Souhlas subjektu údajů

Transkript

1 Pověřenec pro ochranu osobních údajů září 2017, Praha Souhlas subjektu údajů změny v rámci nařízení a její dopady do praxe PhDr. Hana Štěpánková SOUHLAS pouze jeden z právních titulů pro zpracování osobních údajů (dále ou) Definice souhlasu (čl. 4 odst. 11 Nařízení) Svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních Změna definice oproti dřívějšímu stavu (též, oproti zákonu č. 101/2000 Sb.) Souhlas učiněn prohlášením či zjevným potvrzením. Souhlas není vyžadován, pokud existuje jiný právní titul ke zpracování: zpracování nezbytné pro plnění právní povinnosti, při uzavírání smlouvy, jejíž stranou je subjekt údajů, nutné pro splnění úkolu nezbytného ve veřejném zájmu, při výkonu veřejné moci, pro účely oprávněných zájmů správce (kromě případů, kdy mají přednost zájmy nebo základní práva a svobody subjektu údajů zejména, pokud je subjektem dítě - poslední citované ustanovení nevztahuje na zpracování prováděná orgány veřejné moci při plnění jejich úkolů) Pro správce důležité, že musí být kdykoli schopen prokázat, že souhlas získal. 1

2 Před zamýšleným zpracováním Stanovení právního titulu (pouze jedním z nich je souhlas) Stanovení účelu zpracování Podmínky pro zpracování ou na základě souhlasu Souhlas jediný právní titul pro zpracování Žádost o udělení souhlasu je formulována samostatně (nikoli součástí obchodních podmínek, formulářových smluv) Subjekt ou má možnost zvolit opt-in, nikoli opt-out Nesmí být využívána předvyplněná políčka se souhlasem Žádost je formulována srozumitelně, za využití jednoduchých jazykových prostředků Subjekt ou informován, proč budou ou zpracovávány a jak využívány Dána možnost souhlasu pouze s některými operacemi zpracování Jasně identifikována totožnost správce a ostatních stran, jimž budou ou předávány Sděleno, jak lze souhlas odvolat Odvolání nemá poškozující následky pro subjekt údajů Udělení souhlasu není podmínkou poskytnutí služby Je veden záznam o tom, kdy a jak byl souhlas získán Zaznamenáno, jaké informace subjekt ou získal při udělení souhlasu 2

3 Zásadní atributy souhlasu 1. I. Svobodný Má-li subjekt ou skutečně možnost volby, není riziko klamání, zastrašování, nátlaku či podstatných negativních důsledků, jestliže souhlas neudělí. Pokud důsledky neudělení ohrožují svobodnou volbu subjektu, souhlas není považován za svobodný Problematická svoboda souhlasu: při nerovnováze subjektu ou a správce: správcem orgány veřejné moci, zaměstnavatel doporučení využívat právního titulu souhlasu co nejméně kdy není možné vyjádřit souhlas jen s některými operacemi zpracování typické zpracování mobilními operacemi doporučován členěný souhlas podmiňování uzavření smlouvy se subjektem ou poskytnutím jeho souhlasu se zpracováním, které pro uzavření smlouvy není nezbytné Výslovně Nařízení uvádí jako nesvobodný souhlas, kdy správce podmiňuje poskytnutí služby poskytnutím souhlasu Zásadní atributy souhlasu 2. Konkrétní Souhlas udělen pro konkrétní účel zpracování. Není postačující obecné vyjádření všechny legitimní účely, marketingové účely apod. Účel musí být legitimní a určitý. Platný je souhlas zásadně pro omezené účely (tj. je udělen pouze pro konkrétní účel/ly) 3

4 Zásadní atributy souhlasu 3. Informovaný Při získání souhlasu správce poskytne své kontaktní údaje a údaje svého zástupce, prokáže totožnost; ev. kontaktní údaje pověřence, účely zpracování, sdělí své oprávněné zájmy, případné příjemce nebo kategorie příjemců, úmysl předávat ou do jiných zemí (ev. odkaz na vhodné záruky, ev. kde byly údaje zpřístupněny), Doba, po kterou budou ou zpracovávány Správce informuje subjekt ou o existence práva požadovat přístup ke svým ou, na jejich opravu nebo výmaz, případně omezení zpracování, vznést námitku proti zpracování, právo na přenositelnost údajů o existenci práva odvolat souhlas, aniž dotčena zákonnost zpracování před odvoláním o existenci práva subjektu podat stížnost na dozorovém úřadu (ÚOOÚ) o tom, zda poskytnutí ou se děje ze zákona, či je smluvním požadavkem, nebo je požadavkem uvést je do smlouvy, zda má subjekt povinnost uvést ou a jaké jsou důsledky neposkytnutí ou o tom, zda dochází X nedochází k automatizovanému rozhodován o subjektu ou, včetně profilování V případě záměru jiného účelu zpracování, je subjekt informován před tímto zpracováním, včetně poskytnutí uvedených výše informací Zásadní atributy souhlasu 4. Jednoznačný tj. nemělo by být pochyb, že poskytnutím souhlasu subjekt ou skutečně směřuje k udělení svolení se zpracováním ou, proto Nařízení požaduje udělení souhlasu prohlášením nebo jiným zjevným potvrzením (např. podepsání souhlasu, kliknutí na tlačítko na www stránkách, výběr ano/ne, zaslání u). Problém konkludentního souhlasu: musí být prokazatelné, že subjekt věděl, že dává svolení (např. vyplnění u v políčku nepovinné údaje, naopak dodatečně zaslaná nabídka pokračování poskytované služby, není zjevným vyjádřením souhlasu) 4

5 Formy a podmínky poskytnutí souhlasu písemné prohlášení zaškrtnutí políčka při návštěvě internetové stránky technické nastavení pro služby informační společnosti Musí jít o aktivní udělení souhlasu, mlčení není souhlasem Nikoli využití předvyplněného políčka, které by subjekt nemusel aktivně vymazat Nelze dovozovat souhlas z pouhého využívání webové stránky (zpracování identifikátorů cookies) je nutné aktivní vyjádření souhlasu Ve smlouvách nelze formulovat souhlas bez cílené aktivity subjektu údajů Souhlas se má vztahovat na veškeré činnosti zpracování pro stejný účel/účely Různé účely souhlas pro každý z nich (souvisí s požadavkem Nařízení, aby byl souhlas konkrétní) U elektronických prostředků žádost o souhlas stručná, jasná, nenarušující využívání služby Získání souhlasu Subjekt údajů svůj svobodný, konkrétní, informovaný a jednoznačný projev vůle dává prohlášením či jiným zjevným potvrzením. Např. zaškrtnutí políčka při návštěvě internetové stránky. Prohlášení o souhlasu koncipované správcem musí být srozumitelné, použit jednoduchý jazyk, bez nepřiměřených podmínek; mít na zřeteli, že souhlas musí být svobodný, konkrétní, informovaný a jednoznačný (souhlas na samostatném dokumentu, způsob jeho stylizace otázky-odpovědi, vaše právo-naše povinnost atd.) Žádost o souhlas podaná elektronickými prostředky musí být jasná, stručná, nenarušovat využívání služby Při písemném získávání souhlasu žádost o jeho udělení uvedena odděleně od jiných skutečností; napsána jasně a srozumitelně (např. nikoli jako součást obchodních podmínek správce!). Subjekt údajů projev vůle dává prohlášením či jiným zjevným potvrzením.( např. zaškrtnutí políčka při návštěvě internetové stránky). Pro každé zpracování jednoznačný souhlas Minimalizovat/Nevyužívat právního titulu souhlasu v situacích nerovného postavení subjektu ou a správce vylučuje svobodu souhlasu. Motivování udělením souhlasu výměnou za výhody např. v marketingu; subjekt má reálnou volbu lze; nikoli penalizování za neudělení souhlasu neudělení souhlasu maskuje omezení služby. Souhlas se zpracováním ou pro vědecký výzkum musí dávat možnost vyjádřit souhlas jen pro některé části výzkumu nebo v rozsahu pro určitý zamýšlený účel vědeckého projektu. Souhlasy udělené před Nařízením platné, pokud v souladu s podmínkami souhlasu Nařízení. 5

6 Prokázání souhlasu Správce musí být schopen doložit, že subjekt údajů souhlas se zpracováním udělil. Problém ústního souhlasu doložitelnost např. audionahrávkou nepochybně obtížnější Elektronicky např. pomocí příznaků v databázi Z jakéhokoli záznamu musí být zřejmé: Kdo souhlas udělil (jméno subjektu údajů nebo jiný indikátor uživatelské jméno, IP adresa) Kdy ho udělil (kopie datového dokumentu, elektronický záznam s časovou známkou) O čem byl subjekt údajů informován (prohlášení s uvedením podmínek ochrany ou ) Jak byl souhlas udělen ( kopie listinného prohlášení, el. záznam s časovou známkou) Údaj, zda byl souhlas odvolán (problém technologického zajištění integrity dokumentů s uloženými souhlasy pro prokázání výhodné např. hash otisk dokumentu využití nařízení eidas účinné od r využívání autentizačních mechanismů; zohlednit fakt rizikovosti zpracování: čím rizikovější, tím důslednější využití prostředku elektronické identifikace Odvolání souhlasu Subjekt údajů má právo svůj souhlas kdykoli odvolat v tom problematičnost právního titulu souhlasu jako jediného pro zpracování ou. Po účinnosti Nařízení odvoláním není rušena zákonnost zpracování, která se odehrála před odvoláním, pokud souhlas pro zpracování byl získán v souladu s povinnostmi získání souhlasu ukládanými Nařízením. O právu odvolat souhlas musí být subjekt ou informován při vyžádání souhlasu v souvislosti se zamýšleným zpracováním. Odvolat souhlas musí být stejně snadné jako ho poskytnout. Tj. i stejným způsobem (např. využit byl webový formulář, odvolání by mělo být možné stejným způsobem). Správce musí ověřit identitu subjektu odvolávajícího souhlas činí s ohledem na riziko újmy, která by subjektu ou mohla vzniknout ( př. předložení průkazu, stanovení identifikátoru už při shromažďování ou či uzavření smlouvy, mechanismus autentizace obdobně při přihlášení k online službám, elektronický podpis) Pokud nemůže ani získat dostatečné dostatečně vyžádané údaje k identifikaci, informuje subjekt o tom, že výkon práva neumožní. Odvoláním souhlasu vzniká nárok na uplatnění práva na výmaz když neexistuje už žádný jiný titul pro zpracování ou. Odvolání znamená pro správce povinnost vyhledat a vymazat všechny ou, k jejichž zpracování pozbyl titul. Pokud některou kategorii zpracovává na základě více právních titulů, musí zlikvidovat ou (tj. v databázích, archivech, komunikaci) teprve až nebude mít žádný právní titul ke zpracování. 6

7 Podmínky souhlasu dítěte Dle Nařízení je-li subjektem ou dítě, jeho zájmům, základním právům a svobodám je třeba přiznávat zvláštní váhu Při nabídce informačních služeb dítěti, jde o zákonné zpracování u dítěte nejméně 16 let starého jinak musí být vyžádán souhlas osoby nadané rodičovskou zodpovědností vůči dítěti. Členský stát může snížit věkovou hranici na 13 let (případ z. č. 101/2000Sb. na základě Nařízení v ČR) Je doporučováno, aby správce do svých podmínek zakotvil, že jeho služba není určena dětem mladším 16 (ev. 13) let. U služeb cílených na děti záhodno zvážit nabídku zacílenou na rodiče dětí. Brát do úvahy také ustanovení občanského zákoníku (omezuje způsobilost právního jednání rozumovou a volní vyspělostí). Př. zneplatnění souhlasu u velmi komplikovaných zpracování př. dlouhotrvající profilování s možnými negativními důsledky Mít na zřeteli sankční postihy i trestní odpovědnost právnických osob Souhlas ke zpracování zvláštních údajů Jde o ou označované směrnicí 95/46/ES jako citlivé a k nim přiřazeny ještě genetické a biometrické ou. (Dle z.č. 101/2000 Sb. byly takto již pojímány citlivé údaje): rasový či etnický původ, politické názory, náboženské vyznání, filosofické přesvědčení, členství v odborech, zpracování genetických a biologických údajů za účelem jedinečné identifikace fyzické osoby, údaje o zdravotním stavu, sexuální orientace osoby Zpracovávány pouze na základě výslovného souhlasu subjektu údajů vylučuje možnost konkludentního souhlasu! Právo EU či členského státu může stanovit případy, kdy není možné zpracování zvláštních údajů ani se souhlasem 7

8 Zpracování zvláštních údajů bez souhlasu Zpracování zvláštních údajů možné i pro výkon práv správce v oblasti pracovního práva a sociální ochrany a sociálního zabezpečení na základě práva EU nebo členského státu: Př. předávání ou zaměstnavatelem zdravotní pojišťovně (zákon č. 592/1992 Sb. o pojistném na všeobecné zdravotní pojištění); když subjekt údajů není způsobilý udělit souhlas (ochrana životně důležitých zájmu subjektu); při odpovídajících zárukách v rámci oprávněných činností nadací, sdružení nebo jiných neziskových subjektů s politickými, filozofickými, náboženskými, odborovými cíli (bez souhlasu subjektu však nelze zpřístupňovat mimo organizaci) Zpracovávat zvláštní údaje zveřejněné přímo subjektem ou (v tisku, na internetu) na základě plnění smlouvy, splnění právní povinnosti, splnění úkolu ve veřejném zájmu; může nastat případ, že musí být upřednostněn zájem subjektu zejména, pokud jde o dítě Za účelem určení, výkonu nebo obhajoby právních nároků ( př. řešení pojistné události z povinného ručení pro případ soudního sporu s klientem Ve významném veřejném zájmu na základě unijního či vnitrostátního práva (z.č. 240/2000 Sb., krizový zákon, př. rozpoznávání obličejů dodatečné záruky ochrany ou a soukromí. Zdravotní a sociální péče (posuzování pracovní způsobilosti, poskytování zdravotní a sociální péče, řízení systému této péče odehrávající se na základě práva EU nebo členského státu (zejm. zákon č. 372/2011 Sb., o zdravotních službách týká zdravotní dokumentace 53) podmíněno povinností mlčenlivostí Veřejný zájem v oblasti veřejného zdraví (dle 79 odst.1 z.č. 258/2000 Sb.), o ochraně veřejného zdraví - v souladu s Nařízením EP a Rady (ES) 1338/2008 neopravňuje ke zpracování zaměstnavatelem, pojišťovnou, bankou po jiné účely Zpracovávat pro účely archivace, vědeckého či historického výzkumu, pro statistické účely Děkuji za pozornost Vaše dotazy? PhDr. Hana Štěpánková handulka.step@seznam.cz 8