Studijní materiál k e-learningovému kurzu. Ochrana osobních údajů

Transkript

1 Studijní materiál k e-learningovému kurzu Ochrana osobních údajů Rentel, a. s. 07/2015

2 Obsah 1 ÚVOD DO PRÁVNÍ OCHRANY OSOBNÍCH ÚDAJŮ DŮVODY OCHRANY OSOBNÍCH ÚDAJŮ Ochrana soukromí Tradice ochrany osobních údajů PRÁVNÍ ÚPRAVA OCHRANY OSOBNÍCH ÚDAJŮ Ústavněprávní zakotvení ochrany osobních údajů Mezinárodněprávní ochrana osobních údajů...8 Evropská unie Právní předpisy upravující ochranu osobních údajů v ČR PŮSOBNOST ZÁKONA Č. 101/2000 SB., O OCHRANĚ OSOBNÍCH ÚDAJŮ Působnost zákona pozitivní vymezení Působnost zákona negativní vymezení Působnost zákona částečné negativní vymezení ZÁSADY OCHRANY OSOBNÍCH ÚDAJŮ Zásada účelovosti Zásada přiměřenosti (minimalizace rozsahu) Zásada přesnosti Zásada otevřenosti Zásada ochrany před nahodilým přístupem Zásada mlčenlivosti Zásada souhlasu subjektu údajů Zásada informování subjektu údajů Zásada oznamování zpracování osobních údajů Zásada ochrany práv subjektu údajů POJMY OCHRANY OSOBNÍCH ÚDAJŮ OSOBNÍ ÚDAJ Definice pojmu osobní údaj v právních předpisech Určenost a určitelnost subjektu Které informace jsou osobními údaji? CITLIVÝ ÚDAJ Definice pojmu citlivý údaj Jednotlivé citlivé údaje RODNÉ ČÍSLO Rodné číslo jeho právní regulace Budoucnost používání rodného čísla ÚŘAD PRO OCHRANU OSOBNÍCH ÚDAJŮ Zřízení a struktura Úřadu pro ochranu osobních údajů Působnost Úřadu pro ochranu osobních údajů SUBJEKTY OCHRANY OSOBNÍCH ÚDAJŮ Definice subjektů v zákoně o ochraně osobních údajů Rozdíly mezi subjekty Typičtí správci osobních údajů ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

3 2.6.1 Definice pojmu zpracování v zákoně o ochraně osobních údajů Definované způsoby zpracování POVINNOSTI SPRÁVCE OSOBNÍCH ÚDAJŮ POVINNOST STANOVIT ÚČEL, PROSTŘEDKY A ZPŮSOB ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ Účel zpracování osobních údajů Prostředky zpracování osobních údajů Způsoby zpracování osobních údajů Plnění povinnosti stanovit účel, prostředky a způsob zpracování osobních údajů POVINNOST ZPRACOVÁVAT OSOBNÍ ÚDAJE SE SOUHLASEM SUBJEKTU ÚDAJŮ Právní úprava povinnosti zpracovávat osobní údaje se souhlasem subjektu údajů...28 Citlivé údaje je možné zpracovávat, jen jestliže Zpracování osobních údajů se souhlasem subjektů údajů obecné teze Výjimky z povinnosti zpracovávat osobní údaje se souhlasem (u běžných osobních údajů) Výjimky z povinnosti zpracovávat osobní údaje se souhlasem (u citlivých osobních údajů) Formy souhlasu při zpracování osobních údajů POVINNOST OZNAMOVAT ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ VEŘEJNOSTI Právní úprava povinnosti oznamovat zpracování osobních údajů veřejnosti Oznamovací povinnost vůči Úřadu pro ochranu osobních údajů Výjimky z plnění oznamovací povinnosti vůči Úřadu pro ochranu osobních údajů Oznamovací povinnost sui generis dle 18 odst. 2 ZOOU INFORMAČNÍ A POUČOVACÍ POVINNOSTI Informační povinnost správce při shromažďování osobních údajů Výjimky z plnění informační povinnosti správce při shromažďování osobních údajů Poučovací povinnost správce při zpracování osobních údajů získaných od subjektu údajů Informační povinnost správce při zpracování osobních údajů za účelem ochrany práv ORGANIZAČNÍ POVINNOSTI PŘI ZABEZPEČENÍ OSOBNÍCH ÚDAJŮ Právní úprava organizačních povinností Technicko-organizační opatření k zajištění ochrany osobních údajů FAKTICKÉ POVINNOSTI SPRÁVCE Povinnosti deklaratorní a faktické Povinnost zpracovávat pouze přesné osobní údaje získané v souladu se zákonem Povinnost zpracovávat osobní údaje pouze v rozsahu nezbytném pro naplnění stanoveného účelu Povinnost uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování Povinnost zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny Povinnost shromažďovat osobní údaje pouze otevřeně Povinnost nesdružovat osobní údaje, které byly získány k rozdílným účelům

4 3.6.8 Povinnost dbát, aby při zpracování osobních údajů subjekt údajů neutrpěl újmu na svých právech JAK PLNIT POVINNOSTI SPRÁVCE Audit osobních údajů Nástroje k ochraně osobních údajů PŘEDÁVÁNÍ OSOBNÍCH ÚDAJŮ DO CIZÍCH STÁTŮ Předávání osobních údajů do států EU Předávání osobních údajů do bezpečných států Předávání osobních údajů na základě rozhodnutí PRÁVA SUBJEKTU ÚDAJŮ O právech subjektu údajů obecně Právo na přístup k informacím o zpracování osobních údajů Právo na přístup k informacím o automatizovaném zpracování (určeném k hodnocení určitých rysů osobnosti) Právo na vysvětlení a na odstranění závadného stavu ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ PROSTŘEDNICTVÍM OSOB ODLIŠNÝCH OD SPRÁVCE ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ PROSTŘEDNICTVÍM ZAMĚSTNANCŮ Povinnosti správce při zpracování osobních údajů prostřednictvím zaměstnanců Povinnosti osob provádějící vlastní zpracování osobních údajů ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ PROSTŘEDNICTVÍM ZPRACOVATELE Vztah správce a zpracovatel osobních údajů Smlouva o zpracování osobních údajů SANKCE ZA PORUŠENÍ POVINNOSTÍ PŘI ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ O sankcích obecně Přestupky zaměstnanců a dalších osob provádějící faktické zpracování osobních údajů Přestupky správců a zpracovatelů osobních údajů Přestupky fyzických osob Správní delikty správců a zpracovatelů osobních údajů Správní delikty právnických osob a fyzických osob podnikajících Trestné činy páchané v souvislosti s ochranou osobních údajů...63 Neoprávněné nakládání s osobními údaji Trestné činy páchané v souvislosti s ochranou osobních údajů právnickými osobami 65 5 PŘÍKLADY PLNĚNÍ POVINNOSTÍ SPRÁVCE V RŮZNÝCH SITUACÍCH KONKRÉTNÍ PŘÍKLADY VEDENÍ KNIHY ÚRAZŮ Vedení knihy úrazů obecně Vedení knihy úrazů povinnosti, které je správce povinen plnit KONKRÉTNÍ PŘÍKLADY KAMEROVÝ SYSTÉM Kamerový systém - obecně Právní úprava kamerového systému...67 Případ Ryneš x Úřad pro ochranu osobních údajů...68 Případ Ryneš x Úřad pro ochranu osobních údajů akcentace systému subsidiarity

5 Kamerový systém povinnosti, které je správce povinen plnit v případě monitorování domu pana Ryneše, kde došlo i k monitorování veřejného prostranství: Kamerový systém možná kolize s právem na soukromí Kamerový systém povinnosti, které je správce povinen plnit v případě monitorování sklepů a garáží (případně veřejného prostranství) Kamerový systém povinnosti, které je správce povinen plnit v případě monitorování jednotlivých vchodů do bytů v bytovém domě Kamerový systém další zdroje informací KONKRÉTNÍ PŘÍKLADY INTERNETOVÁ PREZENTACE FIRMY VYLEPŠENÁ FOTOGRAFIEMI PRACOVNÍKŮ Internetová prezentace obecně Internetová prezentace povinnosti, které je správce povinen plnit NĚKTERÉ NÁZORY ÚŘADU NA POUŽITÍ FOTOGRAFIÍ

6 1 Úvod do právní ochrany osobních údajů 1.1 Důvody ochrany osobních údajů Tato kapitola by měla přispět k pochopení vzniku právní regulace nakládání s osobními údaji, jako určité reakce evropské společnosti na nebývalý rozvoj výpočetní techniky, která umožňuje dokumenty s osobními údaji donekonečna rozmnožovat a se zanedbatelnými náklady neomezeně šířit Ochrana soukromí Důvodem ochrany osobních údajů, alespoň z právně-filozofického hlediska, je ochrana soukromí. Ochrana soukromí a rodinného života jako součást ochrany osobnosti je zakotvena v právních řádech demokratických právních států poměrně dlouho. V rámci prevence před zásahy do soukromí bylo třeba nějak reagovat na rozvoj výpočetní techniky, která umožňuje snadné kopírování a rozšiřování dokumentů obsahující informace o fyzických osobách (osobní údaje). O ochraně osobních údajů se začíná uvažovat v demokratické části Evropy někdy v 70. letech 20. století. Důvodem byla stále se rozšiřující a zlevňující výpočetní a zejména rozmnožovací technika a digitální zpracování dat. Vzhledem k tomu, že bylo stále snazší pořizovat si kopie všemožných dokumentů, rostla obava ohledně nakládání s těmito kopiemi. Téměř každý si mohl totiž pořídit kopie (obsahující osobní údaje) ne proto, že by je potřeboval, ale proto, že by se mu mohly někdy v budoucnu hodit. Ochrana osobních údajů vlastně představuje určitou regulaci nakládání s dokumenty obsahujícími osobní údaje. Je založena na principu účelovosti, což znamená, že je možné zpracovávat osobní údaje, ale pouze za konkrétním (legitimním) účelem. Tímto mělo být zabráněno tomu, aby si kdokoli pořizoval kopie dokumentů (obsahujících osobní údaje) tak říkajíc do zásoby (tedy bez konkrétního účelu). Ochrana osobních údajů (ona regulace nakládání s dokumenty obsahujícími osobní údaje) se původně uplatňovala pouze u dokumentů zpracovávaných automatizovaně (tedy ve formě digitálních dat, která lze jednoduše a do nekonečna rozmnožovat). U manuálního zpracování osobních údajů (údaje zaznamenané na papírové dokumenty) se původně ochrana osobních údajů neuplatňovala, protože nakládání s těmito dokumenty nepředstavovalo vážnější nebezpečí. Současná koncepce ochrany osobních údajů je však taková, že se uplatňuje jak u dokumentů zpracovávaných automatizovaně tak manuálně, uplatňuje se tedy komplexně. Vzhledem ke značně rozvinutému stavu techniky (zejména skenerům) je ostatně převážná část papírových 6

7 dokumentů digitalizována, proto je na místě regulaci nakládání s osobními údaji vztáhnout i na dokumenty papírové Tradice ochrany osobních údajů Nelze říci, že v České republice není žádná tradice při nakládání s osobními údaji. Určitá tradice zde existuje, je to však spíše tradice (z pohledu ochrany osobních údajů) špatná. Tímto mám na mysli určitou praxi, kde se např. u kadeřníka sejdou zákaznice, a začnou si vyprávět, co je nového. První zákaznice si stěžuje na dítě ze sousedství, které rozbilo okno. K tomu se připojí druhá zákaznice, pracovnice přestupkové komise, která všechny informuje o tom, že jablko nepadá daleko od stromu a vyjmenuje přestupky rodičů onoho dítka. Na to se do diskuse zapojí další zákaznice místní matrikářka, která podotkne, že jsou všichni na omylu, neboť otcem onoho dítěte je úplně někdo jiný, protože se vůbec nenarodilo zmiňovaným rodičům, ale je adoptované. Všichni jsou z toho překvapeni a už se těší, až tuto informaci pošlou dál. Právě výše uvedené praxi, která bývala mnohdy doplňována kopírováním a rozšiřováním příslušných dokumentů, je třeba čelit, neboť může napáchat mnoho škody v soukromém a rodinném životě osob, o kterých jsou informace takto rozšiřovány. Jedním z dalších principů, na kterých je založena ochrana osobních údajů, je proto princip mlčenlivosti. 1.2 Právní úprava ochrany osobních údajů V této kapitole se účastník kurzu dozví o různých typech právních dokumentů, které regulují nakládání s osobními údaji. Ochrana osobních údajů není totiž upravena pouze v zákoně č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů Ústavněprávní zakotvení ochrany osobních údajů článek 10 Listiny základních práv a svobod: (1) Každý má právo, aby byla zachována jeho lidská důstojnost, osobní čest, dobrá pověst a chráněno jeho jméno. (2) Každý má právo na ochranu před neoprávněným zasahováním do soukromého a rodinného života. (3) Každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě. 7

8 1.2.2 Mezinárodněprávní ochrana osobních údajů Rada Evropy V roce 1950 uzavřely mezi sebou členské státy Rady Evropy (demokratické evropské státy kam nepatřily státy komunistického bloku) tzv. Evropskou úmluvu o lidských právech. Tato úmluva jednak pojmenovala určitá lidská práva, která měly členské státy úmluvy respektovat, a dále zavedla speciální justiční orgán, na nějž se mohli obracet jednotlivci se žalobami na ten stát, který by lidská práva nerespektoval. Tento justiční orgán je Evropský soud pro liská práva ve Štrasburku. Po roce 1989 jsou členy Rady Evropy všechny evropské státy, neboť se má za to, že jsou všechny demokratické. To znamená, že u Evropského soudu pro lidská práva ve Štrasburku je možno se domáhat právní ochrany proti zásahu do lidských práv, ke kterému došlo na území prakticky celé Evropy. Lidská práva, jejichž ochrany je možno se u Evropského soudu pro lidská práva ve Štrasburku domáhat, jsou popsána zejména v Evropské úmluvě o lidských právech. Mezi členskými státy Rady Evropy však byly uzavřeny i další smlouvy o lidských právech. Jednou z těchto smluv je i Úmluva o ochraně osob se zřetelem na automatizované zpracování osobních dat. Úmluva byla podepsána ve Štrasburku 28. ledna 1981 a vstoupila v platnost 1. října ČR Úmluvu podepsala ve Štrasburku dne 8. září Jak napovídá název úmluvy, týkala se pouze automatizovaného zpracování dat, nicméně umožňovala členským státům, aby si její působnost rozšířily i na zpracování osobních údajů zpracovávaných manuálně. Jelikož se mezinárodní úmluvy uzavřené v rámci Rady Evropy číslují a pořadové číslo Úmluvy o ochraně osob se zřetelem na automatizované zpracování osobních dat je 108, někdy se jí zkráceně říká Úmluva č Evropská unie Evropská unie představuje užší integraci evropských států, jejímž účelem je realizace volného pohybu zboží, osob, služeb a kapitálu. Za účelem naplnění těchto ekonomických svobod je třeba, aby členské státy EU měly v určitých oblastech harmonizovanou právní regulaci. K tomu slouží zejména dva právní nástroje, kterými jsou nařízení a směrnice. V oblasti ochrany osobních údajů se využívají směrnice. Směrnice znamenají úkol pro členské státy, aby si upravily své vnitrostátní právní předpisy tak, aby byly ve shodě s výsledem obsaženým ve směrnici. Nejdůležitější směrnicí v oblasti ochrany osobních údajů je Směrnice Evropského parlamentu a Rady 95/46/ES o ochraně jednotlivců 8

9 v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen Směrnice 95/46/ES ). Směrnice 95/46/ES je právním předpisem, který se týká regulace nakládání s osobnímu údaji obecně. V oblasti ochrany osobních údajů však vyšlo několik dalších směrnic, které regulují nakládání s osobními údaji ve specifických oblastech. Pro představu jde o tyto směrnice: Směrnice Evropského parlamentu a Rady 2002/58/ES o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) Směrnice Evropského parlamentu a Rady 2000/31/ES o některých právních aspektech služeb informační společnosti, zejména elektronického obchodu, na vnitřním trhu (Směrnice o elektronickém obchodu) Směrnice Evropského parlamentu a Rady 97/66 ES o zpracování osobních údajů a ochraně soukromí v telekomunikacích Právní předpisy upravující ochranu osobních údajů v ČR V České republice je nakládání s osobním údaji provedeno zákonem. Je to způsobeno tím, že dle Ústavy ČR mohou být povinnosti právním subjektům ukládány pouze zákonem. Základním zákonem, který se v oblasti ochrany osobních údajů uplatňuje, je zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů (dále též ZOOU ). ZOOU upravuje nakládání s osobními údaji obecně. Existuje však několik speciálních zákonů, které upravují nakládání s osobními údaji ve specifických oblastech. Speciální předpisy však přinášejí pouze drobné odchylky od obecné regulace stanovené dle ZOOU. Těmto speciálními zákony jsou: zákon č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (zákon o některých službách informační společnosti) upravuje používání spamů zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích) upravuje nakládání s osobnímu údaji v telekomunikacích zákon č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel) upravuje používání rodného čísla (speciálně souhlas s jeho zpracováním) 9

10 1.3 Působnost zákona č. 101/2000 Sb., o ochraně osobních údajů Jak již napovídá název této kapitoly, půjde v ní o působnost zákona č. 101/2000 Sb., o ochraně osobních údajů. Pochopení této kapitoly je dosti důležité, neboť ne vše, co se s osobními údaji děje, podléhá regulaci zákona č. 101/2000 Sb Působnost zákona pozitivní vymezení 3 odst. 1, 2 a 5 ZOOU (1) Tento zákon se vztahuje na osobní údaje, které zpracovávají státní orgány, orgány územní samosprávy, jiné orgány veřejné moci, jakož i fyzické a právnické osoby. (2) Tento zákon se vztahuje na veškeré zpracovávání osobních údajů, ať k němu dochází automatizovaně nebo jinými prostředky. (5) Tento zákon se dále vztahuje na zpracování osobních údajů, a) jestliže se právní řád České republiky použije přednostně na základě mezinárodního práva veřejného, i když správce není usazen na území České republiky, b) jestliže správce, který je usazen mimo území Evropské unie, provádí zpracování na území České republiky a nejedná se pouze o předání osobních údajů přes území Evropské unie; v tomto případě je správce povinen zmocnit postupem podle 6 na území České republiky zpracovatele Jestliže zpracování provádí správce prostřednictvím svých organizačních jednotek umístěných na území Evropské unie, musí zajistit, že tyto organizační jednotky budou zpracovávat osobní údaje v souladu s národním právem příslušného členského státu Evropské unie. Podle zákona o ochraně osobních údajů se tento zákon vztahuje na zpracování osobních údajů, které zpracovávají státní orgány, orgány územní samosprávy, jiné orgány veřejné moci, jakož i fyzické a právnické osoby. Tato definice v sobě zahrnuje jakékoli myslitelné subjekty. Prakticky to znamená, že se zákon o ochraně osobních údajů vztahuje na všechny subjekty práva, ovšem s určitými výjimkami, které budou uvedeny později. Zákon o ochraně osobních údajů se vztahuje na veškeré zpracování osobních údajů bez ohledu na prostředky zpracování. Je tedy nerozhodné, zda jsou dokumenty s osobními údaji zpracovávané automatizovaně (pomocí výpočetní techniky) nebo manuálně (ručně pomocí šanonů a kartoték). V uvedeném ustanovení je patrný určitý historismus, kdy starší mezinárodní úmluvy se vztahovaly pouze na zpracování osobních údajů prováděných automatizovaně, neboť především automatizované zpracování osobních údajů představuje hrozbu pro neoprávněné zasahování do soukromí. Český zákonodárce však právní regulaci ochrany osobních údajů podřídil jak zpracování osobních údajů prováděné automatizovaně, tak mechanicky. 10

11 Zákon o ochraně osobních údajů se použije rovněž při zpracování osobních údajů tam, kde se použije český právní řád, což jsou např. lodě plující pod českou vlajkou, letadla registrovaná v České republice nebo budovy českých zastupitelských úřadů v zahraničí. Při zpracování osobních údajů na území některého státu Evropské unie se použije právo tohoto státu. Vzhledem k existenci Směrnice Evropského parlamentu a Rady 95/46/ES o ochraně jednotlivců v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, která ukládá členským států EU mít svoji právní úpravu v souladu s touto směrnicí, lze říci, že právní úprava ochrany osobních údajů v jednotlivých státech EU si je velmi podobná Působnost zákona negativní vymezení 3 odst. 3 a 4 ZOOU (3) Tento zákon se nevztahuje na zpracování osobních údajů, které provádí fyzická osoba výlučně pro osobní potřebu. (4) Tento zákon se nevztahuje na nahodilé shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány. Za zpracování osobních údajů pro svoji osobní potřebu se považuje vedení osobního diáře nebo adresáře. Problém nastane tehdy, když se údaje z tohoto (původně osobního) adresáře začnou používat pro podnikatelskou potřebu. Obvykle to nastane, když někdo začne podnikat v oblasti multilevel marketingu, kdy začne kontaktovat své příbuzné a známé a začne jim nabízet, kosmetiku, hrnce, vysavače a další možné zboží. V takovém případě již nejde o zpracování výlučně pro osobní potřebu, ale rovněž pro potřebu podnikatelskou. Shromažďování je stejně jako uchovávání jedním ze způsobů zpracování osobních údajů. Nahodilé shromažďování je takové, kdy jsou osobní údaje získány náhodou, tedy bez toho, aniž by správce osobních údajů vyvíjel úsilí k jejich získání (např. tehdy, když správci pošle někdo žádost o zaměstnání). Jedním ze způsobů zpracování je i tzv. uchovávání osobních údajů. Pokud tedy správce získá nějaký dokument obsahující osobní údaje a tento dokument založí do šuplíku nebo do skříně, provádí tzv. uchovávání osobních údajů. Z toho tedy plyne, že pokud správce získá (byť nahodile) dokument obsahující osobní údaje (např. zmíněnou žádost o zaměstnání) a tento dokument uschová (v dikci ZOOU uchovává), pak se na takové zpracování osobních údajů zákon o ochraně osobních údajů vztahuje. 11

12 1.3.3 Působnost zákona částečné negativní vymezení 3 odst. 6 ZOOU (6) Ustanovení 5 odst. 1 a 11 a 12 se nepoužijí pro zpracování osobních údajů nezbytných pro plnění povinností správce stanovených zvláštními zákony pro zajištění a) bezpečnosti České republiky, b) obrany České republiky, c) veřejného pořádku a vnitřní bezpečnosti, d) předcházení, vyhledávání, odhalování trestné činnosti a stíhání trestných činů, e) významného hospodářského zájmu České republiky nebo Evropské unie, f) významného finančního zájmu České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování peněžního oběhu a platebního styku, jakož i rozpočtová a daňová opatření, g) výkonu kontroly, dozoru, dohledu a regulace spojených s výkonem veřejné moci v případech uvedených v písmenech c), d), e) a f), nebo h) činností spojených se zpřístupňováním svazků bývalé Státní bezpečnosti. Působnost zákona o ochraně osobních údajů je částečně omezena ve výše uvedených případech, z důvodů bezpečnostních, hospodářských a fiskálních zájmů státu. V těchto případech není třeba, aby správce osobních údajů plnil své povinnosti uvedené v 5 odst. 1, 11 a 12 ZOOU. Toto omezení je sice významné, nutno ovšem dodat, že je pouze částečné, a správce osobních údajů má pořád např. informační povinnost dle 16 eventuálně dle 18 odst. 2 ZOOU. 1.4 Zásady ochrany osobních údajů V této kapitole se účastník kurzu dozví o tom, jaké zásady se uplatňují při právní regulaci ochrany osobních údajů. Níže uvedené zásady se pak budou promítat do jednotlivých práv a povinností, které zákon určitým subjektům ukládá Zásada účelovosti Zásada účelovosti je základní zásadou ochrany osobních údajů. Vychází se z účelu zpracování osobních údajů, přičemž účel je důvod, proč správce potřebuje osobní údaje zpracovávat. Správce např. chce zamezit tomu, aby se po objektu pohybovali lidé, kteří tam nemají, co dělat, neboť má strach, že mu v objektu něco odcizí. Zavede proto evidenční knihu návštěv, do které se musí každá návštěva zapsat. Účelem zpracování osobních údajů je v tomto případě vlastně ochrana majetku správce. 12

13 Každé zpracování osobních údajů musí mít svůj legitimní účel. Je zakázáno shromažďovat osobní údaje takříkajíc bezúčelně, tedy jenom tak, aniž by správce věděl, na co osobní údaje potřebuje. Nejdříve by totiž měla existovat určitá činnost správce, kterou správce hodlá vykonávat (např. ochrana majetku). Pokud je při této činnosti nezbytné, aby správce zpracovával osobní údaje, pak to za splnění určitých podmínek dělat může. Tuto logiku však nelze obracet. Tedy nejdříve získávat osobní údaje a teprve potom přemýšlet, co s nimi budu jako správce dělat Zásada přiměřenosti (minimalizace rozsahu) Zásada přiměřenosti navazuje na zásadu účelovosti. Za konkrétním účelem je totiž možné zpracovávat jen takový rozsah osobních údajů, který je nezbytný k naplnění stanoveného účelu. Pro příklad se vrátíme k výše uvedené situaci, kdy bude vedena evidenční kniha návštěv. Jelikož tato kniha má pouze návštěvu identifikovat pro případ možné krádeže, plně postačí, aby obsahovala pouze identifikační údaje subjektu údajů, jako je jméno, příjmení, adresa, případně rok narození. Zpracování dalších údajů, jako je např. fotografie (z ofoceného občanského průkazu) nebo rodné číslo, je jaksi již navíc a neodpovídá to stanovenému účelu Zásada přesnosti Zásada přesnosti navazuje na praktickou stránku zpracování osobních údajů. Pokud totiž mají správci osobní údaje opravdu napomoci při jeho činnosti, kvůli které je zpracovává, je nezbytné, aby tyto údaje byly přesné, tedy aby byly aktualizované. Zásada přesnosti pak rovněž souvisí s právem na jméno subjektu údajů, tedy jde o to, aby správce osobní údaje již v okamžiku jejich získávání tyto údaje zaznamenával přesně. Zejména, pokud si tyto osobní údaje opisuje z různých dokladů, aby v těchto záznamech neměl překlepy Zásada otevřenosti Zásada otevřenosti opět souvisí se zásadou účelovosti. Ze zásady otevřenosti vycházejí některé povinnosti správce osobních údajů, které ho nutí určité informace o zpracování osobních údajů zveřejňovat. Rovněž tak v rámci respektování zásady otevřenosti je zakázáno zpracovávat osobní údaje pod záminkou zpracování za účelem, který neexistuje Zásada ochrany před nahodilým přístupem Zásada ochrany před nahodilým přístupem se vztahuje k zabezpečení zpracovávaných osobních údajů. Znamená vlastně povinnost správce přijmout taková bezpečnostní a organizační opatření, 13

14 která by komukoli znemožňovala se k osobním údajů dostat. Je to určitá prevence před zneužitím osobních údajů ze strany třetích osob Zásada mlčenlivosti Zásada mlčenlivosti se vztahuje jednak na správce samotného, jeho zaměstnance, zpracovatele, tedy na každého, kdo přijde s osobními údaji do styku. Zásada mlčenlivosti souvisí s ochranou osobnosti subjektu údajů (ochrana před zasahováním do soukromého a rodinného života). Zákon o ochraně osobních údajů zavádí obecnou povinnost mlčenlivosti. Povinnost mlčenlivosti, která se dříve uplatňovala v rámci zachování tzv. tajemství (lékařské tajemství, advokátní tajemství, bankovní tajemství) jenom v určitých oborech, je nyní stanovená jako obecná povinnost pro všechny, kteří s osobními údaji pracují Zásada souhlasu subjektu údajů Zásada souhlasu subjektu údajů je obecným principem, na kterém je založena ochrana osobních údajů. Jádrem této zásady je obecné pravidlo, že cokoli se s osobními údaji děje, musí se tak dít se souhlasem subjektu údajů. Vzhledem k tomu, že důsledné uplatňování této zásady by prakticky paralyzovalo chod veřejné správy i fungování soukromého sektoru, je tato zásada v mnoha případech prolomena a neuplatňuje se Zásada informování subjektu údajů Zásada informování subjektu údajů souvisí se zásadou otevřenosti zpracování osobních údajů. Představuje možnou kontrolu zpracování osobních údajů, a to přímo od samotného subjektu údajů. Zásada informování subjektu údajů se prakticky realizuje ve dvou formách. Za určitých podmínek má správce osobních údajů povinnost subjektu údajů poskytovat určité informace vztahující se ke zpracování jeho osobních údajů. Tuto povinnost má správce osobních údajů za určitých podmínek plnit automaticky, a nebo ji má plnit vždy na žádost subjektu údajů Zásada oznamování zpracování osobních údajů Zásada oznamování zpracování osobních údajů souvisí rovněž se zásadou otevřenosti zpracování osobních údajů. Představuje možnou kontrolu zpracování osobních údajů, a to prakticky od kohokoli. Zásada oznamování zpracování osobních údajů souvisí s představou, že kdokoli 14

15 (kterýkoli subjekt údajů) by měl mít možnost nějakým způsobem zjistit, co ten který správce osobních údajů zpracovává za osobní údaje a proč (v dikci ZOOU to znamená zjistit účel a rozsah zpracování osobních údajů). Oznamování zpracování osobních údajů je vlastně obecná povinnost správce osobních údajů, která znamená, že správce je povinen určité informace o zpracování osobních údajů oznamovat. Toto oznámení se v zásadě děje dvěma způsoby. Jednak prostřednictvím registrace u Úřadu pro ochranu osobních údajů, a nebo (za splnění určitých podmínek) přímo na webových stránkách toho kterého správce Zásada ochrany práv subjektu údajů Zásada ochrany práv subjektu údajů souvisí s praktickou realizací ochrany osobních údajů. Při realizaci ochrany osobních údajů totiž proti sobě prakticky stojí dva subjekty jednak správci a jednak subjekty údajů. Zatímco správci mají při zpracování osobních údajů především povinnosti, pak subjekty údajů mají především práva, která jim slouží zejména k tomu, aby mohly správce nějakým způsobem donutit, aby jejich osobní údaje zpracovával v souladu se zákonem. Aby mohly subjekty údajů svá práva realizovat, mají jejich práva podobu tzv. subjektivních práv, což znamená, že jsou vynutitelná prostřednictvím státního donucení (tedy na soudě). Pokud tedy správci dobrovolně nevyhoví právům, jež vůči nim mohou uplatňovat subjekty údajů, je možné domoci se realizace těchto práv prostřednictvím soudů. 15

16 2 Pojmy ochrany osobních údajů 2.1 Osobní údaj Níže uvedená kapitola pojednává o klíčovém pojmu, se kterým pracují právní předpisy regulující ochranu osobních údajů a to je pojem osobní údaj Definice pojmu osobní údaj v právních předpisech 4 písm. a) ZOOU Osobním údajem se rozumí jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. Čl. 2 odst. a) směrnice 95/46/ES Osobními údaji se rozumí veškeré informace o identifikované nebo identifikovatelné osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity. Čl. 2 odst. a) Úmluvy č. 108 Osobní údaje znamenají každou informaci týkající se identifikované nebo identifikovatelné fyzické osoby ( subjekt údajů ) Určenost a určitelnost subjektu Z právních definic vyplývá, že osobními údaji jsou informace, které se vztahují ke konkrétní fyzické osobě. Identifikovat (určit) osobu lze buď přímo (např. pomocí takových údajů, jako je jméno, příjmení, rodné číslo, otisky prstů), nebo nepřímo. Údaje, které přímo určují fyzickou osobu (jméno, příjmení, rodné číslo, otisky prstů), jsou vždy osobními údaji. Fyzická osoba však může být určená i nepřímo tedy v kontextu s jinými informacemi. Pokud bude existovat informace, že farář z Dolní Lhoty má velké dluhy, pak záleží na tom, zda v Dolní Lhotě bude 1 nebo více farářů. Pokud bude existovat v Dolní Lhotě pouze 1 farář, pak je zcela zřejmé, že označení farář, se vztahuje pouze k jedné fyzické osobě, a proto informace, že tato osoba má velké dluhy, bude osobním údajem. Pokud by však bylo farářů v Dolní Lhotě více 16

17 a nebylo by možné (např. pomocí dalších indicií) určit, koho se uvedená informace týká, pak by tato informace nebyla osobním údajem. Proces, kdy se při zpracování osobních údajů vytvoří situace, kdy osobní údaje nelze vztáhnout k určenému nebo určitelnému subjektu údajů, se nazývá anonymizace osobních údajů, a údaj, který ztratí vazbu ke konkrétní fyzické osobě, se nazývá anonymní údaj. 4 písm. c) ZOOU Anonymním údajem (se rozumí) takový údaj, který buď v původním tvaru nebo po provedeném zpracování nelze vztáhnout k určenému nebo určitelnému subjektu údajů Které informace jsou osobními údaji? Z právních předpisů vyplývá, že osobním údajem je jakákoli informace vztahující se k fyzické osobě. Nejsou to tedy pouze informace identifikační (např. jméno a příjmení, rodné číslo), ale i jakékoli jiné údaje, které se vztahují ke konkrétní (identifikované) fyzické osobě (např. číslo bot, kde byla fyzická osoba na dovolené, jaké měla ve škole známky, jaké je její oblíbené jídlo, co si koupila v obchodě). V odborné literatuře není jednota názorů v tom, zda jsou osobními údaji pouze údaje, které se vztahují k osobám živým, nebo zda to jsou i údaje, které se vztahují k osobám mrtvým. Pro názor, že osobní údaje jsou i údaje o osobách mrtvých svědčí zejména znění zákona o pohřebnictví (zákon č. 256/2001 Sb., o pohřebnictví a o změně některých zákonů), podle něhož provozovatel veřejného pohřebiště při zpracování osobních údajů zemřelých osob postupuje podle zvláštního zákona, kterým je dle poznámky pod čaru zákon o ochraně osobních údajů. (Více viz Matoušová, M., Hejlík, L.: Osobní údaje a jejich ochrana, Nakladatelství ASPI Publishing, s.r.o., Praha 2003, str ). 2.2 Citlivý údaj Kapitola citlivý údaj popisuje obsah tohoto pojmu. Je třeba si uvědomit, že citlivý údaj je údaj, který je přesně definován v zákoně o ochraně osobních údajů. Citlivost údaje se tak posuzuje objektivně, a nikoli subjektivně, tedy dle toho, co ten který subjekt údajů za citlivé považuje. 17

18 2.2.1 Definice pojmu citlivý údaj 4 písm. b) ZOOU Citlivým údajem je osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů. Uvedený výčet je taxativní, to znamená, že citlivým údajem je pouze takový údaj, který je uveden v 4 písm. b) ZOOU, nic víc, nic míň. To mimo jiné znamená, že citlivým údajem není rodné číslo, výše bankovního konta, věk, školní prospěch, a to z toho důvodu, že tyto osobní údaje nejsou zahrnuty v definici uvedené v 4 písm. b) ZOOU Jednotlivé citlivé údaje Národnostní, rasový a etnický původ Tyto osobní údaje vypovídají o příslušnosti osoby k národu, rase, případně etniku. Vzhledem k tomu, že z fotografie obličeje je možné zpravidla poznat, zda je člověk běloch, černoch, indián nebo Asiat (tedy údaje o rasovém původu), považuje se fotografie obličeje konkrétní osoby za citlivý údaj. Politické postoje Do informací o politických postojích je možné zařadit jednak členství osoby v polické straně, ale i další informace o vztahu člověka k politice a veřejným věcem (např. koho volil v komunálních nebo parlamentních volbách, zda podepsal tu či onu petici, zda je zastáncem nebo odpůrcem umístění amerického radaru na území ČR). Náboženské a filozofické přesvědčení Do této kategorie citlivých údajů lze zařadit informace o členství v církvi, náboženské společnosti nebo občanském sdružení sdružující osoby stejného filozofického přesvědčení. Těmito citlivými údaji jsou rovněž i jednotlivé projevy, kterými se demonstruje sympatie s určitým náboženstvím nebo názorem, nebo ze kterých lze filozofické nebo náboženské přesvědčení subjektu údajů vyvodit (např. chození do kostela, držení půstu, slavení svátků). Pokud se týká výuky náboženství na školách, tak údaj o tom, že někdo navštěvuje hodiny náboženství není bez dalšího citlivým údajem. Pouze z informace, že někdo navštěvuje hodinu náboženství, nelze totiž určit náboženské přesvědčení subjektu, neboť účastnit se hodiny náboženství může jak katolík, evangelík, muslim nebo ateista. 18

19 Členství v odborech Členství v odborech je citlivým údajem o tom, že určitý subjekt údajů je sdružen v některé odborové organizaci. Odsouzení za trestný čin Citlivý údaj odsouzení za trestný čin vlastně znamená, že existuje pravomocný rozsudek soudu, který klade určitému subjektu údajů (pachateli) za vinu spáchání trestného činu. V běžné praxi je možné se setkat s výpisem z rejstříku trestů. Pokud je tento výpis negativní (subjekt údajů nemá záznam), pak se o citlivý údaj nejedná. Zdravotní stav a sexuální život Údaje o zdravotním stavu obsahuje v běžné praxi především zdravotnická dokumentace, ale rovněž i neschopenka, neboť z ní lze zdravotní stav vydedukovat. Pokud ovšem existuje posudek lékaře o tom, že subjekt údajů je práce schopen, pak se nejedná o citlivý údaj. O citlivý údaj by se jednalo pouze tehdy, když by pracovní schopnost subjektu údajů byla nějak omezena, přičemž z tohoto omezení by se dal vydedukovat jeho zdravotní stav (např. údaj o invaliditě). Údaje o sexuálním životě jsou zejména údaje o sexuální orientaci subjektu údajů. Genetické údaje Genetické údaje jsou osobní údaje, které obsahují genetické informace o subjektu údajů. Vzhledem k tomu, že genetická informace je obsažena v DNA, která je v buněčných jádrech, jsou tak genetickými údaji vlastně biologické vzorky, které pocházejí od subjektu údajů (např. vzorky krve, kůže, stěry ze sliznic). Biometrické údaje Definice biometrických údajů byla změněna zákonem č. 170/2007 Sb., který doplnil do textu zákona o ochraně osobních údajů to, že biometrický údaj je údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů. Biometrickým údajem je údaj, na základě kterého je fyzická osoba jednoznačně a nezaměnitelně určitelná, např. otisk prstu, otisk dlaně, analýza deoxyribonukleové kyseliny, profil deoxyribonukleové kyseliny. Před účinností zákona č. 170/2007 Sb. tato definice biometrického údaje neplatila a bylo třeba za biometrický údaj považovat ty údaje, které se vztahovaly k fyzické osobě jakožto biologické 19

20 bytosti (bio) a které byly měřitelné (metrické), tedy v podstatě míry a váhy. (Více viz Šalomoun, M.: Právní regulace nakládání s citlivými údaji. Právní rozhledy č. 19/2006.) 2.3 Rodné číslo Rodné číslo je specifický osobní údaj, o kterém je vhodné pojednat samostatně Rodné číslo jeho právní regulace Struktura, přidělování a využívání rodných čísel jsou upraveny v zákoně č. 133/2000 Sb., o evidenci obyvatel a rodných číslech, v platném znění. Podle tohoto předpisu je rodné číslo desetimístné číslo, které je dělitelné jedenácti beze zbytku. První dvojčíslí vyjadřuje poslední dvě číslice roku narození, druhé dvojčíslí vyjadřuje měsíc narození, u žen zvýšené o 50, třetí dvojčíslí vyjadřuje den narození. Čtyřmístná koncovka je rozlišujícím znakem obyvatel narozených v tomtéž kalendářním dnu. Rodná čísla přidělená fyzickým osobám narozeným před 1. lednem 1954 mají stejnou strukturu, jsou však devítimístná s třímístnou koncovkou a nesplňují podmínku dělitelnosti jedenácti. Rodné číslo není citlivý údajem dle zákona o ochraně osobních údajů. Je však jednoznačným identifikátorem, jehož použití může přivést k citlivým údajům, které jsou někdy obsaženy např. v osobním spise, proto se doporučuje zacházet s ním jako s citlivým údajem. Použití rodného čísla je upraveno v 13 c zákona o evidenci obyvatel takto: 13c (1) Rodná čísla lze využívat jen a) jde-li o činnost ministerstev, jiných správních úřadů, orgánů pověřených výkonem státní správy, soudů, vyplývající z jejich zákonem stanovené působnosti, nebo notářů pro potřebu vedení Centrální evidence závětí, b) stanoví-li tak zvláštní zákon, nebo c) se souhlasem nositele rodného čísla nebo jeho zákonného zástupce. (2) Pro využívání rodných čísel se rodným číslem rozumí i jakákoliv kombinace čísel vyjadřující den, měsíc, rok narození a třímístnou nebo čtyřmístnou koncovku rodného čísla, z níž je možné dovodit identifikaci fyzické osoby Budoucnost používání rodného čísla Zákon č. 111/2009 Sb., o základních registrech, zavedl 4 základní registry. a) základní registr obyvatel - správcem je Ministerstvo vnitra b) základní registr právnických osob, podnikajících fyzických osob a orgánů veřejné moci - správcem je Český statistický úřad 20

21 c) základní registr územní identifikace, adres a nemovitostí správcem je Český úřad zeměměřický a katastrální d) základní registr agend orgánů veřejné moci a některých práv a povinností - správcem je Ministerstvo vnitra V rámci těchto registrů bude zajištěna ochrana osobních údajů, kdy bude nahrazeno používání rodného čísla jako univerzálního identifikátoru fyzické osoby systémem bezvýznamových identifikátorů. Tyto identifikátory se budou pro jednotlivé agendy nebo skupiny agend lišit, a neumožní tak při znalosti jednoho identifikátoru vyhledávat údaje o fyzické osobě v agendě jiné. Jediným místem, kde budou všechny tyto identifikátory uloženy, je Informační systém ORG, který spravuje Úřad pro ochranu osobních údajů. V tomto systému však nejsou uloženy žádné další údaje fyzických osob, takže ani znalost všech identifikátorů neumožňuje Úřadu (ani nikomu jinému) zjistit jejich přiřazení jednotlivým fyzickým osobám. Rodná čísla však zrušena nebudou, měla by se však postupně přestat používat a budou moci být využita pro vytvoření registru obyvatel, tato možnost by měla skončit Další informace na stránkách Úřadu pro ochranu osobních údajů Úřad pro ochranu osobních údajů Tento článek slouží jako exkurz do činnosti speciálního správního orgánu, který má určité kompetence v oblasti ochrany osobních údajů. Tímto orgánem je Úřad pro ochranu osobních údajů Zřízení a struktura Úřadu pro ochranu osobních údajů Zákon o ochraně osobních údajů je kromě jiného též organizační normou, která zřídila zcela nový úřad Úřad pro ochranu osobních údajů se sídlem v Praze ( 2 ZOOU). V čele úřadu je předseda, kterého jmenuje a odvolává prezident republiky na návrh Senátu Parlamentu České republiky. Předseda úřadu je jmenován na dobu 5 let. Může být jmenován maximálně na 2 po sobě jdoucí období. Kontrolní a další činnost úřadu vykonávají inspektoři, kterých je celkem 7. Inspektora jmenuje a odvolává prezident republiky na návrh Senátu Parlamentu České republiky. Inspektor je jmenován na období 10 let. Může být jmenován opakovaně. Úřad má rovněž své zaměstnance, kteří fakticky vykonávají většinu činností úřadu. 21

22 2.4.2 Působnost Úřadu pro ochranu osobních údajů Úřad pro ochranu osobních údajů: a) provádí dozor nad dodržováním povinností stanovených tímto zákonem, b) vede registr zpracování osobních údajů, c) přijímá podněty a stížnosti na porušení tohoto zákona a informuje o jejich vyřízení, d) zpracovává a veřejnosti zpřístupňuje výroční zprávu o své činnosti, e) vykonává další působnosti stanovené mu zákonem, f) projednává přestupky a jiné správní delikty a uděluje pokuty, g) zajišťuje plnění požadavků vyplývajících z mezinárodních smluv, jimiž je Česká republika vázána, h) poskytuje konzultace v oblasti ochrany osobních údajů, i) spolupracuje s obdobnými úřady jiných států, s orgány Evropské unie a s orgány mezinárodních organizací působícími v oblasti ochrany osobních údajů. Úřad v souladu s právem Evropských společenství plní oznamovací povinnost vůči orgánům Evropské unie Členské státy Evropských společenství jsou povinny na základě Směrnice 95/46/ES zřídit nezávislý orgán dohledu, kterému jsou svěřovány určité kompetence v oblasti ochrany osobních údajů. Obdobná povinnost platí i pro členské státy Rady Evropy na základě Úmluvy č Úřad pro ochranu osobních údajů tak plní funkci tohoto orgánu dohledu. Jeho zřízení tedy není pouze českým výmyslem, ale obdobné orgány fungují ve všech státech Evropy. 2.5 Subjekty ochrany osobních údajů V této kapitole se účastník kurzu naučí rozlišovat mezi třemi osobami, které jsou účastny právních vztahů vznikajících při nakládání s osobními údaji. Těmito subjekty jsou správce, zpracovatel a subjekt údajů Definice subjektů v zákoně o ochraně osobních údajů 4 písm. d) ZOOU subjektem údajů (se rozumí) fyzická osoba, k níž se osobní údaje vztahují 22

23 4 písm. j) ZOOU správcem (se rozumí) každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů může správce zmocnit nebo pověřit zpracovatele, pokud zvláštní zákon nestanoví jinak 4 písm. k) ZOOU zpracovatelem (se rozumí) každý subjekt, který na základě zvláštního zákona nebo pověření správcem zpracovává osobní údaje podle tohoto zákona Rozdíly mezi subjekty Zákon o ochraně osobních údajů vlastně rozlišuje tři subjekty, kterým dává práva a ukládá povinnosti. Zatímco subjektu údajů (osobě, o níž se osobní údaje zpracovávají) dává především práva, pak subjektům, které provádějí zpracování osobních údajů (správce a zpracovatel), ukládá především povinnosti. Jak správce tak zpracovatel provádějí zpracování osobních údajů, rozdíl mezi nimi je však ten, že správce určuje účel a prostředky zpracování osobních údajů, což zpracovatel nedělá. Správce je tak někdo, kdo musí (zejména na základě zákona) nebo chce (na základě vlastní volby) osobní údaje zpracovávat. Zpracovatel je pak osoba, která provádí zpracování osobních údajů pro správce podle jeho pokynů. Z definice správce, kde je uvedeno, že správce určuje účel zpracování a prostředky zpracování, by se mohlo zdát, že správce je v zásadě ten, kdo se rozhodne osobní údaj zpracovávat. Nicméně současná právní realita přináší množství předpisů, které určitým subjektům ukládají povinnost vykonávat určitou činnost (např. zaměstnavatelům platit za zaměstnance sociální a zdravotní pojištění). Aby tuto činnost mohl zaměstnavatel vykonávat, musí zpracovávat osobní údaje o svých zaměstnancích, kdy účel zpracování osobních údajů je mu vlastně předestřen zákonodárcem. Proto je vhodné uvedenou definici správce chápat tak, že správcem je ten, kdo na základě vlastní volby zpracovává osobní údaje (stanovuje účel zpracování), nebo kdo má ze zákona povinnost provádět takovou činnost, při které je nezbytné osobní údaje zpracovávat (v tomto případě je mu vlastně účel zpracování určen přímo ze zákona). Správcem je tedy např. vždy zaměstnavatel, neboť zpracovává osobní údaje zaměstnanců. To může dělat buď sám, nebo si k tomuto účelu může někoho najmout, např. účetní nebo personální agenturu. Tato účetní nebo personální agentura pak bude zpracovatelem osobních údajů. 23

24 2.5.3 Typičtí správci osobních údajů Vzhledem k tomu, že správcem je vždy ten, kdo má povinnost vykonávat určitou činnost, při níž je nezbytné zpracovávat osobní údaje nebo vést určitou evidenci, je možné uvést určitou kategorii subjektů, která bude správcem osobních údajů. orgány státní správy obce kraje samosprávné komory Tyto subjekty vykonávají veřejnou správu, kterou lze uskutečňovat pouze na základě zákona, takže když budou vůči konkrétní osobě tuto veřejnou správu uskutečňovat, budou zpracovávat její osobní údaje a budou v postavení správců osobních údajů. Další kategorii budou představovat ti, kterým zvláštní zákon ukládá zpracování osobních údajů, zpravidla se to v zákoně formuluje tak, že vedou určitou evidenci. školy na základě školského zákona vedou matriku studentů autoškoly na základě zákona o získávání a zdokonalování odborné způsobilosti k řízení motorových vozidel a o změnách některých zákonů, mají vést evidenční knihu žáků vysoké školy na základě vysokoškolského zákona vedou matriku studentů zdravotnická zařízení a soukromí lékaři na základě zdravotnických předpisů vedou zdravotnickou dokumentaci a na základě dalších zákonů např. evidují recepty, které obsahují osobní údaje lékárny na základě zákona zpracovávají recepty hotely, penziony a ubytovací zařízení na základě zákona o místních poplatcích jsou povinni vést evidenční knihu, která obsahuje osobní údaje a slouží k placení poplatku za lázeňský nebo rekreační pobyt ústavy sociální péče zpracovávají osobních údaje na základě zákona o sociálním zabezpečení Tento výčet rozhodně není úplný, dále do skupiny zpracovávající osobní údaje na základě zákona patří notáři, exekutoři, v podstatě i zaměstnavatelé zpracovávají osobní údaje na základě různých zákonů (zákoníku práce, zákona o daních z příjmů, zdravotního a nemocenského pojištění atd.) a rovněž i všechny právnické osoby, neboť zpracovávají osobní údaje o svých zakladatelích, členech statutárních a dozorčích orgánů. 24

25 2.6 Zpracování osobních údajů Kapitola zpracování osobních údajů pojednává o činnostech, které s osobními údaji provádějí Definice pojmu zpracování v zákoně o ochraně osobních údajů 4 písm. e) ZOOU zpracováním osobních údajů (se rozumí) jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace Vzhledem k tomu, že zpracování je jakákoli operace s osobními údaji, je zpracování osobních údajů cokoli, co je s osobními údaji prováděno Definované způsoby zpracování Zákon o ochraně osobních údajů definuje v 4 písm. f) i) některé způsoby zpracování, je to shromažďování, uchovávání, blokování a likvidace. shromažďováním osobních údajů (se rozumí) systematický postup nebo soubor postupů, jehož cílem je získání osobních údajů za účelem jejich dalšího uložení na nosič informací pro jejich okamžité nebo pozdější zpracování uchováváním osobních údajů (se rozumí) udržování údajů v takové podobě, která je umožňuje dále zpracovávat blokováním operace nebo soustava operací, kterými se na stanovenou dobu omezí způsob nebo prostředky zpracování osobních údajů, s výjimkou nezbytných zásahů likvidací osobních údajů se rozumí fyzické zničení jejich nosiče, jejich fyzické vymazání nebo jejich trvalé vyloučení z dalších zpracování Významná je zejména definice způsobu zpracování formou uchovávání. Představme si situaci, kdy zaměstnavateli dojde např. žádost o zaměstnání. Zaměstnavatel si tuto žádost přečte, nijak na ni nereaguje, pouze ji založí do skříně nebo do šuplíku. Právě toto založení do šuplíku nebo do 25