Právní aspekty ochrany osobních informací v EU

Ochrana osobních informací nabývá v informační společnosti stále většího významu, neboť samotné informace stávají velmi žádnou komoditou. V posledních několika letech v rámci EU proběhla reforma v této oblasti (právně účinná od roku 2018), a základní pravidla aktuální regulace jsou nyní obsažena v:

·       tzv. nařízení 2016/679 o GDPR,[1]

·       dále ve směrnici 2016/680 o ochraně osobních údajů fyzických osob,[2]

·       a konečně v nařízení 2018/1725 o ochraně osobních údajů fyzických osob.[3]

Ačkoli nařízení GDPR nepřináší ve všech ohledech novou právní úpravu, ale v naopak v řadě ohledů pouze potvrzuje dřívější regulaci ve směrnicích a vnitrostátních zákonech, jedná se o první komplexní právní úpravu ochrany osobních údajů, navíc v některých aspektech skutečně přináší regulativní novinky. V souvislosti s účinností GDPR od 25.5.2018 se Českem přehnala velká vlna nervozity spojená s tím, že veškeré subjekty zpracovávající osobní údaje musely prověřit, zda jejich stávající postupy obstojí i při aplikaci GDPR.

Velmi důležitým prvkem GDPR je jeho exteritorialita, tj. fakt, že se použije nejen na zpracování osobních údajů subjekty usazenými na území členských států EU, ale i na činnost takových subjektů, které mimo území EU provádějí zpracování osobních údajů občanů Unie, resp. cizích subjektů, které při prodeji zboží nebo služeb občanům EU sbírají některé jejich osobní údaje. Není tak možné, aby se zpracování osobních dat outsourcovalo např. do USA či do Indie, a tak se subjekty vyhnuly aplikaci přísných unijních pravidel, stejně tak americká společnost prodávající své služby unijním občanům rovněž spadá do působnosti GDPR. Nařízení GDPR se tedy vztahuje na všechny správní orgány, právnické i fyzické osoby, které jakkoli zpracovávají osobní údaje či alespoň o podmínkách zpracování rozhodují. Na druhou stranu je nutné uvést, že se přísná regulace GDPR nevztahuje na zpracování osobních údajů čistě osobní povahy, jako je např. domácí video s členy rodiny, osobní korespondence, nebo záběry z domácích bezpečnostních kamer, pokud zachycují pouze neveřejné oblasti. Stejně tak nařízení GDPR nedopadá na ochranu osobních informací již zesnulých fyzických osob, a generálně také ne na osoby právnické, které žádným právem na ochranu osobních informací nedisponují. Podobně jsou pak z aplikace GDPR z pochopitelných důvodů vyňaty rovněž policejní složky či činnost tajných služeb.

V této souvislosti vzniká logicky otázka definice osobního údaje, neboť jenom takové údaje podléhají regulaci GDPR. Za osobní údaj je označována jakákoli informace, která může vést k identifikaci konkrétní fyzické osoby. V řadě případů přitom některé informace samy o sobě ještě k identifikaci nevedou, ale v e spojení s dalšími sbíranými daty již tvoří celek, který identifikaci konkrétní osoby umožňuje.[4]

Proto je velmi podstatné definovat další termín GDPR, který je vedení evidence osobních údajů. Za evidenci je považován libovolný strukturovaný soubor osobních údajů, který umožňuje jejich zpřístupnění a vyhledávání v nich podle určitých kritérií. Nezáleží na tom, zda je taková evidence vedena centrálním způsobem, nebo je rozprostřena na několika místech (pobočkách). Postačí tedy jakékoli strukturované ukládání osobních informací v excelové tabulce, nebo ve zvláštním diáři, v kartotéce, apod.[5]

Dalším termínem, vyžadujícím vysvětlení je pak zpracování osobních informací, za něž se považuje libovolná operace s osobními údaji, což zahrnuje dle dikce GDPR jejich „shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“.[6] Podmínkou aplikace GDPR je přitom fakt, že tyto informace mohou být přístupné dalším lidem, pokud by sloužily pouze pro účely jedné osoby, regulace GDPR se na takové shromažďování informací nevztahuje.

Nařízení GDPR dále definuje také správce osobních údajů, za něhož je považována „jakákoli fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení“.[7] Osoba, který pro správce osobních informací provádí jejich zpracování, se logicky nazývá zpracovatel osobních informací, a může jím být jakákoli fyzická či právnická osoba, orgán veřejné moci, agentura či jiný subjekt.[8]

Dalším specifickým pojmem, které GDPR přináší je termín pověřenec pro ochranu osobních údajů, což je zvláštní post, který mají povinnost vytvořit veškeré orgány veřejné moci či veřejnoprávní subjekty, ale také některé soukromoprávní subjekty, jež pravidelně a rozsáhlým způsobem provádějí systematické monitorování subjektu. Pověřenec má za úkol jednak radit jednotlivým osobám  (zaměstnancům, správcům či zpracovatelům osobníc informací), jednak také monitorovat dodržování veškerých pravidel GDPR, příp. i spolupracovat s dozorovým orgánem v dané zemi.[9] Pověřenec může být zaměstnancem příslušného správce či zpracovatele osobních informací, ale může se jednat také o najetou třetí osobu. V žádném případě však nesmí být ze strany správce či zpracovatele instruován jak má svoji činnost vykonávat, naopak musí jednat vždy zcela nezávisle.

Základním předpokladem pro správu a zpracování osobních informací je fakt, že k tomuto musí mít každý subjekt konkrétní právní důvod. Tím může podle okolností být dodržení zákonných či smluvních povinností, veřejný zájem či výkon veřejné moci, ochrana životně důležitých zájmů, nebo oprávněný zájem správce. Pouze pokud žádný z těchto důvodů nelze aplikovat, zbývá jako jediný možný právní důvod udělení souhlasu ze strany osoby, jejíž údaje mají být zpracovávány. Za souhlas se přitom považuje „jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů“.[10] Platí, že souhlas nesmí být žádným způsobem vynucován, subjekt nesmí být trestán za jeho neudělení, musí být jasně srozumitelné s čím přesně subjekt vyjadřuje souhlas, a musí být udělen prostřednictvím aktivního kroku (zakázáno je např. automatické zaškrtnutí políčka ve webovém formuláři).

Dalším omezením zpracování osobních informací je požadavek, aby byl předem stanoven účel takového postupu, a také rozsah informací, které jsou pro uvedený účel nezbytně nutné. Není totiž možné spravovat a zpracovávat osobní informace bez jasně stanoveného účelu, ani není právně možné je zpracovávat v excesivním rozsahu, který není pro naplnění stanoveného účelu nezbytný.

Zpracovatel osobních informací musí dále předem určit dobu, po kterou bude získané osobní informace uchovávat a zpracovávat. Opět platí, že tato doba by neměla být delší, než je nezbytně nutné období odpovídající stanovenému účelu jejich zpracování. Po uplynutí určené doby je správce povinen veškeré osobní údaje bezpečným způsobem zničit. Z logiky věci proto plyne, že není možné zpracovávat osobní informace na dobu neurčitou, neboť to popírá požadavek na co nejkratší nezbytně nutné období jejich zpracovávání.

Dalším povinností správce osobních údajů je zajistit, aby shromážděné informace byly bezpečně uloženy a nemohlo tak dojít k jejich „náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů“.[11] Tato povinnost znamená, že často dochází při správě osobních údajů k jejich šifrování či kontrole přístupu jednotlivých osob k těmto informacím (autentizace a autorizace), příp. se využívají procesy anonymizace a pseudonymizace.

Za anonymizaci se považuje pozměnění osobních údajů tak, že konkrétní fyzická osoba (subjekt údajů) již není z informací identifikovatelný. Takto anonymizované soubory informací ve své podstatě nepodléhají GDPR, neboť nenaplňují základní podmínku možné identifikace konkrétní fyzické osoby na základě uložených údajů. Pseudonymizací pak GDPR definuje jako „zpracování osobních údajů tak, že již nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že nebudou přiřazeny identifikované či identifikovatelné fyzické osobě“.[12]

Zpracované osobní informace mohou být za určitých podmínek předány třetím osobám, nicméně pro takový postup musí opět existovat vždy řádný právní důvod, kterým může být zákonná či smluvní povinnost, nebo souhlas daného subjektu. Jakékoli předávání osobních údajů bez právního důvodu je nelegální. Příjemcem osobních údajů pak GDPR rozumí “jakákoli fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoli“.[13]

Velmi důležitým pravidlem v souvislosti se správou a zpracování osobních údajů je skutečnost, že každý subjekt těchto údajů má konkrétní zákonná práva, která nemohou být omezena. Subjekty údajů tak mají konkrétní právo na přístup k těmto údajům, aby mohly zjistit jaké informace jsou o nich shromažďovány, mají právo na informace o tom, jak a proč jsou tyto údaje shromažďovány, mají právo namítat neoprávněnost zpracování osobních údajů včetně stížnosti k dozorovému orgánu, jakož i právo na opravu či doplnění nesprávných osobní ch údajů. Novým oprávněním je pak právo na to být zapomenut, což zahrnuje nárok na odstranění shromážděných osobních údajů v případě, kdy opadne právní důvodu jejich zpracování (např. skončila doba zpracování, subjekt odvolá předchozí souhlas, již neplatí účel, pro který byly původně údaje získány).