VYKONÁVACIE NARIADENIE KOMISIE (EÚ) 2021/1772

z 28. júna 2021

podľa nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o primeranej ochrane osobných údajov Spojeným kráľovstvom

[oznámené pod číslom C(2021) 4800]

(Text s významom pre EHP)

EURÓPSKA KOMISIA,

so zreteľom na Zmluvu o fungovaní Európskej únie,

so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (1), a najmä na jeho článok 45 ods. 3,

keďže:

1. ÚVOD

(1) V nariadení (EÚ) 2016/679 sa stanovujú pravidlá prenosu osobných údajov od prevádzkovateľov alebo sprostredkovateľov v Európskej únii do tretích krajín a medzinárodným organizáciám, pokiaľ tieto prenosy patria do rozsahu jeho pôsobnosti. Pravidlá medzinárodných prenosov údajov sú stanovené v kapitole V uvedeného nariadenia, a to v článkoch 44 až 50. Hoci je pre rozmach medzinárodnej spolupráce a cezhraničného obchodu nevyhnutný tok osobných údajov do krajín mimo Európskej únie aj z takýchto krajín, prenosy do tretích krajín nesmú ohrozovať poskytovanú úroveň ochrany osobných údajov v Európskej únii (2).

(2) Podľa článku 45 ods. 3 nariadenia (EÚ) 2016/679 môže Komisia prostredníctvom vykonávacieho aktu rozhodnúť, že tretia krajina, územie alebo jeden či viaceré určené sektory v tretej krajine alebo medzinárodná organizácia zaručujú primeranú úroveň ochrany. Za tejto podmienky sa prenosy osobných údajov do tretej krajiny môžu uskutočňovať bez potreby získania ďalšieho povolenia, ako sa stanovuje v článku 45 ods. 1 a v odôvodnení 103 uvedeného nariadenia.

(3) Ako sa uvádza v článku 45 ods. 2 nariadenia (EÚ) 2016/679, prijatie rozhodnutia o primeranosti musí vychádzať z komplexnej analýzy právneho poriadku tretej krajiny, pričom sa vzťahuje na pravidlá uplatniteľné na dovozcov údajov, ako aj na obmedzenia a záruky týkajúce sa prístupu k osobným údajom zo strany orgánov verejnej moci. Komisia musí v rámci svojho posúdenia určiť, či dotknutá tretia krajina zaručuje úroveň ochrany, ktorá v „zásade zodpovedá“ úrovni zabezpečenej v rámci Európskej únie [odôvodnenie 104 nariadenia (EÚ) 2016/679]. Štandard, voči ktorému sa posudzuje „zásadná rovnocennosť“, je štandard stanovený v právnych predpisoch Európskej únie, najmä v nariadení (EÚ) 2016/679, ako aj v judikatúre Súdneho dvora Európskej únie (3). V tejto súvislosti má význam aj referenčné kritérium primeranosti Európskeho výboru pre ochranu údajov (ďalej len „EDPBI“) (4).

(4) Ako objasnil Súdny dvor Európskej únie, nie je potrebné, aby bola zaistená rovnaká úroveň ochrany (5). Konkrétne prostriedky, ktoré dotknutá tretia krajina využíva na ochranu osobných údajov, sa môžu líšiť od prostriedkov využívaných v Európskej únii, pokiaľ sa v praxi preukáže, že sa nimi účinne zabezpečuje primeraná úroveň ochrany (6). V záujme dosiahnutia štandardu primeranosti teda nie je potrebné, aby pravidlá druhej krajiny do detailu zodpovedali pravidlám Únie. Namiesto toho sa skôr overuje, či zahraničný systém ako celok zabezpečuje prostredníctvom hmotnoprávnej úpravy práv na ochranu údajov a ich účinného vykonávania, vymáhania, ako aj dohľadu nad nimi požadovanú úroveň ochrany (7).

(5) Komisia dôkladne zanalyzovala právne predpisy a prax Spojeného kráľovstva. Komisia na základe zistení uvedených v odôvodneniach 8 až 270 dospela k záveru, že Spojené kráľovstvo zabezpečuje primeranú úroveň ochrany osobných údajov prenášaných v rámci rozsahu pôsobnosti nariadenia (EÚ) 2016/679 z Európskej únie do Spojeného kráľovstva.

(6) Tento záver sa netýka osobných údajov prenášaných na účely imigračnej kontroly Spojeného kráľovstva ani takých, ktoré inak patria do rozsahu výnimky z určitých práv dotknutých osôb na účely zachovania účinnej imigračnej kontroly (ďalej len „imigračná výnimka“) podľa bodu 4 ods. 1 prílohy 2 k zákonu Spojeného kráľovstva o ochrane údajov. Platnosť a výklad imigračnej výnimky v rámci práva Spojeného kráľovstva nie sú po rozhodnutí odvolacieho súdu Anglicka a Walesu z 26. mája 2021 jednoznačné. Hoci sa uznáva, že práva dotknutých osôb môžu byť v zásade obmedzené na účely imigračnej kontroly ako „dôležitý aspekt verejného záujmu“, odvolací súd zistil, že imigračná výnimka je vo svojej súčasnej forme nezlučiteľná s právom Spojeného kráľovstva, keďže v legislatívnom opatrení chýbajú konkrétne ustanovenia stanovujúce záruky uvedené v článku 23 ods. 2 všeobecného nariadenia Spojeného kráľovstva o ochrane osobných údajov (8). Za týchto podmienok by prenosy osobných údajov z Únie do Spojeného kráľovstva, na ktoré sa môže uplatniť imigračná výnimka, mali byť vylúčené z pôsobnosti tohto rozhodnutia (9). Po napravení nezlučiteľnosti s právom Spojeného kráľovstva by sa mala imigračná výnimka, ako aj potreba udržiavať obmedzenia pôsobnosti tohto rozhodnutia opätovne posúdiť.

(7) Toto rozhodnutie by nemalo mať vplyv na priame uplatňovanie nariadenia (EÚ) 2016/679 na organizácie usadené v Spojenom kráľovstve, ak sú splnené podmienky týkajúce sa územnej pôsobnosti uvedeného nariadenia stanovené v jeho článku 3.

2. PRAVIDLÁ, KTORÉ SA VZŤAHUJÚ NA SPRACÚVANIE OSOBNÝCH ÚDAJOV

2.1. Ústavný rámec

(8) Spojené kráľovstvo je parlamentnou demokraciou, ktorá má ako hlava štátu konštitučného panovníka. Má suverénny parlament, ktorý je nadriadený všetkým ostatným vládnym inštitúciám, orgán výkonnej moci, ktorý je volený z členov parlamentu a ktorý sa tomuto parlamentu zodpovedá, a nezávislé súdnictvo. Výkonná moc vychádza zo spôsobilosti získať vyslovenie dôvery volenej Dolnej snemovne (House of Commons) a zodpovedá sa obom snemovniam parlamentu, ktoré sú zodpovedné za kontrolu vlády a za prerokúvanie a prijímanie zákonov.

(9) Parlament Spojeného kráľovstva preniesol zodpovednosť za prijímanie právnych predpisov o vnútroštátnych záležitostiach v Škótsku, vo Walese a v Severnom Írsku, ktoré Parlament Spojeného kráľovstva nevyhradil pre seba, na Škótsky parlament, Waleský parlament (Senedd Cymru) a Zhromaždenie Severného Írska. Hoci ochrana údajov je vyhradenou záležitosťou, t. j. rovnaké právne predpisy sa uplatňujú v celej krajine, v ostatných oblastiach politiky relevantných pre toto rozhodnutie sa zodpovednosť preniesla. Napríklad zodpovednosť v rámci systémov trestnej justície vrátane policajnej činnosti v Škótsku a Severnom Írsku sa preniesla na Škótsky parlament, resp. Zhromaždenie Severného Írska. Spojené kráľovstvo nemá kodifikovanú ústavu v zmysle zakotveného konštitutívneho dokumentu. Ústavné zásady sa ustálili postupne, najmä na základe judikatúry a zvyklostí. Súdy uznali ústavnú hodnotu niektorých právnych predpisov, ako je Magna charta, Listina práv z roku 1689 a zákon o ľudských právach z roku 1998. Základné práva jednotlivcov sa formovali ako súčasť ústavy prostredníctvom common law, uvedených právnych predpisov a medzinárodných dohovorov, najmä Európskeho dohovoru o ľudských právach, ktorý Spojené kráľovstvo ratifikovalo v roku 1951. Spojené kráľovstvo v roku 1987 ratifikovalo aj Dohovor Rady Európy o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov (dohovor č. 108) (10).

(10) Zákonom o ľudských právach z roku 1998 (Human Rights Act) sa začleňujú práva obsiahnuté v Európskom dohovore o ľudských právach do práva Spojeného kráľovstva. Zákonom o ľudských právach sa zaručujú každému jednotlivcovi základné práva a slobody stanovené v článkoch 2 až 12 a článku 14 Európskeho dohovoru o ľudských právach, článkoch 1, 2 a 3 prvého protokolu k nemu a článku 1 trinásteho protokolu k nemu v spojení s článkami 16, 17 a 18 uvedeného dohovoru. Patrí sem právo na rešpektovanie súkromného a rodinného života (a ako súčasť tohto práva aj právo na ochranu údajov) a právo na spravodlivý proces (11). Najmä v súlade s článkom 8 uvedeného dohovoru môže štátny orgán do výkonu práva na súkromie zasahovať len v prípadoch, keď je to v súlade so zákonom a nevyhnutné v demokratickej spoločnosti v záujme národnej bezpečnosti, verejnej bezpečnosti, hospodárskeho blahobytu krajiny, predchádzania nepokojom a zločinnosti, ochrany zdravia alebo morálky alebo ochrany práv a slobôd iných.

(11) V súlade so zákonom o ľudských právach z roku 1998 musí byť každá činnosť orgánov verejnej moci zlučiteľná s právom podľa dohovoru (12). Okrem toho je potrebné, aby sa primárne a podriadené právne predpisy interpretovali a uplatňovali spôsobom, ktorý je zlučiteľný s právami vyplývajúcim z dohovoru (13).

2.2. Rámec ochrany údajov Spojeného kráľovstva

(12) Spojené kráľovstvo vystúpilo z Európskej únie 31. januára 2020. Na základe Dohody o vystúpení Spojeného kráľovstva Veľkej Británie a Severného Írska z Európskej únie a z Európskeho spoločenstva pre atómovú energiu (14) sa právo Únie naďalej uplatňovalo v Spojenom kráľovstve počas prechodného obdobia do 31. decembra 2020. Legislatívny rámec ochrany osobných údajov v Spojenom kráľovstve pred vystúpením a počas prechodného obdobia pozostával z príslušných právnych predpisov EÚ [najmä nariadenia (EÚ) 2016/679 a smernice Európskeho parlamentu a Rady (EÚ) 2016/680 (15)] a vnútroštátnych právnych predpisov, najmä zo zákona o ochrane údajov z roku 2018 (Data Protection Act) (16), v ktorom sa stanovujú vnútroštátne pravidlá v prípadoch, keď to umožňuje nariadenie (EÚ) 2016/679, pričom sa špecifikuje a obmedzuje uplatňovanie pravidiel nariadenia (EÚ) 2016/679 a transponovanej smernice (EÚ) 2016/680.

(13) Vláda Spojeného kráľovstva s cieľom pripraviť sa na vystúpenie z EÚ prijala zákon o vystúpení z Európskej únie z roku 2018 (17), ktorým sa priamo uplatniteľné právne predpisy Únie začleňujú do práva Spojeného kráľovstva (18). Toto tzv. ponechané právo EÚ zahŕňa nariadenie (EÚ) 2016/679 v celom jeho rozsahu (vrátane odôvodnení) (19). V súlade s uvedeným zákonom musia súdy Spojeného kráľovstva vykladať nezmenené ponechané právo EÚ v súlade s príslušnou judikatúrou Súdneho dvora a všeobecnými zásadami práva Únie tak, ako boli účinné bezprostredne pred skončením prechodného obdobia (nazývané „ponechaná judikatúra EÚ“, resp. „ponechané všeobecné zásady práva EÚ“) (20).

(14) Podľa zákona o vystúpení z Európskej únie z roku 2018 majú ministri Spojeného kráľovstva právomoc prostredníctvom štatutárnych nástrojov zaviesť sekundárne právne predpisy s cieľom vykonať v dôsledku vystúpenia Spojeného kráľovstva z Európskej únie potrebné zmeny v ponechanom práve Európskej únie. Túto právomoc uplatnili prijatím právnych predpisov o ochrane údajov, súkromia a elektronických komunikáciách v dôsledku vystúpenia z EÚ z roku 2019 (DPPEC Regulations) (21). Právnymi predpismi o ochrane údajov, súkromí a elektronických komunikáciách sa mení nariadenie (EÚ) 2016/679, ktoré sa do nich zaviedlo prostredníctvom zákona o vystúpení z Európskej únie z roku 2018, zákona o ochrane údajov z roku 2018 a ďalších právnych predpisov o ochrane údajov, aby zodpovedalo vnútroštátnym okolnostiam (22).

(15) Právny rámec ochrany osobných údajov v Spojenom kráľovstve po skončení prechodného obdobia teda tvorí: — všeobecné nariadenie Spojeného kráľovstva o ochrane údajov, ako bolo podľa zákona o vystúpení z Európskej únie z roku 2018 začlenené do práva Spojeného kráľovstva a zmenené právnymi predpismi o ochrane údajov, súkromí a elektronických komunikáciách (23), a — zákon o ochrane údajov z roku 2018 (24) zmenený právnymi predpismi o ochrane údajov, súkromí a elektronických komunikáciách.

(16) Keďže sa všeobecné nariadenie Spojeného kráľovstva o ochrane údajov zakladá na právnych predpisoch EÚ, pravidlá ochrany údajov v Spojenom kráľovstve v mnohých aspektoch odzrkadľujú príslušné pravidlá, ktoré sú platné v Európskej únii.

(17) Okrem právomocí, ktoré sa ministrovi priznávajú prostredníctvom zákona o vystúpení z Európskej únie z roku 2018, v niekoľkých ustanoveniach zákona o ochrane údajov z roku 2018 sa ministrovi priznáva právomoc prijímať sekundárne právne predpisy s cieľom zmeniť určité ustanovenia zákona alebo stanoviť doplnkové a dodatočné pravidlá (25). Minister dosiaľ uplatnil len právomoc podľa § 137 zákona o ochrane údajov z roku 2018, ktorou bolo prijať právne predpisy o ochrane údajov (poplatky a informácie) (zmena) z roku 2019, v ktorých sa stanovujú okolnosti, keď sú prevádzkovatelia povinní platiť ročný poplatok nezávislému orgánu Spojeného kráľovstva pre ochranu údajov, Komisárovi pre informácie.

(18) Napokon sa ďalšie usmernenia týkajúce sa právnych predpisov Spojeného kráľovstva o ochrane údajov uvádzajú v kódexoch postupov a iných usmerneniach, ktoré prijíma Komisár pre informácie. Aj keď tieto usmernenia nie sú z formálneho hľadiska právne záväzné, majú význam, pokiaľ ide o výklad, a ukazujú, ako Komisár v praxi uplatňuje a presadzuje právne predpisy o ochrane údajov. Konkrétne v § 121 až § 125 zákona o ochrane údajov z roku 2018 sa od Komisára vyžaduje, aby vypracoval kódexy postupov v oblasti poskytovania údajov, priameho marketingu, navrhovania primeranému veku, ochrany údajov a žurnalistiky.

(19) Právny rámec Spojeného kráľovstva, ktorý sa uplatňuje na údaje prenášané podľa tohto rozhodnutia, je teda svojou štruktúrou a hlavnými zložkami veľmi podobný rámcu, ktorý sa uplatňuje v Európskej únii. To zahŕňa aj skutočnosť, že takýto rámec sa neopiera len o povinnosti stanovené vo vnútroštátnom práve, ktoré boli formované právom EÚ, ale aj o povinnosti zakotvené v medzinárodnom práve, najmä prostredníctvom pristúpenia Spojeného kráľovstva k EDĽP a dohovoru č. 108, ako aj o podriadenie tohto rámca pod právomoc Európskeho súdu pre ľudské práva. Tieto povinnosti vyplývajúce z právne záväzných medzinárodných nástrojov, najmä pokiaľ ide o ochranu osobných údajov, sú preto osobitne dôležitým prvkom právneho rámca posudzovaného v tomto rozhodnutí.

2.3. Vecná a územná pôsobnosť

(20) Všeobecné nariadenie Spojeného kráľovstva o ochrane údajov sa podobne ako nariadenie (EÚ) 2016/679 vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami alebo na iné spracúvanie v prípade osobných údajov, ktoré tvoria súčasť informačného systému (26). Vymedzenie pojmov „osobné údaje“, „dotknutá osoba“ a „spracúvanie“ vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov je totožné s vymedzením pojmov v nariadení (EÚ) 2016/679 (27). Všeobecné nariadenie Spojeného kráľovstva o ochrane údajov sa navyše vzťahuje na manuálne neštruktúrované spracúvanie osobných údajov (28), ktoré majú v držbe niektoré orgány verejnej moci Spojeného kráľovstva (29), hoci zásady a práva vyplývajúce zo všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, ktoré nie sú relevantné pre takéto osobné údaje, sa nevzťahujú na § 24 a § 25 zákona o ochrane údajov z roku 2018. Podobne ako v ustanoveniach nariadenia (EÚ) 2016/679 sa ani všeobecné nariadenie Spojeného kráľovstva o ochrane údajov nevzťahuje na spracúvanie osobných údajov jednotlivcom v rámci výlučne osobnej alebo domácej činnosti (30).

(21) Všeobecným nariadením Spojeného kráľovstva o ochrane údajov sa rozširuje jeho pôsobnosť aj na spracúvanie v rámci činnosti, ktorá bezprostredne pred koncom prechodného obdobia nepatrila do pôsobnosti práva Európskej únie (napr. národná bezpečnosť) (31) alebo patrila do pôsobnosti kapitoly 2 hlavy 5 Zmluvy o Európskej únii (činnosti spoločnej zahraničnej a bezpečnostnej politiky) (32). Všeobecné nariadenie Spojeného kráľovstva o ochrane údajov sa tak, ako to je aj v systéme Európskej únie, nevzťahuje na spracúvanie osobných údajov príslušným orgánom na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania (tzv. účely presadzovania práva) – takéto spracúvanie sa namiesto toho riadi časťou 3 zákona o ochrane údajov z roku 2018, ako je to v prípade smernice (EÚ) 2016/680 podľa práva Európskej únie – ani na spracúvanie osobných údajov spravodajskými službami [Security Service (Bezpečnostná služba), Secret Intelligence Service (Tajná spravodajská služba) a Government Communications Headquarters (Vládne komunikačné ústredie)], na ktoré sa vzťahuje časť 4 zákona o ochrane údajov z roku 2018 (33).

(22) Územná pôsobnosť všeobecného nariadenia Spojeného kráľovstva o ochrane osobných údajov je opísaná v článku 3 všeobecného nariadenia Spojeného kráľovstva o ochrane osobných údajov (34) a zahŕňa spracúvanie osobných údajov (bez ohľadu na miesto spracúvania) v kontexte činností prevádzkarne prevádzkovateľa alebo sprostredkovateľa v Spojenom kráľovstve, ako aj spracúvanie osobných údajov dotknutých osôb, ktoré sa nachádzajú v Spojenom kráľovstve, ak spracovateľské činnosti súvisia s ponukou tovaru alebo služieb týmto dotknutým osobám alebo so sledovaním ich správania (35). Uvedené odráža prístup prijatý v článku 3 smernice (EÚ) 2016/679.

2.4. Vymedzenie pojmov osobné údaje, prevádzkovateľ a sprostredkovateľ

(23) Vymedzenie pojmov osobné údaje, prevádzkovateľ a sprostredkovateľ, ako aj vymedzenie pojmu pseudonymizácia stanovené v nariadení (EÚ) 2016/679 sa vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov ponechalo bez ďalších podstatných zmien (36). Navyše osobitné kategórie osobných údajov sú vymedzené v článku 9 ods. 1 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov rovnako ako v nariadení (EÚ) 2016/679 („odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby“). V § 205 zákona o ochrane údajov z roku 2018 sa uvádza vymedzenie pojmov „biometrické údaje“ (37), „údaje týkajúce sa zdravia“ (38) a „genetické údaje“ (39).

2.5. Záruky, práva a povinnosti

2.5.1. Zákonnosť a spravodlivosť spracúvania

(24) Osobné údaje by sa mali spracúvať zákonným a spravodlivým spôsobom.

(25) Zásady zákonnosti, spravodlivosti a transparentnosti a dôvody na zákonné spracúvanie sa zaručujú v práve Spojeného kráľovstva prostredníctvom článku 5 ods. 1 písm. a) a článku 6 ods. 1 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, ktoré sú totožné s príslušnými ustanoveniami nariadenia (EÚ) 2016/679 (40). § 8 zákona o ochrane údajov z roku 2018 dopĺňa článok 6 ods. 1 písm. e) uvedením, že spracúvanie osobných údajov podľa článku 6 ods. 1 písm. e) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov (nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci prevádzkovateľa) zahŕňa spracúvanie osobných údajov, ktoré je nevyhnutné na výkon spravodlivosti, výkon funkcie niektorej zo snemovní parlamentu, výkon funkcie zverenej osobe na základe zákonného ustanovenia alebo právnej normy, výkon funkcie koruny, ministra koruny alebo ministerstva alebo činnosť na podporu a propagáciu demokratickej angažovanosti.

(26) Pokiaľ ide o vyjadrenie súhlasu (jeden z dôvodov na zákonné spracúvanie), vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov sa ponechávajú aj nezmenené podmienky stanovené v článku 7 nariadenia (EÚ) 2016/679, čo znamená, že prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas, musí sa predložiť písomná žiadosť o súhlas, ktorá je jasne a jednoducho formulovaná, dotknutá osoba musí mať právo kedykoľvek odvolať súhlas a pri posudzovaní, či bol súhlas poskytnutý slobodne, by sa malo zohľadniť, či sa plnenie zmluvy podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný. Okrem toho je podľa článku 8 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov v kontexte poskytovania služieb informačnej spoločnosti súhlas dieťaťa zákonný, len ak má dieťa aspoň 13 rokov. Patrí tak do vekovej skupiny stanovenej v článku 8 nariadenia (EÚ) 2016/679.

2.5.2. Spracúvanie osobitných kategórií osobných údajov

(27) Na spracúvanie „osobitných kategórií“ údajov by sa mali vzťahovať osobitné záruky.

(28) Všeobecné nariadenie Spojeného kráľovstva o ochrane údajov a zákon o ochrane údajov z roku 2018 obsahujú osobitné pravidlá týkajúce sa spracúvania osobitných kategórií osobných údajov, ktoré sú vymedzené v článku 9 ods. 1 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov rovnakým spôsobom ako v nariadení (EÚ) 2016/679 (pozri odôvodnenie 23). Podľa článku 9 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov je spracúvanie osobitných kategórií údajov v zásade zakázané, ak sa neuplatňuje osobitná výnimka.

(29) Týmito výnimkami (uvedenými v článku 9 ods. 2 a 3 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov) sa oproti výnimkám uvedeným v článku 9 ods. 2 a 3 nariadenia (EÚ) 2016/679 nezavádzajú podstatné zmeny. Pokiaľ dotknutá osoba nevyjadrila výslovný súhlas so spracúvaním týchto osobných údajov, spracúvanie osobitných kategórií osobných údajov je povolené len za osobitných a obmedzených okolností. Vo väčšine prípadov musí byť spracúvanie citlivých údajov nevyhnutné na konkrétny účel vymedzený v príslušnom ustanovení [pozri článok 9 ods. 2 písm. b), c), f), g), h), i) a j)].

(30) Okrem toho, ak sa výnimkou podľa článku 9 ods. 2 všeobecného nariadenia o ochrane údajov vyžaduje povolenie prostredníctvom právneho predpisu alebo odkazuje na verejný záujem, v § 10 zákona o ochrane údajov z roku 2018, ako aj v prílohe 1 k zákonu o ochrane údajov z roku 2018 sa ďalej stanovuje, že podmienky musia byť splnené, aby sa mohli uplatniť výnimky. Napríklad v prípade spracúvania citlivých údajov na ochranu „verejného zdravia“ [§ 9 ods. 2 písm. i) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov] sa v časti 1 bode 3 písm. b) prílohy 1 vyžaduje, aby sa takéto spracúvanie okrem toho, že sa musí overiť jeho nevyhnutnosť, vykonávalo „zdravotníckym pracovníkom alebo na jeho zodpovednosť“ alebo „inou osobou, ktorá má povinnosť zachovávať dôvernosť na základe zákonného ustanovenia alebo právnej normy“ vrátane povinnosti zachovávať dôvernosť podľa zavedeného common law.

(31) V prípade, že sa citlivé údaje spracúvajú z dôvodov významného verejného záujmu [(článok 9 ods. 2 písm. g) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov], v časti 2 prílohy 1 k zákonu o ochrane údajov z roku 2018 sa uvádza podrobný zoznam účelov, ktoré možno považovať za dôvody významného verejného záujmu, a stanovujú sa v nej dodatočné podmienky pre každý z týchto účelov. Za významný verejný záujem sa napríklad uznáva podpora rasovej a etnickej rozmanitosti na vyšších úrovniach organizácií. Spracúvanie citlivých údajov na tento konkrétny účel podlieha podrobným požiadavkám vrátane toho, aby sa spracúvanie vykonávalo ako súčasť procesu identifikácie vhodných jednotlivcov na vyššie pozície, bolo nevyhnutné na podporu rasovej a etnickej rozmanitosti a nebolo pravdepodobné, že spôsobí dotknutej osobe významnú škodu alebo významné ťažkosti.

(32) V § 11 ods. 1 zákona o ochrane údajov z roku 2018 sa stanovujú podmienky spracúvania osobných údajov za okolností uvedených v článku 9 ods. 3 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, ktorý súvisí s povinnosťou zachovávať mlčanlivosť. Patria sem aj okolnosti, za ktorých sa spracúvanie vykonáva zdravotníckym alebo sociálnym pracovníkom alebo na jeho zodpovednosť, alebo inou osobou, ktorá má na základe zákonného ustanovenia alebo právnej normy povinnosť zachovávať dôvernosť za daných okolností.

(33) Navyše si mnoho výnimiek uvedených v článku 9 ods. 2 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov vyžaduje vhodné a osobitné záruky, aby sa mohli uplatniť. V závislosti od povahy spracúvania a úrovne rizika pre práva a slobody dotknutých osôb sa v podmienkach spracúvania stanovených v prílohe 1 k zákonu o ochrane údajov z roku 2018 uvádzajú rôzne záruky. V prílohe 1 sa stanovujú podmienky každej príslušnej situácie spracúvania.

(34) V niektorých prípadoch sa zákonom o ochrane údajov z roku 2018 upravuje a obmedzuje typ citlivých údajov, ktoré sa môžu spracúvať v záujme konkrétneho právneho základu, ktorý sa má dodržať. Napríklad v bode 8 prílohy 1 sa povoľuje spracúvanie citlivých údajov na účel podpory rovnosti príležitostí alebo rovnakého zaobchádzania. Táto podmienka spracúvania sa môže uplatniť len vtedy, ak údaje odhaľujú rasový alebo etnický pôvod, náboženské alebo filozofické presvedčenie, sexuálnu orientáciu alebo ide o údaje týkajúce sa zdravia.

(35) V niektorých prípadoch sa zákonom o ochrane údajov z roku 2018 obmedzuje typ prevádzkovateľa, ktorý môže uplatniť podmienku spracúvania. Napríklad v bode 23 prílohy 1 sa stanovuje spracúvanie citlivých údajov vo vzťahu k odpovediam volených zástupcov určeným verejnosti. Táto podmienka spracúvania sa môže uplatniť len vtedy, ak je prevádzkovateľ voleným zástupcom alebo koná na základe jeho poverenia.

(36) V niektorých prípadoch sa v zákone o ochrane údajov z roku 2018 stanovujú obmedzenia kategórií dotknutých osôb na účely podmienky spracúvania, ktorá sa má uplatniť. Napríklad v bode 21 prílohy 1 sa upravuje spracúvanie citlivých údajov v súvislosti so zamestnaneckými dôchodkovými systémami. Táto podmienka sa môže uplatniť len vtedy, ak je daná dotknutá osoba súrodencom, rodičom, starým rodičom alebo prastarým rodičom člena systému.

(37) Okrem toho, ak sa vychádza z výnimiek uvedených v článku 9 ods. 2 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, ktoré sú bližšie špecifikované v § 10 zákona o ochrane údajov z roku 2018, ako aj v prílohe 1 k zákonu o ochrane údajov z roku 2018, od prevádzkovateľa sa vo väčšine prípadov vyžaduje, aby vypracoval „riadny dokument stanovujúci politiku spracúvania“. Musia sa v ňom uviesť postupy prevádzkovateľa na zabezpečenie dodržiavania zásad stanovených v článku 5 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov. Musia sa v ňom stanoviť aj politiky uchovávania a vymazávania, pričom sa uvedie pravdepodobné obdobie uchovávania. Prevádzkovatelia musia tento dokument podľa potreby preskúmať a aktualizovať. Prevádzkovateľ musí dokument stanovujúci politiku uchovávať šesť mesiacov po ukončení spracúvania a na požiadanie ho musí sprístupniť Komisárovi pre informácie (41).

(38) Podľa bodu 41 prílohy 1 k zákonu o ochrane údajov z roku 2018 dokument stanovujúci politiku musí vždy sprevádzať rozšírený záznam o spracúvaní. V tomto zázname musia byť poznačené záväzky zahrnuté v dokumente stanovujúcom politiku, t. j. či sa údaje mažú alebo uchovávajú v súlade s politikami. Ak sa politiky nedodržiavajú, v logu musia byť zaznamenané dôvody. V zázname sa musí takisto uviesť, ako spracúvanie spĺňa ustanovenia článku 6 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov (zákonnosť spracúvania) a osobitnú podmienku uvedenú v prílohe 1 k zákonu o ochrane údajov z roku 2018, z ktorej vychádza.

(39) Napokon sa vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov rovnako ako v nariadení (EÚ) 2016/679 stanovujú aj všeobecné záruky pre určité spracovateľské operácie osobitných kategórií údajov. Článkom 35 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sa vyžaduje posúdenie vplyvu na ochranu údajov, ak sa spracúvajú osobitné kategórie údajov vo veľkom rozsahu. Prevádzkovateľ alebo sprostredkovateľ musí podľa článku 37 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov určiť zodpovednú osobu, ak spracúvanie osobitných kategórií údajov vo veľkom rozsahu predstavuje jeho hlavné činnosti.

(40) Pokiaľ ide o osobné údaje týkajúce sa uznania viny za trestné činy a priestupky, článok 10 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov je totožný s článkom 10 nariadenia (EÚ) 2016/679. Umožňuje sa ním spracúvanie osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky len pod kontrolou orgánu verejnej moci alebo ak je spracúvanie povolené vnútroštátnym právom poskytujúcim primerané záruky ochrany práv a slobôd dotknutých osôb.

(41) Ak sa spracúvanie údajov týkajúcich sa uznania viny za trestné činy a priestupky nevykonáva pod kontrolou orgánu verejnej moci, v § 10 ods. 5 zákona o ochrane údajov z roku 2018 sa stanovuje, že takéto spracúvanie sa môže uskutočniť len na konkrétne účely/v osobitných situáciách stanovených v častiach 1, 2 a 3 prílohy 1 k zákonu o ochrane údajov z roku 2018 a podlieha osobitným požiadavkám, ktoré sú stanovené na každý z týchto účelov/pre každú z týchto situácií. Napríklad neziskové subjekty môžu spracúvať údaje týkajúce sa uznania viny za trestné činy, ak spracúvanie vykonáva a) v rámci svojej zákonnej činnosti s primeranými zárukami nadácia, združenie alebo akýkoľvek iný neziskový subjekt s politickým, filozofickým, náboženským alebo odborárskym zameraním a b) pod podmienkou, že i) spracúvanie sa týka výlučne členov alebo bývalých členov subjektu, alebo osôb, ktoré s ním majú pravidelný kontakt v súvislosti s jeho cieľmi, a že ii) bez súhlasu dotknutej osoby sa osobné údaje neposkytnú mimo tohto subjektu.

(42) Okrem toho sa v časti 3 prílohy 1 k zákonu o ochrane údajov z roku 2018 stanovujú ďalšie okolnosti, za ktorých sa môžu použiť údaje týkajúce sa uznania viny za trestné činy, ktoré zodpovedajú právnym dôvodom na spracúvanie citlivých údajov uvedeným v článku 9 ods. 2 nariadenia (EÚ) 2016/679 a všeobecného nariadenia Spojeného kráľovstva o ochrane údajov (napr. súhlas dotknutej osoby, životne dôležité záujmy jednotlivca, ak dotknutá osoba nie je právne alebo fyzicky spôsobilá vyjadriť svoj súhlas, ak údaje už preukázateľne zverejnila dotknutá osoba, ak je spracúvanie nevyhnutné na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov atď.).

2.5.3. Obmedzenie účelu, správnosť, minimalizácia údajov, minimalizácia uchovávania a bezpečnosť údajov

(43) Osobné údaje by sa mali spracúvať na konkrétny účel a následne by sa mali používať len pokiaľ to nie je nezlučiteľné s daným účelom spracúvania.

(44) Táto zásada sa stanovuje v článku 5 ods. 1 písm. b) nariadenia (EÚ) 2016/679 a v článku 5 ods. 1 písm. b) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sa ponecháva bez zmien. Podmienky ďalšieho zlučiteľného spracúvania podľa článku 6 ods. 4 nariadenia (EÚ) 2016/679 sa takisto ponechávajú v článku 6 ods. 4 písm. a) až e) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov bez podstatných zmien.

(45) Údaje by takisto mali byť správne a v prípade potreby sa mali aktualizovať. Mali by byť aj primerané, relevantné a nie nadmerné vzhľadom na účely, na ktoré sa spracúvajú, a v zásade by sa nemali uchovávať dlhšie, ako je nevyhnutné na účely, na ktoré sa osobné údaje spracúvajú.

(46) Tieto zásady minimalizácie údajov, správnosti a minimalizácie uchovávania sú stanovené v článku 5 ods. 1 písm. c) až e) nariadenia (EÚ) 2016/679 a v článku 5 ods. 1 písm. c) až e) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sa ponechávajú bez zmien.

(47) Osobné údaje by sa navyše mali spracúvať spôsobom, ktorým sa zaručí ich bezpečnosť vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením. Na tento účel by podnikateľské subjekty mali prijať vhodné technické alebo organizačné opatrenia na ochranu osobných údajov pred možnými hrozbami. Tieto opatrenia by sa mali posudzovať s prihliadnutím na stav techniky a súvisiace náklady.

(48) Bezpečnosť údajov sa zakotvuje v práve Spojeného kráľovstva prostredníctvom zásady integrity a dôvernosti uvedenej v článku 5 ods. 1 písm. f) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov a v článku 32 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, ktorý sa týka bezpečnosti spracúvania. Tieto ustanovenia sú totožné s príslušnými ustanoveniami nariadenia (EÚ) 2016/679. Navyše za rovnakých podmienok, ako sú podmienky stanovené v článkoch 33 a 34 nariadenia (EÚ) 2016/679, sa vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov vyžaduje oznámenie porušenia ochrany osobných údajov dozornému orgánu (článok 33 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov) a oznámenie porušenia ochrany osobných údajov dotknutej osobe (článok 34 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov).

2.5.4. Transparentnosť

(49) Dotknuté osoby by mali byť informované o hlavných znakoch spracúvania ich osobných údajov.

(50) Zabezpečuje sa to článkami 13 a 14 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, v ktorých sa okrem všeobecnej zásady transparentnosti stanovujú pravidlá o informáciách, ktoré sa majú poskytnúť dotknutej osobe (42). Vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov sa neuvádzajú podstatné zmeny týchto pravidiel oproti príslušným článkom nariadenia (EÚ) 2016/679. Požiadavky na transparentnosť uvedené v týchto článkoch však rovnako ako v nariadení (EÚ) 2016/679 podliehajú niekoľkým výnimkám stanoveným v zákone o ochrane údajov z roku 2018 (pozri odôvodnenia 55 až 72).

2.5.5. Individuálne práva

(51) Dotknuté osoby by mali mať určité práva, ktoré možno uplatniť voči prevádzkovateľovi alebo sprostredkovateľovi, najmä právo na prístup k údajom, právo namietať proti spracúvaniu a právo na opravu a vymazanie údajov. Tieto práva môžu zároveň podliehať obmedzeniam, pokiaľ sú tieto obmedzenia nevyhnutné a primerané vzhľadom na zabezpečenie verejnej bezpečnosti alebo iných dôležitých cieľov všeobecného verejného záujmu.

2.5.5.1. Hmotné práva

(52) Vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov sa jednotlivcom priznávajú rovnaké vymáhateľné práva ako v nariadení (EÚ) 2016/679. Ustanovenia, v ktorých sa uvádzajú práva jednotlivcov, sa vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov ponechali bez podstatných úprav.

(53) Medzi tieto práva patrí právo dotknutej osoby na prístup k údajom (článok 15 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov), právo na opravu (článok 16 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov), právo na vymazanie (článok 17 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov), právo na obmedzenie spracúvania (článok 18 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov), oznamovacia povinnosť v súvislosti s opravou alebo vymazaním osobných údajov alebo obmedzením spracúvania (článok 19 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov), právo na prenosnosť údajov (článok 20 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov) a právo namietať (článok 21 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov) (43). Právo namietať zahŕňa aj právo dotknutej osoby namietať proti spracúvaniu osobných údajov na účel priameho marketingu, ako sa stanovuje v článku 21 ods. 2 a 3 nariadenia (EÚ) 2016/679. Okrem toho podľa § 122 zákona o ochrane údajov z roku 2018 Komisár pre informácie musí vypracovať kódex postupov vo vzťahu k vykonávaniu priameho marketingu v súlade s požiadavkami právnych predpisov o ochrane údajov [a právnych predpisov o súkromí a elektronických komunikáciách (podľa smernice ES) z roku 2003] a ďalšie takéto usmernenia na podporu osvedčených postupov v priamom marketingu, ktoré Komisár považuje za primerané. Úrad Komisára pre informácie v súčasnosti vypracúva kódex v oblasti priameho marketingu (44).

(54) Právo dotknutej osoby, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní a ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú, stanovené v článku 22 všeobecného nariadenia o ochrane údajov sa takisto ponechalo vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov bez podstatných zmien. V § 14 zákona o ochrane údajov z roku 2018 sa však dopĺňa nový § 3A, v ktorom sa stanovujú záruky pre práva, slobody a oprávnené záujmy dotknutých osôb, ak sa spracúvanie vykonáva podľa článku 22 ods. 2 písm. b) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov. Uplatňuje sa to len vtedy, ak je základom takéhoto rozhodnutia povolenie alebo požiadavka podľa práva Spojeného kráľovstva, a neuplatňuje sa, ak je rozhodnutie nevyhnutné podľa zmluvy alebo je prijaté s výslovným súhlasom dotknutej osoby. Ak sa § 14 zákona o ochrane údajov z roku 2018 uplatňuje, prevádzkovateľ musí čo najskôr písomne oznámiť dotknutej osobe, že sa prijalo rozhodnutie založené výlučne na automatizovanom spracúvaní. Dotknutá osoba má právo požadovať, aby prevádzkovateľ do jedného mesiaca od prijatia oznámenia prehodnotil rozhodnutie, alebo aby prijal nové rozhodnutie, ktoré nie je založené výlučne na automatizovanom spracúvaní. Pokiaľ ide o automatizované rozhodovanie, minister je oprávnený prijať ďalšie záruky. Táto právomoc sa ešte neuplatnila.

2.5.5.2. Obmedzenia individuálnych práv a ďalšie ustanovenia

(55) V zákone o ochrane údajov z roku 2018 sa stanovuje niekoľko obmedzení individuálnych práv, ktoré patria do rámca pôsobnosti článku 23 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov. V tomto rámci sa nezavádzajú žiadne obmedzenia týkajúce sa práva namietať proti priamemu marketingu, ako sa stanovuje v článku 21 ods. 2 a 3 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, ani práva nepodliehať automatizovanému rozhodovaniu, ako sa stanovuje v článku 22 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov.

(56) Obmedzenia sú podrobne uvedené v prílohách 2 až 4 k zákonu o ochrane údajov z roku 2018. Orgány Spojeného kráľovstva vysvetlili, že sa riadia dvomi zásadami: zásada špecifickosti (zavedenie podrobného prístupu, rozdelenie všeobecných obmedzení na viaceré konkrétnejšie ustanovenia) a zásada podmienenosti (každé ustanovenie je doplnené zárukami vo forme obmedzení alebo podmienok s cieľom zabrániť zneužitiu) (45).

(57) Obmedzenia uvedené v článku 23 ods. 1 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sú navrhnuté tak, aby sa zabezpečilo ich uplatňovanie iba za špecifických okolností, ak sú nevyhnutné v demokratickej spoločnosti a primerané oprávnenému cieľu, ktorý sledujú. Okrem toho sa v súlade s ustálenou judikatúrou o výklade obmedzení výnimka z režimu ochrany údajov môže uplatniť len v každom konkrétnom prípade, keď je to nevyhnutné a primerané (46). Vyžaduje sa, aby overenie nevyhnutnosti bolo „prísne s požiadavkou, aby akýkoľvek zásah do práv dotknutej osoby bol primeraný závažnosti ohrozenia verejného záujmu. Jeho vykonanie si preto vyžaduje klasickú analýzu proporcionality (47)“.

(58) Ciele sledované týmito obmedzeniami zodpovedajú cieľom uvedeným v článku 23 nariadenia (EÚ) 2016/679 s výnimkou obmedzení národnej bezpečnosti a obrany, ktoré sú namiesto toho upravené § 26 zákona o ochrane údajov z roku 2018, ale podliehajú rovnakým požiadavkám nevyhnutnosti a proporcionality (pozri odôvodnenia 63 až 66).

(59) Niektoré z obmedzení, napríklad obmedzenia súvisiace s predchádzaním trestnej činnosti alebo jej odhaľovaním, so zadržaním alebo s trestným stíhaním páchateľov a posúdením alebo výberom dane alebo cla (48), umožňujú obmedziť všetky individuálne práva a povinnosti týkajúce sa transparentnosti (s výnimkou práv podľa článku 21 ods. 2 a článku 22). Rozsah ďalších obmedzení sa vzťahuje na povinnosti týkajúce sa transparentnosti a prístupové práva, ako sú obmedzenia súvisiace s dôvernosťou komunikácie medzi advokátom a jeho klientom (49), právom na oslobodenie od povinnosti poskytovať informácie, ktoré by viedli k výpovedi vo vlastný neprospech (50), a podnikovým financovaním, najmä s predchádzaním obchodovaniu s využitím dôverných informácií (51). Niekoľko obmedzení umožňuje obmedziť povinnosť prevádzkovateľa oznámiť porušenie ochrany údajov dotknutej osobe a zásady obmedzenia účelu a zákonnosti, spravodlivosti a transparentnosti spracúvania (52).

(60) Niektoré obmedzenia sa automaticky uplatňujú „v plnej miere“ na určité typy spracúvania osobných údajov (napríklad uplatňovanie povinností týkajúcich sa transparentnosti a individuálnych práv sa vylučuje, ak sa osobné údaje spracúvajú na účely posúdenia vhodnosti osoby na funkciu sudcu alebo osobné údaje spracúva súd, tribunál alebo jednotlivec pri výkone súdnej právomoci).

(61) Vo väčšine prípadov sa však v príslušnom bode prílohy 2 k zákonu o ochrane údajov z roku 2018 uvádza, že obmedzenie sa uplatňuje len vtedy, ak (a v takom rozsahu, v akom) by uplatňovanie ustanovení „mohlo poškodiť“ oprávnený cieľ sledovaný týmto obmedzením: napríklad uvedené ustanovenia všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sa nevzťahujú na osobné údaje spracúvané na účely predchádzania trestnej činnosti alebo jej odhaľovania, zadržania alebo trestného stíhania páchateľov, posúdenia alebo výberu dane alebo cla „v rozsahu, v akom by uplatňovanie týchto ustanovení mohlo poškodiť“ ktorúkoľvek z uvedených činností (53).

(62) Súdy Spojeného kráľovstva konzistentne vykladajú zásadu „by mohlo poškodiť“ ako „veľmi vysokú a vážnu pravdepodobnosť poškodenia identifikovaných verejných záujmov (54)“. Obmedzenie, na ktoré sa vzťahuje overenie kritéria poškodenia, preto možno uplatniť len vtedy a v takom rozsahu, pokiaľ existuje veľmi vysoká a vážna pravdepodobnosť, že by priznanie určitého práva poškodilo príslušný verejný záujem. Prevádzkovateľ je zodpovedný za posúdenie jednotlivých prípadov, či sú tieto podmienky splnené (55).

(63) Okrem obmedzení uvedených v prílohe 2 k zákonu o ochrane údajov z roku 2018 je v § 26 toho istého zákona uvedená výnimka, ktorá sa môže uplatňovať na určité ustanovenia všeobecného nariadenia Spojeného kráľovstva o ochrane údajov a zákona o ochrane údajov z roku 2018, ak sa tá výnimka vyžaduje na účely ochrany národnej bezpečnosti alebo na účely obrany. Táto výnimka sa vzťahuje na zásady ochrany údajov (okrem zásady zákonnosti), na povinnosti týkajúce sa transparentnosti, práva dotknutej osoby, povinnosť oznámiť porušenie ochrany údajov, pravidlá pre medzinárodné prenosy, niektoré povinnosti a právomoci Komisára pre informácie a na pravidlá pre prostriedky nápravy, záväzky a sankcie s výnimkou ustanovenia o všeobecných podmienkach ukladania správnych pokút, ktoré sú uvedené v článku 83 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, a ustanovenia o sankciách v článku 84 toho istého nariadenia. Okrem toho sa v § 28 zákona o ochrane údajov z roku 2018 upravuje uplatnenie článku 9 ods. 1 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, aby sa umožnilo spracúvanie osobitných kategórií údajov podľa tohto článku, pokiaľ sa spracúvanie vykonáva na účely ochrany národnej bezpečnosti alebo na účely obrany a s primeranými zárukami v súvislosti s právami a slobodami dotknutých osôb (56).

(64) Výnimka sa môže uplatňovať, iba ak sa to vyžaduje na účely ochrany národnej bezpečnosti alebo obrany. Keďže sa to týka aj ďalších výnimiek, ktoré umožňuje zákon o ochrane údajov z roku 2018, prevádzkovateľ ich musí posudzovať a uplatňovať podľa jednotlivých prípadov. Okrem toho každé uplatnenie výnimky musí byť v súlade s normami v oblasti ľudských práv (na základe zákona o ľudských právach z roku 1998), podľa ktorých akýkoľvek zásah do práv na súkromie by mal byť v demokratickej spoločnosti nevyhnutný a primeraný (57).

(65) Tento výklad výnimky potvrdil Komisár pre informácie, ktorý vydal podrobné usmernenie k uplatňovaniu výnimky týkajúcej sa národnej bezpečnosti a obrany, pričom objasnil, že prevádzkovateľ ju musí posudzovať a uplatňovať podľa jednotlivých prípadov (58). V usmernení sa zdôrazňuje najmä to, že „toto nie je paušálna výnimka“ a na jej uplatnenie „nestačí, aby sa údaje spracúvali na účely národnej bezpečnosti“. Na druhej strane prevádzkovateľ, ktorý sa na ňu odvoláva, musí „preukázať, že existuje skutočná možnosť nepriaznivých dôsledkov na národnú bezpečnosť“, a v prípade potreby sa od prevádzkovateľa očakáva, že „poskytne [Komisárovi pre informácie] dôkaz, prečo túto výnimku uplatnil“. Usmernenie obsahuje kontrolný zoznam a viacero príkladov na ďalšie objasnenie podmienok, za ktorých je možné odvolať sa na túto výnimku.

(66) Skutočnosť, že údaje sa spracúvajú na účely národnej bezpečnosti alebo obrany, sama osebe nepostačuje na uplatnenie výnimky. Prevádzkovateľ musí posúdiť skutočné dôsledky pre národnú bezpečnosť, ak to musí byť v súlade s konkrétnym ustanovením o ochrane údajov. Výnimka sa môže uplatniť iba na tie konkrétne ustanovenia, o ktorých sa zistilo, že predstavujú riziko a musia sa uplatňovať tak obmedzene, ako je to možné (59).

(67) Tento prístup potvrdil tribunál pre informácie (Information Tribunal) (60). Vo veci Baker/Secretary of State for the Home Department (ďalej len „Baker/Secretary of State“) rozhodol, že bolo nezákonné uplatniť výnimku týkajúcu sa národnej bezpečnosti ako paušálnu výnimku pre žiadosti o prístup, ktoré dostanú spravodajské služby. Namiesto toho sa výnimka mala uplatňovať v jednotlivých prípadoch, pričom sa mala preskúmať podstata každej žiadosti, a to aj s ohľadom na práva jednotlivcov na rešpektovanie ich súkromného života (61).

2.5.6. Obmedzenia pre osobné údaje spracúvané na žurnalistické, umelecké, akademické a literárne účely, ako aj na archiváciu a výskum

(68) V článku 85 ods. 2 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sa umožňuje vyňatie osobných údajov spracúvaných na žurnalistické, umelecké, akademické a literárne účely z viacerých ustanovení uvedeného nariadenia. V časti 5 prílohy 2 k zákonu o ochrane údajov z roku 2018 sú stanovené výnimky pre spracúvanie údajov na tieto účely. Možné sú výnimky zo zásad ochrany údajov (okrem zásady integrity a dôvernosti), z právneho základu pre spracúvanie údajov (vrátane osobitných kategórií údajov a údajov týkajúcich sa uznania viny za trestné činy atď.), podmienok vyjadrenia súhlasu, povinností týkajúcich sa transparentnosti, práv dotknutej osoby, povinnosti oznámiť porušenie ochrany údajov, a požiadavky na konzultáciu s Komisárom pre informácie pred začatím vysokorizikového spracúvania údajov a pravidiel pre medzinárodné prenosy (62). V tejto súvislosti sa všeobecné nariadenie Spojeného kráľovstva o ochrane údajov neodchyľuje zásadným spôsobom od nariadenia (EÚ) 2016/679, v ktorého článku 85 sa takisto stanovuje možnosť vyňať spracúvanie údajov vykonávané na žurnalistické účely alebo na účely akademickej, umeleckej alebo literárnej tvorby z viacerých požiadaviek stanovených v nariadení (EÚ) 2016/679. Ustanovenia v zákone o ochrane údajov z roku 2018, najmä v časti 5 prílohy 2, sú zlučiteľné so všeobecným nariadením Spojeného kráľovstva o ochrane údajov.

(69) Základné vyváženie, ktoré sa má vykonať podľa článku 85 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, sa týka zistenia, či výnimka z pravidiel ochrany údajov uvedená v odôvodnení 68 je „nevyhnutná na zosúladenie práva na ochranu osobných údajov so slobodou prejavu a právom na informácie“ (63). Podľa bodu 26 ods. 2 a 3 prílohy 2 k zákonu o ochrane údajov z roku 2018 uplatňuje Spojené kráľovstvo kritérium „odôvodneného presvedčenia“ s cieľom dosiahnuť toto vyváženie. Aby bola výnimka odôvodnená, musí byť prevádzkovateľ odôvodnene presvedčený, že i) toto zverejnenie je vo verejnom záujme a ii) uplatnenie príslušného ustanovenia všeobecného nariadenia o ochrane údajov by bolo nezlučiteľné so žurnalistickými, s akademickými, umeleckými a literárnymi účelmi. Ako potvrdzuje judikatúra (64), kritérium „odôvodneného presvedčenia“ má subjektívnu a objektívnu zložku: je nedostatočné, aby prevádzkovateľ preukázal, že on sám je presvedčený o nemožnosti dosiahnuť súlad. Jeho presvedčenie musí byť odôvodnené, teda aby o tom mohol byť presvedčený aj rozumný človek, ktorý pozná príslušné fakty. Prevádzkovateľ musí preto pri vytváraní svojho presvedčenia vykonať hĺbkovú analýzu, aby mohol preukázať jeho odôvodnenosť. Podľa vysvetlení, ktoré poskytli orgány Spojeného kráľovstva, overenie kritéria „odôvodneného presvedčenia“ sa musí vykonať pri každej posudzovanej výnimke (65). Ak sú podmienky splnené, výnimka sa považuje za nevyhnutnú a primeranú podľa právneho poriadku Spojeného kráľovstva.

(70) Podľa § 124 zákona o ochrane údajov z roku 2018 má Komisár pre informácie vypracovať Kódex postupov pre ochranu údajov a žurnalistiku. Práca na tomto kódexe prebieha. Na základe zákona o ochrane údajov z roku 1998 bolo už vydané usmernenie pre túto oblasť, v ktorom sa predovšetkým zdôrazňuje, že aby bolo možné uplatniť danú výnimku, nestačí len vyhlásiť, že súlad s príslušným ustanovením by bol prekážkou pre činnosť žurnalistov, ale musí sa uviesť jednoznačný argument, že príslušné ustanovenie predstavuje prekážku pre zodpovednú žurnalistiku (66). Usmernenie týkajúce sa uplatňovania kritéria verejného záujmu a vyvažovania verejného záujmu so záujmom jednotlivca o súkromie uverejnil aj telekomunikačný regulačný orgán Spojeného kráľovstva Ofcom a spoločnosť BBC v rámci svojich redakčných usmernení (67). V usmerneniach sa uvádzajú najmä príklady informácií, ktoré sa môžu považovať za informácie vo verejnom záujme, a vysvetľuje sa potreba schopnosti preukázať, že za konkrétnych okolností daného prípadu verejný záujem prevažuje nad právami na súkromie.

(71) Podobne, ako je to umožnené v článku 89 všeobecného nariadenia o ochrane údajov, aj osobné údaje, ktoré sa spracúvajú na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu alebo na štatistické účely, môžu byť vyňaté z viacerých uvedených ustanovení všeobecného nariadenia Spojeného kráľovstva o ochrane údajov (68). Pokiaľ ide o výskum a štatistiku, možné sú výnimky z ustanovení všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, ktoré sa týkajú potvrdenia spracúvania údajov a prístupu k údajom a záruk v súvislosti s prenosom údajov do tretích krajín; práva na opravu; obmedzenia spracúvania údajov a výhrad voči spracúvaniu. Pokiaľ ide o archiváciu vo verejnom záujme, výnimky sú možné aj v súvislosti s oznamovacou povinnosťou týkajúcou sa opravy alebo vymazania osobných údajov, prípadne obmedzenia ich spracúvania, a v súvislosti s právom na prenosnosť údajov.

(72) Podľa bodu 27 ods. 1 a bodu 28 ods. 1 prílohy 2 k zákonu o ochrane údajov z roku 2018 sú výnimky z uvedených ustanovení všeobecného nariadenia Spojeného kráľovstva o ochrane údajov možné, ak by sa uplatnením týchto ustanovení „zabránilo dosiahnutiu“ príslušných účelov „alebo sa ich dosiahnutie závažným spôsobom sťažilo“ (69).

(73) Vzhľadom na ich význam v súvislosti s účinným uplatňovaním individuálnych práv bude akýkoľvek príslušný vývoj týkajúci sa výkladu a uplatňovania výnimiek uvedených v texte (ďalších výnimiek vrátane tej, ktorá sa týka zachovania účinnej imigračnej kontroly) v praxi, ako je vysvetlené v odôvodnení 6, vrátane akéhokoľvek ďalšieho vývoja v judikatúre a usmernení Komisára pre informácie a opatrení na presadzovanie práva, riadne zohľadnený v rámci nepretržitého monitorovania tohto rozhodnutia (70).

2.5.7. Obmedzenia týkajúce sa následných prenosov

(74) Úroveň ochrany osobných údajov prenášaných z Európskej únie prevádzkovateľom alebo sprostredkovateľom v Spojenom kráľovstve nesmie byť oslabená ďalším prenosom takýchto údajov príjemcom v tretej krajine. Takéto „následné prenosy“, ktoré z hľadiska prevádzkovateľa alebo sprostredkovateľa v Spojenom kráľovstve predstavujú medzinárodné prenosy zo Spojeného kráľovstva, by sa mali povoliť len v prípade, že ďalší príjemca mimo Spojeného kráľovstva takisto podlieha pravidlám zabezpečujúcim podobnú úroveň ochrany, aká je zaručená v právnom poriadku Spojeného kráľovstva. Z toho dôvodu je uplatňovanie pravidiel, ktoré sú stanovené vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov a v zákone o ochrane údajov z roku 2018, na medzinárodné prenosy osobných údajov dôležitým faktorom na zabezpečenie kontinuity ochrany v prípade osobných údajov prenášaných z Európskej únie do Spojeného kráľovstva podľa tohto rozhodnutia.

(75) Režim medzinárodných prenosov osobných údajov zo Spojeného kráľovstva je stanovený v článkoch 44 – 49 všeobecného nariadenia Spojeného kráľovstva o ochrane osobných údajov, je doplnený zákonom o ochrane údajov z roku 2018 a je v podstate totožný s pravidlami, ktoré sú stanovené v kapitole V nariadenia (EÚ) 2016/679 (71). Prenosy osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môžu uskutočniť iba na základe právnych predpisov o primeranosti [ekvivalent rozhodnutia o primeranosti podľa nariadenia (EÚ) 2016/679 v Spojenom kráľovstve], alebo ak sa neuplatnia právne predpisy o primeranosti, prevádzkovateľ alebo sprostredkovateľ poskytne primerané záruky v súlade s článkom 46 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov. Ak sa neuplatnia právne predpisy o primeranosti ani primerané záruky, prenos sa môže uskutočniť iba na základe výnimiek stanovených v článku 49 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov.

(76) Právne predpisy o primeranosti, ktoré prijíma minister, môžu zabezpečiť, že tretia krajina (alebo územie alebo odvetvie v tretej krajine), medzinárodná organizácia, alebo opis (72) takej krajiny, územia, odvetvia, alebo organizácie zaručí primeranú úroveň ochrany osobných údajov. Pri posudzovaní primeranosti úrovne ochrany musí minister zohľadniť presne tie isté prvky, ktorých posúdenie Komisiou sa vyžaduje v článku 45 ods. 2 písm. a) až c) nariadenia (EÚ) 2016/679, vykladanom spoločne s odôvodnením 104 nariadenia (EÚ) 2016/679 a s ponechanou judikatúrou EÚ. To znamená, že príslušnou normou pri posudzovaní primeranej úrovne ochrany tretej krajiny bude, či dotknutá tretia krajina zaručuje úroveň ochrany, ktorá „v zásade zodpovedá“ úrovni zabezpečenej v rámci Spojeného kráľovstva.

(77) Pokiaľ ide o postup, na právne predpisy o primeranosti sa vzťahujú „všeobecné“ procedurálne požiadavky stanovené v § 182 zákona o ochrane údajov z roku 2018. V rámci tohto postupu musí pri navrhovaní prijatia budúcich právnych predpisov Spojeného kráľovstva o primeranosti minister konzultovať s Komisárom pre informácie (73). Po prijatí ministrom sa tieto právne predpisy predkladajú parlamentu a podliehajú postupu „negatívneho uznesenia“, na základe ktorého môžu obe snemovne parlamentu preskúmať príslušné právne predpisy a v rámci 40-dňovej lehoty predložiť návrh na zrušenie týchto právnych predpisov (74).

(78) Podľa § 17 B ods. 1 zákona o ochrane údajov z roku 2018 sa právne predpisy o primeranosti musia preskúmavať v intervaloch najviac štyroch rokov a minister musí priebežne monitorovať vývoj v tretích krajinách a medzinárodných organizáciách, ktorý by mohol ovplyvniť rozhodnutia o právnych predpisoch o primeranosti alebo ich zmeniť. Ak minister zistí, že krajina alebo organizácia už nezabezpečuje primeranú úroveň ochrany osobných údajov, musí v potrebnom rozsahu zmeniť alebo zrušiť tieto právne predpisy a začať konzultácie s dotknutou treťou krajinou alebo medzinárodnou organizáciou s cieľom napraviť nedostatok primeranej úrovne ochrany. Tieto procedurálne aspekty odrážajú aj zodpovedajúce požiadavky v nariadení (EÚ) 2016/679.

(79) Ak neexistujú právne predpisy o primeranosti, medzinárodné prenosy údajov sa môžu uskutočniť, ak prevádzkovateľ alebo sprostredkovateľ poskytne primerané záruky v súlade s článkom 46 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov. Tieto záruky sú podobné zárukám stanoveným v článku 46 nariadenia (EÚ) 2016/679. Zahŕňajú právne záväzné a vykonateľné nástroje medzi orgánmi verejnej moci alebo verejnoprávnymi subjektmi, záväzné vnútropodnikové pravidlá (75), štandardné doložky o ochrane údajov, schválené kódexy správania, schválené certifikačné mechanizmy a s povolením Komisára pre informácie zmluvné doložky medzi prevádzkovateľmi (alebo sprostredkovateľmi) alebo administratívne dojednania medzi orgánmi verejnej moci. Pravidlá však boli upravované z procedurálneho hľadiska, aby fungovali v rámci Spojeného kráľovstva, predovšetkým štandardné doložky o ochrane údajov môže prijať minister (§ 17C) alebo Komisár pre informácie (§ 119A) v súlade so zákonom o ochrane údajov z roku 2018.

(80) Ak sa neuplatní rozhodnutie o primeranosti ani primerané záruky, prenos sa môže uskutočniť iba na základe výnimiek stanovených v článku 49 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov (76). V rámci všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sa nezavádzajú žiadne podstatné zmeny týkajúce sa výnimiek v porovnaní so zodpovedajúcimi pravidlami v nariadení (EÚ) 2016/679. Podľa všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sa rovnako ako podľa nariadenia (EÚ) 2016/679 určité výnimky dajú uplatniť, iba ak je prenos občasný (77). Komisár pre informácie okrem toho vo svojom usmernení k medzinárodným prenosom údajov objasňuje, že: „Mali by ste ich využívať iba ako skutočné „výnimky“ zo všeobecného pravidla, že sa nemá robiť obmedzený prenos, pokiaľ nie je zabezpečený rozhodnutím o primeranosti alebo pokiaľ nie sú poskytnuté primerané záruky (78).“ Pokiaľ ide o prenosy, ktoré sú nevyhnutné z dôležitých dôvodov verejného záujmu [článok 49 ods. 1 písm. d)], minister môže prostredníctvom predpisov špecifikovať okolnosti, za ktorých nie je prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii potrebný z dôležitých dôvodov verejného záujmu. Minister okrem toho môže prostredníctvom predpisov obmedziť prenos určitej kategórie osobných údajov do tretej krajiny alebo medzinárodnej organizácii, ak sa prenos nedá uskutočniť na základe právnych predpisov o primeranosti a minister považuje obmedzenie za nevyhnutné z dôležitých dôvodov verejného záujmu. Žiadne také predpisy zatiaľ neboli prijaté.

(81) Tento rámec pre medzinárodné prenosy údajov sa začal uplatňovať na konci prechodného obdobia (79). V bode 4 prílohy 21 k zákonu o ochrane údajov z roku 2018 [zavedenému právnymi predpismi o ochrane údajov, súkromí a elektronických komunikáciách (zmeny atď.) (vystúpenie z EÚ)] je však stanovené, že od konca prechodného obdobia sa s určitými prenosmi osobných údajov zaobchádza tak, ako keby boli založené na právnych predpisoch o primeranosti. Medzi takéto prenosy patria prenosy do štátu Európskeho hospodárskeho priestoru (EHP), na územie Gibraltáru, inštitúcie, orgánu, úradu alebo agentúry Únie, ktoré boli zriadené prostredníctvom alebo na základe Zmluvy o EÚ, a do tretích krajín, na ktoré sa na konci prechodného obdobia vzťahuje rozhodnutie EÚ o primeranosti. Prenosy do týchto krajín preto môžu pokračovať rovnako ako pred vystúpením Spojeného kráľovstva z EÚ. Po skončení prechodného obdobia musí minister preskúmať zistenia primeranosti do 4 rokov, t. j. do konca decembra 2024. Podľa vysvetlenia, ktoré poskytli orgány Spojeného kráľovstva, hoci minister musí vykonať takéto preskúmanie do konca decembra 2024, prechodné ustanovenia neobsahujú ustanovenie o ukončení platnosti, to znamená, že ak sa preskúmanie neukončí do konca decembra 2024, príslušné prechodné ustanovenia automaticky neprestanú platiť.

(82) Napokon, pokiaľ ide o budúci vývoj režimu medzinárodných prenosov Spojeného kráľovstva – prostredníctvom prijatia nových právnych predpisov o primeranosti, uzavretia medzinárodných dohôd alebo vývoja iných mechanizmov prenosu – Komisia bude situáciu pozorne monitorovať, posúdi, či sa rôzne mechanizmy prenosu používajú spôsobom, ktorý zabezpečuje kontinuitu ochrany, a ak je to nevyhnutné, prijme vhodné opatrenia na riešenie možných nepriaznivých dôsledkov na takú kontinuitu (pozri odôvodnenia 278 až 287). Keďže EÚ a Spojené kráľovstvo majú pre medzinárodné prenosy podobné pravidlá, očakáva sa, že problematickým rozdielom by sa mohlo vyhnúť prostredníctvom spolupráce, výmeny informácií a výmeny skúseností vrátane výmen medzi Komisárom pre informácie a Európskym výborom pre ochranu údajov.

2.5.8. Zodpovednosť

(83) Podľa zásady zodpovednosti sa od subjektov, ktoré spracúvajú údaje, vyžaduje, aby zaviedli vhodné technické a organizačné opatrenia v záujme účinného dodržiavania svojich povinností v oblasti ochrany údajov a aby vedeli takéto dodržiavanie preukázať, najmä príslušnému dozornému orgánu.

(84) Zásada zodpovednosti stanovená v nariadení (EÚ) 2016/679 bola ponechaná v článku 5 ods. 2 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov bez podstatnej zmeny a to isté platí pre článok 24 o zodpovednosti prevádzkovateľa, článok 25 o špecificky navrhnutej a štandardnej ochrane údajov a článok 30 o záznamoch o spracovateľských činnostiach. Ponechané boli aj články 35 a 36 o posúdení vplyvu na ochranu údajov a o predchádzajúcej konzultácii s dozorným orgánom. Články 37 až 39 nariadenia (EÚ) 2016/679 o určení zodpovedných osôb a ich úlohách boli ponechané vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov bez podstatných zmien. Aj ustanovenia článkov 40 a 42 nariadenia (EÚ) 2016/679 o kódexoch správania a o certifikácii boli ponechané vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov (80).

2.6. Dohľad a presadzovanie

2.6.1. Nezávislý dohľad

(85) S cieľom zaistiť, aby bola primeraná úroveň ochrany údajov zabezpečená v praxi, by mal byť zriadený nezávislý dozorný orgán, ktorý bude mať právomoc monitorovať a presadzovať dodržiavanie pravidiel ochrany údajov. Tento orgán by mal pri plnení svojich úloh a výkone svojich právomocí konať úplne nezávisle a nestranne.

(86) V Spojenom kráľovstve vykonáva dohľad a presadzovanie dodržiavania všeobecného nariadenia Spojeného kráľovstva o ochrane údajov a zákona o ochrane údajov z roku 2018 Komisár pre informácie. Komisár pre informácie je „Corporation Sole“, čiže samostatný právny subjekt zložený z jednej osoby. Komisára pre informácie pri jeho práci podporuje jeho úrad. K 31. marcu 2020 mal Úrad Komisára pre informácie 768 stálych zamestnancov (81). Hlavným ministerstvom vo vzťahu ku Komisárovi pre informácie je ministerstvo pre digitálnu oblasť, kultúru, médiá a šport (Department for Digital, Culture, Media and Sport) (82).

(87) Nezávislosť Komisára je výslovne stanovená v článku 52 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, pričom nedošlo k žiadnym zásadným zmenám článku 52 ods. 1 až 3 všeobecného nariadenia o ochrane údajov. Komisár musí pri plnení svojich úloh a vykonávaní svojich právomocí podľa všeobecného nariadenia Spojeného kráľovstva o ochrane údajov konať úplne nezávisle, nesmie byť pod vonkajším vplyvom, či už priamym alebo nepriamym, vo vzťahu k týmto úlohám a právomociam, a nesmie od nikoho žiadať ani prijímať pokyny. Komisár sa tiež musí zdržať akéhokoľvek konania nezlučiteľného so svojimi povinnosťami a počas výkonu funkcie nevykonáva žiadnu platenú ani neplatenú pracovnú činnosť nezlučiteľnú s jeho funkciou.

(88) Podmienky vymenovania a odvolania Komisára pre informácie sú stanovené v prílohe 12 k zákonu o ochrane údajov z roku 2018. Komisára pre informácie vymenúva jej veličenstvo na odporúčanie vlády na základe spravodlivého a otvoreného výberového konania. Uchádzač musí mať primeranú kvalifikáciu, zručnosti a schopnosti. V súlade s kódexom riadenia verejných menovaní (83) zostaví poradná hodnotiaca komisia zoznam menovateľných kandidátov. Predtým, ako minister ministerstva pre digitálnu oblasť, kultúru, médiá a šport dokončí svoje rozhodnutie, príslušný užší výbor parlamentu musí vykonať kontrolu pred vymenovaním. Stanovisko výboru sa zverejňuje (84).

(89) Komisár pre informácie vykonáva svoju funkciu najviac sedem rokov. Žiadna osoba nemôže byť vymenovaná za Komisára pre informácie viac ako raz. Z funkcie ho môže odvolať jej veličenstvo na základe jej určenému prejavu vôle oboch snemovní parlamentu (tzv. Address) (85). Žiadosť o odvolanie Komisára pre informácie možno predložiť niektorej zo snemovní parlamentu, len ak minister predloží správu, v ktorej uvedie, že je presvedčený, že Komisár pre informácie sa dopustil závažného pochybenia a/alebo že Komisár už nespĺňa podmienky požadované na výkon svojich funkcií (86).

(90) Financovanie Komisára pre informácie pochádza z troch zdrojov: i) poplatky za ochranu údajov, ktoré platia prevádzkovatelia a ktoré sú stanovené právnymi predpismi ministra (87) [právne predpisy o ochrane údajov (poplatky a informácie) z roku 2018], pričom tvoria 85 – 90 % ročného rozpočtu Úradu Komisára pre informácie (88); ii) subvencie, ktoré môže vláda poskytnúť Komisárovi pre informácie. Tieto subvencie sa využívajú najmä na financovanie prevádzkových nákladov Komisára pre informácie, pokiaľ ide o úlohy nesúvisiace s ochranou údajov (89); a iii) poplatky účtované za služby (90). V súčasnosti sa neúčtujú žiadne takéto poplatky.

(91) Všeobecné funkcie Komisára pre informácie v súvislosti so spracúvaním osobných údajov, na ktoré sa vzťahuje všeobecné nariadenie Spojeného kráľovstva o ochrane údajov, sú stanovené v článku 57 uvedeného nariadenia a dôsledne odrážajú zodpovedajúce pravidlá nariadenia (EÚ) 2016/679. Medzi jeho úlohy patrí monitorovanie a presadzovanie všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, podpora informovanosti verejnosti, vybavovanie sťažností podávaných dotknutými osobami, vedenie vyšetrovaní atď. Okrem toho sú v § 115 zákona o ochrane údajov z roku 2018 stanovené ďalšie všeobecné funkcie Komisára, ku ktorým patrí povinnosť poskytovať poradenstvo parlamentu, vláde a iným inštitúciám a orgánom v oblasti legislatívnych a administratívnych opatrení týkajúcich sa ochrany práv a slobôd jednotlivcov, pokiaľ ide o spracúvanie osobných údajov, ako aj právomoc vydávať, z vlastnej iniciatívy Komisára alebo na požiadanie, stanoviská určené parlamentu, vláde alebo iným inštitúciám a orgánom, ako aj verejnosti k akejkoľvek otázke týkajúcej sa ochrany osobných údajov. V záujme zachovania nezávislosti justície nie je Komisár pre informácie oprávnený vykonávať svoje funkcie v súvislosti so spracúvaním osobných údajov jednotlivcom konajúcim v rámci súdnej právomoci, resp. súdom či tribunálom konajúcim v rámci svojej súdnej právomoci. Dohľad nad justíciou však vykonávajú špecializované orgány (pozri odôvodnenia 99 až 103).

2.6.2. Presadzovania vrátane sankcií

(92) Právomoci Komisára pre informácie sú stanovené v článku 58 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, a to bez zavedenia akýchkoľvek podstatných zmien oproti zodpovedajúcemu článku nariadenia (EÚ) 2016/679. V zákone o ochrane údajov z roku 2018 sú stanovené doplňujúce pravidlá týkajúce sa spôsobu vykonávania týchto právomocí. Komisár má predovšetkým tieto právomoci: a) nariadiť prevádzkovateľovi a sprostredkovateľovi (a za určitých okolností akejkoľvek inej osobe), aby poskytli potrebné informácie prostredníctvom oznámenia („informačné oznámenie“) (91); b) vykonávať vyšetrovania a audity prostredníctvom oznámenia o posúdení, v ktorom sa môže vyžadovať, aby prevádzkovateľ alebo sprostredkovateľ povolil Komisárovi pre informácie vstúpiť do určených priestorov, skontrolovať alebo preskúmať dokumenty alebo vybavenie, vypočuť osoby, ktoré spracúvajú osobné údaje v mene prevádzkovateľa („oznámenie o posúdení“) (92); c) získať iným spôsobom prístup k dokumentom prevádzkovateľov a sprostredkovateľov a prístup do ich priestorov v súlade s § 154 zákona o ochrane údajov z roku 2018 („právomoci na vstup a inšpekciu“); d) vykonávať nápravné právomoci, a to aj prostredníctvom varovaní a napomenutí, alebo vydávať príkazy prostredníctvom presadzovacieho oznámenia, v ktorom sa od prevádzkovateľov, resp. sprostredkovateľov vyžaduje, aby prijali alebo sa zdržali prijatia konkrétnych krokov, a to vrátane príkazu prevádzkovateľovi alebo sprostredkovateľovi, aby vykonal čokoľvek uvedené v článku 58 ods. 2 písm. c) až g) a písm. j) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov („presadzovacie oznámenie“) (93); e) udeľovať správne pokuty vo forme oznámenia o uložení sankcie (ďalej len „oznámenie o uložení sankcie“) (94). Správne pokuty môžu byť udelené aj vtedy, keď orgán verejnej moci nedodrží ustanovenia nariadenia Spojeného kráľovstva o ochrane osobných údajov (95).

(93) Okolnosti, za ktorých Komisár pre informácie vydáva informačné oznámenie, oznámenie o posúdení, presadzovacie oznámenie alebo oznámenie o uložení sankcie, sa stanovujú v jeho regulačnej politike (96). V presadzovacom oznámení, ktoré je reakciou na nesplnenie povinnosti prevádzkovateľa alebo sprostredkovateľa, sa môžu stanoviť iba požiadavky, ktoré Komisár považuje za vhodné na účely nápravy nesplnenia povinnosti. Presadzovacie oznámenia a oznámenia o uložení sankcie sa môžu vydávať prevádzkovateľovi alebo sprostredkovateľovi v súvislosti s porušením ustanovení kapitoly II všeobecného nariadenia Spojeného kráľovstva o ochrane údajov (zásady spracúvania), článkov 12 až 22 (práva dotknutej osoby), článkov 25 až 39 (povinnosti prevádzkovateľov a sprostredkovateľov) a článkov 44 až 49 (medzinárodné prenosy) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov. Presadzovacie oznámenie sa môže vydať, aj keď prevádzkovateľ nesplnil požiadavku zaplatiť poplatok stanovený v právnych predpisoch podľa § 137 zákona o ochrane údajov z roku 2018. Okrem toho sa presadzovacie oznámenie môže vydať monitorujúcemu subjektu podľa článku 41 alebo poskytovateľovi certifikácie, ak si nesplnia svoje povinnosti podľa všeobecného nariadenia Spojeného kráľovstva o ochrane údajov. Oznámenie o uložení sankcie je možné vydať aj osobe, ktorá nedodržala informačné oznámenie, oznámenie o posúdení alebo presadzovacie oznámenie.

(94) V oznámení o uložení sankcie sa vyžaduje, aby príslušná osoba zaplatila Komisárovi pre informácie sumu uvedenú v oznámení. Pri určovaní toho, či sa má určitej osobe vydať oznámenie o uložení sankcie, a pri určovaní výšky sankcie musí Komisár pre informácie zohľadniť skutočnosti uvedené v článku 83 ods. 1 a 2 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, ktoré sú totožné so zodpovedajúcimi pravidlami nariadenia (EÚ) 2016/679 (97). Podľa článku 83 ods. 4 a 5 je maximálna výška správnej pokuty v prípade nesplnenia povinností uvedených v týchto ustanoveniach 8 700 000 GBP, respektíve 17 500 000 GBP. V prípade podniku môže Komisár pre informácie uložiť pokutu ako percentuálny podiel svetového ročného obratu, ak je tá suma vyššia. Tieto sumy sú rovnako ako v ekvivalentných ustanoveniach nariadenia (EÚ) 2016/679 stanovené na úrovni 2 % a 4 % v článku 83 ods. 4, respektíve ods. 5. V prípade nedodržania informačného oznámenia, oznámenia o posúdení alebo presadzovacieho oznámenia je maximálna výška sankcie, ktorú je možné uložiť na základe oznámenia o uložení sankcie, 17 500 000 GBP alebo v prípade podniku 4 % svetového ročného obratu.

(95) Všeobecným nariadením Spojeného kráľovstva o ochrane údajov a zákonom o ochrane údajov z roku 2018 sa posilnili aj ďalšie právomoci Komisára pre informácie. Komisár teraz môže napríklad vykonávať povinné audity týkajúce sa všetkých prevádzkovateľov a sprostredkovateľov s použitím oznámení o posúdení, zatiaľ čo podľa predchádzajúceho právneho predpisu, zákona o ochrane údajov z roku 1998, mal Komisár túto právomoc iba vo vzťahu k ústrednej štátnej správe a zdravotníckym organizáciám, pričom ostatné subjekty museli s auditom súhlasiť.

(96) Od zavedenia nariadenia (EÚ) 2016/679 Komisár pre informácie vybavuje približne 40 000 sťažností dotknutých osôb ročne (98) a okrem toho vykonáva približne 2 000 vyšetrovaní ex officio (99). Väčšina sťažností sa týka práv na prístup k údajom a poskytovania údajov. Komisár na základe vyšetrovania prijíma opatrenia v oblasti presadzovania v širokej škále odvetví. Konkrétnejšie, podľa najnovšej výročnej správy Komisára pre informácie (2019 – 2020) (100) vydal Komisár počas vykazovaného obdobia 54 informačných oznámení, osem oznámení o posúdení, sedem presadzovacích oznámení, štyri varovania, osem žalôb a 15 pokút (101).

(97) To zahŕňa niekoľko značných peňažných sankcií uložených podľa nariadenia (EÚ) 2016/679 a zákona o ochrane údajov z roku 2018. Komisár pre informácie konkrétne v októbri 2020 uložil britskej leteckej spoločnosti pokutu vo výške 20 miliónov GBP za porušenie ochrany údajov, ktoré malo vplyv na viac ako 400 000 zákazníkov. Koncom októbra 2020 bola medzinárodnej hotelovej sieti uložená pokuta vo výške 18,4 milióna GBP za to, že nedokázala zaistiť bezpečnosť osobných údajov miliónov zákazníkov, a v novembri 2020 bola britskému poskytovateľovi služieb, ktorý online predáva vstupenky na podujatia, uložená pokuta vo výške 1,25 milióna GBP za nedostatočnú ochranu platobných údajov zákazníkov (102).

(98) Okrem toho, že Komisár pre informácie má právomoci v oblasti presadzovania opísané v odôvodnení 92, určité porušenia právnych predpisov o ochrane údajov predstavujú trestné činy, a preto môžu podliehať trestnoprávnym sankciám (§ 196 zákona o ochrane údajov z roku 2018). To sa týka napríklad vedomého alebo neuváženého získania alebo poskytnutia osobných údajov bez súhlasu prevádzkovateľa, poskytnutia prístupu k osobným údajom inej osobe bez súhlasu prevádzkovateľa (103), opätovnej identifikácie anonymizovaných osobných údajov bez súhlasu prevádzkovateľa zodpovedného za anonymizáciu osobných údajov (104), úmyselného bránenia Komisárovi pre informácie pri výkone jeho právomocí v súvislosti s kontrolou osobných údajov v súlade s medzinárodnými záväzkami (105), vydávania nepravdivých vyhlásení o odpovedi na informačné oznámenie alebo zničenia informácií v súvislosti s informačným oznámením a oznámením o posúdení (106).

2.6.3. Dohľad nad justíciou

(99) Dohľad nad spracúvaním osobných údajov súdmi a justíciou je dvojaký. Ak súdny úradník alebo súd nekoná v rámci súdnej právomoci, dohľad vykonáva Komisár pre informácie. Ak prevádzkovateľ koná v rámci súdnej právomoci, Komisár pre informácie nemôže plniť svoje funkcie dohľadu (107) a dohľad vykonávajú osobitné orgány. Uvedené odráža prístup prijatý v nariadení (EÚ) 2016/679 (článok 55 ods. 3).

(100) Konkrétne v druhom scenári, pokiaľ ide o súdy Anglicka a Walesu a ich tribunály prvého stupňa a vyššie tribunály (First-tier and Upper Tribunals of England and Wales), takýto dohľad vykonáva súdna rada pre ochranu údajov (Judicial Data Protection Panel) (108). Okrem toho šéf justície Anglicka a Walesu (Lord Chief Justice) a šéf tribunálov (Senior President of Tribunals) vydali oznámenie o ochrane osobných údajov (109), v ktorom sa uvádza, ako súdy v Anglicku a Walese spracúvajú osobné údaje na účely plnenia súdnej funkcie. Podobné oznámenie vydali súdy Severného Írska (110) a Škótska (111).

(101) Okrem toho v Severnom Írsku vymenoval šéf justície Severného Írska (Lord Chief Justice of Northern Ireland) sudcu Vrchného súdu (High Court) za sudcu pre dohľad nad údajmi (Data Supervisory Judge) (112). Vydal tiež usmernenia pre severoírsku justíciu o tom, čo robiť v prípade straty alebo potenciálnej straty údajov a o postupe riešenia akýchkoľvek otázok, ktoré z toho vyplývajú (113).

(102) V Škótsku šéf justície Lord President vymenoval sudcu pre dohľad nad údajmi (Data Supervisory Judge), ktorý vyšetruje všetky sťažnosti z dôvodu ochrany údajov. Stanovuje sa tak v pravidlách súdnych sťažností, ktoré odrážajú pravidlá stanovené pre Anglicko a Wales (114).

(103) Napokon na najvyššom súde (Supreme Court) je vymenovaný jeden zo sudcov tohto súdu, aby vykonával dohľad nad ochranou údajov.

2.6.4. Náprava

(104) V záujme zabezpečenia primeranej ochrany, a najmä vymáhania individuálnych práv, by dotknutá osoba mala mať k dispozícii účinné správne a súdne prostriedky nápravy vrátane náhrady škôd.

(105) Po prvé, dotknutá osoba má právo podať sťažnosť Komisárovi pre informácie, ak sa domnieva, že v súvislosti s osobnými údajmi, ktoré sa jej týkajú, došlo k porušeniu zákona o ochrane údajov z roku 2018 (115). Vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov sa ponechávajú pravidlá uvedené v článku 77 nariadenia (EÚ) 2016/679 týkajúce sa tohto práva bez podstatných zmien. To isté platí pre článok 57 ods. 1 písm. f) a ods. 2, v ktorých sa stanovujú úlohy Komisie v súvislosti s vybavovaním sťažností. Ako sa uvádza v odôvodneniach 92 a 98, Komisár pre informácie má právomoc posúdiť dodržiavanie všeobecného nariadenia Spojeného kráľovstva o ochrane údajov a zákona o ochrane údajov z roku 2018 prevádzkovateľom a sprostredkovateľom a požadovať od nich, aby v prípade nedodržiavania tohto zákona prijali potrebné kroky, resp. aby sa zdržali prijatia potrebných krokov, ako aj uložiť pokuty.

(106) Po druhé vo všeobecnom nariadení Spojeného kráľovstva o ochrane údajov a v zákone o ochrane údajov z roku 2018 sa stanovuje právo na prostriedok nápravy voči rozhodnutiu Komisára pre informácie. Podľa článku 78 ods. 1 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov má jednotlivec právo na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu Komisára pre informácie, ktoré sa ho týka. Sudca v rámci súdneho preskúmania prešetrí rozhodnutie, ktoré je napadnuté v žalobe, a posúdi, či Komisár pre informácie konal v súlade so zákonom. Navyše, ak Komisár pre informácie nevybaví sťažnosť predloženú dotknutou osobou primerane, podľa článku 78 ods. 2 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov (116)má sťažovateľ prístup k súdnemu prostriedku nápravy. Môže sa obrátiť na tribunál prvého stupňa, aby Komisárovi pre informácie nariadil prijať primerané kroky v reakcii na sťažnosť alebo informovať sťažovateľa o pokroku dosiahnutom v súvislosti so sťažnosťou (117). Okrem toho sa každá osoba, ktorá dostane od Komisára pre informácie ktorékoľvek z uvedených oznámení (informačné oznámenie, oznámenie o posúdení, presadzovacie oznámenie alebo oznámenie o uložení sankcie), môže odvolať na tribunál prvého stupňa (118). Ak sa tribunál domnieva, že rozhodnutie Komisára pre informácie nie je v súlade so zákonom alebo že Komisár pre informácie mal uplatniť svoju voľnú úvahu inak, tribunál musí odvolaniu vyhovieť, resp. musí vydať iné oznámenie alebo prijať iné rozhodnutie, ktoré mohol vydať alebo prijať Komisár pre informácie.

(107) Po tretie jednotlivci môžu získať súdne prostriedky nápravy voči prevádzkovateľom a sprostredkovateľom priamo na súdoch podľa článku 79 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov a § 167 zákona o ochrane údajov z roku 2018. Ak súd na návrh dotknutej osoby dospeje k záveru, že došlo k porušeniu práv dotknutej osoby v zmysle právnych predpisov o ochrane údajov, môže nariadiť prevádzkovateľovi v súvislosti so spracúvaním alebo sprostredkovateľovi konajúcemu v mene tohto prevádzkovateľa, aby podnikol kroky uvedené v súdnom príkaze alebo aby sa zdržal prijatia krokov uvedených v súdnom príkaze.

(108) Okrem toho podľa článku 82 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov a § 168 zákona o ochrane údajov z roku 2018 má každá osoba, ktorá utrpela materiálnu alebo nemateriálnu škodu v dôsledku porušenia všeobecného nariadenia Spojeného kráľovstva o ochrane údajov, právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa. Pravidlá týkajúce sa náhrady škody a zodpovednosti uvedené v článku 82 ods. 1 až 5 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov sú totožné so zodpovedajúcimi pravidlami uvedenými v nariadení (EÚ) 2016/679. Podľa § 168 zákona o ochrane údajov z roku 2018 zahŕňa nemajetková škoda aj ťažkosti. Podľa článku 80 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov má dotknutá osoba takisto právo poveriť zastupiteľský orgán alebo organizáciu, aby v jej mene (podľa článku 77 všeobecného nariadenia Spojeného kráľovstva o ochrane údajov) podali sťažnosť Komisárovi pre informácie a aby v jej mene uplatnili práva uvedené v článkoch 78 (právo na účinný súdny prostriedok nápravy voči rozhodnutiu Komisára pre informácie), 79 (právo na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi) a 82 (právo na náhradu škody a zodpovednosť) všeobecného nariadenia Spojeného kráľovstva o ochrane údajov.

(109) Po štvrté, pokiaľ sa akákoľvek osoba domnieva, že orgány verejnej moci porušili jej práva vrátane práva na súkromie a ochranu údajov, môže popri uvedených prostriedkoch nápravy dosiahnuť nápravu na súdoch Spojeného kráľovstva podľa zákona o ľudských právach z roku 1998 (119). Jednotlivec, ktorý tvrdí, že orgán verejnej moci konal (alebo navrhuje konať) spôsobom, ktorý je nezlučiteľný s právom vyplývajúcim z dohovoru, a teda protiprávny podľa § 6 ods. 1 zákona o ľudských právach z roku 1998, môže podať návrh na začatie konania proti tomuto orgánu na príslušnom súde alebo tribunáli, resp. sa dovolávať príslušných práv v akomkoľvek súdnom konaní, ak je (alebo by mohol byť) obeťou protiprávneho činu.

(110) Ak súd zistí, že akýkoľvek akt orgánu verejnej moci je nezákonný, môže v rámci svojich právomocí nariadiť akúkoľvek nápravu alebo vydať akýkoľvek príkaz, ktoré považuje za vhodné a primerané (120). Súd môže takisto vyhlásiť ustanovenie primárneho práva za nezlučiteľné s právom zaručeným dohovorom.

(111) Jednotlivec môže napokon za porušenie práv zaručených Európskym dohovorom o ľudských právach po vyčerpaní vnútroštátnych prostriedkov nápravy dosiahnuť nápravu pred Európskym súdom pre ľudské práva.

3. PRÍSTUP K OSOBNÝM ÚDAJOM PRENÁŠANÝM Z EURÓPSKEJ ÚNIE ORGÁNMI VEREJNEJ MOCI V SPOJENOM KRÁĽOVSTVE A ICH POUŽÍVANIE TÝMITO ORGÁNMI

(112) Komisia posúdila aj právny rámec Spojeného kráľovstva pre získavanie a následné používanie osobných údajov, ktoré prenášajú podnikateľským subjektom v Spojenom kráľovstve orgány verejnej moci Spojeného kráľovstva vo verejnom záujme, a to najmä na účely presadzovania trestného práva a na účely národnej bezpečnosti (ďalej len „prístup vlády“). Komisia pri posudzovaní toho, či by podmienky, na základe ktorých sa vláde poskytuje prístup k údajom prenášaným do Spojeného kráľovstva podľa tohto rozhodnutia, spĺňali kritérium „zásadnej rovnocennosti“ v súlade s článkom 45 ods. 1 nariadenia (EÚ) 2016/679, ako ho vykladá Súdny dvor Európskej únie so zreteľom na Chartu základných práv, zohľadnila najmä tieto kritériá.

(113) Po prvé akékoľvek obmedzenie práva na ochranu osobných údajov musí byť stanovené zákonom a v samotnom právnom základe, ktorý povoľuje zasahovanie do takéhoto práva, sa musí vymedzovať, do akého rozsahu možno uplatňovanie príslušného práva obmedziť (121).

(114) Po druhé v záujme splnenia požiadavky proporcionality, podľa ktorej sa v demokratickej spoločnosti musia výnimky z ochrany osobných údajov a obmedzenia ochrany osobných údajov uplatňovať len do prísne nevyhnutnej miery, aby boli splnené konkrétne ciele všeobecného záujmu, ktoré sú rovnocenné s cieľmi uznávanými Úniou, sa v právnych predpisoch dotknutej tretej krajiny povoľujúcich zasahovanie musia stanovovať jasné a presné pravidlá upravujúce rozsah a uplatňovanie takýchto opatrení a zavádzať minimálne záruky, aby osoby, ktorých údaje boli prenesené, mali dostatočné záruky umožňujúce účinne chrániť ich osobné údaje pred rizikom zneužitia (122). V týchto právnych predpisoch sa musia najmä vymedziť okolnosti a podmienky, za akých možno prijať opatrenie upravujúce spracúvanie takýchto údajov (123), ako aj stanoviť povinnosť podrobiť splnenie takých požiadaviek nezávislému dohľadu (124).

(115) Po tretie takéto právne predpisy musia byť právne záväzné podľa vnútroštátneho práva a tieto právne požiadavky musia byť nielen záväzné pre orgány, ale aj vymožiteľné na súdoch proti orgánom dotknutej tretej krajiny (125). Dotknuté osoby musia mať najmä možnosť uplatniť právne prostriedky nápravy pred nezávislým a nestranným súdom, aby mali prístup k osobným údajom, ktoré sa ich týkajú, alebo dosiahnuť opravu alebo vymazanie takýchto údajov (126).

3.1. Všeobecný právny rámec

(116) Prístup vlády ako výkon právomoci orgánu verejnej moci v Spojenom kráľovstve sa musí uskutočňovať v plnom súlade so zákonom. Spojené kráľovstvo ratifikovalo Európsky dohovor o ľudských právach (pozri odôvodnenie 9) a orgány verejnej moci v Spojenom kráľovstve sú povinné konať v súlade s týmto dohovorom (127). V článku 8 dohovoru sa stanovuje, že akýkoľvek zásah do súkromného života musí byť v súlade so zákonom, v záujme jedného z cieľov uvedených v článku 8 ods. 2 a primeraný vzhľadom na tento cieľ. V článku 8 sa takisto požaduje, aby bol zásah „predvídateľný“, t. j. aby mal jasný, prístupný základ v zákone, a aby zákon obsahoval primerané záruky na zabránenie zneužitiu.

(117) Európsky súd pre ľudské práva vo svojej judikatúre okrem toho špecifikuje, že akýkoľvek zásah do práva na súkromie a ochranu údajov by mal podliehať účinnému, nezávislému a nestrannému systému dohľadu, ktorý musí zabezpečiť buď sudca, alebo iný nezávislý orgán (128) (napr. správny orgán alebo parlamentný orgán).

(118) Navyše sa jednotlivcom musia poskytnúť účinné prostriedky nápravy a Európsky súd pre ľudské práva objasnil, že prostriedky nápravy musí ponúkať nezávislý a nestranný orgán, ktorý prijal svoj vlastný rokovací poriadok, je zložený z členov, ktorí musia zastávať alebo zastávali vysoké sudcovské funkcie alebo sú skúsenými právnikmi, a nesmie existovať žiadne dôkazné bremeno, ktoré treba splniť, aby bolo možné podať na tomto orgáne sťažnosť. Pri preskúmavaní sťažností jednotlivcov by mal mať nezávislý a nestranný orgán prístup ku všetkým relevantným informáciám vrátane uzavretých materiálov. Napokon by mal mať právomoc napraviť nedodržanie právnych predpisov (129).

(119) Spojené kráľovstvo v roku 2018 takisto ratifikovalo Dohovor Rady Európy o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov (dohovor č. 108) a podpísalo protokol, ktorým sa mení Dohovor o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov (známy ako dohovor č. 108+) (130). V článku 9 dohovoru č. 108 sa uvádza, že výnimky zo zásad všeobecnej ochrany údajov (článok 5 Kvalita údajov), z pravidiel upravujúcich osobitné kategórie údajov (článok 6 Osobitné kategórie údajov) a z práv dotknutých osôb (článok 8 Ďalšie záruky pre dotknutú osobu) sú prípustné len vtedy, ak sa takáto výnimka stanovuje vo vnútroštátnom právnom poriadku danej strany a ak predstavuje opatrenie potrebné v demokratickej spoločnosti na ochranu bezpečnosti štátu, verejnej bezpečnosti, menových záujmov štátu alebo potláčanie trestnej činnosti, alebo ochranu dotknutej osoby, alebo práv a slobôd iných (131).

(120) Zo skutočnosti, že Spojené kráľovstvo je členom Rady Európy, dodržiava Európsky dohovor o ľudských právach a je podriadené právomoci Európskeho súdu pre ľudské práva, preto preň vyplýva niekoľko povinností zakotvených v medzinárodnom práve, ktoré zasadzujú jeho systém prístupu vlády do rámca založeného na zásadách, zárukách a individuálnych právach podobných tým, ktoré zaručuje právo EÚ a ktoré sa uplatňujú na členské štáty. Ako sa zdôrazňuje v odôvodnení 19, pretrvávajúce dodržiavanie týchto nástrojov je preto mimoriadne dôležitým prvkom posúdenia, na ktorom sa zakladá toto rozhodnutie.

(121) Okrem toho sú osobitné záruky ochrany údajov a práva na ochranu údajov zaručené zákonom o ochrane údajov z roku 2018, keď údaje spracúvajú orgány verejnej moci vrátane orgánov presadzovania práva a národných bezpečnostných orgánov.

(122) Konkrétne režim spracúvania osobných údajov v kontexte presadzovania trestného práva sa stanovuje v časti 3 zákona o ochrane údajov z roku 2018, ktorý bol prijatý na transponovanie smernice (EÚ) 2016/680. Časť 3 zákona o ochrane údajov z roku 2018 sa vzťahuje na spracúvanie osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu (132).

(123) Pojem „príslušný orgán“ je vymedzený v § 30 zákona o ochrane údajov z roku 2018 ako osoba uvedená v prílohe 7 k zákonu o ochrane údajov z roku 2018, ako aj akákoľvek iná osoba v rozsahu, v akom má zákonné funkcie na ktorýkoľvek z účelov presadzovania práva (133). Ako je to vysvetlené ďalej v texte (pozri odôvodnenie 139), isté príslušné orgány (napríklad Národná kriminálna agentúra) môžu za istých okolností využiť právomoci poskytnuté na základe zákona o vyšetrovacích právomociach z roku 2016 (Investigatory Power Act 2016). V tomto prípade sa záruky stanovené v zákone o vyšetrovacích právomociach z roku 2016 uplatnia popri zárukách stanovených v časti 3 zákona o ochrane údajov z roku 2018. Spravodajské služby (Tajná spravodajská služba, Bezpečnostná služba a Vládne komunikačné ústredie) nie sú „príslušnými orgánmi“ (134) patriacimi do rozsahu pôsobnosti časti 3 zákona o ochrane údajov z roku 2018, a preto sa v nej uvedené pravidlá nevzťahujú na žiadnu z ich činností. Konkrétna časť zákona o ochrane údajov z roku 2018 (časť 4) sa venuje spracúvaniu osobných údajov spravodajskými službami (pre podrobnejšie informácie pozri odôvodnenie 125).

(124) Podobne ako v smernici (EÚ) 2016/680 sa v časti 3 zákona o ochrane údajov z roku 2018 stanovujú zásady zákonnosti a spravodlivosti (135), obmedzenia účelu (136), minimalizácie údajov (137), správnosti (138), minimalizácie uchovávania (139) a bezpečnosti (140). V právnom predpise sa ukladajú osobitné povinnosti týkajúce sa transparentnosti (141) a jednotlivcom sa poskytuje právo na prístup (142), opravu a vymazanie (143) a právo nepodliehať automatizovanému rozhodovaniu (144). Od príslušných orgánov sa takisto požaduje, aby vykonávali špecificky navrhnutú a štandardnú ochranu údajov, uchovávali záznamy o spracovateľských činnostiach a v prípade určitých spracovateľských operácií vykonávali posúdenia vplyvu na ochranu údajov a vopred konzultovali s Komisárom pre informácie (145). Podľa § 56 zákona o ochrane údajov z roku 2018 sú povinní preukázať súlad. Okrem toho sa od nich požaduje, aby zaviedli primerané opatrenia na zaistenie bezpečnosti spracúvania (146) a v prípade porušenia ochrany údajov podliehajú osobitným povinnostiam vrátane oznámenia takéhoto porušenia Komisárovi pre informácie a dotknutým osobám (147). Rovnako ako v prípade smernice (EÚ) 2016/680 aj tu sa stanovuje požiadavka, aby prevádzkovateľ (pokiaľ ním nie je súd alebo iný súdny orgán konajúci v rámci súdnej právomoci) vymenoval zodpovednú osobu (148), ktorá pomáha prevádzkovateľovi plniť si svoje povinnosti, ako aj monitorovať tento súlad (149). V právnom predpise sa okrem toho stanovujú osobitné požiadavky na medzinárodné prenosy osobných údajov do tretích krajín alebo medzinárodným organizáciám na účely presadzovania práva s cieľom zabezpečiť kontinuitu ochrany (150). Komisia spolu s týmto rozhodnutím prijala rozhodnutie o primeranosti na základe článku 36 ods. 3 smernice (EÚ) 2016/680, keďže zistila, že režim ochrany údajov platný pre spracúvanie údajov orgánmi Spojeného kráľovstva príslušnými na presadzovanie trestného práva zabezpečuje úroveň ochrany, ktorá v zásade zodpovedá úrovni zaručenej smernicou (EÚ) 2016/680.

(125) Časť 4 zákon o ochrane údajov z roku 2018 sa vzťahuje na každé spracúvanie spravodajskými službami alebo v ich mene. Stanovujú sa v nej hlavné zásady ochrany údajov (zákonnosť, spravodlivosť a transparentnosť (151), obmedzenie účelu (152), minimalizácia údajov (153), správnosť (154), minimalizácia uchovávania (155) a bezpečnosť (156)) a zavádzajú sa v nej podmienky spracúvania osobitných kategórií údajov (157), stanovujú sa práva dotknutých osôb (158), zavádza sa požiadavka špecificky navrhnutej ochrany údajov (159) a upravujú sa v nej medzinárodné prenosy osobných údajov (160). Komisár pre informácie nedávno vydal podrobné usmernenie o spracúvaní údajov spravodajskými službami podľa časti 4 zákona o ochrane údajov z roka 2018 (161).

(126) Zároveň sa v § 110 zákona o ochrane údajov z roku 2018 stanovuje výnimka z osobitných ustanovení v časti 4 zákona o ochrane údajov z roku 2018 (162), ak je táto výnimka potrebná na zabezpečenie národnej bezpečnosti. Tejto výnimky sa možno dovolávať na základe analýzy jednotlivých prípadov (163). Ako vysvetlili orgány Spojeného kráľovstva a potvrdila judikatúra súdov, prevádzkovatelia musia zvážiť skutočné dôsledky pre národnú bezpečnosť alebo obranu, ak mali povinnosť dodržiavať konkrétne ustanovenia o ochrane údajov a ak mohli primerane dodržať toto obvyklé pravidlo bez toho, aby to malo vplyv na národnú bezpečnosť alebo obranu“ (164). To, či sa výnimka použila primerane, podlieha dohľadu Komisára pre informácie (165).

(127) Okrem toho, pokiaľ ide o možnosť obmedziť uplatňovanie vyššie uvedených ustanovení v záujme ochrany „národnej bezpečnosti“, prevádzkovateľ môže podľa § 111 zákona o ochrane údajov z roku 2018 požiadať o osvedčenie podpísané ministrom vlády alebo generálnym prokurátorom, v ktorom sa potvrdzuje, že obmedzenie takýchto práv je nevyhnutným a primeraným opatrením na ochranu národnej bezpečnosti (166).

(128) Vláda Spojeného kráľovstva vydala v rámci zákona o ochrane údajov z roku 2018 usmernenie na pomoc prevádzkovateľom pri zvažovaní, či požiadať o osvedčenie o záujme národnej bezpečnosti, v ktorom sa predovšetkým zdôrazňuje, že akékoľvek obmedzenie práv dotknutých osôb na zaistenie národnej bezpečnosti musí byť primerané a nevyhnutné (167). Všetky osvedčenia o záujme národnej bezpečnosti sa musia uverejniť na webovom sídle Komisára pre informácie (168).

(129) Osvedčenie by malo mať pevne stanovené obdobie nie dlhšie ako päť rokov, aby ho mohol výkonný orgán pravidelne preskúmavať (169). V osvedčení sa uvedú osobné údaje alebo kategórie osobných údajov, na ktoré sa vzťahuje výnimka, ako aj ustanovenia zákona o ochrane údajov z roku 2018, na ktoré sa výnimka vzťahuje (170).

(130) Je dôležité poznamenať, že osvedčenia o záujme národnej bezpečnosti nedávajú dodatočný dôvod na to, aby boli obmedzené práva na ochranu údajov z dôvodov národnej bezpečnosti. Inými slovami, prevádzkovateľ alebo sprostredkovateľ sa môže odvolávať na osvedčenie len vtedy, keď dospel k záveru, že je potrebné odvolávať sa na výnimku v záujme národnej bezpečnosti, ktorá, ako už bolo vysvetlené, sa musí uplatňovať v jednotlivých prípadoch (171). Aj keď sa na predmetnú vec vzťahuje osvedčenie o záujme národnej bezpečnosti, Komisár pre informácie môže preskúmať, či v konkrétnom prípade bolo uplatnenie výnimky v záujme národnej bezpečnosti odôvodnené (172).

(131) Každá osoba, ktorej sa vydanie osvedčenia priamo týka, sa môže proti osvedčeniu (173) odvolať na vyšší tribunál (Upper Tribunal) (174) alebo, ak sa v osvedčení identifikujú údaje prostredníctvom všeobecného opisu, napadnúť uplatňovanie osvedčenia na konkrétne údaje (175). Tribunál preskúma rozhodnutie o vydaní osvedčenia a rozhodne, či existovali opodstatnené dôvody na vydanie tohto osvedčenia (176). Môže zohľadniť širokú škálu otázok vrátane nevyhnutnosti, primeranosti a zákonnosti pri zvažovaní vplyvu na práva dotknutých osôb a vyvažovaní potreby zabezpečiť národnú bezpečnosť. V dôsledku toho môže tribunál rozhodnúť, že osvedčenie sa nevzťahuje na konkrétne osobné údaje, ktoré sú predmetom odvolania (177).

(132) Iný súbor možných obmedzení sa týka obmedzení, ktoré sa podľa prílohy 11 k zákonu o ochrane údajov z roku 2018 uplatňujú na určité ustanovenia časti 4 zákona o ochrane údajov z roku 2018 (178) s cieľom chrániť iné dôležité ciele všeobecného verejného záujmu alebo chránené záujmy, ako napríklad parlamentné výsady, dôvernosť komunikácie medzi advokátom a jeho klientom, vedenie súdnych konaní alebo bojovú účinnosť ozbrojených síl (179). Uplatňovanie týchto ustanovení je buď oslobodené pre určité kategórie informácií („výnimky na základe kategórie“), alebo je oslobodené v rozsahu, v akom by uplatňovanie týchto ustanovení mohlo ohroziť chránený záujem („výnimky na základe ujmy“) (180). Výnimky na základe ujmy sa môžu uplatniť len vtedy, ak by uplatňovanie uvedených ustanovení o ochrane údajov mohlo byť na ujmu príslušnému osobitnému záujmu. Použitie výnimky musí byť preto vždy odôvodnené odkazom na príslušnú ujmu, ktorá by mohla nastať v konkrétnom prípade. Výnimky na základe kategórie možno uplatniť len v súvislosti so špecifickou, úzko vymedzenou kategóriou informácií, pre ktorú sa výnimka udeľuje. Z hľadiska účelu a účinku sú podobné niekoľkým výnimkám zo všeobecného nariadenia Spojeného kráľovstva o ochrane údajov (podľa prílohy 2 k zákonu o ochrane údajov z roku 2018), ktoré zase odrážajú výnimky stanovené v článku 23 všeobecného nariadenia o ochrane údajov.

(133) Z uvedeného vyplýva, že obmedzenia a podmienky sú zavedené podľa platných právnych predpisov Spojeného kráľovstva, a to aj v zmysle ich výkladu súdmi a Komisie pre informácie, aby sa zabezpečilo, že tieto obmedzenia a výnimky zostanú v medziach toho, čo je nevyhnutné a primerané na ochranu národnej bezpečnosti.

3.2. Prístup k osobným údajom a ich používanie zo strany orgánov verejnej moci Spojeného kráľovstva na účely presadzovania trestného práva

(134) Právne predpisy Spojeného kráľovstva ukladajú niekoľko obmedzení prístupu k osobným údajom a ich používania na účely presadzovania trestného práva a v tejto oblasti poskytujú mechanizmy dohľadu a nápravy, ktoré sú v súlade s požiadavkami uvedenými v odôvodneniach 113 až 115 tohto rozhodnutia. Podmienky, za ktorých sa takýto prístup môže uskutočniť, a záruky, ktoré sa vzťahujú na uplatnenie týchto právomocí, sa podrobne posudzujú v nasledujúcich oddieloch.

3.2.1. Právne základy a uplatniteľné obmedzenia/záruky

(135) Podľa zásady zákonnosti zaručenej podľa § 35 zákona o ochrane údajov z roku 2018 je spracúvanie osobných údajov na ktorýkoľvek z účelov presadzovania práva zákonné len vtedy, ak je založené na zákone a dotknutá osoba vyjadrila súhlas so spracúvaním na tento účel (181) alebo ak je spracúvanie nevyhnutné na splnenie úlohy, ktorú na tento účel vykonáva príslušný orgán.

3.2.1.1. Príkazy na domovú prehliadku a príkazy na predloženie dôkazov

(136) V právnom rámci Spojeného kráľovstva je získavanie osobných údajov od podnikateľských subjektov vrátane tých, ktoré by spracúvali údaje prenášané z EÚ podľa tohto rozhodnutia o primeranosti, prípustné na účely presadzovania trestného práva, a to na základe príkazov na domovú prehliadku (182) a príkazov na predloženie dôkazov (183).

(137) Príkazy na domovú prehliadku vydáva súd obvykle na žiadosť vyšetrovateľa. Umožňujú vyšetrovateľovi vstup do priestorov s cieľom prehľadať ich v snahe nájsť materiály alebo osoby, ktoré sú relevantné pre jeho vyšetrovanie, a zadržať všetko, na čo sa vzťahuje povolenie prehliadky vrátane akýchkoľvek relevantných dokumentov alebo materiálov obsahujúcich osobné údaje (184). Podľa príkazu na predloženie dôkazov, ktorý takisto musí vydať súd, musí osoba, ktorá je v ňom uvedená, predložiť materiál, ktorý vlastní alebo má pod kontrolou, alebo poskytnúť k nemu prístup. Žiadateľ musí súdu zdôvodniť, prečo je príkaz nevyhnutný, ako aj dôvod, prečo je to vo verejnom záujme. Existuje viacero zákonom stanovených právomocí, na základe ktorých je možné vydávať príkazy na domovú prehliadku a príkazy na predloženie dôkazov. Každé ustanovenie zahŕňa svoj vlastný súbor zákonných podmienok, ktoré musia byť splnené na to, aby bol príkaz na domovú prehliadku (185) alebo príkaz na predloženie dôkazov (186) vydaný.

(138) Príkazy na predloženie dôkazov a príkazy na domovú prehliadku možno napadnúť prostredníctvom súdneho preskúmania (187). Pokiaľ ide o záruky, všetky orgány príslušné na presadzovanie trestného práva, ktoré patria do rozsahu pôsobnosti časti 3 zákona o ochrane údajov z roku 2018, môžu získať prístup k osobným údajom – čo je forma spracúvania – len v súlade so zásadami a s požiadavkami stanovenými v zákone o ochrane údajov z roku 2018 (pozri odôvodnenia 122 a 124). Žiadosť podaná ktorýmkoľvek orgánom presadzovania práva by preto mala byť v súlade so zásadou, podľa ktorej musia byť účely spracúvania konkrétne určené, výslovne uvedené a legitímne (188) a osobné údaje spracúvané príslušným orgánom musia byť na tento účel relevantné a nie nadmerné (189).

3.2.1.2. Vyšetrovacie právomoci na účely presadzovania práva

(139) Na účely predchádzania len závažným trestným činom alebo ich odhaľovania (190) môžu niektoré orgány presadzovania práva, napríklad Národná kriminálna agentúra alebo policajný prezident (191), využiť cielené vyšetrovacie právomoci podľa zákona o vyšetrovacích právomociach z roku 2016. V tomto prípade sa záruky stanovené v zákone o vyšetrovacích právomociach z rok