona o ochraně údajů z roku 2018, podle kterého musí být obdobně jako dle čl. 4 odst. 1 písm. f) směrnice (EU) 2016/680 osobní údaje zpracovávané pro jakýkoli účel prosazování práva zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, a to pomocí vhodných technických nebo organizačních opatření. To zahrnuje ochranu údajů před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením (92). Článek 66 zákona o ochraně údajů z roku 2018 dále stanoví, že každý správce a každý zpracovatel musí zavést vhodná technická a organizační opatření k zajištění úrovně bezpečnosti odpovídající rizikům vyplývajícím ze zpracování osobních údajů. Podle vysvětlivek musí správce vyhodnotit rizika a na základě tohoto vyhodnocení zavést vhodná bezpečnostní opatření, například šifrování nebo specifické úrovně bezpečnostní prověrky pro zaměstnance, kteří údaje zpracovávají (93). Hodnocení musí rovněž zohlednit například povahu zpracovávaných údajů a jakékoli další relevantní faktory nebo okolnosti, které by mohly mít vliv na zabezpečení zpracování.

(53) Režim upravující dodržování zásad zabezpečení údajů je velmi podobný režimu stanovenému články 29 až 31 směrnice (EU) 2016/680. Konkrétně v případě porušení zabezpečení osobních údajů týkajícího se osobních údajů, za které nese odpovědnost, musí správce podle čl. 67 odst. 1 zákona o ochraně údajů z roku 2018 bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásit toto porušení zabezpečení osobních údajů komisaři pro informace (94). Oznamovací povinnost neplatí, pokud není pravděpodobné, že by porušení zabezpečení osobních údajů vedlo k ohrožení práv a svobod jednotlivců (95). Správce musí zdokumentovat skutečnosti týkající se jakéhokoli porušení zabezpečení osobních údajů, jeho dopadů a přijatých nápravných opatření, a to způsobem, který komisaři pro informace umožní ověřit dodržování zákona o ochraně údajů (96). Pokud se o porušení zabezpečení dozví zpracovatel, musí bez zbytečného odkladu vyrozumět správce (97).

(54) Je-li pravděpodobné, že porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, musí to podle čl. 68 odst. 1 zákona o ochraně údajů z roku 2018 správce bez zbytečného odkladu oznámit subjektu údajů (98). Oznámení musí obsahovat stejné informace jako oznámení komisaři pro informace popsané v 53. bodě odůvodnění. Tato povinnost neplatí, pokud správce zavedl náležitá technická a organizační ochranná opatření, která byla použita u osobních údajů dotčených daným porušením zabezpečení. Povinnost také neplatí v případě, že správce přijal následná opatření, která zajistí, že vysoké riziko pro práva a svobody subjektů údajů se již pravděpodobně neprojeví. A konečně správce není povinen uvědomit subjekt údajů, pokud by to vyžadovalo nepřiměřené úsilí (99). V takovém případě musí být informace subjektu údajů zpřístupněny jiným, stejně účinným způsobem, například veřejným oznámením (100). Jestliže správce subjektu údajů porušení zabezpečení údajů neoznámil, může komisař pro informace poté, co byl informován podle článku 67 zákona o ochraně údajů a posoudil pravděpodobnost toho, že dané porušení bude mít za následek vysoké riziko, požadovat, aby správce subjekt údajů o porušení zabezpečení informoval (101).

2.4.6. Transparentnost

(55) Subjekty údajů musí být informovány o hlavních znacích zpracování jejich osobních údajů. Tato zásada ochrany údajů se odráží v článku 44 zákona o ochraně údajů z roku z roku 2018, který podobně jako článek 13 směrnice (EU) 2016/680 stanoví, že správce má obecnou povinnost zpřístupnit subjektům údajů informace o zpracování jejich osobních údajů (ať už zveřejněním informací, nebo jakýmkoli jiným způsobem) (102). Informace, které mají být zpřístupněny, zahrnují a) údaje o totožnosti a kontaktní údaje správce; b) kontaktní údaje případného pověřence pro ochranu osobních údajů; c) informace o účelech, pro které správce osobní údaje zpracovává; d) informace o existenci práva subjektů údajů požadovat od správce přístup k osobním údajům, jejich opravu nebo výmaz anebo omezení jejich zpracování a e) informace o existenci práva podat stížnost u komisaře pro informace a kontaktní údaje komisaře (103).

(56) Správce musí rovněž ve zvláštních případech, aby umožnil výkon práv subjektu údajů podle zákona o ochraně údajů z roku 2018 (například pokud byly zpracovávané osobní údaje shromážděny bez vědomí subjektu údajů), poskytnout subjektu údajů: a) informace o právním základu zpracování; b) informace o době, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, o kritériích použitých ke stanovení této doby; c) informace o případných kategoriích příjemců daných osobních údajů (včetně příjemců ve třetích zemích nebo v mezinárodních organizacích); d) další informace nezbytné k umožnění výkonu práv subjektu údajů podle části 3 zákona o ochraně údajů z roku 2018 (104).

2.4.7. Individuální práva

(57) Subjektům údajů musí být přiznána řada vymahatelných práv. Kapitola 3 části 3 zákona o ochraně údajů z roku 2018 poskytuje jednotlivcům práva na přístup, opravu a výmaz a omezení (105), která jsou srovnatelná s právy stanovenými v kapitole 3 směrnice (EU) 2016/680.

(58) Právo na přístup je stanoveno v článku 45 zákona o ochraně údajů z roku 2018. Zaprvé, jednotlivec je oprávněn získat od správce potvrzení, zda jeho osobní údaje jsou, či nejsou zpracovávány (106). Zadruhé, pokud jsou osobní údaje zpracovávány, má subjekt údajů právo na přístup k těmto údajům a na získání těchto informací o zpracování: a) účely a právní základy zpracování; b) kategorie dotčených údajů; c) příjemci, kterým byly údaje zpřístupněny; d) doba, po kterou se budou osobní údaje uchovávat; e) existence práva subjektu údajů na opravu a výmaz osobních údajů; f) právo podat stížnost; a g) veškeré informace o původu dotčených osobních údajů (107).

(59) Podle článku 46 zákona o ochraně údajů z roku 2018 má subjekt údajů právo požadovat, aby správce opravil nepřesné osobní údaje, které se týkají subjektu údajů. Správce musí údaje opravit (nebo pokud jsou údaje nepřesné, protože jsou neúplné, doplnit) bez zbytečného odkladu. Pokud musí být osobní údaje uchovány pro účely dokazování, musí správce (namísto opravy osobních údajů) omezit jejich zpracování (108).

(60) Článek 47 zákona o ochraně údajů z roku 2018 poskytuje jednotlivcům právo na výmaz a omezení zpracování. Správce musí (109) bez zbytečného odkladu vymazat osobní údaje, pokud by zpracování těchto osobních údajů porušovalo kteroukoli ze zásad ochrany údajů, kterýkoli z právních důvodů zpracování nebo kteroukoli záruku související s archivací a citlivým zpracováním. Správce musí také údaje vymazat, pokud je k tomu povinen ze zákona. Musí-li být dané osobní údaje uchovány pro účely dokazování, musí správce (namísto výmazu osobních údajů) omezit jejich zpracování (110). Správce musí omezit zpracování osobních údajů, pokud subjekt údajů zpochybňuje přesnost osobních údajů, ale není možné zjistit, zda jsou údaje přesné, či nikoli (111).

(61) Pokud subjekt údajů požaduje opravu nebo výmaz osobních údajů nebo omezení jejich zpracování, musí správce subjekt údajů písemně informovat o tom, zda bylo žádosti vyhověno, a pokud byla zamítnuta, informovat subjekt údajů o důvodech zamítnutí a dostupných opravných prostředcích (právo subjektu údajů podat komisaři pro informace žádost o vyšetření toho, zda bylo omezení použito zákonně, právo podat stížnost u komisaře pro informace a právo podat k soudu návrh na vydání příkazu ke splnění povinnosti) (112).

(62) Pokud správce opraví osobní údaje přijaté od jiného příslušného orgánu, musí to druhému orgánu oznámit (113). Pokud správce opraví či vymaže osobní údaje nebo omezí zpracování osobních údajů, které správce zpřístupnil, musí o tom vyrozumět příjemce a příjemci musí obdobně dané osobní údaje opravit, vymazat nebo omezit jejich zpracování (pokud si za ně ponechají odpovědnost) (114).

(63) Subjekt údajů má navíc právo na to, aby jej správce bez zbytečného odkladu informoval o porušení zabezpečení osobních údajů, pokud je pravděpodobné, že povede k vysokému riziku pro práva a svobody osob (115).

(64) Ve vztahu ke všem těmto právům subjektu údajů a obdobně právům, která jsou zajištěna podle článku 12 směrnice (EU) 2016/680, je správce povinen zajistit, aby veškeré informace byly subjektu údajů poskytovány stručným, srozumitelným a snadno přístupným způsobem (116), a pokud je to možné, měly by být poskytovány stejnou formou, jakou je podána žádost (117). Správce musí vyhovět žádosti subjektu údajů bez zbytečného odkladu nebo v každém případě v zásadě nejpozději jeden měsíc od data podání žádosti (118). Má-li správce důvodné pochybnosti o totožnosti jednotlivce, může požádat o další informace a odložit vyřízení žádosti, dokud nebude totožnost zjištěna. Správce může požadovat přiměřený poplatek nebo může odmítnout jednat, pokud žádost považuje za zjevně nedůvodnou (119). Úřad komisaře pro informace poskytl pokyny ohledně toho, kdy je žádost považována za zjevně nedůvodnou nebo nepřiměřenou a kdy lze požadovat poplatek (120).

(65) Podle čl. 53 odst. 4 zákona o ochraně údajů z roku 2018 může maximální výši poplatku nařízeními stanovit také ministr.

2.4.7.1 Omezení práv subjektu údajů a povinnosti transparentnosti

(66) Příslušný orgán může za určitých okolností omezit určitá práva subjektu údajů: právo na přístup (121), právo být informován (122), dozvědět se o porušení zabezpečení osobních údajů (123) a být informován o důvodu odmítnutí žádosti o opravu nebo výmaz (124). Obdobně, jako je upraveno v režimu uvedeném v kapitole III směrnice (EU) 2016/680, může příslušný orgán uplatnit omezení pouze v případě, že omezení s přihlédnutím k základním právům a oprávněným zájmům subjektu údajů představuje nezbytné a přiměřené opatření s cílem: a) zabránit maření úředních nebo právních šetření, vyšetřování nebo řízení; b) zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů; c) chránit veřejnou bezpečnost; d) chránit národní bezpečnost; e) chránit práva a svobody druhých.

(67) Úřad komisaře pro informace poskytl pokyny k uplatňování těchto omezení. Podle těchto pokynů musí správci v každém jednotlivém případě provést analýzu, aby vyvážili práva jednotlivce vůči újmě, kterou by zpřístupnění osobních údajů způsobilo. Zejména musí odůvodnit jakékoli použité omezení jako nezbytné a přiměřené a poskytované informace mohou omezit pouze v případě, že by znamenaly újmu pro výše uvedené účely (125).

(68) Existuje také řada dalších pokynů vydaných příslušnými orgány, které poskytují podrobné informace o všech aspektech právních předpisů v oblasti ochrany údajů, včetně uplatňování omezení práv subjektů údajů (126). Například v souvislosti s čl. 45 odst. 4 Příručka ochrany údajů Národní rady policejních ředitelů uvádí: „Je důležité si uvědomit, že omezení lze uplatnit, pouze pokud je nezbytné a pouze po nezbytnou dobu. V důsledku toho není povoleno plošné uplatňování omezení na veškeré osobní údaje žadatele nebo trvalé uplatňování omezení. Pokud jde o druhý bod, často se stává, že osobní údaje shromážděné bez vědomí subjektu údajů, který je ve vyšetřování podezřelou osobou, je třeba nejprve chránit před zpřístupněním tomuto subjektu údajů, aby nedošlo k narušení vyšetřování v jeho průběhu, k pozdějšímu datu by však zpřístupnění nezpůsobilo žádnou újmu, pokud by osobní údaje byly jednotlivci zpřístupněny během výslechu. Policejní útvary musí zavést postupy, které zajistí, že tato omezení budou uplatňována pouze v požadovaném rozsahu a pouze po nezbytně nutnou dobu.“ (127) Tyto pokyny také uvádějí příklady situací, v nichž je použití každého z omezení pravděpodobné (128).

(69) Kromě toho může správce v souvislosti s možností omezit výše uvedená práva z důvodu ochrany „národní bezpečnosti“ požádat o osvědčení podepsané ministrem nebo generálním prokurátorem (nebo generálním advokátem pro Skotsko ), které potvrzuje, že omezení těchto práv je nezbytným a přiměřeným opatřením k ochraně národní bezpečnosti (129). Vláda Spojeného království vydala pokyny týkající se osvědčení o omezení z důvodu národní bezpečnosti podle zákona o ochraně údajů z roku 2018, které zejména zdůrazňují, že jakékoli omezení práv subjektů údajů z důvodu zajištění národní bezpečnosti musí být přiměřené a nezbytné (130) (další podrobnosti k osvědčením o omezení z důvodu národní bezpečnosti viz 131. až 134. bod odůvodnění).

(70) Kromě toho, pokud je použito omezení práva subjektu údajů, musí příslušný orgán bez zbytečného odkladu informovat subjekt údajů o tom, že jeho práva byla omezena, o důvodech tohoto omezení a o dostupných opravných prostředcích, ledaže by poskytnutí těchto informací ohrozilo důvod pro použití omezení (131). Jako další záruku před zneužitím omezení musí správce zaznamenat důvody pro omezení informací a na požádání zpřístupnit záznam komisaři pro informace (132).

(71) Pokud správce odmítne poskytnout další informace v rámci transparentnosti nebo poskytnout přístup nebo odmítne žádost o opravu, výmaz nebo omezení zpracování, může jednotlivec požádat komisaře pro informace, aby prošetřil, zda správce toto omezení použil zákonným způsobem (133). Dotčená osoba může také podat stížnost ke komisaři pro informace nebo se obrátit na soud, aby správci nařídil žádosti vyhovět (134).

2.4.7.2 Automatizované rozhodování

(72) Článek 49 zákona o ochraně údajů z roku 2018 upravuje práva související s automatizovaným rozhodováním a článek 50 záruky, které se mají uplatňovat (135). Obdobně, jako je stanoveno v článku 11 směrnice (EU) 2016/680, může správce přijmout významné rozhodnutí založené výlučně na automatizovaném zpracování osobních údajů, pouze pokud je vyžadováno nebo povoleno zákonem (136). Rozhodnutí je významné, pokud by mělo nepříznivý právní účinek na subjekt údajů nebo by subjekt údajů významně ovlivnilo (137).

(73) V případech, kdy je správce povinen nebo ze zákona oprávněn přijmout významné rozhodnutí, stanoví článek 50 zákona o ochraně údajů z roku 2018 záruky, které se na takové rozhodnutí budou vztahovat (rozhodnutí je definováno jako „kvalifikované významné rozhodnutí“). Správce musí subjektu údajů oznámit, že takové rozhodnutí bylo učiněno, jakmile to bude rozumně proveditelné. Subjekt údajů pak může do jednoho měsíce požadovat, aby správce rozhodnutí znovu zvážil nebo aby přijal nové rozhodnutí, které nebude založeno výhradně na automatizovaném zpracování. Správce musí žádost posoudit a informovat subjekt údajů o výsledku tohoto posouzení. Zákon o ochraně údajů z roku 2018 dává ministrovi pravomoc přijmout nařízení pro dodatečné záruky (138). Žádná taková nařízení dosud nebyla přijata.

2.4.8. Další předávání

(74) Úroveň ochrany poskytovaná osobním údajům, které jsou předávány z donucovacího orgánu členského státu donucovacímu orgánu ve Spojeném království, nesmí být oslabena dalším předáváním těchto údajů příjemcům ve třetí zemi. Toto „další předávání“, které z pohledu donucovacího orgánu ve Spojeném království představuje mezinárodní předání ze Spojeného království, by mělo být povoleno pouze v případě, že další příjemce mimo Spojené království sám podléhá pravidlům zajišťujícím obdobnou úroveň ochrany, jaká je zaručena v právním řádu Spojeného království.

(75) Režim Spojeného království pro mezinárodní předávání je upraven kapitolou 5 části 3 zákona o ochraně údajů z roku 2018 (139) a odráží přístup uplatněný v kapitole V směrnice (EU) 2016/680. Pro předání osobních údajů do třetí země musí příslušný orgán zejména vyhovět třem podmínkám: a) předání musí být nezbytné pro účel prosazování práva; b) předání musí být založeno na: i) nařízení o odpovídající ochraně týkajícím se dané třetí země, ii) není-li založeno na nařízení o odpovídající ochraně, musí být založeno na existenci vhodných záruk, nebo iii) není-li založeno na nařízení o odpovídající ochraně nebo na vhodných zárukách, musí být založeno na zvláštních okolnostech a c) příjemcem předání musí být: i) relevantní orgán (tj. ekvivalent příslušného orgánu) ve třetí zemi; ii) „příslušná mezinárodní organizace“, např. mezinárodní subjekt, který vykonává funkce odpovídající jakémukoli účelu prosazování práva, nebo iii) jiná osoba než relevantní orgán, pouze však v případě, že je předání nezbytně nutné pro provedení některého z účelů prosazování práva; žádná základní práva a svobody dotčeného subjektu údajů nepřevažují nad veřejným zájmem vyžadujícím předání; předání osobních údajů relevantnímu orgánu ve třetí zemi by bylo neúčinné nebo nevhodné a příjemce je informován o účelech, pro které mohou být údaje zpracovány (140).

(76) Nařízení o odpovídající ochraně týkající se třetí země, území nebo odvětví ve třetí zemi, mezinárodní organizace nebo popis (141) takové země, území, odvětví nebo organizace přijímá ministr. Pokud jde o standard, který má být splněn, musí ministr posoudit, zda takové území/odvětví/organizace zajišťuje (zajišťují) odpovídající úroveň ochrany osobních údajů. Ustanovení čl. 74 A odst. 4 zákona o ochraně údajů z roku 2018 stanoví, že za tímto účelem musí ministr zvážit řadu prvků, které odrážejí prvky uvedené v článku 36 směrnice (EU) 2016/680 (142). V tomto ohledu představuje od konce přechodného období část 3 zákona o ochraně údajů z roku 2018 „vnitrostátní právní předpis odvozený z práva EU“, který, jak bylo vysvětleno, budou soudy Spojeného království vykládat v souladu s příslušnou judikaturou Soudního dvora z doby před vystoupením Spojeného království z Unie a s obecnými zásadami práva Unie účinnými bezprostředně před koncem přechodného období. To zahrnuje i standard „zásadní rovnocennosti“, který se tudíž bude používat na posouzení odpovídající ochrany prováděná orgány Spojeného království.

(77) Pokud jde o postup, na nařízení se vztahují „obecné“ procesní požadavky stanovené v článku 182 zákona o ochraně údajů z roku 2018. V rámci tohoto postupu musí ministr při navrhování budoucích britských nařízení o odpovídající ochraně Spojeného království konzultovat komisaře pro informace (143). Jakmile ministr nařízení přijme, jsou předložena parlamentu Spojeného království a podléhají postupu „zamítavého rozhodnutí“, v němž mohou obě komory parlamentu nařízení přezkoumat a podat návrh na jeho zrušení ve lhůtě 40 dnů (144).

(78) Podle čl. 74B odst. 1 zákona o ochraně údajů z roku 2018 musí být nařízení o odpovídající ochraně přezkoumávána v nejvýše čtyřletých intervalech a ministr musí průběžně sledovat vývoj ve třetích zemích a mezinárodních organizacích, který by mohl ovlivnit rozhodnutí vydat nařízení o odpovídající ochraně nebo tato nařízení pozměnit či zrušit. Pokud ministr zjistí, že určitá země nebo organizace již nezajišťuje odpovídající úroveň ochrany osobních údajů, musí v nezbytném rozsahu nařízení změnit nebo zrušit a zahájit konzultace s dotčenou třetí zemí nebo mezinárodní organizací ohledně nápravy nedostatečné úrovně ochrany.

(79) Obdobně, jako je stanoveno v článku 37 směrnice (EU) 2016/680, by v případě neexistence nařízení o odpovídající ochraně bylo předávání osobních údajů v oblasti prosazování práva možné, pokud budou zavedeny vhodné záruky. Tyto záruky jsou zajištěny buď a) právně závazným nástrojem obsahujícím příslušné záruky ochrany osobních údajů, nebo b) posouzením provedeným správcem, který po zvážení všech okolností daného předání dospěl k závěru, že existují vhodné záruky ochrany údajů (145). Navíc pokud jsou předání založena na vhodných zárukách, zákon o ochraně údajů z roku 2018 stanoví, že vedle běžné dozorové úlohy role komisaře pro informace musí příslušné orgány Úřadu komisaře pro informace poskytnout konkrétní informace o daných předáních (146).

(80) Pokud předání není založeno na rozhodnutí o odpovídající ochraně nebo na vhodných zárukách, může k němu dojít pouze za určitých specifikovaných okolností, označovaných jako „zvláštní okolnosti“ (147). Ty existují v případě, že je předání nezbytné: a) k ochraně životně důležitých zájmů subjektu údajů nebo jiné osoby; b) k ochraně oprávněných zájmů subjektu údajů; c) aby se zabránilo bezprostřednímu a závažnému ohrožení veřejné bezpečnosti ve třetí zemi; d) v jednotlivých případech pro jakékoli účely prosazování práva; nebo e) v jednotlivých případech pro právní účely (například v souvislosti se soudním řízením nebo s cílem získat právní poradenství) (148). Lze upozornit, že písmena d) a e) se nepoužijí, pokud práva a svobody subjektu údajů převažují nad veřejným zájmem na předání (149). Tento soubor okolností odpovídá konkrétním situacím a podmínkám, které lze kvalifikovat jako „výjimky“ podle článku 38 směrnice (EU) 2016/680.

(81) Za těchto okolností musí být zdokumentovány datum, čas a odůvodnění předání, jméno a jakékoli další relevantní informace týkající se příjemce a popis předaných osobních údajů a tyto informace musí být na požádání poskytnuty komisaři pro informace (150).

(82) Článek 78 zákona o ochraně údajů z roku 2018 upravuje scénář „následných předání“, jmenovitě když jsou osobní údaje, které byly předány ze Spojeného království do třetí země, následně předány jiné třetí zemi nebo mezinárodní organizaci. Podle čl. 78 odst. 1 musí předávající správce ve Spojeném království podmínit předávání tím, že údaje se nesmí dále předávat do třetí země bez povolení předávajícího správce. Dále podle čl. 78 odst. 3 a obdobně, jako je stanoveno v čl. 35 odst. 1 písm. e) směrnice (EU) 2016/680, platí v případě, kdy je takové povolení požadováno, řada hmotněprávní požadavků. Konkrétně se příslušný orgán při rozhodování o tom, zda předání povolí, či nepovolí, musí ujistit, že je další předání nezbytné pro účely prosazování práva, přičemž by měl vzít mimo jiných faktorů v úvahu a) závažnost okolností, jež vedly k žádosti o povolení; b) účel, pro který byly osobní údaje původně předány, a c) normy ochrany osobních údajů platné ve třetí zemi nebo mezinárodní organizaci, jíž budou osobní údaje předány.

(83) Dále pokud byly údaje, které jsou předmětem dalšího předání ze Spojeného království, původně předány z Evropské unie, použijí se další záruky.

(84) Zaprvé, čl. 73 odst. 1 písm. b) zákona o ochraně údajů z roku 2018 stanoví obdobně jako čl. 35 odst. 1 písm. c) směrnice (EU) 2016/680, že v případě, kdy byly osobní údaje původně předány nebo jinak zpřístupněny správci nebo jinému příslušnému orgánu členským státem, musí tento členský stát nebo jakýkoli subjekt se sídlem v tomto členském státě, který je příslušným orgánem pro účely směrnice (EU) 2016/680, k předávání udělit předchozí povolení v souladu s právem tohoto členského státu.

(85) Obdobně jako v čl. 35 odst. 2 směrnice (EU) 2016/680 se však takové povolení nevyžaduje, pokud a) je předání nezbytné, aby se zabránilo bezprostřednímu a závažnému ohrožení veřejné bezpečnosti v určitém členském státě nebo třetí zemi nebo podstatných zájmů členského státu, a b) povolení nelze získat včas. V takovém případě musí být neprodleně informován orgán v členském státě, který by byl povinen rozhodnout, zda bude předání povoleno (151).

(86) Zadruhé, stejný přístup platí v případě údajů původně předaných z Evropské unie do Spojeného království, poté dále předaných Spojeným královstvím do třetí země, která je následně dále předá třetí zemi. V takovém případě podle čl. 78 odst. 4 příslušný orgán Spojeného království nemůže posledně uvedené předání v souladu s čl. 78 odst. 1 povolit, ledaže „členský stát [který provedl původní předání daných údajů] nebo jakýkoli subjekt se sídlem v tomto členském státě, který je pro účely směrnice o prosazování práva příslušným orgánem, předání v souladu s právem tohoto členského státu povolil“. Tyto záruky jsou důležité, neboť umožňují orgánům členských států v souladu s právními předpisy EU o ochraně údajů zajistit kontinuitu ochrany v celém řetězci předávání údajů.

(87) Tento nový rámec pro mezinárodní předání se stal použitelným na konci přechodného období (152). Články 10 až 12 přílohy 21 (zavedené nařízeními v oblasti ochrany údajů a soukromí) však stanoví, že ke konci přechodného období se k určitým předáním osobních údajů přistupuje tak, jako by se opírala o nařízení o odpovídající ochraně. Tato předávání zahrnují předání do členského státu, státu ESVO, do třetí země, na kterou se na konci přechodného období vztahuje rozhodnutí EU o odpovídající ochraně, a na území Gibraltaru. V důsledku toho mohou předávání do těchto zemí pokračovat stejně jako před vystoupením Spojeného království z Unie. Po skončení přechodného období musí ministr ve lhůtě čtyř let, tedy do konce prosince 2024, provést přezkum těchto zjištění o odpovídající úrovni ochrany. Podle vysvětlení, které poskytly orgány Spojeného království, ačkoli ministr musí tento přezkum provést do konce prosince 2024, přechodná ustanovení neobsahují ustanovení o „skončení platnosti“ a příslušná přechodná ustanovení automaticky nepřestanou být účinná, pokud přezkum nebude do konce prosince 2024 dokončen.

2.4.9. Odpovědnost

(88) Podle zásady odpovědnosti se od orgánů veřejné moci zpracovávajících údaje vyžaduje zavedení vhodných technických a organizačních opatření, aby mohly účinně plnit své povinnosti v oblasti ochrany údajů a jejich plnění byly schopny prokázat, zejména příslušnému dozorovému úřadu.

(89) Tato zásada se odráží v článku 56 zákona o ochraně údajů z roku 2018, který zavádí obecnou povinnost odpovědnosti správce, tj. povinnost zavést vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování osobních údajů je v souladu s požadavky části 3 zákona o ochraně údajů z roku 2018. Zavedená opatření musí být podle potřeby revidována a aktualizována, a pokud je to s ohledem na zpracování přiměřené, musí zahrnovat vhodné politiky v oblasti ochrany údajů.

(90) V souladu s kapitolou IV směrnice (EU) 2016/680 stanoví články 55 až 71 zákona o ochraně údajů z roku 2018 různé mechanismy, které zajistí odpovědnost a umožní správcům a zpracovatelům prokazovat soulad s předpisy. Správci jsou zejména povinni zavádět opatření záměrné a standardní ochrany osobních údajů, tj. zajistit, aby byly zásady ochrany údajů prováděny účinným způsobem, a musí vést záznamy o všech kategoriích činností zpracování, za které daný správce odpovídá (včetně informací o totožnosti správce, kontaktních údajů pověřence pro ochranu osobních údajů, účelů zpracování, kategorií příjemců zpřístupněných údajů a popisu kategorií subjektů údajů a osobních údajů), a na požádání tyto záznamy zpřístupnit komisaři pro informace. Správce a zpracovatel musí také pro určité operace zpracování uchovávat protokoly a zpřístupňovat je komisaři pro informace (153). Správci jsou také konkrétně povinni spolupracovat s komisařem pro informace při plnění jeho úkolů.

(91) Zákon o ochraně údajů z roku 2018 také stanoví další požadavky na zpracování, které může mít za následek vysoké riziko pro práva a svobody jednotlivců. Ty zahrnují povinnost provést posouzení vlivu na ochranu osobních údajů a před zpracováním konzultovat komisaře pro informace, pokud z tohoto posouzení vyplývá, že by dané zpracování mělo za následek vysoké riziko pro práva a svobody jednotlivců (pokud neexistují opatření ke zmírnění rizika).

(92) Správci musí dále jmenovat pověřence pro ochranu osobních údajů, pokud správcem není soud nebo jiný soudní orgán jednající v rámci soudních pravomocí (154). Správce musí zajistit, aby se pověřenec pro ochranu osobních údajů podílel na všech záležitostech, které se týkají ochrany osobních údajů, měl náležité zdroje a přístup k osobním údajům a operacím zpracování a mohl své úkoly plnit nezávisle. Úkoly pověřence pro ochranu osobních údajů stanoví článek 71 zákona o ochraně údajů z roku 2018, včetně poskytování informací a poradenství, sledování dodržování předpisů, spolupráce s komisařem pro informace a poskytování služeb kontaktního místa komisaře pro informace. Pověřenec pro ochranu osobních údajů musí při plnění svých úkolů brát patřičný ohled na rizika spojená s operacemi zpracování a současně přihlížet k povaze, rozsahu, kontextu a účelům zpracování.

2.5. Dohled a vymáhání

2.5.1. Nezávislý dohled

(93) Aby se zajistilo, že odpovídající úroveň ochrany údajů bude zaručena i v praxi, musí být zřízen nezávislý dozorový úřad oprávněný monitorovat a vymáhat dodržování pravidel v oblasti ochrany údajů. Při plnění svých povinností a výkonu svých pravomocí musí tento úřad jednat zcela nezávisle a nestranně.

(94) Ve Spojeném království provádí dohled a vymáhání v souvislosti s dodržováním britského nařízení GDPR a zákona o ochraně údajů z roku 2018 komisař pro informace (155). Komisař pro informace také dohlíží na zpracování osobních údajů příslušnými orgány, které spadají do oblasti působnosti části 3 zákona o ochraně údajů z roku 2018 (156). Komisař pro informace je tzv. výhradní korporace: samostatná právnická osoba, kterou tvoří jedna osoba. Komisaři pro informace je při práci nápomocen úřad. Ke dni 31. března 2020 měl Úřad komisaře pro informace 768 stálých zaměstnanců (157). Sponzorským ministerstvem komisaře pro informace je Ministerstvo pro digitální oblast, kulturu, sdělovací prostředky a sport (158).

(95) Nezávislost komisaře je výslovně stanovena v článku 52 britského nařízení GDPR, který odráží požadavky stanovené v čl. 52 odst. 1 až 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (159). Komisař musí při plnění svých úkolů a výkonu svých pravomocí podle britského nařízení GDPR jednat zcela nezávisle, nesmí v souvislosti s těmito úkoly a pravomocemi podléhat vnějšímu vlivu, ať již přímému, nebo nepřímému, a nesmí od nikoho vyžadovat ani přijímat pokyny. Komisař se rovněž musí zdržet jakéhokoli jednání neslučitelného s jeho funkcí a během svého funkčního období nesmí vykonávat žádnou výdělečnou ani nevýdělečnou pracovní činnost neslučitelnou s touto funkcí.

(96) Podmínky jmenování a odvolání komisaře pro informace jsou stanoveny v příloze 12 zákona o ochraně údajů z roku 2018. Komisaře pro informace jmenuje královna na doporučení vlády na základě spravedlivého a otevřeného výběrového řízení. Uchazeč musí mít odpovídající kvalifikaci, dovednosti a způsobilost. V souladu s kodexem pro jmenování do veřejných funkcí (160) sestavuje poradní hodnotící panel seznam kandidátů, kteří pro jmenování přicházejí v úvahu. Než ministr pro digitální oblast, kulturu, sdělovací prostředky a sport vydá své konečné rozhodnutí, musí příslušná parlamentní výběrová komise provést prověření před jmenováním. Stanovisko komise se zveřejňuje (161).

(97) Komisař pro informace vykonává svou funkci po dobu až sedmi let. Komisaře pro informace může z funkce odvolat Její Veličenstvo na návrh (address) obou komor parlamentu Spojeného království (162). Žádné komoře parlamentu Spojeného království nelze předložit žádost o odvolání komisaře pro informace, pokud jí ministr nepředloží zprávu, v níž uvede, že dle jeho přesvědčení je komisař pro informace vinen závažným pochybením a/nebo již nesplňuje podmínky požadované pro výkon jeho funkcí (163).

(98) Financování komisaře pro informace pochází ze tří zdrojů: i) poplatky za ochranu údajů placené správci, které jsou stanoveny v nařízeních ministra (164) a představují 85–90 % ročního rozpočtu úřadu (165); ii) podpůrný grant, který může komisaři pro informace vyplatit vláda a používá se zejména k financování provozních nákladů komisaře pro informace, pokud jde o úkoly nesouvisející s ochranou údajů (166); iii) poplatky účtované za služby (167). V současné době nejsou žádné takové poplatky účtovány.

(99) Obecné funkce komisaře pro informace v souvislosti se zpracováním osobních údajů spadajících do oblasti působnosti části 3 zákona o ochraně údajů z roku 2018 jsou stanoveny v příloze 13 zákona o ochraně údajů z roku 2018. K těmto úkolům patří monitorování a prosazování části 3 zákona o ochraně údajů z roku 2018, zvyšování povědomí veřejnosti, poskytování doporučení parlamentu Spojeného království, vládě a dalším institucím ohledně legislativních a správních opatření, zvyšování povědomí správců a zpracovatelů o jejich povinnostech, poskytování informací subjektu údajů ohledně výkonu práv subjektu údajů a vedení vyšetřování. V zájmu zachování nezávislosti soudnictví není komisař pro informace oprávněn vykonávat své funkce v souvislosti se zpracováním osobních údajů jednotlivcem, který jedná v rámci soudních pravomocí, nebo soudem či tribunálem jednajícím v rámci své soudní pravomoci. Dohled nad soudnictvím však vykonávají specializované subjekty, viz níže.

2.5.1.1 Vymáhání včetně sankcí

(100) Pokud jde o zpracování osobních údajů, na které se použije část 3 zákona o ochraně údajů z roku 2018, má komisař obecné vyšetřovací, nápravné, povolovací a poradenské pravomoci. Komisař má pravomoc ohlásit správci či zpracovateli údajné porušení části 3, upozornit správce či zpracovatele, že zamýšlené operace zpracování pravděpodobně porušují ustanovení části 3, a udělit napomenutí správci či zpracovateli, pokud operace zpracování ustanovení části 3 porušily. Kromě toho může komisař z vlastního podnětu nebo na žádost vydávat pro parlament Spojeného království, vládu nebo jiné instituce a subjekty, jakož i pro veřejnost stanoviska k jakékoli otázce týkající se ochrany osobních údajů (168).

(101) Komisař má také pravomoc: — nařídit správci a zpracovateli (a za určitých okolností kterékoli jiné osobě), aby poskytli nezbytné informace, výzvou k podání informací (dále jen „výzva k podání informací“) (169), — provádět vyšetřování a audity na základě výzvy k posouzení, která může vyžadovat, aby správce nebo zpracovatel komisaři povolil vstoupit do určených prostor, nahlížet do dokumentů nebo zařízení nebo je kontrolovat, vyslechnout osoby zpracovávající osobní údaje jménem správce (dále jen „oznámení o posouzení“) (170), — získat jiným způsobem přístup k dokumentům správců a zpracovatelů a přístup do jejich prostor v souladu s článkem 154 zákona o ochraně údajů z roku 2018 (dále jen „pravomoci vstupu a inspekce“), — vykonávat nápravné pravomoci, a to i formou varování a napomenutí, nebo vydávat příkazy prostřednictvím oznámení o vymáhání, které vyžaduje, aby správci/zpracovatelé provedli určité kroky nebo aby se určitých kroků zdrželi („oznámení o vymáhání“) (171), a — udělovat správní pokuty formou oznámení o sankci (dále jen „oznámení o sankci“) (172).

(102) Politika regulačních opatření Úřadu komisaře pro informace stanoví okolnosti, za kterých komisař vydá výzvu k podání informací, oznámení o posouzení, vymáhání, resp. sankci (173). Oznámení o vymáhání může ukládat pouze požadavky, které komisař považuje za vhodné pro účely nápravy selhání. Oznámení o sankci vyžaduje, aby daná osoba zaplatila komisaři pro informace částku uvedenou v oznámení. Oznámení o sankci lze vydat, pokud došlo k nedodržení určitých ustanovení zákona o ochraně údajů z roku 2018 (174), nebo vůči správci nebo zpracovateli, který nejednal v souladu s výzvou k podání informací, s oznámením o posouzení nebo oznámením o vymáhání.

(103) Při rozhodování o tom, zda vůči správci nebo zpracovateli vydat oznámení o sankci, a při určování výše sankce musí komisař pro informace vzít v úvahu záležitosti vyjmenované v čl. 155 odst. 3 zákona o ochraně údajů z roku 2018, včetně povahy a závažnosti nedodržení předpisů, záměrné nebo nedbalostní povahy nedodržení předpisů, případných kroků podniknutých správcem či zpracovatelem ke zmírnění škod způsobených subjektům údajů, míry odpovědnosti správce či zpracovatele (s přihlédnutím k technickým a organizačním opatřením, která správce nebo zpracovatel zavedl), veškerých relevantních předchozích nedodržení předpisů správcem či zpracovatelem, kategorie osobních údajů dotčených nedodržením předpisů a to, zda by byla sankce účinná, přiměřená a odrazující.

(104) Maximální výše pokuty, která může být uložena oznámením o sankci, činí a) 17 500 000 GBP za nedodržení zásad ochrany údajů (články 35, 36, 37, čl. 38 odst. 1, čl. 39 odst. 1 a článek 40 zákona o ochraně údajů z roku 2018), povinností transparentnosti a individuálních práv (články 44, 45, 46, 47, 48, 49, 52 a 53 zákona o ochraně údajů z roku 2018), zásad pro mezinárodní předávání osobních údajů (články 73, 75, 76, 77 nebo 78 zákona o ochraně údajů z roku 2018) a b) 8 700 000 GBP v ostatních případech (175). Při nesplnění výzvy k podání informací, oznámení o posouzení nebo oznámení o vymáhání je maximální výší pokuty, která může být uložena oznámením o sankci, částka 17 500 000 GBP.

(105) Podle posledních výročních zpráv Úřadu pro informace (2018–2019 (176), 2019–2020 (177)) vedl tento úřad řadu vyšetřování v souvislosti se zpracováním údajů orgány činnými v trestním řízení. Například provedl šetření a v říjnu 2019 zveřejnil stanovisko týkající se používání technologie rozpoznávání obličeje na veřejných místech pro účely prosazování práva. Šetření se zaměřilo zejména na využití zařízení pro rozpoznávání obličeje v reálném čase policií jižního Walesu a metropolitní policií. Úřad komisaře pro informace rovněž vyšetřoval tzv. matici gangů (178) metropolitní policie a zjistil řadu závažných porušení právních předpisů v oblasti ochrany údajů, která by mohla narušit důvěru veřejnosti v matici a ve způsob, jakým jsou údaje využívány.

(106) V listopadu 2018 vydal Úřad komisaře pro informace oznámení o vymáhání a metropolitní policie následně přijala potřebné kroky, aby zvýšila zabezpečení a odpovědnost a zajistila přiměřené využívání údajů.

(107) Dalším příkladem nedávného opatření k vymáhání je pokuta ve výši 325 000 GBP, kterou Úřad komisaře uložil v květnu 2018 úřadu státního zástupce za ztrátu nezašifrovaných DVD obsahujících záznamy policejních výslechů. Úřad komisaře pro informace také vedl vyšetřování v rámci obecnějších témat, například v první polovině roku 2020 šetřil získávání údajů z mobilních telefonů pro policejní účely a zpracování údajů obětí ze strany policie.

(108) Vedle těchto donucovacích pravomocí komisaře pro informace představují určitá porušení právních předpisů v oblasti ochrany údajů trestné činy, a proto mohou podléhat trestním sankcím (článek 196 zákona o ochraně údajů z roku 2018). Jde například o získávání nebo zpřístupnění osobních údajů jiné osobě bez souhlasu správce a zajišťování zpřístupnění osobních údajů jiné osobě bez souhlasu správce (179); opětovnou identifikaci údajů, které jsou osobními údaji, jež byly anonymizovány, bez souhlasu správce odpovědného za anonymizaci daných osobních údajů (180); záměrné maření výkonu pravomocí komisaře v souvislosti s inspekcí osobních údajů v souladu s mezinárodními závazky (181), vydávání nepravdivých prohlášení v reakci na výzvu k podání informací nebo ničení údajů v souvislosti s výzvami k podání informací a oznámeními o posouzení (182).

(109) Komisař pro informace je také podle článku 139 zákona o ochraně údajů z roku 2018 povinen každé komoře parlamentu Spojeného království předložit obecnou zprávu o výkonu svých funkcí podle zákona (183).

2.5.2. Dohled nad soudnictvím

(110) Dohled nad zpracováním osobních údajů soudy a soudní mocí je dvojí. Pokud osoba vykonávající funkci soudce nebo soud nejedná v rámci soudní pravomoci, zajišťuje dohled Úřad komisaře pro informace. Pokud správce jedná v rámci soudní pravomoci, nemůže Úřad komisaře pro informace vykonávat své dozorové funkce (184) a dohled provádějí zvláštní subjekty. To odráží přístup uplatněný v článku 32 směrnice (EU) 2016/680.

(111) Konkrétně ve druhém scénáři zajišťuje tento dohled nad soudy v Anglii a Walesu a soudy prvního a vyššího stupně v Anglii a Walesu soudní komise pro ochranu údajů (185). Lord nejvyšší soudce (Lord Chief Justice) a vrchní předseda tribunálů vydali oznámení o ochraně osobních údajů (186), které stanoví, jak soudy v Anglii a Walesu zpracovávají osobní údaje v rámci soudní funkce. Obdobné oznámení bylo vydáno v rámci soudnictví Severního Irska (187) a Skotska (188).

(112) Kromě toho v Severním Irsku jmenoval lord nejvyšší soudce pro Severní Irsko soudce Vrchního soudu soudcem pověřeným dozorem nad ochranou údajů (Data Supervisory Judge) (189). Vydal rovněž pokyny pro soudnictví Severního Irska ve věci postupu v případě ztráty nebo potenciální ztráty údajů a řešení jakýchkoli problémů z toho vyplývajících (190).

(113) Ve Skotsku jmenoval lord nejvyšší soudce (Lord Prezident) soudce pro dozor nad ochranou údajů, který bude vyšetřovat jakékoli stížnosti z důvodu ochrany údajů. Je to stanoveno v pravidlech pro soudní stížnosti, která odrážejí pravidla stanovená pro Anglii a Wales (191).

(114) A konečně, u Nejvyššího soudu je jmenován jeden ze soudců Nejvyššího soudu, aby dohlížel na ochranu údajů.

2.5.3. Soudní ochrana

(115) Aby se zajistila odpovídající ochrana, a zejména vymáhání individuálních práv, měla by být subjektu údajů poskytnuta účinná správní a soudní ochrana, včetně náhrady škody.

(116) Zaprvé má subjekt údajů právo podat stížnost u komisaře pro informace, pokud má za to, že v souvislosti s jeho osobními údaji došlo k porušení části 3 zákona o ochraně údajů z roku 2018 (192). Jak je popsáno ve 100. a 109. bodě odůvodnění výše, komisař pro informace má pravomoc posoudit, jak správce a zpracovatel dodržují zákon o ochraně údajů z roku 2018, vyžadovat od nich, aby v případě nedodržení předpisů přijali nezbytné kroky nebo se takových kroků zdrželi, a ukládat pokuty.

(117) Zadruhé zákon o ochraně údajů z roku 2018 poskytuje právo na soudní ochranu vůči komisaři pro informace. Pokud komisař „nedosahuje pokroku“ (193) ve věci stížnosti podané subjektem údajů, má stěžovatel přístup k soudnímu opravnému prostředku, neboť se může obrátit na tribunál prvního stupně (194), aby ten komisaři nařídil přijmout vhodná opatření k vyřízení stížnosti nebo informovat stěžovatele o pokroku ve věci stížnosti (195). Kromě toho se každá osoba, které je doručeno jedno z výše uvedených oznámení komisaře (výzva k podání informací, oznámení o posouzení, vymáhání nebo sankci), může odvolat k tribunálu prvního stupně. Pokud tribunál dospěje k závěru, že rozhodnutí komisaře není v souladu se zákonem, nebo že měl komisař pro informace uplatnit svou diskreční pravomoc jinak, musí tribunál vyhovět opravnému prostředku nebo vydat jiné oznámení nebo přijmout jiné rozhodnutí, které komisař pro informace mohl vydat nebo učinit (196).

(118) Zatřetí mohou jednotlivci získat soudní ochranu vůči správcům a zpracovatelům přímo u soudů podle článku 167 zákona o ochraně údajů z roku 2018. Pokud soud na základě žádosti subjektu údajů dospěje k závěru, že došlo k porušení práv subjektu údajů podle právních předpisů v oblasti ochrany údajů, může soud v souvislosti s daným zpracováním nařídit správci nebo zpracovateli jednajícímu v zastoupení tohoto správce, aby přijal kroky stanovené v soudním příkazu nebo aby se takových kroků zdržel. Kromě toho podle článku 169 zákona o ochraně údajů z roku 2018 má každá osoba, která utrpěla škodu v důsledku porušení požadavku právních předpisů o ochraně údajů (včetně části 3 zákona o ochraně údajů z roku 2018), kromě britského nařízení GDPR, nárok na náhradu této škody od správce nebo zpracovatele, s výjimkou případů, kdy správce nebo zpracovatel prokáže, že správce nebo zpracovatel není nijak odpovědný za událost, která vedla ke vzniku škody. Škoda zahrnuje jak finanční ztrátu, tak nefinanční újmu, například utrpení.

(119) Začtvrté, pokud má kdokoli za to, že orgány veřejné moci porušily jeho práva, včetně práv na soukromí a ochranu údajů, může získat soudní ochranu u soudů Spojeného království podle zákona o lidských právech z roku 1998. Správci podle části 3 zákona o ochraně údajů z roku 2018, tj. příslušnými orgány, jsou vždy orgány veřejné moci ve smyslu zákona o lidských právech z roku 1998. Jednotlivec, který tvrdí, že orgán veřejné moci jednal (nebo navrhuje jednat) způsobem, který je neslučitelný s právem podle úmluvy, a tudíž je podle čl. 6 odst. 1 zákona o lidských právech z roku 1998 protiprávní, může proti tomuto orgánu podat žalobu u příslušného soudu nebo tribunálu nebo se dovolávat dotčených práv v jakémkoli soudním řízení, pokud tento jednotlivec je (nebo by byl) obětí protiprávního jednání (197).

(120) Pokud soud shledá jakýkoli akt orgánu veřejné moci protiprávním, může v rámci svých pravomocí poskytnout takový opravný prostředek nebo soudní ochranu nebo vydat takový příkaz, které považuje za spravedlivé a vhodné (198). Soud může rovněž prohlásit ustanovení primárního právního předpisu za neslučitelné s právem podle EÚLP.

(121) A konečně může jednotlivec po vyčerpání vnitrostátních opravných prostředků dosáhnout nápravy u Evropského soudu pro lidská práva za porušení práv zaručených EÚLP.

2.6. Další sdílení

(122) Právo Spojeného království povoluje sdílení údajů donucovacím orgánem s jinými orgány pro jiné účely, než pro které byly údaje původně shromážděny (tzv. další sdílení), s výhradou určitých podmínek.

(123) Obdobně jako čl. 4 odst. 2 směrnice (EU) 2016/680 umožňuje čl. 36 odst. 3 zákona o ochraně údajů z roku 2018, aby osobní údaje shromážděné příslušným orgánem pro určitý účel prosazování práva mohly být dále zpracovávány (ať už původním správcem, nebo jiným správcem) pro jakýkoli jiný účel prosazování práva, pokud je správce ze zákona oprávněn zpracovávat údaje pro tento jiný účel a zpracování je nezbytné a přiměřené (199). V tomto případě se na zpracování prováděné přijímajícím orgánem vztahují všechny záruky stanovené v části 3 zákona o ochraně údajů z roku 2018 a analyzované výše.

(124) V právním řádu Spojeného království další sdílení výslovně umožňují různé zákony. Zejména i) zákon o digitální ekonomice z roku 2017 umožňuje sdílení mezi orgány veřejné moci z několika důvodů, například v případě podvodu vůči veřejnému sektoru, který by pro orgán veřejné moci znamenal ztrátu nebo riziko ztráty (200), nebo v případě dluhu vůči orgánu veřejné moci nebo Koruně (201); ii) zákon o trestní činnosti a soudech z roku 2013 umožňuje sdílení informací s Národní kriminální agenturou (National Crime Agency) (202) pro účely boje proti závažné a organizované trestné činnosti, jejího vyšetřování a stíhání; iii) zákon o závažné trestné činnosti z roku 2007 orgánům veřejné moci umožňuje zpřístupňovat informace organizacím pro boj proti podvodům za účelem předcházení podvodům (203).

(125) Tyto zákony výslovně uvádějí, že sdílení informací by mělo být v souladu se zásadami stanovenými v zákoně o ochraně údajů z roku 2018. Kromě toho zveřejnila policejní akademie povolený odborný postup pro sdílení informací (204), který má policii pomoci při plnění jejích povinností v oblasti ochrany údajů podle britského nařízení GDPR, zákona o ochraně údajů a zákona o lidských právech z roku 1998. Soulad sdílení s platným právním rámcem pro ochranu údajů samozřejmě může být předmětem soudního přezkumu (205).

(126) Kromě toho zákon o ochraně údajů z roku 2018 podobně jako článek 9 směrnice (EU) 2016/680 stanoví, že osobní údaje shromážděné pro jakékoli účely prosazování práva mohou být zpracovávány za účelem, který nespočívá v prosazování práva, pokud je zpracování povoleno zákonem (206). Tento typ sdílení zahrnuje dva scénáře: 1) když orgán činný v trestním řízení sdílí údaje s jiným donucovacím orgánem činným v oblasti mimo trestní řízení než se zpravodajskou službou (např. s finančním nebo daňovým úřadem, úřadem pro hospodářskou soutěž, úřadem pro péči o mládež); 2) když orgán činný v trestním řízení sdílí údaje se zpravodajskou službou. V prvním scénáři bude zpracování osobních údajů spadat do oblasti působnosti britského nařízení GDPR, jakož i části 2 zákona o ochraně údajů z roku 2018. Jak upřesňuje rozhodnutí přijaté podle nařízení (EU) 2016/679, záruky poskytované britským nařízením GDPR a částí 2 zákona o ochraně údajů z roku 2018 zajišťují úroveň ochrany údajů, která je v zásadě rovnocenná úrovni ochrany v Unii (207).

(127) Ve druhém scénáři, pokud jde o sdílení údajů, které shromáždil orgán činný v trestním řízení, se zpravodajskou službou pro účely národní bezpečnosti, je právním základem, který takové sdílení povoluje, zákon o boji proti terorismu z roku 2008 (208). Podle zákona o boji proti terorismu z roku 2008 může kterákoli osoba poskytovat informace kterékoli ze zpravodajských služeb za účelem výkonu kterékoli z funkcí této služby, včetně „národní bezpečnosti“.

(128) Pokud jde o podmínky, za nichž lze údaje sdílet pro účely národní bezpečnosti, zákon o zpravodajských službách a zákon o bezpečnostních službách omezují možnost zpravodajských služeb získávat údaje na to, co je nezbytné k výkonu jejich zákonem stanovených funkcí. Příslušné orgány, které spadají do oblasti působnosti části 3 zákona o ochraně údajů z roku 2018 a které chtějí sdílet údaje se zpravodajskými službami, budou muset kromě zákonných funkcí agentur stanovených zákonem o zpravodajských službách a zákonem o bezpečnostních službách (209) zohlednit řadu faktorů/omezení. Článek 20 zákona o boji proti terorismu z roku 2008 objasňuje, že jakékoli sdílení údajů podle článku 19 tohoto zákona musí splňovat i právní předpisy o ochraně údajů; což znamená, že se použijí všechna omezení a požadavky zákona o ochraně údajů z roku 2018. Kromě toho jsou donucovací orgány a zpravodajské služby pro účely zákona o lidských právech z roku 1998 orgány veřejné moci, a musí tudíž zajistit, že budou jednat v souladu s právy zaručenými v EÚLP, včetně článku 8 úmluvy. Jinými slovy, tyto požadavky zajišťují, že veškeré sdílení údajů mezi donucovacími orgány a zpravodajskými službami bude v souladu s právními předpisy o ochraně údajů a s EÚLP.

(129) Zpravodajskými službami prováděné zpracování osobních údajů obdržených nebo získaných od donucovacích orgánů pro účely národní bezpečnosti podléhá řadě podmínek a záruk (210). Část 4 zákona o ochraně údajů z roku 2018 se použije na veškeré zpracování prováděné zpravodajskými službami nebo jejich jménem. Stanovuje hlavní zásady ochrany údajů (zákonnost, korektnost a transparentnost (211), účelové omezení (212), minimalizace údajů (213), přesnost (214), omezení uložení (215) a zabezpečení (216)), ukládá podmínky pro zpracování zvláštních kategorií údajů (217), stanoví práva subjektu údajů (218), vyžaduje záměrnou a standardní ochranu údajů (219) a reguluje mezinárodní předávání osobních údajů (220).

(130) Zároveň článek 110 zákona o ochraně údajů z roku 2018 stanoví výjimku z konkrétních ustanovení části 4 zákona o ochraně údajů z roku 2018, je-li taková výjimka požadována k zajištění národní bezpečnosti. V čl. 110 odst. 2 zákona o ochraně údajů z roku 2018 jsou vyjmenována ustanovení, z nichž je přípustná výjimka. Zahrnují zásady ochrany údajů (vyjma zásady zákonnosti), práva subjektu údajů, povinnost informovat komisaře pro informace o porušení zabezpečení údajů, inspekční pravomoci komisaře pro informace v souladu mezinárodními závazky, určité donucovací pravomoci komisaře pro informace, ustanovení, podle nichž některá porušení ochrany údajů zakládají trestný čin, a ustanovení týkající se zvláštních účelů zpracování, například novinářské, akademické nebo umělecké účely. Tuto výjimku lze využít na základě analýzy jednotlivých případů (221). Jak vysvětlily orgány Spojeného království a potvrdila judikatura soudů Spojeného království, „a) správce musí zvážit, jaké by byly skutečné důsledky pro národní bezpečnost nebo obranu, pokud by musel dodržet konkrétní ustanovení o ochraně údajů, a zda by mohl přiměřeně dodržet obvyklé pravidlo, aniž by to ovlivnilo národní bezpečnost nebo obranu“ (222). Otázka toho, zda byla výjimka použita správně, podléhá dohledu ze strany Úřadu komisaře pro informace (223).

(131) Kromě toho v souvislosti s možností omezit výše uvedená práva z důvodu ochrany „národní bezpečnosti“ článek 79 zákona o ochraně údajů z roku 2018 stanoví, že správce může požádat o osvědčení podepsané ministrem nebo generálním prokurátorem, které potvrzuje, že omezení těchto práv je nebo někdy bylo nezbytným a přiměřeným opatřením k ochraně národní bezpečnosti (224). Vláda Spojeného království vydala pokyny týkající se osvědčení o národní bezpečnosti podle zákona o ochraně údajů z roku 2018, které zejména zdůrazňují, že jakékoli omezení práv subjektů údajů z důvodu zajištění národní bezpečnosti musí být přiměřené a nezbytné (225). Všechna osvědčení o omezení z důvodu národní bezpečnosti musí být zveřejněna na internetových stránkách Úřadu komisaře pro informace (226).

(132) Osvědčení by mělo být vydáno na pevně stanovenou dobu nejvýše pěti let, aby mohl orgán výkonné moci provádět jeho pravidelný přezkum (227). Osvědčení uvádí osobní údaje nebo kategorie osobních údajů, na které se výjimka vztahuje, jakož i ustanovení zákona o ochraně údajů z roku 2018, kterých se výjimka týká (228).

(133) Je důležité poznamenat, že osvědčení o omezení z důvodu národní bezpečnosti nestanoví další důvod pro omezení práv na ochranu údajů z důvodů národní bezpečnosti. Jinými slovy, správce nebo zpracovatel může osvědčení uplatnit, pouze pokud dospěl k závěru, že je nutné využít výjimku z důvodu národní bezpečnosti, která musí být použita individuálně. I když se na dotčenou záležitost vztahuje osvědčení o omezení z důvodu národní bezpečnosti, může Úřad komisaře pro informace šetřit, zda bylo v konkrétním případě využití výjimky z důvodu národní bezpečnosti opodstatněné (229).

(134) Kterákoli osoba, jíž se vydání osvědčení přímo dotýká, může proti osvědčení (230) podat opravný prostředek u Vrchního tribunálu (231), nebo pokud osvědčení identifikuje údaje prostřednictvím obecného popisu, může napadnout použití osvědčení pro konkrétní údaje (232).

(135) Tribunál přezkoumá rozhodnutí o vydání osvědčení a rozhodne, zda pro vydání osvědčení existovaly rozumné důvody (233). Může zvážit celou řadu otázek, včetně nezbytnosti, přiměřenosti a zákonnosti, pokud jde o dopad na práva subjektů údajů a vyvážení potřeby chránit národní bezpečnost. V důsledku toho může tribunál rozhodnout, že osvědčení se nevztahuje na konkrétní osobní údaje, které jsou předmětem opravného prostředku (234).

(136) Jiný soubor možných omezení se týká omezení, která se podle přílohy 11 zákona o ochraně údajů z roku 2018 použijí na určitá ustanovení části 4 zákona o ochraně údajů z roku 2018 (235) za účelem ochrany jiných důležitých cílů obecného veřejného zájmu nebo chráněných zájmů, jako jsou například výsady parlamentu, povinnost mlčenlivosti, vedení soudních řízení nebo bojová účinnost ozbrojených sil. Tato ustanovení se na základě výjimky nepoužijí buď na určité kategorie informací („na základě skupiny“), nebo se nepoužijí v rozsahu, v jakém by jejich použití mohlo poškodit chráněný zájem („na základě újmy“) (236). Výjimek na základě újmy se lze domáhat, pouze pokud by použití uvedeného ustanovení o ochraně údajů pravděpodobně mohlo poškodit dotčený konkrétní zájem. Použití výjimky proto musí být vždy odůvodněno odkazem na příslušnou újmu, která by v konkrétním případě pravděpodobně nastala. Výjimky na základě skupiny lze uplatnit pouze pro konkrétní úzce definovanou kategorii informací, pro kterou je výjimka udělena. Svým účelem a účinkem jsou podobné několika výjimkám z britského nařízení GDPR (podle přílohy 2 zákona o ochraně údajů z roku 2018), které naopak odrážejí výjimky uvedené v článku 23 nařízení GDPR.

(137) Z výše uvedeného vyplývá, že podle příslušných právních předpisů Spojeného království, jak jsou vykládány také soudy a komisí pro informace, existují omezení a podmínky, které zajišťují, že tyto výjimky a omezení zůstanou v mezích toho, co je nezbytné a přiměřené k ochraně národní bezpečnosti.

(138) Na zpracování osobních údajů prováděné zpravodajskými službami podle části 4 zákona o ochraně údajů z roku 2018 dohlíží komisař pro informace (237).

(139) Obecné funkce komisaře pro informace v souvislosti se zpracováním osobních údajů zpravodajskými službami podle části 4 zákona o ochraně údajů z roku 2018 jsou stanoveny v příloze 13 zákona o ochraně údajů z roku 2018. K těmto úkolům mimo jiné patří zejména monitorování a prosazování části 4 zákona o ochraně údajů z roku 2018, zvyšování povědomí veřejnosti, poskytování doporučení parlamentu Spojeného království, vládě a dalším institucím ohledně legislativních a správních opatření, zvyšování povědomí správců a zpracovatelů o jejich povinnostech, poskytování informací subjektu údajů ohledně výkonu práv subjektu údajů a vedení vyšetřování.

(140) Komisař má podle části 3 zákona o ochraně údajů z roku 2018 pravomoc upozorňovat správce na údajné porušení předpisů a vydávat napomenutí, že zpracování pravděpodobně porušuje pravidla, a uděluje výtky, pokud je porušení předpisů potvrzeno. Může také vydávat oznámení o vymáhání a sankci za porušení určitých ustanovení zákona (238). Na rozdíl od postupu podle jiných částí zákona o ochraně údajů z roku 2018 však komisař nemůže vydat oznámení o posouzení vůči vnitrostátnímu bezpečnostnímu orgánu (239).

(141) Kromě toho článek 110 zákona o ochraně údajů z roku 2018 stanoví výjimku z použití určitých pravomocí komisaře, pokud je to nutné pro účely zajištění národní bezpečnosti. To zahrnuje pravomoc komisaře vydávat (jakýkoli druh) oznámení podle zákona o ochraně údajů (výzvu k podání informací, oznámení o posouzení, vymáhání a o sankci), pravomoc provádět inspekce v souladu s mezinárodními závazky, pravomoci vstupu a inspekce a pravidla pro trestné činy (240). Jak je vysvětleno ve (136). bodě odůvodnění, tyto výjimky se použijí, pouze pokud je to v konkrétním jednotlivém případě nutné a přiměřené. Použití těchto výjimek může podléhat soudnímu přezkumu (241).

(142) Úřad komisaře pro informace a britské zpravodajské služby podepsaly memorandum o porozumění (242), které stanoví rámec spolupráce v řadě otázek, včetně oznámení o porušení zabezpečení údajů a vyřizování stížností subjektů údajů. Memorandum zejména stanoví, že po obdržení stížnosti Úřad komisaře pro informace posoudí, zda byla jakákoli výjimka z důvodu národní bezpečnosti použita řádně. Odpovědi na dotazy Úřadu komisaře pro informace v souvislosti s šetřením jednotlivých stížností musí dotčená služba podle pokynů vlády Spojeného království týkajících se osvědčení o národní bezpečnosti podle zákona o ochraně údajů poskytnout do 20 pracovních dnů, a to pomocí vhodných zabezpečených kanálů, pokud se jedná o utajované informace. Od dubna 2018 do dnešního dne obdržel Úřad komisaře pro informace 21 stížností od jednotlivců týkajících se zpravodajských služeb. Každá stížnost byla posouzena a výstup byl sdělen subjektu údajů (243).

(143) Kromě toho provádí parlamentní dohled nad zpracováním údajů zpravodajskými službami Výbor pro bezpečnost a zpravodajskou činnost. Právní základ tohoto výboru stanoví zákon o spravedlnosti a bezpečnosti z roku 2013 (244). Zákon zřizuje Výbor pro bezpečnost a zpravodajskou činnost jako výbor parlamentu Spojeného království. Výbor pro bezpečnost a zpravodajskou činnost se skládá z členů náležejících do kterékoli komory parlamentu Spojeného království, které jmenuje předseda vlády po konzultaci s vedoucím představitelem opozice (245). Výbor je povinen předkládat parlamentu Spojeného království výroční zprávu o výkonu svých funkcí a další zprávy, které považuje za vhodné (246).

(144) Od roku 2013 má Výbor pro bezpečnost a zpravodajskou činnost větší pravomoci, včetně dohledu nad operativními činnostmi bezpečnostních služeb. Podle článku 2 zákona o spravedlnosti a bezpečnosti z roku 2013 je úkolem Výboru pro bezpečnost a zpravodajskou činnost dohlížet na výdaje, správu, politiku a operace národních bezpečnostních služeb. Zákon o spravedlnosti a bezpečnosti z roku 2013 stanoví, že Výbor pro bezpečnost a zpravodajskou činnost může vést vyšetřování operačních záležitostí, pokud se netýkají probíhajících operací (247). Memorandum o porozumění dohodnuté mezi předsedou vlády a Výborem pro bezpečnost a zpravodajskou činnost (248) podrobně stanoví prvky, které je třeba vzít v úvahu při posuzování toho, zda daná činnost není součástí probíhající operace (249). Výbor pro bezpečnost a zpravodajskou činnost může být také požádán o prošetření probíhajících operací předsedou vlády a může přezkoumávat informace, které služby poskytnou dobrovolně.

(145) Podle přílohy 1 zákona o spravedlnosti a bezpečnosti z roku 2013 může Výbor pro bezpečnost a zpravodajskou činnost požádat ředitele kterékoli ze tří zpravodajských služeb o zpřístupnění jakýchkoli informací. Tato služba musí tyto informace zpřístupnit, pokud ministr neuplatní právo veta (250). Orgány Spojeného království vysvětlily, že v praxi je Výboru pro bezpečnost a zpravodajskou činnost odepřeno jen velmi málo informací (251).

(146) Pokud jde o nápravu, subjekt údajů může především podle čl. 165 odst. 2 zákona o ochraně údajů z roku 2018 podat stížnost Úřadu komisaře pro informace, pokud je přesvědčen, že v souvislosti s jeho osobními údaji došlo k porušení části 4 zákona o ochraně údajů z roku 2018, včetně zneužití výjimek a omezení z důvodu národní bezpečnosti.

(147) Kromě toho jsou podle části 4 zákona o ochraně údajů z roku 2018 jednotlivci oprávněni podat u Vrchního soudu (nebo soudu Court of Session ve Skotsku) návrh na vydání příkazu, který bude vyžadovat, aby správce dodržoval práva na přístup k údajům (252), na podání námitky vůči zpracování (253) a na opravu nebo výmaz.

(148) Jednotlivci jsou rovněž oprávněni požadovat od správce nebo zpracovatele náhradu škody způsobené porušením požadavku části 4 zákona o ochraně údajů z roku 2018 (254). Škoda zahrnuje jak finanční ztrátu, tak nefinanční újmu, například utrpení (255).

(149) A konečně také může jednotlivec podat stížnost na jakékoli jednání, které bylo uskutečněno zpravodajskými službami Spojeného království nebo jejich jménem, k tribunálu pro kontrolu vyšetřovacích pravomocí (256). Tribunál pro kontrolu vyšetřovacích pravomocí je zřízen zákonem o úpravě vyšetřovacích pravomocí z roku 2000 pro Anglii, Wales a Severní Irsko a zákonem o úpravě vyšetřovacích pravomocí (Skotsko) z roku 2000 pro Skotsko a je nezávislý na výkonné moci (257). V souladu s článkem 65 zákona o úpravě vyšetřovacích pravomocí z roku 2000 jsou členové tohoto tribunálu jmenováni Jejím Veličenstvem na dobu pěti let.

(150) Člena tohoto tribunálu může z funkce odvolat Její Veličenstvo na návrh („address“) (258) obou komor parlamentu Spojeného království (259).

(151) K podání návrhu u tribunálu pro kontrolu vyšetřovacích pravomocí („vstupní požadavek“) musí být podle článku 65 zákona o úpravě vyšetřovacích pravomocí z roku 2000 jednotlivec přesvědčen, i) že došlo k jednání zpravodajské služby ve vztahu k němu, k jeho majetku, ke komunikaci zasílané jím nebo jemu nebo určené pro něj nebo k jeho využití jakékoli poštovní služby, telekomunikačních služeb nebo telekomunikačního systému (260) a ii) že k jednání došlo za „napadnutelných okolností“ (261) nebo že „bylo uskutečněno zpravodajskými službami nebo jejich jménem“ (262). Vzhledem k tomu, že zejména tento standard „přesvědčení“ je vykládán poměrně široce (263), je podání návrhu u tribunálu podmíněno poměrně nenáročnými vstupními požadavky.

(152) Pokud tribunál projednává stížnost, která k němu byla podána, je jeho povinností vyšetřit, zda osoby, proti nimž je ve stížnosti vzneseno jakékoli obvinění, jednaly ve vztahu ke stěžovateli, a rovněž vyšetřit orgán, který se údajně podílel na porušování právních předpisů, a to, zda k údajnému jednání došlo (264). Pokud tribunál vede jakékoli řízení, musí při svém rozhodování v těchto řízeních uplatňovat stejné zásady, jaké by použil soud při návrhu na soudní přezkum (265).

(153) Tribunál musí stěžovateli oznámit, zda bylo vydáno rozhodnutí v jeho prospěch, či nikoli (266). Podle čl. 67 odst. 6 a 7 zákona o úpravě vyšetřovacích pravomocí z roku 2000 má tribunál pravomoc vydávat předběžné příkazy a přiznávat jakékoli odškodnění nebo vydávat jiné příkazy, které uzná za vhod