Čl. 5 · Zásady zpracování osobních údajů

Související ustanovení: čl. 6 (tituly); čl. 13 a 14 (transparentnost v praxi); čl. 24 a 25 (jak zásady doložit a promítnout do návrhu); čl. 32 (zabezpečení); čl. 89 (výjimky pro archivaci a výzkum); čl. 83 odst. 5 písm. a) (nejvyšší pokutové pásmo)

Související předpisy EU: čl. 8 Listiny základních práv EU

Judikatura: C-621/22 KNLTB; C-252/21 Meta Platforms; C-77/21 Digi; C-340/21 (zabezpečení)

I. Osm zásad a proč se čtou najednou

1 Odstavec 1 obsahuje šest písmen a v nich sedm pojmenovaných zásad, protože písmeno a) nese tři naráz: zákonnost, korektnost a transparentnost. Odstavec 2 přidává osmou, odpovědnost. Nejde o proklamace. Porušení kterékoli z nich patří podle čl. 83 odst. 5 písm. a) do vyššího pokutového pásma, tedy až do 20 000 000 EUR, a jde-li o podnik, až do 4 % celkového ročního obratu celosvětově, podle toho, která hodnota je vyšší.

2 Zásady se uplatní na každé zpracování současně a nezávisle na sobě. To má praktický důsledek v obraně i v útoku: doložit právní titul nestačí, protistrana se pořád může opřít o minimalizaci nebo o dobu uložení. A obráceně, výtka „porušili jste GDPR” je bez uvedení konkrétní zásady nebo článku prakticky nepřezkoumatelná.

3 Pořadí písmen odpovídá životnímu cyklu údaje: proč je smím vzít (a), k čemu (b), kolik (c), v jaké kvalitě (d), jak dlouho (e), a jak zabezpečené (f). Když se někdo v analýze ztratí, obvykle pomůže projít je v tomhle pořadí.

II. Zákonnost, korektnost a transparentnost (písm. a)

4 Zákonnost odkazuje na čl. 6, případně na čl. 9 u zvláštních kategorií. Sama o sobě neříká víc, než že zpracování musí mít titul.

5 Korektnost (v anglickém znění fairness) je nejméně používaná a přitom nejsilnější zásada. Zakazuje zpracování, které je formálně v pořádku, ale vůči subjektu nepoctivé: skryté, manipulativní, překvapivé nebo takové, které využívá nerovnováhy sil. Právě korektností se odůvodňují závěry proti tzv. temným vzorcům v rozhraních, i když souhlas byl formálně vybrán. Je to zásada, kterou lze argumentovat tam, kde jiný článek chybí.

6 Transparentnost není totéž co informační povinnost podle čl. 13 a 14. Ty stanoví, co se musí sdělit; transparentnost jako zásada říká, že celé zpracování má být pro subjekt čitelné. Splnit doslovný výčet čl. 13 formulářem, kterému nikdo nerozumí, zásadu neplní.

III. Účelové omezení a slučitelnost (písm. b)

7 Údaje se shromažďují „pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný”. Tři přívlastky u účelu jsou tři samostatné požadavky. Účel „pro obchodní účely” neobstojí v žádném z nich: není určitý, není výslovně vyjádřený a legitimitu z něj nelze posoudit.

8 Slučitelnost není totéž co totožnost. Nařízení nezakazuje použít údaje k novému účelu, zakazuje účel neslučitelný. Test slučitelnosti je v čl. 6 odst. 4 a bere v úvahu vazbu mezi účely, okolnosti získání, povahu údajů, možné důsledky a existující záruky.

9 Text sám z neslučitelnosti vyjímá archivaci ve veřejném zájmu, vědecký a historický výzkum a statistiku, a to za podmínek čl. 89 odst. 1. Je to výjimka podmíněná zárukami, ne volná jízdenka.

10 Praktický dopad na dokumentaci: účel se určuje v okamžiku shromáždění. Doplnit ho zpětně do záznamů o činnostech zpracování jde, ale nezhojí to, že v době sběru určen nebyl. Právě proto se v kontrolách ptá na verze dokumentů, ne jen na jejich současný stav.

IV. Minimalizace, přesnost, omezení uložení (písm. c až e)

11 Minimalizace žádá, aby údaje byly „přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu”. Nezbytnost se poměřuje k účelu, ne k pohodlí správce. Test, který v praxi funguje: kdyby ten údaj chyběl, šlo by účelu dosáhnout? Pokud ano, je nadbytečný.

12 Nejčastější porušení minimalizace v Česku nejsou databáze, ale formuláře: rodné číslo v přihlášce, kde by stačil rok narození, kopie občanského průkazu tam, kde stačí ověření totožnosti pohledem, nebo povinná kolonka „zaměstnavatel” u služby, která na něm nezávisí.

13 Přesnost se často čte jako povinnost mít pravdivé údaje. Text je ale jiný: údaje mají být „přesné a v případě potřeby aktualizované” a mají být přijata „veškerá rozumná opatření”, aby nepřesné údaje byly bezodkladně vymazány nebo opraveny. Je to tedy povinnost procesu, ne záruka výsledku.

14 Zásada přesnosti má i druhou stranu, na kterou se zapomíná: přesností se neposuzuje pravdivost názoru. Je-li v evidenci zaznamenáno hodnocení, přesným údajem je to, že hodnocení bylo takto vysloveno, ne to, že je správné. Proto právo na opravu podle čl. 16 u hodnotících záznamů obvykle nevede k jejich přepsání.

15 Omezení uložení žádá dobu ne delší, než je nezbytné. Nařízení lhůty nestanoví; odvozují se od účelu a od jiných předpisů (účetnictví, archivace, promlčení). Nejčastější vada je opačná, než se čeká: ne příliš krátké lhůty, ale žádné. Skartační či retenční plán, který nikdo nepoužívá, je z hlediska odstavce 2 stejný jako žádný.

V. Integrita a důvěrnost (písm. f)

16 Zásada zabezpečení je tady vyslovena obecně a rozvedena v čl. 32. Slovo „náležité” znamená přiměřené riziku, ne absolutní. Nařízení nikde nežádá, aby zabezpečení bylo neprolomitelné.

17 Z toho plyne obrana, kterou potvrdil i Soudní dvůr ve věci C-340/21: sama skutečnost, že došlo k úspěšnému útoku, neprokazuje, že opatření byla nevhodná. Posuzuje se přiměřenost riziku v době přijetí opatření. Důkazní břemeno ohledně vhodnosti opatření ale nese správce.

VI. Odpovědnost podle odstavce 2

18 Odstavec 2 obrací důkazní situaci. Správce nejen odpovídá za dodržení zásad, ale „musí být schopen toto dodržení souladu doložit”. Nedoložený soulad se v řízení blíží nesouladu. Tohle je jediná věta, ze které plyne většina dokumentační zátěže celého nařízení.

19 Doložit znamená doložit v čase. Záznamy podle čl. 30, posouzení podle čl. 35, balanční testy u oprávněného zájmu, protokoly o přístupech a doklady o školení jsou tím, čím se odstavec 2 plní. Zpětně sepsaný dokument s dnešním datem k tvrzení o stavu před dvěma lety nepomůže.

20 Odpovědnost podle odstavce 2 tíží správce, ne zpracovatele. Zpracovatel má vlastní, užší okruh povinností (čl. 28, 30 odst. 2, 32, 33 odst. 2) a odpovídá podle čl. 82 odst. 2 jen za jejich porušení nebo za jednání mimo pokyny správce.