Obecné nařízení o ochraně osobních údajů, známé jako GDPR, upravuje způsob, jakým firmy, úřady, instituce i jednotlivci nakládají s osobními údaji. Za zpracování se považuje prakticky jakákoli operace s údaji – jejich shromažďování, zaznamenávání, ukládání, uspořádání, používání, zpřístupnění, změna, omezení nebo výmaz.
Zvláštní kategorie osobních údajů
GDPR věnuje zvýšenou ochranu takzvaným zvláštním kategoriím osobních údajů. Patří mezi ně například údaje o rasovém či etnickém původu, politických názorech, náboženském nebo filozofickém přesvědčení, členství v odborech, genetice, zdraví, sexuálním životě a sexuální orientaci. Do této skupiny se řadí také biometrické údaje, pokud slouží k jedinečné identifikaci osoby.
Zpracování těchto údajů je obecně zakázáno, ale GDPR stanoví výjimky. Údaje lze zpracovávat například na základě výslovného souhlasu, pokud je to nezbytné pro plnění povinností v pracovním právu, ochranu životně důležitých zájmů, poskytování zdravotní nebo sociální péče, obhajobu právních nároků nebo z důvodu významného veřejného zájmu. Výjimky se vztahují také na některé výzkumné, statistické, archivní a zdravotnické účely.
Právní základ zpracování
Každé zpracování osobních údajů musí mít právní základ. GDPR připouští šest hlavních právních titulů: souhlas subjektu údajů, plnění smlouvy, plnění právní povinnosti, ochranu životně důležitých zájmů, plnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci a oprávněný zájem správce.
Souhlas proto není jediným ani automaticky nejvhodnějším právním základem. Správce musí vždy posoudit, proč údaje zpracovává a který právní titul odpovídá konkrétnímu účelu.
Zpracování údajů u soudů
Soudy zpracovávají osobní údaje především v souvislosti s výkonem soudnictví a plněním zákonných povinností. Může jít například o údaje potřebné k projednávání a rozhodování občanskoprávních, správních nebo trestních věcí. Zpracovávány mohou být například jméno, příjmení, titul, rodné číslo, datum narození nebo adresa pobytu.
V těchto případech není právním základem souhlas účastníka řízení, ale zejména plnění právní povinnosti a výkon veřejné moci. Proto nelze proti takovému zpracování vždy vznést námitku ani automaticky požadovat výmaz údajů.
Právo na informace a výmaz
Každý může požádat správce o informaci, zda a jaké osobní údaje o něm zpracovává. Žádost by měla obsahovat jméno a příjmení žadatele, označení správce, jasné vymezení požadované informace a adresu pro zaslání odpovědi.
Právo na výmaz osobních údajů, někdy označované jako právo být zapomenut, však není absolutní. Výmaz nemusí být možný, pokud jsou údaje nezbytné pro splnění právní povinnosti, výkon veřejné moci, ochranu veřejného zdraví, archivaci, vědecký nebo historický výzkum, statistické účely či obhajobu právních nároků.
Automatizované rozhodování
Podle dokumentu Ministerstva spravedlnosti u okresního soudu nedochází k automatizovanému individuálnímu rozhodování ani k profilování podle GDPR.
GDPR tak vytváří pravidla, která mají zajistit, aby osobní údaje byly zpracovávány pouze zákonně, přiměřeně a pro předem stanovený účel. Rozsah práv jednotlivce přitom vždy závisí na konkrétním způsobu a účelu zpracování.
Článek vychází z dokumentu Ministerstva spravedlnosti: „GDPR – dotazy a odpovědi“.
