Nařízení (EU) 2016/679 (GDPR) · Kapitola II · Zásady
Čl. 11 · Zpracování, které nevyžaduje identifikaci
Znění
-
Pokud účely, pro něž správce zpracovává osobní údaje, od správce nevyžadují nebo již nevyžadují identifikaci subjektu údajů, nemá správce povinnost uchovávat, získávat nebo zpracovávat dodatečné informace za účelem identifikace subjektu údajů výlučně kvůli dosažení souladu s tímto nařízením.
-
Je-li v případech uvedených v odstavci 1 tohoto článku správce s to doložit, že není schopen identifikovat subjekt údajů, informuje o této skutečnosti subjekt údajů, pokud je to možné. V takovýchto případech se neuplatní články 15 až 20, s výjimkou případů, kdy subjekt údajů za účelem výkonu svých práv podle uvedených článků poskytne dodatečné informace umožňující jeho identifikaci.
Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).
Komentář
Správce nemusí dosbírávat identifikační údaje jen proto, aby vyhověl nařízení. Pokud subjekt neidentifikuje, práva z čl. 15 až 20 se nepoužijí, ledaže subjekt identifikaci sám dodá.
Související ustanovení: čl. 4 bod 1 (identifikovatelnost); čl. 5 odst. 1 písm. c) (minimalizace); čl. 12 odst. 2 a 6 (ověření totožnosti žadatele); čl. 15 až 20 (práva subjektu)
Obsah výkladu
I.Zákaz dosbírávání údajů kvůli souladu1 II.Kdy se práva neuplatní a kdy se vrátí3I. Zákaz dosbírávání údajů kvůli souladu
1 Odstavec 1 říká, že nepotřebuje-li správce k svým účelům identifikaci subjektu, nemá povinnost uchovávat, získávat ani zpracovávat dodatečné informace jen proto, aby dosáhl souladu s nařízením. Je to pojistka proti absurdnímu důsledku, kdy by ochrana údajů nutila sbírat víc údajů.
2 Článek 11 tedy hraje ve prospěch minimalizace, ne proti ní. V praxi se uplatní u anonymních nebo pseudonymních služeb, u čítačů návštěvnosti bez přihlášení a u zpracování, kde správce pracuje s identifikátory, ale osoby za nimi nezná.
II. Kdy se práva neuplatní a kdy se vrátí
3 Odstavec 2 na to navazuje: doloží-li správce, že subjekt identifikovat nedokáže, informuje ho o tom, je-li to možné, a články 15 až 20 se neuplatní. Právo na přístup, opravu, výmaz, omezení, oznamovací povinnost a přenositelnost tedy dočasně odpadají.
4 Odpadnutí ale není trvalé. Poskytne-li subjekt dodatečné informace, které jeho identifikaci umožní, práva se vracejí v plném rozsahu. Správce proto nemůže odmítnout žádost jen konstatováním, že „uživatele nevede pod jménem”, pokud mu žadatel nabídne identifikátor, podle kterého ho v systému najde.
5 Důkazní břemeno je opět na správci: musí být „s to doložit, že není schopen identifikovat subjekt údajů”. Tvrzení nestačí.