Nařízení (EU) 2016/679 (GDPR) · Kapitola II · Zásady

Čl. 6 · Zákonnost zpracování

Znění

Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;

b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy;

c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;

d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;

e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;

f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.

Členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.
Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:

a) právem Unie nebo

b) právem členského státu, které se na správce vztahuje.

Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.

Pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1, zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné:

a) jakoukoli vazbu mezi účely, kvůli nimž byly osobní údaje shromážděny, a účely zamýšleného dalšího zpracování;

b) okolnosti, za nichž byly osobní údaje shromážděny, zejména pokud jde o vztah mezi subjekty údajů a správcem;

c) povahu osobních údajů, zejména zda jsou zpracovávány zvláštní kategorie osobních údajů podle článku 9 nebo osobní údaje týkající se odsouzení v trestních věcech a trestných činů podle článku 10;

d) možné důsledky zamýšleného dalšího zpracování pro subjekty údajů;

e) existenci vhodných záruk, mezi něž může patřit šifrování nebo pseudonymizace.

Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).

Komentář

Šest právních titulů, souhlas, smlouva, právní povinnost, životně důležité zájmy, veřejný zájem a oprávněný zájem. Oprávněný zájem vyžaduje balanční test proti právům subjektu. Odst. 4 řeší slučitelnost nového účelu s původním. První otázka každé analýzy zpracování zní, o který titul se opírá. Oprávněným zájmem může být i zájem čistě komerční (C-621/22 KNLTB), personalizovaná reklama Mety se ale o něj opřít nedokázala a porušení nařízení smí posoudit i soutěžní úřad (C-252/21 Meta Platforms).

Související ustanovení: čl. 5 odst. 1 písm. a) (zásada zákonnosti); čl. 7 (souhlas); čl. 9 (zvláštní kategorie); čl. 13 odst. 1 písm. c) a d) (informování o titulu a oprávněném zájmu); čl. 21 (námitka); čl. 22 (automatizované rozhodování)

Související předpisy ČR: § 5 zákona č. 110/2019 Sb. (zpracování pro plnění právní povinnosti a úkolu ve veřejném zájmu)

Judikatura: C-621/22 KNLTB; C-252/21 Meta Platforms; C-13/16 Rīgas satiksme; C-597/19 Mircom; C-40/17 Fashion ID

Obsah výkladu

I.Šest titulů, jeden musí sedět1 II.Souhlas jako nejslabší z titulů4 III.Nezbytnost pro smlouvu (písm. b)7 IV.Právní povinnost a veřejný zájem (písm. c a e)10 V.Oprávněný zájem a balanční test (písm. f)13 VI.Změna účelu podle odstavce 420

I. Šest titulů, jeden musí sedět

1 Odstavec 1 dává šest titulů: souhlas, nezbytnost pro smlouvu, právní povinnost, životně důležité zájmy, úkol ve veřejném zájmu nebo při výkonu veřejné moci a oprávněný zájem. Výčet je uzavřený. Sedmý titul neexistuje, takže odpověď „zpracováváme to, protože to potřebujeme” žádným titulem není.

2 Tituly se nesčítají a nezáleží na tom, kolik jich správce vyjmenuje. Text odstavce 1 sám žádá „nejméně jednu” podmínku; požadavek, aby se pro každý účel určil právě jeden titul, plyne z pokynů EDPB 2/2019, ne z nařízení. Praktický důvod je ale silný. Praxe „souhlas, a kdyby náhodou, tak oprávněný zájem” je vadná dvakrát: subjekt neví, co odvoláním souhlasu způsobí, a informace podle čl. 13 odst. 1 písm. c) je nepravdivá.

3 Titul se určuje předem, ne až v řízení. Změnit ho zpětně nejde, protože by to znamenalo, že subjekt byl po celou dobu informován nesprávně. Tohle je nejčastější důvod, proč se obhajoba u dozorového úřadu hroutí i tam, kde by zpracování samo o sobě obstálo.

II. Souhlas jako nejslabší z titulů

4 Souhlas se v Česku pokládá za bezpečnou volbu a je to omyl. Je odvolatelný kdykoli (čl. 7 odst. 3), po odvolání zpracování končí, musí být prokazatelný a u nerovnovážných vztahů je zpochybnitelný ze své podstaty.

5 Ve vztahu zaměstnavatel a zaměstnanec je souhlas použitelný jen výjimečně, protože svobodu volby narušuje závislost. Totéž platí u veřejné moci: kde úřad zpracovává údaje k výkonu své působnosti, je titulem písmeno c) nebo e), ne souhlas. Vyžádaný souhlas tam navíc vytváří falešné očekávání, že jeho odvoláním zpracování skončí.

6 Souhlas má naopak nezastupitelné místo tam, kde zpracování není nutné k ničemu jinému než k tomu, co si subjekt sám přeje: newsletter, fotografie z akce k propagaci, cookies nad rámec nezbytných.

III. Nezbytnost pro smlouvu (písm. b)

7 Titul kryje zpracování „nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy”. Tohle je konsolidované znění po opravě; starší materiály citují formulaci „pro provedení opatření přijatých před uzavřením smlouvy”, která pochází z původního vyhlášení. Klíčové slovo je nezbytnost, ne existence smlouvy.

8 Test: bez toho zpracování by plnění smlouvy nebylo možné, nebo by bylo podstatně jiné? Adresa u zásilkového prodeje projde. Profilování pro personalizovanou reklamu neprojde jen proto, že je zmíněno v obchodních podmínkách. Ve věci C-252/21 Meta Platforms Soudní dvůr uzavřel, že personalizovaná reklama nezbytná pro plnění smlouvy o sociální síti není, a odmítl i to, aby se opřela o oprávněný zájem za tehdejších okolností.

9 Titul zaniká spolu s účelem. Po skončení smlouvy zpracování obvykle pokračuje na jiném titulu (typicky právní povinnost u účetních dokladů nebo oprávněný zájem u obrany proti nárokům), a je to jiný titul s jinou dobou uložení.

IV. Právní povinnost a veřejný zájem (písm. c a e)

10 Písmeno c) předpokládá povinnost uloženou právem Unie nebo členského státu. Nestačí obchodní zvyklost ani smluvní závazek vůči třetí straně. Odstavec 3 navíc žádá, aby základ takového zpracování byl stanoven právem; nařízení tedy samo o sobě nový důvod nezakládá, jen otevírá prostor pro vnitrostátní úpravu.

11 V Česku k tomu slouží § 5 zákona č. 110/2019 Sb., podle kterého je správce oprávněn zpracovávat osobní údaje, je-li to nezbytné pro splnění povinnosti uložené právním předpisem nebo úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci.

12 Písmeno e) se neváže jen na orgány veřejné moci. Použije ho i soukromý subjekt, kterému byl veřejný úkol svěřen. Na rozdíl od oprávněného zájmu se u něj neprovádí balanční test, ale nastupuje čl. 21 odst. 1: subjekt může vznést námitku a správce ji musí vypořádat.

V. Oprávněný zájem a balanční test (písm. f)

13 Nejpružnější a nejvíc zneužívaný titul. Vyžaduje trojtest: existuje oprávněný zájem správce nebo třetí strany, je zpracování k jeho dosažení nezbytné, a nepřevažují nad ním zájmy nebo základní práva a svobody subjektu údajů. Všechny tři kroky musí projít.

14 Zájem nemusí být ušlechtilý. Ve věci C-621/22 KNLTB Soudní dvůr potvrdil, že oprávněným zájmem může být i zájem čistě komerční, pokud projde zbytkem testu. To vyvrací rozšířený český názor, že marketingový zájem se o písmeno f) opřít nemůže.

15 Nezbytnost se posuzuje jako u ostatních titulů: existuje méně zásahová cesta k témuž cíli? Pokud ano, test padá už ve druhém kroku a k poměřování se vůbec nedojde.

16 Ve třetím kroku se poměřuje. Rozhodují rozumná očekávání subjektu (bod 47 odůvodnění), povaha údajů, vztah mezi stranami, možné důsledky a existující záruky. Ve věci C-13/16 Rīgas satiksme Soudní dvůr uznal jako oprávněný zájem i zjištění totožnosti osoby, která způsobila škodu, aby ji bylo možné žalovat.

17 Test musí proběhnout předem, tedy před zahájením zpracování; opačné pořadí by z poměřování udělalo dodatečné ospravedlnění. Sám čl. 6 ale žádnou listinu ani formu nepředepisuje a pojem „balanční test” v nařízení nestojí. Povinnost jej zdokumentovat plyne ze zásady odpovědnosti podle čl. 5 odst. 2: správce musí být schopen soulad doložit, a bez záznamu to u oprávněného zájmu nedoloží. Totéž doporučují pokyny EDPB 1/2024 k oprávněnému zájmu, zatím ve verzi přijaté k veřejné konzultaci.

18 Praktický závěr je proto tenhle: test proveďte předem a zdokumentujte ho tak, abyste soulad prokázali. Konkrétní podoba (samostatný dokument, zápis v záznamech podle čl. 30, protokol z porady) je na správci. Test, který dopadne ve prospěch správce ve všech případech, obvykle znamená, že se poměřovalo jen naoko.

19 Písmeno f) se nepoužije na zpracování prováděné orgány veřejné moci při plnění jejich úkolů. Věta je v textu výslovně a v praxi se přehlíží; úřad se na oprávněný zájem odvolávat nemá.

VI. Změna účelu podle odstavce 4

20 Odstavec 4 řeší, kdy lze údaje použít k jinému účelu, než pro který byly získány, bez nového titulu. Nastupuje test slučitelnosti s pěti hledisky: vazba mezi účely, okolnosti získání a vztah mezi subjektem a správcem, povaha údajů (zejména jde-li o zvláštní kategorie), možné důsledky a existence vhodných záruk včetně šifrování nebo pseudonymizace.

21 Test se nepoužije tam, kde nové zpracování stojí na souhlasu nebo na právu Unie či členského státu. U zákonného základu ale text přidává kvalifikaci, kterou je snadné přehlédnout: musí jít o právo, které „v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1”. Ne každý zákonný základ tedy test slučitelnosti vypíná.