Úvodní stať

I. Předmět a účel nařízení

1 Nařízení (EU) 2016/679 chrání fyzické osoby při zpracování osobních údajů a zároveň zaručuje volný pohyb těchto údajů v Unii. Oba cíle stojí vedle sebe v čl. 1 a bod 4 odůvodnění k nim přidává větu, která rozhoduje většinu sporů o rozsah povinností: „Zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy.”

2 Z dvojice cílů plyne praktické výkladové vodítko. Výklad, který ochranu posiluje za cenu úplného znemožnění zpracování, obvykle neobstojí; výklad, který zpracování usnadňuje vyprázdněním ochrany, také ne. Kdo argumentuje jen jednou stranou, argumentuje polovinou článku 1.

3 Chráněnou hodnotou není soukromí, ale ochrana údajů. Jsou to různá práva s různým rozsahem a různou cestou vymáhání. Nařízení dopadá i tam, kde se soukromí nedotýká (pracovní e-mailová adresa), a nedopadá tam, kde k zásahu do soukromí došlo bez zpracování údajů.

II. Povaha nařízení a metoda regulace

4 GDPR je nařízení, tedy přímo použitelný předpis. Nepotřebuje transpozici a vnitrostátní úprava ho nesmí opakovat ani měnit. Zákon č. 110/2019 Sb. proto neprovádí nařízení jako celek, jen vyplňuje otevírací klauzule a upravuje postavení dozorového úřadu.

5 Regulace je založená na riziku, ne na výčtu zakázaného chování. Nařízení skoro nikde neříká „nesmíte”, říká „posuďte riziko a přijměte odpovídající opatření”. Rozsah povinností se proto liší podnik od podniku a odpověď na otázku „co musíme mít” zní: záleží. Katalog rizik, o který se to opírá, je v bodě 75 odůvodnění.

6 Text je technologicky neutrální záměrně (bod 15 odůvodnění), aby se nedal obejít volbou technologie. Konkrétní obsah proto získává až z bodů odůvodnění, z judikatury Soudního dvora a z pokynů Evropského sboru pro ochranu osobních údajů podle čl. 70 odst. 1 písm. e).

III. Tři věci, které se v české praxi pletou nejčastěji

7 Právní titul není totéž co zákonnost. Čl. 6 dává šest titulů, ale i zpracování s bezvadným titulem je protiprávní, pokud porušuje některou ze zásad v čl. 5. Obojí se musí splnit současně a pro každý účel zvlášť. Spor o povinnost se proto nedá vyhrát pouhým doložením titulu.

8 Odpovědnost znamená důkazní břemeno. Čl. 5 odst. 2 nežádá mít soulad, žádá umět ho doložit. Z jediné té věty plyne většina dokumentační zátěže celého nařízení a zároveň většina prohraných řízení: nedoložený soulad se v řízení blíží nesouladu. Doložit se přitom musí i to, že se o věci uvažovalo, ne jen výsledek.

9 Role rozhoduje o povinnostech. Rozdíl mezi správcem a zpracovatelem se neurčuje podle toho, jak se strany ve smlouvě nazvaly, ale podle toho, kdo rozhoduje o účelu a prostředcích. Většina sporů, které vypadají jako spor o výklad povinnosti, je ve skutečnosti sporem o roli.

IV. Vztah k dalším předpisům Unie

10 Trestní oblast upravuje směrnice (EU) 2016/680, v Česku provedená hlavou III zákona č. 110/2019 Sb. Zpracování orgány a institucemi Unie upravuje nařízení (EU) 2018/1725. Ani jedno GDPR nenahrazuje a komentář je řeší jen odkazem.

11 U cookies a elektronických obchodních sdělení platí přednost zvláštní úpravy podle čl. 95. V Česku jde o § 89 odst. 3 zákona č. 127/2005 Sb. a o § 7 zákona č. 480/2004 Sb. Podmínky souhlasu se ale i tam posuzují podle GDPR. Nařízení ePrivacy, které mělo směrnici 2002/58/ES nahradit, přijato nebylo.

12 AI Act je mladší sourozenec a na řadě míst přebírá konstrukce z GDPR: exteritoriální působnost (čl. 2 AI Actu podle vzoru čl. 3 GDPR), posouzení dopadů na základní práva (čl. 27 podle vzoru čl. 35) a právo na vysvětlení u automatizovaného rozhodnutí (čl. 86 vedle čl. 22). Souběh znamená dvě analýzy, ne jednu: splnění GDPR neprokazuje splnění AI Actu a naopak.

V. Jak komentář číst

13 Znění článku je vždy nad výkladem, ve vlastním bloku. Výklad na něj navazuje a doslovné citace uvádí v uvozovkách. Všechny citace z nařízení jsou ověřené proti českému znění v knihovně Legal-To-Code, ne přebrané z přehledů.

14 U každého článku je nahoře aparát: související ustanovení, související předpisy EU a ČR a judikatura. Pod ním obsah výkladu s čísly, která odkazují na okrajová čísla v textu. Oddíly jsou římské, okrajová čísla průběžná v rámci článku.

15 Nařízení se dá číst třemi způsoby a komentář to respektuje. Kdo řeší, jestli je vůbec v jeho režimu, čte kapitolu I. Kdo řeší, jestli smí zpracovávat, čte kapitolu II. Kdo dostal žádost nebo stížnost, čte kapitolu III a k tomu čl. 12. Zbytek je povinnostní a institucionální aparát, ke kterému se chodí adresně.

16 Body odůvodnění mají vlastní stať. Není to nadstavba: u GDPR je v recitálech uložena podstatná část výkladu, kterou normativní text neobsahuje, například test identifikovatelnosti (bod 26), rozumné očekávání v balančním testu (bod 47) nebo katalog rizik (bod 75).

VI. Meze tohoto komentáře

17 Česká judikatura ke GDPR je zatím tenká a to, co existuje, je z velké části o procesních otázkách, ne o výkladu hmotných povinností. Kde je citována, je uvedeno, o jaké řízení šlo, protože závěr vyslovený v jiném typu řízení se nedá bez dalšího přenést. Výkladovou práci zatím odvádí především Soudní dvůr.

18 Komentář nezpracovává rozhodovací praxi Úřadu pro ochranu osobních údajů systematicky, protože se nezveřejňuje systematicky. Nejlepším veřejným zdrojem zůstává jeho výroční zpráva podle čl. 59.

19 Komentář není právní službou ani posouzením konkrétní věci. Je to výkladová vrstva nad textem předpisu, u které je doložené, o co se opírá.