Čl. 2 · Věcná působnost

Související ustanovení: čl. 3 (místní působnost); čl. 4 body 1, 2 a 6 (osobní údaj, zpracování, evidence); čl. 85 (svoboda projevu); čl. 91 (církve)

Související předpisy EU: směrnice (EU) 2016/680 (ochrana údajů v trestních věcech); nařízení (EU) 2018/1725 (orgány Unie); směrnice 2000/31/ES (elektronický obchod)

Související předpisy ČR: zákon č. 110/2019 Sb., o zpracování osobních údajů, zejména hlava III (provedení směrnice 2016/680)

Judikatura: C-101/01 Lindqvist; C-212/13 Ryneš; C-25/17 Jehovan todistajat; C-345/17 Buivids

I. Čtyři vstupní brány do režimu nařízení

1 Odstavec 1 pokrývá dvě situace. První je „zcela nebo částečně automatizované zpracování osobních údajů”, tedy prakticky cokoli, co prochází přes počítač, telefon nebo kameru. Druhá je neautomatizované zpracování údajů, které „jsou obsaženy v evidenci nebo do ní mají být zařazeny”. Papír tedy pod nařízení spadá, ale jen tehdy, je-li strukturovaný. Volně ležící poznámka na stole evidencí není, šanon řazený podle příjmení ano.

2 Pojem evidence je definován v čl. 4 bodu 6 jako strukturovaný soubor osobních údajů přístupných podle zvláštních kritérií. Rozhoduje tedy dohledatelnost podle kritéria, ne forma nosiče. Kdo si myslí, že se papírové kartotéce vyhne argumentem, že „to není v systému”, plete si nosič se strukturou.

3 Tři podmínky se přitom musí splnit současně a v tomto pořadí: jde o osobní údaj (čl. 4 bod 1), děje se s ním něco, co je zpracováním (čl. 4 bod 2), a to zpracování je automatizované nebo probíhá v evidenci. Vypadne-li kterákoli z nich, nařízení se nepoužije vůbec a není co řešit dál.

II. Výjimka pro osobní a domácí činnost (odst. 2 písm. c)

4 Nejčastěji vzývaná a nejčastěji přeceňovaná výjimka. Text vyjímá zpracování prováděné „fyzickou osobou v průběhu výlučně osobních či domácích činností”. Slovo výlučně nese celou váhu. Jakmile činnost přesáhne osobní či domácí sféru, výjimka padá celá, ne jen zčásti.

5 Soudní dvůr ji vyložil úzce už za předchozí směrnice. Ve věci C-101/01 Lindqvist rozhodl, že zveřejnění údajů o farnících na veřejně přístupné internetové stránce pod výjimku nespadá, protože zpřístupnění neomezenému okruhu lidí není domácí činnost. Ve věci C-212/13 Ryneš pak k domácí kameře uvedl, že snímá-li i veřejné prostranství před domem, výjimka se neuplatní, i když kamera visí na soukromém domě a slouží k ochraně majetku. Obojí je dnes ustálené.

6 Prakticky to znamená, že běžný český případ „kamera na plotě” je v režimu nařízení, jakmile záběr přesáhne pozemek. Nejde přitom o zákaz. Znamená to jen, že nastupují povinnosti: právní titul (zpravidla oprávněný zájem podle čl. 6 odst. 1 písm. f), informování podle čl. 13, přiměřená doba uložení a zabezpečení.

7 Druhá strana téže mince: výjimka chrání soukromou osobu, ne podnikatele. Fotograf, který si vede adresář klientů, není v domácí sféře, i když pracuje z obýváku. Rozhoduje povaha činnosti, ne místo, kde se odehrává.

III. Trestní oblast a činnost mimo právo Unie

8 Odstavec 2 písm. d) vyjímá zpracování prováděné „příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů”. Není to díra v ochraně, je to jiný předpis: tuto oblast upravuje směrnice (EU) 2016/680, kterou Česko provedlo hlavou III zákona č. 110/2019 Sb. Kdo tvrdí, že policie ochraně údajů nepodléhá, cituje jen půlku systému.

9 Klíčové je slovo „příslušnými orgány” a účel. Zpracovává-li týž orgán údaje k jinému účelu než trestnímu (třeba personalistika policejního sboru), je zpátky v GDPR. Působnost se tedy neurčuje podle toho, kdo zpracovává, ale podle toho, k čemu zpracovává.

10 Písmeno a) vyjímá činnosti mimo oblast působnosti práva Unie a písmeno b) společnou zahraniční a bezpečnostní politiku. Obojí je v praxi úzké. Argument „tohle je národní bezpečnost, tedy mimo GDPR” projde jen tam, kde jde skutečně o činnost státu v oblasti, kterou právo Unie neupravuje.

IV. Co působnost nevylučuje

11 Odstavec 4 zachovává směrnici 2000/31/ES o elektronickém obchodu, zejména pravidla o odpovědnosti poskytovatelů zprostředkovatelských služeb. Vyloučení odpovědnosti za cizí obsah podle té směrnice tedy nařízení neruší, ale ani neposkytuje imunitu vůči vlastnímu zpracování poskytovatele.

12 Odstavec 3 řeší orgány a instituce Unie, na které se GDPR nevztahuje; platí pro ně nařízení (EU) 2018/1725. Odkaz v textu na nařízení (ES) č. 45/2001 je historický, uvedené nařízení bylo nahrazeno.