Dne 25. května 2018 nabylo působnosti Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (zkráceně "obecné nařízení o ochraně osobních údajů"). V anglickém jazyce je GDPR zkrácený výraz od General Data Protection Regulation. V textu tohoto článku bude hovořeno o GDPR jako o "Obecném nařízení". Česká republika a celý Evropský hospodářský prostor, kde má GDPR přímou působnost, mají za sebou jeden rok působnosti účinnosti GDPR. Co se v něm událo podstatného v oblasti zpracování osobních údajů?
NOVÁ LEGISLATIVA
Začněme právní úpravou zpracování osobních údajů. V České republice byl přijat se značným zpožděním nový zákon č. 110/2019 Sb., o zpracování osobních údajů, s účinností ke dni 24. 4. 2019 (dále jen "zákon o zpracování osobních údajů"). Spolu s návrhem zákona o zpracování osobních údajů byl dále přijat a nabyl účinnosti doprovodný změnový zákon č. 111/2019 Sb. Zákon o zpracování osobních údajů právně zrušuje původní zákon č. 101/2000 Sb., o ochraně osobních údajů.
Zákon o zpracování osobních údajů doplňuje komplexní právní úpravu danou v Obecném nařízení, a to v oblastech, které nejsou obecným nařízením upraveny a kde Obecné nařízení umožňuje či přímo předpokládá, že členské státy provedou vlastní právní úpravu na vnitrostátní úrovni. Zákon o zpracování osobních údajů dále implementuje směrnici Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV. Zákon o zpracování osobních údajů upravuje některé dílčí otázky a obecné výjimky (např. výjimka z povinnosti posuzování slučitelnosti účelů, věková hranice dětí pro platné souhlasy se zpracováním osobních údajů určena na 15 let, možnost poskytnout informaci o zpracování uloženém právním předpisem či ve veřejném zájmu zveřejněním způsobem umožňujícím dálkový přístup, možnost oznámení změny osobních údajů v přístupné evidenci, výjimka z povinnosti posouzení vlivu zpracování osobních údajů, možnost omezení některých práv a povinností za podmínky oznámení Úřadu). Zákon určuje specifika platící pro zpracování prováděné pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu. Podrobně se upravuje ochrana osobních údajů při jejich zpracování za účelem předcházení, vyhledávání nebo odhalování trestné činnosti a při zajišťování obranných a bezpečnostních zájmů České republiky. Výše pokut za přestupky dle zákona je stanovena na max. 10 mil. Kč. Orgánům veřejné moci a veřejným subjektům se pokuty neukládají (resp. je od jejich uložení upuštěno).
POZNATKY Z KONTROLY ÚŘADU NA OCHRANU OSOBNÍCH ÚDAJŮ
GDPR způsobilo nárůst množství stížností a podnětů předaných Úřadu na ochranu osobních údajů (dále jen "Úřad"). Za rok účinnosti GDPR…
