Rok účinnosti obecného nařízení o ochraně osobních údajů (GDPR) v praxi územní samosprávy

Obecné nařízení zásadním způsobem oživilo diskusi o problematice ochrany osobních údajů, která do doby jeho přijetí lehce ustupovala jiným tématům. Není přitom žádného sporu o tom, že přijetí nové legislativy, která se alespoň pokusí regulovat oblast ochrany osobních údajů, ve světle jejich zpracování při použití moderních technologií používaných ve 21. století je naprosto nezbytné. Nová právní úprava musí reflektovat dynamický rozvoj sociálních sítí, profilování uživatelů e-shopů, používání čteček otisků prstů, využívání kamerových systémů a řady dalších technologií, se kterými se lidé v současnosti setkávají na každém kroku, a to často bez uvědomění si skutečnosti, že jsou prostřednictvím moderní techniky zpracovávány jejich osobní údaje.

V podobném duchu se vyjádřila u příležitosti prvního výročí účinnosti GDPR i předsedkyně Úřadu pro ochranu osobních údajů JUDr. Ivana Janů: ¹⁾

Zmíněnou nezbytnost přijetí nové právní úpravy považujeme za nutné zdůraznit v samotném úvodu našeho článku. Nařízení GDPR cílí zejména na zpracování osobních údajů v kybernetickém či online světě a jeho primární snahou je regulace obřích a často nadnárodních správců osobních údajů, kteří disponují skutečně enormním množstvím rozličných informací o svých uživatelích. Není těžké si domyslet, že typickým příkladem takovýchto správců jsou technologické giganty typu Google či Facebook. GDPR tedy akcentuje především na ochranu osobních údajů kolujících „virtuálním“ světem, který se však dennodenně stýká se světem „reálným“.²⁾

Jak jsme již uvedli, obecné nařízení se zaměřuje především na ochranu osobních údajů v kyberprostoru. Zároveň však stanoví univerzální pravidla, která platí pro všechny správce či zpracovatele osobních údajů, přičemž je víceméně lhostejné, jaký charakter činnosti provozuje ten který správce či zpracovatel osobních údajů. Nařízení dopadá stejně tak na obchodní společnosti, spolky, bytová družstva a další subjekty soukromého sektoru, jako na subjekty sektoru veřejného. Na první pohled se může zdát, že GDPR přináší správcům osobních údajů množství novinek a povinností, avšak s hlubší znalostí věci takto zjednodušující náhled na GDPR nesdílíme. Náročnost implementace GDPR je vždy závislá na tom, nakolik důsledně konkrétní správce osobních údajů dbal na dodržování donedávna platné právní úpravy zákona č. 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů (dále též „zákon č. 101/2000 Sb.“).

Již tento zákon totiž reflektoval harmonizační snahy Evropské unie v oblasti právní úpravy ochrany osobních údajů na celém území unie, když transponoval Směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. 10. 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů.

Na základě vlastní zkušenosti se domníváme, že veřejný sektor dlouhodobě naplňoval právní úpravu zákona č. 101/2000 Sb. důsledněji než ten soukromý, a proto nutně nemuselo ve veřejném sektoru docházet k významným problémům při implementaci požadavků obecného nařízení. Ačkoliv, samozřejmě, nechceme a nemůžeme nijak generalizovat, soukromý sektor často tak důsledný při dodržování zákona č. 101/2000 Sb. nebyl a konkrétní privátní subjekty v pozici správců osobních údajů tak mohly nabýt dojmu, že GDPR přináší řadu nových pravidel a povinností.

Jak již bylo uvedeno v úvodu tohoto článku, GDPR lze nazvat spíše evolucí než revolucí v oblasti ochrany osobních údajů. Ostatně takto se o nové evropské legislativě vyjadřovali také odpovědní pracovníci Ministerstva vnitra a pojem „evoluce“ je v uvedené souvislosti používán také v odborné literatuře.³⁾ V tomto článku tak pozornost zaměříme pouze na nové povinnosti, které obecné nařízení správcům osobních údajů přineslo, anebo procesy, které nařízení významněji pozměnilo.

Obecné nařízení ve svém čl. odst. 1 výslovně stanovilo „rozšířenou“ definici osobního údaje, kterým rozumí jakoukoliv informaci, prostřednictvím které lze přímo či nepřímo identifikovat danou fyzickou osobu, přičemž jako příklad uvádí i lokační údaje či síťový identifikátor.⁴⁾ Vymezení ostatních základních pojmů zůstává víceméně obdobné jako v dosavadní úpravě dle zákona č. 101/2000 Sb. Obecné nařízení lehce modifikuje pojem citlivý údaj, který v § 4 písm. b) vymezoval zákon č. 101/2000 Sb. GDPR zavádí nové pojmenování citlivých údajů jako zvláštní kategorii osobních údajů dle čl. 9 nařízení a vyčleňuje do samostatného čl. 10 nařízení informace o odsouzení fyzické osoby za trestný čin.

GDPR rovněž lehce modifikovalo jednotlivé právní tituly pro zpracování osobních údajů, když v čl. 6 odst. 1 písm. a) až f) stanovilo tyto právní tituly:

Novinkou, kterou přineslo obecné nařízení, je též zavedení zcela nových institutů posouzení vlivu na ochranu osobních údajů (někdy též uváděno pod anglickou zkratkou DPIA) a předchozí konzultace a to v čl. 35 a 36 nařízení. Tyto instituty nahradily oznamovací povinnost dle § 16 až 19 zákona č. 101/2000 Sb. dozorovému úřadu (v ČR Úřad pro ochranu osobních údajů). Účelem těchto institutů je, aby správce sám vyhodnotil před samotným započetím zpracování osobních údajů, které může být ohrožující pro práva a svobody fyzických osob, zda takové zpracování nepředstavuje nepřiměřené riziko pro tyto práva a svobody. Pokud správce dojde k takovému zjištění, že riziko je skutečně vysoké, je povinen konzultovat toto zpracování s dozorovým úřadem, který k takovému zpracování vydá povolení. Z dostupných zdrojů je zřejmé, že v roce 2018 se žádný správce ani zpracovatel na český dozorový úřad se žádostí o konzultaci dle čl. 36 obecného nařízení neobrátil.⁵⁾

Další změnou, které GDPR přineslo, je rozšíření okruhu práv subjektu údajů. Zákon č. 101/2000 Sb. v § 12 sice upravoval právo subjektu údajů na přístup k osobním údajům, ovšem až GDPR přineslo rozšíření práv, které může subjekt údajů vůči správci osobních údajů uplatnit. Těmito novými právy jsou tedy právo na opravu zpracování nepřesných osobních údajů, právo na výmaz osobních údajů (tzv. právo být zapomenut), právo na omezení zpracování, právo na přenositelnost, právo vznést námitku proti zpracování a právo podat stížnost u dozorového orgánu. S právy subjektů se rovněž pojí modifikovaná tzv. informační povinnost, kdy subjekt údajů musí být dostatečně informován o tom, jak bude s jeho osobními údaji nakládáno (tj. jaké osobní údaje budou zpracovávány, za jakým účelem, po jak dlouhou dobu, či zda budou zpřístupněny dalším osobám) ještě před zahájením samotného zpracování.

Zřejmě nejvýznamnější novinkou, kterou přineslo do českého právního řádu obecné nařízení, je institut pověřence pro ochranu osobních údajů, který je znám též pod zkratkou DPO (Data protection officer). Tento institut byl převzat z jiných evropských zemí a nyní je tak zaveden v rámci územní působnosti obecného nařízení i v řadě zemí, kde se (stejně jako v ČR) dříve neobjevoval.⁶⁾ Institut pověřence je upraven v čl. 37 až 39 GDPR.

Pověřenec má u správce či zpracovatele osobních údajů plnit roli konzultanta a kontaktního místa pro oblast ochrany osobních údajů. Mělo by se jednat o osobu, která je dobře obeznámena s chodem a organizační strukturou správce či zpracovatele, u něhož působí. Pověřenec je v rámci své funkce odpovědný nejvyššímu vedení daného správce či zpracovatele a je při výkonu své funkce nezávislý na pokynech správce. Jeho úkolem je pravidelně monitorovat činnost správce, zda je tato prováděna v souladu s právními (popř. i vnitřními) předpisy v oblasti ochrany osobních údajů a na případný nesoulad upozornit správce či zpracovatele. Rovněž by DPO měl poskytovat konzultace a vyjádření ke konkrétnímu zpracování či zamýšlenému zpracování osobních údajů prováděného správcem či zpracovatelem. Pověřenec zároveň působí jako komunikační prostředník mezi subjekty údajů (zejména zaměstnanci, klienty či smluvními partnery) a správcem, a také mezi správcem a dozorovým úřadem. Pověřenec je dle čl. 37 odst. 1 písm. a) až c) obecného nařízení obligatorně jmenován v těchto případech:

Pověřenec taktéž může být jmenován též na základě dobrovolného rozhodnutí správce či zpracovatele osobních údajů.

Poslední významnou (a mediálně často zmiňovanou) oblastí, kterou GDPR nově upravilo, je oblast peněžních sankcí za porušování obecného nařízení, zejména pak jejich výše. Článek 83 obecného nařízení tak stanoví, že maximální výše udělené pokuty může být až 20 mil. EUR anebo až 4 % celkového ročního obratu správce.

K dopadu těchto sankcí na subjekty veřejné sféry se blíže vyjádříme dále v textu článku.

Implementaci požadavků obecného nařízení lze schematicky shrnout do tří kroků. První krokem je provedení jakési inventury či datového auditu, tzn. zjištění, jaké osobní údaje jsou u daného správce zpracovávány, v jakých informačních systémech, zda jsou předávány třetí straně apod. Druhým krokem je porovnání zjištěného stavu s požadavky obecného nařízení. Z tohoto porovnání se pak odvíjí činnosti realizované návazně v kroku třetím, tedy odstranění nesouladu zjištěného skutečného stavu s požadavky obecného nařízení. Tato podkapitola se bude věnovat zejména třetímu kroku implementace v souvislosti s novými povinnostmi zmíněnými v subkapitole výše.

V rámci implementace je na samém počátku nezbytné uvědomit si, že osobní údaje jsou představovány velmi širokou škálou dat a informací, přičemž zdaleka nejde jen o data typu jméno, příjmení, datum narození apod. Osobními údaji, které jsou běžně zpracovávány také subjekty veřejného sektoru, jsou např. i cookies na webových stránkách, registrační značky vozidel (např. v knize návštěv) nebo fotografie. I při zpracování těchto osobních údajů je nutné mít na paměti, že správce těchto osobních údajů musí plnit veškeré povinnosti dle GDPR, které se na něj vztahují, zejména co se týče informační povinnosti. U cookies se typicky může jednat o lištu na webových stránkách, která návštěvníka informuje, co se s jeho osobními údaji bude dít. Často diskutovaným tématem je pořizování fotografií, kde navíc, kromě úpravy veřejnoprávní (tj. GDPR a národní v oblasti ochrany osobních údajů), vstupuje též úprava soukromoprávní, konkrétně ochrana osobnosti dle zákona č. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů. Víceméně bezproblémové je pořizování fotografií (a jejich následné zveřejnění např. na webu, či v tištěném zpravodaji), které dokladuje činnost daného správce – typicky se může jednat např. o společenské události v obcích, typu plesy, poutě, sportovní utkání, anebo např. absolventské koncerty u základních uměleckých škol. Takové pořizování fotografií, včetně jejich uveřejnění, lze standardně podřadit pod tzv. žurnalistickou licenci dle § 89 a násl. občanského zákoníku. Pokud však půjde o fotografie pořizované za účelem propagace správce osobních údajů (např. brožura, která láká nové studenty ke studiu na střední škole), tak tyto nelze pod žurnalistickou licenci podřadit, jelikož primárním účelem zveřejnění takových fotografií není informování o dění u správce. V takovémto případě je nutné mít od osob vyobrazených na fotografii (jde-li např. o studenty či pedagogy střední školy) souhlas se zpracováním osobních údajů.

Dalším praktickým příkladem je zpracovávání otisků prstů za účelem evidence docházky zaměstnanců. Pokud zaměstnavatel pro evidenci docházky svých zaměstnanců používá jako identifikátor daného zaměstnance jeho otisk prstu, je nutné, aby měl zaměstnavatel souhlas se zpracováním osobních údajů od zaměstnance (i když ani ten nemusí v některých případech dostačovat).⁷⁾ Zpracovávání otisku prstu (tedy biometrického údaje, což je údaj zvláštní kategorie dle čl. 9 GDPR) jako identifikátoru zaměstnance je nepřiměřené, resp. takové identifikace lze dosáhnout jinými prostředky, které nezasahují tak vysokou mírou do soukromí zaměstnanců (pokud správce nedokáže, že je takováto identifikace nezbytná, např. v nebezpečných provozech apod.).⁸⁾

K zásadám, na nichž je GDPR postaveno, lze uvést, že zásada zákonnosti je v rámci veřejné správy aplikována vcelku bezproblémově, protože velkou většinu agendy tyto subjekty vykonávají na základě povinností uložených právními předpisy, navíc se mohou opřít o právní titul plnění úkolu ve veřejném zájmu.

V tomto případě lze dobře ilustrovat snahu GDPR, aby nedocházelo k nadužívání souhlasu se zpracováním osobních údajů. Tento právní titul by měl v oblasti veřejné správy být použit opravdu jen výjimečně. Z ostatních zásad je nutné upozornit zejména na zásadu minimalizace údajů, např. je běžnou praxí u kontrolních orgánů, že si při kontrolách vyžádají např. kompletní osobní spis zaměstnance, který obsahuje řadu osobních údajů, které kontrolní orgán pro samotný výkon kontroly vůbec nepotřebuje. Kontrolovaný subjekt spíše ze strachu a respektu z kontroly osobní spis předá kontrolnímu orgánu – v této oblasti je nepochybně ještě velký prostor pro metodickou činnost jednotlivých ministerstev, které kontrolní orgány dozorují.

Na tomto místě je vhodné zmínit též zásadu omezení uložení. Většina subjektů veřejné sféry se pro tuto oblast řídí zákonem č. 499/2004 Sb., o archivnictví a spisové službě, ve znění pozdějších předpisů. Pokud tedy daný správce osobních údajů dodržuje důsledně tento právní předpis, neměl by se v zásadě dostávat do problémů. Je však nutné zmínit, že elektronická verze dokumentu, který je evidován ve spisové službě, by vždy měla následovat životní cyklus dokumentu ve formě písemné. Pokud dojde k uplynutí skartační lhůty u dokumentu, je nutné skartovat jeho fyzickou podobu, jeho elektronickou podobu uloženou ve spisové službě a taktéž by měla být odstraněna či upravena verze dokumentu, která může být uložena např. v počítači úředníka, který daný dokument vytvořil a uložil si jej pro inspiraci či jiné použití do budoucna. Takový postup spočívající v kumulaci uložení vícero forem dokumentu je ovšem třeba považovat za nežádoucí (je zde porušována i zásada účelového omezení). Pokud je snaha vést archiv např. správních rozhodnutí, která byla v minulosti vydána, za účelem využití odůvodnění v budoucích případech, je takový postup možný v případě provedení anonymizace osobních údajů v těchto rozhodnutích.

Tím se již dotýkáme i poslední zásady, tj. integrity a důvěrnosti, kdy je správce povinen zajistit zabezpečení osobních údajů. Anonymizace osobních údajů je jedním z prostředků této ochrany, který je zcela běžný např. u smluv podléhajících povinnosti uveřejnění v registru smluv. Dalšími prostředky jsou pak organizační a technická opatření, např. ukládání osobních údajů na fyzických nosičích v uzamykatelném prostoru anebo u osobních údajů v elektronické podobě zajištění jejich zálohování atd. Naplnění této zásady se pochopitelně významně odvíjí od finančních možností daného správce – logicky budou obcí I. typu přijata jiná opatření k ochraně osobních údajů než např. u kraje, který disponuje mnohonásobně vyšším rozpočtem i personálními kapacitami.

Funkce pověřence pro ochranu osobních údajů musí být zřízena u všech územních samosprávných celků, u všech školských zařízení i u zařízení ze sociální oblasti. Vzhledem k požadavkům, které GDPR na pověřence klade, si může správce vybrat ze tří možností způsobu zabezpečení výkonu této funkce:

Nabytí účinnosti GDPR provázelo velké očekávání a nejistota v řadách správců, a to zejména z toho důvodu, že nikdo nebyl schopen předpovědět, k čemu reálně od 25. 5. 2019 dojde. Po prvním roce účinnosti GDPR, alespoň v oblasti samosprávy, lze zhodnotit, že k zásadním změnám v oblasti ochrany osobních údajů, např. co se týče uplatňování práv subjektů údajů, nedošlo. Jak již bylo několikrát zmíněno, pokud správci dodržovali dosavadní právní úpravu, nenastaly žádné větší problémy.

Dobrým příkladem je anonymizace osobních údajů. V praxi před účinností GDPR i po ní správci osobních údajů prováděli anonymizaci osobních údajů např. při zveřejňování dokumentů na úřední desce či v zápisech ze zasedání zastupitelstva územního samosprávného celku. V této oblasti tak vůbec nemuselo docházet ke změnám, za předpokladu, že celý proces anonymizace byl již dříve systematicky zvládnut.

Rovněž lze pozorovat, že si již správci navykli v případě akcí, kde jsou pořizovány fotografie, upozorňovat na jejich pořizování. Děje se tak např. obyčejnou cedulkou u vstupu do kulturního domu či označení fotografa prostřednictvím reflexní vesty zase u akcí odehrávajících se venku.

Za pozitivní lze považovat také to, že účinnost GDPR přinesla obecně u správců větší důraz na ochranu osobních údajů. Za utěšený stav lze považovat, když při realizaci nových činností, které mohou mít vliv na ochranu osobních údajů, si odpovědný pracovník uvědomí, že by takovou činnost měl zkonzultovat s pověřencem pro ochranu osobních údajů. To je důležité zejména z pohledu dnes velmi žádaných aktivit v oblasti smart cities apod. Při těchto aktivitách může docházet i k rizikovým zpracováním osobních údajů – např. skenování poznávacích značek motorových vozidel či zpracovávání osobních údajů o platebních kartách, které mohou být velmi dobře použitelné pro sledování efektivity různých aplikací či četnosti používání nových platebních metod např. při platbě jízdného v prostředcích hromadné dopravy platební kartou. Správce, který se pustí do takových zpracování, musí mít otázku ochrany osobních údajů zvládnutou naprosto perfektně (i s ohledem na zásadu odpovědnosti).

Po roce účinnosti obecného nařízení lze rovněž říci, že v tomto období nedošlo k významnému zvýšení uplatnění práv subjektu údajů. Například Moravskoslezský kraj v tomto období neobdržel žádnou takovou žádost. Taktéž ani u zřízených (cca 200) příspěvkových organizací nebylo zjištěno uplatnění práv ve větší míře než v jednotkách žádostí.

Určitým evergreenem, který první rok účinnosti GDPR provázel, bylo přijímání doprovodné národní legisla-tivy. To bylo završeno nabytím účinnosti zákona č. 110/2019 Sb., o zpracování osobních údajů, a zákona č. 111/2019 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. Oba zmíněné zákony nabyly účinnosti dne 24. 4. 2019, tedy téměř rok od nabytí účinnosti GDPR.

Jedná se však opravdu jen o doplňující zákony, které v mantinelech nastavených obecným nařízením pouze upravily některé záležitosti. Za nejpodstatnější změnu (a rozhodně ji lze považovat za velmi pozitivní) je upuštění od finančních sankcí za porušení GDPR pro subjekty veřejné sféry.¹⁰⁾ To lze kvitovat s velkým povděkem, protože zejména menší obce a jejich příspěvkové organizace se vysloveně děsily obřích pokut, které GDPR umožňuje uložit. Je pochopitelné, že v souladu se zásadami správního trestání by nebylo možné např. obec I. či II. typu potrestat pokutou, která by měla likvidační charakter, nicméně výslovné zakotvení v zákoně rozhodně přidá na klidu představitelům obcí, příspěvkových organizací a dalších subjektů veřejného sektoru.

Nelze nezmínit také úpravu zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů, která byla provedena zákonem č. 111/2019 Sb. jedná se o zavedení tzv. informačního příkazu¹¹⁾ a rovněž úpravu nových pravomocí Úřadu pro ochranu osobních údajů.¹²⁾ Pro úplnost je nutné dodat, že popisované změny nastanou s odloženou účinností, a to k 1. 1. 2020.

V současné době lze GDPR považovat za již stabilní součást českého právního řádu. Po prvním roce jeho účinnosti už jistě nemá takovou pověst strašáka jako před 1–2 lety. Přesto však GDPR zůstává pro svou už z názvu plynoucí obecnost a abstraktnost nadále svým způsobem neoblíbeným a hůře uchopitelným tématem.

V oblasti veřejné sféry a speciálně samosprávy lze hovořit o ustálení agendy ochrany osobních údajů v oblasti požadavků, které GDPR přineslo. Nyní by již všichni správci osobních údajů měli být v implementační fázi, tj. všechny významné povinnosti stanovené obecným nařízením by měli plnit (např. plnění informační povinnosti na webu, jmenování pověřence, uzavření zpracovatelských smluv apod.) a své procesy již jen slaďovat a upravovat dle aktuální situace a potřeby.

GDPR přechází do praxe, a tak je nutné do budoucna zejména pozorně sledovat činnost Úřadu pro ochranu osobních údajů nebo Ministerstva vnitra. V nadcházejících letech zajisté dojde k vytvoření doporučení a stanovisek Úřadu pro ochranu osobních údajů i judikatury české i evropské.

Na činnosti Úřadu pro ochranu osobních údajů lze uvedený trend „usazování GDPR“ vypozorovat, kdy v prvním roce účinnosti GDPR působil úřad spíše jako rádce a konzultant a nyní ve svém postupu přitvrzuje adekvátně k době, která od účinnosti uplynula. Konzultační činnost úřadu zajisté ani do budoucna nebude upozaděna, nicméně lze na pokutách udělených v posledním zhruba půl roce pozorovat, že Úřad již přistupuje i k udělování pokut ve významnějších částkách.¹³⁾

Platí, že ten, kdo přípravu na příchod obecného nařízení nepodcenil, může dnes jen monitorovat situaci a upravovat své vnitřní procesy a předpisy dle potřeby. Kdo však v oblasti plnění povinností dle GDPR nemá zcela čistý štít, ten by měl tuto situaci urychleně dát do pořádku. Zdůrazňujeme však, že zákonem zakotvená „beztrestnost“ veřejné sféry v případě porušování obecného nařízení nijak nezbavuje správce a zpracovatele povinnosti plnit požadavky obecného nařízení!

První rok účinnosti GDPR pro oblast samosprávy lze zhodnotit veskrze pozitivně. Nevyplnily se katastrofické scénáře, které předpovídaly zahlcení úřadů žádostmi subjektů údajů a paralýzu jejich činnosti. Oblast ochrany osobních údajů zcela přirozeně nabývá na stále větší důležitosti i vzhledem k tomu, že digitalizace a elektronizace se nevyhýbá ani veřejné správě, ba právě naopak.

Na druhou stranu, u mnohých občanů si GDPR vybudovalo svou nesrozumitelností (vyvolanou do jisté míry absencí jakékoliv systematické informační kampaně pro občany) přesně opačnou pověst, než bylo jeho záměrem. Nelze se tedy divit, že běžného občana může oblast ochrany osobních údajů znechutit a občan pak může GDPR vnímat jako něco, co jej v zásadě jen obtěžuje a nutí jej neustále odklikávat a podepisovat nějaké obtěžující formuláře.

I přes výše uvedené nedostatky je potřeba jednotné evropské legislativy upravující zpracování osobních údajů nezpochybnitelná. Obecné nařízení je v těžké pozici, snaží se regulovat oblast, jejíž technologický vývoj bude vždy rychlejší než vývoj legislativy, navíc svým zněním musí pokrýt úpravu širokého spektra zpracování osobních údajů, a ještě se územní působností vztahuje na celou Evropskou unii i za její hranice, pokud např. správce osobních údajů usazený mimo unii provádí zpracování na území členských států. O to důležitější je výklad obecného nařízení v souladu se zásadami, na němž stojí, s rozhodovací praxí, která se začíná utvářet, a pokud je to aspoň trochu možné, tak zejména se zdravým selským rozumem.