1.6.1
Co znamená nařízení o ochraně osobních údajů (tzv. GDPR) pro obce a příspěvkové organizace?
Jitka Kmošková, Martin Kornel, Frank Bold Advokáti, s.r.o
Co znamená zkratka GDPR a kdy bude obecné nařízení o ochraně osobních údajů (dále "Nařízení") účinné pro všechny státy Evropské unie, to jsou otázky, které si již položil asi každý, kdo zpracovává osobní údaje. Cílem tohoto textu je představit, jak obecné principy Nařízení dopadají konkrétně na obce a jejich příspěvkové organizace.
Nařízení přináší nové principy a postupy v ochraně osobních dat fyzických osob v reakci na dynamický vývoj technologií a procesů, jakými jsou osobní údaje zpracovávány. Tento vývoj neminul ani obce, které zpracovávají osobní údaje v mnoha oblastech svých činností. Jsou jimi zejména registry obyvatel, plátců daní nebo poplatků apod., kde obce uchovávají osobní údaje ze zákonem stanovených důvodů. Obce jsou ale i zaměstnavatelé a jako takové pracují s osobními daty svých zaměstnanců (tomuto vztahu se budeme věnovat v příštím článku). Nadto pracují i s osobními daty, které zpracovávají z jiných důvodů, jako jsou seznamy jubilantů (k pravidelným gratulacím) nebo záznamy z pouličních kamer. Nesmíme samozřejmě zapomínat ani na obchodní korporace, jejichž vlastníky jsou obce, a které bezpochyby také zpracovávají osobní údaje. I na ně se Nařízení vztahuje.
Kritériem pro odpovědnost obcí za zpracovávání osobních údajů v souladu s nařízením bude i nadále skutečnost, zda jsou osobní údaje zpracovávány při výkonu samostatné nebo přenesené působnosti a od toho se bude odvíjet i odpovědný subjekt – tedy stát nebo obec. Pokud národní legislativa nepřinese změny nad rámec Nařízení, v této oblasti se jeho účinností odpovědnost měnit nebude. Domníváme se tedy, že obce budou i nadále odpovědné za zpracování osobních údajů při výkonu samostatné působnosti, jak je stanoveno zákonem č. 82/1998 Sb., o odpovědnosti za škodu způsobenou při výkonu veřejné moci, v platném znění
Nahoru1. Práva a povinnosti subjektu údajů a změny vyplývající pro obce
Jako správci a zpracovatelé mají obce již dle současného zákona o ochraně osobních údajů řadu povinností vůči subjektům údajů (tedy osob, o jejichž údaje se jedná). Například povinnost informovat subjekt údajů o zpracování a jeho právech, opravit chybné osobní údaje nebo poskytnout přístup k údajům.
Účinností Nařízení se obce budou muset vypořádat i s některými novými právy subjektů údajů. Pro obce tak bude novinkou právo subjektu údajů na omezení zpracování, v rámci kterého subjekt údajů může požádat správce, tedy obec, aby omezil zpracování, pokud
-
subjekt údajů popřel přesnost takových osobních údajů (na dobu potřebnou k ověření přesnosti),
-
zpracování je protiprávní (a subjekt údajů z nějakého důvodu odmítá výmaz),
-
správce už údaje nepotřebuje k účelu zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků a
-
subjekt údajů vznesl námitku (na dobu ověření převažujících oprávněných důvodů).
Dalším novým nebo spíše změněným právem subjektů údajů bude právo vznést námitku, kterému je v dosavadním zákoně o ochraně osobních údajů nejblíže právo požádat o vysvětlení. Obec po vznesení námitky bude muset přezkoumat zpracování, a nebude moci nadále údaje zpracovávat, pokud subjektu údajů neprokáže, že údaje zpracovává ze závažných oprávněných důvodů, které převažují nad zájmy nebo právy a svobodami subjektu údajů. Obce se tak budou muset důkladně zabývat veškerými námitkami a jednotlivě je posuzovat.
Nařízení ale přináší orgánům veřejné moci a tedy i obcím určité úlevy. Totiž subjekty údajů mají právo na výmaz, také známé jako "právo být zapomenut" a to hned z několika důvodů, jako je odpadnutí účelu zpracování, odvolání souhlasu se zpracováním, důsledek vznesené námitky, protiprávního zpracování apod. Nařízení ovšem stanoví výjimky z práva subjektů údajů na výmaz a jednou z výjimek je splnění právní povinnosti, jež vyžaduje zpracování buď podle práva Unie nebo členského státu nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen. Další výjimkou je zpracování pro účely archivace ve veřejném zájmu. Nehrozí tak, že by obec musela přestat zpracovávat (a tím je myšleno i uchovávat je např. v xls. tabulce) osobní údaje, které potřebuje například pro správu místních poplatků, pokud občan požádá o výmaz svých údajů. V takovém případě mu totiž právo na výmaz nesvědčí. Naopak v případě žádosti o výmaz ze seznamu jubilantů má obec povinnost jeho osobní údaje tímto způsobem nezpracovávat, protože se nejedná o veřejný zájem nebo výkon…
