Článek 16 SFEU zavádí zvláštní právní základ pro přijetí pravidel týkajících se ochrany fyzických osob při zpracovávání osobních údajů orgány Unie a členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidla o volném pohybu těchto údajů. Vzhledem k tomu, že elektronická komunikace, které se účastní fyzická osoba, bude za normálních okolností považována za osobní údaje, měla by být ochrana fyzických osob v souvislosti se soukromím komunikace a zpracováním těchto údajů založena na článku 16.

Hodnocení dospělo k závěru, že pravidla týkající se soukromí a elektronických komunikací stále mají pro EU přidanou hodnotu, a to z hlediska lepšího dosažení cíle, totiž zajištění soukromí na internetu v kontextu trhu elektronických komunikací, který je stále více mezinárodní. Hodnocení rovněž prokázalo, že pravidla jsou celkově v souladu s jinými příslušnými právními předpisy, ačkoli bylo s ohledem na nové obecné nařízení o ochraně osobních údajů (viz oddíl 1.2) identifikováno několik nadbytečností.

K zajištění účinné právní ochrany, pokud jde o respektování soukromí a komunikace, je nezbytné rozšířit oblast působnosti tak, aby zahrnovala poskytovatele služeb OTT. I když několik oblíbených poskytovatelů služeb OTT zásadu důvěrného charakteru sdělení plně nebo částečně dodržuje, ochranu základních práv nelze ponechat na samoregulaci odvětví. Vzrůstá rovněž význam účinné ochrany soukromí koncových zařízení, jelikož tato zařízení se v soukromém i pracovním životě stala nezbytná pro ukládání citlivých informací. Provádění směrnice o soukromí a elektronických zařízeních nedokázalo účinně posílit postavení koncových uživatelů. Pro dosažení tohoto cíle je proto nezbytné realizovat tuto zásadu soustředěním souhlasu do softwaru a informováním uživatelů o nastavení ochrany soukromí v softwaru. Prosazování tohoto nařízení se opírá o dozorové úřady a mechanismus jednotnosti podle obecného nařízení o ochraně osobních údajů. Kromě toho návrh členským státům umožňuje pro zvláštní a legitimní účely přijmout vnitrostátní odchylná opatření. Návrh tak nepřekračuje rámec toho, co je nezbytné k dosažení cílů, a je v souladu se zásadou proporcionality podle článku 5 Smlouvy o Evropské unii. Povinnosti kladené na dotčené služby jsou omezeny na nejmenší možnou míru, aniž by byla narušena dotčená základní práva.

Respektování komunikace je základní právo garantované Listinou. Obsah elektronických komunikací může odhalit vysoce citlivé informace o koncových uživatelích, kteří se komunikace účastní. Podobně též metadata odvozená z elektronických komunikací mohou odhalit velmi citlivé a osobní informace, jak výslovně uznal Soudní dvůr Evropské unie. Většina členských států rovněž uznává potřebu chránit komunikace jako zvláštní ústavní právo. I když členské státy mohou přijmout politiky zajišťující, aby právo na ochranu údajů nebylo porušováno, nebylo by možné toho dosáhnout jednotně, pokud by neexistovala pravidla na úrovni Unie, a byly by omezeny přeshraniční toky osobních a jiných než osobních údajů souvisejících s používáním služeb elektronických komunikací. A v neposlední řadě je za účelem zachování souladu s obecným nařízením o ochraně údajů nezbytné přezkoumat směrnici o soukromí a elektronických komunikacích a přijmout opatření na sladění těchto dvou nástrojů.

Externí studie určila tři různé scénáře provádění možnosti č. 3, podle toho, který subjekt by zajišťoval dialogové okno mezi uživatelem, který si vybral nastavení „odmítnout přijímání cookies třetích stran“ nebo „nesledovat“, a navštívenými internetovými stránkami, které si přejí, aby uživatel internetu svou volbu přehodnotil. Subjekty, kterým by mohl být tento technický úkol svěřen, jsou: 1) software, jako jsou internetové prohlížeče; 2) sledovače třetích stran; 3) jednotlivé internetové stránky (tj. služba informační společnosti požadovaná uživatelem). V porovnání se základním scénářem by možnost č. 3, která je v tomto návrhu uplatněna v podobě prvního scénáře (řešení pomocí internetových prohlížečů), vedla z hlediska nákladů na dodržování předpisů k celkové úspoře činící 70 % (úspora ve výši 948,8 milionu EUR). U ostatních scénářů by byly úspory nákladů nižší. Vzhledem k tomu, že celkové úspory jsou převážně dány velmi výrazným snížením počtu zasažených podniků, očekává se, že individuální výše nákladů na dodržování předpisů, které by jednomu podniku průměrně vznikly, by byly vyšší než dnes.

Tím, že se souhlas soustředí do softwaru, jako jsou internetové prohlížeče, a uživatelé budou vybízeni k tomu, aby si zvolili své nastavení ochrany soukromí, jakož i tím, že se rozšíří výjimky z pravidla o získání souhlasu s cookies, bude významná část podniků moci odstranit bannery a oznámení týkající se cookies, což povede k potenciálně významným úsporám nákladů a zjednodušením. Nicméně pokud se velká část uživatelů rozhodne pro nastavení „odmítnout přijímání cookies třetích stran“, může být pro inzerenty cílící na internetové prostředí obtížnější získat souhlas. Soustředění souhlasu však současně provozovatele internetových stránek nezbavuje možnosti získat souhlas prostřednictvím individuálních žádostí adresovaných koncovým uživatelům, a zachovat si tak stávající obchodní model. Některým poskytovatelům prohlížečů nebo podobného softwaru by vznikly dodatečné náklady, jelikož by museli zajistit nastavení podporující ochranu soukromí.

Kapitola VII pak obsahuje závěrečná ustanovení tohoto nařízení: zrušení směrnice o soukromí a elektronických komunikacích, monitorování a přezkum, vstup v platnost a použitelnost. Co se přezkumu týče, má Komise v úmyslu mimo jiné posoudit, zda je ve světle technického, hospodářského a právního vývoje a s ohledem na první hodnocení nařízení (EU) 2016/679, které má být provedeno do 25. května 2020, i nadále nezbytný samostatný právní akt.

Kapitola III upravuje práva koncových uživatelů vykonávat kontrolu nad odesíláním a příjmem elektronických komunikací, aby bylo chráněno jejich soukromí: i) právo koncových uživatelů potlačit identifikaci volající linky za účelem zaručení anonymity (článek 12) a omezení tohoto práva (článek 13) a ii) povinnost poskytovatelů veřejně dostupných interpersonálních komunikačních služeb založených na číslech umožnit omezení příjmu nežádoucích volání (článek 14). Tato kapitola rovněž reguluje podmínky, za kterých mohou být koncoví uživatelé zahrnuti do veřejně dostupných seznamů (článek 15), a podmínky, za kterých lze sdělovat nevyžádaná sdělení pro účely přímého marketingu (článek 17). Týká se také bezpečnostních rizik a stanoví povinnost poskytovatelů služeb elektronických komunikací upozornit koncové uživatele v případě, že existuje zvláštní riziko, které by mohlo ohrozit bezpečnost sítí a služeb. Na poskytovatele služeb elektronických komunikací se budou vztahovat povinnosti v oblasti bezpečnosti uvedené v obecném nařízení o ochraně údajů a v evropském kodexu pro elektronické komunikace.

Kapitola II obsahuje klíčová ustanovení zajišťující důvěrný charakter elektronických komunikací (článek 5) a omezené povolené účely a podmínky zpracování dat těchto komunikací (články 6 a 7). Zabývá se také ochranou koncových zařízení, a to i) zaručením integrity informací uložených v koncovém zařízení a ii) ochranou informací vysílaných z koncového zařízení, jelikož by mohly umožnit identifikaci koncového uživatele tohoto zařízení (článek 8). Článek 9 se pak podrobně zabývá souhlasem koncových uživatelů, který je ústředním zákonným důvodem v tomto nařízení, a výslovně odkazuje na definice a podmínky tohoto souhlasu, jak jsou stanoveny v obecném nařízení o ochraně údajů, přičemž článek 10 ukládá poskytovatelům softwaru umožňujícího elektronickou komunikaci povinnosti, které by měly koncovým uživatelům pomoci účinně se rozhodnout, pokud jde nastavení ochrany soukromí. Článek 11 se podrobně zabývá účely a podmínkami, za nichž členské státy mohou omezit výše uvedená ustanovení.

(13)Vývoj rychlých a účinných bezdrátových technologií podpořil vzrůstající veřejnou dostupnost přístupu k internetu prostřednictvím bezdrátových sítí, k nimž může získat přístup kdokoli ve veřejných a polosoukromých prostorech, jako jsou například „hotspoty“ umístěné na různých místech ve městě, v obchodních domech, nákupních centrech a nemocnicích. Pokud jsou tyto komunikační sítě poskytovány nedefinované skupině koncových uživatelů, měl by být chráněn důvěrný charakter sdělení přenášených prostřednictvím těchto sítí. Skutečnost, že bezdrátové služby elektronických komunikací mohou být doplňkem jiných služeb, by neměla být na překážku ochraně důvěrného charakteru dat komunikací a uplatňování tohoto nařízení. Toto nařízení by se proto mělo vztahovat na data elektronických komunikací přenášená službami elektronických komunikací a veřejnými komunikačními sítěmi. Toto nařízení by se naopak nemělo vztahovat na uzavřené skupiny koncových uživatelů, jako například korporátní sítě, u kterých je přístup omezen na členy dané korporace.

(12)Propojená zařízení a stroje mezi sebou navzájem stále více komunikují prostřednictvím sítí elektronických komunikací (internet věcí). Přenos komunikace mezi stroji zahrnuje přenos signálů po síti, a obvykle tedy představuje službu elektronických komunikací. Aby se zajistila plná ochrana práv na soukromí a důvěrný charakter sdělení a aby se podpořil důvěryhodný a bezpečný internet věcí na jednotném digitálním trhu, je třeba vyjasnit, že toto nařízení by se mělo vztahovat na přenos komunikace mezi stroji. Zásada důvěrnosti zakotvená v tomto nařízení by se proto měla vztahovat rovněž na přenos komunikace mezi stroji. Mohla by být rovněž přijata zvláštní ochranná opatření v rámci odvětvových právních předpisů, jako například směrnice 2014/53/EU.

(9)Toto nařízení by se mělo vztahovat na data elektronických komunikací zpracovávaná v souvislosti s poskytováním a používáním služeb elektronických komunikací v Unii, bez ohledu na to, zda ke zpracování dochází v Unii, či nikoli. Mimo to, aby nebyli koncoví uživatelé v Unii zbaveni účinné ochrany, mělo by se toto nařízení rovněž vztahovat na data elektronických komunikací zpracovávaná v souvislosti s poskytováním služeb elektronických komunikací koncovým uživatelům v Unii ze zemí mimo Unii.

(8)Toto nařízení by se mělo vztahovat na poskytovatele služeb elektronických komunikací, na poskytovatele veřejně dostupných seznamů a na poskytovatele softwaru umožňujícího elektronické komunikace včetně získávání a prezentování informací na internetu. Toto nařízení by se rovněž mělo vztahovat na fyzické a právnické osoby, které služby elektronických komunikací používají k zasílání přímých marketingových obchodních sdělení nebo ke shromažďování informací souvisejících s koncovými zařízeními koncových uživatelů nebo uložených v těchto zařízeních.

(7)Členské státy by měly mít možnost v mezích tohoto nařízení zachovat nebo zavést vnitrostátní ustanovení, která by dále upřesnila a vyjasnila uplatňování pravidel tohoto nařízení, aby se zajistilo jejich účinné uplatňování a výklad. Prostor pro uvážení, který členské státy v tomto ohledu mají, by tudíž měl zachovávat rovnováhu mezi ochranou soukromého života a osobních údajů a volným pohybem dat elektronických komunikací.

(6)Ačkoli zásady a hlavní ustanovení směrnice Evropského parlamentu a Rady 2002/58/ES zůstávají nadále obecně platné, tato směrnice nedokázala držet plně krok s vývojem technologické a tržní reality, což má za následek nekonzistentní nebo nedostatečnou účinnou ochranu soukromí a důvěrnosti ve vztahu k elektronickým komunikacím. Uvedený vývoj zahrnuje to, že na trh vstoupily služby elektronických komunikací, které mohou z hlediska spotřebitele nahradit tradiční služby, ale které nemusí dodržovat stejný soubor pravidel. Další vývoj se týká nových technik umožňujících sledovat chování koncových uživatelů na internetu, na které se směrnice 2002/58/ES nevztahuje. Směrnice 2002/58/ES by tudíž měla být zrušena a nahrazena tímto nařízením.

(3)Data elektronických komunikací mohou rovněž odhalit informace týkající se právnických osob, například obchodní tajemství nebo jiné citlivé informace, které mají ekonomickou hodnotu. Ustanovení tohoto nařízení by se proto měla vztahovat na fyzické i právnické osoby. Toto nařízení by dále mělo zajistit, aby se ustanovení nařízení Evropského parlamentu a Rady (EU) 2016/679 vztahovala rovněž na koncové uživatele, kteří jsou právnickými osobami. To zahrnuje definici souhlasu podle nařízení (EU) 2016/679. Pokud se odkazuje na souhlas koncového uživatele, včetně právnických osob, měla by se použít tato definice. Mimo to by právnické osoby měly mít stejná práva jako koncoví uživatelé, kteří jsou fyzickými osobami, pokud jde o dozorové úřady; dozorové úřady podle tohoto nařízení by dále měly rovněž odpovídat za monitorování uplatňování tohoto nařízení, pokud jde o právnické osoby.

(14)Data elektronických komunikací by měla být definována dostatečně širokým a technologicky neutrálním způsobem, aby zahrnovala veškeré informace týkající se přenášeného nebo vyměňovaného obsahu (obsah elektronických komunikací) a informace týkající se koncového uživatele služeb elektronických komunikací, které jsou zpracovávány pro účely přenášení, šíření nebo umožnění výměny obsahu elektronických komunikací, a to včetně údajů sloužících ke sledování a identifikaci zdroje a cíle komunikace, zeměpisné polohy a data, času, doby trvání a typu komunikace. Bez ohledu na to, zda jsou tyto signály a související údaje přenášeny po vedení, rádiovými, optickými nebo elektromagnetickými prostředky, včetně družicových sítí, kabelových sítí, pevných sítí (s komutací okruhů nebo paketů, včetně internetu), mobilních zemských sítí a sítí pro rozvod elektrické energie, měly by být údaje související s těmito signály považovány za metadata elektronických komunikací, a tudíž by se na ně měla vztahovat ustanovení tohoto nařízení. Metadata elektronických komunikací mohou zahrnovat informace, které jsou součástí přihlášení se k užívání služby, jsou-li tyto informace zpracovávány pro účely přenášení, šíření nebo výměny obsahu elektronických komunikací.

(15)Data elektronických komunikací by měla být považována za důvěrná. To znamená, že by mělo být zakázáno jakkoli zasahovat do přenosu dat elektronických komunikací, ať už přímo lidským zásahem nebo zprostředkovaně automatizovaným strojovým zpracováním, bez souhlasu všech komunikujících stran. Během přenosu, tj. do doby, než obsah elektronické komunikace obdrží zamýšlený adresát, by měl platit zákaz zachycování dat komunikací. K zachycování dat elektronických komunikací může dojít například tehdy, když někdo jiný než komunikující strany poslouchá hovory nebo čte, skenuje či ukládá obsah elektronických komunikací nebo související metadata pro jiné účely, než je výměna komunikace. K zachycování rovněž dochází tehdy, když třetí strany monitorují navštívené internetové stránky, načasování návštěv, interakci s ostatními atd. bez souhlasu dotčeného koncového uživatele. S tím, jak se technologie vyvíjí, došlo také k nárůstu technických možností, jak zachycování uskutečňovat. Tyto možnosti mohou sahat od instalace zařízení, která shromažďují údaje z koncových zařízení v cílových oblastech, jako jsou například zachytávače IMSI, po programy a techniky, které například tajně sledují návyky při prohlížení internetu za účelem vytváření profilů koncových uživatelů. Další příklady zachycování zahrnují zachycování přenášených dat nebo dat obsahu z nešifrovaných bezdrátových sítí a routerů, včetně návyků při prohlížení internetu, bez souhlasu koncových uživatelů.

(16)Zákaz uchovávání komunikace neznamená zákaz jakéhokoli automatického, přechodného a dočasného uchovávání takových informací, pokud k němu dochází výlučně z důvodu uskutečnění přenosu v síti elektronických komunikací. Nemělo by být zakázáno ani zpracování dat elektronických komunikací za účelem zajištění bezpečnosti a kontinuity služeb elektronických komunikací, včetně kontroly z hlediska bezpečnostních hrozeb, jako je například přítomnost malwaru, nebo zpracování metadat za účelem zajištění nezbytných požadavků na kvalitu služby, jako je například latence, kolísání atd.

(17)Zpracování dat elektronických komunikací může být užitečné pro podniky, spotřebitele a pro společnost jako celek. Ve srovnání se směrnicí 2002/58/ES toto nařízení rozšiřuje možnosti, kdy mohou poskytovatelé služeb elektronických komunikací na základě souhlasu koncových uživatelů zpracovávat metadata elektronických komunikací. Koncoví uživatelé nicméně důvěrnému charakteru svých sdělení, včetně svých on-line aktivit, přikládají velký význam a nad používáním dat elektronických komunikací pro jiné účely, než je přenos komunikace, chtějí mít kontrolu. Toto nařízení by proto mělo požadovat, aby poskytovatelé služeb elektronických komunikací získali souhlas koncových uživatelů se zpracováním metadat elektronických komunikací, a ta by měla zahrnovat údaje o poloze zařízení generovaná pro účely udělení a udržení přístupu a připojení ke službě. Za metadata by neměly být považovány lokalizační údaje, které jsou generovány v jiném kontextu, než je poskytování služeb elektronických komunikací. Mezi příklady, jak mohou poskytovatelé služeb elektronických komunikací komerčně využít metadata elektronických komunikací, patří poskytování teplotních map, tj. grafické znázornění údajů za použití barev k naznačení přítomnosti osob. K zobrazení dopravních pohybů v určitých směrech během určitého časového období je nezbytný identifikátor, aby bylo možné v určitých časových intervalech spojit pozice osob. Pokud by měly být použity anonymní údaje, tento identifikátor by chyběl a daný pohyb by nemohl být zobrazen. Tato využití metadat elektronických komunikací by mohla přinést prospěch například veřejným orgánům a provozovatelům veřejné dopravy, kteří by mohli na základě využití stávající struktury a tlaku na ni určit, kde rozvíjet novou infrastrukturu. Pokud je pravděpodobné, že určitý druh zpracování metadat elektronických komunikací, zejména za použití nových technologií a s ohledem na povahu, rozsah, kontext a účel zpracování, bude mít za následek velké riziko pro práva a svobody fyzických osob, mělo by být před zpracováním provedeno posouzení vlivu na ochranu osobních údajů a případně konzultován dozorový úřad v souladu s články 35 a 36 nařízení (EU) 2016/679.

(18)Koncoví uživatelé mohou souhlasit se zpracováním svých metadat, aby obdrželi konkrétní služby, jako například služby chránící proti podvodným jednáním (prostřednictvím analyzování údajů o používání, poloze a zákaznickém účtu v reálném čase). V digitální ekonomice jsou služby často poskytovány za jiné protiplnění než peníze, například za to, že jsou koncoví uživatelé vystaveni reklamám. Pro účely tohoto nařízení by souhlas koncového uživatele, bez ohledu na to, zda je tímto uživatelem fyzická či právnická osoba, měl mít stejný význam a podléhat stejným podmínkám jako souhlas subjektu údajů podle nařízení (EU) 2016/679. Základní širokopásmový přístup k internetu a hlasové komunikační služby se mají považovat za základní služby, aby jednotlivci mohli komunikovat a podílet se na přínosech digitální ekonomiky. Souhlas se zpracováním údajů z použití internetové nebo hlasové komunikace nebude platný, pokud subjekt údajů nemá skutečnou a svobodnou volbu nebo nemůže souhlas odmítnout či odvolat, aniž by byl poškozen.

(19)Obsah elektronických komunikací se týká podstaty základního práva na respektování soukromého a rodinného života, obydlí a komunikace chráněného podle článku 7 Listiny. Jakékoli zasahování do obsahu elektronických komunikací by mělo být povoleno pouze za velmi jasně definovaných podmínek a pro konkrétní účely a měly by se na něj vztahovat přiměřené záruky proti zneužití. Toto nařízení umožňuje, aby poskytovatelé služeb elektronických komunikací zpracovávali data elektronických komunikací během tranzitu, a to s informovaným souhlasem všech dotčených koncových uživatelů. Poskytovatelé například mohou nabídnout služby, které zahrnují skenování elektronické pošty za účelem odstranění určitého předem definovaného materiálu. Vzhledem k citlivosti obsahu komunikací toto nařízení stanoví předpoklad, že zpracování těchto dat obsahu bude mít za následek vysoká rizika pro práva a svobody fyzických osob. Při zpracovávání tohoto typu údajů by měl poskytovatel služby elektronických komunikací před zpracováním vždy konzultovat s dozorovým úřadem. Tato konzultace by měla být v souladu s čl. 36 odst. 2 a 3 nařízení (EU) 2016/679. Uvedený předpoklad nezahrnuje zpracování dat obsahu za účelem poskytnutí služby požadované koncovým uživatelem, pokud koncový uživatel s tímto zpracováním souhlasil a pokud je toto zpracování prováděno pro účely a po dobu, které jsou nezbytně nutné a přiměřené pro takovou službu. Poté, co byl obsah elektronických komunikací koncovým uživatelem odeslán a zamýšlený koncový uživatel nebo koncoví uživatelé ho obdrželi, může být zaznamenán nebo uložen koncovým uživatelem, koncovými uživateli nebo třetí stranou, která jimi byla k zaznamenání nebo uložení těchto údajů pověřena. Jakékoli zpracování těchto údajů musí být v souladu s nařízením (EU) 2016/679.

(20)Koncová zařízení koncových uživatelů sítí elektronických komunikací a veškeré informace týkající se využívání těchto koncových zařízení, ať už jsou uchovávané v takových zařízeních, vysílané takovými zařízeními, požadované od těchto zařízení nebo zpracovávané za účelem umožnění připojení těchto zařízení k jinému zařízení a/nebo k síťovému zařízení, tvoří součást soukromí koncových uživatelů, které vyžaduje ochranu v souladu s Listinou základních práv Evropské unie a s Evropskou úmluvou o ochraně lidských práv a základních svobod. Vzhledem k tomu, že taková zařízení obsahují nebo zpracovávají informace, které mohou odhalit podrobnosti o citových, politických a společenských stránkách dané osoby, včetně obsahu komunikace, obrázků, polohy získané přístupem k funkcím GPS v zařízení, seznamů kontaktů a dalších informací již uchovávaných v zařízení, vyžadují informace související s takovými zařízeními zvýšenou ochranu soukromí. Kromě toho tzv. špionážní software („spyware“), webové štěnice („web bugs“), skryté identifikátory, sledovací cookies a jiné podobné nežádoucí nástroje pro sledování mohou pronikat do koncového zařízení koncového uživatele bez jeho vědomí s cílem získat přístup k informacím, uchovávat skryté informace nebo sledovat činnost. Informace související se zařízením koncového uživatele mohou být rovněž shromažďovány dálkově, a to za účelem identifikace a sledování a za použití technik, jako je vytváření digitálních otisků konkrétního zařízení („device fingerprinting“), často bez vědomí koncového uživatele, a mohou vážně zasahovat do soukromí těchto koncových uživatelů. Techniky, které skrytě sledují činnosti koncových uživatelů, například prostřednictvím sledování jejich činností on-line nebo polohy jejich koncových zařízení, nebo které přebírají kontrolu nad fungováním koncových zařízení koncových uživatelů, představují vážnou hrozbu pro soukromí koncových uživatelů. Jakékoli takové zasahování do koncového zařízení koncového uživatele by proto mělo být povoleno pouze se souhlasem koncového uživatele a za konkrétním a transparentním účelem.

(21)Výjimky z povinnosti získat souhlas s využitím funkcí koncového zařízení pro zpracování a uchovávání nebo s přístupem k informacím uloženým v koncovém zařízení by měly být omezeny na situace, při nichž nedochází k narušení soukromí, nebo se tak děje jen ve velmi omezené míře. Souhlas by například neměl být vyžadován pro technické uchovávání nebo přístup, které jsou nezbytně nutné a přiměřené legitimnímu účelu, kterým je umožnit využití konkrétní služby výslovně požadované koncovým uživatelem. To může zahrnovat uchovávání cookies po dobu trvání jedné navázané relace s internetovou stránkou, aby bylo možné udržovat přehled o informacích zadaných koncovým uživatelem při vyplňování internetových formulářů o více stránkách. Cookies mohou být také legitimním a užitečným nástrojem například při měření návštěvnosti internetové stránky. Za přístup k zařízení koncového uživatele nebo využití jeho funkcí pro zpracování by se neměla považovat kontrola konfigurace ze strany poskytovatelů služeb informační společnosti za účelem poskytnutí služby v souladu s nastavením koncového uživatele a pouhé zaznamenání skutečnosti, že zařízení koncového uživatele není schopno přijmout obsah požadovaný koncovým uživatelem.

(22)Metody používané pro poskytování informací a získání souhlasu koncového uživatele by měly být vůči uživateli co možná nejvstřícnější. Vzhledem k všudypřítomnému využívání sledovacích cookies a dalších sledovacích technik se od koncových uživatelů stále častěji požaduje, aby poskytli souhlas s uchováváním těchto sledovacích cookies ve svém koncovém zařízení. Koncoví uživatelé jsou v důsledku toho přetíženi žádostmi o poskytnutí souhlasu. Tento problém může vyřešit použití technických prostředků k poskytnutí souhlasu, například prostřednictvím transparentního a k uživatelům vstřícného nastavení. Toto nařízení by proto mělo umožnit vyjádření souhlasu prostřednictvím vhodného nastavení prohlížeče nebo jiné aplikace. Volby provedené koncovými uživateli v rámci obecného nastavení ochrany soukromí v prohlížeči nebo jiné aplikaci by měly být pro jakékoli třetí strany závazné a vůči nim vynutitelné. Internetové prohlížeče jsou druhem softwarové aplikace, která umožňuje získávání a prezentování informací na internetu. Tyto funkce mají i další druhy aplikací, jako například aplikace, které umožňují volání a přenos zpráv nebo poskytují navigaci na cestách. Internetové prohlížeče zprostředkovávají většinu toho, k čemu dochází mezi koncovým uživatelem a internetovou stránkou. Z tohoto hlediska se nacházejí v privilegovaném postavení, aby hrály aktivní úlohu při pomáhání koncovým uživatelům kontrolovat tok informací do koncového zařízení a z něj. Internetové prohlížeče mohou zejména sloužit jako „strážci“, a pomoci tak koncovým uživatelům zabránit tomu, aby k informacím z jejich koncových zařízení (například z chytrého telefonu, tabletu nebo počítače) bylo přistupováno nebo aby tyto informace byly ukládány.

(23)Zásady záměrné a standardní ochrany osobních údajů byly kodifikovány v článku 25 nařízení (EU) 2016/679. V současné době je standardní nastavení pro cookies ve většině stávajících prohlížečů nastaveno na „přijímat všechna cookies“. Poskytovatelé softwaru umožňujícího získávání a prezentování informací na internetu by proto měli mít povinnost konfigurovat software tak, aby nabízel možnost zabránit třetím stranám v ukládání informací v koncovém zařízení; toto je často prezentováno jako „odmítnout přijímání cookies třetích stran“. Koncovým uživatelům by měl být nabídnut soubor možností nastavení ochrany soukromí, sahající od vyšší úrovně ochrany (například „nikdy nepřijímat cookies“) přes střední úroveň (například „odmítnout přijímání cookies třetích stran“ nebo „přijímat pouze cookies prvních stran“) až po nižší úroveň (například „vždy přijímat cookies“). Toto nastavení ochrany soukromí by mělo být prezentováno snadno viditelným a srozumitelným způsobem.

(24)Aby mohly internetové prohlížeče získat souhlas koncových uživatelů, jak jej definuje nařízení (EU) 2016/679, například s ukládáním sledovacích cookies třetích stran, měly by mimo jiné vyžadovat od koncového uživatele koncového zařízení jasnou potvrzující akci, která by stvrzovala jeho svobodně poskytnutý, konkrétně informovaný a jednoznačný souhlas s uchováváním těchto cookies v jeho koncovém zařízení a s přístupem k nim. Taková akce může být považována za potvrzující, pokud je například vyžadováno, aby koncoví uživatelé pro potvrzení svého souhlasu aktivně zvolili možnost „přijímat cookies třetích stran“, a jsou jim poskytnuty informace nezbytné k učinění volby. Za tímto účelem je nezbytné vyžadovat, aby poskytovatelé softwaru umožňujícího přístup k internetu zajistili, že koncoví uživatelé jsou při instalaci informováni, že si mohou vybrat z různých možností nastavení ochrany soukromí, a aby je požádali o učinění volby. Poskytnuté informace by neměly koncové uživatele odrazovat od výběru nastavení vyšší ochrany soukromí a měly by zahrnovat relevantní informace o rizicích souvisejících s povolením toho, aby byly v počítači uchovávány cookies třetích stran, včetně sestavování dlouhodobých záznamů o historii prohlížení internetu danou osobou a využívání těchto záznamů k zasílání cílené reklamy. Internetové prohlížeče se vyzývají k tomu, aby koncovým uživatelů poskytly snadné způsoby, jak kdykoli během používání změnit nastavení ochrany soukromí, a aby uživateli umožnily dělat výjimky pro určité internetové stránky, přidávat takové stránky na seznam povolených stránek nebo upřesnit, pro které internetové stránky jsou cookies (třetích) stran povoleny vždy, nebo nikdy.

(25)Přístup k sítím elektronických komunikací vyžaduje pravidelné vysílání určitých datových paketů za účelem navázání nebo udržování spojení se sítí nebo jinými zařízeními v síti. Zařízení dále musí mít přidělenu jedinečnou adresu, aby bylo v dané síti identifikovatelné. Obdobně normy pro bezdrátové komunikace a mobilní telefony zahrnují vysílání aktivních signálů obsahujících jedinečné identifikátory, jako jsou adresa MAC, identifikátory IMEI a IMSI atd. Každá bezdrátová základnová stanice (tj. vysílač a přijímač), jako např. bezdrátový přístupový bod, má konkrétní dosah, v rámci kterého mohou být tyto informace zachyceny. Objevili se poskytovatelé služeb, kteří nabízejí služby sledování, jež jsou založeny na skenování informací souvisejících se zařízením a poskytují různé funkce, včetně počítání osob, poskytování údajů o počtu osob čekajících ve frontě, zjišťování počtu osob v konkrétní oblasti atd. Tyto informace mohou být použity k více obtěžujícím účelům, jako je zasílání komerčních sdělení s personalizovanými nabídkami koncovým uživatelům, například při vstupu do prodejny. Zatímco některé z těchto funkcí nepředstavují vysoká rizika pro soukromí, jiné funkce, například ty, jejichž součástí je sledování osob v průběhu času, včetně opakovaných návštěv určených míst, tato rizika zahrnují. Poskytovatelé provozující tyto praktiky by měli zobrazovat nápadná oznámení umístěná na okraji oblasti pokrytí, která by koncové uživatele před vstupem do vymezené oblasti informovala o tom, že v této oblasti je v provozu tato technologie, o účelu sledování, o odpovědné osobě a o existenci případných opatření, která může koncový uživatel koncového zařízení učinit, aby shromažďování informací minimalizoval nebo zastavil. Jsou-li shromažďovány osobní údaje, měly by být poskytnuty dodatečné informace podle článku 13 nařízení (EU) 2016/679.

(26)Spadá-li zpracování dat elektronických komunikací ze strany poskytovatelů služeb elektronických komunikací do oblasti působnosti tohoto nařízení, mělo by toto nařízení Unii nebo členským státům umožnit, aby za určitých podmínek právním předpisem omezily některé povinnosti a práva, jestliže takové omezení představuje nezbytné a přiměřené opatření v demokratické společnosti na ochranu konkrétních veřejných zájmů, včetně národní bezpečnosti, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování či stíhání nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení a dalších důležitých cílů obecného veřejného zájmu Unie nebo členského státu, zejména jedná-li se o důležitý hospodářský či finanční zájem Unie nebo členského státu, nebo představuje-li monitorovací, inspekční nebo regulační funkci spojenou s výkonem veřejné moci pro účely těchto zájmů. Toto nařízení by proto nemělo ovlivnit možnost členských států provádět zákonné zachycování elektronických komunikací nebo přijímat jiná opatření, je-li to nezbytné a přiměřené pro ochranu výše uvedených veřejných zájmů a je-li to v souladu s Listinou základních práv Evropské unie a s Evropskou úmluvou o ochraně lidských práv a základních svobod, jak je vykládána Soudním dvorem Evropské unie a Evropským soudem pro lidská práva. Poskytovatelé služeb elektronických komunikací by měli stanovit vhodné postupy usnadňující oprávněné žádosti příslušných orgánů, případně se zohledněním úlohy zástupce určeného podle čl. 3 odst. 3.

(27)S ohledem na identifikaci volající linky je nezbytně nutné chránit právo volajícího potlačit identifikaci linky, ze které se volání uskutečňuje, a právo volaného odmítnout volání z neidentifikovaných linek. Někteří koncoví uživatelé, zejména linky pomoci a obdobné subjekty, mají zájem na zaručení anonymity volajících. S ohledem na identifikaci spojené linky je nezbytně nutné chránit právo a oprávněný zájem volaného potlačit identifikaci linky, se kterou je volající ve skutečnosti spojen.

(28)Ve zvláštních případech je oprávněné nepřihlížet k potlačení identifikace volající linky. Práva koncových uživatelů na soukromí s ohledem na identifikaci volající linky by měla být omezena, je-li to nezbytné pro vysledování obtěžujících volání, a s ohledem na identifikaci volající linky a lokalizační údaje, je-li to nezbytné k tomu, aby záchranné služby, například služba eCall, mohly plnit své úkoly co možná nejefektivněji.

(29)Existuje technologie, která poskytovatelům služeb elektronických komunikací umožňuje různými způsoby omezit přijímání nežádoucích volání koncovými uživateli, včetně blokování tichých volání a jiných podvodných a obtěžujících volání. Poskytovatelé veřejně dostupných interpersonálních komunikačních služeb založených na číslech by tuto technologii měli nasadit a zdarma chránit koncové uživatele před obtěžujícími voláními. Poskytovatelé by měli zajistit, aby koncoví uživatelé byli o existenci těchto funkcí informováni, a to zveřejněním této skutečnosti na svých internetových stránkách.

(30)Veřejně dostupné seznamy koncových uživatelů služeb elektronických komunikací jsou značně rozšířeny. Veřejně dostupným seznamem se rozumí jakýkoli seznam nebo služba, které obsahují informace o koncových uživatelích, jako jsou telefonní čísla (včetně čísel mobilních telefonů) a kontaktní údaje v podobě e-mailové adresy, včetně informačních služeb o účastnických číslech. Právo fyzické osoby na soukromí a na ochranu osobních údajů vyžaduje, aby koncoví uživatelé, kteří jsou fyzickými osobami, byli předtím, než jsou jejich osobní údaje zahrnuty do seznamu, požádáni o souhlas. Oprávněný zájem právnických osob vyžaduje, aby koncoví uživatelé, kteří jsou právnickými osobami, měli právo vznést námitku proti tomu, aby byly do seznamu zahrnuty údaje, které se jich týkají.

(31)Pokud koncoví uživatelé, kteří jsou fyzickými osobami, udělí souhlas s tím, aby byly jejich údaje zahrnuty do těchto seznamů, měli by mít možnost na základě souhlasu určit, které kategorie jejich osobních údajů budou v seznamu zahrnuty (například jméno, e-mailová adresa, adresa bydliště, uživatelské jméno, telefonní číslo). Mimo to by poskytovatelé veřejně dostupných seznamů měli koncové uživatele před tím, než je zahrnou do seznamu, informovat o účelech seznamu a o vyhledávacích funkcích. Koncoví uživatelé by měli mít možnost prostřednictvím souhlasu určit, na základě kterých kategorií osobních údajů lze v jejich kontaktních údajích vyhledávat. Kategorie osobních údajů zahrnutých do seznamu a kategorie osobních údajů, na jejichž základě lze vyhledávat v kontaktních údajích koncového uživatele, by neměly být nutně totožné.

(32)Jako přímý marketing se v tomto nařízení označuje jakákoli forma reklamy, prostřednictvím které fyzická nebo právnická osoba zasílá přímá marketingová sdělení přímo jednomu nebo více identifikovaným nebo identifikovatelným koncovým uživatelům využívajícím služby elektronických komunikací. Kromě nabízení produktů a služeb pro obchodní účely by měl tento pojem zahrnovat také sdělení zasílaná politickými stranami, které kontaktují fyzické osoby prostřednictvím služeb elektronických komunikací za účelem podpory svých stran. Totéž by se mělo vztahovat na sdělení zasílaná jinými neziskovými organizacemi za účelem podpory účelů dané organizace.

(33)Měla by být poskytnuta ochranná opatření na ochranu koncových uživatelů před nevyžádanými sděleními pro účely přímého marketingu, která zasahují do soukromého života koncových uživatelů. Míra narušení soukromí a obtěžování je považována za relativně podobnou nezávisle na široké škále technologií a kanálů používaných k uskutečňování této elektronické komunikace, ať už se používají automatické volací a komunikační systémy, aplikace pro výměnu rychlých zpráv, elektronická pošta, SMS, MMS, Bluetooth atd. Je tedy odůvodněné požadovat, aby před tím, než je koncovým uživatelům zasláno elektronické obchodní sdělení pro účely přímého marketingu, byl získán souhlas koncového uživatele, aby byli jednotlivci účinně chráněni před narušováním svého soukromého života, jakož i aby byly chráněny oprávněné zájmy právnických osob. Právní jistota a potřeba zajistit, že pravidla chránící před nevyžádanými elektronickými sděleními budou nadále použitelná i v budoucnosti, odůvodňují potřebu definovat jednotný soubor pravidel, která se neliší v závislosti na technologii použité k přenosu těchto nevyžádaných sdělení a která zároveň zaručí rovnocennou úroveň ochrany pro všechny občany v celé Unii. Je však rozumné umožnit používání kontaktních údajů pro elektronickou poštu v kontextu existujícího zákaznického vztahu pro nabízení podobných produktů nebo služeb. Tato možnost by se měla vztahovat pouze na tutéž společnost, která získala elektronické kontaktní údaje v souladu s nařízením (EU) 2016/679.