Source: http://www.pravniprostor.cz/clanky/ostatni-pravo/k-nekterym-povinnostem-ktere-pro-spravce-prinasi-gdpr
Timestamp: 2020-01-20 11:24:32+00:00

Document:
K některým povinnostem, které pro správce přináší Obecné nařízení o ochraně osobních údajů (GDPR) | Právní prostor
Ostatní | Mgr. David Burian & al | 25.02.2016
V důsledku zveřejnění informace o schválení obecného nařízení o ochraně osobních údajů (dále jen „nařízení“), známého také pod zkratkou GDPR[1] na úrovni Evropské unie (dále jen „EU“ nebo „Unie“) se již v kruzích odborné veřejnosti začalo diskutovat o regulatorních požadavcích, jež budou dle nového právního rámce na povinné subjekty kladeny. Kromě základních informací týkajících se této normy v následujícím textu naleznete srovnání se stávající právní úpravou a popis některých základních povinností, které dopadnou na subjekty odpovědné za zpracování osobních údajů, tj. správce a zpracovatele osobních údajů.[2]
právník/compliance v Raiffeisen stavební spořitelně, a.s.
Na úvod stručně k vývoji problematiky
Pro osoby a instituce v rolích správců či zpracovatelů přináší nařízení některé nové instituty, které by měly dle Evropské komise, která návrh v roce 2012 připravila, přispět ke zlepšení ochrany osobních údajů jednotlivců. Povinnostem správce a zpracovatele v souvislosti se zpracováním se pravděpodobně bude věnovat kapitola IV.[3] obecného nařízení. Co se týče definice subjektů odpovědných za zpracování, tedy správců a zpracovatelů osobních údajů, nové definice obsažené v nařízení se od těch současných neliší, nařízení tyto definice dokonce přímo přebírá ze směrnice. V praxi tudíž nadále zůstává zachován původní koncept, kdy je pro určení či rozlišení správce od zpracovatele prvořadým znakem to, zda daný subjekt určuje účel zpracování.
Jednou ze základních povinností subjektu odpovědného za zpracování osobních údajů podle platné směrnice, je takové zpracování oznámit dozorovému orgánu. Oznámení je povinen správce učinit dříve, než přistoupí k samotné realizaci úmyslu údaje zpracovávat, přičemž směrnice předpokládá zjednodušení nebo výjimky z této povinnosti (např. v případě manuálně zpracovávaných osobních údajů nebo v případě, kdy zpracování nemohou poškodit práva a svobody subjektů údajů).[4]
Aby mohl dozorový orgán náležitým způsobem oznámené zpracování prověřit, stanoví směrnice minimální rozsah informací, které musí oznámení obsahovat, resp., které musí správce dozorovému orgánu poskytnout. Kromě základních identifikačních údajů správce se jedná o informace podstatné pro posouzení legality a legitimity budoucího zpracování (účel nebo účely zpracování, kategorii subjektu údajů, jehož osobní údaje budou zpracovávány, kategorie osobních údajů, která budou zpracovávány, příjemce nebo kategorie příjemců, kterým mohou být údaje sděleny, předpokládané předávání údajů do třetích zemí, popis opatření přijatých pro zajištění bezpečnosti zpracování).[5]
Specifickým institutem v rámci oznamovací povinnosti je tzv. předběžné šetření. Směrnice ukládá členským státům vymezit zpracovatelské operace, které by mohly představovat zvláštní rizika z hlediska práv a svobod subjektů údajů, a dbát na to, aby tato zpracování byla před jejich započetím prošetřena v rámci tzv. předběžné kontroly.[6]
*Mgr. David Burian je zaměstnancem Úřadu pro ochranu osobních údajů a Mgr. Zuzana Radičová je zaměstnaná jako právník/compliance v Raiffeisen stavební spořitelně, a.s. Příspěvek vyjadřuje osobní názory autorů, nikoliv jejich zaměstnavatelů.
[1] Jedná se o nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů); anglicky Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) ve zkratce GDPR.
[2] Autoři při zpracování příspěvku vycházejí z obecně známých informací, z jednotlivých verzí návrhů obecného nařízení o ochraně údajů, zejména z nekonsolidované verze obecného nařízení o ochraně údajů číslo 15039/15 z prosince 2015.
[3] V kapitole IV. je problematika upravena jak v nekonsolidované verzi obecného nařízení o ochraně údajů číslo 15039/15 z prosince 2015, tak i v návrhu tohoto nařízení ve formě obecného přístupu číslo 9565/15 z června 2015.
[4] Oznamovací povinnost byla v rámci zákona č. 101/2000 Sb. o ochraně osobních údajů, ve znění pozdějších předpisů transponována prostřednictvím § 16 a násl. Transpozice článků týkajících se výjimek z oznamovací povinnosti do zákona č. 101/2000 Sb., není zcela konformní se směrnicí. To se týká zejména znění § 18/1/b a § 18 odst. 2.
[5] V souvislosti s obecnou ohlašovací povinností alespoň připomeňme, že jedním z hlavních cílů registrace oznámených zpracování bylo dosažení maximálně možné míry transparentnosti zpracování. Z toho důvodu je dozorovým orgánům svěřena také funkce spočívají ve vedení registru zpracování osobních údajů, který má charakter veřejné evidence. Povinnost vést registr zpracování osobních údajů je Úřadu pro ochranu osobních údajů uložena zákonem č. 101/2000 Sb., podobně jako povinnost učinit registr veřejně přístupným [s výjimkou informací uvedených v § 16 odst. 2 písm. e) a i) zákona], a to zejména způsobem umožňujícím dálkový přístup.
[6] Právní úprava tzv. předběžných kontrol je v zákoně č. 101/2000 Sb., upravena v § 16, resp. § 17.
[7] Relativně široké možnosti členských států, jakou formu a na jaké případy se má oznamovací povinnost vztahovat, způsobily, že proces registrace a její povaha jsou v rámci EU značně rozdílné. Není tedy překvapením, že pro zrušení oznamovací povinnosti v současné podobně, nebyly napříč EU žádné námitky.
[8] Tato pracovní skupina byla zřízena podle článku 29 směrnice 95/46/ES v roce 1996, má poradní status a je složena ze zástupců vnitrostátních dozorových orgánů pro ochranu údajů, evropského inspektora ochrany údajů a zástupců Komise. Její úkoly jsou popsány v článku 30 směrnice a článku 15 směrnice 2002/58/ES.
[9] § 5 odst. 2 písm. e) zákona o ochraně osobních údajů uvádí výjimku z povinnosti zpracovávat osobní údaje pouze se souhlasem subjektů údajů „pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života“.
[10] Nařízení rozlišuje celkem dvě úrovně rizika - obecné a vysoké riziko (risk, high risk). Povinnost konzultovat zpracování s orgánem dozoru je podmíněna tím, že správce v rámci posouzení dopadu vyhodnotí riziko jako vysoké.
[11] Analogii můžeme dnes najít např. v postupech vydávání osvědčení o registraci podle § 16 odst. 5 zákona o ochraně osobních údajů. Zápis zpracování do veřejného registru zpracování sám o sobě neznamená povolení zpracovávat osobní údaje a v rámci následně provedené kontroly téhož zpracování může Úřad dojít k závěru, že zpracování nesplňuje požadavky zákona a zpracování zakázat.
evropská unie ochrana osobních údajů nařízení
Mezinárodní a evropské právo21.05.2015
Přijetí celoevropského Nařízení o ochraně osobních údajů se blíží, firmy čekají změny dokumentů i úpravy systémů
Aktuality12.12.2014

References: zákona č. 101
 § 16
 zákona č. 101
 § 18
 § 18
 § 16
 § 16
 § 17
 § 5
 § 16