Source: https://tablet.epravo.cz/epm-4-17/strana-43
Timestamp: 2019-05-25 01:32:55+00:00
Document Index: 59261517

Matched Legal Cases: ['čl. 12', 'čl. 13', 'čl. 17', 'čl. 30', 'čl. 35', 'čl. 36']

Strana 43 | EPM 4/17 | EPRAVO.CZ Reader
povinností v oblasti sociálního a zdravotního pojištění, výpočtu mzdy či informační povinnosti vůči státním orgánům, nebo které je nezbytné provést před uzavřením pracovní smlouvy v rámci procesu přijímání nových zaměstnanců. V praxi je častá otázka, zda správci a zpracovatelé budou povinni získat od subjektů údajů nové souhlasy se zpracováním osobních údajů. K tomu lze uvést, že daný postup nebude nezbytný v případech, kdy stávající souhlasy odpovídají požadavkům nařízení GDPR. Je proto podstatné, aby zaměstnavatelé provedli v rámci auditu svých systémů zpracování rovněž kontrolu a analýzu již získaných souhlasů subjektů údajů, jejich obsahu, formy a způsobu získání.
Práva subjektů údajů Nejenom při udělování souhlasu se zpracováním osobních údajů by subjekt údajů měl být poučen o právech, která mu v souvislosti se zpracováním jeho osobních údajů náleží (viz čl. 12 a čl. 13 nařízení GDPR). Tato informace by přitom měla být stručná, srozumitelná a snadno přístupná použitím jasného a jednoduchého jazyka. Kromě stávajících práv, tj. • práva na přístup k vlastním osobním údajům a informacím o jejich zpracování, • práva na opravu či omezení zpracování (dle stávající terminologie blokace) osobních údajů, • práva na výmaz osobních údajů (které nařízení GDPR však dále podrobně upravuje), • práva vznést námitku proti zpracování osobních údajů a práva nestát se předmětem automatizovaného rozhodnutí,[2] subjektům údajů dle nařízení GDPR náleží zcela nové právo na přenositelnost údajů. Jedná se o možnost subjektu údajů za stanovených podmínek získat osobní údaje, které se ho týkají a jež poskytl správci, a to ve strukturovaném, běžně dostupném a strojově čitelném formátu, a dále tyto údaje předat jinému správci (např. dalšímu zaměstnavateli). Je-li to technicky proveditelné, subjekt údajů může žádat i přímé předání osobních údajů jedním správcem správci druhému. K právu na přenositelnost údajů se vyjádřila i pracovní skupina WP29 v podobě výkladového materiálu.[3] Právo na výmaz/„právo být zapomenut“ je v nařízení GDPR podrobně upraveno v návaznosti na dříve přijatou judikaturu soudních institucí Evropské unie. Jedná se o povinnost správce zlikvidovat osobní údaje, je-li naplněn jeden z vymezených důvodů (viz čl. 17 nařízení GDPR). Zaměstnavatel tak bude povinen vymazat osobní údaje zaměstnance např. v případě, kdy osobní údaje již nebude potřebovat pro původní účely zpracování. Právo na výmaz však není bezvýjimečné, a zaměstnavatel si vyhodnotí, zda nebo do jaké míry se v konkrétním případě uplatní některá z výjimek. Dle nařízení GDPR pro práva subjektů údajů obecně platí, že správce usnadňuje jejich výkon subjektům údajů, např. zpřístup-
něním různých formulářů pro uplatnění práv. Rovněž platí, že veškerá sdělení a veškeré úkony v souvislosti s uplatněním práv činí správci a zpracovatelé vůči subjektu údajů bezplatně, ledaže je žádost subjektu údajů zjevně nedůvodná, nepřiměřená nebo se často opakuje.
Záznamy zpracování a DPIA Nařízení GDPR již nově neupravuje povinnost správců předem oznámit započetí zpracování osobních údajů či jeho změnu Úřadu pro ochranu osobních údajů („ÚOOÚ“). Zdánlivé administrativní zjednodušení však nařízení GDPR vyvažuje zavedením jiných povinností. Jedná se zejména o povinnost správců a zpracovatelů vést záznamy o činnostech zpracování (viz čl. 30 nařízení GDPR) a povinnost za stanovených podmínek provést posouzení vlivu na ochranu osobních údajů a v návaznosti na to případně projít předchozí konzultací s dozorovým úřadem (viz čl. 35 a čl. 36 nařízení GDPR).
Záznamy Povinnost vést záznamy o zpracování osobních údajů se vztahuje na správce i na zpracovatele, kteří zaměstnávají 250 nebo více osob, nebo na správce a zpracovatele, u nichž zpracování představuje pravděpodobně riziko pro práva a svobody subjektů údajů, nebo u nichž není příležitostné, anebo zahrnuje zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů či zvláštních kategorií osobních údajů, tj. citlivých údajů – u zaměstnanců by se mohlo jednat např. o údaje o členství v odborové organizaci. Lze se domnívat, že povinnost vést záznamy o zpracování bude dopadat na všechny zaměstnavatele, neboť osobní údaje zpracovávají z povahy věci standardně a opakovaně, nikoliv jenom příležitostně, a někteří zaměstnavatelé mohou zpracovávat i údaje o členství v odborové organizaci.[4] Předmětem záznamové povinnosti je vedení písemných záznamů (přípustná je i elektronická forma) o jednotlivých činnostech a úkonech zpracování osobních údajů, přičemž vyžadovaný obsah záznamů je obdobný obsahu dřívější oznamovací povinnosti vůči ÚOOÚ. Do jisté míry tedy jde o náhradu za tuto oznamovací povinnost. Vedené záznamy by měly sloužit jak pro správce a zpracovatele pro jejich přehled a průběžnou aktualizaci jimi zavedeného systému zpracování, tak pro případnou kontrolu dozorového úřadu (a prokázání souladu s nařízením GDPR).
Předchozí posouzení vlivu DPIA („Data Protection Impact Assessment“) neboli předchozí posouzení vlivu zamýšleného zpracování osobních údajů na jejich ochranu bude vyžadováno, bude-li pravděpodobné, že určitý druh zpracování přinese vysoké riziko pro práva a svobody subjektů údajů. Nařízení GDPR příkladem uvádí, že posouzení bude nezbytné mj. pro případy rozsáhlého zpracování citlivých údajů nebo systematického a rozsáhlého vyhodnocování osobních aspektů (např. profilování) jako podkladu pro určitá automatizovawww.epravo.cz I EPRAVO.CZ Magazine I 4/2017 I 41