EVROPSKÁ KOMISE V Bruselu dne 25.7.2022 COM(2022) 364 final SDĚLENÍ KOMISE EVROPSKÉMU PARLAMENTU A RADĚ První zpráva o uplatňování a fungování směrnice (EU) o prosazování práva v oblasti ochrany údajů 2016/680 („směrnice o prosazování práva“)











SDĚLENÍ KOMISE EVROPSKÉMU PARLAMENTU A RADĚ První zpráva o uplatňování a fungování směrnice (EU) o prosazování práva v oblasti ochrany údajů 2016/680 („směrnice o prosazování práva“) Obsah 1 Směrnice o prosazování práva jako hlavní nástroj pro zajištění ochrany údajů v bezpečnostní politice Evropské unie 1.1 Klíčový prvek soudržného rámce Evropské unie pro ochranu údajů 1.2 Zásadní příspěvek k zajištění silné bezpečnostní politiky v Evropské unii. 1.3 Důležitá hlediska týkající se přípravy zprávy 2 Uspokojivé provedení ve vnitrostátním právu, ale řada nevyřešených otázek zůstává 2.1 Celkově úplné provedení do vnitrostátního práva, ale s některými problémy u konkrétních ustanovení 2.2 Priority pro posouzení souladu 2.2.1 Oblast působnosti směrnice o prosazování práva 2.2.2 Řízení a pravomoci dozorových úřadů pro ochranu osobních údajů 2.2.3 Právní ochrana 2.2.4 Doba uložení osobních údajů a přezkum 2.2.5 Právní základ pro zpracování, včetně zvláštních kategorií osobních údajů 2.2.6 Automatizované rozhodování 2.2.7 Práva subjektů údajů

2.2.8 Některá důležitá ustanovení specifická pro směrnici o prosazování práva 3 První poznatky z uplatňování a fungování směrnice o prosazování práva 3.1 Stížnosti a pozitivní dopad na práva subjektů údajů 3.2 Zvýšené povědomí o ochraně osobních údajů u příslušných orgánů 3.3 Lepší zabezpečení údajů, ale rozdíly v oznamování porušení zabezpečení údajů 3.4 Dozor ze strany dozorových úřadů pro ochranu osobních údajů 3.4.1 Zdroje dozorových úřadů pro ochranu osobních údajů 3.4.2 Využití pravomocí 3.4.3 Soudní přezkum opatření dozorových úřadů pro ochranu osobních údajů 3.4.4 Pokyny Evropského sboru pro ochranu osobních údajů 3.4.5 Vzájemná pomoc 3.5 Flexibilní nástroj pro mezinárodní předávání údajů 3.5.1 Rozhodnutí o odpovídající ochraně 3.5.2 Vhodné záruky 3.5.3 Používání výjimek 3.5.4 Účinná přeshraniční policejní a justiční spolupráce 4 Další postup



1Směrnice o prosazování práva jako hlavní nástroj pro zajištění ochrany údajů v bezpečnostní politice Evropské unie

Toto sdělení obsahuje první zprávu Evropské komise o hodnocení a přezkumu směrnice (EU) o prosazování práva v oblasti ochrany údajů 2016/680 (dále jen „směrnice o prosazování práva“) podle čl. 62 odst. 1 směrnice o prosazování práva. Zpráva zkoumá zejména uplatňování a fungování pravidel směrnice o prosazování práva týkajících se předávání osobních údajů do třetích zemí a mezinárodním organizacím, jak to vyžaduje směrnice o ochraně o prosazování práva, ale zaujímá i širší přístup. Zasazuje směrnici o prosazování práva do rámce práva Unie o ochraně osobních údajů a unijního práva upravujícího zpracování osobních údajů za účelem prevence, vyšetřování, odhalování nebo stíhání trestných činů a výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení (dále jen „prosazování trestního práva“) . Zpráva podává přehled o tom, jak členské státy provedly směrnici o prosazování práva do svých vnitrostátních právních předpisů, uvádí první poznatky z jejího uplatňování a fungování a nastiňuje další postup. 1.1Klíčový prvek soudržného rámce Evropské unie pro ochranu údajů Směrnice o prosazování práva je jedním ze tří pilířů unijního rámce zaručujícího základní právo na ochranu osobních údajů. Dalšími dvěma jsou obecné nařízení o ochraně osobních údajů a nařízení o ochraně osobních údajů orgány a institucemi Unie . Základní právo na ochranu osobních údajů je zakotveno v článku 8 Listiny základních práv Evropské unie (dále jen „Listina“) a v článku 16 Smlouvy o fungování Evropské unie (dále jen „SFEU“). Směrnice vstoupila v platnost 6. května 2016 a členské státy ji měly provést do 6. května 2018 . Směrnice o prosazování práva je prvním legislativním aktem Unie, který pro účely prosazování práva komplexně přistupuje k ochraně osobních údajů příslušnými orgány (tj. justičními orgány, policií a dalšími donucovacími orgány podle čl. 3 odst. 7 směrnice o prosazování práva). Ve srovnání s rámcovým rozhodnutím Rady 2008/977/SVV, které směrnice o prosazování práva zrušila a nahradila, představuje tato směrnice významný pokrok v zajištění jednotného uplatňování pravidel ochrany osobních údajů v celé Unii. Za prvé, směrnice o prosazování práva poskytuje úplný soubor pravidel pro přeshraniční i vnitrostátní zpracování osobních údajů pro účely prosazování trestního práva, zatímco rámcové rozhodnutí Rady se týkalo pouze přeshraničního zpracování. Za druhé, směrnice o prosazování práva poskytuje komplexní a horizontální soubor pravidel, zatímco podle předchozího přístupu se každý odvětvový akt Unie, který upravoval zpracování osobních údajů v souvislosti s prosazováním trestního práva, řídil vlastními pravidly ochrany údajů. Obecné nařízení o ochraně osobních údajů, nařízení o ochraně osobních údajů orgány a institucemi Unie a směrnice o prosazování práva jsou založeny na podobných koncepcích a zásadách, což vede k jednotnému výkladu a uplatňování pravidel Unie v oblasti ochrany osobních údajů. Mají společné definice a obsahují podobné povinnosti pro správce a zpracovatele osobních údajů. Směrnice o prosazování práva se však výslovně zabývá také riziky spojenými se zpracováním osobních údajů v souvislosti s prosazováním trestního práva. Odpovídající ustanovení zahrnují povinnosti i) rozlišovat mezi různými kategoriemi subjektů údajů, ii) rozlišovat mezi osobními údaji založenými na skutečnostech a údaji založenými na osobním hodnocení, iii) vést logy týkající se používání osobních údajů a dodržovat zvláštní bezpečnostní požadavky. Vzhledem ke specifické povaze justiční spolupráce v trestních věcech a policejní spolupráce bylo považováno za nezbytné přijmout v těchto oblastech zvláštní pravidla pro ochranu osobních údajů a volný pohyb osobních údajů. Citlivost oblasti justiční spolupráce v trestních věcech a policejní spolupráce spolu se složitostí vnitrostátních právních rámců, které upravují prosazování trestního práva, vedly k tomu, že za nejlepší nástroj pro dosažení vysoké úrovně ochrany údajů v této oblasti byla považována směrnice. Směrnice rovněž ponechává členským státům potřebnou flexibilitu při provádění zásad, pravidel a výjimek na vnitrostátní úrovni. Komise zveřejnila svou první zprávu o provádění obecného nařízení o ochraně osobních údajů dne 24. června 2020. Došla k závěru, že podle obecného názoru obecné nařízení o ochraně osobních údajů splnilo své cíle, zejména tím, že občanům poskytlo silný soubor vymahatelných práv a vytvořilo nový systém správy a prosazování v Unii. Ve zprávě byl uveden seznam opatření, která je třeba přijmout k dalšímu usnadnění uplatňování obecného nařízení o ochraně osobních údajů všemi zúčastněnými stranami a k podpoře a dalšímu rozvoji kultury ochrany údajů v EU spolu s jejím důsledným prosazováním. Tato zpráva navazuje na přezkum právních aktů přijatých Unií, které upravují zpracování údajů příslušnými orgány pro účely prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů. Účelem tohoto přezkumu bylo posoudit potřebu uvést dotčené právní akty do souladu se směrnicí o prosazování práva . Komise tuto povinnost splnila dne 24. června 2020 přijetím sdělení o dalším postupu při uvádění acquis dřívějšího třetího pilíře do souladu s pravidly pro ochranu osobních údajů. V tomto sdělení bylo vymezeno deset právních aktů, které by měly být uvedeny do souladu se směrnicí o prosazování práva, a byl stanoven harmonogram této práce. Tato zpráva byla vypracována souběžně se zprávou Komise o uplatňování nařízení o ochraně osobních údajů orgány a institucemi Unie. Důležitým prvkem této zprávy je přezkum jeho pravidel uvedených v kapitole IX, která se týkají zpracování operativních osobních údajů institucemi nebo jinými subjekty Unie při výkonu činností, které spadají do oblasti policejní spolupráce a justiční spolupráce v trestních věcech (dále jen „agentury v oblasti spravedlnosti a vnitřních věcí“ nebo „agentury SVV“). Předmětná pravidla z velké části vycházejí ze směrnice o prosazování práva. Článek 98 nařízení o ochraně osobních údajů orgány a institucemi Unie vyžaduje, aby Komise přezkoumala právní akty upravující zpracování operativních osobních údajů agenturami v oblasti spravedlnosti a vnitřních věcí, a umožňuje jí předložit příslušné legislativní návrhy, zejména s ohledem na uplatňování pravidel kapitoly IX na Europol a Úřad evropského veřejného žalobce, jakož i navrhnout jakékoli nezbytné změny této kapitoly. 1.2Zásadní příspěvek k zajištění silné bezpečnostní politiky v Evropské unii. Komise trvale zdůrazňuje, že účinnou a skutečně bezpečnou Unii lze vybudovat pouze na základě plného dodržování základních práv zakotvených v Listině a sekundárních právních předpisech přijatých Unií. Směrnice o prosazování práva zásadním způsobem přispívá k bezpečnostní politice Unie tím, že zajišťuje náležitou ochranu osobních údajů obětí, svědků a podezřelých z trestné činnosti. Harmonizací pravidel pro ochranu osobních údajů zpracovávaných příslušnými orgány v zemích Unie a Schengenu kromě toho směrnice o prosazování práva přispívá ke zvýšení důvěry a bezpečnosti údajů vyměňovaných mezi orgány pro účely prosazování trestního práva, a tím usnadňuje přeshraniční spolupráci v boji proti trestné činnosti a terorismu. Směrnice o prosazování práva rovněž hraje klíčovou roli při podpoře kultury dodržování ochrany osobních údajů mezi příslušnými orgány. Strategie bezpečnostní unie dále zdůrazňuje, že nové technologie, jako je umělá inteligence, by mohly být využity jako účinný nástroj v boji proti trestné činnosti. Využití tohoto potenciálu rovněž znamená zajištění nejvyšších standardů dodržování základních práv. Právní předpisy o ochraně údajů, včetně směrnice o prosazování práva, představují základ, na němž lze stavět odvětvové právní předpisy. Například navrhovaný akt o umělé inteligenci by dále pro účely prosazování práva vytvořil rámec pro používání osobních údajů pro biometrickou identifikaci na dálku na veřejných místech. V propojeném světě má trestná činnost (a zejména počítačová kriminalita a další trestná činnost související s kyberprostorem) stále častěji přeshraniční charakter. I při vyšetřování vnitrostátních případů se příslušné orgány stále častěji ocitají v přeshraničních situacích, protože informace jsou elektronicky uloženy ve třetí zemi. To zvyšuje potřebu mezinárodní spolupráce při vyšetřování trestných činů, a to jak ze strany orgánů členských států, tak ze strany subjektů Unie, jako jsou Europol a Eurojust. Tato spolupráce, a zejména shromažďování a výměna elektronických důkazů, často zahrnuje předávání osobních údajů. Zajištění spolehlivých záruk pro ochranu osobních údajů je proto zásadní. Takové záruky rovněž pomáhají budovat důvěru mezi donucovacími orgány, zajišťují rychlejší a účinnější výměnu informací a posilují právní jistotu při následném využití informací v trestním řízení. Směrnice o prosazování práva v tomto ohledu poskytuje aktualizovaný soubor nástrojů pro usnadnění takového předávání osobních údajů z Unie do třetí země nebo mezinárodní organizaci (např. Interpolu) a zároveň zajišťuje, aby osobní údaje byly i nadále chráněny na vysoké úrovni. Komise a členské státy od vstupu směrnice o prosazování práva v platnost využily celou řadu jejích nástrojů, čímž potvrdily, že je dostatečně široká a flexibilní, aby umožnila fungování účinné mezinárodní policejní a justiční spolupráce. 1.3Důležitá hlediska týkající se přípravy zprávy V rámci přípravy této zprávy Komise shromáždila informace a zpětnou vazbu z různých zdrojů a cílených konzultačních činností. V návaznosti na článek 62 směrnice o prosazování práva Komise zohlednila příspěvky a stanoviska Evropského parlamentu, Rady, Evropského sboru pro ochranu osobních údajů a vnitrostátních dozorových úřadů pro ochranu osobních údajů. Další zpětná vazba byla získána prostřednictvím dotazníku určeného organizacím občanské společnosti (prostřednictvím Agentury Evropské unie pro základní práva) a z odpovědí na veřejnou výzvu ke sdělení skutečností . Komise rovněž zvážila připomínky skupiny odborníků členských států pro obecné nařízení o ochraně osobních údajů a směrnice o prosazování práva a připomínky německého předsednictví Rady. Zohlednila rovněž analýzu vnitrostátních prováděcích opatření a malý počet stížností, které v této souvislosti obdržela. Ačkoli se směrnice o prosazování práva vztahuje na všechny členské státy a všechny země schengenského prostoru (protože představuje vývoj schengenského acquis ), tato zpráva se týká pouze členských států EU. Přípravu této zprávy ovlivnily tři faktory. Za prvé, dvě třetiny členských států nedodržely lhůtu pro provedení směrnice o prosazování práva do vnitrostátního práva stanovenou na květen 2018. Nicméně většina členských států provedla směrnici o prosazování práva do roku 2019 poté, co Komise zahájila řízení o nesplnění povinnosti. Zkušenosti s jejím uplatňováním jsou tedy poměrně omezené, což zdůrazňují i Evropský sbor pro ochranu osobních údajů a Rada. Za druhé se ukázalo, že ve srovnání s obecným nařízením o ochraně údajů je obtížnější sestavit statistiky o uplatňování směrnice o prosazování práva. Některé dozorové úřady pro ochranu osobních údajů neshromažďují statistiky o svých činnostech dozoru odděleně pro směrnici o prosazování práva a pro obecné nařízení o ochraně osobních údajů. Tak je tomu například v souvislosti s oznámeními o porušení zabezpečení osobních údajů a stížnostmi podanými na základě směrnice o prosazování práva, což někdy ztěžuje získání přesného přehledu o těchto ustanoveních v rámci směrnice o prosazování práva . Za třetí je důležité vzít v úvahu, že judikatura týkající se uplatňování směrnice o prosazování práva se teprve začíná vyvíjet. Soudní dvůr Evropské unie (dále jen „Soudní dvůr EU“) v současné době projednává několik případů týkajících se výkladu klíčových ustanovení směrnice o prosazování práva, jako je právo subjektů údajů na přístup k údajům a právo na účinnou soudní ochranu. Tyto rozsudky zajistí větší srozumitelnost a přispějí k harmonizovanějšímu přístupu členských států.

2Uspokojivé provedení ve vnitrostátním právu, ale řada nevyřešených otázek zůstává Komise zřídila skupinu odborníků členských států, která má členským státům pomoci začlenit směrnici o prosazování práva do vnitrostátního práva. Skupina usnadňuje diskuze a výměnu zkušeností mezi členskými státy a Komisí v oblasti pravidel pro ochranu údajů. V období mezi přijetím směrnice o prosazování práva v roce 2016 a lhůtou pro její provedení v květnu 2018 se pravidelně scházela a její činnost byla obnovena v roce 2021. Níže uvedený přehled provedení ve vnitrostátním právu se zaměřuje na hlavní problémy, které byly dosud zjištěny. Vychází především z analýzy informací poskytnutými členskými státy při oznámení Komisi o vnitrostátních opatřeních, která přijaly za účelem provedení směrnice o prosazování práva do vnitrostátního práva, vypracované Komisí. Tato analýza byla podpořena externí studií provedenou externím dodavatelem. Komise se rovněž zapojila do dvoustranných výměn informací s několika členskými státy. 2.1Celkově úplné provedení do vnitrostátního práva, ale s některými problémy u konkrétních ustanovení Komise zahájila v červenci 2018 řízení o nesplnění povinnosti proti 19 členským státům, které nepřijaly právní předpisy provádějící směrnici o prosazování práva ve lhůtě do května 2018 a řádně neoznámily Komisi jejich provedení. Další řízení pro částečné neprovedení do vnitrostátního práva bylo zahájeno v červenci 2019 proti dalšímu členskému státu. V důsledku toho většina členských států následně oznámila Komisi své vnitrostátní prováděcí právní předpisy a Komise postupně v roce 2019 (v roce 2020 v případě jednoho členského státu) řízení o nesplnění povinnosti proti nim ukončila. V roce 2021 Komise postoupila řízení o nesplnění povinnosti proti Španělsku Soudnímu dvoru EU, protože Španělsko stále směrnici o prosazování práva neprovedlo a neoznámilo Komisi svá prováděcí opatření. Vzhledem k závažnosti a délce trvání nesplnění povinnosti Soudní dvůr EU poprvé uložil Španělsku platbu paušální částky a penále . Komise rovněž v dubnu 2022 zahájila řízení o nesplnění povinnosti proti Německu poté, co zjistila nedostatky při provádění směrnice o prosazování práva v souvislosti s činností německé spolkové policie. Komise bude nadále posuzovat provádění směrnice o prosazování práva v členských státech a přijme nezbytná opatření k nápravě případných nedostatků. 2.2Priority pro posouzení souladu Komise rovněž kontroluje, zda členské státy provedly požadavky směrnice o prosazování práva do vnitrostátních právních předpisů správně (kontrola souladu). Při provedení směrnice o prosazování práva členské státy buď změnily své předchozí právní předpisy o ochraně osobních údajů, nebo je zrušily a nahradily novým horizontálním aktem (novými horizontálními akty) o ochraně osobních údajů. V mnoha případech vnitrostátní právní předpisy provádějí směrnici o prosazování práva odkazem na stejné nebo rovnocenné ustanovení obecného nařízení o ochraně údajů (např. pokud jde o definice, oznámení o porušení zabezpečení osobních údajů, jmenování pověřence pro ochranu údajů a ustanovení o organizaci, postavení, pravomocích, úkolech a oprávněních vnitrostátních dozorových úřadů pro ochranu osobních údajů). Řada ustanovení směrnice o prosazování práva byla rovněž provedena prostřednictvím nových ustanovení například v obecném správním právu, správním právu procesním nebo trestním řízení. Některé členské státy rovněž provedly řadu ustanovení směrnice do odvětvových právních předpisů upravujících činnost a pravomoci zvláštních příslušných orgánů. Při určování toho, zda byla směrnice o prosazování práva v konkrétním členském státě správně provedena, je proto třeba vzít v úvahu celou řadu vnitrostátních právních předpisů. Celkově lze říci, že vnitrostátní právní předpisy do značné míry odrážejí zásady a základní ustanovení směrnice o prosazování práva. Byla však zjištěna řada problémů, z nichž nejdůležitější jsou uvedeny v následujících oddílech. Komise již zahájila řadu řízení o nesplnění povinnosti proti členským státům . Proces přezkumu stále probíhá a Komise bude i nadále využívat všechny dostupné nástroje, včetně řízení o nesplnění povinnosti, pokud vnitrostátní prováděcí opatření nebude v souladu se směrnicí o prosazování práva. Judikatura týkající se směrnice o prosazování práva je stále v počátcích. Soudní dvůr EU začal vydávat rozsudky týkající se výkladu směrnice o prosazování práva, mimo jiné ve věcech WS v Bundesrepublik Deutschland a B v Latvijas Republikas Saeima. V době psaní této zprávy projednává Soudní dvůr EU řadu předběžných otázek (jak je uvedeno v následujících oddílech). 2.2.1Oblast působnosti směrnice o prosazování práva Obtíže s vymezením oblasti působnosti směrnice o prosazování práva a obecného nařízení o ochraně údajů vznesla jako problém jak skupina odborníků členských států pro obecné nařízení o ochraně údajů a směrnice o prosazování práva, tak Evropský sbor pro ochranu osobních údajů. Některé dozorové úřady pro ochranu osobních údajů rovněž uvedly, že pro příslušné orgány to může být obtížné . Oblast působnosti směrnice o prosazování práva je vymezena dvěma klíčovými prvky: pojmem příslušného orgánu (osobní působnost) a pojmem trestného činu (věcná působnost). Pokud jde o osobní působnost, zpracování osobních údajů spadá pod směrnici o prosazování práva, pokud je za prvé prováděno příslušným orgánem a za druhé pokud jsou osobní údaje zpracovávány pro účely směrnice o prosazování práva (tj. prevence, vyšetřování, odhalování nebo stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení). Podle názoru Komise jsou „příslušnými orgány“ ve smyslu směrnice o prosazování práva buď orgány státu, nebo soukromé subjekty, kterým zákon svěřuje zvláštní pravomoci nad rámec těch, které vyplývají z běžných pravidel platných ve vztazích mezi jednotlivci a/nebo z možnosti uplatnit donucovací pravomoc. Tyto orgány jsou podle směrnice o prosazování práva příslušnými orgány, pokud (i když jen sporadicky a/nebo v ojedinělých případech) zpracovávají osobní údaje za účelem prevence, vyšetřování, odhalování nebo stíhání trestných činů nebo výkonu trestů (včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení). To například znamená, že zpracování osobních údajů těmito subjekty pro jiné účely než pro účely směrnice o prosazování práva (např. lidské zdroje nebo jiné administrativní účely, jako je zpracování osobních údajů finančními zpravodajskými jednotkami v rámci acquis proti praní peněz) spadá do oblasti působnosti obecného nařízení o ochraně údajů, a nikoli směrnice o prosazování práva. Pojem „trestný čin“ má zásadní význam při určování, zda zpracování údajů spadá do oblasti působnosti směrnice o prosazování práva. Podle Soudního dvora jsou pro posuzování trestní povahy protiprávního jednání relevantní tři kritéria: zda je protiprávní jednání kvalifikováno jako trestní ve vnitrostátním právu, samotná povaha protiprávního jednání a stupeň přísnosti sankce, která dotčené osobě hrozí . Autonomní povaha pojmu trestného činu uvedená v 13. bodě odůvodnění směrnice o prosazování práva mimo jiné znamená, že právo členského státu nemůže určit povahu protiprávního jednání jako „trestného“ pouze pro účely použití směrnice o prosazování práva. V některých členských státech vyvstává otázka ohledně vymezení oblasti působnosti obecného nařízení o ochraně údajů a směrnice o prosazování práva, pokud jde o vymezení oblasti trestních činů a přestupků. Některé vnitrostátní právní předpisy, kterými se provádí, zejména odkazují na účely zpracování osobních údajů, které nejsou uvedeny v článku 1 směrnice o prosazování práva (např. hrozby pro veřejný pořádek nebo veřejnou bezpečnost). Tato otázka vyvstává také proto, že některé členské státy se domnívají, že řada správních orgánů (např. finanční zpravodajské jednotky, jak je uvedeno výše) plní úkoly spadající pod směrnici o prosazování práva. Právní předpisy většiny členských států se komplexně vztahují na jakýkoli příslušný orgán, který zpracovává údaje pro účely směrnice o prosazování práva. Některé členské státy se naopak rozhodly ve svých vnitrostátních právních předpisech taxativně vyjmenovat orgány příslušné podle směrnice o prosazování práva. Několik členských států rovněž stanovilo výjimku pro zpracování určitými druhy příslušných orgánů nebo určitých druhů údajů. Otázka rozsahu působnosti směrnice o prosazování práva je předmětem řízení o předběžné otázce před Soudním dvorem EU. Zemský správní soud Landesverwaltungsgericht Tirol (Rakousko) vznesl otázku rozsahu působnosti směrnice o prosazování práva v případě, kdy se příslušný orgán neúspěšně pokusil získat přístup k údajům v zabaveném telefonu (výklad článku 2 směrnice o prosazování práva). Věc se rovněž zabývá podmínkami takového přístupu. 2.2.2Řízení a pravomoci dozorových úřadů pro ochranu osobních údajů

Všechny členské státy s výjimkou dvou (Belgie a Švédsko) svěřily prosazování směrnice o prosazování práva dozorovému úřadu, který je rovněž odpovědný za prosazování obecného nařízení o ochraně osobních údajů. Belgie svěřila dozor nad policií pro účely směrnice o prosazování práva jinému dozorovému úřadu. Ve Švédsku se o dozor nad některými příslušnými orgány, včetně policie, dělí dozorový úřad příslušný pro obecné nařízení o ochraně osobních údajů a jiný dozorový úřad. Podle směrnice o prosazování práva nejsou kromě toho všechny dozorové úřady pro ochranu osobních údajů příslušné k dozoru nad soudy, pokud jednají v rámci své soudní pravomoci. Pokud jde o ustanovení směrnice o prosazování práva týkající se nezávislosti dozorových úřadů pro ochranu osobních údajů, všechny členské státy ve svých prováděcích právních předpisech stanovily, že dozorové úřady pro ochranu osobních údajů při plnění svých úkolů jednají nezávisle. Rovněž požadují, aby členové jejich dozorových úřadů pro ochranu osobních údajů byli nezávislí na vnějším vlivu a nepřijímali ani nevyžadovali od nikoho pokyny. Dozor nad dodržováním ustanovení směrnice prováděný dozorovými úřady pro ochranu osobních údajů je zásadní a je zakotven v čl. 8 odst. 3 Listiny. Směrnice o prosazování práva vyžaduje, aby členské státy poskytly dozorovým úřadům pro ochranu osobních údajů vyšetřovací, nápravné a poradní pravomoci, které musí být účinné. To je předpokladem pro řádné prosazování pravidel ochrany údajů, a tím i pro dosažení cíle směrnice o prosazování práva, kterým je vysoká úroveň ochrany základních práv, zejména pokud jde o právo na ochranu osobních údajů, a pro zajištění volného pohybu údajů v rámci Unie. Dozorové úřady pro ochranu osobních údajů musí mít v celé Unii rovnocenné pravomoci, aby mohly plnit své úkoly v souladu s požadavky směrnice o prosazování práva. Všechny členské státy poskytly svým úřadům vyšetřovací pravomoci uvedené ve směrnici o prosazování práva a většina členských států jim poskytla i další pravomoci (např. provádět audity, vstupovat do prostor, pořizovat kopie údajů a zajišťovat předměty). V důsledku toho téměř všechny dozorové úřady pro ochranu osobních údajů zjistily, že mají účinné vyšetřovací pravomoci. Téměř všechny členské státy stanovily nápravné pravomoci uvedené ve směrnici o prosazování práva. Mnohé z nich tak učinily tím způsobem, že přesně dodržely znění směrnice o prosazování práva, zatímco několik z nich použilo velmi široké znění, které by mohlo být důvodně vykládáno tak, že zahrnuje všechny pravomoci stanovené ve směrnici o prosazování práva. Většina právních předpisů členských států kromě toho dává dozorovým úřadům pro ochranu osobních údajů pravomoc ukládat správní pokuty. Ne všechny členské státy udělily svým dozorovým úřadům pro ochranu osobních údajů pravomoc obrátit se na justiční orgány ohledně porušení vnitrostátních právních předpisů přijatých za účelem provedení směrnice o prosazování práva a zahajovat nebo jinak se účastnit soudních řízení. Tato pravomoc je důležitá a doplňuje ostatní prostředky, které mají dozorové úřady pro ochranu osobních údajů k dispozici, aby účinně zajistily vysokou úroveň ochrany základních práv fyzických osob, zejména jejich práva na ochranu osobních údajů. 2.2.3Právní ochrana Všechny členské státy stanovily právo podat stížnost u příslušného dozorového úřadu. Většina vnitrostátních právních předpisů stanoví lhůtu pro podání takové stížnosti. Je důležité, aby tato lhůta tomuto právu subjektů údajů nebránila. V souladu se směrnicí o prosazování práva stanoví všechny členské státy soudní ochranu proti rozhodnutím dozorového úřadu, aniž je dotčena jakákoliv jiná správní nebo mimosoudní ochrana, která je v jejich právních řádech k dispozici. Soudní ochrana je k dispozici ve všech členských státech s výjimkou dvou členských států, v nichž se dozorový úřad stížností nezabývá nebo neinformuje subjekt údajů do tří měsíců o pokroku v řešení stížnosti či o jeho výsledku. Pro případ údajného porušení směrnice o prosazování práva stanoví většina členských států rovněž soudní ochranu proti správci a zpracovateli údajů. Několik vnitrostátních právních předpisů, kterými se provádí směrnice, však nestanoví právo subjektu údajů pověřit neziskové subjekty, organizace a sdružení, aby podaly stížnost u dozorového úřadu nebo aby jeho jménem daly podnět k soudní ochraně. 2.2.4Doba uložení osobních údajů a přezkum Přístupy členských států k provedení lhůt pro uložení a přezkum osobních údajů stanovených směrnicí o prosazování práva ve vnitrostátním právu se značně liší. Většina vnitrostátních právních předpisů o ochraně údajů, které provádějí směrnici o prosazování práva, splňuje pouze obecný požadavek článku 5 směrnice o prosazování práva. To znamená, že je na odvětvovém právním předpisu, aby skutečně stanovil lhůty pro výmaz osobních údajů nebo pro pravidelný přezkum potřeby uložit osobní údaje. Několik členských států provedlo toto ustanovení ve vnitrostátním právu tak, že stanovilo lhůty v odvětvových právních předpisech. V některých členských státech však zákon ponechává stanovení lhůt na příslušném orgánu. V některých případech zákon nestanoví žádná kritéria pro pravidelný přezkum ani nevyžaduje, aby tato kritéria byla stanovena jinými právními předpisy, a/nebo nestanoví, že postupy k zajištění dodržování lhůt musí být rovněž stanoveny ve vnitrostátním právu. Je třeba poznamenat, že bulharský Nejvyšší správní soud nedávno požádal Soudní dvůr EU o odpověď na svou předběžnou žádost týkající se výkladu článku 5 směrnice o prosazování práva, pokud jde o lhůty pro uložení údajů . 2.2.5Právní základ pro zpracování, včetně zvláštních kategorií osobních údajů Většina členských států stanoví, že právní základ pro zpracování musí být stanoven v unijním právu nebo právu členského státu, a to ve znění, které se často velmi podobá článku 8 směrnice o prosazování práva. Některé vnitrostátní právní předpisy o ochraně údajů, kterými se provádí směrnice o prosazování práva, však k požadavku, aby osobní údaje, jež mají být zpracovány, a účely zpracování byly stanoveny v právních předpisech, nepřihlížejí. Jiné vnitrostátní právní předpisy o ochraně údajů, kterými se provádí směrnice o prosazování práva, neobsahují všechna ustanovení odpovídající článku 8. Je na vnitrostátních právních předpisech, aby stanovily základ zpracování a splnily požadavky článku 8. Kromě toho pouhé zopakování obecných požadavků článku 8 směrnice o prosazování práva ve vnitrostátním právu nelze považovat za dostatečný právní základ pro konkrétní operaci zpracování: vnitrostátní právo musí upřesnit, který orgán je příslušný ke zpracování osobních údajů, jaké plní veřejné úkoly, které takové zpracování odůvodňují, a účel zpracování. Pokud jde o zpracování zvláštních kategorií osobních údajů, většina členských států vyžaduje jako předpoklad zpracování přísnou nezbytnost. Většina členských států rovněž stanoví stejné právní důvody pro zpracování citlivých údajů, jaké jsou uvedeny v článku 10 směrnice o prosazování práva (zpracování povolené právem; na ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby; nebo se zpracování týká údajů, které subjekt údajů zjevně zveřejnil). V několika členských státech stanoví prováděcí právní předpisy některé další důvody pro zpracování údajů (např. pokud je zpracování těchto údajů nezbytné k odvrácení nebo zabránění nebezpečí, které přímo ohrožuje život, fyzickou integritu nebo majetek osob, nebo k ochraně zdraví nebo zájmů subjektu údajů nebo jiné osoby). Pokud vnitrostátní právní předpis o ochraně údajů, kterým se provádí směrnice o prosazování práva, neposkytuje nezbytné záruky pro práva a svobody subjektů údajů (jako je tomu v některých členských státech), musí tyto záruky poskytnout odvětvové právní předpisy. Několik vnitrostátních prováděcích právních předpisů odkazuje na souhlas v souvislosti se zpracováním osobních údajů, včetně zpracování zvláštních kategorií osobních údajů. Je důležité připomenout, že ačkoli členským státům nic nebrání v tom, aby ve svých vnitrostátních právních předpisech stanovily, že subjekt údajů může souhlasit se zpracováním svých osobních údajů pro účely směrnice o prosazování práva, tento souhlas může sloužit pouze jako záruka a nemůže představovat právní základ pro takové zpracování. Z diskuzí o této otázce vyplývá, že by bylo užitečné mít více pokynů k úloze souhlasu v souvislosti se zpracováním osobních údajů pro účely prosazování trestního práva. 2.2.6Automatizované rozhodování

Prováděcí právní předpisy všech členských států obsahují ustanovení zakazující rozhodování založené výhradně na automatizovaném zpracování, ledaže tak stanoví právní předpis. Většina prováděcích právních předpisů členských států vyžaduje, aby taková rozhodnutí nebyla založena na zvláštních kategoriích osobních údajů, pokud nejsou zajištěny vhodné záruky. Rovněž zakazují profilování, které vede k diskriminaci. Některé vnitrostátní právní předpisy však neodkazují na vhodné záruky práv a svobod subjektu údajů v případech, kdy je automatizované rozhodování povoleno právními předpisy. Ne všechny členské státy konkrétně stanoví právo na lidský zásah ze strany správce nebo nevyžadují vhodná opatření na ochranu práv a/nebo svobod a oprávněných zájmů subjektu údajů. 2.2.7Práva subjektů údajů Všechny členské státy se rozhodly využít možnosti, kterou jim dává směrnice o prosazování práva, a omezit právo subjektů údajů na přístup k jejich osobním údajům. Většina členských států rovněž stanoví omezení dalších práv subjektů údajů. Vnitrostátní právní předpisy o ochraně údajů, kterými se směrnice o prosazování práva provádí, často pouze dodržují obecné znění směrnice o prosazování práva, aniž by blíže upřesňovaly okolnosti nebo podmínky, za nichž se mají omezení použít. V takových případech musí být tyto okolnosti a podmínky upřesněny v odvětvových právních předpisech, jinak by správcům údajů poskytovaly volnost při uplatňování těchto omezení. Většina členských států splňuje požadavek směrnice o prosazování práva, aby subjektům údajů umožnila vykonávat jejich práva prostřednictvím dozorového úřadu pro ochranu osobních údajů. Většina členských států využila možnosti stanovit, že práva subjektů údajů mají být vykonávána v souladu s vnitrostátními právními předpisy v souvislosti s vnitrostátními trestními vyšetřováními a řízeními. Prováděcí právní předpisy několika členských států neodrážejí všechny specifické požadavky směrnice o prosazování práva týkající se způsobu výkonu práv subjektů údajů (např. formát a komunikační prostředky odpovědí, absence poplatků). V současné době probíhá řízení o předběžné otázce iniciované německým soudem týkající se výkladu omezení práva subjektů údajů na přístup k jejich údajům (článek 15 směrnice o prosazování práva ve světle článku 54 směrnice o prosazování práva) a práva na účinnou soudní ochranu podle článku 47 Listiny a svobody volby povolání podle článku 15 Listiny. 2.2.8Některá důležitá ustanovení specifická pro směrnici o prosazování práva Některá ustanovení směrnice o prosazování práva jsou specifická pro oblast prosazování trestního práva, přičemž v obecném nařízení o ochraně osobních údajů se obdobná ustanovení nenacházejí. Kategorie subjektů údajů Směrnice o prosazování práva ukládá členským státům povinnost požadovat, aby správce údajů v příslušných případech pokud možno rozlišoval mezi údaji různých kategorií subjektů údajů a uváděl příklady těchto kategorií (např. osoba, u níž existují závažné důvody se domnívat, že spáchala trestný čin nebo se jej chystá spáchat (dále jen „podezřelý“). V právních předpisech některých členských států nejsou kategorie uvedené ve směrnici o prosazování práva (do určité míry nebo vůbec) upřesněny. Některé vnitrostátní právní předpisy při upřesňování kategorie „podezřelých“ nevyžadují, aby existovaly „závažné důvody se domnívat, že osoby spáchaly nebo se chystají spáchat trestný čin“. Budoucí rozsudek Soudního dvora EU v projednávané věci Ministerstvo na vatreshnite raboti v. V. S. dále vyjasní výklad směrnice o prosazování práva, pokud jde o kategorie subjektů údajů, včetně požadavku, aby zařazení subjektu údajů do kategorie podezřelých osob bylo podmíněno existencí „závažných důvodů domnívat se, že spáchaly nebo se chystají spáchat trestný čin“ . Rozlišování tříd osobních údajů a ověřování jejich kvality Členské státy musí stanovit, že se pokud možno rozlišují osobní údaje založené na skutečnostech od osobních údajů založených na osobních hodnoceních. Musí rovněž přijmout opatření, která zajistí, aby nebyly předávány nebo zpřístupňovány osobní údaje, které jsou nepřesné, neúplné nebo již nejsou aktuální. Pokud byly předány nesprávné údaje, měli by být příjemci neprodleně informováni a v takových případech mají být osobní údaje opraveny, vymazány nebo jejich zpracování omezeno. Ačkoli většina členských států tento požadavek do vnitrostátního práva provedla, některá požadovaná zvláštní opatření nejsou v několika vnitrostátních prováděcích právních předpisech výslovně stanovena. Vedení logů Celkem 12 členských států využilo možnosti odložit uvedení svého systému automatizovaného zpracování do souladu s požadavky na vedení logů do května 2023. Většina členských států stanoví, že pro operace zpracování v automatizovaných systémech zpracování je třeba logy vést. Některé vnitrostátní právní předpisy nevyžadují, aby byly zaznamenávány všechny typy operací. Směrnice o prosazování práva stanoví minimální druhy informací, které musí logy obsahovat. Některé vnitrostátní právní předpisy neobsahují všechny požadované druhy informací (např. důvod nahlížení nebo zpřístupnění osobních údajů). 3První poznatky z uplatňování a fungování směrnice o prosazování práva 3.1Stížnosti a pozitivní dopad na práva subjektů údajů Směrnice o prosazování práva zajišťuje ochranu základních práv a svobod fyzických osob, zejména práva na ochranu údajů. Poskytuje komplexní rámec pro práva subjektu údajů a způsoby, jak tato práva uplatňovat, včetně jeho práva na informace, na přístup k osobním údajům, jejich opravu nebo výmaz a rovněž stanoví omezení zpracování. Díky směrnici o prosazování práva subjekty údajů lépe pochopily svá práva a způsoby jejich výkonu, což se projevilo zvýšením počtu žádostí podaných příslušným orgánům. Praxe ukázala, že z práv, která subjektům údajů přiznává směrnice o prosazování práva, se u příslušných orgánů nejčastěji uplatňují práva na přístup a výmaz . Směrnice o prosazování práva umožňuje omezit některá práva (právo na přístup a právo na opravu nebo výmaz) a informace, které musí správce údajů poskytnout subjektu údajů v souvislosti se zpracovávanými osobními údaji. Subjekty údajů mohou požádat dozorové úřady pro ochranu osobních údajů, aby přezkoumaly omezení daného práva příslušným orgánem, nebo je požádat, aby ověřily, zda bylo omezení provedeno v souladu se směrnicí o prosazování práva (nepřímý výkon práva) . Přibližně polovina dozorových úřadů pro ochranu osobních údajů uvádí, že takovou žádost obdržela. Praxe ukazuje, že počet obdržených žádostí se může značně lišit (např. v Chorvatsku byla obdržena jedna taková žádost, ale ve Francii jich bylo obdrženo více než 1500). Ačkoli dozorové úřady pro ochranu osobních údajů po ověření nebo přezkoumání těchto stížností zjistily, že většina žádostí je nepřípustná, v několika případech bylo správci údajů nařízeno buď opravit nebo vymazat osobní údaje, nebo omezit zpracování osobních údajů, čímž bylo zajištěno řádné uplatňování omezení. Směrnice o prosazování práva stanoví, že neziskový subjekt, organizace nebo sdružení mohou podat stížnost jménem subjektu údajů. Zdá se však, že tato možnost není dostatečně využívána (pouze čtyři dozorové úřady pro ochranu osobních údajů uvedly, že takovou stížnost od zastupujícího subjektu obdržely). Organizace občanské společnosti obdobně nahlásily pouze malý počet žádostí o podání takové stížnosti.

Fyzické osoby také stále častěji využívají svého práva podávat stížnosti u dozorových úřadů pro ochranu osobních údajů, a to i v případech, kdy příslušné orgány omezují výkon práv subjektů údajů. Více než třetina dozorových úřadů pro ochranu osobních údajů uvedla, že po provedení směrnice o prosazování práva v jejich členských státech došlo k nárůstu počtu obdržených stížností . Některé z nejčastějších stížností, které dozorové úřady pro ochranu osobních údajů obdržely, se týkaly omezení práva na přístup , práva na opravu nebo výmaz a práva na informace a jeho omezení . Následovaly stížnosti týkající se zásady omezení uložení, která vyžaduje, aby příslušné orgány neuchovávaly osobní údaje déle, než je nezbytné, a práva na informace. 3.2Zvýšené povědomí o ochraně osobních údajů u příslušných orgánů Členské státy uvádějí, že přijetí směrnice o prosazování práva mělo a stále má významný dopad na povědomí příslušných orgánů o významu ochrany osobních údajů. Několik dozorových úřadů pro ochranu osobních údajů vyjádřilo názor, že největším dopadem směrnice o prosazování práva bylo zvýšení povědomí o otázkách ochrany osobních údajů a práv subjektů údajů a zaměření se na ně . To se projevilo také prostřednictvím výměny informací mezi dozorovými úřady pro ochranu osobních údajů a příslušnými orgány o právech subjektů údajů a způsobech výkonu těchto práv . Některé příslušné orgány uvedly, že v důsledku toho vyčlenily na ochranu osobních údajů více zdrojů . To zahrnovalo investice do začlenění zásady záměrné a standardní ochrany soukromí do jejich informačních systémů, stanovení lhůt pro uchovávání údajů, uplatňování zásady minimalizace údajů a ohlašování případů porušení zabezpečení. Následně se podle nich zlepšila celková bezpečnost zpracovávaných údajů . K řádnému provádění směrnice o prosazování práva přispívají také odborná příprava a zvyšování povědomí dozorových úřadů, přičemž dozorové úřady mají za úkol zvyšovat povědomí správců a zpracovatelů údajů o jejich povinnostech vyplývajících ze směrnice o prosazování práva. Mnohé dozorové úřady pro ochranu osobních údajů zvyšují povědomí prostřednictvím zveřejňování pokynů. Mezi témata, kterými se zabývají různé dozorové úřady pro ochranu osobních údajů, patří např: pomoc soudním orgánům, státním zastupitelstvím a policejním orgánům při dodržování zásady odpovědnosti; výměna osobních údajů s policií; jmenování pověřence pro ochranu osobních údajů; provádění posouzení vlivu na ochranu osobních údajů; zpracování údajů v oblastech trestné činnosti, jako je organizovaný zločin a terorismus; vedení záznamů o činnostech zpracování a vedení logů; provádění dohledu pomocí videokamer; poskytování informací subjektům údajů; oznamování případů porušení zabezpečení ochrany osobních údajů; povinnosti správců a výkon práv fyzických osob. Osm dozorových úřadů pro ochranu osobních údajů však dosud nevydalo žádné pokyny a/nebo praktické nástroje, které by příslušným orgánům a zpracovatelům pomohly při plnění jejich povinností. Dvanáct dozorových úřadů pro ochranu osobních údajů navíc pro příslušné orgány nebo zpracovatele podle směrnice o prosazování práva neposkytlo žádnou odbornou přípravu, ani neuskutečnilo žádné činnosti týkající se zvyšování povědomí. U dozorových úřadů pro ochranu osobních údajů, které takové činnosti prováděly, patřila mezi nejčastější témata: zpracování údajů policií, státními zastupitelstvími, justičními a nápravnými orgány; vymezení příslušných oblastí působnosti obecného nařízení o ochraně osobních údajů a směrnice o prosazování práva; používání osobních údajů ze sociálních sítí; zpracování údajů v policejních spisech; techniky dohledu pomocí videokamer a velké objemy údajů; nakládání s právy subjektů údajů a zpracování osobních údajů vězňů . Další novinkou směrnice o prosazování práva je požadavek, aby správci údajů jmenovali pověřence pro ochranu osobních údajů, jehož povinností je mimo jiné poskytovat informace a poradenství v oblasti požadavků na ochranu osobních údajů, monitorovat soulad se směrnicí o prosazování práva, poskytovat poradenství, pokud jde o posouzení vlivu na ochranu osobních údajů, a monitorovat jeho uplatňování. To vedlo k tomu, že si příslušné orgány lépe uvědomily své povinnosti v oblasti ochrany osobních údajů, a mělo to také pozitivní dopad na dodržování pravidel pro ochranu osobních údajů ze strany příslušných orgánů, což uznala i Rada . Je důležité investovat do rozvoje a maximalizace odborných znalostí a zkušeností pověřenců pro ochranu osobních údajů, aby pomohli příslušným orgánům důsledně uplatňovat směrnici o prosazování práva. Komise proto zřídila a podporuje síť pověřenců pro ochranu osobních údajů příslušných orgánů, agentur v oblasti spravedlnosti a vnitřních věcí a Úřadu evropského veřejného žalobce. Tato síť je stálou iniciativou, která se zaměřuje na uplatňování směrnice o prosazování práva příslušnými orgány členských států. Jejím cílem je poskytnout platformu pro spolupráci a výměnu odborných znalostí mezi pověřenci pro ochranu osobních údajů členských států. Síť odborníků na ochranu osobních údajů Europolu a vnitrostátní sítě pověřenců pro ochranu osobních údajů příslušných orgánů jsou důležitými iniciativami, které pomáhají pověřencům pro ochranu osobních údajů příslušných orgánů podporovat výměnu osvědčených postupů a informací o uplatňování směrnice o prosazování práva. 3.3Lepší zabezpečení údajů, ale rozdíly v oznamování porušení zabezpečení údajů Směrnice o prosazování práva zlepšila zabezpečení osobních údajů tím, že požaduje, aby příslušné orgány přijaly opatření k dosažení konkrétních bezpečnostních cílů. Vyžaduje například, aby příslušné orgány prováděly posouzení vlivu na ochranu údajů, pokud je pravděpodobné, že činnost zpracování údajů povede k vysokému riziku pro práva a svobody subjektů údajů. Posouzení vlivu zahrnují zjištění rizik a opatření k jejich zmírnění. Tento požadavek, stejně jako závazné dodržování zásady záměrné a standardní ochrany osobních údajů a požadavků na oznamování porušení zabezpečení údajů, přinesl zlepšení zabezpečení zpracování osobních údajů . To uznala i Rada, která zjistila, že směrnice o prosazování práva zlepšila úroveň zabezpečení údajů, a to i prostřednictvím bezpečnostních plánů; aktualizace informačních systémů a organizačních opatření; posouzení vlivu na ochranu údajů a požadavku, aby příslušné orgány vedly logy o konkrétních operacích zpracování. Směrnice o prosazování práva stanoví, za jakých okolností musí správci údajů oznámit porušení zabezpečení osobních údajů svému dozorovému úřadu pro ochranu osobních údajů a dotčenému subjektu údajů. Navzdory této povinnosti existují velké rozdíly v počtu případů porušení zabezpečení osobních údajů, které byly od zavedení směrnice o prosazování práva oznámeny dozorovým úřadům pro ochranu osobních údajů . Šest dozorových úřadů pro ochranu osobních údajů uvedlo, že neobdrželo žádné oznámení o porušení zabezpečení osobních údajů , a několik dalších uvedlo, že takových oznámení obdrželo velmi málo. Italský úřad například nahlásil pouze tři oznámení o porušení zabezpečení osobních údajů a francouzský orgán osm, ale nizozemský orgán jich nahlásil více než 500. Tento rozdíl v počtu nahlášených případů porušení zabezpečení osobních údajů naznačuje (po zohlednění faktorů, jako je počet obyvatel), že mezi příslušnými orgány členských států zřejmě existují rozdílné postupy, pokud jde o to, co se považuje za porušení zabezpečení a kdy je třeba je nahlásit dozorovému úřadu pro ochranu osobních údajů. Komise na to upozornila také ve své zprávě o obecném nařízení o ochraně osobních údajů. Evropský sbor pro ochranu osobních údajů nedávno zveřejnil pokyny týkající se porušování zabezpečení osobních údajů podle obecného nařízení o ochraně osobních údajů . Tyto pokyny sice nejsou přímo použitelné, ale mají význam i pro případy porušení zabezpečení osobních údajů na základě směrnice o prosazování práva. Měly by proto přispět k jednotnějšímu přístupu k řešení případů porušení zabezpečení osobních údajů na základě směrnice o prosazování práva ve všech členských státech. 3.4Dozor ze strany dozorových úřadů pro ochranu osobních údajů 3.4.1Zdroje dozorových úřadů pro ochranu osobních údajů Vybavení nezbytnými lidskými, technickými a finančními zdroji, prostorami a infrastrukturou každého dozorového úřadu pro ochranu osobních údajů je nezbytným předpokladem pro účinné plnění jeho úkolů a výkon jeho pravomocí, a tedy základní podmínkou jeho nezávislosti. Komise soustavně zdůrazňuje, že členské státy jsou povinny přidělit dozorovým úřadům pro ochranu osobních údajů dostatečné lidské, finanční a technické zdroje. Rada rovněž výslovně vyzvala členské státy, aby dozorovým úřadům pro ochranu osobních údajů přidělily dostatečné lidské, technické a finanční zdroje. Zdá se však, že celkový nárůst počtu zaměstnanců dozorových úřadů pro ochranu osobních údajů v posledních letech se netýká úkolů souvisejících se směrnicí o prosazování práva. Počet zaměstnanců pracujících na směrnici o prosazování práva zůstal stejný nebo se dokonce snížil v polovině dozorových úřadů pro ochranu údajů. Veškerý nárůst byl velmi mírný a činil v průměru méně než dvě osoby v přepočtu na ekvivalent plného pracovního úvazku. Téměř v polovině dozorových úřadů pro ochranu osobních údajů (včetně těch s celkovým počtem zaměstnanců vyšším než 100 v přepočtu na ekvivalent plného pracovního úvazku) pracuje na směrnici o prosazování práv méně než 1 % až 7 % všech zaměstnanců. V absolutních číslech přiděluje přibližně polovina dozorových úřadů pro ochranu osobních údajů na úkoly v oblasti směrnice o prosazování práva 1 až 4 osob v přepočtu na ekvivalent plného pracovního úvazku a osm dozorových úřadů pro ochranu osobních údajů přiděluje na úkoly v oblasti směrnice o prosazování práva 7 až 15 osob v přepočtu na ekvivalent plného pracovního úvazku. Jeden dozorový úřad pro ochranu osobních údajů má však 53 osob v přepočtu na ekvivalent plného pracovního úvazku, které se zabývají směrnicí o prosazování práva. Stejně tak sekretariát Evropského sboru pro ochranu osobních údajů vyčlenil méně než 1,5 osob v přepočtu na ekvivalent plného pracovního úvazku na záležitosti zcela související se směrnicí o prosazování práva. Tato situace není uspokojivá, i když 10 dozorových úřadů pro ochranu osobních údajů uvedlo, že mají dostatečné finanční, lidské a technické zdroje. Na druhou stranu 16 dozorových úřadů pro ochranu osobních údajů zjistilo, že mají nedostatečné zdroje. Některé z těchto úřadů uvedly, že to má negativní dopad na jejich šetření z vlastního podnětu, vyřizování stížností, kontrolu rozsáhlých informačních systémů (SIS, VIS) a vydávání stanovisek z vlastního podnětu. Specifika tohoto odvětví totiž znamenají, že účinné prosazování směrnice o prosazování práva vyžaduje systematickou kontrolu činností zpracování, které jsou často složité, a že nestačí spoléhat se na jednotlivé stížnosti (kterých je mnohem méně než v případě obecného nařízení o ochraně osobních údajů). Dozorové úřady pro ochranu osobních údajů navíc poukazují na nedostatek odborných znalostí v oblasti informačních technologií, které by řešily stále složitější informační technologie používané v oblasti prosazování práva.

3.4.2Využití pravomocí Využití nápravných pravomocí Celkem 19 dozorových úřadů pro ochranu osobních údajů uplatnilo své vyšetřovací pravomoci, a to buď z vlastního podnětu, nebo na základě stížnosti. Dozorové úřady pro ochranu osobních údajů hlásily potíže pouze ve velmi málo případech (např. když správce údajů neposkytl všechny podstatné informace nebo odmítl přístup k informacím). Těchto 19 dozorových úřadů pro ochranu osobních údajů rovněž uplatnilo své nápravné pravomoci. Zdaleka nejčastěji využívanou pravomocí bylo vydávání nařízení k uvedení zpracování do souladu s právními předpisy, včetně nařízení k opravě nebo výmazu osobních údajů nebo k omezení jejich zpracování. Dozorové úřady pro ochranu osobních údajů tuto pravomoc využily ve 114 případech. Skutečnost, že tato pravomoc nařídit dočasné nebo konečné omezení (včetně zákazu) zpracování byla využita pouze ve čtyřech případech, ukazuje, že dozorové úřady pro ochranu osobních údajů orgány využívaly tyto pravomoci opatrně. Využití poradních pravomocí Systematické provádění předběžných konzultací a vyžadování stanoviska dozorových úřadů pro ochranu osobních údajů k návrhům legislativních a správních opatření je účinným prostředkem k zajištění vysoké úrovně ochrany práva na ochranu osobních údajů a snížení počtu následných stížností. Předběžná konzultace s dozorovými úřady pro ochranu osobních údajů má zvláštní význam při používání nových technologií, které mohou mít významný dopad na základní práva. Polovina dozorových úřadů pro ochranu osobních údajů uvedla, že s nimi bylo konzultováno posouzení vlivu na ochranu osobních údajů. Počet předběžných konzultací se v jednotlivých členských státech liší. Některé úřady byly konzultovány pouze jednou, zatímco jiný úřad obdržel 59 předběžných konzultací. Ve většině těchto případů dozorové úřady poskytly písemné poradenství a v některých případech využily své nápravné pravomoci ve vztahu ke zpracování – zejména vydaly varování nebo nařídily opatření k uvedení zpracování údajů do souladu s právními předpisy. V jednom případě vydal dozorový úřad pro ochranu údajů negativní stanovisko, které mělo zřejmě stejný účinek jako zákaz zpracování. Kromě toho se zdá, že dozorové úřady pro ochranu údajů se zabývají také žádostmi o poradenství mimo postup předběžné konzultace. Nejčastějším druhem otázek, v nichž se příslušné orgány obracely na dozorové úřady pro ochranu osobních údajů s žádostí o radu, se týkaly konkrétních druhů zpracování (zejména používání nových technologií, mechanismů nebo postupů, těsně následovaných vhodnými bezpečnostními opatřeními, zpracováním zvláštních kategorií osobních údajů, určením právního základu pro zpracování, zásadou omezení uložení a odpovídajícími lhůtami). Kromě toho vydalo 22 dozorových úřadů pro ochranu údajů stanoviska pro své vnitrostátní parlamenty a vlády k legislativním a správním opatřením týkajícím se zpracování osobních údajů. Některé z nich uvedly, že jsou příležitostně konzultovány. 3.4.3Soudní přezkum opatření dozorových úřadů pro ochranu osobních údajů Téměř polovina dozorových úřadů pro ochranu osobních údajů uvedla, že v malém počtu případů čelila soudnímu řízení v souvislosti se svými rozhodnutími nebo nečinností. Řízení iniciovaly především subjekty údajů a v několika případech příslušné orgány. Několik případů bylo soudy prohlášeno za nepřípustné nebo je žadatelé stáhli. Ve většině zbývajících případů soud potvrdil rozhodnutí dozorového úřadu pro ochranu osobních údajů, v některých případech je však zrušil (a další případy byly stále projednávány). Vzhledem k malému počtu dosavadních rozsudků zatím nelze vysledovat jasný trend. 3.4.4Pokyny Evropského sboru pro ochranu osobních údajů Pro zajištění účinné justiční spolupráce v trestních věcech a policejní spolupráce je klíčová jednotnost a vysoká úroveň ochrany mezi členskými státy. Směrnice o prosazování práva stanoví, že Evropský sbor pro ochranu osobních údajů vydává pokyny, doporučení a osvědčené postupy (z vlastního podnětu nebo na žádost Komise) s cílem zajistit, aby členské státy uplatňovaly směrnici o prosazování práva důsledně. Evropský sbor pro ochranu osobních údajů vypracoval pokyny konkrétně pro směrnici, které se týkají kapitoly V (mezinárodní předávání); pokyny k používání technologií pro rozpoznávání obličeje a (ve své dřívější funkci jako pracovní skupina zřízená podle článku 29) stanovisko k některým klíčovým otázkám směrnice o prosazování práva. Mnohé z pokynů Evropského sboru pro ochranu osobních údajů k obecnému nařízení o ochraně osobních údajů mají význam i pro směrnici o prosazování práva, pokud se opírají o společné pojmy nebo technologie. Mezi takové pokyny patří pokyny týkající se pojmu správce a zpracovatele údajů, práv subjektu údajů, oznamování porušení zabezpečení osobních údajů, posouzení vlivu na ochranu osobních údajů, záměrné a standardní ochrany údajů a individuálního automatizovaného rozhodování. Vypracování komplexních a praktických pokynů vyžaduje značné množství práce a zdrojů, ale pokyny jsou nezbytné (jak rovněž poznamenala Rada). Je proto velmi pozitivní, že Evropský sbor pro ochranu osobních údajů uvedl, že brzy poskytne další pokyny, mimo jiné ke konceptu účinných vyšetřovacích a nápravných pravomocí dozorových úřadů pro ochranu osobních údajů orgánů a k mezinárodnímu předávání, které podléhá vhodným zárukám. Pokyny Evropského sboru pro ochranu osobních údajů mohou rovněž snížit pracovní zátěž dozorových úřadů pro ochranu osobních údajů (např. úkoly, jako je poskytování poradenství správcům údajů nebo vyřizování stížností). Například několik otázek, kterými se zabývá stanovisko pracovní skupiny zřízené podle článku 29 k některým klíčovým otázkám směrnice o prosazování práva (jako jsou vhodné lhůty, právní základ zpracování, podmínky pro zpracování zvláštních kategorií údajů), patří rovněž k nejčastějším otázkám, v nichž příslušné orgány žádají dozorové úřady pro ochranu osobních údajů o poradenství. 3.4.5Vzájemná pomoc Aby bylo zajištěno jednotné uplatňování směrnice o prosazování práva, musí si dozorové úřady pro ochranu osobních údajů orgány vzájemně pomáhat. To zahrnuje pomoc ve formě žádostí o informace a žádostí o provedení konzultací, inspekcí a šetření. Vzájemná pomoc však byla doposud využívána jen velmi zřídka. Využilo ji pouze šest dozorových úřadů pro ochranu údajů, a to především v reakci na žádosti o informace obdržené od jiných dozorových úřadů pro ochranu údajů. Většina dozorových úřadů pro ochranu údajů uvedla, že obdržela pouze jednu žádost o informace. Všechny tyto dozorové úřady pro ochranu osobních údajů uvedly, že obdržené žádosti vyhověly. Nebyla využita ani dobrovolná výměna informací o vzájemné pomoci, která nemá závaznou lhůtu ani přísnou povinnost odpovědět. Evropský sbor pro ochranu osobních údajů uvedl, že zveřejní pokyny k rámci vzájemné pomoci podle obecného nařízení o ochraně osobních údajů a směrnice o prosazování práva. 3.5Flexibilní nástroj pro mezinárodní předávání údajů

Kapitola V směrnice o prosazování práva se týká předávání osobních údajů příslušným orgánům ve třetích zemích a mezinárodním organizacím. Tato kapitola v zásadě zajišťuje kontinuitu ochrany v případě předávání osobních údajů pro účely prosazování práva z členského státu do třetí země nebo mezinárodní organizaci. Jak bylo uvedeno výše, tato kontinuita ochrany je důležitou podmínkou pro rychlou a účinnou spolupráci s právní jistotou mezi důvěryhodnými partnery v oblasti prosazování práva. Podle příslušných pravidel směrnice o prosazování práva musí být zejména mezinárodní předávání údajů mezi příslušnými orgány ve smyslu směrnice o prosazování práva založeno na jednom z různých nástrojů předávání údajů uvedených v článcích 36 až 38 směrnice o prosazování práva (pokud údaje pocházejí z jiného členského státu, vyžaduje předání rovněž předchozí povolení tohoto členského státu). Mezi tyto nástroje patří rozhodnutí o odpovídající ochraně, předávání na základě vhodných záruk a použití výjimek pro specifické situace. Článek 39 směrnice o prosazování práva rovněž umožňuje přímé předávání příjemcům, kteří nejsou donucovací trestněprávní orgány a kteří jsou usazeni ve třetích zemích, a to v jednotlivých a specifických případech a za splnění několika podmínek. 3.5.1Rozhodnutí o odpovídající ochraně Komise urychlila svou práci na dosažení plného potenciálu nástrojů, které jsou k dispozici v rámci směrnice o prosazování práva. To zahrnovalo přijetí „rozhodnutí o odpovídající ochraně“, které se vůbec poprvé vztahuje na činnosti zpracování údajů pro účely prosazování práva podle článku 36 směrnice o prosazování práva, se Spojeným královstvím v červnu 2021 . Toto rozhodnutí o odpovídající ochraně umožňuje bezpečný a volný tok osobních údajů příslušným orgánům dotčené třetí země, aniž by bylo třeba jakýchkoli dalších záruk nebo zvláštního povolení (ledaže by předání musel povolit jiný členský stát, z něhož byly údaje získány ). Rozhodnutí o odpovídající ochraně ve vztahu ke Spojenému království z června 2021 je zásadním základem pro policejní a justiční spolupráci po brexitu, která je podle dohody o obchodu a spolupráci mezi EU a Spojeným královstvím založena na „dlouhodobém závazku stran zajistit vysokou úroveň ochrany osobních údajů“ . Podle čl. 36 odst. 4 směrnice o prosazování práva Komise sleduje veškerý vývoj právního rámce Spojeného království, který by mohl mít vliv na toto rozhodnutí o odpovídající ochraně. Toto rozhodnutí o odpovídající ochraně se Spojeným královstvím má platit po dobu čtyř let od jeho vstupu v platnost, přičemž platnost tohoto rozhodnutí lze v zásadě prodloužit o další čtyři roky, pokud monitorování Komise potvrdí, že Spojené království stále zachovává odpovídající úroveň ochrany . K vývoji tohoto nástroje kromě toho přispěl také Evropský sbor pro ochranu osobních údajů, který vydáním svého referenčního rámce pro odpovídající ochranu podle směrnice o prosazování práva objasnil právní normu prostřednictvím pokynů k prvkům, které je třeba zohlednit při posuzování odpovídající ochrany v souvislosti s prosazováním práva . Třetí země musí zejména zajistit vymahatelná individuální práva, účinnou soudní ochranu a nezávislý dozor. Komise aktivně podporuje možnost závěrů ohledně odpovídající ochrany u dalších klíčových mezinárodních partnerů, zejména u zemí, s nimiž je nutná úzká a rychlá spolupráce v boji proti trestné činnosti a terorismu a s nimiž již probíhá významná výměna osobních údajů. Ačkoli dosud nebyla přijata žádná další rozhodnutí o odpovídající ochraně, je to především proto, že tento nástroj byl zaveden teprve nedávno. Kromě toho a na rozdíl od zpracování údajů komerčními subjekty se celosvětové sbližování pravidel ochrany údajů v oblasti prosazování trestního práva začíná rozvíjet teprve nyní (například na základě mnohostranných ujednání, jako je modernizovaná Úmluva Rady Evropy č. 108 nebo druhý dodatkový protokol k Budapešťské úmluvě o počítačové kriminalitě). Zkušenosti získané při přijímání rozhodnutí o odpovídající ochraně se Spojeným královstvím však pomohou připravit podmínky pro podobné iniciativy v nadcházejících letech. Komise v rámci své mezinárodní strategie zváží další možné kandidáty na budoucí rozhodnutí o odpovídající ochraně podle směrnice o prosazování práva a učiní tak v přímém kontaktu s dalšími příslušnými orgány a institucemi EU. Za tímto účelem a v souladu s 68. bodem odůvodnění směrnice o prosazování práva bude Komise věnovat zvláštní pozornost mezinárodním závazkům posuzovaných zemí týkajícím se ochrany osobních údajů, včetně přistoupení k výše uvedeným mnohostranným ujednáním nebo k jiným nástrojům prosazování práva, které poskytují vhodné záruky ochrany údajů. 3.5.2Vhodné záruky Kromě komplexního řešení rozhodnutí o odpovídající ochraně obsahuje směrnice o prosazování práva i další nástroje předávání. Flexibilita tohoto „souboru nástrojů“ se odráží v článku 37 směrnice o prosazování práva, který upravuje předávání údajů na základě „vhodných záruk“ týkajících se ochrany osobních údajů. Tyto vhodné záruky mohou být poskytnuty buď právně závazným nástrojem, nebo pokud správce na základě posouzení všech okolností předání dojde k závěru, že vhodné záruky existují (tzv. „vlastní posouzení“ předání). V prvních letech uplatňování směrnice o prosazování práva pracovala Komise zejména na závazných právních nástrojích v podobě mezinárodních dohod poskytujících vhodné záruky. Tyto dohody hrají důležitou roli jak v souvislosti s „tradiční spoluprací“ (tj. spoluprací mezi příslušnými orgány), tak i jinými formami spolupráce při prosazování práva (tj. spolupráce zahrnující třetí strany, jako jsou soukromé společnosti). Mohou rovněž sloužit jako základ pro předávání údajů Europolem a Eurojustem podle jejich příslušných právních rámců, jejichž pravidla pro mezinárodní předávání jsou velmi podobná pravidlům podle směrnice o prosazování práva. Pokud jde o tradiční formy spolupráce při prosazování práva, Komise přezkoumává mezinárodní dohody přijaté před vstupem směrnice o prosazování práva v platnost, aby zajistila jejich soulad s modernizovaným režimem ochrany údajů v Unii . Komise nejprve posuzuje ustanovení o ochraně údajů obsažená ve stávajících dohodách o spolupráci Europolu se třetími zeměmi uzavřených před 1. květnem 2017, jak jí ukládá nařízení (EU) 2016/794 o Agentuře Evropské unie pro spolupráci v oblasti prosazování práva (dále jen „nařízení o Europolu“) . S ohledem na článek 9 Protokolu č. 36 o přechodných ustanoveních připojeného ke Smlouvě o Evropské unii a Smlouvě o fungování EU by právní účinky takovýchto dohod měly být zachovány až do zrušení, zániku nebo změny těchto dohod . Komise bude o výsledku tohoto posouzení informovat Evropský parlament a Radu a případně předloží Radě doporučení pro rozhodnutí, kterým se povoluje zahájení jednání o změně příslušné dohody nebo dohod v souladu s článkem 218 Smlouvy o fungování EU. Jedná se o složitý úkol, který zahrnuje posouzení 18 dohod a který byl zpožděn v důsledku narušení způsobeného pandemií Covid-19. Komise očekává, že posouzení dokončí ve druhé polovině roku 2022. Soulad všech mechanismů spolupráce při prosazování práva s pravidly směrnice o prosazování práva je hlavní zásadou, kterou se Komise řídí i při sjednávání nových dohod o předávání osobních údajů Europolem do třetích zemí nebo mezinárodních organizací. Od roku 2017, kdy vstoupilo v platnost stávající nařízení o Europolu, je právním základem pro takové mezinárodní dohody zajišťující odpovídající záruky článek 218 Smlouvy o fungování EU. Rada v letech 2018 a 2019 přijala devět mandátů pro Komisi, aby jménem Unie zahájila jednání se třetími zeměmi. Komise byla rovněž zmocněna zahájit jednání o dohodě o spolupráci s Interpolem, která se bude vztahovat na výměnu údajů s několika institucemi a agenturami Unie. Ve všech těchto případech Rada předložila Komisi směrnice pro jednání s cílem zajistit, aby byly zahrnuty nezbytné záruky ochrany osobních údajů a dalších základních práv a svobod jednotlivců. Na tomto základě již Komise uzavřela jednání s Novým Zélandem, která vedla k podpisu dohody o spolupráci dne 30. června 2022. Kromě toho bylo dosaženo pokroku v jednáních s Izraelem. Pokud jde o Turecko, jednání jsou v pokročilé fázi, ale nemohou být uzavřena, dokud Turecko nepřijme nezbytné reformy svých právních předpisů o ochraně údajů. Podobná zmocnění byla v březnu 2021 udělena pro jednání o dohodách o spolupráci, které umožní výměnu údajů mezi Eurojustem a 13 třetími zeměmi. Za druhé, Komise provádí první společný přezkum Dohody mezi Spojenými státy americkými a Evropskou unií o ochraně osobních informací v souvislosti s prevencí, vyšetřováním, odhalováním a stíháním trestných činů (tzv. zastřešující dohoda). Zastřešující dohoda, která vstoupila v platnost v únoru 2017, obsahuje komplexní a harmonizovaný soubor pravidel ochrany údajů, která se vztahují na všechny transatlantické výměny údajů mezi příslušnými orgány. Doplňuje stávající dohody mezi EU a USA a členskými státy EU a USA mezi donucovacími orgány, stanoví standard vysoké úrovně ochrany pro budoucí dohody v této oblasti a posiluje spolupráci při prosazování práva usnadněním výměny informací. Cílem společného přezkumu je posoudit účinné provádění zastřešující dohody, zejména pokud jde o ustanovení o dalším předávání, individuálních právech a soudní ochraně. Časový harmonogram společného přezkumu byl ovlivněn narušením v souvislosti s pandemií Covid-19 a souběžným jednáním o druhém dodatkovém protokolu k Budapešťské úmluvě Rady Evropy o počítačové kriminalitě . Komise očekává, že bude dokončen v druhé polovině roku 2022. Jako první dvoustranná mezinárodní dohoda s komplexním katalogem práv a povinností v oblasti ochrany údajů je zastřešující dohoda referenčním bodem pro sjednávání podobných rámcových dohod s důležitými partnery v oblasti prosazování trestního práva. Komise přitom zohlední také příslušný vývoj, včetně pokynů Evropského sboru pro ochranu osobních údajů, judikatury Soudního dvora EU a výsledků mezinárodních jednání o zárukách ochrany údajů v této oblasti (jako je například druhý dodatkový protokol k Budapešťské úmluvě o počítačové kriminalitě nebo dohoda Europolu s Novým Zélandem). Za třetí, Komise označila Dohodu mezi Evropskou unií a Japonskem o vzájemné právní pomoci v trestních věcech za akt Unie upravující zpracování (předávání) údajů pro účely prosazování trestního práva, který je třeba změnit, aby byly zajištěny odpovídající záruky ochrany údajů v souladu se směrnicí o prosazování práva. Poté, co Rada přijala rozhodnutí o zmocnění k zahájení jednání o změně dohody mezi Evropskou unií a Japonskem o vzájemné právní pomoci v trestních věcech, Komise i nadále spolupracuje s japonskými orgány s cílem zahájit jednání co nejdříve. Stále více se kromě toho nyní spoléhá i na další formy spolupráce přizpůsobené specifickým výzvám a potřebám vyšetřování trestných činů v dnešní digitální ekonomice. Jedná se především o posílenou spolupráci v oblasti počítačové kriminality a při shromažďování důkazů týkajících se trestných činů v elektronické podobě. Tato spolupráce, včetně přímé spolupráce se soukromými subjekty za účelem přístupu k elektronickým důkazům. Komise rovněž spolupracuje s mezinárodními partnery s cílem zajistit, aby tyto další (důležité) formy spolupráce mohly probíhat na základě vhodných záruk ochrany údajů. Za prvé, Komise zastupovala Unii při jednáních v rámci Rady Evropy o druhém dodatkovém protokolu k „budapešťské“ úmluvě o počítačové kriminalitě . Protokol, který byl schválen Výborem ministrů Rady Evropy dne 17. listopadu 2021, obsahuje významné záruky ochrany základních práv, včetně článku obsahujícího podrobná ustanovení o ochraně osobních údajů předávaných na základě protokolu. Tato ustanovení zahrnují všechny základní zásady, práva a povinnosti v oblasti ochrany údajů uznávané v právu Unie. Tyto záruky doplňuje ustanovení o monitorování a možnost pozastavit předávání v případě systematického nebo podstatného porušování záruk obsažených v protokolu, například v případě neexistence účinné soudní ochrany. Prostřednictvím těchto ustanovení poskytuje vhodné záruky v souladu s požadavky čl. 37 odst. 1 písm. a) směrnice o prosazování práva . To je významný úspěch vzhledem k různorodým členům Budapešťské úmluvy, která má v současné době 66 smluvních států zastupujících různá právní prostředí a tradice. Umožní příslušným orgánům členských států využívat účinnou přeshraniční spolupráci v boji proti počítačové kriminalitě a zároveň zajistí dodržování unijních hodnot, které se odrážejí v Listině základních práv EU, Smlouvách EU a sekundárním právu EU. Vzhledem k velkému počtu smluvních stran Budapešťské úmluvy, mezi které v současné době patří země z celého světa, pomůže protokol rovněž prosazovat vysoké standardy ochrany údajů při jejich zpracování v oblasti prosazování trestního práva na celosvětové úrovni. Protokol byl otevřen k podpisu 12. května 2022 a podepsalo jej již celkem 22 stran Budapešťské úmluvy (včetně 13 členských států EU). Za druhé, Komise zahájila jednání o dvoustranné dohodě se Spojenými státy o přeshraničním přístupu k elektronickým důkazům pro účely justiční spolupráce v trestních věcech. Tato dohoda se snaží pokrýt elektronické důkazy v podobě osobních a jiných údajů, včetně provozních údajů a údajů o obsahu. Důležité je, že cílem jednání je rovněž zahrnout další záruky ochrany údajů, které by doplnily záruky obsažené v zastřešující dohodě, zejména s ohledem na citlivost kategorií dotčených údajů, jakož i na požadavky na předávání elektronických důkazů přímo poskytovateli služeb. Pokrok v těchto jednáních bude do značné míry záviset na pokroku probíhajícího legislativního procesu týkajícího se balíčku EU o elektronických důkazech . Tyto různé iniciativy Komise zaměřené na vznik mezinárodních nástrojů usnadňujících spolupráci s mezinárodními partnery v oblasti prosazování práva a zároveň zajišťujících vhodné záruky ochrany údajů byly podpořeny prací Evropského sboru pro ochranu údajů a evropského inspektora pro ochranu údajů. Tato práce zahrnuje prohlášení Evropského sboru pro ochranu údajů k návrhu druhého dodatkového protokolu k Budapešťské úmluvě a stanoviska evropského inspektora ochrany údajů k návrhům mandátů k jednání o mezinárodních dohodách podle článku 218 Smlouvy o fungování EU, které by Europolu a Eurojustu umožnily výměnu osobních údajů se třetími zeměmi nebo mezinárodními organizacemi . Evropský sbor pro ochranu údajů rovněž vydal prohlášení, v němž vyzval členské státy, aby posoudily a případně přezkoumaly mezinárodní dohody týkající se mezinárodního předávání osobních údajů . Toto prohlášení se týká dohod, které byly uzavřeny před 6. květnem 2016, včetně dohod v oblasti prosazování trestního práva, a vyzývá členské státy, aby určily, zda je nutné uvést další právní předpisy EU v oblasti ochrany údajů do souladu s judikaturou.

Článek 37 směrnice o prosazování práva rovněž povoluje mezinárodní předávání údajů na základě vlastního posouzení příslušným orgánem, zda třetí země (nebo mezinárodní organizace) má vhodné záruky ochrany údajů. V těchto případech musí orgán předání zdokumentovat (přičemž musí obsahovat mimo jiné den a čas předání, informace o přijímajícím příslušném orgánu, důvody předání a předané osobní údaje) a dokumentace musí být na požádání zpřístupněna dozorovému úřadu (čl. 37 odst. 3 směrnice o prosazování práva). Ze zpětné vazby poskytnuté členskými státy vyplývá, že tento nástroj byl využíván jen zřídka. Aby členské státy mohly plně využívat soubor nástrojů pro předávání zavedený směrnicí o prosazování práva, je důležité, aby Evropský sbor pro ochranu osobních údajů zintenzivnil svou probíhající práci na různých mechanismech předávání. Měl by mimo jiné poskytnout pokyny k mechanismům obsaženým v čl. 37 odst. 1 směrnice o prosazování práva, zejména k předávání na základě vlastního posouzení příslušnými orgány. Tuto potřebu zdůraznila i Rada. 3.5.3Používání výjimek A konečně, takzvané „výjimky“ představují důležitý důvod pro předávání za určitých podmínek, které jsou stanoveny v článku 38 směrnice o prosazování práva. Tyto podmínky zajišťují rovnováhu mezi hledisky ochrany soukromí a operativními potřebami příslušných orgánů. Ustanovení čl. 38 odst. 1 umožňuje zejména předávání osobních údajů, a dokonce i kategorie předávání, pokud je to nezbytné k tomu, aby se zabránilo bezprostřednímu a závažnému ohrožení veřejné bezpečnosti nebo v individuálních případech pro předcházení, vyšetřování, odhalování nebo stíhání trestných činů. Na rozdíl od výjimek podle článku 49 obecného nařízení o ochraně osobních údajů v současné době neexistují žádné pokyny pro výjimky podle článku 38 směrnice o prosazování práva. 3.5.4Účinná přeshraniční policejní a justiční spolupráce Směrnice o prosazování práva se stala mezinárodním referenčním bodem pro ochranu údajů v souvislosti s prosazováním práva a působí jako katalyzátor pro země po celém světě, aby zvážily zavedení moderních pravidel ochrany osobních údajů v této oblasti. Jedná se o velmi pozitivní vývoj, který přináší nové možnosti lepší ochrany fyzických osob v Unii při předávání jejich údajů do zahraničí pro účely prosazování práva a zároveň usnadňuje toky údajů, které mohou pomoci v boji proti trestné činnosti. Obecněji řečeno, je důležité zajistit, aby společnosti, které působí na evropském trhu, obdržely žádost o přímou spolupráci při sdílení údajů pro účely vymáhání práva a mohly údaje sdílet bez rizika, že budou čelit kolizi právních předpisů, a v plném souladu se základními právy EU . Ke zlepšení takových předávání údajů a zamezení kolizi norem je Komise odhodlána vyvinout, ve spolupráci se svými mezinárodními partnery, vhodné právní rámce na podporu efektivních forem spolupráce, zejména zajištěním nezbytných záruk ochrany osobních údajů, a tím přispívat k účinnějšímu boji proti trestné činnosti. V této souvislosti se Komise zapojila do dvoustranných, regionálních i mnohostranných jednání s cílem aktivně podporovat mezinárodní sbližování norem ochrany údajů pro spolupráci při prosazování trestního práva. Během dialogů s několika zahraničními partnerskými zeměmi o probíhajících reformách právních předpisů o ochraně údajů se útvary Komise různými způsoby (např. předkládáním příspěvků v reakci na veřejné konzultace, účastí na parlamentních slyšeních a specializovanými setkáními se zástupci vlád a tvůrci politik) zapojily do vývoje pravidel pro zpracování osobních údajů příslušnými orgány. V regionálním a mnohostranném prostředí Komise například podporuje projekty na budování kapacit v souvislosti s prováděním Budapešťské úmluvy Rady Evropy o počítačové kriminalitě . Mezi tyto projekty patří program GLACY+, jehož cílem je posílit schopnost států uplatňovat právní předpisy v oblasti počítačové kriminality a zvýšit jejich schopnost účinné mezinárodní spolupráce v souladu s Budapešťskou úmluvou a jejími dodatkovými protokoly. To zahrnuje rovněž vypracování právních předpisů o ochraně osobních údajů pro zpracování údajů v této oblasti. Program v současné době podporuje 17 prioritních a střediskových zemí v Africe, Asii a Tichomoří, Latinské Americe a karibské oblasti. Komise rovněž spolupracovala s organizací Ameripol pro policejní spolupráci, která sdružuje 18 zemí Latinské Ameriky, na vytvoření rámce ochrany údajů pro výměnu informací mezi Ameripolem a jeho členskými státy. Tato spolupráce probíhá prostřednictvím programu EL PAcCTO: Podporou Ameripolu, což je projekt, jehož cílem je zlepšit úroveň mezinárodní spolupráce mezi policejními orgány, soudy a státními zastupitelstvími partnerských zemí v boji proti organizovanému zločinu. Komise rovněž podporuje modernizovanou Úmluvu 108 (známou jako Úmluva 108+), která se vztahuje i na činnosti zpracování údajů pro účely prosazování trestního práva. Tato úmluva, která je otevřená i pro země, které nejsou členy Rady Evropy, je důležitá nejen proto, že je jedinou mnohostrannou závaznou dohodou o ochraně údajů, ale také proto, že prostřednictvím svého výboru úmluvy poskytuje fórum pro výměnu osvědčených postupů a stanovení celosvětových norem . Komise v rámci své mezinárodní strategie pro toky údajů podporuje přistoupení třetích zemí k Úmluvě 108+. Závěrem Komise podporuje větší sbližování na mezinárodní úrovni prostřednictvím sdílení zkušeností s partnery v oblasti ochrany osobních údajů v rámci spolupráce při prosazování trestního práva. Klíčovým nástrojem v tomto úsilí je „Akademie ochrany osobních údajů“ Komise, která je součástí projektu „Mezinárodní digitální spolupráce – zvýšená ochrana a toky údajů“ financovaného z nástroje zahraniční politiky. Akademie byla zřízena s cílem podpořit výměny mezi evropskými regulačními orgány a regulačními orgány třetích zemí a zlepšit spolupráci na místě. Činnost akademie zahrnuje všechny aspekty dozoru nad ochranou údajů, včetně oblasti prosazování práva. 4Další postup V zájmu zajištění účinné bezpečnostní politiky EU, která plně respektuje základní právo na ochranu osobních údajů, bude Komise nadále kontrolovat, zda členské státy správně provedly směrnici o prosazování práva, a sledovat uplatňování jejích ustanovení. Směrnice o prosazování práva významně přispěla k vyšší míře harmonizace a vyšší úrovni ochrany práv fyzických osob a k soudržnějšímu právnímu rámci pro příslušné orgány. Směrnice o prosazování práva byla obecně do vnitrostátního práva provedena uspokojivým způsobem, avšak zároveň byla zjištěna řada problémů. Komise již zahájila řízení o nesplnění povinnosti, pokud jde o neprovedení směrnice o prosazování práva do vnitrostátního práva i o nesoulad vnitrostátních právních předpisů s touto směrnicí. Bude i nadále pracovat na zajištění úplného a správného provedení do vnitrostátních právních řádů členských států. Výsledkem směrnice o prosazování práva je vyšší úroveň povědomí a pozornosti příslušných vnitrostátních orgánů o ochraně osobních údajů, a to i pokud jde o zabezpečení zpracování. Aktivní dozor ze strany dozorových úřadů pro ochranu osobních údajů je klíčový pro zajištění toho, aby byly cíle směrnice o prosazování práva naplňovány v praxi. Orgány proto musí mít všechny druhy pravomocí, které směrnice o prosazování práva vyžaduje, spolu s odpovídajícími zdroji. V této fázi je třeba se zaměřit na plné využití potenciálu směrnice o prosazování práva. V této souvislosti a vzhledem k omezeným zkušenostem s těmito novými pravidly se Komise domnívá, že je příliš brzy uvažovat o revizi směrnice o prosazování práva. Komise bude nadále aktivně spolupracovat se všemi příslušnými stranami z hlediska dalšího hodnocení, které má být provedeno do roku 2026. Mezitím bude nadále pracovat na zajištění souladu s ostatními právními předpisy EU, které jsou pro zpracování osobních údajů pro účely prosazování trestního práva podstatné.

Právní rámec Komise si stanovila tyto úkoly: -nadále posuzovat, jak členské státy provádějí směrnici o prosazování práva do vnitrostátních právních řádů, a v případě potřeby přijmout příslušná opatření (včetně zahájení řízení o nesplnění povinnosti), -pokračovat ve dvoustranných výměnách informací s členskými státy, -zajistit, aby budoucí legislativní návrhy byly v souladu se směrnicí o prosazování práva. Členské státy by měly: -zajistit úplné a správné provedení směrnice o prosazování práva na vnitrostátní úrovni, včetně upřesnění nezbytných požadavků směrnice o prosazování práva, pokud tak neučiní vnitrostátní akty o ochraně osobních údajů, kterými se směrnice o prosazování práva provádí. Dozor ze strany dozorových úřadů pro ochranu osobních údajů Členské státy by měly: -poskytnout dozorovým úřadům pro ochranu osobních údajů dostatečné zdroje k plnění jejich úkolů v oblasti prosazování směrnice o prosazování práva, -zajistit, aby dozorové úřady pro ochranu osobních údajů mohly vykonávat všechny druhy pravomocí stanovených ve směrnici o prosazování práva, -systematicky konzultovat své dozorové úřady pro ochranu osobních údajů, pokud jde o návrhy právních předpisů a obecně použitelných správních opatření, které se týkají ochrany osobních údajů, a řádně zohledňovat jejich stanoviska (zejména v případě nových technologií). Dozorové úřady pro ochranu osobních údajů se vyzývají, aby: -plně využívaly své vyšetřovací pravomoci, včetně provádění kontrol z vlastního podnětu, -shromažďovaly zvláštní statistické údaje týkající se své dozorové činnosti na základě směrnice o prosazování práva, -využívaly nástroje vzájemné pomoci a vypracovaly praktická opatření k usnadnění žádostí o pomoc, včetně plánovaných pokynů Evropského sboru pro ochranu osobních údajů. Evropský sbor pro ochranu osobních údajů se vyzývá, aby: -rozšířil podpůrnou skupinu odborníků pro úkoly související se směrnicí o prosazování práva. Podpůrné příslušné orgány Komise si stanovila tyto úkoly:

-usnadňovat diskuze a sdílení zkušeností mezi členskými státy a Komisí v rámci skupiny odborníků členských států pro směrnici o prosazování práva, -usnadňovat výměnu názorů mezi pověřenci pro ochranu osobních údajů prostřednictvím sítě pověřenců pro ochranu osobních údajů. Členské státy se vyzývají, aby: -pokračovaly v úsilí o zajištění odborné přípravy týkající se požadavků na ochranu osobních údajů příslušným orgánům, a to i v souvislosti s novými technologiemi. Evropský sbor pro ochranu osobních údajů a dozorové úřady pro ochranu údajů se vyzývají, aby: -posílily své úsilí o přijetí příslušných pokynů (např. o úloze souhlasu v souvislosti se zpracováním osobních údajů pro účely prosazování trestního práva a o právech subjektů údajů včetně jejich možných omezení), a to buď přijetím nových samostatných pokynů, nebo doplněním pokynů již přijatých pro obecné nařízení o ochraně osobních údajů. Přeshraniční předávání údajů Komise má v úmyslu: -aktivně prosazovat případná nová rozhodnutí o odpovídající ochraně u klíčových mezinárodních partnerů, -sjednat nové dohody o spolupráci mezi Europolem a Eurojustem na jedné straně a třetími zeměmi na straně druhé. V případě potřeby bude usilovat o nové sjednání stávajících dohod o spolupráci s Europolem, aby zajistila, že budou obsahovat vhodné záruky ochrany údajů, -zahájit jednání s Japonskem s cílem změnit stávající dohodu o vzájemné právní pomoci mezi EU a Japonskem tak, aby byla zajištěna odpovídající ochrana údajů, -pokračovat v jednání o dvoustranné dohodě se Spojenými státy o přeshraničním přístupu k elektronickým důkazům pro justiční spolupráci v trestních věcech a dokončit je, a to i doplněním záruk ochrany údajů zaručených zastřešující dohodou mezi EU a USA tak, aby odrážely specifické souvislosti přímé spolupráce mezi donucovacími orgány a poskytovateli služeb, -prozkoumat možnost uzavření rámcových dohod o ochraně údajů pro zpracování údajů v oblasti prosazování trestního práva s významnými partnery v oblasti prosazování trestního práva, a to na základě příkladu zastřešující dohody mezi EU a USA. Evropský sbor pro ochranu osobních údajů se vyzývá, aby: -přijal pokyny s cílem dále vyjasnit pojem a obsah „vhodných záruk“ (článek 37 směrnice o prosazování práva), jakož i používání výjimek (článek 38 směrnice o prosazování práva). Podpora sbližování a rozvoj mezinárodní spolupráce Komise si stanovila tyto úkoly: -rozšířit svou spolupráci s mezinárodními partnery s cílem posílit sbližování pravidel ochrany osobních údajů v oblasti prosazování trestního práva, mimo jiné podporou přistoupení k Úmluvě 108+ jako jediné závazné celosvětové dohodě o ochraně osobních údajů, -podporovat dvoustrannou, regionální a mnohostrannou spolupráci a projekty na budování kapacit v oblasti ochrany osobních údajů a policejní spolupráce. To zahrnuje odbornou přípravu a výměnu znalostí a osvědčených postupů prostřednictvím Akademie ochrany osobních údajů. Členské státy se vyzývají, aby: