OCHARNA OSOBNÍCH ÚDAJŮ

Ochrana osobních údajů - zpracování osobních údajů  
  Zpracování osobních údajů
Zpracování osobních údajů je jakákoli operace nebo soustava operací, které správce, tzn. subjekt, který určuje účel a prostředky zpracování osobních údajů nebo zpracovatel, tj. subjekt, který na základě zvláštního zákona nebo pověření správcem zpracovává osobní údaje, systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.

Správce provádí zpracování a odpovídá za něj a může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je může zpracovávat pouze v konkrétně stanovených případech (např. statistické a vědecké účely). Souhlasem subjektu údajů se rozumí svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Ze souhlasu musí být zřejmé, jaké osobní údaje smějí být zpracovány, musí z něj být patrno, kterému správci je dáván souhlas ke zpracování a vymezen jeho konkrétní účel. Souhlas musí také zahrnovat určení období, na které je dáván.

Provádí-li správce nebo zpracovatel zpracování osobních údajů za účelem nabízení obchodu nebo služeb subjektu údajů, lze pro tento účel použít jméno, příjmení a adresu subjektu údajů, pokud tyto údaje byly získány z veřejného seznamu nebo v souvislosti se svojí činností jakožto správce nebo zpracovatele. Správce nebo zpracovatel však nesmí uvedené údaje dále zpracovávat, pokud s tím subjekt údajů vyslovil nesouhlas. Toto ustanovení má sloužit všem těm, kteří si vedou seznam zákazníků, jimž chtějí dále nabízet zboží či služby. Nicméně v zájmu ochrany soukromí subjektu údajů platí, že pokud by subjekt údajů vyslovil písemný nesouhlas, nemohly by být takto dále údaje zpracovány.

Správce je povinen včas a řádně subjekt údajů informovat o tom, že o něm shromažďuje údaje, v jakém rozsahu a pro jaký účel, kdo je bude dále zpracovávat a pro jaký účel a komu mohou být zpřístupněny či komu jsou údaje určeny. Součástí této informace musí být též údaj o jeho sídle, případně o sídle zpracovatele. Další povinnosti správce a zpracovatele jsou uvedeny v § 11 zákona.

Ustanovení vymezující práva a povinnosti správců, zpracovatelů a dalších subjektů při zpracování osobních údajů tvoří nejdůležitější části zákona. Povinností správce je stanovit účel, k němuž mají být osobní údaje zpracovány. Je-li tato povinnost stanovena zákonem, nepřichází logicky v úvahu stanovení jiného účelu, resp. tento účel není třeba vůbec stanovit (např. advokát nebude muset zvláště stanovit účel dokumentace, kterou je povinen vést podle § 25 odst. 1 zákona o advokacii, vzhledem k tomu, že jejím účelem je evidovat poskytování právních služeb). Shromažďovat osobní údaje lze pouze ke stanovenému účelu (např. poskytování právní pomoci) a v rozsahu nezbytném k jeho naplnění. Dále musí být stanoveny prostředky a způsob zpracování údajů.

Zpracovávat lze toliko pravdivé a přesné osobní údaje získané v souladu s tímto zákonem a správce je povinen ověřovat jejich pravdivost a přesnost. Zjistí-li, že údaje nejsou s ohledem na stanovený účel pravdivé a přesné, zejména pokud tak namítne subjekt údajů, musí je blokovat a bezodkladně opravit a nemůže-li tak učinit, musí je zlikvidovat. Nepravdivé, nepřesné a neověřené údaje je možno zpracovávat jen stanoví-li tak zvláštní zákon, vždy pak musí být jako takové náležitě označeny a vedeny odděleně od ostatních (např. advokát nemůže vyloučit, že údaje, které zpracovává, budou pravdivé nebo přesné a je dokonce zřejmé, že mnohdy bude teprve postupně schopen zajistit tuto jejich kvalitu; ověřovat si je musí tak, aby mohl poskytovat právní služby na úrovni požadované zákonem o advokacii, který v tomto směru vymezuje účel, k němuž jsou osobní údaje zpracovány).

Zpracovávat lze osobní údaje toliko v souladu s účelem, k němuž byly shromážděny a k jinému účelu jen když dal k tomu subjekt údajů souhlas. Shromažďovat je možno údaje pouze otevřeně a je vyloučeno činit tak pod záminkou jiného účelu nebo činnosti. Zakázáno je konečně sdružovat osobní údaje k rozdílným účelům. Ze všech posléze uvedených povinností může stanovit výjimku zvláštní zákon.

Osobní údaje lze bez souhlasu subjektu zpracovávat pro účely statistické a vědecké. V tomto případě je třeba dbát, aby byla zajištěna jejich ochrana před neoprávněným zpracováním a byly anonymizovány, jakmile to bude možné s ohledem na účel, k němuž jsou zpracovány.

Speciální úprava platí pro zpracování údajů za účelem nabízení obchodu a služeb. Správce a zpracovatel mohou použít jméno, příjmení a adresu subjektu údajů, jestliže byly získány buď z veřejného seznamu (úředního i komerčního) nebo v souvislosti s činností správce či zpracovatele (např. ze smluv, soutěží, zákaznických karet). Pokud s tím však subjekt údajů vysloví nesouhlas (stát se tak musí písemnou formou), nesmí být jeho údaje dále zpracovány. Souhlas subjektu je dále třeba k tomu, aby k těmto údajům mohly být přiřazovány další osobní údaje.

Nechce-li správce údaje zpracovávat sám, může uzavřít smlouvu s dalším subjektem – zpracovatelem o zpracování osobních údajů (§ 6 zákona). To ovšem nepřichází v úvahu, pokud je zákonem výslovně stanoveno, že zpracování bude provádět subjekt odlišný od správce nebo pokud zákon vylučuje, aby byla taková smlouva uzavřena. Je třeba, aby smlouva měla písemnou formu a obsahovala zejména informace o tom, v jakém rozsahu, za jakým účelem a na jakou dobu je uzavírána, dále v ní musí zpracovatel poskytnout dostatečné záruky o technickém a organizačním zabezpečení osobních údajů; nebude-li výše uvedené skutečnosti smlouva obsahovat, je neplatná.

V zájmu zajištění práv subjektu údajů platí, že zpracovatel je povinen, zjistí-li porušování povinností správcem, jej na to upozornit a ukončit zpracování údajů. Jestliže tak neučiní, nese s ním solidární odpovědnost za případnou škodu a mimo to může být postižen za správní delikt podle § 46 zákona o přestupcích.

Subjekt údajů musí být předně včas a řádně informován o tom, že jsou o něm vůbec údaje shromažďovány, v jakém rozsahu a pro jaký účel atd. Subjekt musí tedy informaci dostat natolik včas a v takové podobě, aby mohl účinně hájit svá práva. Dále musí být poučen o tom, je-li podle zákona povinen údaje poskytovat a jaké důsledky nastanou, jestliže tak neučiní, za jakých podmínek může informaci odmítnout nebo zda poskytuje údaje dobrovolně a také o právu na přístup k osobním údajům a možnosti chránit svoje práva, poruší-li správce či zpracovatel povinnosti stanovené tímto zákonem. Nezískal-li správce údaj od subjektu, je třeba, aby jej, před dalším zpracováním, informoval o tom, kdo mu je poskytl, o druhu a obsahu údajů. Informace je třeba podat bez zbytečného prodlení, písemně a musí být srozumitelné.

Údaje nemusí správce poskytovat např., jestliže zpracovává osobní údaje výlučně pro účely výkonu státní statistické služby, vědecké nebo archivní účely a poskytnutí takových informací by vyžadovalo neúměrné úsilí nebo nepřiměřeně vysoké náklady, nebo pokud ukládání na nosiče informací nebo zpřístupnění je výslovně stanoveno zvláštním zákonem.

Zásadně je vyloučeno, aby rozhodnutí orgánu či jiný úkon (např. evidenční nebo registrační) byl učiněn, resp. vydán na základě výlučně automatizovaného zpracování, tj. bez verifikace, ledaže se tak činí ve prospěch subjektu údajů.

Další skupina povinností se vztahuje k zajištění bezpečnosti osobních údajů. Všichni správci a zpracovatelé musí přijmout opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, jejich změně, zničení, ztrátě, neoprávněným přenosům nebo jinému neoprávněnému zpracování či jinému zneužití. Tato povinnost stíhá všechny správce a trvá i po skončení zpracování.

Zaměstnanci správce a zpracovatele, jakož i jiné osoby zpracovávající osobní údaje na základě smlouvy, tak mohou činit jen v rozsahu a za podmínek, které jsou správcem (zpracovatelem) stanoveny.

Tyto osoby, jakož i další subjekty, které přicházejí do styku s osobními údaji v rámci plnění zákonem stanovených oprávnění a povinností musí zachovávat mlčenlivost jednak o osobních údajích, jednak o bezpečnostních opatřeních, pokud by jejich zveřejnění ohrozilo zabezpečení osobních údajů. Kromě toho je ovšem stíhá i povinnost podle zvláštních zákonů (např. § 21 zákona o advokacii). Uvedená povinnost však neplatí tam, kde je uložena informační povinnost, např. podle trestního zákona.