Ochrana osobních Michal Černý, Ph.D.

Transkript

1 Ochrana osobních údajů Michal Černý, Ph.D.

2 Upozornění Tento text je určen pouze pro studijní účely studentů magisterského studijního programu oboru právo na Právnick vnické fakultě Univerzity Palackého v Olomouci, zejména předmp edmětu Právo informačních technologií. Bez souhlasu autora nesmí být tento text veřejn ejně šířen ani využit k jinému účelu, než je výše e uvedeno.

3 Úvodní výklad Shromažď žďování údajů je jedna z nejčast astějších činností na Internetu Tato činnost se týká úpravy ochrana osobnosti a odvozených práv Autorského práva vytvářen ení databází

4 Geneze První úprava již zákon 256/1992 Sb., o ochraně osobních údajů v informačních systémech V roce 2000 Zrušen a nahrazen zákonem z 101/2000 Sb., o ochraně osobních údajů Z vychází z práva ES: Směrnice EPaR 95/46/ES.. O ochraně jednotlivců v souvislosti se zpracováním osobních údajů a o volném m pohybu těchto t údajů Respektuje mezinárodn rodní závazky CZ: Úmluva o ochraně osob se zřetelem z na automatizované zpracování osobních dat č.108, vyhláš ášená pod č.. 115/2001 Sb.m.s.

5 zákon se vztahuje - chrání pouze osobní údaje o fyzických osobách vztahuje na vešker keré zpracování osobních údajů, ať již se děje d automatizovaně nebo manuáln lně, ledaže e zvláš áštní zákon stanoví režim jiný. stanoví práva a povinnosti při p i zpracování takových osobních údajů. upravuje téžt podmínky, za kterých je možné předávat osobní údaje o fyzických osobách do jiných států. Na ochranu právnických osob se ZOOÚ nevztahuje a nemůž ůžeme jej použít t ani analogicky.

6 Osobní údaj "jakýkoliv údaj týkající se určen eného nebo určiteln itelného subjektu údajů.. Subjekt údajů se považuje za určený nebo určitelný, jestliže e lze na základz kladě jednoho či i více v osobních údajů přímo či i nepřímo zjistit jeho identitu. O osobní údaj se nejedná, pokud je třeba t ke zjištění identity subjektu údajů nepřim iměřené množstv ství času, úsilí či materiáln lních prostředk edků" " ( ( 4 písm. p a) ZOOÚ).

7 Citlivý osobní údaj "osobní údaj vypovídaj dající o národnostním, rasovém m nebo etnickém původu, politických postojích, členství v odborových organizacích, ch, nábon boženství a filozofickém m přesvp esvědčení,, trestné činnosti, zdravotním m stavu a sexuáln lním životě subjektu údajů." ( ( 4 písm. p b) ZOOÚ).

8 Zveřejn ejněný ný údaj údaj "zpřístupn stupněný ný zejména hromadnými sdělovac lovacími prostředky, jiným veřejným ejným sdělen lením m nebo jako součást st veřejn ejného seznamu" ( ( 4 písm l) ZOOÚ).

9 O osobní údaj jde tehdy, pokud: jakákoliv koliv informace nebo kombinace informací o určit ité fyzické osobě (subjektu údajů), pokud je alternativně: známa identita fyzické osoby, nebo pokud lze identitu fyzické osoby určit z takové informace či i kombinace informací. po zjištění identity i takové údaje, které by bez zjištění totožnosti samostatně osobními údaji nebyly.

10 Zpracování os.údaj dajů jednotlivá operace nebo souvislá soustava operací (tzn. úkonů) ) s osobními údaji, která je systematická. subjekt údajů se považuje fyzická osoba, jejíž totožnost která je nadána vlastnostmi popisovanými osobními údaji. Právn vně je nevýznamné,, zda-li identitu můžm ůžeme určit přímo p či i nepřímo. O osobní údaj se nejedná,, pokud by k určen ení totožnosti osoby bylo zapotřeb ebí vynaložit nepřim iměřené množstv ství času, úsilí či materiáln lních prostředk edků.

11 Základní principy nakládání s osobními údaji České právo (ZOOÚ) ) stanoví jako základ princip opt-in, doplňkov kově a výjimečně se pak uplatňuje uje princip opt-out out.. Stejně výjimečně jsou některn která zpracování výslovně přikázaná. obecně pouze tehdy, pokud s tím m subjekt údajů vysloví svůj j souhlas.

12 Účel zpracování a jeho význam Osoba, která je oprávn vněna na nakládat s osobními údaji, se nazývá správce. Správci je uloženo několik n povinností. Především musí stanovit účel, ke kterému osobní údaje zpracovává.

13 Zpracování může e být prováděno přímo p správcem, můžm ůže e být ale prováděno třett etí osobou, kterou správce touto činností pověř ěří nebo která ji pro něj n j vykonává. Před zahájen jením m nakládání s os. Údaji je nutná registrace u ÚOOÚ Oznámen mení. Úřad o oznámen mení rozhodne ve lhůtě 30 dnů. Pokud oznamovatel splňuje všechny v požadavky, které zákon klade na zpracování osobních údajů, pak žadateli v písemné formě sdělí, že e oznámen mení registruje.

14 Sml.. Mezi správcem a zpracovatelem o zpracování osobních údajů.. Jejími obligatorními nálen ležitostmi ( ( 6 ZOOÚ) ) jsou: písemná forma (pod sankcí absolutní neplatnosti) výslovně uvedení rozsahu a účelu, pro který se uzavírá, uvedení doby, na kterou se uzavírá poskytnutí dostatečných záruk z technického ho a organizačního zabezpečen ení ochrany osobních údajů (opět t nešťastn astně pod sankcí neplatnosti takové smlouvy),

15 účel a souhlas účel zpracování - souhlas se vždy v váže v k určit itému účelu, který musí být znám m předem p subjektu údajů. Ze souhlasu musí být patrné,, v jakém m rozsahu je poskytován, komu a k jakému účelu, na jaké období a kdo jej poskytuje. Subjekt údajů může e jednou daný souhlas kdykoliv odvolat, ledaže e správci poskytne souhlas neodvolatelný.

16 Výjimka bez souhlasu Statistické a vědeckv decké účely, Na základz kladě zvl. zákona z např. školství, zaměstnavatel, ObZ (seznam společníků s s.r.o. apod.), politické strany, odborové organizace apod. též v případě, že e je to nezbytně třeba k ochraně důležitých zájmz jmů subjektu údajů - souhlas však v musí být získz skán, jakmile je to možné.

17 Povinnosti správc vců a zpracovatelů Informační povinnost je stanovena v 11 ZOOÚ rozsah a účel zpracovávání, způsob zpracování osobu provádějící zpracování určen ení osobních údajů a jejich event.. zpřístupn stupnění třetím osobám m včetnv etně vymezení (např.. společnosti, ve kterých má správce XY, s.r.o. majetkovou účast alespoň 10% obchodního podílu apod.). Tato informace není totožná s poučen ením m o právech při p zpracování citlivých osobních údajů.. U citlivých údajů musí být subjekt poučen o právu odvolat svůj j souhlas apod.

18 Informační povinnost se nevztahuje na správce, pokud: zpracovává výlučně zveřejn ejněné osobní údaje, zpracovává osobní údaje se souhlasem subjektu údajů podle 5 odst. 5 ZOOÚ a 9 písm. p a) (citlivé osobní údaje) zpracovává údaje pouze pro vědeckv decké,, statistické nebo archivní účely zpracování osobních údajů ukládá zákon nebo je takových údajů třeba k uplatnění práv v a povinností vyplývajících ch ze zvláš áštních zákonz konů, zvláš áštní zákon stanoví, že e není povinen osobní údaje poskytovat,

19 Další povinnosti povinnost chránit osobní údaje před p ztrátou, tou, zničen ením, neoprávn vněným ným přístupem apod. povinnost zajistit zachování mlčenlivosti, kterou mají ze zákona z fyzické osoby vykonávaj vající činnost v pracovním m nebo obdobném m poměru ke správci či zpracovateli oznamovací povinnost vůčv ůči Úřadu.

20 Nároky subjektů osobních údajů zdržovac ovací nárok vůčv ůči i rušiteli, právo na odstranění závadného stavu, právo na omluvu a na poskytnutí zadostiučin inění (zadostiučin inění je satisfakce, není primárn rně potřeba dokazovat výši škody), právo na zaplacení újmy vzniklé porušen ením m práva subjektu údajů na ochranu osobnosti (ochrana jména, ochrana lidské důstojnosti, ochrana osobní cti subjektu údajů oproti zadostiučin inění je potřeba prokázat výši újmy), právo na likvidaci osobních údajů (tzn. většinou v vymazání z databáze) aby zlikvidovala osobní údaje, které neoprávn vněně zpracovává,

21 Úřad na ochranu osobních údajů provádění dozoru nad dodržov ováním m povinností stanovených ZOOÚ vedení evidence oznámen mení dle 16 ZOOÚ a registru povolených zpracování osobních údajů (dále jen "registr"),[1] přijímání podnětů a stížnost ností občan anů na porušen ení ZOOÚ, vydávání výroční správy o činnosti[2] a její zpřístup stupňování veřejnosti ejnosti [1] [1] Registrace a jejich zrušen ení se zveřej ejňují ve VěstnV stníku Úřadu, a to nejdéle do 2 měsícům - 35 ZOOÚ [2] Výroční zpráva obsahuje předevp edevším m informace o provedené kontrolní činnosti, hodnocení,, informace a zhodnocení stavu v oblasti zpracovávání a ochrany osobních údajů v ČR, hodnocení další činnosti Úřadu. Zveřej ejňuje se ve VěstnV stníku ku Úřadu a pro informaci se předkládá jak Poslanecké sněmovn movně Parlamentu ČR, tak Senátu Parlamentu ČR - 36 ZOOÚ

22 projednávání přestupků a správn vních deliktů a udělov lování pokut podle ZOOÚ zajišťov ování plnění požadavk adavků vyplývajících ch z mezinárodn rodních smluv, jimiž je Česká republika vázána, v poskytování konzultací v oblasti ochrany osobních údajů, spolupráce s obdobnými úřady jiných států.

23 Z oblasti el.komunikace pak: Kompetence ÚOOÚ provádění dozoru nad dodržov ováním m povinností stanovených ZNSIS. vydávání prováděcích ch právn vních předpisp edpisů podle zvláš áštního zákona, z Dřívější kompetence (od přeneseny p Zákonem 517/2002 Sb. na Ministerstvo informatiky) udělov lování a odnímání akreditace k působenp sobení jako akreditovaný poskytovatel certifikačních ch služeb, provádění dozoru nad dodržov ováním m povinností stanovených ZEP,

24 Stanoviska ÚOOÚ k problémům m z praxe Stanovisko č. 1/ Vedení dokumentace pacientů ve zdravotnictví Stanovisko č. 1/ Zveřej ejňování jmen dlužníků Stanovisko č. 2/ Zpracování citlivého osobního údaje členství v odborových organizacích ch v souvislosti s odváděním členských příspěvků členů odborových organizací Stanovisko č. 1/ Zpracování osobních údajů v souvislosti se zajišťov ováním m zdravotní péče Stanovisko č. 2/ Zpracovávání osobních údajů v souvislosti s činností knihovny Stanovisko č. 1/ Evidence při p i vstupech do budov Stanovisko č. 2/ Zpřístup stupňování a zveřej ejňování osobních údajů z jednání zastupitelstev a rad obcí a krajů

25 Stanovisko č. 3/ Zpracování osobních údajů v souvislosti s prováděním m klinického hodnocení léčiv a léčivých přípravkp pravků Stanovisko č. 4/ Aplikační výklad k části zákona z č.. 133/2000 Sb. o evidenci obyvatel a rodných číslech a o změně některých zákonz konů Stanovisko č. 5/ Uplatnění částky zaplacených odborových příspp spěvků jako odečitateln itatelné položky od daně z příjmu p Stanovisko č. 6/ Kopírov rování dokladů z pohledu zákona o ochraně osobních údajů Stanovisko č. 1/ Činnost pojišťovac ovacích ch zprostředkovatel edkovatelů a oznamovací povinnost

26 Vyjádřen ení k problémům m z praxe č.. 1/ K pojmu osobní údaj č.. 2/ Ke zpracování osobních údajů v souvislosti s poplatkem za komunáln lní odpad č.. 3/ Předávání osobních údajů Policii České republiky č.. 4/ Nahlížen ení do spisů podle správn vního řádu č.. 5/ Mohou se studenti při p i své praxi seznamovat s osobními údaji pacientů nebo klientů? č.. 6/ Nepřípustn pustné propojování databází pro marketingové účely č.. 7/ Prokázání státn tního občanstv anství České republiky pro zápis z do matriky studentů č.. 1/ Výpisy ze zdravotní dokumentace č.. 2/ Evidence ubytovaných č.. 3/ Místní poplatky za lázel zeňský nebo rekreační pobyt

27 č.. 4/ Používání rodného čísla č.. 5/ Služby soukromých detektivů č.. 6/ Poskytování osobních údajů o zaměstnanc stnancích ch č.. 7/ Zpracování osobních údajů zemřelých elých osob č.. 1/ Monitorování elektronické pošty a ochrana soukromí a osobních údajů zaměstnanc stnanců č.. 1/ Poskytnutí informací a získz skání souhlasu subjektu údajů v elektronické komunikaci č.. 1/ Sdělen lení Úřadu k informacím m o šířen ení TBC č.. 2/ Zpracování osobních údajů zaměstnanc stnanců ve vztahu k oznamovací povinnosti správce podle 16 zákona z o ochraně osobních údajů č.. 3/ Banky a telefonické poskytování informací o RPSN č.. 4/ Evidence ubytovaných osob

28 Exkurs do slovenské právn vní úpravy

29 (SK) Nakládání s osobními údaji na Slovensku upravuje zákon z 428/2002 Z.z., o ochrane osobných údajov (dále jen "SK-ZOO ZOOÚ"). Ochrana osobních údajů se obdobně jako v ČR R poskytuje údajům m o fyzických osobách. osobní údaj se považuje údaj týkající se určen ené nebo určiteln itelné fyzické osoby. Takovou osobou je osoba, jejíž identitu je možno přímo p nebo nepřímo určit na základz kladě všeobecně použiteln itelného identifikátoru toru nebo na základz kladě jedné nebo více v charakteristik nebo znaků,, které tvoří její fyzickou, fyziologickou, psychickou, mentáln lní, ekonomickou, kulturní nebo sociáln lní identitu. Subjekt údajů se ve slovenské terminologii nazývá "dotknutá osoba",

30 Obdobně jako v ZOOÚ je zpracovávání osobních údajů vázáno na souhlas osoby, pokud SK-ZOO ZOOÚ nestanoví jinak. Souhlasem můžm ůže e být jakýkoliv svobodně daný výslovný a srozumitelný projev vůle, v kterým osoba vyjadřuje svůj j souhlas se zpracováním m ( ( 4 odst.1 písm. p i.) SK-ZOO ZOOÚ). Oproti české úpravě se striktně vyžaduje souhlas výslovný, odpadají tedy možné právn vní problémy ohledně interpretace konkludentního jednání subjektu údajů.

31 Elektronické souhlasy Provozovatel systému je zákonem z zavázán uchovávat vat souhlasy a prokázat je podáním důkazu. Písemný souhlas musí být podepsán vlastnoručním m podpisem, jinak je neplatný. Pro souhlasy dané v elektronické podobě je povoleno použít t elektronického podpisu podle zvláš áštního zákona z (SK-ZEP). Elektronické souhlasy podepsané jinak jsou neplatné.

32 bez souhlasu údaje: Za účelem výlučně vědeckým, uměleckých nebo literárn rních děl, d pro potřeby informování veřejnosti ejnosti prostředky masové komunikace (média), avšak ak jen za podmínky, že e zpracoval je k těmto t činnostem oprávn vněn n v rámci r mci předmp edmětu činnosti (předm edmětu podnikání) ) podle zvláš áštního zákona, z Za účelem statistickým, avšak ak jen anonymizovaně, Je-- --li to nezbytné na ochranu životně důležitých zájmz jmů subjektu údajů. Bez souhlasu subjektu je dále d možno zpracovávat vat údaje v rozsahu jméno a příjmenp jmení,, titul, bydliště,, je-li předmp edmětem činnosti zpracovatele přímý p marketing. K takto zpracovávaným vaným osobním údajům m není možno bez souhlasu subjektu údajů přiřazovat azovat další údaje.

33 Shromážděné údaje je možné poskytnou jiné osobě, která provozuje přímý p marketing, avšak ak bez možnosti jejich zpřístupn stupnění nebo zveřejn ejnění. Takové zpracovávání je navíc c dovoleno jen do uplatnění námitky subjektem údajů,, která odpovídá výslovnému nesouhlasu podle českého zákona. z Z hlediska rozsahu údajů je navíc c oproti českému zákonu z dovoleno zařadit adit akademický titul. Shromážděné údaje tak mohou mít m t vyšší vypovídac dací schopnost s ohledem na výkon určit ité činnosti (např.. u titulu MVDr. je jisté, že jeho držitel je promovaným veterinárn rním m lékal kařem).

34 Kromě takových údajů mohou být zpracovávány podle SK-ZOO ZOOÚ již jen osobní údaje, které již byly zveřejn ejněné, avšak ak v těchto t případech p padech musí zpracovatel prokázat skutečnost zveřejn ejnění údajů. Použity mohou být pouze údaje, které byly zveřejn ejněné v souladu se zákonem. z Každý, kdo hodlá osobní údaje zveřejnit, ejnit, musí dodržovat ovat právo na ochranu osobnosti a soukromí dotčen ené osoby.

35 Před získz skáním m souhlasu subjektu údajů ke zpracování je nutno vymezit účel zpracování a zabezpečit, aby nebyly zpracovávan vané údaje, u kterých to nedovoluje zákon z (včetn etně údajů nesouvisejících). ch). Účel zpracování musí být jasný a zákonem z dovolený. Přiřazovat ke získaným z údajům m další údaje je možné jen po předchozp edchozím m upozornění a s následným n písemným p souhlasem subjektu údajů. Pokud vzniknou pochybnosti ohledně rozsahu, obsahu, časové a věcnv cné souvislosti a další ších otázk zkách vymezených v zákonz koně ohledně zpracovávání údajů,, mám Úřad pravomoc vydat stanovisko ohledně rozsahu zpracování,, které je závaznz vazné.

36 Významnou odlišnost ností slovenské úpravy jsou také legáln lně definované pojmy "všeobecn eobecně použitelný identifikátor" tor" a "biometrické údaje". Za všeobecně použitelný identifikátor tor se považuje "trvalý identifikační údaj subjektu údajů,, který zabezpečuje její jednoznačnost nost v informačních systémech". Pod tuto definici bez problémů zařad adíme rodné číslo, jehož samostatné považov ování za osobní údaj je podle české právn vní úpravy sporné. Za biometrický údaj se pak považuje "osobní údaj fyzické osoby, na základz kladě kterého můžm ůže e být osoba jednoznačně a nezaměniteln nitelně určiteln itelná,, a to zejména otisk prstu, otisk dlaně,, analýza DNA, profil DNA."

37 (SK) KATEGORIZACE SK-ZOO ZOOÚ rozděluje osobní údaje do několika n kategorií. Absolutně chráněné jsou údaje vypovídaj dající o etnickém či i rasovém m původu, p politických názorech nebo nábon boženském m přesvp esvědčení, členství v politických stranách nebo hnutích, a dále údaje o zdraví nebo pohlavním životě subjektu údajů.. Tyto údaje, které až na výjimky odpovídaj dají citlivým údajům m podle českého ZOOÚ, není možné podle SK-ZOO ZOOÚ zpracovávat vat vůbec v LEDAŽE E STANOVÍ ZVL. ZÁKONZ

38 několik další ších skupin, které reguluje zvláš áštním způsobem. biometrické údaje, které mohou být zpracovávány jen pokud to buď provozovateli výslovně povoluje zákon, z nebo k tomu dal subjekt údajů výslovný souhlas. Bez souhlasu mohou být některn které takové údaje podle SK-ZOO ZOOÚ zpracovávány jen v uzavřených systémech pro vnitřní potřebu provozovatele a údajů se použije výlučně jen na evidenci vstupu ( ( 9 odst.3 SK- ZOOÚ).

39 údaje o psychické identitě fyzické osoby nebo údaje o psychické pracovní způsobilosti. Tyto údaje smí zpracovávat vat pouze psycholog nebo osoba oprávn vněná zvláš áštním m zákonem. z V praxi se toto kogentní ustanovení dotýká asi nejvíce zprostředkovatel edkovatelů práce a slovenská úprava opět t obsahuje vyšší míru ochrany práv subjektu údajů,, než právn vní úprava česká.

40 (SK) - získávání os. údajů zásady otevřenosti enosti získz skávání údajů a přiměřenosti použit ití ve vztahu k danému účelu. právo na získz skávání údajů za účelem evidence vstupu osob do objektů.. Toto právo vyplývá přímo ze zákona, z avšak ak je také zákonem kogentně omezeno na: Jméno a příjmenp jmení,, titul, číslo průkazu totožnosti (občanský průkaz, služebn ební průkaz, cestovní pas). Toto právo také zahrnuje povinnost subjektu údajů prokázat pravdivost poskytnutých údajů předložením průkazu totožnosti.

41 získávání osobních údajů kopírov rováním, skenováním m nebo jiným zaznamenáváním m obsahu úředních dokladů na nosič informací. Takové zpracovávání je povoleno jen tehdy, pokud s tím t m subjekt údajů výslovně písemně souhlasí nebo pokud takové počínání dovoluje zvláš áštní zákon. Výslovně je také upraven monitoring veřejných ejných prostranství a pořizov izování audiovizuáln lních záznamz znamů. Monitoring je možné provádět t jen za účelem ochrany veřejn ejného pořádku nebo bezpečnosti (atd.) a prostor navíc c musí být zřetelnz etelně označen jako monitorovaný.

42 (SK) Registrace a event. inf. syst. Povinnost registrace je uložena těm t m provozovatelům systémů,, kteří: Zpracovávaj vají osobní údaje zvláš áštní povahy podle 8 SK- ZOOÚ (viz výše), Zpracovávaj vají osobní údaje, které jsou předmp edmětem přeshraniční výměny, Zpracovávaj vají osobní údaje prostřednictv ednictvím zprostředkovatel edkovatelů (dle české terminologie by se jednalo o zpracovatele údajů). skupins výluk z registrační povinnosti, které v konečném důsledku znamenají zvláš áštní režim pro zaměstnavatele, církve, politické strany apod. (viz 25 odst.3 SK-ZOO ZOOÚ).

43 Rozdělen lení systémů na registrované a s evidenční povinností podle slovenského předpisu, které v konečném m důsledku d znamená, že e skupina systémů s evidenční povinností je úřadu neznámá,, a to aža do případného šetření vedeného úřadem.

44 Veřejn ejná správa na úseku osobních údajů Úřad na ochranu osobních údajů. Jeho sídlem s je Bratislava. Činnost vykonává vrchní inspektor a inspektoři. i. Kompetence odpovídaj dají českému ÚOOÚ