1.6.2 Co je, co není a co bude osobní údaj podle GDPR
Jitka Kmošková, Martin Kornel, Frank Bold Advokáti, s.r.o
Mnoho subjektů, ať už firem, živnostníků, spolků nebo jiných má pocit, že se jich pravidla pro ochranu osobních údajů netýkají, protože s žádnými nepracují. Přitom ale stačí, aby měli databázi potenciálních klientů, zákazníků, zaměstnanců, dárců a jiných podporovatelů, a to i kdyby se jednalo jen o jméno a e-mail nebo telefonní číslo, a již půjde o zpracování osobních údajů.
Tyto subjekty jsou pak tzv. správcem osobních údajů. Od května 2018 budou pro správce platit nová přísnější pravidla pro zpracování osobních údajů podle tzv. GDPR - Nařízení Evropského parlamentu a Rady 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Je proto důležité vědět, co všechno se pod pojmem osobní údaje skrývá.
Právní úprava
Osobní údaje jsou chráněny především:
-
zákonem č. 101/2000 Sb., o ochraně osobních údajů
-
směrnicí Evropského parlamentu a Rady 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen "směrnice 95/46/ES"), která byla do zmíněného zákona implementována.
Za rok nabude účinnosti další předpis evropského práva, totiž (dále jen "GDPR"). Nařízení GDPR mírně rozšiřuje okruh údajů, které se za osobní údaje považují.
Co vyplývá ze zákonných definic?
Jakýkoliv údaj, který umožňuje identifikovat konkrétní osobu, je osobním údajem. To, co je u jedné fyzické osoby osobním údajem, protože je jasně identifikovaná, ještě nemusí být osobním údajem pro další fyzickou osobu. Rozhodující je, zda je možné podle údajů, které jsou s informací spojeny, určit konkrétní osobu. Proto jméno samo o sobě nebo dokonce e-mail ve spojení jménem nebude osobním údajem, pokud podle něj není možné určitou osobu označit. Například e-mailová adresa jan.novak@... na běžně používaném internetovém serveru může patřit stovkám lidí toho jména, a proto sama o sobě nepředstavuje osobní údaj. Ovšem e-mailová adresa jan.novak@jmenofirmy.cz už osobním údajem je.
Osobním údajem může být jeden údaj nebo i více údajů, které teprve dohromady umožňují konkrétní osobu určit. Správce přitom může mít tyto údaje v jedné databázi nebo ve více oddělených databázích či seznamech. Níže poskytujeme seznam nejčastějších údajů, které mohou být osobními údaji podle zákona o ochraně osobních údajů.
Nejčastější obecné osobní údaje
• jméno
• adresa
• trvalé bydliště
• doručovací adresa
• pohlaví
• věk
• datum narození
• místo narození
• rodné číslo
• osobní stav
• zdravotní znevýhodnění
• fotografický záznam
• video záznam
• audio záznam
• e-mailová adresa (zvláště pokud obsahuje například jméno a firmu)
• telefonní číslo – soukromé i pracovní
• IP adresa
• různé identifikační údaje vydané státem: identifikační číslo, DIČ, číslo občanského průkazu, číslo řidičského průkazu, číslo cestovního pasu a další...
• vzdělání
• příjem ze zaměstnání (mzda, plat), příjem z důchodu
• kulturní profil
• jiné
• + osobní údaje dětí nebo manžela/manželky resp. partnera/partnerky – obecné i zvláštní
Nejčastější zvláštní osobní údaje
• údaje o rasovém či etnickém původu (národnost), NE státní občanství
• politické názory, NE členství v politické straně nebo hnutí, NE členství v komunistické straně před rokem 1989 (dle ÚS)
• náboženské vyznání
• filozofické vyznání
• členství v odborech
• zdravotní stav - údaje o tělesném nebo dušením zdraví, o poskytnutí zdravotních služeb
• sexuální orientace
• trestní delikty
• pravomocná odsouzení
Genetické údaje *
• DNA, RNA
• krevní skupina
• Rh faktor krve
• jiné
Biometrické údaje *
• snímek obličeje,
• otisk prstu,
• snímek oční duhovky,
• snímek sítnice,
• podpis
• hlas (zabarvení)
• jiné
* Takto označené údaje jsou povinně zavedeny teprve v dosud neúčinném GDPR, avšak naše národní právní úprava v zákoně o ochraně osobních údajů již v rámci definice…
