GDPR

Dvojjediný účel, ochrana fyzických osob při zpracování osobních údajů a volný pohyb údajů v Unii. Obě strany mince se používají při výkladu, ochrana není samoúčel a nesmí se z ní stát překážka vnitřního trhu.

Dopadá na zcela i částečně automatizované zpracování a na manuální zpracování v evidencích. Mimo režim je čistě osobní a domácí činnost, činnost mimo právo Unie a trestněprávní oblast (tu kryje směrnice 2016/680, v ČR hlava III zákona č. 110/2019 Sb.).

Místní působnost. Vedle usazení v EU dopadá i na správce ze třetích zemí, kteří osobám v EU nabízejí zboží či služby nebo monitorují jejich chování. Extrateritoriální vzor, který později převzal AI Act v čl. 2.

Slovník s 26 definicemi. Osobní údaj je pojatý široce (stačí identifikovatelnost, i nepřímá), zpracování je prakticky jakákoli operace s údaji. Klíčová je dělba správce (určuje účely a prostředky) a zpracovatele (zpracovává pro správce), na ní visí rozdělení povinností celého nařízení. Dynamická IP adresa je osobním údajem, má-li správce právní cestu k doidentifikování (C-582/14 Breyer), a posouzení, zda jsou pseudonymizovaná data osobními údaji, je relativní podle prostředků konkrétního aktéra (C-413/23 P EDPS v. SRB).

Sedm zásad, zákonnost, korektnost a transparentnost, účelové omezení, minimalizace, přesnost, omezení uložení, integrita a důvěrnost, a nad tím odpovědnost (accountability), tedy povinnost soulad nejen mít, ale umět doložit. Porušení zásad je v nejvyšším pokutovém pásmu čl. 83 odst. 5.

Šest právních titulů, souhlas, smlouva, právní povinnost, životně důležité zájmy, veřejný zájem a oprávněný zájem. Oprávněný zájem vyžaduje balanční test proti právům subjektu. Odst. 4 řeší slučitelnost nového účelu s původním. První otázka každé analýzy zpracování zní, o který titul se opírá. Oprávněným zájmem může být i zájem čistě komerční (C-621/22 KNLTB), personalizovaná reklama Mety se ale o něj opřít nedokázala a porušení nařízení smí posoudit i soutěžní úřad (C-252/21 Meta Platforms).

Souhlas musí být prokazatelný, srozumitelně oddělený od ostatních ujednání a odvolatelný stejně snadno, jako se udělil. Odst. 4 míří na vynucované souhlasy, plnění smlouvy nesmí být podmíněno souhlasem, který k plnění není potřeba. Předzaškrtnuté políčko souhlasem není (C-673/17 Planet49).

Souhlas dítěte u služeb informační společnosti. Výchozí hranice je 16 let, státy mohou snížit až na 13. Česko snížilo na 15 let (§ 7 zákona č. 110/2019 Sb.).

Zvláštní kategorie (zdraví, biometrika pro identifikaci, přesvědčení, orientace a další) se zásadně zpracovávat nesmí, ledaže dopadne některá z deseti výjimek, mj. výslovný souhlas, pracovní a sociální právo, životně důležité zájmy, zdravotní péče nebo veřejné zdraví.

Údaje o rozsudcích a trestných činech smí zpracovávat jen orgán veřejné moci, nebo kdokoli jiný jen na základě právního předpisu s vhodnými zárukami.

Správce nemusí dosbírávat identifikační údaje jen proto, aby vyhověl nařízení. Pokud subjekt neidentifikuje, práva z čl. 15 až 20 se nepoužijí, ledaže subjekt identifikaci sám dodá.

Modality výkonu práv. Komunikace stručně, srozumitelně a bezplatně, odpověď bez zbytečného odkladu a nejpozději do měsíce, s možností prodloužení o dva měsíce u složitých žádostí. Zjevně nedůvodné nebo nepřiměřené žádosti lze odmítnout nebo zpoplatnit, důkazní břemeno nese správce.

Informační povinnost při získání údajů přímo od subjektu, totožnost správce, účely a tituly, příjemci, doba uložení, práva, případné automatizované rozhodování. Základ každé informační doložky.

Totéž pro údaje získané odjinud, navíc zdroj a kategorie údajů, ve lhůtě do měsíce nebo při prvním kontaktu. Výjimky mj. pro nepřiměřené úsilí u archivace a výzkumu.

Právo na přístup, potvrzení o zpracování, informace o něm a kopie zpracovávaných údajů. Kopie nesmí zasáhnout do práv jiných. V praxi nejčastěji uplatňované právo a vstupní brána ke sporům. Subjekt má právo vědět, kdy a proč se do jeho údajů nahlíželo (C-579/21 Pankki S), a u automatizovaného rozhodování dostat srozumitelné vysvětlení použitého postupu, obchodní tajemství přitom není absolutní překážka (C-203/22).

Právo na opravu nepřesných údajů a doplnění neúplných.

Právo na výmaz, když odpadl účel, byl odvolán souhlas, vznikla úspěšná námitka nebo bylo zpracování protiprávní. Výjimky pro svobodu projevu, právní povinnosti, veřejné zdraví, archivaci a určení, výkon nebo obhajobu právních nároků. U zveřejněných údajů se přidává povinnost informovat další správce.

Právo na omezení zpracování jako dočasná zádržná brzda po dobu sporu o přesnost, námitky nebo místo výmazu.

Správce oznamuje opravy, výmazy a omezení všem příjemcům, kterým údaje zpřístupnil.

Přenositelnost, údaje poskytnuté subjektem ve strojově čitelném formátu, případně předání přímo jinému správci. Jen u zpracování založeného na souhlasu nebo smlouvě a prováděného automatizovaně.

Námitka proti zpracování z titulu oprávněného a veřejného zájmu, správce musí prokázat závažné oprávněné důvody, jinak končí. Proti přímému marketingu je námitka absolutní, po ní se zpracovávat nesmí.

Právo nebýt předmětem čistě automatizovaného rozhodnutí s právními nebo obdobně významnými účinky, s výjimkami (smlouva, právní základ, výslovný souhlas) a zárukami včetně lidského zásahu. Podle rozsudku SDEU ve věci C-634/21 SCHUFA (7. 12. 2023) je takovým rozhodnutím už automatizované vyhodnocení úvěruschopnosti (scoring), pokud na něm třetí strana zakládá své rozhodnutí rozhodujícím způsobem. Předobraz čl. 86 AI Actu, který na stejnou situaci míří z procesní strany.

Členské státy a Unie mohou práva omezit zákonem kvůli vyjmenovaným zájmům (bezpečnost, trestní řízení, výkon soudnictví a další), jen v nezbytném rozsahu.

Odpovědnost správce, zavést vhodná technická a organizační opatření podle povahy a rizik zpracování a umět je doložit. Risk-based přístup, který se pak vrací v čl. 25, 32 a 35.

Záměrná a standardní ochrana (privacy by design a by default). Ochrana údajů se promítá do návrhu systémů a výchozí nastavení zpracovává jen nezbytné minimum. Sesterský princip požadavků na návrh v AI Actu.

Společní správci si ujednáním rozdělí povinnosti a podstatné shrnutí zpřístupní subjektům. Subjekt může práva uplatnit u kteréhokoli z nich, ujednání navenek nikoho neomezuje. Společným správcem je i provozovatel webu, který si vloží tlačítko sociální sítě sbírající údaje návštěvníků (C-40/17 Fashion ID).

Správci a zpracovatelé mimo EU, na které nařízení dopadá přes čl. 3, si ustanoví písemně pověřeného zástupce v Unii. Odstavec 2 z toho vyjímá příležitostné zpracování, které nezahrnuje rozsáhlé zpracování zvláštních kategorií ani údajů o odsouzeních a je nepravděpodobné, že by představovalo riziko pro práva osob, a dále orgány a subjekty veřejné moci.

Zpracovatel jen na základě smlouvy s povinnými náležitostmi odst. 3, pokyny správce, mlčenlivost, zabezpečení, podmínky řetězení dalších zpracovatelů, součinnost, výmaz či vrácení po skončení a auditní práva. Nejčastěji revidovaný smluvní typ celého nařízení.

Kdo má přístup k údajům, zpracovává je jen na pokyn správce.

Záznamy o činnostech zpracování za správce i zpracovatele. Výjimka pro organizace pod 250 zaměstnanců je děravá (neplatí u nepříležitostného zpracování, rizika nebo zvláštních kategorií), takže záznamy v praxi vede skoro každý.

Povinná součinnost s dozorovým úřadem na jeho žádost.

Zabezpečení odpovídající riziku, výslovně zmíněny pseudonymizace a šifrování, schopnost zajistit důvěrnost, integritu, dostupnost a odolnost, obnova po incidentu a pravidelné testování účinnosti opatření. Úspěšný útok hackerů sám o sobě neznamená, že opatření byla nevhodná, vhodnost se posuzuje podle rizika (C-340/21).

Porušení zabezpečení se ohlašuje dozorovému úřadu bez zbytečného odkladu, pokud možno do 72 hodin, ledaže je riziko pro práva osob nepravděpodobné. Zpracovatel hlásí správci bez zbytečného odkladu. Interní evidence všech porušení je povinná vždy, i těch neohlášených.

Při vysokém riziku pro osoby se porušení oznamuje i jim, srozumitelně a s doporučeními. Výjimky při účinném zabezpečení (šifrování), následných opatřeních nebo nepřiměřeném úsilí (pak veřejné oznámení).

Posouzení vlivu na ochranu osobních údajů (DPIA) před zpracováním s pravděpodobným vysokým rizikem, typicky systematické a rozsáhlé hodnocení osob včetně profilování, rozsáhlé zpracování zvláštních kategorií nebo systematické monitorování veřejných prostor. ÚOOÚ vede seznam operací, které DPIA vyžadují vždy. Metodický předchůdce FRIA z čl. 27 AI Actu.

Když DPIA ukáže vysoké zbytkové riziko, které správce neumí zmírnit, jde před zpracováním na konzultaci k dozorovému úřadu.

Pověřenec pro ochranu osobních údajů je povinný pro orgány veřejné moci s výjimkou soudů jednajících v rámci svých soudních pravomocí, dále tam, kde hlavní činnost spočívá v rozsáhlém pravidelném a systematickém monitorování, a tam, kde hlavní činnost spočívá v rozsáhlém zpracování zvláštních kategorií nebo údajů o odsouzeních. Znak hlavní činnosti je rozhodný: podpůrné zpracování jako mzdy nebo IT ho nenaplňuje. Může být jeden pro skupinu, interní i externí.

Postavení pověřence, zapojení do všech záležitostí ochrany údajů, zdroje, nezávislost (žádné pokyny k výkonu, žádné propuštění za výkon funkce) a přímý přístup k vedení.

Úkoly pověřence, informovat a radit, monitorovat soulad, radit u DPIA a být kontaktním místem pro úřad i subjekty.

Sdružení mohou vypracovat kodexy chování upřesňující nařízení pro svůj sektor, schvaluje dozorový úřad.

Dodržování kodexu může monitorovat akreditovaný subjekt, aniž jsou dotčeny pravomoci dozoru.

Dobrovolné certifikace, pečeti a známky jako doklad souladu, platnost nejdéle tři roky, certifikace nesnižuje odpovědnost.

Subjekty pro vydávání osvědčení akredituje dozorový úřad nebo vnitrostátní akreditační orgán.

Obecná zásada, předání mimo EU jen při splnění podmínek kapitoly V, a to i pro další řetězené předání. Úroveň ochrany nesmí být předáním podkopána.

Předání na základě rozhodnutí Komise o odpovídající ochraně, pak není potřeba zvláštní povolení. Pro USA je aktuálně rozhodnutí pro rámec ochrany údajů EU–USA. Historie ukazuje, že rozhodnutí u Soudního dvora padají (C-311/18 Schrems II), aktuální rámec zatím před Tribunálem obstál (T-553/23 Latombe).

Bez rozhodnutí o odpovídající ochraně nastupují vhodné záruky, nejčastěji standardní smluvní doložky Komise, dále závazná podniková pravidla, schválené kodexy či certifikace.

Závazná podniková pravidla (BCR) pro předávání uvnitř skupiny, náležitosti a schvalování dozorovým úřadem v mechanismu jednotnosti.

Rozsudek nebo rozhodnutí orgánu třetí země samo o sobě předání nezakládá, uznává se jen na základě mezinárodní dohody. Pojistka proti přímému vynucování cizích příkazů vůči evropským datům.

Výjimky pro specifické situace, výslovný souhlas po poučení o rizicích, nezbytnost pro smlouvu, právní nároky, životně důležité zájmy a další. Vykládají se restriktivně, jako poslední záchrana, ne běžný kanál.

Mezinárodní spolupráce Komise a dozorových úřadů se třetími zeměmi.

Každý stát zřídí nezávislý dozorový úřad. V ČR je jím Úřad pro ochranu osobních údajů podle zákona č. 110/2019 Sb.

Úplná nezávislost, žádné vnější pokyny, vlastní rozpočet a personál.

Členové úřadu jmenováni transparentně, kvalifikace a záruky proti odvolání z jiných než zákonných důvodů.

Zřízení, funkční období a mlčenlivost upraví zákon členského státu.

Příslušnost úřadu na území vlastního státu, výjimka pro zpracování soudů při výkonu soudnictví.

Vedoucí dozorový úřad podle hlavní provozovny správce řídí přeshraniční případy (one-stop-shop). Pro subjekty jedno kontaktní místo, pro nadnárodní správce jeden hlavní protějšek.

Katalog úkolů, monitorovat a vymáhat, zvyšovat povědomí, vyřizovat stížnosti, spolupracovat, vést seznamy pro DPIA a další. Vyřizování stížností je bezplatné. Vysoký počet stížností úřad nezbavuje povinnosti se jimi zabývat, odmítnout nebo zpoplatnit jde jen zjevně nedůvodné nebo nepřiměřené žádosti (C-416/23).

Pravomoci vyšetřovací (informace, audity, přístup do prostor), nápravné (upozornění, napomenutí, příkazy, omezení až zákaz zpracování, nařízení výmazu a pokuty) a povolovací či poradní. Zákaz zpracování umí bolet víc než pokuta.

Výroční zprávy o činnosti.

Mechanika spolupráce vedoucího úřadu s dotčenými úřady, návrhy rozhodnutí, relevantní a odůvodněné námitky a postoupení sboru při neshodě.

Vzájemná pomoc mezi úřady, informace a povolené šetření, lhůta na odpověď do měsíce.

Společné postupy a společná šetření úřadů více států.

Mechanismus jednotnosti, rámec pro konzistentní aplikaci nařízení napříč Unií skrze sbor.

Stanoviska sboru k návrhům opatření úřadů s unijním dosahem (seznamy DPIA, doložky, BCR a další).

Závazné řešení sporů sborem, mj. při relevantních námitkách proti návrhu rozhodnutí vedoucího úřadu. Finální slovo v přeshraničních kauzách.

Postup pro naléhavé případy, dočasná opatření úřadu s okamžitou platností na svém území a rychlé stanovisko sboru.

Elektronická výměna informací mezi úřady a sborem.

Evropský sbor pro ochranu osobních údajů (EDPB), subjekt Unie složený z předsedů národních úřadů a evropského inspektora.

Nezávislost sboru.

Úkoly sboru, jednotná aplikace, pokyny a doporučení (v praxi zásadní výkladový zdroj), stanoviska a závazná rozhodnutí.

Výroční zprávy sboru.

Rozhodování sboru prostou většinou, jednací řád dvoutřetinovou.

Volba předsedy sboru a místopředsedů.

Úkoly předsedy, svolávání, organizace, lhůty u řešení sporů.

Sekretariát sboru zajišťuje evropský inspektor ochrany údajů pod pokyny předsedy sboru.

Důvěrnost jednání sboru tam, kde to sbor označí.

Právo podat stížnost u dozorového úřadu, zejména v místě bydliště, výkonu práce nebo místě porušení. Bezplatný a nejčastější vstup do vymáhání.

Soudní ochrana proti právně závaznému rozhodnutí úřadu i proti nečinnosti při vyřizování stížnosti.

Soudní ochrana přímo proti správci nebo zpracovateli, nezávisle na stížnosti u úřadu. Žalovat lze v místě provozovny i v místě bydliště subjektu.

Neziskové organizace mohou subjekt zastupovat, případně (pokud to stát umožní) jednat i bez pověření. Kolektivní rozměr, na který navazuje směrnice o zástupných žalobách, do jejíž přílohy AI Act v čl. 110 přidal i sám sebe.

Přerušení řízení při souběžných řízeních o tomtéž zpracování u soudů více států.

Právo na náhradu majetkové i nemajetkové újmy. Správce odpovídá za porušení nařízení, zpracovatel jen za své specifické povinnosti nebo překročení pokynů, solidárně s možností regresu. Liberace jen při prokázání, že za újmu nijak neodpovídá. Samotné porušení nařízení nárok nezakládá, újma ale nemusí překročit žádný práh závažnosti (C-300/21) a nemajetkovou újmou může být i obava ze zneužití údajů po úniku (C-340/21).

Dvě pokutová pásma, do 10 mil. eur nebo 2 % obratu (mj. povinnosti správců a zpracovatelů z čl. 8, 11, 25 až 39, 42, 43) a do 20 mil. eur nebo 4 % obratu (zásady, tituly, práva subjektů, předávání). Kritéria v odst. 2 (povaha, úmysl, mitigace, recidiva, spolupráce) jsou checklist pro argumentaci o výši.

Státy doplní další sankce za porušení nepokrytá pokutami, účinné, přiměřené a odrazující.

Slaďování s právem na svobodu projevu a informací, státy stanoví výjimky pro žurnalistiku a akademický, umělecký a literární projev. V ČR § 17 a násl. zákona č. 110/2019 Sb.

Osobní údaje v úředních dokumentech mohou být zpřístupněny podle předpisů o přístupu k informacím, sladění se svobodným přístupem k informacím.

Státy mohou blíže upravit zpracování národních identifikačních čísel, v ČR rodných čísel.

Otevírací klauzule pro zaměstnanecké kontexty, státy mohou stanovit konkrétnější pravidla pro zpracování v pracovněprávních vztazích (nábor, plnění smlouvy, řízení a ukončení, monitoring).

Záruky pro archivaci ve veřejném zájmu, vědecký a historický výzkum a statistiku (minimalizace, pseudonymizace) a možné odchylky od práv subjektů.

Státy mohou upravit pravomoci úřadu vůči osobám vázaným profesní mlčenlivostí, u nás relevantní mj. pro advokáty.

Církve a náboženská sdružení se zavedenými komplexními pravidly je mohou dál používat, pokud je uvedou do souladu, pod zvláštním dozorem.

Výkon přenesené pravomoci Komise (v GDPR využívané minimálně).

Komitologie pro prováděcí akty, mj. rozhodnutí o odpovídající ochraně a standardní doložky.

Zrušení směrnice 95/46/ES, odkazy na ni se čtou jako odkazy na nařízení. Kontinuita výkladu, stará judikatura zůstává použitelná, kde text zůstal.

Vztah k směrnici o soukromí v elektronických komunikacích (2002/58/ES), kde ePrivacy ukládá zvláštní povinnosti (cookies, elektronický marketing), nepřidává GDPR druhé kolo týchž povinností.

Mezinárodní dohody o předávání uzavřené před nařízením zůstávají v platnosti do změny.

Pravidelné zprávy Komise o hodnocení a přezkumu nařízení.

Komise může navrhovat změny dalších unijních aktů o ochraně údajů kvůli jednotnosti.

Vstup v platnost dvacátým dnem po vyhlášení a použitelnost od 25. 5. 2018. Od toho data se počítá celá éra vymáhání.