Souhlas není ani jedinou, ani nejdůležitější podmínkou zákonného zpracování údajů

Transkript

1 seminář Pověřenec pro ochranu údajů Nařízení (EU) 2016/679 Obecné Nařízení o ochraně osobních údajů a o zrušení směrnice 95/46/ES Souhlas a legitimita zpracování Karel Neuwirt březen 2018 Souhlas je jednou z podmínek legitimního zpracování údajů Souhlas není ani jedinou, ani nejdůležitější podmínkou zákonného zpracování údajů 1

2 Souhlas jako podstatný aspekt základního práva na ochranu osobních údajů Souhlas je výslovně uznán v Listině základních práv Evropské unie. Čl. 8 odst. 2 uvádí, že osobní údaje mohou být zpracovány na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. Souhlas však není jediným právním důvodem pro zpracování osobních údajů Co je souhlas? Nařízení (EU) 2016/679 - souhlasem subjektu údajů se rozumí jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů Zákon č.101/2000 Sb. 4 písm.n): souhlasem subjektu údajů se rozumí svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů 2

3 Dvě části svobodného souhlasu - svoboda udělení souhlasu - svoboda trvání souhlasu Svoboda udělení: bez jakékoliv formy donucení, nátlaku, fyzického nebo psychického Svoboda trvání: možnost souhlas kdykoliv odvolat Na svobodném rozhodnutí subjektu údajů závisí zda souhlas bude udělen a jak dlouho bude souhlas trvat Odvolání neruší souhlas zpětně, nýbrž od okamžiku odvolání!! 5 Nařízení stanovuje vysoký standard pro souhlas. Největší změnou s dopadem na praxi, jsou mechanismy získání souhlasu. Správce musí vytvořit mechanismy a způsoby, které umožní jasně oddělené a rozlišitelné souhlasy v případech opt-in, správně je uchovávat a doložit, umožnit subjektu údajů jednoduše jej odvolat. Tyto změny odrážení zásadu, že souhlas musí být dynamický proces ze strany subjektu údajů a náročnější pro získání. 3

4 Nařízení 2016/679: Souhlas by měl být dán jednoznačným potvrzením, které je vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to v podobě písemného prohlášení, i učiněného elektronicky, nebo ústního prohlášení např. zaškrtnutí políčka při návštěvě internetové stránky, volbu technického nastavení pro služby informační společnosti nebo jiné prohlášení či jednání, které v této souvislosti jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost nelze považovat za souhlas. Souhlas by se měl vztahovat na veškeré činnosti zpracování prováděné pro stejný účel nebo stejné účely. Jestliže má zpracování několik účelů, měl by být souhlas udělen pro všechny. Má-li subjekt údajů vyjádřit souhlas na základě žádosti podané elektronickými prostředky, musí být žádost jasná a stručná a nesmí zbytečně narušit využívání služby, pro kterou je souhlas dáván. Co je jednoznačný souhlas"? Souhlas je důležitý pojem v legislativě pro ochranu osobních údajů: jednoznačný souhlas" je jedním z kritérií, které legitimizuje zpracování osobních údajů. Souhlas může být udělen ústně, písemně nebo jakýmkoliv jiným vhodným způsobem. Předtím než bude posouzeno, zda subjekt údajů poskytl souhlas pro specifikované zpracování údajů svobodně, musí tento jedinec obdržet dostatečné informace, aby porozuměl účelu a důsledkům poskytnutí souhlasu, včetně výhod či nevýhod daného zpracování. Kromě svobodného poskytnutí, souhlas musí být specifický a neměly by vzniknout obavy, zda souhlas byl či nebyl poskytnut. Navíc, souhlas se musí přesně vztahovat ke zpracování, o němž byl subjekt údajů informován. Souhlas nesmí být rozšiřován na jiná zpracování, o nichž subjekt údajů nebyl informován. Souhlas může být odvolán, bez retroaktivních důsledků vůči subjektu údajů. 4

5 Nařízení 2016/679 Podmínky vyjádření souhlasu - Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů - Pokud je souhlas subjektu údajů vyjádřen písemným prohlášením, které se týká rovněž jiných skutečností, musí být žádost o vyjádření souhlasu předložena způsobem, který je od těchto jiných skutečností jasně odlišitelný, a je srozumitelný a snadno přístupný za použití jasných a jednoduchých jazykových prostředků. Jakákoli část tohoto prohlášení, která představuje porušení tohoto nařízení, není závazná. Nařízení 2016/679 Podmínky vyjádření souhlasu - Subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování vycházejícího ze souhlasu, který byl dán před jeho odvoláním. Před udělením souhlasu o tom bude subjekt údajů informován. Odvolat souhlas musí být stejně snadné jako jej poskytnout. - Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné. 5

6 Nařízení 2016/679 Podmínky použitelné na souhlas dítěte v souvislosti se službami informační společnosti - Pokud se použije v souvislosti s nabídkou služeb informační společnosti přímo dítěti, je zpracování osobních údajů dítěte zákonné, je-li dítě ve věku nejméně 16 let. Je-li dítě mladší 16 let, je takové zpracování zákonné pouze tehdy a do té míry, pokud byl tento souhlas vyjádřen nebo schválen osobou, která vykonává rodičovskou zodpovědnost k dítěti. Členské státy mohou pro uvedené účely právním předpisem stanovit nižší věk, ne však nižší než 13 let. - Správce vyvine přiměřené úsilí s ohledem na dostupnou technologii, aby v takovýchto případech ověřil, že byl souhlas vyjádřen nebo schválen osobou, která vykonává rodičovskou zodpovědnost k dítěti. Kdy je zpracování povoleno bez udělení souhlasu subjektu údajů? Zpracování údajů je zákonné, pokud je to nezbytné (potřebné) alespoň pro jeden z následujících důvodů: - legitimní (oprávněný) zájem správce; - pro dodržení právní povinnosti uložené správci; - pro plnění smluvního vztahu, v němž je subjekt údajů smluvní stranou; - pro provedení činnosti ve veřejném zájmu (při výkonu veřejné moci) ; - pro ochranu životně důležitých zájmů subjektu údajů. Nezbytnost přísně omezuje použití každé jednotlivé výjimky. 6

7 Získání souhlasu nezbavuje správce povinností podle GDPR, které se týkají korektnosti, nezbytnosti, přiměřenosti, kvality údajů Např.: i když je zpracování osobních údajů založeno na souhlasu uživatele, neopravňuje to ke shromažďování údajů, které by přesahovalo míru s ohledem na konkrétní účel Je zakázáno zpracovávat Zvláštní kategorie osobních údajů - rasový, etnický původ - politické názory - náboženské vyznání - filozofické přesvědčení - členství v odborových organizacích - genetické údaje biometrické údaje (zpracovávané za účelem identifikace) - o zdravotním stavu - sexuální život, sexuální orientace 7

8 Výjimky ze zákazu: - subjekt údajů poskytl výslovný souhlas se zpracováním těchto údajů; souhlas nelze udělit, pokud je takové zpracování zakázáno zákonem, - nezbytné v zájmu zachování života nebo zdraví subjektu údajů nebo jiné osoby nebo odvrácení bezprostředního závažného nebezpečí hrozícího jejich majetku, - zpracování při zajišťování zdravotní péče, ochrany veřejného zdraví, zdravotního pojištění a výkon státní správy, - zpracování nezbytné pro plnění povinností a práv správce odpovědného za zpracování v oblasti pracovního práva a zaměstnanosti; a v oblasti sociální ochrany a zabezpečení, Výjimky ze zákazu: - zpracování sleduje politické, filosofické, náboženské nebo odborové cíle, prováděné v rámci oprávněné činnosti občanského sdružení, nadace nebo jiné neziskové subjekty, a které se týká pouze členů sdružení, - údaje podle zvláštního zákona nezbytné pro provádění nemocenského pojištění, důchodového pojištění (zabezpečení), státní sociální podpory a dalších státních sociálních dávek, sociálních služeb, sociální péče, pomoci v hmotné nouzi a sociálně-právní ochrany dětí, a při zajištění ochrany těchto údajů v souladu se zákonem, - osobní údaje zveřejněné subjektem údajů, 8

9 Výjimky ze zákazu: - zpracování nezbytné pro zajištění a uplatnění právních nároků, - zpracování výlučně pro účely archivnictví podle zvláštního zákona, nebo - zpracování podle zvláštních zákonů při předcházení, vyhledávání, odhalování trestné činnosti, stíhání trestných činů a pátrání po osobách. Zásadní požadavky na souhlas: - vyjádření vůle (subjektu údajů) - svobodně udělen (ne vynucen či získán násilím) - informovaný (správce poskytne relevantní informace předem) - výslovné prohlášení (pouze u citlivých údajů) - konkrétní souhlas (v kontextu ke zpracování) - jednoznačný (rozsah musí být vázán k datům a aktivitám daného zpracování) 9

10 Zásadní požadavky na souhlas: - nesvázán: Požadavek na souhlas musí být oddělen od jiných požadavků a podmínek; - aktivní: Souhlas je výsledkem jasného prohlášení nebo pozitivní akce vyjadřující přání jedince; předvyplnění opt-in políčka je neplatné; opt-out princip není souhlas; - oddělitelný: Správce musí poskytnout oddělené možnosti pro získání souhlasu pro různá zpracování a různé účely; Zásadní požadavky na souhlas: - dokumentovaný: správce musí uchovávat příslušné záznamy, aby byl schopen doložit, že souhlas byl udělen, a v těchto záznamech mít také podrobnosti procesu získání souhlasu (jak znělo prohlášení, kdy a jakým způsobem byl udělen); - snadno odvolatelný: správce musí každému sdělit, že má právo souhlas kdykoliv odvolat, a také mu říci, jak odvolání provést. Způsob odvolání souhlasu musí být stejně snadný, jak byl poskytnutý. Bude nutno mít vytvořeny jednoduché a efektivní mechanismy pro odvolání souhlasu; - rovnováha ve vztahu: Souhlas nemůže být svobodný, jestliže vztah subjektu údajů a správce není v rovnováze. Což dělá souhlas obtížným pro státní instituce nebo zaměstnavatele ti musejí hledat alternativní způsoby pro legitimizaci zpracování údajů. 10

11 K čemu dát souhlas? (dostatek informací) Jak dát souhlas? (důkazní problém, písemná forma) Rozdíl mezi poskytnutím souhlasu a právem nesouhlasit Rozdíl mezi souhlasem a obecným zájmem (problém v lékařském a epidemiologickém výzkumu; diskuse o registrech HIV pozitivních osob; přednost solidarity před souhlasem) Souhlas nemůže zrušit nebo omezit základní práva a záruky dané zákony (kogentní ustanovení). Formy souhlasu: - písemné prohlášení - elektronické prohlášení - ústní prohlášení Souhlas závisí na konkrétním případě, na momentální situaci; - nemůže to být všeobecná deklarace ke zpracování jakýchkoliv údajů; - musí z něj být zřejmé jaké údaje a pro jaký účel mohou být zpracovávány; Platnost váže se také k otázkám transparentnosti, poctivosti, svobodné vůle 11

12 Opt-in a opt-out často aplikován v přímém marketingu Opt-out: právo subjektu údajů nesouhlasit se zpracováním údajů pro marketingové účely Opt-in: předchozí souhlas je požadován pro zpracování údajů WP 29 k souhlasu online V online prostředí lze často obtížněji dosáhnout toho, aby si osoby byly vědomy svých práv a poskytly informovaný souhlas. K tomu přispívá i skutečnost, že v některých případech ani není zřejmé, jak by svobodný, výslovný a vědomý souhlas se zpracováním údajů měl vypadat Podle článku 8 Listiny základních práv EU je nutno vždy zaručit informovaný souhlas a zajistit, že si daná osoba bude plně vědoma, že souhlas poskytuje a k jakému účelu zpracování údajů 12

13 Platný souhlas musí být informovaný a poskytnut svobodně Souhlas získaný nátlakem nebo na základě zavádějících nebo nepravdivých informací, nelze považovat za právně relevantní souhlas Subjekt údajů musí mít právo výběru Double-click pokud je souhlas poskytován prostřednictvím Internetu (first click informace poskytnuta second click Souhlasím ) Kdy souhlas vyžadovat a kdy nikoliv? Legitimizace zpracování na základě souhlasu Souhlas není potřeba pro situace uvedené v čl. 6 GDPR (právní povinnost správce, uzavření smlouvy, ochrana práv a právem chráněných zájmů, oprávněně zveřejněné údaje, údaje o veřejně činné osobě, které vypovídají o jeho veřejné či úřední činnosti, archivnictví, apod.) Subjekt údajů může svůj souhlas kdykoliv odvolat! Správce, jemuž je zpracování osobních údajů uloženo zákonem nemůže od subjektu údajů požadovat souhlas 13

14 Písemný souhlas musí být v jazyce, kterému poskytovatel i příjemce snadno rozumí Text souhlasu musí být napsán v dobře čitelné velikosti (nejméně ve velikosti písma 8) Problémy: - mlčení subjektu údajů (není souhlasem pro zpracování osobních údajů) - neomezená časová platnost (souhlas po celý život) - nemožnost odvolat souhlas (vzdání se práva) - vědecké studie v medicíně (kdy je nutný souhlas? má pacient právo neposkytnout souhlas pro studii v důležitém veřejném zájmu?) 14

15 Souhlas může být udělen ústně, písemně nebo jakýmkoliv jiným vhodným způsobem Pro vyjádření svobodného souhlasu musí subjekt údajů obdržet dostatečné informace, aby porozuměl účelu a důsledkům poskytnutí souhlasu, včetně výhod či nevýhod daného zpracování. Kromě svobodného poskytnutí, musí souhlas být specifický a neměly by vzniknout pochybnosti či obavy, zda souhlas byl nebo nebyl poskytnut Souhlas se musí přesně vztahovat ke zpracování, o němž byl subjekt údajů informován Souhlas nesmí být rozšiřován na jiná zpracování, o nichž subjekt údajů nebyl informován Souhlas není považován za svobodný, pokud s.ú. nemá právo volby nebo je mu odepřeno svůj souhlas odmítnout nebo odvolat, aniž by byl poškozen Souhlas není svobodný, je-li poskytnutí nebo plnění služby závislé na souhlasu, i když to pro plnění služby není nezbytné 15

16 Souhlas a Všeobecné obchodní podmínky VOP nesprávně slouží k vyrovnání se správce s požadavky GDPR jsou v nich formulovány různé souhlasy klienta pro zajištění souladu vztahu správce subjekt údajů s požadavky GDPR (např. souhlas ze zpracováním údajů, souhlas s použitím údajů pro marketing, souhlas s předáním údajů do jiných registrů, souhlas se sdílením údajů s členy skupiny banky, apod.) VOP jsou dvoustranným ujednáním, nikoliv jednostranným (jak je klientovi navozováno) Prostřednictvím VOP nelze získat legitimní souhlas klienta, souhlas nesplňuje parametry stanovené GDPR Souhlas a Všeobecné obchodní podmínky VOP v řadě případů nerozlišují zpracování osobních údajů - kdy není souhlas s.ú. potřebný - kdy je souhlas s.ú. nutný není potřebný v případě, kdy s.ú. má právo rozhodnout je nutný - v případě, kde poskytnutí není možno smlouvu (obchod) uzavřít 16

17 Souhlas nevyžadovat tam, kde zpracování je potřebné k plnění právní povinnosti (je uloženo zvláštním zákonem) zákoník práce : 30: Zaměstnavatel smí vyžadovat v souvislosti s jednáním před vznikem pracovního poměru od fyzické osoby, která se u něj uchází o práci, nebo od jiných osob jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy. 150: Zaměstnavatel eviduje údaje, jimiž jsou jméno, popřípadě jména a příjmení, adresa, jde-li o fyzickou osobu, název a sídlo, jde-li o právnickou osobu, a písemnosti týkající se prováděných srážek ze mzdy, a to po stejnou dobu jako ostatní údaje a doklady týkající se mzdy nebo platu. Souhlas je nutný tam, kde zpracování není správci uloženo zákonem nebo nevyplývá z právní povinnosti správce - předání do nebankovních registrů dlužníků - nabízení obchodu a služeb - marketing - předávání třetím stranám (členům skupiny správce) správně udělený souhlas legitimizuje také zpracování údajů oprávněným příjemcům 17

18 VOP mohou plnit povinnost podle čl. 13 GDPR (povinnost informovat klienta) Informace ve VOP nemohou být obecné, klientovi nesrozumitelné, zamlčující důležité okolnosti, na jejichž základě se klient rozhoduje, VOP jsou nevhodné pro plnění dalších povinností správce podle GDPR! (často jsou pro klienta nesrozumitelné, obsahují také jednostranné úkony, neumožňují svobodu rozhodování klienta, apod) Děkuji za pozornost 18