From Wikipedia, the free encyclopedia
Osobní údaje, známé také jako osobní informace nebo údaje umožňující zjištění totožnosti, jsou jakékoli informace týkající se identifikovatelné nebo identifikované osoby.[1] Identifikovatelnou osobou se rozumí fyzická osoba, kterou lze přímo či nepřímo ztotožnit, zejména odkazem na určitý identifikátor (jméno, vlastnost, identifikátor uživatele) nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.[2]
Ztotožnění osoby podle jedinečného souboru osobních údajů se někdy nesprávně zaměňuje za autentizaci, což je ověření proklamované identity[3] subjektu v informačním systému.
Jde především o údaje jako např.:
Jde především o následující:
Nakládání s osobními údaji může být vzhledem k právu na soukromí omezováno, přičemž v Evropské unii je ochrana osobních údajů upravena především Obecným nařízením o ochraně osobních údajů (GDPR, anglická zkratka General Data Protection Regulation),[9] které platí od 25. května 2018.[10]
Nařízení je platné pro všechny státy Evropské unie, Island, Norsko a Lichtenštejnsko. K přijetí nařízení došlo kvůli nevyhovujícímu právnímu rámci (tento rámec přestal odpovídat nárokům současné doby).[11] Dalším důvodem byla snaha sjednotit právo na celém území Evropské unie.[12]
GDPR se použije, pokud:
GDPR se nepoužije, pokud:
Právo na soukromí je součásti Evropské úmluvy o lidských právech[13] z roku 1950, která stvrzuje, že každý má právo na ochranu soukromého života, obydlí a komunikace. Na této premise musí Evropská unie zajistit ochranu práv prostřednictvím legislativy.[14]
Společně s vynálezem internetu a pokrokem technologie, musela Evropská unie vyvinout způsob jak chránit svůj prostor. V roce 1995 byla schválena evropská směrnice o ochraně údajů,[15] stanovila minimální standardy ochrany osobních údajů a zabezpečení, které každý členský stát implementoval do svého vlastního práva.[16]
GDPR stanoví, že správci údajů musí být schopni prokázat, že jsou v souladu s GDPR (nelze jednat retroaktivně).[16]
Zásady:
EDPB přispívá k jednotnému uplatňování pravidel ochrany údajů v celé Evropské unii a prosazuje spolupráci mezi úřady pro ochranu osobních údajů v EU. Posláním je zajišťovat jednotné uplatňování obecného nařízení o ochraně osobních údajů a evropské směrnice o prosazování práva v Evropské unii. EDPB může vydávat obecné pokyny k objasnění pojmů obsažených v evropských právních předpisech v oblasti ochrany údajů a poskytovat zúčastněným stranám jednotný výklad jejich práv a povinností.[17]
Úkoly a povinnosti:
Obecné nařízení o ochraně osobních údajů platné od 25. května 2018 stanovilo pravidla pro zpracování osobních údajů, včetně práv subjektu údajů (fyzické osoby). V českém právním prostředí toto nařízení nahradilo zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.[18]
Neoprávněné nakládání s osobními údaji může také být trestným činem.[19]
Rozhoduje o klíčových prvcích zpracování. Některé činnosti zpracování lze považovat za přirozeně spojené s úlohou subjektu (zaměstnavatele vůči zaměstnancům, vydavatele vůči předplatitelům nebo sdružení vůči jeho členům). Správce zodpovídá za důvod a způsob zpracování.[20]
Zpracovatelem může být fyzická či právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce. Zpracovatel musí splňovat dvě podmínky: jedná se o samostatný subjekt ve vztahu ke správci a osobní údaje zpracovává jménem správce.[20]
Správce může ke zpracování osobních údajů přibrat i jiný subjekt, který bude pro něho osobní data zpracovávat. Správce by měl využít pouze takového zpracovatele, který s ohledem na povahu, kontext, kategorii osobních údajů a jejich možnosti poskytuje dostatečné záruky vhodných technických a organizačních opatření. Zpracování osobních údajů prostřednictvím zpracovatele musí splňovat požadavky obecného nařízení a zajistit ochranu práv subjektů údajů. Z tohoto důvodu by měla být mezi těmito dvěma subjekty uzavřena písemná smlouva.[21]
Subjektem údajů je fyzická osoba, již se osobní údaje týkají. Subjekt údajů není např. právnická osoba, neboť údaje vztahující se k právnické osobě nejsou osobními údaji.[22]
Zákon č. 110/2019 Sb., o zpracování osobních údajů,[23] jehož účelem je ustanovení obecného nařízení směrující k členským státům, především o postavení a pravomoci Úřadu pro ochranu osobních údajů. Zákon stanoví některá práva subjektů údajů, věk dítěte pro udělení souhlasu v souvislosti s nabídkou služeb informační společnosti (dovršením 15 let), rozsah povinností jmenovat pověřence pro ochranu osobních údajů, zásady zpracování a ochrany osobních údajů i na zpracování, na něž se obecné nařízení nevztahuje.[24]
Obecné nařízení podobně jako předchozí zákon č. 101/2000 Sb., o ochraně osobních údajů,[18] přiznává subjektům údajů určitá práva. Správce je povinen reagovat na podanou žádost subjektu údajů neodkladně v případě, že se jedná o žádost podle článku 15 až 22 obecného nařízení.[25] V ostatních případech nejpozději do jednoho měsíce.[26]
Subjekt údajů má právo na informace ohledně zpracování svých osobních údajů (informace o účelu zpracování, totožnost správce, proč se zajímá o osobní údaje, příjemce osobních údajů).[27]
Mezi další práva subjektu údajů, patří:
Jde o operaci, popř. soubor operací, která je prováděna s osobními údaji nebo se soubory osobních údajů jako např.: shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoli jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.[29]
Souhlas je definován podle článku 4 odst. 1 bod 11 obecného nařízení[30] jako svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů (nemohou být vynuceny). Souhlas se podává pouze za konkrétním účelem zpravování, je odvolatelný.[31] Souhlasu je udělen k určitému účelu, pro který jsou osobní údaje zpracovávány. Pokud dojde k odvolání souhlasu, je správce povinen přestat zpracovávat osobní údaje pro účely definované v souhlasu.[32]
Správce nemusí mít ke každému zpracování osobních údajů souhlas subjektu údajů. V takových případech musí mít pro zpracování osobních údajů jiný právní důvod,[33] jde např. o
Obecné nařízení ve svém článku 7[34] podrobně stanovuje pravidla pro získání, udělení a využití souhlasu, zejména:
Z pohledu obecného nařízení bude platný jen takový souhlas, který byl získán transparentním způsobem, a dotčená osoba jej udělila svobodně. Za neplatný je nutno naopak považovat každý souhlas, kdy byl zákazník při získání služby či výrobku nucen zároveň souhlasit se zpracováním osobních údajů (např. souhlasem zakomponovaným v obchodních podmínkách).[35]
Nesprávné a nedůvodné vyžadování souhlasu bez odpovídající informace pak může být ve svém důsledku posouzeno jako porušení základních zásad pro zpracování, včetně podmínek týkajících se souhlasu a práv subjektů údajů, ve smyslu článku 83 odst. 5 písm. a) a písm. b) GDPR.[36][35]
Vyžadování souhlasu, zejména prostřednictvím emailu či SMS, se zasíláním reklamních sdělení od osob, které nejsou zákazníky, je sankcionovatelné podle zákona č. 480/2004 Sb.[37] jako nedovolené obchodní sdělení.[35]
Zpracování by dle GDPR mělo splňovat následující zásady:
Jednotlivé zásady jsou rozvinuty v článku 5 odst. 1 obecného nařízení.[39] Vymezení, resp. dodržování těchto zásad, je pro správce zásadní také proto, že v článku 5 odst. 2 obecného nařízení[40] je stanovena odpovědnost správce za jejich dodržování.[38]
Právní důvody zpracování osobních údajů představují oprávnění správce osobní údaje zpracovávat. Správce může zpracovávat osobní údaje pro různé účely (pro každý účel je nezbytný právní důvod zpracování osobních údajů) a je povinen přistoupit k likvidaci osobních údajů, pokud správce pozbude poslední právní důvod ke zpracování osobních údajů.[41]
Jednotlivec má právo na bezplatný přístup k osobním údajům.
Správce je subjektu osobních údajů je na požádání povinen:
Dochází-li ke zpracování údajů na základě souhlasu nebo smlouvy, může subjekt rovněž požádat o to, aby jeho osobní údaje byly vraceny nebo byly předány jiné společnosti (tzv. „právo na přenositelnost údajů"). Údaje musí být poskytnuty v běžně používaném a strojově čitelném formátu.[41]
V případě, že jsou údaje nesprávné, neúplné nebo nepřesné, má jednotlivec právo na provedení jejich opravy nebo jejich doplnění, a to bez zbytečného prodlení. Pokud by byl některý z osobních údajů nesprávný, je nutné upozornit každého, kdo s tímto údajem přišel do styku (ale pouze za předpokladu, že k tomu není zapotřebí nepřiměřené úsilí).[42]
Každý jednotlivec rovněž může kdykoli podat námitku proti zpracování svých osobních údajů pro určité účely, a to v případě, že jsou osobní údaje zpracovány na základě opravného zájmu nějakého subjektu nebo z důvodu provedení úkolu ve veřejném zájmu. Pokud neexistuje oprávněný zájem, který by převažoval nad zájmy jednotlivce, je nutné zpracování osobních údajů ukončit.[42]
Jednotlivec může požádat správce údajů o výmaz svých osobních údajů, například pokud již nejsou jeho údaje potřeba pro účely, pro které byly zpracovávány.[43] Není ale povinností vymazat osobní údaje, pokud:
Pokud jsou shromažďovány osobní údaje o dítěti na základě jeho souhlasu např. při používání účtu na sociálních médiích nebo účtu pro stahování dat, je nutné nejdříve získat souhlas jeho rodičů. Věk, do kterého dítě není samostatně oprávněno udělit souhlas se zpracováním osobních údajů, záleží na tom, ve které zemi žije, běžně je to do 13 až 16 let.[43]
Některé osobní údaje jsou takového charakteru, že mohou subjekt údajů samy o sobě poškodit ve společnosti, v zaměstnání, ve škole či mohou zapříčinit jeho diskriminaci. Z tohoto důvodu je taxativně (úplným výčtem) vymezena skupina osobních údajů, které jsou považovány s ohledem na osobu (subjekt) údajů za citlivé a jimž je proto poskytnuta zvýšená ochrana při jejich zpracování. Zvláštní kategorie osobních údajů jsou taková osobní data, která vypovídají o rasovém (či etnickém) původu, politických názorech, náboženském vyznání, filozofickém přesvědčení, členství v odborových organizacích, zdravotním stavu či o sexuálním životě anebo sexuální orientaci fyzické osoby.[44]
Za zvláštní kategorii osobních údajů jsou považovány i genetické a biometrické osobní údaje, a to pokud jsou zpracovávány za účelem jedinečné identifikace fyzické osoby.[45] Příkladem je otisk prstu, snímek oční duhovky, sítnice nebo obličeje, DNA a podobně.[46]
Biometrická autentizace vychází z přesvědčení, že některé biologické charakteristiky (morfologické, fyziologické) jsou pro každého živého člověka jedinečné a neměnné. Proto se používají k identifikaci osob a jedná se tak o osobní údaj. Jejich nezměnitelnost je ovšem nevýhoda z hlediska bezpečnostních systémů. Při vyzrazení (úniku dat) nelze biometrické charakteristiky jednoduše změnit, jako to umožňuje například heslo.[46]
Biometrické osobní údaje jsou důležitou složkou tzv. "silného ověření uživatele" (anglicky Strong Customer Authentication, SCA) ve směrnici Evropské unie o platebních službách. Pro podrobnosti viz samostatné články Směrnice PSD2 a Vícefázové ověření (2FA).[46]
Další biometrické údaje:
Správce musí přijmout taková technická a organizační opatření, aby mohl doložit, že zpracování osobních údajů je prováděno v souladu s obecným nařízením, tj. přijmout adekvátní bezpečnostní opatření. Jako jeden z prvků zabezpečení rozumíme šifrovaní nebo pseudonymizaci.[48]
Za porušení zabezpečení bezpečnostních osobních údajů se považuje porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů.[49]
Pokud dojde k porušení zabezpečení osobních údajů, musí správce toto porušení bez zbytného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásit dozorovému úřadu (Úřadu pro ochranu osobních údajů). Pokud je ale nepravděpodobné, že by toto porušení mohlo mít za následek riziko práva a svobody fyzických osob, ohlašovací povinnost odpadá. Oznamují se tedy jen rizikové incidenty pro práva a svobody fyzických osob, nikoli bagatelní záležitosti, které jsou nerizikové.[49]
Volný pohyb osobních údajů v Evropské unii není z důvodu ochrany fyzických osob v souvislosti se zpracováním osobních údajů omezen ani zakázán. Nelze však předávat osobní údaje jakémukoli správci či kdykoli. Při předávání osobních údajů neomezeně v zemích Evropské unie platí stejně vysoký standard právního rámce ochrany osobních údajů jako při jejich zpracování.[50]
K samotnému předání jinému správci musí mít správce právní důvod. Právní důvod musí mít správce i tehdy, pokud předává osobní údaje do země mimo Evropskou unii (nebo pokud předává osobní údaje zpracovateli). Pokud správce chce předat jinému správci osobní údaje do země mimo Evropskou unii, musí být zajištěna jejich institucionální ochrana, tj. nelze (až na výjimky) předávat osobní údaje do zemí, kde není zajištěna dostatečná právní ochrana osobních údajů, resp. správce nepřijal instrumenty, které tuto ochranu při předávání zajistí.[51]
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.