CELEX: 32021D1773
Language: cs
Date: 2021-06-28 00:00:00
Title: Prováděcí rozhodnutí Komise (EU) 2021/1773 ze dne 28. června 2021 podle směrnice Evropského parlamentu a Rady (EU) 2016/680 o odpovídající ochraně osobních údajů poskytované Spojeným královstvím (oznámeno pod číslem C(2021) 4801)

11.10.2021   
               
               
                  CS
               
               
                  Úřední věstník Evropské unie
               
               
                  L 360/69
               
            
         PROVÁDĚCÍ ROZHODNUTÍ KOMISE (EU) 2021/1773
         ze dne 28. června 2021
         podle směrnice Evropského parlamentu a Rady (EU) 2016/680 o odpovídající ochraně osobních údajů poskytované Spojeným královstvím
         
            
               (oznámeno pod číslem C(2021) 4801)
            
         
         EVROPSKÁ KOMISE,
         s ohledem na Smlouvu o fungování Evropské unie,
         s ohledem na směrnici Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (1), a zejména na čl. 36 odst. 3 uvedené směrnice,
         vzhledem k těmto důvodům:
         1.   ÚVOD
         
         
                     (1)
                  
                  
                     Směrnice Evropského parlamentu a Rady (EU) 2016/680 stanoví pravidla pro předávání osobních údajů příslušnými orgány v Unii třetím zemím a mezinárodním organizacím, pokud toto předávání spadá do oblasti působnosti uvedené směrnice. Pravidla pro mezinárodní předávání údajů příslušnými orgány stanoví kapitola V směrnice (EU) 2016/680, konkrétně články 35 až 40. Jakkoli je tok osobních údajů do zemí a ze zemí mimo Evropskou unii nezbytný pro účinnou spolupráci v oblasti prosazování práva, musí být zaručeno, že úroveň ochrany poskytovaná osobním údajům v Evropské unii nebude takovým předáváním údajů znehodnocena (2).
                  
               
                     (2)
                  
                  
                     Podle čl. 36 odst. 3 směrnice (EU) 2016/680 může Komise prostřednictvím prováděcího aktu rozhodnout, že určitá třetí země, určité území či jedno nebo více konkrétních odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany. Za této podmínky se může uskutečnit předávání osobních údajů do třetí země bez nutnosti získat další povolení (s výjimkou případů, kdy musí s předáním souhlasit jiný členský stát, od něhož byly údaje získány), jak stanoví čl. 35 odst. 1 a 66. bod odůvodnění směrnice (EU) 2016/680.
                  
               
                     (3)
                  
                  
                     Jak uvádí čl. 36 odst. 2 směrnice (EU) 2016/680, přijetí rozhodnutí o odpovídající ochraně musí vycházet z komplexní analýzy právního řádu dané třetí země. Ve svém posouzení musí Komise určit, zda daná třetí země zaručuje úroveň ochrany „v zásadě rovnocennou“ úrovni ochrany zajištěné v Evropské unii (67. bod odůvodnění směrnice (EU) 2016/680). Standard, vůči němuž je „zásadní rovnocennost“ posuzována, je stanoven právními předpisy EU, a to zejména směrnicí (EU) 2016/680, jakož i judikaturou Soudního dvora Evropské unie (3). V tomto ohledu je významný i referenční rámec Evropského sboru pro ochranu osobních údajů týkající se odpovídající ochrany (4).
                  
               
                     (4)
                  
                  
                     Jak objasnil Soudní dvůr Evropské unie, nevyžaduje to zjištění stejné úrovně ochrany (5). Zejména prostředky, které dotyčná třetí země k ochraně osobních údajů využívá, se mohou lišit od prostředků zavedených v Evropské unii, pokud se v praxi ukážou jako účinné k zajištění odpovídající úrovně ochrany (6). Standard odpovídající ochrany tedy nevyžaduje opakování pravidel Unie slovo od slova. Kritériem je spíše to, zda zahraniční systém jako celek zajišťuje prostřednictvím podstaty práva na soukromí a jeho účinného uplatňování, dozoru a vymáhání požadovanou úroveň ochrany (7).
                  
               
                     (5)
                  
                  
                     Komise pečlivě analyzovala relevantní právo a praxi ve Spojeném království. Na základě níže uvedených zjištění dospěla Komise k závěru, že Spojené království zajišťuje odpovídající úroveň ochrany osobních údajů předávaných příslušnými orgány v Unii, které spadají do oblasti působnosti směrnice (EU) 2016/680, příslušným orgánům ve Spojeném království v oblasti působnosti části 3 zákona o ochraně údajů z roku 2018 (8).
                  
               
                     (6)
                  
                  
                     Toto rozhodnutí má účinek v tom smyslu, že uvedené předávání údajů se může uskutečnit bez nutnosti získat další povolení, a to po dobu čtyř let s výhradou možného prodloužení, a aniž by byly dotčeny podmínky stanovené v článku 35 směrnice (EU) 2016/680.
                  
               2.   PRAVIDLA TÝKAJÍCÍ SE ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ PŘÍSLUŠNÝMI ORGÁNY PRO ÚČELY PROSAZOVÁNÍ TRESTNÍHO PRÁVA
         
         2.1.   Ústavní rámec
         
         
                     (7)
                  
                  
                     Spojené království je parlamentní demokracií. Má svrchovaný parlament nadřazený všem ostatním vládním institucím, vládu jako orgán výkonné moci, který je sestavován z členů parlamentu a tomuto parlamentu je také odpovědný, a nezávislé soudnictví. Vláda odvozuje své oprávnění ze své schopnosti získat důvěru zvolené Dolní sněmovny Spojeného království a zodpovídá se oběma komorám parlamentu Spojeného království (Dolní sněmovna a Horní sněmovna), které nesou odpovědnost za kontrolu vlády a za projednávání a přijímání zákonů. V oblasti přijímání právních předpisů týkajících se určitých vnitrostátních záležitostí ve Skotsku, Walesu a Severním Irsku přenesl parlament Spojeného království odpovědnost na Skotský parlament, Velšský parlament (Senedd Cymru) a na Shromáždění Severního Irska. Zatímco ochrana údajů je záležitostí vyhrazenou parlamentu Spojeného království, tj. v celé zemi platí stejné právní předpisy, jiné oblasti politiky významné pro toto rozhodnutí jsou decentralizované. Například systémy trestního soudnictví včetně činností policie (činností vykonávaných policejními silami) ve Skotsku a Severním Irsku spadají do odpovědnosti přenesené na Skotský parlament, resp. Shromáždění Severního Irska (9).
                  
               
                     (8)
                  
                  
                     Spojené království nemá kodifikovanou ústavu ve smyslu pevně zakotveného ústavního dokumentu, ústavní principy se vyvíjely postupně, a to zejména na základě judikatury a zvyklostí. Je uznána ústavní hodnota některých právních předpisů, jako je Magna Carta (Velká listina práv a svobod), Bill of Rights 1689 (Listina práv z roku 1689) a Human Rights Act 1998 (zákon o lidských právech z roku 1998). Základní práva jednotlivců se jako součást ústavního rámce rozvíjela prostřednictvím zvykového práva (common law), uvedených právních předpisů a mezinárodních smluv, zejména Evropské úmluvy o lidských právech (dále jen „EÚLP“), kterou Spojené království ratifikovalo v roce 1951. Spojené království v roce 1987 také ratifikovalo Úmluvu o ochraně osob se zřetelem na automatizované zpracování osobních dat (úmluva č. 108), přijatou Radou Evropy (10).
                  
               
                     (9)
                  
                  
                     Zákon o lidských právech z roku 1998 začleňuje práva obsažená v EÚLP do práva Spojeného království. Zákon přiznává každému jednotlivci základní práva a svobody stanovené v článcích 2 až 12 a v článku 14 EÚLP, v článcích 1 až 3 prvního protokolu této úmluvy a v článku 1 jejího třináctého protokolu ve spojení s články 16 až 18 EÚLP. To zahrnuje právo na respektování soukromého a rodinného života, které pak zahrnuje právo na ochranu údajů a právo na spravedlivý proces (11). Konkrétně podle článku 8 EÚLP může orgán veřejné moci do práva na soukromí zasahovat pouze v souladu se zákonem, je-li to v demokratické společnosti nezbytné v zájmu národní bezpečnosti, veřejné bezpečnosti, hospodářského blahobytu země, předcházení nepokojům a zločinnosti, ochrany zdraví nebo morálky nebo ochrany práv a svobod jiných.
                  
               
                     (10)
                  
                  
                     V souladu se zákonem o lidských právech z roku 1998 musí být jakékoli opatření orgánů veřejné moci slučitelné s právem zaručeným podle EÚLP (12). Kromě toho je třeba primární a podřízené právní předpisy vykládat a uplatňovat způsobem, který je slučitelný s těmito právy (13). Pokud má určitý jednotlivec za to, že jeho práva včetně práv na ochranu soukromí a ochranu údajů byla orgány veřejné moci porušena, může dosáhnout nápravy u soudů Spojeného království podle zákona o lidských právech z roku 1998 a po vyčerpání vnitrostátních opravných prostředků může dosáhnout nápravy u Evropského soudu pro lidská práva, pokud jde o porušení práv zaručených podle EÚLP.
                  
               2.2.   Rámec ochrany údajů ve Spojeném království
         
         
                     (11)
                  
                  
                     Spojené království dne 31. ledna 2020 vystoupilo z Unie. Podle Dohody o vystoupení Spojeného království Velké Británie a Severního Irska z Evropské unie a Evropského společenství pro atomovou energii (14) se ve Spojeném království během přechodného období do 31. prosince 2020 nadále používalo právo Unie. Před vystoupením a během přechodného období tvořily legislativní rámec ochrany osobních údajů ve Spojeném království upravující zpracování osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, příslušné části zákona o ochraně údajů z roku 2018, kterým byla ve vnitrostátním právu provedena směrnice (EU) 2016/680.
                  
               
                     (12)
                  
                  
                     Aby se připravila na vystoupení z EU, přijala vláda Spojeného království zákon o Evropské unii (o vystoupení z Evropské unie) z roku 2018 (dále jen „zákon o vystoupení z EU“) (15), který začleňuje přímo použitelné právní předpisy Unie do práva Spojeného království a stanoví, že tzv. vnitrostátní právní předpisy odvozené z práva EU jsou účinné i po skončení přechodného období. Část 3 zákona o ochraně údajů z roku 2018 (16), kterým se ve vnitrostátním právu provádí směrnice (EU) 2016/680, představuje „vnitrostátní právní předpis odvozený z práva EU“ podle zákona o vystoupení z EU. V souladu se zákonem o vystoupení z EU musí soudy Spojeného království vykládat nepozměněné „vnitrostátní právní předpisy odvozené z práva EU“ v souladu s příslušnou judikaturou Soudního dvora Evropské unie a s obecnými zásadami práva Unie účinnými bezprostředně před koncem přechodného období (označovanými jako „ponechaná judikatura EU“, resp. „ponechané obecné zásady práva EU“) (17).
                  
               
                     (13)
                  
                  
                     Podle zákona o vystoupení z EU mají ministři Spojeného království pravomoc zavádět prostřednictvím zákonných nástrojů sekundární právní předpisy, aby provedli nutné úpravy ponechaného práva Evropské unie po vystoupení Spojeného království z Unie. Výsledkem výkonu této pravomoci jsou nařízení (vystoupení z EU) z roku 2019 v oblasti ochrany údajů, soukromí a elektronických komunikací (změny atd.) (dále jen „nařízení v oblasti ochrany údajů, soukromí a elektronických komunikací“) (18). Ta pozměňují právní předpisy Spojeného království v oblasti ochrany údajů včetně zákona o ochraně údajů z roku 2018, aby odpovídaly vnitrostátním souvislostem (19).
                  
               
                     (14)
                  
                  
                     V důsledku toho budou právní standardy pro zpracování osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení ve Spojeném království po skončení přechodného období podle dohody o vystoupení nadále vymezeny v příslušných částech zákona o ochraně údajů z roku 2018, avšak ve znění pozměněném nařízeními v oblasti ochrany údajů, soukromí a elektronických komunikací, zejména v části 3 uvedeného zákona. Obecné nařízení o ochraně osobních údajů ve Spojeném království (dále jen „britské nařízení GDPR“) se pro tento druh zpracování nepoužije.
                  
               
                     (15)
                  
                  
                     Část 3 zákona o ochraně údajů z roku 2018 stanoví pravidla zpracování osobních údajů pro účely prosazování trestního práva včetně zásad ochrany údajů, právních důvodů (zákonnosti) zpracování, práv subjektů údajů, povinností příslušných orgánů jako správců a omezení dalšího předávání. Použitelná pravidla pro dohled, prosazování a nápravu použitelná v oblasti prosazování práva jsou zároveň uvedena v částech 5 a 6 zákona o ochraně údajů z roku 2018.
                  
               
                     (16)
                  
                  
                     S ohledem na významnou úlohu, kterou v oblasti prosazování práva hrají policejní síly, by navíc měla být zvážena pravidla, která upravují činnost policie. Vzhledem k tomu, že činnost policie je decentralizovanou oblastí, jsou na činnost policie a) v Anglii a Walesu; b) ve Skotsku a c) v Severním Irsku použitelné různé právní předpisy, které jsou však z hlediska obsahu často podobné (20). Různé druhy pokynů navíc poskytují další objasnění, jak by měly být používány pravomoci policie. Existují tři hlavní druhy pokynů pro policii: 1) statutární pokyny vydané v rámci právních předpisů, jako je etický kodex (21) a kodex zásad pro správu údajů policie (22) vydaný podle zákona o policii z roku 1996 (23) nebo tzv. „kodexy PACE“ (24) vydané podle zákona o policii a důkazech v trestním řízení (25), 2) povolený odborný postup pro správu údajů policie (dále jen „povolený odborný postup“) (26), které vydala policejní akademie, a 3) operativní pokyny (zveřejněné samotnou policií). Národní rada policejních ředitelů (National Police Chiefs Council, koordinační orgán pro všechny policejní síly Spojeného království) zveřejňuje operativní pokyny, které všechny policejní síly schválily, a které proto platí na celostátní úrovni (27). Cílem těchto pokynů je zajistit soulad mezi silami z hlediska způsobu správy údajů (28).
                  
               
                     (17)
                  
                  
                     Kodex zásad pro správu údajů policie vydal ministr v roce 2005 na základě pravomocí stanovených v článku 39 A zákona o policii z roku 1996 (29). Jakýkoli kodex zásad vydaný podle zákona o policii musí být schválen ministrem a před předložením parlamentu Spojeného království musí být konzultován s Národní kriminální agenturou. Ustanovení čl. 39 A odst. 7 zákona o policii vyžaduje, aby policie řádně zohledňovala kodexy vydané podle tohoto zákona, a tudíž se od policie očekává, že bude kodexy dodržovat (30). Pokyny, které nepředstavují zákonný právní předpis (například povolený odborný postup), musí být vždy v souladu s kodexem zásad pro správu údajů policie, který má vyšší právní sílu (31). V každém případě, ačkoli by mohlo dojít k určitým operativním situacím, kdy se policisté budou muset od těchto pokynů odchýlit, jsou stále povinni dodržovat požadavky části 3 zákona o ochraně údajů z roku 2018 (32).
                  
               
                     (18)
                  
                  
                     Další pokyny k právním předpisům Spojeného království v oblasti ochrany údajů týkajícím se zpracování v oblasti prosazování práva poskytuje Úřad komisaře pro informace (33) (další podrobnosti o Úřadu komisaře pro informace viz 93. až 109. bod odůvodnění). Jakkoli tyto pokyny nejsou právně závazné, v soudním řízení by soudy byly povinny zohlednit jakékoli jejich porušení, neboť mají interpretační sílu a ukazují, jak komisař právní předpisy v oblasti ochrany údajů vykládá a prosazuje v praxi (34).
                  
               
                     (19)
                  
                  
                     A v neposlední řadě musí donucovací orgány Spojeného království zajistit soulad s EÚLP a s úmluvou č. 108, jak uvádí 8. až 10. bod odůvodnění.
                  
               
                     (20)
                  
                  
                     Svou strukturou a hlavními složkami je tedy právní rámec upravující zpracování údajů orgány činnými v trestním řízení ve Spojeném království velmi podobný právnímu rámci platnému v EU. Zahrnuje to skutečnost, že takový rámec se neopírá pouze o povinnosti stanovené ve vnitrostátním právu, které byly formovány právem EU, ale také o povinnosti zakotvené v mezinárodním právu, zejména prostřednictvím dodržování EÚLP a úmluvy č. 108 a podrobení se pravomoci Evropského soudu pro lidská práva ze strany Spojeného království. Tyto povinnosti vyplývají z právně závazných mezinárodních nástrojů, zejména pokud jde o ochranu osobních údajů, a jsou proto obzvláště důležitým prvkem právního rámce posuzovaného v tomto rozhodnutí.
                  
               2.3.   Věcná a územní působnost
         
         
                     (21)
                  
                  
                     Věcná působnost části 3 zákona o ochraně údajů z roku 2018 se shoduje s působností směrnice (EU) 2016/680, jak je uvedena v čl. 2 odst. 2 směrnice. Část 3 se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů příslušným orgánem a na neautomatizované zpracování příslušným orgánem týkající se osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.
                  
               
                     (22)
                  
                  
                     Kromě toho, aby správce spadal do oblasti působnosti části 3, musí být „příslušným orgánem“ a zpracování musí být prováděno pro „účely prosazování práva“. Režim ochrany údajů, který je posuzován v tomto rozhodnutí, se proto vztahuje na všechny činnosti těchto příslušných orgánů v oblasti prosazování práva.
                  
               
                     (23)
                  
                  
                     Pojem „příslušný orgán“ je vymezen v článku 30 zákona o ochraně údajů jako osoba vyjmenovaná v příloze 7 zákona o ochraně údajů z roku 2018, jakož i kterákoli jiná osoba, která má zákonné funkce pro jakékoli účely prosazování práva. Příslušné orgány vyjmenované v příloze 7 zahrnují nejen policejní síly, ale i všechna ministerstva Spojeného království , jakož i jiné orgány s vyšetřovacími funkcemi (např. Commissioner for Her Majesty’s Revenue and Customs (komisař Daňové a celní správy Spojeného království), Welsh Revenue Authority (orgán daňové správy ve Walesu), Competition and Markets Authority (Úřad pro hospodářskou soutěž a trhy), Her Majesty’s Land Register (Katastrální úřad Spojeného království) nebo Národní kriminální agentura), státní zastupitelství, další orgány činné v trestním řízení a další držitele funkcí nebo organizace vykonávající činnosti v oblasti prosazování práva (35). Část 3 zákona o ochraně údajů z roku 2018 se vztahuje také na soudy při výkonu jejich soudních funkcí, s výjimkou části týkající se práv subjektu údajů a dohledu Úřadu komisaře pro informace (36). Seznam příslušných orgánů uvedený v příloze 7 není konečný a ministr jej může aktualizovat nařízeními s přihlédnutím ke změnám v organizaci veřejných úřadů (37).
                  
               
                     (24)
                  
                  
                     Dotčené zpracování musí být také prováděno pro „účely prosazování práva“, které jsou vymezeny jako prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení (38). Zpracování příslušným orgánem se neřídí částí 3 zákona o ochraně údajů z roku 2018, pokud k němu nedochází pro účely prosazování práva. Bude tomu tak například v případě, kdy Úřad pro hospodářskou soutěž a trhy vyšetřuje případy, v nichž se nejedná o trestní stíhání (např. fúze společností). V takovém případě se použije britské nařízení GDPR společně s částí 2 zákona o ochraně údajů z roku 2018, protože zpracování osobních údajů příslušnými orgány se provádí pro jiné účely než prosazování práva. Aby určil, který režim ochrany údajů se na dotčené zpracování osobních údajů použije (část 3 nebo část 2 zákona o ochraně údajů z roku 2018), musí příslušný orgán, tj. správce, posoudit, zda je „primárním účelem“ takového zpracování jeden z účelů prosazování práva podle zákona o ochraně údajů z roku 2018.
                  
               
                     (25)
                  
                  
                     Pokud jde o územní působnost části 3 zákona o ochraně údajů z roku 2018, čl. 207 odst. 2 stanoví, že zákon o ochraně údajů se použije na zpracování osobních údajů v rámci činností subjektu zřízeného pro celé území Spojeného království. To zahrnuje orgány veřejné moci na území Anglie, Walesu, Skotska a Severního Irska, která spadají do věcné působnosti části 3 zákona o ochraně údajů z roku 2018 (39).
                  
               2.3.1.   Definice osobních údajů a zpracování
         
         
                     (26)
                  
                  
                     Hlavní pojmy v oblasti osobních údajů a zpracování jsou vymezeny v článku 3 zákona o ochraně údajů z roku 2018 a používají se v celém tomto zákoně. Definice úzce navazují na odpovídající definice uvedené v článku 3 směrnice (EU) 2016/680. Podle zákona o ochraně údajů z roku 2018 se osobními údaji rozumí veškeré informace o identifikované nebo identifikovatelné žijící fyzické osobě (40). Podle čl. 3 odst. 3 zákona o ochraně údajů z roku 2018 je fyzická osoba identifikovatelná, pokud ji lze z daných informací přímo či nepřímo identifikovat, například s odkazem na jméno nebo určitý identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby. Pojem „zpracování“ je vymezen jako operace nebo soubor operací, které jsou prováděny s informacemi nebo soubory informací, jako je a) shromáždění, zaznamenání, uspořádání, strukturování nebo uložení; b) přizpůsobení nebo pozměnění; c) vyhledání, nahlédnutí nebo použití; d) zpřístupnění osobních údajů přenosem, šířením nebo jakýmkoliv jiným způsobem; e) seřazení nebo zkombinování nebo f) omezení, výmaz nebo zničení. Kromě toho zákon vymezuje „citlivé zpracování“ jako „a) zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech; b) zpracování genetických údajů nebo biometrických údajů za účelem jedinečné identifikace fyzické osoby; c) zpracování údajů o zdravotním stavu; d) zpracování údajů o sexuálním životě nebo sexuální orientaci fyzické osoby“ (41). V tomto ohledu článek 205 zákona o ochraně údajů z roku 2018 uvádí definici „biometrických údajů“ (42), „údajů o zdravotním stavu“ (43) a „genetických údajů“ (44).
                  
               
                     (27)
                  
                  
                     Článek 32 zákona o ochraně údajů z roku 2018 objasňuje definice „správce“ a „zpracovatele“ v kontextu zpracování osobních údajů pro účely prosazování práva, přičemž úzce navazuje na rovnocenné definice ve směrnici (EU) 2016/680. Správcem se rozumí příslušný orgán, který určuje účely a prostředky zpracování osobních údajů. Je-li zpracování vyžadováno ze zákona, je správcem příslušný orgán, kterému daný právní předpis tuto povinnost ukládá. Zpracovatel je vymezen jako kterákoli osoba, která zpracovává osobní údaje pro správce (kromě zaměstnanců správce).
                  
               2.4.   Záruky, práva a povinnosti
         
         2.4.1.   Zákonnost a korektnost zpracování
         
         
                     (28)
                  
                  
                     Podle článku 35 zákona o ochraně údajů z roku 2018 musí být zpracování osobních údajů zákonné a korektní, obdobně jako podle čl. 4 odst. 1 písm. a) směrnice (EU) 2016/680. V souladu s čl. 35 odst. 2 zákona o ochraně údajů z roku 2018 je zpracování osobních údajů pro jakékoli účely prosazování práva zákonné, pouze pokud má základ v právu, přičemž buď subjekt údajů udělil souhlas se zpracováním pro daný účel, nebo je zpracování nezbytné pro plnění úkolu, který za tímto účelem provádí příslušný orgán.
                  
               2.4.1.1.   Zpracování na základě právních předpisů
         
         
                     (29)
                  
                  
                     Obdobně, jako je stanoveno v článku 8 směrnice (EU) 2016/680, musí být taková zpracování s cílem zajistit zákonnost zpracování podle části 3 zákona o ochraně údajů z roku 2018 „právně podložená“. „Zákonným“ zpracováním se rozumí zpracování povolené právním předpisem, zvykovým právem nebo královskými výsadami (45).
                  
               
                     (30)
                  
                  
                     Pravomoci příslušných orgánů se obecně řídí zákonnými předpisy, což znamená, že jejich funkce a pravomoci jsou jasně stanoveny v právních předpisech přijatých Parlamentem (46). V některých případech se policie i další příslušné orgány vyjmenované v příloze 7 zákona o ochraně údajů z roku 2018 mohou při zpracování údajů opřít o zvykové právo (47). Zvykové právo postupně vznikalo v podobě precedentů stanovených rozhodnutími soudů. Zvykové právo je relevantní v kontextu pravomocí, které má k dispozici policie, jež z tohoto pramene práva odvozuje svou základní povinnost chránit veřejnost odhalováním a prevencí trestné činnosti (48). Policejní síly však mají k výkonu této povinnosti pravomoci na základě zvykového práva i právních předpisů (49). Pokud má policie pravomoc na základě zákonného právního předpisu, je tato pravomoc nadřazena jakékoli pravomoci podle zvykového práva (50).
                  
               
                     (31)
                  
                  
                     Soudy uznaly, že šíře pravomocí a povinností policisty podle zvykového práva zahrnuje „všechny kroky, které se mu zdají nezbytné pro udržení klidu, předcházení trestné činnosti nebo ochranu majetku před újmou v důsledku trestného činu“ (51). Pravomoci podle zvykového práva nejsou bezvýhradnými pravomocemi. Podléhají řadě omezení, včetně omezení stanovených soudy (52) a právními předpisy, zejména zákonem o lidských právech z roku 1998 a zákonem o rovnosti z roku 2010 (53). U příslušných orgánů zpracovávajících údaje podle části 3 zákona o ochraně údajů z roku 2018 to navíc zahrnuje výkon pravomocí podle zvykového práva v souladu s požadavky stanovenými v zákoně o ochraně údajů z roku 2018 (54). Rozhodnutí o provedení jakéhokoli druhu zpracování údajů musí dále zohledňovat požadavky příslušných pokynů, jako je kodex zásad pro správu údajů policie, jakož i pokyny specifické pro jednu ze zemí Spojeného království (55). Vláda a operativní policejní složky vydávají řadu pokynů s cílem zajistit, aby policisté vykonávali své pravomoci zpracování v mezích stanovených zvykovým právem nebo příslušným zákonem (56).
                  
               
                     (32)
                  
                  
                     Královské výsady představují další složku „práva“ a odkazují na určité pravomoci svěřené Koruně a vykonatelné výkonnou mocí, které se nezakládají na právním předpisu, nýbrž jsou odvozeny ze svrchovanosti panovníka (57). Existuje jen velmi málo příkladů výsadních pravomocí, které jsou relevantní v kontextu prosazování práva. Patří k nim například rámec vzájemné právní pomoci, který umožňuje sdílení údajů ze strany ministra se třetími zeměmi pro účely prosazování práva, a pravomoc sdílet údaje tímto způsobem není vždy stanovena v zákonném právním předpisu (58). Královské výsady jsou vázány zásadami zvykového práva (59) a jsou podřízeny obecnému právu, tudíž podléhají omezením stanoveným zákonem o lidských právech z roku 1998 a zákonem o ochraně údajů z roku 2018 (60).
                  
               
                     (33)
                  
                  
                     Obdobně jako článek 8 směrnice (EU) 2016/680 režim Spojeného království vyžaduje, aby za účelem dodržení zásady zákonnosti měly příslušné orgány povinnost zajistit, aby v případech, kdy je zpracování právně podloženo, bylo rovněž „nezbytné“ provádět daný úkol za účelem prosazování práva. V tomto ohledu poskytuje Úřad komisaře pro informace pokyny, které objasňují, že „se musí jednat o cílený a přiměřený způsob dosažení daného účelu. Zákonný základ se nepoužije, pokud můžete účelu rozumně dosáhnout jinými, méně rušivými prostředky. Nestačí tvrdit, že zpracování je nezbytné, protože to tak nejvíce vyhovuje způsobu vašeho podnikání. Jde o to, zda je zpracování pro uvedený účel nezbytné.“ (61)
                     
                  
               2.4.1.2   Zpracování na základě „souhlasu“ subjektu údajů
         
         
                     (34)
                  
                  
                     Jak uvádí 28. bod odůvodnění, čl. 35 odst. 2 zákona o ochraně údajů z roku 2018 stanoví možnost zpracovávat osobní údaje na základě „souhlasu“ fyzické osoby.
                  
               
                     (35)
                  
                  
                     Souhlas však zřejmě není právním základem relevantním pro operace zpracování spadající do oblasti působnosti tohoto rozhodnutí. Operace zpracování, na které se vztahuje toto rozhodnutí, se ve skutečnosti budou vždy týkat údajů, které byly předány podle směrnice (EU) 2016/680 příslušným orgánem členského státu příslušnému orgánu Spojeného království. Obvykle tedy nebudou zahrnovat takový druh přímé interakce (shromažďování) mezi orgánem veřejné moci a subjekty údajů, který může být založen na souhlasu podle čl. 35 odst. 2 písm. a) zákona o ochraně údajů z roku 2018.
                  
               
                     (36)
                  
                  
                     Ačkoli se tudíž využití souhlasu nepovažuje za relevantní pro posouzení prováděné podle tohoto rozhodnutí, pro úplnost je třeba uvést, že v kontextu prosazování práva není zpracování nikdy založeno pouze na souhlasu, neboť příslušný orgán musí mít vždy příslušnou pravomoc, která mu umožňuje zpracovávat údaje (62). To konkrétně znamená, že – podobně, jako je povoleno podle směrnice (EU) 2016/680 (63) – souhlas slouží jako další podmínka umožňující určité omezené a specifické operace zpracování, které by jinak nemohly být provedeny, například odběr a zpracování vzorku DNA jednotlivce, který není podezřelou osobou. V tomto případě by zpracování nebylo provedeno, pokud by souhlas nebyl udělen nebo byl vzat zpět (64).
                  
               
                     (37)
                  
                  
                     V případech vyžadujících souhlas jednotlivce musí být takový souhlas jednoznačný a musí zahrnovat zjevné potvrzení (65). Policejní útvary jsou povinny mít oznámení o ochraně osobních údajů, mimo jiné včetně nezbytných informací souvisejících s platným použitím souhlasu. Některé z nich navíc zveřejňují další materiály o tom, jak dodržují právní předpisy v oblasti ochrany údajů, včetně toho, jak a kdy by použily souhlas jako právní základ (66).
                  
               2.4.1.3   Citlivé zpracování
         
         
                     (38)
                  
                  
                     Pokud se zpracovávají „zvláštní kategorie“ údajů, měly by existovat zvláštní záruky. V tomto ohledu, obdobně jako ustanovení článku 10 směrnice (EU) 2016/680, poskytuje část 3 zákona o ochraně údajů z roku 2018 silnější záruky pro tzv. citlivé zpracování (67).
                  
               
                     (39)
                  
                  
                     Podle čl. 35 odst. 3 zákona o ochraně údajů z roku 1998 mohou příslušné orgány zpracovávat citlivé údaje pro účely prosazování práva pouze ve dvou případech: 1) subjekt údajů udělil souhlas se zpracováním pro daný účel prosazování práva a v době, kdy je zpracování prováděno, má správce zaveden příslušný dokument o vhodné politice (68), nebo 2) zpracování je nezbytně nutné pro účely prosazování práva, zpracování splňuje alespoň jednu z podmínek uvedených v příloze 8 zákona o ochraně údajů z roku 2018 a v době, kdy je zpracování prováděno, má správce zaveden příslušný dokument o vhodné politice (69).
                  
               
                     (40)
                  
                  
                     Pokud jde o první případ a jak je vysvětleno v 38. bodě odůvodnění, využití souhlasu se nepovažuje za relevantní u takového druhu situace předání, na který se vztahuje toto rozhodnutí (70).
                  
               
                     (41)
                  
                  
                     Pokud se zpracování citlivých údajů neopírá o souhlas, lze je provést na základě jedné z podmínek uvedených v příloze 8 zákona o ochraně údajů z roku z roku 2018. Tyto podmínky se týkají zpracování nezbytného pro zákonem stanovené účely; soudní správu; ochranu životních zájmů subjektu údajů nebo jiné osoby; ochranu dětí a ohrožených osob; právní nároky; soudní akty; předcházení podvodům; archivaci, pokud jsou osobní údaje zjevně zveřejněny subjektem údajů. Kromě případu, kdy jsou údaje zjevně zveřejněny, podléhají všechny podmínky uvedené v příloze 8 testu „nezbytné nutnosti“. Jak objasnil Úřad komisaře pro informace, „nezbytná nutnost v této souvislosti znamená, že zpracování musí souviset s naléhavou společenskou potřebou a nemůžete jej rozumně provést méně rušivými prostředky“ (71). Některé podmínky navíc podléhají dalším omezením. Například pro využití podmínky „zákonem stanovených účelů“ a „podmínky ochrany“ (body 1 a 4 přílohy 8) je třeba vyhovět dalšímu podstatnému testu veřejného zájmu. Kromě toho, pokud jde o podmínky týkající se ochrany dítěte (bod 4 přílohy 8), musí být subjekt údajů rovněž v určitém věku a musí být považován za ohrožený. Správce může navíc podmínku uvedenou v bodě 4 přílohy 8 použít pouze v případě konkrétních okolností (72). Podobně existují omezení týkající se podmínek „soudních aktů“ a „předcházení podvodům“ (bod 7, resp. bod 8 přílohy 8). Obě podmínky jsou použitelné pouze pro konkrétní správce. V případě soudních aktů může takovou podmínku použít pouze soud nebo jiný soudní orgán a v případě prevence podvodů se o tuto podmínku mohou opřít pouze správci, kteří jsou organizacemi činnými v oblasti boje proti podvodům.
                  
               
                     (42)
                  
                  
                     A konečně, pokud se zpracování opírá o jednu z podmínek uvedených v příloze 8, resp. článek 42 zákona o ochraně údajů z roku z roku 2018, musí být zaveden „dokument o vhodné politice“, který vysvětluje postupy správce pro zajištění souladu se zásadami ochrany údajů a politikami správce týkajícími se uchovávání a výmazu osobních údajů, a platí povinnosti vedení rozšířené evidence.
                  
               2.4.2.   Účelové omezení
         
         
                     (43)
                  
                  
                     Osobní údaje by měly být zpracovávány za konkrétním účelem a následně používány, pouze pokud to není neslučitelné s účelem zpracování. Tuto zásadu ochrany údajů zaručuje článek 36 zákona o ochraně údajů z roku 2018. Toto ustanovení obdobně jako čl. 4 odst. 1 písm. b) směrnice (EU) 2016/680 stanoví, že a) účel prosazování práva, pro který jsou osobní údaje při jakékoli příležitosti shromažďovány, musí být určitý, výslovně vyjádřený a legitimní a b) takto shromážděné osobní údaje nesmí být zpracovávány způsobem, který není slučitelný s účely, pro které byly údaje shromážděny.
                  
               
                     (44)
                  
                  
                     Pokud příslušné orgány zpracovávají údaje pro účely prosazování práva, mohou účely zahrnovat archivaci, vědecký či historický výzkum a statistické účely (73). V těchto případech zákon o ochraně údajů z roku 2018 rovněž objasňuje, že archivace (nebo zpracování pro vědecký či historický výzkum a statistické účely) není povolena, pokud je prováděna u rozhodnutí vydaných ve vztahu ke konkrétnímu subjektu údajů nebo pokud je pravděpodobné, že archivace způsobí subjektu podstatnou újmu nebo tíseň (74).
                  
               2.4.3.   Přesnost a minimalizace údajů
         
         
                     (45)
                  
                  
                     Údaje musí být přesné a dle potřeby aktualizované. Musí být rovněž přiměřené, relevantní a nikoli přebytečné ve vztahu k účelům, pro které jsou zpracovávány. Obdobně, jako je stanoveno v čl. 4 odst. 1 písm. c), d) a e) směrnice (EU) 2016/680, jsou tyto zásady zajištěny v článcích 37 a 38 zákona o ochraně údajů z roku 2018. Musí být přijata veškerá rozumná opatření zajišťující, aby osobní údaje, které jsou nepřesné (75), byly bezodkladně vymazány nebo opraveny (76) s přihlédnutím k účelu, pro který jsou zpracovávány (77), a aby nebyly pro žádný účel prosazování práva předávány ani zpřístupňovány osobní údaje, které jsou nepřesné, neúplné nebo již nejsou aktuální (78).
                  
               
                     (46)
                  
                  
                     Kromě toho britský režim ochrany údajů stanoví – obdobně, jako je stanoveno v článku 7 směrnice (EU) 2016/680 –, že osobní údaje založené na skutečnostech je třeba pokud možno rozlišovat od osobních údajů založených na osobních hodnoceních (79). V příslušných případech, a pokud je to možné, se musí jednoznačně rozlišovat mezi osobními údaji týkajícími se různých kategorií subjektů údajů, jako jsou podezřelé osoby, osoby odsouzené za trestný čin, oběti trestného činu a svědci (80).
                  
               2.4.4.   Omezení uložení
         
         
                     (47)
                  
                  
                     Podle článku 5 směrnice (EU) 2016/680 by se údaje zásadně neměly uchovávat déle, než je nezbytné pro účely, k nimž jsou zpracovávány. Podle článku 39 zákona o ochraně údajů z roku 2018 a obdobně, jako je stanoveno v článku 5 uvedené směrnice, je zakázáno uchovávat osobní údaje zpracovávané pro jakékoli účely prosazování práva po dobu delší, než je nezbytné s ohledem na účel, pro který jsou zpracovávány. Právní režim Spojeného království vyžaduje, aby byly stanoveny přiměřené lhůty pro pravidelné přezkoumání nutnosti dalšího uchovávání osobních údajů pro jakékoli účely prosazování práva. Další pravidla pro postupy týkající se uchovávání osobních údajů a příslušné lhůty jsou stanovena v příslušných právních předpisech a pokynech upravujících pravomoci a fungování policie. Například v Anglii a Walesu poskytuje rámec pro zajištění jednotného a na riziku založeného procesu uchovávání, přezkumu a likvidace pro správu operačních policejních informací kodex zásad pro správu údajů policie, který vypracovala policejní akademie, společně s povoleným odborným postupem pro správu údajů policie (81). Tento rámec stanoví pro všechny složky policie jasná očekávání ohledně způsobu, jakým by měly být informace vytvářeny, sdíleny, používány a spravovány v rámci jednotlivých policejních útvarů a jiných agentur a mezi nimi (82). Očekává se, že policie bude kodex zásad dodržovat, a toto dodržování kontroluje Inspektorát policejního a hasičského a záchranného sboru Jejího Veličenstva (83).
                  
               
                     (48)
                  
                  
                     Policejní sbor Severního Irska není ze zákona povinen dodržovat kodex zásad pro správu údajů policie. Rámec správy údajů policie přijatý v roce 2011 je však doplněn příručkou Policejního sboru Severního Irska (84), která stanoví zásady a postupy týkající se způsobu, jakým je v Severním Irsku kodex zásad pro správu údajů policie uplatňován.
                  
               
                     (49)
                  
                  
                     Ve Skotsku policejní síly používají standardní operační postup pro uchovávání záznamů (85), který podporuje politiku správy záznamů policejního sboru ve Skotsku (86). Standardní operační postup pro uchovávání záznamů stanoví konkrétní pravidla pro uchovávání záznamů policií ve Skotsku.
                  
               
                     (50)
                  
                  
                     Kromě všeobecného požadavku přezkumu záznamů, který platí v celém Spojeném království, jsou další podrobnosti uvedeny v lokalizovaných předpisech. K příkladům v Anglii a Walesu patří zákon o policii a důkazech v trestním řízení, ve znění zákona o ochraně svobod z roku 2012, který obsahuje ustanovení o uchovávání otisků prstů a profilů DNA, jakož i o zvláštním režimu pro osoby, které nebyly odsouzeny (87). Zákon o ochraně svobod rovněž zřídil funkci komisaře pro uchovávání a používání biometrických materiálů (dále jen „komisař pro biometriku“) (88). Zvláštní pravidla pro fotografie pořízené při zadržení jsou stanovena v pokynech pro přezkum fotografií pořízených při zadržení z roku 2017 (89). Pokud jde o Skotsko, zákon o trestním řízení (Skotsko) z roku 1995 stanoví pravidla pro získávání a uchovávání otisků prstů a biologických vzorků (90). Stejně jako v případě Anglie a Walesu upravují právní předpisy uchovávání biometrických údajů v různých případech (91).
                  
               2.4.5.   Zabezpečení údajů
         
         
                     (51)
                  
                  
                     Osobní údaje musí být zpracovávány způsobem, který zajišťuje jejich zabezpečení, včetně ochrany před neoprávněným nebo protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením. Za tímto účelem by orgány veřejné moci měly přijmout vhodná technická nebo organizační opatření na ochranu osobních údajů před možnými hrozbami. Tato opatření musí být posuzována s přihlédnutím ke stavu techniky a k souvisejícím nákladům.
                  
               
                     (52)
                  
                  
                     Tyto zásady se odrážejí v článku 40 zákona o ochraně údajů z roku 2018, podle kterého musí být obdobně jako dle čl. 4 odst. 1 písm. f) směrnice (EU) 2016/680 osobní údaje zpracovávané pro jakýkoli účel prosazování práva zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, a to pomocí vhodných technických nebo organizačních opatření. To zahrnuje ochranu údajů před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením (92). Článek 66 zákona o ochraně údajů z roku 2018 dále stanoví, že každý správce a každý zpracovatel musí zavést vhodná technická a organizační opatření k zajištění úrovně bezpečnosti odpovídající rizikům vyplývajícím ze zpracování osobních údajů. Podle vysvětlivek musí správce vyhodnotit rizika a na základě tohoto vyhodnocení zavést vhodná bezpečnostní opatření, například šifrování nebo specifické úrovně bezpečnostní prověrky pro zaměstnance, kteří údaje zpracovávají (93). Hodnocení musí rovněž zohlednit například povahu zpracovávaných údajů a jakékoli další relevantní faktory nebo okolnosti, které by mohly mít vliv na zabezpečení zpracování.
                  
               
                     (53)
                  
                  
                     Režim upravující dodržování zásad zabezpečení údajů je velmi podobný režimu stanovenému články 29 až 31 směrnice (EU) 2016/680. Konkrétně v případě porušení zabezpečení osobních údajů týkajícího se osobních údajů, za které nese odpovědnost, musí správce podle čl. 67 odst. 1 zákona o ochraně údajů z roku 2018 bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásit toto porušení zabezpečení osobních údajů komisaři pro informace (94). Oznamovací povinnost neplatí, pokud není pravděpodobné, že by porušení zabezpečení osobních údajů vedlo k ohrožení práv a svobod jednotlivců (95). Správce musí zdokumentovat skutečnosti týkající se jakéhokoli porušení zabezpečení osobních údajů, jeho dopadů a přijatých nápravných opatření, a to způsobem, který komisaři pro informace umožní ověřit dodržování zákona o ochraně údajů (96). Pokud se o porušení zabezpečení dozví zpracovatel, musí bez zbytečného odkladu vyrozumět správce (97).
                  
               
                     (54)
                  
                  
                     Je-li pravděpodobné, že porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, musí to podle čl. 68 odst. 1 zákona o ochraně údajů z roku 2018 správce bez zbytečného odkladu oznámit subjektu údajů (98). Oznámení musí obsahovat stejné informace jako oznámení komisaři pro informace popsané v 53. bodě odůvodnění. Tato povinnost neplatí, pokud správce zavedl náležitá technická a organizační ochranná opatření, která byla použita u osobních údajů dotčených daným porušením zabezpečení. Povinnost také neplatí v případě, že správce přijal následná opatření, která zajistí, že vysoké riziko pro práva a svobody subjektů údajů se již pravděpodobně neprojeví. A konečně správce není povinen uvědomit subjekt údajů, pokud by to vyžadovalo nepřiměřené úsilí (99). V takovém případě musí být informace subjektu údajů zpřístupněny jiným, stejně účinným způsobem, například veřejným oznámením (100). Jestliže správce subjektu údajů porušení zabezpečení údajů neoznámil, může komisař pro informace poté, co byl informován podle článku 67 zákona o ochraně údajů a posoudil pravděpodobnost toho, že dané porušení bude mít za následek vysoké riziko, požadovat, aby správce subjekt údajů o porušení zabezpečení informoval (101).
                  
               2.4.6.   Transparentnost
         
         
                     (55)
                  
                  
                     Subjekty údajů musí být informovány o hlavních znacích zpracování jejich osobních údajů. Tato zásada ochrany údajů se odráží v článku 44 zákona o ochraně údajů z roku z roku 2018, který podobně jako článek 13 směrnice (EU) 2016/680 stanoví, že správce má obecnou povinnost zpřístupnit subjektům údajů informace o zpracování jejich osobních údajů (ať už zveřejněním informací, nebo jakýmkoli jiným způsobem) (102). Informace, které mají být zpřístupněny, zahrnují a) údaje o totožnosti a kontaktní údaje správce; b) kontaktní údaje případného pověřence pro ochranu osobních údajů; c) informace o účelech, pro které správce osobní údaje zpracovává; d) informace o existenci práva subjektů údajů požadovat od správce přístup k osobním údajům, jejich opravu nebo výmaz anebo omezení jejich zpracování a e) informace o existenci práva podat stížnost u komisaře pro informace a kontaktní údaje komisaře (103).
                  
               
                     (56)
                  
                  
                     Správce musí rovněž ve zvláštních případech, aby umožnil výkon práv subjektu údajů podle zákona o ochraně údajů z roku 2018 (například pokud byly zpracovávané osobní údaje shromážděny bez vědomí subjektu údajů), poskytnout subjektu údajů: a) informace o právním základu zpracování; b) informace o době, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, o kritériích použitých ke stanovení této doby; c) informace o případných kategoriích příjemců daných osobních údajů (včetně příjemců ve třetích zemích nebo v mezinárodních organizacích); d) další informace nezbytné k umožnění výkonu práv subjektu údajů podle části 3 zákona o ochraně údajů z roku 2018 (104).
                  
               2.4.7.   Individuální práva
         
         
                     (57)
                  
                  
                     Subjektům údajů musí být přiznána řada vymahatelných práv. Kapitola 3 části 3 zákona o ochraně údajů z roku 2018 poskytuje jednotlivcům práva na přístup, opravu a výmaz a omezení (105), která jsou srovnatelná s právy stanovenými v kapitole 3 směrnice (EU) 2016/680.
                  
               
                     (58)
                  
                  
                     Právo na přístup je stanoveno v článku 45 zákona o ochraně údajů z roku 2018. Zaprvé, jednotlivec je oprávněn získat od správce potvrzení, zda jeho osobní údaje jsou, či nejsou zpracovávány (106). Zadruhé, pokud jsou osobní údaje zpracovávány, má subjekt údajů právo na přístup k těmto údajům a na získání těchto informací o zpracování: a) účely a právní základy zpracování; b) kategorie dotčených údajů; c) příjemci, kterým byly údaje zpřístupněny; d) doba, po kterou se budou osobní údaje uchovávat; e) existence práva subjektu údajů na opravu a výmaz osobních údajů; f) právo podat stížnost; a g) veškeré informace o původu dotčených osobních údajů (107).
                  
               
                     (59)
                  
                  
                     Podle článku 46 zákona o ochraně údajů z roku 2018 má subjekt údajů právo požadovat, aby správce opravil nepřesné osobní údaje, které se týkají subjektu údajů. Správce musí údaje opravit (nebo pokud jsou údaje nepřesné, protože jsou neúplné, doplnit) bez zbytečného odkladu. Pokud musí být osobní údaje uchovány pro účely dokazování, musí správce (namísto opravy osobních údajů) omezit jejich zpracování (108).
                  
               
                     (60)
                  
                  
                     Článek 47 zákona o ochraně údajů z roku 2018 poskytuje jednotlivcům právo na výmaz a omezení zpracování. Správce musí (109) bez zbytečného odkladu vymazat osobní údaje, pokud by zpracování těchto osobních údajů porušovalo kteroukoli ze zásad ochrany údajů, kterýkoli z právních důvodů zpracování nebo kteroukoli záruku související s archivací a citlivým zpracováním. Správce musí také údaje vymazat, pokud je k tomu povinen ze zákona. Musí-li být dané osobní údaje uchovány pro účely dokazování, musí správce (namísto výmazu osobních údajů) omezit jejich zpracování (110). Správce musí omezit zpracování osobních údajů, pokud subjekt údajů zpochybňuje přesnost osobních údajů, ale není možné zjistit, zda jsou údaje přesné, či nikoli (111).
                  
               
                     (61)
                  
                  
                     Pokud subjekt údajů požaduje opravu nebo výmaz osobních údajů nebo omezení jejich zpracování, musí správce subjekt údajů písemně informovat o tom, zda bylo žádosti vyhověno, a pokud byla zamítnuta, informovat subjekt údajů o důvodech zamítnutí a dostupných opravných prostředcích (právo subjektu údajů podat komisaři pro informace žádost o vyšetření toho, zda bylo omezení použito zákonně, právo podat stížnost u komisaře pro informace a právo podat k soudu návrh na vydání příkazu ke splnění povinnosti) (112).
                  
               
                     (62)
                  
                  
                     Pokud správce opraví osobní údaje přijaté od jiného příslušného orgánu, musí to druhému orgánu oznámit (113). Pokud správce opraví či vymaže osobní údaje nebo omezí zpracování osobních údajů, které správce zpřístupnil, musí o tom vyrozumět příjemce a příjemci musí obdobně dané osobní údaje opravit, vymazat nebo omezit jejich zpracování (pokud si za ně ponechají odpovědnost) (114).
                  
               
                     (63)
                  
                  
                     Subjekt údajů má navíc právo na to, aby jej správce bez zbytečného odkladu informoval o porušení zabezpečení osobních údajů, pokud je pravděpodobné, že povede k vysokému riziku pro práva a svobody osob (115).
                  
               
                     (64)
                  
                  
                     Ve vztahu ke všem těmto právům subjektu údajů a obdobně právům, která jsou zajištěna podle článku 12 směrnice (EU) 2016/680, je správce povinen zajistit, aby veškeré informace byly subjektu údajů poskytovány stručným, srozumitelným a snadno přístupným způsobem (116), a pokud je to možné, měly by být poskytovány stejnou formou, jakou je podána žádost (117). Správce musí vyhovět žádosti subjektu údajů bez zbytečného odkladu nebo v každém případě v zásadě nejpozději jeden měsíc od data podání žádosti (118). Má-li správce důvodné pochybnosti o totožnosti jednotlivce, může požádat o další informace a odložit vyřízení žádosti, dokud nebude totožnost zjištěna. Správce může požadovat přiměřený poplatek nebo může odmítnout jednat, pokud žádost považuje za zjevně nedůvodnou (119). Úřad komisaře pro informace poskytl pokyny ohledně toho, kdy je žádost považována za zjevně nedůvodnou nebo nepřiměřenou a kdy lze požadovat poplatek (120).
                  
               
                     (65)
                  
                  
                     Podle čl. 53 odst. 4 zákona o ochraně údajů z roku 2018 může maximální výši poplatku nařízeními stanovit také ministr.
                  
               2.4.7.1   Omezení práv subjektu údajů a povinnosti transparentnosti
         
         
                     (66)
                  
                  
                     Příslušný orgán může za určitých okolností omezit určitá práva subjektu údajů: právo na přístup (121), právo být informován (122), dozvědět se o porušení zabezpečení osobních údajů (123) a být informován o důvodu odmítnutí žádosti o opravu nebo výmaz (124). Obdobně, jako je upraveno v režimu uvedeném v kapitole III směrnice (EU) 2016/680, může příslušný orgán uplatnit omezení pouze v případě, že omezení s přihlédnutím k základním právům a oprávněným zájmům subjektu údajů představuje nezbytné a přiměřené opatření s cílem: a) zabránit maření úředních nebo právních šetření, vyšetřování nebo řízení; b) zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů; c) chránit veřejnou bezpečnost; d) chránit národní bezpečnost; e) chránit práva a svobody druhých.
                  
               
                     (67)
                  
                  
                     Úřad komisaře pro informace poskytl pokyny k uplatňování těchto omezení. Podle těchto pokynů musí správci v každém jednotlivém případě provést analýzu, aby vyvážili práva jednotlivce vůči újmě, kterou by zpřístupnění osobních údajů způsobilo. Zejména musí odůvodnit jakékoli použité omezení jako nezbytné a přiměřené a poskytované informace mohou omezit pouze v případě, že by znamenaly újmu pro výše uvedené účely (125).
                  
               
                     (68)
                  
                  
                     Existuje také řada dalších pokynů vydaných příslušnými orgány, které poskytují podrobné informace o všech aspektech právních předpisů v oblasti ochrany údajů, včetně uplatňování omezení práv subjektů údajů (126). Například v souvislosti s čl. 45 odst. 4 Příručka ochrany údajů Národní rady policejních ředitelů uvádí: „Je důležité si uvědomit, že omezení lze uplatnit, pouze pokud je nezbytné a pouze po nezbytnou dobu. V důsledku toho není povoleno plošné uplatňování omezení na veškeré osobní údaje žadatele nebo trvalé uplatňování omezení. Pokud jde o druhý bod, často se stává, že osobní údaje shromážděné bez vědomí subjektu údajů, který je ve vyšetřování podezřelou osobou, je třeba nejprve chránit před zpřístupněním tomuto subjektu údajů, aby nedošlo k narušení vyšetřování v jeho průběhu, k pozdějšímu datu by však zpřístupnění nezpůsobilo žádnou újmu, pokud by osobní údaje byly jednotlivci zpřístupněny během výslechu. Policejní útvary musí zavést postupy, které zajistí, že tato omezení budou uplatňována pouze v požadovaném rozsahu a pouze po nezbytně nutnou dobu.“ (127) Tyto pokyny také uvádějí příklady situací, v nichž je použití každého z omezení pravděpodobné (128).
                  
               
                     (69)
                  
                  
                     Kromě toho může správce v souvislosti s možností omezit výše uvedená práva z důvodu ochrany „národní bezpečnosti“ požádat o osvědčení podepsané ministrem nebo generálním prokurátorem (nebo generálním advokátem pro Skotsko ), které potvrzuje, že omezení těchto práv je nezbytným a přiměřeným opatřením k ochraně národní bezpečnosti (129). Vláda Spojeného království vydala pokyny týkající se osvědčení o omezení z důvodu národní bezpečnosti podle zákona o ochraně údajů z roku 2018, které zejména zdůrazňují, že jakékoli omezení práv subjektů údajů z důvodu zajištění národní bezpečnosti musí být přiměřené a nezbytné (130) (další podrobnosti k osvědčením o omezení z důvodu národní bezpečnosti viz 131. až 134. bod odůvodnění).
                  
               
                     (70)
                  
                  
                     Kromě toho, pokud je použito omezení práva subjektu údajů, musí příslušný orgán bez zbytečného odkladu informovat subjekt údajů o tom, že jeho práva byla omezena, o důvodech tohoto omezení a o dostupných opravných prostředcích, ledaže by poskytnutí těchto informací ohrozilo důvod pro použití omezení (131). Jako další záruku před zneužitím omezení musí správce zaznamenat důvody pro omezení informací a na požádání zpřístupnit záznam komisaři pro informace (132).
                  
               
                     (71)
                  
                  
                     Pokud správce odmítne poskytnout další informace v rámci transparentnosti nebo poskytnout přístup nebo odmítne žádost o opravu, výmaz nebo omezení zpracování, může jednotlivec požádat komisaře pro informace, aby prošetřil, zda správce toto omezení použil zákonným způsobem (133). Dotčená osoba může také podat stížnost ke komisaři pro informace nebo se obrátit na soud, aby správci nařídil žádosti vyhovět (134).
                  
               2.4.7.2   Automatizované rozhodování
         
         
                     (72)
                  
                  
                     Článek 49 zákona o ochraně údajů z roku 2018 upravuje práva související s automatizovaným rozhodováním a článek 50 záruky, které se mají uplatňovat (135). Obdobně, jako je stanoveno v článku 11 směrnice (EU) 2016/680, může správce přijmout významné rozhodnutí založené výlučně na automatizovaném zpracování osobních údajů, pouze pokud je vyžadováno nebo povoleno zákonem (136). Rozhodnutí je významné, pokud by mělo nepříznivý právní účinek na subjekt údajů nebo by subjekt údajů významně ovlivnilo (137).
                  
               
                     (73)
                  
                  
                     V případech, kdy je správce povinen nebo ze zákona oprávněn přijmout významné rozhodnutí, stanoví článek 50 zákona o ochraně údajů z roku 2018 záruky, které se na takové rozhodnutí budou vztahovat (rozhodnutí je definováno jako „kvalifikované významné rozhodnutí“). Správce musí subjektu údajů oznámit, že takové rozhodnutí bylo učiněno, jakmile to bude rozumně proveditelné. Subjekt údajů pak může do jednoho měsíce požadovat, aby správce rozhodnutí znovu zvážil nebo aby přijal nové rozhodnutí, které nebude založeno výhradně na automatizovaném zpracování. Správce musí žádost posoudit a informovat subjekt údajů o výsledku tohoto posouzení. Zákon o ochraně údajů z roku 2018 dává ministrovi pravomoc přijmout nařízení pro dodatečné záruky (138). Žádná taková nařízení dosud nebyla přijata.
                  
               2.4.8.   Další předávání
         
         
                     (74)
                  
                  
                     Úroveň ochrany poskytovaná osobním údajům, které jsou předávány z donucovacího orgánu členského státu donucovacímu orgánu ve Spojeném království, nesmí být oslabena dalším předáváním těchto údajů příjemcům ve třetí zemi. Toto „další předávání“, které z pohledu donucovacího orgánu ve Spojeném království představuje mezinárodní předání ze Spojeného království, by mělo být povoleno pouze v případě, že další příjemce mimo Spojené království sám podléhá pravidlům zajišťujícím obdobnou úroveň ochrany, jaká je zaručena v právním řádu Spojeného království.
                  
               
                     (75)
                  
                  
                     Režim Spojeného království pro mezinárodní předávání je upraven kapitolou 5 části 3 zákona o ochraně údajů z roku 2018 (139) a odráží přístup uplatněný v kapitole V směrnice (EU) 2016/680. Pro předání osobních údajů do třetí země musí příslušný orgán zejména vyhovět třem podmínkám: a) předání musí být nezbytné pro účel prosazování práva; b) předání musí být založeno na: i) nařízení o odpovídající ochraně týkajícím se dané třetí země, ii) není-li založeno na nařízení o odpovídající ochraně, musí být založeno na existenci vhodných záruk, nebo iii) není-li založeno na nařízení o odpovídající ochraně nebo na vhodných zárukách, musí být založeno na zvláštních okolnostech a c) příjemcem předání musí být: i) relevantní orgán (tj. ekvivalent příslušného orgánu) ve třetí zemi; ii) „příslušná mezinárodní organizace“, např. mezinárodní subjekt, který vykonává funkce odpovídající jakémukoli účelu prosazování práva, nebo iii) jiná osoba než relevantní orgán, pouze však v případě, že je předání nezbytně nutné pro provedení některého z účelů prosazování práva; žádná základní práva a svobody dotčeného subjektu údajů nepřevažují nad veřejným zájmem vyžadujícím předání; předání osobních údajů relevantnímu orgánu ve třetí zemi by bylo neúčinné nebo nevhodné a příjemce je informován o účelech, pro které mohou být údaje zpracovány (140).
                  
               
                     (76)
                  
                  
                     Nařízení o odpovídající ochraně týkající se třetí země, území nebo odvětví ve třetí zemi, mezinárodní organizace nebo popis (141) takové země, území, odvětví nebo organizace přijímá ministr. Pokud jde o standard, který má být splněn, musí ministr posoudit, zda takové území/odvětví/organizace zajišťuje (zajišťují) odpovídající úroveň ochrany osobních údajů. Ustanovení čl. 74 A odst. 4 zákona o ochraně údajů z roku 2018 stanoví, že za tímto účelem musí ministr zvážit řadu prvků, které odrážejí prvky uvedené v článku 36 směrnice (EU) 2016/680 (142). V tomto ohledu představuje od konce přechodného období část 3 zákona o ochraně údajů z roku 2018 „vnitrostátní právní předpis odvozený z práva EU“, který, jak bylo vysvětleno, budou soudy Spojeného království vykládat v souladu s příslušnou judikaturou Soudního dvora z doby před vystoupením Spojeného království z Unie a s obecnými zásadami práva Unie účinnými bezprostředně před koncem přechodného období. To zahrnuje i standard „zásadní rovnocennosti“, který se tudíž bude používat na posouzení odpovídající ochrany prováděná orgány Spojeného království.
                  
               
                     (77)
                  
                  
                     Pokud jde o postup, na nařízení se vztahují „obecné“ procesní požadavky stanovené v článku 182 zákona o ochraně údajů z roku 2018. V rámci tohoto postupu musí ministr při navrhování budoucích britských nařízení o odpovídající ochraně Spojeného království konzultovat komisaře pro informace (143). Jakmile ministr nařízení přijme, jsou předložena parlamentu Spojeného království a podléhají postupu „zamítavého rozhodnutí“, v němž mohou obě komory parlamentu nařízení přezkoumat a podat návrh na jeho zrušení ve lhůtě 40 dnů (144).
                  
               
                     (78)
                  
                  
                     Podle čl. 74B odst. 1 zákona o ochraně údajů z roku 2018 musí být nařízení o odpovídající ochraně přezkoumávána v nejvýše čtyřletých intervalech a ministr musí průběžně sledovat vývoj ve třetích zemích a mezinárodních organizacích, který by mohl ovlivnit rozhodnutí vydat nařízení o odpovídající ochraně nebo tato nařízení pozměnit či zrušit. Pokud ministr zjistí, že určitá země nebo organizace již nezajišťuje odpovídající úroveň ochrany osobních údajů, musí v nezbytném rozsahu nařízení změnit nebo zrušit a zahájit konzultace s dotčenou třetí zemí nebo mezinárodní organizací ohledně nápravy nedostatečné úrovně ochrany.
                  
               
                     (79)
                  
                  
                     Obdobně, jako je stanoveno v článku 37 směrnice (EU) 2016/680, by v případě neexistence nařízení o odpovídající ochraně bylo předávání osobních údajů v oblasti prosazování práva možné, pokud budou zavedeny vhodné záruky. Tyto záruky jsou zajištěny buď a) právně závazným nástrojem obsahujícím příslušné záruky ochrany osobních údajů, nebo b) posouzením provedeným správcem, který po zvážení všech okolností daného předání dospěl k závěru, že existují vhodné záruky ochrany údajů (145). Navíc pokud jsou předání založena na vhodných zárukách, zákon o ochraně údajů z roku 2018 stanoví, že vedle běžné dozorové úlohy role komisaře pro informace musí příslušné orgány Úřadu komisaře pro informace poskytnout konkrétní informace o daných předáních (146).
                  
               
                     (80)
                  
                  
                     Pokud předání není založeno na rozhodnutí o odpovídající ochraně nebo na vhodných zárukách, může k němu dojít pouze za určitých specifikovaných okolností, označovaných jako „zvláštní okolnosti“ (147). Ty existují v případě, že je předání nezbytné: a) k ochraně životně důležitých zájmů subjektu údajů nebo jiné osoby; b) k ochraně oprávněných zájmů subjektu údajů; c) aby se zabránilo bezprostřednímu a závažnému ohrožení veřejné bezpečnosti ve třetí zemi; d) v jednotlivých případech pro jakékoli účely prosazování práva; nebo e) v jednotlivých případech pro právní účely (například v souvislosti se soudním řízením nebo s cílem získat právní poradenství) (148). Lze upozornit, že písmena d) a e) se nepoužijí, pokud práva a svobody subjektu údajů převažují nad veřejným zájmem na předání (149). Tento soubor okolností odpovídá konkrétním situacím a podmínkám, které lze kvalifikovat jako „výjimky“ podle článku 38 směrnice (EU) 2016/680.
                  
               
                     (81)
                  
                  
                     Za těchto okolností musí být zdokumentovány datum, čas a odůvodnění předání, jméno a jakékoli další relevantní informace týkající se příjemce a popis předaných osobních údajů a tyto informace musí být na požádání poskytnuty komisaři pro informace (150).
                  
               
                     (82)
                  
                  
                     Článek 78 zákona o ochraně údajů z roku 2018 upravuje scénář „následných předání“, jmenovitě když jsou osobní údaje, které byly předány ze Spojeného království do třetí země, následně předány jiné třetí zemi nebo mezinárodní organizaci. Podle čl. 78 odst. 1 musí předávající správce ve Spojeném království podmínit předávání tím, že údaje se nesmí dále předávat do třetí země bez povolení předávajícího správce. Dále podle čl. 78 odst. 3 a obdobně, jako je stanoveno v čl. 35 odst. 1 písm. e) směrnice (EU) 2016/680, platí v případě, kdy je takové povolení požadováno, řada hmotněprávní požadavků. Konkrétně se příslušný orgán při rozhodování o tom, zda předání povolí, či nepovolí, musí ujistit, že je další předání nezbytné pro účely prosazování práva, přičemž by měl vzít mimo jiných faktorů v úvahu a) závažnost okolností, jež vedly k žádosti o povolení; b) účel, pro který byly osobní údaje původně předány, a c) normy ochrany osobních údajů platné ve třetí zemi nebo mezinárodní organizaci, jíž budou osobní údaje předány.
                  
               
                     (83)
                  
                  
                     Dále pokud byly údaje, které jsou předmětem dalšího předání ze Spojeného království, původně předány z Evropské unie, použijí se další záruky.
                  
               
                     (84)
                  
                  
                     Zaprvé, čl. 73 odst. 1 písm. b) zákona o ochraně údajů z roku 2018 stanoví obdobně jako čl. 35 odst. 1 písm. c) směrnice (EU) 2016/680, že v případě, kdy byly osobní údaje původně předány nebo jinak zpřístupněny správci nebo jinému příslušnému orgánu členským státem, musí tento členský stát nebo jakýkoli subjekt se sídlem v tomto členském státě, který je příslušným orgánem pro účely směrnice (EU) 2016/680, k předávání udělit předchozí povolení v souladu s právem tohoto členského státu.
                  
               
                     (85)
                  
                  
                     Obdobně jako v čl. 35 odst. 2 směrnice (EU) 2016/680 se však takové povolení nevyžaduje, pokud a) je předání nezbytné, aby se zabránilo bezprostřednímu a závažnému ohrožení veřejné bezpečnosti v určitém členském státě nebo třetí zemi nebo podstatných zájmů členského státu, a b) povolení nelze získat včas. V takovém případě musí být neprodleně informován orgán v členském státě, který by byl povinen rozhodnout, zda bude předání povoleno (151).
                  
               
                     (86)
                  
                  
                     Zadruhé, stejný přístup platí v případě údajů původně předaných z Evropské unie do Spojeného království, poté dále předaných Spojeným královstvím do třetí země, která je následně dále předá třetí zemi. V takovém případě podle čl. 78 odst. 4 příslušný orgán Spojeného království nemůže posledně uvedené předání v souladu s čl. 78 odst. 1 povolit, ledaže „členský stát [který provedl původní předání daných údajů] nebo jakýkoli subjekt se sídlem v tomto členském státě, který je pro účely směrnice o prosazování práva příslušným orgánem, předání v souladu s právem tohoto členského státu povolil“. Tyto záruky jsou důležité, neboť umožňují orgánům členských států v souladu s právními předpisy EU o ochraně údajů zajistit kontinuitu ochrany v celém řetězci předávání údajů.
                  
               
                     (87)
                  
                  
                     Tento nový rámec pro mezinárodní předání se stal použitelným na konci přechodného období (152). Články 10 až 12 přílohy 21 (zavedené nařízeními v oblasti ochrany údajů a soukromí) však stanoví, že ke konci přechodného období se k určitým předáním osobních údajů přistupuje tak, jako by se opírala o nařízení o odpovídající ochraně. Tato předávání zahrnují předání do členského státu, státu ESVO, do třetí země, na kterou se na konci přechodného období vztahuje rozhodnutí EU o odpovídající ochraně, a na území Gibraltaru. V důsledku toho mohou předávání do těchto zemí pokračovat stejně jako před vystoupením Spojeného království z Unie. Po skončení přechodného období musí ministr ve lhůtě čtyř let, tedy do konce prosince 2024, provést přezkum těchto zjištění o odpovídající úrovni ochrany. Podle vysvětlení, které poskytly orgány Spojeného království, ačkoli ministr musí tento přezkum provést do konce prosince 2024, přechodná ustanovení neobsahují ustanovení o „skončení platnosti“ a příslušná přechodná ustanovení automaticky nepřestanou být účinná, pokud přezkum nebude do konce prosince 2024 dokončen.
                  
               2.4.9.   Odpovědnost
         
         
                     (88)
                  
                  
                     Podle zásady odpovědnosti se od orgánů veřejné moci zpracovávajících údaje vyžaduje zavedení vhodných technických a organizačních opatření, aby mohly účinně plnit své povinnosti v oblasti ochrany údajů a jejich plnění byly schopny prokázat, zejména příslušnému dozorovému úřadu.
                  
               
                     (89)
                  
                  
                     Tato zásada se odráží v článku 56 zákona o ochraně údajů z roku 2018, který zavádí obecnou povinnost odpovědnosti správce, tj. povinnost zavést vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování osobních údajů je v souladu s požadavky části 3 zákona o ochraně údajů z roku 2018. Zavedená opatření musí být podle potřeby revidována a aktualizována, a pokud je to s ohledem na zpracování přiměřené, musí zahrnovat vhodné politiky v oblasti ochrany údajů.
                  
               
                     (90)
                  
                  
                     V souladu s kapitolou IV směrnice (EU) 2016/680 stanoví články 55 až 71 zákona o ochraně údajů z roku 2018 různé mechanismy, které zajistí odpovědnost a umožní správcům a zpracovatelům prokazovat soulad s předpisy. Správci jsou zejména povinni zavádět opatření záměrné a standardní ochrany osobních údajů, tj. zajistit, aby byly zásady ochrany údajů prováděny účinným způsobem, a musí vést záznamy o všech kategoriích činností zpracování, za které daný správce odpovídá (včetně informací o totožnosti správce, kontaktních údajů pověřence pro ochranu osobních údajů, účelů zpracování, kategorií příjemců zpřístupněných údajů a popisu kategorií subjektů údajů a osobních údajů), a na požádání tyto záznamy zpřístupnit komisaři pro informace. Správce a zpracovatel musí také pro určité operace zpracování uchovávat protokoly a zpřístupňovat je komisaři pro informace (153). Správci jsou také konkrétně povinni spolupracovat s komisařem pro informace při plnění jeho úkolů.
                  
               
                     (91)
                  
                  
                     Zákon o ochraně údajů z roku 2018 také stanoví další požadavky na zpracování, které může mít za následek vysoké riziko pro práva a svobody jednotlivců. Ty zahrnují povinnost provést posouzení vlivu na ochranu osobních údajů a před zpracováním konzultovat komisaře pro informace, pokud z tohoto posouzení vyplývá, že by dané zpracování mělo za následek vysoké riziko pro práva a svobody jednotlivců (pokud neexistují opatření ke zmírnění rizika).
                  
               
                     (92)
                  
                  
                     Správci musí dále jmenovat pověřence pro ochranu osobních údajů, pokud správcem není soud nebo jiný soudní orgán jednající v rámci soudních pravomocí (154). Správce musí zajistit, aby se pověřenec pro ochranu osobních údajů podílel na všech záležitostech, které se týkají ochrany osobních údajů, měl náležité zdroje a přístup k osobním údajům a operacím zpracování a mohl své úkoly plnit nezávisle. Úkoly pověřence pro ochranu osobních údajů stanoví článek 71 zákona o ochraně údajů z roku 2018, včetně poskytování informací a poradenství, sledování dodržování předpisů, spolupráce s komisařem pro informace a poskytování služeb kontaktního místa komisaře pro informace. Pověřenec pro ochranu osobních údajů musí při plnění svých úkolů brát patřičný ohled na rizika spojená s operacemi zpracování a současně přihlížet k povaze, rozsahu, kontextu a účelům zpracování.
                  
               2.5.   Dohled a vymáhání
         
         2.5.1.   Nezávislý dohled
         
         
                     (93)
                  
                  
                     Aby se zajistilo, že odpovídající úroveň ochrany údajů bude zaručena i v praxi, musí být zřízen nezávislý dozorový úřad oprávněný monitorovat a vymáhat dodržování pravidel v oblasti ochrany údajů. Při plnění svých povinností a výkonu svých pravomocí musí tento úřad jednat zcela nezávisle a nestranně.
                  
               
                     (94)
                  
                  
                     Ve Spojeném království provádí dohled a vymáhání v souvislosti s dodržováním britského nařízení GDPR a zákona o ochraně údajů z roku 2018 komisař pro informace (155). Komisař pro informace také dohlíží na zpracování osobních údajů příslušnými orgány, které spadají do oblasti působnosti části 3 zákona o ochraně údajů z roku 2018 (156). Komisař pro informace je tzv. výhradní korporace: samostatná právnická osoba, kterou tvoří jedna osoba. Komisaři pro informace je při práci nápomocen úřad. Ke dni 31. března 2020 měl Úřad komisaře pro informace 768 stálých zaměstnanců (157). Sponzorským ministerstvem komisaře pro informace je Ministerstvo pro digitální oblast, kulturu, sdělovací prostředky a sport (158).
                  
               
                     (95)
                  
                  
                     Nezávislost komisaře je výslovně stanovena v článku 52 britského nařízení GDPR, který odráží požadavky stanovené v čl. 52 odst. 1 až 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (159). Komisař musí při plnění svých úkolů a výkonu svých pravomocí podle britského nařízení GDPR jednat zcela nezávisle, nesmí v souvislosti s těmito úkoly a pravomocemi podléhat vnějšímu vlivu, ať již přímému, nebo nepřímému, a nesmí od nikoho vyžadovat ani přijímat pokyny. Komisař se rovněž musí zdržet jakéhokoli jednání neslučitelného s jeho funkcí a během svého funkčního období nesmí vykonávat žádnou výdělečnou ani nevýdělečnou pracovní činnost neslučitelnou s touto funkcí.
                  
               
                     (96)
                  
                  
                     Podmínky jmenování a odvolání komisaře pro informace jsou stanoveny v příloze 12 zákona o ochraně údajů z roku 2018. Komisaře pro informace jmenuje královna na doporučení vlády na základě spravedlivého a otevřeného výběrového řízení. Uchazeč musí mít odpovídající kvalifikaci, dovednosti a způsobilost. V souladu s kodexem pro jmenování do veřejných funkcí (160) sestavuje poradní hodnotící panel seznam kandidátů, kteří pro jmenování přicházejí v úvahu. Než ministr pro digitální oblast, kulturu, sdělovací prostředky a sport vydá své konečné rozhodnutí, musí příslušná parlamentní výběrová komise provést prověření před jmenováním. Stanovisko komise se zveřejňuje (161).
                  
               
                     (97)
                  
                  
                     Komisař pro informace vykonává svou funkci po dobu až sedmi let. Komisaře pro informace může z funkce odvolat Její Veličenstvo na návrh (address) obou komor parlamentu Spojeného království (162). Žádné komoře parlamentu Spojeného království nelze předložit žádost o odvolání komisaře pro informace, pokud jí ministr nepředloží zprávu, v níž uvede, že dle jeho přesvědčení je komisař pro informace vinen závažným pochybením a/nebo již nesplňuje podmínky požadované pro výkon jeho funkcí (163).
                  
               
                     (98)
                  
                  
                     Financování komisaře pro informace pochází ze tří zdrojů: i) poplatky za ochranu údajů placené správci, které jsou stanoveny v nařízeních ministra (164) a představují 85–90 % ročního rozpočtu úřadu (165); ii) podpůrný grant, který může komisaři pro informace vyplatit vláda a používá se zejména k financování provozních nákladů komisaře pro informace, pokud jde o úkoly nesouvisející s ochranou údajů (166); iii) poplatky účtované za služby (167). V současné době nejsou žádné takové poplatky účtovány.
                  
               
                     (99)
                  
                  
                     Obecné funkce komisaře pro informace v souvislosti se zpracováním osobních údajů spadajících do oblasti působnosti části 3 zákona o ochraně údajů z roku 2018 jsou stanoveny v příloze 13 zákona o ochraně údajů z roku 2018. K těmto úkolům patří monitorování a prosazování části 3 zákona o ochraně údajů z roku 2018, zvyšování povědomí veřejnosti, poskytování doporučení parlamentu Spojeného království, vládě a dalším institucím ohledně legislativních a správních opatření, zvyšování povědomí správců a zpracovatelů o jejich povinnostech, poskytování informací subjektu údajů ohledně výkonu práv subjektu údajů a vedení vyšetřování. V zájmu zachování nezávislosti soudnictví není komisař pro informace oprávněn vykonávat své funkce v souvislosti se zpracováním osobních údajů jednotlivcem, který jedná v rámci soudních pravomocí, nebo soudem či tribunálem jednajícím v rámci své soudní pravomoci. Dohled nad soudnictvím však vykonávají specializované subjekty, viz níže.
                  
               2.5.1.1   Vymáhání včetně sankcí
         
         
                     (100)
                  
                  
                     Pokud jde o zpracování osobních údajů, na které se použije část 3 zákona o ochraně údajů z roku 2018, má komisař obecné vyšetřovací, nápravné, povolovací a poradenské pravomoci. Komisař má pravomoc ohlásit správci či zpracovateli údajné porušení části 3, upozornit správce či zpracovatele, že zamýšlené operace zpracování pravděpodobně porušují ustanovení části 3, a udělit napomenutí správci či zpracovateli, pokud operace zpracování ustanovení části 3 porušily. Kromě toho může komisař z vlastního podnětu nebo na žádost vydávat pro parlament Spojeného království, vládu nebo jiné instituce a subjekty, jakož i pro veřejnost stanoviska k jakékoli otázce týkající se ochrany osobních údajů (168).
                  
               
                     (101)
                  
                  
                     Komisař má také pravomoc:
                     
                                 —
                              
                              
                                 nařídit správci a zpracovateli (a za určitých okolností kterékoli jiné osobě), aby poskytli nezbytné informace, výzvou k podání informací (dále jen „výzva k podání informací“) (169),
                              
                           
                                 —
                              
                              
                                 provádět vyšetřování a audity na základě výzvy k posouzení, která může vyžadovat, aby správce nebo zpracovatel komisaři povolil vstoupit do určených prostor, nahlížet do dokumentů nebo zařízení nebo je kontrolovat, vyslechnout osoby zpracovávající osobní údaje jménem správce (dále jen „oznámení o posouzení“) (170),
                              
                           
                                 —
                              
                              
                                 získat jiným způsobem přístup k dokumentům správců a zpracovatelů a přístup do jejich prostor v souladu s článkem 154 zákona o ochraně údajů z roku 2018 (dále jen „pravomoci vstupu a inspekce“),
                              
                           
                                 —
                              
                              
                                 vykonávat nápravné pravomoci, a to i formou varování a napomenutí, nebo vydávat příkazy prostřednictvím oznámení o vymáhání, které vyžaduje, aby správci/zpracovatelé provedli určité kroky nebo aby se určitých kroků zdrželi („oznámení o vymáhání“) (171), a
                              
                           
                                 —
                              
                              
                                 udělovat správní pokuty formou oznámení o sankci (dále jen „oznámení o sankci“) (172).
                              
                           
               
                     (102)
                  
                  
                     Politika regulačních opatření Úřadu komisaře pro informace stanoví okolnosti, za kterých komisař vydá výzvu k podání informací, oznámení o posouzení, vymáhání, resp. sankci (173). Oznámení o vymáhání může ukládat pouze požadavky, které komisař považuje za vhodné pro účely nápravy selhání. Oznámení o sankci vyžaduje, aby daná osoba zaplatila komisaři pro informace částku uvedenou v oznámení. Oznámení o sankci lze vydat, pokud došlo k nedodržení určitých ustanovení zákona o ochraně údajů z roku 2018 (174), nebo vůči správci nebo zpracovateli, který nejednal v souladu s výzvou k podání informací, s oznámením o posouzení nebo oznámením o vymáhání.
                  
               
                     (103)
                  
                  
                     Při rozhodování o tom, zda vůči správci nebo zpracovateli vydat oznámení o sankci, a při určování výše sankce musí komisař pro informace vzít v úvahu záležitosti vyjmenované v čl. 155 odst. 3 zákona o ochraně údajů z roku 2018, včetně povahy a závažnosti nedodržení předpisů, záměrné nebo nedbalostní povahy nedodržení předpisů, případných kroků podniknutých správcem či zpracovatelem ke zmírnění škod způsobených subjektům údajů, míry odpovědnosti správce či zpracovatele (s přihlédnutím k technickým a organizačním opatřením, která správce nebo zpracovatel zavedl), veškerých relevantních předchozích nedodržení předpisů správcem či zpracovatelem, kategorie osobních údajů dotčených nedodržením předpisů a to, zda by byla sankce účinná, přiměřená a odrazující.
                  
               
                     (104)
                  
                  
                     Maximální výše pokuty, která může být uložena oznámením o sankci, činí a) 17 500 000 GBP za nedodržení zásad ochrany údajů (články 35, 36, 37, čl. 38 odst. 1, čl. 39 odst. 1 a článek 40 zákona o ochraně údajů z roku 2018), povinností transparentnosti a individuálních práv (články 44, 45, 46, 47, 48, 49, 52 a 53 zákona o ochraně údajů z roku 2018), zásad pro mezinárodní předávání osobních údajů (články 73, 75, 76, 77 nebo 78 zákona o ochraně údajů z roku 2018) a b) 8 700 000 GBP v ostatních případech (175). Při nesplnění výzvy k podání informací, oznámení o posouzení nebo oznámení o vymáhání je maximální výší pokuty, která může být uložena oznámením o sankci, částka 17 500 000 GBP.
                  
               
                     (105)
                  
                  
                     Podle posledních výročních zpráv Úřadu pro informace (2018–2019 (176), 2019–2020 (177)) vedl tento úřad řadu vyšetřování v souvislosti se zpracováním údajů orgány činnými v trestním řízení. Například provedl šetření a v říjnu 2019 zveřejnil stanovisko týkající se používání technologie rozpoznávání obličeje na veřejných místech pro účely prosazování práva. Šetření se zaměřilo zejména na využití zařízení pro rozpoznávání obličeje v reálném čase policií jižního Walesu a metropolitní policií. Úřad komisaře pro informace rovněž vyšetřoval tzv. matici gangů (178) metropolitní policie a zjistil řadu závažných porušení právních předpisů v oblasti ochrany údajů, která by mohla narušit důvěru veřejnosti v matici a ve způsob, jakým jsou údaje využívány.
                  
               
                     (106)
                  
                  
                     V listopadu 2018 vydal Úřad komisaře pro informace oznámení o vymáhání a metropolitní policie následně přijala potřebné kroky, aby zvýšila zabezpečení a odpovědnost a zajistila přiměřené využívání údajů.
                  
               
                     (107)
                  
                  
                     Dalším příkladem nedávného opatření k vymáhání je pokuta ve výši 325 000 GBP, kterou Úřad komisaře uložil v květnu 2018 úřadu státního zástupce za ztrátu nezašifrovaných DVD obsahujících záznamy policejních výslechů. Úřad komisaře pro informace také vedl vyšetřování v rámci obecnějších témat, například v první polovině roku 2020 šetřil získávání údajů z mobilních telefonů pro policejní účely a zpracování údajů obětí ze strany policie.
                  
               
                     (108)
                  
                  
                     Vedle těchto donucovacích pravomocí komisaře pro informace představují určitá porušení právních předpisů v oblasti ochrany údajů trestné činy, a proto mohou podléhat trestním sankcím (článek 196 zákona o ochraně údajů z roku 2018). Jde například o získávání nebo zpřístupnění osobních údajů jiné osobě bez souhlasu správce a zajišťování zpřístupnění osobních údajů jiné osobě bez souhlasu správce (179); opětovnou identifikaci údajů, které jsou osobními údaji, jež byly anonymizovány, bez souhlasu správce odpovědného za anonymizaci daných osobních údajů (180); záměrné maření výkonu pravomocí komisaře v souvislosti s inspekcí osobních údajů v souladu s mezinárodními závazky (181), vydávání nepravdivých prohlášení v reakci na výzvu k podání informací nebo ničení údajů v souvislosti s výzvami k podání informací a oznámeními o posouzení (182).
                  
               
                     (109)
                  
                  
                     Komisař pro informace je také podle článku 139 zákona o ochraně údajů z roku 2018 povinen každé komoře parlamentu Spojeného království předložit obecnou zprávu o výkonu svých funkcí podle zákona (183).
                  
               2.5.2.   Dohled nad soudnictvím
         
         
                     (110)
                  
                  
                     Dohled nad zpracováním osobních údajů soudy a soudní mocí je dvojí. Pokud osoba vykonávající funkci soudce nebo soud nejedná v rámci soudní pravomoci, zajišťuje dohled Úřad komisaře pro informace. Pokud správce jedná v rámci soudní pravomoci, nemůže Úřad komisaře pro informace vykonávat své dozorové funkce (184) a dohled provádějí zvláštní subjekty. To odráží přístup uplatněný v článku 32 směrnice (EU) 2016/680.
                  
               
                     (111)
                  
                  
                     Konkrétně ve druhém scénáři zajišťuje tento dohled nad soudy v Anglii a Walesu a soudy prvního a vyššího stupně v Anglii a Walesu soudní komise pro ochranu údajů (185). Lord nejvyšší soudce (Lord Chief Justice) a vrchní předseda tribunálů vydali oznámení o ochraně osobních údajů (186), které stanoví, jak soudy v Anglii a Walesu zpracovávají osobní údaje v rámci soudní funkce. Obdobné oznámení bylo vydáno v rámci soudnictví Severního Irska (187) a Skotska (188).
                  
               
                     (112)
                  
                  
                     Kromě toho v Severním Irsku jmenoval lord nejvyšší soudce pro Severní Irsko soudce Vrchního soudu soudcem pověřeným dozorem nad ochranou údajů (Data Supervisory Judge) (189). Vydal rovněž pokyny pro soudnictví Severního Irska ve věci postupu v případě ztráty nebo potenciální ztráty údajů a řešení jakýchkoli problémů z toho vyplývajících (190).
                  
               
                     (113)
                  
                  
                     Ve Skotsku jmenoval lord nejvyšší soudce (Lord Prezident) soudce pro dozor nad ochranou údajů, který bude vyšetřovat jakékoli stížnosti z důvodu ochrany údajů. Je to stanoveno v pravidlech pro soudní stížnosti, která odrážejí pravidla stanovená pro Anglii a Wales (191).
                  
               
                     (114)
                  
                  
                     A konečně, u Nejvyššího soudu je jmenován jeden ze soudců Nejvyššího soudu, aby dohlížel na ochranu údajů.
                  
               2.5.3.   Soudní ochrana
         
         
                     (115)
                  
                  
                     Aby se zajistila odpovídající ochrana, a zejména vymáhání individuálních práv, měla by být subjektu údajů poskytnuta účinná správní a soudní ochrana, včetně náhrady škody.
                  
               
                     (116)
                  
                  
                     Zaprvé má subjekt údajů právo podat stížnost u komisaře pro informace, pokud má za to, že v souvislosti s jeho osobními údaji došlo k porušení části 3 zákona o ochraně údajů z roku 2018 (192). Jak je popsáno ve 100. a 109. bodě odůvodnění výše, komisař pro informace má pravomoc posoudit, jak správce a zpracovatel dodržují zákon o ochraně údajů z roku 2018, vyžadovat od nich, aby v případě nedodržení předpisů přijali nezbytné kroky nebo se takových kroků zdrželi, a ukládat pokuty.
                  
               
                     (117)
                  
                  
                     Zadruhé zákon o ochraně údajů z roku 2018 poskytuje právo na soudní ochranu vůči komisaři pro informace. Pokud komisař „nedosahuje pokroku“ (193) ve věci stížnosti podané subjektem údajů, má stěžovatel přístup k soudnímu opravnému prostředku, neboť se může obrátit na tribunál prvního stupně (194), aby ten komisaři nařídil přijmout vhodná opatření k vyřízení stížnosti nebo informovat stěžovatele o pokroku ve věci stížnosti (195). Kromě toho se každá osoba, které je doručeno jedno z výše uvedených oznámení komisaře (výzva k podání informací, oznámení o posouzení, vymáhání nebo sankci), může odvolat k tribunálu prvního stupně. Pokud tribunál dospěje k závěru, že rozhodnutí komisaře není v souladu se zákonem, nebo že měl komisař pro informace uplatnit svou diskreční pravomoc jinak, musí tribunál vyhovět opravnému prostředku nebo vydat jiné oznámení nebo přijmout jiné rozhodnutí, které komisař pro informace mohl vydat nebo učinit (196).
                  
               
                     (118)
                  
                  
                     Zatřetí mohou jednotlivci získat soudní ochranu vůči správcům a zpracovatelům přímo u soudů podle článku 167 zákona o ochraně údajů z roku 2018. Pokud soud na základě žádosti subjektu údajů dospěje k závěru, že došlo k porušení práv subjektu údajů podle právních předpisů v oblasti ochrany údajů, může soud v souvislosti s daným zpracováním nařídit správci nebo zpracovateli jednajícímu v zastoupení tohoto správce, aby přijal kroky stanovené v soudním příkazu nebo aby se takových kroků zdržel. Kromě toho podle článku 169 zákona o ochraně údajů z roku 2018 má každá osoba, která utrpěla škodu v důsledku porušení požadavku právních předpisů o ochraně údajů (včetně části 3 zákona o ochraně údajů z roku 2018), kromě britského nařízení GDPR, nárok na náhradu této škody od správce nebo zpracovatele, s výjimkou případů, kdy správce nebo zpracovatel prokáže, že správce nebo zpracovatel není nijak odpovědný za událost, která vedla ke vzniku škody. Škoda zahrnuje jak finanční ztrátu, tak nefinanční újmu, například utrpení.
                  
               
                     (119)
                  
                  
                     Začtvrté, pokud má kdokoli za to, že orgány veřejné moci porušily jeho práva, včetně práv na soukromí a ochranu údajů, může získat soudní ochranu u soudů Spojeného království podle zákona o lidských právech z roku 1998. Správci podle části 3 zákona o ochraně údajů z roku 2018, tj. příslušnými orgány, jsou vždy orgány veřejné moci ve smyslu zákona o lidských právech z roku 1998. Jednotlivec, který tvrdí, že orgán veřejné moci jednal (nebo navrhuje jednat) způsobem, který je neslučitelný s právem podle úmluvy, a tudíž je podle čl. 6 odst. 1 zákona o lidských právech z roku 1998 protiprávní, může proti tomuto orgánu podat žalobu u příslušného soudu nebo tribunálu nebo se dovolávat dotčených práv v jakémkoli soudním řízení, pokud tento jednotlivec je (nebo by byl) obětí protiprávního jednání (197).
                  
               
                     (120)
                  
                  
                     Pokud soud shledá jakýkoli akt orgánu veřejné moci protiprávním, může v rámci svých pravomocí poskytnout takový opravný prostředek nebo soudní ochranu nebo vydat takový příkaz, které považuje za spravedlivé a vhodné (198). Soud může rovněž prohlásit ustanovení primárního právního předpisu za neslučitelné s právem podle EÚLP.
                  
               
                     (121)
                  
                  
                     A konečně může jednotlivec po vyčerpání vnitrostátních opravných prostředků dosáhnout nápravy u Evropského soudu pro lidská práva za porušení práv zaručených EÚLP.
                  
               2.6.   Další sdílení
         
         
                     (122)
                  
                  
                     Právo Spojeného království povoluje sdílení údajů donucovacím orgánem s jinými orgány pro jiné účely, než pro které byly údaje původně shromážděny (tzv. další sdílení), s výhradou určitých podmínek.
                  
               
                     (123)
                  
                  
                     Obdobně jako čl. 4 odst. 2 směrnice (EU) 2016/680 umožňuje čl. 36 odst. 3 zákona o ochraně údajů z roku 2018, aby osobní údaje shromážděné příslušným orgánem pro určitý účel prosazování práva mohly být dále zpracovávány (ať už původním správcem, nebo jiným správcem) pro jakýkoli jiný účel prosazování práva, pokud je správce ze zákona oprávněn zpracovávat údaje pro tento jiný účel a zpracování je nezbytné a přiměřené (199). V tomto případě se na zpracování prováděné přijímajícím orgánem vztahují všechny záruky stanovené v části 3 zákona o ochraně údajů z roku 2018 a analyzované výše.
                  
               
                     (124)
                  
                  
                     V právním řádu Spojeného království další sdílení výslovně umožňují různé zákony. Zejména i) zákon o digitální ekonomice z roku 2017 umožňuje sdílení mezi orgány veřejné moci z několika důvodů, například v případě podvodu vůči veřejnému sektoru, který by pro orgán veřejné moci znamenal ztrátu nebo riziko ztráty (200), nebo v případě dluhu vůči orgánu veřejné moci nebo Koruně (201); ii) zákon o trestní činnosti a soudech z roku 2013 umožňuje sdílení informací s Národní kriminální agenturou (National Crime Agency) (202) pro účely boje proti závažné a organizované trestné činnosti, jejího vyšetřování a stíhání; iii) zákon o závažné trestné činnosti z roku 2007 orgánům veřejné moci umožňuje zpřístupňovat informace organizacím pro boj proti podvodům za účelem předcházení podvodům (203).
                  
               
                     (125)
                  
                  
                     Tyto zákony výslovně uvádějí, že sdílení informací by mělo být v souladu se zásadami stanovenými v zákoně o ochraně údajů z roku 2018. Kromě toho zveřejnila policejní akademie povolený odborný postup pro sdílení informací (204), který má policii pomoci při plnění jejích povinností v oblasti ochrany údajů podle britského nařízení GDPR, zákona o ochraně údajů a zákona o lidských právech z roku 1998. Soulad sdílení s platným právním rámcem pro ochranu údajů samozřejmě může být předmětem soudního přezkumu (205).
                  
               
                     (126)
                  
                  
                     Kromě toho zákon o ochraně údajů z roku 2018 podobně jako článek 9 směrnice (EU) 2016/680 stanoví, že osobní údaje shromážděné pro jakékoli účely prosazování práva mohou být zpracovávány za účelem, který nespočívá v prosazování práva, pokud je zpracování povoleno zákonem (206). Tento typ sdílení zahrnuje dva scénáře: 1) když orgán činný v trestním řízení sdílí údaje s jiným donucovacím orgánem činným v oblasti mimo trestní řízení než se zpravodajskou službou (např. s finančním nebo daňovým úřadem, úřadem pro hospodářskou soutěž, úřadem pro péči o mládež); 2) když orgán činný v trestním řízení sdílí údaje se zpravodajskou službou. V prvním scénáři bude zpracování osobních údajů spadat do oblasti působnosti britského nařízení GDPR, jakož i části 2 zákona o ochraně údajů z roku 2018. Jak upřesňuje rozhodnutí přijaté podle nařízení (EU) 2016/679, záruky poskytované britským nařízením GDPR a částí 2 zákona o ochraně údajů z roku 2018 zajišťují úroveň ochrany údajů, která je v zásadě rovnocenná úrovni ochrany v Unii (207).
                  
               
                     (127)
                  
                  
                     Ve druhém scénáři, pokud jde o sdílení údajů, které shromáždil orgán činný v trestním řízení, se zpravodajskou službou pro účely národní bezpečnosti, je právním základem, který takové sdílení povoluje, zákon o boji proti terorismu z roku 2008 (208). Podle zákona o boji proti terorismu z roku 2008 může kterákoli osoba poskytovat informace kterékoli ze zpravodajských služeb za účelem výkonu kterékoli z funkcí této služby, včetně „národní bezpečnosti“.
                  
               
                     (128)
                  
                  
                     Pokud jde o podmínky, za nichž lze údaje sdílet pro účely národní bezpečnosti, zákon o zpravodajských službách a zákon o bezpečnostních službách omezují možnost zpravodajských služeb získávat údaje na to, co je nezbytné k výkonu jejich zákonem stanovených funkcí. Příslušné orgány, které spadají do oblasti působnosti části 3 zákona o ochraně údajů z roku 2018 a které chtějí sdílet údaje se zpravodajskými službami, budou muset kromě zákonných funkcí agentur stanovených zákonem o zpravodajských službách a zákonem o bezpečnostních službách (209) zohlednit řadu faktorů/omezení. Článek 20 zákona o boji proti terorismu z roku 2008 objasňuje, že jakékoli sdílení údajů podle článku 19 tohoto zákona musí splňovat i právní předpisy o ochraně údajů; což znamená, že se použijí všechna omezení a požadavky zákona o ochraně údajů z roku 2018. Kromě toho jsou donucovací orgány a zpravodajské služby pro účely zákona o lidských právech z roku 1998 orgány veřejné moci, a musí tudíž zajistit, že budou jednat v souladu s právy zaručenými v EÚLP, včetně článku 8 úmluvy. Jinými slovy, tyto požadavky zajišťují, že veškeré sdílení údajů mezi donucovacími orgány a zpravodajskými službami bude v souladu s právními předpisy o ochraně údajů a s EÚLP.
                  
               
                     (129)
                  
                  
                     Zpravodajskými službami prováděné zpracování osobních údajů obdržených nebo získaných od donucovacích orgánů pro účely národní bezpečnosti podléhá řadě podmínek a záruk (210). Část 4 zákona o ochraně údajů z roku 2018 se použije na veškeré zpracování prováděné zpravodajskými službami nebo jejich jménem. Stanovuje hlavní zásady ochrany údajů (zákonnost, korektnost a transparentnost (211), účelové omezení (212), minimalizace údajů (213), přesnost (214), omezení uložení (215) a zabezpečení (216)), ukládá podmínky pro zpracování zvláštních kategorií údajů (217), stanoví práva subjektu údajů (218), vyžaduje záměrnou a standardní ochranu údajů (219) a reguluje mezinárodní předávání osobních údajů (220).
                  
               
                     (130)
                  
                  
                     Zároveň článek 110 zákona o ochraně údajů z roku 2018 stanoví výjimku z konkrétních ustanovení části 4 zákona o ochraně údajů z roku 2018, je-li taková výjimka požadována k zajištění národní bezpečnosti. V čl. 110 odst. 2 zákona o ochraně údajů z roku 2018 jsou vyjmenována ustanovení, z nichž je přípustná výjimka. Zahrnují zásady ochrany údajů (vyjma zásady zákonnosti), práva subjektu údajů, povinnost informovat komisaře pro informace o porušení zabezpečení údajů, inspekční pravomoci komisaře pro informace v souladu mezinárodními závazky, určité donucovací pravomoci komisaře pro informace, ustanovení, podle nichž některá porušení ochrany údajů zakládají trestný čin, a ustanovení týkající se zvláštních účelů zpracování, například novinářské, akademické nebo umělecké účely. Tuto výjimku lze využít na základě analýzy jednotlivých případů (221). Jak vysvětlily orgány Spojeného království a potvrdila judikatura soudů Spojeného království, „a) správce musí zvážit, jaké by byly skutečné důsledky pro národní bezpečnost nebo obranu, pokud by musel dodržet konkrétní ustanovení o ochraně údajů, a zda by mohl přiměřeně dodržet obvyklé pravidlo, aniž by to ovlivnilo národní bezpečnost nebo obranu“ (222). Otázka toho, zda byla výjimka použita správně, podléhá dohledu ze strany Úřadu komisaře pro informace (223).
                  
               
                     (131)
                  
                  
                     Kromě toho v souvislosti s možností omezit výše uvedená práva z důvodu ochrany „národní bezpečnosti“ článek 79 zákona o ochraně údajů z roku 2018 stanoví, že správce může požádat o osvědčení podepsané ministrem nebo generálním prokurátorem, které potvrzuje, že omezení těchto práv je nebo někdy bylo nezbytným a přiměřeným opatřením k ochraně národní bezpečnosti (224). Vláda Spojeného království vydala pokyny týkající se osvědčení o národní bezpečnosti podle zákona o ochraně údajů z roku 2018, které zejména zdůrazňují, že jakékoli omezení práv subjektů údajů z důvodu zajištění národní bezpečnosti musí být přiměřené a nezbytné (225). Všechna osvědčení o omezení z důvodu národní bezpečnosti musí být zveřejněna na internetových stránkách Úřadu komisaře pro informace (226).
                  
               
                     (132)
                  
                  
                     Osvědčení by mělo být vydáno na pevně stanovenou dobu nejvýše pěti let, aby mohl orgán výkonné moci provádět jeho pravidelný přezkum (227). Osvědčení uvádí osobní údaje nebo kategorie osobních údajů, na které se výjimka vztahuje, jakož i ustanovení zákona o ochraně údajů z roku 2018, kterých se výjimka týká (228).
                  
               
                     (133)
                  
                  
                     Je důležité poznamenat, že osvědčení o omezení z důvodu národní bezpečnosti nestanoví další důvod pro omezení práv na ochranu údajů z důvodů národní bezpečnosti. Jinými slovy, správce nebo zpracovatel může osvědčení uplatnit, pouze pokud dospěl k závěru, že je nutné využít výjimku z důvodu národní bezpečnosti, která musí být použita individuálně. I když se na dotčenou záležitost vztahuje osvědčení o omezení z důvodu národní bezpečnosti, může Úřad komisaře pro informace šetřit, zda bylo v konkrétním případě využití výjimky z důvodu národní bezpečnosti opodstatněné (229).
                  
               
                     (134)
                  
                  
                     Kterákoli osoba, jíž se vydání osvědčení přímo dotýká, může proti osvědčení (230) podat opravný prostředek u Vrchního tribunálu (231), nebo pokud osvědčení identifikuje údaje prostřednictvím obecného popisu, může napadnout použití osvědčení pro konkrétní údaje (232).
                  
               
                     (135)
                  
                  
                     Tribunál přezkoumá rozhodnutí o vydání osvědčení a rozhodne, zda pro vydání osvědčení existovaly rozumné důvody (233). Může zvážit celou řadu otázek, včetně nezbytnosti, přiměřenosti a zákonnosti, pokud jde o dopad na práva subjektů údajů a vyvážení potřeby chránit národní bezpečnost. V důsledku toho může tribunál rozhodnout, že osvědčení se nevztahuje na konkrétní osobní údaje, které jsou předmětem opravného prostředku (234).
                  
               
                     (136)
                  
                  
                     Jiný soubor možných omezení se týká omezení, která se podle přílohy 11 zákona o ochraně údajů z roku 2018 použijí na určitá ustanovení části 4 zákona o ochraně údajů z roku 2018 (235) za účelem ochrany jiných důležitých cílů obecného veřejného zájmu nebo chráněných zájmů, jako jsou například výsady parlamentu, povinnost mlčenlivosti, vedení soudních řízení nebo bojová účinnost ozbrojených sil. Tato ustanovení se na základě výjimky nepoužijí buď na určité kategorie informací („na základě skupiny“), nebo se nepoužijí v rozsahu, v jakém by jejich použití mohlo poškodit chráněný zájem („na základě újmy“) (236). Výjimek na základě újmy se lze domáhat, pouze pokud by použití uvedeného ustanovení o ochraně údajů pravděpodobně mohlo poškodit dotčený konkrétní zájem. Použití výjimky proto musí být vždy odůvodněno odkazem na příslušnou újmu, která by v konkrétním případě pravděpodobně nastala. Výjimky na základě skupiny lze uplatnit pouze pro konkrétní úzce definovanou kategorii informací, pro kterou je výjimka udělena. Svým účelem a účinkem jsou podobné několika výjimkám z britského nařízení GDPR (podle přílohy 2 zákona o ochraně údajů z roku 2018), které naopak odrážejí výjimky uvedené v článku 23 nařízení GDPR.
                  
               
                     (137)
                  
                  
                     Z výše uvedeného vyplývá, že podle příslušných právních předpisů Spojeného království, jak jsou vykládány také soudy a komisí pro informace, existují omezení a podmínky, které zajišťují, že tyto výjimky a omezení zůstanou v mezích toho, co je nezbytné a přiměřené k ochraně národní bezpečnosti.
                  
               
                     (138)
                  
                  
                     Na zpracování osobních údajů prováděné zpravodajskými službami podle části 4 zákona o ochraně údajů z roku 2018 dohlíží komisař pro informace (237).
                  
               
                     (139)
                  
                  
                     Obecné funkce komisaře pro informace v souvislosti se zpracováním osobních údajů zpravodajskými službami podle části 4 zákona o ochraně údajů z roku 2018 jsou stanoveny v příloze 13 zákona o ochraně údajů z roku 2018. K těmto úkolům mimo jiné patří zejména monitorování a prosazování části 4 zákona o ochraně údajů z roku 2018, zvyšování povědomí veřejnosti, poskytování doporučení parlamentu Spojeného království, vládě a dalším institucím ohledně legislativních a správních opatření, zvyšování povědomí správců a zpracovatelů o jejich povinnostech, poskytování informací subjektu údajů ohledně výkonu práv subjektu údajů a vedení vyšetřování.
                  
               
                     (140)
                  
                  
                     Komisař má podle části 3 zákona o ochraně údajů z roku 2018 pravomoc upozorňovat správce na údajné porušení předpisů a vydávat napomenutí, že zpracování pravděpodobně porušuje pravidla, a uděluje výtky, pokud je porušení předpisů potvrzeno. Může také vydávat oznámení o vymáhání a sankci za porušení určitých ustanovení zákona (238). Na rozdíl od postupu podle jiných částí zákona o ochraně údajů z roku 2018 však komisař nemůže vydat oznámení o posouzení vůči vnitrostátnímu bezpečnostnímu orgánu (239).
                  
               
                     (141)
                  
                  
                     Kromě toho článek 110 zákona o ochraně údajů z roku 2018 stanoví výjimku z použití určitých pravomocí komisaře, pokud je to nutné pro účely zajištění národní bezpečnosti. To zahrnuje pravomoc komisaře vydávat (jakýkoli druh) oznámení podle zákona o ochraně údajů (výzvu k podání informací, oznámení o posouzení, vymáhání a o sankci), pravomoc provádět inspekce v souladu s mezinárodními závazky, pravomoci vstupu a inspekce a pravidla pro trestné činy (240). Jak je vysvětleno ve (136). bodě odůvodnění, tyto výjimky se použijí, pouze pokud je to v konkrétním jednotlivém případě nutné a přiměřené. Použití těchto výjimek může podléhat soudnímu přezkumu (241).
                  
               
                     (142)
                  
                  
                     Úřad komisaře pro informace a britské zpravodajské služby podepsaly memorandum o porozumění (242), které stanoví rámec spolupráce v řadě otázek, včetně oznámení o porušení zabezpečení údajů a vyřizování stížností subjektů údajů. Memorandum zejména stanoví, že po obdržení stížnosti Úřad komisaře pro informace posoudí, zda byla jakákoli výjimka z důvodu národní bezpečnosti použita řádně. Odpovědi na dotazy Úřadu komisaře pro informace v souvislosti s šetřením jednotlivých stížností musí dotčená služba podle pokynů vlády Spojeného království týkajících se osvědčení o národní bezpečnosti podle zákona o ochraně údajů poskytnout do 20 pracovních dnů, a to pomocí vhodných zabezpečených kanálů, pokud se jedná o utajované informace. Od dubna 2018 do dnešního dne obdržel Úřad komisaře pro informace 21 stížností od jednotlivců týkajících se zpravodajských služeb. Každá stížnost byla posouzena a výstup byl sdělen subjektu údajů (243).
                  
               
                     (143)
                  
                  
                     Kromě toho provádí parlamentní dohled nad zpracováním údajů zpravodajskými službami Výbor pro bezpečnost a zpravodajskou činnost. Právní základ tohoto výboru stanoví zákon o spravedlnosti a bezpečnosti z roku 2013 (244). Zákon zřizuje Výbor pro bezpečnost a zpravodajskou činnost jako výbor parlamentu Spojeného království. Výbor pro bezpečnost a zpravodajskou činnost se skládá z členů náležejících do kterékoli komory parlamentu Spojeného království, které jmenuje předseda vlády po konzultaci s vedoucím představitelem opozice (245). Výbor je povinen předkládat parlamentu Spojeného království výroční zprávu o výkonu svých funkcí a další zprávy, které považuje za vhodné (246).
                  
               
                     (144)
                  
                  
                     Od roku 2013 má Výbor pro bezpečnost a zpravodajskou činnost větší pravomoci, včetně dohledu nad operativními činnostmi bezpečnostních služeb. Podle článku 2 zákona o spravedlnosti a bezpečnosti z roku 2013 je úkolem Výboru pro bezpečnost a zpravodajskou činnost dohlížet na výdaje, správu, politiku a operace národních bezpečnostních služeb. Zákon o spravedlnosti a bezpečnosti z roku 2013 stanoví, že Výbor pro bezpečnost a zpravodajskou činnost může vést vyšetřování operačních záležitostí, pokud se netýkají probíhajících operací (247). Memorandum o porozumění dohodnuté mezi předsedou vlády a Výborem pro bezpečnost a zpravodajskou činnost (248) podrobně stanoví prvky, které je třeba vzít v úvahu při posuzování toho, zda daná činnost není součástí probíhající operace (249). Výbor pro bezpečnost a zpravodajskou činnost může být také požádán o prošetření probíhajících operací předsedou vlády a může přezkoumávat informace, které služby poskytnou dobrovolně.
                  
               
                     (145)
                  
                  
                     Podle přílohy 1 zákona o spravedlnosti a bezpečnosti z roku 2013 může Výbor pro bezpečnost a zpravodajskou činnost požádat ředitele kterékoli ze tří zpravodajských služeb o zpřístupnění jakýchkoli informací. Tato služba musí tyto informace zpřístupnit, pokud ministr neuplatní právo veta (250). Orgány Spojeného království vysvětlily, že v praxi je Výboru pro bezpečnost a zpravodajskou činnost odepřeno jen velmi málo informací (251).
                  
               
                     (146)
                  
                  
                     Pokud jde o nápravu, subjekt údajů může především podle čl. 165 odst. 2 zákona o ochraně údajů z roku 2018 podat stížnost Úřadu komisaře pro informace, pokud je přesvědčen, že v souvislosti s jeho osobními údaji došlo k porušení části 4 zákona o ochraně údajů z roku 2018, včetně zneužití výjimek a omezení z důvodu národní bezpečnosti.
                  
               
                     (147)
                  
                  
                     Kromě toho jsou podle části 4 zákona o ochraně údajů z roku 2018 jednotlivci oprávněni podat u Vrchního soudu (nebo soudu Court of Session ve Skotsku) návrh na vydání příkazu, který bude vyžadovat, aby správce dodržoval práva na přístup k údajům (252), na podání námitky vůči zpracování (253) a na opravu nebo výmaz.
                  
               
                     (148)
                  
                  
                     Jednotlivci jsou rovněž oprávněni požadovat od správce nebo zpracovatele náhradu škody způsobené porušením požadavku části 4 zákona o ochraně údajů z roku 2018 (254). Škoda zahrnuje jak finanční ztrátu, tak nefinanční újmu, například utrpení (255).
                  
               
                     (149)
                  
                  
                     A konečně také může jednotlivec podat stížnost na jakékoli jednání, které bylo uskutečněno zpravodajskými službami Spojeného království nebo jejich jménem, k tribunálu pro kontrolu vyšetřovacích pravomocí (256). Tribunál pro kontrolu vyšetřovacích pravomocí je zřízen zákonem o úpravě vyšetřovacích pravomocí z roku 2000 pro Anglii, Wales a Severní Irsko a zákonem o úpravě vyšetřovacích pravomocí (Skotsko) z roku 2000 pro Skotsko a je nezávislý na výkonné moci (257). V souladu s článkem 65 zákona o úpravě vyšetřovacích pravomocí z roku 2000 jsou členové tohoto tribunálu jmenováni Jejím Veličenstvem na dobu pěti let.
                  
               
                     (150)
                  
                  
                     Člena tohoto tribunálu může z funkce odvolat Její Veličenstvo na návrh („address“) (258) obou komor parlamentu Spojeného království (259).
                  
               
                     (151)
                  
                  
                     K podání návrhu u tribunálu pro kontrolu vyšetřovacích pravomocí („vstupní požadavek“) musí být podle článku 65 zákona o úpravě vyšetřovacích pravomocí z roku 2000 jednotlivec přesvědčen, i) že došlo k jednání zpravodajské služby ve vztahu k němu, k jeho majetku, ke komunikaci zasílané jím nebo jemu nebo určené pro něj nebo k jeho využití jakékoli poštovní služby, telekomunikačních služeb nebo telekomunikačního systému (260) a ii) že k jednání došlo za „napadnutelných okolností“ (261) nebo že „bylo uskutečněno zpravodajskými službami nebo jejich jménem“ (262). Vzhledem k tomu, že zejména tento standard „přesvědčení“ je vykládán poměrně široce (263), je podání návrhu u tribunálu podmíněno poměrně nenáročnými vstupními požadavky.
                  
               
                     (152)
                  
                  
                     Pokud tribunál projednává stížnost, která k němu byla podána, je jeho povinností vyšetřit, zda osoby, proti nimž je ve stížnosti vzneseno jakékoli obvinění, jednaly ve vztahu ke stěžovateli, a rovněž vyšetřit orgán, který se údajně podílel na porušování právních předpisů, a to, zda k údajnému jednání došlo (264). Pokud tribunál vede jakékoli řízení, musí při svém rozhodování v těchto řízeních uplatňovat stejné zásady, jaké by použil soud při návrhu na soudní přezkum (265).
                  
               
                     (153)
                  
                  
                     Tribunál musí stěžovateli oznámit, zda bylo vydáno rozhodnutí v jeho prospěch, či nikoli (266). Podle čl. 67 odst. 6 a 7 zákona o úpravě vyšetřovacích pravomocí z roku 2000 má tribunál pravomoc vydávat předběžné příkazy a přiznávat jakékoli odškodnění nebo vydávat jiné příkazy, které uzná za vhodné (267). Podle článku 67 A zákona o úpravě vyšetřovacích pravomocí z roku 2000 lze proti rozhodnutí tribunálu podat opravný prostředek s výhradou povolení uděleného tribunálem nebo příslušným odvolacím soudem.
                  
               
                     (154)
                  
                  
                     Jednotlivci mohou u tribunálu pro kontrolu vyšetřovacích pravomocí podat stížnost (a dosáhnout nápravy) zejména v případě, že mají za to, že orgán veřejné moci jednal (nebo navrhuje jednat) způsobem, který je neslučitelný s právy podle EÚLP, včetně práva na soukromí a ochranu údajů, a je tedy nezákonný podle čl. 6 odst. 1 zákona o lidských právech z roku 1998. Tribunálu pro kontrolu vyšetřovacích pravomocí byla přiznána výlučná příslušnost pro všechny nároky podle zákona o lidských právech ve vztahu ke zpravodajským službám. To znamená, jak uvedl Vrchní soud, „to, zda došlo k porušení zákona o lidských právech podle skutkových okolností konkrétního případu, v zásadě může projednat a rozhodnout nezávislý tribunál, který má přístup ke všem relevantním materiálům, včetně tajného materiálu. […] V této souvislosti máme také na paměti, že samotný tribunál pro kontrolu vyšetřovacích pravomocí nyní může podat opravný prostředek k příslušnému odvolacímu soudu (v Anglii a Walesu by jím byl Odvolací soud Anglie a Walesu), a že Nejvyšší soud nedávno rozhodl, že tribunál v zásadě podléhá soudnímu přezkumu: viz rozsudek ve věci R (Privacy International) v. Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219“ (268). Pokud tribunál pro kontrolu vyšetřovacích pravomocí shledá jakýkoli akt orgánu veřejné moci protiprávním, může v rámci svých pravomocí poskytnout takový opravný prostředek nebo soudní ochranu nebo vydat takový příkaz, které považuje za spravedlivé a vhodné (269).
                  
               
                     (155)
                  
                  
                     Po vyčerpání vnitrostátních opravných prostředků může jednotlivec dosáhnout nápravy u Evropského soudu pro lidská práva za porušení práv zaručených EÚLP, včetně práva na soukromí a ochranu údajů.
                  
               
                     (156)
                  
                  
                     Z výše uvedeného vyplývá, že sdílení údajů předávaných podle tohoto rozhodnutí britskými donucovacími orgány s jinými orgány veřejné moci, včetně zpravodajských služeb, je regulováno omezeními a podmínkami, které zajišťují, že takové další sdílení bude nezbytné a přiměřené a bude podléhat konkrétním zárukám ochrany údajů podle zákona o ochraně údajů z roku 2018. Kromě toho na zpracování údajů dotčenými orgány veřejné moci dohlížejí nezávislé orgány a dotčení jednotlivci mají přístup k účinným soudním opravným prostředkům.
                  
               3.   ZÁVĚR
         
         
                     (157)
                  
                  
                     Komise má za to, že část 3 zákona o ochraně údajů z roku 2018 zajišťuje úroveň ochrany osobních údajů předávaných pro účely prosazování trestního práva příslušnými orgány v Unii příslušným orgánům Spojeného království, která je v zásadě rovnocenná úrovni ochrany zaručené směrnicí (EU) 2016/680.
                  
               
                     (158)
                  
                  
                     Kromě toho má Komise za to, že jako celek mechanismy dohledu a způsoby ochrany v právních předpisech Spojeného království umožňují, aby porušení právních předpisů byla identifikována a v praxi potrestána, a subjektu údajů nabízejí právní prostředky pro získání přístupu k osobním údajům, které se ho týkají, a v konečném důsledku pro dosažení opravy nebo výmazu takovýchto údajů.
                  
               
                     (159)
                  
                  
                     V neposlední řadě má Komise na základě dostupných informací o právním řádu Spojeného království za to, že jakýkoli zásah do základních práv fyzických osob, jejichž osobní údaje se předávají z Evropské unie do Spojeného království, ze strany orgánů veřejné moci Spojeného království pro účely veřejného zájmu, a to i v kontextu sdílení osobních údajů mezi donucovacími orgány a ostatními orgány veřejné moci, například subjekty v oblasti národní bezpečnosti, bude omezen na rozsah nezbytně nutný pro dosažení daného oprávněného cíle a že existuje účinná právní ochrana před takovým zásahem.
                  
               
                     (160)
                  
                  
                     Mělo by tedy být rozhodnuto, že Spojené království zajišťuje odpovídající úroveň ochrany ve smyslu čl. 36 odst. 2 směrnice (EU) 2016/680 vykládaného ve světle Listiny základních práv.
                  
               
                     (161)
                  
                  
                     Tento závěr se opírá o příslušný vnitrostátní režim i mezinárodní závazky Spojeného království, zejména o dodržování Evropské úmluvy o lidských právech a podrobení se soudní pravomoci Evropského soudu pro lidská práva. Pokračující dodržování těchto mezinárodních závazků je proto obzvláště důležitým prvkem posouzení, na němž se zakládá toto rozhodnutí.
                  
               4.   ÚČINKY TOHOTO ROZHODNUTÍ A ČINNOST ORGÁNŮ PRO OCHRANU ÚDAJŮ
         
         
                     (162)
                  
                  
                     Členské státy a jejich orgány musí přijmout opatření nezbytná k dosažení souladu s akty orgánů Unie, neboť jim v zásadě svědčí presumpce legality, a tudíž zakládají právní účinky, dokud neuplyne doba jejich platnosti, nejsou vzaty zpět, zrušeny v rámci žaloby na neplatnost nebo prohlášeny za neplatné v návaznosti na žádost o rozhodnutí o předběžné otázce nebo na námitku protiprávnosti.
                  
               
                     (163)
                  
                  
                     V důsledku toho je rozhodnutí Komise o odpovídající ochraně podle čl. 36 odst. 3 směrnice (EU) 2016/680 závazné pro všechny orgány členských států, kterým je určeno, a to i pro nezávislé dozorové úřady. Během období použitelnosti tohoto rozhodnutí se může zejména uskutečnit předávání od správce nebo zpracovatele v Unii správcům nebo zpracovatelům ve Spojeném království, aniž by bylo nutné získat další povolení.
                  
               
                     (164)
                  
                  
                     Současně je třeba připomenout, že podle čl. 47 odst. 5 směrnice (EU) 2016/680 a podle vysvětlení Soudního dvora v rozsudku ve věci Schrems, jestliže vnitrostátní orgán pro ochranu údajů zpochybňuje, a to i na základě stížnosti, slučitelnost rozhodnutí Komise o odpovídající ochraně se základními právy fyzické osoby na soukromí a ochranu údajů, musí mu vnitrostátní právo poskytnout procesní prostředek, který mu umožní uplatnit tyto výtky před vnitrostátním soudem, který může být povinen předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce (270).
                  
               5.   SLEDOVÁNÍ, POZASTAVENÍ PLATNOSTI, ZRUŠENÍ NEBO ZMĚNA TOHOTO ROZHODNUTÍ
         
         
                     (165)
                  
                  
                     Podle čl. 36 odst. 4 směrnice (EU) 2016/680 musí Komise po přijetí tohoto rozhodnutí průběžně sledovat příslušný vývoj ve Spojeném království, aby mohla posoudit, zda stále zajišťuje v zásadě rovnocennou úroveň ochrany. Takové sledování je v tomto případě obzvláště důležité, neboť Spojené království bude spravovat, uplatňovat a vymáhat nový režim ochrany údajů, který již nebude podléhat právu Unie a který se může vyvíjet. V tomto ohledu bude zvláštní pozornost věnována praktickému uplatňování předpisů Spojeného království o předávání osobních údajů do třetích zemí, a to i prostřednictvím uzavírání mezinárodních dohod, a jeho případnému dopadu na úroveň ochrany údajů předávaných podle tohoto rozhodnutí, jakož i účinnosti výkonu individuálních práv v oblastech, na něž se toto rozhodnutí vztahuje. Sledování prováděné Komisí bude založeno mimo jiné na vývoji judikatury a dohledu ze strany Úřadu komisaře pro informace a dalších nezávislých subjektů.
                  
               
                     (166)
                  
                  
                     Za účelem usnadnění tohoto sledování by orgány Spojeného království měly neprodleně a pravidelně informovat Komisi o každé podstatné změně právního řádu Spojeného království, která má dopad na právní rámec, který je předmětem tohoto rozhodnutí, jakož i o vývoji postupů souvisejících se zpracováním osobních údajů, které jsou posuzovány v tomto rozhodnutí, zejména pokud jde o prvky zmiňované ve 165. bodě odůvodnění.
                  
               
                     (167)
                  
                  
                     Aby Komise navíc mohla účinně plnit svou kontrolní funkci, měly by ji členské státy informovat o veškerých relevantních krocích vnitrostátních úřadů pro ochranu údajů, zejména v souvislosti s dotazy nebo stížnostmi subjektů údajů z EU týkajícími se předávání osobních údajů z Unie příslušným orgánům ve Spojeném království. Komise by rovněž měla být informována o jakýchkoli známkách toho, že kroky orgánů veřejné moci Spojeného království odpovědných za prevenci, vyšetřování, odhalování nebo stíhání trestných činů, včetně jakýchkoli dozorových úřadů, nezajišťují požadovanou úroveň ochrany.
                  
               
                     (168)
                  
                  
                     Pokud z dostupných informací, zejména z informací vyplývajících ze sledování tohoto rozhodnutí nebo poskytnutých orgány Spojeného království nebo členských států, vyplyne, že úroveň ochrany poskytované Spojeným královstvím již nemusí být přiměřená, měla by Komise o této skutečnosti neprodleně informovat příslušné orgány Spojeného království a požadovat, aby byla ve stanovené lhůtě nepřekračující tři měsíce přijata vhodná opatření. V případě potřeby může být tato lhůta s ohledem na povahu dané záležitosti a/nebo na opatření, která mají být přijata, prodloužena o určitou dobu.
                  
               
                     (169)
                  
                  
                     Pokud po uplynutí stanovené lhůty příslušné orgány Spojeného království tato opatření nepřijmou nebo jiným způsobem uspokojivě neprokážou, že toto rozhodnutí je nadále založeno na odpovídající úrovni ochrany, zahájí Komise postup podle čl. 58 odst. 2 směrnice (EU) 2016/680 s cílem zrušit toho rozhodnutí nebo částečně či úplně pozastavit jeho platnost.
                  
               
                     (170)
                  
                  
                     Alternativně Komise tento postup zahájí s cílem změnit toto rozhodnutí, zejména tím, že se na předávání údajů budou vztahovat další podmínky nebo že se omezí oblasti působnosti zjištění o odpovídající úrovni ochrany jen na předávání údajů, u nichž je odpovídající úroveň ochrany nadále zaručena.
                  
               
                     (171)
                  
                  
                     V závažných, naléhavých a řádně odůvodněných případech Komise využije možnost postupem podle čl. 58 odst. 3 směrnice (EU) 2016/680 přijmout okamžitě použitelné prováděcí akty, kterými se rozhodnutí zruší, změní nebo se dočasně pozastaví jeho platnost.
                  
               6.   DOBA PLATNOSTI A PRODLOUŽENÍ PLATNOSTI TOHOTO ROZHODNUTÍ
         
         
                     (172)
                  
                  
                     Je třeba vzít v úvahu, že až skončí přechodné období stanovené v dohodě o vystoupení a jakmile přestane platit prozatímní ustanovení podle článku 782 dohody o obchodu a spolupráci mezi EU a Spojeným královstvím, bude Spojené království spravovat, uplatňovat a vymáhat nový režim ochrany údajů oproti režimu existujícímu v době, kdy bylo vázáno právem Evropské unie. To může zejména znamenat úpravy nebo změny rámce ochrany údajů posuzovaného v tomto rozhodnutí, jakož i další relevantní vývoj.
                  
               
                     (173)
                  
                  
                     Je proto vhodné stanovit, že toto rozhodnutí bude použitelné po dobu čtyř let ode dne svého vstupu v platnost.
                  
               
                     (174)
                  
                  
                     Pokud zejména z informací získaných při sledování tohoto rozhodnutí vyplyne, že zjištění týkající se odpovídající úrovně ochrany zajištěné ve Spojeném království jsou stále věcně a právně odůvodněná, měla by Komise nejpozději šest měsíců před koncem platnosti tohoto rozhodnutí zahájit postup pro změnu tohoto rozhodnutí prodloužením jeho časové působnosti, a to v zásadě o další čtyřleté období. Jakýkoli takový prováděcí akt, kterým se mění toto rozhodnutí, se přijímá postupem podle čl. 58 odst. 2 směrnice (EU) 2016/680.
                  
               7.   ZÁVĚREČNÉ ÚVAHY
         
         
                     (175)
                  
                  
                     Evropský sbor pro ochranu osobních údajů zveřejnil své stanovisko (271), které bylo při přípravě tohoto rozhodnutí zohledněno.
                  
               
                     (176)
                  
                  
                     Opatření stanovená tímto rozhodnutím jsou v souladu se stanoviskem výboru zřízeného podle článku 58 směrnice (EU) 2016/680.
                  
               
                     (177)
                  
                  
                     V souladu s článkem 6a Protokolu č. 21 o postavení Spojeného království a Irska s ohledem na prostor svobody, bezpečnosti a práva, připojeného ke Smlouvě o EU a Smlouvě o fungování EU, není Irsko vázáno pravidly stanovenými ve směrnici (EU) 2016/680, a tudíž i v tomto prováděcím rozhodnutí, která se týkají zpracování osobních údajů členskými státy, vykonávají-li činnosti spadající do oblasti působnosti části třetí hlavy V kapitoly 4 nebo 5 Smlouvy o fungování EU, pokud není vázáno pravidly upravujícími formy justiční spolupráce v trestních věcech nebo policejní spolupráce, v jejichž rámci musí být dodržována pravidla přijatá na základě článku 16 Smlouvy o fungování EU. Kromě toho má být na základě prováděcího rozhodnutí Rady (EU) 2020/1745 (272) směrnice (EU) 2016/680 v Irsku uvedena v účinnost a prozatímně uplatňována ode dne 1. ledna 2021. Irsko je tudíž tímto prováděcím rozhodnutím vázáno za stejných podmínek, jaké se vztahují na použití směrnice (EU) 2016/680 v Irsku, které jsou vymezeny v prováděcím rozhodnutí Rady (EU) 2020/1745, pokud jde o schengenské acquis, kterého se Irsko účastní.
                  
               
                     (178)
                  
                  
                     V souladu s články 2 a 2a Protokolu č. 22 o postavení Dánska, připojeného ke Smlouvě o Evropské unii a Smlouvě o fungování Evropské unie, nejsou pro Dánsko závazná ani použitelná pravidla stanovená ve směrnici (EU) 2016/680, a tudíž i v tomto prováděcím rozhodnutí, která se týkají zpracování osobních údajů členskými státy, vykonávají-li činnosti spadající do oblasti působnosti části třetí hlavy V kapitoly 4 nebo 5 Smlouvy o fungování EU. Avšak vzhledem k tomu, že směrnice (EU) 2016/680 vychází ze schengenského acquis, dne 26. října 2016 oznámilo Dánsko v souladu s článkem 4 uvedeného protokolu své rozhodnutí směrnici (EU) 2016/680 provádět. Ve smyslu mezinárodního práva je proto pro Dánsko toto prováděcí rozhodnutí závazné.
                  
               
                     (179)
                  
                  
                     Pokud jde o Island a Norsko, rozvíjí toto prováděcí rozhodnutí ustanovení schengenského acquis ve smyslu Dohody uzavřené mezi Radou Evropské unie a Islandskou republikou a Norským královstvím o přidružení těchto dvou států k provádění, uplatňování a rozvoji schengenského acquis (273).
                  
               
                     (180)
                  
                  
                     Pokud jde o Švýcarsko, rozvíjí toto prováděcí rozhodnutí ustanovení schengenského acquis ve smyslu Dohody mezi Evropskou unií, Evropským společenstvím a Švýcarskou konfederací o přidružení Švýcarské konfederace k provádění, uplatňování a rozvoji schengenského acquis (274).
                  
               
                     (181)
                  
                  
                     Pokud jde o Lichtenštejnsko, rozvíjí toto prováděcí rozhodnutí ustanovení schengenského acquis ve smyslu Protokolu mezi Evropskou unií, Evropským společenstvím, Švýcarskou konfederací a Lichtenštejnským knížectvím o přistoupení Lichtenštejnského knížectví k dohodě mezi Evropskou unií, Evropským společenstvím a Švýcarskou konfederací o přidružení Švýcarské konfederace k provádění, uplatňování a rozvoji schengenského acquis (275),
                  
               PŘIJALA TOTO ROZHODNUTÍ:
         
            Článek 1
            Pro účely článku 36 směrnice (EU) 2016/680 zajišťuje Spojené království odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie orgánům veřejné moci ve Spojeném království odpovědným za prevenci, vyšetřování, odhalování či stíhání trestných činů nebo za výkon trestů.
         
         
            Článek 2
            Pokud příslušné dozorové orgány v členských státech za účelem ochrany fyzických osob s ohledem na zpracování jejich osobních údajů uplatní pravomoc podle článku 47 směrnice (EU) 2016/680, pokud jde o předání údajů spadající do oblasti působnosti stanovené v článku 1 orgánům veřejné moci ve Spojeném království, oznámí dotyčný členský stát tuto skutečnost bezodkladně Komisi.
         
         
            Článek 3
            
               1.   Komise neustále monitoruje uplatňování právního rámce, na němž je založeno toto rozhodnutí, včetně podmínek, za kterých dochází k dalšímu předávání a k výkonu individuálních práv, s cílem posoudit, zda Spojené království i nadále zajišťuje odpovídající úroveň ochrany ve smyslu článku 1.
            
            
               2.   Členské státy a Komise se vzájemně informují o případech, kdy komisař pro informace nebo jakýkoli jiný příslušný orgán Spojeného království nezajišťuje soulad s právním rámcem, na němž je toto rozhodnutí založeno.
            
            
               3.   Členské státy a Komise se vzájemně informují o jakýchkoli známkách toho, že zásahy britských orgánů veřejné moci do práva fyzických osob na ochranu jejich osobních údajů přesahují rámec toho, co je nezbytně nutné, nebo že proti takovým zásahům není účinné právní ochrany.
            
            
               4.   Pokud má Komise informace o tom, že odpovídající úroveň ochrany již není zajištěna, informuje příslušné orgány Spojeného království a může rozhodnout o dočasném pozastavení platnosti, zrušení nebo změně tohoto rozhodnutí.
            
            
               5.   Komise může rozhodnout o dočasném pozastavení platnosti, zrušení nebo změně tohoto rozhodnutí v případě, že nedostatečná spolupráce vlády Spojeného království brání Komisi v určení, zda je dotčeno zjištění podle článku 1.
            
         
         
            Článek 4
            Použitelnost tohoto rozhodnutí skončí dne 27. června 2025, pokud nebude prodloužena v souladu s postupem uvedeným v čl. 58 odst. 2 směrnice (EU) 2016/680.
         
         
            Článek 5
            Toto rozhodnutí je určeno členským státům.
         
         
            V Bruselu dne 28. června 2021.
            
               
                  Za Komisi
               
               Didier REYNDERS
               
                  člen Komise
               
            
         
         
            (1)  Úř. věst. L 119, 4.5.2016, s. 89.
         
            (2)  Viz 64. bod odůvodnění směrnice (EU) 2016/680.
         
            (3)  Nejnověji viz věc C-311/18, Maximillian Schrems v. Data Protection Commissioner (dále jen „rozsudek ve věci Schrems II“), ECLI:EU:C:2020:559.
         
            (4)  Viz doporučení 01/2021 k referenčnímu rámci pro odpovídající ochranu podle směrnice o prosazování práva přijatá v únoru 2021, k dispozici na této adrese: https://edpb.europa.eu/our-work-tools/general-guidance/police-justice-guidelines-recommendations-best-practices_cs.
         
            (5)  Věc C-362/14, Maximillian Schrems v. Data Protection Commissioner (dále jen „rozsudek ve věci Schrems“), ECLI:EU:C:2015:650, bod 73.
         
            (6)  Rozsudek ve věci Schrems, bod 74.
         
            (7)  Sdělení Komise Evropskému parlamentu a Radě COM(2017) 7 ze dne 10. ledna 2017, Výměna a ochrana osobních údajů v globalizovaném světě, oddíl 3.1, s. 6–7, k dispozici na této adrese: https://eur-lex.europa.eu/legal-content/CS/TXT/PDF/?uri=CELEX:52017DC0007&from=EN.
         
            (8)  Data Protection Act 2018 (zákon o ochraně údajů z roku 2018), k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2018/12/contents.
         
            (9)  UK Explanatory Framework for Adequacy Discussion (Britský vysvětlující rámec pro diskuse o odpovídající ochraně), oddíl F: Prosazování práva, k dispozici na této adrese: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872237/F_-_Law_Enforcement_.pdf.
         
            (10)  Zásady úmluvy č. 108 byly původně v právu Spojeného království provedeny prostřednictvím zákona o ochraně údajů z roku 1984, který byl nahrazen zákonem o ochraně údajů z roku 1998 a poté zákonem o ochraně údajů z roku 2018 (ve spojení s obecným nařízením o ochraně osobních údajů ve Spojeném království). Spojené království rovněž v roce 2018 podepsalo Protokol o změně Úmluvy o ochraně osob se zřetelem na automatizované zpracování osobních dat (označovaný jako „úmluva č. 108+“) a v současné době pracuje na ratifikaci úmluvy.
         
            (11)  Články 6 a 8 EÚLP (viz také dodatek 1 zákona o lidských právech z roku 1998).
         
            (12)  Článek 6 zákona o lidských právech z roku 1998.
         
            (13)  Článek 3 zákona o lidských právech z roku 1998.
         
            (14)  Dohoda o vystoupení Spojeného království Velké Británie a Severního Irska z Evropské unie a Evropského společenství pro atomovou energii, 2019/C 384 I/01, XT/21054/2019/INIT, Úř. věst. C 384I, 12.11.2019, s. 1 (dále jen „dohoda o vystoupení“), k dispozici na této adrese: https://eur-lex.europa.eu/legal-content/CS/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=EN.
         
            (15)  Zákon o vystoupení z EU z roku 2018, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2018/16/contents.
         
            (16)  Data Protection Act 2018 (zákon o ochraně údajů z roku 2018), k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2018/12/contents.
         
            (17)  Článek 6 zákona o vystoupení z EU z roku 2018.
         
            (18)  Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (nařízení v oblasti ochrany údajů, soukromí a elektronických komunikací (změny atd.) (vystoupení z EU) z roku 2019), k dispozici na této adrese: https://www.legislation.gov.uk/uksi/2019/419/contents/made, ve znění nařízení v oblasti ochrany údajů, soukromí a elektronických komunikací z roku 2020, k dispozici na této adrese: https://www.legislation.gov.uk/ukdsi/2020/9780348213522.
         
            (19)  Nařízení k vystoupení z EU provedla řadu změn části 3 zákona o ochraně údajů z roku 2018. Mnohé z nich jsou technické povahy, například výmaz odkazů na „členský stát“ nebo na „směrnici o ochraně údajů“ (viz například čl. 48 odst. 8 nebo čl. 73 odst. 5 písm. a) zákona o ochraně údajů z roku 2018 s odkazem na „vnitrostátní právní předpisy“), aby část 3 po skončení přechodného období účinně fungovala jako vnitrostátní právní předpis. V některých případech byly zapotřebí jiné druhy změn, například pokud jde o to, „kdo“ přijímá „rozhodnutí o odpovídající ochraně“ pro účely britského legislativního rámce ochrany údajů (viz článek 74 A zákona o ochraně údajů z roku 2018), tj. ministr, nikoli Evropská komise.
         
            (20)  Podrobnější vysvětlení k policejním silám a jejich pravomocím ve Spojeném království viz: Britský vysvětlující rámec pro diskuse o odpovídající ochraně, oddíl F: Prosazování práva (viz poznámka pod čarou 9).
         
            (21)  Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales (kodex postupů pro zásady a standardy profesionálního chování policistů v Anglii a Walesu), k dispozici na této adrese: https://www.college.police.uk/What-we-do/Ethics/Documents/Code_of_Ethics.pdf; Police Service Northern Ireland Code of Ethic (Etický kodex policejního sboru Severního Irska), k dispozici na této adrese: https://www.nipolicingboard.org.uk/psni-code-ethics; Code of Ethic for policing in Scotland (Etický kodex pro činnost policie ve Skotsku), k dispozici na této adrese: https://www.scotland.police.uk/about-us/code-of-ethics-for-policing-in-scotland/.
         
            (22)  Code of Practice on the Management of Police Information (kodex zásad pro správu údajů policie), k dispozici na této adrese: http://library.college.police.uk/docs/APPref/Management-of-Police-Information.pdf.
         
            (23)  Police Act 1996 (zákon o policii z roku 1996), k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/1996/16/contents.
         
            (24)  Kodexy podle zákona o policii a důkazech v trestním řízení z roku 1984, k dispozici na této adrese: https://www.gov.uk/guidance/police-and-criminal-evidence-act-1984-pace-codes-of-practice.
         
            (25)  Police and Criminal Evidence Act 1984 (zákon o policii a důkazech v trestním řízení z roku 1984), k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/1984/60/contents.
         
            (26)  Authorised Professional Practice on the Management of Police Information (Povolený odborný postup pro správu údajů policie), k dispozici na této adrese: https://www.app.college.police.uk/app-content/information-management/management-of-police-information/.
         
            (27)  Data Protection Manual for Police Data Protection Professionals (Příručka týkající se ochrany údajů pro policejní odborníky v oblasti ochrany údajů), k dispozici na této adrese: https://www.npcc.police.uk/2019%20FOI/IMORCC/225%2019%20NPCC%20DP%20Manual%20Draft%200.11%20Mar%202019.pdf.
         
            (28)  Například kodex zásad pro správu údajů policie (viz poznámka pod čarou 22) se vztahuje na uchovávání operativních policejních údajů (viz 47. bod odůvodnění tohoto rozhodnutí).
         
            (29)  Podle informací, které poskytly orgány Spojeného království, během období rozhovorů o odpovídající ochraně pracovala policejní akademie na přípravě kodexu zásad pro správu údajů a záznamů, který má nahradit kodex zásad pro správu údajů policie. Návrh kodexu byl zveřejněn k veřejné konzultaci dne 25. ledna 2021 a je k dispozici na této adrese: https://www.college.police.uk/article/information-records-management-consultation.
         
            (30)  Ve věci R v. Commission of Police of the Metropolis [2014] EWCA Civ 585 byl potvrzen právní status kodexu zásad pro správu údajů policie a lord soudce Laws prohlásil, že komisař Metropolitní policie je podle článku 39 A zákona o policii z roku 1996 povinen zohledňovat kodex zásad pro správu údajů policie a povolený odborný postup.
         
            (31)  Dodržování kodexu zásad pro správu údajů ze strany policie kontroluje Inspektorát policejního a hasičského a záchranného sboru Jejího Veličenstva.
         
            (32)  V tomto ohledu viz stanovisko policejní akademie k dodržování povoleného odborného postupu ve všech aspektech činnosti policie, které vysvětluje, že „povolený odborný postup je povolen odborným orgánem pro činnost policie (policejní akademií) jako oficiální zdroj odborných postupů v činnosti policie. Očekává se, že policisté a zaměstnanci budou při plnění svých povinností povolený odborný postup zohledňovat. Mohou však nastat situace, kdy bude existovat legitimní operativní důvod, aby se policie od povoleného odborného postupu odchýlila, bude-li k tomu jasný důvod. Bylo by na policii, aby nesla odpovědnost za jakékoli místní a celostátní riziko spojené s činností mimo rámec celostátně schválených pokynů, a pokud v důsledku této činnosti dojde k incidentu nebo vyšetřování (například prostřednictvím Nezávislého úřadu pro jednání policie), ponese policie odpovědnost za veškerá rizika“. K dispozici na této adrese: https://www.app.college.police.uk/faq-page/.
         
            (33)  Guide to Law Enforcement Processing (Průvodce zpracováním údajů při prosazování práva), k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/.
         
            (34)  Viz rozsudek ve věci Bridges v. Chief Constable of South Wales Police [2019] EWHC 2341 (Admin), v němž sice Vrchní soud konstatoval, že pokyny komisaře nemají povahu zákonného právního předpisu, avšak uvedl, že „[p]ři posuzování, zda správce údajů splnil povinnost podle článku 64 [provést posouzení vlivu na ochranu osobních údajů ve vztahu k vysoce rizikovému zpracování], soud přihlédne k pokynům, které vydal komisař pro informace, pokud jde o posouzení vlivu na ochranu osobních údajů“.
         
            (35)  Příloha 7 zákona o ochraně údajů z roku 2018 uvádí také ředitele státních zastupitelství, ředitele státního zastupitelství pro Severní Irsko nebo komisi pro informace.
         
            (36)  Ustanovení čl. 43 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (37)  Ustanovení čl. 30 odst. 3 zákona o ochraně údajů z roku 2018. Zpravodajské služby (tajná zpravodajská služba, bezpečnostní služba a Vládní ředitelství pro komunikace) nejsou příslušnými orgány (viz čl. 30 odst. 2 zákona o ochraně údajů z roku 2018) a na žádnou z jejich činností se nepoužije část 3 zákona o ochraně údajů z roku 2018. Jejich činnosti spadají do oblasti působnosti části 4 zákona o ochraně údajů z roku 2018.
         
            (38)  Článek 31 zákona o ochraně údajů z roku 2018.
         
            (39)  To znamená, že zákon o ochraně údajů z roku 2018, a tudíž ani toto rozhodnutí, se nevztahuje na korunní závislá území Spojeného království ani na ostatní zámořská území Spojeného království, jako jsou Falklandské ostrovy a území Gibraltaru.
         
            (40)  Osobní údaje týkající se zemřelé osoby nespadají do oblasti působnosti zákona o ochraně údajů z roku 2018.
         
            (41)  Ustanovení čl. 35 odst. 8 zákona o ochraně údajů z roku 2018.
         
            (42)  „Biometrickými údaji“ se rozumí osobní údaje vyplývající z konkrétního technického zpracování týkající se fyzických či fyziologických znaků nebo znaků chování jednotlivce, které umožňuje nebo potvrzuje jeho jedinečnou identifikaci, například zobrazení obličeje nebo daktyloskopické údaje.
         
            (43)  „Údaji o zdravotním stavu“ se rozumí osobní údaje týkající se tělesného nebo duševního zdraví jednotlivce, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jeho zdravotním stavu.
         
            (44)  „Genetickými údaji“ se rozumí osobní údaje týkající se zděděných nebo získaných genetických znaků jednotlivce, které poskytují jedinečné informace o jeho fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku dotčeného jednotlivce.
         
            (45)  Explanatory Notes to the DPA 2018 (Vysvětlivky k zákonu o ochraně údajů z roku 2018), bod 181, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2018/12/pdfs/ukpgaen_20180012_en.pdf.
         
            (46)  Například Národní kriminální agentura (National Crime Agency) odvozuje své pravomoci ze zákona o trestné činnosti a soudech z roku 2013, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2013/22/contents. Podobně jsou pravomoci Agentury pro potravinářské normy (Food Standards Agency) stanoveny zákonem o potravinových normách z roku 1999, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/1999/28/contents. K dalším příkladům patří zákon o trestním stíhání pachatelů z roku 1985, kterým byl zřízen Úřad státního zastupitelství (Crown Prosecution Service) (viz https://www.legislation.gov.uk/ukpga/1985/23/contents); zákon o komisařích Daňové a celní správy z roku 2005, kterým byla zřízena Daňová a celní správa Spojeného království (Her Majesty’s Revenue and Customs) (viz https://www.legislation.gov.uk/ukpga/2005/11/contents); zákon o trestním řízení (Skotsko) z roku 1995, kterým byla zřízena Skotská komise pro přezkum trestních věcí (Criminal Cases Review Commission) (viz https://www.legislation.gov.uk/ukpga/1995/46/contents); zákon o justici (Severní Irsko) z roku 2002, kterým byl zřízen úřad státního zastupitelství v Severním Irsku (Public Prosecution Service in Northern Ireland) (viz https://www.legislation.gov.uk/ukpga/2002/26/contents), a Úřad pro závažné podvody (Serious Fraud Office) byl zřízen a své pravomoci získal podle zákona o trestním soudnictví z roku 1987 (viz https://www.legislation.gov.uk/ukpga/1987/38/contents).
         
            (47)  Například podle informací, které poskytly orgány Spojeného království, v rámci úřadu státního zastupitelství (Crown Office and Procurator Fiscal Service), který odpovídá za trestní stíhání ve Skotsku, ředitel prokuratury, který stojí v čele systému trestního stíhání ve Skotsku, odvozuje své pravomoci vyšetřovat úmrtí a trestně stíhat trestné činy ze zvykového práva, přičemž některé z jeho funkcí jsou zakotveny v právním předpisu. Kromě toho Koruna a potažmo různé vládní instituce, ministerstva a ministři také odvozují své pravomoci z kombinace právních předpisů, zvykového práva a královských výsad (jedná se o pravomoci podle zvykového práva svěřené Koruně, které však vykonávají ministři).
         
            (48)  Britský vysvětlující rámec pro diskuse o odpovídající ochraně, oddíl F: Prosazování práva, s. 8 (viz poznámka pod čarou 9).
         
            (49)  Klíčové právní předpisy zajišťující režim hlavních policejních pravomocí (zatčení, prohlídky, povolení k dalšímu zadržení, otisky prstů, odběr intimních vzorků, odposlech na základě příkazu, přístup ke komunikačním údajům) jsou: i) pro Anglii a Wales zákon o policii a důkazech v trestním řízení z roku 1984, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/1984/60/contents (ve znění zákona o ochraně svobod z roku 2012, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2012/9/contents) a zákon o vyšetřovacích pravomocích z roku 2016 (tzv. zákon IPA), k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2016/25/contents); ii) pro Skotsko zákon o trestním soudnictví (Skotsko) z roku 2016, k dispozici na této adrese: https://www.legislation.gov.uk/asp/2016/1/contents a zákon o trestním řízení (Skotsko) z roku 1995, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/1995/46/contents); iii) pro Severní Irsko vyhláška o policii a důkazech v trestním řízení (Severní Irsko) z roku 1989, k dispozici na této adrese: https://www.legislation.gov.uk/nisi/1989/1341/contents.
         
            (50)  Orgány Spojeného království vysvětlily, že nadřazenost obecného práva je ve Spojeném království dlouhodobě zavedena, a to již od rozsudku ve věci Entick v. Carrington [1765] EWHC KB J98, který uznal, že výkon pravomocí výkonného orgánu je omezen, a stanovil zásadu, že pravomoci podle zvykového práva a výsadní pravomoci krále a vlády jsou podřízeny zákonům země.
         
            (51)  Viz věc Rice v. Connolly [1966] 2 QB 414.
         
            (52)  Viz rozsudek ve věci R(Catt) v. Association of Chief police Officers [2015] AC 1065, v němž ve vztahu k policejní pravomoci získávat a uchovávat informace o jednotlivci (který spáchal trestný čin) lord Sumption rozhodl, že podle zvykového práva má policie pravomoc získávat a uchovávat informace pro policejní účely, tj. obecně řečeno pro udržování veřejného pořádku a prevenci a odhalování trestné činnosti. Tyto pravomoci nepovolují rušivé metody získávání informací, jako je vstup do soukromé nemovitosti nebo jednání (kromě zatčení na základě pravomocí podle zvykového práva), která by představovala napadení. Soudce měl za to, že v projednávaném případě byly pravomoci podle zvykového práva dostatečně široké k tomu, aby umožnily získání a uchovávání dotyčného druhu veřejných informací, kterých se týkaly opravné prostředky.
         
            (53)  Equality Act 2010 (zákon o rovnosti z roku 2010), k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2010/15/contents.
         
            (54)  Příkladem případu, kdy jsou pravomoci policie podle zvykového práva posuzovány v rámci zákona o ochraně údajů z roku 1998, je rozhodnutí Vrchního soudu ve věci Bridges v. Chief Constable of South Wales Police (viz poznámka pod čarou 33). Viz rovněž věc Vidal-Hall v. Google Inc [2015] EWCA Civ 311 a věc Richard v. BBC [2018] EWHC 1837 (Ch).
         
            (55)  Viz například pokyny policejního sboru Severního Irska týkající se služebního pokynu ke správě záznamů, které jsou k dispozici na této adrese: https://www.psni.police.uk/globalassets/advice--information/our-publications/policies-and-service-procedures/records-management-080819.pdf.
         
            (56)  Dolní sněmovna Spojeného království zveřejnila informační dokument, který stanoví klíčové pravomoci policie podle zvykového a obecného práva v Anglii a Walesu (viz https://researchbriefings.files.uk/documents/CBP-8637/CBP-8637.pdf). Podle tohoto dokumentu jsou například pravomoci „zastavení a prohlídky“ vždy odvozeny z právního předpisu, zatímco pravomoci k udržování „klidu Koruny“ a „použití síly“ jsou pravomocemi odvozenými ze zvykového práva. Kromě toho skotská vláda na svých internetových stránkách poskytuje informace o policejních pravomocích v případě zadržení a prohlídky (viz https://www.gov.scot/policies/police/police-powers/).
         
            (57)  Podle informací poskytnutých orgány Spojeného království patří mezi výsadní pravomoci vykonávané vládou například uzavírání a ratifikace úmluv, výkon diplomacie, použití ozbrojených sil ve Spojeném království na podporu policie k udržení klidu.
         
            (58)  V tomto ohledu viz posouzení režimu Spojeného království, který se týká dalšího předávání, v 74. až 87. bodě odůvodnění.
         
            (59)  Viz rozsudek ve věci Bancoult v. Secretary of State for Foreign and Commonwealth Affairs [2008] UKHL 61, v němž soudy konstatovaly, že výsadní pravomoc vydávat vyhlášky v Radě rovněž podléhá běžným důvodům soudního přezkumu.
         
            (60)  Viz rozsudek ve věci Attorney-General v. De Keyser’s Royal Hotel Ltd [1920] AC 508, v němž soud konstatoval, že výsadní pravomoci nelze použít v případě, že je nahrazují zákonné pravomoci; ve věci Laker Airways Ltd v. Department of Trade [1977] QB 643, v němž soud shledal, že výsadní pravomoci nelze použít za účelem maření obecného práva; ve věci R v. Secretary of State for the Home Department, ex p. Fire Brigades Union [1995] UKHL 3, v němž soud dospěl k závěru, že výsadní pravomoci nelze použít, jsou-li v rozporu s přijatými právními předpisy, a to i pokud tyto přijaté právní předpisy dosud nevstoupily v platnost; ve věci R (Miller) v. Secretary of State for Exiting the European Union [2017] UKSC 5, v němž soud potvrdil, že obecné právo může upravovat a rušit výsadní pravomoci. Obecný přehled vztahu mezi královskými výsadami a pravomocemi podle obecného nebo zvykového práva viz informační zpráva Dolní sněmovny Spojeného království, k dispozici na této adrese: https://researchbriefings.files.parliament.uk/documents/SN03861/SN03861.pdf.
         
            (61)  Průvodce zpracováním údajů při prosazování práva, část „What is the first principle about?“ (O co jde v první zásadě?), k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/principles/#ib2.
         
            (62)  Vyplývá to z formulace příslušného ustanovení zákona o ochraně údajů z roku 2018, podle něhož je zpracování osobních údajů pro jakékoli účely prosazování práva zákonné, pouze tehdy a v takovém rozsahu, v jakém „vychází ze zákona“, a pokud buď a) subjekt údajů udělil souhlas se zpracováním pro daný účel, nebo b) je zpracování nezbytné pro plnění úkolu, který za tímto účelem provádí příslušný orgán“.
         
            (63)  Viz 35. a 37. bod odůvodnění směrnice (EU) 2016/680.
         
            (64)  Orgány Spojeného království vysvětlily, že jedním z příkladů, kdy může být souhlas vhodným základem pro zpracování, by byl případ, kdy policie získá vzorek DNA v souvislosti s pohřešovanou osobou, aby jej porovnala s tělem, pokud bude nalezeno. Za takových okolností by nebylo vhodné, aby policie nutila subjekt údajů k poskytnutí vzorku; namísto toho by policie požádala daného jednotlivce o souhlas, který bude svobodně udělen a bude možné jej kdykoli vzít zpět. Bude-li souhlas vzat zpět, údaje již nebude možné dále zpracovávat, pokud nebude stanoven nový právní základ pro další zpracování vzorku (např. subjekt údajů se stal podezřelou osobou). Dalším příkladem by mohla být situace, kdy policie vyšetřuje trestný čin, při kterém by oběti (kterou by mohla být oběť loupeže, sexuálně motivovaného trestného činu, domácího násilí, příbuzní usmrcené osoby nebo jiná oběť trestného činu) mohlo přinést prospěch, pokud by byla zkontaktována s organizací Victim Support (nezávislou dobročinnou organizací, která podporuje osoby postižené trestnou činností a traumatickými incidenty). Za takových okolností bude policie s organizací Victim Support sdílet osobní údaje, jako je jméno a kontaktní údaje, pouze pokud bude mít souhlas oběti.
         
            (65)  Samostatná definice „souhlasu“ pro účely zpracování osobních údajů podle části 3 zákona o ochraně údajů z roku 2018 neexistuje. Úřad komisaře pro informace vydal pokyny k pojmu „souhlas“ podle části 3 zákona o ochraně údajů z roku 2018, v nichž objasnil, že tento pojem má stejný význam jako v definici uvedené v nařízení GDPR a měl by s ní být v souladu, totiž že „souhlas musí být dán svobodně, musí být konkrétní a informovaný a musí existovat skutečná volba ohledně souhlasu se zpracováním údajů“ (Průvodce zpracováním údajů při prosazování práva, část „What is the first principle about?“ (O co jde v první zásadě?)), (viz poznámka pod čarou 64) a Průvodce ochranou údajů, část týkající se souhlasu, k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/).
         
            (66)  Viz například informace na internetových stránkách policie hrabství Lincolnshire (viz https://www.lincs.police.uk/resource-library/data-protection/law-enforcement-processing/) nebo na internetových stránkách policie hrabství West Yorkshire (viz https://www.westyorkshire.police.uk/sites/default/files/2018-06/data_protection.pdf).
         
            (67)  Ustanovení čl. 35 odst. 8 zákona o ochraně údajů z roku 2018.
         
            (68)  Ustanovení čl. 35 odst. 4 zákona o ochraně údajů z roku 2018.
         
            (69)  Ustanovení čl. 35 odst. 5 zákona o ochraně údajů z roku 2018.
         
            (70)  Pro úplnost je třeba uvést, že pokud je zpracování založeno na souhlasu, musí být souhlas poskytnut svobodně, musí být konkrétní a informovaný a musí existovat konkrétní volba ohledně souhlasu se zpracováním údajů. Kromě toho musí mít správce při zpracování na základě souhlasu subjektu údajů zaveden „dokument o vhodné politice“. Článek 42 zákona o ochraně údajů z roku z roku 2018 vymezuje požadavky, které musí dokument o vhodné politice splňovat. Objasňuje, že tento dokument musí přinejmenším vysvětlovat postupy správce při zajišťování souladu se zásadami ochrany údajů a politiky správce týkající se uchovávání a výmazu osobních údajů. Podle článku 42 zákona o ochraně údajů z roku 2018 to znamená, že správce musí předložit dokument, který a) vysvětluje postupy správce pro zajištění souladu se zásadami ochrany údajů a b) vysvětluje politiky správce týkající se uchovávání a výmazu osobních údajů zpracovávaných na základě souhlasu subjektu údajů nebo uvedení toho, jak dlouho budou tyto osobní údaje pravděpodobně uchovávány. Dokument o politice zejména vyžaduje, aby správce při plnění své povinnosti zaznamenávat činnosti zpracování vždy zahrnoval prvky uvedené v písmenech a) a b). Úřad komisaře pro informace zveřejnil vzorový dokument Guide to Law Enforcement Processing. „Conditions for sensitive processing“ (Příručka pro zpracování osobních údajů v oblasti prosazování práva. „Podmínky citlivého zpracování“), k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/conditions-for-sensitive-processing) a může přijmout donucovací opatření, pokud správci těmto požadavkům nevyhoví. Dokument o vhodné politice také zkoumají soudy při posuzování možných porušení zákona o ochraně údajů z roku 2018. Například v nedávné věci R (Bridges) v. Chief Constable of South Wales Police přezkoumaly soudy dokument správce o vhodné politice a shledaly, že je přiměřený, ovšem prospěla by mu větší podrobnost. Výsledkem bylo, že policie v Jižním Walesu dokument o vhodné politice přezkoumala a aktualizovala jej v souladu s novými pokyny Úřadu komisaře pro informace (viz poznámka pod čarou 33). Podle čl. 42 odst. 3 zákona o ochraně údajů z roku z roku 2018 by navíc měl správce dokument o vhodné politice pravidelně přezkoumávat. A konečně, další zárukou podle čl. 42 odst. 4 zákona o ochraně údajů z roku z roku 2018 je povinnost správce vést rozšířenou evidenci činností zpracování včetně dalších prvků ve srovnání s obecnou povinností správce vést záznamy o činnostech zpracování podle článku 61 zákona o ochraně údajů z roku 2018.
         
            (71)  Průvodce zpracováním údajů při prosazování práva, část „Conditions for sensitive processing“ („Podmínky pro citlivé zpracování“) (viz poznámka pod čarou 70).
         
            (72)  Zpracování se provádí bez souhlasu subjektu údajů, jestliže: a) subjekt údajů nemůže vydat souhlas se zpracováním; b) od správce nelze rozumně očekávat, že získá souhlas subjektu údajů se zpracováním; c) zpracování musí být provedeno bez souhlasu subjektu údajů, protože získání souhlasu subjektu údajů by bylo na újmu poskytnutí ochrany uvedené v odst. 1 písm. a).
         
            (73)  Viz čl. 41 odst. 1 zákona o ochraně údajů z roku 2018.
         
            (74)  Viz čl. 41 odst. 2 zákona o ochraně údajů z roku 2018.
         
            (75)  Článek 205 zákona o ochraně údajů z roku 2018 vymezuje pojem „nepřesné“ jako „nesprávné nebo zavádějící“ osobní údaje. Orgány Spojeného království vysvětlily, že je obvyklé, že údaje týkající se vyšetřování trestných činů budou často neúplné, bez ohledu na to však mohou být přesné.
         
            (76)  Ustanovení čl. 38 odst. 1 písm. b) zákona o ochraně údajů z roku 2018.
         
            (77)  Podle britského vysvětlujícího rámce pro diskuse o odpovídající ochraně „to zajišťuje, aby byla uznána jak práva subjektů údajů, tak operativní potřeby donucovacích orgánů. Výše uvedený aspekt byl během fází přípravy návrhu zákona o ochraně údajů pečlivě zvažován, neboť mohou existovat specifické a omezené operativní důvody, proč nelze údaje opravit. S největší pravděpodobností tento stav nastane, pokud je třeba dotčené nepřesné osobní údaje uchovat v původní podobě pro účely dokazování“ (viz britský vysvětlující rámec pro diskuse o odpovídající ochraně, oddíl F: Prosazování práva, s. 21, viz poznámka pod čarou 9).
         
            (78)  Ustanovení čl. 38 odst. 4 zákona o ochraně údajů z roku 2018. Podle čl. 38 odst. 5 zákona o ochraně údajů z roku 2018 musí být kvalita osobních údajů před jejich předáním nebo zpřístupněním ověřena, a to u všech předání osobních údajů, musí být uvedeny nezbytné informace umožňující příjemci posoudit míru přesnosti, úplnosti, spolehlivosti a aktuálnosti údajů, a pokud se po předání osobních údajů ukáže, že údaje byly nesprávné nebo že bylo předání nezákonné, musí o tom být příjemce neprodleně vyrozuměn.
         
            (79)  Ustanovení čl. 38 odst. 2 zákona o ochraně údajů z roku 2018.
         
            (80)  Ustanovení čl. 38 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (81)  Tento rámec zajišťuje jednotnost při uchovávání získaných osobních údajů. Délka přezkumného období závisí na trestných činech, které jsou rozděleny do čtyř skupin: 1) určité záležitosti ochrany veřejnosti; 2) jiné sexuálně motivované násilné a závažné trestné činy; 3) všechny ostatní trestné činy; 4) různé. Další podrobnosti uvádí povolený odborný postup pro správu údajů policie (viz poznámka pod čarou 26).
         
            (82)  Podle informací, které poskytly orgány Spojeného království, mohou i ostatní organizace dodržovat principy kodexu zásad pro správu údajů policie, pokud budou chtít. Například Daňová a celní správa Spojeného království a Národní kriminální agentura dobrovolně přijímají mnoho zásad kodexu zásad pro správu údajů policie, aby zajistily konzistentnost v celé oblasti prosazování práva. Obecně platí, že většina organizací poskytne všem svým zaměstnancům konkrétní zásady a pokyny pro nakládání s osobními údaji v rámci jejich úlohy, přičemž budou přizpůsobené konkrétní organizaci. To by obvykle zahrnovalo také povinné školení.
         
            (83)  Kodex zásad pro správu údajů policie byl vydán na základě pravomocí podle zákona o policii z roku 1996, který policejní akademii umožňuje vydávat kodexy postupů týkající se efektivního fungování policie. Jakýkoli kodex zásad vydaný podle tohoto zákona musí být schválen ministrem a před předložením parlamentu Spojeného království musí být konzultován s Národní kriminální agenturou. Ustanovení čl. 39 A odst. 7 zákona o policii z roku 1996 vyžaduje, aby policie řádně zohledňovala kodexy vydané podle tohoto zákona.
         
            (84)  PSNI MoPI Handbook (Příručka policejního sboru Severního Irska týkající se správy údajů policie), kapitola 1–6.
         
            (85)  Record Retention Standard Operating Procedure (SOP) (standardní operační postup pro uchovávání záznamů), k dispozici na této adrese: https://www.scotland.police.uk/spa-media/nhobty5i/record-retention-sop.pdf.
         
            (86)  Další podrobnosti ke správě záznamů viz informace týkající se Skotského národního archivu, k dispozici na této adrese: https://www.nrscotland.gov.uk/record-keeping/records-management.
         
            (87)  Doba uchovávání se liší v závislosti na tom, zda osoba byla, či nebyla odsouzena (články 63I až 63KI zákona o policii a důkazech v trestním řízení z roku 1984). Například v případě dospělé osoby odsouzené za trestný čin podléhající záznamu v trestním rejstříku mohou být otisky prstů a profil DNA této osoby uchovávány po dobu neurčitou (čl. 63I odst. 2 zákona o policii a důkazech v trestním řízení z roku 1984), uchovávání je však časově omezeno, pokud je odsouzená osoba mladší osmnácti let, trestný čin podléhající záznamu v trestním rejstříku je „méně závažný“ a osoba dosud nebyla odsouzena (článek 63K zákona o policii a důkazech v trestním řízení z roku 1984). Uchovávání v případě osoby, která je zatčena nebo obviněna, ale není odsouzena, je časově omezeno na tři roky (článek 63F zákona o policii a důkazech v trestním řízení z roku 1984). Prodloužení této doby uchovávání musí schválit soudní orgán (čl. 63F odst. 7 zákona o policii a důkazech v trestním řízení z roku 1984). V případě osob, které jsou zatčeny nebo obviněny, ale nejsou odsouzeny za méně závažný trestný čin, není možné údaje uchovávat (články 63D a 63H zákona o policii a důkazech v trestním řízení z roku 1984).
         
            (88)  Článek 20 zákona o ochraně svobod z roku 2012 zřizuje funkci komisaře pro biometriku. Kromě jiných funkcí rozhoduje komisař pro biometriku také o tom, zda policie může, či nesmí uchovávat záznamy profilu DNA a otisky prstů získané od osob, které byly zatčeny, ale nebyly obviněny ze závažného trestného činu (článek 63G zákona o policii a důkazech v trestním řízení z roku 1984). Komisař pro biometriku má navíc obecnou odpovědnost za přezkum uchovávání a používání DNA a otisků prstů a uchovávání z důvodu národní bezpečnosti (čl. 20 odst. 2 zákona o ochraně svobod z roku 2012). Komisař pro biometriku je jmenován podle kodexu pro jmenování do veřejných funkcí (kodex je k dispozici na této adrese: Governance Code for Public Appointments – GOV.UK (www.gov.uk)) a v podmínkách jeho jmenování je jasně stanoveno, že jej může ministr vnitra odvolat z funkce pouze za úzce vymezeného souboru okolností, mezi něž patří neplnění povinností po dobu tří měsíců, odsouzení za trestný čin nebo nedodržení podmínek jmenování.
         
            (89)  Review of the Use and Retention of Custody Images (Přezkum použití a uchovávání fotografií pořízených při zadržení), k dispozici na této adrese: https://www.gov.uk/government/publications/custody-images-review-of-their-use-and-retention.
         
            (90)  Článek 18 a násl. zákona o trestním řízení (Skotsko) z roku 1995.
         
            (91)  Doba uchovávání se liší podle toho, zda byla osoba odsouzena (čl. 18 odst. 3 zákona o trestním řízení (Skotsko) z roku 1995) nebo zda je nezletilá. V posledně uvedeném případě činí doba uchovávání tři roky od odsouzení během řízení pro nezletilé (čl. 18E odst. 8 zákona o trestním řízení (Skotsko) z roku 1995). Údaje o osobách, které jsou zatčeny, ale nejsou odsouzeny, nelze uchovávat (čl. 18 odst. 3 zákona o trestním řízení (Skotsko) z roku 1995) s výjimkou zvláštních případů a v závislosti na závažnosti trestného činu (článek 18 A zákona o trestním řízení (Skotsko) z roku 1995). Zákon o skotském komisaři pro biometriku z roku 2020 (viz https://www.legislation.gov.uk/asp/2020/8/contents) zřizuje funkci skotského komisaře pro biometriku, který musí vypracovat a revidovat kodexy zásad (schválené Skotským parlamentem) týkající se získávání, uchovávání, používání a zničení biometrických údajů pro účely trestního soudnictví a policie (článek 7 zákona o skotském komisaři pro biometriku z roku 2020).
         
            (92)  V souladu s vysvětlivkami k zákonu o ochraně údajů z roku z roku 2018 (viz poznámka pod čarou 45) musí správce zejména: navrhnout a zorganizovat své zabezpečení tak, aby odpovídalo povaze osobních údajů, které uchovává, a újmě, která může vzniknout v důsledku narušení bezpečnosti; jasně určit, kdo v jeho organizaci odpovídá za zajištění bezpečnosti informací; zajistit, aby měl správné fyzické a technické zabezpečení podpořené důkladnými zásadami a postupy a spolehlivým a dobře vyškoleným personálem; a musí být připraven rychle a efektivně reagovat na jakékoli narušení bezpečnosti.
         
            (93)  Bod 221 vysvětlivek k zákonu o ochraně údajů z roku 2018 (viz poznámka pod čarou 45).
         
            (94)  Ustanovení čl. 67 odst. 4 zákona o ochraně údajů z roku 2018 uvádí, že oznámení musí obsahovat popis povahy daného případu porušení zabezpečení osobních údajů (včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů); název a kontaktní údaje kontaktního místa, popis pravděpodobných důsledků porušení zabezpečení osobních údajů a popis opatření, která správce přijal nebo navrhl přijmout s cílem vyřešit dané porušení zabezpečení osobních údajů (případně včetně opatření ke zmírnění možných nepříznivých dopadů).
         
            (95)  Ustanovení čl. 67 odst. 2 zákona o ochraně údajů z roku 2018.
         
            (96)  Ustanovení čl. 67 odst. 6 zákona o ochraně údajů z roku 2018.
         
            (97)  Ustanovení čl. 67 odst. 9 zákona o ochraně údajů z roku 2018.
         
            (98)  Podle čl. 68 odst. 7 zákona o ochraně údajů z roku 2018 může správce zcela nebo zčásti omezit poskytování informací subjektu údajů v takovém rozsahu a po takovou dobu, po kterou omezení s přihlédnutím k základním právům a oprávněným zájmům subjektu údajů představuje nezbytné a přiměřené opatření s cílem: a) zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů; b) zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů; c) chránit veřejnou bezpečnost; d) chránit národní bezpečnost; e) chránit práva a svobody druhých.
         
            (99)  Ustanovení čl. 68 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (100)  Ustanovení čl. 68 odst. 5 zákona o ochraně údajů z roku 2018.
         
            (101)  Ustanovení čl. 68 odst. 6 zákona o ochraně údajů z roku 2018, s výhradou omezení v čl. 68 odst. 8 zákona o ochraně údajů z roku 2018.
         
            (102)  Průvodce zpracováním údajů při prosazování práva uvádí tento příklad: „Na svých internetových stránkách máte obecné oznámení o ochraně osobních údajů, které obsahuje základní informace o organizaci, o účelu, pro který zpracováváte osobní údaje, o právech subjektu údajů a o jeho právu podat stížnost u komisaře pro informace. Obdrželi jste zpravodajské informace, že určitá fyzická osoba byla přítomna spáchání trestného činu. Při prvním výslechu této osoby musíte poskytnout obecné informace a další podpůrné informace, aby daná osoba mohla uplatnit svá práva. Korektní zpracování informací, které zajišťujete, můžete omezit pouze v případě, že negativně ovlivní vámi prováděné vyšetřování“ (Průvodce zpracováním údajů při prosazování práva, část „What information should we supply to an individual?“ (Jaké informace bychom měli jednotlivci poskytnout?), k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib3).
         
            (103)  Průvodce zpracováním údajů při prosazování práva uvádí, že informace poskytnuté o zpracování osobních údajů musí být stručné, transparentní, srozumitelné a snadno přístupné; formulované jasně a srozumitelně, s přizpůsobením potřebám zranitelných osob, například dětí; a bezplatné (Průvodce zpracováním údajů při prosazování práva, část „How should we provide this information?“ (Jak bychom měli tyto informace poskytovat?“)), k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib1).
         
            (104)  Ustanovení čl. 44 odst. 2 zákona o ochraně údajů z roku 2018.
         
            (105)  Podrobná analýza práv subjektů údajů viz: Průvodce zpracováním údajů při prosazování práva, část týkající se individuálních práv, k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/.
         
            (106)  Ustanovení čl. 45 odst. 1 zákona o ochraně údajů z roku 2018.
         
            (107)  Ustanovení čl. 45 odst. 2 zákona o ochraně údajů z roku 2018.
         
            (108)  Ustanovení čl. 46 odst. 4 zákona o ochraně údajů z roku 2018.
         
            (109)  Subjekt údajů může požádat správce, aby osobní údaje vymazal nebo aby omezil jejich zpracování (povinnosti správce vymazat údaje nebo omezit jejich zpracování však platí bez ohledu na to, zda je taková žádost podána).
         
            (110)  Ustanovení čl. 46 odst. 4 a čl. 47 odst. 2 zákona o ochraně údajů z roku 2018.
         
            (111)  Ustanovení čl. 47 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (112)  Ustanovení čl. 48 odst. 1 zákona o ochraně údajů z roku 2018.
         
            (113)  Ustanovení čl. 48 odst. 7 zákona o ochraně údajů z roku 2018.
         
            (114)  Ustanovení čl. 48 odst. 9 zákona o ochraně údajů z roku 2018.
         
            (115)  Článek 68 zákona o ochraně údajů z roku 2018.
         
            (116)  Ustanovení čl. 52 odst. 1 zákona o ochraně údajů z roku 2018.
         
            (117)  Ustanovení čl. 52 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (118)  Článek 54 zákona o ochraně údajů z roku 2018 definuje význam „příslušné lhůty“, kterou se rozumí období jednoho měsíce nebo případně delší období stanovené v nařízeních, jež začíná příslušným okamžikem (kdy správce obdrží dotčenou žádost, kdy správce obdrží (případné) informace požadované v souvislosti s žádostí podle čl. 52 odst. 4 zákona o ochraně údajů nebo kdy je uhrazen (případný) poplatek účtovaný v souvislosti s žádostí podle článku 53 zákona o ochraně údajů).
         
            (119)  Ustanovení čl. 53 odst. 1 zákona o ochraně údajů z roku 2018.
         
            (120)  Podle pokynů Úřadu komisaře pro informace se správce může rozhodnout účtovat subjektu údajů poplatek, i pokud je jeho žádost zjevně nedůvodná nebo nepřiměřená, ale správce se přesto rozhodne na ni odpovědět. Poplatek musí být přiměřený a musí umožňovat odůvodnění nákladů. Průvodce zpracováním údajů při prosazování práva, část „Manifestly unfounded and excessive requests“ (Zjevně nedůvodné nebo nepřiměřené žádosti), k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/manifestly-unfounded-and-excessive-requests/.
         
            (121)  Ustanovení čl. 45 odst. 4 zákona o ochraně údajů z roku 2018.
         
            (122)  Ustanovení čl. 44 odst. 4 zákona o ochraně údajů z roku 2018.
         
            (123)  Ustanovení čl. 68 odst. 7 zákona o ochraně údajů z roku 2018.
         
            (124)  Ustanovení čl. 48 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (125)  Viz například Průvodce zpracováním údajů při prosazování práva, část týkající se práv na přístup, k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-of-access/#ib8.
         
            (126)  Viz například Příručka týkající se ochrany údajů určená policejním odborníkům oblasti ochrany údajů, kterou vydala Národní rada policejních ředitelů (viz poznámka pod čarou 27), nebo pokyny poskytnuté Úřadem pro závažné podvody, k dispozici na této adrese: https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/sfo-operational-handbook/data-protection/.
         
            (127)  Příručka týkající se ochrany údajů Národní rady policejních ředitelů, s. 140 (viz poznámka pod čarou 27).
         
            (128)  Příručka týkající se ochrany údajů Národní rady policejních ředitelů uvádí, že účel „zabránit maření úředních nebo právních šetření, vyšetřování nebo řízení“ pravděpodobně bude relevantní pro osobní údaje zpracovávané pro soudní vyšetřování, řízení u rodinných soudů, interní kázeňská šetření netýkající se trestné činnosti a vyšetřování typu nezávislého vyšetřování sexuálního zneužívání dětí, zatímco účel „chránit práva a svobody druhých“ je relevantní pro osobní údaje, které by se týkaly jiných osob i žadatele“ (Příručka týkající se ochrany údajů Národní rady policejních ředitelů, s. 140, viz poznámka pod čarou 27).
         
            (129)  Článek 79 zákona o ochraně údajů z roku 2018.
         
            (130)  Pokyny vlády Spojeného království týkající se osvědčení o omezení z důvodu národní bezpečnosti, k dispozici na této adrese: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.
         
            (131)  Ustanovení čl. 44 odst. 5 a 6, čl. 45 odst. 5 a 6, čl. 48 odst. 4 zákona o ochraně údajů z roku 2018.
         
            (132)  Ustanovení čl. 44 odst. 7, čl. 45 odst. 7, čl. 48 odst. 6 zákona o ochraně údajů z roku 2018.
         
            (133)  Článek 51 zákona o ochraně údajů z roku 2018.
         
            (134)  Článek 167 zákona o ochraně údajů z roku 2018.
         
            (135)  Pokud jde o rozsah automatizovaného zpracování, vysvětlivky k zákonu o ochraně údajů z roku 2018 uvádějí, že „tato ustanovení se týkají plně automatizovaného rozhodování, nikoli automatizovaného zpracování údajů. O automatizované zpracování údajů (včetně profilování) se jedná, pokud je operace s údaji prováděna bez nutnosti lidského zásahu. Pravidelně se v oblasti prosazování práva používá k filtrování velkých souborů dat na zvládnutelné množství, které pak může lidský operátor použít. Automatizované rozhodování je formou automatizovaného zpracování údajů a vyžaduje, aby bylo konečné rozhodnutí přijato bez lidského zásahu.“ (Vysvětlivky k zákonu o ochraně údajů, bod 204, viz poznámka pod čarou 45).
         
            (136)  Kromě ochrany poskytované podle zákona o ochraně údajů existují v právním rámci Spojeného království i další legislativní omezení, která jsou použitelná pro donucovací orgány a která zabraňují automatizovanému zpracování údajů (včetně profilování), jež by vedlo k nezákonné diskriminaci. Zákon o lidských právech z roku 1998 začleňuje do práva Spojeného království práva obsažená v Evropské úmluvě o lidských právech včetně zákazu diskriminace, tj. práva stanoveného v jejím článku 14. Podobně zákon o rovnosti z roku 2010 (Equality Act 2010) zakazuje diskriminaci osob s chráněnými charakteristikami (k nimž patří pohlaví, rasa, zdravotní postižení atd.).
         
            (137)  Ustanovení čl. 49 odst. 2 zákona o ochraně údajů z roku 2018.
         
            (138)  Ustanovení čl. 50 odst. 4 zákona o ochraně údajů z roku 2018.
         
            (139)  Tento nový rámec byl zaveden na konci přechodného období, včetně pravomoci ministra přijímat nařízení o odpovídající ochraně. Nařízení v oblasti ochrany údajů, soukromí a elektronických komunikací (zejména články 10 až 12 přílohy 21, kterou tato nařízení vkládají do zákona o ochraně údajů z roku 2018) stanoví, že na konci a po skončení přechodného období se k určitým předáním osobních údajů přistupuje tak, jako by se opírala o nařízení o odpovídající ochraně. Tato předání zahrnují předání do třetích zemí, na které se na konci přechodného období vztahuje rozhodnutí EU o odpovídající ochraně, a do členských států EU, států ESVO a na území Gibraltaru na základě toho, že uplatňují na zpracování údajů pro účely prosazování práva směrnici o prosazování práva (státy ESVO používají směrnici (EU) 2016/680 v důsledku svých závazků podle schengenského acquis). To znamená, že na konci přechodného období mohou předávání do těchto zemí pokračovat jako před vystoupením z EU. Po skončení přechodného období musí ministr ve lhůtě čtyř let provést přezkum zjištění o odpovídající úrovni ochrany.
         
            (140)  Články 73 a 77 zákona o ochraně údajů z roku 2018.
         
            (141)  Orgány Spojeného království vysvětlily, že popis země nebo mezinárodní organizace odkazuje na situaci, kdy by bylo nutné provést konkrétní a částečné určení odpovídající ochrany s příslušnými omezeními (například nařízením o odpovídající ochraně týkajícím se pouze určitého druhu předávání údajů).
         
            (142)  Viz čl. 74 A odst. 4 zákona o ochraně údajů z roku 2018, který stanoví, že při posuzování odpovídající úrovně ochrany „musí ministr vzít v úvahu zejména a) právní stát, dodržování lidských práv a základních svobod, příslušné právní předpisy, obecné i odvětvové, včetně pravidel týkajících se veřejné bezpečnosti, obrany, národní bezpečnosti a trestního práva a přístupu orgánů veřejné moci k osobním údajům, jakož i provádění těchto právních předpisů, pravidla pro ochranu údajů, profesní pravidla a bezpečnostní opatření, včetně pravidel pro další předávání osobních údajů do další třetí země nebo mezinárodní organizaci, která jsou v dané třetí zemi nebo mezinárodní organizaci dodržována, judikaturu, jakož i existenci účinných a vymahatelných práv subjektu údajů a účinné správní či soudní ochrany pro subjekty údajů, jejichž osobní údaje se předávají; b) existenci a účinné fungování jednoho nebo více nezávislých dozorových úřadů, které působí v dané třetí zemi nebo kterým podléhá daná mezinárodní organizace, příslušných zajišťovat a vymáhat soulad s pravidly pro ochranu údajů, včetně přiměřených vymáhacích pravomocí, poskytovat pomoc a poradenství subjektům údajů při výkonu jejich práv a spolupracovat s komisařem a c) mezinárodní závazky, které daná třetí země nebo mezinárodní organizace přijala, nebo jiné závazky vyplývající z právně závazných úmluv nebo nástrojů, jakož i z její účasti v mnohostranných či regionálních systémech, zejména pokud jde o ochranu osobních údajů.“
         
            (143)  Viz memorandum o porozumění mezi ministrem pro digitální oblast, kulturu, sdělovací prostředky a sport a Úřadem komisaře pro informace o úloze Úřadu komisaře pro informace v souvislosti s novým posouzením Spojeného království týkajícím se odpovídající ochrany, k dispozici na této adrese: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.
         
            (144)  Během této čtyřicetidenní lhůty mohou obě komory parlamentu Spojeného království hlasovat proti nařízením, pokud tak chtějí učinit; je-li takové usnesení odhlasováno, nařízení ztratí jakýkoli další právní účinek.
         
            (145)  Článek 75 zákona o ochraně údajů z roku 2018.
         
            (146)  Ustanovení čl. 75 odst. 3 zákona o ochraně údajů z roku 2018 uvádí, že pokud se předání údajů uskutečňuje na základě vhodných záruk: a) předání musí být zdokumentováno; b) dokumentace musí být na požádání poskytnuta komisaři a c) dokumentace musí obsahovat zejména i) datum a čas předání; ii) jméno a jakékoli další relevantní informace týkající se příjemce; iii) odůvodnění předání a iv) popis předaných osobních údajů.
         
            (147)  Průvodce zpracováním údajů při prosazování práva, část „Are there any special circumstances?“ (Existují zvláštní okolnosti?), k dispozici na této adrese: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/international-transfers/#ib3.
         
            (148)  Článek 76 zákona o ochraně údajů z roku 2018.
         
            (149)  Článek 76 zákona o ochraně údajů z roku 2018.
         
            (150)  Ustanovení čl. 76 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (151)  Ustanovení čl. 73 odst. 5 zákona o ochraně údajů z roku 2018.
         
            (152)  Použitelnost tohoto nového rámce musí být vykládána z hlediska článku 782 Dohody o obchodu a spolupráci mezi Evropskou unií a Evropským společenstvím pro atomovou energii na jedné straně a Spojeným královstvím Velké Británie a Severního Irska na straně druhé (Úř. věst. L 444/14 ze dne 31.12.2020) (dále jen „dohoda o obchodu a spolupráci mezi EU a Spojeným královstvím“), k dispozici na této adrese: https://eur-lex.europa.eu/legal-content/CS/TXT/PDF/?uri=CELEX:22020A1231(01)&from=EN.
         
            (153)  Článek 62 zákona o ochraně údajů z roku 2018.
         
            (154)  Článek 69 zákona o ochraně údajů z roku 2018.
         
            (155)  Ustanovení čl. 36 odst. 2 písm. b) směrnice (EU) 2016/680.
         
            (156)  Článek 116 zákona o ochraně údajů z roku 2018.
         
            (157)  Výroční zpráva a účetní závěrka komisaře pro informace za období 2019–2020, k dispozici na této adrese: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf.
         
            (158)  Vztah mezi těmito dvěma subjekty je upraven dohodou o řízení. Mezi hlavní povinnosti ministerstva pro digitální oblast, kulturu, sdělovací prostředky a sport jakožto sponzorského ministerstva patří zejména: zajistit, aby bylo Úřadu komisaře pro informace poskytnuto odpovídající financování a zdroje; zastupovat zájmy Úřadu komisaře pro informace před parlamentem Spojeného království a ostatními ministerstvy; zajistit, aby existoval silný vnitrostátní rámec ochrany údajů; a poskytovat Úřadu komisaře pro informace pokyny a podporu týkající se záležitostí úřadu, jako je oblast nemovitostí, nájmů a veřejných zakázek (dohoda o řízení na období 2018–2021, k dispozici na této adrese: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).
         
            (159)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).
         
            (160)  Správní kodex pro jmenování do veřejných funkcí, k dispozici na této adrese: https://www.gov.uk/government/publications/governance-code-for-public-appointments.
         
            (161)  Druhá zpráva Výboru Dolní sněmovny Spojeného království pro kulturu, sdělovací prostředky a sport za období 2015–2016, k dispozici na této adrese: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf.
         
            (162)  Tzv. „address“ je návrh předložený v parlamentu Spojeného království, který má panovníka informovat o stanoviscích parlamentu v konkrétní věci.
         
            (163)  Článek 3 přílohy 12 zákona o ochraně údajů z roku 2018.
         
            (164)  Článek 137 zákona o ochraně údajů z roku 2018.
         
            (165)  Články 137 a 138 zákona o ochraně údajů z roku 2018 obsahují řadu záruk, které zajišťují stanovení poplatků v odpovídající výši. Konkrétně čl. 137 odst. 4 zákona o ochraně údajů z roku 2018 vyjmenovává záležitosti, které musí ministr zohlednit při přípravě nařízení, jež stanoví částku, kterou musí různé organizace zaplatit. Dále ustanovení čl. 138 odst. 1 a článek 182 zákona o ochraně údajů z roku 2018 rovněž obsahují právní požadavek, aby ministr před přijetím nařízení konzultoval s komisařem pro informace a dalšími zástupci osob, které by mohly být nařízeními ovlivněny, aby bylo možné zohlednit jejich stanoviska. Podle čl. 138 odst. 2 zákona o ochraně údajů z roku 2018 je také komisař pro informace povinen průběžně přezkoumávat, jak nařízení o poplatcích fungují, a může ministrovi předkládat návrhy na změny nařízení. A konečně, s výjimkou případů, kdy jsou nařízení vydána pouze za účelem zohlednění nárůstu indexu maloobchodních cen (a kdy budou podléhat postupu zamítavého usnesení), podléhají nařízení postupu souhlasného usnesení a nesmí být přijata, nežli je usnesením schválí každá z komor parlamentu Spojeného království.
         
            (166)  Dohoda o řízení objasnila, že „ministr může provádět platby ve prospěch komisaře pro informace z finančních prostředků poskytnutých parlamentem Spojeného království podle článku 9 přílohy 12 zákona o ochraně údajů z roku 2018. Po konzultaci s Úřadem komisaře pro informace vyplatí ministerstvo pro digitální oblast, kulturu, sdělovací prostředky a sport příslušné částky (podpůrný grant) na administrativní náklady komisaře pro informace a výkon jeho funkcí ve vztahu k řadě konkrétních úkolů, včetně svobody informací“ (článek 1.12 dohody o řízení na období 2018–2021, viz poznámka pod čarou 158).
         
            (167)  Článek 134 zákona o ochraně údajů z roku 2018.
         
            (168)  Článek 2 přílohy 13 zákona o ochraně údajů z roku 2018.
         
            (169)  Článek 142 zákona o ochraně údajů z roku 2018 (s výhradou omezení v článku 143 zákona o ochraně údajů z roku 2018).
         
            (170)  Článek 146 zákona o ochraně údajů z roku 2018 (s výhradou omezení v článku 147 zákona o ochraně údajů z roku 2018).
         
            (171)  Článek 149 až 151 zákona o ochraně údajů z roku 2018 (s výhradou omezení v článku 152 zákona o ochraně údajů z roku 2018).
         
            (172)  Článek 155 zákona o ochraně údajů z roku 2018 (s výhradou omezení v článku 156 zákona o ochraně údajů z roku 2018).
         
            (173)  Politika regulačních opatření, k dispozici na této adrese: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf.
         
            (174)  Úřad komisaře pro informace může oznámení o sankci vydat zejména za nedodržení předpisů podle čl. 149 odst. 2, 3, 4 nebo 5 zákona o ochraně údajů z roku 2018.
         
            (175)  Článek 157 zákona o ochraně údajů z roku 2018.
         
            (176)  Výroční zpráva a účetní závěrka Úřadu komisaře pro informace za období 2018–2019, k dispozici na této adrese: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf.
         
            (177)  Výroční zpráva Úřadu komisaře pro informace za období 2019–2020 (viz poznámka pod čarou 157).
         
            (178)  Databáze, která evidovala zpravodajské informace týkající se údajných členů gangů a obětí trestných činů souvisejících s gangy.
         
            (179)  Článek 170 zákona o ochraně údajů z roku 2018.
         
            (180)  Článek 171 zákona o ochraně údajů z roku 2018.
         
            (181)  Článek 119 zákona o ochraně údajů z roku 2018.
         
            (182)  Články 144 a 148 zákona o ochraně údajů z roku 2018.
         
            (183)  Jak stanoví dohoda o řízení, výroční zpráva musí: i) zahrnovat jakékoli podniky, dceřiné společnosti nebo společné podniky ovládané komisařem pro informace; ii) dodržovat Příručku Ministerstva financí pro finanční výkaznictví; iii) obsahovat výkaz o správě a řízení, který uvádí metody, jakými účetní v průběhu roku řídil a kontroloval zdroje používané v organizaci, a prokazuje, jak dobře organizace řídí rizika pro dosažení jejích záměrů a cílů; a iv) uvést hlavní činnosti a výsledky během předchozího účetního období a v souhrnné podobě uvádět plány do budoucnosti (bod 3.26 dohody o řízení na období 2018–2021, viz poznámka pod čarou 158).
         
            (184)  Článek 117 zákona o ochraně údajů z roku 2018.
         
            (185)  Komise odpovídá za poskytování poradenství a odborné přípravy soudcům. Zabývá se i stížnostmi subjektů údajů v souvislosti se zpracováním osobních údajů ze strany soudů, tribunálů a jednotlivců jednajících v rámci soudní pravomoci. Cílem komise je poskytnout prostředky, kterými by bylo možné vyřešit jakoukoli stížnost. Pokud stěžovatel nebyl s rozhodnutím komise spokojen a předložil dodatečné důkazy, mohla by komise své rozhodnutí znovu zvážit. Sama komise neukládá finanční sankce, pokud však má za to, že došlo k dostatečně závažnému porušení zákona o ochraně údajů z roku 2018, může stížnost postoupit Úřadu pro vyšetřování jednání soudů (Judicial Conduct Investigation Office), který stížnost prošetří. Je-li stížnosti vyhověno, je věcí lorda kancléře a lorda nejvyššího soudce (nebo vyššího soudce pověřeného jednat v jeho zastoupení), aby rozhodli, jaká opatření by měla být vůči osobě zastávající danou funkci přijata. To by mohlo zahrnovat, v pořadí podle závažnosti: formální doporučení, formální varování a napomenutí a nakonec odvolání z funkce. Pokud je jednotlivec nespokojen s tím, jak Úřad pro vyšetřování jednání soudů stížnost vyšetřoval, může podat další stížnost veřejnému ochránci práv pro jmenování a jednání soudců (viz https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Veřejný ochránce práv má pravomoc požádat Úřad pro vyšetřování jednání soudů, aby stížnost znovu prošetřil, a může navrhnout, aby bylo stěžovateli vyplaceno odškodnění, pokud je přesvědčen, že v důsledku nesprávného úředního postupu utrpěl škodu.
         
            (186)  Oznámení lorda nejvyššího soudce a vrchního předsedy tribunálů o ochraně osobních údajů je k dispozici na této adrese: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice.
         
            (187)  Oznámení lorda nejvyššího soudce pro Severní Irsko o ochraně osobních údajů je k dispozici na této adrese: https://judiciaryni.uk/data-privacy.
         
            (188)  Oznámení o ochraně osobních údajů pro skotské soudy a tribunály je k dispozici na této adrese: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice.
         
            (189)  Soudce pověřený dozorem nad ochranou údajů poskytuje pokyny pro oblast soudnictví a vyšetřuje případy porušení předpisů a/nebo stížnosti týkající se zpracování osobních údajů ze strany soudů nebo jednotlivců jednajících v rámci soudní pravomoci.
         
            (190)  Jestliže se stížnost nebo případ porušení předpisů považují za závažné, jsou podle kodexu zásad týkajícího se stížností, který vydal lord nejvyšší soudce pro Severní Irsko, postoupeny k dalšímu šetření úředníkovi pro stížnosti v soudnictví. Výsledek takové stížnosti by mohl zahrnovat: žádné další opatření, doporučení, školení nebo mentoring, neformální varování, formální varování, konečné varování, omezení výkonu praxe nebo postoupení zákonnému tribunálu. Kodex zásad týkající se stížností, který vydal lord nejvyšší soudce pro Severní Irsko, je k dispozici na této adrese: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf.
         
            (191)  Jakákoli opodstatněná stížnost je vyšetřována soudcem pro dozor nad ochranou údajů a postoupena lordu nejvyššímu soudci, který má pravomoc vydat doporučení, formální varování nebo napomenutí, pokud to považuje za nutné. (Rovnocenná pravidla existují pro členy tribunálů a jsou k dispozici na této adrese: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).
         
            (192)  Článek 165 zákona o ochraně údajů z roku 2018.
         
            (193)  Článek 166 zákona o ochraně údajů z roku 2018 uvádí konkrétně tyto situace: a) komisař nepřijme vhodná opatření v reakci na stížnost; b) komisař neposkytne stěžovateli informace o pokroku při vyřizování stížnosti nebo o výsledku stížnosti před koncem tříměsíční lhůty od okamžiku, kdy komisař stížnost obdržel, nebo c) pokud posuzování stížnosti komisařem nebude během této lhůty dokončeno, neposkytne stěžovateli tyto informace během následné tříměsíční lhůty.
         
            (194)  Tribunál prvního stupně je soud příslušný projednávat opravné prostředky podané proti rozhodnutím regulačních orgánů státní správy. V případě rozhodnutí komisaře pro informace je příslušným soudním orgánem „obecný regulační senát“ se soudní pravomocí pro celé Spojené království.
         
            (195)  Článek 166 zákona o ochraně údajů z roku 2018.
         
            (196)  Články 161 a 162 zákona o ochraně údajů z roku 2018.
         
            (197)  Viz rozsudek ve věci Brown v. Commissioner of Police of the Metropolis z roku 2016, v němž soud přiznal stěžovatelce náhradu v souvislosti s ochranou údajů v rámci žaloby podané vůči policii. Soud došel k závěru ve prospěch stěžovatelky a vyhověl jejím nárokům uplatňovaným v případě újmy v důsledku porušení zákona o ochraně údajů z roku 1998, porušení zákona o lidských právech z roku 1998 (a souvisejícího práva podle článku 8 EÚLP) a deliktu spočívajícím ve zneužití soukromých informací (žalovaná strana nakonec připustila, že porušila zákon o ochraně údajů a zákon o lidských právech, rozsudek se tudíž zaměřil na to, jaký opravný prostředek je vhodný). V důsledku uvedených porušení soud přiznal žalobkyni peněžitou náhradu škody.
         
            (198)  Ustanovení čl. 8 odst. 1 zákona o lidských právech z roku 1998.
         
            (199)  Ustanovení čl. 36 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (200)  Článek 56 zákona o digitální ekonomice z roku 2017, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2017/30/contents.
         
            (201)  Článek 48 zákona o digitální ekonomice z roku 2017.
         
            (202)  Článek 7 zákona o trestné činnosti a soudech z roku 2013, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2013/22/contents.
         
            (203)  Článek 68 zákona o závažné trestné činnosti z roku 2007, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2007/27/contents.
         
            (204)  Authorised Professional Practice on Information Sharing (povolený odborný postup pro sdílení informací), k dispozici na této adrese: https://www.app.college.police.uk/app-content/information-management/sharing-police-information.
         
            (205)  Viz například věc M v. Chief Constable of Sussex Police [2019] EWHC 975 (Admin), kdy byl Vrchní soud požádán, aby posoudil sdílení údajů mezi policií a Business Crime Reduction Partnership (BCRP), organizací zmocněnou ke správě programu vyloučení vstupu, který zakazuje osobám vstup do komerčních prostor členů organizace. Soud přezkoumal sdílení údajů, které se uskutečnilo na základě dohody za účelem ochrany veřejnosti a předcházení trestné činnosti, a dospěl k závěru, že většina aspektů sdílení údajů byla zákonná, s výjimkou některých citlivých informací sdílených mezi policií a organizací BCRP. Dalším příkladem je rozsudek ve věci Cooper v. NCA [2019] EWCA Civ 16, v němž Odvolací soud potvrdil sdílení údajů mezi policií a Agenturou pro závažnou trestnou činnost (Serious Organised Crime Agency), donucovacím orgánem, který je nyní součástí Národní kriminální agentury.
         
            (206)  Ustanovení čl. 36 odst. 4 zákona o ochraně údajů z roku 2018.
         
            (207)  Prováděcí rozhodnutí Komise podle nařízení Evropského parlamentu a Rady (EU) 2016/679 o odpovídající ochraně osobních údajů poskytované Spojeným královstvím, C(2021) 4800.
         
            (208)  Článek 19 zákona o boji proti terorismu z roku 2008, k dispozici na této adrese: https://www.legislation.gov.uk/ukpga/2008/28/section/19.
         
            (209)  Ustanovení čl. 2 odst. 2 zákona o zpravodajské službě z roku 1994 (viz https://www.legislation.gov.uk/ukpga/1994/13/contents) stanoví, že „náčelník zpravodajské služby odpovídá za účinnost této služby a je jeho povinností zajistit, a) aby existovala opatření, jež zajistí, že zpravodajská služba nebude získávat žádné informace ve větší míře, než jaká je nezbytná pro řádné plnění funkcí služby, a že služba nebude zpřístupňovat žádné informace, pokud to nebude nezbytné: i) pro tento účel; ii) v zájmu národní bezpečnosti; iii) za účelem prevence nebo odhalování závažné trestné činnosti; nebo iv) pro účely trestního řízení, a b) aby zpravodajská služba neprováděla žádné kroky k prosazování zájmů žádné politické strany ve Spojeném království“, přičemž čl. 2 odst. 2 zákona o bezpečnostní službě z roku 1989 (viz https://www.legislation.gov.uk/ukpga/1989/5/contents) stanoví, že „generální ředitel odpovídá za účinnost služby a je jeho povinností zajistit, aby a) existovala opatření, jež zajistí, že služba nebude získávat žádné informace ve větší míře, než jaká je nezbytná pro řádné plnění funkcí služby, a nebude zpřístupňovat žádné informace, pokud to nebude nezbytné pro tento účel nebo pro účely prevence nebo odhalování [závažné trestné činnosti nebo pro účely trestního řízení], a b) aby služba neprováděla žádné kroky k prosazování zájmů žádné politické strany ve Spojeném království a c) aby existovala ujednání dohodnutá s generálním ředitelem Národní kriminální agentury, pokud jde o koordinaci činností služby podle čl. 1 odst. 4 tohoto zákona s činnostmi policejních sil, Národní kriminální agentury a ostatních donucovacích orgánů“.
         
            (210)  Záruky a omezení pravomocí zpravodajských služeb upravuje také zákon o vyšetřovacích pravomocích z roku 2016, který spolu se zákonem o úpravě vyšetřovacích pravomocí z roku 2000 pro Anglii, Wales a Severní Irsko a zákonem o úpravě vyšetřovacích pravomocí (Skotsko) z roku 2000 pro Skotsko stanoví právní základ pro použití těchto pravomocí. Tyto pravomoci však nejsou relevantní v kontextu „dalšího sdílení“, protože se týkají přímého shromažďování osobních údajů zpravodajskými službami. Posouzení pravomocí udělených zpravodajským službám podle zákona o vyšetřovacích pravomocích, viz prováděcí rozhodnutí Komise podle nařízení Evropského parlamentu a Rady (EU) 2016/679 o odpovídající ochraně osobních údajů poskytované Spojeným královstvím, C(2021) 4800.
         
            (211)  Podle čl. 86 odst. 6 zákona o ochraně údajů z roku 2018 musí být pro účely určení korektnosti a transparentnosti zpracování zohledněna metoda, jakou byly údaje získány. V tomto smyslu je požadavek korektnosti a transparentnosti naplněn, jsou-li údaje získány od osoby, která má zákonné oprávnění nebo povinnost údaje poskytnout.
         
            (212)  Podle článku 87 zákona o ochraně údajů z roku 2018 musí být upřesněny výslovné a oprávněné účely zpracování. Údaje nesmí být zpracovány způsobem, který není slučitelný s účely, pro které jsou shromážděny. Podle čl. 87 odst. 3 může být další slučitelné zpracování osobních údajů přípustné pouze v případě, že je správce ze zákona oprávněn zpracovávat údaje pro daný účel a zpracování je pro tento další účel nezbytné a přiměřené. Zpracování by se mělo považovat za slučitelné, pokud spočívá ve zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely a podléhá příslušným zárukám (čl. 87 odst. 4 zákona o ochraně údajů z roku 2018).
         
            (213)  Osobní údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah (článek 88 zákona o ochraně údajů z roku 2018).
         
            (214)  Osobní údaje musí být přesné a aktuální (článek 89 zákona o ochraně údajů z roku 2018).
         
            (215)  Osobní údaje nesmí být uchovávány po delší než nezbytnou dobu (článek 90 zákona o ochraně údajů z roku 2018).
         
            (216)  Šestá zásada ochrany údajů stanoví, že osobní údaje musí být zpracovávány způsobem, který zahrnuje přijetí vhodných bezpečnostních opatření, pokud jde o rizika, která vyplývají ze zpracování osobních údajů. Mezi tato rizika patří (mimo jiné) náhodný nebo neoprávněný přístup k osobním údajům nebo zničení, ztráta, použití, pozměnění nebo zpřístupnění osobních údajů (článek 91 zákona o ochraně údajů z roku 2018). Článek 107 rovněž stanoví, že 1) každý správce musí zavést vhodná bezpečnostní opatření odpovídající rizikům vyplývajícím ze zpracování osobních údajů a 2) v případě automatizovaného zpracování musí každý správce a každý zpracovatel zavést preventivní nebo zmírňující opatření na základě hodnocení rizik.
         
            (217)  Ustanovení čl. 86 odst. 2 písm. b) a příloha 10 zákona o ochraně údajů z roku 2018.
         
            (218)  Kapitola 3 části 4 zákona o ochraně údajů z roku 2018, zejména tato práva: na přístup, opravu nebo výmaz, právo vznést námitku proti zpracování a právo nebýt předmětem automatizovaného rozhodování, zasáhnout do automatizovaného rozhodování a být o rozhodování informován. Kromě toho musí správce poskytnout subjektu údajů informace o zpracování osobních údajů subjektu.
         
            (219)  Článek 103 zákona o ochraně údajů z roku 2018.
         
            (220)  Článek 109 zákona o ochraně údajů z roku 2018. Předání osobních údajů mezinárodním organizacím nebo zemím mimo Spojené království jsou možná, pokud je předání nezbytným a přiměřeným opatřením prováděným pro účely zákonných funkcí správce nebo pro jiné účely stanovené ve specifických článcích zákona o bezpečnostní službě z roku 1989 a zákona o zpravodajských službách z roku 1994.
         
            (221)  Viz věc Baker v. Secretary of State for the Home Department [2001] UKIT NSA2 (dále jen „rozsudek ve věci Baker v Secretary of State“).
         
            (222)  Britský vysvětlující rámec pro diskuse o odpovídající ochraně, oddíl H: Ochrana údajů týkajících se národní bezpečnosti a rámec vyšetřovacích pravomocí, s. 15–16, k dispozici na této adrese: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf. Viz také rozsudek ve věci Baker v. Secretary of State (viz poznámka pod čarou 220), kterým soud zrušil osvědčení o omezení z důvodu národní bezpečnosti vydané ministrem vnitra a potvrzující používání výjimky z důvodu národní bezpečnosti, přičemž měl za to, že neexistuje důvod poskytnout plošnou výjimku z povinnosti reagovat na žádosti o přístup a že povolení této výjimky za všech okolností bez analýzy jednotlivých případů překračuje rámec nezbytnosti a přiměřenosti za účelem ochrany národní bezpečnosti.
         
            (223)  Viz memorandum o porozumění mezi Úřadem komisaře pro informace a zpravodajskými službami Spojeného království, podle něhož: „Pokud Úřad komisaře pro informace obdrží stížnost subjektu údajů, bude se sám chtít přesvědčit, že záležitost byla vyřízena řádně, a případně zda byla jakákoli výjimka uplatněna správně“ (Memorandum o porozumění mezi Úřadem komisaře pro informace a zpravodajskými službami Spojeného království, bod 16, k dispozici na této adrese: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf).
         
            (224)  Zákon o ochraně údajů z roku 2018 zrušil možnost vydávat osvědčení podle čl. 28 odst. 2 zákona o ochraně údajů z roku 1998. Možnost vydávat „stará osvědčení“ však stále existuje, a to v rozsahu, v jakém vyplývá z možnosti, která historicky existuje podle zákona o ochraně údajů z roku 1998 (viz článek 17 části 5 přílohy 20 zákona o ochraně údajů z roku 2018). Tato možnost se však jeví jako velmi vzácná a uplatní se pouze v omezených případech, například pokud subjekt údajů napadne použití výjimky z důvodu národní bezpečnosti v souvislosti se zpracováním veřejným orgánem, který provedl zpracování podle zákona z roku 1998. Je třeba poznamenat, že v těchto případech se článek 28 zákona o ochraně údajů z roku 1998 použije v celém rozsahu, tedy včetně možnosti, aby subjekt údajů osvědčení napadl. V současné době žádné osvědčení o omezení z důvodu národní bezpečnosti vydané podle zákona o ochraně údajů z roku 1998 neexistuje.
         
            (225)  Pokyny vlády Spojeného království týkající se osvědčení o omezení z důvodu národní bezpečnosti podle zákona o ochraně údajů z roku 2018, k dispozici na této adrese: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.
         
            (226)  Podle článku 130 zákona o ochraně údajů z roku 2018 může Úřad komisaře pro informace rozhodnout, že nezveřejní text nebo část textu osvědčení, pokud by to bylo v rozporu se zájmem národní bezpečnosti nebo s veřejným zájmem, nebo by to mohlo ohrozit bezpečnost jakékoli osoby. V takových případech však úřad zveřejní informaci, že osvědčení bylo vydáno.
         
            (227)  Pokyny vlády Spojeného království týkající se osvědčení o omezení z důvodu národní bezpečnosti, bod 15, viz poznámka pod čarou 225.
         
            (228)  Pokyny vlády Spojeného království týkající se osvědčení o omezení z důvodu národní bezpečnosti, bod 5, poznámka pod čarou 224.
         
            (229)  Článek 102 zákona o ochraně údajů z roku 2018 vyžaduje, aby byl správce údajů schopen prokázat, že dodržel zákon o ochraně údajů z roku 2018. To znamená, že zpravodajská služba by musela Úřadu komisaře pro informace prokázat, že při využití výjimky zvážila konkrétní okolnosti případu. Úřad komisaře pro informace také zveřejňuje evidenci osvědčení o omezení z důvodu národní bezpečnosti, která je k dispozici na této adrese: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/.
         
            (230)  Ustanovení čl. 111 odst. 3 zákona o ochraně údajů z roku 2018.
         
            (231)  Vrchní tribunál je soud příslušný projednávat opravné prostředky podané proti rozhodnutím nižších správních tribunálů a má zvláštní pravomoc pro přímé opravné prostředky proti rozhodnutím některých orgánů státní správy.
         
            (232)  Ustanovení čl. 111 odst. 5 zákona o ochraně údajů z roku 2018.
         
            (233)  V rozsudku ve věci Baker v. Secretary of State (viz poznámka pod čarou 221) tribunál pro informace zrušil osvědčení o omezení z důvodu národní bezpečnosti vydané ministrem vnitra, přičemž měl za to, že neexistuje důvod poskytnout plošnou výjimku z povinnosti reagovat na žádosti o přístup a že povolení této výjimky za všech okolností bez analýzy jednotlivých případů překračuje rámec nezbytnosti a přiměřenosti za účelem ochrany národní bezpečnosti.
         
            (234)  Pokyny vlády Spojeného království týkající se osvědčení o omezení z důvodu národní bezpečnosti, bod 25, poznámka pod čarou 224.
         
            (235)  To zahrnuje: i) zásady ochrany údajů podle části 4, vyjma požadavku zákonnosti zpracování podle první zásady a skutečnosti, že zpracování musí splňovat jednu z příslušných podmínek stanovených v přílohách 9 a 10; ii) práva subjektů údajů a iii) povinnosti týkající se oznamování porušení zabezpečení údajů Úřadu komisaře pro informace.
         
            (236)  Podle britského vysvětlujícího rámce jsou výjimkami „na základě skupiny“: i) informace o udělování vyznamenání a ocenění Koruny; ii) povinnost mlčenlivosti; iii) důvěrné odkazy na zaměstnání, odbornou přípravu nebo vzdělání a iv) zkušební záznamy a známky. Výjimky „na základě újmy“ se týkají těchto záležitostí: i) prevence nebo odhalování trestné činnosti; zadržování a stíhání pachatelů; ii) výsady parlamentu; iii) soudní řízení; iv) bojová účinnost ozbrojených sil Koruny; v) hospodářský blahobyt Spojeného království; vi) jednání se subjektem údajů; vii) vědecký nebo historický výzkum nebo statistické účely; viii) archivace ve veřejném zájmu. Britský vysvětlující rámec pro diskuse o odpovídající ochraně, oddíl H: Národní bezpečnost, s. 13, viz poznámka pod čarou 222.
         
            (237)  Článek 116 zákona o ochraně údajů z roku 2018.
         
            (238)  Podle čl. 149 odst. 2 ve spojení s článkem 155 zákona o ochraně údajů z roku 2018 mohou být vůči správci nebo zpracovateli vydána oznámení o vymáhání nebo sankci v souvislosti s porušením kapitoly 2 části 4 zákona o ochraně údajů z roku 2018 (zásady zpracování), ustanovení části 4 zákona o ochraně údajů z roku 2018, která přiznávají práva subjektu údajů, požadavku na oznámení případu porušení zabezpečení osobních údajů komisaři podle článku 108 zákona o ochraně údajů z roku 2018 a zásad pro předávání osobních údajů do třetích zemí, zemí, které nejsou členy úmluvy, a mezinárodním organizacím podle článku 109 zákona o ochraně údajů z roku 2018. (Další podrobnosti o oznámení o vymáhání nebo sankci viz 102. až 103. bod odůvodnění.)
         
            (239)  Podle čl. 147 odst. 6 zákona o ochraně údajů z roku 2018 nemůže komisař pro informace vydat oznámení o posouzení subjektu uvedenému v čl. 23 odst. 3 zákona o svobodě informací z roku 2000. To zahrnuje bezpečnostní službu (MI5), tajnou zpravodajskou službu (MI6) a Vládní ředitelství pro komunikace.
         
            (240)  Ustanovení, která mohou být předmětem výjimky: článek 108 (oznámení o porušení zabezpečení osobních údajů komisaři), článek 119 (inspekce v souladu s mezinárodními závazky), články 142 až 154 a příloha 15 (oznámení komisaře a jeho pravomoci vstupu a inspekce) a články 170 až 173 (trestné činy týkající se osobních údajů). Také ustanovení týkající se zpracování zpravodajskými službami podle čl. 1 písm. a) a g) a čl. 2 přílohy 13 (další obecné funkce komisaře).
         
            (241)  Viz například věc Baker v. Secretary of State for the Home Department (viz poznámka pod čarou 221).
         
            (242)  Memorandum o porozumění mezi Úřadem komisaře pro informace a zpravodajskými službami Spojeného království, viz poznámka pod čarou 231.
         
            (243)  V sedmi z těchto případů Úřad komisaře pro informace doporučil stěžovateli podat stížnost u správce údajů (v případě, kdy jednotlivec podal stížnost Úřadu komisaře pro informace, ale měl ji nejprve podat u správce údajů), v jednom z těchto případů poskytl Úřad komisaře pro informace správci údajů obecné doporučení (používá se, pokud jednání správce zřejmě zákon neporušilo, ale zlepšením postupů se mohlo předejít stížnosti podané u Úřadu komisaře pro informace) a v ostatních třinácti případech nebylo od správce údajů požadováno žádné opatření (používá se, když stížnosti podané jednotlivci spadají pod zákon o ochraně údajů z roku 2018, protože se týkají zpracování osobních údajů, ale podle poskytnutých informací správce zřejmě zákon neporušil).
         
            (244)  Jak vysvětlily orgány Spojeného království, zákon o spravedlnosti a bezpečnosti rozšířil oblast působnosti Výboru pro bezpečnost a zpravodajskou činnost o úlohu dohledu nad zpravodajskými službami nad rámec těchto tří služeb a povolil zpětný dohled nad jejich operačními činnostmi v záležitostech významného národního zájmu.
         
            (245)  Článek 1 zákona o spravedlnosti a bezpečnosti z roku 2013. Ministři se nemohou stát členy výboru. Členové zastávají svou funkci ve Výboru pro bezpečnost a zpravodajskou činnost po dobu parlamentního funkčního období, během kterého byli jmenováni. Mohou být odvoláni usnesením sněmovny, která je jmenovala, nebo jsou odvoláni, pokud přestanou být poslanci nebo se stanou ministrem. Člen výboru může také odstoupit.
         
            (246)  Zprávy a prohlášení výboru jsou k dispozici on-line na této adrese: http://isc.independent.gov.uk/committee-reports. V roce 2015 vydal Výbor pro bezpečnost a zpravodajskou činnost zprávu „Ochrana soukromí a bezpečnost: Moderní a transparentní právní rámec“ (viz: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29.pdf), v níž posoudil právní rámec pro techniky sledování používané zpravodajskými službami a vydal řadu doporučení, která byla následně zvážena a začleněna do návrhu zákona o vyšetřovacích pravomocích, který byl přijat jako právní předpis, zákon o vyšetřovacích pravomocích z roku 2016. Odpověď vládních institucí na zprávu o ochraně soukromí a bezpečnosti je k dispozici na této adrese: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf.
         
            (247)  Článek 2 zákona o spravedlnosti a bezpečnosti z roku 2013.
         
            (248)  Memorandum o porozumění mezi předsedou vlády a Výborem pro bezpečnost a zpravodajskou činnost, k dispozici na této adrese: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf.
         
            (249)  Memorandum o porozumění mezi předsedou vlády a Výborem pro bezpečnost a zpravodajskou činnost, bod 14, viz poznámka pod čarou 248.
         
            (250)  Ministr může zpřístupnění informací vetovat pouze ze dvou důvodů: informace jsou citlivé a neměly by být Výboru pro bezpečnost a zpravodajskou činnost zpřístupněny v zájmu národní bezpečnosti; nebo jde o informace takové povahy, že pokud by byl ministr požádán, aby je předložil zvláštnímu výboru Dolní sněmovny, považoval by (z důvodů, které se neomezují na národní bezpečnost) za vhodné tak neučinit (čl. 4 odst. 2 přílohy 1 zákona o spravedlnosti a bezpečnosti z roku 2013).
         
            (251)  Britský vysvětlující rámec, oddíl H: Národní bezpečnost, s. 43.
         
            (252)  Ustanovení čl. 94 odst. 11 zákona o ochraně údajů z roku 2018.
         
            (253)  Ustanovení čl. 99 odst. 4 zákona o ochraně údajů z roku 2018.
         
            (254)  Článek 169 zákona o ochraně údajů z roku 2018, který připouští nároky podané „osobou, která utrpí škodu z důvodu porušení požadavku právních předpisů o ochraně údajů“.
         
            (255)  Ustanovení čl. 169 odst. 5 zákona o ochraně údajů z roku 2018.
         
            (256)  Viz čl. 65 odst. 2 písm. b) zákona o úpravě vyšetřovacích pravomocí.
         
            (257)  Podle přílohy 3 zákona o úpravě vyšetřovacích pravomocí z roku 2000 musí mít členové tribunálu konkrétní soudní praxi a mohou být jmenováni opětovně.
         
            (258)  Pojem „address“ viz poznámka pod čarou 183.
         
            (259)  Ustanovení čl. 1 odst. 5 přílohy 3 zákona o úpravě vyšetřovacích pravomocí z roku 2000.
         
            (260)  Ustanovení čl. 65 odst. 4 zákona o úpravě vyšetřovacích pravomocí z roku 2000.
         
            (261)  Takové okolnosti se týkají jednání orgánů veřejné moci, ke kterému dochází na základě oprávnění (např. příkazu, povolení/výzvy k získávání komunikačních údajů atd.), nebo pokud jsou okolnosti takové, že (ať už takové oprávnění existuje, či nikoli) by nebylo vhodné, aby k jednání došlo bez oprávnění, nebo alespoň bez řádného zvážení, zda je třeba o takové oprávnění žádat. Jednání schválené soudním komisařem se považuje za jednání, ke kterému došlo za napadnutelných okolností (čl. 65 odst. 7ZA zákona o úpravě vyšetřovacích pravomocí z roku 2000), zatímco jiná jednání, k nimž dojde se svolením osoby zastávající soudní funkci, se považují za jednání, která se neuskutečnila za napadnutelných okolností (čl. 65 odst. 7 a 8 zákona o úpravě vyšetřovacích pravomocí z roku 2000).
         
            (262)  Podle informací, které poskytly orgány Spojeného království, není kvůli nízké prahové hranici pro podání stížnosti neobvyklé, aby vyšetřování tribunálu došlo k závěru, že stěžovatel ve skutečnosti nikdy nebyl vyšetřován orgánem veřejné moci. Poslední statistická zpráva tribunálu pro kontrolu vyšetřovacích pravomocí uvádí, že v roce 2016 obdržel tribunál 209 stížností, z nichž 52 % z nich bylo považováno za bezdůvodné nebo šikanózní a 25 % bylo uzavřeno „bez rozhodnutí“. Orgány Spojeného království vysvětlily, že to buď znamená, že ve vztahu k stěžovateli nebyly použity žádné skryté činnosti/pravomoci, nebo že byly použity skryté techniky a tribunál rozhodl, že tato činnost byla zákonná. Kromě toho bylo 11 % stížností zamítnuto z důvodu soudní příslušnosti, staženo nebo bylo neplatných, 5 % bylo zamítnuto pro nedodržení lhůty a 7 % bylo rozhodnuto ve prospěch stěžovatele. Statistická zpráva tribunálu pro kontrolu vyšetřovacích pravomocí za rok 2016, k dispozici na této adrese: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf.
         
            (263)  Viz věc Human Rights Watch v. Secretary of State [2016] UKIPTrib15_165-CH. V této věci tribunál pro kontrolu vyšetřovacích pravomocí s odkazem na judikaturu Evropského soudu pro lidská práva rozhodl, že vhodným testem přesvědčení, že jednání spadající do oblasti působnosti čl. 68 odst. 5 zákona o úpravě vyšetřovacích pravomocí z roku 2000 bylo uskutečněno zpravodajskými službami nebo jejich jménem, je to, zda existuje jakýkoli základ pro takové přesvědčení, včetně toho, že jednotlivec může tvrdit, že je obětí porušení právních předpisů způsobeného pouhou existencí tajných opatření nebo právních předpisů povolujících tajná opatření, pokud je tento jednotlivec schopen prokázat, že vzhledem ke své osobní situaci je potenciálně vystaven riziku, že bude těmto opatřením podroben (viz rozsudek ve věci Human Rights Watch v. Secretary of State, bod 41).
         
            (264)  Ustanovení čl. 67 odst. 3 zákona o úpravě vyšetřovacích pravomocí z roku 2000.
         
            (265)  Ustanovení čl. 67 odst. 2 zákona o úpravě vyšetřovacích pravomocí z roku 2000.
         
            (266)  Ustanovení čl. 68 odst. 4 zákona o úpravě vyšetřovacích pravomocí z roku 2000.
         
            (267)  To může zahrnovat příkaz vyžadující zničení jakýchkoli záznamů informací držených orgánem veřejné moci ve vztahu k jakékoli osobě.
         
            (268)  Vrchní soud, věc Liberty, [2019] EWHC 2057 (Admin), bod 170.
         
            (269)  Ustanovení čl. 8 odst. 1 zákona o lidských právech z roku 1998.
         
            (270)  Rozsudek ve věci Schrems, bod 65.
         
            (271)  Stanovisko č. 15/2021 týkající se návrhu prováděcího rozhodnutí Evropské komise podle směrnice (EU) 2016/680 o odpovídající ochraně osobních údajů ve Spojeném království, k dispozici na této adrese: https://edpb.europa.eu/our-work-tools/our-documents/opinion-led/opinion-152021-regarding-european-commission-draft_en.
         
            (272)  Prováděcí rozhodnutí Rady (EU) 2020/1745 ze dne 18. listopadu 2020 o uvedení v účinnost ustanovení schengenského acquis o ochraně údajů a o prozatímním uvedení v účinnost některých ustanovení schengenského acquis v Irsku (Úř. věst. L 393, 23.11.2020, s. 3).
         
            (273)  Úř. věst. L 176, 10.7.1999, s. 36.
         
            (274)  Úř. věst. L 53, 27.2.2008, s. 52.
         
            (275)  Úř. věst. L 160, 18.6.2011, s. 21.