Source: http://www.europarl.europa.eu/doceo/document/A-8-2017-0313_CS.html
Timestamp: 2019-10-23 09:16:16+00:00
Document Index: 54808742

Matched Legal Cases: ['čl. 294', 'čl. 16', 'čl. 8', 'čl. 16', 'čl. 8', 'čl. 16', 'čl. 42', 'čl. 4', 'čl. 4', 'čl. 4', 'čl. 4', 'čl. 4', 'čl. 4', 'čl. 42', 'čl. 15', 'čl. 16', 'čl. 5', 'čl. 5', 'Čl. 14', 'čl. 12', 'čl. 12', 'Čl. 16', 'Čl. 16', 'Čl. 16', 'Čl. 25', 'Čl. 25', 'čl. 46', 'čl. 46', 'Čl. 27', 'Čl. 33', 'Čl. 44', 'Čl. 45', 'Čl. 46', 'čl. 45', 'čl. 45', 'čl. 45', 'čl. 45', 'čl. 36', 'Čl. 51', 'čl. 45', 'čl. 45', 'čl. 36', 'Čl. 54', 'Čl. 55', 'čl. 75', 'Čl. 59', 'Čl. 59', 'čl. 40', 'Čl. 61', 'Čl. 61', 'Čl. 62', 'Čl. 69', 'čl. 42', 'čl. 9', 'čl. 69', 'čl. 69', 'čl. 16', 'čl. 16', 'čl. 16', 'čl. 16', 'čl. 8', 'čl. 16', 'čl. 5', 'čl. 5', 'čl. 5', 'čl. 46', 'Čl. 46', 'čl. 45', 'Čl. 63']

1228k 152k
o návrhu nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES)
č. 45/2001 a rozhodnutí č. 1247/2002/ES
Zpravodajka: Cornelia Ernst
o návrhu nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí
– s ohledem na čl. 294 odst. 2 a čl. 16 odst. 2 Smlouvy o fungování Evropské unie, v souladu s nimiž Komise předložila svůj návrh Parlamentu (C8-0008/2017),
– s ohledem na příspěvky poslanecké sněmovny České republiky, španělského parlamentu a portugalského parlamentu ohledně návrhu legislativního aktu,
(1) Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“) a čl. 16 odst. 1 Smlouvy o fungování Evropské unie (dále jen „SFEU“) přiznávají každému právo na ochranu osobních údajů, které se jej týkají.
(1) Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“) a čl. 16 odst. 1 Smlouvy o fungování Evropské unie (dále jen „SFEU“) přiznávají každému právo na ochranu osobních údajů, které se jej týkají. Toto právo je rovněž zaručeno podle článku 8 Evropské úmluvy o lidských právech.
(5) V zájmu soudržného přístupu k ochraně osobních údajů v rámci celé Unie je, aby byla v nejvyšší možné míře sladěna pravidla pro ochranu údajů pro orgány a jiné subjekty Unie s pravidly přijatými pro veřejný sektor v členských státech. Kdekoliv ustanovení tohoto nařízení vycházejí ze stejného konceptu jako ustanovení nařízení (EU) 2016/679, měla by být obě ustanovení vykládána jednotně, neboť režim tohoto nařízení by měl být chápán zejména jako rovnocenný režimu nařízení (EU) 2016/679.
(5) V zájmu soudržného přístupu k ochraně osobních údajů v rámci celé Unie je, aby byla sladěna pravidla pro ochranu údajů pro orgány, instituce a jiné subjekty Unie s pravidly přijatými pro veřejný sektor v členských státech. Kdekoliv ustanovení tohoto nařízení vycházejí ze stejného konceptu jako ustanovení nařízení (EU) 2016/679, měla by být obě ustanovení podle judikatury Soudního dvora Evropské unie 1a vykládána jednotně, neboť režim tohoto nařízení by měl být chápán zejména jako rovnocenný režimu nařízení (EU) 2016/679.
1a Rozsudek Soudního dvora ze dne 9. března 2010, Komise v Německo, věc C-518/07, ECLI:EU:C:2010:125, body 26 a 28.
(7a) Právní rámec pro ochranu údajů v případě zpracování údajů při činnostech orgánů a subjektů Unie v oblasti svobody, bezpečnosti a práva a společné zahraniční a bezpečnostní politiky je stále roztříštěný a to vede k právní nejistotě. Toto nařízení by tudíž mělo stanovit harmonizovaná pravidla v oblasti ochrany a volného pohybu osobních údajů zpracovávaných orgány a subjekty Unie, které vykonávají činnosti spadající do působnosti kapitoly 4 a 5 hlavy V části tři Smlouvy o fungování EU a kapitoly 2 hlavy V Smlouvy o EU.
(8) V prohlášení č. 21 o ochraně osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce, připojeném k závěrečnému aktu mezivládní konference, která přijala Lisabonskou smlouvu, konference uznala, že zvláštní pravidla pro ochranu osobních údajů a volný pohyb osobních údajů v oblastech justiční spolupráce v trestních věcech a policejní spolupráce, založená na článku 16 Smlouvy o fungování EU, by se mohla vzhledem ke specifické povaze těchto oblastí ukázat jako nezbytná. Toto nařízení by se proto mělo vztahovat na subjekty Unie vykonávající činnosti v oblasti justiční spolupráce v trestních věcech a policejní spolupráce, pouze pokud právo Unie použitelné na tyto subjekty neobsahuje zvláštní pravidla pro zpracování osobních údajů.
(8) V prohlášení č. 21 o ochraně osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce, připojeném k závěrečnému aktu mezivládní konference, která přijala Lisabonskou smlouvu, konference uznala, že zvláštní pravidla pro ochranu osobních údajů a volný pohyb osobních údajů v oblastech justiční spolupráce v trestních věcech a policejní spolupráce, založená na článku 16 Smlouvy o fungování EU, by se mohla vzhledem ke specifické povaze těchto oblastí ukázat jako nezbytná. Společná zahraniční a bezpečnostní politika má navíc specifickou povahu a specifická pravidla pro ochranu osobních údajů a mohlo by být nezbytné zajistit volný pohyb osobních údajů i v této oblasti. Je tudíž vhodné upravit zpracování operativních osobních údajů agenturami Unie zřízenými na základě kapitoly 4 a 5 hlavy V části 3 Smlouvy o fungování EU a misemi uvedenými v čl. 42 odst. 1, článku 43 a 44 Smlouvy o EU tím, že se stanoví specifická pravidla, která se budou lišit od řady obecných pravidel stanovených v tomto nařízení.
(14) Souhlas by měl být dán jednoznačným potvrzením, které je vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to v podobě písemného prohlášení, i učiněného elektronicky, nebo ústního prohlášení. Mohlo by se například jednat o zaškrtnutí políčka při návštěvě internetové stránky, volbu technického nastavení pro služby informační společnosti nebo jiné prohlášení či jednání, které v této souvislosti jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas. Souhlas by se měl vztahovat na veškeré činnosti zpracování prováděné pro stejný účel nebo stejné účely. Jestliže má zpracování několik účelů, měl by být souhlas udělen pro všechny. Má-li subjekt údajů vyjádřit souhlas na základě žádosti podané elektronickými prostředky, musí být žádost jasná a stručná a nesmí zbytečně narušit využívání služby, pro kterou je souhlas dáván.
(14) Souhlas by měl být dán jednoznačným potvrzením, které je vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to v podobě písemného prohlášení, i učiněného elektronicky, nebo ústního prohlášení. Mohlo by se například jednat o zaškrtnutí políčka při návštěvě internetové stránky, volbu technického nastavení pro služby informační společnosti nebo jiné prohlášení či jednání, které v této souvislosti jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas. Souhlas by se měl vztahovat na veškeré činnosti zpracování prováděné pro stejný účel nebo stejné účely. Jestliže má zpracování několik účelů, měl by být souhlas udělen pro všechny. Má-li subjekt údajů vyjádřit souhlas na základě žádosti podané elektronickými prostředky, musí být žádost jasná a stručná a nesmí zbytečně narušit využívání služby, pro kterou je souhlas dáván. Zároveň by měl mít subjekt údajů právo kdykoli souhlas odvolat, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním.
(15) Jakékoliv zpracování osobních údajů by mělo být prováděno zákonným a spravedlivým způsobem. Pro fyzické osoby by mělo být transparentní, že osobní údaje, které se jich týkají, jsou shromažďovány, používány, konzultovány nebo jinak zpracovávány, jakož i v jakém rozsahu tyto osobní údaje jsou či budou zpracovány. Zásada transparentnosti vyžaduje, aby všechny informace a všechna sdělení týkající se zpracování těchto osobních údajů byly snadno přístupné a srozumitelné a podávané za použití jasných a jednoduchých jazykových prostředků. Tato zásada se dotýká zejména informování subjektů údajů o totožnosti správce a účelech zpracování a o dalších informacích v zájmu zajištění spravedlivého a transparentního zpracování, pokud jde o dotčené fyzické osoby a jejich právo získat potvrzení a sdělení zpracovávaných osobních údajů, které se jich týkají. Fyzické osoby by měly být upozorněny na to, jaká rizika, pravidla, záruky a práva existují v souvislosti se zpracováním osobních údajů a jak mají v souvislosti s tímto zpracováním uplatňovat svá práva. Zejména je zapotřebí, aby konkrétní účely, pro které jsou osobní údaje zpracovávány, byly jednoznačné a legitimní a aby byly stanoveny v okamžiku shromažďování osobních údajů. Osobní údaje by měly být přiměřené, relevantní a omezené na to, co je nezbytné z hlediska účelů, pro které jsou zpracovávány. Je nezbytné zejména zajistit, aby byla doba, po kterou jsou osobní údaje uchovávány, omezena na nezbytné minimum. Osobní údaje by měly být zpracovány pouze tehdy, nemůže-li být účelu zpracování přiměřeně dosaženo jinými prostředky. Aby se zajistilo, že osobní údaje nebudou uchovávány déle, než je nezbytné, měl by správce stanovit lhůty pro výmaz nebo pravidelný přezkum. Měla by být přijata veškerá vhodná opatření, aby nepřesné osobní údaje byly opraveny nebo vymazány. Osobní údaje by měly být zpracovávány způsobem, který zaručí náležitou bezpečnost a důvěrnost těchto údajů, mimo jiné za účelem zabránění neoprávněnému přístupu k osobním údajům a k zařízení používanému k jejich zpracování nebo jejich neoprávněnému použití.
(15) Jakékoliv zpracování osobních údajů by mělo být prováděno zákonným a spravedlivým způsobem a za jasným a řádně stanoveným účelem. Pro fyzické osoby by mělo být transparentní, že osobní údaje, které se jich týkají, jsou shromažďovány, používány, konzultovány nebo jinak zpracovávány, jakož i v jakém rozsahu tyto osobní údaje jsou či budou zpracovány. Zásada transparentnosti vyžaduje, aby všechny informace a všechna sdělení týkající se zpracování těchto osobních údajů byly snadno přístupné a srozumitelné a podávané za použití jasných a jednoduchých jazykových prostředků. Tato zásada se dotýká zejména informování subjektů údajů o totožnosti správce a účelech zpracování a o dalších informacích v zájmu zajištění spravedlivého a transparentního zpracování, pokud jde o dotčené fyzické osoby a jejich právo získat potvrzení a sdělení zpracovávaných osobních údajů, které se jich týkají. Fyzické osoby by měly být upozorněny na to, jaká rizika, pravidla, záruky a práva existují v souvislosti se zpracováním osobních údajů a jak mají v souvislosti s tímto zpracováním uplatňovat svá práva. Zejména je zapotřebí, aby konkrétní účely, pro které jsou osobní údaje zpracovávány, byly jednoznačné a legitimní a aby byly stanoveny v okamžiku shromažďování osobních údajů. Osobní údaje by měly být přiměřené, relevantní a omezené na to, co je nezbytné z hlediska účelů, pro které jsou zpracovávány. Je nezbytné zejména zajistit, aby byla doba, po kterou jsou osobní údaje uchovávány, omezena na nezbytné minimum. Osobní údaje by měly být zpracovány pouze tehdy, nemůže-li být účelu zpracování přiměřeně dosaženo jinými prostředky. Aby se zajistilo, že osobní údaje nebudou uchovávány déle, než je nezbytné, měl by správce stanovit lhůty pro výmaz nebo pravidelný přezkum. Měla by být přijata veškerá vhodná opatření, aby nepřesné osobní údaje byly opraveny nebo vymazány. Osobní údaje by měly být zpracovávány způsobem, který zaručí náležitou bezpečnost a důvěrnost těchto údajů, mimo jiné za účelem zabránění neoprávněnému přístupu k osobním údajům a k zařízení používanému k jejich zpracování nebo jejich neoprávněnému použití či jejich sdělení při přenosu.
(18) Právo Unie i vnitřní předpisy uvedené v tomto nařízení by měly být jasné a přesné a jejich použití by mělo být předvídatelné pro osoby, na něž se vztahují, jak to vyžaduje judikatura Soudního dvora Evropské unie a Evropského soudu pro lidská práva.
(18) Právo Unie i vnitřní předpisy uvedené v tomto nařízení by měly být jasné a přesné a jejich použití by mělo být předvídatelné pro osoby, na něž se vztahují, v souladu s požadavky stanovenými v Listině a v Evropské úmluvě o ochraně lidských práv a základních svobod.
(20) Pokud je zpracování založeno na souhlasu subjektu údajů, měl by být správce schopen prokázat, že subjekt údajů vyjádřil s danou operací zpracování souhlas. Zejména v případě písemného prohlášení souvisejícího s jinou skutečností by mělo být pomocí záruk zajištěno, že si je subjekt údajů vědom toho, že dává souhlas a v jakém rozsahu. V souladu se směrnicí Rady 93/13/EHS 14 by prohlášení o souhlasu navržené správcem mělo být poskytnuto ve srozumitelném a snadno přístupném znění za použití jasného a jednoduchého jazyka a nemělo by obsahovat nepřiměřené podmínky. Aby se zajistilo, že souhlas bude informovaný, měl by subjekt údajů znát alespoň totožnost správce a účely zpracování, k nimž jsou jeho osobní údaje určeny. Souhlas by neměl být považován za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout nebo odvolat, aniž by byl poškozen.
(20) Pokud je zpracování založeno na souhlasu subjektu údajů, měl by být správce schopen prokázat, že subjekt údajů vyjádřil s danou operací zpracování souhlas. Zejména v případě písemného prohlášení souvisejícího s jinou skutečností by mělo být pomocí záruk zajištěno, že si je subjekt údajů vědom toho, že dává souhlas a v jakém rozsahu. V souladu se směrnicí Rady 93/13/EHS 14 by prohlášení o souhlasu navržené správcem mělo být poskytnuto ve srozumitelném a snadno přístupném znění za použití jasného a jednoduchého jazyka a nemělo by obsahovat nepřiměřené podmínky. Aby se zajistilo, že souhlas bude informovaný, měl by subjekt údajů znát alespoň totožnost správce, účely zpracování, k nimž jsou jeho osobní údaje určeny, a kategorie příjemců údajů a měl by být informován o právu přístupu a zásahu s ohledem na údaje. Souhlas by neměl být považován za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout nebo odvolat, aniž by byl poškozen.
14 Směrnice Rady 93/13/EHS ze dne 5. dubna 1993 o nepřiměřených podmínkách ve spotřebitelských smlouvách (Úř. věst. J 95, 21.4.1993, s. 29).
(22) Jestliže příjemci, kteří jsou usazeni v Unii a na které se vztahuje nařízení (EU) 2016/679 nebo směrnice (EU) 2016/680, by chtěli, aby jim orgány a subjekty Unie předaly osobní údaje, musí prokázat, že předání je nezbytné pro dosažení jejich cílů, je přiměřené a nepřekračuje rámec toho, co je nezbytné pro dosažení těchto cílů. Orgány a subjekty Unie by měly tuto nezbytnost prokázat, pokud samy dávají podnět k předání, v souladu se zásadou transparentnosti.
(22) Jestliže příjemci, kteří jsou usazeni v Unii a na které se vztahuje nařízení (EU) 2016/679 nebo směrnice (EU) 2016/680, by chtěli, aby jim orgány a subjekty Unie předaly osobní údaje, měli by správci předložit odůvodněnou žádost o předání, která by měla správci sloužit jako východisko k posouzení toho, zda je předání nezbytné pro dosažení jejich cílů, je přiměřené a nepřekračuje rámec toho, co je nezbytné pro dosažení těchto cílů. Orgány a subjekty Unie by měly tuto nezbytnost prokázat, pokud samy dávají podnět k předání, v souladu se zásadou transparentnosti.
(23) Osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. Mezi tyto osobní údaje by měly patřit osobní údaje vypovídající o rasovém či etnickém původu, ovšem s tím, že použití slov „rasový původ“ v tomto nařízení neznamená, že Unie akceptuje teorie, které se pokoušejí určit existenci různých lidských ras. Zpracování fotografií by nemělo být systematicky považováno za zpracování zvláštních kategorií osobních údajů, neboť na fotografie se definice biometrických údajů vztahuje pouze v případech, kdy jsou zpracovávány zvláštními technickými prostředky umožňujícími jedinečnou identifikaci nebo autentizaci fyzické osoby. Společně se zvláštními požadavky na zpracování citlivých údajů by se měly uplatňovat obecné zásady a další pravidla tohoto nařízení, zejména pokud jde o podmínky pro zákonné zpracování. Odchylky od obecného zákazu zpracování těchto zvláštních kategorií osobních údajů by měly být výslovně stanoveny mimo jiné v případě, kdy subjekt údajů poskytuje svůj výslovný souhlas nebo jde-li o zvláštní potřeby, zejména pokud je toto zpracování prováděno v průběhu oprávněných činností některých sdružení či nadací, jejichž cílem je umožnit výkon základních svobod.
(23) Osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. Takovéto osobní údaje by se neměly zpracovávat, vyjma situací, kdy je zpracování umožněno ve specifických případech uvedených v tomto nařízení. Mezi tyto osobní údaje by měly patřit osobní údaje vypovídající o rasovém či etnickém původu, ovšem s tím, že použití slov „rasový původ“ v tomto nařízení neznamená, že Unie akceptuje teorie, které se pokoušejí určit existenci různých lidských ras. Zpracování fotografií by nemělo být systematicky považováno za zpracování zvláštních kategorií osobních údajů, neboť na fotografie se definice biometrických údajů vztahuje pouze v případech, kdy jsou zpracovávány zvláštními technickými prostředky umožňujícími jedinečnou identifikaci nebo autentizaci fyzické osoby. Společně se zvláštními požadavky na zpracování citlivých údajů by se měly uplatňovat obecné zásady a další pravidla tohoto nařízení, zejména pokud jde o podmínky pro zákonné zpracování. Odchylky od obecného zákazu zpracování těchto zvláštních kategorií osobních údajů by měly být výslovně stanoveny mimo jiné v případě, kdy subjekt údajů poskytuje svůj výslovný souhlas nebo jde-li o zvláštní potřeby, zejména pokud je toto zpracování prováděno v průběhu oprávněných činností některých sdružení či nadací, jejichž cílem je umožnit výkon základních svobod.
(23a) Zvláštní kategorie osobních údajů, které vyžadují vyšší ochranu, by měly být zpracovávány pro účely související se zdravím jen tehdy, když je to nezbytné pro dosažení těchto účelů ve prospěch fyzických osob a společnosti jako celku, zejména v souvislosti s řízením systémů a služeb zdravotní nebo sociální péče. Toto nařízení by tudíž mělo stanovit harmonizované podmínky pro zpracování zvláštních kategorií osobních údajů o zdravotním stavu, pokud jde o zvláštní potřeby, zejména pokud je zpracování takových údajů prováděno pro určité účely související se zdravím osobami, které mají zákonnou povinnost zachovávat služební tajemství. Právo Unie by mělo stanovit specifická a vhodná opatření na ochranu základních práv a osobních údajů fyzických osob.
(24) Z důvodů veřejného zájmu v oblasti veřejného zdraví může být nezbytné zpracovávat zvláštní kategorie osobních údajů bez souhlasu subjektu údajů. Toto zpracování by mělo podléhat vhodným a zvláštním opatřením s cílem chránit práva a svobody fyzických osob. V této souvislosti by mělo být „veřejné zdraví“ vykládáno ve smyslu definice v nařízení Evropského parlamentu a Rady (ES) č. 1338/2008 15 , totiž jako veškeré prvky týkající se zdraví, zejména zdravotní stav včetně nemocnosti a zdravotního postižení, determinanty ovlivňující tento zdravotní stav, potřeby zdravotní péče, prostředky přidělené na zdravotní péči, poskytování zdravotní péče a její všeobecná dostupnost, výdaje na zdravotní péči a její financování a příčiny úmrtnosti. Takové zpracování údajů o zdravotním stavu z důvodu veřejného zájmu by nemělo vést k tomu, aby třetí strany zpracovávaly osobní údaje pro jiné účely.
(24) Z důvodů veřejného zájmu v oblasti veřejného zdraví může být nezbytné zpracovávat zvláštní kategorie osobních údajů bez souhlasu subjektu údajů. Toto zpracování by mělo podléhat vhodným a zvláštním opatřením s cílem chránit práva a svobody fyzických osob. V této souvislosti by mělo být „veřejné zdraví“ vykládáno ve smyslu definice v nařízení Evropského parlamentu a Rady (ES) č. 1338/2008 15 , totiž jako veškeré prvky týkající se zdraví, zejména zdravotní stav včetně nemocnosti a zdravotního postižení, determinanty ovlivňující tento zdravotní stav, potřeby zdravotní péče, prostředky přidělené na zdravotní péči, poskytování zdravotní péče a její všeobecná dostupnost, výdaje na zdravotní péči a její financování a příčiny úmrtnosti. Takové zpracování údajů o zdravotním stavu z důvodu veřejného zájmu by nemělo vést k tomu, aby se osobní údaje zpracovávaly pro jiné účely.
15 Nařízení Evropského parlamentu a Rady (ES) č. 1338/2008 ze dne 16. prosince 2008 o statistice Společenství v oblasti veřejného zdraví a bezpečnosti a ochrany zdraví při práci (Úř. věst. L 354, 31.12.2008, s. 70).
Bod odůvodnění 37 – bod 1
Právní akty přijaté na základě Smluv nebo vnitřní předpisy orgánů a subjektů Unie mohou uložit omezení určitých zásad a práva na informace, na přístup a na opravu nebo na výmaz osobních údajů, práva na přenositelnost osobních údajů, důvěrnost elektronických komunikací, jakož i omezení týkající se oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo určitých souvisejících povinností správců, pokud je to v demokratické společnosti nutné a přiměřené pro zachování veřejné bezpečnosti, prevenci, vyšetřování a stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, mimo jiné pro ochranu lidských životů, zejména v reakci na přírodní nebo člověkem způsobené katastrofy, pro vnitřní bezpečnost orgánů a subjektů Unie, jiné významné cíle obecného veřejného zájmu Unie nebo členského státu, zejména jedná-li se o důležitý hospodářský či finanční zájem Unie nebo členského státu, vedení veřejných rejstříků z důvodů obecného veřejného zájmu, nebo s ohledem na ochranu subjektu údajů či práv a svobod ostatních, včetně sociální ochrany, veřejného zdraví a humanitárních účelů.
Právní akty přijaté na základě Smluv mohou uložit omezení určitých zásad a práva na informace, na přístup a na opravu nebo na výmaz osobních údajů, práva na přenositelnost osobních údajů, důvěrnost elektronických komunikací, jakož i omezení týkající se oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo určitých souvisejících povinností správců, pokud je to v demokratické společnosti nutné a přiměřené pro zachování veřejné bezpečnosti, prevenci, vyšetřování a stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, mimo jiné pro ochranu lidských životů, zejména v reakci na přírodní nebo člověkem způsobené katastrofy, pro vnitřní bezpečnost orgánů a subjektů Unie, jiné významné cíle obecného veřejného zájmu Unie nebo členského státu, zejména jedná-li se o důležitý hospodářský či finanční zájem Unie nebo členského státu, vedení veřejných rejstříků z důvodů obecného veřejného zájmu, nebo s ohledem na ochranu subjektu údajů či práv a svobod ostatních, včetně sociální ochrany, veřejného zdraví a humanitárních účelů.
Bod odůvodnění 37 – bod 2
Jestliže omezení není stanoveno v právních aktech přijatých na základě Smluv nebo ve vnitřních předpisech orgánů a subjektů Unie, mohou ve specifických případech orgány a subjekty Unie uložit omezení ad hoc týkající se specifických zásad a práv subjektu údajů, pokud omezení respektuje podstatu základních práv a svobod v souvislosti s konkrétní operací zpracování a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit splnění jednoho či více cílů uvedených v odstavci 1. Omezení by měla být oznámena příslušnému pověřenci pro ochranu údajů. Všechna omezení by měla být v souladu s požadavky stanovenými v Listině a v Evropské úmluvě o ochraně lidských práv a základních svobod.
(39a) Nařízení (EU) 2016/679 stanoví, že správci musí dodržování stanovených požadavků doložit tím, že používají schválené mechanismy pro vydávání osvědčení. Obdobně by měly být orgány a subjekty Unie schopny doložit dodržování tohoto nařízení tím, že získají osvědčení v souladu s článkem 42 nařízení (EU) 2016/679.
(42) Aby doložili soulad s tímto nařízením, měli by správci vést záznamy o činnostech zpracování, za které odpovídají, a zpracovatelé by měli vést záznamy o kategoriích činností zpracovávání, za které odpovídají. Orgány a subjekty Unie by měly být povinny spolupracovat s evropským inspektorem ochrany údajů a na jeho žádost mu tyto záznamy zpřístupnit, aby na jejich základě mohly být tyto operace zpracování monitorovány. Orgány a subjekty Unie by měly mít možnost vytvořit centrální rejstřík záznamů svých činností zpracování. Z důvodů transparentnosti by rovněž měly mít možnost tento rejstřík zpřístupnit veřejnosti.
(42) Aby doložili soulad s tímto nařízením, měli by správci vést záznamy o činnostech zpracování, za které odpovídají, a zpracovatelé by měli vést záznamy o kategoriích činností zpracovávání, za které odpovídají. Orgány a subjekty Unie by měly být povinny spolupracovat s evropským inspektorem ochrany údajů a na jeho žádost mu tyto záznamy zpřístupnit, aby na jejich základě mohly být tyto operace zpracování monitorovány. Orgány a subjekty Unie by měly vytvořit centrální rejstřík záznamů svých činností zpracování. Z důvodů transparentnosti by rovněž měly tento rejstřík zpřístupnit veřejnosti.
(47) Nařízení (ES) č. 45/2001 ukládá správci obecnou povinnost ohlašovat zpracování osobních údajů pověřenci pro ochranu osobních údajů, který následně vede rejstřík oznámených operací zpracování údajů. Tato povinnost přináší administrativní a finanční zátěž, avšak nepřispěla ve všech případech ke zlepšení ochrany osobních údajů. Proto by měla být tato nerozlišená obecná ohlašovací povinnost zrušena a nahrazena účinnými postupy a mechanismy, které by se místo toho zaměřily na takové typy operací zpracování, jež mohou s ohledem na svou povahu, rozsah, kontext a účely představovat vysoké riziko pro práva a svobody fyzických osob. Mezi tyto typy operací zpracování mohou patřit ty, při nichž jsou zejména používány nové technologie, nebo které jsou zcela nového druhu a u nichž správce dosud neprovedl posouzení vlivu na ochranu údajů, nebo které se staly nezbytnými z důvodu času, který uplynul od prvotního zpracování. V těchto případech by měl správce před zpracováním provést posouzení vlivu na ochranu osobních údajů s cílem posoudit konkrétní pravděpodobnost a závažnost vysokého rizika a zohlednit přitom povahu, rozsah, kontext a účely zpracování a zdroje rizika. Pro zajištění ochrany osobních údajů a prokázání souladu s tímto nařízením by toto posouzení vlivu mělo zejména obsahovat zamýšlená opatření, záruky a mechanismy pro snížení tohoto rizika.
(47) Nařízení (ES) č. 45/2001 ukládá správci obecnou povinnost ohlašovat zpracování osobních údajů pověřenci pro ochranu osobních údajů, který následně vede rejstřík oznámených operací zpracování údajů. Kromě této obecné povinnosti by měly být zavedeny účinné postupy a mechanismy ke sledování operací zpracování, jež mohou s ohledem na svou povahu, rozsah, kontext a účely představovat vysoké riziko pro práva a svobody fyzických osob. Tyto postupy by také měly být zavedeny především u těch typů operací zpracování, při nichž jsou používány nové technologie, nebo které jsou zcela nového druhu a u nichž správce dosud neprovedl posouzení vlivu na ochranu údajů, nebo které se staly nezbytnými z důvodu času, který uplynul od prvotního zpracování. V těchto případech by měl správce před zpracováním provést posouzení vlivu na ochranu osobních údajů s cílem posoudit konkrétní pravděpodobnost a závažnost vysokého rizika a zohlednit přitom povahu, rozsah, kontext a účely zpracování a zdroje rizika. Pro zajištění ochrany osobních údajů a prokázání souladu s tímto nařízením by toto posouzení vlivu mělo zejména obsahovat zamýšlená opatření, záruky a mechanismy pro snížení tohoto rizika.
(50) Nařízení (EU) 2016/679 zřizuje Evropský sbor pro ochranu údajů jako subjekt Unie s právní subjektivitou. Sbor by měl přispívat k jednotnému uplatňování nařízení (EU) 2016/679 a směrnice 2016/680 v celé Unii, například poskytovat Komisi poradenství. Evropský inspektor ochrany údajů by měl současně i nadále vykonávat dozorovou a poradní funkci ve vztahu ke všem orgánům a subjektům Unie, včetně ze své vlastní iniciativy nebo na žádost. Aby byla zajištěna jednotnost pravidel pro ochranu údajů v Unii, měly by být povinné konzultace Komise po přijetí legislativních aktů nebo během přípravy aktů v přenesené pravomoci a prováděcích aktů vymezených v článcích 289, 290 a 291 SFEU a po přijetí doporučení a návrhů týkajících se dohod s třetími zeměmi a mezinárodními organizacemi stanovených v článku 218 SFEU, které mají dopad na právo na ochranu osobních údajů. V takových případech by Komise měla povinně konzultovat evropského inspektora ochrany údajů s výjimkou případů, kdy nařízení (EU) 2016/679 stanoví povinnou konzultaci Evropského sboru pro ochranu údajů, například o rozhodnutích o odpovídající úrovni ochrany nebo aktech v přenesené pravomoci o standardizovaných ikonách a požadavcích na mechanismy pro vydávání osvědčení. Jestliže předmětný akt má zvláštní význam pro ochranu práva a svobod fyzických osob v souvislosti se zpracováním osobních údajů, měla by Komise mít navíc možnost rovněž konzultovat Evropský sbor pro ochranu osobních údajů. V takových případech by evropský inspektor ochrany údajů měl jakožto člen Evropského sboru pro ochranu údajů koordinovat svou práci s tímto subjektem s cílem vydat společné stanovisko. Evropský inspektor ochrany údajů a případně Evropský sbor pro ochranu údajů by měli poskytnout písemnou radu ve lhůtě osmi týdnů. Tato lhůta by měla být v naléhavých nebo jinak vhodných případech zkrácena, například pokud Komise připravuje akt v přenesené pravomoci nebo prováděcí akt.
(50) Nařízení (EU) 2016/679 zřizuje Evropský sbor pro ochranu údajů jako subjekt Unie s právní subjektivitou. Sbor by měl přispívat k jednotnému uplatňování nařízení (EU) 2016/679 a směrnice 2016/680 v celé Unii, například poskytovat Komisi poradenství. Evropský inspektor ochrany údajů by měl současně i nadále vykonávat dozorovou a poradní funkci ve vztahu ke všem orgánům a subjektům Unie, včetně ze své vlastní iniciativy nebo na žádost. Aby byla zajištěna jednotnost pravidel pro ochranu údajů v Unii, měly by být povinné konzultace Komise při přijímání návrhů legislativních aktů nebo během přípravy aktů v přenesené pravomoci a prováděcích aktů vymezených v článcích 289, 290 a 291 SFEU a při přijímání doporučení a návrhů týkajících se dohod s třetími zeměmi a mezinárodními organizacemi stanovených v článku 218 SFEU, které mají dopad na právo na ochranu osobních údajů. V takových případech by Komise měla povinně konzultovat evropského inspektora ochrany údajů s výjimkou případů, kdy nařízení (EU) 2016/679 stanoví povinnou konzultaci Evropského sboru pro ochranu údajů, například o rozhodnutích o odpovídající úrovni ochrany nebo aktech v přenesené pravomoci o standardizovaných ikonách a požadavcích na mechanismy pro vydávání osvědčení. Jestliže předmětný akt má zvláštní význam pro ochranu práva a svobod fyzických osob v souvislosti se zpracováním osobních údajů, měla by Komise mít navíc možnost rovněž konzultovat Evropský sbor pro ochranu osobních údajů. V takových případech by evropský inspektor ochrany údajů měl jakožto člen Evropského sboru pro ochranu údajů koordinovat svou práci s tímto subjektem s cílem vydat společné stanovisko. Evropský inspektor ochrany údajů a případně Evropský sbor pro ochranu údajů by měli poskytnout písemnou radu ve lhůtě osmi týdnů. Tato lhůta by měla být v naléhavých nebo jinak vhodných případech zkrácena, například pokud Komise připravuje akt v přenesené pravomoci nebo prováděcí akt.
Bod odůvodnění 50 a (nový)
(50a) V souladu s článkem 75 nařízení (EU) 2016/679 poskytuje evropský inspektor ochrany údajů služby sekretariátu pro Evropský sbor pro ochranu údajů.
(52) Pokud jsou osobní údaje předávány z orgánů a subjektů Unie správcům, zpracovatelům nebo jiným příjemcům ve třetích zemích nebo v mezinárodních organizacích, neměla by být úroveň ochrany fyzických osob zajištěná v Unii tímto nařízením oslabována, a to ani v případech dalšího předání osobních údajů ze třetí země nebo mezinárodní organizace správcům nebo zpracovatelům ve stejné nebo jiné třetí zemi nebo mezinárodní organizaci. V každém případě lze předání do třetích zemí a mezinárodním organizacím provést pouze za plného dodržování tohoto nařízení. K předání by mělo docházet pouze tehdy, pokud s výhradou ostatních ustanovení tohoto nařízení správce nebo zpracovatel splňují podmínky stanovené v tomto nařízení vztahující se na předávání osobních údajů do třetích zemí nebo mezinárodním organizacím.
(52) Pokud jsou osobní údaje předávány z orgánů a subjektů Unie správcům, zpracovatelům nebo jiným příjemcům ve třetích zemích nebo v mezinárodních organizacích, měla by být zaručena úroveň ochrany fyzických osob zajištěná v Unii tímto nařízením, a to i v případech dalšího předání osobních údajů ze třetí země nebo mezinárodní organizace správcům nebo zpracovatelům ve stejné nebo jiné třetí zemi nebo mezinárodní organizaci. V každém případě lze předání do třetích zemí a mezinárodním organizacím provést pouze za plného dodržování tohoto nařízení, nařízení (EU) 2016/679 a základních práv a svobod zakotvených v Listině. K předání by mělo docházet pouze tehdy, pokud s výhradou ostatních ustanovení tohoto nařízení správce nebo zpracovatel splňují podmínky stanovené v tomto nařízení vztahující se na předávání osobních údajů do třetích zemí nebo mezinárodním organizacím.
(53) Komise může rozhodnout podle článku 45 nařízení (EU) 2016/679, že určitá třetí země, určité území či konkrétní odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany údajů. V těchto případech orgán nebo subjekt Unie může předat osobní údaje do této země nebo této mezinárodní organizaci bez potřeby získat další povolení.
(53) Komise může rozhodnout podle článku 45 nařízení (EU) 2016/679 nebo článku 36 směrnice (EU) 2016/680, že určitá třetí země, určité území či konkrétní odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany údajů. V těchto případech orgán nebo subjekt Unie může předat osobní údaje do této země nebo této mezinárodní organizaci bez potřeby získat další povolení.
Bod odůvodnění 64 a (nový)
(64a) Komise navrhla změnu nařízení Evropského parlamentu a Rady (EU) č. 1024/2012 ze dne 25. října 2012 o správní spolupráci prostřednictvím systému pro výměnu informací o vnitřním trhu a o zrušení rozhodnutí Komise 2008/49/ES („nařízení o systému IMI“), která by umožnila využívání systému IMI nejen příslušnými orgány členských států a Komisí, ale také institucemi a jinými subjekty Unie1a. Dokud tato revize neproběhne, měl by mít evropský inspektor ochrany údajů a Evropský sbor pro ochranu údajů možnost využívat systém pro výměnu informací o vnitřním trhu pro účely správní spolupráce a výměny informací, jak uvádí obecné nařízení o ochraně osobních údajů, jež má vstoupit v platnost dne 25. května 2018.
1a Viz článek 36 návrhu nařízení Evropského parlamentu a Rady, kterým se zřizuje jednotná digitální brána pro poskytování informací, postupů, asistenčních služeb a služeb pro řešení problémů a kterým se mění nařízení (EU) č. 1024/2012, COM(2017) 256 final, 2017/0086 (COD).
Bod odůvodnění 65
(65) V některých případech právo Unie stanoví model koordinovaného dozoru sdíleného mezi evropským inspektorem ochrany údajů a vnitrostátními dozorovými úřady. Evropský inspektor ochrany údajů je navíc dozorovým úřadem pro Europol a byl vytvořen specifický model spolupráce s vnitrostátními dozorovými úřady prostřednictvím Rady pro spolupráci s poradní funkcí. Aby se zlepšil účinný dozor nad hmotnými pravidly ochrany údajů a jejich vymáhání, měl by být v Unii zaveden jeden soudržný model koordinovaného dozoru. Komise by proto měla v případě potřeby předložit legislativní návrhy na změnu právních aktů Unie upravujících model koordinovaného dozoru, aby je sladila s modelem koordinovaného dozoru podle tohoto nařízení. Evropský sbor pro ochranu osobních údajů by měl být jediným fórem pro zajištění účinného koordinovaného dozoru na úrovni sboru.
(65) V některých případech právo Unie stanoví model koordinovaného dozoru sdíleného mezi evropským inspektorem ochrany údajů a vnitrostátními dozorovými úřady. Evropský inspektor ochrany údajů je navíc dozorovým úřadem pro Europol a byl vytvořen specifický model spolupráce s vnitrostátními dozorovými úřady prostřednictvím Rady pro spolupráci s poradní funkcí. Aby se zlepšil účinný dozor nad hmotnými pravidly ochrany údajů a jejich vymáhání, mělo by toto nařízení zavést jeden soudržný model koordinovaného dozoru. Evropský sbor pro ochranu osobních údajů by měl být jediným fórem pro zajištění účinného koordinovaného dozoru na úrovni sboru.
2. Toto nařízení chrání základní práva a svobody fyzických osob zakotvené v Listině, a zejména jejich právo na ochranu osobních údajů.
1. Toto nařízení se vztahuje na zpracování osobních údajů všemi orgány a subjekty Unie, pokud se toto zpracování provádí při výkonu činností, které zcela nebo zčásti spadají do oblasti působnosti práva Unie.
1. Toto nařízení se vztahuje na zpracování osobních údajů všemi orgány a subjekty Unie.
2a. Toto nařízení se vztahuje také na agentury Unie vykonávající činnosti, které spadají do působnosti kapitol 4 a 5 hlavy V části tři Smlouvy o fungování EU, a to i v případech, kdy zřizovací akty těchto agentur Unie stanoví samostatný režim ochrany údajů pro zpracování operativních osobních údajů. Ustanovení týkající se konkrétního zpracování operativních osobních údajů obsažená ve zřizovacích aktech těchto agentur mohou uplatňování tohoto nařízení upřesnit a doplnit.
a) definice v nařízení (EU) 2016/679 s výjimkou definice „správce“ v čl. 4 bod 7 uvedeného nařízení;
a) definice v nařízení (EU) 2016/679 s výjimkou definice „správce“ v čl. 4 bod 7, „hlavní provozovny“ v čl. 4 bod 16, „podniku“ v čl. 4 bod 18 a „skupiny podniků“ v čl. 4 bod 19 uvedeného nařízení; definice „elektronické komunikace“ v čl. 4 odst. 2 písm. a) nařízení (EU) XX/XXXX [nařízení o ochraně osobních údajů];
da) „operativními osobními údaji“ rozumí osobní údaje zpracovávané agenturami Unie zřízenými na základě kapitoly 4 a 5 hlavy V části 3 Smlouvy o fungování EU a misemi uvedenými v čl. 42 odst. 1, článku 43 a 44 Smlouvy o EU pro účely splnění cílů stanovených v aktech zřizujících tyto agentury či mise.
d) přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby nepřesné nebo neúplné údaje, které jsou nepřesné s přihlédnutím k účelům, pro které byly shromažďovány nebo dále zpracovávány, byly bezodkladně vymazány nebo opraveny („přesnost“);
d) přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které jsou zpracovávány, byly bezodkladně vymazány nebo opraveny („přesnost“);
2. Úkoly uvedené v odst. 1 písm. a) stanoví právo Unie.
2. Úkoly uvedené v odst. 1 písm. a) stanoví právo Unie. Základ pro zpracovávání uvedené v odst. 1 písm. b) se stanoví v právu Unie nebo členského státu, které se na správce vztahuje.
Předávání osobních údajů mezi orgány a subjekty Unie
1. Osobní údaje se předávají pouze v rámci orgánů nebo subjektů Unie nebo jiným orgánům či subjektům Unie, pokud jsou tyto údaje nezbytné k legitimnímu plnění úkolů spadajících do pravomoci příjemce.
2. Pokud se údaje předávají na základě žádosti příjemce, odpovídá za legitimitu jejich předání správce i příjemce.
Příjemce zajistí, aby mohla být nezbytnost předání údajů následně ověřena.
3. Příjemce zpracovává osobní údaje výlučně pro účely, které byly důvodem předání.
1. Aniž jsou dotčeny články 4, 5, 6 a 10 lze předávat osobních údaje příjemcům, kteří jsou usazeni v Unii a na které se vztahuje nařízení (EU) 2016/679 nebo vnitrostátní právní předpisy přijaté podle směrnice (EU) 2016/680, pouze pokud příjemce prokáže, že:
1. Aniž jsou dotčeny články 4, 5, 6, 10, 14, čl. 15 odst. 3 a čl. 16 odst. 4, lze předávat osobní údaje příjemcům, kteří jsou usazeni v Unii a na které se vztahuje nařízení (EU) 2016/679 nebo vnitrostátní právní předpisy přijaté podle směrnice (EU) 2016/680, pouze pokud správce na základě odůvodněné žádosti příjemce dospěje k závěru, že:
b) předání údajů je nezbytné, je přiměřené účelům předání a není důvod domnívat se, že mohou být poškozeny práva a svobody a oprávněné zájmy subjektu údajů.
b) je to přiměřené a nezbytné pro účely sloužící veřejnému zájmu, jako je transparentnost nebo řádná správa, a pokud je důvod se domnívat, že mohou být poškozeny oprávněné zájmy subjektu údajů, poté, co prokazatelně zvážil různé protichůdné zájmy;
a) subjekt údajů udělil výslovný souhlas se zpracováním těchto údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen;
a) subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen;
3. Osobní údaje uvedené v odstavci 1 mohou být zpracovávány pro účely uvedené v odst. 2 písm. h), jsou-li tyto údaje zpracovány pracovníkem vázaným služebním tajemstvím nebo na jeho odpovědnost podle práva Unie.
3. Osobní údaje uvedené v odstavci 1 mohou být zpracovávány pro účely uvedené v odst. 2 písm. h), jsou-li tyto údaje zpracovány pracovníkem vázaným služebním tajemstvím nebo na jeho odpovědnost podle práva Unie nebo členského státu či předpisů stanovených vnitrostátními příslušnými orgány, nebo jinou osobou, která je rovněž vázána služebním tajemstvím podle práva Unie nebo členského státu či předpisů stanovených vnitrostátními příslušnými orgány.
Zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů či souvisejících bezpečnostních opatření na základě čl. 5 odst. 1 se může provádět, pouze pokud je oprávněné podle práva Unie, což může zahrnovat vnitřní předpisy, poskytujícího vhodné záruky, pokud jde o práva a svobody subjektů údajů.
Zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů či souvisejících bezpečnostních opatření na základě čl. 5 odst. 1 se provádí, pouze pokud je oprávněné podle práva Unie poskytujícího vhodné záruky, pokud jde o práva a svobody subjektů údajů.
Čl. 14 – odst. 5 – pododstavec 1
Informace podle článků 15 a 16 a veškerá sdělení a veškeré úkony podle článků 17 až 24 a 38 se poskytují a činí bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce odmítnout zabývat se žádostí.
Informace podle článků 15 a 16 a veškerá sdělení a veškeré úkony podle článků 17 až 24 a 38 se poskytují a činí bezplatně.
8. Pokud Komise přijme akty v přenesené pravomoci podle čl. 12 odst. 8 nařízení (EU) 2016/679 určující informace, které mají být sděleny pomocí ikon, a postupy pro poskytování standardizovaných ikon, orgány a subjekty Unie případně poskytnou informace podle článků 15 a 16 v kombinaci s takovými standardizovanými ikonami.
8. Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci podle čl. 12 odst. 8 nařízení (EU) 2016/679 určující informace, které mají být sděleny pomocí ikon, a postupy pro poskytování standardizovaných ikon, orgány a subjekty Unie případně poskytnou informace podle článků 15 a 16 v kombinaci s takovými standardizovanými ikonami.
Čl. 16 – odst. 5 – písm. b
b) se ukáže, že poskytnutí takových informací není možné nebo by vyžadovalo nepřiměřené úsilí; to platí zejména v případě zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely, nebo pokud je pravděpodobné, že uplatnění povinnosti uvedené v odstavci 1 tohoto článku by znemožnilo nebo výrazně ztížilo dosažení cílů uvedeného zpracování;
Čl. 16 – odst. 5 – písm. c
c) je získávání nebo zpřístupnění výslovně stanoveno právem Unie; nebo
c) je získávání nebo zpřístupnění výslovně stanoveno právem Unie, které se na správce vztahuje a které poskytuje vhodná opatření na ochranu legitimního zájmu subjektu údajů; nebo
Čl. 16 – odst. 5 – písm. d
d) osobní údaje musí zůstat důvěrné s ohledem na povinnost zachovávat služební tajemství upravenou právem Unie.
d) osobní údaje musí zůstat důvěrné s ohledem na povinnost zachovávat služební tajemství upravenou právem Unie, včetně zákonné povinnosti zachovávat tajemství.
5a. V případech uvedených v odst. 5 písm. b) přijme správce vhodná opatření na ochranu práv a svobod a legitimního zájmu subjektu údajů, a to včetně zveřejnění informací.
b) zpracování je nezákonné a subjekt údajů odmítá jejich výmaz a žádá místo toho o omezení jejich použití;
b) zpracování je nezákonné a subjekt údajů odmítá výmaz osobních údajů a žádá místo toho o omezení jejich použití;
1. Právní akty přijaté na základě Smluv nebo, v záležitostech týkajících se fungování orgánů a subjektů Unie, vnitřní předpisy přijaté orgány a subjekty Unie, mohou omezit použití článků 14 až 22, 34 a 38, jakož i článku 4, v rozsahu, v jakém jejich ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
1. Právní akty přijaté na základě Smluv mohou omezit použití článků 14 až 22 a 38, jakož i článku 4, v rozsahu, v jakém jejich ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
1a. Akty přijaté podle odstavce 1 jsou jasné a přesné. Jejich použití je předvídatelné pro osoby, na něž se vztahují.
Čl. 25 – odst. 1 b (nový)
1b. Každý právní akt přijatý podle odstavce 1 v případě potřeby obsahuje především zvláštní ustanovení týkající se přinejmenším následujících prvků:
a) účely zpracování či kategorie zpracování;
c) rozsah zavedeného omezení;
d) záruky, které předejdou zneužití nebo nezákonnému přístupu či předání;
e) upřesnění správce či kategorií správců;
f) doba uchovávání údajů a příslušné záruky s přihlédnutím k povaze, rozsahu a účelům zpracování nebo kategorií zpracování,
g) rizika pro práva a svobody subjektů údajů; a
h) právo subjektů údajů na informace o omezení, pokud tím není dotčen účel daného omezení.
2. Není-li omezení stanoveno právním aktem přijatým na základě Smluv nebo vnitřním předpisem v souladu odstavcem 1, mohou orgány a subjekty Unie omezit použití článků 14 až 22, 34 a 38, jakož i článku 4, v rozsahu, v jakém jejich ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod v souvislosti s konkrétní operací zpracování a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit jeden či více cílů uvedených v odstavci 1. Omezení se oznámí příslušnému pověřenci pro ochranu údajů.
3. Jsou-li osobní údaje zpracovávány pro účely vědeckého či historického výzkumu nebo pro statistické účely, může právo Unie, včetně vnitřních předpisů, stanovit odchylky od práv uvedených v článcích 17, 18, 20 a 23, s výhradou podmínek a záruk uvedených v článku 13, pokud je pravděpodobné, že by daná práva znemožnila nebo vážně ohrozila splnění zvláštních účelů, a tyto odchylky jsou pro splnění těchto účelů nezbytné.
3. Jsou-li osobní údaje zpracovávány pro účely vědeckého či historického výzkumu nebo pro statistické účely, může právo Unie stanovit odchylky od práv uvedených v článcích 17, 18, 20 a 23, s výhradou podmínek a záruk uvedených v článku 13, pokud je pravděpodobné, že by daná práva znemožnila nebo vážně ohrozila splnění zvláštních účelů, a tyto odchylky jsou pro splnění těchto účelů nezbytné.
4. Jsou-li osobní údaje zpracovávány pro účely archivace ve veřejném zájmu, může právo Unie, včetně vnitřních předpisů stanovit odchylky od práv uvedených v článcích 17, 18, 20, 21, 22 a 23, s výhradou podmínek a záruk uvedených v článku 13, pokud je pravděpodobné, že by daná práva znemožnila nebo vážně ohrozila splnění zvláštních účelů, a tyto odchylky jsou pro splnění těchto účelů nezbytné.
4. Jsou-li osobní údaje zpracovávány pro účely archivace ve veřejném zájmu, může právo Unie stanovit odchylky od práv uvedených v článcích 17, 18, 20, 21, 22 a 23, s výhradou podmínek a záruk uvedených v článku 13, pokud je pravděpodobné, že by daná práva znemožnila nebo vážně ohrozila splnění zvláštních účelů, a tyto odchylky jsou pro splnění těchto účelů nezbytné.
Čl. 25 – odst. 5
5. Vnitřní předpisy uvedené v odstavcích 1, 3 a 4 musí být dostatečně jasné a přesné a řádně zveřejněné.
6. Uplatňuje-li se omezení podle odstavce 1 nebo 2, je subjekt údajů v souladu s právem Unie informován o hlavních důvodech pro použití omezení a o svém právu podat stížnost u evropského inspektora ochrany údajů.
6. Uplatňuje-li se omezení podle odstavce 1, je subjekt údajů v souladu s právem Unie informován o hlavních důvodech pro použití omezení a o svém právu podat stížnost u evropského inspektora ochrany údajů.
7. Je-li omezení podle odstavce 1 nebo 2 uloženo za účelem odepření přístupu subjektu údajů, sdělí evropský inspektor ochrany údajů při posuzování stížnosti subjektu údajů, zda byly údaje zpracovány řádně a pokud nebyly, zda byla učiněna příslušná náprava.
7. Je-li omezení podle odstavce 1 uloženo za účelem odepření přístupu subjektu údajů, sdělí evropský inspektor ochrany údajů při posuzování stížnosti subjektu údajů, zda byly údaje zpracovány řádně a pokud nebyly, zda byla učiněna příslušná náprava.
8. Poskytování informací uvedených odst. 6 a 7 a v čl. 46 odst. 2 lze odložit, vynechat nebo odepřít, pokud by to zrušilo účinek omezení uloženého podle odstavců 1 nebo 2.
8. Poskytování informací uvedených odst. 6 a 7 a v čl. 46 odst. 2 lze odložit, vynechat nebo odepřít, pokud by to zrušilo účinek omezení uloženého podle odstavce 1.
2a. Jedním z prvků, jimiž lze doložit dodržování povinností správce, je používání schválených mechanismů pro vydávání osvědčení uvedených v článku 42 nařízení (EU) 2016/679.
Čl. 27 – odst. 2 a (nový)
2a. Jedním z prvků, jimiž lze doložit dodržování požadavků stanovených v odstavci 1 a 2 tohoto článku, je používání schváleného mechanismu pro vydávání osvědčení podle článku 42 nařízení (EU) 2016/679.
3. Subjekt údajů může vykonávat svá práva podle tohoto nařízení u jednoho či více správců při zohlednění jejich rolí vůči každému z nich, jak jsou určeny v ujednání uvedeném v odstavci 1.
3. Bez ohledu na podmínky ujednání podle odstavce 1 může subjekt údajů vykonávat svá práva podle tohoto nařízení u každého správce a vůči každému správci.
5. Orgány a subjekty Unie mohou rozhodnout uchovávat své záznamy o zpracování v centrálním rejstříku. V takovém případě mohou rovněž rozhodnout, že rejstřík bude veřejně přístupný.
5. Orgány a subjekty Unie uchovávají své záznamy o zpracování v centrálním rejstříku a zpřístupňují je veřejnosti.
Kapitola 4 – oddíl 2 – nadpis
ZABEZPEČENÍ OSOBNÍCH ÚDAJŮ A DŮVĚRNOST ELEKTRONICKÉ KOMUNIKACE
Čl. 33 – odst. 3 a (nový)
3a. Jedním z prvků, jimiž lze doložit dodržování požadavků stanovených v odstavci 1 tohoto článku, je používání schváleného mechanismu pro vydávání osvědčení uvedeného v článku 42 nařízení (EU) 2016/679.
Článek 33 a (nový)
Článek 33 a
Jedním z prvků, jimiž lze doložit soulad s požadavky stanovenými v odstavcích 1 a 2 tohoto článku, je dodržování schváleného kodexu chování podle článku 42 nařízení (EU) 2016/679.
Důvěrnost elektronických komunikací
Orgány a subjekty Unie zajistí důvěrnost elektronických komunikací, zejména zabezpečením sítí elektronických komunikací.
1. Osobní údaje uvedené v seznamech uživatelů a přístup k těmto seznamům jsou omezeny na to, co je výhradně nutné pro zvláštní účely seznamu.
2. Orgány a subjekty Unie přijmou všechna nezbytná opatření, aby zabránily použití osobních údajů obsažených v seznamech bez ohledu na to, zda jsou či nejsou dostupné veřejnosti, pro účely přímého marketingu.
Kapitola 4 – oddíl 2 a (nový)
2. Orgány a subjekty Unie přijmou všechna nezbytná opatření, aby zabránily použití osobních údajů obsažených v těchto seznamech bez ohledu na to, zda jsou či nejsou dostupné veřejnosti, pro účely přímého marketingu.
Orgány a subjekty Unie uvědomí evropského inspektora ochrany údajů o vypracování správních opatření a vnitřních předpisů souvisejících se zpracováním osobních údajů, na kterém se podílí orgán nebo subjekt Unie samostatně nebo ve spolupráci s jinými.
Orgány a subjekty Unie uvědomí evropského inspektora ochrany údajů o vypracování správních opatření souvisejících se zpracováním osobních údajů, na kterém se podílí orgán nebo subjekt Unie samostatně nebo ve spolupráci s jinými.
1. Po přijetí návrhů legislativních aktů a doporučení nebo návrhů pro Radu podle článku 218 SFEU a při přípravě aktů v přenesené pravomoci nebo prováděcích aktů, které mají vliv na ochranu práv a svobod fyzických osob v souvislosti se zpracováváním osobních údajů, konzultuje Komise evropského inspektora ochrany údajů.
1. Při přijímání návrhů legislativních aktů a doporučení nebo návrhů pro Radu podle článku 218 SFEU a při přípravě aktů v přenesené pravomoci nebo prováděcích aktů týkajících se ochrany práv a svobod fyzických osob v souvislosti se zpracováváním osobních údajů, konzultuje Komise evropského inspektora ochrany údajů.
Čl. 44 – odst. 4
4. Pověřenec pro ochranu osobních údajů může být pracovníkem orgánu nebo subjektu Unie, nebo může úkoly plnit na základě smlouvy o poskytování služeb.
4. Pověřenec pro ochranu osobních údajů je pracovníkem orgánu nebo subjektu Unie. Ve výjimečných případech, a to při zohlednění jejich velikosti, a pokud podmínky stanovené v odstavci 2 nejsou splněny, orgány a subjekty Unie mohou jmenovat inspektora ochrany údajů, kteří plní své úkoly na základě smlouvy o poskytování služeb.
Čl. 45 – odst. 5
5. Pověřenec pro ochranu údajů a jeho zaměstnanci jsou v souvislosti s výkonem svých úkolů vázáni tajemstvím nebo důvěrností, v souladu s právem Unie.
5. Pověřenec pro ochranu osobních údajů je v souvislosti s výkonem svých úkolů vázán tajemstvím nebo důvěrností, v souladu s právem Unie.
Čl. 46 – odst. 1 – písm. g a (nové)
ga) zajišťování toho, aby při zpracování nedocházelo k poškozování práv a svobod subjektů údajů.
1. Předávání osobních údajů do určité třetí země nebo určité mezinárodní organizaci se může uskutečnit, jestliže Komise rozhodla podle čl. 45 odst. 3 nařízení (EU) 2016/679, že tato třetí země, určité území nebo jedno či více konkrétních odvětví v této třetí zemi, nebo tato mezinárodní organizace zajišťují odpovídající úroveň ochrany a osobní údaje jsou předány pouze s cílem umožnit plnění úkolů, na které se vztahuje pravomoc správce.
1. Předávání osobních údajů do určité třetí země nebo určité mezinárodní organizaci se může uskutečnit, jestliže Komise rozhodla podle čl. 45 odst. 3 nařízení (EU) 2016/679 nebo článku 36 směrnice (EU) 2016/680, že tato třetí země, určité území nebo jedno či více konkrétních odvětví v této třetí zemi, nebo tato mezinárodní organizace zajišťují odpovídající úroveň ochrany a osobní údaje jsou předány pouze s cílem umožnit plnění úkolů, na které se vztahuje pravomoc správce. Takovéto předání nevyžaduje žádné zvláštní povolení.
1. Jestliže neexistuje rozhodnutí podle čl. 45 odst. 3 nařízení (EU) 2016/679, správce nebo zpracovatel mohou předat osobní údaje do třetí země nebo mezinárodní organizaci, pouze pokud správce nebo zpracovatel poskytl vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana subjektů údajů.
1. Jestliže neexistuje rozhodnutí podle čl. 45 odst. 3 nařízení (EU) 2016/679 nebo čl. 36 odst. 3 směrnice (EU) 2016/680, v příslušném rámci těchto legislativních aktů, správce nebo zpracovatel mohou předat osobní údaje do třetí země nebo mezinárodní organizaci, pouze pokud správce nebo zpracovatel poskytl vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana subjektů údajů.
Čl. 51 – odst. 1 – návětí
1. Jestliže neexistuje rozhodnutí o odpovídající ochraně údajů podle čl. 45 odst. 3 nařízení (EU) 2016/679 nebo vhodné záruky podle článku 49, může se předání nebo soubor předání osobních údajů do třetí země nebo mezinárodní organizaci uskutečnit pouze při splnění jedné z následujících podmínek:
1. Jestliže neexistuje rozhodnutí o odpovídající ochraně údajů podle čl. 45 odst. 3 nařízení (EU) 2016/679 nebo čl. 36 odst. 3 směrnice (EU) 2016/680, v příslušném rámci těchto legislativních aktů, nebo vhodné záruky podle článku 49, může se předání nebo soubor předání osobních údajů do třetí země nebo mezinárodní organizaci uskutečnit pouze při splnění jedné z následujících podmínek:
1. Evropský parlament a Rada společnou dohodou jmenují evropského inspektora ochrany údajů na období pěti let na základě seznamu sestaveného Komisí po veřejné výzvě k přihlášení uchazečů. Tato výzva musí umožnit všem zájemcům v Unii, aby podali svou přihlášku. Seznam uchazečů sestavený Komisí je veřejný. Na základě seznamu vypracovaného Komisí může příslušný výbor Evropského parlamentu uspořádat slyšení, aby mohl stanovit pořadí uchazečů.
1. Evropský parlament a Rada společnou dohodou jmenují evropského inspektora ochrany údajů na období pěti let na základě seznamu společně sestaveného Evropským parlamentem, Radou a Komisí po veřejné výzvě k přihlášení uchazečů. Tato výzva musí umožnit všem zájemcům v Unii, aby podali svou přihlášku. Seznam uchazečů je veřejný a skládá se z nejméně pěti uchazečů. Příslušný výbor Evropského parlamentu může uspořádat slyšení uchazečů uvedených na seznamu, aby mohl stanovit jejich pořadí.
Čl. 54 – odst. 2
2. Seznam vypracovaný Komisí, ze kterého se vybere evropský inspektor ochrany údajů, tvoří osoby, jejichž nezávislost je nade vší pochybnost a jež prokázaly zkušenosti a dovednosti potřebné k výkonu povinností evropského inspektora ochrany údajů, například protože působí nebo působily v dozorových úřadech zřízených podle článku 41 nařízení (EU) 2016/679.
2. Seznam, ze kterého se vybere evropský inspektor ochrany údajů, společně vypracovaný Evropským parlamentem, Radou a Komisí, tvoří osoby, jejichž nezávislost je nade vší pochybnost a jež prokázaly jak odborné znalosti v oblasti ochrany údajů, tak zkušenosti a dovednosti potřebné k výkonu povinností evropského inspektora ochrany údajů, například protože působí nebo působily v dozorových úřadech zřízených podle článku 41 nařízení (EU) 2016/679.
Čl. 55 – odst. 4
4. Evropskému inspektorovi ochrany údajů je nápomocen sekretariát. Úředníky a ostatní zaměstnance sekretariátu jmenuje evropský inspektor ochrany údajů, který je jejich nadřízeným. Tyto osoby mu výlučně podléhají. O jejich počtu se rozhoduje každý rok v rozpočtovém procesu.
4. Evropskému inspektorovi ochrany údajů je nápomocen sekretariát. Úředníky a ostatní zaměstnance sekretariátu jmenuje evropský inspektor ochrany údajů, který je jejich nadřízeným. Tyto osoby mu výlučně podléhají. O jejich počtu se rozhoduje každý rok v rozpočtovém procesu. Na zaměstnance evropského inspektora ochrany údajů, kteří vykonávají úkoly svěřené Evropskému sboru pro ochranu osobních údajů právními předpisy Unie, se vztahuje čl. 75 odst. 2 nařízení (EU) 2016/679.
Čl. 59 – odst. 1 – písm. e
e) získat přístup do všech prostor, v nichž správce a zpracovatel působí, včetně přístupu k veškerému zařízení a prostředkům určeným ke zpracování údajů, v souladu s procesním právem Unie nebo členského státu.
e) získat přístup do všech prostor, v nichž správce a zpracovatel působí, včetně přístupu k veškerému zařízení a prostředkům určeným ke zpracování údajů, v souladu s právem Unie.
Čl. 59 – odst. 3 – písm. b a (nové)
ba) povolovat nebo nepovolovat operace používané v rámci zpracování údajů uvedené v čl. 40 odst. 4;
Čl. 61 – nadpis
Spolupráce s vnitrostátními dozorovými úřady
Spolupráce evropského inspektora ochrany údajů s vnitrostátními kontrolními orgány
Evropský inspektor ochrany údajů spolupracuje s dozorovými úřady zřízenými podle článku 41 nařízení (EU) 2016/679 a článku 51 směrnice (EU) 2016/680 (dále jen „vnitrostátní dozorové úřady“) a se společným kontrolním orgánem zřízeným podle článku 25 rozhodnutí Rady 2009/917/SVV21 v rozsahu nutném pro plnění jejich příslušných úkolů, zejména tak, že si navzájem poskytují příslušné informace, že žádá vnitrostátní dozorové úřady o výkon jejich pravomocí nebo reaguje na žádosti od těchto úřadů.
Evropský inspektor ochrany údajů spolupracuje s dozorovými úřady zřízenými podle článku 51 nařízení (EU) 2016/679 a článku 41 směrnice (EU) 2016/680 (dále jen „vnitrostátní dozorové úřady“) v rozsahu nutném k plnění jejich příslušných úkolů, zejména tak, že si navzájem poskytují příslušné informace, že po sobě navzájem požadují výkon svých pravomocí nebo reagují na žádosti druhé stany.
21 Rozhodnutí Rady 2009/917/SVV ze dne 30. listopadu 2009 o používání informačních technologií pro celní účely, Úř. věst. L 323, 10.12.2009, s. 20–30.
Čl. 61 – odst. 1 a (nový)
Evropský inspektor ochrany údajů a Evropský sbor pro ochranu údajů mohou využívat systém pro výměnu informací o vnitřním trhu (IMI) vytvořený nařízením Evropského parlamentu a Rady (EU) č. 1024/2012 ze dne 25. října 2012 o správní spolupráci prostřednictvím systému pro výměnu informací o vnitřním trhu a o zrušení rozhodnutí Komise 2008/49/ES („nařízení o systému IMI“) za účelem administrativní spolupráce a výměny informací podle článků 60 až 62, 64, 65 a 70 nařízení Evropského parlamentu a Rady (EU) 2016/679.
Čl. 62 – odst. 1
1. Pokud akt Unie odkazuje na tento článek, spolupracuje evropský inspektor ochrany údajů aktivně s vnitrostátními dozorovými úřady na zajištění účinného dozoru nad velkými systémy IT nebo subjekty Unie.
1. Pokud se v aktu Unie uvádí, že na zpracování osobních údajů na úrovni Unie dohlíží v rámci velkého IT systému nebo unijního subjektu, úřadu či agentury evropský inspektor ochrany údajů a na zpracování osobních údajů na úrovni členských států dohlížejí vnitrostátní dozorové úřady, spolupracuje evropský inspektor ochrany údajů a vnitrostátní dozorové úřady, které fungují s ohledem na rozsah svých příslušných pravomocí, aktivně v rámci plnění svých úkolů a zajistí koordinovaný dozor.
2. Evropský inspektor ochrany údajů při jednání v rámci svých příslušných pravomocí a odpovědností vyměňuje důležité informace, napomáhá při provádění auditů a inspekcí, přezkoumává problémy s výkladem nebo uplatňováním tohoto nařízení a ostatních použitelných aktů Unie, prostudovává problémy vztahující se k výkonu nezávislého dozoru nebo k výkonu práv subjektů údajů, vytváří harmonizované návrhy řešení problémů a zvyšuje informovanost o právech na ochranu údajů, v případě potřeby společně s vnitrostátních dozorovými úřady.
2. Při jednání v rámci svých příslušných pravomocí a svých úkolů si vyměňují důležité informace, pomáhají si vzájemně při provádění auditů a inspekcí, přezkoumávají problémy s výkladem nebo uplatňováním tohoto nařízení a ostatních použitelných aktů Unie, prostudovávají problémy vztahující se k výkonu nezávislého dozoru nebo k výkonu práv subjektů údajů, vytvářejí harmonizované návrhy řešení problémů a zvyšují informovanost o právech na ochranu údajů, v případě potřeby společně s vnitrostátních dozorovými úřady.
3. Pro účely uvedené v odstavci 2 se evropský inspektor ochrany údajů schází s vnitrostátními dozorovými úřady nejméně dvakrát ročně v rámci Evropského sboru pro ochranu údajů. Náklady na tato setkání nese a jejich organizaci zajišťuje Evropský sbor pro ochranu údajů. Na prvním setkání se přijme jednací řád. Podle potřeby se společně vypracují další pracovní metody.
3. Pro účely uvedené v odstavci 2 se evropský inspektor ochrany údajů schází s vnitrostátními dozorovými úřady nejméně dvakrát ročně v rámci Evropského sboru pro ochranu údajů. Náklady na tato setkání nese a jejich organizaci zajišťuje Evropský sbor pro ochranu údajů. Za tímto účelem může Evropský sbor pro ochranu údajů podle potřeby vypracovat další pracovní metody.
Kapitola – VIII a (nová) – nadpis
Zpracování operativních osobních údajů
Čl. 69 a (nový)
Článek 69a
Odchylně od článků 4, 5, 6, 7, 8, 10, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 41, 43, 49, 50 a 51 se ustanovení této kapitoly vztahují na zpracování operativních údajů Unie agenturami zřízenými na základě kapitoly 4 a 5 hlavy V části 3 Smlouvy o fungování EU a misemi uvedenými v čl. 42 odst. 1, článku 43 a 44 Smlouvy o EU.
Ustanovení týkající se konkrétního zpracování operativních osobních údajů obsažená ve zřizovacích aktech těchto agentur mohou upřesnit a doplnit uplatňování tohoto nařízení.
Článek 69 b (nový)
Článek 69b
Zásady zpracování operativních osobních údajů
1. Operativní osobní údaje jsou:
a) zpracovávány zákonným způsobem a korektně („zákonnost a korektnost“),
b) shromažďovány pro stanovené, výslovně vyjádřené a legitimní účely, a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se nepovažuje za neslučitelné s původními účely za předpokladu, že agentury a mise Unie poskytnou vhodné záruky a zejména zajistí, aby údaje nebyly zpracovávány k žádnému jinému účelu („omezení účelu“),
d) přesné a v případě potřeby aktualizované; musejí být přijata veškerá rozumná opatření, aby osobní operativní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny („přesnost“);
e) uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou operativní osobní údaje zpracovávány;
f) zpracovávány způsobem, který zajistí náležité zabezpečení operativních osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením („integrita a důvěrnost“).
2. Agentury nebo mise Unie zveřejní dokument, v němž jsou ve srozumitelné formě uvedena ustanovení týkající se zpracování operativních osobních údajů a dostupných prostředků pro výkon práv subjektů údajů.
Článek 69 c (nový)
Článek 69c
Zpracování osobních údajů je zákonné, pouze pokud je nezbytné ke splnění úkolů prováděných agenturami a misemi Unie a je založeno na právu Unie. Právo Unie upravující a doplňující toto nařízení, pokud jde o zpracování v rámci oblasti působnosti této kapitoly, stanovuje cíle zpracování, operativní osobní údaje, jež mají být zpracovány, a účely zpracování.
Článek 69 d (nový)
Článek 69d
Agentury nebo mise Unie jasně rozlišují mezi operativními osobními údaji různých kategorií subjektů údajů, jako například:
a) osob, které jsou podezřelé ze spáchání trestného činu, jenž spadá do působnosti agentur nebo misí Unie, nebo z účasti na takovém trestném činu nebo které byly za spáchání takového činu či účasti na něm odsouzeny,
b) osob, u nichž se má na základě věcných zjištění nebo odůvodněných domněnek za to, že spáchají trestné činy, které spadají do působnosti agentur nebo misí Unie;
c) osob, které byly oběťmi jednoho z daných trestných činů nebo u nichž určité skutečnosti vedou k závěru, že by mohly být oběťmi takového trestného činu;
d) osob, které by mohly být předvolány jako svědci při vyšetřování nebo při následném trestním řízení;
e) osob, které mohou poskytnout informace o trestných činech; a
f) kontaktů nebo zástupců některé z osob uvedených v písmenech a) nebo b).
Článek 69 e (nový)
Článek 69e
Rozlišování mezi operativními osobními údaji a ověřování jejich kvality
Agentury a mise Unie rozlišují mezi operativními osobními údaji založenými na skutečnostech od operativních osobních údajů založených na osobních hodnoceních. Agentury a mise Unie zpracovávají osobní údaje tak, aby bylo případně možné stanovit, který orgán údaje poskytl nebo odkud byly údaje získány. Agentury a mise Unie zajistí, aby nebyly předávány nebo zpřístupňovány operativní osobní údaje, které jsou nepřesné, neúplné či již neaktuální. Za tímto účelem agentury a mise Unie ověří kvalitu operativních osobních údajů před jejich předáním nebo zpřístupněním. Při každém předání operativních osobních údajů k nim agentury a mise Unie pokud možno doplní nezbytné informace, jež umožní příjemci zhodnotit míru jejich přesnosti, úplnosti, spolehlivosti a aktuálnosti. Zjistí-li se, že došlo k předání nesprávných operativních osobních údajů nebo že údaje byly předány protiprávně, musí o tom být příjemce neprodleně vyrozuměn. V takovém případě musejí být operativní osobní údaje opraveny či vymazány nebo musí být omezeno zpracování.
Článek 69 f (nový)
Článek 69f
Zvláštní podmínky pro zpracování osobních údajů
Jestliže agentury a mise Unie zajišťují zvláštní podmínky pro zpracování operativních osobních údajů, informují o těchto podmínkách a o požadavku na jejich dodržování příjemce takových osobních údajů. Agentury a mise Unie dodržují zvláštní podmínky zpracování údajů stanovené vnitrostátním orgánem v souladu s čl. 9 odst. 3 a 4 směrnice (EU) 2016/680.
Článek 69 g (nový)
Článek 69g
Předávání operativních osobních údajů jiným orgánům a subjektům Unie
Agentury a mise Unie předávají operativní osobní údaje orgánům a institucím Unie, pouze pokud jsou nezbytné k plnění úkolů nebo úloh přijímajících agentur a misí Unie Pokud se operativní osobní údaje předávají na žádost jiného orgánu nebo instituce Unie, odpovídá za legitimitu jejich předání správce i příjemce. Agentury a mise Unie jsou povinny ověřit pravomoc příslušného jiného orgánu nebo instituce Unie a předběžně posoudit nezbytnost předání osobních údajů. Vzniknou-li pochybnosti, zda je jejich předání nezbytné, požádají agentury a mise Unie příjemce o doplňující informace. Jiné orgány a instituce Unie zajistí, aby bylo možné nutnost jejich předání následně ověřit. Jiné orgány a instituce Unie zpracovávají osobní údaje výlučně pro účely, které byly důvodem předání.
Článek 69 h (nový)
Článek 69h
Zpracování zvláštních kategorií operativních osobních údajů
Zpracování operativních osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filosofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jednoznačné identifikace fyzické osoby, osobních údajů o zdravotním stavu nebo osobních údajů o sexuálním životě či sexuální orientaci fyzické osoby je povoleno pouze tehdy, pokud je pro plnění úkolů agentur a misí Unie zcela nezbytné a přiměřené pro předcházení trestné činnosti nebo boj proti ní, a pouze tehdy, doplňují-li dané údaje jiné osobní údaje, které už agentury a mise Unie mají. Výběr určité skupiny osob výlučně na základě takových osobních údajů je zakázán. O použití tohoto článku musí být neprodleně informován pověřenec pro ochranu osobních údajů. Operativní osobní údaje uvedené ve výše uvedeném pododstavci se nepředávají členským státům, institucím a orgánům Unie, třetím zemím ani mezinárodním organizacím, pokud toto předání není v jednotlivých případech týkajících se trestné činnosti, která spadá do působnosti agentur a misí Unie, a v souladu s kapitolou V naprosto nezbytné a přiměřené.
Článek 69 i (nový)
Článek 69i
Subjekt údajů má právo nebýt předmětem žádného rozhodnutí agentur a misí Unie založeného výhradně na automatizovaném zpracování, včetně profilování, které má nepříznivé právní účinky týkající se této osoby nebo se této osoby obdobným způsobem významně dotýká.
Článek 69 j (nový)
Článek 69j
Informace zpřístupňované nebo poskytované subjektu údajů
1. Agentury a mise Unie poskytují subjektu údajů alespoň:
a) údaje o totožnosti a kontaktní údaje dané agentury nebo mise Unie,
b) kontaktní údaje pověřence pro ochranu údajů,
c) informace o účelech zpracování, pro které jsou operativní osobní údaje určeny,
d) právo podat stížnost evropskému inspektorovi ochrany údajů a jeho kontaktní údaje,
e) informace o existenci práva požadovat od agentur a misí Unie přístup k operativním osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz či omezení jejich zpracování.
2. Vedle informací uvedených v odstavci 1 poskytnou agentury a mise Unie subjektu údajů ve zvláštních případech tyto další informace s cílem umožnit mu výkon jeho práv:
a) právní základ jejich zpracování,
b) dobu, po kterou budou operativní osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby;
c) informace o kategoriích příjemců operativních osobních údajů včetně příjemců v třetích zemích nebo mezinárodních organizacích;
d) v případě potřeby doplňující informace, zejména jsou-li operativní osobní údaje shromážděny bez vědomí subjektu údajů.
3. Agentury a mise Unie mohou pozdržet, omezit nebo neprovést poskytnutí informací subjektu údajů podle odstavce 2 v takovém rozsahu a na takovou dobu, jak to stanoví právní akt přijatý na základě Smluv a jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a) zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů,
b) zamezit narušení prevence, odhalování, vyšetřování nebo stíhání trestných činů nebo výkonu trestů,
c) chránit veřejnou bezpečnost členských států,
d) chránit národní bezpečnost členských států,
Článek 69 k (nový)
Článek 69k
Subjekt údajů má právo získat od agentur a misí Unie potvrzení, zda operativní osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a informacím o:
a) účelech a právním základu jejich postupu zpracování;
b) kategoriích dotyčných operativních osobních údajů,
c) příjemcích nebo kategoriích příjemců, kterým byly operativní osobní údaje poskytnuty, zejména o příjemcích ve třetích zemích nebo v mezinárodních organizacích,
d) předpokládanou dobu, po kterou se budou operativní osobní údaje uchovávat;
e) existenci práva požadovat od agentur a misí Unie opravu nebo výmaz operativních osobních údajů týkajících se daného subjektu údajů nebo omezení jejich zpracování,
f) právu podat stížnost evropskému inspektorovi ochrany údajů a o jeho kontaktních údajích,
g) informace o operativních osobních údajích, které jsou předmětem zpracování, a veškeré dostupné informace o jejich původu.
Článek 69 l (nový)
Článek 69l
Omezení práva na přístup k osobním údajům
1. Agentury a mise Unie mohou zcela nebo částečně omezit právo subjektu údajů na přístup k údajům v takovém rozsahu a na takovou dobu, jak toto částečné nebo úplné omezení stanoví právní akt přijatý na základě Smluv a jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
f) chránit práva a svobody druhých.
2. V případech uvedených v odstavci 1 agentury a mise Unie bez zbytečného odkladu písemně informují subjekt údajů o jakémkoli odmítnutí nebo omezení přístupu k informacím a o důvodech tohoto odmítnutí nebo omezení. Tyto informace není třeba uvádět, pokud by jejich poskytnutí ohrožovalo některý z účelů podle odstavce 1. Agentury a mise Unie informují subjekt údajů o možnosti podat stížnost u evropského inspektora ochrany údajů nebo uplatnit opravný prostředek u Soudního dvora Evropské unie. Agentury a mise Unie zdokumentují věcné či právní důvody, na nichž se rozhodnutí zakládá. Tyto informace budou na požádání poskytnuty evropskému inspektorovi ochrany údajů.
Článek 69 m (nový)
Článek 69m
Právo na opravu nebo výmaz operativních osobních údajů a omezení jejich zpracování
1. Subjekt údajů má právo na to, aby agentury a mise Unie bez zbytečného odkladu opravily nepřesné operativní osobní údaje, které se tohoto subjektu týkají. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných operativních osobních údajů, a to i poskytnutím dodatečného prohlášení. Agentury a mise Unie vymažou operativní osobní údaje bez zbytečného odkladu, přičemž subjekt údajů má právo na to, aby agentury a mise Unie bez zbytečného odkladu vymazaly operativní osobní údaje, které se ho týkají, jestliže se zpracováním porušují články 68b, 69c nebo 69h nebo jestliže operativní osobní údaje musejí být vymazány ke splnění zákonné povinnosti agentur a misí Unie.
a) subjekt údajů zpochybňuje přesnost daných osobních údajů a nelze ji ověřit; nebo
2. Pokud je zpracování omezeno ve smyslu prvního pododstavce písm. a), informují o tom agentury a mise Unie subjekt údajů před zrušením omezení zpracování. Omezené údaje lze zpracovat pouze k účelu, který zabránil jejich výmazu.
3. Agentury a mise Unie informují subjekt údajů písemně o jakémkoli odmítnutí opravy či výmazu operativních osobních údajů nebo omezení zpracování a o důvodech tohoto odmítnutí. Agentury a mise Unie mohou povinnost poskytnout tyto informace úplně nebo částečně omezit, pokud to je v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotyčné fyzické osoby nutné a přiměřené, s cílem:
4. Agentury a mise Unie informují subjekt údajů o možnosti podat stížnost u evropského inspektora ochrany údajů nebo uplatnit opravný prostředek u Soudního dvora Evropské unie.
5. Agentury a mise Unie uvědomí o opravě nepřesných osobních údajů příslušný orgán, od nějž tyto nepřesné operativní osobní údaje pocházejí.
6. V případech, kdy byly operativní osobní údaje opraveny nebo vymazány nebo zpracování bylo omezeno podle odstavců 1, 2 a 3, vyrozumí agentury a mise Unie příjemce a informují je, že tyto osobní údaje musejí opravit či vymazat nebo omezit zpracování operativních osobních údajů, za které odpovídají.
Článek 69 n (nový)
Článek 69n
Výkon práv subjektem údajů a ověřování prováděné evropským inspektorem ochrany údajů
V případech uvedených v čl. 69j odst. 3, článku 69k a čl. 69m odst. 4 může práva subjektu údajů vykonávat rovněž evropský inspektor ochrany údajů.
Agentury a mise Unie informují subjekt údajů o možnosti vykonávat jeho práva prostřednictvím evropského inspektora ochrany údajů podle odstavce 1.
V případě výkonu práva podle odstavce 1 informuje evropský inspektor ochrany údajů subjekt údajů přinejmenším o tom, že provedl veškerá nezbytná ověření nebo přezkum. Evropský inspektor ochrany údajů rovněž subjekt údajů informuje o jeho právu uplatnit opravný prostředek u Soudního dvora Evropské unie.
Článek 69 o (nový)
Článek 69o
Agentury a mise Unie vedou v automatizovaných systémech zpracování evidenci o veškerých níže uvedených operacích zpracování: shromáždění, pozměnění, přístup, konzultace, nahlédnutí a sdělení, včetně předání, kombinování a výmazu operativních osobních údajů.
Evidence nahlédnutí do osobních údajů a jejich sdělení musí umožňovat zjištění důvodů těchto operací, datum a čas, kdy byly učiněny, a totožnosti osoby, která do operativních osobních údajů nahlédla nebo která je zpřístupnila, a pokud možno totožnosti příjemců těchto operativních osobních údajů. Evidence nahlédnutí se použije pouze pro kontrolu ochrany údajů a pro zajištění řádného zpracování údajů, jakož i úplnosti a zabezpečení údajů. Evidence nahlédnutí nebude možné upravit. Pokud není tato evidence vyžadována pro průběžnou kontrolu, bude vymazána po uplynutí tří let. Agentury nebo mise Unie na požádání poskytnou evidenci nahlédnutí evropskému inspektorovi ochrany údajů a svým příslušným pověřencům ochrany údajů.
Článek 69 p (nový)
Článek 69p
Předávání operativních osobních údajů do třetích zemí nebo mezinárodním organizacím
1 Předmětem možných omezení podle článku 69l mohou agentury a mise Unie předávat operativní osobní údaje orgánu třetí země nebo mezinárodní organizaci, pouze pokud je jejich předání nezbytné pro výkon úkolů agentur a misí Unie, a to na základě jednoho z následujících:
a) rozhodnutí Komise přijatého v souladu s článkem 36 směrnice (EU) 2016/680, kterým se shledává, že třetí země či území nebo zpracovávající útvar v této třetí zemi či dotyčná mezinárodní organizace zajišťuje odpovídající úroveň ochrany (dále jen „rozhodnutí o odpovídající ochraně“);
b) mezinárodní dohody uzavřené mezi Unií a danou třetí zemí či mezinárodní organizací podle článku 218 Smlouvy o fungování EU, která poskytuje dostatečná ochranná opatření ve vztahu k ochraně soukromí, základních práv a svobod fyzických osob; nebo
c) dohody o spolupráci umožňující výměnu operativních osobních údajů, uzavřené před datem použitelnosti příslušných finančních právních aktů Unie, mezi agenturami Unie nebo misí a danou třetí zemí nebo mezinárodní organizací v souladu s článkem 23 rozhodnutí 2009/371/JHA. Agentury a mise Unie mohou uzavírat správní ujednání pro provádění těchto dohod či rozhodnutí o přiměřenosti.
2. Výkonný ředitel případně informuje správní radu o výměně operativních osobních údajů na základě rozhodnutí o odpovídající ochraně podle odstavce 1 písm. a).
3. Agentury a mise Unie zveřejní na svých internetových stránkách a aktualizují seznam rozhodnutí o přiměřenosti, dohody, správní ujednání a další nástroje související s předáváním operativních osobních údajů v souladu s odstavcem 1.
5. Odchylně od odstavce 1 může případně výkonný ředitel v jednotlivých případech povolit předání operativních osobních údajů třetí zemi či mezinárodním organizacím, jestliže je předání:
a) nezbytné k ochraně životně důležitých zájmů subjektu údajů nebo jiné osoby;
b) nezbytné k ochraně oprávněných zájmů subjektu údajů, jestliže tak stanoví právní předpisy členského státu, který osobní údaje předává;
c) nezbytné, aby se zabránilo bezprostřednímu a závažnému ohrožení veřejné bezpečnosti v některém členském státě nebo třetí zemi;
d) v jednotlivých případech nutné pro účely prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů; nebo
e) v jednotlivých případech nutné pro stanovení, výkon nebo obhajobu právních nároků v souvislosti s prevencí, vyšetřováním, odhalováním či stíháním určitého trestného činu nebo výkonem určitého trestu.
Operativní osobní údaje se nepředají, pokud výkonný ředitel rozhodne že, základní práva a svobody dotčeného subjektu údajů převažují nad veřejným zájmem na předání uvedeným v písmenech d) a e).
6. Odchylně od odstavce 1 může případně správní rada po dohodě s evropským inspektorem ochrany údajů povolit na období nepřesahující jeden rok, které lze obnovit, soubor předání v souladu s odst. 5 písm. a) až e), přičemž zohlední existenci odpovídajících záruk na ochranu soukromí a základních práv a svobod fyzických osob. Takové povolení musí být řádně odůvodněno a dokumentováno.
7. Výkonný ředitel informuje správní radu a evropského inspektora ochrany údajů co nejdříve o případech, u nichž byl použit odstavec 5.
8. Agentury a mise Unie uchovávají podrobné záznamy o všech předáních uskutečněných podle tohoto článku.
1. Komise předloží Evropskému parlamentu nejpozději do 1. června 2021 a poté každých pět let zprávu o uplatňování tohoto nařízení, k níž případně připojí vhodné legislativní návrhy.
2. Následné hodnocení uvedené v odstavci 1 věnuje zvláštní pozornost přiměřenosti oblasti působnosti tohoto nařízení, soudržnosti s ostatními legislativními akty v oblasti ochrany údajů a posoudí zejména provádění kapitoly V tohoto nařízení.
3. Komise předloží nejpozději do 1. června 2021 a poté každých pět let Evropskému parlamentu zprávu o uplatňování kapitoly VIII tohoto nařízení a o použitých postizích a sankcích.
S ohledem na zdokonalení tvorby právních předpisů a zejména na účinné využití následných hodnocení za účelem zachycení celého legislativního cyklu je zvláště důležité sledovat provádění, uplatňování a prosazování práva EU a obecně sledovat dopad, fungování a účinnost jejího práva. K tomuto účelu slouží komplexní doložka o přezkumu, která požaduje odpovídající hodnocení uplatňování nařízení, jeho působnosti a předpokládané odchylky pravomocí a stanovuje přiměřenou povinnost podávat zprávy.
Článek 70 b (nový)
Přezkum právních aktů Unie
Komise do 25. května 2021 přezkoumá další právní akty přijaté na základě Smluv, které upravují zpracování osobních údajů, zejména ze strany agentur zřízených podle hlavy V kapitoly 4 a 5 SFEU, a posoudí tak, zda je nutné je sladit s tímto nařízením a v případě potřeby učiní nezbytné návrhy na změnu těchto aktů, aby se zajistil jednotný přístup k ochraně osobních údajů v oblasti působnosti tohoto nařízení.
Článek 71 a (nový)
Nařízení Evropského parlamentu a Rady1a (ES) č. 1987/2006 se mění takto:
„vnitrostátní dozorové orgány a evropský inspektor ochrany údajů v rámci svých příslušných pravomocí vzájemně v souladu s článkem 62 [nového nařízení 45/2001] spolupracují“.
1aNařízení Evropského parlamentu a Rady (ES) č. 1987/2006 ze dne 20. prosince 2006 o zřízení, provozu a využívání Schengenského informačního systému druhé generace (SIS II) (Úř. věst. L 381, 28.12.2006, s. 4).
Změny rozhodnutí Rady 2007/533/SVV
Rozhodnutí Rady 2007/533/SZBP se mění takto:
Článek 71 c (nový)
Nařízení Evropského parlamentu a Rady1a (ES) č. 767/2008 se mění takto:
1aNařízení Evropského parlamentu a Rady (ES) č. 767/2008 ze dne 9. července 2008 o Vízovém informačním systému (VIS) a o výměně údajů o krátkodobých vízech mezi členskými státy (nařízení o VIS), Úř. věst. L 218, 13.8.2008, s. 60.
Článek 71 d (nový)
Změny nařízení Rady (ES) č. 515/97
Nařízení Rady (ES) č. 515/971a se mění takto:
Článek 71 e (nový)
Článek 71e
Změny rozhodnutí Rady 2009/917/SVV
Rozhodnutí Rady 2009/917/SVV1a se mění takto:
(1) Článek 25 se zrušuje.
(2) V článku 26 se odstavce 2 a 3 nahrazují tímto:
1aRozhodnutí Rady 2009/917/SVV ze dne 30. listopadu 2009 o používání informačních technologií pro celní účely (Úř. věst. L 323, 10.12.2009, s. 20).
Článek 71 f (nový)
Článek 71f
Nařízení Evropského parlamentu a Rady1a (ES) č. 1024/2012 se mění takto:
v článku 21 se zrušují odstavce 3 a 4.
1aNařízení Evropského parlamentu a Rady (EU) č. 1024/2012 ze dne 25. října 2012 o správní spolupráci prostřednictvím systému pro výměnu informací o vnitřním trhu a o zrušení rozhodnutí Komise 2008/49/ES („nařízení o systému IMI“) (Úř. věst. L 316, 14.11.2012, s. 1).
Článek 71 g (nový)
Článek 71g
Změna prováděcího nařízení Komise (EU) č. 2015/2447
Prováděcí nařízení Komise (EU) 2015/24471a se mění takto:
V článku 83 se zrušuje odstavec 8.
1aProváděcí nařízení Komise (EU) 2015/2447 ze dne 24. listopadu 2015, kterým se stanoví prováděcí pravidla k některým ustanovením nařízení Evropského parlamentu a Rady (EU) č. 952/2013, kterým se stanoví celní kodex Unie (Úř. věst. L 343, 29.12.2015, s. 558).
Článek 71 h (nový)
Článek 71h
Změny nařízení (EU) č. 2016/794
Nařízení Evropského parlamentu a Rady1a (ES) č. 2016/794 se mění takto:
(1) články 25, 28, 30, 36, 40, 41 a 46 se zrušují;
(2) Článek 44 se nahrazuje tímto:
1aNařízení Evropského parlamentu a Rady (EU) 2016/794 ze dne 11. května 2016 o Agentuře Evropské unie pro spolupráci v oblasti prosazování práva (Europol) a o zrušení a nahrazení rozhodnutí 2009/371/SVV, 2009/934/SVV, 2009/935/SVV, 2009/936/SVV a 2009/968/SVV (Úř. věst. L 135, 24.5.2016, s. 53).
Článek 71 i (nový)
Článek 71 i
Změny nařízení Rady (EU) 2017/XX
Nařízení Rady (ES) č. 2017/...1a se mění takto:
(1) Články 36e, 36f, 37, 37b, 37c, 37cc, 37ccc, 37d, 37e, 37f, 37g, 37h, 37i, 37j, 37k, 37n, 37o, 41, 41a, 41b, 43a, 43b, 43c, 43d, 43e a 46 se zrušují.
(2) Článek 45 se nahrazuje tímto:
1aNařízení Rady (EU) č. 2017/... ... , kterým se provádí posílená spolupráce za účelem zřízení Úřadu evropského veřejného žalobce („EPPO“) (Úř. věst. L ...).
Článek 71 j (nový)
Článek 71j
Změny nařízení (EU) 2017/XX
Nařízení Evropského parlamentu a Rady (EU) 2017/...1a se mění takto:
(1) Články 27, 29, 30, 31, 33, 36 a 37 se zrušují.
(2) Článek 35 se nahrazuje tímto:
1aNařízení Evropského parlamentu a Rady (EU) 2017/... o Agentuře Evropské unie pro justiční spolupráci v trestních věcech (Eurojust) (Úř. věst. L ...).
Článek 71 k (nový)
Článek 71k
Změny nařízení (EU) 2017/XX o Eurodac
Nařízení Evropského parlamentu a Rady (EU) 2017/... 1a se mění takto:
(1) Články 29, 30, 31 a 39 se zrušují.
(2) Článek 34 se nahrazuje tímto:
1aNařízení Evropského parlamentu a Rady (EU) 2017/... o zřízení systému Eurodac pro porovnávání otisků prstů za účelem účinného uplatňování [nařízení (EU) č. 604/2013, kterým se stanoví kritéria a postupy pro určení členského státu příslušného k posuzování žádosti o mezinárodní ochranu podané státním příslušníkem třetí země nebo osobou bez státní příslušnosti v některém z členských států], za účelem identifikace neoprávněně pobývajícího státního příslušníka třetí země nebo osoby bez státní příslušnosti a o žádostech orgánů pro vymáhání práva členských států a Europolu o porovnání údajů s údaji systému Eurodac pro účely vymáhání práva (Úř. věst. ...)
I. Souvislosti návrhu
V čl. 16 odst. 1 Smlouvy o fungování Evropské unie (SFEU), který byl zaveden Lisabonskou smlouvou, je zakotvena zásada, že každý má právo na ochranu osobních údajů, které se jej týkají. Kromě toho Lisabonská smlouva zavedla v čl. 16 odst. 2 SFEU zvláštní právní základ pro přijetí pravidel pro ochranu osobních údajů. Ochrana osobních údajů je zakotvena jako základní právo v článku 8 Listiny základních práv Evropské unie a v článku 7 je zakotveno právo na respektování soukromého a rodinného života, obydlí a komunikací.
Právo na ochranu osobních údajů se rovněž vztahuje na zpracování osobních údajů orgány, institucemi a jinými subjekty EU. Základem stávajících právních předpisů EU o ochraně osobních údajů v orgánech a institucích Unie je nařízení (ES) č. 45/2001, které bylo přijato v roce 2001 a zaměřovalo se na dva cíle: chránit základní právo na ochranu údajů a zaručit volný pohyb osobních údajů v rámci Unie. Nařízení bylo doplněno rozhodnutím č. 1247/2002/ES.
Dne 27. dubna 2016 Evropský parlament a Rada přijaly obecné nařízení o ochraně osobních údajů (nařízení (EU) 2016/679), které se stane použitelným dne 25. května 2018. Toto nařízení ve svém článku 98 požaduje, aby bylo nařízení (ES) č. 45/2001 uzpůsobeno zásadám a pravidlům stanoveným v obecném nařízení o ochraně osobních údajů s cílem zajistit pevný a soudržný rámec pro ochranu údajů v Unii a umožnit, aby byly oba nástroje použitelné současně. Dne 27. dubna 2016 také Evropský parlament a Rada přijaly směrnici (EU) 2016/680 (dále jen „směrnice“) o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů a o volném pohybu těchto údajů. Tato směrnice poskytuje komplexní rámec pro ochranu osobních údajů v oblasti vymáhání práva. Její článek 62 požaduje, aby byly právní předpisy Unie upravující zpracovávání osobních údajů příslušnými orgány upraveny v souladu s touto směrnicí. Některé agentury Unie působící v oblasti vymáhání práva však mají i nadále samostatné režimy ochrany osobních údajů.
Co největší možné sladění pravidel pro ochranu údajů pro orgány, instituce a jiné subjekty Unie s pravidly přijatými pro členské státy je v souladu se soudržným přístupem k ochraně osobních údajů v rámci celé Unie. Kdekoliv ustanovení návrhu vycházejí ze stejného konceptu jako ustanovení obecného nařízení o ochraně osobních údajů, měla by být vykládána jednotně, neboť režim návrhu by měl být chápán jako rovnocenný režimu obecného nařízení o ochraně osobních údajů.
Přezkum nařízení (ES) č. 45/2001 (dále jen „nařízení“) zahrnuje rovněž výsledky šetření a konzultací se zúčastněnými stranami a hodnotící studii o jeho uplatňování v uplynulých 15 letech.
II. Změny navržené zpravodajkou
Zpravodajka se obecně domnívá, že navrhovaná revize je zásadním krokem směrem k harmonizaci pravidel pro ochranu údajů a poskytuje dobrý základ, se kterým lze dále pracovat.
Je však zklamaná, že se Evropská komise nerozhodla vytvořit plnohodnotný a jednotný nástroj, který by pokrýval veškeré operace zpracování údajů ve všech orgánech, institucích a jiných subjektech Unie, čímž promarnila historickou příležitost vytvořit jednu silnou a jednotnou normu pro ochranu základního práva na ochranu údajů. Zpravodajka se domnívá, že občané Unie si takovou jasnou a jednotnou normu zaslouží, a proto navrhuje vyjasnění rozsahu působnosti tohoto nařízení.
Toto nařízení by se mělo vztahovat na veškeré zpracovávání osobních údajů, které provádějí všechny orgány, instituce a jiné subjekty Unie, aby se zajistil silný a koherentní rámec pro ochranu údajů v celé Unii. Zároveň zpravodajka bere na vědomí, že se normotvůrce dne 27. dubna 2016 rozhodl zvolit přístup ve dvou rovinách, pokud jde o zpracování údajů pro účely vymáhání práva. Pokud bude zpracování osobních údajů pro účely vymáhání práva agenturami Unie v souladu s pravidly stanovenými ve směrnici (EU) 2016/680, měly by i nadále platit samostatné režimy některých agentur, dokud nebudou uvedeny do souladu s tímto nařízením.
Zpravodajka také přistoupila k přísnému sladění této revize nařízení s obecným nařízením o ochraně osobních údajů, aby se oba texty co nejvíce zjednodušily a odpovídaly myšlence, že Unie dodržuje stejné standardy v oblasti ochrany údajů jako členské státy. Zpravodajka proto předložila řadu pozměňovacích návrhů, jejichž cílem je oba nástroje zjednodušit. Rozdíly mezi tímto nařízením a obecným nařízením o ochraně osobních údajů by měly být minimální a dobře odůvodněné.
Co se týče vztahu mezi nařízením (ES) 45/2001 a nařízením (ES) 1049/2001, vydal v posledních letech Evropský soudní dvůr v několika případech rozhodnutí v tom smyslu, že je třeba nalézt rovnováhu mezi oběma základními právy, a implicitně požádal normotvůrce, aby objasnil souvislost mezi článkem 4 nařízení (ES) 1049/2001 a článkem 8 (nyní 9) nařízení (ES) 45/2001. Zpravodajka se rozhodla do textu vnést několik prvků z nedávných soudních případů – Bavarian Lager, Dennekamp, ClientEarth –, kterými v zásadě uvádí prvky stávající judikatury Soudního dvora a jejichž cílem je upřesnit některé aspekty, které Soudní dvůr a generální advokát zmínili v několika rozsudcích.
S ohledem na výkon práv subjektu údajů požaduje obecné nařízení o ochraně osobních údajů, aby bylo omezení výkonu těchto práv založeno na právních aktech. Proto zpravodajka navrhuje, aby byla zrušena možnost, aby výkon práv subjektu údajů mohly omezit orgány, instituce a jiné subjekty Unie svými interními pravidly.
Podle nařízení (ES) 45/2001 musel pověřenec pro ochranu osobních údajů v orgánech Unie vést rejstřík zpracovatelských úkonů. Zpravodajka se domnívá, že je lepší uložit orgánům, institucím a jiným subjektům Unie povinnost vést centrální rejstřík zpracovatelských úkonů. Subjekty údajů by měly mít možnost tento rejstřík konzultovat prostřednictvím pověřence pro ochranu osobních údajů.
Obecné nařízení o ochraně osobních údajů stanoví možnost, aby správci prokázali dodržování tohoto nařízení tím, že uplatňují schválené mechanismy pro vydávání osvědčení nebo kodexy chování. Zpravodajka se domnívá, že kodexy chování nejsou pro státní správu vhodné, ale navrhuje vložit nezbytná ustanovení, která správcům podle tohoto nařízení umožní prokázat dodržování tím, že uplatňují schválené mechanismy pro vydávání osvědčení.
Zpravodajka se domnívá, že příspěvek evropského inspektora ochrany údajů k dodržování ustanovení tohoto nařízení je obrovský, a proto přebírá znění nařízení (ES) 45/2001, které Komisi umožňuje konzultovat evropského inspektora ochrany údajů v přípravných fázích přijímání návrhu, přičemž Komisi ponechává dostatečnou flexibilitu, čímž respektuje její právo podnětu. Zpravodajka konstatuje, že nezávislý dohled nad pravidly pro ochranu údajů je požadavek zakotvený ve Smlouvách. Proto by všechny orgány a instituce, včetně Soudního dvora, měly podléhat nezávislému dohledu ze strany evropského inspektora ochrany údajů. Zpravodajka navrhuje drobnou změnu v procesu jmenování evropského inspektora ochrany údajů, aby byla zachována jeho nezávislost.
Návrh Komise obsahuje ustanovení týkající se důvěrnosti komunikace. Zpravodajka se domnívá, že obecně by se na orgány, instituce a jiné subjekty Unie měly rovněž vztahovat právní předpisy Unie týkající se této záležitosti. V tomto případě by měla být vložena pouze další pravidla pro upřesnění a doplnění obecného rámce. Tato pravidla by měla být součástí odděleného oddílu tohoto textu.
A konečně, zpravodajka vítá uvedení možnosti, aby evropský inspektor ochrany údajů uložil pokutu těm orgánům, institucím a jiným subjektům Unie, které nedodrží přísná ustanovení tohoto nařízení, čímž vysílá jasný signál subjektům údajů a od Unie vyžaduje dodržení stejně vysokých morálních a právních závazků jako od správních orgánů členských států.
STANOVISKO Výboru pro právní záležitosti (5.10.2017)
k návrhu nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES
Zásada, že každý má právo na ochranu osobních údajů, které se jej týkají, je stanovena v čl. 16 odst. 1 Smlouvy o fungování Evropské unie (SFEU). V čl. 16 odst. 2 SFEU je zaveden zvláštní právní základ pro přijetí pravidel pro ochranu osobních údajů. Kromě toho je ochrana osobních údajů zakotvena jako základní právo v článku 8 Listiny základních práv Evropské unie.
Právo na ochranu osobních údajů se rovněž vztahuje na zpracování osobních údajů orgány, institucemi a jinými subjekty EU. Základem stávajících právních předpisů EU o ochraně osobních údajů v orgánech a institucích Unie je nařízení (ES) č. 45/2001, které bylo přijato v roce 2001 a zaměřovalo se na dva cíle: chránit základní právo na ochranu údajů a zaručit volný pohyb osobních údajů v rámci Unie.
Evropský parlament a Rada přijaly dne 27. dubna 2016 nařízení (EU) 2016/697 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Obecné nařízení o ochraně osobních údajů se použije ode dne 25. května 2018. Toto nařízení požaduje, aby bylo nařízení (ES) č. 45/2001 uzpůsobeno zásadám a pravidlům stanoveným v nařízení (EU) 2016/679 s cílem zajistit pevný a soudržný rámec pro ochranu údajů v Unii a umožnit, aby byly oba nástroje použitelné současně.
V návrhu Komise stanovila změny nezbytné k tomu, aby mohlo být nařízení z roku 2001 uzpůsobeno obecnému nařízení o ochraně osobních údajů spravedlivým a vyváženým způsobem. V jednom případě se však návrh od obecného nařízení o ochraně osobních údajů neodůvodněně odchyluje, a sice pokud jde o věk pro souhlas u nezletilých osob.
(1) Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“) a čl. 16 odst. 1 Smlouvy o fungování Evropské unie (dále jen „SFEU“) přiznávají každému právo na ochranu osobních údajů, které se jej týkají. Toto právo zaručuje také článek 8 Evropské úmluvy o lidských právech.
(2) Nařízení Evropského parlamentu a Rady (ES) č. 45/200111přiznává fyzickým osobám právně vymahatelná práva, vymezuje povinnosti správců údajů při zpracovávání údajů v orgánech a subjektech Společenství a vytváří nezávislý dozorový orgán, evropského inspektora ochrany údajů, který zodpovídá za dozor nad zpracováním osobních údajů orgány a subjekty Unie. Nevztahuje se však na zpracování osobních údajů při činnostech orgánů a subjektů Unie, které nespadají do působnosti práva Unie.
(2) Nařízení Evropského parlamentu a Rady (ES) č. 45/200111 přiznává fyzickým osobám právně vymahatelná práva, vymezuje povinnosti správců údajů při zpracovávání údajů v orgánech a subjektech Společenství a vytváří nezávislý dozorový orgán, evropského inspektora ochrany údajů, který zodpovídá za dozor nad zpracováním osobních údajů orgány a subjekty Unie. Nařízení Evropského parlamentu a Rady (ES) č. 45/2001 má přitom dva cíle: ochranu základního práva na ochranu údajů a zaručení volného pohybu osobních údajů v rámci Unie. Nevztahuje se však na zpracování osobních údajů při činnostech orgánů a subjektů Unie, které nespadají do působnosti práva Unie.
11 Nařízení Evropského parlamentu a Rady (ES) č. 45/2001 ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů (Úř. věst. L 8, 12.1.2001, s. 1).
(5) V zájmu soudržného přístupu k ochraně osobních údajů v rámci celé Unie je, aby byla sladěna pravidla pro ochranu údajů pro orgány, subjekty, úřady a agentury Unie s pravidly přijatými pro veřejný sektor v členských státech. Kdekoliv ustanovení tohoto nařízení vycházejí ze stejného konceptu jako ustanovení nařízení (EU) 2016/679, měla by být obě ustanovení podle judikatury Soudního dvora Evropské unie1a vykládána jednotně, neboť režim tohoto nařízení by měl být chápán zejména jako rovnocenný režimu nařízení (EU) 2016/679.
1a Srov. rozsudek Soudního dvora ze dne 9. března 2010, Komise v. Německo, C-518/07, ECLI:EU:C:2010:125, body 26 a 28.
(10) Jestliže zřizovací akt subjektu Unie vykonávajícího činnosti, které spadají do působnosti kapitol 4 a 5 hlavy V Smlouvy, stanoví samostatný režim ochrany údajů pro zpracování operativních osobních údajů, neměl by být takový režim tímto nařízením dotčen. Komise by však měla v souladu s článkem 62 směrnice (EU) 2016/680 přezkoumat akty Unie, které upravují zpracování údajů příslušnými orgány pro účely prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, a v případě potřeby učinit nezbytné návrhy na změnu těchto aktů, aby byl zaručen soudržný přístup k ochraně osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce.
(10) Jestliže zřizovací akt subjektu Unie vykonávajícího činnosti, které spadají do působnosti kapitol 4 a 5 hlavy V Smlouvy, stanoví samostatný režim ochrany údajů pro zpracování operativních osobních údajů, neměl by být takový režim tímto nařízením dotčen, pokud jsou v souladu s ustanoveními nařízení (EU) č. 2016/679. Komise by však měla v souladu s článkem 62 směrnice (EU) 2016/680 přezkoumat akty Unie, které upravují zpracování údajů příslušnými orgány pro účely prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, a v případě potřeby učinit nezbytné návrhy na změnu těchto aktů, aby byl zaručen soudržný přístup k ochraně osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce.
Každý režim ochrany údajů musí být v souladu s obecným nařízením o ochraně osobních údajů.
(14) Souhlas by měl být dán jednoznačným potvrzením, které je vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to v podobě písemného prohlášení, i učiněného elektronicky, nebo ústního prohlášení. Mohlo by se například jednat o zaškrtnutí políčka při návštěvě internetové stránky, volbu technického nastavení pro služby informační společnosti nebo jiné prohlášení či jednání, které v této souvislosti jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas. Souhlas by se měl vztahovat na veškeré činnosti zpracování prováděné pro stejný účel nebo stejné účely. Jestliže má zpracování několik účelů, měl by být souhlas udělen pro všechny. Má-li subjekt údajů vyjádřit souhlas na základě žádosti podané elektronickými prostředky, musí být žádost jasná a stručná a nesmí zbytečně narušit využívání služby, pro kterou je souhlas dáván. Subjekt údajů by měl mít nicméně právo svůj souhlas kdykoliv odvolat, což nemá vliv na zákonnost zpracování prováděného na základě souhlasu vydaného před jeho odvoláním.
(18) Právo Unie by mělo být jasné a přesné a jeho použití by mělo být předvídatelné pro osoby, na něž se vztahuje, jak to vyžaduje judikatura Soudního dvora Evropské unie a Evropského soudu pro lidská práva.
(23) Osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. Takové osobní údaje by se neměly zpracovávat, pokud není jejich zpracování povoleno ve zvláštních případech uvedených v tomto nařízení. Mezi tyto osobní údaje by měly patřit osobní údaje vypovídající o rasovém či etnickém původu, ovšem s tím, že použití slov „rasový původ“ v tomto nařízení neznamená, že Unie akceptuje teorie, které se pokoušejí určit existenci různých lidských ras. Zpracování fotografií by nemělo být systematicky považováno za zpracování zvláštních kategorií osobních údajů, neboť na fotografie se definice biometrických údajů vztahuje pouze v případech, kdy jsou zpracovávány zvláštními technickými prostředky umožňujícími jedinečnou identifikaci nebo autentizaci fyzické osoby. Společně se zvláštními požadavky na zpracování citlivých údajů by se měly uplatňovat obecné zásady a další pravidla tohoto nařízení, zejména pokud jde o podmínky pro zákonné zpracování. Odchylky od obecného zákazu zpracování těchto zvláštních kategorií osobních údajů by měly být výslovně stanoveny mimo jiné v případě, kdy subjekt údajů poskytuje svůj výslovný souhlas nebo jde-li o zvláštní potřeby, zejména pokud je toto zpracování prováděno v průběhu oprávněných činností některých sdružení či nadací, jejichž cílem je umožnit výkon základních svobod.
(23a) Zvláštní kategorie osobních údajů, které si zasluhují vyšší ochranu, by měly být zpracovávány pouze pro zdravotní účely, pokud je to nezbytné k dosažení těchto účelů ve prospěch fyzických osob a společnosti jako celku, zejména v souvislosti s řízením služeb a systémů zdravotní nebo sociální péče. Toto nařízení by proto mělo stanovit harmonizované podmínky pro zpracování zvláštních kategorií osobních údajů týkajících se zdraví, ve vztahu ke zvláštním potřebám, zejména pokud zpracování těchto údajů provádějí pro určité zdravotní účely osoby podléhající povinnosti zachovávat profesní tajemství. Právní předpisy Unie by měly stanovit konkrétní a vhodná opatření na ochranu základních práv a osobních údajů fyzických osob.
(24) Z důvodů veřejného zájmu v oblasti veřejného zdraví může být nezbytné zpracovávat zvláštní kategorie osobních údajů bez souhlasu subjektu údajů. Toto zpracování by mělo podléhat vhodným a zvláštním opatřením s cílem chránit práva a svobody fyzických osob. V této souvislosti by mělo být „veřejné zdraví“ vykládáno ve smyslu definice v nařízení Evropského parlamentu a Rady (ES) č. 1338/200815, totiž jako veškeré prvky týkající se zdraví, zejména zdravotní stav včetně nemocnosti a zdravotního postižení, determinanty ovlivňující tento zdravotní stav, potřeby zdravotní péče, prostředky přidělené na zdravotní péči, poskytování zdravotní péče a její všeobecná dostupnost, výdaje na zdravotní péči a její financování a příčiny úmrtnosti. Takové zpracování údajů o zdravotním stavu z důvodu veřejného zájmu by nemělo vést k tomu, aby třetí strany zpracovávaly osobní údaje pro jiné účely.
(24) Z důvodů veřejného zájmu v oblasti veřejného zdraví může být nezbytné zpracovávat zvláštní kategorie osobních údajů bez souhlasu subjektu údajů. Toto zpracování by mělo podléhat přiměřeným, vhodným a zvláštním opatřením s cílem chránit práva a svobody fyzických osob. V této souvislosti by mělo být „veřejné zdraví“ vykládáno ve smyslu definice v nařízení Evropského parlamentu a Rady (ES) č. 1338/200815, totiž jako veškeré prvky týkající se zdraví, zejména zdravotní stav včetně nemocnosti a zdravotního postižení, determinanty ovlivňující tento zdravotní stav, potřeby zdravotní péče, prostředky přidělené na zdravotní péči, poskytování zdravotní péče a její všeobecná dostupnost, výdaje na zdravotní péči a její financování a příčiny úmrtnosti. Takové zpracování údajů o zdravotním stavu z důvodu veřejného zájmu by nemělo vést k dalšímu zpracování pro jiné účely.
Údaje týkající se zdraví jsou zvláště citlivé a zpracování takových citlivých údajů vyžaduje omezení na absolutní minimum. Tyto údaje se zejména nesmí dostat ke třetím stranám, které by je dále zpracovávaly.
Bod odůvodnění 37 – odst. 1
Bod odůvodnění 37 – odst. 2
(42) Aby doložili soulad s tímto nařízením, měli by správci vést záznamy o činnostech zpracování, za které odpovídají, a zpracovatelé by měli vést záznamy o kategoriích činností zpracovávání, za které odpovídají. Orgány a subjekty Unie by měly být povinny spolupracovat s evropským inspektorem ochrany údajů a na jeho žádost mu tyto záznamy zpřístupnit, aby na jejich základě mohly být tyto operace zpracování monitorovány. Orgány a subjekty Unie by měly mít možnost vytvořit centrální rejstřík záznamů svých činností zpracování. Z důvodů transparentnosti by měly tento rejstřík zpřístupnit veřejnosti. Subjekty údajů by měly mít možnost do tohoto registru nahlížet prostřednictvím pověřence pro ochranu osobních údajů spadajícího pod správce.
(46) Správce by měl porušení zabezpečení osobních údajů oznámit subjektu údajů bez zbytečného prodlení, pokud je pravděpodobné, že toto porušení bude mít za následek vysoké riziko pro práva a svobody fyzické osoby, aby mohl učinit nezbytná opatření. V oznámení by měla být popsána povaha daného případu porušení zabezpečení osobních údajů a obsažena doporučení pro dotčenou fyzickou osobu, jak případné nežádoucí účinky zmírnit. Tato oznámení by měla být subjektům údajů učiněna, jakmile je to proveditelné, v úzké spolupráci s evropským inspektorem ochrany údajů a v souladu s pokyny tohoto úřadu nebo jiných příslušných orgánů (například donucovacích orgánů).
(46) Správce by měl porušení zabezpečení osobních údajů oznámit subjektu údajů bez zbytečného prodlení, pokud je pravděpodobné, že toto porušení bude mít za následek vysoké riziko pro práva a svobody fyzické osoby, aby mohl učinit nezbytná opatření. V oznámení, které by mělo být důvěrné, by měla být popsána povaha daného případu porušení zabezpečení osobních údajů a obsažena doporučení pro dotčenou fyzickou osobu, jak případné nežádoucí účinky zmírnit. Tato oznámení by měla být subjektům údajů učiněna, jakmile je to proveditelné, v úzké spolupráci s evropským inspektorem ochrany údajů a v souladu s pokyny tohoto úřadu nebo jiných příslušných orgánů (například donucovacích orgánů).
(52) Pokud jsou osobní údaje předávány z orgánů a subjektů Unie správcům, zpracovatelům nebo jiným příjemcům ve třetích zemích nebo v mezinárodních organizacích, měla by být zaručena úroveň ochrany fyzických osob zajištěná v Unii tímto nařízením, a to i v případech dalšího předání osobních údajů ze třetí země nebo mezinárodní organizace správcům nebo zpracovatelům ve stejné nebo jiné třetí zemi nebo mezinárodní organizaci. V každém případě lze předání do třetích zemí a mezinárodním organizacím provést pouze v plném souladu s tímto nařízením, nařízením (EU) 2016/679 a za plného dodržování základních práv a svobod zakotvených v Listině. K předání by mělo docházet pouze tehdy, pokud s výhradou ostatních ustanovení tohoto nařízení správce nebo zpracovatel splňují podmínky stanovené v tomto nařízení vztahující se na předávání osobních údajů do třetích zemí nebo mezinárodním organizacím.
Bod odůvodnění 54
(54) Nebude-li přijato rozhodnutí o odpovídající ochraně, měl by správce nebo zpracovatel v zájmu odstranění nedostatků v oblasti ochrany údajů ve třetí zemi přijmout opatření, která subjektu údajů poskytnou vhodné záruky. Tyto vhodné záruky mohou spočívat ve využívání standardních doložek o ochraně údajů přijatých Komisí, standardních doložek o ochraně údajů přijatých evropským inspektorem ochrany údajů nebo smluvních doložek jím schválených. V případě, že zpracovatel není orgánem nebo subjektem Unie, mohou tyto vhodné záruky sestávat rovněž ze závazných podnikových pravidel, kodexů chování a mechanismů pro vydávání osvědčení používaných pro mezinárodní předávání podle nařízení (EU) 2016/679. Tyto záruky by měly zajistit splnění požadavků na ochranu údajů a dodržení práv subjektů údajů v rozsahu odpovídajícím zpracování v Unii, včetně dostupnosti vymahatelných práv subjektu údajů a účinné právní ochrany, včetně práva na účinnou správní nebo soudní ochranu a na požadování náhrady škody v Unii nebo ve třetí zemi. Měly by se týkat zejména souladu s obecnými zásadami pro zpracování osobních údajů a zásad záměrné a standardní ochrany osobních údajů. Předání mohou být rovněž provedena ze strany orgánů a subjektů Unie orgánům veřejné moci nebo veřejným subjektům ve třetích zemích nebo mezinárodním organizacím s odpovídajícími povinnostmi nebo funkcemi, a to i na základě ustanovení, která mají být vložena do správních ujednání, jako je memorandum o porozumění, a která stanoví vymahatelná a účinná práva subjektů údajů. Povolení evropského inspektora ochrany údajů by mělo být obdrženo, jestliže jsou záruky stanoveny ve správních ujednáních.
1. Toto nařízení stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a pravidla týkající se volného pohybu osobních údajů mezi nimi nebo mezi nimi a příjemci, kteří jsou usazeni v Unii a na které se vztahuje nařízení (EU) 2016/67918 nebo ustanovení vnitrostátních předpisů přijatých podle směrnice (EU) 2016/68019.
1. Toto nařízení stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a pravidla týkající se volného pohybu osobních údajů mezi nimi nebo mezi nimi a příjemci, kteří jsou usazeni v Unii.
18 Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Text s významem pro EHP), Úř. věst. L 119, 4.5.2016, s. 1–88.
19 Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV, Úř. věst. L 119, 4.5.2016, s. 89–131.
2a. Toto nařízení se rovněž použije na agentury Unie, které provádějí činnosti spadající do působnosti kapitoly 4 a 5 hlavy V třetí části SFEU, včetně případů, kdy zakládající akty těchto agentur Unie stanoví samostatný režim ochrany údajů pro zpracování operativních osobních údajů. Ustanovení tohoto nařízení mají přednost před protichůdnými ustanoveními zakládajících aktů těchto agentur Unie.
d) přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby nepřesné nebo neúplné osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které jsou zpracovávány, byly bezodkladně vymazány nebo opraveny („přesnost“);
Podmínky použitelné na souhlas dětí v souvislosti se službami informační společnosti
Tento termín se používá také v článku 8 obecného nařízení o ochraně osobních údajů a měl by se zde používat důsledně.
(1) Pokud se použije čl. 5 odst. 1 písm. d) v souvislosti s nabídkou služeb informační společnosti přímo dítěti, je zpracování osobních údajů dítěte zákonné, je-li dítě ve věku nejméně 13 let. Je-li dítě mladší 13 let, je takové zpracování zákonné pouze tehdy a do té míry, pokud byl tento souhlas vyjádřen nebo schválen osobou, která vykonává rodičovskou zodpovědnost k dítěti.
(1) 1.Pokud se použije čl. 5 odst. 1 písm. d) v souvislosti s nabídkou služeb informační společnosti přímo dítěti, je zpracování osobních údajů dítěte zákonné, je-li dítě ve věku nejméně 16 let. Je-li dítě mladší 16 let, je takové zpracování zákonné pouze tehdy a do té míry, pokud byl tento souhlas vyjádřen nebo schválen osobou, která vykonává rodičovskou zodpovědnost k dítěti.
Předávání osobních údajů jiným příjemcům, než jsou orgány a subjekty Unie, kteří jsou usazeni v Unii a na které se vztahuje nařízení (EU) 2016/679 nebo směrnice (EU) 2016/680
Předávání osobních údajů jiným příjemcům, než jsou orgány a subjekty Unie, kteří jsou usazeni v Unii.
b) předání údajů je vzhledem k cílům příjemce nezbytně nutné a není žádný důvod domnívat se, že požadovaným předáním údajů nebo dalším využitím těchto osobních údajů příjemcem, které lze odůvodněně očekávat, mohou být poškozeny práva a svobody a oprávněné zájmy subjektu údajů.
Zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů či souvisejících bezpečnostních opatření na základě čl. 5 odst. 1 se může provádět, pouze pokud je oprávněné podle práva Unie, poskytujícího vhodné záruky, pokud jde o práva a svobody subjektů údajů.
b) se ukáže, že poskytnutí takových informací není možné nebo by vyžadovalo nepřiměřené úsilí; to platí zejména v případě zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely, nebo pokud je pravděpodobné, že uplatnění povinnosti uvedené v odstavci 1 tohoto článku by znemožnilo nebo výrazně ztížilo dosažení cílů uvedeného zpracování. V takovýchto případech přijme správce vhodná opatření na ochranu práv, svobod a oprávněných zájmů subjektu údajů, včetně zpřístupnění daných informací veřejnosti;
1. Právní akty přijaté na základě Smluv mohou omezit použití článků 14 až 22, 34 a 38, jakož i článku 4, v rozsahu, v jakém jejich ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
Pozměňovací návrh usiluje o přizpůsobení ustanovení tohoto nařízení ustanovením obecného nařízení o ochraně osobních údajů, a to na základě stanoviska evropského inspektora ochrany údajů.
d) vnitřní bezpečnost orgánů a subjektů Unie, včetně jejich sítě elektronických komunikací;
d) vnitřní bezpečnost orgánů a subjektů Unie, včetně jejich IT a sítě elektronických komunikací;
1a. Každý právní akt uvedený v odstavci 1 obsahuje v příslušných případech přinejmenším konkrétní ustanovení, pokud jde o:
d) záruky k zamezení zneužívání nebo protiprávního přístupu nebo předávání;
e) specifikaci správce nebo kategorií správců;
f) dobu uchovávání a použitelné záruky s přihlédnutím k povaze, rozsahu a účelům zpracování nebo kategorií zpracování;
g) posouzení rizik pro práva a svobody subjektů údajů; a
h) právo subjektů údajů být informován o omezení, pokud to neohrozí účel omezení.
4. Jsou-li osobní údaje zpracovávány pro účely archivace ve veřejném zájmu, může právo Unie, včetně vnitřních předpisů, stanovit odchylky od práv uvedených v článcích 17, 18, 20, 21, 22 a 23, s výhradou podmínek a záruk uvedených v článku 13, pokud je pravděpodobné, že by daná práva znemožnila nebo vážně ohrozila splnění zvláštních účelů, a tyto odchylky jsou pro splnění těchto účelů nezbytné.
8. Poskytování informací uvedených odst. 6 a 7 a v čl. 46 odst. 2 lze odložit, vynechat nebo odepřít, pokud by to zrušilo účinek omezení uloženého podle odstavců 1.
(5) Orgány a subjekty Unie mohou rozhodnout uchovávat své záznamy o zpracování v centrálním rejstříku. V takovém případě mohou rovněž rozhodnout, že rejstřík bude veřejně přístupný.
(5) Orgány a subjekty Unie uchovávají své záznamy o zpracování v centrálním rejstříku. Pro větší transparentnost by měly rovněž rejstřík veřejně zpřístupnit, aby do něj mohl dotčený jedinec nahlížet, aniž by touto konzultací byla dotčena práva jiných zúčastněných stran.
5a. Subjekty údajů mají možnost nahlížet do centrálního rejstříku uvedeného v odstavci 5 prostřednictvím pověřence pro ochranu osobních údajů spadajícího pod správce.
Orgány a subjekty Unie zajistí důvěrnost elektronických komunikací v souladu s nařízením (EU) 2017/XXXX.
Konkrétním legislativním návrhem týkajícím se důvěrnosti elektronických komunikací bude nařízení vycházející z návrhu Komise COM (2017)0010, a proto by zde měl být uveden.
2. Jestliže akt uvedený v odstavci 1 má zvláštní význam pro ochranu práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů, může Komise rovněž konzultovat Evropský sbor pro ochranu osobních údajů. V takových případech evropský inspektor ochrany údajů a Evropský sbor pro ochranu údajů koordinují svou práci s cílem vydat společné stanovisko.
2. Jestliže akt uvedený v odstavci 1 má zvláštní význam pro ochranu práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů, Komise rovněž konzultuje Evropský sbor pro ochranu osobních údajů. V takových případech evropský inspektor ochrany údajů a Evropský sbor pro ochranu údajů koordinují svou práci s cílem vydat společné stanovisko.
4. Pověřenec pro ochranu osobních údajů je pracovníkem orgánu, instituce, úřadu nebo agentury Unie.
Outsourcing funkce pověřence pro ochranu osobních údajů se nezdá být pro instituci Unie vhodný.
Čl. 46 – odst. 1 – písm. b a (nové)
ba) zajištění toho, aby operace zpracování neměly negativní dopad na základní práva a svobody subjektů údajů;
1. Předávání osobních údajů do určité třetí země nebo určité mezinárodní organizaci se může uskutečnit, jestliže Komise přijala prováděcí akt podle čl. 45 odst. 3 nařízení (EU) 2016/679, jež stanovuje, že tato třetí země, určité území nebo jedno či více konkrétních odvětví v této třetí zemi, nebo tato mezinárodní organizace zajišťují odpovídající úroveň ochrany a osobní údaje jsou předány pouze s cílem umožnit plnění úkolů, na které se vztahuje pravomoc správce. Prováděcí akt stanoví mechanismus pravidelného přezkumu prováděného nejméně jednou za čtyři roky, který zohlední veškerý relevantní vývoj ve třetí zemi nebo v mezinárodní organizaci. V prováděcím aktu se dále uvádí jeho územní a odvětvové použití a orgán dohledu. Použije se kapitola V nařízení (EU) 2016/679.
Pravidla týkající se předávání osobních údajů do třetích zemí nebo institucím ve třetích zemích musí být v souladu s příslušnými pravidly obecného nařízení o ochraně osobních údajů, aby nevznikaly mezery nebo právní nesrovnalosti. Zejména je třeba zdůraznit mechanismus přezkumu.
Čl. 63 – odst. 1 a (nový)
1a. V případech, kdy je subjektem údajů dítě, stanoví členské státy zvláštní záruky, zejména pokud jde o právní pomoc.
Děti mohou být zranitelnější než dospělí a členské státy by měly stanovit zvláštní ochranné doložky, zejména pokud jde o zajištění právní pomoci, s cílem zajistit práva dětí.
Článek 72 a (nový)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi, úřady a agenturami Unie a volný pohyb těchto údajů