Source: https://vuv.cz/index.php/cz/o-ustavu/ochrana-osobnich-udaju/prava-subjektu-udaju
Timestamp: 2018-12-12 20:51:40+00:00

Document:
Sdělení a postupy pro výkon práv subjektů údajů
V souladu s článkem 12 obecného nařízení je ústav jako správce, který zpracovává osobní údaje nebo jejich zvláštní kategorie, povinen fyzickým osobám, které mu tyto údaje poskytují ke zpracování nebo osobám, o kterých mu tyto údaje byly poskytnuty z jiných zdrojů, včetně veřejně dostupných (subjektům údajů), poskytnout veškeré informace uvedené v článcích 13 a 14 a veškerá sdělení podle článků 15 až 22 a 34 obecného nařízení.
Články 13 a 14 popisují údaje, které je ústav povinen poskytnout subjektu údajů:
čl. 13 (Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů)
čl. 14 (Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů)
Články 15 až 22 popisují práva subjektu údajů, která lze vůči správci uplatnit:
čl. 15 (Přístup k osobním údajům)
čl. 16 (Právo na opravu)
čl. 17 (Právo na výmaz („právo být zapomenut“))
čl. 18 (Právo na omezení zpracování)
čl. 19 (Oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování)
čl. 20 (Právo na přenositelnost údajů)
čl. 21 (Právo vznést námitku)
čl. 22 (Právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká)
Článek 34 ukládá správci povinnost oznamovat subjektu údajů případy porušení zabezpečení osobních údajů.
Přehled informací uvedených v článcích 15 až 23 v původním znění obecného nařízení je uveden v tomto informačním dokumentu (0,27 MB, Adobe Acrobat dokument).
Přesné citace odkazů citovaných v následujících pasážích lze nalézt přímo v textu nařízení Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).
Informace uvedené v článcích 13 a 14 a veškerá sdělení podle článků 15 až 22 a 34 obecného nařízení poskytujeme písemně nebo jinými prostředky, ve vhodných případech v elektronické formě. Pokud si to subjekt údajů vyžádá, může ústav za předpokladu, že je identita subjektu údajů prokázána jinými způsoby, informace poskytnout ústně.
Ústav musí usnadnit výkon práv subjektu údajů podle článků 15 až 22.
Může nastat případ, že účely, pro něž ústav zpracovává osobní údaje, nevyžadují nebo vyžadovaly a již nevyžadují, aby byl subjektu údajů identifikován. Pokud je ústav schopen doložit skutečnost, že není schopen identifikovat subjekt údajů, informuje o této skutečnosti subjekt údajů, pokud je to možné. V takovém případě nemůže subjekt údajů uplatnit svá práva podle článků 15 až 20, s výjimkou případů, kdy subjekt údajů za účelem výkonu svých práv podle těchto článků poskytne dodatečné informace umožňující jeho identifikaci. V takovém případě ústav neodmítne vyhovět žádosti subjektu údajů za účelem výkonu jeho práv podle článků 15 až 22, ledaže ústav doloží, že nemůže zjistit totožnost subjektu údajů.
Informace podle článků 13 a 14 a veškerá sdělení a veškeré úkony podle článků 15 až 22 a 34 ústav poskytuje a činí bezplatně. Jsou-li však žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může ústav buď:
a) uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací nebo sdělení nebo s učiněním požadovaných úkonů, nebo
Zjevnou nedůvodnost nebo nepřiměřenost žádosti je povinen doložit ústav.
Pokud má ústav důvodné pochybnosti o totožnosti fyzické osoby, která podává žádost podle článků 15 až 21, může požádat o poskytnutí dodatečných informací nezbytných k potvrzení totožnosti subjektu údajů.
Ústav má povinnost poskytnout subjektu údajů na žádost podle článků 15 až 22 informace o přijatých opatřeních bez zbytečného odkladu, maximálně však do jednoho měsíce od obdržení žádosti. Tuto lhůtu může ústav v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce. O takovém prodloužení je ústav povinen informovat subjekt údajů do jednoho měsíce od obdržení žádosti a uvést důvody pro tento odklad.
Jestliže subjekt údajů podává žádost v elektronické formě, poskytne ústav informace v elektronické formě, je-li to možné, pokud však subjekt údajů nepožádá o jiný způsob poskytnutí informací.
Pokud ústav nepřijme opatření, o něž subjekt údajů požádal, je povinen bezodkladně a nejpozději do jednoho měsíce od přijetí žádosti informovat subjekt údajů o důvodech nepřijetí opatření a o možnosti podat stížnost u dozorového úřadu a žádat o soudní ochranu.
Článek 13: Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů
b) případně kontaktní údaje případného pověřence pro ochranu osobních údajů,
c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování,
d) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f),
e) případné příjemce nebo kategorie příjemců osobních údajů,
a) doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby,
b) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů,
c) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním
d) existence práva podat stížnost u dozorového úřadu,
e) skutečnost, zda poskytování osobních údajů je zákonným či smluvním požadavkem, nebo požadavkem, který je nutné uvést do smlouvy, a zda má subjekt údajů povinnost osobní údaje poskytnout, a ohledně možných důsledků neposkytnutí těchto údajů,
Článek 14: Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů
a) totožnost a kontaktní údaje správce a případně jeho zástupce,
d) kategorie dotčených osobních údajů,
b) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f),
c) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz anebo omezení zpracování a práva vznést námitku proti zpracování, jakož i práva na přenositelnost údajů,
d) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním,
e) existence práva podat stížnost u dozorového úřadu,
f) zdroj, ze kterého osobní údaje pocházejí, a případně informace o tom, zda údaje pocházejí z veřejně dostupných zdrojů,
a) v přiměřené lhůtě po získání osobních údajů, ale nejpozději do jednoho měsíce, s ohledem na konkrétní okolnosti, za nichž jsou osobní údaje zpracovávány,
b) nejpozději v okamžiku, kdy poprvé dojde ke komunikaci se subjektem údajů, mají-li být osobní údaje použity pro účely této komunikace, nebo
a) subjekt údajů již uvedené informace má,
b) se ukáže, že poskytnutí takových informací není možné nebo by vyžadovalo nepřiměřené úsilí; to platí zejména v případě zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely s výhradou podmínek a záruk uvedených v čl. 89 odst. 1, nebo pokud je pravděpodobné, že uplatnění povinnosti uvedené v odstavci 1 tohoto článku by znemožnilo nebo výrazně ztížilo dosažení cílů uvedeného zpracování. V takových případech přijme správce vhodná opatření na ochranu práv, svobod a oprávněných zájmů subjektu údajů, včetně zpřístupnění daných informací veřejnosti
c) je získávání nebo zpřístupnění výslovně stanoveno právem Unie nebo členského státu, které se na správce vztahuje a v němž jsou stanovena vhodná opatření na ochranu oprávněných zájmů subjektu údajů, nebo
Článek 15: Přístup k osobním údajům
1. Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány. Pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:
c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích,
e) existence práva požadovat od správce opravu (čl. 16) nebo výmaz (čl. 17) osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování (čl. 18) a nebo vznést námitku proti tomuto zpracování (čl. 21),
h) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.
Článek 16: Právo na opravu
Článek 17: Právo na výmaz („právo být zapomenut“)
1. Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud existuje jeden z těchto důvodů:
b) subjekt údajů odvolá souhlas, na jehož základě byly osobní údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování,
c) subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 1 a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2,
b) pro splnění právní povinnosti, jež vyžaduje zpracování podle práva Unie nebo členského státu, které se na správce vztahuje, nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen,
c) z důvodů veřejného zájmu v oblasti veřejného zdraví v souladu s čl. 9 odst. 2 písm. h) a i) a čl. 9 odst. 3,
d) pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu či pro statistické účely v souladu s čl. 89 odst. 1, pokud je pravděpodobné, že by právo uvedené v odstavci 1 znemožnilo nebo vážně ohrozilo splnění cílů uvedeného zpracování,
Článek 18: Právo na omezení zpracování
Článek 19: Oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování
Správce oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré opravy nebo výmazy osobních údajů nebo omezení zpracování provedené v souladu s čl. 16, čl. 17 odst. 1 a čl. 18, s výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí. Správce informuje subjekt údajů o těchto příjemcích, pokud to subjekt údajů požaduje.
Článek 20: Právo na přenositelnost údajů
a) zpracování je založeno na souhlasu podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) nebo na smlouvě podle čl. 6 odst. 1 písm. b), a
Článek 21: Právo vznést námitku
1. Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) (nezbytnost splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce) nebo f) (nezbytnost pro účely oprávněných zájmů příslušného správce či třetí strany), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.
Článek 22: Právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká
a) nezbytné k uzavření nebo plnění smlouvy mezi subjektem údajů a správcem údajů,
b) povoleno právem Unie nebo členského státu, které se na správce vztahuje a které rovněž stanoví vhodná opatření zajišťující ochranu práv a svobod a oprávněných zájmů subjektu údajů, nebo
4. Rozhodnutí uvedená v odstavci 2 se mohou opírat o zvláštní kategorie osobních údajů uvedené v čl. 9 odst. 1, pokud se uplatní čl. 9 odst. 2 písm. a) nebo g) a nejsou zavedena vhodná opatření pro zajištění práv a svobod a oprávněných zájmů subjektu údajů.
Článek 34: Oznamování případů porušení zabezpečení osobních údajů subjektu údajů
a) správce zavedl náležitá technická a organizační ochranná opatření a tato opatření byla použita u osobních údajů dotčených porušením zabezpečení osobních údajů, zejména taková, která činí tyto údaje nesrozumitelnými pro kohokoli, kdo není oprávněn k nim mít přístup, jako je například šifrování,
b) správce přijal následná opatření, která zajistí, že vysoké riziko pro práva a svobody subjektů údajů podle odstavce 1 se již pravděpodobně neprojeví,

References: čl. 13

čl. 14

čl. 15

čl. 16

čl. 17

čl. 18

čl. 19

čl. 20

čl. 21

čl. 22
 čl. 6
 čl. 6
 čl. 9
 čl. 6
 čl. 6
 čl. 9
 čl. 89
 čl. 22
 čl. 6
 čl. 9
 čl. 21
 čl. 21
 čl. 9
 čl. 9
 čl. 89
 čl. 16
 čl. 17
 čl. 18
 čl. 6
 čl. 9
 čl. 6
 čl. 6
 čl. 9
 čl. 9