Škola ochrany osobních údajů

Transkript

1 Březen 2017 Škla chrany sbních údajů advkátní kanceláře Balcar, Planský & Spl. s.r.. Nařízení EP a Rady (EU) 2016/679 z 27. dubna 2016, tzv. Všebecné nařízení chraně údajů ( Nařízení ) zrušil směrnici 95/46/ES ( Směrnice ), která je nyní transfrmvána d českéh právníh řádu záknem č. 101/2000 Sb., chraně sbních údajů a změně některých záknů, ve znění pzdějších předpisů. Nařízení vstupí v účinnst dnem 25. května 2018, kdy se stane přím účinným rvněž v České republice a dtkne se všech, kteří sbní údaje zpracvávají, jakž i fyzických sb, jejichž sbní údaje jsu předmětem zpracvání, tedy téměř každéh. Vzhledem k dsud nejvýznamnější legislativní změně evrpskéh rzměru v blasti chrany sbních údajů Vám s týdenní frekvencí přinášíme pravidelné infrmace pr snadnější a efektivnější rientaci v mnžství pvinnstí, které Nařízení přináší. Pkud si přejete debírat Šklu sbních údajů přím d Vaší vé schránky, prsím přihlaste se na adrese ffice@bapl.cz, ppř. na tel. čísle Lekce 4 z 16 Suhlas se zpracváním sbních údajů Zpracvávání sbních údajů nezletilých V textu se dzvíte: Důležité změny Nařízení přináší nvé pžadavky na udělení suhlasu se zpracváním sbních údajů Zvláštní pžadavky jsu kladeny na zpracvání sbních údajů v suvislsti s vědeckým výzkumem a sbních údajů nezletilých 1 Cmpliance: Akční plán Splečnsti/instituce by měly zajistit, aby sbní údaje zpracvávaly na základě přesných a existujících právních základů Jsu-li sbní údaje zpracvávány na základě suhlasu, je nutné především zajistit, aby: suhlas byl dán aktivním úknem subjektu údajů, nikliv mlčením, nečinnstí aneb dpředu značenými plíčky; suhlas byl dlišitelný d dalších ustanvení, byl knkrétní a jasný; subjekty údajů byly infrmvány mžnsti udělený suhlas dvlat a dvlání byl stejně jednduché jak jeh udělení; 1 Nařízení užívá pjem dítě, my pužíváme pjem dítě a nezletilý zaměnitelně, ve shdném významu.

2 pskytnutí služeb nebyl pdmíněné suhlasem se zpracváním údajů, které nejsu nezbytné; zvláštní suhlas byl udělen k zvláštním zpracvatelským peracím; suhlas nebyl udělen za pdmínek zjevné nervnváhy mezi pstavením správce a subjektu údajů (např. v případě rgánu veřejné mci) K suhlasu se zpracváním sbních údajů Jak jsme uvedli v Lekci 3, pkud se na zpracvávání sbních údajů nevztahuje žádná z výjimek uvedených v Nařízení, správce musí vždy dispnvat suhlasem subjektu údajů se zpracváním. Nařízení definuje suhlas jak jakýkliv svbdný, knkrétní, infrmvaný a jednznačný prjev vůle, kterým subjekt údajů dává prhlášením či jiným zjevným ptvrzením svlení ke zpracvání svých sbních údajů. 2 Pdle sučasné české právní úpravy 3 je suhlas definvaný jak svbdný a vědmý prjev vůle subjektu údajů, jehž bsahem je svlení subjektu se zpracváním sbních údajů. Nvá právní úprava tedy prti sučasné výslvně stanví, že suhlas bude mci být udělen také knkludentně (např. určitým jednáním, ale nikliv nejednáním), avšak svbdně, knkrétně, jednznačně a na základě úplných a srzumitelných infrmací, pskytnutých subjektu údajů. K zpracvání citlivých sbních údajů bude však pžadván výslvný suhlas subjektu údajů (pkud nebude stanvena jiná výjimka). Náležitsti udělení suhlasu Nařízení stanví, že správce musí být schpen prkázat, že subjekt údajů udělil suhlas se zpracváním svých sbních údajů. Jinými slvy, důkazní břemen prkázání, že suhlas byl dán a že byl udělen platně, spčívá na správci. Frmální i bsahvé pdmínky platnsti udělení suhlasu upravuje Nařízení v čl. 7 takt: Svbda prjevu, určitst, infrmvanst, jednznačnst: suhlas vyžaduje jasný prjev vůle, který je svbdným, knkrétním, infrmvaným a jednznačným vyjádřením subjektu, že suhlasí se zpracváním svých sbních údajů. K zajištění, že suhlas byl pskytnut svbdně, by se správce neměl splehnut na suhlas za situace, je-li mezi jeh pstavením a pstavením subjektu údajů jednznačný nepměr, zejména pkud je správcem rgán veřejné mci, a je prt nepravděpdbné, že za všech klnstí dané knkrétní situace byl suhlas udělen svbdně. Za svbdně udělený suhlas se nepvažuje, pkud subjekt údajů nemá skutečnu neb svbdnu vlbu neb nemůže suhlas dmítnut neb jej dvlat, aniž by byl pškzen. Zásada infrmvansti vyžaduje, aby si byl subjekt údajů vědm, že suhlas dává a v jakém rzsahu a měl by také znát identitu správce a účel zpracvání. Uvedení knkrétníh účelu: suhlas se musí vztahvat na všechny zpracvatelské činnsti prváděné za týmž účelem neb účely; pkud se zpracvávání děje za více účely, suhlas má být udělen, resp. má být daný ke každému z nich samstatně, aby byla zachvána reálná mžnst subjektu údajů dmítnut suhlas pr kterýkliv z uvedených účelů. Suhlas se nepvažuje za svbdně udělený, pkud jej nelze udělit samstatně k jedntlivým zpracvatelským peracím, i když je t v knkrétním případě vhdné. 2 Čl. 4 dst. 11 Nařízení 3 4 písm. n) zákna č. 101/2000 Sb., chraně sbních údajů a změně některých záknů, ve znění pzdějších předpisů 2

3 V praxi nebude tedy přijatelný plšně udělený suhlas, slučující různé nesuvisející účely zpracvání. Odlišitelnst, jasnst, jednduchst: pkud je suhlas udělván v rámci písemnéh prhlášení, které se týká rvněž dalších skutečnstí, žádst vyjádření suhlasu musí být předlžená tak, aby byla snadn dlišitelná d jiných skutečnstí, a musí být frmulvána jasně a jednduše; prušení tht ustanvení má za následek neplatnst udělení suhlasu. V praxi t bude znamenat, že část dkumentu bsahujícíh žádst suhlas bude muset být ddělená, např. d smluvních ujednání, textu bjednávek, prhlášení, atd. Srzumitelnst, dstupnst: suhlas má být frmulvaný v srzumitelné a snadn přístupné frmě, jasně a jednduše. Tent pžadavek může být zvlášť těžk splnitelný zejména vzhledem k rzsahu infrmací, které je správce pvinný subjektu údajů pskytnut (více k infrmační pvinnsti správce v samstatné lekci). Odvlatelnst: dvlání suhlasu musí být stejně jednduché, jak jeh pskytnutí; mžnsti kdykliv suhlas dvlat musí být subjekt údajů infrmván před jeh pskytnutím. V praxi se bude d splečnstí a institucí pžadvat, aby umžnily dvlání suhlasu stejným způsbem, jakým byl suhlas udělen (např. webvá stránka, , nastavení chrany sukrmí v aplikaci apd.). Nařízení stanví, že dvlání suhlasu nemá vliv na záknnst zpracvání, zalženéh na suhlasu před jeh dvláním (t.j. zákaz retraktivity); tm by měly být subjekty údajů před udělením suhlasu rvněž infrmvané. Zákaz nepatřičnéh pdmiňvání: plnění ze smluvy nesmí být pdmíněné suhlasem se zpracváváním sbních údajů, které není nezbytné k plnění smluvy (např. splnění kupní smluvy uzavřené n-line nesmí být vázané na suhlas se zpracváním sbních údajů k marketingvým účelům). V pačném případě by existvala důvdná pchybnst svbdném prjevu vůle, a tedy platnsti suhlasu. Suhlas se nepvažuje za svbdně udělený, pkud se plnění ze smluvy včetně pskytnutí služby pdmiňuje udělením tht suhlasu, i když takvý suhlas není pr tt plnění nezbytný. Recitál 32 Nařízení stanví, že suhlas může být vyjádřen například písemným prhlášením, včetně elektrnickými prstředky, neb ústně. Suhlas je mžné udělit i jinak než výslvně, a t např. značením plíčka při návštěvě internetvéh webvéh sídla (princip pt-in), zvlením technickéh nastavení služeb infrmační splečnsti (např. nastavením pravidel chrany sbních údajů na sciálních sítích) neb jakýmkli jiným prhlášením či úknem, který v daném kntextu jasně znamená, že subjekt suhlasí s navrhvaným zpracváváním sbních údajů. Mlčení, dpředu značená plíčka neb nečinnst se za suhlas nepvažují. Suhlas pr účely vědeckéh výzkumu Nařízení připuští, že pkud se mají sbní údaje zpracvávat pr účely vědeckéh výzkumu, čast není mžné v dbě získávání údajů v úplnsti určit účel zpracvání. Prt se subjektům údajů umžňuje udělit suhlas jen pr určité blasti výzkumu, budu-li ddržené uznávané etické nrmy vědeckéh výzkumu. Subjekty údajů by měly mít mžnst také mezit svůj suhlas puze na určité blasti výzkumu neb na části výzkumných prjektů v rzsahu, který umžňuje zamýšlený účel. 3

4 Vyslvení suhlasu s účastí ve vědeckém výzkumu v klinických hdnceních se bude řídit zvláštním nařízením. 4 K zpracvání sbních údajů nezletilých Nařízení na více místech upravuje specifické pdmínky pr zpracvávání sbních údajů nezletilých. Knkrétně v recitálu 38 stanví, že zvláštní chranu sbních údajů si zasluhují děti, nebť si jsu méně vědmy rizik, důsledků, záruk a svých práv suvisejících se zpracváním. Zpracvání sbních údajů nezletilých na základě suhlasu Nařízení upravuje určité zvláštnsti, týkající se zpracvávání sbních údajů nezletilých na základě suhlasu, následvně: zpracvání sbních údajů nezletilých je záknné, pkud se jedná nabídku služeb infrmační splečnsti (např. sciálních médií) přím dítěti a t má alespň 16 let 5 ; pkud má nezletilý méně než 16 let, je zpracvání záknné puze za pdmínky a v rzsahu, v jakém suhlas vyjádřila aneb schválila sba, vyknávající rdičvsku zdpvědnst (tj. záknný zástupce neb patrvník) nezletiléh; správce je pvinný vynalžit přiměřené úsilí, aby si v uvedených případech věřil, že sba s rdičvsku zdpvědnstí vyjádřila aneb schválila suhlas s tím, že se při tm zhlední dstupná technlgie. Uvedené pdmínky se vztahují na sbní údaje pskytvané prstřednictvím internetu, t.j. na ffline data se tyt pdmínky nevztahují. Rvněž se nevztahují na sbní údaje, které se zpracvávají na jiném právním základě, než na suhlasu. Výše uvedená ustanvení nebudu mít také vliv na vnitrstátní becné smluvní práv členských států, např. na pravidla platnsti, uzavírání neb účinky smluvy vzhledem k dítěti. Suhlasu záknnéh zástupce neb patrvníka nebude třeba v suvislsti s preventivními aneb pradenskými službami, nabízenými přím nezletilým (např. linky pmci hrženým dětem). 6 Další specifika týkající se nezletilých Nařízení deklaruje, jak již byl uveden, že nezletilí pžívají zvláštní chrany sbních údajů. Ta se vztahuje zejména na pužívání jejich sbních údajů pr účely marketingu neb vytváření sbnstních aneb uživatelských prfilů a shrmažďvání sbních údajů nezletilých při využívání jim přím nabízených služeb. Vzhledem k uvedenému by všechny infrmace a sdělení při zpracvávání na ně zaměřeném měly být pdávány jasně a jednduše, aby jim byly snadn srzumitelné. Zvláštníh význam nabývá práv na pravu sbních údajů a práv být zapmenut v případech, kdy byl dán suhlas v nezletilsti, kdy si subjekt nebyl plně vědm všech rizik spjených se zpracváním a pzději chce své údaje, zejména na internetu, dstranit. 7 Pkud správce zpracvává sbní údaje na základě svéh právněnéh zájmu 8, musí být schpen prkázat, že dpvědně a bjektivně psudil, že zájmy neb základní práva a svbdy nezletiléh, jehž údaje zpracvává, nepřevažují nad právněnými zájmy správce. 4 Nařízení Evrpskéh parlamentu a Rady (EU) č. 536/2014 z klinických hdnceních humánních léčivých přípravků. 5 Členské státy mhu stanvit pr tyt účely nižší věkvu hranici, ne však nižší než 13 let, viz čl. 8 Nařízení. 6 Recitál 38, věta pslední Nařízení 7 Recitál 65 Nařízení 8 Čl. 6 dst. 1 písm. f) Nařízení 4

5 Pdle čl. 40 dst. 2 Nařízení sdružení neb jiné subjekty zastupující různé kategrie správců neb zpracvatelů mhu vypracvat kdexy chvání, a t pr upřesnění či rzšíření Nařízení rvněž v suvislsti s infrmváním a chranu nezletilých a se způsbem získáním suhlasu nsitelů rdičvských práv a pvinnstí. Krmě th, každý rgán dhledu, t.j. též Úřad na chranu sbních údajů ČR, je pvinný na svém území zvyšvat pvědmí veřejnsti a její pchpení rizik, pravidel, záruk a práv suvisejících se zpracváním, přičemž zvláštní pzrnst se má věnvat činnstem specificky zaměřeným na děti. C dále Správci by měli zajistit, aby sbní údaje zpracvávali na základě relevantních a Nařízením upravených právních základů. Pkud budu sbní údaje zpracvávané na základě suhlasu, frmální a bsahvé pdmínky suhlasu, jakž i klnsti jeh pskytnutí by měly dpvídat nvé právní úpravě. Při zpracvávání sbních údajů v suvislsti s výzkumem, resp. v suvislsti s nezletilými, je třeba splnit další pvinnsti. Další infrmace Suhlas se zpracváním sbních údajů: Recitály 32, 33, 40, 42, 43 Články 6 dst. 1; 7 Zpracvávání sbních údajů nezletilých: Recitály 38, 58, 65, 71 Články 6, dst. 1; 8; 40 dst. 2; 57 dst. 1 písm. b) Kntaktní sba Pr další infrmace prsím kntaktujte: Česká republika: JUDr. Jarslav Srb Advkát Tel.: Mbil: jarslav.srb@bapl.cz Slvensk: JUDr. Helga Maďarvá, CIPP/E Advkátka Certified Intl. Privacy Prfessinal/Eurpe Tel.: Mbil: helga.madarva@bapl.sk Balcar, Planský & Spl. s.r.., advkátní kancelář