Body odůvodnění

Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů, dále „GDPR” nebo „nařízení”) předchází vlastní normativní části preambule o 173 bodech odůvodnění (recitálech). Tato stať s nimi zachází jako se samostatnou výkladovou vrstvou. Nejprve vymezuje jejich povahu a výkladovou váhu (oddíl I), pak z nich tematicky vytahuje důvody a výkladová pravidla pro jednotlivé kapitoly normativního textu (oddíly II až X) a nakonec nabízí orientační mapu, která hlavní shluky recitálů přiřazuje ke konkrétním článkům (oddíl XI). Znění recitálů se přebírá z autentického českého vyhlášení v Úředním věstníku Evropské unie ze dne 4. 5. 2016 ve znění oprav; odkazuji na ně číslem bodu.

I. Povaha a výkladová váha bodů odůvodnění

1 Body odůvodnění nejsou normativní. Nezakládají práva ani povinnosti a nelze z nich přímo vyvodit závazné pravidlo chování. Závazný obsah nese jen normativní část nařízení, tedy jeho články. Recitál sám o sobě není právním základem povinnosti ani zákazu. Zdůrazňuji to hned na začátku, protože v české praxi je běžné citovat pregnantně formulovaný recitál, jako by šlo o ustanovení. Takové užití je metodicky vadné a v řízení se dá napadnout.

2 Zároveň nejde o dekoraci. Recitály pocházejí od téhož zákonodárce, který přijal normativní text, a byly přijaty v témže aktu. Plní roli, kterou ve vnitrostátním právu plní důvodová zpráva, s tím rozdílem, že jsou součástí vyhlášeného aktu, a mají proto výkladovou váhu vyšší než externí přípravné materiály.

3 Funkce recitálů je teleologická a systematická. Při teleologickém výkladu určují účel, ve jehož světle se čte nejednoznačné znění článku; při systematickém pomáhají zařadit ustanovení do celku. U GDPR k tomu přistupuje třetí funkce, která je tu silnější než u jiných nařízení: řada recitálů obsahuje konkrétní příklady, které v normativním textu chybějí. Právě podle nich se v praxi rozhoduje většina hraničních případů.

4 Výkladová váha má pevnou mez. Podle ustálených zásad výkladu práva Unie nemají body odůvodnění závaznou právní sílu a nelze se jich dovolávat proti jasnému znění článku ani k odchýlení se od něj. Prakticky z toho plyne trojí pravidlo. Je-li znění článku jasné, rozhoduje článek a recitál slouží nanejvýš k potvrzení. Je-li znění víceznačné, je recitál silným argumentem pro to čtení, které odpovídá vyjádřenému účelu. Je-li mezi recitálem a článkem rozpor, přednost má článek.

5 U GDPR je tenhle rozdíl praktičtější než jinde ze dvou důvodů. Za prvé, normativní text je záměrně technologicky neutrální (bod 15), takže konkrétní obsah získává až z příkladů v recitálech. Za druhé, Soudní dvůr se o recitály opírá velmi často a jeho rozsudky pak recitálový výklad povyšují na závazný. Kdo cituje recitál podpořený rozsudkem, argumentuje jinak silně než ten, kdo cituje recitál samotný.

6 Tři recitály mají v praxi zvláštní postavení, protože jejich obsah v článcích prakticky není a bez nich by příslušné ustanovení nešlo použít: bod 26 (identifikovatelnost a anonymizace), bod 47 (rozumné očekávání jako jádro balančního testu) a bod 75 (katalog rizik, o který se opírá celý risk-based přístup). Vrací se v celém komentáři.

II. Účel, vnitřní trh a proporcionalita

7 Body 1 až 13 nesou důvodovou zprávu nařízení. Bod 1 začíná tím, že ochrana osobních údajů je základním právem, a odkazuje na čl. 8 odst. 1 Listiny a čl. 16 odst. 1 Smlouvy o fungování EU. Bod 2 dodává, že pravidla mají přispívat k dotvoření prostoru svobody, bezpečnosti a práva a k hospodářské unii.

8 Bod 4 obsahuje nejcitovanější větu celé preambule a vyplatí se ji znát doslova: „Zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy.” Je to nejúčinnější argument proti maximalistickému výkladu kterékoli povinnosti a používá ho i Soudní dvůr.

9 Body 3, 5 až 9 vysvětlují, proč se ze směrnice přešlo na nařízení. Roztříštěnost provádění, právní nejistota a rozdílná úroveň ochrany podle bodu 9 vedly k překážkám vnitřního trhu. Bod 10 proto žádá soudržnou a vysokou úroveň ochrany a odstranění překážek pohybu údajů; obojí naráz, ne jedno na úkor druhého.

10 Bod 8 a bod 41 řeší otevírací klauzule. Podle bodu 8 mohou členské státy prvky nařízení začlenit do vnitrostátního práva, je-li to nutné pro soudržnost a srozumitelnost. Podle bodu 41 nemusí být „právní základ” nutně legislativní akt přijatý parlamentem, ale musí být jasný, přesný a jeho použití předvídatelné. To je použitelné vodítko při posuzování, zda česká úprava obstojí jako základ podle čl. 6 odst. 3.

11 Bod 15 zakotvuje technologickou neutralitu, aby se nedalo obcházet volbou technologie, a bod 170 uzavírá proporcionalitou a subsidiaritou: nařízení nepřekračuje rámec toho, co je nezbytné.

III. Působnost a hranice nařízení

12 Body 14 až 25 vymezují, kdo a co spadá dovnitř. Bod 14 říká, že ochrana se týká fyzických osob bez ohledu na státní příslušnost a bydliště a že se nevztahuje na údaje o právnických osobách, včetně názvu, právní formy a kontaktních údajů. Bod 27 dodává, že nařízení nedopadá na osobní údaje zesnulých osob, ale členské státy si to mohou upravit; Česko takovou úpravu nemá.

13 Bod 18 je vodítkem k domácí výjimce a je konkrétnější než čl. 2 odst. 2 písm. c). Jmenuje korespondenci, vedení kontaktů, sociální sítě a on-line aktivity v souvislosti s těmito činnostmi, ale hned dodává, že nařízení se vztahuje na správce a zpracovatele, kteří pro takové osobní činnosti poskytují prostředky. Poskytovatel sociální sítě tedy pod výjimku nespadá, i když ji její uživatel používá soukromě.

14 Bod 19 odděluje trestní oblast (dnes směrnice 2016/680) a bod 20 řeší soudy: nařízení se na jejich činnost vztahuje, ale příslušnost dozorových úřadů nemá zahrnovat zpracování při výkonu soudních pravomocí, aby nebyla dotčena nezávislost soudnictví.

15 Body 22 až 25 vykládají čl. 3. Bod 22 upřesňuje, že provozovna předpokládá „účinný a skutečný výkon činnosti prostřednictvím stálého uspořádání”, přičemž právní forma není určující. Bod 23 dává vodítko k cílení: pouhá dostupnost webu, e-mailové adresy nebo jiných kontaktů nestačí, rozhoduje zjevný úmysl nabízet služby, jehož indiciemi jsou jazyk, měna a možnost objednat v tomto jazyce. Bod 24 vykládá monitorování jako sledování na internetu včetně následného profilování, zejména pro rozhodnutí o osobě nebo pro analýzu jejích preferencí a postojů.

IV. Pojmy: osobní údaj, pseudonymizace, souhlas

16 Bod 26 je nejdůležitější recitál celého nařízení, protože obsahuje test, který v článku 4 není. Pseudonymizované údaje jsou osobními údaji. Při určování identifikovatelnosti se přihlíží ke „všem prostředkům, jako je například výběr vyčleněním, o nichž lze rozumně předpokládat”, že je použije správce nebo jiná osoba, a to s přihlédnutím k nákladům, času a dostupné technologii. Poslední věta uzavírá, že nařízení se netýká anonymních informací.

17 Bod 28 a 29 popisují pseudonymizaci jako opatření snižující riziko a výslovně dodávají, že jejím zavedením nemají být vyloučena jiná opatření. Nejde tedy o cestu ven z nařízení, ale o způsob, jak plnit čl. 25 a 32.

18 Bod 30 je právním základem pro zacházení s on-line identifikátory. Jmenuje adresy internetového protokolu, identifikátory cookies a identifikátory rádiové frekvence a říká, že mohou zanechávat stopy, které ve spojení s jedinečnými identifikátory a dalšími informacemi mohou být použity k profilování a identifikaci. Odtud vede přímá linka k rozsudku C-582/14 Breyer.

19 Body 32, 42 a 43 nesou výklad souhlasu, který je v čl. 4 bodu 11 a čl. 7 jen naznačen. Bod 32 vylučuje mlčení, předem zaškrtnutá políčka i nečinnost a žádá, aby souhlas pokrýval všechny operace prováděné pro tentýž účel. Bod 43 přidává dvě konkrétní situace, kdy souhlas není svobodný: zřejmá nerovnováha mezi subjektem a správcem, „zejména pokud je správcem orgán veřejné moci”, a podmínění plnění smlouvy souhlasem, který k plnění není nutný.

20 Bod 33 obsahuje výjimku pro vědecký výzkum, o kterou se opírá tzv. široký souhlas: často nelze účel v době shromažďování plně stanovit, a proto by mělo být možné dát souhlas s určitými oblastmi výzkumu při dodržení uznávaných etických standardů. Je to výjimka z požadavku konkrétnosti, ne z požadavku informovanosti.

21 Body 34, 35 a 51 až 56 vykládají zvláštní kategorie. Bod 35 je u údajů o zdravotním stavu velmi široký: patří sem veškeré údaje vypovídající o minulém, současném i budoucím zdravotním stavu, včetně čísla, symbolu nebo identifikátoru přiděleného osobě pro zdravotnické účely a včetně informací získaných z testování části těla. Bod 51 zároveň říká, že zpracování fotografií není automaticky zpracováním zvláštní kategorie: fotografie spadá pod biometrické údaje jen tehdy, je-li zpracovávána zvláštními technickými prostředky umožňujícími jedinečnou identifikaci. Tenhle rozdíl se v Česku plete nejčastěji.

V. Zákonnost zpracování a oprávněný zájem

22 Body 39 až 50 vykládají čl. 5 a 6. Bod 39 je nejobsáhlejší k zásadám a obsahuje mimo jiné požadavek, aby doba uložení byla omezena „na nezbytně nutné minimum” a aby správce stanovil lhůty pro výmaz nebo pravidelný přezkum. Ten požadavek pravidelného přezkumu v čl. 5 odst. 1 písm. e) výslovně není a bere se právě odsud.

23 Bod 47 nese jádro balančního testu u oprávněného zájmu. Zohledňuje se „přiměřené očekávání subjektu údajů na základě jeho vztahu se správcem” a zájem může být dán tam, kde existuje relevantní a odpovídající vztah, například je-li subjekt zákazníkem správce nebo mu slouží. Poslední věta bodu je nejcitovanější: „Za oprávněný zájem by bylo možné považovat zpracování osobních údajů pro účely přímého marketingu.” Neznamená to, že marketing testem vždy projde, znamená to, že o něj lze test opřít.

24 Bod 47 zároveň obsahuje mez, která se cituje méně: existenci oprávněného zájmu je třeba pečlivě posoudit včetně toho, zda subjekt může v době a v kontextu shromáždění důvodně očekávat, že ke zpracování pro daný účel může dojít. A výslovně dodává, že zájmy správce nepřevažují tam, kde jsou údaje zpracovávány za okolností, za nichž subjekty takové zpracování neočekávají.

25 Bod 48 uznává oprávněný zájem na předávání údajů uvnitř skupiny podniků pro vnitřní administrativní účely, včetně údajů o klientech a zaměstnancích. Bod 49 uznává oprávněný zájem na zpracování pro zajištění bezpečnosti sítí a informací, tedy pro obranu proti kybernetickým útokům. Obojí jsou hotové argumenty, které se v českých balančních testech skoro nepoužívají.

26 Bod 50 rozvádí test slučitelnosti u nového účelu a je konkrétnější než čl. 6 odst. 4. Uvádí mimo jiné, že další zpracování pro účely archivace ve veřejném zájmu, vědeckého nebo historického výzkumu či statistiky se má považovat za slučitelné, a že zpracování na základě právního předpisu, který je nezbytným a přiměřeným opatřením k ochraně vyjmenovaných cílů, se posuzuje samostatně.

27 Bod 45 a 41 upřesňují, co se rozumí právním základem u zpracování podle čl. 6 odst. 1 písm. c) a e). Nemusí být pro každé jednotlivé zpracování vyžadován zvláštní zákon; může postačit, že zákon slouží jako základ pro několik operací. To je použitelné u veřejné správy, kde by opačný výklad ochromil běžnou činnost.

VI. Práva subjektu údajů

28 Body 58 až 73 vykládají kapitolu III. Bod 58 přidává k transparentnosti požadavek, který v čl. 12 není doslova: informace mohou být poskytovány elektronicky, například prostřednictvím internetových stránek, a mají-li být určeny veřejnosti, mají být „stručné, snadno přístupné a srozumitelné”. Zmiňuje také možnost použít standardizované ikony, což je základ pro čl. 12 odst. 7 a 8.

29 Bod 63 rozšiřuje právo na přístup dvěma konkrétními směry. Za prvé, výslovně zahrnuje přístup k údajům o zdravotním stavu, „například k údajům ve své lékařské dokumentaci, která obsahuje například informace o diagnóze, výsledky vyšetření, posudky ošetřujících lékařů a údaje o veškeré léčbě”. Za druhé, doporučuje, aby správce tam, kde zpracovává velké množství údajů, mohl subjekt požádat o upřesnění, kterých informací nebo operací se žádost týká.

30 Bod 64 řeší ověřování totožnosti a dodává mez, která se přehlíží: správce by neměl uchovávat osobní údaje pouze proto, aby byl schopen reagovat na potenciální žádosti. Nelze tedy sbírat víc údajů jen kvůli tomu, aby šlo ověřovat žadatele.

31 Bod 65 a 66 vykládají právo na výmaz. Bod 65 jmenuje typickou situaci, kdy subjekt udělil souhlas jako dítě a nebyl si plně vědom rizik. Bod 66 popisuje rozšíření práva v internetovém prostředí: správce, který údaje zveřejnil, má podniknout přiměřené kroky včetně technických opatření, aby informoval další správce zpracovávající odkazy, kopie či replikace.

32 Bod 67 vypočítává, jak lze omezit zpracování: dočasným přesunem do jiného systému, znepřístupněním uživatelům nebo dočasným odstraněním zveřejněných údajů z webu. U automatizovaných rejstříků má být omezení zajištěno technickými prostředky tak, aby údaje nebyly dále zpracovávány a nebylo možné je měnit.

33 Bod 68 upřesňuje přenositelnost. Právo se týká údajů, které subjekt poskytl, nemá se vztahovat na zpracování nezbytné pro splnění právní povinnosti či úkolu ve veřejném zájmu, a výslovně dodává, že „by nemělo vést k povinnosti, aby správci přijali nebo zachovali systémy zpracování, které jsou technicky slučitelné”.

34 Bod 70 je u námitky proti přímému marketingu jednoznačný: právo lze uplatnit kdykoli a bezplatně a subjekt na ně má být výslovně upozorněn způsobem odlišeným od jiných informací. Odtud plyne požadavek na sazbu v čl. 21 odst. 4.

35 Bod 71 je nejpodstatnější recitál k automatizovanému rozhodování. Uvádí příklady (automatické zamítnutí on-line žádosti o úvěr, elektronický nábor bez lidského zásahu), žádá vhodné záruky včetně „konkrétních informací” a práva „na lidský zásah, právo vyjádřit svůj názor, právo obdržet vysvětlení k rozhodnutí učiněnému na základě takového posouzení a právo toto rozhodnutí napadnout”. Právo obdržet vysvětlení tedy stojí právě zde, ne v čl. 22 odst. 3.

36 Poslední odstavec bodu 71 přidává požadavek, který se v praxi téměř nepoužívá, ačkoli je velmi silný: správce by měl použít vhodné matematické či statistické postupy, zavést opatření zajišťující opravu nepřesností a minimalizaci rizika chyb a zabezpečit údaje tak, aby se zabránilo diskriminačním účinkům mimo jiné na základě rasového či etnického původu, zdravotního stavu nebo sexuální orientace. Je to přímý předchůdce požadavků na kvalitu dat v AI Actu.

VII. Povinnosti správce a zpracovatele

37 Body 74 až 100 vykládají kapitolu IV a nesou celý rizikově založený přístup. Bod 75 je jeho katalogem: vyjmenovává rizika od diskriminace, krádeže či zneužití identity a finanční ztráty přes poškození pověsti a ztrátu důvěrnosti až po neoprávněné zrušení pseudonymizace a situace, kdy jsou subjekty zbaveny svých práv nebo jim je bráněno v kontrole nad jejich údaji. Kdo píše posouzení rizik podle čl. 24, 32 nebo 35, má tenhle bod používat jako osnovu.

38 Bod 76 dodává metodu: pravděpodobnost a závažnost rizika se určí na základě povahy, rozsahu, kontextu a účelů zpracování a riziko se vyhodnotí na základě objektivního posouzení. Bod 77 zmiňuje pokyny sboru a kodexy chování jako zdroje vodítek.

39 Bod 78 je základem čl. 25 a jmenuje konkrétní opatření: minimalizaci, co nejrychlejší pseudonymizaci, transparentnost ohledně funkcí a zpracování, umožnění monitorování zpracování subjektem a možnost správce vytvářet a zdokonalovat bezpečnostní prvky. Dodává, že tyto zásady mají zohledňovat i výrobci produktů a poskytovatelé služeb, byť pro ně nařízení povinnost přímo nestanoví.

40 Bod 82 vysvětluje smysl záznamů podle čl. 30: mají sloužit k doložení souladu a k monitorování zpracování dozorovým úřadem. Bod 89 pak vysvětluje, proč nahradily obecnou oznamovací povinnost ze směrnice 95/46/ES, která podle téhož bodu vedla k administrativní a finanční zátěži, aniž ve všech případech přispěla ke zlepšení ochrany.

41 Body 83 a 87 se týkají zabezpečení a incidentů. Bod 83 žádá posoudit rizika a přijmout opatření ke zmírnění, mimo jiné šifrování, s ohledem na stav techniky a náklady. Bod 87 obsahuje větu, ze které se odvozuje běh lhůty podle čl. 33: mělo by být zjištěno, zda byla zavedena opatření, aby se okamžitě stanovilo, zda k porušení došlo, a aby o něm byl bezodkladně informován dozorový úřad i subjekt.

42 Bod 85 je nejcennější u čl. 33 a 34, protože definuje, co je vlastně újmou z incidentu: ztráta kontroly nad údaji, omezení práv, diskriminace, krádež či zneužití identity, finanční ztráta, neoprávněné zrušení pseudonymizace, poškození pověsti nebo jiné významné hospodářské či společenské znevýhodnění. Tenhle výčet používají soudy i při posuzování nemajetkové újmy podle čl. 82.

43 Body 90 až 95 vykládají DPIA. Bod 91 upřesňuje pojem rozsáhlého zpracování a zároveň jej vylučuje u zpracování osobních údajů pacientů nebo klientů jednotlivým lékařem, jiným zdravotníkem nebo advokátem. Bod 92 připouští širší posouzení pro více projektů naráz, typicky u orgánů veřejné moci nebo tam, kde se zavádí společná aplikace či platforma napříč odvětvím.

44 Bod 97 vykládá, kdy je pověřenec povinný, a dodává, že úroveň odborných znalostí se má určit podle prováděných operací a podle požadované ochrany. Bod 96 žádá konzultaci dozorového úřadu už při přípravě legislativního opatření.

VIII. Předávání do třetích zemí

45 Body 101 až 116 vykládají kapitolu V. Bod 101 formuluje základní pravidlo: toky údajů do třetích zemí jsou nezbytné pro mezinárodní obchod a spolupráci, ale úroveň ochrany zaručená nařízením nesmí být předáním znehodnocena, a to ani při dalším předání.

46 Body 104 a 105 dávají katalog hledisek pro rozhodnutí o odpovídající ochraně. Patří sem právní stát, přístup k účinné právní ochraně, dodržování lidských práv a základních svobod, obecné i odvětvové právní předpisy, judikatura, existence a účinné fungování nezávislých dozorových úřadů a mezinárodní závazky. Odtud pochází standard, který Soudní dvůr uplatnil ve věci Schrems II.

47 Bod 108 je základem pro doplňující opatření u standardních doložek. Žádá, aby vhodné záruky zajistily dodržování požadavků na ochranu údajů a práv subjektů včetně vymahatelných práv a účinné právní ochrany, a to buď správní, nebo soudní.

48 Bod 111 a 113 vykládají výjimky podle čl. 49 a jejich úzkost. Bod 113 popisuje zbytkovou výjimku pro nikoli opakovaná předání omezeného počtu subjektů a dodává, že správce má věnovat zvláštní pozornost povaze údajů, účelu a době zpracování i situaci v zemi určení a poskytnout vhodné záruky.

49 Bod 115 je pojistkou proti extrateritoriálnímu vynucování a stojí za ním konkrétní zkušenost. Uvádí, že některé třetí země přijímají předpisy, které mají přímo upravovat činnosti zpracování osobami spadajícími do pravomoci členských států, a že takové exteritoriální uplatňování může být v rozporu s mezinárodním právem a bránit ochraně zaručené v Unii. Odtud čl. 48.

IX. Dozorové úřady, spolupráce a jednotnost

50 Body 117 až 140 vykládají kapitoly VI a VII. Bod 118 upřesňuje, že nezávislost nevylučuje mechanismus kontroly finančních výdajů ani soudní přezkum. Bod 120 žádá dostatečné finanční a lidské zdroje, prostory a infrastrukturu; je to argument použitelný i vůči zřizovateli úřadu.

51 Body 124 až 128 vykládají jednotné kontaktní místo. Bod 127 potvrzuje, že úřad, který není vedoucí, je příslušný k projednávání místních případů, a bod 128 vylučuje mechanismus u zpracování orgány veřejné moci a u soudů.

52 Bod 129 obsahuje důležitou mez pravomocí: opatření mají být vhodná, nezbytná a přiměřená, s ohledem na okolnosti každého jednotlivého případu, a mají respektovat právo být vyslechnut před přijetím individuálního opatření v neprospěch dotčené osoby. Je to argument proti paušálním příkazům dozoru.

53 Bod 132 zmiňuje, že činnosti zaměřené na zvyšování povědomí mají zahrnovat opatření pro správce a zpracovatele včetně mikropodniků a malých a středních podniků, a opatření zaměřená na děti.

54 Bod 137 vysvětluje naléhavý postup podle čl. 66: dočasná opatření nejdéle na tři měsíce tam, kde hrozí, že výkon práva subjektu bude podstatně ztížen.

X. Ochrana, odpovědnost, sankce a zvláštní situace

55 Bod 141 shrnuje právo na stížnost a doplňuje, že vyšetřování má být provedeno v rozsahu, který je v daném případě vhodný, a podléhat soudnímu přezkumu. Dodává, že stěžovatel má být o pokroku a výsledku informován v přiměřené lhůtě, a že úřad má informovat i tehdy, je-li nutné další vyšetřování nebo koordinace.

56 Bod 146 je klíčový u čl. 82 a obsahuje tři samostatné pokyny. Za prvé, veškerou újmu má nahradit správce nebo zpracovatel. Za druhé, zproštění nastává, jen pokud prokáže, že za újmu „nenese žádným způsobem odpovědnost”. Za třetí, „výklad pojmu ‚újma’ by měl být široký a opírat se o judikaturu Soudního dvora při plném zohlednění cílů tohoto nařízení”. Poslední věta bodu doplňuje, že subjekty mají obdržet plnou a účinnou náhradu utrpěné újmy. Právě odsud vychází rozhodovací praxe, podle níž nemajetková újma nemá práh závažnosti.

57 Body 148 až 152 vykládají sankce. Bod 148 dovoluje u méně závažných porušení nebo tam, kde by pokuta představovala nepřiměřenou zátěž pro fyzickou osobu, uložit místo pokuty napomenutí. Bod 150 vysvětluje, že pojem podniku se pro výpočet pokuty chápe podle článků 101 a 102 Smlouvy o fungování EU, tedy podle soutěžního práva; z toho plyne počítání obratu ze skupiny. Bod 151 zaznamenává, že právní systémy Dánska a Estonska ukládání správních pokut v podobě podle nařízení neumožňují.

58 Bod 153 vykládá čl. 85 a je pro Česko podstatný. Uvádí, že odchylky pro novinářské a akademické, umělecké či literární účely mají platit, je-li to nutné k uvedení práva na ochranu údajů do souladu se svobodou projevu, a že „pojmy týkající se této svobody, jako je novinářská činnost, by měly být vykládány široce”.

59 Bod 155 je jediným výkladovým vodítkem k čl. 88 a jmenuje účely: nábor, plnění pracovní smlouvy včetně plnění povinností stanovených zákonem nebo kolektivní smlouvou, řízení, plánování a organizaci práce, rovnost a rozmanitost, bezpečnost a ochranu zdraví, ochranu majetku zaměstnavatele nebo zákazníka a výkon a požívání práv a výhod souvisejících se zaměstnáním, jakož i pro účely skončení pracovního poměru.

60 Body 156 až 163 vykládají čl. 89. Bod 159 obsahuje široké pojetí vědeckého výzkumu, které zahrnuje technologický rozvoj a demonstrace, základní i aplikovaný výzkum a soukromě financovaný výzkum. Bod 161 řeší klinická hodnocení a bod 162 statistické účely s tím, že výsledek statistického zpracování nesmí být použit na podporu opatření či rozhodnutí týkajících se konkrétní fyzické osoby.

61 Bod 164 je základem čl. 90 a mluví o profesní povinnosti mlčenlivosti, je-li to nutné k uvedení práva na ochranu údajů do souladu s touto povinností. Bod 165 uznává postavení církví a náboženských sdružení podle čl. 17 Smlouvy o fungování EU.

62 Bod 171 řeší přechod ze směrnice 95/46/ES a obsahuje pravidlo, které ušetřilo mnoho práce: je-li zpracování založeno na souhlasu podle směrnice, není nutné, aby subjekt souhlas znovu udělil, pokud způsob jeho udělení odpovídá podmínkám nařízení. Bod 173 uzavírá vztahem ke směrnici 2002/58/ES a avizuje její revizi, ke které dosud nedošlo.

XI. Orientační mapa recitál → článek

Následující mapa přiřazuje hlavní shluky bodů odůvodnění ke konkrétním článkům nebo kapitolám normativní části a slouží zároveň k provázání do jednotlivých kapitol komentáře. Přiřazení vychází z obsahu recitálů a je orientační, nikoli vyčerpávající; jeden recitál se může vázat k více ustanovením.

Body odůvodnění	Článek / kapitola	Téma
1 až 7, 9 až 13, 170	čl. 1; kapitola I	Základní právo, dvojí účel, důvody přechodu ze směrnice na nařízení, subsidiarita
4	čl. 1 odst. 2; čl. 6 odst. 1 písm. f)	Ochrana údajů není absolutní právo, poměřování s jinými právy
8, 41, 45	čl. 6 odst. 2 a 3; čl. 23; kapitola IX	Otevírací klauzule a požadavky na národní právní základ
14 až 21, 27	čl. 2	Věcná působnost, právnické osoby, zesnulí, domácí činnost, trestní oblast, soudy
22 až 25	čl. 3	Provozovna, cílení nabídky, monitorování chování, mezinárodní právo veřejné
26, 28 až 30	čl. 4 body 1 a 5	Identifikovatelnost, pseudonymizace, anonymní údaje, on-line identifikátory
31	čl. 4 bod 9	Orgány veřejné moci nejsou příjemci, dostávají-li údaje ze zákona
32, 42, 43	čl. 4 bod 11; čl. 7	Podoba souhlasu, prokazatelnost, nerovnováha a podmiňování
33	čl. 6 odst. 1 písm. a); čl. 89	Široký souhlas ve vědeckém výzkumu
34, 35, 51 až 56	čl. 9	Genetické údaje, zdravotní stav, fotografie a biometrie, výjimky ze zákazu
36, 37	čl. 4 body 16 a 19; čl. 56	Hlavní provozovna a skupina podniků
38	čl. 8; čl. 12 odst. 1; čl. 57	Zvláštní ochrana dětí
39	čl. 5	Zásady, lhůty pro výmaz a pravidelný přezkum uložení
40, 44 až 49	čl. 6 odst. 1	Právní tituly, smlouva, právní povinnost, životně důležité zájmy, oprávněný zájem
47, 48, 49	čl. 6 odst. 1 písm. f)	Balanční test, rozumné očekávání, přímý marketing, skupina podniků, bezpečnost sítí
50	čl. 6 odst. 4; čl. 5 odst. 1 písm. b)	Slučitelnost nového účelu
57	čl. 11	Zpracování bez identifikace
58, 59, 60 až 62	čl. 12 až 14	Transparentnost, ikony, postupy pro výkon práv, informační povinnost a její výjimky
63, 64	čl. 15	Právo na přístup, zdravotní dokumentace, upřesnění žádosti, ověření totožnosti
65, 66	čl. 16, 17	Oprava, výmaz, souhlas udělený jako dítě, informování dalších správců
67	čl. 18	Technické způsoby omezení zpracování
68	čl. 20	Přenositelnost a její meze, žádná povinnost slučitelných systémů
69, 70	čl. 21	Námitka, absolutní námitka proti přímému marketingu
71, 72	čl. 22; čl. 4 bod 4	Automatizované rozhodování, právo na vysvětlení, zábrany diskriminace, profilování
73	čl. 23	Omezení práv národním právem
74 až 77	čl. 24	Odpovědnost správce, katalog rizik, metoda posouzení
78	čl. 25	Záměrná a standardní ochrana, role výrobců a poskytovatelů
79, 80	čl. 26, 27	Rozdělení odpovědnosti, zástupce v Unii
81	čl. 28	Výběr zpracovatele a obsah smlouvy
82, 89	čl. 30	Záznamy o činnostech zpracování místo oznamovací povinnosti
83	čl. 32	Posouzení rizik, šifrování, stav techniky a náklady
84, 90 až 95	čl. 35, 36	Posouzení vlivu, rozsáhlé zpracování, širší posouzení, předchozí konzultace
85 až 88	čl. 33, 34	Porušení zabezpečení, katalog újmy, lhůty a formát ohlášení
96	čl. 36 odst. 4	Konzultace úřadu při přípravě právního předpisu
97	čl. 37 až 39	Pověřenec, kdy je povinný a jaká odbornost se žádá
98, 99	čl. 40, 41	Kodexy chování a jejich příprava
100	čl. 42, 43	Osvědčení, pečeti a známky
101 až 107	čl. 44, 45	Zásada předávání, hlediska rozhodnutí o odpovídající ochraně, monitorování
108 až 110, 114	čl. 46, 47	Vhodné záruky, standardní doložky, závazná podniková pravidla
111 až 113	čl. 49	Výjimky pro specifické situace a jejich úzkost
115, 116	čl. 48; čl. 44	Exteritoriální příkazy třetích zemí, riziko pro výkon práv
117 až 123	čl. 51 až 59	Zřízení, nezávislost, zdroje, podmínky pro členy, příslušnost a úkoly úřadů
124 až 128, 130, 131	čl. 56, 60	Vedoucí úřad, jednotné kontaktní místo, místní případy, spolupráce
129	čl. 58	Meze pravomocí, přiměřenost a právo být vyslechnut
132	čl. 57 odst. 1 písm. b)	Osvěta zaměřená na malé podniky a děti
133, 134	čl. 61, 62	Vzájemná pomoc a společné postupy
135 až 138	čl. 63 až 66	Mechanismus jednotnosti, stanoviska sboru, naléhavý postup
139, 140	čl. 68 až 76	Zřízení sboru a jeho sekretariát
141	čl. 77, 78	Stížnost, rozsah vyšetřování a informování stěžovatele
142	čl. 80	Zastupování subjektů neziskovými subjekty
143, 144	čl. 78, 81	Žaloba na neplatnost rozhodnutí sboru, souběžná řízení
145, 147	čl. 79	Volba soudu a vztah k pravidlům o příslušnosti
146	čl. 82	Náhrada újmy, široký výklad pojmu újma, liberace
148 až 152	čl. 83, 84	Sankce, napomenutí místo pokuty, pojem podniku, odchylky Dánska a Estonska
153	čl. 85	Svoboda projevu, široký výklad novinářské činnosti
154	čl. 86	Přístup veřejnosti k úředním dokumentům
155	čl. 88	Zaměstnanecký kontext a jeho účely
156 až 163	čl. 89	Archivace, vědecký a historický výzkum, klinická hodnocení, statistika
164	čl. 90	Profesní mlčenlivost vůči pravomocem dozoru
165	čl. 91	Církve a náboženská sdružení
166 až 169	čl. 92, 93	Přenesené pravomoci a prováděcí akty
171	čl. 94, 99	Zrušení směrnice 95/46/ES, přechod souhlasů
172	preambule	Konzultace evropského inspektora ochrany údajů
173	čl. 95	Vztah ke směrnici 2002/58/ES a její avizovaná revize