Source: https://www.epravo.cz/top/clanky/poverenec-pro-osobni-udaje-dle-gdpr-kdy-koho-a-jak-poverit-107265.html
Timestamp: 2018-12-10 18:13:48+00:00
Document Index: 44077929

Matched Legal Cases: ['čl. 29', 'čl. 37', 'čl. 37', 'Čl. 24', 'čl. 88', 'čl. 35']

Pověřenec pro osobní údaje dle GDPR: kdy, koho a | epravo.cz
ID: 107265upozornění pro uživatele
Mnohaleté zákonodárné úsilí loni vyústilo v zásadní změnu regulace ochrany osobních údajů na úrovni Evropské unie přijetím nařízení Evropského parlamentu a Rady č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) („GDPR[1]“ nebo „nařízení“). GDPR, jako nový právní předpis, sebou přináší řadu nových konceptů a právních institutů v souvislosti s ochranou osobních údajů. Jedním z nich je povinnost, stanovená pro určité kategorie správců a zpracovatelů, nominovat pověřence pro ochranu osobních údajů – Data Protection Officer („DPO“). Nařízení vnímá postavení pověřence v systému ochrany osobních údajů jako klíčové a stanoví podmínky pro jeho jmenování, postavení v rámci správce/zpracovatele a specifikuje jeho úkoly.
Další případy povinného jmenování, které nařízení výslovně předpokládá, lze dovozovat pouze výkladem, jelikož povinnost jmenovat DPO je vztažena (i) k povaze, rozsahu, nebo účelu rozsáhlého pravidelného a systematického zpracování a také (ii) ke kategorii osobních údajů, které jsou zpracovávány.[4] Vodítkem správné interpretace uvedených neurčitých právních pojmů mohou být pokyny vydávané pracovní skupinou zřízenou na základě čl. 29 Směrnice 95/46/ES[5] („WP29“). Mezi již vydanými pokyny jsou právě též vodítka k DPO,[6] které se mimo jiné věnují výkladu rozsáhlosti zpracování. Dle těchto pokynů se rozsáhlost zpracování odvíjí od počtu subjektů údajů, rozsahu sbíraných dat, konstantnosti zpracování a zeměpisného přesahu. I další z nařízením užitých pojmů by zasluhovaly širší právní rozbor, jako např. systematičnost a pravidelnost, avšak jejich výklad by přesahoval rozsah tohoto článku.
[1] General Data Protection Regulation.
[2] Anglické znění GDPR užívá pojem „designate“.
[3] Orgánem veřejné moci či veřejným subjektem se rozumí veškeré orgány veřejné správy, tedy státní správy i samosprávy (územní i zájmové).
[4] Dalšími případy povinného ustanovení pověřence jsou: hlavní činnosti správce nebo zpracovatele spočívají v operacích zpracování, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů (čl. 37 odst. 1 písm. b) GDPR); nebo hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů uvedených v článku 9 a osobních údajů týkajících se rozsudků v trestních věcech a trestných činů uvedených v článku 10 (čl. 37 odst. 1 písm. c) GDPR).
[5] Stávající Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů.
[6] WP29. Pokyny týkající se pověřenců pro ochranu osobních údajů. 16/CS. WP243 rev.01.
[7] Čl. 24 odst. 1 GDPR.
[8] Např. dle čl. 88 odst. 1 GDPR členské státy mohou právním předpisem nebo kolektivními smlouvami stanovit konkrétnější pravidla k zajištění ochrany práv a svobod ve vztahu ke zpracování osobních údajů zaměstnanců v souvislosti se zaměstnáním, zejména za účelem náboru, plnění pracovní smlouvy včetně plnění povinností stanovených zákonem nebo kolektivními smlouvami, řízení, plánování a organizace práce, za účelem zajištění rovnosti a rozmanitosti na pracovišti, zdraví a bezpečnosti na pracovišti, ochrany majetku zaměstnavatele nebo majetku zákazníka, dále za účelem individuálního a kolektivního výkonu a požívání práv a výhod spojených se zaměstnáním a za účelem ukončení zaměstnaneckého poměru.
[9] Výčet všech dozorových úřadům, dostupné na www, k dispozici >>> zde.
[10] WP29. Pokyny týkající se pověřenců pro ochranu osobních údajů. 16/CS. WP243 rev.01.
[11] Např. dle čl. 35 odst. 2 GDPR, při provádění posouzení vlivu na ochranu osobních údajů si správce vyžádá posudek pověřence pro ochranu osobních údajů, byl-li jmenován.
[12] Data Protection Impact Assessment.