natgillin/translations-raw huggingface dataset:
V tomto ohledu Soudní dvůr vysvětlil, že přestože výraz „odpovídající úroveň ochrany“ obsažený v čl. 25 odst. 6 směrnice 95/46/ES neznamená stejnou úroveň ochrany, jako je úroveň zajištěná v unijním právním řádu, musí být chápán v tom smyslu, že vyžaduje, aby třetí země zajišťovala takovou úroveň ochrany základních práv a svobod, která je „v zásadě rovnocenná“ ochraně zaručené v rámci Unie směrnicí 95/46/ES vykládanou ve světle Listiny základních práv.
In this regard, the Court of Justice explained that, while the term ‘adequate level of protection’ in Article 25(6) of Directive 95/46/EC does not mean a level of protection identical to that guaranteed in the EU legal order, it must be understood as requiring the third country to ensure a level of protection of fundamental rights and freedoms ‘essentially equivalent’ to that guaranteed within the Union by virtue of Directive 95/46/EC read in the light of the Charter of Fundamental Rights.
I když se prostředky, které tato třetí země využívá v tomto směru k zajištění takovéto úrovně ochrany, mohou lišit od prostředků zavedených v rámci Unie, musí se přesto tyto prostředky v praxi ukázat jako účinné [12].
Even though the means to which that third country has recourse, in this connection, may differ from the ones employed within the Union, those means must nevertheless prove, in practice, effective [12].
Soudní dvůr zkritizoval, že rozhodnutí 2000/520/ES neobsahuje dostatečná zjištění ohledně existence pravidel státního charakteru ve Spojených státech, jež mají omezit případné zásahy do základních práv osob, jejichž osobní údaje jsou předávány z Unie do Spojených států, tj. zásahy, jež by státní subjekty této země byly oprávněny činit v případě, že sledují takové legitimní cíle, jako je národní bezpečnost, a ohledně existence účinné právní ochrany před zásahy tohoto druhu [13].
The Court of Justice criticised the lack of sufficient findings in Decision 2000/520/EC regarding the existence, in the United States, of rules adopted by the State intended to limit any interference with the fundamental rights of the persons whose data is transferred from the Union to the United States, interference which the State entities of that country would be authorised to engage in when they pursue legitimate objectives, such as national security, and the existence of effective legal protection against interference of that kind [13].
V roce 2014 Komise zahájila s orgány USA rozhovory, aby prodiskutovala posílení režimu „bezpečného přístavu“ na základě 13 doporučení uvedených ve sdělení COM(2013) 847 final.
In 2014 the Commission had entered into talks with the U.S. authorities in order to discuss the strengthening of the Safe Harbour scheme in line with the 13 recommendations contained in Communication COM(2013) 847 final.
Po rozsudku Soudního dvora Evropské unie ve věci Schrems tyto rozhovory dále zintenzivnily ve snaze dospět k případnému novému rozhodnutí o odpovídající úrovni ochrany, které by vyhovovalo požadavkům článku 25 směrnice 95/46/ES tak, jak je vyložil Soudní dvůr.
After the judgment of the Court of Justice of the European Union in the Schrems case, these talks were intensified, with a view to a possible new adequacy decision which would meet the requirements of Article 25 of Directive 95/46/EC as interpreted by the Court of Justice.
Výsledkem těchto diskusí jsou dokumenty, které tvoří přílohu tohoto rozhodnutí a které budou zveřejněny také ve Federálním úředním věstníku USA (U.S. Federal Register).
The documents which are annexed to this decision and will also be published in the U.S. Federal Register are the result of these discussions.
Zásady ochrany soukromí (příloha II) společně s oficiálními prohlášeními a závazky různých orgánů USA obsaženými v dokumentech v přílohách I a III až VII tvoří „štít EU–USA na ochranu soukromí“.
The privacy principles (Annex II), together with the official representations and commitments by various U.S. authorities contained in the documents in Annexes I, III to VII, constitute the ‘EU-U.S. Privacy Shield’.
Komise provedla pečlivou analýzu práva a praxe USA, jakož i těchto oficiálních prohlášení a závazků.
The Commission has carefully analysed U.S. law and practice, including these official representations and commitments.
Na základě zjištění rozepsaných ve 136. až 140. bodě odůvodnění Komise došla k závěru, že Spojené státy zajišťují odpovídající úroveň ochrany osobních údajů předávaných v rámci štítu EU–USA na ochranu soukromí z Unie autocertifikovaným organizacím ve Spojených státech.
Based on the findings developed in recitals 136-140, the Commission concludes that the United States ensures an adequate level of protection for personal data transferred under the EU-U.S. Privacy Shield from the Union to self-certified organisations in the United States.
„ŠTÍT EU–USA NA OCHRANU SOUKROMÍ“
THE ‘EU-U.S. PRIVACY SHIELD’
Štít EU–USA na ochranu soukromí je založen na systému autocertifikace, kterým se organizace USA zavazují dodržovat soubor zásad ochrany soukromí – rámcové zásady štítu EU–USA na ochranu soukromí, včetně doplňkových zásad (dále dohromady jen „zásady“) – vydaných Ministerstvem obchodu USA a obsažených v příloze II tohoto rozhodnutí.
The EU-U.S. Privacy Shield is based on a system of self-certification by which U.S. organisations commit to a set of privacy principles — the EU-U.S. Privacy Shield Framework Principles, including the Supplemental Principles (hereinafter together: ‘the Principles’) — issued by the U.S. Department of Commerce and contained in Annex II to this decision.
Použije se jak na správce, tak zpracovatele (zprostředkovatele) s tím, že zpracovatelé musí být smluvně zavázáni k tomu, že budou konat pouze na pokyny správce z EU a že mu budou nápomocni při odpovídání fyzickým osobám uplatňujícím svá práva podle zásad [14].
It applies to both controllers and processors (agents), with the specificity that processors must be contractually bound to act only on instructions from the EU controller and assist the latter in responding to individuals exercising their rights under the Principles [14].
Aniž je dotčena povinnost vyhovět vnitrostátním ustanovením přijatým podle směrnice 95/46/ES, má toto rozhodnutí účinek v tom smyslu, že je povoleno předávání údajů od správce nebo zpracovatele v Unii organizacím v USA, které autocertifikovaly přijetí zásad u Ministerstva obchodu a které se zavázaly je dodržovat.
Without prejudice to compliance with the national provisions adopted pursuant to Directive 95/46/EC, the present decision has the effect that transfers from a controller or processor in the Union to organisations in the U.S. that have self-certified their adherence to the Principles with the Department of Commerce and have committed to comply with them are allowed.
Zásady se použijí pouze na zpracování osobních údajů organizací USA potud, pokud zpracování takovými organizacemi nespadá do oblasti působnosti právních předpisů Unie [15].
The Principles apply solely to the processing of personal data by the U.S. organisation in as far as processing by such organisations does not fall within the scope of Union legislation.
Štítem na ochranu soukromí není dotčeno uplatňování právních předpisů Unie, jimiž se řídí zpracování osobních údajů v členských státech [16].
The Privacy Shield does not affect the application of Union legislation governing the processing of personal data in the Member States [16].
Ochrana poskytovaná osobním údajům štítem na ochranu soukromí se vztahuje na všechny subjekty údajů z EU [17], jejichž osobní údaje byly předány z Unie organizacím v USA, které autocertifikovaly přijetí zásad u Ministerstva obchodu.
The protection afforded to personal data by the Privacy Shield applies to any EU data subject [17] whose personal data have been transferred from the Union to organisations in the U.S. that have self-certified their adherence to the Principles with the Department of Commerce.
Zásady jsou použitelné bezprostředně po certifikaci.
The Principles apply immediately upon certification.
Jediná výjimka se vztahuje na zásadu odpovědnosti za další předávání v případech, kdy organizace autocertifikující přijetí zásad štítu na ochranu soukromí má obchodní vztahy s třetími stranami z dřívější doby.
One exception relates to the Accountability for Onward Transfer Principle in a case where an organisation self-certifying to the Privacy Shield already has pre-existing commercial relationships with third parties.
Poněvadž může jistou dobu trvat, než budou tyto obchodní vztahy uvedeny v soulad s pravidly podle zásady odpovědnosti za další předávání, bude taková organizace povinna uvést je v soulad co nejdříve a v každém případě nejpozději do devíti měsíců od autocertifikace (za předpokladu, že k tomu dojde v prvních dvou měsících ode dne, kdy štít na ochranu soukromí nabyl účinku).
Given that it may take some time to bring those commercial relationships into conformity with the rules applicable under the Accountability for Onward Transfer Principle, the organisation will be obliged to do so as soon as possible, and in any event no later than nine months from self-certification (provided that this takes places in the first two months following the day when the Privacy Shield becomes effective).
Během tohoto přechodného období musí organizace uplatňovat zásadu oznamovací povinnosti a zásadu možnosti volby (a umožnit tak subjektu údajů z EU vyslovit nesouhlas) a v případě, že jsou osobní údaje předávány třetí straně jednající jako zprostředkovatel, musí zajistit, že tato třetí strana poskytuje alespoň stejnou úroveň ochrany požadovanou podle zásad [18].
During this interim period, the organisation must apply the Notice and Choice Principle (thus allowing the EU data subject an opt-out) and, where personal data is transferred to a third party acting as an agent, must ensure that the latter provides at least the same level of protection as is required by the Principles [18].
Tímto přechodným obdobím je přiměřeně a vhodně vyváženo dodržování základního práva na ochranu údajů s legitimní potřebou podniků mít dostatek času na přizpůsobení se novému rámci i v případech, kdy toto závisí také na jejich obchodních vztazích s třetími stranami.
This transitional period provides a reasonable and appropriate balance between the respect for the fundamental right to data protection and the legitimate needs of businesses to have sufficient time to adapt to the new framework where this also depends on their commercial relationships with third parties.
Tento systém bude spravován a monitorován Ministerstvem obchodu na základě jeho závazků uvedených v prohlášeních ministryně obchodu USA (příloha I tohoto rozhodnutí).
The system will be administered and monitored by the Department of Commerce based on its commitments set out in the representations from the U.S. Secretary of Commerce (Annex I to this decision).
Pokud jde o prosazování zásad, Federální obchodní komise (FTC) a Ministerstvo obchodu vydaly prohlášení, která jsou obsažena v příloze IV a V tohoto rozhodnutí.
With regard to the enforcement of the Principles, the Federal Trade Commission (FTC) and the Department of Transportation have made representations that are contained in Annex IV and Annex V to this decision.
Zásady ochrany soukromí
Privacy Principles
Součástí autocertifikace v rámci štítu EU–USA na ochranu soukromí je, že se organizace musí zavázat k dodržování zásad [19].
As part of their self-certification under the EU-U.S. Privacy Shield, organisations have to commit to comply with the Principles [19].
Podle zásady oznamovací povinnosti jsou organizace povinny subjektům údajů poskytovat informace o řadě klíčových prvků týkajících se zpracování jejich osobních údajů (např. o druhu shromažďovaných údajů, o účelu zpracování, o právu na přístup a volbu, o podmínkách dalšího předávání a o odpovědnosti).
Under the Notice Principle, organisations are obliged to provide information to data subjects on a number of key elements relating to the processing of their personal data (e.g. type of data collected, purpose of processing, right of access and choice, conditions for onward transfers and liability).
Platí další ochranná opatření, zejména požadavek, aby organizace zveřejnily svoji politiku ochrany soukromí (odrážející zásady) a aby poskytly odkazy na web Ministerstva obchodu (s dalšími podrobnostmi o autocertifikaci, právech subjektů údajů a dostupných odvolacích mechanismech), na seznam organizací štítu na ochranu soukromí (uvedený ve 30. bodě odůvodnění) a na web příslušného poskytovatele alternativního řešení sporů.
Further safeguards apply, in particular the requirement for organisations to make public their privacy policies (reflecting the Principles) and to provide links to the Department of Commerce's website (with further details on self-certification, the rights of data subjects and available recourse mechanisms), the Privacy Shield List (referred to in recital 30) and the website of an appropriate alternative dispute settlement provider.
Podle zásady integrity údajů a účelového omezení musí být osobní údaje omezeny na údaje relevantní k účelu zpracování, spolehlivé z hlediska zamýšleného použití, přesné, úplné a aktuální.
Under the Data Integrity and Purpose Limitation Principle, personal data must be limited to what is relevant for the purpose of the processing, reliable for its intended use, accurate, complete and current.
Organizace nesmí zpracovávat osobní údaje způsobem, který je neslučitelný s účelem, pro který byly původně shromážděny nebo následně subjektem údajů povoleny.
An organisation may not process personal data in a way that is incompatible with the purpose for which it was originally collected or subsequently authorised by the data subject.
Organizace musí zajistit, aby osobní údaje byly spolehlivé z hlediska zamýšleného použití, přesné, úplné a aktuální.
Organisations must ensure that personal data is reliable for its intended use, accurate, complete and current.
Pokud je nový (změněný) účel významně odlišný, ale stále slučitelný s původním účelem, dává zásada možnosti volby subjektům údajů možnost vyslovit nesouhlas (opt-out).
Where a new (changed) purpose is materially different but still compatible with the original purpose, the Choice Principle gives data subjects the right to object (opt out).
Zásada možnosti volby nenahrazuje výslovný zákaz neslučitelného zpracování [20].
The Choice Principle does not supersede the express prohibition on incompatible processing [20].
Zvláštní pravidla, která obecně umožňují vyslovení nesouhlasu s používáním osobních údajů „kdykoli“, se týkají přímého marketingu [21].
Special rules generally allowing for the opt-out ‘at any time’ from the use of personal data apply for direct marketing [21].
V případě citlivých údajů musí organizace v zásadě obdržet potvrzující výslovný souhlas (tzv. opt-in) subjektu údajů.
In the case of sensitive data, organisations must normally obtain the data subject's affirmative express consent (opt in).
Ještě pokud jde o zásadu integrity údajů a účelového omezení, lze osobní informace uchovávat v podobě ztotožňující fyzickou osobu nebo umožňující jeho ztotožnění (tedy v podobě osobních údajů) jen potud, pokud tyto informace slouží účelu (účelům), pro který byly původně shromážděny nebo následně povoleny.
Still under the Data Integrity and Purpose Limitation Principle, personal information may be retained in a form identifying or rendering an individual identifiable (and thus in the form of personal data) only for as long as it serves the purpose(s) for which it was initially collected or subsequently authorised.
Tato povinnost organizacím účastnícím se štítu na ochranu soukromí nebrání v tom, aby nadále zpracovávaly osobní informace po delší období, mohou tak ale činit jen po dobu a v rozsahu, který přiměřeně slouží jednomu z následujících konkrétních účelů: archivace ve veřejném zájmu, žurnalistika, literatura a umění, vědecký a historický výzkum a statistická analýza.
This obligation does not prevent Privacy Shield organisations to continue processing personal information for longer periods, but only for the time and to the extent such processing reasonably serves one of the following specific purposes: archiving in the public interest, journalism, literature and art, scientific and historical research and statistical analysis.
Delší uchovávání osobních údajů pro jeden z těchto účelů podléhá ochranným opatřením podle zásad.
Longer retention of personal data for one of these purposes will be subject to the safeguards provided by the Principles.
Podle zásady bezpečnosti musí organizace vytvářející, uchovávají, používající nebo šířící osobní údaje přijmout „přiměřená a vhodná“ bezpečnostní opatření s přihlédnutím k rizikům spojeným se zpracováním a povahou údajů.
Under the Security Principle, organisations creating, maintaining, using or disseminating personal data must take ‘reasonable and appropriate’ security measures, taking into account the risks involved in the processing and the nature of the data.
Jsou-li údaje zpracovávány externě, musí organizace uzavřít s externím zpracovatelem smlouvu, která zaručí stejnou úroveň ochrany, jakou poskytují zásady, a přijmout opatření k zajištění jejího řádného plnění.
In the case of sub-processing, organisations must conclude a contract with the sub-processor guaranteeing the same level of protection as provided by the Principles and take steps to ensure its proper implementation.
Podle zásady práva na přístup [22] mají subjekty údajů právo na to, aby jim bez nutnosti zdůvodňování a pouze za přiměřený poplatek organizace potvrdila, zda tato organizace zpracovává osobní údaje, které se jich týkají, a aby jim tyto údaje byly v přiměřené lhůtě sděleny.
Under the Access Principle [22], data subjects have the right, without need for justification and only against a non-excessive fee, to obtain from an organisation confirmation of whether such organisation is processing personal data related to them and have the data communicated within reasonable time.
Toto právo lze omezit jen za výjimečných okolností; jakékoli odepření tohoto práva či jeho omezení musí být nezbytné a řádně odůvodněné, přičemž důkazní břemeno toho, že jsou tyto požadavky splněny, leží na organizaci.
This right may only be restricted in exceptional circumstances; any denial of, or limitation to the right of access has to be necessary and duly justified, with the organisation bearing the burden of demonstrating that these requirements are fulfilled.
Subjektům údajů musí být umožněno opravovat, upravovat či vymazávat osobní informace, pokud jsou nepřesné nebo pokud byly zpracovány v rozporu se zásadami.
Data subjects must be able to correct, amend or delete personal information where it is inaccurate or has been processed in violation of the Principles.
V oblastech, kde společnosti nejčastěji využívají automatizovaného zpracování osobních údajů pro rozhodování, které má dopad na fyzickou osobu (např. úvěry a půjčky, nabídky hypoték, zaměstnání), poskytuje právo USA konkrétní ochranu proti negativním rozhodnutím [23].
In areas where companies most likely resort to the automated processing of personal data to take decisions affecting the individual (e.g. credit lending, mortgage offers, employment), U.S. law offers specific protections against adverse decisions [23].
Tyto předpisy obvykle stanoví, že fyzické osoby mají právo být informovány o konkrétních důvodech, které stály za rozhodnutím (např. zamítnutím úvěru), rozporovat neúplné nebo nepřesné informace (jakož i použití nezákonných faktorů) a požadovat nápravu.
These acts typically provide that individuals have the right to be informed of the specific reasons underlying the decision (e.g. the rejection of a credit), to dispute incomplete or inaccurate information (as well as reliance on unlawful factors), and to seek redress.
Tato pravidla poskytují ochranu v pravděpodobně poměrně omezeném počtu případů, kde by automatizovaná rozhodnutí činila sama organizace účastnící se štítu na ochranu soukromí [24].
These rules offer protections in the likely rather limited number of cases where automated decisions would be taken by the Privacy Shield organisation itself [24].
Nicméně vzhledem k rostoucímu využití automatizovaného zpracování (včetně profilování) jakožto základu pro rozhodování, které má dopad na fyzické osoby, v moderní digitální ekonomice, je třeba tuto oblast úzce monitorovat.
Nevertheless, given the increasing use of automated processing (including profiling) as a basis for taking decisions affecting individuals in the modern digital economy, this is an area that needs to be closely monitored.
Za účelem usnadnění tohoto monitorování bylo s orgány USA dohodnuto, že součástí prvního každoročního přezkumu a případně následujících přezkumů bude dialog na téma automatizovaného rozhodování, včetně výměny názorů na podobnosti a rozdílnosti v přístupech EU a USA.
In order to facilitate this monitoring, it has been agreed with the U.S. authorities that a dialogue on automated decision-making, including an exchange on the similarities and differences in the EU and U.S. approach in this regard, will be part of the first annual review as well as subsequent reviews as appropriate.
Podle zásady odvolání, prosazování a odpovědnosti [25] musí účastnící se organizace poskytnout robustní mechanismy, které zajistí dodržování ostatních zásad, a subjektům údajů, jejichž údaje byly zpracovány nenáležitým způsobem, musí poskytnout možnost odvolání i účinnou nápravu.
Under the Recourse, Enforcement and Liability Principle [25], participating organisations must provide robust mechanisms to ensure compliance with the other Principles and recourse for EU data subjects whose personal data have been processed in a non-compliant manner, including effective remedies.
Jakmile se organizace dobrovolně rozhodla autocertifikovat [26] v rámci štítu EU–USA na ochranu soukromí, její faktické dodržování zásad se stává povinným.
Once an organisation has voluntarily decided to self-certify [26] under the EU-U.S. Privacy Shield, its effective compliance with the Principles is compulsory.
Aby organizace mohla v rámci štítu EU–USA na ochranu soukromí získávat i nadále osobní údaje z Unie, musí každý rok recertifikovat svou účast v rámci.
To be allowed to continue to rely on the Privacy Shield to receive personal data from the Union, such organisation must annually re-certify its participation in the framework.
Organizace musí také přijmout opatření k ověření [27] toho, zda politika ochrany soukromí, kterou zveřejňují, vyhovuje zásadám a je v praxi dodržována.
Organisations must also take measures to verify [27] that their published privacy policies conform to the Principles and are in fact complied with.
Toto lze provádět buď systémem sebehodnocení, jehož součástí musí být interní postupy, kterými se zajistí, aby zaměstnanci obdrželi školení k provádění politiky ochrany soukromí organizace a aby dodržování této politiky bylo pravidelně a objektivně kontrolováno, anebo externími přezkumy jejího dodržování, které mohou mít podobu auditu nebo namátkových kontrol.
This can be done either through a system of self-assessment, which must include internal procedures ensuring that employees receive training on the implementation of the organisation's privacy policies and that compliance is periodically reviewed in an objective manner, or outside compliance reviews, the methods of which may include auditing or random checks.
Kromě toho musí organizace zajistit účinný nápravný mechanismus k vyřizování jakýchkoli stížností (v tomto ohledu viz také 43. bod odůvodnění) a podléhat vyšetřovací a donucovací pravomoci FTC, Ministerstva dopravy nebo jiného pověřeného, zákonem zřízeného orgánu USA, které zajistí dodržování zásad.
In addition, the organisation must put in place an effective redress mechanism to deal with any complaints (see in this respect also recitals 43) and be subject to the investigatory and enforcement powers of the FTC, the Department of Transportation or another U.S. authorised statutory body that will effectively ensure compliance with the Principles.