GDPR – co nám přináší

Obsah prosincového dTestu

Aktuální číslo časopisu dTest 12/2018 Obsah prosincového dTestu

Vydáno: 28.6.2018    Publikováno v časopise 7/2018

Kromě propracovaného systému ochrany spotřebitele přineslo právo Evropské unie jednotlivcům napříč členskými státy ještě jeden výdobytek, a sice ochranu osobních údajů. Dne 25. května letošního roku vstoupilo v účinnost obecné nařízení o ochraně osobních údajů, anglicky General Data Protection Regulation, tedy zkráceně GDPR. Nové nařízení navazuje na předchozí vývoj a podobně jako dosavadní úprava přináší jednotlivcům širokou škálu oprávnění vzhledem k jejich osobním údajům.

Použitelnost a působnost GDPR

Na úvod je zapotřebí si vysvětlit, co přesně je nařízení EU. Na rozdíl od směrnic, kterými se právo členských států pouze harmonizuje, takže je nutná transpozice (přepsání) směrnice do vnitrostátního právního předpisu (například do zákona), nařízení je přímo použitelné a aplikovatelné. Práva a povinnosti, jež GDPR vymezuje, se tak uplatní přímo na všechny občany a společnosti ze všech členských států Unie. Můžete se tedy dovolat přímo ustanovení nařízení a není potřeba, aby za tím účelem český zákonodárce přijal jakýkoliv další právní předpis.

Jelikož jsou chráněny osobní údaje, se kterými se nakládá v EU, musí se pravidly uvedenými v GDPR řídit také společnosti se sídlem mimo unijní prostor, jež ale zpracovávají údaje občanů členských států. Uvedené platí v případě, pokud společnosti zpracovávají údaje v souvislosti s nabídkou zboží nebo služeb vůči jedincům v EU či v rámci Unie monitorují jejich chování.

Onen jedinec, tedy fyzická osoba, o jejíž osobní údaje se jedná, je v řeči nařízení subjekt údajů. Ten, kdo údaje zpracovává (jakýmkoliv způsobem s nimi nakládá), je zase správce. Pokud však s údaji pracujete výlučně při osobních nebo domácích činnostech, správcem nejste, jelikož na takové jednání se GDPR vůbec nevztahuje.

Kdy je ke zpracování osobních údajů nutný souhlas

Nařízení zná kromě souhlasu se zpracováním osobních údajů hned několik dalších důvodů, na jejichž základě lze údaje legálně zpracovávat. Nejčastější z nich je plnění smlouvy. Když například uzavřete kupní smlouvu s e-shopem, nebylo by možné vám řádně doručit zboží bez znalosti vašeho jména, příjmení a adresy. Dále je k nutné komunikaci (zaslání potvrzení a faktury) často potřeba také adresa e-mailová. Všechny tyto údaje proto může e-shop za účelem plnění smlouvy zpracovat bez vašeho souhlasu. Pokud by je však chtěl použít nad rámec smlouvy k reklamním účelům, musí vás zpravidla požádat o souhlas.

Písemné prohlášení o souhlasu a žádost o jeho udělení musejí být uvedeny odlišitelně od všech ostatních sdělení. GDPR zde stanovuje také podmínky srozumitelnosti a snadného přístupu za použití jasných a jednoduchých jazykových prostředků. To znamená, že už není možné, abyste souhlas se zpracováním udělili bezděčně zaškrtnutím souhlasu s obchodními podmínkami, v nichž jsou tyto informace „ukryty“.

Také nelze souhlasem se zpracováním údajů podmiňovat plnění smlouvy, tedy dodání zboží či poskytnutí služby. Jestliže se na vás v tomto duchu obrátí nějaká společnost s tvrzením, že bez udělení vašeho souhlasu se zpracováním osobních údajů vám již nemůže nadále poskytovat své služby či s jejich poskytováním vůbec začít, není to pravda. I pokud souhlas neudělíte, nesmíte být při plnění smlouvy nijak znevýhodněni.

Dále je možné zpracovávat údaje, když je to nezbytné pro splnění právní povinnosti správce nebo pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci. Pokud tedy má úřad zákonem předepsáno, že musí pro účely evidence nějaké údaje zpracovávat, souhlas k tomu také nepotřebuje. Stejně tak zaměstnavatel musí dle zákoníku práce a předpisů o sociálním zabezpečení zpracovávat řadu údajů, a protože při tom plní své právní povinnosti, může tak činit i bez vašeho souhlasu.

Právo na informace a na přístup k údajům

Předně máte podle GDPR právo na to, aby vás správce transparentně a srozumitelně informoval o tom, co se s vašimi osobními údaji děje. GDPR předepisuje, že správce musí osobě při získání údajů sdělit výčet základních informací, aby bylo jasné, jak s údaji nakládá. Například se jedná o identifikační a kontaktní údaje správce, o účel a právní základ zpracování, o informace o příjemcích osobních údajů či o době, po kterou budou u správce údaje uloženy.

Tím však vaše práva ani zdaleka nekončí. Jelikož je jedním z hlavních prvků úpravy ochrany osobních údajů zásada, že subjekt údajů má mít nad informacemi o sobě kontrolu, vymezuje nařízení právo na přístup k nim. V podstatě každé společnosti, úřadu či fyzické osoby se můžete tázat, zda zpracovává vaše osobní údaje. Při kladné odpovědi musíte obdržet stanovené informace a také kopii svých údajů. Správce je vám v takové situaci povinen sdělit, za jakým účelem vaše údaje zpracovává, komu údaje byly nebo budou zpřístupněny, jak dlouho hodlá údaje uchovávat a také vás poučit o vašich právech.

Každou žádost podle GDPR musí správce vyřídit do jednoho měsíce od jejího obdržení, a to bezplatně. To neplatí, pokud jsou žádosti zjevně nedůvodné nebo nepřiměřené (často se opakují). V takovém případě může správce buď uložit přiměřený poplatek za vyřízení, nebo žádosti nevyhovět. U kopie zpracovávaných údajů platí, že bezplatně poskytuje správce vždy jen tu první.

Právo na opravu a „právo být zapomenut“

Jakmile dojde ve vašich osobních údajích k nějaké změně, máte právo na to, aby správce bez zbytečného odkladu nepřesnosti opravil, případně doplnil údaje neúplné. Právo na výmaz neboli právo být zapomenut v sobě zahrnuje základní pravidlo, že jakmile již nejsou údaje potřebné pro účely, pro které byly shromážděny, musejí být co nejdříve vymazány. To se vztahuje také na situaci, kdy odvoláte souhlas se zpracováním svých údajů – pokud neexistuje žádný další právní důvod pro zpracování (například uzavřená smlouva), musí správce údaje vymazat.

Právo být zapomenut je však vykládáno ještě šířeji. Podle bývalé právní úpravy už v roce 2014 rozhodl Soudní dvůr Evropské unie, že internetové vyhledávače jsou zodpovědné za obsah, na který odkazují. Výsledkem takového výroku ve sporu mezi španělským občanem a společností Google bylo, že Google musel vymazat výsledky vyhledávání, jež se zobrazily po zadání jména Španěla, i když vyhledávač pouze odkazuje na stránky s informacemi zveřejněnými třetími stranami. Konkrétně Google můžete o odstranění obsahu požádat skrze webový formulář, který naleznete v sekci nejčastějších dotazů v rubrice ochrana soukromí a smluvní podmínky.

Právo na přenositelnost údajů a právo vznést námitku

Ze všech oprávnění, která GDPR obsahuje, jsou novinkami pouze přenositelnost údajů a námitka. Přenositelnost spočívá v tom, že jako subjekt údajů máte právo od správce získat svá osobní data ve strukturovaném, běžně používaném a strojově čitelném formátu a předat je jinému správci, aniž by vám v tom ten původní mohl bránit. Takový postup je však možný pouze v případě, kdy jsou údaje zpracovávány automatizovaně na základě souhlasu nebo smlouvy. Pokud je to technicky proveditelné, můžete navíc požadovat, aby si správci předali údaje přímo mezi sebou. Zavedení práva na přenositelnost má zjednodušit přechody mezi různými poskytovateli služeb, kteří předávání údajů často komplikovali ve snaze udržet si zákazníka.

Námitku můžete vznést proti zpracování, jež je prováděno ve veřejném zájmu či při výkonu veřejné moci nebo pro účely oprávněných zájmů správce. Jedním z oprávněných zájmů může být takzvaný přímý marketing, tedy zasílání nabídek, které přímo souvisejí s dřívějším nákupem a jsou proto očekávatelné. Například může jít o nabídku stélek do bot a impregnačního spreje od prodejce, u něhož jste si dříve zakoupili boty. Jestliže vznesete námitku proti přímému marketingu, musí správce přestat se zpracováváním vašich údajů. V dalších případech může ve zpracovávání pokračovat jedině tehdy, prokáže-li závažné oprávněné důvody pro zpracování, které převažují nad vašimi zájmy nebo nad vašimi právy a svobodami. Pokračovat ve zpracování lze také tehdy, pokud jsou údaje potřebné pro určení, výkon nebo obhajobu právních nároků.

Kam se obrátit

Dozorovým orgánem v oblasti ochrany osobních údajů zůstává i po účinnosti GDPR Úřad pro ochranu osobních údajů (ÚOOÚ). Pokud tedy budete mít v nějaké souvislosti podezření, že jakýkoliv správce nezachází s vašimi údaji tak, jak by měl, nebo nebude chtít vyhovět například vaší žádosti o přístup k osobním údajům, můžete se obrátit na úřad se stížností. Na úřad máte možnost se obrátit také v případě, kdy máte podezření, že s vašimi údaji zachází nesprávně správce z jiné země i mimo EU.


Přihlásit