Obecné nařízení o ochraně osobních údajů 17. 6. 2016
Obecné nařízení o ochraně osobních údajů Dne 4. května 2016 bylo v Úředním věstníku Evropské unie publikováno nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen Nařízení ), které s sebou přinese některé významné změny v oblasti ochrany osobních údajů. Nařízení se použije ode dne 25. května 2018. To znamená, že české společnosti (a nejen ty) mají přibližně dva roky na to, aby uvedly jimi prováděné zpracovávání osobních údajů do souladu s Nařízením. Nařízení přitom bude od uvedeného data přímo použitelné v členských státech EU, takže nebude nutný žádný zákon, který by ho transformoval do českého právního řádu. Níže uvádíme výběr deseti nejdůležitějších bodů či novinek, které z Nařízení vyplývají specificky pro správce a zpracovatele osobních údajů. Působnost nařízení Nařízení má za cíl ochraňovat veškeré fyzické osoby (bez ohledu na státní příslušnost nebo bydliště) na území Evropské unie. Proto se má vztahovat i na zpracování osobních údajů správci či zpracovateli, kteří nebudou mít sídlo, provozovnu ani nebudou jinak usazeny v Evropské unii, ale budou nabízet své služby osobám v Evropské unii, nebo budou monitorovat jejich chování. Tedy jejich činnost bude na fyzické osoby v Evropské unii mířit, například prostřednictvím nabídky internetových obchodů. Sankce a jiná oprávnění ÚOOÚ Za porušení předpisů na ochranu osobních údajů se nově budou ukládat pokuty mj. podle obratu společnosti, která se porušení dopustí. Bude možno uložit pokutu až do výše 20,000,000 EUR nebo 4 % celkového celosvětového ročního obratu dané společnosti za předchozí účetní období, podle toho, která hodnota bude vyšší. Kromě toho bude moci Úřad pro ochranu osobních údajů udělovat správcům a zpracovatelům osobních údajů napomenutí, že porušují Nařízení, nařizovat jim, aby se chovali v souladu s Nařízením, nebo jim uložit dočasné či trvalé omezení nebo zákaz osobní údaje zpracovávat. Úřad pro ochranu osobních údajů bude moci rovněž provádět vyšetřování formou auditů a společnosti budou povinny úřadu podávat veškeré relevantní informace a umožnit mu za tímto účelem přístup do svých prostor. Souhlas Nařízení hlouběji rozpracovává dosavadní úpravu souhlasu subjektu údajů ke zpracování jeho osobních údajů. Souhlasem subjektu údajů bude nadále pouze svobodný, konkrétní, informovaný a jednoznačný 2
projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas. V případech, kdy zpracovatel shromažďuje osobní údaje pro jeden určitý účel, Nařízení zásadně vyžaduje, aby subjekt údajů dal dodatečný souhlas se zpracováním pro jiné účely. Souhlas se zpracováním osobních údajů by měl být jazykově jednoduchý a srozumitelný. V souvislosti se službami informační společnosti se bude za minimální věk, kdy ještě bude souhlas osoby považován za zákonný, považovat 16 let. Členské státy budou oprávněny tuto hranici snížit až na 13 let. Bude-li souhlas udělovat osoba mladší, bude zároveň vyžadován souhlas zákonného zástupce takovéto osoby. Právo být zapomenut Nově bude explicitně upraveno právo být zapomenut, neboli právo na výmaz osobních údajů, čímž by mělo být stanoveno najisto, kdy a za jakých podmínek je možné toto právo uplatňovat. Správce údajů, který osobní údaje zveřejnil, bude mimo jiné muset zajistit informování i ostatních správců, kteří tyto osobní údaje dále zpracovávají, o požadavku na výmaz. Tím má být zajištěno dosažení účelu tohoto práva, aby subjekt údajů nemusel oslovovat každého jednotlivého správce zvlášť. Výjimky z práva být zapomenut jsou výslovně stanoveny zejména pro výkon práva na svobodu projevu a informace, pro splnění právních povinností správce nebo pro důvody veřejného zájmu. Osoba odpovědná za ochranu osobních údajů Pokud bude zpracování prováděno společností, jejíž hlavní činnosti spočívají v operacích zpracování, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování osob nebo se jedná o rozsáhlé zpracování citlivých údajů, bude taková společnost povinna určit osobu odpovědnou za ochranu osobních údajů (tzv. pověřence pro ochranu osobních údajů). Tato povinnost dopadne přitom nejen na správce údajů, ale i na zpracovatele. Kromě toho se bude týkat i orgánů veřejné moci či veřejných subjektů, s výjimkou soudů. Pověřence bude nutné jmenovat na základě jeho profesních kvalit, zejména na základě jeho odborných znalostí práva a praxe v oblasti ochrany údajů a jeho schopnosti plnit úkoly stanovené Nařízením. Pověřencem bude moci být zaměstnanec společnosti, ale např. i smluvní partner. Povinnost vést záznamy o zpracování Nařízení stanoví společnostem povinnost vést záznamy o činnostech zpracování, za něž odpovídají, přičemž určuje rozsah informací, které tyto záznamy musí obsahovat. Otázkou je, na které všechny společnosti tato povinnost dopadne, jelikož Nařízen stanoví, že se nevztahuje na organizace s méně než 3
250 zaměstnanci, ledaže zpracování, které provádí, pravděpodobně představuje riziko pro práva a svobody subjektů údajů, zpracování není příležitostné, nebo zahrnuje zpracování citlivých údajů. Vzhledem k tomu, že jak jsou výjimky zmíněné v předchozí větě formulovány, lze se domnívat, že povinnost vést záznamy dopadne na téměř všechny společnosti, když podmínku příležitostného zpracování nesplní téměř žádná. Soukromí jako priorita Společnosti zpracovávající osobní údaje budou povinny zajistit, aby problematika ochrany osobních údajů byla brána v potaz při jejich rozhodování a byla jeho součástí. Nařízení si klade za úkol zajistit, aby společnosti braly při svém rozhodování právo subjektů údajů na soukromí jako prioritu. Společnosti budou proto mimo jiné povinny (pokud bude pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k okolnostem mít za následek vysoké riziko pro práva a svobody fyzických osob), provést posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů. Zrušení obecné oznamovací povinnosti Nařízení neobsahuje obecnou oznamovací povinnost pro správce osobních údajů. Namísto toho je upravena výše zmíněná povinnost posoudit vlivy zamýšlených operací zpracování na ochranu osobních údajů, přičemž pokud z takovéhoto posouzení vlivů vyplyne, že dané zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob, bude správce povinen uskutečnit konzultaci s Úřadem pro ochranu osobních údajů. Porušení zabezpečení osobních údajů Pokud dojde k porušení zabezpečení osobních údajů, stanoví Nařízení povinnost jej bez zbytečného odkladu, a to pokud možno do 72 hodin, ohlásit Úřadu pro ochranu osobních údajů. Nebude-li tato lhůta dodržena, bude nutné uvést důvody zpoždění. Pokud bude pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu též těmto dotčeným osobám. Zásada jednoho dozorového orgánu Nařízení zastává zásadu, že společnost založená v členském státě by měla podléhat dozoru jednoho dozorového orgánu. Na druhé straně však zavádí složitý a formalizovaný konzultační proces, ve kterém jsou národní dozorové orgány povinny provádět konzultace s dalšími dotčenými orgány dozoru, pokud 4
rozhodují o otázkách přesahujících svým dopadem nebo i jen významem hranice jednoho státu. Sdružení národních orgánů dozoru, tzv. Evropský sbor pro ochranu osobních údajů, bude rovněž oprávněn v rozporných případech přijímat rozhodnutí závazná pro dozorové orgány v členských státech. V Nařízení se vyskytuje mnoho konceptů, které odrážejí stávající právní úpravu a významně ji rozpracovávají. Některé požadavky (jako např. jmenování pověřené osoby) jsou však zcela nové a ukládají podnikatelům nové povinnosti. Řadu otázek ponechává Nařízení na uvážení členských států, a proto ani do budoucna k úplné harmonizaci v celé Evropské unii nedojde. S ohledem na neurčitost některých pojmů používaných v Nařízení lze ještě čekat, že některé povinnosti budou zpřesněny výkladovými stanovisky (například Evropského sboru pro ochranu osobních údajů, který je poradním orgánem Evropské komise), či až posléze rozhodnutími soudů. Společnosti by v každém případě neměly otálet s přizpůsobením se Nařízení, jelikož od mnoha z nich bude nová právní úprava vyžadovat významné změny. V případě jakýchkoli dotazů týkajících se Nařízení nebo problematiky osobních údajů, prosím, neváhejte kontaktovat naši advokátní kancelář, konkrétně Drahomíra Tomašuka či Martina Kubíka. Drahomír Tomašuk (counsel) Martin Kubík (advokát) E-mail: dtomasuk@ksb.cz E-mail: mkubik@ksb.cz Tel: +420 224 103 316 Tel: +420 224 103 316 5