Právní základy ochrany soukromí Listina základních práv a svobod (čl. 10) Každý má právo na ochranu před neoprávněným zasahováním do soukromého a rodinného života. Každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě. Občanský zákoník ochrana osobnosti ( 11 a násl.) Fyzická osoba má právo na ochranu své osobnosti, zejména života a zdraví, občanské Fyzická osoba má právo na ochranu své osobnosti, zejména života a zdraví, občanské cti a lidské důstojnosti, jakož i soukromí, svého jména a projevů osobní povahy. Písemnosti osobní povahy, podobizny, obrazové snímky a obrazové a zvukové záznamy týkající se fyzické osoby nebo jejích projevů osobní povahy smějí být pořízeny nebo použity jen s jejím svolením. Svolení není třeba, použijí-li se písemnosti osobní povahy, podobizny, obrazové snímky nebo obrazové a zvukové záznamy k účelům úředním na základě zákona. Podobizny, obrazové snímky a obrazové a zvukové záznamy se mohou bez svolení fyzické osoby pořídit nebo použít přiměřeným způsobem téžpro vědecké a umělecké účely a pro tiskové, filmové, rozhlasové a televizní zpravodajství. Ani takové použití však nesmí být v rozporu s oprávněnými zájmy fyzické osoby.
Evropská ochrana osobních údajů Úmluva Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat (CETS No. 108, účinnost 1. listopadu 2001, dodatkový protokol CETS No. 181, účinnost 1. července 2004) Směrnice Evr. parlamentu a Rady 95/46/ES ze dne 24. října 1995, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů Směrnice Evropského parlamentu a Rady 2000/31/ES ze dne 8. června 2000, o určitých aspektech služeb informační společnosti, zejména el. obchodního styku v rámci vnitřního trhu Směrnice Evropského parlamentu a Rady2002/58/ES ze dne 12. července 2002, o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací Směrnice Evropského parlamentu a Rady 2006/24/ES ze dne 15. března 2006, o uchovávání údajů (data retention) Rámcové rozhodnutí Rady 2008/977/SVV ze dne 27. listopadu 2008, o ochraně osobních údajů zpracovávaných v rámci policejní a justiční spolupráce v trestních věcech Doporučení Komise 2009/387/ES ze dne 12. května 2009, o zavedení zásad ochrany soukromí a údajů v aplikacích podporovaných identifikací na základě rádiové frekvence (RFID)
Zákon o ochraně osobních údajů Zákon č. 101/2000 Sb. (nahradil zákon č. 256/1992 Sb.) komplexní zásady zpracování a ochrany osobních údajů Novely zákona zák. č. 170/2007 Sb., zák. č. 41/2009 Sb., zák. č. 52/2009 Sb. Struktura zákona účel, působnost, pojmy, povinnosti, odpovědnost Zákon působí v právních vztazích z oblasti soukromého i veřejného práva.
Účel zákona 101 2 upravuje práva a povinnosti při zpracováníosobních údajů stanoví podmínky, za nichž se uskutečňuje předání osobních údajů do jiných států vymezuje působnost Úřadu pro ochranu osobních údajů Naplnění práva každého na ochranu před neoprávněným zasahováním do soukromí.
Působnost zákona 101 3 Zákon 101 se vztahuje naveškeré zpracováváníosobních údajů, ať k němu dochází automatizovaně nebo jinými prostředky na osobní údaje, které zpracovávají státní orgány, orgányúzemní samosprávy, jiné orgány veřejné moci, jakož i fyzické a právnické osoby Zákon 101 se NEvztahuje na zpracování osobních údajů, které provádí fyzická osoba výlučně pro osobní potřebu na nahodilé shromažďováníosobních údajů, pokud tyto údaje nejsou dále zpracovávány Výjimky z této široké působnosti jen pro vybrané povinnosti v bezpečnostních agendách ( 3 odst. 6)
Pojmy: Osobní a citlivý údaj 4 Osobní údaj (široká definice) jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu Citlivý údaj (uzavřený výčet) osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů, citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů
Pojmy: Zpracování, zveřejnění 4 Zpracováním osobních údajů je jakákoliv operacenebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace Zveřejněným osobním údajem je osobní údaj zpřístupněný zejména hromadnými sdělovacími prostředky, jiným veřejným sdělením nebo jako součást veřejného seznamu
Pojmy: Správce a zpracovatel 4 Správce každý subjekt, který určuje účela prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů správce může zmocnit nebo pověřit zpracovatele, pokud zvláštní zákon nestanoví jinak. Zpracovatel každý subjekt, který na základě zvláštního zákona nebo pověření správcem zpracovává osobní údaje podle tohoto zákona Nutno odlišovat: příjemce, zaměstnanec a osoba v podobném postavení
Souhlas subjektu údajů 4/n, 5/4 Souhlasem subjektu údajů je svobodný a vědomýprojev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Souhlas subjektu údajů se zpracováním osobních údajů musí správce být schopen prokázatpo celou dobu zpracování. Souhlasem nelze zhojit porušení zákona 101 nebo jiného zákona.
Zpracování bez souhlasu 5/2 zpracování nezbytné pro dodržení právní povinnosti správce zpracování nezbytné pro plnění smlouvy, pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů zpracovánínezbytné kochraně životně důležitých zájmů subjektu údajů zpracování oprávněně zveřejněného osobního údaje zpracování nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby poskytování osobního údaje o veřejně činné osobě, funkcionáři či zaměstnanci veřejné správy, které vypovídají o jeho veřejné anebo úřední činnosti, o jeho funkčním nebo pracovním zařazení
Citlivé údaje 9 Pro zpracování citlivých údajů je třeba výslovný souhlas nebo přesné zákonné zmocnění Typické oblasti absence souhlasu jde-li o zpracování vsouvislosti se zdravotní péčí, ochranou veřejného zdraví, zdravotním pojištěním, výkonem státní správy vtéto oblasti nebo posuzováním zdravotního stavu je-li zpracování nezbytné pro dodržení povinností a práv správce odpovědného za zpracování voblasti pracovního práva a zaměstnanosti, stanovené zvláštním zákonem údaje podle zvl. zákona nezbytné pro provádění nemocenského a důchodového pojištění, státní sociální podpory apod.
Povinnosti při zpracování I. 5/1 stanovit účel, kněmuž mají být osobní údaje zpracovávány stanovit prostředky a způsobzpracování osobních údajů zpracovat pouze přesnéosobní údaje; je-li to nezbytné, osobní údaje aktualizovat shromažďovatosobní údaje odpovídající pouze stanovenému účelu a vrozsahu nezbytnémpro naplnění stanoveného účelu
Povinnosti při zpracování II. 5/1 uchovávat osobní údaje pouze po dobu, která je nezbytnákúčelu jejich zpracování; po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví zpracovávatosobní údaje pouze vsouladusúčelem, kněmuž byly shromážděny; zpracovávat kjinému účelu lze osobní údaje jen vmezích 3 odst. 6 nebo pokud k tomu dal subjekt údajů předem souhlas shromažďovat osobní údaje pouze otevřeně; je vyloučeno shromažďovat osobní údaje pod záminkou jiného účelu nebo činnosti nesdružovat osobní údaje, které byly získány k rozdílným účelům
Smlouva správce zpracovatel 6 povinná, pokud zmocnění pro zpracovatele nevyplývá z právního předpisu nezbytná písemná forma obsah: v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá včetně záruk zpracovatele o technickém a organizačním zabezpečeníochrany osobních údajů
Informační povinnost 11 Při shromažďování od subjektů údajů nutno poučit, zda je poskytnutíúdajů povinné nebo dobrovolné. Dále musí obsahovat (není-li subjektu údajů známo) vjakém rozsahu, pro jaký účel kdo a jakým způsobem bude údaje zpracovávat komu mohou být zpřístupněny informaci o právu přístupu k osobním údajům informaci o právu na opravu a dalších právech
Výjimky z inf. povinnosti 11/3 Inf. povinnost neplatí, pokud údaje nejsou shromažďovány od subjektu údajů a přitom jsou zpracovávány: pro účely výkonu státní statistické služby, vědecké nebo archivní účely pokud to ukládá zvláštní zákon, nebo je takových údajů třeba kuplatnění práv a povinností vyplývajících ze zvláštních zákonů výlučně oprávněně zveřejněné údaje získané se souhlasem subjektu údajů
Přístup k informacím o zpracování 12 vztahuje se k již probíhajícímu zpracování povinnost splnit bez zbytečného odkladu od obdržení žádosti (nemusí být písemná) přiměřená náhradanepřevyšující náklady nezbytné na poskytnutí informace Zahrnuje informace o účelu zpracování a zpracovávaných osobních údajích (resp. jejich kategoriích) včetně údajů ojejich zdroji příjemcích
Práva subjektu údajů 21 požádat správce nebo zpracovatele o vysvětlení požadovat odstranění nezákonného stavu (blokování, oprava, doplnění nebo likvidace osobních údajů), obrátit se na Úřadpro ochranu osobních údajů. Zákon 101 ve více případech výslovně nabádá k ochraně před neoprávněným zasahováním do soukromého a osobního života subjektu údajů ( 5/2, 5/3, 10) restriktivní výklad povinnosti správce
Bezpečnostní opatření 13 Správce a zpracovatel jsou povinni přijmout opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, kjejich změně, zničení či ztrátě, neoprávněným přenosům, kjejich neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. + povinnost opatření zpracovat a dokumentovat Kategorie bezpečnosti: personální objektová bezpečnost informačních systémů
Bezpečnost v praxi I. 13 Správce nebo zpracovatel posuzuje rizika týkající se plnění pokynů pro zpracování osobních údajů osobami, které mají bezprostřední přístup k osobním údajům, zabránění neoprávněným osobám přistupovat k osobním údajům a k prostředkům pro jejich zpracování, zabránění neoprávněnému čtení, vytváření, kopírování, přenosu, úpravě či vymazání záznamů obsahujících osobní údaje a opatření, která umožní určit a ověřit, komu byly osobní údaje předány. Upřesněno novelou zákona 101 v roce 2007.
Bezpečnost v praxi II. 13 V oblasti automatizovaného zpracování zajistit, aby systémy pro automatizovaná zpracování osobních údajů používaly pouze oprávněné osoby zajistit, aby fyzické osoby oprávněné k používání systémů pro automatizovaná zpracování osobních údajů měly přístuppouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby pořizovat elektronické záznamy,které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány a zabránit neoprávněnému přístupu k datovým nosičům
Povinnosti zaměstnance 14, 15 Povinnost zpracovávat údaje pouze za podmínek a vrozsahu správcem stanoveném postih v rámci pracovněprávního vztahu Povinnost mlčenlivosti zaměstnanci,jiné osoby, které zpracovávají údaje na základě smlouvy se správcem, a další osoby, které přicházejí súdaji do styku u správce nebo zpracovatele, o údajích samotných, ale také o bezpečnostních opatřeních, také po skončení zaměstnání přestupek se sankcí do výše 100.000 Kč
Oznamovací povinnost 16-18 Ten, kdo hodlá jako správce zpracovávat osobní údajenebo změnit registrované zpracování podle tohoto zákona, s výjimkou zpracování uvedených v 18, je povinen tuto skutečnost písemně oznámit Úřadu před zpracováváním osobních údajů. Oznamovací povinnost neplatí pokud zpracování správci ukládá zvláštní zákonnebo je ho třeba kuplatnění práv a povinnostívyplývajících ze zvláštního zákona v takovém případě je dána povinnost zpřístupnit informace, týkající se zejména účelu zpracování, kategorií osobních údajů, kategorií subjektů údajů, kategorií příjemců a doby uchování, a to i dálkovým přístupem nebo jinou vhodnou formou
Předávání do jiných států 27 Volný pohyb osobních údajů není omezen v rámci Evropské unie. Do třetích zemí mohou být osobní údaje předány, pokud zákaz omezování volného pohybu osobních údajů vyplývá z mezinárodní smlouvy, k jejíž ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána, jsou osobní údaje předány na základě rozhodnutí orgánu Evropské unie. V ostatních případech mohou být údaje předávány se souhlasem nebo na základě pokynu subjektu údajů, v třetí zemi, kde mají být osobní údaje zpracovány, vytvořeny dostatečné zvláštní záruky ochrany osobních údajů, například prostřednictvím jiných právních nebo profesních předpisů a bezpečnostních opatření zejména smlouvou uzavřenou mezi správcem a příjemcem, pokud tato smlouva zajišťuje uplatnění záruknebo pokud smlouva obsahuje smluvní doložky pro předání osobních údajů do třetích zemí zveřejněné ve Věstníku Úřadu,
Literatura Smejkal, V. a kolektiv: Právo informačních a telekomunikačních systémů, 2. aktualizované a rozšířené vydání, C.H.Beck 2004 Mates, P., Smejkal V.: E-government v českém právu, Linde Praha 2006 Blackův právnický slovník, Victoria Publishing 1990 Právní zpravodaj; Technologies & Prosperity; Convergence; Telekomunikace http://www.uoou.cz http://portal.gov.cz Právní předpisy citované v prezentaci 3.11.2010 Zdeněk Vaníček, FEL ČVUT 25
Otázky 1. Právní úprava ochrany osobních údajů. 2. Jaké mají závazky signatáři Evropské úmluvy o ochraně lidských práv a svobod. 3. Postavení a úlohy ÚOOÚ. 4. Shromažďování osobních údajů. 5. Dělení a vedení ISVS. 6. e-government 3.11.2010 Zdeněk Vaníček, FEL ČVUT 26
Děkuji Vám za pozornost. Josef.Prokes@centrum.cz Josef.Prokes@uoou.cz www.uoou.cz