směrnice z 1995 zrušena – nefungoval „safeharbour“ (Snowden)
od 25.5.2018 bezprostředně použitelné, aplikační přednost, ponechává však národním státům pravomoci k jeho provedení a úpravě, zvláště v oblasti citlivých osobních údajů, připouští lex specialis(zákony proti praní špinavých peněz)
veškeré informace o identifikované nebo identifikovatelné fyzické osobě (fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity)
jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení
zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká
Výjimky:
pokud:
zrušena obecná ohlašovací povinnost dle Směrnice 95/46/ES
správce musí sám posoudit vliv na ochranu osobních údajů s cílem posoudit konkrétní pravděpodobnost a závažnost vysokého rizika a zohlednit přitom povahu, rozsah, kontext a účely zpracování a zdroje rizika
předání ke zpracování mimo EU: „safeharbour“ - neoslabovat úroveň ochrany dle GDPR, Komise může za bezpečnou prohlásit území, odvětví v určité zemi nebo urč. mez. organizaci
jednoznačné potvrzení - vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů
písemné prohlášení (i elektronicky) nebo ústní, mlčení souhlasem není
Správce musí být schopen souhlas prokázat
Souhlas by neměl být považován za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout nebo odvolat, aniž by byl poškozen. Souhlas není platný, je-li mezi správcem a subjektem jasná nerovnováha
Zpracování osobních údajů pro jiné účely, než jsou ty, pro které byly osobní údaje původně shromážděny, by mělo být povoleno pouze v případě, kdy je slučitelné s účely, pro které byly osobní údaje původně shromážděny
Správce nesmí pátrat po dalších údajích, které by mu FO umožnily identifikovat
Odvolat souhlas musí být stejně snadné jako jej poskytnout
subjekt musí dostat informace stručné, snadno přístupné a srozumitelné, podávané za použití jasných a jednoduchých jazykových prostředků a ve vhodných případech navíc i vizualizace. Pokud budou tyto informace určeny veřejnosti, mohly by být poskytovány v elektronické podobě, například prostřednictvím internetových stránek.
Jsou-li osobní údaje zpracovávány pro účely přímého marketingu, měl by mít subjekt údajů právo kdykoli bezplatně vznést námitku proti tomuto zpracování, včetně profilování, v rozsahu, v němž souvisí s daným přímým marketingem, ať již jde o počáteční, nebo další zpracování. Na toto právo by měl být subjekt údajů výslovně upozorněn a toto právo by mělo být uvedeno zřetelně a odděleně od jakýchkoli jiných informací
Subjekt údajů by měl mít právo nebýt předmětem žádného rozhodnutí, a to včetně opatření, které hodnotí osobní aspekty týkající se jeho osoby, vychází výlučně z automatizovaného zpracování a které má pro něj právní účinky nebo se jej podobně významně dotýká, jako jsou automatizované zamítnutí on-line žádosti o úvěr nebo postupy elektronického náboru bez jakéhokoliv lidského zásahu. Takové zpracování zahrnuje „profilování“, jehož podstatou je jakákoliv forma automatizovaného zpracování osobních údajů hodnotící osobní aspekty vztahující se k fyzické osobě, zejména za účelem analýzy či předvídání aspektů souvisejících s pracovním výkonem subjektu údajů, jeho ekonomickou situací, zdravotním stavem, osobními preferencemi nebo zájmy, spolehlivostí nebo chováním, místem pobytu či pohybu, pokud má pro něj právní účinky nebo se jí podobným způsobem významně dotýká
Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:
místo ohlašovací povinnosti – správce je před zahájením zpracování provést tzv. posouzení dopadu na ochranu osobních údajů, tj. systematický popis zamýšleného zpracování, posouzení rizik z hlediska práv a svobod subjektů údajů, provedení testu proporcionality včetně posouzení, zda je zpracování ve vztahu k deklarovaným účelům nezbytné. Vypracování takového posouzení by mohlo být delegováno na inspektora pro ochranu údajů, pokud bude danou společností jmenován
Vyplyne-li z posouzení, že zpracování bude vysoce rizikové a riziko nelze zmírnit přiměřenými prostředky, pokud jde o dostupnost technologií a nákladů na jejich zavedení – pokud se nenajdou žádná dostupná opatření, zpracování lze provést
- právně nepůjde o povolení!
zatím ji měli jen poskytovatelé služby elektronických komunikací
při porušení: jednat bez odkladu a je-li to možné, ohlásit dozorovému úřadu a subjektu (popsat povahu porušení, doporučení subjektu). kdy nemusí? je-li splněna kterákoli z těchto podmínek:
explicitně stanovena pro orgány veřejné moci, správce nebo zpracovatele, jejichž hlavní činnost spočívá v operacích, které kvůli své povaze, rozsahu a/nebo účelu vyžadují pravidelné a systematické monitorování subjektů údajů v širokém rozsahu anebo jejichž hlavní činnosti spočívají ve zpracování zvláštních kategorií osobních údajů. V jiných případech to bude určovat národní zákon
ochrana mikropodniků do 250 zaměstnanců – výjimky (nemusí evidovat, ledaže zpracování, které provádí, pravděpodobně představuje riziko pro práva a svobody subjektů údajů, zpracování není příležitostné, nebo zahrnuje zpracování zvláštních kategorií údajů).
„profilování“ - jakákoli forma automatizovaného zpracování osobních údajů spočívající v jejich použití k hodnocení některých osobních aspektů vztahujících se k fyzické osobě, zejména k rozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází, nebo pohybu;
„pseudonymizace“ - zpracován osobních údajů tak, že již nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že nebudou přiřazeny identifikované či identifikovatelné fyzické osobě;
Cookies – současná právní úprava se právní úprava řídí § 89 odst. 3 ZoEK, ohledně něhož se vedou spory, zda je založen na principu opt-in nebo opt-out; GDPR výslovně uvádí síťový identifikátor jako možný osobní údaj s tím, že výjimkou z povinnosti získat souhlas subjektu údajů je mimo jiné zpracování oprávněných zájmů správce, přičemž ta za takový oprávněný zájem je výslovně uznán i přímý marketing (na ten se však samozřejmě vztahuje princip opt-out).
Pro posuzování „oprávněného zájmu“ však bude klíčové „rozumné očekávání“ subjektů údajů (jaký účel, dobu, rozsah atd. mohl očekávat)
I před působností GDPR je rozumné vykládat českou úpravu za opt-in