Source: https://tablet.epravo.cz/epm-4-17/strana-51
Timestamp: 2018-09-19 05:49:28+00:00
Document Index: 32543883

Matched Legal Cases: ['čl. 4', 'čl. 2', 'čl. 5', 'čl. 6', 'čl. 83', '§ 62', '§ 11', 'čl. 13', 'zákona č. 127', 'čl. 33', 'Čl. 30', 'Čl. 35', 'Čl. 37', 'Čl. 10', 'Čl. 33', 'Čl. 68', 'Čl. 35']

Strana 51 | EPM 4/17 | EPRAVO.CZ Reader
účinky (automatické rozhodování u žádostí o úvěr ve webové aplikaci banky), (iii) systematické monitorování subjektů údajů (gps navigace), (iv) zpracování citlivých údajů (zdrav. stav, ale také údaje o platební kartě, o poloze, údaje z elektronické komunikace), (v) zpracování osobních údajů ve velkém rozsahu (banky), (vi) kombinování osobních údajů z různých datových sad (koncerny), (vii) zpracování osobních údajů týkajících se zvlášť zranitelných osob (zaměstnanec, dítě), (viii) inovativní užití technol. nebo org. řešení (drony), (ix) bránění subjektům údajů v uplatňování svých práv v používání služby či uzavření smlouvy (vynucený souhlas). Pro posouzení povinnosti jmenovat pověřence pro ochranu osobních údajů u soukromoprávních subjektů je stěžejní výklad neurčitých pojmů systematické a rozsáhlé monitorování. Dle Vodítek WP29 k funkci pověřence[21] „systematičnost“ nastává v případě splnění jedné z následujících podmínek zpracování: (i) vyskytující se podle určitého systému, (ii) přednastavené, organizované nebo metodické, (iii) uskutečňující se jako součást plánu pro sběr dat nebo (iv) vykonávané jako součást strategie. „Rozsáhlé operace zpracování“ mají sloužit ke zpracování značného množství osobních údajů na regionální, celostátní nebo nadnárodní úrovni. Podle vodítek je nutné vzít do úvahy: (i) počet dotčených subjektů údajů, (ii) objem a rozsah dat, (iii) dobu trvání a nepřetržitost zpracování a (iv) územní rozsah zpracování. Systematickým a rozsáhlým monitorováním bude zásadně zpracování osobních údajů pacientů nemocnice, cestujících MHD využívajících el. peněženku, klientů banky využívajících platební kartu nebo int. bankovnictví, poskytovateli internetu nebo monitorování návštěvníků webu skrze cookies. Rozsáhlým zpracováním naopak nebude zpracování osobních údajů pacientů samostatným lékařem. Správcům a zpracovatelům lze doporučit, aby v případech, kdy na základě svého posouzení nejsou povinni plnit některou z povinností dle GDPR (např. jmenovat pověřence), zpracovali dokument obsahující rozhodné skutečnosti a jejich argumentaci. Lze shrnout, že ačkoliv GDPR přináší do oblasti ochrany osobních údajů některé zcela nové instituty (posouzení vlivu, pověřenec), ve své většině navazuje na současnou českou právní úpravu představovanou zákonem č. 101/2000 Sb., přičemž dochází k upřesnění a bližší specifikaci zažitých pojmů v návaznosti na dosavadní rozhodovací praxi.
.................................................................................................................... Mgr. Ing. Eva Crháková, advokátní koncipient JUDr. Jakub Jeřábek, advokát MT Legal s.r.o., advokátní kancelář
Poznámky: [1] Označení GDPR z anglického „General Data Protection Regulation“. [2] Viz např. z http://www.havelholasek.cz/akademie/vzdelavaci-akce/ revoluce-v-ochrane-osobnich-udaju, https://www.komora.cz/event/ gdpr-revoluce-ochrane-osobnich-udaju/. [3] Srovnej také vyjádření ÚOOÚ viz https://www.uoou.cz/desatero-omylu-o-nbsp-gdpr/d-23799/p1=4720. [4] Srovnej čl. 4 GDPR a čl. 2 Směrnice 95/46/ES. [5] Např. přidání síťových identifikátorů do definice osobního údaje v návaznosti na Rozsudek Soudního dvora EU ze dne 19. října 2016 ve věci C-213/15: Patrick Breyer proti Spolkové republice Německo. [6] Srovnej čl. 5 a 6 GDPR a čl. 6 a7 Směrnice 95/46/ES. [7] V České republice Úřad pro ochranu osobních údajů (dále jen „ÚOOÚ“). [8] Srovnej čl. 83 odst. 7 GDPR a § 62 návrhu nového zákona o zpracování osobních údajů. Dostupný z https://apps.odok.cz/veklep-detail?pid=KORNAQCDZPW5. [9] Liebreich, Jiří. Šéfka Úřadu pro ochranu osobních údajů: Vysokými pokutami chceme firmy odrazovat, ne likvidovat. E15.cz [online]. 2017 [cit. 2017-10-26]. Dostupné z: http://nazory.e15.cz/rozhovory/sefka-uradu-pro-ochranu-osobnich-udaju-vysokymi-pokutami-chceme-firmy-odrazovat-ne-likvidovat-1334926. [10] § 11 ZOOÚ, čl. 13, 14 GDPR. [11] Povinnost ohlásit porušení zabezpečení osobních údajů platí od 1. ledna 2012 pro poskytovatele služeb elektronických komunikací podle zákona č. 127/2005 Sb., ve znění pozdějších předpisů. Nově pro všechny správce podle čl. 33, 34 GDPR. [12] Čl. 30 GDPR. [13] Čl. 35 – 36 GDPR. [14] Čl. 37 – 39 GDPR. [15] Čl. 10 odst. 2 a 3 Listiny základních práv a svobod ČR. [16] Čl. 33 – 34 GDPR. [17] Čl. 68 a násl. GDPR. [18] Dostupné z http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083, překlady do českého jazyka průběžně uveřejňuje ÚOOÚ na svých stránkách dostupných z https://www.uoou.cz/pracovni-skupina-wp29-k-gdpr/ds-4728/p1=4728. [19] Čl. 35 odst. 3 GDPR. [20] Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is „likely to result in a high risk“ for the purposes of Regulation 2016/679, wp248rev.01, dostupné z http:// ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083, str. 8 – 11. Posouzení vlivu správcem podle vodítek je nutné např. při užití kamerového systému monitorujícího chování řidičů na dálnicích využívajícího sledování automobilů na základě skenování SPZ (jedná se o systematické monitorování podle bodu iii) a zároveň inovativní užití technologií podle bodu viii). [21] Dostupné z Guidelines on Data Protection Officers (‚DPOs‘), wp243rev.01, český překlad ÚOOÚ dostupný z https://www.uoou.cz/ assets/File.ashx?id_org=200144&id_dokumenty=23463.
www.epravo.cz I EPRAVO.CZ Magazine I 4/2017 I 49