Novela vyhlášky o podrobnostech výkonu spisové služby

• Od 1. července 2023 je účinná vyhláška č. 96/2023 Sb., kterou se mění vyhláška č. 259/2012 Sb., o podrobnostech výkonu spisové služby, ve znění pozdějších předpisů.
• Novela vyhlášky o podrobnostech výkonu spisové služby obsahuje přes osm desítek změnových bodů – novela reaguje na změny zákona o archivnictví a spisové službě, jež přinesla jeho novela provedená zákonem č. 261/2021 Sb., kterým se mění některé zákony v souvislosti s další elektronizací postupů orgánů veřejné moci.
• Při implementaci požadavků novelizované vyhlášky o podrobnostech výkonu spisové služby je třeba zohlednit i problematiku ochrany osobních údajů, především při úpravách skartačního plánu a lhůt, procesů elektronické a fyzické skartace, nakládání s jmenným rejstříkem apod.
• Cílem novely o podrobnostech výkonu spisové služby je prostřednictvím zohlednění praktických zkušeností veřejnoprávních původců:
  • sjednocení výkonu spisové služby,
  • zjednodušení procesů spisové služby,
  • snížení administrativní zátěže v oblasti práce s dokumenty a spisy od jejich příjmu / vzniku, ukládání, formální úpravy, převádění dokumentů z digitální do listinné podoby a naopak, a vyřazování.
• Stěžejní změnové body výkonu spisové služby řešené novelou vyhlášky:
  • zavedení principů zjednodušujících příjem dokumentů,
  • označování dokumentů jednoznačným identifikátorem bez nutnosti připojování čísla jednacího,
  • zavedení pojmu „komponenta“,
  • snížení množství popisných metadat o evidovaném dokumentu či spisu,
  • sjednocení převodu dokumentů,
  • práce s dokumenty výhradně v rámci spisů,
  • jednotná tvorba spisů pomocí sběrného archu,
  • zavedení pojmu „typový spis“,
  • konkretizace požadavků na vedení jmenného rejstříku a práci s ním,
  • zpřesnění požadavků na spisový a skartační plán,
  • označování dokumentů pouze skartačními znaky „A“ a „S“ a zrušení skartačního znaku „V“.

Zásady zpracování osobních údajů v rámci whistleblowingu

• Zákon č. 171/2023 Sb., o ochraně oznamovatelů je účinný od 1. srpna 2023. V souvislosti s novými pravidly whistleblowingu (ochrany oznamovatelů) je nezbytné dodržovat základní zásady zpracování osobních údajů, tj. zejména:
  • osobní údaje oznamovatele lze shromažďovat pouze za legitimním účelem (zejména k prošetření oznámení) a zároveň pouze v nezbytném rozsahu;
  • osobní údaje oznamovatele nesmí být zavádějící, totožnost oznamovatele by měla být v případě pochybností ověřitelná;
  • od oznamovatele nelze vyžadovat žádné osobní údaje nad rámec naprosto nezbytných údajů pro účely oznámení;
  • oznamovatel má právo na přístup ke svým osobním údajům a může případně žádat jejich opravu vč. úprav obsahu oznámení;
  • osobní údaje oznamovatele musí být uloženy pouze po nezbytně nutnou dobu k prošetření oznámení, příp. dále po dobu nutnou pro související následné kroky, pokud se oznámení ukáže jako opodstatněné;
  • správce osobních údajů, který je příjemce oznámení, musí oznamovatele transparentně informovat o skutečnostech týkajících se zpracování jeho osobních údajů;
  • povinností správce osobních údajů je přijmout opatření zajišťující anonymitu oznamovatele vůči všem dalším osobám;
  • pokud se v předloženém oznámení objeví osobní údaje třetí strany, musí být respektována účelnost a přesnost zpracovávaných osobních údajů za současného ohledu na ostatní zmíněné zásady;
  • osobní údaje musí být uloženy bezpečně, přístup k nim mají pouze oprávněné osoby;
  • po naplnění účelu zpracování by měl příjemce a správce osobní údaje smazat.
• V rámci řešení problematiky ochrany oznamovatelů je doporučeno využívat oznamovací systém, který umožňuje zpracovávat data na jednom místě a v případě potřeby je snadno anonymizovat či smazat.

Třetí cloudová vyhláška vydaná NÚKIB

• K 1. červenci 2023 vstoupila v účinnost třetí z tzv. cloudových vyhlášek vydaných Národním úřadem pro kybernetickou a informační bezpečnost (NÚKIB) – vyhláška č. 190/2023 Sb., o bezpečnostních pravidlech pro orgány veřejné moci využívající služby poskytovatelů cloud computingu.
• Vyhláška č. 190/2023 Sb. zavádí požadavky, jejichž plnění musí orgán veřejné moci, resp. orgán veřejné správy zajistit, jestliže chce k zajištění provozu svého informačního či komunikačního systému, resp. informačního systému veřejné správy využívat služeb cloud computingu.
• Tato třetí cloudová vyhláška doplňuje vyhlášky č. 315/2021 Sb., o bezpečnostních úrovních pro využívání cloud computingu orgány veřejné moci a č. 316/2021 Sb., o některých požadavcích pro zápis do katalogu cloud computingu, které vstoupily v účinnost již 1. září 2021. Regulace využívání cloud computingu podle zákona o kybernetické bezpečnosti a podle zákona o informačních systémech veřejné správy je tedy již kompletní.

Dopad regulace cloud computingu na orgány veřejné správy

• Nová regulace cloud computingu řešená prostřednictvím tří cloudových vyhlášek č. 315/2021 Sb., č. 316/2021 Sb. a č. 190/2023 Sb. se vztahuje na všechny orgány veřejné správy včetně měst a obcí, pokud jsou služby cloud computingu používány k výkonu veřejné správy.
• Návod na posouzení, zda je subjekt možno podřadit pod definici orgánu veřejné správy vč. případných výjimek z regulace pro některé služby cloud computingu, je detailně popsán v Příručce právní regulace cloudu (https://publishing.nugisfinem.org/prirucka-pravni-regulace-cloudu/).
• K regulaci využívání cloud computingu orgány veřejné moci v zákoně o kybernetické bezpečnosti vydal Národní úřad pro kybernetickou a informační bezpečnost výkladový materiál (viz webové stránky NÚKIB www.nukib.cz).

Využívání cloudových služeb pro videokonference

• Orgány, instituce a jiné subjekty Evropské unie využívající při své práci nástroje pro videokonference musí dodržovat základní práva jednotlivců a pravidla ochrany údajů, a to i s ohledem na možnost předávání osobních údajů prostřednictvím nástrojů videokonference do zemí mimo Evropskou unii a Evropský hospodářský prostor.
• V první polovině července 2023 Úřad evropského inspektora pro ochranu osobních údajů (EDPS) vydal rozhodnutí, které potvrzuje, že využívání cloudových služeb pro videokonference společnosti Cisco Webex Soudním dvorem Evropské unie splňuje normy ochrany údajů podle nařízení 2018/1725 platné pro orgány, instituce a jiné subjekty EU, tj. je v souladu s právními předpisy o ochraně osobních údajů.

Problematika předávání dat do USA

• Evropská komise přijala Prováděcí rozhodnutí ze dne 10. července 2023 podle Nařízení Evropského parlamentu a Rady (EU) 2016/679 o odpovídající úrovni ochrany osobních údajů poskytované Rámcem ochrany soukromí mezi EU a USA.
• Rámec ochrany soukromí (Data Privacy Framework – DPF) představuje samocertifikační systém spravovaný americkým Ministerstvem obchodu a dozorovaný americkou Federální obchodní komisí a Ministerstvem dopravy. Americké soukromé společnosti, které se jako dovozci osobních údajů z EU, resp. EHP, přihlásí do programu Rámce ochrany soukromí, se zavazují dodržovat zásady programu, které jsou přílohou výše uvedeného rozhodnutí Evropské komise.
• Evropská komise došla k závěru, že účast dovozce osobních údajů v programu Rámce ochrany soukromí zajišťuje odpovídající úroveň ochrany osobních údajů podle čl. 45 Nařízení GDPR. Předání osobních údajů do USA společnostem zapsaným v programu Rámce ochrany soukromí je tedy možné realizovat za stejných podmínek jako jakékoliv jiné předání osobních údajů v rámci EU, resp. EHP (tj. předávání osobních údajů již nemusí být doprovázeno žádnými doplňujícími opatřeními).

Upozornění na zvýšené riziko ransomwarových útoků

• Národní úřad pro kybernetickou a informační bezpečnost upozorňuje na zvýšené riziko ransomwarových útoků vůči České republice.
• NÚKIB v posledních týdnech eviduje v českém kyberprostoru zvýšenou aktivitu kyberzločineckých skupin, které při svých útocích využívají tuto techniku. Jedním z častých způsobů útoku, jehož prostřednictvím získávají útočníci přístup do sítí obětí, je zneužívání zranitelností. Úspěšný průnik do systémů může mít za následek krádež dat ze systémů, jejich zašifrování a následné vydírání jak za účelem dešifrování dat, tak jejich zveřejněním ze strany útočníka.
• Podrobnosti k vydanému upozornění na zvýšené riziko ransomwarových útoků jsou uvedeny na webových stránkách NÚKIB https://nukib.cz/cs/infoservis/hrozby/1972-upozornujeme-na-zvysene-riziko-ransomwarovych-utoku/.

Pokuta za zpracování zdravotních údajů a cookies

• Francouzský dozorový orgán (CNIL) udělil společnosti Doctissimo dvě pokuty v celkové výši 380 tis. EUR (cca 9 mil. Kč) – pokutu ve výši 280 tis. EUR za porušení Nařízení GDPR, a to zejména za nedodržení povinnosti získat souhlas jednotlivců se shromažďováním a používáním jejich zdravotních údajů; a pokutu ve výši 100 tis. EUR za porušení pravidel týkajících se souborů cookies vyplývajících z francouzského zákona o ochraně údajů.
• Při stanovení výše pokut CNIL zohlednil povahu a závažnost porušení, kategorie osobních údajů (údaje o zdravotním stavu) a počet dotčených fyzických osob, jakož i finanční situaci společnosti.

Pokuta pro španělskou personální agenturu

• Španělský úřad pro ochranu údajů uložil pokutu 40 tis. EUR (cca 940 tis. Kč) personální agentuře za shromažďování údajů o etnickém původu a zdravotním postižení uchazečů z důvodu zlepšení vlastních služeb. Údaje o etnickém původu a zdravotním postižení personální agentura vyžadovala v rámci dotazníku, který byl sice dobrovolný, ale subjekty údajů neudělily s jeho zpracováním výslovný souhlas.
• Personální agentura požadavkem na vyplnění takto formulovaného dotazníku porušila čl. 9 odst. 2 písm. j) Nařízení GDPR, protože se mimo jiné nemohla odvolávat na „účely vědeckého výzkumu“.

Nejčastější pochybení při zpracování osobních údajů

• Úřad pro ochranu osobních údajů průběžně kontroluje (na základě každoročního kontrolního plánu, z podnětu jiného orgánu nebo na základě stížnosti nespokojeného zákazníka / konkurence) dodržování pravidel nakládání s osobními údaji. V rámci své činnosti se ÚOOÚ zpravidla zaměřuje na základní povinnosti, které jsou pro ochranu osobních údajů nezbytné, a ve kterých se stále nejvíce chybuje. Jedná se zejména o:
  • zpracování osobních údajů s řádným právním titulem (oprávnění vymezené v Nařízení GDPR);
  • účelové omezení a dobu uchovávání – užívání osobních údajů k účelům, za kterými byly získány nebo ke slučitelným účelům, a po dobu potřebnou k naplnění těchto účelů;
  • informační povinnost – řádné informování lidí o tom, jak se s jejich osobními údaji nakládá;
  • výkon práv – umožnění lidem vykonat jejich práva (např. nechat údaje vymazat);
  • zpracovatelskou smlouvu – uzavření zpracovatelské smlouvy se všemi náležitostmi stanovenými Nařízením GDPR;
  • zabezpečení osobních údajů – přijetí organizačních a technických opatření k zabezpečení osobních údajů;
  • řádné zapojení Pověřence pro ochranu osobních údajů do kontroly nakládání s osobními údaji.
• Součástí zpracovávání osobních údajů v souladu s Nařízením GDPR je i zpracování a vedení správné dokumentace. Pokud správce osobních údajů chce správně pracovat s osobními údaji, musí vědět „CO“ a „PROČ“ bude zpracovávat (jaký osobní údaj a k jakému účelu) a co ho ke zpracování osobního údaje opravňuje (právní důvod).
• Nejčastější chyby v dokumentaci bývají důsledkem špatného pochopení Nařízení GDPR, a/nebo snahy nahradit vše „papírem / souhlasem“. Dle závěrů kontrol provedených ÚOOÚ je souhlas mnohdy vyžadován nadbytečně – tedy v souběhu s jinými důvody pro zpracování osobních údajů.

Větší ochrana soukromí uživatelů datových schránek

• Vláda ČR podpořila poslanecký návrh pirátského vicepremiéra pro digitalizaci Ivana Bartoše, aby se proces zveřejnění datových schránek fyzických osob v adresáři datových schránek vč. adresy trvalého bydliště změnil na princip tzv. OPT-IN. Uživatel – fyzická osoba bez rozdílu, zda se jedná o nepodnikatele či živnostníka – bude muset se zveřejněním výslovně souhlasit, jinak se v seznamu neobjeví.
• Ochrana soukromí uživatelů datových schránek se bude týkat nejen vyhledávacího seznamu na webu mojedatovaschranka.cz, kde po zadání údajů systém vrátí odpovídající výsledky ze své databáze, ale také opendatového formátu uživatelů, z kterého bylo možné získat všechny údaje z dané kategorie datových schránek na jedno kliknutí.
• Poslanecký návrh s vydaným souhlasným stanoviskem vlády nyní míří do Poslanecké sněmovny. Hlasování se očekává začátkem léta, účinnost by v případě schválení připadla na září nebo říjen. Dále je uvažován tříměsíční odklad nezbytný z důvodu technických úprav informačního systému Datových schránek.

Podmínky náhrady nehmotné újmy při poškození subjektu údajů porušením GDPR

• Dle rozsudku Soudního dvora EU vydaného ve věci C-300/21 ze dne 4. května 2023 pouhé porušení Nařízení GDPR nezakládá automaticky nárok na náhradu nehmotné újmy. Právo na náhradu újmy stanovené v Nařízení GDPR je jednoznačně vázáno na splnění tří kumulativních podmínek, a to:
  • porušení Nařízení GDPR,
  • existence hmotné nebo nehmotné újmy vyplývající z tohoto porušení a
  • příčinná souvislost mezi újmou a porušením Nařízení GDPR.
• Soudní dvůr EU zároveň uvedl, že k přiznání nároku na náhradu újmy se nevyžaduje, aby utrpěná nehmotná újma dosáhla určité hranice závažnosti (tj. hranici závažnosti újmy stanovuje členský stát na základě svého právního řádu za dodržení podmínky zásad rovnocennosti a efektivity).
• Žaloba na náhradu újmy se tedy liší od jiných procesních prostředků stanovených v Nařízení GDPR, a to zejména těch, které umožňují uložit správní pokuty, u nichž není třeba prokázat existenci individuální újmy.

Problematika sledování zaměstnanců na pracovišti

• Monitoring zaměstnanců na pracovišti zahrnuje rozličné metody od jednoduchého hodnocení činnosti zaměstnance až po detailní sledování činností automatizovanými prostředky. Obecně akceptovaná skutečnost je, že monitoring zaměstnanců na pracovišti je standardně nezávislý na vůli (souhlasu) zaměstnance, tj. toto zpracování osobních údajů je založeno na tzv. oprávněném zájmu správce.
• Zaměstnavatel v pozici správce osobních údajů má legitimní (zejm. racionální, založený na objektivních skutečnostech a potřebách, obecně akceptovatelný a ospravedlnitelný) zájem na tom, aby monitoroval své zaměstnance. Vždy je ale nezbytné posoudit, zda nad oprávněným zájmem správce osobních údajů nepřevažují zájmy nebo základní práva a svobody subjektu údajů (zaměstnanců).
• Klíčovým parametrem pro zavádění nástrojů sledování zaměstnanců je tedy přiměřenost přijatých opatření a rozsahu zpracovávaných dat a zároveň prokazatelné seznámení zaměstnanců s prováděným monitoringem, jeho parametry a rozsahem.
• Problematika sledování zaměstnanců na pracovišti byla v nedávné době řešena v rámci logistického centra společnosti Amazon v dolnosaském Winsenu. Zaměstnanci tohoto logistického centra používají ruční scannery pro záznam některých pracovních kroků v rámci své činnosti. Tato data v podstatě mapují činnost zaměstnance v průběhu celé jeho směny v intervalech v řádu minut. Zaměstnavatel tak má přesný přehled o výkonech jednotlivých zaměstnanců, jež na jejich základě hodnotí, a také o plynulosti, případné přetíženosti nebo nadbytku kapacity v jednotlivých částech pracoviště jako celku.
• Dolnosaský úřad pro ochranu osobních údajů spatřoval v detailním mapování činností zaměstnanců logistického centra Amazon prostřednictvím ručních scannerů nelegální soustavný monitoring zaměstnanců a nařídil Amazonu, aby přestal ruční scannery používat. Proti tomuto kroku se společnost Amazon bránila žalobou u příslušného německého soudu, který jí dal zapravdu, protože oprávněným zájmem společnosti Amazon byla skutečnost, že minutové záznamy činnosti zaměstnanců jsou potřebné pro řízení logistických procesů ve skladu a zaměstnanci o tomto monitorování věděli (nejednalo se tedy o skryté sledování zaměstnanců).
• Toto rozhodnutí německého soudu lze považovat za novou definici hranice mezi zájmem zaměstnavatele na využití technologií pro zvyšování efektivity podnikání a zájmem zaměstnance na ochraně jeho soukromí.

Pokuta za neoprávněný sběr a uchovávání geolokačních údajů

• Francouzský dozorový úřad (CNIL) udělil pokutu za porušení Nařízení GDPR ve výši 125 tis. EUR společnosti Cityscoot zabývající se sdílením elektroskútrů.
• Pokuta byla společnosti Cityscoot udělala z důvodu neoprávněného sběru a uchovávání geolokačních údajů (údajů o poloze uživatelů elektroskútrů v intervalu 30 sekund) a předávání analytických dat společnosti Google. Dle rozhodnutí CNIL totiž předmětný rozsah zpracovávaných osobních údajů může potenciálně leccos prozradit o soukromém životě uživatelů, včetně jejich obvyklého denního režimu, často navštěvovaných místech či o veškerých zastávkách během dne.

Nejčastější stížnosti zaměstnanců v pracovněprávních vztazích podle ÚOOÚ

• Mezi nejčastější stížnosti patří neochota nebo ignorování žádostí na plnění práv podle Nařízení GDPR stávajících i bývalých zaměstnanců zaměstnavatelem. Nejčastěji se jedná o žádosti o výmaz. Samozřejmě platí podmínka, že výmaz lze provést pouze v případě, že ke zpracování těchto osobních údajů již neexistuje právní důvod, tedy především zákonná povinnost, nebo tomuto právnímu důvodu uplynula lhůta. Může se tedy jednat o osobní údaje, které již nejsou potřebné pro účely, pro které byly správcem shromážděny nebo jinak zpracovány.
• Stejně tak ÚOOÚ eviduje stížnosti na nezrušení pracovní e-mailové schránky v případě ukončení pracovního poměru se zaměstnancem a pokračování v dalším zpracování osobních údajů v rozsahu e-mailové adresy, která obsahuje jméno a příjmení zaměstnance. Pokud dochází k záměrnému přesměrování e-mailů na jiné zaměstnance zaměstnavatele a pokračující monitoring, dochází navíc i k porušování listovního tajemství.

Akty o digitálních trzích a o digitálních službách se dotknou i ochrany osobních údajů

• V rámci Evropské unie začala platit dvě nová nařízení Evropského parlamentu a Rady (EU), jejichž cílem je harmonizace pravidel digitálního prostředí v EU. Jmenovitě se jedná o Akt o digitálních trzích a Akt o digitálních službách.
• Akt o digitálních trzích (Digital Markets Act – DMA) účinný od 2. května 2023 cílí na regulaci trhů a chování platforem na nich. Nařízení se vztahuje na takzvané hlavní služby platforem, které poskytují nebo nabízejí strážci přístupu („gatekeepers“) podnikatelským uživatelům usazeným v EU nebo koncovým uživatelům usazeným či nacházejícím se v EU.
• Cílem Aktu o digitálních službách (Digital Services Act – DSA), který je účinný od 16. listopadu 2022, je posílit postavení a ochranu uživatelů on-line služeb, včetně nezletilých osob, a to tím, že určené subjekty budou mít povinnost vyhodnocovat a následně zmírňovat svá systémová rizika a zároveň budou muset zajistit spolehlivé nástroje pro moderování obsahu.
• Některé povinnosti vyplývající z výše uvedených nařízení se do jisté míry dotýkají i zpracování a ochrany osobních údajů. Strážce přístupu se konkrétně musí podle čl. 5 písm. a) Aktu o digitálních trzích zdržet:
  • kombinování osobních údajů získaných z určených hlavních služeb platforem s osobními údaji z jakýchkoliv jiných služeb nabízených strážcem nebo s osobními údaji ze služeb třetích stran, a
  • přihlašování koncových uživatelů k dalším službám strážce s cílem kombinovat osobní údaje, pokud nebyla koncovému uživateli předložena konkrétní možnost volby a nebyl poskytnut souhlas ve smyslu GDPR.
• Akt o digitálních trzích tedy vyžaduje OPT-IN souhlas koncového uživatele. Uplatní se přitom všechny požadavky, které na souhlas klade Nařízení GDPR, tj. souhlas musí být svobodný, informovaný, konkrétní, jednoznačný a musí být možné jej odvolat.

Zvýšení sankcí pro šiřitele neoprávněných obchodních sdělení

• Na základě kontrol a zjištění provedených v roce 2022 v oblasti šíření obchodních sdělení ÚOOÚ navýšil sankce za neoprávněné šíření obchodních sdělení, protože někteří šiřitelé jsou nepoučitelní.
• Dle zveřejněné statistiky ÚOOÚ ve druhém pololetí roku 2022 zdvojnásobil sankce uložené podnikatelům, kteří porušovali antispamová pravidla. Zatímco v prvním pololetí 2022 ÚOOÚ pravomocně ukončil 10 kontrol a rozdal pokuty ve výši 260 tis. Kč, ve druhém pololetí 2022 pravomocně ukončil 20 správních řízení a uložil pokuty za 568 tis. Kč.
• Na základě provedených kontrol týkajících se šíření obchodních sdělení lze obecně konstatovat, že i přesto, že samotná legislativa týkající se rozesílky obchodních sdělení je jednoznačně definována, nejčastějším problémem je rozesílání obchodních sdělení vědomě subjektům, o nichž rozesílatelé vědí, že jim daná obchodní sdělení zasílat nemají.

Facebook, Google či Microsoft musí začít označovat obsah vytvořený AI

• Velké on-line služby používající technologie umělé inteligence (AI) musí dle požadavku Evropské komise jasně označovat, zda obsah vytvořila umělá inteligence.
• Provozovatelé, kteří ve svých službách využívají generativní AI, jako je např. Facebook od Mety, Bard od Googlu či Bing od Microsoftu, musí vybudovat dostatečné pojistky, aby nepřátelské strany nemohly tyto on-line služby používat k vytváření dezinformací.
• Dle doporučení Evropské komise by provozovatelé on-line služeb, které mohou potenciálně šířit dezinformace vytvořené AI, měli implementovat technologie, které budou schopné takový obsah rozpoznat a jasně ho pro uživatele označit.

Pokuta udělená na základě procedury One-Stop-Shop

• Společnosti KG COM, která provozuje několik internetových portálů zaměřených na poskytování on-line jasnovideckých služeb prostřednictvím chatu nebo telefonu, byly uděleny dvě pokuty v celkové výši 150 tis. EUR za nesplnění povinností podle Nařízení GDPR a francouzského zákona o ochraně dat (konkrétně za nedodržení pravidel při používání souborů cookies). Společnost KG COM shromažďovala nadměrné množství dat vč. citlivých údajů (např. zdravotní údaje, informace týkající se sexuální orientace klientů atd.), a to bez předchozího a výslovného souhlasu a nezajistila dostatečnou bezpečnost dat.
• Společnost KG COM má zákazníky v několika členských státech Evropské unie, proto pokutu udělila francouzská národní komise pro informační svobody (CNIL) na základě spolupráce s dalšími evropskými dozorovými úřady v rámci procedury One-Stop-Shop (politika jednoho správního místa).

Rekordní pokuta za nezákonné předávání osobních údajů do USA

• Společnost Meta IE provozující i sociální síť Facebook obdržela na základě rozhodnutí Evropského sboru pro ochranu osobních údajů pokutu ve výši 1,2 miliardy EUR (cca 28,4 miliardy Kč) za neoprávněné nakládání s daty Evropanů. Jedná se zatím o největší pokutu v oblasti GDPR.
• Pokuta byla společnosti Meta IE udělena na základě šetření její služby Facebook ze strany irského úřadu pro ochranu údajů (IE DPA) za předávání osobních údajů do Spojených států amerických na základě standardních smluvních doložek (SCCs – Standard Contractual Clauses) z 16. července 2020. Porušení Nařízení GDPR společností Meta IE je velmi závažné, protože se týká převodů, které jsou systematické, opakující se a nepřetržité.
• V rámci udělené pokuty bylo společnosti Meta IE nařízeno uvést své zpracovatelské operace / přenosy dat do souladu s Nařízením GDPR tím, že do šesti měsíců ukončí nezákonné zpracování osobních údajů evropských uživatelů vč. uchovávání těchto údajů v USA.

Pořizování a uchovávání kopií výpisu z Rejstříku trestů zaměstnanců

• Zákoník práce (zákon č. 262/2006 Sb.) obsahuje relevantní ustanovení upravující problematiku zpracování osobních údajů zaměstnanců. Dle zákoníku práce zaměstnavatel nesmí od svých zaměstnanců vyžadovat informace, které bezprostředně nesouvisejí s výkonem práce a se základním pracovněprávním vztahem, tj. informace o sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách nebo hnutích, příslušnosti k církvi nebo náboženské společnosti.
• Informace o těhotenství, rodinných poměrech, majetkových poměrech a trestněprávní bezúhonnosti zaměstnance může zaměstnavatel vyžadovat, pouze pokud je pro to dán věcný důvod spočívající v povaze práce, která má být vykonávána, a je-li tento požadavek přiměřený, nebo v případech, kdy to stanoví zákoník práce nebo zvláštní právní předpis – jedná se tedy o pracovní pozice, ve kterých zákon vyžaduje trestní bezúhonnost zaměstnance.
• I v těchto případech je však třeba mít na paměti, že výpis z Rejstříku trestů je zaměstnancem zaměstnavateli předložen, nicméně zaměstnavatel není oprávněn tento doklad ukládat nebo pořizovat jeho kopii, pouze uvede v evidenci, že výpis z Rejstříku trestů byl předložen.
• V případě kontrolních orgánů, které v rámci své činnosti mohou trestní bezúhonnost ověřovat, mohou toto zajistit z moci úřední samy.

Metodika ke kamerovým systémům

• Úřad pro ochranu osobních údajů (ÚOOÚ) zahájil proces veřejné konzultace k materiálu Metodika k návrhu a provozování kamerových systémů z hlediska zpracování a ochrany osobních údajů.
• Cílem zpracovaného návrhu metodiky ke kamerovým systémům je snaha zajistit lepší orientaci správců a zpracovatelů osobních údajů, stejně jako dodavatelů kamerových systémů v povinnostech, které se týkají návrhů, zřízení a provozování kamerových systémů.
• Metodika se týká kamerových systémů (včetně fotopastí) se záznamem a také kamerových systémů v režimu on-line, které jsou zahrnuty do zpracování osobních údajů.
• Je navrženo zavedení řazení kamerových systémů do čtyř tříd, a to s návrhem minimálních technických a organizačních opatření a příkladem možného zpracování balančního testu. ÚOOÚ přivítá vyjádření k návrhům uvedeným v metodice, včetně upřesnění nebo lepšího zacílení parametrů.
• V případě některých kamerových systémů mohou metodiku doplnit i postupy vydané příslušnými ministerstvy (např. Ministerstva školství, mládeže a tělovýchovy pro školy nebo Ministerstva vnitra pro obce), které mohou upravovat některá specifika. Metodika neřeší kamerové sledování, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce nebo je zpracování nezbytné pro splnění právní povinnosti, která se na správce vztahuje.
• Materiál je dostupný na webových stránkách Úřadu pro ochranu osobních údajů https://www.uoou.cz/vismo/dokumenty2.asp?id_org=200144&id=56872.

Ochrana oznamovatelů (Whistleblowing)

• Poslanecká sněmovna schválila návrh zákona o ochraně oznamovatelů, který implementuje směrnici EU.
• Zpracování osobních údajů musí samozřejmě naplňovat všechny parametry zákonnosti zpracování, především minimalizace údajů, omezení účelem, omezení uložení a zpřístupnění osobních údajů, zabezpečení osobních údajů, transparentnost zpracování a právní důvod zpracování.
• Důležitým aspektem při zajištění povinností ochrany oznamovatelů plynoucích ze zákona je ochrana osobních údajů osob, které upozorní na protiprávní jednání, ale i osob, jichž se oznámení týká nebo jsou uváděni jako svědci. Je tedy nezbytné zabránit zneužití nebo úniku jejich osobních údajů a odhalení identity dotčených osob.
• Právo na ochranu identity v tomto případě tedy převyšuje právo třetích osob na přístup ke svým osobním údajům.
• Poskytnutí informací o totožnosti oznamovatele třetím osobám musí být vždy podloženo písemným souhlasem.
• Při zpracování osobních údajů osob uvedených v oznámení je nezbytné vždy respektovat pravidlo minimalizace osobních údajů, jejich přesnost a omezení účelem.
• Zpracování osobních údajů musí být omezeno lhůtou, po jejímž uplynutí dojde k výmazu nebo anonymizaci osobních údajů. Vždy se musí jednat o dobu nezbytnou k prošetření případu případně navazujících kroků. K výmazu musí dojít také v případě, že oznámení nesplňuje parametry zákona o ochraně oznamovatelů – především svým věcným zaměřením.
• Zpracování musí být evidováno formou Záznamu o činnostech zpracování podle článku 30 Nařízení GDPR.
• Nezbytnou podmínkou v případě využívání služeb externí společnosti pro zajištění povinností v oblasti ochrany oznamovatelů je také uzavření zpracovatelské smlouvy, která upřesňuje jakým způsobem bude docházet ke zpracování osobních údajů mezi subjekty a za jakých podmínek.

Doložení nepřítomnosti žáka lékařským potvrzením

• Úřad pro ochranu osobních údajů se zabýval případem, kdy základní škola požadovala po zákonném zástupci žáka doložení každé nepřítomnosti žáka z důvodu nemoci lékařským potvrzením. Ze stanoviska Ministerstva zdravotnictví plyne: „Základní a střední škola může požadovat, pokud to považuje za nezbytné, doložení nepřítomnosti žáka z důvodu nemoci ošetřujícím lékařem žáka, resp. praktickým lékařem pro děti a dorost, a to pouze jako součást omluvenky vystavené zákonným zástupcem nezletilého žáka nebo omluvenky vystavené zletilým žákem, a to pouze v případě, že nepřítomnost žáka ve škole přesáhne tři dny školního vyučování.“
• Z uvedeného je zřejmé, že prokazovat školskému zařízení každou jednotlivou návštěvu potvrzením poskytovatele zdravotních služeb žáka či studenta, není nezbytně nutné. Mimo situace, kdy nejde o jiné závažné skutečnosti, např. dlouhodobou nemoc, vysoce frekventované absence nebo jinou specifickou mimořádnou skutečnost, kdy se může jednat např. o odklad složení státních zkoušek z důvodu nemoci.
• Na tyto skutečnosti by mělo být pamatováno ve školním řádu školského zařízení a je potřebné, aby o něm byli poučeni studenti i jejich zákonní zástupci.

Výroční zpráva Úřadu pro ochranu osobních údajů za rok 2022

• Úřad pro ochranu osobních údajů provádí dozorovou činnost v oblasti ochrany osobních údajů upravenou především obecným nařízením a zákonem č. 110/2019 Sb., o zpracování osobních údajů. Ta spočívá v provádění kontrol, vedení správních řízení o pokutě či o nápravném opatření, případně v komunikaci se správci a zpracovateli, která zahrnuje i dopisy upozorňující na možné porušení právních předpisů.
• V roce 2022 přijal ÚOOÚ 2 192 podnětů a stížností v oblasti ochrany osobních údajů. Nejčastějšími podněty a stížnostmi byly:
  • výkon práv subjektů údajů dle článků 15 až 21 obecného nařízení (8%),
  • zveřejnění / zpřístupnění osobních údajů (10%),
  • obchodní sdělení a telemarketing (25%),
  • monitorování fyzických osob prostřednictvím kamer (10%).
• V roce 2022 přijal ÚOOÚ 313 ohlášení porušení zabezpečení osobních údajů. Jako nejčastější příčinu porušení zabezpečení osobních údajů ohlašovatelé uváděli kybernetický útok, nejčastěji ransomware, event. jiný typ externího útoku.
• Poskytovatelé zdravotních služeb:
  • Nejčastější příčinou porušení zabezpečení byla lidská chyba, nikoli systémové pochybení správce při zpracování osobních údajů, např. přeposlání zdravotní dokumentace jiné nemocnici, než do které měla být odeslána, ponechání žádanek na vyšetření pacientů na stole u otevřených oken za bouřky, neoprávněné nahlížení do zdravotní dokumentace ze strany lékařů, kteří z titulu svého pracovního zařazení neměli důvod do této dokumentace nahlížet a následně předali takto získané informace třetí straně.
  • Při zavádění nového informačního systému v rámci nemocnice byla volně přístupná dokumentace, obsahující přístupová hesla do systému. ÚOOÚ se aktuálně zabývá možným porušením povinností správce, neboť předmětný incident ze strany této nemocnice nebyl ÚOOÚ ohlášen.
• Nejčastější chyby při ohlašování porušení zabezpečení osobních údajů:
  • Správce osobních údajů nevyužije k ohlášení formulář k tomu určený na webové stránce ÚOOÚ a plní ohlašovací povinnost pouze formálně.
  • V ohlášení chybí informace o osobě, která činí ohlášení jménem správce, zda se jedná o Pověřence pro ochranu osobních údajů, nebo nejsou uvedeny kontaktní údaje na tuto osobu.
  • Správce není schopen popsat příčiny porušení, např. uvede pouze „ransomwarový útok“, „došlo k znepřístupnění dat“, „nelze pracovat s informačním systémem školy“, mnohdy je zaměňováno „porušení dostupnosti dat“ za „ztrátu dat“ popř. „zničení dat“.
  • Není uveden popis zjištěných účinků ani přibližný počet dotčených subjektů údajů ani přibližný počet dotčených záznamů osobních údajů.
  • Správce osobních údajů nezajistí informování dotčených subjektů o vzniklém porušení ochrany údajů.

Poskytnutí kopie výplatní pásky vedoucího zaměstnance

• Úřad pro ochranu osobních údajů v odvolacím řízení přezkoumával postup povinného subjektu v případě žádosti o kopii výplatní pásky vedoucího zaměstnance a dospěl k závěru, že zákon č. 106/1999 Sb., o svobodném přístupu k informacím nevylučuje, aby povinný subjekt omezil poskytnutí osobních údajů či údajů o soukromí fyzické osoby uvedených ve výplatní pásce i jiným adekvátním způsobem než anonymizací výplatní pásky, a to za předpokladu, že informační právo žadatele a účel zákona č. 106/1999 Sb. budou naplněny.
• ÚOOÚ zdůraznil, že při poskytování informací podle zákona č. 106/1999 Sb. je podstatný obsah informací, nikoliv hmotný nosič tohoto obsahu. ÚOOÚ proto neshledal rozpor s § 12 zákona č. 106/1999 Sb., pokud povinný subjekt poskytl žadateli informace z výplatní pásky vedoucího zaměstnance, jejichž vydání zákon nezapovídá, formou samostatného sdělení a současně v rozsahu vyloučených informací žádost odmítl.
• Vzhledem k účelu výplatní pásky, kterým je umožnit zaměstnanci kontrolu správnosti výpočtu příjmu v příslušném kalendářním měsíci a jeho zúčtování o zákonné a další odvody, a vzhledem k obsahu výplatní pásky jakožto písemného dokladu sestávajícího téměř výlučně z osobních údajů či údajů vypovídajících o soukromí zaměstnance, považuje ÚOOÚ takový způsob poskytnutí informace za přiměřený. Žadateli umožňuje účinné využití poskytnutých informací a současně je šetrnější k právu na ochranu osobních údajů a soukromí dotčené osoby.

Náklady za mimořádně rozsáhlé vyhledání požadovaných informací nepodléhají dani z přidané hodnoty

• Úřad pro ochranu osobních údajů ve stížnostním řízení posuzoval postup povinného subjektu, který žadatele vyzval k úhradě nákladů spojených s mimořádně rozsáhlým vyhledáním informací.
• Povinný subjekt tyto náklady vyčíslil podle sazebníku, podle něhož je k takto stanoveným nákladům třeba připočítat daň z přidané hodnoty.
• ÚOOÚ si v rámci posuzování stížnosti vyžádal stanovisko Ministerstva financí, načež dospěl k závěru, že takto stanovená výše úhrady je nesprávná, neboť náklady požadované po žadateli podle § 17 zákona č. 106/1999 Sb., o svobodném přístupu k informacím, nepodléhají dani z přidané hodnoty, jelikož nenaplňují definici úplaty vymezenou v § 4 odst. 1 písm. a) zákona č. 235/2004 Sb., o dani z přidané hodnoty.

Anketa Evropské komise k ochraně vlastní virtuální identity

• Obchodní model některých společností se z velké části zakládá na tom, že shromažďují vaše osobní údaje a sdílejí je se třetími stranami. Jedná se obvykle o platformy typu sociálních sítí, poskytovatele e-mailových schránek, vyhledávače a dodavatele softwaru. Údaje, které tyto společnosti sbírají, mohou přesahovat hranice toho, co s nimi aktivně sdílíte na svém veřejném profilu. Společnosti si též mohou udržovat přehled o vašich e-mailech, kalendáři, vyhledávání, místě výskytu, zprávách, stránkách, které vás zajímají, a skupinách, ve kterých jste zapojeni.
• Těmito údaji si podle vašich zájmů a preferencí utvářejí představu o vaší virtuální identitě. Tu potom mohou zpeněžovat v rámci cílené reklamy.
• Virtuální identita v sobě totiž nese informace, které na sebe uživatel internetu prozradil ve vyhledavačích, sociálních sítích, diskusích apod. Společnosti, které takové platformy provozují, se tak stávají zpracovateli obrovského množství osobních údajů a měly by jasně a srozumitelně definovat pravidla používání a informovat uživatele o zpracování osobních údajů.
• V praxi toto pravidlo představují výzvy k odsouhlasení všeobecných podmínek a nastavení ochrany osobních údajů. Těm však věnuje pozornost jen málokdo a vystavuje se tak riziku poskytnutí osobních údajů subjektu, jež bude s jejich osobními údaji nakládat v rozporu s jeho zájmy případně je bude i sdílet s třetími stranami. V neposlední řadě mnoho uživatelů neví, jak si svá nastavení ochrany upravit.
• Evropská komise provedla anketu, které se zúčastnilo 27 tisíc Evropanů, ze které vyplynulo, že většina uživatelů si nastavení ochrany svého soukromí ani nepokouší změnit – buď z důvěry, že sociální síť má ochranu soukromí přednastavenu přiměřeně, nebo třeba vinou skutečnosti, že si nastavení sami změnit neumí.

Zřízena pracovní skupina EDPB k ChatGPT

• Evropský sbor pro ochranu osobních údajů (EDPB) se rozhodl zřídit specializovanou pracovní skupinu na podporu spolupráce a výměnu informací o možných donucovacích opatřeních prováděných orgány pro ochranu osobních údajů v souvislosti s aplikací ChatGPT.
• Členové EDPB tak reagují na nedávné vynucovací opatření, které podnikl italský úřad pro ochranu osobních údajů proti společnosti Open AI ve vztahu k provozování služby Chat GPT.

GDPR snížilo e-shopům přístup k osobním údajům zákazníků o zhruba 30%

• ČTK: Díky zavedení pravidel ochrany soukromí GDPR přišli internetoví obchodníci a další internetové firmy zhruba o 30 procent dat o uživatelích. Úbytek způsobila povinnost zpracovávat osobní údaje pouze za účelem vyřízení objednávky a další sběr a využívání osobních údajů podložit souhlasem

Úprava zveřejněného seznamu majitelů datových schránek

• Povinnost vést veřejný seznam fyzických osob, podnikajících fyzických osob, právnických osob a orgánů veřejné moci, které mají zřízenu a zpřístupněnu datovou schránku, tzn. seznam držitelů datových schránek, který je přístupný způsobem umožňujícím dálkový přístup, je dána ustanovením § 14b odst. 1 zákona č. 300/2008 Sb., o elektronických úkonech a autorizované konverzi dokumentů, ve znění pozdějších předpisů. Tento seznam vede Digitální a informační agentura – v souladu s ustanovením § 2 odst. 2 tohoto zákona zřizuje a spravuje datové schránky a je zároveň správcem informačního systému datových schránek podle ustanovení § 14 odst. 2 tohoto zákona.
• Pokud fyzická osoba nesouhlasí s uvedením svých údajů ve veřejném seznamu držitelů datových schránek, podle ustanovení § 14b odst. 4 zákona o elektronických úkonech a autorizované konverzi dokumentů má právo na vymazání údajů z tohoto seznamu.
• Seznam držitelů datových schránek obsahující jejich osobní údaje, a to včetně celého jména a kompletní adresy trvalého bydliště, byl zveřejněn v březnu 2023. Seznam je zveřejněn nejen v podobě formuláře pro vyhledávání konkrétní datové schránky na stránkách www.mojedatovaschranka.cz, ale současně také v rámci systému tzv. „otevřených dat“ (seznam byl zveřejněn „způsobem umožňujícím dálkový přístup v otevřeném a strojově čitelném formátu“).
• Na základě dohody představitelů Úřadu pro ochranu osobních údajů a Digitální a informační agentury jsou ze systému otevřených dat odstraněny seznamy nepodnikajících fyzických osob, které byly dosud zveřejněny na webu Datových schránek a v Národním katalogu otevřených dat. Dále byla dohodnuta spolupráce při přípravě odpovídající úpravy stávající legislativy směřující ke zpřístupnění údajů o datových schránkách fyzických osob pouze uživatelům datových schránek.

Vliv GDPR na politiku řízení hesel

• Implementace GDPR je nezbytná i v oblasti bezpečnostních opatření, a to vč. politiky řízení hesel, tzv. password management (správce hesel).
• Základem zabezpečení osobních údajů a kybernetické bezpečnosti je používat do jednotlivých online účtů silná hesla a s heslem nakládat správným způsobem, a to jak v rámci využívané služby správce hesel, tak i v rámci své evidence hesel.
• Národní úřad pro kybernetickou a informační bezpečnost vydal doporučení jak zabezpečit online účty (viz https://nukib.cz/download/publikace/doporuceni/Doporuceni_bezpecny_pohyb_v_kyber_svete_plakat_cb.pdf):
  • Přístupy k pracovním i osobním účtům chránit silným heslem.U silného hesla zadávat alespoň 12 znaků a více, velká a malá písmena, číslice i speciální znaky a symboly.Pro každou službu používat jiné unikátní heslo.Nepoužívat online nástroje či služby pro kontrolu síly hesla.Využívat správce hesel pro méně významné online účty.Nesdílet přihlašovací údaje k vlastním účtům a službám.Využívat vícefaktorovou autentizaci u kritických služeb (zejména u elektronického bankovnictví, soukromého e-mailu a pracovního e-mailu).Oddělovat administrátorský účet od běžného.
  • Nepoužívat kontrolní otázky pro obnovení hesla.

Aktualizace doporučení ÚOOÚ k cookies liště

• Úřad pro ochranu osobních údajů (ÚOOÚ) aktualizoval doporučení, informace a základní pravidla pro nastavení a uživatelský přístup prostřednictvím cookies souborů. Informace a doporučení jsou určeny jak pro provozovatele webových rozhraní, tak i pro běžné uživatele.
• Aktualizovaná doporučení zveřejněná na webové stránce ÚOOÚ https://www.uoou.cz/cookie-listy-a-udelovani-souhlasu/ds-6912/archiv=1&p1=2611 obsahují informace k následujícím oblastem:
  • Co je potřeba dodržovat, pokud využívám cookies na svých webových stránkách?Musím mít za všech okolností cookies lištu?Musím získat souhlas uživatele s ukládáním všech cookies?Jaký je rozdíl mezi udělením souhlasu podle zákona o elektronických komunikacích a souhlasem podle obecného nařízení? Je třeba získávat dva samostatné souhlasy?Jaké jsou podmínky udělení souhlasu podle obecného nařízení?Jakým způsobem informovat uživatele o cookies při získávání souhlasu?Musím umožnit uživateli udělený souhlas odvolat?Je možné zpracovávat osobní údaje prostřednictvím cookies na základě oprávněného zájmu?Je možné, aby tlačítko „Přijmout vše“ mělo jinou barvu než „Odmítnout vše“? Je třeba, aby bylo tlačítko „Odmítnout vše“ vidět na první pohled? Je případně možné umístit jej až do Nastavení?Je možné mít v Nastavení předem zaškrtnuté ANO u analytických a marketingových cookies? Je potřeba informovat o všech jednotlivých cookies, které uživatel přijímá? Kde případně má být výpis umístěn?Mohu před udělením souhlasu s cookies bránit zákazníkovi v použití stránek?Pokud uživatel cookie lištu zavře, mohu to považovat za souhlas?
  • Jak dlouho je možné uchovávat souhlas s ukládáním cookies a kdy lze opětovně žádat o udělení souhlasu v případě jeho předchozího odmítnutí?

Veřejná konzultace k metodice legislativního DPIA

• V březnu 2023 Úřad pro ochranu osobních údajů zahájil veřejnou konzultaci k metodickému doporučení pro posouzení dopadů na ochranu osobních údajů u předloh právních předpisů. Metodická doporučení pro legislativní DPIA jsou zveřejněná na webových stránkách ÚOOÚ https://www.uoou.cz/metodika-pro-legislativni-dpia/ds-7270/archiv=1&p1=1257.
• Cílem je promítnout poslední novelu legislativních pravidel vlády, která zavedla podrobnější strukturu zhodnocení dopadů navrhovaného řešení ve vztahu k ochraně soukromí a osobních údajů. Dílčím cílem aktivit ÚOOÚ je také přepracování návodu k posouzení vlivu na ochranu osobních údajů u návrhů právních předpisů (DPIA) z roku 2019.

Dozorová akce EDPB – CEF 2023: Kontrola Pověřenců pro ochranu osobních údajů

• Evropský sbor pro ochranu osobních údajů (EDPB) zahájil koordinovanou dozorovou akci Coordinated Enforcement 2023 (CEF 23). Během letošního roku se do této akce zapojí 26 dozorových úřadů (DPA) Evropského sboru pro ochranu osobních údajů, a to včetně úřadu Evropského inspektora pro ochranu osobních údajů (EDPS). Společná dozorová akce je zaměřena na prověření úlohy a postavení Pověřenců pro ochranu osobních údajů v jednotlivých zemích evropského hospodářského prostoru (EHP).
• Zúčastněné dozorové úřady pro ochranu osobních údajů provedou v rámci CEF 2023 na vnitrostátní úrovni šetření, jehož cílem bude posouzení odpovídajícího postavení Pověřenců pro ochranu osobních údajů v jejich organizacích (viz čl. 37 až 39 Nařízení GDPR), a zda disponují dostatečnými zdroji pro plnění svých úkolů.
• Po ukončení akce CEF 23 budou výsledky koordinovaným způsobem analyzovány a dozorové úřady pro ochranu osobních údajů rozhodnou o případném dalším vnitrostátním dohledu a vynucovacích opatřeních.

DGA – Nařízení EU o správě dat z pohledu osobních údajů

• Sdílení osobních i neosobních dat v rámci zemí Evropské unie, kde budou pro tento účel vytvořeny zprostředkovatelské struktury, usnadní Nařízení Evropského parlamentu a Rady (EU) 2022/868 ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) 2018/1724, tzv. akt o správě dat – Data Governance Act (DGA). Toto Nařízení bylo publikováno v Úředním věstníku EU 3. června 2022 a nabyde účinnosti 24. září 2023.
• Doplňkem aktu o správě dat (DGA) bude akt o datech (Data Act, DA), který mimo jiné zavede povinné sdílení dat.
• V rámci českého právního řádu je gestorem DGA Ministerstvo průmyslu a obchodu, s výjimkou článků 3 – 9 DGA, jejichž gestorem je Ministerstvo vnitra, které připravilo věcný záměr zákona o správě dat veřejného sektoru.
• Úřad pro ochranu osobních údajů by měl – dle části 5.4 návrhu věcného záměru – udělovat sankce za porušení podmínek užití dat poskytnutých řízeným přístupem a působit jako odvolací instance pro přezkum rozhodnutí o neumožnění řízeného přístupu vydaných jednotným informačním místem.

ÚOOÚ prověří videa pražské městské policie

• Úřad pro ochranu osobních údajů prověří na základě jakých kritérií jsou pražskou městskou policií vybírána a publikována videa ze zásahů a incidentů a zda městská policie dostatečně používá techniky znemožňující identifikaci osob na publikovaných záznamech.
• V březnu 2023 pražská městská policie na svém facebooku totiž zveřejnila video, ve kterém uživatelé sociálních sítí identifikovali moderátora České televize Jakuba Železného.
• Dle vyjádření mluvčí pražské městská policie jsou videa ze zásahů a incidentů zveřejňována v souladu s právními předpisy o ochraně osobních údajů. V minulosti již byla pražská městská policie jako orgán veřejné moci kontrolována a je opětovně připravena pro případnou další kontrolu poskytnout potřebnou součinnost.

Poloha telefonu z pohledu GDPR

• Rakouský spolkový správní soud vydal převratné rozhodnutí o provozu a poloze mobilních zařízení z pohledu ochrany osobních údajů. Dle rozhodnutí soudu jsou údaje o provozu a poloze mobilních zařízení obzvláště citlivými údaji, jež vyžadují speciální a dodatečnou ochranu, ale i přesto nemohou být samostatně jako takové považovány za osobní údaje.
• Podle tohoto rozhodnutí může jeden z největších rakouských poskytovatelů mobilních služeb A1 odmítnout poskytování informací o provozu a poloze mobilních telefonů, neboť neexistuje validní a spolehlivý způsob, jak prokázat, že předmětné mobilní telefony nebyly užívány také jinou osobou.
• Evropské centrum pro digitální práva NOYB s tímto rozhodnutím nesouhlasí a podá proti němu příslušný opravný prostředek. Na základě odvolání NOYB bude případ posuzovat rakouský Nejvyšší správní soud.

Ukradená data z LastPass

• Společnost LastPass, která poskytuje službu správce hesel (password management), po půl roce přiznala, že jí byla odcizena zašifrovaná záloha hesel. LastPass informoval 33 miliónů svých uživatelů o odcizení řady důležitých a citlivých údajů.
• Společnost LastPass radí svým uživatelům změnit všechna svá hesla uložená ve správci hesel, u důležitých účtů zapnout dvoufázové ověření a v případě nedůvěry v služby poskytované společností LastPass přejít na jinou službu správce hesel, např. 1Password, Bitwarden, Dashlane, Keeper nebo KeePassXC.

Itálie zakázala ChatGPT

• Kvůli obavám z porušování ochrany osobních údajů Itálie jako první západní země zakázala s okamžitou platností chatovací robot ChatGPT, který je jedním z nejpoužívanějších chatovacích nástrojů na světě.
• Italské úřady oznámily, že prošetří činnost americké společnosti OpenAI, která za programem ChatGPT stojí. Není totiž jasné, za jakých právních podmínek sbírá a shromažďuje osobní údaje uživatelů a zda jsou uživatelé o těchto podmínkách informováni.
• ChatGPT je v současné době blokován v řadě zemí, např. v Číně, Íránu, Severní Koreji, Rusku atd.

Miliónová pokuta pro Ministerstvo vnitra

• Předseda Úřadu pro ochranu osobních údajů potvrdil pokutu uloženou Ministerstvu vnitra ve výši 975 000 Kč za plošné zpracovávání údajů o osobách, kterým byla z důvodu prokázaného onemocnění COVID-19 nařízena izolace.
• Případ se týkal přibližně 2 mil. lidí, kteří se onemocněním COVID-19 nakazili v období od 1. dubna 2021 do 8. března 2022. Policie ČR shromažďovala osobní údaje o zdravotním stavu osob plošně a preventivně bez vazby na konkrétní prošetřovaný případ, čímž překročila pravomoci, které jí pro nakládání s tímto typem osobních údajů stanovuje zákon č. 273/2008 Sb., o Policii České republiky.
• V rámci posuzovaného případu ÚOOÚ upozornil i na porušení dalších povinností, které měla Policie ČR v souvislosti se zpracováním osobních údajů dodržet, např. nebyla řádně splněna informační povinnost ve vztahu k osobám, jejichž údaje byly v souvislosti s prokázaným onemocněním COVID-19 shromažďovány a zpracovávány.

Potvrzení udělené pokuty za šíření obchodních sdělení

• Pokutu ve výši 1,4 mil. Kč uloženou rozhodnutím Úřadu pro ochranu osobních údajů v oblasti šíření obchodních sdělení potvrdil svým rozhodnutím Nejvyšší správní soud (viz https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=56829).
• Nejvyšší správní soud definitivně potvrdil dlouhodobý výklad ÚOOÚ ohledně odpovědnosti za šíření obchodních sdělení, a to že odpovědnost za šíření obchodních sdělení nese kromě samotného rozesílatele i ten, kdo takovou rozesílku ve svůj prospěch inicioval – ať už objednáním služby, udělením příkazu či jiného pokynu, a to včetně využívání affiliate partnerů nebo prostřednictvím nástrojů lead marketingu apod.
• Nejvyšší správní soud poznamenal, že odpovědnost je v tomto případě objektivní a osoba, v jejíž prospěch je obchodní sdělení šířeno tak odpovídá i za případný exces těchto rozesílatelů. Je proto nezbytné, aby si všichni šiřitelé obchodních sdělení, ať už jde o zadavatele (objednatele) či faktické rozesílatele, dostatečně ověřili, zda adresáti obchodních sdělení udělili pro takové zasílání souhlas, resp. v obecné rovině, zda rozesílka obchodních sdělení probíhá zákonným způsobem.

Lhůta pro zpracování osobních údajů v oblasti plnění opatření proti šíření koronaviru

• Při uchovávání osobních údajů a záznamů zpracovaných v rámci plnění opatření proti šíření koronaviru (tj. přehledů o provedených testech na pracovišti, očkování zaměstnanců, prodělaných onemocnění a další dokumentace obsahující osobní údaje zaměstnanců) je nezbytné ctít zásadu přiměřenosti a účelovosti sběru dat podle čl. 5 odst. 1 písm. e) Nařízení GDPR.
• Dle vyjádření Ministerstva zdravotnictví při stanovování délky uchovávání dat zpracovávaných v rámci plnění opatření proti šíření koronaviru lze vycházet z bodu VI. písm. a) mimořádného opatření Ministerstva zdravotnictví ze dne 5. 1. 2022, č.j. MZDR 461/2022-1/MIN/KAN, které z důvodu evidenčních a kontrolních účelů stanovovalo tuto lhůtu u testování zaměstnanců na 90 dnů. V kontextu toho, že toto opatření vycházelo z aktuální situace, lze považovat tuto lhůtu za plně dostačující.
• V současné době je tedy možné veškerou výše uvedenou dokumentaci zařadit do skartačního řízení.

Nová úprava DPIA – Posouzení vlivu na ochranu osobních údajů

• Od 1. dubna 2023 budou, na základě novely legislativních pravidel ukládající povinnosti normotvůrcům při tvorbě zákonů, vyhlášek a nařízení, upravena pravidla pro zpracování Posouzení vlivu na ochranu osobních údajů – Data Protection Impact Assessment (DPIA).
• Na základě požadavku Úřadu pro ochranu osobních údajů bude do legislativních pravidel vlády zavedena přesná struktura pro zpracování Posouzení vlivu na ochranu osobních údajů, tzv. legislativní DPIA. DPIA bude tedy nutné zpracovat u každého návrhu právního předpisu, včetně podzákonného, tj. nařízení vlády i vyhlášky.
• Podle § 10 zákona č. 110/2019 Sb., o zpracování osobních údajů, legislativní DPIA nahradí DPIA podle Nařízení GDPR, tj. vliv zpracování na ochranu osobních údajů se neposuzuje, byl-li posouzen jako součást obecného posouzení dopadů v souvislosti s přijetím právního předpisu / splněním právní povinnosti. Pro správce osobních údajů tak dojde od dubna 2023 k výraznému zjednodušení provádění DPIA.

Upřesnění výkladu práva subjektů údajů na přístup k informacím

• Výklad práva subjektů údajů na přístup k požadovaným informacím upřesnil v lednu 2023 Soudní dvůr Evropské unie. V rozsudku ze 12. ledna 2023 vydaném ve věci C-154/21 (https://curia.europa.eu/juris/document/document.jsf?mode=req&pageIndex=1&docid=269146&part=1&doclang=CS&text=&dir=&occ=first&cid=167) Soudní dvůr EU vyložil povinnost správce osobních údajů podle čl. 15 odst. 1 písm. c) Nařízení GDPR tak, že pokud si to subjekt údajů přeje, má právo na informace o konkrétních příjemcích svých osobních údajů, nikoliv jen o kategoriích příjemců osobních údajů – ledaže je nemožné identifikovat tyto příjemce nebo uvedený správce osobních údajů doloží, že žádost subjektu údajů o přístup je zjevně nedůvodná nebo nepřiměřená.
• Rozsudek Soudního dvora EU tedy stanovuje, že informace poskytované subjektu údajů na základě práva na přístup stanoveného v čl. 15 Nařízení GDPR musí být co možná nejpřesnější, tj. subjekt údajů musí mít možnost získat od správce osobních údajů na základě podané žádosti informace o konkrétních příjemcích, kterým byly nebo budou údaje zpřístupněny.

Evidence docházky zaměstnanců prostřednictvím biometrie

• Problematiku použití biometrie při evidenci docházky ze strany zaměstnavatele je nezbytné řešit i z pohledu ochrany osobních údajů, neboť otisky prstů jsou zvláštní kategorie osobních údajů.
• Zpracování otisku prstu představuje technické zpracování fyziologických znaků fyzické osoby, které umožňuje její jedinečnou identifikaci. Otisk prstu je biometrickým údajem ve smyslu čl. 4 písm. 14 Nařízení GDPR. Zpracování biometrických údajů podléhá ještě přísnější ochraně než běžné osobní údaje.
• Zaměstnavatel je při sběru a zpracování osobních údajů o zaměstnancích vázán jak zákoníkem práce, který upravuje soukromí zaměstnanců, tak i Nařízením GDPR a prováděcím zákonem České republiky č. 110/2019, o zpracování osobních údajů. Pokud zaměstnavatel chce zpracovávat údaj spadající do zvláštní kategorie osobních údajů (např. otisk prstu), musí k tomu mít některý ze zákonem stanovených důvodů a musí být připraven tento důvod jednoznačně prokázat, např. zpracování osobních údajů nezbytných pro zajištění a uplatnění právních nároků.
• Další možností je zpracování osobních údajů zaměstnanců vč. otisku prstů na základě uděleného výslovného souhlasu zaměstnanců. Použití souhlasu zaměstnance se zpracováním osobních údajů je v pracovních vztazích ve většině případech velmi problematické z důvodů závislostí vyplývající ze vztahu zaměstnavatel / zaměstnanec. Všeobecně je přijímán názor, že souhlas udělený v pracovní smlouvě lze jen těžko považovat za svobodný, protože zaměstnanec má enormní zájem na uzavření pracovního poměru a souhlas udělí právě proto, aby nebyl jako zaměstnanec odmítnut.

Čínský TikTok je bezpečnostní riziko

• Zaměstnanci Evropské komise musejí do 15. března 2023 odinstalovat čínskou aplikaci TikTok, a to nejen ze všech služebních zařízení, ale také ze soukromých, která jsou využívána i pro služební potřeby. Pokud tak neučiní, nebudou mít od následujícího dne přístup k interním systémům a informacím Evropské komise. „Od 15. března budou zařízení s nainstalovanou aplikací považována za nekompatibilní s podnikovým prostředím.“ uvádí se v nařízení. Komise dále uvedla, že je to poprvé, co pozastavila používání aplikace pro své zaměstnance.
• Evropská komise zakázala zaměstnancům používat čínskou aplikaci sociálních médií TikTok vzhledem k bezpečnostním rizikům, která jsou s touto aplikací spojena. Podle Evropské komise jsou čínské technologické společnosti propojeny s čínskými zpravodajskými službami a shromažďují obrovské množství dat z celého světa. Aplikace představuje významná kybernetická a datová rizika pro unijní exekutivu.
• Spojené státy americké zakázaly aplikaci TikTok pro všechna zařízení federální vlády z obav z potenciální čínské špionáže už v prosinci minulého roku. Několik států minulý týden také zavedlo vlastní omezení.
• Zdroj a více informací na internetových stránkách serveru Politico (www.politico.eu).

Kybernetické incidenty pohledem NÚKIB v lednu 2023

• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) v lednu 2023 evidoval více než dvojnásobný nárůst kybernetických incidentů oproti předchozímu měsíci. Drtivá většina z nich však z pohledu závažnosti spadala mezi méně významné, což je dáno především vysokým počtem zaznamenaných DDoS útoků, které zpravidla nemají významnější dopady. Významné incidenty byly registrovány pouze dva, zatímco velmi významné incidenty absentovaly.
• V lednu 2023 výrazně převažovaly incidenty u povinných osob dle zákona o kybernetické bezpečnosti, přičemž převážná většina zasažených subjektů spadá do sektoru veřejné správy.
• Nejpočetnějším typem incidentu se staly útoky na dostupnost, v rámci kterých převažovaly DDoS útoky na webové stránky obětí. V návaznosti na nárůst zaznamenaných DDoS útoků se NÚKIB věnuje technice T1498: Network Denial of Service s důrazem na možnosti mitigace. Za zvýšeným počtem DDoS útoků stála ruskojazyčná skupina NoName057(16), která v průběhu ledna zasáhla webové stránky více než desítky státních i soukromých subjektů.

Využívání služeb cloud computingu orgány veřejné správy

• V současné době stále více orgánů veřejné správy využívá služby cloud computingu.
• Cloud computing je podle zákona č. 365/2000 Sb., o informačních systémech veřejné správy a o změně některých dalších zákonů, definován jako „způsob zajištění provozu informačního systému veřejné správy nebo jeho části prostřednictvím dálkového přístupu k sdílenému technickému nebo programovému prostředku, který je zpřístupněný poskytovatelem cloud computingu a nastavitelný správcem informačního systému veřejné správy“.
• Koncem minulého roku nastala orgánům veřejné správy povinnost používat pou­ze služby cloud computing zapsané ve veřejném seznamu – katalogu Ministerstva vni­tra (https://www.mvcr.cz/clanek/egovernment-cloud.aspx?q=Y2hudW09NQ%3D%3D). Pokud tedy orgán veřejné správy začal mezi 1. září 2021 a 31. ledna 2022 využívat službu cloud computing nezapsanou v katalogu Ministerstva vnitra, musí její využívání ukončit, protože přestala platit první výjimka z cloudových vyhlášek č. 315/2021 Sb. a č. 316/2021 Sb.
• Tato regulace cloud computingu se vztahuje na všech­ny orgány veřejné správy včetně měst a obcí, pokud jsou služby cloud computingu používány k výkonu veřejné sprá­vy. Návod na posouzení, zda se subjekt řadí pod definici orgánu veřejné správy včetně případných výji­mek z regulace pro některé služby cloud computingu, je uveden v Příručce právní regulace cloudu (https://publishing.nugisfinem.org/prirucka-pravni-regulace-cloudu/).

Bezpečnost v rámci zákaznických věrnostních programů

• Dle výsledků průzkumu realizovaného společností Provident Financial téměř 95 % zákazníků využívá při nakupování věrnostní programy. V rámci věrnostního programu zákazníci využívají buď on-line aplikaci daného obchodu nebo fyzickou věrnostní zákaznickou kartu. Některé věrnostní karty lze použít napříč různými službami, od potravinových obchodních řetězců až po benzinové pumpy. Získaná data o zákaznících mohou obchodníci využít jak k vytvoření nabídky na míru daného zákazníka či k propagaci konkrétních produktů, tak i ke změně nákupního chování zákazníků.
• Využívání věrnostních programů však s sebou nese riziko možného úniku dat a detailního sledování chování zákazníků při nakupování, obchodníci se tak dostanou k informacím nejen o zákaznících, ale i nákupech vč. preferencí konkrétního zboží, které by bez využití věrnostního programu nezjistili. Z bezpečnostního pohledu nehraje roli, zda zákazníci využívají on-line aplikaci v mobilním telefonu či fyzickou věrnostní kartu – bezpečnostní problémy primárně souvisí se servery, kde jsou data uložena, ne se samotnou věrnostní kartou. Únik dat z věrnostních programů byl již několikrát v minulosti řešen, např. u věrnostního programu hotelového řetězce Radisson, hotelů Marriott, společnosti Dunkin’ Donuts, kanadského McDonald’s či letecké společnosti Lufthansa.
• Dle vyjádření bezpečnostních expertů lze čerpat výhody věrnostních programů, a přesto „sledování informací“ obchodníky obejít, a to sdílením věrnostní zákaznické karty s rodinou. Díky sdílení věrnostní karty bude systém znát údaje pouze registrované osoby, ale nákupní chování bude patřit několika lidem a obchodníci pak nebudou moci vytvořit profil konkrétního zákazníka.

Pokuta pro komunikační platformu Discord

• Za porušení pravidel GDPR udělil francouzský dozorový úřad (CNIL) komunikační platformě Discord pokutu 800 tis. EUR (cca 19,5 mil. Kč). Poskytovatelem této platformy je společnost Discord Inc. sídlící ve Spojených státech ame­rických.
• CNIL provedl rozsáhlou kontrolu dodržování GDPR, v rámci které shledal několik porušení, a to porušení zásady zákonnosti, nedostatečnou ochranu soukromí, nesprávný způsob ukončování videohovorů, nevyžadování silného hesla při založení účtu a neprovedení posouzení vlivu na ochranu osobních údajů.

Výše pokut za porušení GDPR v roce 2022

• V roce 2022 uložily evropské orgány dozoru nad ochranou osobních údajů v Evropě pokuty ve výši 2,92 miliardy EUR (cca 70 miliard Kč), což představuje 168 % nárůst oproti předchozímu roku.
• Nejvyšší pokutu ve výši 405 mil. EUR (cca 9,7 miliard Kč) uložil irský komisař pro ochranu údajů společnosti Meta Platforms Ireland Limited za různá pochybení v oblasti ochrany osobních údajů dětí.
• V České republice bylo v loňském roce nahlášeno celkem 301 porušení GDPR a byly uloženy pokuty ve výši téměř 600 tis. Kč. Od účinnosti Nařízení GDPR (květen 2018) Úřad pro ochranu osobních údajů uložil pokuty ve výši téměř 11 mil. Kč a bylo zaznamenáno celkem 1 573 oznámení případů porušení GDPR (průměrně cca 300 oznámení / rok).

Kontrolní plán ÚOOÚ pro rok 2023

• Úřad pro ochranu osobních údajů (ÚOOÚ) zveřejnil na svých webových stránkách kontrolní plán pro rok 2023 (https://www.uoou.cz/vismo/dokumenty2.asp?id_org=200144&id=56742).
• V letošním roce se ÚOOÚ v rámci své kontrolní činnosti zaměří na následující kontroly:
  • Kontrola zpracování osobních údajů dvěma soudními exekutory, kteří budou vybráni na základě stížností došlých na ÚOOÚ.
  • Kontrola systému Eurodac určeného pro srovnání otisků prstů žadatelů o azyl a některých kategorií ilegálních přistěhovalců. Kontrola, která bude provedena na Ministerstvu vnitra, bude zaměřena na nastavení odpovídajících procesů pro případ zpracování otisků prstů.
  • Kontrola zpracování osobních údajů zastupitelským úřadem (Ministerstvem zahraničních věcí) v rámci vízového procesu – kontrola bude zaměřena na pravidelný monitoring vízového procesu z pohledu ochrany osobních údajů, včetně provedení kontroly zpracování osobních údajů konkrétním konzulátem či velvyslanectvím. Při výběru konkrétního zastupitelského úřadu budou zohledněny statistiky počtu žádostí o schengenská víza, případné zapojení externího poskytovatele služeb do vízového procesu (provoz vízového centra), pandemická a mezinárodně-politická situace.
  • Kontrola rozsáhlého kamerového systému s biometrickými funkcemi – kontrola bude zaměřena na umístění kamer vybraného subjektu, na spravující orgány provozující tyto kamery a právní režimy, kterými se řídí zpracování osobních údajů.
  • Kontrola informačních systémů Policie ČR – kontrola bude zaměřena na kontrolu vybraného informačního systému Police ČR a dále na kontrolu zpracování osobních údajů v konkrétní databázi.
  • Kontrola zpracování osobních údajů vybraným významným zpracovatelem – kontrola bude zaměřena na plnění povinností Nařízení GDPR v pozici zpracovatele osobních údajů, a to především na případné zapojování dalších zpracovatelů, informování o změnách v zapojení dalších zpracovatelů, doložení způsobu projednání změn v oblasti zapojení dalších zpracovatelů se správcem atd.
  • Kontrola zpracování osobních údajů v souvislosti s telemarketingem – kontrola vybrané společnosti zabývající se telemarketingem bude provedena ve spolupráci s Českým telekomunikačním úřadem. Kontrola bude primárně zaměřena na to, zda kontrolovaný subjekt disponuje titulem pro zpracování osobních údajů a zdali dostatečně plní svoji informační povinnost vůči subjektům údajů.
  • Kontrola osobních údajů zpracovávaných zaměstnavateli v rámci docházkových systémů – první část kontroly bude realizována formou dotazníku, který bude rozeslán vytipovaným správcům osobních údajů (zaměstnavatelům). Dotazník bude zaměřen na získání základního přehledu o tom, jaký rozsah a kategorie osobních údajů v rámci docházkového systému správci zpracovávají. Po vyhodnocení dotazníku budou vytipováni konkrétní správci, u kterých proběhne kontrola.
  • Kontrola zpracování osobních údajů vybraných společností – kontrola bude zaměřena především na databázi a na to, jaké databáze společnost vytváří, z jakých zdrojů jsou čerpány osobní údaje, zdali společnost disponuje právním titulem pro zpracování osobních údajů v rámci těchto databází, jakým způsobem plní informační povinnost a jakým způsobem probíhá výkon práv subjektů údajů.
  • Kontrola zpracování osobních údajů v souvislosti s vydáváním občanských průkazů (v rámci Ministerstva vnitra) – kontrola se zaměří na proces zpracování osobních údajů od podání žádosti o vydání občanského průkazu až po jeho vyhotovení, a to včetně zmapování zapojených subjektů, kteří se na zpracování osobních údajů podílejí.
  • Kontrola nastavení zpracování osobních údajů podnětů fyzických osob – kontrola bude zaměřena na nastavení doby uchování osobních údajů, plnění informačních povinností vůči subjektům údajů, výkon práv subjektů údajů a zapojení pověřence pro ochranu osobních údajů.
  • Kontrola využívání sociálních sítí ministerstvy – kontrola bude provedena formou dotazníku, kterým bude osloveno několik ústředních orgánů státní správy využívajících pro kontakt s veřejností sítě Twitter, Facebook, Instagram, Youtube, Linkedin a síť Mastodont. Kontrola se zaměří na dodržování zásad zpracování osobních údajů podle Nařízení GDPR včetně kontroly nad celým řetězcem operací prováděných s osobními údaji zaměření a na informování subjektu údajů a oboustrannou komunikaci s nimi.
  • Koordinovaná kontrolní akce (v rámci EDPB Coordinated Enforcement Framework) – ÚOOÚ se bude v roce 2023 spolu s dalšími evropskými dozorovými úřady podílet na koordinované kontrolní akci týkající se postavení pověřenců pro ochranu osobních údajů.
  • Kontrolní akce oddělení obchodních sdělení u dvou vybraných společností v oblasti šíření obchodních sdělení – kontrola bude zaměřena na dodržování podmínek při šíření obchodních sdělení prostřednictvím SMS zpráv.

Anonymizace IP adresy

• Při síťovém provozu se zařízení připojují za užití IP adres a v rámci komunikace jsou zaznamenávány adresy jak odesílatele, tak recipienta. Z pohledu GDPR je IP adresa osobním údajem.
• IP adresa je série číslic, sloužící k jedinečné identifikaci zařízení připojeného k síti internet. Skládá se ze dvou částí – identifikace sítě, která určuje geografickou lokalizaci sítě, a „Host ID“ přesně určující konkrétní zařízení.
• V případě potřeby lze IP adresu jako osobní údaj anonymizovat. Anonymizaci IP adresy lze zapnout v řadě nástrojů, kdy poslední část IP adresy je odstraněna a analytický skript tak nemá k dispozici kompletní údaj o návštěvníkovi stránek. Je ale nezbytné dávat pozor na geografickou lokalitu, kde k anonymizaci dochází. Google nedávno spustil adresy region1. google-analytics.com a region1.analytics. google.com pro sběr analytických dat skrz servery v EU, což by tento problém mělo řešit.

Problematika ochrany osobních údajů na sociálních sítí

• Zpracování osobních údajů na sociálních sítích (Facebook, Instagram, LinkedIn) je z mnoha pohledů problematické a velmi často dochází k porušování zásad GDPR.
• Při použití osobních údajů ze sociálních sítí je nezbytné dbát zejména na tato doporučení:
  • Zpracování osobních údajů ze sociální sítě musí být pokryto některým z legitimních účelů zpracování dle Nařízení GDPR.
  • Osobní údaje ze sociální sítě musí být získány na základě některého z platných titulů Nařízení GDPR (jedná-li se o souhlas, musí být proveden zcela jasným a konkrétním úkonem v souladu se zásadou OPT-IN).
  • Subjekt údajů musí být řádně informován.
  • Použití osobních údajů ze sociální sítě by mělo být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou data zpracovávána.
  • Po celou dobu musí být data zpracovávána způsobem, který zajistí náležité zabezpečení osobních údajů. Data musí být uložena pouze po nezbytně nutnou dobu jejich zpracování.

Využívání obrazových dat uložených na cloudu k trénování umělé inteligence

• V současné době většina uživatelů využívá cloudové služby pro ukládání obrazových dat (fotografií, ilustrací, videí) a textových souborů. Mnoho uživatelů bohužel nevnímá, že využíváním cloudových služeb s sebou přináší i ztrátu kontroly nad svými daty. Např. společnost Adobe využívá data na cloudu k trénování umělé inteligence (AI) – uživatelé Adobe v podmínkách služby Creative Cloud mohou odsouhlasit používání obsahu uloženého na cloudové službě k trénování algoritmů umělé inteligence. Toto se týká pouze dat na cloudu, pokud uživatel v aplikacích Adobe zpracovává lokálně uložená data, toto využití se ho netýká.
• Společnost Adobe byla kritizována za to, že o tomto sdílení dat uživatele dostatečně neinformuje (informace o využívání uložených obrazových a textových dat je dostupná přes nastavení účtu), a že ve výchozím nastavení je tato volba povolená a nikoli naopak.

Zveřejnění účetní závěrky ve sbírce listin v anonymizované verzi

• K často porušované povinnosti patří povinnost založit účetní závěrku do sbírky listin. Společnosti mají dle zákona č. 304/2013 Sb., o veřejných rejstřících právnických a fyzických osob, povinnost založit účetní závěrku do sbírky listin do 30 dnů od schválení účetní závěrky nejvyšším orgánem společnosti a zároveň nejpozději do 12 měsíců od rozvahového dne (v rámci standardního účetního roku je nejzazším termínem pro založení účetní závěrky 31.12.).
• Mnohé společnosti nechtějí vkládat účetní závěrku do sbírky listin z důvodu citlivých údajů obsažených v účetní závěrce a/nebo z důvodu toho, že zveřejněním některých údajů nechtějí poskytnout výhodu konkurenci. Za nezveřejnění účetní závěrky ve sbírce listin může ale společnost obdržet pokutu až ve výši 3 % z netto hodnoty aktiv.
• Problematikou zveřejňování účetních závěrek ve sbírce listin se vloni zabýval i nejvyšší soud – dle jeho rozhodnutí (viz usnesení sp. zn. 27 Cdo 2536/2021) mají společnosti povinnost zakládat účetní závěrky do sbírky listin, ale vybrané citlivé údaje mohou anonymizovat z důvodu ochrany svých zájmů. Při anonymizaci účetní závěrky musí být společnost připravena odůvodnit, proč by jí zveřejnění konkrétního údaje mohlo přivodit újmu.

ČTÚ udělil první pokutu za telemarketing

• Koncem roku 2022 Český telekomunikační úřad (ČTÚ) udělil první pokutu ve výši 420 tisíc Kč za nevyžádaný telemarketing. Pokuta byla udělena jednomu subjektu za spáchání přestupku spočívajícího v obtěžování marketingovou reklamou, a to za 21 dílčích útoků (volání). Rozhodnutí zatím není pravomocné.
• Zákaz nevyžádaných telefonátů, tzv. nevyžádaného telemarketingu platí od poloviny loňského roku, kdy vzešla v platnost novela zákona o elektronických komunikacích.
• ČTÚ od 1.7.2022 obdržel přes 800 stížností na nevyžádané marketingové volání. Bohužel řešení přijatých stížností komplikuje řada okolností, jako např. nekompletní stížnosti podavatelů či prováděný telemarketing z anonymních předplacených karet nebo ze zahraničí. Za nevyžádaný telemarketing může ČTÚ udělit pokutu až ve výši 50 milionů Kč nebo do výše 10 procent z čistého obratu pachatele přestupku dosaženého za poslední ukončené účetní období.

Únik dat ze společnosti Microsoft

• Společnost Microsoft zavinila obrovský únik dat, na který v říjnu 2022 upozornila antivirová společnost SOCRadar – došlo k úniku dat 65 tisíc obchodních společností, orgánů státní správy a dalších institucí v celkem 111 zemích světa. K bezpečnostnímu incidentu došlo v důsledku nesprávně nastaveného serveru Azure Blob spravovaného společností Microsoft.
• Únik dat se týkal i českých obchodních společností, orgánů státní správy a dalších institucí, např. Ministerstva vnitra ČR, Ministerstva financí ČR, Armády ČR, Všeobecné zdravotní pojišťovny, společnosti T-Mobile a České spořitelny. Podle vyjádření České spořitelny a T-Mobilu nedošlo k úniku osobních údajů klientů. Ministerstvo financí ČR uvedlo, že došlo jenom k minimálnímu úniku veřejně dostupných údajů týkajících se samotného resortu, údaje však nejsou citlivé a podle ministerstva jsou již neplatné.

Pokuta pro Google za sledování polohy

• Společnost Google obdržela pokutu ve výši 85 milionů dolarů (cca 2 miliardy Kč) za sledování polohy uživatelů systému Android v americkém státě Arizona. Google sledoval uživatele v Arizoně a dalších amerických státech (Texasu, Indianě a Washingtonu D.C) i přes to, že uživatelé měli sdílení polohy vypnuté, tj. odmítli ve svém zařízení polohové služby. Předpokládá se, že i ostatní „postižené“ členské státy USA udělí společnosti Google pokutu za neoprávněné sledování polohy.
• Soudní rozhodnutí státu Arizona je průlomové a slouží jako varování i pro evropské země, neboť se dá předpokládat, že společnost Google provozuje nekalé praktiky i v evropských státech.

Pokuta společnosti Meta IE za behaviorální reklamu

• Irský úřad pro ochranu údajů (IE DPA) udělil společnosti Meta Platforms Ireland Limited (Meta IE), která provozuje internetové sociální platformy Facebook a Instagram, pokutu ve výši 390 milionů EUR (pokuta pro Facebook 210 mil. EUR a pokuta pro Instagram 180 mil. EUR) za netransparentnost zpracování osobních údajů klientů pro tzv. behaviorální (zájmovou) reklamu. Tato pokuta byla udělena společnosti Meta IE na základě šetření stížností na aktivity Facebooku a Instagramu, a to zejména ve vazbě na zákonnost a transparentnost zpracování osobních údajů klientů pro behaviorální reklamu.
• Evropský sbor pro ochranu osobních údajů (EDPB) přitom výši pokuty udělenou irským dozorovým úřadem ještě násobně navýšil. Dle vyjádření EDPB behaviorální reklama není nezbytná pro plnění domnělé smlouvy s uživateli Facebooku a Instagramu. Společnost Meta IE se nevhodně spoléhala na smlouvu jako právní základ pro zpracování osobních údajů v kontextu smluvních podmínek Facebooku a Instagramu pro účely behaviorální reklamy, protože to nebyl hlavní prvek služeb. Meta IE postrádala právní základ pro toto zpracování, a proto tyto údaje zpracovávala nezákonně.
• Toto rozhodnutí EDPB může mít důležitý dopad i na další platformy, které mají behaviorální reklamy v centru jejich obchodního modelu.

Zpracování osobních údajů v Katastru nemovitostí

• Právním důvodem pro zpracování osobních údajů v Katastru nemovitostí je zákon č. 256/2013 Sb., o katastru nemovitostí (katastrální zákon). Ten také definuje rozsah zpracovávaných osobních údajů a to včetně rodného čísla vlastníka nemovitosti. Rodná čísla mohou obsahovat také dokumenty, na jejichž základě jsou do Katastru nemovitostí zapisována práva či povinnosti právního subjektu ve vztahu k nemovité věci. Tyto dokumenty jsou evidovány ve sbírce listin, přičemž tato sbírka je součástí Katastru nemovitostí.
• Katastr nemovitostí je veřejným seznamem, do kterého je v zásadě kdokoliv oprávněn nahlížet, pořizovat si z něj pro svou potřebu opisy, výpisy nebo náčrty a získávat z něj údaje ze sbírky listin, pokud není stanoveno jinak. Přístup k některým informacím je podmíněn identifikací zájemce o informace a je formálně upraven. Tedy i zpřístupňování rodných čísel je výkonem veřejné moci prováděným na právním základě dle GDPR, tj. bez souhlasu nositele rodného čísla.
• Obecně jsou informace, které obsahuje Katastr nemovitostí veřejně přístupné z titulu zásady publicity, tedy veřejné kontroly obsahové a věcné správnosti informací v Katastru evidovaných. S informacemi získanými z Katastru nemovitostí však nelze nakládat jinak než k naplnění účelů uvedených v katastrálním zákoně, a to bez ohledu na to, zda tyto informace mají charakter osobních údajů či nikoliv.
• Užití a šíření informací získaných z Katastru nemovitostí v rozporu s katastrálním zákonem může být posouzeno jako správní delikt, který projednává v prvním stupni Katastrální úřad. Pokud použití rodného čísla nestanoví zákon, nemůže osoba, která rodné číslo z Katastru nemovitostí získala, s tímto rodným číslem bez souhlasu jeho nositele nakládat.
• Nakládání s rodným číslem jiné osoby v rozporu se zákonem o evidenci obyvatel fyzickou osobou může být posouzeno jako správní delikt, který projednává obec s rozšířenou působností. Neoprávněné nakládání s rodným číslem právnickou osobou projednává Úřad pro ochranu osobních údajů.
• Použití listiny, která rodné číslo obsahuje, není nakládání přímo s rodným číslem. Je-li listina získaná z Katastru nemovitostí použita za legitimním účelem, nejde o neoprávněné nakládání s rodným číslem.

Zpracování telefonních čísel a e-mailových adres

• Veřejné úřady v rámci státní správy i samosprávy, školská zařízení apod. mohou v souladu s GDPR zpracovávat pouze takové osobní údaje, které jsou nezbytné pro plnění svěřených agend a jako takové jsou většinou zákonem výslovně stanoveny.
• Co se týče kontaktních údajů typu mobilního čísla či e-mailu, zpravidla slouží tyto údaje k urychlení kontaktu s občanem v rámci vyřizování věci. Pokud veřejné úřady či samospráva umožní občanovi v rámci vyřizování jeho věci spolu s adresou sdělit nepovinně i další kontaktní údaje, nejde o porušení zásady minimalizace a takové osobní údaje lze zpracovávat, tj. neaplikuje se souhlas.
• Neuvedení nepovinných kontaktních údajů (telefonní číslo, e-mail) nesmí být překážkou učinění podání či přístupu občana k orgánu veřejné moci.

Monitorování okolí skládky obcí

• Monitoring úzce vymezené části veřejného prostranství, kde jsou umístěny kontejnery na odpad či monitoring části pozemků s černými skládkami, je věcí veřejného pořádku i oprávněnou ochranou majetku obce.
• Je však nezbytné o takovém zpracování osobních údajů informovat subjekty údajů a omezit jejich užití výlučně pro projednání přestupku a náhrady způsobené škody, nikoliv svévolného zveřejnění, např. na internetu.

Hodnocení učitelů na internetu

• Ochrana osobních údajů nebrání přiměřenému a slušnému publikování údajů o činnosti veřejně známých osob, včetně kritiky, mezi něž učitelé nepochybně náleží, a to i na internetu.
• Provozovatel internetových portálů umožňujících nějak hodnotit a komentovat učitele má povinnosti nejen jako správce osobních údajů, ale zejména jako poskytovatel služeb informační společnosti podle zákona č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů. Nese tedy konečnou odpovědnost za zveřejňované údaje, musí se řádně věnovat případným námitkám učitelů (osob dotčených zveřejňováním údajů) a rozhodnout o jejich žádosti o odstranění údajů.

Informační systém k přijímání prvňáčků do základní školy

• Proces přijímacího řízení je souborem úkolů vyplývajících ze zákona č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání (školský zákon) a prováděcí vyhlášky č. 48/2005 Sb., o základním vzdělávání a některých náležitostech plnění povinné školní docházky, na kterém se podílí jak obec, tak i škola.
• Dle ustanovení § 36 odst. 8 školského zákona úřad obce, na jejímž území je školský obvod základní školy, poskytuje této škole s dostatečným předstihem před termínem zápisu k povinné školní docházce seznam dětí, pro které je tato škola spádová a jichž se týká povinnost podle odst. 4 školského zákona. Seznam obsahuje vždy jméno, popřípadě jména, a příjmení, datum narození a adresu místa trvalého pobytu dítěte, v případě cizince místo pobytu dítěte.
• Pokud zřizovatel (obec) provozuje informační systém k přijímání prvňáčků (tedy pro účely započetí uskutečňování povinné školní docházky, tj. plnění shora uvedených úkolů), jedná se o vztah dvou správců, kteří údaje zpracovávají pro jimi stanovené účely (úkoly). Zřizovatel nese zároveň i odpovědnost za jím vytvořený informační systém, zejména za jeho zabezpečení.

Reportážní a propagační fotografie učitelů, dětí, rodičů a dalších příbuzných nebo i náhodných návštěvníků

• V případech pořizování a zveřejňování reportážních fotografií z činnosti školy (např. situační záběry z vyučování, soutěží, dílen, veřejných vystoupení žáků apod.) se nejedná primárně o problematiku ochrany osobních údajů, ale o ochranu soukromí, tj. o postup podle ustanovení § 84 a násl. občanského zákoníku, která upravují pořizování a používání podobizny.
• Souhlas se zpracováním osobních údajů k „ilustračním“ snímkům tedy není třeba vyžadovat. Získání svolení zákonných zástupců dítěte se šířením jeho podoby podle § 85 občanského zákoníku lze však zejména v případě zveřejňování detailních záběrů na internetu doporučit.
• Jsou-li fotografie zveřejněny v souladu s občanským zákoníkem, není porušením povinností při zpracování osobních údajů ani připojení stručných doprovodných informací v tisku či na webu školy zveřejněných z důvodu propagace slušného chování a šíření povědomí o vhodných, správných a slušných způsobech společenského chování a mezilidských vztahů v rámci školní výuky i výchovy mimoškolní. Jedná se obvykle o kratší zprávy jako např. „Hanička s Evičkou nám pomohly vyzdobit třídu.“, „Vojtěch Novák z 8. C získal pěkné druhé místo na chemické olympiádě.“ či „Starosta města poděkoval našemu žáku Liboru Novákovi za příkladné chování v situaci, kdy na koupališti zachránil tonoucí spolužačku.“ Přirozeně všechny takové popisy mohou být doprovázeny fotografií.
• Obdobnými situacemi mohou být prezentace výrobků a výkresů žáků s uváděním jejich jmen. Uvedené informace je nutno vždy formulovat slušně a osobní údaje uvádět v přiměřeném rozsahu, přitom zvažovat, zda by současně nemohly zasahovat do soukromí dalších osob (viz příklad tonoucí spolužačky nutně uvedený bez jejích osobních údajů i jakýchkoliv bulvárních okolností případu). Žádostem o úpravu či stažení publikovaných fotografií se škola vždy musí, každopádně již s ohledem na výše uvedená pravidla ochrany soukromí, věnovat a posoudit důvody žadatele, proč mu konkrétní fotografie vadí.
• Pokud však škola hodlá zveřejňovat pořízené fotografie s dalšími strukturovanými údaji jednotlivých žáků, jejichž zdrojem by zpravidla byla školní matrika, musí získat od zákonných zástupců žáků souhlas se zpracováním osobních údajů podle GDPR. Tento souhlas musí škola získat i v případě, že hodlá fotografie dětí zveřejňovat na sociálních sítích, které umožňují sledování osob a profilování jejich osobních údajů. Zákonné zástupce žáků musí přitom informovat i o rizicích, která pro další zpracování osobních údajů i jinými osobami na těchto sítích hrozí.

Nadbytečné vyžadování souhlasu

• Zpracování osobních údajů musí být podloženo vždy vhodným právním důvodem, mezi které lze zařadit i souhlas subjektu údajů. Tento právní důvod však není v mnoha případech tím nejvhodnějším, neboť nejčastěji dochází ke zpracování osobních údajů na základě jiných právních důvodů – zákonné povinnosti, plnění uzavřené smlouvy nebo oprávněného zájmu správce.
• Pokud správce osobních údajů v agendách, jejichž výkon je založen na jiném právním důvodu, vyžaduje souhlas subjektů údajů se zpracováním osobních údajů, dopouští se porušení GDPR, které je dozorovými orgány často postihováno (viz nejčastější chyby podle Výroční zprávy ÚOOÚ, které jsme Vám zasílali v předchozích newsletterech).
• Hlavním důvodem, proč je ve většině případů souhlas nevhodným právním důvodem je skutečnost, že souhlas může subjekt údajů kdykoliv odvolat a správce je následně povinen osobní údaje vymazat. Pokud by takový výmaz znemožnil výkon Vašich zákonných povinností (např. vedení účetnictví, vymáhání pohledávek, vedení matriky, plnění uzavřené smlouvy apod.), jedná se jednoznačně o nevhodný právní důvod.
• Dříve než se rozhodnete zahájit zpracování osobních údajů na základě právního důvodu souhlas, posuďte, zda neexistuje jiný, vhodnější právní důvod pro takové zpracování. Ve valné většině případů budete úspěšní.
• V případě Vašeho zájmu jsme připraveni pro Vás realizovat školení principů ochrany osobních údajů na míru Vaší organizace. S požadavkem na školení se prosím obraťte na equica@equica.cz.

Zveřejňování majetkových oznámení zastupitelů obcí

• Ústavní soud vyhověl stížnostem 43 zastupitelů, kteří žádali odškodnění a omluvu za neomezené zpřístupňování jejich majetkových oznámení v části roku 2020. Podle aktuálního nálezu Ministerstvo spravedlnosti ponechávalo majetková oznámení plošně zpřístupněná déle, než mělo.
• Uplatněné nároky vycházejí ze staršího nálezu Ústavního soudu, který na jaře 2020 zachoval povinnost komunálních politiků podávat oznámení o majetkových poměrech, zároveň ale zrušil tehdejší rozsah nahlížení do centrálního registru oznámení.
• Podle nálezu postačí zpřístupňovat údaje na základě žádosti, volné nahlížení přes internet porušuje právo na soukromí veřejných funkcionářů.

Zveřejnění osobních údajů poslanců PSP ČR

• Hnutí PES letos v únoru zveřejnilo na Facebooku adresy 70 poslanců PSP ČR, i když k tomu nedisponovalo žádným právním důvodem ani neprovedlo dostatečné informování subjektů údajů (poslanců) o takovém zveřejnění. Porušilo tím pravidla ochrany osobních údajů a byla proto zahájena kontrola Úřadem pro ochranu osobních údajů.

Zveřejnění parte na webových stránkách

• Jelikož údaje o zemřelých nejsou osobní údaje, docházejí někteří správci osobních údajů k závěru, že informaci o úmrtí osoby, ať již formou textu, nebo zveřejněním parte, lze považovat za oprávněné. Při zveřejnění informace o úmrtí však může dojít k poškození práv pozůstalých, proto k takovému zveřejnění doporučujeme disponovat souhlasem pozůstalých, případně zveřejňovat informace na jejich žádost.

Dezinformační weby, marketing a cookies

• Díky kontroverznímu obsahu a specifické cílové skupině dokáží dezinformační weby generovat zisky z příjmů za reklamy. K tomu využívají cookies, Google Analytics, Google Fonts apod.
• Dezinformační weby přitom nerespektují novelu zákona o elektronických komunikacích a postupují při sběru osobních údajů nezákonně, především při ukládání cookies na zařízení svých návštěvníků. Současně dochází k předávání osobních údajů i mimo EU, včetně USA, což s ohledem na zrušení tzv. Privacy Shieldu není obhajitelné.
• Úřad pro ochranu osobních údajů má v letošním roce v plánu kontrol také kontroly užívání cookies na českém internetu.

Upozorňujeme na phishingovou kampaň s cílem zneužít bankovní identitu

Národní úřad pro kybernetickou a informační bezpečnost zveřejnil varování před zneužitím bankovní identity:

• Upozorňujeme na probíhající phishingovou kampaň s motivem nabídky příspěvku na bydlení od Ministerstva práce a sociálních věcí (dále jen MPSV). Podvodné zprávy se šíří e-mailem nebo SMS zprávami s textem: „Je vám poskytnut příspěvek na bydlení po dobu 3 měsíců od MPSV“ nebo „MPSV informuje v rámci programu bydlení máte k dispozici příspěvek“, spolu s odkazem na stránky věrně napodobující web MPSV. Jazyková kvalita textu zpráv se v různých verzích liší, obecně jde ale o strojový překlad, který lze pozorným čtením odhalit.
• Cílem je přesvědčit adresáty k přihlášení na podvodné stránce pomocí bankovní identity. Zadané přihlašovací údaje následně útočníci aktivně využijí k přihlášení do legitimního bankovnictví, čímž dojde k zaslání výzvy pro dvoufázové ověření, kterou v tu chvíli oběť potvrdí.
• Kampaň byla poprvé zachycena na začátku srpna a opakuje se v několika vlnách s neustálou obměnou používaných domén, například mpsv-prihlaseni[.]cz, mpcv[.]cz, mpvs-bydleni[.]cz. Sdružení CZ.NIC podniká kroky k blokaci těchto domén.
• Doporučujeme věnovat zvýšenou pozornost příchozím zprávám a upozornit na riziko i Vaši rodinu a blízké. V případě přihlašování (zejména k bankovnictví) vždy důsledně prověřujte, zda jde skutečně o legitimní adresu.
• Oficiální web pro podání žádosti na příspěvek na bydlení se nachází pouze na adrese https://www.mpsv.cz/web/cz/-/prispevek-na-bydleni. Jakékoliv nové podvodné domény můžete nahlásit na webu StopOnline.cz, provozovaném sdružením CZ.NIC, a případně též Policii ČR.

Rizika (nejen) pro děti na sociální síti Tik Tok

• Sociální síti TikTok hrozí stamilionová pokuta za nedostatečnou ochranu soukromí dětských uživatelů. Údajně totiž zpracovávala osobní údaje dětí bez souhlasu rodičů. TikTok nejspíše zpracovával údaje dětí mladších třinácti let bez příslušného souhlasu rodičů; neposkytl svým uživatelům správné informace stručným, transparentním a snadno srozumitelným způsobem a zpracovával údaje zvláštní kategorie, aniž by k tomu byly právní důvody.
• Evropský sbor pro ochranu údajů kvůli této nebezpečné sociální sítí zřídil pracovní skupinu, která má prověřit zásady a postupy TikToku při zpracování osobních údajů. Existují totiž podezření, že soukromá data milionů uživatelů míří přímo do Číny. Jen v České republice podle průzkumu Centra PRVok TikTok využívá více než čtvrtina dětí, nejčastěji ve věku 10 – 12 let. Oblíbenost aplikace mezi dětmi už několikrát způsobila rozruch, protože na platformě často probíhá kyberšikana a vyskytují se zde i sexuální predátoři.
• Ve Spojených státech už firma ByteDance dostala vzhledem k praktikám při sběru informací o svých dětských uživatelích pokutu ve výši 5,7 milionu dolarů a v současnosti se uvažuje o úplném zákazu aplikace. Na ochranu dat se odkazuje i Indie, která jako důvod zákazu uvedla přeposílání dat do Číny.
• Z průzkumu Buď safe online vyplývá, že 52 % respondentů má profil na TikToku, ale až 35 % z nich neví, že jejich profil je ve výchozím nastavení veřejný. Veřejný profil na TikToku umožňuje komukoliv dohledat ostatní uživatele, sledovat jejich obsah a psát jim soukromé zprávy.
• Množství informací a dat, které TikTok o svých uživatelích shromažďuje, je ještě vyšší než v případě jiných sociálních sítí. Mezi data, která TikTok monitoruje, patří údaje o zařízení (typ CPU, hardware ID, místo na disku, využití paměti, …), údaje o dalších nainstalovaných aplikacích (včetně těch již smazaných), síťové informace (IP a MAC adresy zařízení a routeru, název WiFi), jestli je zařízení spuštěné s rootovskými oprávněními, pravidelný GPS ping.
• TikTok má dále podle dostupných informací přístup k obsahu schránky uživatele na iOS zařízeních. Značí to potencionální problém pro každého, kdo používá jakýkoliv správce hesel pro přihlášení k účtům.

Varování ÚOOÚ před novými kybernetickými hrozbami

• Úřad pro ochranu osobních údajů na svých webových stránkách zveřejnil varování před novými hrozbami (nejen) pro ochranu osobních údajů. Správci osobních údajů by proto měli provést taková opatření, aby zamezili nebezpečí napadení, a tím i potenciálního porušení zabezpečení osobních údajů.
• Pokud k napadení dojde prostřednictvím softwarové aplikace, na jejíž zranitelnost upozornil např. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) a správce neučinil doporučené kroky pro zajištění odpovídající ochrany osobních údajů, může to být hodnoceno jako porušení povinností správce, protože varování bylo publikováno před případným kybernetickým napadením.
• Národní úřad pro kybernetickou a informační bezpečnost varuje před novou hrozbou phishingových podvodů, tentokrát s motivem nabídky příspěvku na bydlení od Ministerstva práce a sociálních věcí. Cílem je přesvědčit adresáty k přihlášení na podvodné stránce pomocí bankovní identity. Zadané přihlašovací údaje pak útočníci aktivně využijí k přihlášení do legitimního bankovnictví, a tím dojde k odeslání výzvy pro dvoufázové ověření, kterou v tu chvíli oběť potvrdí.
• Zároveň s tím byla ze strany NÚKIB indikována závažná zranitelnost pro vzdálené připojení VPN. Zranitelnost CVE-2022-26113 (CVSS 7.5), která se týká vzdáleného připojení klienta do vnitřní sítě. Neprivilegovanému uživateli, který disponuje přístupem ke koncové stanici s VPN klientem od společnosti FortiClient, je umožněno získat práva uživatele SYSTEM.
• Zranitelné jsou následující verze klienta pro operační systém Windows:
  • FortiClientWindows verze od 6.0.0 do 6.0.10
  • FortiClientWindows verze od 6.2.0 do 6.2.9
  • FortiClientWindows verze od 6.4.0 do 6.4.7
  • FortiClientWindows verze od 7.0.0 do 7.0.3
• Pro mitigaci této zranitelnosti je nutné aktualizovat na FortiClientWindows verze 7.0.4 a vyšší nebo verze 6.4.8 a vyšší.

Nový návrh zákona o ochraně oznamovatelů (whistleblowing)

• V současné době je projednáván nový návrh zákona ochrany oznamovatelů – whistleblowerů, který měl být v ČR implementován již k 17. 12. loňského roku v souladu se směrnicí Evropského parlamentu a Rady (EU) 2019/1937 ze dne 23. 10. 2019 o ochraně osob, které oznamují porušení práva Unie.
• Návrh zákona byl přepracován novou vládou a jeho obsah se tedy od původního (nepřijatého) návrhu zákona značně odlišuje a to především v oblasti definice subjektů, které jsou povinny systém ochrany oznamovatelů zavést. Je možné odhadovat, že zákon by mohl být přijat v lednu příštího roku s odloženou účinností k 1. červenci 2023.
• Návrh zákona upravil definici subjektů, které jsou povinny zavést vnitřní oznamovací systém, a tím zúžil okruh povinných subjektů takto:
  • Vnitřní oznamovací systém zavede povinný subjekt, kterým se pro účely tohoto zákona rozumí:
    • veřejný zadavatel podle zákona upravujícího zadávání veřejných zakázek – s výjimkou příspěvkové organizace územního samosprávného celku zaměstnávající v uplynulém kalendářním čtvrtletí v průměru méně než 50 zaměstnanců a s výjimkou obce s méně než 10 000 obyvateli;
    • zaměstnavatel, který v uplynulém kalendářním čtvrtletí zaměstnával v průměru nejméně 50 zaměstnanců;
    • další subjekty definované zákonem.
  • Povinné subjekty, s výjimkou veřejných zadavatelů, které v uplynulém kalendářním čtvrtletí zaměstnávaly v průměru nejvíce 249 zaměstnanců, mohou vnitřní oznamovací systém sdílet. Obce, které jsou povinnými subjekty, mohou vnitřní oznamovací systém sdílet mezi sebou.
  • Byl vypuštěn požadavek na zavedení vnitřního oznamovacího systému pro obce s rozšířenou působností bez ohledu na počet obyvatel, nově se tedy povinnost bude vztahovat pouze na ORP s více než 10.000 obyvateli.
  • Povinný subjekt bude mít dále možnost rozhodnout, zda bude přijímat anonymní oznámení.

Novela zákona o kybernetické bezpečnosti

• 6. srpna 2022 nabyl účinnosti zákon, kterým se mění zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů. Ve Sbírce zákonů byl publikován pod č. 226/2022 Sb.
• Novela byla přijata za účelem zajištění adaptace českého právního řádu na evropské nařízení 2019/881 o agentuře ENISA (Agentura Evropské unie pro kybernetickou bezpečnost) a o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií.
• Novela stanoví vnitrostátní orgán certifikace kybernetické bezpečnosti, kterým určuje Národní úřad pro kybernetickou a informační bezpečnost. Své úpravy dochází rovněž oblast správního trestání v podobě sankcí za porušení aktu o kybernetické bezpečnosti.

Kopírování osobních dokladů cizích státních příslušníků

• Na základě podnětu osoby zastupující cizí státní příslušníky ve správním řízení o vstupu a pobytu cizinců na území České republiky jsme vznesli dotaz na Odbor azylové a migrační politiky Ministerstva vnitra ČR. Žádali jsme vysvětlení právního důvodu pro pořizování kopií cestovních dokladů cizinců a kopií občanského průkazu občana ČR, který cizince v řízení zastupuje. Poskytnutou informaci uvádíme níže.
  • Odbor azylové a migrační politiky Ministerstva vnitra, jakožto správní orgán, který podle § 165 zákona č. 326/1999 Sb., o pobytu cizinců na území ČR a o změně některých zákonů vykonává působnost ve věcech vstupu a pobytu cizinců na území a jejich vycestování z území, v rámci vedených správních řízení shromažďuje osobní údaje fyzických osob, které jsou účastníkem řízení (resp. svědkem), nebo které byli přítomny nějakému úkonu (např. pobytové kontroly) v rozsahu, který je potřebný k vedení konkrétního správního řízení. Při zpracování osobních údajů postupuje Odbor azylové a migrační politiky v souladu s Nařízením GDPR, tedy osobní údaje zpracovává pouze tehdy, pokud je to nezbytné pro splnění právní povinnosti, která se na správce vztahuje.
  • K otázce kopírování cestovních dokladů dále uvádíme, že zákon č. 326/1999 Sb. stanoví jako povinnou náležitost většiny žádostí o vydání pobytového oprávnění (např. § 31 odst. 1 písm. a), § 70 odst. 2 písm. b), § 87a odst. 2 písm. a) zákona č. 326/1999 Sb.) předložení cestovního dokladu, který následně slouží jako jeden z podkladů pro vydání rozhodnutí. Samozřejmě vzhledem k charakteru tohoto dokladu není možné, aby se originál předkládaného cestovního dokladu stal součástí spisu, neboť by to pro žadatele představovalo značné komplikace. Z tohoto důvodu je tedy pořizována kopie cestovního dokladu žadatele – cizince, kterou je správní orgán oprávněn pořídit i bez souhlasu osoby, které byl tento cestovní doklad vydán. Na rozdíl od dokladů vydaných občanům České republiky se totiž v případě cizozemských cestovních dokladů (dokladů vydaných cizím státem) neuplatní omezení stanovená např. v § 2 odst. 3 zákona č. 329/1999 Sb., o cestovních dokladech, resp. v § 39 písm. c) zákona č. 269/2021, o občanských průkazech, která zakazují pořizování kopií dokladů bez souhlasu jejich držitele.
  • Ohledně kopírování (českého) občanského průkazu nebo cestovního pasu osoby, která v rámci probíhajícího řízení vystupuje např. jako zástupce a nikoliv jako účastník řízení (svědek) uvádíme, že obvykle není nutné tuto kopii pořizovat, neboť není vyžadována jako náležitost žádosti o vydání pobytového oprávnění (tím není dotčena povinnost stanovená v § 36 odst. 5 zákona č. 500/2004 Sb., správní řád, prokázat na výzvu oprávněné úřední osoby svoji totožnost předložením průkazu totožnosti). Pokud by přesto k pořízení fotokopie takového dokladu docházelo (např. jako důkazní prostředek v rámci žádosti o vydání povolení k pobytu rodinného příslušníka občana EU), je v případě českých dokladů nutno postupovat v souladu s výše uvedenými právními předpisy, tzn. kopii dokladu je možné pořídit pouze se souhlasem jeho držitele.

Souhlas s uložením cookies

• Úřad pro ochranu osobních údajů se vyjádřil k době uložení souhlasu s ukládáním cookies a době opakovaného požadavku na udělení souhlasu v případě jeho předchozího odmítnutí.
  • Dobu, po kterou je platně udělen souhlas se zpracováním osobních údajů prostřednictvím cookies i dobu pro opětovné zobrazení cookie lišty v případě odmítnutí, musí stanovit správce s ohledem na účel, ke kterému jsou osobní údaje zpracovávány současně s ohledem na očekávání subjektů údajů.
  • Opětovné zobrazování cookie lišty by nemělo narušovat činnosti uživatele při používání webové stránky, ať už souhlas udělil či odmítl udělit.
  • Obecně lze za přiměřenou dobu, na kterou byl souhlas s využíváním cookies udělen, považovat 12 měsíců.
  • V případě, že uživatel odmítl souhlas udělit, nemělo by být jeho udělení znovu vyžadováno alespoň 6 měsíců od posledního zobrazení cookie lišty.
  • Tato doba může být kratší, pokud se významně změnila jedna nebo více okolností zpracování, nebo pokud provozovatel není schopen sledovat předchozí souhlas / nesouhlas (např. uživatel smazal cookies uložené ve svém zařízení).
• Dojde-li k významné změně zpracování, která by měla vliv i na uživatele, kteří dříve souhlas se zpracováním osobních údajů udělili, bude nezbytné znovu požádat o udělení souhlasu s tímto novým zpracováním i tyto uživatele.

Instagram porušoval GDPR u dětí

• Irský úřad Data Protection Commissioner (DPC) vyměřil společnosti Meta a její sociální síti Instagram pokutu ve výši 405 mil. EUR (cca 10 mld. Kč) za porušení pravidel ochrany osobních údajů dětí, tedy uživatelů ve věku mezi 13 až 17 lety.
• Děti si mohly zřídit tzv. účet tvůrce nebo firmy, čímž se dala obejít omezení klasických dětských účtů. Ty jsou ve výchozím nastavení soukromé, takže jejich příspěvky mohou vidět jen vybraní lidé, které znají, a navíc jim dospělí, kteří je nemají ve sledujících, nemohou posílat zprávy.
• V případě firemních účtů a účtů pro tvůrce toto omezení neplatí a mohou s neznámými lidmi sdílet mnohem více informací včetně telefonních čísel nebo e-mailových adres.

Obezřetnost při zveřejňování fotografií na sociálních sítích

• Americká společnost Clearview AI vytváří databázi fotografií obličejů za účelem rozpoznávání konkrétních osob. Fotografie v databázi společnost získává bez souhlasu dotčených subjektů údajů, neboť využívá veřejně dostupné fotografie včetně informací, na základě kterých lze osoby na fotografiích identifikovat.
• Sdílením fotografií na Facebooku, Instagramu a dalších platformách se každý vystavuje riziku, že osobní údaje jeho nebo jeho rodinných příslušníků budou zahrnuty do databáze Clearview AI (jak fotografie, tak související dostupné osobní údaje). Jelikož databáze zpracovává fotografie do biometrických parametrů obličeje, dokáže následně rozpoznávat konkrétní osobu na dalších fotografiích nebo kamerových záznamech.
• Společnost Clearview AI měla shromáždit po celém světě více než 20 miliard snímků obličejů pro svou databázi bez vědomí dotčených osob. Společnost ClearView AI současně nabízí placenou aplikaci, do které lze nahrát fotografii zájmové osoby a sledovat její pohyb díky celosvětovému napojení na bezpečnostní kamerové systémy.
• K takovému zpracování však společnost Clearview Al nedisponuje právním důvodem, proto v poslední době probíhá řada soudních případů, ve kterých jsou po celém světě udělovány společnosti pokuty a nařizována nápravná opatření, jakými jsou např. zákaz dalšího získávání údajů o obyvatelích toho kterého konkrétního státu a výmaz veškerých shromážděných dat.
• Společnosti jako Twitter, Google a Meta již společnosti Clearview AI zaslaly žádost o zastavení činnosti, kterou porušuje jejich obchodní podmínky.

Souhlas se zpracováním osobních údajů udělený dítětem

• Děti zasluhují vyšší míru ochrany, jelikož si mohou být méně vědomy rizik, důsledků, záruk a svých práv v souvislosti se zpracováním osobních údajů. Proto Nařízení GDPR vytváří další vrstvu ochrany, pokud jsou zpracovávány osobní údaje dětí. Ta se vztahuje zejména na používání osobních údajů dětí pro účely marketingu nebo vytváření osobnostních či uživatelských profilů a shromažďování osobních údajů týkajících se dětí při využívání služeb nabízených přímo dětem.
• Pro udělení souhlasu se zpracováním osobních údajů je proto využíván tzv. rodičovský souhlas, tedy souhlas udělený zákonným zástupcem, soudem ustanoveným opatrovníkem či jinou osobou, která vykonává rodičovskou zodpovědnost k dítěti, tedy podle předpisů stanovujících požadavky na věk při jednání člověka (§ 31 zákona č. 89/2012 Sb., občanský zákoník).
• Výjimku tvoří souhlas se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti (laicky řečeno „služby spojené s užíváním internetu“ – tzv. „on-line souhlas“ nebo „digitální souhlas“). Jedná se o jakoukoliv službu informační společnosti, která je poskytovaná zpravidla za úplatu, na dálku, elektronicky a na individuální žádost příjemce služeb:
  • služba poskytovaná na dálku – služba poskytovaná bez současné přítomnosti stran;
  • služba poskytovaná elektronicky – služba odeslaná z výchozího místa a přijatá v místě jejího určení prostřednictvím elektronického zařízení pro zpracování (včetně digitální komprese) a uchovávání dat a jako celek odeslaná, přenesená nebo přijatá drátově, rádiově, opticky nebo jinými elektromagnetickými prostředky;
  • služba poskytovaná na individuální žádost příjemce služeb – služba poskytovaná přenosem dat na individuální žádost.
• Souhlas se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti je zákonný, je-li dítě ve věku nejméně 15 let, u mladších osob je zpracování jejich údajů možné jen se souhlasem osoby, která vykonává k dítěti rodičovskou zodpovědnost.
• Pokud správce oslovuje s nabídkou děti, musí věnovat zvláštní pozornost formě, jakou je informuje o zpracování jejich osobních údajů. Informace musí být sdělena srozumitelně, v jazyce, který je pro děti jasný a jednoduchý. Pokud má souhlas udělit rodič, měl by dostat takové informace, které mu umožní přijmout informované rozhodnutí.
• Pokud správce poskytuje služby informační společnosti dětem na základě souhlasu, bude se od něj očekávat, že vynaloží přiměřené úsilí, aby ověřil, že je uživatel starší, než je nezbytné pro „on-line souhlas“, tzn., že je mu víc jak 15 let. Opatření, která k tomu využije, by měla být přiměřená povaze a rizikům činností zpracování.
• Souhlas rodiče nebo zákonného zástupce není nutný v případě preventivních či poradenských služeb nabízených přímo dětem. Předchozí souhlas rodičů tak nebude vyžadovat např. poskytování služeb ochrany dětí nabízených dětem on-line prostřednictvím on-line chatových služeb atp.
• Jakmile dítě dosáhne věku pro udělení digitálního souhlasu, může souhlas udělený nebo schválený rodičem či zákonným zástupcem samo odvolat, změnit nebo potvrdit. Správce ho musí o této skutečnosti informovat v souladu se zásadou korektnosti a odpovědnosti. Pokud však dítě neučiní žádný aktivní projev, zůstane původní souhlas schválený rodičem v platnosti i nadále a pro správce je platným základem pro zpracování osobních údajů.
• V případě, že se jedná o zpracování osobních údajů žáků školou jakožto správcem, Ministerstvo školství, mládeže a tělovýchovy ČR vydalo následující stanovisko:
  • Ministerstvo v této souvislosti rovněž důrazně doporučuje, aby bylo ke každému dítěti přistupováno jednotlivě a vždy bylo detailně posuzováno, k jakému zpracování dítě dává souhlas, a to i v případě, že dítě již dosáhlo věkové hranice, kterou předvídá vnitrostátní legislativa pro to, aby dítě bylo schopno samo vyslovit souhlas se zpracováním svých osobních údajů. Vždy je třeba vzít v potaz nejen věk, ale i rozumovou a volní vyspělost dítěte, tedy zda je dítě schopno posoudit podstatu a následky svého vlastního jednání a zda je schopno své jednání ovládnout, tj. jednání svou vůlí řídit.
  • Zvláštní pozornost je třeba věnovat dětem se speciálními vzdělávacími potřebami, tedy se zdravotním postižením či zdravotním nebo sociálním znevýhodněním. Zároveň je třeba rovněž doporučit, že v případě jakýchkoliv pochybností ohledně schopnosti dítěte posoudit důsledky svého jednání je namístě vyžádat si souhlas osoby, která ve vztahu k dítěti vykonává rodičovskou odpovědnost.
  • Jestliže dítě dává škole souhlas na základě předtištěného vzoru, je třeba formulovat tento souhlas pro dítě co nejsrozumitelněji, aby pochopilo, k čemu přesně souhlas dává.

Nejčastější nedostatky cookies lišt podle ÚOOÚ – doplnění

V návaznosti na další dotazy k minule uvedenému seznamu nejčastějších chyb při používání cookies lišty uvádíme podrobnější vysvětlení jednotlivých nedostatků:

• Používání netechnických cookies bez souhlasu – bez souhlasu lze podle zákona o elektronických komunikacích zpracovávat pouze technické (nezbytné) cookies, tedy ty, bez kterých webové stránky nemohou fungovat – zabezpečení, řádné zobrazování na počítači nebo na mobilním telefonu, vyplňování a odesílání formulářů apod. Všechny ostatní cookies lze zpracovávat pouze se souhlasem uživatele.
• Neúměrně dlouhá doba platnosti cookies vzhledem k jejich účelu – uchovávání cookies je možné pouze po dobu, která je nezbytná pro dosažení účelu zpracování. Vždy je tedy nutné objektivně stanovit nezbytnou lhůtu pro uchovávání (např. nelze uchovávat po neomezenou dobu, ani po dobu, kterou nelze objektivně zdůvodnit). Obecně lze za přiměřenou dobu, na kterou byl souhlas s využíváním cookies udělen, považovat 12 měsíců. V případě, že uživatel odmítl souhlas udělit, nemělo by být jeho udělení znovu vyžadováno alespoň 6 měsíců od posledního zobrazení cookie lišty.
• Nepřítomnost volby určené pro vyjádření nesouhlasu s využitím netechnických cookies v první vrstvě cookies lišty – pokud nelze již v první cookies liště odmítnou cookies a pro odmítnutí je nutné klikat do dalších „vrstev“ cookies lišty, jedná se o neplatný souhlas podle Nařízení GDPR. Lišta musí již v první „vrstvě“ umožnit obě volby – souhlas i odmítnutí všech cookies.
• Špatná kategorizace cookies – jako nezbytné cookies jsou označeny cookies, které tuto definici nenaplňují (nejsou nezbytné pro správné fungování), a cookies lišta neumožňuje jejich odmítnutí.
• Absence informací o konkrétních použitých cookies – neplnění informační povinnosti podle článku 13 Nařízení GDPR tím, že neposkytuje informaci o konkrétních používaných cookies (může být již v další „vrstvě“ cookies lišty).
• Rozdíl ve viditelnosti tlačítek pro souhlas a nesouhlas s využitím netechnických cookies – nepřehledně navržená tlačítka navádějící k udělení souhlasu (např. zelené tlačítko pro souhlas a šedivé, malé, špatně viditelné tlačítko pro odmítnutí souhlasu).
• Informace o cookies v cizím jazyce – převzetí cookies lišty v (nejčastěji) anglickém jazyce bez lokalizace do českého jazyka znemožňuje návštěvníkovi udělit informovaný souhlas s použitím cookies.
• Cookies lišta znesnadňuje či znemožňuje čtení webové stránky – lišta překrývá text stránky a znepříjemňuje nebo znemožňuje čtení. Z recitálu 32 Nařízení GDPR vyplývá, že má-li subjekt údajů vyjádřit souhlas na základě žádosti podané elektronickými prostředky, nesmí tato žádost narušit využívání služby.

Pořizování souhlasů se zasíláním novinek

• Zpracování e-mailových adres uživatelů za účelem rozesílání newsletterů a jimi podobných e-mailů je možný pouze s předchozím souhlasem subjektů údajů. Udělení souhlasu musí být transparentní a informované.
• Správce musí vždy poskytnout informace o tom, jak bude s osobními údaji nakládáno, kdo je správcem osobních údajů, kdo je zpracovává a po jakou dobu bude s osobními údaji pracovat. Dále je nutné stručně a srozumitelně informovat o právech dle Nařízení GDPR.
• Souhlas nesmí být nikdy vynucený ani podmíněný, např. výměnou za určitou službu, např. udělení slevy za souhlas čtenáře k odběru novinek. Zvýhodněná služba totiž musí být pro uživatele dostupná i jinou variantou. Tedy takto shromážděné e-maily bude možné využít, pouze pokud bude umožněna volba mezi více variantami získání služby, např. využití aplikace za poplatek, nebo zdarma s předáním e-mailu s možností dalšího zasílání novinek.
• Výjimku tvoří případy, kdy se rozesílání novinek opírá o tzv. oprávněný zájem přímého marketingu, který je však aplikovatelný pouze v případě, že subjekt údajů byl v minulosti zákazníkem správce osobních údajů a zároveň neodebral souhlas se zpracováním osobních údajů.
• Možnost odebrání souhlasu musí být zároveň uvedena v každém z rozesílaných obchodních sdělení.

Doručování písemností na úřední desce

Úřad pro ochranu osobních údajů zveřejnil stanovisko k doručování písemností na úřední desce:

• Doručování veřejnou vyhláškou ve smyslu § 25 zákona č. 500/2004 Sb., správní řád, lze provést dvěma způsoby, a to vyvěšením písemnosti, nebo vyvěšením pouhého oznámení o možnosti převzít písemnost, na úřední desce správního orgánu, který písemnost doručuje. Při volbě mezi těmito dvěma možnostmi je nezbytné zohlednit účel zveřejnění písemnosti a skutečnost, zda písemnost obsahuje osobní údaje.
• Jelikož správní řád nestanoví konkrétní kritéria pro volbu daného způsobu, správní orgán musí při plnění povinnosti vyvěsit písemnost nebo oznámení zvážit okolnosti konkrétního případu a obsah doručované písemnosti. Zveřejnění oznámení o možnosti převzít písemnost tak např. není možné realizovat v případě, kdy je doručováno neznámým adresátům, jejichž totožnost není známa a jsou určeni jinou vlastností (např. majitelé určitých věcí), avšak v případě, kdy je doručováno konkrétní známé fyzické osobě, lze tuto osobu jasně identifikovat a využít variantu zveřejnění oznámení o možnosti převzít písemnost. V rámci tohoto oznámení pak lze zveřejnit pouze osobní údaje nezbytné pro identifikaci adresáta, nadto je šetřeno adresátovo právo na ochranu soukromí, kdy nejsou zveřejňovány podrobnosti v dané písemnosti obsažené. Samotné posouzení, zda na úřední desce bude vyvěšena předmětná písemnost v úplném znění, či jen oznámení o možnosti tuto písemnost převzít, je plněním povinnosti správce osobních údajů (zde úřadu / orgánu vyvěšujícího listinu / informaci) podle základních zásad zpracování osobních údajů dle čl. 5 odst. 1 GDPR.
• Správce osobních údajů je též povinen přijmout adekvátní kroky, aby zabránil případnému nedůvodnému šíření osobních údajů, a to s ohledem na znění čl. 32 odst. 1 GDPR. V důvodných případech, zejména je-li při doručování veřejnou vyhláškou zpřístupňována listina v úplném znění, je nezbytné, aby správce osobních údajů provedl příslušné kroky k zajištění zamezení indexování elektronické úřední desky. Listiny zveřejněné prostřednictvím elektronické úřední desky obsahují osobní údaje, které bez zamezení indexování příslušných webových stránek, respektive jejich ukládání do cache internetového vyhledávače, zůstávají při použití internetových vyhledávačů a webových archivů přístupné i určitou dobu poté, co byly z elektronické desky odstraněny. Jsou-li osobní údaje po uplynutí doby, po kterou měly být listiny způsobem umožňujícím dálkový přístup zveřejněny, dále přístupné v podstatě neomezenému okruhu osob, jde o nežádoucí stav, kterému je správce osobních údajů povinen pokusit se předejít. Postup obecného zákazu indexování lze tak v tomto a obdobných případech považovat za standardní opatření na straně správce osobních údajů.

Zpracování zdravotnických dat pro vědecké účely

• Zpracování osobních údajů ve zdravotnictví se řídí zákonem o zdravotních službách, který ukládá poskytovatelům zdravotních služeb povinnost vést a uchovávat zdravotnickou dokumentaci. Podle Nařízení GDPR se jedná o zpracování tzv. zvláštních kategorií osobních údajů, jejichž zpracování je až na výjimky zakázáno (zde je výjimka stanovena zákonem o poskytování zdravotních služeb, avšak pouze za účelem vedení zdravotnické dokumentace a poskytování zdravotních služeb, nikoliv za účelem vědeckého výzkumu).
• Pokud poskytovatel zdravotních služeb shromáždí pacientská data za účelem plnění své právní povinnosti, může o tento právní základ opřít i následné slučitelné zpracování pro vědecké účely. Vycházet může i z čl. 5 odst. 1 písm. b) Nařízení GDPR, podle kterého se další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely nepovažuje za neslučitelné s původními účely.
• Poskytovatelé zdravotních služeb, kteří shromáždili pacientská data za účelem poskytováním zdravotních služeb, mohou tato data zpracovávat i pro účely vědeckého výzkumu, a to bez toho, že by k takovému navazujícímu vědeckému zpracování získali zvláštní souhlas dotčených pacientů, pokud:
  • informují pacienty o zpracování pacientských dat pro účely vědeckého výzkumu a o právním základu takového zpracování;
  • zavedou vhodná technická a organizační opatření, zejména s cílem zajistit dodržování zásady minimalizace údajů (především jejich anonymizace a pseudonymizace) a zohlednění různě pravděpodobných a závažných rizik zpracování pro práva a svobody fyzických osob.

Pokuta Ministerstvu vnitra ČR za neoprávněné shromažďování osobních údajů

• Úřad pro ochranu osobních údajů uložil Ministerstvu vnitra ČR pokutu 975 000 Kč za přestupek, a to v souvislosti s aplikací Karanténa a shromažďováním dat o osobách v izolaci Policií ČR. Pokuta byla udělena Ministerstvu vnitra ČR na základě Hlavy III. zákona č. 110/2019 Sb., o zpracování osobních údajů, protože Policie ČR nemá právní subjektivitu.
• Jednání, které bylo předmětem přestupku, spočívalo v neoprávněném zpracování údajů o zdravotním stavu osob Policií ČR, kterým byla nařízena izolace. Toto jednání bylo v rozporu s § 79 odst. 3 zákona o Policii ČR, podle kterého „shromažďovat údaje o rasovém nebo etnickém původu, náboženském, filosofickém nebo politickém přesvědčení, členství v odborové organizaci, zdravotním stavu, sexuálním chování nebo sexuální orientaci lze pouze tehdy, je-li to nezbytné pro účely šetření konkrétního trestného činu nebo přestupku, nebo při poskytování ochrany osob“.
• Plošným zpracováním osobních údajů o všech osobách v izolaci Policie ČR jednala v rozporu s tímto ustanovením.

Údaje vedené v osobním spisu zaměstnance

• Zaměstnavatel je povinen zpracovávat osobní údaje svých zaměstnanců nejen na základě Nařízení GDPR, ale také na základě zákona č. 262/2006 Sb., zákoník práce. Zákoník práce obsahuje relevantní ustanovení upravující problematiku zpracování osobních údajů zaměstnanců. Dle zákoníku práce zaměstnavatel nesmí od svých zaměstnanců vyžadovat informace, které bezprostředně nesouvisejí s výkonem práce a se základním pracovně-právním vztahem, tj. informace o sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách nebo hnutích, příslušnosti k církvi nebo náboženské společnosti.
• V rámci osobního spisu zaměstnance zaměstnavatel ve většině případech shromažďuje následující:
  • Osobní údaje zaměstnance: osobní dotazník; kopie dokladu o nejvyšším dosaženém vzdělání, absolvovaných kurzech a školeních; lékařské posudky vydané poskytovatelem pracovně-lékařských služeb; zápočtový list – potvrzení o zaměstnání od předchozího zaměstnavatele; pracovní posudek od předchozího zaměstnavatele; výpis z rejstříku trestů – náhled (poznámka: pouze tehdy existuje-li věcný důvod spočívající v povaze práce, nebo pokud tak stanoví zákoník práce či zvláštní předpis); doklady prokazující splnění předpokladů / požadavků pro výkon práce.
  • Smlouvy: pracovní smlouva (vč. dodatků) / dohoda o pracovní činnosti / dohoda o provedení práce; mzdový / platový výměr; dohoda o odpovědnosti zaměstnance za svěřené hodnoty; dohoda o odpovědnosti za ztrátu svěřených věcí; dohoda o srážkách ze mzdy a další dohody jako např. kvalifikační dohody, dohody o mlčenlivosti, konkurenční doložka, dohoda o home office apod.
  • GDPR: informace o zpracování osobních údajů předaná zaměstnanci; souhlas se zpracováním osobních údajů (je-li relevantní).
  • Dokumenty týkající se pracovního poměru a jeho změn: informace o obsahu pracovního poměru, pracovní náplň a její změny; dokumenty týkající se převedení a přeložení zaměstnance; hodnocení zaměstnance, výtky; informace o překážkách v práci; dokumenty týkající se mateřské / rodičovské dovolené apod.
  • Majetek zaměstnavatele: předávací protokoly k předaným pracovním pomůckám a jinému majetku zaměstnavatele; dohoda o užívání automobilu atd.
  • Bezpečnost a ochrana zdraví při práci: doklad o absolvování referentské zkoušky; doklad o absolvovaném školení BOZP a PO; doklad o předání osobních ochranných prostředků; informace a dokumentace ohledně pracovních úrazů nebo nemocí z povolání.
  • Ukončení pracovního poměru: dokumentace k ukončení pracovního poměru; výstupní dokumentace zaměstnance (zápočtový list, pracovní posudek, evidenční list apod.).
• Po zániku pracovního vztahu je zaměstnavatel oprávněn uchovávat osobní údaje bývalého zaměstnance po nezbytně dlouhou dobu (např. evidenční listy 3 roky, záznamy o pojistném na sociální zabezpečení 6 let, mzdové listy 30 let atd.). Důvodem je primárně plnění zákonných lhůt archivace, ale i řešení případných sporů s bývalým zaměstnancem.
• Pokud jsou údaje zaměstnance zcela anonymizovány a není je tedy možné spojit s konkrétní osobou zaměstnance, pak se již nejedná o osobní údaj, na který se vztahují zásady ochrany osobních údajů.

Osobní údaje uvedené v osobním dotazníku zaměstnance

• Zaměstnavatel má právo s ohledem na uzavřenou pracovní smlouvu / dohodu o pracovní činnosti / dohodu o provedení práce se zaměstnancem a právní povinnosti uložené aktuálně platnou legislativou vyžadovat po zaměstnanci jeho osobní údaje.
• V rámci osobního dotazníku zaměstnance zaměstnavatel ve většině případech shromažďuje následující osobní údaje:
  • Identifikační údaje zaměstnance: jméno a příjmení; rodné příjmení; rodné číslo; místo narození; datum narození; státní příslušnost (poznámka: zaměstnavatel nesmí v rámci osobního dotazníku vyžadovat zvláštní osobní údaj „národnost“).
  • Údaje od zaměstnanců – cizinců: pracovní povolení; zaměstnanecká karta; modrá karta; příp. doklad o tom, že pracovní povolení nepotřebuje a proč (občan členského státu EU apod.); kopie dokladů prokazujících oprávněnost pobytu cizince na území ČR; číslo cestovního dokladu a název orgánu, který jej vydal.
  • Kontaktní údaje: telefonní číslo; e-mailová adresa.
  • Bydliště: trvalé bydliště; přechodné bydliště.
  • Vzdělání a kvalifikace: nejvyšší dosažené vzdělání; akademický titul; dokumentace prokazující splnění předpokladů / požadavků pro výkon práce.
  • Údaje potřebné pro ČSSZ a zdravotní pojišťovny: identifikace předešlého zaměstnavatele; informace, zda je zaměstnanec poživatelem invalidního / starobního důchodu; zdravotní pojišťovna.
  • Údaje potřebné k daňovému zvýhodnění zaměstnance: status studenta; OSVČ; rodinný stav; počet dětí.
  • Exekuce a insolvence: pouze tehdy existuje-li věcný důvod spočívající v povaze práce, nebo pokud tak stanoví zákoník práce či zvláštní předpis.
  • Platební a kontaktní údaje: číslo bankovního účtu, na který má být vyplácena mzda.

Osobní údaje uvedené v petici

• Úřad / orgán veřejné moci, který obdrží petici, nesmí údaje z petičních archů poskytnout třetím osobám. Třetí osobou je každá osoba kromě autora petice a úřadů, kterým je petice adresována. Jedná se o chráněné osobní údaje osob, které petici podepsaly. Pokud úřad tyto osobní údaje přesto poskytne třetím osobám, jedná v rozporu se zákonem.
• Subjekt údajů má v takovém případě právo podat stížnost na Úřad pro ochranu osobních údajů, případně podat žalobu na ochranu osobnosti k soudu a žádat náhradu škody i nemajetkové újmy, nebo podat trestní oznámení Policii nebo státnímu zastupitelství pro zneužití pravomocí úřední osoby.

Osobní údaje uvedené ve věrnostním programu obchodního řetězce

• Věrnostní programy patří mezi oblíbené marketingové nástroje obchodních řetězců používané za účelem zajištění retence zákazníků a jejich odměňování za jejich věrnost. Čím více dat o zákaznících obchodní řetězec má, tím lépe dokáže odhadnout a uspokojit potřeby zákazníků.
• V rámci věrnostního programu musí obchodní řetězec dodržovat právní úpravu GDPR, tj. zpracovávat osobní údaje subjektů údajů (zákazníků zapojených do věrnostního programu) v souladu se Nařízením GDPR, a to zejména na základě právního titulu „souhlas se zpracováním osobních údajů v souvislosti se členstvím ve věrnostním programu“.
• Na základě již provedených kontrol Úřad pro ochranu osobních údajů doporučuje obchodním řetězcům pravidelně kontrolovat z pohledu dodržování Nařízení GDPR prováděné marketingové aktivity včetně definice předmětných pojmů, profilování / segmentace vhodných informací z důvodu budoucích nákupů a informování zákazníků v informační dokumentaci obchodního řetězce, a to zejména z pohledu dodržení právního titulu zpracování osobních údajů, dodržení zásady minimalizace zpracovávaných osobních údajů a transparentnosti jejich zpracování.

Nejčastější chyby při nastavování „cookies lišt“

• V souvislosti s legislativní změnou v oblasti cookies (zavedení principu OPT-IN) Úřad pro ochranu osobních údajů průběžně monitoruje dodržování GDPR při zpracování cookies souborů u různých provozovatelů webových portálů a stránek. Činnost ÚOOÚ probíhá nejen na základě obdržených podnětů a stížností, ale také dle definovaného plánu kontrol úřadu pro letošní rok.
• ÚOOÚ oslovuje správce, kteří porušují právní předpisy v této oblasti, aby zjednali nápravu. Pokud k ní nedojde, bude ÚOOÚ přistupovat k sankcím, a to především finančního charakteru.
• Mezi hlavní nedostatky, které byly zjištěny kontrolami Úřadu pro ochranu osobních údajů, patří:
  • Používání netechnických cookies bez uděleného souhlasu.
  • Neúměrně dlouhá doba platnosti cookies vzhledem k jejich účelu.
  • Nepřítomnost volby určené pro vyjádření nesouhlasu s využitím netechnických cookies v první vrstvě cookies lišty.
  • Špatná kategorizace cookies.
  • Absence informací o konkrétních použitých cookies.
  • Rozdíl ve viditelnosti tlačítek pro souhlas a nesouhlas s využitím netechnických cookies.
  • Nesprávná klasifikace cookies souborů.
  • Informace o cookies v cizím jazyce.
  • Cookies lišta znesnadňuje či znemožňuje čtení webové stránky.
• Právní regulace cookies souborů je řešena zákonem č. 127/2005 Sb., o elektronických komunikacích, konkrétně § 89 odst. 3 zákona takto: Každý, kdo hodlá používat nebo používá sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým v koncových zařízeních účastníků nebo uživatelů, získá od těchto účastníků nebo uživatelů předem prokazatelný souhlas s rozsahem a účelem jejich zpracování. Tato povinnost neplatí pro technické ukládání nebo přístup výhradně pro potřeby přenosu zprávy prostřednictvím sítě elektronických komunikací nebo je-li to nezbytné pro potřeby poskytování služby informační společnosti, která je výslovně vyžádána účastníkem nebo uživatelem.
• Na základě čl. 7 odst. 2 Nařízení GDPR musí být souhlas se zpracováním osobních údajů odlišitelný od jiných skutečností, musí být také srozumitelný a snadno přístupný za použití jasných a jednoduchých jazykových prostředků. Podle čl. 4 odst. 11 Nařízení GDPR se musí jednat o „svobodný, konkrétní, informovaný a jednoznačný projev vůle subjektu údajů.

Změny v ukládání pokut při porušení Nařízení GDPR

• Rozhodnutí o výši pokuty za porušení GDPR je v kompetenci dozorového úřadu (v ČR je to Úřad pro ochranu osobních údajů) – Nařízení GDPR k tomu stanovuje maximální výši pokut, a to až do výše 20 milionů EUR či 4 % celkového ročního obratu celosvětově za předchozí finanční rok. Nařízení GDPR navíc stanovuje, že pokuty za porušení ochrany osobních údajů musí být účinné, přiměřené a odrazující.
• Dosavadní praxe dozorových úřadů v Evropské unii při stanovování pokut za porušení Nařízení GDPR není prozatím jednotná, s ohledem na udělené GDPR pokuty některé členské státy EU včetně České republiky „přispívají“ k celkové výši udělených pokut velmi malou měrou. Účelem GDPR je však sjednotit nejen právní úpravu, ale i postup při sankcionování porušení ochrany osobních údajů.
• Evropský sbor pro ochranu osobních údajů (EDPB) proto nyní zveřejnil nové stanovisko ke sjednocení postupu při ukládání pokut za porušení Nařízení GDPR. Stanovisko je aktuálně podrobeno veřejné konzultaci, jeho znění tedy může dostát změn. Stanovisko vychází z těchto principů:
  • Při určení výše pokut dozorový orgán přihlíží k okolnostem případu – úmysl či nedbalost subjektu, povaha a závažnost porušení GDPR při zohlednění povahy zpracování osobních údajů, kroky podniknuté po zjištění porušení GDPR (např. okamžité přijetí nápravných opatření) a míra spolupráce s dozorovým úřadem, předchozí porušení GDPR daným subjektem, splnění nápravných opatření uložených dozorovým úřadem apod.
  • Dozorový úřad současně disponuje tzv. nápravnými pravomocemi, které lze aplikovat místo udělení pokuty – upozornění na pravděpodobné porušení GDPR, udělení napomenutí, nařízení vyhovět žádostem subjektů údajů, nařízení uvedení zpracování osobních údajů do souladu s GDPR, uložení omezení či zákazu zpracování osobních údajů, nařízení opravy či výmazu údajů, nařízení přerušení předávání osobních údajů do třetích zemí apod.
• Evropský sbor pro ochranu osobních údajů (EDPB) také nedávno zveřejnil k veřejné konzultaci nové pokyny ke kalkulaci správních pokut podle Nařízení GDPR.
• Pokyny zavádí metodu výpočtu správních pokut dle Nařízení GDPR v pěti krocích:
  • Krok 1: Identifikace jednání porušujícího GDPR, tedy šetření, k jakému došlo jednání, jaké jsou skutkové okolnosti (např. pro posouzení polehčujících a přitěžujících okolností) a jak se toto jednání posoudí z hlediska GDPR, respektive které porušení GDPR způsobí.
  • Krok 2: Stanovení doporučené (pro dozorový úřad nezávazné) sazby pro další výpočet sankce jako procento z maximální výše pokuty (podle typu porušení – 10 mil. EUR a/nebo 2 % obratu, nebo 20 mil. EUR a/nebo 4 % obratu). Parametry pro určení výše pokuty:
  • Povaha, závažnost a trvání porušení Nařízení GDPR:
  • nízký stupeň závažnosti: pokuta ve výši 0 – 10 % zákonného maxima;
  • střední stupeň závažnosti: pokuta ve výši 10 – 20 % zákonného maxima;
  • vysoký stupeň závažnosti: pokuta ve výši 20 – 100 % zákonného maxima;
  • Obrat subjektu (s cílem zohlednit požadavek na účinnost a přiměřenost a odrazující povahu pokuty) a to v 6-ti úrovních (od obratu pod 2 mil. EUR po více než 250 mil. EUR), kde každá z úrovní upravuje procentuální snížení zákonného maxima pokuty (0,2 % – 50 %).
  • Krok 3: Zhodnocení polehčujících a přitěžujících okolností, kterými jsou např. kroky podniknuté subjektem ke zmírnění škod, míra odpovědnosti subjektu s ohledem na přijatá technická a organizační opatření, předchozí porušení Nařízení GDPR daným subjektem, míra spolupráce s dozorovým úřadem apod.
  • Krok 4: Omezení maximální výše pokuty v případě překročení maximální hranice stanovené Nařízením GDPR.
  • Krok 5: Zhodnocení skutečné účinnosti, přiměřenosti a odrazujícího účinku sankce a její případná korekce v obou směrech.

Nový štít na ochranu osobních údajů předávaných do USA (Privacy Shield)

• Po zrušení tzv. Privacy Shield v roce 2020 bylo znemožněno předávání osobních údajů z EU do USA a vznikla povinnost pro každé takové předání uzavírat se zpracovateli tzv. standardní smluvní doložky.
• Evropská komise a USA se nyní dohodly na novém transatlantickém rámci pro ochranu osobních údajů, který by měl zajistit volný a bezpečný přenos dat a posílení záruk ochrany soukromí a občanských svobod.
• Shromažďování osobních údajů americkými zpravodajskými agenturami, které bylo jednou z příčin zrušení Privacy Shieldu, by mělo být omezeno pouze na zpracování nezbytná pro dosažení legitimních cílů národní bezpečnosti USA. Spojené státy se dále zavázaly zavést nový vícestupňový systém nápravy, který bude zahrnovat zvláštní nezávislý soud pro přezkum ochrany osobních údajů (Data Protection Review Court). Tento soud se bude skládat z osob mimo vládu USA a bude moct rozhodovat o stížnostech a nařizovat nápravná opatření.
• Stejně jako v případě předchozího Privacy Shieldu by měla fungovat autocertifikace dodržování povinností firmami, které zpracovávají osobní údaje předávané z EU, a to prostřednictvím Ministerstva obchodu USA.
• Přesné znění dohody nicméně zatím neexistuje, Evropská komise a vláda USA aktuálně spolupracují na převedení těchto cílů do právních dokumentů.

Pokuta pro Google za nedodržení práva být zapomenut

• Španělský dozorový úřad Agencia Española de Protección de Datos (AEPD) udělil společnosti Google pokutu 10 milionů EUR (cca 247 mil. Kč) za nedodržení práva být zapomenut a nařídil společnosti, aby své postupy uvedla do souladu s Nařízením GDPR.
• Google pochybil při předávání informací bez platného právního základu třetí straně se sídlem v USA (organizaci Lumen). Tyto předané informace mohly být použity k identifikaci osob žádajících o vymazání svých osobních údajů podle práva EU, vč. jejich e-mailové adresy, adresy URL a uvedených důvodů.
• Organizace Lumen je americký akademický projekt Harvardské univerzity, jehož cílem je studovat zákonné žádosti o odstranění on-line informací prostřednictvím shromažďování databáze žádostí o odstranění obsahu. Organizace Lumen prostřednictvím Google vyhověla žádosti AEPD a vymazala údaje uživatelů, u nichž bylo zjištěno, že jí byly sděleny bez právního základu.

Záznam o činnosti zpracování – Ochrana oznamovatelů

• Se zavedením nové povinnosti v oblasti ochrany oznamovatelů (whistleblowing) dochází k novému zpracování osobních údajů správcem. Upozorňujeme, že toto zpracování musí být evidováno formou Záznamu o činnostech zpracování podle článku 30 Nařízení GDPR.
• Zpracování osobních údajů musí samozřejmě naplňovat všechny parametry zákonnosti zpracování, především minimalizace údajů, omezení účelem, omezení uložení a zpřístupnění osobních údajů, zabezpečení osobních údajů, transparentnost zpracování a právní důvod zpracování.
• Nezbytnou podmínkou v případě využívání služeb externí společnosti pro zajištění povinností v oblasti ochrany oznamovatelů je také uzavření zpracovatelské smlouvy, která upřesňuje jakým způsobem bude docházet ke zpracování osobních údajů mezi subjekty a za jakých podmínek.

Záznam o činnosti zpracování – Agenda uprchlíků

• Při zajišťování pomoci uprchlíkům je potřeba zohlednit pravidla ochrany osobních údajů. Při nakládání s osobními údaji je vždy zapotřebí zohledňovat pravidla jejich ochrany, tedy především zabezpečené uložení, sdílení pouze pro nezbytné, zákonem podložené účely a vždy pouze v nezbytném rozsahu, nezbytnému okruhu příjemců a vždy pouze zabezpečenými kanály. Poskytování statistických údajů (bez osobních údajů) samozřejmě pravidly ochrany osobních údajů není nijak dotčeno.
• Jelikož dochází k novému zpracování osobních údajů správcem, musí být toto zpracování evidováno formou Záznamu o činnostech zpracování podle článku 30 Nařízení GDPR.
• Zpracování osobních údajů musí samozřejmě naplňovat všechny parametry zákonnosti zpracování, především minimalizace údajů, omezení účelem, omezení uložení a zpřístupnění osobních údajů, zabezpečení osobních údajů, transparentnost zpracování a právní důvod zpracování.

Jak zjistit jaké cookies jsou na webové stránce

• Dle aktuálně zveřejněných informací se Úřad pro ochranu osobních údajů v rámci svých kontrol v roce 2022 zaměří i na dodržování zákonné úpravy cookies, tj. datových souborů ukládajících se do koncového zařízení, resp. prohlížeče. Od 1. ledna 2022 totiž platí nová pravidla pro ukládání cookies (OPT-IN režim pro ukládání cookies v prohlížeči uživatele), a to na základě zákona č. 374/2021 Sb., kterým se mění zákon č. 127/2005 Sb., o elektronických komunikacích.
• Pro zjištění, zda, popř. jaké cookies Vaše webové stránky zpracovávají:
  • otevřete webový prohlížeč a přepněte do anonymního režimu,
  • zadejte adresu Vaší webové stránky,
  • v adresním řádku klikněte na ikonu zámečku,
  • vyberte možnost Soubory cookie.
• Bez souhlasu uživatelů mohou webové stránky ukládat jen technické cookies, které jsou nezbytné pro správnou funkci stránek (výjimka ze souhlasu se ale vztahuje pouze na uložení a čtení cookies v prohlížeči uživatele). V ostatních případech musí být zaveden tzv. OPT-IN režim pro ukládání cookies, tj. ukládání cookies jen na základě výslovného / prokazatelného souhlasu návštěvníka webových stránek, a to vše v souladu s aktuálně platnou legislativou Evropské unie.
• Pro vyhodnocení druhu pořizovaných cookies lze využít databázi cookies, např. https://cookiepedia.co.uk/.

Provázanost GDPR s kybernetickou bezpečností – zákonná povinnost ohlašování porušení zabezpečení osobních údajů

• V měsíčníku Veřejná správa vyšel rozhovor o GDPR a kybernetické bezpečnosti s Jiřím Kauckým, předsedou ÚOOÚ (https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=56198).
• V článku předseda úřadu upozorňuje na rostoucí provázanost ochrany osobních údajů s kybernetickou bezpečností. Upozorňuje především na tzv. ohlašovací povinnost v případě porušení zabezpečení osobních údajů – v případě, kdy dojde k úspěšnému hackerskému útoku a budou odcizeny osobní údaje, musí správce všechny případy porušení zabezpečení evidovat a vyhodnotit a je-li potřeba, takové porušení také nahlásit Úřadu pro ochranu osobních údajů. Oznamovat není nutné ty případy, kdy je nepravděpodobné, že by takové porušení mělo za následek riziko pro práva a svobody fyzických osob.
• Pokud je ovšem pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, je správce osobních údajů povinen oznámit takové porušení, a to bez zbytečného odkladu, nejen ÚOOÚ, ale i dotčeným subjektům údajů.
• Ačkoliv ÚOOÚ nehodlá trestat oběti hackerských útoků, jsou případy, kdy správce natolik zásadním způsobem zanedbal své povinnosti chránit osobní údaje, že bude na místě uplatnění sankčních pravomocí. Z pohledu správce osobních údajů je tedy nezbytné nastavit a naplňovat proces pravidelného testování, posuzování a hodnocení účinnosti zavedených technických, fyzických a organizačních opatření pro zajištění bezpečnosti zpracování osobních údajů.
• Pokud k porušení zabezpečení dojde, je zákonnou povinností správce osobních údajů splnit svou ohlašovací povinnost a takové porušení oznámit ÚOOÚ, popř. i NÚKIB, spadá-li správce do povinných osob dle zákona o kybernetické bezpečnosti.

Výzva pro klienty SHOPTET.CZ

• Společnost Shoptet, a.s. je největším českým poskytovatelem krabicového řešení pro tvorbu e-shopu. Shoptet se specializuje na pronájem e-shopových řešení. V současné chvíli Shoptet, a.s. využívá 30 606 e-shopů, což je třetina všech internetových obchodů působících na českém a slovenském trhu. Také nabízí pokladní systém, který umožňuje správu e-shopu a kamenného obchodu v rámci jednoho on-line systému.
• Úřad pro ochranu osobních údajů na základě ohlášení o porušení zabezpečení osobních údajů, které se mohlo dotknout části klientů společnosti Shoptet, a.s., vyzývá všechny klienty této společnosti, aby jako správci osobních údajů prověřili, zda u nich nedošlo k porušení zabezpečení osobních údajů spočívající v neoprávněném exportu dat. Týká se to zejména těch, kdo mají nebo v minulosti měli v rámci svých e-shopů nainstalovány doplňky „Souhrnný přehled“ nebo „Pokročilé statistiky“.
• ÚOOÚ toto ohlášení porušení zabezpečení nyní vyhodnocuje, ale vzhledem k tomu, že mohlo dojít k porušení ochrany osobních údajů mnoha tisíc osob přistoupil k této veřejné výzvě.

Pořízení tajného audiozáznamu v pracovních vztazích

• Ustanovení § 86 občanského zákoníku stanoví: „Nikdo nesmí zasáhnout do soukromí jiného, nemá-li k tomu zákonný důvod. Zejména nelze bez svolení člověka narušit jeho soukromé prostory, sledovat jeho soukromý život nebo pořizovat o tom zvukový nebo obrazový záznam, využívat takové či jiné záznamy pořízené o soukromém životě člověka třetí osobou, nebo takové záznamy o jeho soukromém životě šířit. Ve stejném rozsahu jsou chráněny i soukromé písemnosti osobní povahy.“
• Bez souhlasu osoby lze pořídit zvukový záznam na základě zákonné licence (vědecký, umělecký účel atp.). Svolení k pořízení audiozáznamu dále není třeba, pokud se zvukový záznam pořídí k výkonu nebo ochraně jiných práv nebo právem chráněných zájmů jiných osob. Svolení dále není třeba ani v případě, když zvukový záznam pořídí na základě zákona k úřednímu účelu nebo v případě, že někdo veřejně vystoupí v záležitosti veřejného zájmu.
• Zaměstnavatel nesmí bez závažného důvodu spočívajícího ve zvláštní povaze činnosti zaměstnavatele narušovat soukromí zaměstnance na pracovištích a ve společných prostorách zaměstnavatele tím, že podrobuje zaměstnance otevřenému nebo skrytému sledování, odposlechu a záznamu jeho telefonických hovorů, kontrole elektronické pošty nebo kontrole listovních zásilek adresovaných zaměstnanci. Je tedy zákonem vyloučeno, aby zaměstnavatel pořídil tajný audiozáznam z rozhovoru se zaměstnancem.
• Zaměstnanec však může v některých případech pořídit tajný audiozáznam, ve kterém figuruje zaměstnavatel. Nejvyšší soud k tomu uvedl, že zvukový nebo obrazový záznam, který se týká člověka nebo jeho projevů osobní povahy a který byl pořízen soukromou osobou bez vědomí nahrávané osoby, lze použít jako důkaz v občanském soudním řízení pouze tam, kde má vést k prokázání skutečnosti, kterou není možné prokázat jinak (pomocí důkazů, které nezasahují do absolutních osobnostních práv dotčené osoby), a kde i další okolnosti případu vedou k závěru, že nelze upřednostnit právo na ochranu osobnosti dotčené osoby před právem na spravedlivý proces toho, komu je použití důkazu zvukovým či obrazovým záznamem týkajícím se této osoby nebo jejích projevů osobní povahy na prospěch.

Pokuty za porušení GDPR

• Pokuty za porušení právních předpisů EU o ochraně osobních údajů v loňském roce vzrostly téměř sedminásobně na 1,25 miliardy USD (cca 26,8 miliardy Kč). O rok dříve pokuty činily 180 milionů USD.
• Pokuty v rámci GDPR se loni týkaly zejména internetových firem. Úřad v Lucembursku např. vyměřil americké společnosti Amazon pokutu 746 milionů EUR, úřad v Irsku pak dal firmě WhatsApp ze skupiny Meta pokutu 225 milionů EUR. Obě firmy se proti pokutám odvolaly.

Kamerový systém na pracovišti a použití atrap kamery

• Řada organizací využívá pro ochranu svého majetku bezpečnostní kamery. Organizace musí při používání kamerového systému určeného ke kontrole pracovních prostor a zaměstnanců na pracovišti dodržovat jak pravidla ochrany osobních údajů v souladu s Nařízením GDPR, tak Zákoníku práce, § 316 zejména odst. 2. Ke kontrole zaměstnanců kamerovým systémem je třeba podle Zákoníku práce zvláštní důvod spočívající ve zvláštní povaze činnosti zaměstnavatele (např. nakládání s peněžní hotovostí, s cennými kovy nebo s majetkem vysoké hodnoty apod.).
• Monitorování kamerovým systémem lze v souladu s Nařízením GDPR nejčastěji podložit právním důvodem „oprávněný zájem zaměstnavatele“ (tedy ochrana života a zdraví osob, ochrana majetku zaměstnavatele nebo kontrola dodržování povinností zaměstnanců na úseku BOZP apod.). Toto zpracování je však možné jen pod podmínkou, že zasahuje do soukromí zaměstnanců pouze v minimálním rozsahu. Test proporcionality daného pořizování záznamů musí respektovat rovnováhu mezi zájmy zaměstnavatele a ochranou osobních údajů zaměstnanců, včetně zdůvodnění, proč je jiný způsob kontroly nedostačující.
• Úřad pro ochranu osobních údajů shrnul základní kritéria nadměrného zásahu do soukromí a jako zcela nepřípustné označuje např. umístění kamerového systému „v prostorách určených k ryze soukromým úkonům (např. toalety, sprchy)”. Kamerové systémy lze tedy umístit např. na chodbu nebo ke vstupům do objektu, je však nepřípustné, aby byly nepřetržitě monitorovány společné oddychové prostory, jako třeba jídelna nebo kuchyňka.
• Ke kontrole zaměstnanců kamerovým systémem není třeba získávat jejich souhlas, nezbytnou podmínkou však je informování zaměstnanců o prováděném monitorování, obvykle formou interního informačního memoranda a informační cedule umístěné před vstupem do monitorovaných prostor.
• Samozřejmostí je vedení Záznamu o činnostech zpracování dle čl. 30 Nařízení GDPR, zabezpečení uložení pořízených záznamů, včetně omezení přístupu k nim a jejich výmaz maximálně po 7 dnech. Při neoprávněném monitorování může být zaměstnavateli udělena pokuta až 1 mil. Kč.
• V případě, že organizace na pracovišti nainstaluje nefunkční kamerový systém, tj. atrapy kamer, tak se již nejedná o zpracování osobních údajů dle Nařízení GDPR. Atrapou kamerového systému totiž nelze sbírat osobní údaje zaměstnanců. Instalace atrapy kamery na pracovišti může však být považována z pohledu Zákoníku práce za možné porušení pracovněprávních předpisů. Toto tvrzení potvrdil i Inspektorát práce, který v rámci provedeného šetření kamerové atrapy na pracovišti konstatoval, že zaměstnavatel instalací atrapy technologických prvků kamerového systému porušil § 302 Zákoníku práce, konkrétně povinnost „vytvářet příznivé pracovní podmínky a zajišťovat bezpečnost a ochranu zdraví při práci.

Kontroly Úřadu pro ochranu osobních údajů

• Organizace jako správce (případně zpracovatel) osobních údajů je povinna doložit soulad své činnosti s Nařízením GDPR a národní legislativou. To je tedy zejména povinnost:
  • vést záznamy o činnostech zpracování;
  • vyhodnocovat a případně ohlašovat případy porušení zabezpečení osobních údajů (incidenty v oblasti zpracování osobních údajů);
  • jmenovat Pověřence pro ochranu osobních údajů (podle typu organizace a typu prováděného zpracování);
  • dodržovat zásady zpracování osobních údajů (omezení účelem, minimalizace zpracování, zabezpečení osobních údajů, omezení uložení apod.);
  • vést interní dokumentaci ochrany osobních údajů, především interní směrnici o zpracování osobních údajů;
  • informovat subjekty údajů o prováděném zpracování osobních údajů;
  • plnit práva subjektů údajů podle Nařízení GDPR;
  • uzavřít zpracovatelskou smlouvu s každým zpracovatelem osobních údajů;
  • pravidelně testovat, posuzovat a hodnotit účinnost zavedených organizačních, fyzických a technických opatření pro zajištění bezpečnosti zpracování osobních údajů.
• Dozorovým úřadem v oblasti ochrany osobních údajů je Úřad pro ochranu osobních údajů, který vykonává dozor, provádí kontrolu na místě a ukládá nápravná opatření a finanční sankce. ÚOOÚ kontrolu zahajuje na základě:
  • svého kontrolního plánu,
  • stížnosti subjektu údajů,
  • veřejně dostupných informací.
• V případě zahájení kontroly ÚOOÚ je vždy prvním krokem vyžádání doložení souladu zpracování osobních údajů s Nařízením GDPR a národní legislativou, což jsou především aktuální Záznamy o činnostech zpracování dle č. 30 Nařízení GDPR, interní směrnice, informační memorandum, doložení procesu testování systému ochrany osobních údajů a uzavřené zpracovatelské smlouvy. Každý správce (popř. zpracovatel) osobních údajů by proto tuto dokumentaci měl udržovat průběžně aktuální a kompletní.

Výroční zpráva ÚOOÚ za rok 2021 – konkrétní realizované kontroly ÚOOÚ

• V roce 2021 Úřad pro ochranu osobních údajů provedl celkem 52 kontrol, z toho již 43 kontrol ukončil. ÚOOÚ uložil pravomocně 40 pokut za porušení Nařízení GDPR. Mezi nejčastější pochybení patřilo zpracování osobních údajů bez řádného právního titulu, užívání údajů k jinému účelu, než k jakému byly získány, zpracovatelské smlouvy neobsahující všechny náležitosti dle čl. 28 Nařízení GDPR, nedostatečné informování subjektů údajů o zpracování jejich údajů atd. Nejvyšší uložená částka byla 2 mil. Kč za nesplnění uložených nápravných opatření. Celková částka uložených pokut v souvislosti s porušením obecného nařízení od 25. května 2018 činí 10 684 000 Kč.

i) Kontrola „Zpracování osobních údajů respondentů veřejného průzkumu spokojenosti obyvatel“

• Předmětem kontroly byl postup obce při realizaci tzv. průzkumu spokojenosti obyvatel s životem ve městě. V rámci průzkumu město vyžadovalo vyplnění osobních údajů v rozsahu datum narození respondenta a číslo občanského průkazu. Poskytnuté osobní údaje měly sloužit k ověření, zda má respondent v daném městě trvalý pobyt nebo zde vlastní nemovitost. Průzkum pak měl být zaměřen pouze na osoby s takovýmto vztahem k městu a dotazníky vyplněné jinými osobami měly být z veřejného průzkumu vyřazeny. Dotazník bylo možno vyplnit v elektronické či listinné podobě. Přes uvedený záměr města byly do výsledků veřejného průzkumu zahrnuty i vyplněné dotazníky osob, které nejsou jeho občany ani zde nevlastní nemovitost. Účel, pro který byly osobní údaje shromažďovány, tak byl překročen, přičemž město ani neprokázalo zákonný titul pro zpracování osobních údajů, čímž porušilo základní zásady zpracování osobních údajů (zásada zákonnosti a zásada omezení účelem).
• Obec prováděla zpracování osobních údajů prostřednictvím soukromé společnosti. S tímto zpracovatelem však neuzavřela zpracovatelskou smlouvu. Nad rámec toho nebyly doloženy ani žádné předané pokyny mezi městem (správcem) a zpracovatelem, na základě kterých by mělo probíhat zpracování osobních údajů. Do zpracování byl též zapojen další zpracovatel, přičemž ani toto zapojení nebylo řádně smluvně zajištěno dle obecného nařízení.
• Dotazník byl navíc v elektronické podobě vyplňován prostřednictvím on-line cloudové služby, přičemž ani k využití této technologie nebyla ze strany správce nastavena pravidla. Ačkoliv město deklarovalo, že ověření oprávnění účastnit se průzkumu je realizováno anonymně, v praxi k žádné anonymizaci nedocházelo.
• Ohledně uvedených skutečností pak ÚOOÚ shledal, že město:
  • porušilo Nařízení GDPR ve vztahu k povinnostem týkajícím se nastavení vztahu mezi správcem a zpracovatelem;
  • nedoložilo přijetí technických a organizačních bezpečnostních opatření, a to zejména pro operace zpracování, v rámci kterých byly osobní údaje zpracovávány mimo interní informační systém města;
  • nesplnilo informační povinnost, a to předně ve vztahu k tomu, kdo jsou příjemci osobních údajů, či že jsou do zpracování osobních údajů zapojeni mimo město (tj. správce) i zpracovatelé.
• Proti kontrolním zjištěním město nepodalo námitky. V rámci navazujícího správního řízení pak byly městu uloženy konkrétní povinnosti k nápravě závadného stavu, k jejichž splnění následně přistoupilo.

ii) Kontrola „Zpracování osobních údajů zaměstnanců v informačních a komunikačních systémech“

• Předmětem kontroly bylo dodržování povinností stanovených ministerstvu v souvislosti se zpracováním osobních údajů zaměstnanců v informačních a komunikačních systémech. Kontrolováno bylo zpracování osobních údajů zaměstnanců ve 21 samostatných informačních a komunikačních systémech a aplikacích využívaných ministerstvem, včetně zvláštních kategorií osobních údajů (údaje o zdravotním stavu, biometrické údaje), a činnost zpracovatele.
• Kontrolující ověřili zákonnost zpracování a konstatovali, že kontrolovaná osoba poskytuje subjektům údajů všechny informace, které jsou čl. 13 Nařízení GDPR předpokládány. Nebylo zjištěno ani porušení povinností odpovídajících právům subjektů údajů dle Nařízení GDPR.
• Drobné formální nedostatky byly zjištěny:
  • v oblasti zabezpečení zpracovávaných osobních údajů (např. formální neaktuálnosti v některých interních předpisech);
  • Pověřenec pro ochranu osobních údajů nebyl nijak zapojen v rámci plnění povinností kontrolované osoby vztahujících se k zabezpečení osobních údajů a ani ve vztahu k realizaci práv subjektů údajů;
  • Pověřenci nebyly předkládány informace, které jsou pro výkon této funkce nezbytné (např. auditní zprávy), ani zdroje k plnění jeho úkolů, a to zejména zdroje časové a personální (kromě plnění úkolů Pověřence mu totiž byly systematicky ukládány další úkoly s touto funkcí nesouvisející).
• Kontrolovaná osoba proti kontrolním zjištěním neuplatnila námitky a v návaznosti na uvedená zjištění přistoupila k nápravě závadného stavu.

iii) Kontrola „Zpracování osobních údajů a plnění povinností při výkonu práv subjektů údajů“

• Kontrolovanou osobou byla právnická osoba podnikající v oblasti on-line aukcí, přičemž kontrola byla zahájena na základě stížnosti. Kontrolovaná osoba neposkytla stěžovateli informaci o zpracování jeho osobních údajů a na jím vznesený požadavek na vymazání z její evidence řádně a aktivně nereagovala, pouze umožňovala subjektům údajů, aby se přihlásily do svých uživatelských účtů a své osobní údaje tam samy vymazaly.
• Úřad v rámci kontroly konstatoval, že je povinností správce realizovat práva subjektů údajů, obrátí-li se na něj subjekt údajů s uplatněním daného práva. Zjištěné porušení Nařízení GDPR bylo ze strany kontrolované osoby zhojeno ještě v průběhu řízení, tzn. že kontrolovaná osoba jako správce osobních údajů zavedla mechanismus, jímž vždy řádně reaguje na žádost subjektů údajů.

iv) Kontrola „Vydání publikace k výročí školy s uvedením seznamu absolventů“

• Zdrojem pro vydání ročenky má být školní matrika vedená podle § 28 zákona č. 561/2004 Sb., školský zákon, jako evidence dětí, žáků nebo studentů. K zařazení seznamu absolventů do ročenky tak škola musí mít právní důvod, kterým může být oprávněný zájem školy připomenout významné výročí školy vydáním ročenky mapující její historii. Platí však zásada, že osobní údaje shromážděné do školní matriky nesmějí být dále zpracovávány způsobem, který je s účelem vedení matriky neslučitelný.
• Pokud bude ročenka zveřejněna v tištěné podobě v omezeném nákladu určeném pouze samotným absolventům nebo jejich rodinným příslušníkům, v minimálním rozsahu osobních údajů: jméno, příjmení, třída a rok absolvování, nebudou uvedené zásady porušeny a vydání ročenky je i bez souhlasu jednotlivých absolventů školy možné.
• Právo na ochranu osobních údajů absolventů by mělo přednost v případě, že by ročenka měla být zveřejněna prostřednictvím internetu neomezenému okruhu příjemců, kdy je riziko dalšího zpracování zveřejněných osobních údajů s propojením na další osobní údaje absolventů získávané z jiných zdrojů mnohem vyšší. V takovém případě by byl jediným právním důvodem ke zveřejnění souhlas subjektů údajů. Stejné řešení by škola musela použít v případě, že by ročenka byla ve větším nákladu pro komerční účely prodávána širokému okruhu potenciálních zájemců.

v) Kontrola „Neoprávněné zpracování osobních údajů získaných z veřejných databází průmyslových práv“

• Na základě podnětu Úřadu průmyslového vlastnictví (ÚPV) řešil ÚOOÚ případ zasílání nevyžádaných nabídek, které byly zasílány přihlašovatelům a vlastníkům průmyslových práv s nabídkou registrace jejich průmyslového práva za úplatu na internetových stránkách oslovujícího subjektu, kterým byla obchodní společnost. Osobní údaje oslovovaných osob přitom obviněná společnost získávala z veřejných databází průmyslových práv vedených ÚPV a v oslovených se snažila vyvolat dojem, že jde o oficiální státní instituci (ÚPV) a oficiální rejstřík.
• Společnosti byla uložena pokuta 120 tis. Kč. V případě získání osobních údajů z veřejných databází nejde o zpracování na základě souhlasu subjektu údajů, zpracování osobních údajů nezbytného pro účely oprávněných zájmů správce, ani o zpracování osobních údajů ve veřejném zájmu.

Vyřizování žádosti subjektu údajů o přístup podle čl. 15 k „veškerým osobním údajům“

• Při vyřizování uvedené žádosti je správce osobních údajů povinen subjektu údajů poskytnout rozsah informací uvedených v čl. 15 odst. 1 Nařízení GDPR (účel zpracování, kategorie dotčených osobních údajů apod.). I v případě, že obec provádí pouze zpracování, která jsou jí stanovena zvláštními právními předpisy (např. zákonem č. 128/2000 Sb., o obcích, či zákonem č. 106/1999 Sb., o svobodném přístupu k informacím), není dostačující obecné konstatování, že správce zpracovává osobní údaje subjektu údajů výhradně na základě zákonných předpisů. Je zde nutné konkretizovat, o jaké předpisy se jedná, co je účelem zpracování apod. Většinu informací však již správce vede v rámci Záznamů o činnostech zpracování dle čl. 30 Nařízení GDPR.
• Podle recitálu 63 GDPR platí, že pokud správce zpracovává velké množství informací týkajících se subjektu údajů, měl by mít možnost ho před poskytnutím informací požádat, aby konkrétně uvedl, kterých informací nebo činností zpracování se jeho žádost týká. Dále platí, že pokud jsou žádosti podané občany zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, má správce dvě možnosti. Buď uloží přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací, nebo odmítne žádosti vyhovět. Obecně platí, že odmítnutí či zpoplatnění uvedené žádosti by mělo být relevantně odůvodněno.

Porušení GDPR při hackerských útocích

• V současné době stále více přibývá hackerských útoků na internetové stránky různých organizací včetně měst a obcí, při kterých dochází k odcizení osobních údajů.
• Úřad pro ochranu osobních údajů upozorňuje, že odcizení osobních údajů při hackerském útoku může pro postižený subjekt v roli správce osobních údajů znamenat porušení Nařízení GDPR. ÚOOÚ proto doporučuje, aby organizace v postavení správce osobních údajů včas provedly odpovídající revizi svých informačních systémů a procesů zabezpečení, a přijaly odpovídající preventivní opatření pro efektivní ochranu a zabezpečení osobních údajů, které spravují.
• V případě, že při hackerském útoku na informační systémy organizace dojde k odcizení osobních údajů, musí organizace tento únik osobních údajů neprodleně ohlásit ÚOOÚ. Návod ohlášení porušení zabezpečení osobních údajů v souladu s Nařízením GDPR je zveřejněn na webových stránkách ÚOOÚ https://www.uoou.cz/poruseni-zabezpeceni/ds-5020/archiv=0&p1=3938.

Pokuta za únik zdravotních údajů

• Francouzský dozorový úřad CNIL (Commission Nationale de l’Informatique et des Libertés) uložil společnosti Dedalus Biologie pokutu ve výši 1,5 milionu EUR (cca 37 mil. Kč) z důvodu nedostatečného zabezpečení spravovaných osobních údajů. V únoru 2022 unikly na internet osobní údaje subjektu údajů, za jejichž bezpečné zpracování byla společnost Dedalus Biologie odpovědná. Jednalo se o jméno, příjmení, rodné číslo, jméno ošetřujícího lékaře, datum vyšetření a údaje o zdravotním stavu subjektů údajů (např. HIV status, informace o nádorových onemocněních, genetických onemocněních, těhotenství, medikamentózní léčbě či genetické údaje subjektů údajů).
• Tímto rozhodnutím francouzského dozorového úřadu CNIL bylo potvrzeno, že neschopnost zabránit úniku osobních údajů může být považována za porušení Nařízení GDPR.

Bezpečnostní varování před možnou nedostupností technologií dodavatelů Ruska

• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal bezpečnostní varování před hrozbou v oblasti kybernetické bezpečnosti spočívající v nedodržení smluvních závazků ze strany dodavatelů ICT služeb a produktů s významným vztahem k Ruské federaci (viz https://www.nukib.cz/cs/uredni-deska/).
• NÚKIB vydal toto preventivní varování na základě zákona č. 181/2014 Sb., o kybernetické bezpečnosti, tj. instituce spadající pod tento zákon musí provést analýzu rizik z pohledu dodavatelů ICT. Pokud rizikové technologie v systémech objeví, je nutné zjistit, zda od dodavatelů hrozí nedostupnost služeb nebo omezení dodávek a případně vyvodit příslušné závěry.
• NÚKIB ICT s významným vztahem k Ruské federaci nezakazuje, pouze varuje před tím, že by dodavatelé vlivem sankcí nemuseli být schopní plnit své závazky. Dodavatel ICT s významným vztahem k Ruské federaci se podle NÚKIB pozná podle několika ukazatelů, např. má sídlo v Rusku, je závislý na dodávkách z Ruska, má v této zemi umístěný výzkum a vývoj atd.

Často kladené otázky k zákonu o některých službách informační společnosti

• Úřad pro ochranu osobních údajů na svých webových stránkách (viz https://www.uoou.cz/vismo/zobraz_dok.asp?id_org=200144&id_ktg=5494) zveřejnil často kladené otázky k zákonu č. 480/2004 Sb., o některých službách informační společnosti.
• ÚOOÚ ve spojitosti s agendou obchodních sdělení v rámci často kladených otázek odpovídá na dotazy z následujících oblastí:
  • Pojem obchodní sdělení
  • Právní tituly k zasílání obchodních sdělení
  • Podmínky pro zasílání obchodních sdělení
  • Přestupky
  • Ostatní

Výroční zpráva ÚOOÚ za rok 2021

• Úřad pro ochranu osobních údajů zveřejnil na svých webových stránkách výroční zprávu ÚOOÚ za rok 2021 (viz https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=55760), která obsahuje podrobný přehled významných témat řešených úřadem v loňském roce v oblasti ochrany osobních údajů, přehled přezkumných a odvolacích řízení podle zákona o svobodném přístupu k informacím, přehled o kontrolní činnosti úřadu atd.
• ÚOOÚ v roce 2021 odpověděl na 1 651 písemných dotazů veřejnosti a přijal celkem 1 720 stížností a 710 podnětů. Dle zveřejněných dat si lidé v roce 2021 nejvíce v rámci podaných stížností a podnětů stěžovali na zpracování údajů pro marketingové účely (obchodní sdělení a marketingové hovory), zveřejnění / zpřístupnění osobních údajů, výkon práv subjektů údajů dle čl. 15 a 21 Nařízení GDPR a monitorování fyzických osob prostřednictvím kamer. Z hlediska zastoupení stížností a podnětů z oblastí veřejnoprávních a soukromoprávních vztahů výrazně převažují podané stížnosti a podněty směřující proti zpracování osobních údajů v soukromoprávní oblasti.
• V roce 2021 ÚOOÚ provedl celkem 52 kontrol, z toho již 43 kontrol ukončil. Úřad uložil pravomocně 40 pokut za porušení Nařízení GDPR. Mezi nejčastější pochybení patřilo zpracování osobních údajů bez řádného právního titulu, užívání údajů k jinému účelu, než k jakému byly získány, zpracovatelské smlouvy neobsahující všechny náležitosti dle čl. 28 Nařízení GDPR, nedostatečné informování subjektů údajů o zpracování jejich údajů atd. Nejvyšší uložená částka byla 2 mil. Kč za nesplnění uložených nápravných opatření.
• V oblasti nevyžádaných obchodních sdělení ÚOOÚ v roce 2021 uložil pravomocně 29 pokut za porušení zákona č. 480/2004 Sb., o některých službách informační společnosti. Mezi nejčastější pochybení patřilo zasílání obchodních sdělení bez právního titulu, porušení v náležitostech obchodních sdělení – nesprávné označení takových zpráv, či chybějící informace o tom, v čí prospěch je obchodní sdělení odesíláno, v případě SMS zpráv se jednalo o pochybení při neuvádění možností odhlášení takových zpráv.
• ÚOOÚ vedl v loňském roce celkem 60 správních řízení v rámci orgánu prvního stupně.

Prověření aplikace Tečka a čTečka

• Úřad pro ochranu osobních údajů se v rámci svých kontrol zaměřil na nakládání s osobními údaji na Ministerstvu zdravotnictví a tedy i na kontrolu zpracování osobních údajů subjektů údajů v souvislosti s elektronickým certifikátem EU COVID‑19 včetně aplikací Tečka a čTečka při prokazování bezinfekčnosti. Kontrola aplikace čTečka se týkala zejména toho, že obsažené údaje v QR kódu zůstávají v historii zařízení, které slouží jako čtečka kódu.
• Ministerstvo zdravotnictví podalo před časem na zjištění kontroly provedené ÚOOÚ námitky. V současné době ÚOOÚ vyřizuje podané námitky ministerstva, rozhodnutí lze očekávat v nejbližších týdnech.

Problematika pokut udělených nemocnicím – akciovým společnostem

• Nejvyšší správní soud potvrdil platnost pokuty ve výši 40 tis. Kč, kterou v rámci provedených kontrol Úřad pro ochranu osobních údajů udělil nemocnici Tábor za nedostatečné zajištění bezpečnosti při zpracování osobních údajů. Nemocnice Tábor se bránila proti pokutě za porušení Nařízení GDPR s argumentem, že je veřejným subjektem podle zákona č. 110/2019 Sb., o zpracování osobních údajů, a nepodléhá tak finančním sankcím.
• Toto rozhodnutí Nejvyššího správního soudu (NSS) je přelomové – v rámci vydaného rozhodnutí NSS konstatoval, že nemocnice – akciová společnost není z pohledu zákona č. 110/2019 Sb. veřejným subjektem, přestože je financována převážně z prostředků veřejného zdravotního pojištění.
• V rámci vydaného rozhodnutí NSS odmítl aplikaci zákona o zpracování osobních údajů, který neumožňuje uložení sankce veřejnému subjektu. V této souvislosti NSS uvedl, že zákon č. 110/2019 Sb. definici veřejného subjektu neuvádí. Nemocnice jako akciová společnost s vlastním majetkem a hospodařením je financována převážně z prostředků veřejného zdravotního pojištění, což však nelze brát jako čerpání peněz z veřejných rozpočtů. Nemocnice – akciová společnost získává finanční prostředky na svůj provoz a fungování jako protiplnění za konkrétní lékařské úkony, které vykáže zdravotním pojišťovnám. Nemocnice – akciová společnost tedy není veřejným subjektem ve smyslu zákona o zpracování osobních údajů, u něhož by mělo být podle § 62 odst. 5 tohoto zákona rozhodnuto o upuštění od potrestání.
• Celé znění rozsudku Nejvyššího správního soudu je zveřejněno na webových stránkách ÚOOÚ (viz https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=55741).

Společnost Meta dostala pokutu 17 mil. EUR

• Po dosažení širšího konsenzu mezi evropskými dozorovými orgány v oblasti ochrany osobních údajů irská Komise pro ochranu osobních údajů uložila společnosti Meta Platforms Ireland Limited (dříve Facebook) pokutu ve výši 17 mil. EUR (cca 420 mil. Kč).
• Kontrola byla zaměřena na to, jak společnost Meta plní své povinnosti s ohledem na zásadu integrity a důvěrnosti a na zabezpečení osobních údajů. Dle závěrů provedené kontroly společnost Meta neimplementovala vhodná technická ani organizační opatření a selhala taktéž v případě plnění zásady odpovědnosti, tj. schopnosti prokázat plnění svých povinností.

Zpracování osobních údajů uprchlíků z Ukrajiny

• V současné době přichází do České republiky obrovské množství občanů napadené Ukrajiny. Při zajišťování pomoci je potřeba zohlednit pravidla ochrany osobních údajů. V praxi nastávají situace, kdy asistenční centra sdílejí s obcemi seznamy uprchlíků, včetně jejich osobních údajů (jméno a příjmení, datum narození, pohlaví, ubytování, obec apod.). Navíc k předávání dochází nezabezpečenými kanály (elektronickou poštou, bez zašifrování dat).
• Upozorňujeme, že se jedná o porušení pravidel ochrany osobních údajů i vysoké bezpečnostní riziko pro samotné uprchlíky. Při nakládání s osobními údaji je vždy zapotřebí zohledňovat pravidla jejich ochrany, tedy především zabezpečené uložení, sdílení pouze pro nezbytné, zákonem podložené účely a vždy pouze v nezbytném rozsahu, nezbytnému okruhu příjemců a vždy pouze zabezpečenými kanály.
• Poskytování statistických údajů (bez osobních údajů) samozřejmě pravidly ochrany osobních údajů není nijak dotčeno.

Využívání cloudových služeb veřejnými subjekty

• Využívání cloudových služeb veřejnými subjekty klade vysoké nároky na ochranu osobních údajů, proto je velmi důležité využívat bezpečné produkty či služby neohrožující ochranu zpracovávaných osobních údajů.
• Na využívání cloudových služeb veřejnými subjekty se v současné době zaměřuje 22 evropských dozorových úřadů vč. českého Úřadu pro ochranu osobních údajů. Tato akce, která byla iniciována Evropským sborem pro ochranu osobních údajů (EDPB), vychází z Rámce pro koordinované prosazování předpisů podle obecného nařízení o ochraně osobních údajů (CEF) a také ze zjištění Eurostatu, z něhož vyplývá, že využívání cloudových služeb v Evropské unii se za posledních šest let zdvojnásobilo.
• Společný postup evropských dozorových úřadů si klade za cíl zmapovat situaci v jednotlivých členských státech a následně přijmout takové kroky, které zajistí dostatečnou ochranu osobních údajů zpracovávaných veřejným sektorem. V rámci akce bude prověřeno více jak 75 veřejných institucí napříč Evropskou unií a Evropským hospodářským prostorem.
• ÚOOÚ v první fázi této akce oslovil formou dotazníkového šetření vybrané instituce České republiky, a to Ministerstvo práce a sociálních věcí, Ministerstvo vnitra a Národní agenturu pro komunikační a informační technologie. Cílem dotazníkového šetření je zjistit aktuální stav využívání cloudových služeb dle Nařízení GDPR. Informace zjištěné v rámci dotazníkového šetření budou vyhodnoceny jak ÚOOÚ, tak i na unijní úrovni. V závislosti na zjištěných informacích ÚOOÚ v druhé fázi akce rozhodne o podniknutí dalších kroků či o přijetí vhodných postupů zajišťujících vysoký standard ochrany osobních údajů ve veřejném sektoru.
• Evropský sbor pro ochranu osobních údajů zveřejní souhrnnou zprávu o výsledku této koordinované akci na konci roku 2022.

Aplikace Tečka bude i nadále fungovat

• Ministerstvo zdravotnictví vydalo informaci, že aplikace Tečka sloužící k prokazování očkování proti COVID-19 a k prokazování negativním testem na COVID-19 bude i nadále v provozu. Bude sloužit především pro notifikace a upozornění ohledně možnosti vakcinace, platnosti PCR testů, odjezdy do zahraničí, kontrolu pravidel vstupu do ostatních států, či pro vstup do České republiky.
• Úřad pro ochranu osobních údajů se v rámci svých kontrol zaměřil na nakládání s osobními údaji na Ministerstvu zdravotnictví a tedy i na kontrolu zpracování osobních údajů subjektů údajů v souvislosti s elektronickým certifikátem EU COVID‑19 včetně aplikací Tečka a čTečka.

Plán kontrol ÚOOÚ pro rok 2022

• Úřad pro ochranu osobních údajů zveřejnil na svých webových stránkách kontrolní plán pro rok 2022. V rámci plánovaných kontrol se ÚOOÚ zaměří jak na veřejný sektor, tak i soukromé společnosti.
• V prvním pololetí roku 2022 bude ÚOOÚ pokračovat v kontrolní činnosti u projektu Chytré karantény. V rámci dalších plánovaných kontrol se zaměří na dodržování zákonné úpravy cookies (tj. zpracování osobních údajů prostřednictvím cookies), dodržování pravidel pro zpracovatelské smlouvy, zpracování osobních údajů exekutorskými úřady, šíření nevyžádaných obchodních sdělení atd.
• Anonymizovaná verze kontrolního plánu ÚOOÚ je zveřejněna na webových stránkách Úřadu https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=55367.

Kontrola nastavení pravidel a informací o cookies

• Dle aktuálně zveřejněných informací se Úřad pro ochranu osobních údajů v rámci svých kontrol v roce 2022 zaměří i na dodržování zákonné úpravy cookies, tj. datových souborů ukládajících se do koncového zařízení, resp. prohlížeče. Od 1. ledna 2022 totiž platí nová pravidla pro ukládání cookies (OPT-IN režim pro ukládání cookies v prohlížeči uživatele), a to na základě zákona č. 374/2021 Sb., kterým se mění zákon č. 127/2005 Sb., o elektronických komunikacích.
• V případě Vašeho zájmu o provedení kontroly nastavení pravidel a informování o ukládání cookies při návštěvě webových stránek Vaší organizace nás prosím kontaktujte na e-mailové adrese equica@equica.cz. V rámci kontroly provedeme analýzu a detailně posoudíme zpracování osobních údajů prostřednictvím souborů cookies a navrhneme příp. doporučení k nápravě tak, aby ukládání a informování o cookies prostřednictvím cookies lišty na Vašich webových stránkách bylo zcela v souladu se zákonem 374/2021 Sb.

Riziko kyberútoků – varování NÚKIB

• V souvislosti s invazí ruských vojsk na Ukrajinu Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal 25. února 2022 varování před kyberšpionáží a kybernetickými útoky na významné cíle v České republice – strategické instituce veřejné správy, prvky kritické informační infrastruktury, informační systémy základních služeb či média (viz https://www.nukib.cz/download/uredni_deska/2022-02-25_varovani-final.pdf).
• Tuto hrozbu kybernetických útoků z hlediska pravděpodobnosti NÚKIB hodnotí na úrovni „kritická“, tj. hrozba je velmi pravděpodobná až téměř jistá.
• Ve spolupráci s Ministerstvem zdravotnictví vydal NÚKIB i doporučení ke snížení kybernetických hrozeb pro zdravotnická zařízení (viz https://www.nukib.cz/cs/infoservis/aktuality/1815-nukib-a-ministerstvo-zdravotnictvi-vydaly-doporuceni-ke-snizeni-kybernetickych-hrozeb-pro-zdravotnicka-zarizeni/). Doporučení obsahují popis preventivních kroků jak se vyhnout incidentům způsobeným útoky a dále obsahují i popis reaktivních kroků jak se zachovat, pokud útok již probíhá.
• Na základě nastalé válečné situace a obavy z možného zneužití uniklých osobních údajů pro vojenské účely je správcům osobních údajů doporučeno zrevidovat všechny procesy předávání osobních údajů do Ruska a Ukrajiny z pohledu dodržování ochrany osobních údajů.

Samsung terčem kyberútoku

• Jihokorejská společnost Samsung se stala cílem hackerů ze skupiny LAPSUS$, kteří prolomili servery Samsungu a ukradli data desítek miliónů uživatelů a další cenné informace. Ze serverů Samsung serverů zmizelo téměř 200 gigabajtů unikátních dat.
• Hackeři se zmocnili kódů k bezpečnostní platformě KNOX, podrobností o firmwaru zařízení, biometrických dat, informací o Samsung účtech včetně uživatelských jmen a IP adres a několika cenných interních dokumentům. Odcizená data Samsungu se objevila volně na internetu, a to i včetně dat českých uživatelů.

Prošetření zveřejnění soukromých adres poslanců ČR

• V médiích byla zveřejněna informace, že iniciativa Chcípl PES měla na sociální síti publikovat soukromé adresy bydlišť 70 poslanců, kteří hlasovali pro novelu pandemického zákona. Chcípl PES vyzval své příznivce, aby šli demonstrovat před obydlí těchto poslanců. Adresy bydlišť bez jmen konkrétních poslanců hnutí Chcípl PES smazalo ze sociální sítě asi po třech hodinách po jejich zveřejnění.
• Na základě této informace zveřejněné v médiích Úřad pro ochranu osobních údajů prošetří, zda hnutí Chcípl PES tímto jednáním porušilo či neporušilo Nařízení GDPR při nakládání s osobními údaji. Na základě závěru z tohoto prošetření může ÚOOÚ příp. hnutí uložit pokutu za porušení ochrany osobních údajů.

Pokuty za porušení GDPR v roce 2021 přesáhly miliardu EUR

• Evropské dozorové úřady v roce 2021 obdržely více než 130 tisíc oznámení o porušení zabezpečení osobních údajů. V České republice bylo ohlášeno celkem 241 případů porušení Nařízení GDPR, tj. o 14 % méně než v roce 2020. V přepočtu na počet obyvatel je Česká republika druhou nejméně oznamující zemí v Evropské unii.
• Za porušení ochrany osobních údajů uložily evropské dozorové úřady v roce 2021 pokuty v celkové výši 1,1 miliardy EUR (cca 26 miliard Kč). Rekordní pokuty byly udělené Amazonu (746 milionů EUR) a WhatsAppu (225 milionů EUR) – proti těmto rozhodnutím o těchto sankcích však byly podány opravné prostředky, o nichž zatím nebylo rozhodnuto.

Poskytování rodného čísla

• V případě požadavku na sdělení rodného čísla je vždy nezbytné posoudit na základě jakého právního důvodu požaduje daný subjekt / osoba sdělení rodného čísla.
• Dle Nařízení GDPR musí každý správce osobních údajů poskytnout subjektu údajů v okamžiku získání jeho osobních údajů informaci, zda poskytování osobních údajů je zákonným požadavkem či smluvním požadavkem, nebo požadavkem, který je nutné uvést např. do smlouvy, a zda má subjekt údajů povinnost požadované osobní údaje poskytnout a jaké jsou příp. důsledky při neposkytnutí těchto osobních údajů.
• Využití rodného čísla definuje § 13c zákona č. 133/2000 Sb., o evidenci obyvatel. Např. zaměstnavatel dle zákona o evidenci obyvatel eviduje rodná čísla svých zaměstnanců na základě zvláštních zákonů (např. zákona č. 48/1997 Sb., o veřejném zdravotním pojištění, zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení atd.). V případě zaměstnavatele nepřipadá v úvahu, aby si zaměstnavatel zpracování rodného čísla pro tyto účely zajišťoval prostřednictvím souhlasu.

Rozesílání hromadných e-mailů

• V případě rozesílání hromadných e-mailů s „otevřenou hlavičkou“ (tj. v hlavičce e-mailu jednotliví adresáti vidí ostatní adresáty), dochází z pohledu GDPR k předání osobních údajů jednotlivých adresátů, a to konkrétně jejich e-mailových adres spolu s informací, že jsou členy určité skupiny, kterým je daný e-mail zaslán.
• Z pohledu ochrany osobních údajů by měly být hromadné e-maily rozesílány tak, aby ve zprávě nebyli viditelní ostatní adresáti. Existují samozřejmě specifické výjimky v případě hromadného e-mailu, kdy je zřejmé, že předání kontaktních údajů mezi členy dané skupiny / organizace nepředstavuje žádné riziko pro subjekty údajů (adresáty e-mailu), např. hromadný e-mail na zaměstnance organizace v případě zahájení diskuze na řešené téma / událost apod.

Monitorování elektronické komunikace na pracovišti

• Zaměstnanci dle § 316 zákona č. 262/2006 Sb., zákoník práce nesmějí bez souhlasu zaměstnavatele užívat pro svou osobní potřebu výrobní a pracovní prostředky zaměstnavatele včetně výpočetní techniky ani jeho telekomunikační zařízení.
• Zaměstnavatel je oprávněn dodržování tohoto zákazu přiměřeným způsobem kontrolovat, tj. zaměstnavatel má právo sledovat množství a velikost přijaté a odeslané pošty zaměstnancem, sledovat domény navštívených internetových stránek atd. Zaměstnanci musí být včas informováni, pokud zaměstnavatel v rámci organizace zavede monitoring webu, elektronické pošty či telekomunikačních zařízení prostřednictvím specifických sledovacích nástrojů.

ÚOOÚ kontroloval fungování DPO ve státním sektoru

• V rámci svých kontrol se Úřad pro ochranu osobních údajů zaměřil na postavení Pověřence pro ochranu osobních údajů (DPO) ve státním sektoru.
• Identifikovaná pochybení při výkonu funkce Pověřence pro ochranu osobních údajů:
  • Formální jmenování Pověřence, tj. Pověřenec neplní svou zákonnou povinnost.
  • Jmenovaný Pověřenec nemá dostatečné profesní kvality a odborné znalosti práva a praxi v oblasti ochrany osobních údajů.
  • Pověřenec není dostatečně zapojen do interních procesů subjektu týkajících se ochrany osobních údajů.
  • Pověřenec nedostává od subjektu relevantní informace nezbytné pro výkon této funkce.
  • Pověřenec plní v rámci subjektu i jinou funkci a nemá dostatek času na plnění úkolů Pověřence.

Kontrola shromažďování osobních údajů obyvatel ČR v karanténě

• Policie České republiky téměř dva roky shromažďuje osobní údaje obyvatel, kteří jsou v karanténě nebo v izolaci z důvodu nakažlivé nemoci COVID-19. Citlivá data dostává policie od několika institucí, např. od krajských hygienických stanic či Ústavu zdravotnických informací a statistiky. Policie zpracovává tyto osobní údaje pomocí zvláštní aplikace, do které mají přístup pouze vybraní policisté na operačních střediscích.
• Podle zjištění Aktuálně.cz prověřuje Úřad pro ochranu osobních údajů, zda policie s evidencí nakládá podle zákona. Dle dostupných informací police při shromažďování těchto osobních údajů a tvorbě databáze nepostupovala vždy podle zákona.
• Na základě výzvy Ministerstva vnitra ČR, kterému to nařídil ÚOOÚ prostřednictvím pravomocného příkazu, policie požádala ÚOOÚ o projednání databáze lidí v karanténě nebo v izolaci, jak jim to nařizuje zákon č. 110/2019 Sb., o zpracování osobních údajů. Cílem je zjistit, zda tato evidence neporušuje Nařízení GDPR a nepředstavuje nepřijatelný zásah do práv obyvatel České republiky.

Zamknutí registru s majetky veřejných činitelů

• Centrální registr oznámení, který obsahuje majetková přiznání veřejných činitelů (poslanců, senátorů, náměstků ministra, ministrů atd.), byl uzamknut před veřejností Ministerstvem spravedlnosti ČR. K omezení poskytování těchto údajů došlo na základě doporučení Úřadu pro ochranu osobních údajů. Informace o majetku veřejných činitelů nebudou poskytovány ani na základě žádosti podané podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím.
• Problém s poskytováním informací o majetku veřejných činitelů by měla vyřešit novela zákona č. 159/2006 Sb., o střetu zájmů, o které bude sněmovna jednat v únoru 2022.

Fungování Google Analytics je pravděpodobně v rozporu s GDPR

• Rakouský dozorový úřad (Datenschutzbehörde) a nizozemský dozorový úřad (Autoriteit Persoonsgegevens) dospěly k závěru, že používání analytického nástroje Google Analytics evropskými provozovateli webových stránek je v současné době v rozporu s Nařízením GDPR. Nizozemský úřad na ochranu osobních údajů dokonce doporučil provozovatelům webových stránek, ať nástroj Google Analytics nepoužívají, že bude brzo pravděpodobně zakázán.
• Prostřednictvím analytického nástroje Google Analytics jsou sbírána data – statistické údaje o návštěvnících webových stránek, která nejsou zcela zabezpečena z pohledu GDPR. V současné době není ani transparentní cesta a místo ukládání sebraných dat (společnost Google sídlí v USA, subjekt tedy není evropský) – uzavření standardních smluvních doložek ani zásady zpracování osobních údajů společností Google nemohou zbavit povinnosti zpřístupnit osobní údaje americkým orgánům veřejné moci.
• Předpokládá se, že pokud by byl Google Analytics v Evropě vyhodnocen jako nelegální, společnost Google by pravděpodobně jeho fungování upravila v souladu s Nařízením GDPR.

Společnost Meta zlepšuje přístup k soukromí na Facebooku

• Americká společnost Meta provozující sociální síť Facebook postupně zprovozňuje centrum pro soukromí, v němž se uživatelé dozví, jak Facebook sbírá a používá informace týkající se jeho osoby. Toto centrum nabídne návody a odkazy na nastavení služby.
• Centrum pro soukromí se v pilotním provozu, které se zobrazuje jen na některých účtech na desktopech v USA, věnuje pěti základním tématům – zabezpečení účtu, sdílení obsahu, sběr uživatelských dat, používání dat a zobrazování reklam.

Společnost Meta hrozí stažením Facebooku a Instagramu z Evropy

• Vedení společnosti Meta uvedlo v podrobných záznamech o hospodaření, které předložilo americké komisi pro cenné papíry, že své služby Facebook a Instagram stáhne z Evropy, pokud nebude moci nadále přenášet data uživatelů na servery ve Spojených státech (nařízení o způsobu předávání evropských údajů do Spojených států upravují v současné době evropské regulační orgány).
• Data Facebooku a Instagramu se nyní zpracovávají jak na amerických, tak i evropských serverech, což je klíčové pro cílení reklam a firmy, které na těchto sociálních sítích působí. Dle společnosti Meta by stažení Facebooku a Instagramu z Evropy mělo negativní dopad pro mnoho společností v Evropské unii, které se spoléhají na služby a reklamy, které Meta poskytuje.

Europol musí smazat velkou část své databáze osobních údajů

• Deník The Guardian informoval o tom, že policejní agentura Evropské unie Europol bude muset smazat velkou část svého rozsáhlého úložiště osobních údajů. Podle unijního dozorčího orgánu je nashromáždila nezákonně.
• Podle deníku The Guardian obsahuje mezipaměť Europolu nejméně čtyři petabajty dat, v systému Europolu jsou uložena citlivá data nejméně čtvrt milionu lidí. Europol získal osobní údaje prostřednictvím hlášení o trestných činech, ze zašifrovaných telefonních služeb nebo je vybral od žadatelů o azyl, kteří se nikdy žádného trestného činu nedopustili.
• Europol má nařízeno smazat data, která v systému uchovává déle než po dobu šesti měsíců a v průběhu jednoho roku má vytřídit údaje, které lze uchovávat v souladu s aktuálně platnou legislativou. Europol jakákoliv pochybení odmítá, dozorčí orgán si podle něj vykládá stávající pravidla nesplnitelným způsobem.

Riziko sledování a sběru osobních údajů na olympijských hrách v Pekingu

• Sportovci a jejich doprovod, novináři i diváci účastnící se olympijských her v Pekingu musí mít podle pokynů organizátorů ve svém chytrém telefonu nainstalovanou aplikaci MY2022, která monitoruje jejich zdravotní stav, zejména hodnoty související s možnou nákazou COVID-19. Do této aplikace se ale také zaznamenávají cestovní a osobní údaje, díky nimž se bude v případě onemocnění sledovat výskyt COVID-19.
• Podle odborných analýz mohou tuto povinnou monitorovací aplikaci zneužívat čínské úřady či jiné subjekty. Např. dle analýzy provedené organizací Citizen Lab při Torontské univerzitě, která se zabývá sledováním kybernetické bezpečnosti, jsou v aplikaci trhliny. Aplikace má jednoduchou, ale zničující chybu, kdy lze triviálně obejít šifrování chránící hlasový zvuk a přenosy souborů uživatelů. Zranitelné jsou také zdravotnické celní formuláře, které přenášejí údaje o cestovním pasu, demografické informace a zdravotní a cestovní historii. Údaje a privátní informace by takto mohly unikat a nekontrolovatelně být shromažďovány nežádoucím příjemcem.
• Na tato identifikovaná rizika Čína reagovala prostřednictvím státního listu Global Times vyjádřením, že všechny osobní údaje budou šifrovány, aby bylo zajištěno soukromí.
• Většina národních olympijských výborů doporučila členům svých výprav vhodné protiopatření. Mezinárodní olympijský výbor se k této problematice vyjádřil neutrálně – podle jeho vyjádření mu nepřísluší komentovat rady, které může národní olympijský výbor poskytovat členům své delegace.

Pokuta za ponechání bankovních údajů bez ochrany

• Francouzská společnost SLIMPAY poskytující platební služby obdržela na konci prosince 2021 od francouzského dozorového úřadu Commission Nationale de l’Informatique et des Libertés (CNIL) pokutu ve výši 180 tisíc eur (cca 4,4 mil. Kč) za ponechání bankovních údajů přibližně 12 milionů svých zákazníků bez ochrany po dobu delší než čtyři roky a za nesplnění povinnosti oznámit předmětné porušení zabezpečení osobních údajů subjektům údajů (tj. za porušení čl. 34 odst. 1 Nařízení GDPR).
• Společnost SLIMPAY měla na serverech bez jakéhokoliv zabezpečení uložené osobní údaje zákazníků (jméno a příjmení, poštovní adresa, e-mailová adresa, telefonní číslo a informace o bankovním spojení – BIC / IBAN) z výzkumného projektu, který realizovala v roce 2015. Tyto osobní údaje byly volně přístupné z internetu. Společnost odhalila porušení zabezpečení osobních údajů až v únoru 2020 a rozhodla se o tomto incidentu neinformovat dotčené zákazníky.

Osobní údaje zpracovávané zaměstnavatelem

• Zaměstnavatel je povinen zpracovávat osobní údaje svých zaměstnanců nejen na základě Nařízení GDPR, ale také na základě zákona č. 262/2006 Sb., zákoník práce.
• Nařízení GDPR definuje, že pokud je zaměstnavatel (tj. správce osobních údajů) schopen zpracování osobních údajů svých zaměstnanců podřadit pod některý ze zákonných důvodů, je oprávněn je dále zpracovávat. Důvody pro zpracování osobních údajů zaměstnanců dle Nařízení GDPR:
  • zpracování osobních údajů je nezbytné k plnění smlouvy uzavřené se zaměstnancem (pracovní smlouva, DPP, DPČ);
  • zpracování osobních údajů je nezbytné k plnění právní povinnosti zaměstnavatele;
  • zpracování osobních údajů je nezbytné pro ochranu životně důležitých zájmů zaměstnance;
  • zpracování osobních údajů je nezbytné pro plnění úkolů ve veřejném zájmu nebo při výkonu veřejné moci, kterým byl zaměstnavatel pověřen;
  • zpracování osobních údajů je nezbytné pro účely oprávněných zájmů zaměstnavatele;
  • zaměstnanec ke zpracování osobních údajů udělil souhlas.
• Zákoník práce obsahuje relevantní ustanovení upravující problematiku zpracování osobních údajů zaměstnanců. Dle zákoníku práce zaměstnavatel nesmí od svých zaměstnanců vyžadovat informace, které bezprostředně nesouvisejí s výkonem práce a se základním pracovně-právním vztahem, tj. informace o sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách nebo hnutích, příslušnosti k církvi nebo náboženské společnosti.
• Informace o těhotenství, rodinných poměrech, majetkových poměrech a trestněprávní bezúhonnosti zaměstnance může zaměstnavatel vyžadovat, pouze pokud je pro to dán věcný důvod spočívající v povaze práce, která má být vykonávána, a je-li tento požadavek přiměřený, nebo v případech, kdy to stanoví zákoník práce nebo zvláštní právní předpis.
• V případě Vašeho zájmu o posouzení personálních / osobních spisů zaměstnanců organizace (spisů všech zaměstnanců, nebo spisů vybraných zaměstnanců) nás prosím kontaktujte na e-mailové adrese equica@equica.cz. V rámci kontroly detailně projdeme personální spisy zaměstnanců, překontrolujeme a posoudíme všechny zapisované / shromažďované údaje a dokumenty, překontrolujeme nastavené lhůty archivace a skartace, zhodnotíme co je správně / špatně a navrhneme příp. doporučení vedoucí k nápravě.

Změna pravidel pro zpracování cookies

• Jak jsme Vás již dříve informovali, tak od 1. ledna 2022 platí nová pravidla pro ukládání cookies (tj. datových souborů ukládajících se do koncového zařízení, resp. prohlížeče), a to na základě zákona č. 374/2021 Sb., kterým se mění zákon č. 127/2005 Sb., o elektronických komunikacích.
• Bez souhlasu uživatelů mohou webové stránky nově ukládat jen technické cookies, které jsou nezbytné pro správnou funkci stránek (výjimka ze souhlasu se ale vztahuje pouze na uložení a čtení cookies v prohlížeči uživatele). V ostatních případech musí být zaveden tzv. OPT-IN režim pro ukládání cookies, tj. ukládání cookies jen na základě výslovného / prokazatelného souhlasu návštěvníka webových stránek, a to vše v souladu s legislativou Evropské unie.
• Uložení cookies je tedy nyní možné až v okamžiku, kdy k tomu dá uživatel výslovný souhlas. Souhlas se zpracováním osobních údajů není právoplatně udělen, pokud je políčko předem zaškrtnuté a uživatel musí sám souhlas zrušit odškrtnutím.
• Souhlas se zpracováním osobních údajů může subjekt údajů kdykoli odvolat, přičemž odvolání souhlasu musí být stejně snadné jako jeho udělení (ideálně prostřednictvím tlačítka či odkazu určeného k odvolání dříve uděleného souhlasu).
• Úřad pro ochranu osobních údajů zveřejnil na svých webových stránkách sadu odpovědí na často kladené otázky ohledně zpracování cookies – viz https://www.uoou.cz/casto-kladene-otazky-ohledne-souhlasu-s-cookies-udeleneho-prostrednictvim-tzv-cookie-listy/ds-6912/archiv=1&p1=2619.

Změna pravidel pro telemarketing

• Novela zákona o elektronických komunikacích – zákon č. 374/2021 Sb. stanovuje i změnu podmínek kontaktování za účelem marketingu. Přestože zákon č. 374/2021 Sb. je účinný již od 1. ledna 2022, změna pravidel kontaktování za účelem marketingu bude platit s ohledem na příslušná přechodná ustanovení až po šestiměsíčním přechodném období, tj. od 1. července 2022.
• Nová právní úprava definuje přechod z principu OPT-OUT na princip OPT-IN, tj. v rámci telemarketingu lze kontaktovat pouze toho, kdo ve veřejném telefonním seznamu uvedl, že si přeje být kontaktován za účelem marketingu.
• Novela zákona o elektronických komunikacích nemění existující vztah mezi podnikateli a zákazníky a respektuje jej, včetně oprávněného zájmu podnikatelů ve smyslu čl. 6 odst. 1 písm. f) Nařízení GDPR, kteří v rámci komunikace se stávajícími zákazníky propagují své výrobky a služby.
• Novela zákona ale nově stanovuje právní fikci, že za vytvoření účastnického seznamu se považuje také náhodné vygenerování telefonních čísel, seznam telefonních čísel bez jiných identifikačních údajů nebo seznam, ve kterém se uvádí telefonní čísla či osobní nebo identifikační údaje účastníků, kteří neuvedli, že si přejí být kontaktováni za účelem marketingu.
• Český telekomunikační úřad ve spolupráci s Úřadem pro ochranu osobních údajů a Ministerstvem průmyslu a obchodu připravil společné výkladové stanovisko s odpověďmi na nejčastější otázky týkající se nových pravidel pro marketingová volání – viz https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=54296.

Cloudové vyhlášky vydané NÚKIB

• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal v druhé polovině roku 2021 dvě nové cloudové vyhlášky:
  • Vyhláška č. 315/2021 Sb., o bezpečnostních úrovních pro využívání cloud computingu orgány veřejné moci, je vydávána na základě zmocnění obsaženém v zákoně č. 181/2014 Sb., o kybernetické bezpečnosti. Tato vyhláška stanovuje kritéria pro ohodnocení významnosti informačního nebo komunikačního systému orgánu veřejné moci (přičemž jedním z kritérií je i ochrana osobních údajů) a jeho zařazení do jedné ze čtyř bezpečnostních úrovní tak, aby orgán veřejné moci mohl pořizovat služby cloud computingu, které naplňují požadavky příslušné bezpečnostní úrovně.
  • Vyhláška č. 316/2021 Sb., o některých požadavcích pro zápis do katalogu cloud computingu, provádí zákon č. 365/2000 Sb., o informačních systémech veřejné správy, a přináší soubor bezpečnostních požadavků rozdělených do bezpečnostních úrovní, které musí poskytovatelé cloud computingu naplnit, aby mohli být spolu se svými nabízenými službami zapsáni v katalogu cloud computingu.
• Orgány veřejné správy mohou využívat jen ty cloudy, které jsou uvedené ve speciálním katalogu. Zápis do katalogu cloud computingu, a tedy i splnění podmínek uvedených ve vyhlášce, je pro poskytovatele služeb cloud computingu dobrovolným krokem (ne každý poskytovatel cloud computingu má zájem nabízet své služby orgánům veřejné správy). Předpokládá se, že zapsání do katalogu služeb cloud computingu může být výhodou i v soukromém sektoru, a to z pohledu konkurenceschopnosti.

Sběr informací o očkování proti COVID-19 z pohledu GDPR

• Koncem minulého roku ÚOOÚ vydal stanovisko k problematice očkování proti COVID-19 z pohledu ochrany osobních údajů, které definuje následující:
  • V době platnosti relevantního opatření Ministerstva zdravotnictví řešícího problematiku testování a očkování proti COVID-19 a v návaznosti na povinnosti stanovené opatřeními platnými v daném čase, jsou zaměstnavatelé povinni zkoumat bezinfekčnost svých zaměstnanců, tj. zjišťovat informace, zda je zaměstnanec očkován proti COVID-19 či nikoliv.
  • Údaj o očkování proti COVID-19 spadá do tzv. zvláštní kategorie osobních údajů. Zpracování tohoto osobního údaje je umožněno pouze tehdy, kdy lze aplikovat některou z výjimek uvedených v čl. 9 odst. 2 Nařízení GDPR. V souvislosti s vydanými opatřeními je zpracování umožněno např. na základě výjimky dle čl. 9 odst. 2 písm. g) Nařízení GDPR, tedy z důvodu významného veřejného zájmu.
  • Pokud ale zaměstnavatel chce získávat informace o očkování svých zaměstnanců proti COVID-19 z jiných důvodů, než v souvislosti s aktuálními opatřeními (např. z důvodu interního přehledu rizik), musí dostatečně vyhodnotit, zda je to třeba z důvodu ochrany zdraví a osob na pracovišti či nikoliv (pokud nikoliv, nemělo by ke sběru těchto informací docházet).
• Ve Sbírce zákonů byla v prosinci 2021 publikována vyhláška Ministerstva zdravotnictví č. 466/2021 Sb., kterou se mění vyhláška č. 537/2006 Sb., o očkování proti infekčním nemocem, ve znění pozdějších předpisů. Tato vyhláška definuje povinnost pravidelného očkování proti nemoci COVID-19 u osob starších 60 let a zvláštního očkování proti této nemoci u dalších vybraných skupin fyzických osob (např. zaměstnanců zdravotních a sociálních služeb, krajských hygienických stanic, bezpečnostního sboru atd.).

Požadavek EK na označování politických reklam na internetu

• Koncem roku 2021 Evropská komise zveřejnila návrh pravidel, která zavádějí povinné označování politické reklamy týkající se reklam zadávaných politickými subjekty nebo v jejich zájmu a reklam o konkrétním společenském tématu s cílem ovlivnit chování voličů. Tyto placené příspěvky budou muset obsahovat jasně viditelný údaj o zadavateli, ceně, zdroji financování či volbách, kvůli kterým reklama vznikla.
• Navrhovaná pravidla řeší i tzv. targeting, tj. inzerci pomocí technologií přesně zacílenou na úzké skupiny obyvatel. V EU má být zcela zakázáno využívat pro tyto účely nejcitlivější osobní údaje, jako jsou rasový původ, náboženské přesvědčení či sexuální orientace.
• U cílených reklam bude muset být patrné, na základě jakých údajů se zobrazují konkrétnímu člověku, který pak bude mít možnost jejich sledování odmítnout.
• Evropská komise usiluje o konečné schválení pravidel do roku 2023. Kdo povinnost nesplní, tomu bude hrozit pokuta. Velkým americkým firmám (např. Meta či Google), které mají z politických reklam příjmy ve výši stovek milionů dolarů ročně, může v krajním případě hrozit pokuta ve výši až čtyř procent jejich celosvětového obratu. Tyto společnosti na základě dřívějších dohod s Evropskou komisí již dobrovolně zavedly některá omezení týkající se politické inzerce.

Stěžejní chyby při předávání osobních údajů do třetích zemí a mezinárodním organizacím

• I přesto, že jsou jasně definována pravidla a mechanismy ochrany pro předávání osobních údajů do třetích zemí a mezinárodním organizacím (viz čl. 44 – 50 Nařízení GDPR), dochází v praxi k častým chybám. Jedná se zejména o následující pochybení:
  • požadované záruky nejsou uzavřeny se všemi potenciálními zpracovateli osobních údajů, kteří jsou do zpracování předávaných osobních údajů zahrnuti;
  • do ochranného rámce nejsou zahrnuty všechny potenciální způsoby zpracování předávaných osobních údajů;
  • do ochranného rámce nejsou zahrnuty všechny lokace, kde mohou být předávané osobní údaje zpracovávány;
  • není uzavřená zpracovatelská smlouva;
  • je pozměněno znění standardních smluvních doložek, tj. dokument je zneplatněn (standardní smluvní doložky musí být uzavřeny v přesném originálním znění);
  • v rámci ochrany je využito rozhodnutí o odpovídající ochraně, které již není platné;
  • podniková pravidla či kodexy chování jsou zaměněny za interní či externí pravidla pro zpracování osobních údajů (nezávazné dokumenty typu podnikových pravidel či kodexů chování nenahrazují požadované mechanismy pro zajištění dostatečné úrovně ochrany osobních údajů).
• Při předávání osobních údajů do třetích zemí a mezinárodním organizacím musí být vždy dodržena zásada odpovídající úrovně ochrany osobních údajů. Obecně se doporučuje překontrolovat aktuálnost a použitelnost zvoleného konkrétního mechanismu zabezpečení předání osobních údajů nejen před každým předáním osobního údaje, ale také pravidelně v jeho průběhu.

Britský nejvyšší soud zablokoval hromadnou žalobu proti Googlu

• Začátkem listopadu 2021 britský nejvyšší soud zablokoval hromadnou žalobu proti Googlu za údajně nezákonné sledování osobních dat z milionů iPhonů. Účastníci hromadné žaloby požadovali odškodné 3,2 miliardy liber (cca 94,3 miliardy Kč). Podle soudu však stěžovatel neprokázal, že by shromažďováním údajů byla jednotlivcům způsobena škoda.
• Společnost Google uvedla, že se již léta zaměřuje na produkty a infrastrukturu, které respektují a chrání soukromí lidí. Tato žaloba souvisela s událostmi, které se odehrály před deseti lety.

Pokuta za shromažďování databáze snímků obličeje

• Australské společnosti Clearview AI, která se zabývá technologiemi pro rozpoznávání obličejů, hrozí pokuta ve výši 17 milionů liber (cca 515 mil. Kč) za nesprávné nakládání s osobními údaji ve Spojeném království. Úřad britského komisaře pro informace (ICO) má značné obavy z používání software společnosti Clearview AI pro rozpoznávání obličejů britskou policií. Úřad proto vyzval společnost, aby přestala zpracovávat britské osobní údaje a vymazala všechny, které má.
• Systém Clearview AI umožňuje uživateli, který se snaží identifikovat podezřelého, nahrát fotografii obličeje a najít shodu v databázi miliard obrázků, které nástroj shromáždil z internetu a sociálních médií. Systém pak uživateli poskytne odkazy, na kterých se snímky objevily. Britský komisař ve svém prohlášení uvedl, že databáze společnosti Clearview AI pravděpodobně zahrnuje „podstatný počet lidí ze Spojeného království“, jejichž data mohla být shromážděna, aniž by o tom věděli.
• Rozhodnutí ICO je zatím předběžné, Clearview AI zvažuje odvolání.

Společnost Airbnb čelí stížnosti ohledně porušení pravidel GDPR

• Společnost Airbnb čelí stížnosti ohledně porušení ustanovení Nařízení GDPR upravující automatizované individuální rozhodování. Stížnost podala koncem prosince 2021 jménem jedné poskytovatelky ubytování rakouská nevládní nezisková organizace NOYB (European Center for Digital Rights) k německému dozorovému úřadu Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz. Předmětem stížnosti je využití automatizovaného individuálního rozhodnutí při výpočtu obdržených hodnocení od ubytovaných klientů.
• Společnost Airbnb se ke stížnosti zatím nevyjádřila. Tisková zpráva o celém případu řešené stížnosti je dostupná na https://noyb.eu/en/gdpr-complaint-airbnb-hosts-mercy-algorithms.

Dotace na kybernetickou bezpečnost

• V prvním čtvrtletí roku 2022 je plánována dotace na kybernetickou bezpečnost. Cílem dotace bude zabezpečit informační systémy veřejné správy a ochránit tak data, která jsou v nich uložena. Z dotace bude možné pořídit hardware a software naplňující opatření vyhlášky k zákonu č. 181/2014 Sb., o kybernetické bezpečnosti.
• Pro podání žádosti o podporu bude klíčové zpracování Studie proveditelnosti, jejíž součástí je popis výchozího stavu IT infrastruktury organizace a popis návrhu řešení. Náklady na zpracování Studie proveditelnosti a analýz jsou uznatelným výdajem projektu.
• V případě Vašeho zájmu o zpracování Studie proveditelnosti a žádosti o podporu nás prosím kontaktujte na e-mailové adrese equica@equica.cz. Doporučujeme začít s přípravou projektu co nejdříve, neboť se očekává velký zájem o tuto výzvu.

Zpracování osobních údajů zaměstnanců při poskytování zaměstnaneckých benefitů

• Zpracování osobních údajů zaměstnanců při poskytování různých zaměstnaneckých benefitů vychází z dohody zaměstnavatele se zaměstnancem o poskytnutí benefitu, v rámci které se zaměstnavatel zaváže k poskytnutí daného benefitu. Pokud zaměstnanec projeví o benefit zájem, dochází k účelnému zpracování osobních údajů v souvislosti s poskytovaným benefitem, tj. i k předání osobních údajů zaměstnance případnému dalšímu příjemci – poskytovateli služby, pokud je jím benefit zajišťován.
• Úřad pro ochranu osobních údajů ve svém vyjádření jednoznačně uvedl, že právním důvodem pro předmětné zpracování osobních údajů zaměstnance při poskytování benefitů je článek 6 odst. 1 písm. b) Nařízení GDPR, tedy plnění smlouvy, a to i v případě, že k poskytnutí benefitu se zaměstnavatel zavázal v kolektivní smlouvě či právo na benefity stanovil v rámci vnitřního předpisu zaměstnavatele.
• V závislosti na různých druzích benefitů je nutné podle čl. 13 Nařízení GDPR poskytnout zaměstnancům adekvátní informaci o nutném předání osobních údajů poskytovateli benefitu a též i o rozsahu, v jakém budou předány, nicméně není nutné ani vhodné s takovým předáním vyžadovat souhlas zaměstnance, neboť právním důvodem zpracování není souhlas, ale plnění uzavřené smlouvy.

Monitorování e-mailů zaměstnanců zaměstnavatelem

• Zaměstnavatel není oprávněn sledovat, monitorovat a zpracovávat obsah korespondence svých zaměstnanců. Zaměstnavatel případně smí u svých zaměstnanců pouze sledovat počet došlých a odeslaných e-mailů, případně (tj. zejména vznikne-li podezření ze zneužití pracovních prostředků, resp. využití k jiným než pracovním účelům) včetně hlavičky, tj. komu píší a od koho je dostávají. Tato činnost je zpracováním osobních údajů zaměstnance, byť za uvedených podmínek oprávněným zpracováním, a je tedy nezbytné dodržovat všechny zákonem stanovené povinnosti.
• Monitorování e-mailů zaměstnanců z pohledu ochrany osobních údajů:
  • Zaměstnavatel nesmí vstupovat do soukromé e-mailové schránky svého zaměstnance a seznamovat se s e-maily v ní obsaženými, jelikož by takovým jednáním porušil právo zaměstnance na soukromí (resp. listovní tajemství).
  • Zaměstnavatel smí kontrolovat obsah, např. v rámci DLP nebo jiných automatizovaných prostředků (hromadné scanování nežádoucích informací – slova, čísla apod.).
  • Při podezření na trestnou činnost lze dožádat Policii ČR, která obsah schránky převezme pro posouzení.
  • Pokud by chtěl zaměstnavatel použít záznamy elektronické pošty jako důkaz v pracovněprávním sporu se zaměstnancem o neplnění pracovních povinností, měl by být tento důkaz v kontextu zásady ochrany soukromí zaměstnance nepřípustný a soud by k němu neměl přihlédnout.
  • Výše uvedená praxe by měla být ukotvena vnitřním předpisem a zaměstnanci by o ní měli být (alespoň formou zveřejnění tohoto vnitřního předpisu) informováni.
  • V předpise by měly být definovány situace, kdy k takovému nahlížení může dojít a kdo o něm může rozhodnout.
  • V případě ukončení pracovního poměru zaměstnance má být e-mailová schránka zrušena (a např. zajištěna automatická odpověď odesílateli). Je nepřípustné aktivně odpovídat na došlé e-maily jakékoli povahy přímo z dotčené soukromé e-mailové adresy.

Vliv novely informačního zákona na ochranu osobních údajů

• V Poslanecké sněmovně se nachází dva návrhy novely zákona č. 106/1999 Sb., o svobodném přístupu k informacím, který stanovuje pravidla pro poskytování informací a práva svobodného přístupu k těmto informacím.
• První návrh novely – návrh Ministerstva vnitra si klade za cíl ulehčit povinným subjektům poskytování informací prostřednictvím opatření, která budou jednak účinně bránit zneužití práva na informace na straně žadatelů, jednak povedou k usnadnění vyřizování žádostí o informace. Novela zákona řeší zejména následující změny:
  • zveřejnění poskytované informace způsobem umožňujícím dálkový přístup nejméně po dobu tří let (dosud tato doba nebyla nijak upravena), týká se pouze poskytnuté informace, nikoliv osobních údajů žadatele nebo třetích osob uvedených v poskytnuté informaci;
  • rozšíření ochrany informací ohledně poměrů osob (nikoliv již jen majetkových) a tedy rozšíření i obligatorních důvodů, jež povinnému subjektu zakazují poskytnout informaci;
  • výslovné vyloučení základních osobních údajů příjemce veřejných prostředků ze zveřejňovaných odpovědí;
  • možnost odmítnout poskytnutí informace z důvodu nátlaku či nepřiměřené zátěže pro povinný subjekt, nebo pokud povinný subjekt nemá zákonnou povinnost informaci mít;
  • za odmítnutí poskytnutí informace se nepovažuje neposkytnutí osobních údajů, obchodního či bankovního tajemství;
  • neposkytnutí informace v případech, kdy poskytnutí informace může ohrozit rovnost účastníků soudního, rozhodčího, správního nebo obdobného řízení;
  • oprávnění povinného subjektu požadovat zálohu na náklady (výše zálohy by neměla přesáhnout 60 % odhadovaných nákladů spojených s vyhledáním informací a její max. výše zároveň bude moci dosáhnout pouze částky 2.000,- Kč).
• Druhý návrh novely zákona vychází ze směrnice Evropského parlamentu a Rady 2003/98/ES ze dne 17. listopadu 2003, o opakovaném použití informací veřejného sektoru. Tato novela zákona řeší zejména detailní vymezení povinných subjektů, definici otevřených dat a dynamických dat, povinnost evidence otevřených dat, definici registru a umožnění dálkového přístupu k datům v nich obsažených a jejich označení za otevřená data, definici datových souborů s vysokou hodnotou, úpravu licenčních smluv k poskytování informací a práv vlastníků databáze atd.

Správa sociálních sítí s ohledem na ochranu osobních údajů

• V současné době většina organizací / společností využívá ke své prezentaci, marketingu či externí komunikaci různé sociální sítě (Facebook, LinkedIn, Twitter, Instagram atd.). Je nezbytné, aby organizace / společnost dodržovala při správě účtu dané sociální sítě bezpečnostní pravidla a tím minimalizovala riziko porušení zabezpečení osobních údajů.
• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) doporučuje dodržovat základních 18 pravidel pro správu sociálních sítí, protože neodborně spravovaná sociální síť může být otevřenou bránou, přes kterou se potencionální útočník může dostat jak k osobním údajům, jež správce sociální sítě zpracovává o svých zaměstnancích, dodavatelích či zákaznících, tak i k jiným důvěrným interním informacím organizace / společnosti.
• Doporučení NÚKIB ke správě účtu na sociální síti:
  • Pojmenovat oficiální účet organizace na sociální síti stejným či jasně ztotožnitelným názvem s danou organizací.
  • Oficiální účet na sociální síti vést ve správě a vlastnictví organizace tak, aby v případě personálních změn nemuselo docházet k zakládání nových účtů či jejich přejmenovávání, které je často problematické.
  • Jasně definovat přístupová práva vč. určení zastupitelnosti.
  • Zaregistrovat na sociálních sítích i alternativní názvy oficiálních účtů organizace.
  • Pro přístup do účtu používat dvoufaktorovou autentizaci (je-li to možné).
  • Pro účet vytvořit speciální e-mailovou adresu, která bude používána výhradně a pouze pro jeho správu. Do předmětného e-mailového účtu přistupovat ze zabezpečené sítě a zařízení.
  • Nepoužívat soukromá zařízení k přihlašování k oficiálnímu účtu organizace.
  • Dodržovat politiku bezpečné tvorby a užívání hesel.
  • Pro přihlašování nepoužívat odkazy v e-mailu či zkracovače URL.
  • Nepřihlašovat se prostřednictvím nezabezpečených či neznámých WiFi sítí.
  • Pro přihlašování mimo kancelář využít služby VPN.
  • Pravidelně aktualizovat jak zařízení, z nichž se zástupce organizace přihlašuje, tak i aplikace, jejichž prostřednictvím sociální sítě spravuje.
  • K přistupování k účtu používat pouze důvěryhodné aplikace z oficiálních zdrojů (např. Google Play nebo App Store).
  • Zajistit status ověřeného účtu.
  • Provádět pravidelné kontroly a audity dodržování výše uvedených pravidel.
  • Kontrolovat, zda se osoba pracující se sociální sítí z účtu bezpečně odhlásila.
  • Nastavit politiku užívání sociálních sítí, která obsahuje i výše uvedená pravidla.
  • Mít zpracovaný plán, jak postupovat v případě incidentu (např. při ztrátě přístupu k účtu).

Doložení právního titulu u osobních údajů zpracovávaných zpracovatelem

• Nejvyšší správní soud zamítl kasační stížnost společnosti SMS finance, a.s. proti rozhodnutí Městského soudu v Praze, ve kterém pro nedůvodnost zamítl správní žalobu této společnosti proti rozhodnutí Úřadu pro ochranu osobních údajů.
• V předmětném rozhodnutí ÚOOÚ bylo společnosti SMS finance, a.s. uloženo provést výmaz osobních údajů fyzických osob, vůči kterým je v postavení správce, a k jejichž zpracování nedoložila adekvátní právní titul podle čl. 6 Nařízení GDPR. Jednalo se zejména o osobní údaje získané prostřednictvím vázané zástupkyně této společnosti (spolupracovnice poskytující a propagující služby jménem společnosti), která oslovila potenciálního klienta na základě dat získaných bez řádného právního titulu.
• Nejvyšší správní soud ve svém rozsudku potvrdil závěr ÚOOÚ, že společnost je v postavení správce i ve vztahu k osobním údajům, jež pro ni zpracovávají samostatní zprostředkovatelé, neboť určila účel tohoto zpracování. Nejvyšší správní soud ve svém odůvodnění konstatoval, že i když zpracovatel osobních údajů ve své činnosti pochybí, konečnou odpovědnost za správné zpracování osobních údajů má správce, v jehož prospěch vyvíjí činnost.

Správci klíčových informačních systémů musí zabezpečit své e-mailové schránky

• Jak jsme vás opakovaně informovali, důrazně nedoporučujeme využívat e-mailovou komunikaci pro předávání osobních údajů mimo doménu organizace / společnosti.
• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal 11. října 2021 opatření obecné povahy stanovující tzv. ochranné opatření podle zákona č. 181/2014 Sb., o kybernetické bezpečnosti – opatření stanovuje způsoby zvýšení ochrany informačních systémů, služeb a sítí elektronických komunikací.
• Dle tohoto ochranného opatření budou muset správci a provozovatelé informačních systémů, které jsou klíčové pro fungování státu a bezpečí jeho obyvatel, zabezpečit své e-mailové schránky. Komunikace prostřednictvím e-mailu je velmi rozšířená a v podstatě nezastupitelná, ale bohužel nepatří k nejbezpečnější formě komunikace. Z tohoto důvodu NÚKIB vypracoval sérii opatření, která výrazně komplikují odposlouchávání této komunikace či její podvržení.
• Opatření je povinné pro řadu institucí, které spadají pod zákon o kybernetické bezpečnosti (ministerstva, významné úřady, kraje vč. hl. m. Prahy atd.), a dotýká se i subjektů soukromého sektoru, u nichž by fungování elektronické pošty mohlo mít vliv na řádné poskytování jejich služeb.
• Ministerstva, úřady a společnosti mají na zavedení tohoto opatření různě dlouhé lhůty. Státní instituce musí některá opatření zavést již k 1. lednu 2022, další pak k začátku předsednictví ČR v Radě EU, tedy do 1. července 2022. Povinné osoby ze soukromého sektoru mají lhůtu až od 1. ledna 2023.
• Způsoby zvýšení zabezpečení jsou popsány v samotném textu ochranného opatření https://www.nukib.cz/download/uredni_deska/2021-10-08_OchranneOpatreni_final.pdf. NÚKIB zároveň vydal podrobnou metodiku (viz https://www.nukib.cz/download/uredni_deska/2021-10-08_Metodika_final.pdf), která slouží jako návod k zavedení zvýšení ochrany e-mailové komunikace.

Revidované znění standardních smluvních doložek pro předávání osobních údajů do třetích zemí

• Při předávání osobních údajů mimo Evropskou unii (tj. do třetích zemí nebo mezinárodním organizacím s nedostatečnou úrovní ochrany osobních údajů) musí od 27. září 2021 nově uzavírané smlouvy mezi dvěma správci osobních údajů, nebo mezi správce osobních údajů a zpracovatel osobních údajů v třetí zemi obsahovat revidované standardní smluvní doložky pro předávání osobních údajů mimo EU (standardní smluvní doložka je vzorový text smlouvy schválený Evropskou komisí).
• Stávající uzavřené smlouvy musí přejít na tyto revidované standardní smluvní doložky do 27. prosince 2022.
• Samotný text standardní smluvní doložky (viz https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX%3A32021D0914&qid=1623166912410 a https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX%3A32021D0915&qid=1623166912410) nesmí být měněn nebo doplňován, povinné je pouze doplnit údaje, kde to standardní smluvní doložka vyžaduje – v textu doložek je umožněna volba z nabízených možností, doplnění např. časového období v určených polích či doplnění příloh popisujících náležitosti datového toku.

Porušení zákona o ochraně údajů při rozesílání roušek

• Při loňském hromadném rozesílání roušek seniorům či zdravotně handicapovaným Ministerstvo vnitra a Ministerstvo práce a sociálních věcí porušila zákon č. 110/2019 Sb., o zpracování osobních údajů. Ministerstva nechala Českou poštou rozeslat balíčky s pěti rouškami a respirátorem do milionů domácností.
• Podle vyjádření ÚOOÚ zákon porušila obě ministerstva a také Česká správa sociálního zabezpečení, když k získání adres pro zaslání roušek použily údaje z evidence obyvatel. U všech případů ÚOOÚ dospěl k závěru, že byly porušeny povinnosti při zpracování osobních údajů, kdy zejména nebyl prokázán relevantní právní základ pro toto zpracování. ÚOOÚ informoval, že Česká pošta smazala svěřené osobní údaje, takže tyto údaje již nejsou dále zpracovávány.
• Kvůli posílání roušek čelila kritice i Česká pošta, a to ze strany Státního ústavu pro kontrolu léčiv, podle kterého Česká pošta porušila zákonné požadavky na distribuci a technické normy zdravotnických prostředků.
• Pokuta ministerstvům ani ČSSZ nehrozí, protože zákonodárci pokutování orgánů veřejné správy zakázali zákonem.

Výsledky kontrol ÚOOÚ za první pololetí roku 2021

• Úřad pro ochranu osobních údajů zveřejnil na svých webových stránkách přehled a bližší informace o uzavřených kontrolách za první pololetí roku 2021 (viz https://www.uoou.cz/kontroly-za-rok-2021/ds-6737/archiv=0&p1=1277).
• ÚOOÚ se v rámci provedených kontrol zaměřil na státní správu, obce, neziskový sektor, školství, finanční služby či služby prodeje elektřiny a zemního plynu.
• Mezi výsledky kontrolních činností ÚOOÚ zařadil následující poznatky:
  • Nezrušení přístupového hesla do datové schránky společnosti ke dni rozvázání pracovního poměru (bývalý zaměstnanec společnosti měl přístup k datové schránce společnosti i po skončení pracovního poměru).
  • Společnost zpracovávala osobní údaje bez řádného právního titulu ve smyslu čl. 6 Nařízení GDPR.
  • Ústav ve své soukromoprávní databázi provozované na svých webových stránkách shromáždil a dále zveřejňoval osobní údaje subjektů údajů bez zákonného titulu.
  • Ústřední orgán státní správy aktivně nezapojil jmenovaného Pověřence pro ochranu osobních údajů do plnění k zabezpečení osobních údajů a k realizaci práv subjektů údajů. Pověřenec pro ochranu osobních údajů neobdržel nezbytné informace potřebné pro výkon této funkce a kromě plnění úkolů Pověřence mu byly systematicky ukládány další úkoly s touto funkcí nesouvisející.
  • Obec nedodržovala zásady minimalizace údajů při zpracování osobních údajů dle čl. 5 Nařízení GDPR.
  • Policie ČR porušila zásadu zpracování osobních údajů, neboť při vyhledání osobních údajů subjektu údajů v registru obyvatel nestanovila konkrétní účel zpracování ve smyslu § 25 odst. 1 písm. a) zákona č. 110/2019 Sb., o zpracování osobních údajů.
  • Poskytovatel ubytovacích služeb pořizoval skeny občanských a jiných průkazů totožnosti při uzavírání smluv o ubytování.
  • Poskytovatel ubytovacích služeb měl nedostatečně / neúplně zpracované Záznamy o činnostech zpracování podle čl. 30 Nařízení GDPR.
  • Mateřská škola umístila a provozovala kamery v prostorách šaten určených pro převlékání dětí bez zákonného titulu pro zpracování osobních údajů.
  • Zprostředkovatel prodeje elektřiny a zemního plynu oslovoval osoby bez zákonného titulu a nedodržoval interní směrnici k zabezpečení osobních údajů.
  • ÚOOÚ se v rámci prováděných kontrol zaměřil i na nevyžádaná obchodní sdělení, a to na základě přijatých stížností na rozesílání obchodních sdělení. V rámci těchto kontrol byla u některých kontrolovaných obchodních společností zjištěna tato pochybení:
  • Šíření obchodního sdělení elektronickými prostředky bez předchozího souhlasu adresátů, tj. bez právního titulu k rozesílkám na předmětné e-mailové adresy.
  • Rozesílaná obchodní sdělení neobsahovala informaci o totožnosti odesílatele, jehož jménem se komunikace uskutečňovala.
  • Rozesílání obchodních sdělení jménem dané společnosti zajišťoval tuzemský či zahraniční odesílatel formou affiliate marketingu, tj. formou plateb za přivedené zákazníky.
  • Obchodní společnost zpracovávala osobní údaje (telefonní číslo) subjektu údajů i po přijetí žádosti subjektu údajů o odstranění jeho osobních údajů a dokonce i po potvrzení o výmazu z databáze pro marketingové účely (k celkovému výmazu osobních údajů subjektu údajů došlo až za několik měsíců po obdržení žádosti o výmaz).
  • Zasílaná obchodní sdělení neobsahovala možnost odhlášení se z dalšího zasílání.

Průzkum americké vlády jak technologické společnosti zacházejí s daty spotřebitelů

• List The Wall Street Journal (WSJ) s odkazem na informované zdroje uvedl, že americká vláda prozkoumá, jak velké technologické společnosti zacházejí s finančními a ostatními daty spotřebitelů. Podle zveřejněné informace Úřad pro ochranu finančních zájmů spotřebitelů (CFPB) prověří, jak s daty spotřebitelů zachází Amazon, Apple, Facebook, Google, firmy zabývající se finančními službami pro spotřebitele a další firmy mající ambice v tomto odvětví expandovat.
• Očekává se, že CFPB vydá nařízení, která mu umožní od velkých technologických společností získat potřebné informace. Otázky připravovaného průzkumu budou široce pojaté – od toho, jak se data spotřebitelů využívají k rozhodnutí o úvěru, až po to, jak společnosti na jejich základě personalizují reklamu. Získané informace CFPB prý plánuje podrobit veřejné diskusi.

Povinnost implementovat vnitřní oznamovací systém (Whistleblowing – Ochrana oznamovatelů)

• Směrnice Evropského parlamentu a rady (EU) 2019/1937 o ochraně osob, které oznamují porušení práva Unie (dále také Směrnice) přináší organizacím v soukromém i veřejném sektoru nové povinnosti, především zavedení tzv. vnitřního oznamovacího systému a ochrany osob, které oznámí porušení práva Unie, o kterém se dozví, před odvetnými opatřeními ze strany zaměstnavatele.
• Návrh zákona o ochraně oznamovatelů zaváděl přechodné období pro implementaci do 31. března 2022. Jelikož tento zákon bohužel nebude v původně plánovaném termínu přijat, nastává povinnost zavedení tzv. vnitřního oznamovacího systému v termínu stanoveném Směrnicí (EU) 2019/1937, tedy do 17. prosince 2021, a to pro státní orgány, orgány územních samosprávných celků (orgány krajů a obcí s více než 10.000 obyvateli) a další veřejné instituce (např. VZP, veřejné vysoké školy, ČEZ atd.).
• Povinnost zavést vnitřní oznamovací systém se na základě přímého účinku Směrnice (EU) 2019/1937 tedy nyní netýká škol ani dalších příspěvkových organizací měst, obcí či krajů, a to z důvodu nedostatečné vazby na stát jakožto entitu, na kterou přímý účinek Směrnice dopadá.
• Společnost Equica, a.s. nabízí své služby při zavedení systému ochrany oznamovatelů a zajištění role Prošetřovatele, tj.:
  • Zhodnocení současného stavu a reálných možností organizace v oblasti zajištění ochrany Oznamovatelů.
  • Zpracování návrhu a nastavení procesu ochrany Oznamovatelů, včetně odpovídající interní dokumentace.
  • Zpracování povinně zveřejněných informací pro Oznamovatele.
  • Školení a interní osvěta ve vztahu k možnostem oznamování.
  • Zprovoznění / nastavení a správa vhodného elektronického nástroje sloužícího jako vnitřní oznamovací kanál organizace.
  • Plnění role Prošetřovatele oznámení:
    • Přijímání oznámení (elektronické, písemné, osobní) prostřednictvím vnitřního oznamovacího systému organizace.
    • Řádné posuzování důvodnosti oznámení učiněných prostřednictvím vnitřního oznamovacího systému organizace.
    • Řešení přijatých oznámení – návrh vhodných opatření vedoucích k nápravě nebo předejití protiprávnímu stavu v návaznosti na podané oznámení.
    • Informování Oznamovatele o přijetí oznámení a o výsledcích posouzení důvodnosti oznámení.
    • Bránění odvetným opatřením vůči Oznamovatelům.
    • Kontrola způsobu řešení zjištěných porušení pravidel.
    • Vedení a správa evidence přijatých oznámení a způsobu jejich řešení.
    • Zajištění archivace přijatých oznámení a způsobu jejich řešení.

Občanské průkazy z pohledu aktuálně platné legislativy

• V rámci českého právního řádu byl v srpnu 2021 nahrazen zákon č. 328/1999 Sb., o občanských průkazech novým zákonem č. 269/2021 Sb.
• Nový zákon č. 269/2021 Sb., o občanských průkazech upravuje práva, povinnosti a působnost na úseku občanských průkazů a naplňuje Nařízení Evropského parlamentu a Rady (EU) 2019/1157 ze dne 20. června 2019 o posílení zabezpečení průkazů totožnosti občanů Unie a povolení k pobytu vydávaných občanům Unie a jejich rodinným příslušníkům, kteří vykonávají své právo volného pohybu. Umožňuje tak, aby s tímto osobním dokladem lidé mohli nadále volně cestovat v rámci Evropské unie.
• Od srpna 2021 se vydávají strojově čitelné občanské průkazy s biometrickými údaji, kterými jsou zobrazení obličeje a u občanů starších 12 let otisky prstů, uložené v nosiči dat. Tím se zajišťuje soulad s Nařízením Evropského parlamentu a Rady (EU) 2019/1157.
• Nové občanské průkazy se liší od předchozího vzoru tím, že na přední straně v levém horním rohu je uveden kód země tvořený dvěma písmeny vydávajícího státu vytištěný inverzně na modrém obdélníku v kruhu tvořeném dvanácti žlutými hvězdami. Na zadní straně je vyobrazen symbol biometrických údajů. Do občanských průkazů se již nezapisují akademické tituly.
• Podle § 39 nového zákona o občanských průkazech je zakázáno:
  • odebírat občanský průkaz při vstupu do objektů nebo na pozemky;
  • přijímat občanský průkaz jako zástavu;
  • pořizovat kopii občanského průkazu bez souhlasu držitele občanského průkazu;
  • zpracovávat údaje uvedené v občanském průkazu a data pro elektronické využití občanského průkazu bez souhlasu držitele občanského průkazu (je ale umožněno nahlédnutí do občanského průkazu v souvislosti s ověřováním totožnosti, které vyžaduje nebo umožňuje právní předpis).

Prokazování totožnosti a zpracování osobních údajů

• Prokazování totožnosti je zákonná povinnost občana České republiky vůči orgánům veřejné moci, fyzickým a právnickým osobám (např. banky, investiční společnosti, pojišťovny, auditoři, účetní atd.) a dále v rámci soukromoprávních vztahů (např. při uzavření smlouvy, prokázání totožnosti návštěvníka objektu, který není určen k běžným návštěvám veřejnosti atd.).
• Občané České republiky mohou k prokazování totožnosti využít:
  • občanský průkaz,
  • cestovní doklad,
  • jiný doklad (např. řidičský průkaz, služební průkaz), a to za předpokladu, že doklad obsahuje i podobenku svého držitele a je to druhou stranou akceptováno.
• Dle Nařízení GDPR není zpracováním osobních údajů samotné zjištění totožnosti fyzické osoby na základě předloženého průkazu. Zpracováním osobních údajů je zápis / uložení získaných osobních údajů na nosič informací za účelem jejich zpracování v evidenci.
• Pořízení kopie průkazu totožnosti lze buď na základě příslušného zákona, nebo na základě dobrovolného souhlasu. Vzhledem ke zneužitelnosti dokladu totožnosti ke krádeži identity fyzické osoby stanovují příslušné zákony zákaz pořizovat jakýmikoliv prostředky kopie těchto průkazů bez prokazatelného souhlasu občana, kterému byl průkaz vydán, pokud zvláštní zákon nebo mezinárodní smlouva, kterou je Česká republika vázána, nestanoví jinak. Neoprávněné pořízení kopie občanského průkazu nebo cestovního dokladu je přestupkem fyzické osoby, která kopii pořídila.
• Při zápisu osobních údajů z průkazu totožnosti do vedené evidence je nezbytné dodržovat zásadu minimalizace údajů, tj. ukládat pouze ty údaje, které jsou pro určitý účel nezbytně potřebné. Pokud není rozsah shromažďovaných údajů výslovně stanoven aktuálně platnou legislativou, je třeba posoudit nezbytnost rozsahu shromažďovaných údajů.

Automatizované zpracování osobních údajů

• Automatizované zpracování osobních údajů je prováděno úplně nebo částečně prostřednictvím informačních systémů, tj. výpočetní techniky. Aby bylo jednoznačně zřejmé jaké informační systémy zpracovávají jaké osobní údaje je vhodné, aby vznikl datový model.
• Datový model graficky znázorňuje vzájemné vztahy mezi osobními údaji – datovými prvky a zároveň poskytuje informaci o tom, kde je primární zdroj těchto údajů, tzn. v jakém informačním systému informace vznikají, případně z jakého informačního systému jsou přebírány či jakému informačnímu systému jsou údaje poskytovány. Tyto informace jsou důležité pro identifikaci správy osobních údajů a i odpovědnosti za zpracování osobních údajů.
• Zpracovaný datový model je zároveň klíčovým vstupem pro zpracování Informační koncepce organizace, jejíž vytvoření vyplývá ze zákona č. 365/2000 Sb., o informačních systémech veřejné správy a o změně některých dalších zákonů.
• Povinnost zpracovat Informační koncepci mají všechny orgány veřejné správy, které vykonávají alespoň přenesenou působnost v základním rozsahu, tedy obce s matričním úřadem.
• V případě Vašeho zájmu o bližší informace ke zpracování Datového modelu a Informační koncepce organizace nás prosím kontaktujte na e-mailové adrese equica@equica.cz.

Novela zákona o elektronických komunikacích čeká na podpis prezidenta

• Sněmovna schválila 15. září 2021 novelu zákona o elektronických komunikacích, která upravuje i pravidla pro ukládání cookies a telemarketingu. Nyní novela zákona čeká na podpis prezidenta.
• Novela zákona o elektronických komunikacích zavádí takzvaný OPT-IN režim pro ukládání cookies – tedy ukládání cookies jen na základě výslovného souhlasu návštěvníka webových stránek, to vše v souladu s legislativou Evropské unie. Nadále bude platit výjimka týkající se nezbytných cookies, které jsou potřeba proto, aby webové stránky, mohly být vůbec zobrazeny.
• Novela zákona stanovuje i regulaci telemarketingu. Režim OPT-IN bude platit i pro telemarketing − zákazní­ky lze tedy obvolávat s nevyžádanou nabídkou pouze v případě, že s tím adresát sou­hlasil v rámci veřejných seznamů. Pokud společnost provozující telemarketing využívá svou databázi telefonních čísel na základě smluvního vztahu či oprávněného zájmu, bude moct i nadále subjekt údajů kontaktovat.

Registrační značka silničního vozidla z pohledu osobního údaje

• Dle rozhodnutí Nejvyššího správního soudu může být registrační značka silničního vozidla osobním údajem, ale ne v každém případě. Registrační značka se totiž nevztahuje k vozidlu, ale k určité fyzické osobě – k vlastníkovi nebo provozovateli vozidla.
• Registrační značka silničního vozidla je osobním údajem pouze v případě, existují-li jakékoli osoby nebo orgány, které by daný subjekt údajů dokázaly na základě předmětné informace – ve spojení s jimi dostupnými doplňujícími údaji – identifikovat, tj. je-li subjekt údajů pro žadatele bez dostatečných překážek ztotožnitelný.
• V případě vznesení žádosti o poskytnutí informace dle zákona č. 106/1999 Sb., o svobodném přístupu k informacím, lze žadateli poskytnout seznam registračních značek silničních vozidel, kterým byla např. vydána karta rezidenčního parkování v konkrétní části města, ale pouze bez dalších připojených osobních údajů vlastníků vozidel, tj. bez jména a příjmení vlastníka vozidla, jeho bydliště atd.

Index kyberbezpečnosti v rámci České republiky

• Česká bankovní asociace každý rok měří tzv. Index kyberbezpečnosti, který vychází z tvrzení Čechů, jakým způsobem se chovají na internetu.
• V roce 2020 dosáhl Index kyberbezpečnosti 61 % − většina občanů České republiky o kyberhrozbách ví, ale nedokáže je odhalit, např. nečtou informační zprávy od bank, nevěnují pozornost bezpečnostním upozorněním svého mobilního telefonu atd.
• V případě zájmu si můžete vyzkoušet své znalosti o kyberbezpečnosti ve vědomostním Kybertestu (https://www.kybertest.cz/), jehož cílem je zjistit, zda respondenti v rolích klientů fiktivní Rodinné banky při reálně vypadajících simulacích rozpoznají, že jsou terčem on-line podvodníků.

Prošetření sdílení dat přes aplikaci Tečka

• V rámci kontrol se Úřad pro ochranu osobních údajů zaměří i na aplikaci Tečka, která obsahuje informace o prodělané nemoci, očkování nebo výsledky testů na Covid-19.
• Aplikace Tečka od září 2021 spustila pilotní provoz sdílení certifikátů se službami na webových stránkách při zakoupení vstupenek nebo při registraci na akci – po vyfocení speciálního QR kódu sdílení zobrazeného na webu externí služby nabídne aplikace Tečka výběr a odeslání certifikátu účastníka akce. Dojde tedy ke sdílení informace o bezinfekčnosti s prodejcem vstupenek, tj. externí služba tedy může dopředu ověřit aktuální stav Covid-19 a účastník akce již nemusí dokládat bezinfekčnost na místě (dojde ke zrychlení vstupu na akci). K poskytnutí osobních dat je potřebný souhlas klientů, a to hned dvakrát, než se informace zcela odešlou.

ČSSZ řeší problém se zveřejňováním osobních údajů

• Na internetu jsou dostupné dokumenty s citlivými osobními údaji od České správy sociálního zabezpečení, které lze jednoduše vyhledat prostřednictvím vyhledávače (např. písemnosti o exekuční srážce ze mzdy apod.). Kromě tohoto problémů bylo zjištěno, že některé pobočky OSSZ zveřejňované materiály nesprávně anonymizují.
• ČSSZ výše uvedené pochybení částečně připustila, podle ministryně práce a sociálních věcí Jany Maláčové nyní zveřejňování dokumentů prověřuje. Problém se zveřejněním osobních údajů na internetu prověřuje i Úřad pro ochranu osobních údajů.

Předání osobních údajů mezi M&M reality a distributory směnek

• Úřad pro ochranu osobních údajů prošetřuje předání osobních údajů mezi realitní kanceláří M&M reality a distributory směnek investiční společnosti Arca Investments, které se mělo uskutečnilo v roce 2020, kdy se řešil kapitálový vstup společnosti Arca Investments do M&M reality, který se nakonec neuskutečnil.
• Distributoři směnek získali data v podobě excelových tabulek, dostali též přístupy do interního informačního systému Stormm. Cílem bylo nabízet krátce před krachem společnosti Arca Investments její směnky lidem, kteří prodali nemovitost a měli tedy hotovost.
• Majitel M&M reality Petr Morcinek popřel, že by společnost poskytla společnosti Arca Investments osobní údaje klientů. Realitní kancelář prý podala hlášení k Úřadu pro ochranu osobních údajů o tzv. bezpečnostním incidentu.

Vyšetřování TikToku

• Irská Komise pro ochranu dat (DPC), která v Evropské unii reguluje většinu světových technologických firem, zahájila dvě vyšetřování čínské platformy pro sdílení krátkých videí TikTok.
• DPC v prohlášení uvedla, že první vyšetřování se týká zpracování osobních údajů v souvislosti s nastavením platformy pro uživatele mladší 18 let a opatřeními pro ověření věku osob mladších 13 let, druhé vyšetřování se zaměří na přesun osobních údajů společností TikTok do Číny a na to, zda společnost při předávání osobních údajů do zemí mimo EU dodržuje unijní právní předpisy.

Pokuta za nesprávné provozování kamerového systému

• Španělský dozorový úřad Agencia Española de Protección de Datos (AEPD) udělil společnosti Arriveda Damar SL pokutu v celkové výši 6 tisíc EUR (cca 152 tis. Kč) za porušení čl. 5 Nařízeni GDPR – principu minimalizace osobních údajů.
• Společnost Arriveda Damar SL porušila princip minimalizace osobních údajů při provozování kamerového systému nadměrně zasahujícího do soukromí subjektů údajů. Společnost bez řádného důvodu instalovala čtyři kamery, které snímaly chodník vedle objektu společnosti nacházející se na veřejném prostranství, a to v celé šířce, a zároveň i auta zaparkovaná vedle něj. Informativní cedule o provozování kamerového systému nesplňovala požadavky na řádné informování subjektů údajů (čl. 13 Nařízení GDPR).

Problematika zpracování osobních údajů z volně přístupných rejstříků na internetu

• Státní rejstříky volně přístupné na internetu jako je např. živnostenský rejstřík, obchodní rejstřík, insolvenční rejstřík či katastr nemovitostí, jsou zdroje údajů, které mají určitou veřejnoprávní povahu (nejedná se tedy o soukromé zdroje, na nichž uživatelé zveřejňují údaje sami o sobě).
• Veřejné rejstříky lze rozdělit na samotné veřejné rejstříky a na tzv. open data (informace a čísla bezplatně a volně dostupná na internetu ve strukturované a strojově čitelné podobě, která umožňuje jejich jednoduché další zpracování).
• Dle rozhodnutí Úřadu pro ochranu osobních údajů lze v případě zpracování open dat uplatnit princip zpracování na základě oprávněného zájmu, ale v případě ostatních veřejných rejstříku, které nejsou open daty, je takové zpracování vyloučeno. Zpracování osobních údajů z veřejných rejstříků je dle rozhodnutí ÚOOÚ možné pouze na základě souhlasu samotného subjektu údajů.
• V rámci veřejných rejstříků tedy nelze provést zákonné zpracování osobních údajů. Veřejné rejstříky umožňují pouze nahlédnutí a pořídit si z nich kopie nebo výpisy, neumožňují údaje získané z rejstříku zveřejňovat na webových stránkách organizace.

Prověření poskytovaných informací z Centrálního registru oznámení

• Úřad pro ochranu osobních údajů zaslal Ministerstvu spravedlnosti ČR dopis z důvodu zjištění, zda ministerstvo v současné době poskytuje informace z Centrálního registru oznámení, příp. na základě jakého právního předpisu, v jakém rozsahu, a zda poučuje příjemce takových údajů o dalším nakládání s osobními údaji.
• Tímto dopisem ÚOOÚ reagoval na informaci, podle které Ministerstvo spravedlnosti ČR zpřístupňuje podaná oznámení o střetu zájmů na základě zákona č. 106/1999 Sb., o svobodném přístupu k informacím.
• Ústavní soud totiž svým nálezem z 11. 2. 2020 zrušil protiústavní ustanovení zákona o střetu zájmů, uplynutím 31. 12. 2020, z toho důvodu, aby nebyly majetkové poměry veřejných funkcionářů, kterými jsou i představitelé územních samosprávných celků, nekontrolovatelně přístupné komukoliv na internetu.
• Dle ÚOOÚ se z hlediska ochrany osobních údajů zatím nepodařilo tuto problematiku ukotvit legislativně. Podle rozsudku Nejvyššího správního soudu z 20. 2. 2019 spadají informace o majetkových poměrech osoby do samého jádra ústavně chráněného soukromí. Podáním oznámení na základě zákona č. 159/2006 Sb., o střetu zájmů majetkové poměry veřejného funkcionáře dle soudu zásadně neztrácejí povahu soukromé informace (osobního údaje) a evidenční orgán má povinnost zpracovávat je pouze v souladu se zákonem.

Zpráva o pověsti na vyžádání orgánů činných v trestním řízení z pohledu ochrany osobních údajů

• Zpráva o pověsti se vyhotovuje na základě písemné žádosti jak příslušných orgánů, tak samotných fyzických osob. Vzhledem k obsahu zprávy o pověsti, jež se mimo jiné vyjadřuje k osobnosti a chování posuzované osoby, může jejím sepsáním dojít k zásahu do osobnostních práv takové osoby.
• V případě vydání zprávy o pověsti na žádost orgánu činného v trestním řízení vyplývá plnění povinnosti z trestního řádu (zákon č. 141/1961 Sb.), tj. potřeba zjištění, zda obviněný (obžalovaný či odsouzený) vede řádný život. Vydání zprávy o pověsti je tedy důvodem, který dle stanoviska Nejvyššího soudu zpravidla ospravedlňuje zásah do osobnostních práv dotčené osoby, které se zpráva týká, jestliže informace v ní uvedené nepřesahují její funkci a případný zásah do osobnostních práv dotčené osoby je nevyhnutelným průvodním jevem splnění zákonem stanovené povinnosti a je zcela přiměřený okolnostem daného případu.
• Při vypracování zprávy o pověsti je tedy třeba postupovat tak, aby informace ve zprávě uvedené nepřesahovaly funkci posuzované osoby a aby případný zásah do osobnostních práv dotčené osoby byl zcela přiměřený okolnostem daného případu.
• Při zpracování zprávy o pověsti na vyžádání orgánů činných v trestním řízení je nezbytné zohlednit i relevantní lhůtu („přiměřenou dlouhou dobu“) po kterou se zjišťuje, zda obviněný vede řádný život (pokud doba, ohledně níž má být zpráva vypracována, není výslovně uvedena). Doba, která je relevantní pro posouzení řádného života může být ohraničena např. zkušební dobou (podmíněného odsouzení apod.), případně dobou od právní moci odsuzujícího rozsudku do skončení výkonu trestu (obecně prospěšné práce atd.). Ale např. v případě zjištění existence polehčující okolnosti podle trestního řádu se text zákona omezuje na konstatování, že pachatel „vedl před spácháním trestného činu řádný život“.
• Aktuálně platná legislativa problematiku délky posuzovaného období explicitně neřeší. V případě, že si dožádaná instituce / organizace není délkou posuzovaného období jistá, je vhodné požádat příslušný orgán činný v trestním řízení o zpřesnění posuzovaného období.

Výsledky průzkumu STEM / MARK o sdílení osobních údajů

• Dle výsledků vyplývajících z realizovaného průzkumu STEM / MARK devadesát procent Čechů odmítá sdílet osobní údaje jako je rodné číslo, osobní doklad, údaje o platební kartě, obsah e-mailu či zprávy. Téměř polovina dotazovaných nemá ale problém poskytnout údaje o poloze, sdílet historii prohlížení, fotografie a kontakty.
• Ochota sdílet své soukromé údaje klesá s rostoucím věkem. Obecně jsou ochotní osobní údaje sdílet především lidé z nejmladší generace a muži, u žen a starších lidí je patrná větší zdrženlivost.

Únik údajů z platebních karet ukradených mezi lety 2018 a 2019

• Ruští hackeři zveřejnili na serveru All World Cards údaje z milionu platebních karet (čísla platebních karet, data platnosti, bezpečnostní kódy CVV atd.) ukradených mezi lety 2018 a 2019. V rámci zveřejněných údajů jsou i údaje z ještě funkčních platebních karet, a to i údaje o platebních kartách vydaných v České republice.
• Podle časopisu Forbes útočníci tímto způsobem propagují svou databázi ukradených platebních karet, kterou mohou ostatní zločinci využít k on-line nákupům. Hackeři údaje o platebních kartách kradou prostřednictvím malwaru, nebo při přesměrování zákazníků na platební platformy e-shopů. Následně ukradené údaje z platebních karet přeprodávají dalším kybernetickým zločincům.
• Skutečný počet ukradených údajů z platebních karet je mnohem vyšší než jeden milion – odhadem se jedná o cca 2,6 milionu ukradených údajů z platebních karet klientů bank z celého světa. Nejvyšší počet (cca 1,2 milionu) pochází ze Spojených států amerických.

British Airways zaplatí za únik osobních údajů kromě pokuty i vyrovnání klientům

• Společnost British Airways zaplatí za porušení zabezpečení osobních údajů z roku 2018 kromě pokuty ve výši 20 mil. liber (cca 600 mil. Kč), kterou společnosti udělil britský dozorový úřad (Information Commissioner’s Office), i vyrovnání klientům. Společnost v červenci 2021 uzavřela dohodu o vyrovnání s klienty, jejichž osobní údaje jim v minulosti unikly.
• V roce 2018 letecká společnost British Airways dostatečně neochránila osobní a finanční údaje více jak 400 tisíc klientů. Společnosti unikla řada klientských dat – přihlašovací údaje k účtům, historie platebních karet a přístupy k nim, podrobnosti o plánovaných cestách včetně jména, příjmení a adresy majitelů, a bankovní údaje.
• Více než 16 tisíc dotčených klientů požadovalo po britské letecké společnosti náhradu újmy způsobené únikem jejich osobních údajů. Hromadnou žalobu připravovala jejich jménem advokátní kancelář PGMBM (Pogust, Goodhead, Mousinho, Bianchini and Martins).
• Podrobnosti dohody British Airways s poškozenými klienty však nejsou veřejně přístupné. Není tedy zřejmé, jak vysoké odškodnění je poškozeným subjektům údajů poskytnuto. Odhaduje se, že porušení GDPR bude britské aerolinky stát cca 5 miliard Kč.

Pokuta za zveřejnění fotek dětí na Instagramu

• Španělský dozorový úřad Agencia Española de Protección de Datos (AEPD) udělil gymnastickému klubu Club Gimnasia Rítmica San Antonio pokutu ve výši 5 tisíc EUR (cca 128 tisíc Kč) za zveřejnění fotografie dvou nezletilých dětí (ve věku 10 a 12 let) na instagramovém účtu klubu.
• Gymnastický klub zveřejnil fotografie nezletilých dětí pořízené při cvičení i přes výslovný nesouhlas jejich matky. Matka dětí několikrát požádala gymnastický klub, aby nezveřejňoval fotografie jejích dvou dcer na sociálních sítích, a také dala jasně najevo, že nedává klubu oprávnění pořizovat jejich fotografie a videozáznamy.
• Španělský dozorový úřad AEPD dospěl k závěru, že klub porušil ustanovení čl. 6 odst. 1 Nařízení GDPR upravující jednotlivé právní důvody zpracování osobních údajů, a to tím, že na svém instagramovém účtu zveřejnil fotografie dvou dětí, aniž by měl právní důvod k podobnému nakládání s jejich fotografiemi. Klub nebyl schopen prokázat, že měl k podobnému jednání právní důvod, jelikož nedisponoval souhlasem matky dětí (naopak mu byl znám její nesouhlas s pořízením fotografií a videozáznamů a jejich zveřejněním na sociálních sítích).

Rekordní pokuta pro Amazon

• Společnost Amazon Europe Core S.à r.l. dostala v červenci 2021 od lucemburského úřadu pro ochranu osobních údajů (La Commission nationale pour la Protection des données) rekordní pokutu 756 milionů EUR (cca 18,9 miliard Kč) za porušení GDPR.
• Pokuta byla Amazonu udělena na základě podnětu více než 10 tisíc stěžovatelů podaného prostřednictvím francouzského sdružení La Quadrature du Net (LQDN), jehož cílem je prosazovat a hájit základní práva a svobody jednotlivců v digitálním světě.
• Lucemburský úřad pro ochranu osobních údajů prošetřoval v rámci společnosti Amazon způsob zpracovávání osobních údajů zákazníků. Na základě provedené kontroly bylo zjištěno porušení pravidel pro cílení reklamy, které bylo pravděpodobně prováděno bez řádného souhlasu. Bližší informace nejsou k dispozici, protože rozhodnutí není veřejně dostupné.
• Společnost Amazon s udělenou pokutou nesouhlasí a chce se proti předmětnému rozhodnutí bránit.

Miliardová pokuta pro WhatsApp

• Společnost WhatsApp spadající pod největší sociální síť Facebook dostala od Komise pro ochranu dat v Irsku (DPC) pokutu ve výši 225 milionů EUR (cca 5,74 miliard Kč) za znevažování osobních uživatelských dat a GDPR.
• Podle usnesení DPC WhatsApp porušuje evropské Obecné nařízení na ochranu osobních údajů. WhatsApp o všech svých uživatelích sbírá citlivá osobní data (iniciály, telefonní číslo, adresu apod.), se kterými ale nevhodně zachází. WhatsApp sdílí informace o uživatelích nejen v celém systému Facebook, ale sdílí je i s dalšími firmami a službami.
• Společnost WhatsApp považuje tuto pokutu za neadekvátní a chce se proti ní odvolat.

Vydání knihy Mindf*ck: Cambridge Analytica a plán na zničení

• Whistleblower a bývalý ředitel výzkumu Cambridge Analytica Christopher Wylie vydal knihu „Mindf*ck: Cambridge Analytica a plán na zničení“, která odhaluje skutečný příběh britského referenda o vystoupení z Evropské unie, Bannonovy americké revoluce, ovlivňování amerických prezidentských voleb (volební kampaně Donalda Trumpa v roce 2016) a celosvětového zločinu proti demokracii. Kniha popisuje, jak je snadné s pomocí osobních dat, které o sobě lidé v online prostoru zveřejňují, nahlédnout do lidských myslí a prostřednictvím moderních technologií s nimi manipulovat.
• Společnost Cambridge Analytica využila Facebooku ke zpracování milionů uživatelských profilů – spojila psychologický výzkum se soukromými facebookovými daty a vytvořila tak neviditelnou zbraň, která měla moc měnit to, co voliči považovali za realitu.
• Christopher Wylie svým veřejným vystoupením odstartoval jedno z největších a nejrozsáhlejších mezinárodních vyšetřování datové kriminality v naší historii.

Povinnost implementovat vnitřní oznamovací systém (Whistleblowing – Ochrana oznamovatelů)

• Směrnice Evropského parlamentu a rady (EU) 2019/1937 o ochraně osob, které oznamují porušení práva Unie (dále také Směrnice) přináší organizacím v soukromém i veřejném sektoru nové povinnosti, především zavedení tzv. vnitřního oznamovacího systému a ochrany osob, které oznámí porušení práva Unie, o kterém se dozví, před odvetnými opatřeními ze strany zaměstnavatele.
• Členské státy EU mají povinnost Směrnici implementovat národní legislativou do 17. prosince 2021, návrh Zákona o ochraně oznamovatelů počítá s přechodným obdobím do 31. března 2022, kdy je povinný subjekt povinen vnitřní oznamovací systém a postupy pro oznamování a přijímání následných opatření zavést.
• Společnost Equica, a.s. nabízí své služby při zavedení systému ochrany oznamovatelů a zajištění role prošetřovatele, tj.:
  • Plnění role prošetřovatele oznámení.
  • Návrh a nastavení procesu ochrany oznamovatelů, včetně odpovídající interní dokumentace.
  • Zpracování povinně zveřejněných informací pro oznamovatele.
  • Zprovoznění elektronického nástroje pro učinění anonymních podání oznamovatelem.
  • Přijímání (elektronické, písemné, osobní) podání oznamovatele a jejich prošetření (v součinnosti s odpovědnými pracovníky povinného subjektu) při zajištění, že se s oznámením budou seznamovat jen příslušné osoby a bude dodržen zákaz poskytovat údaje.
  • Řádné posouzení důvodnosti oznámení a informování oznamovatele o přijetí oznámení a o výsledcích posouzení důvodnosti oznámení.
  • Zajištění, aby vůči oznamovatelům nebyla v souvislosti s oznámením podniknuta jakákoliv forma odvetného opatření.
  • Zpracování vhodného opatření k nápravě.
  • Vedení evidence údajů o přijatých oznámeních a archivace oznámení podaných prostřednictvím vnitřního oznamovacího systému (v elektronické podobě) po dobu 5 let od jeho přijetí.
  • Školení a interní osvěta ve vztahu k možnostem oznamování.

Předávání osobních údajů do Velké Británie po ukončení brexitového přechodného období

• Dva dny před uplynutím brexitového přechodného období přijala Evropská komise rozhodnutí o odpovídající ochraně osobních údajů ve Velké Británii. Velká Británie prozatím přijala stejná pravidla ochrany osobních údajů, jakými byla vázána v době členství v Evropské unii pod pravidly Nařízení GDPR.
• Rozhodnutí Evropské komise o odpovídající ochraně osobních údajů ve Velké Británii má však omezenou platnost čtyři roky (poté bude nutný nový přezkum). Poprvé v historii tedy Evropská komise přistoupila k implementaci tzv. „sunset clause“, tedy doložky o ukončení platnosti a účinnosti daného rozhodnutí po uplynutí stanovené doby.

Nové standardní smluvní doložky pro předávání osobních údajů do třetích zemí

• Evropská komise v červnu 2021 vydala nová prováděcí rozhodnutí, která obsahují zaktualizovanou verzi standardních smluvních doložek pro předávání osobních údajů mimo EU – do třetích zemí nebo mezinárodním organizacím s nedostatečnou úrovní ochrany osobních údajů. V rámci aktualizace původní verze standardních smluvních doložek došlo k zjednodušení jejich obsahu i použití, standardní smluvní položky se sjednotily a přizpůsobily obsahu a požadavkům GDPR (viz https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX%3A32021D0914&qid=1623166912410 a https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX%3A32021D0915&qid=1623166912410).

• Standardní smluvní doložka je vzorový text smlouvy schválený Evropskou komisí, kterou mezi sebou uzavřou zainteresované strany, tj. správci osobních údajů mezi sebou, nebo správce osobních údajů a zpracovatel osobních údajů v třetí zemi apod.

• Důležité je nezapomenout, že smluvní vztah ošetřující předávání osobních údajů do třetí země s nedostatečnou úrovní ochrany osobních údajů musí zahrnovat nejen standardní smluvní doložky, ale i zpracovatelskou smlouvu se všemi náležitostmi vyžadovanými příslušnými ustanoveními GDPR.

Problematika home office z pohledu bezpečnostních rizik

• I když onemocnění Covid-19 pomalu odeznívání, tak mnoho zaměstnavatelů nadále umožňuje svým zaměstnancům částečnou práci z domova, tzv. home office. Práce z domova však sebou přináší jistá bezpečnostní rizika, která mohou mít dopad do oblasti ochrany osobních údajů. Proto je vhodné pravidla home office ošetřit interní směrnicí.
• Stěžejní zásady pro výkon práce v režimu home office:
  • Veškeré činnosti provádí výlučně zaměstnanec, nepověří jimi třetí osobu.
  • Pokud má zaměstnanec k dispozici vybavení poskytnuté společností (HW, SW, data) – zákaz poskytnutí vybavení třetím osobám, zajištění šifrování dat, uložení pod uzamčením, nepřipojovat k zařízení žádný další HW, ani tiskárny.
  • Pokud zaměstnanec pro práci využívá vlastní vybavení, zřídí na něm samostatný účet jen pro práci, zabezpečený heslem a po skončení home office tento účet zruší.
  • Vhodně uspořádat pracovní místo – obrazovky / monitory umístit tak, aby do nich nemohly nahlížet třetí osoby, při opuštění pracovního místa zabezpečit zařízení i data proti přístupu třetí osoby.
  • Pravidelně ukládat data, aby nedošlo k jejich ztrátě. Zákaz ukládat data na soukromé nosiče nebo veřejná úložiště internetu.
  • Zákaz sdílení přístupových údajů třetím osobám, včetně rodinných příslušníků a osob ve společné domácnosti.
  • Zákaz tisku dokumentů, ve výjimečných případech pak zajištění zabezpečeného uložení a likvidace v kanceláři společnosti (ne popelnice).
  • Zákaz přeposílat cokoliv na soukromé e-mailové adresy.
  • Zákaz účasti na videokonferencích za přítomnosti třetích osob, na veřejných prostranstvích nebo v místech možného odposlechu (otevřené okno, zahrada, balkon, …).
  • Minimalizovat přemisťování papírových dokumentů, dodržovat opatření definovaná společností pro převoz písemné dokumentace (přenášet dokumenty v uzavřených složkách a zavazadlech, nenechávat je bez dozoru, …).
  • Ohlásit neprodleně vedení společnosti jakékoliv porušení zabezpečení (incident) nebo podezření na porušení zabezpečení (náhodné nebo protiprávní zničení, ztráta, změna nebo neoprávněné poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů, odcizení, porucha nebo proniknutí malware).
  • Respektovat interní směrnici společnosti o zpracování osobních údajů.
  • Umožnit zaměstnavateli kontrolu dodržování uvedených pravidel, při zjištění nedostatků neprodleně zjednat nápravu.

Skartace prováděná externí společností

• V případě, že organizace využívá pro likvidaci nosičů dat (např. písemností, CD / DVD, pevných disků atd.) služby externí společnosti, tak s ní musí mít uzavřenou zpracovatelskou smlouvu, neboť z pohledu ochrany osobních údajů je externí skartační společnost zpracovatelem osobních údajů.
• Zpracovatelská smlouva (smlouvu o zpracování osobních údajů) definuje smluvní vztah mezi správcem osobních údajů a zpracovatelem osobních údajů, kterého správce pověřil, aby pro něj zpracovával data – osobní údaje. Externí skartační společnost tedy při likvidaci nosičů dat zodpovídá za dodržování platných právních předpisů o ochraně osobních dat a utajovaných informací. V souladu s platnými právními předpisy musí vždy skartační společnost učinit dostatečná organizační a technická opatření zabraňující přístupu neoprávněných osob k likvidačnímu zařízení a případnému úniku věcných informací a osobních dat.
• V zpracovatelské smlouvě, která musí být ze zákona uzavřena písemně (může existovat jen v elektronické podobě), musí být zejména uvedeno:
  • Jaké osobní údaje se budou zpracovávat.
  • Doba trvání zpracování osobních údajů.
  • Povaha a účel zpracování osobních údajů.
  • Způsob předání osobních údajů.
  • Co se s osobními údaji stane po ukončení spolupráce správce a zpracovatele osobních údajů.
  • Práva a povinnosti správce a zpracovatele osobních údajů.
  • Odpovědnost za porušení povinností.

Právo na přístup k osobním údajům – odpověď na žádost subjektu údajů

• V souladu s Nařízením GDPR může každý člověk (tj. subjekt údajů) požádat státní organizaci nebo soukromou společnost (tj. správce osobních údajů) o bezplatnou informaci, jaká všechna data o něm dotyčný subjekt vede.
• Při přijetí žádosti musí správce osobních údajů ověřit totožnost žadatele – subjektu údajů. Odpověď musí správce osobních údajů zpracovat bez zbytečného odkladu, nejpozději do 30 dnů od obdržení žádosti. Informace o zpracování osobních údajů žadatele musí být poskytnuty stručně, transparentně, srozumitelně a bezplatně. Ke zpoplatnění může správce osobních údajů přistoupit pokud se jedná o opakovanou žádost (např. dříve než za šest měsíců), žádost je zjevně neopodstatněná či nepřiměřená, subjekt údajů požaduje několik kopií údajů apod. Při stanovení výše možného poplatku musí správce osobních údajů vzít v úvahu správní náklady na dodání informací a na provedení případného požadovaného opatření.
• Subjekt údajů by měl být v rámci odpovědi na podanou žádost o přístupu k osobním údajům informován o následujících základních údajích / informacích:
  • Jméno a kontaktní údaje správce osobních údajů.
  • Jaké kategorie osobních údajů správce o subjektu údajů zpracovává.
  • Z jakého účelu jsou zpracovávány osobní údaje subjektu údajů.
  • Právní základy pro zpracování osobních údajů.
  • Doba, po kterou dochází ke zpracování osobních údajů.
  • Komu jsou osobní údaje dále předávány nebo sdělovány, a zda jsou předávány mimo EU nebo EHP.
  • Zdroje osobních údajů, pokud nejsou získány přímo od subjektu údajů.
  • Poučení o právech subjektu údajů.

Pořizování zvukových a obrazových nahrávek z ústního jednání v rámci veřejné správy

• Za splnění určitých podmínek (pokud to není omezeno zákonem) lze pořizovat záznamy druhých v rámci styku s osobami vykonávajícími veřejnou moc. K pořizování nahrávek musí nahrávající splnit jak podmínky definované občanským zákoníkem (zákon č. 89/2012 Sb.), tak zároveň i podmínky ochrany osobních údajů dle Nařízení GDPR.
• Občanský zákoník stanovuje základní pravidlo, že zachytit podobu člověka jakýmkoli způsobem, ze kterého bude možné určit jeho totožnost, je možné jen s jeho svolením. Bez souhlasu dovoluje občanský zákoník zachycovat podobu z důvodu ochrany jiných práv a zájmů (např. kamerový systém chránící majetek), dále pro vědecké, umělecké, zpravodajské a úřední účely vč. vystoupení osoby vykonávající veřejnou moc v záležitosti veřejného zájmu. Vystoupení ve veřejném zájmu musí být spojeno s výkonem veřejné moci, nesmí se jednat o projev osobní povahy veřejně činné osoby v jejím volném čase.
• Pořizování nahrávek a jejich případné šíření je zpracováním osobních údajů, které se řídí pravidly Nařízení GDPR. Zvukové i obrazové záznamy druhých lidí, na základě kterých lze dotyčné osoby identifikovat, spadají podle GDPR do osobních údajů. Pro nahrávání osob veřejné správy je relevantní čl. 6 odst. 1 písm. f) Nařízení GDPR stanovující, že zpracování osobních údajů je možné bez souhlasu subjektu osobních údajů v případech, kdy je to nezbytné pro účely oprávněných zájmů příslušného správce (správcem je ten, kdo s pořízeným záznamem disponuje; oprávněným zájmem je např. sledování výkonu pravomoci zvolených zástupců).
• Pro nahrávání osob vykonávajících veřejnou moc (úředníci, zastupitelé, policisté atd.) není tedy potřeba jejich souhlasu, a to na základě výše uvedených výjimek z občanského zákoníku a Nařízení GDPR.

GDPR a nový stavební zákon

• Dne 29.7.2021 byl ve Sbírce zákonů publikován pod č. 283/2021 Sb. nový stavební zákon, jehož hlavním cílem je zrychlit stavební řízení a zajistit dodržování stanovených lhůt. Tento nový stavební zákon má vstoupit v účinnost k 1. červenci 2023, některé změny ale začnou platit již od ledna 2022. To umožní například budovat novou síť státní stavební správy a nabírat do ní nové lidi. Stavební úřady budou spadat pod Nejvyšší stavební úřad a budou organizovány podobně jako třeba finanční správa.
• Nový stavební zákon upravuje nejen působnost orgánů státní stavební správy, orgánů územního plánování a orgánů územní samosprávy v oblasti územního plánování a stavebního řádu, ale stanovuje i cíle, úkoly a nástroje územního plánování, požadavky na výstavbu a stavební řád. Upravuje rovněž podmínky pro integrovanou ochranu veřejných zájmů při územním plánování, povolování staveb a výstavbě, povinnosti osob při přípravě a provádění staveb, podmínky pro projektovou činnost a provádění staveb, některé účely vyvlastnění, oprávnění autorizovaných inspektorů a výkon kontroly.
• Výkon stavebního řízení v souladu s novým stavebním zákonem se tedy bude dotýkat i oblasti zpracování a ochrany osobních údajů, protože správní orgány (Nejvyšší stavební úřad a jednotlivé stavební úřady) budou nakládat s osobními údaji účastníků stavebního řízení. Samostatnou oblastí pak budou i způsoby ukládání, archivace a likvidace osobních údajů stávajících stavebních úřadů a jejich předávání orgánům státní stavební správy.
• Ve Sbírce zákonů byl pod č. 284/2021 Sb. publikován rovněž zákon, kterým se mění některé zákony v souvislosti s přijetím stavebního zákona. Jedná se o doprovodný zákon k novému stavebnímu zákonu, který mění 58 dalších zákonů.

Zpřístupnění aplikace na provedení DPIA

• Francouzský dozorový úřad Commission Nationale de l‘Informatique et des Libertés (CNIL) zveřejnil koncem června 2021 novou verzi svého nástroje pro provádění posouzení vlivu na ochranu osobních údajů (DPIA).
• Aplikace jednoduše provede správce osobních údajů metodikou vypracování posouzení vlivu na ochranu osobních údajů. Nástroj je dostupný ve dvaceti jazycích (i v češtině), je možné si ho zdarma stáhnout z webových stránek CNIL (https://www.cnil.fr/en/privacy-impact-assessment-cnil-releases-version-3-0-its-pia-software).

Plánované kontroly ÚOOÚ ve veřejném sektoru

• V rámci kontrolního plánu na rok 2021 se Úřad pro ochranu osobních údajů zaměřuje i na kontrolu elektronických úředních desek a kamerových systémů vybraných měst / městských částí.
• Velmi častým nedostatkem v případě elektronické úřední desky je, že vyvěšené dokumenty jsou nedostatečně anonymizovány a nejsou po uplynutí doby vyvěšení správně svěšeny, jsou nadále dostupné např. prostřednictvím vyhledávače. Z tohoto důvodu ÚOOÚ v rámci plánovaných kontrol elektronické úřední desky kontroluje zejména ověření existence způsobu vyvěšování a svěšování dokumentů ve vztahu k ochraně osobních údajů na nich umístěných, s uvážením následků vyvěšení způsobeným vyhledávači na internetu, případně profilováním údajů získávaným v rámci tzv. monitorování úředních desek.
• V rámci městských kamerových systémů se ÚOOÚ zaměřuje na kontrolu ověření legality provozovaného městského biometrického kamerového systému, tedy zejména na ověření právního základu daného zpracování ve vztahu ke skutečnému účelu prováděného zpracování, přijetí technicko-organizačních opatření, zabezpečení osobních údajů a výkon práv subjektu údajů.

Pokuta za sledování zaměstnanců francouzské pobočky IKEA

• Francouzská pobočka IKEA, respektive společnost Ingka Group, která je hlavním franšízantem vlastníka značky Inter IKEA Group, zaplatí za nezákonné sledování zaměstnanců pokutu jeden milion EUR. Důvodem udělené pokuty bylo neoprávněné sledování zaměstnanců – vedení firmy si např. prohlíželo záznamy o bankovních účtech zaměstnanců, v rámci tzv. mystery shoppingu sepisovalo zprávy o zaměstnancích atd.
• Celý případ skončil v trestněprávní rovině – obviněno bylo 15 osob, z nichž pouze některým se podařilo částečně zprostit obvinění a dvě osoby byly shledány nevinnými v celém rozsahu. Mezi obviněnými byli i čtyři policisté, kteří se měli podílet na vynášení důvěrných informací z policejních spisů. Generální ředitel Jean-Louis Baiilot dokonce obdržel od soudu pokutu 50 tis. EUR a dvouletou podmínku trestu odnětí svobody.

Uchovávání informací / certifikátů o provedeném očkování proti COVID-19

• Zaměstnavatel může od svých zaměstnanců, kteří byli očkování proti nakažlivé nemoci COVID-19, požadovat předložení certifikátu o očkování. Certifikát o provedeném očkování, který dosvědčuje skutečnost, že dané osobě byla podána vakcína, obsahuje nejen identifikační údaje osoby včetně data narození, ale i informace o podané vakcíně.
• Zaměstnavatel musí při kontrole a příp. uchovávání informací o provedeném očkování zaměstnanců dodržet zásadu minimalizace dle čl. 5 Nařízení GDPR, tj. zpracovávat pouze nezbytně nutný obsah osobních údajů. Zaměstnavatel při rozhodování o uchovávání informací či kopie certifikátu proti očkování COVID-19 zaměstnanců tedy musí zohlednit všechny okolnosti včetně možného zásahu do práv subjektů údajů a případných rizik.
• Možné varianty uchovávání informací / certifikátu o provedeném očkování proti COVID-19 (dle zdůvodněného zájmu zaměstnavatele a minimalizace zpracovávaných osobních údajů):
  • zapsání informace, že zaměstnance není potřeba testovat, protože je již očkován;
  • zapsání nezbytně nutných údajů o provedeném očkování zaměstnance (datum vakcinace, číslo certifikátu apod.);
  • uchovávání částečně anonymizované kopie certifikátu o provedeném očkování.
• Prozatím nejsou jednotně upřesněny informace týkající se kontrol provedeného očkování zaměstnanců proti COVID-19 zaměstnavatelem. Zaměstnavatel se tedy v současné době může pro případ kontroly očkování zaměstnanců odkazovat na informace z Očkovacího portálu občana, v rámci kterého by měl být každý z certifikátu o provedeném očkování evidován. V případě běžného zaměstnavatele by měla postačit částečně anonymizovaná podoba certifikátu o provedeném očkování či jen opsané údaje z předloženého certifikátu.

Zpřísnění pravidel pro ukládání cookies

• Poslanecká sněmovna schválila 16.6.2021 novelu zákona č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů. Novela zákona nyní míří k projednání do Senátu.
• Novela zákona (bude-li schválena v plném znění) zpřísní pravidla pro získávání souhlasů na webových stránkách. Každá webová stránka si nyní může ukládat informace o svém návštěvníkovi prostřednictvím cookies (datových souborů), které patří mezi tzv. síťové identifikátory řešené v rámci GDPR.
• V rámci cookies by měl být pravděpodobně od ledna 2022 plně implementován režim OPT-IN. Varianta souhlasu s cookies na webových stránkách v režimu OPT-IN znamená, že reklamní cookies se neuloží, dokud není kliknuto na „Souhlasím“ (tj. uložení cookies je možné až v okamžiku, kdy k tomu dá uživatel výslovný souhlas). Souhlas se zpracováním osobních údajů není právoplatně udělen, pokud je políčko předem zaškrtnuté a uživatel musí sám souhlas zrušit odškrtnutím.

Novela zákona o svobodném přístupu k informacím

• Zákon č. 106/1999 Sb., o svobodném přístupu k informacím, který je účinný od 1.1.2000, prošel velkou řadou novelizací a další novela zákona je předložena do druhého čtení v Poslanecké sněmovně.
• Zákon o svobodném přístupu k informacím patří k základním právním předpisům, které v rámci své činnosti užívají státní orgány, orgány územních samosprávných celků a další veřejné instituce podílející se na veřejné správě či hospodaření s veřejnými prostředky. Zákon upravuje pravidla pro poskytování informací a podmínky práva svobodného přístupu k těmto informacím.
• Současná novela zákona (bude-li schválena v plném znění) přinese změny:
  • v přenesení pravomoci posuzovat stížnosti proti odmítnutí žádosti o informace z ÚOOÚ na osobu v čele úřadu, jehož informace žadatel požaduje (pokud nelze určit nadřízený úřad);
  • související s implementací směrnice Evropského parlamentu o otevřených datech, např. rozšíří okruh subjektů, které budou mít povinnost informace poskytovat, o veřejné podniky ovládané státem;
  • v poskytování informace na základě žádosti za podmínek, které jsou objektivní, přiměřené, nediskriminační, nevýhradní a neomezují způsob ani účel následného využití poskytovaných informací;
  • v zavedení finanční zálohy v případě rozsáhlého vyhledávání údajů (z důvodu ochrany úřadů / institucí před zneužíváním práva na informace ze strany žadatelů).

Nařízení ePrivacy

• Nařízení ePrivacy, tj. nařízení o respekto­vání soukromého života a ochra­ně osobních údajů v elektronic­kých komunikacích, se řeší již od roku 2017 a zatím nebylo přijato.
• V únoru 2021 se členské státy EU dohodly na společné vyjednávací pozici pro další legislativní proces. O znění návrhu ePrivacy bude tedy nyní jednat Rada EU a Evropský parlament (finální text nařízení musí být schválen jak Radou EU, tak i Evropským parlamentem). Nařízení ePrivacy má zrušit směr­nici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací.
• Nařízení ePrivacy má doplňovat právní úpravu GDPR. Cílem nařízení je nastavit pravidla týkající se ochrany základních práv a svobod fyzických a právnických osob při poskytování a využívání slu­žeb elektronických komunikací. Naří­zení by mělo upravovat podmínky pro zpracování dat elektronických komu­nikací, kterými se rozumí jak jejich obsah, tak i metadata.

Bezpečnostní kamery pro osobní použití

• Řada lidí využívá pro ochranu svého soukromého majetku bezpečnostní kamery. Kamery pro osobní použití za účelem ochrany soukromého majetku lze umístit v bytě (nelze je umístit na společné chodbě), v rodinném domě či na zahradě rodinného domu.
• Základní pravidla pro použití bezpečnostních kamer pro ochranu soukromého majetku:
  • Zorné pole kamery musí být natočeno jen na soukromý prostor / pozemek majitele kamery, ne na veřejné prostranství či sousední pozemek.
  • Kamera bez ukládání záznamu – podléhá pouze občanskému zákoníku a Listině základních práv a svobod (právo na ochranu soukromí, právo na ochranu zdraví a majetku), nepodléhá Nařízení GDPR.
  • Kamera s ukládáním záznamu – podléhá Nařízení GDPR (zájem ochrany osob a majetku), je nezbytné informovat okolí, že je v daném prostoru pořizován záznam z bezpečnostní kamery.

Pravomoci vnitrostátních dozorových úřadů v souvislosti s přeshraničním zpracováním osobních údajů

• Soudní dvůr Evropské unie (SDEU) upřesnil podmínky výkonu pravomocí vnitrostátních dozorových úřadů v souvislosti s přeshraničním zpracováním osobních údajů.
• Na údajné porušení Nařízení GDPR může dle rozhodnutí SDEU upozornit vnitrostátní dozorový úřad členského státu, který nemá postavení vedoucího úřadu, soud členského státu a zahájit soudní řízení v souvislosti s přeshraničním zpracováním údajů. GDPR ale musí tomuto vnitrostátnímu dozorovému úřadu přiznávat pravomoc přijmout rozhodnutí konstatující, že toto zpracování porušuje pravidla stanovená Nařízením GDPR. Tato přiznaná pravomoc musí být vždy použita v souladu s postupy spolupráce a jednotnosti stanovenými Nařízením GDPR.
• Nařízení GDPR stanovuje pro přeshraniční zpracování mechanismus jediného kontaktního místa, který je založen na rozdělení pravomocí mezi vedoucí dozorový úřad a ostatní dotčené vnitrostátní dozorové úřady. Dle GDPR je k přijetí rozhodnutí konstatujícího porušení pravidel při přeshraničním zpracováním příslušný vedoucí dozorový úřad, ostatní dozorové úřady k přijetí takového rozhodnutí mají výjimku.

Výroční zpráva ÚOOÚ za rok 2020

• Senát Parlamentu České republiky vzal 10.6.2021 na vědomí Výroční zprávu Úřadu pro ochranu osobních údajů za rok 2020, kterou úřad zveřejnil v březnu 2021.
• Výroční zpráva ÚOOÚ za loňský rok obsahuje podrobný přehled o kontrolní činnosti úřadu, a to zejména informace o provedených kontrolách v roce 2020 včetně konkrétních příkladů a z nich plynoucích poznatků, řešené stížnosti a podněty, informace o stavu v oblasti zpracování a ochrany osobních údajů v České republice a zhodnocení ostatní činnosti úřadu, a to včetně dozoru nad zpracováním osobních údajů podle zákona. č. 110/2019 Sb., o zpracování osobních údajů.
• Výroční zpráva ÚOOÚ za rok 2020 je zveřejněna na webových stránkách úřadu https://www.uoou.cz/vismo/dokumenty2.asp?id_org=200144&id=49119&n=vyrocni%2Dzprava%2Duradu%2Dza%2Drok%2D2020.

Pokuta za porušení povinnosti jmenovat zástupce v EU

• Nizozemský dozorový úřad (Autoriteit Persoonsgegevens) uložil provozovateli platformy Locatefamily.com pokutu ve výši 525 tisíc EUR za nesplnění povinnosti jmenovat zástupce v Evropské unii (tedy za porušení čl. 27 Nařízení GDPR). Jedná se o první rozhodnutí, kdy byla uložena pokuta za nejmenování zástupce v EU.
• Nizozemskému dozorovému úřadu se však nepovedlo (ani s pomocí dalších evropských i mimoevropských dozorových úřadů) zjistit, kde přesně provozovatel platformy Locatefamily.com sídlí, a proto je obtížné uloženou pokutu vymoci.

Pokuta pro Amazon

• Dle listu The Wall Street Journal hrozí americkému internetovému obchodu Amazon v Evropské unii nejvyšší pokuta, jaká byla dosud v rámci GDPR vyměřena. Výše navržené pokuty je cca 425 mil. dolarů, což zhruba odpovídá dvěma procentům loňského čistého zisku společnosti Amazon.
• Navržená pokuta se týká neoprávněného způsobu shromažďování a využívání osobních údajů osob společností Amazon. Pokutu navrhnul lucemburský úřad pro ochranu osobních údajů CNPD, návrh pokuty musí ještě schválit úřady pro ochranu osobních údajů v ostatních členských zemích EU.

Problematika covid pasů v české legislativě

• V současné době je řešena novela zákona o ochraně veřejného zdraví (zákon č. 258/2000 Sb.), která se týká podmínek pro zavedení tzv. covid pasů. Návrh zákona o covid pasech má adaptovat český právní řád na návrh nařízení Evropského parlamentu a Rady o rámci pro vydávání, ověřování a uznávání interoperabilních certifikátů o očkování, testování a uzdravení za účelem usnadnění volného pohybu během pandemie COVID-19 (tzv. digitální certifikát COVID v EU).
• Návrh zákona o covid pasech bude projednán na 109. schůzi Poslanecké sněmovny 9. června 2021.
• K návrhu zákona o covid pasech, kterým se mění zákon č. 258/2000 Sb., se vyjádřil i ÚOOÚ – své vyjádření zaslal Poslanecké sněmovně Parlamentu. Ve vyjádření ÚOOÚ upozorňuje na některé procedurální nedostatky z pohledu ochrany osobních údajů, a to zejména nedostatečné posouzení vlivu na ochranu osobních údajů podle čl. 35 Nařízení GDPR a nedodržení postupu dle čl. 36 odst. 4 Nařízení GDPR, tedy neprojednání s ÚOOÚ.
• Celé vyjádření ÚOOÚ k návrhu zákona o covid pasech je zveřejněno na stránkách ÚOOÚ https://www.uoou.cz/k-vladnimu-navrhu-zakona-o-covid-pasech/d-50514.

Zveřejňování záběrů z očkovacích center

• Při očkování proti nemoci COVID-19 si někteří lidé pořizují fotografie z očkovacích center a poté je zveřejňují na sociálních sítí. Tyto fotografie ale mnohdy zachycují nejen dotyčnou očkovanou osobu, i další očkované, což je problém z hlediska ochrany osobních údajů, protože tyto osoby nedaly ke zveřejnění aktivní souhlas.
• Dle vyjádření ÚOOÚ zveřejňování fotografií návštěvníků očkovacích center na osobním profilu dotyčné osoby nespadá pod Nařízení GDPR, ale řadí se spíše pod režim ochrany osobnosti dle občanského zákoníku (podle § 85 odst. 1 občanského zákoníku je možné rozšiřovat podobu člověka jen s jeho svolením). Pokud klient očkovacího centra zveřejní svou fotografii z očkování a nejsou na ni zachyceny podoby jiných osob, tak je vše v pořádku. Pokud jsou na fotografii zveřejněny podoby jiných osob, pak podle § 82 odst. 1 občanského zákoníku má člověk, jehož osobnost byla dotčena, právo domáhat se nápravy (odstranění fotografie ze sociální sítě) a příp. odškodnění.
• Záběry z očkovacích center publikované na speciálně vytvořené stránce, či na ilustračních a opakovaných záběrech v TV (tj. záběry pořízené pro novinářské účely, nebo pro účely akademické), se posuzují na základě okolností daného konkrétního případu, nicméně v obecnosti lze uvést, že ve většině případech spadají do působnosti Nařízení GDPR (jedná se o oprávněný zájem správce).

Uchovávání údajů z platebních karet

• Během pandemie COVID-19 došlo a dochází k rozšíření používání bezkontaktních a online plateb. V souvislosti s tímto rozvojem je kladen větší důraz na obchodníky, aby získané platební údaje patřičně zabezpečili proti jejich úniku a zneužití.
• Osobní údaje zákazníků musí být vždy zpracovávány na základě právního základu, ve většině případů tedy z důvodu uzavření kupní smlouvy, ke kterému jsou nezbytné některé osobní údaje. Avšak následné uchovávání osobních údajů pro usnadnění případných dalších nákupů a transakcí již nelze pod plnění uzavřené smlouvy a provedení platby zahrnout. Takové další zpracování je možné provádět pouze na základě uděleného souhlasu zákazníkem.
• Tento souhlas musí zákazník udělit svobodně, konkrétně, informovaně a jednoznačně ještě před uložením údajů z platební karty. Souhlas musí mít zákazník možnost udělit jasným potvrzujícím úkonem, tedy např. zaškrtnutím příslušného políčka ve formuláři. Zákazník musí mít možnost souhlas kdykoliv odvolat a zároveň musí být odlišen od souhlasu poskytnutého s obchodními podmínkami a nelze jím podmiňovat dokončení transakce.

GDPR a umělá inteligence

• V souvislosti s rozvojem umělé inteligence začínají vznikat koncepty nařízení o evropském přístupu k umělé inteligenci. Evropská komise zdůraznila, že v rámci tohoto tématu bude k problematice přistupovat jako zaměření na člověka. Z tohoto důvodu se bude také posuzovat v rámci Nařízení GDPR.
• Již nyní se setkáváme s umělou inteligencí v běžném životě. Příkladem může být:
  • Vyhledávání informací
  • Administrativní úkony
  • Vyhledávání vhodných pracovních nabídek
  • Výrobky inteligentního bydlení
  • Virtuální asistenti – Siri, Alexa, Google Assistant
• Nařízení bude řešit umělé inteligence, které představují hrozbu pro bezpečnost, život a základní práva a svobody lidí, dále bude specifikovat speciálními požadavky na transparentnost, výše pokut za porušení zakázaných činností a další oblasti.

Pořizování a zveřejňování zvukových a audiovizuálních záznamů z jednání zastupitelstev obcí

• Na jednání zastupitelstev obcí vždy vystupují konkrétní identifikovatelné fyzické osoby (zastupitelé), občané z řad veřejnosti a ve většině případech při projednávání jednotlivých bodů jednání zaznívají i osobní údaje dalších osob. V případě pořízení, uchování a zveřejnění zvukového či audiovizuálního záznamu z jednání zastupitelstva obce se jedná o zpracování osobních údajů, neboť záznamy mohou obsahovat informace týkající se identifikované nebo identifikovatelné fyzické osoby. Obec tedy v tomto případě vystupuje v postavení správce osobních údajů.
• Nařízení GDPR přímo neupravuje pořizování a zveřejňování zvukových a audiovizuálních záznamů z jednání zastupitelstev obcí. Pokud se však jedná o veřejné vystoupení v záležitostech veřejného zájmu, lze pro pořizování a zveřejňování záznamů z jednání zastupitelstva aplikovat čl. 6 Nařízení GDPR, tj. naplnění oprávněného zájmu obce informovat veřejnost o dění na zastupitelstvu. Záznam z jednání zastupitelstva je možné tedy pořídit bez souhlasu zúčastněných osob, neboť je tento postup v souladu s § 88 odst. 2 zákona č. 89/2012 Sb., občanský zákoník, který stanoví, že svolení není třeba ani v případě, když se podobizna, písemnost osobní povahy nebo zvukový či obrazový záznam pořídí nebo použijí na základě zákona k úřednímu účelu nebo v případě, že někdo veřejně vystoupí v záležitosti veřejného zájmu.
• Pro následné zveřejňování záznamu z jednání zastupitelstev obcí platí, že žádný právní předpis nestanovuje povinnost jejich zveřejnění a záleží tedy na obci, zda k tomuto kroku přistoupí, či nikoliv. Pokud ale povinnost zveřejňování nahrávání jednání stanoví zastupitelstvo obce v jednacím řádu, zveřejnit se musí. K případnému zveřejnění by mělo docházet na internetových stránkách obce, případně opoziční politické strany, nikoli na sociálních sítích, kde je vyšší riziko možného následného zpracování osobních údajů jinými subjekty.
• Projednávají-li se na jednání zastupitelstva obce soukromé záležitosti občana, ať přítomného či nepřítomného, zejména týkající se jeho zdravotního stavu nebo sociální situace, je třeba pro zveřejnění záznamu na internetu tyto pasáže následně vypustit nebo anonymizovat. V takových situacích by mělo být i pořizování záznamu přerušeno a nezbytné informace zaznamenány pouze v textové formě. Zveřejnění oněch soukromých záležitostí, případně i pořízení záznamu, by v takovém případě mohlo být v rozporu s § 86 zákona č. 89/2012 Sb., občanský zákoník: Nikdo nesmí zasáhnout do soukromí jiného, nemá-li k tomu zákonný důvod. Zejména nelze bez svolení člověka narušit jeho soukromé prostory, sledovat jeho soukromý život nebo pořizovat o tom zvukový nebo obrazový záznam, využívat takové či jiné záznamy pořízené o soukromém životě člověka třetí osobou, nebo takové záznamy o jeho soukromém životě šířit. Ve stejném rozsahu jsou chráněny i soukromé písemnosti osobní povahy. Porušení citovaného ustanovení občanského zákoníku může být předmětem občanskoprávní žaloby na osobnosti.
• Základní pravidla pro pořizování a zveřejňování zvukových a audiovizuálních záznamů z jednání zastupitelstev obcí:
  • Před zahájením vlastního pořizování záznamu musí zaznít informace o tom, že bude pořizován záznam, za jakým účelem bude záznam pořizován a jakým způsobem bude s vytvořeným záznamem zacházeno.
  • Musí být splněna stanovená doba uchování osobních záznamů (resp. doby zveřejnění).
  • Anonymizovat soukromé záležitosti projednávané zastupitelstvem obce.
  • Umožnit subjektům údajů právo na námitku proti zpracování osobních údajů. Individuálně posoudit každou vznesenou námitku (tj. zda nedochází k nedůvodnému a nepřiměřenému zásahu do soukromí).
• Účelem zpracování osobních údajů při jednání zastupitelstev obcí jsou v zásadě dva důvody:
  • Pořízení záznamu jako podkladu pro pozdější vyhotovení zápisu ze zasedání zastupitelstva obce.
  • Pořízení záznamu za účelem informování veřejnosti o činnosti obce a zastupitelstva (typicky prostřednictvím jeho zveřejnění na internetových stránkách obce).
• Ať je záznam pořizován z rozhodnutí zastupitelstva obce či individuálně zastupitelem nebo jinou osobou, měli by být přítomní v souladu se zásadou transparentnosti o pořizování záznamu informováni předtím než je pořizování záznamu zahájeno. Prostor, kde probíhá jednání zastupitelstva obce, musí být označen informací o pořizování záznamu, kým bude záznam vyhotoven a za jakým účelem, komu mohou být osobní údaje zpřístupněny, a dále o právu přítomných na námitku proti zpracování osobních údajů (tj. proti existenci záznamu). Stejná informace může být např. i součástí jednacího řádu zastupitelstva obce. Tyto informace by měly zaznít na začátku každého jednání. Stejné podmínky platí pro pořizování audiovizuálního záznamu z jednání, a to pouze pro účely vyhotovení zápisu. V tomto případě by měl být obrazový záznam pořizován pouze z prostor, kde se nacházejí zastupitelé a příp. řečníci z řad veřejnosti. Kamera tedy musí být umístěna tak, aby nepřetržitě nezabírala prostor pro veřejnost, která se aktivně neúčastní.
• Pořízení záznamu z jednání zastupitelstva obce pro potřeby vyhotovení zápisu se řídí § 95 zákona č. 128/2000 Sb., o obcích, které dává povinnost z každého zasedání zastupitelstva obce pořídit zápis, a to do 10 dnů po skončení zasedání. Jedním z podkladů, na základě kterého lze zápis vyhotovit, může být právě zvukový či audiovizuální záznam.

Whistleblowing – ochrana oznamovatelů

• Směrnice Evropského parlamentu a rady (EU) 2019/1937 o ochraně osob, které oznamují porušení práva Unie (dále také Směrnice) přináší organizacím v soukromém i veřejném sektoru nové povinnosti, především zavedení tzv. vnitřního oznamovacího systému a ochrany osob, které oznámí porušení práva Unie, o kterém se dozví, před odvetnými opatřeními ze strany zaměstnavatele.
• Členské státy EU mají povinnost Směrnici implementovat národní legislativou do 17. prosince 2021, návrh Zákona o ochraně oznamovatelů (dále také ZoOO) počítá s přechodným obdobím do 31. března 2022, kdy je povinný subjekt povinen vnitřní oznamovací systém a postupy pro oznamování a přijímání následných opatření zavést. Návrh zákona o ochraně oznamovatelů byl schválen vládou ČR a v současné době probíhá jeho projednávání Parlamentem ČR.
• Povinným subjektem podle § 8 odst. 1 návrhu Zákona o ochraně oznamovatelů jsou:
  • veřejní zadavatelé podle zákona upravujícího zadávání veřejných zakázek (s výjimkou obce s méně než 5 000 obyvateli, nejedná-li se o obec s rozšířenou působností);
  • zaměstnavatelé, kteří v uplynulém kalendářním čtvrtletí zaměstnávali v průměru nejméně 25 zaměstnanců; a
  • další subjekty uvedené v § 8 odst. 1 ZoOO.
• Nedodržování pravidel ochrany oznamovatelů může vést, kromě neplatnosti některých jednání, též k uložení pokuty. Postihován by měl být ten, kdo brání oznámení, přijme odvetné opatření nebo poruší povinnost zachovávat důvěrnost získaných informací. Na druhé straně může být pokutován i ten, kdo vědomě oznámí či zveřejní nepravdivé informace.
• Pokud instituce nezavede procesy pro ochranu oznamovatelů, nebo podnikne odvetné opatření proti oznamovateli, je vystavena pokutě až do výše 1 milionu Kč nebo 5 % z čistého obratu za poslední účetní období.

Soudní dvůr EU porušil Nařízení GDPR

• Evropský inspektor ochrany údajů při kontrole zjistil, že Soudní dvůr EU měl na svých webových stránkách nedostatečné informace o zpracování osobních údajů, a to v podobě skutečností, že cookie banner uživatelům webových stránek neumožňoval odmítnout použití souborů cookies a zároveň pokud bude uživatel souhlasit s používáním cookies webových stránek, budou se ukládat také cookies YouTube.
• Z tohoto důvodu Evropský inspektor ochrany údajů konstatoval závěr, že webové stránky Soudního dvora EU porušovaly několik ustanovení Nařízení GDPR.

Snížení pokuty německým soudem

• Německé společnosti provozující mimo jiné také call centrum, které slouží pro potřeby zákazníkům, byla uložena německým dozorovým úřadem pokuta ve výši 9 550 000 EUR, a to z důvodu, že nezajistila přiměřenou úroveň ochrany osobních údajů. Jednalo se o skutečnost, kdy byly rodinným příslušníkům zákazníka sdělovány osobní údaje pro potvrzení kontaktních údajů uvedených ve smlouvě. Tímto bylo omylem pracovníkem call centra sděleno telefonní číslo ex-partnera bývalé přítelkyni.
• Pokuta byla ve výsledku snížena na 900 000 EUR z důvodu nízkého rizika plynoucí pro subjekty údajů, neboť byly zpracovávány „pouze“ kontaktní údaje nikoliv citlivé osobní údaje.

Kopírování občanského průkazu a prokazování totožnosti

• Je zakázáno pořizovat kopie osobních dokladů bez prokazatelného souhlasu občana, kterému byl průkaz vydán, pokud další zákon nestanoví jinak. V převážné míře případů je dostatečné provést kontrolu předloženého průkazu totožnosti a zaznamenání nezbytných osobních údajů. Běžně je však souhlasem s pořízením kopie podmiňováno poskytnutí nějaké služby. Tím souhlas nenaplňuje podmínku svobodného projevu vůle. Je proto podstatné, aby držitel dokladu byl výslovně informován o možnosti nesouhlasit s pořízením kopie a důsledcích takového odmítnutí.
• Zákon jasně stanovuje, které osoby mohou, nikoliv musí kopie pořizovat. Lze mezi ně zařadit banky a další finanční instituce poskytující peněžní, investiční a obchodní služby. Dále pojišťovna, notář, obchodník s uměleckými díly a další. Zákon však stanoví pořízení kopie průkazu jako fakultativní možnost při identifikaci klienta, ne jako povinnost kopii pořídit.
• Neoprávněné pořízení kopie občanského průkazu nebo cestovního dokladu je považováno za přestupek fyzické osoby, která kopii pořídila.
• V případě požadavku na prokázání totožnosti je možné použít vždy občanský průkaz, dále cestovní doklad, pokud obsahuje podobiznu majitele a také např. řidičský či služební průkaz, pokud to bude protistranou akceptovatelné. Jestliže zvláštní právní předpis stanoví povinnost prokazovat skutečnosti zapsané v občanském průkazu jiným způsobem, musí tak občan učinit. Takováto pouhá kontrola dotyčných osob ještě není z pohledu GDPR zpracování osobních údajů. Tím se stává až v případě, že kontrolor osobní údaje někam zaeviduje či pořídí kopii onoho dokladu.
• Dále při preventivní silniční kontrole je povinnost řidiče se prokázat pouze platným řidičským průkazem, občanský průkaz již není potřeba. Stejně tak v případě běžné kontroly prokázání totožnosti by měl být dostačující jakýkoliv doklad obsahující nezbytné osobní údaje – jméno/a, příjmení, datum narození a v případě potřeby také adresa místa trvalého pobytu, adresa místa pobytu nebo adresa bydliště v zahraničí, rodné číslo a státní příslušnost.
• Právo na prokázání totožnosti má nejen Policie ČR, ale také další orgány veřejné moci – správce daní, inspekce práce, kontrolor v rámci zákona o rybářství či ochraně přírody, v rámci správních řízení, banky, investiční společnosti, pojišťovny, auditoři, daňoví poradci nebo účetní.
• Při vedení jakékoliv evidence je třeba stále dodržovat zásadu minimalizace údajů, tedy zaznamenávat a ukládat jen ty údaje, které jsou nezbytné pro naplnění daného účelu. Tento rozsah je ve většině případů stanoven zákonem, pokud tomu ale tak není, je nutné rozsah údajů posoudit. V případě návštěv v budovách by mělo docházet ke zpracování pouze jména, příjmení, popř. číslo kanceláře do které daná osoba jde. Zásadně by nemělo docházet k evidenci více osobních údajů, pokud tak nestanoví zákon.

Vedení evidence testovaných či očkovaných zaměstnanců

• Informace o zdravotním stavu, mezi které patří údaje o testování či očkování, se dle Nařízení GDPR řadí do kategorie zvláštních / citlivých osobních údajů. Tyto údaje může zaměstnavatel zpracovávat pouze na základě:
  • zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva;
  • zpracování je nezbytné z důvodu významného veřejného zájmu;
  • či je možné zpracování provádět na základě mimořádného opatření Ministerstva zdravotnictví č. j. MZDR 47828/2020-27/MIN/KAN, které zaměstnavatelům, jež pro své zaměstnance zajišťují antigenní testy k použití laickou osobou, nařizuje vést evidenci provedených testů. V případě evidence očkovaných zaměstnanců je pak možné se odkazovat na mimořádné opatření Ministerstva zdravotnictví č. j. MZDR 47828/2020-16/MIN/KAN, které nepřímo tuto povinnost zaměstnavateli ukládá.
• V případě, že provádí testování poskytovatel lékařských služeb, jedná se o postavení dvou samostatných správců osobních údajů, tedy poskytovatel lékařských služeb není v roli zpracovatele. Poskytovatel, který testování provádí, následně předává zaměstnavateli potvrzení o provedeném testu k jeho interní evidenci. Tito správci mají mít mezi sebou uzavřenou běžnou obchodní smlouvu (nikoliv smlouvu o zpracování osobních údajů mezi správcem a zpracovatelem).
• Evidence testovaných a očkovaných zaměstnanců zaměstnavateli přináší novou agendu, kterou je nutné z hlediska GDPR náležitě ošetřit. Je tedy nezbytné:
  • informovat zaměstnance o takovém zpracování, o účelu, právním základu, rozsahu zpracovávaných osobních údajů, době uchovávání atp.;
  • vést pro tuto novou agendu záznam o činnosti zpracování osobních údajů;
  • evidenci dostatečně zabezpečit.
• Je nutné mít na paměti, že zaměstnavatel má právo od zaměstnance vyžadovat a tím evidovat informace o testování, neboť tato povinnost je uložena mimořádným opatřením, ale informace o očkování z důvodu dobrovolnosti podstoupit očkování již není zaměstnanec povinen sdělit.

Zpracovávání osobních údajů ve službách

• S postupným rozvolňováním proti epidemiologických opatření dostali provozovatelé holičství, kadeřnictví, pedikúr, manikúr, kosmetických, masérských a obdobných regeneračních nebo rekondičních služeb nařízeno vést evidenci zákazníků.
• Úřad pro ochranu osobních údajů však reagoval, že takové zpracovávání osobních údajů považuje za nepřípustné, neboť není stanoven konkrétní účel zpracování, rozsah údajů, doba zpracování a další. Dále ÚOOÚ upozornil, že Ministerstvo zdravotnictví nemá dle pandemického zákona takovou pravomoc, která by je zmocňovala k uložení této povinnosti u provozovatelů.

Osobní spisy bývalých zaměstnanců

• Zákon každému zaměstnavateli ukládá povinnost evidovat nejrůznější osobní údaje svých zaměstnanců. Všechny tyto údaje posbírané během pracovněprávního vztahu by měly tvořit tzv. spis zaměstnance. Po ukončení pracovněprávních vztahů má zaměstnavatel jako správce osobních údajů povinnost údaje zlikvidovat, pokud pominul účel jejich zpracování. To však může nastat jen u některých dokumentů spisu, rozhodně to neplatí absolutně. Zaměstnavatel má i po skončení pracovněprávního vztahu povinnost konkrétní údaje a dokumenty uchovávat i nadále.
• Konkrétně jaké dokumenty a osobní údaje je zaměstnavatel povinen či oprávněn nadále uschovávat vyplývá primárně z aktuálně platných zákonů, ale také z oprávněných zájmů správce. Může totiž nastat situace, kdy vznikne právní spor s bývalým zaměstnancem či třetí stranou. Podle občanského zákoníku je promlčecí lhůta na případné spory 3 roky. Mezi dokumenty, které je oprávněn zaměstnavatel uchovávat z důvodu oprávněného zájmu patří např. i podklady pro hodnocení a odměňování. Za další dokumenty uchovávané ale podle zákonů patří evidenční listy, dokumenty pro účely důchodového a nemocenského pojištění, mzdové listy, účetní záznamy a další.

Přání jubilantům (občanům obce)

• Na základě zákona o obcích č. 128/2000 Sb. mohou obce ocenit významné životní události svých občanů (např. pro blahopřání k životním jubileím, k narozením, svatbám apod.). Jednotlivé obce jsou tedy oprávněny pro tyto účely čerpat příslušné údaje ze základního registru obyvatel a z informačního systému evidence obyvatel, a to v rozsahu stanoveném zákonem. Z tohoto důvodu není nutné vyžadovat souhlas „oceňovaných“ osob s takovou aktivitou obce, např. v podobě výzev k přihlášení se pro účely blahopřání k životnímu jubileu.
• Na druhou stranu je tato aktivita obce uvedena jako oprávnění obce a nikoli jako její povinnost. Nezavádí tedy povinnost životní jubilea ocenit, stejně tak jako neruší ani možnost obce postupovat dosavadním způsobem, tedy např. vítat jen ty „nové občánky“, jejichž rodiče mají o takovou společenskou akci sami zájem.
• Způsob ocenění významné životní události občana je závislý na povaze významné životní události (např. pozvání na „vítání občánků“, zaslání gratulace starosty obce k výročí narození či k výročí svatby). Není však možné bez souhlasu občana zveřejnit (např. v tisku, místním rozhlase, na internetu) údaje týkající se jeho osoby. Pokud by tedy obec např. chtěla gratulaci k výročí narozenin uveřejnit v místních novinách či v místním rozhlase, byl by k tomu nutný souhlas občana, jehož se gratulace týká.

Co nejčastěji způsobuje pokuty v oblasti ochrany osobních údajů

• Dle statistik z uplynulých let a různých koutů EU je nyní možné nalézt několik oblastí, kde dochází k zanedbání ochrany osobních údajů, což může způsobit v případě kontrol dozorových úřadů nemalé pokuty. Jedná se o:
  • Transparentnost – každý subjekt zpracovávající osobní údaje musí poskytovat jasné a srozumitelné informace o tom, jak a proč jsou dané osobní údaje zpracovávány. Také by tyto informace měly být dostupné na jednom místě.
  • Právní základ – pokud dochází ke zpracování osobních údajů, musí se toto zpracování opírat alespoň o jeden pilíř: zákon, smlouva, oprávněný zájem, veřejný zájem, souhlas a životně důležité zájmy.
  • Zabezpečení – zpracovávané osobní údaje musí být dostatečně zabezpečené fyzicky, organizačně a technicky. Mělo by docházet k řízení přístupů k datům, sledovat na jakých místech jsou data ukládána, šifrovat údaje, mít silné přihlašovací heslo, logování nezdařených přihlášení atd.
  • Minimalizace dat – většinou je zpracováváno mnohem více údajů než je potřebné k naplnění účelu, dané činnosti.

Kybernetických útoků přibývá

• Během posledních měsíců došlo k rapidnímu nárůstu zaznamenaných kybernetických útoků nejen s cílem získat osobní údaje a hesla.
• Národní úřad pro kybernetickou a informační bezpečnost varuje, že v souvislosti s aktuálním děním v Rusku můžeme nyní očekávat větší aktivitu v podobě špionážních kybernetických operací. Týká se to zejména informačních systémů veřejné správy, ale riziko stouplo i u jiných systémů.

Falešná aplikace WhatsApp

• V nedávné minulosti se pro telefony se systémem Android zrodila falešná „růžová“ aplikace WhatsApp, která však slouží k hackerským účelů. Rozhodně se nejedná o dámskou verzi klasické chatovací aplikace. Instalací tohoto škodlivého software může docházet k povolení přístupu hackerům k osobním údajům, jako jsou telefonní čísla, obsahy zpráv, hesla a platební údaje.
• V případě, že si chcete aplikaci WhatsApp pořídit, použijte k tomu oficiální obchod GooglePlay či AppStore.

Nástroj Mailchimp porušuje GDPR

• Dle bavorského dozorového úřadu porušuje tento americký marketingový nástroj na rozesílání newsletterů či hromadných emailů Nařízení GDPR a to z důvodu, že dochází k předávání osobních údajů do USA. Provozování tohoto nástroje se totiž řídí podle amerických předpisů, konkrétně FISA702 (50 U.S.C. § 1881), který Mailchimp kategorizuje jako poskytovatele služeb elektronických komunikací. Což znamená, že veškeré emailové adresy používané v tomto nástroji mohou být zpřístupněny amerických zpravodajským službám (FBI, CIA, Národní bezpečností agentura).

Žaloba aplikace TikTok

• Známá aplikace pro sdílení krátkých videí TikTok od čínské společnosti ByteDance je obžalována ze shromažďování a využívání údajů o dětech. Žalobu podala bývalá dětská komisařka pro Anglii Anne Longfieldová, která jménem milionů dětí z Velké Británie a Evropské unie požaduje odškodnění ve výši několika miliard liber.
• Důvodem je údajně skutečnost, že aplikace shromažďuje bez dostatečného upozornění nebo souhlasu zákonných zástupců osobní údaje dětí. Dále údajně není jasně řešeno, jak bude s těmito daty nakládáno.

Španělská letecká společnost nedodržela termín pro ohlášení porušení ochrany osobních údajů

• Dle Nařízení GDPR má správce osobních údajů povinnost ohlásit porušení ochrany osobních údajů na ÚOOÚ bez zbytečného prodlení, nejpozději však do 72 hodin o zjištění porušení. Jestliže nenastane riziko pro práva a svobody fyzických osob, není ohlášení nutné.
• Tuto lhůtu nedodržela španělská letecká společnost, která porušení ohlásila až po 41 dnech od zjištění a zároveň toto prodlení neodůvodnila. Za takové pochybení jí byla španělským dozorových úřadem uložena pokuta 100 tisíc EUR.
• Zároveň byla této společnosti uložena pokuta za nedostatečné zabezpečení osobních údajů, neboť došlo k neoprávněnému přístupu ke kontaktním údajům a údajům týkajícím se bankovních účtů asi 489 tisíc osob.

Testování žáků ve školách

• S návratem žáků do škol přišla nová povinnost netestovat pouze své zaměstnance, ale nově i žáky prezenční výuky. Stejně jako v případě ostatních osobních údajů, i zde je nutné zajistit jejich ochranu. Vždy by měly být evidovány pouze takové osobní údaje, které jsou nezbytné k naplnění mimořádného opatření. Dále dbát na to, aby nebyly předávány informace o pozitivních výsledcích neoprávněně – např. informace o pozitivním testu je sdělována pouze zákonnému zástupci daného žáka, nikoliv ostatním rodičům.
• Údaje by škola měla uchovávat pouze do konce školního roku 2020/2021, resp. do 30 dnů po skončení platnosti mimořádného opatření nařizujícího provádění testování. Následně by měla proběhnout řádná skartace jak fyzické, tak elektronické evidence. Po dobu uchovávání evidence je nutné zajistit dostatečné zabezpečení těchto osobních údajů. V případě elektronické i fyzické verze záznamů by mělo mít k datům přístup jen omezené množství osob. Dále by měla být elektronická data pravidelně zálohována a neměly by vznikat kopie pro jiné potřeby, než je samotný účel této činnosti. Fyzická forma by měla být uložena na zabezpečeném místě, např. v uzamčené kartotéce, neboť bude obsahovat citlivá data v podobě zdravotního stavu osob.
• V případě pozitivního antigenního testu škola vydá žákovi potvrzení, na základě kterého zákonný zástupce kontaktuje praktického lékaře pro další postup. Pokud je žák znovu testován a konfirmační RT-PCR test vyjde negativní nebo absolvuje povinnou izolaci (a předloží ke kontrole od praktického lékaře potvrzení), může se vrátit do prezenční výuky. Pokud se u některého žáka potvrdí nákaza (konfirmační RT-PCR test vyjde pozitivní), zákonný zástupce informuje o této skutečnosti školu. Ta následně předá krajské hygienické stanici seznam všech žáků, kteří přišli s daným nakaženým do kontaktu a to v rozsahu jméno a příjmení, telefonní číslo a datum kontaktu s pozitivním. Těmto osobám bude hygienickou stanicí nařízena okamžitá karanténa a izolace podle mimořádného opatření Ministerstva zdravotnictví ČR.
• V rámci interní evidence by měly být zpracovávány pouze tyto údaje:
  • Identifikační údaje – jméno, příjmení, třída.
  • Datum provedení testu.
  • Výsledek testu.
  • Informace, proč se daný žák nemusí testovat spolu s datem, do kdy tato výjimka platí. V tomto případě doporučujeme nepořizovat a neuchovávat kopie dokladů o prodělání onemocnění COVID-19.
• Jestliže z důvodu karantény „chybí“ více jak polovina třídy, přejde výuka z prezenční formy do distanční.
• Testování se neprovádí v případě, že:
  • se jedná o individuální konzultace nebo individuální prezenční výuky;
  • žák prodělal COVID-19, podstoupil plná karanténní opatření a není tomu déle než 90 dnů od prvního pozitivního RT-PCR testu;
  • žák je minimálně 14 dnů plně naočkovaný a může předložit certifikát;
  • žák předloží negativní POC antigenní test nebo RT-PCR test, který není starší než 48 hodin a byl proveden poskytovatelem zdravotnických služeb;
  • se jedná o školy zřizované Ministerstvem spravedlnosti ČR a školy zřízené při zařízení pro výkon ústavní nebo ochranné výchovy a mateřské / základní školy při zdravotnickém zařízení.
• Škola je oprávněna údaje shromažďovat pouze na základě právního důvodu „zákonná povinnost“ a „veřejný zájem v oblasti ochrany veřejného zdraví“, a informace z testování používat pouze v souvislosti s plněním povinností uložených mimořádným opatřením. Dále je každá škola jakožto správce osobních údajů povinna vytvořit a vést záznam o činnosti zpracování této nové agendy. V neposlední řadě je škola také povinna zajistit informovanost zákonných zástupců testovaných žáků o druhu a povaze testů, o zvoleném způsobu testování a samozřejmě o tom, jak budou jejich osobní údaje zpracovávány.

Evidence testovaných zaměstnanců

• V minulých novinkách jsme Vám poskytli informace ohledně evidence testovaných zaměstnanců na COVID-19 a nyní bychom rádi tyto informace rozšířili:
  • I když je zaměstnanec během testování na slabší straně pracovněprávního vztahu a musí se nechat testovat, musí s ním být stále zacházeno s nanejvýš ohleduplným a šetrným způsobem a respektovat nejen jeho osobní údaje, ale celkově jeho soukromí a lidskou důstojnost.
  • Testování zaměstnanců se neprovádí na základě jimi uděleného souhlasu, ale na základě vyhlášených mimořádných opatření, která zaměstnavateli dávají dostatečnou právní oporu.
  • Každý zaměstnavatel musí zpracovávané osobní údaje v rámci evidence testovaných přizpůsobit konkrétním podmínkám a rozsahu jeho činnosti, neexistuje jedna podoba pro všechny.
  • Stále platí, že evidence testovaných by měla obsahovat pouze: jméno, příjmení, datum narození, které je možno nahradit identifikátorem zaměstnance, datum provedení testu, výsledek testu na přítomnost viru a případně důvod výjimky z testování (prodělání infekce COVID-19 ve lhůtě do 90 dní před provedením testu, provedení očkování, home office bez přítomnosti na pracovišti, pracovní neschopnost).
  • Jestliže testování provádí přímo zaměstnavatel a bude docházet k proplácení od zdravotních pojišťoven, bude evidence obsahovat i údaje potřebné pro zdravotní pojišťovnu (např. číslo pojištěnce a kód pojišťovny).
  • Pokud je testování zajištěno externě poskytovatelem zdravotních služeb vystupují z pohledu GDPR v celé činnosti dva správci, přičemž každý z nich může vést jinou podobu evidence. V případě poskytovatele zdravotních služeb může docházet např. k předávání údajů do Informačního systému infekčních nemocí a samozřejmě vytváření nové zdravotnické dokumentace ke každému testovanému zaměstnanci, která může mít určený jiný rozsah a dobu uchování.
  • K výsledkům testů musí mít přístup jen nezbytné množství osob a musí být zajištěno dostatečné zabezpečení.
  • Doba pro uchování evidence testování sice nebyla v rámci mimořádného opatření stanovena, ale jako maximální doba uchování osobních údajů v evidenci testování ÚOOÚ doporučilo tři roky od doby pořízení testu.
  • Pokud nebude zaměstnavatel své zaměstnance testovat, je možné, že mu orgány ochrany veřejného zdraví udělí pokutu až půl milionu korun za nesplnění povinnosti.

GDPR a zákon o svobodném přístupu k informacím

• Zákon č. 106/1999 Sb., o svobodném přístupu k informacím, který je účinný od 1.1.2000, prošel velkou řadou novelizací a další novelizace zákona je očekávána. Zákon patří k základním právním předpisům, které v rámci své činnosti užívají státní orgány, orgány územních samosprávných celků a další veřejné instituce podílející se na veřejné správě či hospodaření s veřejnými prostředky. Zákon upravuje pravidla pro poskytování informací a podmínky práva svobodného přístupu k těmto informacím.
• Podle dostupných statistik se více informací poskytuje podle zákona č. 106/1999 Sb. než podle Nařízení GDPR. Zákon o svobodném přístupu k informacím je „obecný“ zákon – pokud tedy řešenou problematiku upravuje i jiný „sektorový“ zákon (např. správní řád, stavební zákon apod.) jsou informace poskytovány v souladu se zákonem pro danou řešenou oblast.
• V podané žádosti o poskytnutí informace podle zákona č. 106/1999 Sb. musí být uvedeno kdo žádá, koho žádá, co žádá a že žádá podle zákona č. 106/1999 Sb. Žádat o poskytnutí informace může kdokoliv a může žádat o jakoukoliv informaci, která není vyloučena. Zákonem o svobodném přístupu k informacím jsou z poskytování vyloučeny:
  • utajované informace;
  • informace týkající se osobnosti, projevů osobní povahy, soukromí fyzické osoby a osobní údaje (tyto informace mohou být poskytnuty jen v souladu s právními předpisy, upravujícími jejich ochranu);
  • obchodní tajemství;
  • informace o majetkových poměrech osoby, která není povinným subjektem, získané na základě zákonů o daních, poplatcích, penzijním nebo zdravotním pojištění anebo sociálním zabezpečení;
  • informace vzniklé bez použití veřejných prostředků, jestliže byly předány osobou, které takovouto povinnost zákon neukládá;
  • informace, jejichž poskytnutím by byla porušena ochrana práv třetích osob k předmětu autorského práva;
  • informace, které subjekt získal od třetí osoby při plnění úkolů v rámci kontrolní, dozorové, dohledové nebo obdobné činnosti prováděné na základě zvláštního právního předpisu;
  • informace o probíhajícím trestním řízení;
  • informace o rozhodovací činnosti soudů s výjimkou rozsudků;
  • a další informace uvedené v §7 – §11 zákona č. 106/1999 Sb.
• Způsoby vyřízení žádosti o poskytnutí informace podle zákona č. 106/1999 Sb.:
  • Poskytnutí informace
  • Rozhodnutí o (částečném) odmítnutí žádosti
  • Odložení žádosti
• Povinný subjekt, který vyřizuje žádost o poskytnutí informace, je oprávněn zpracovávat osobní údaje žadatele pouze za účelem vyřízení žádosti, nikoli pro účely jejich zveřejňování. Doporučuje se žádosti o informace nezveřejňovat, a zveřejnit pouze odpovědi (a to bez identifikačních údajů žadatele). Pokud je zveřejněna i žádost, musejí být osobní údaje žadatele (případně další uvedené v žádosti) anonymizovány. Při zveřejnění poskytnuté informace, např. na webové stránce subjektu nebo úřední desce obce, musí dojít k anonymizaci osobních údajů uvedených v poskytnuté informaci. Poskytnuté informace bez anonymizace jsou žadateli sice vydány oprávněně, ale jejich zveřejněni na internetu pro předem neurčitý okruh osob by mohlo narušit právo na ochranu osobnosti a osobních údajů daných osob ústavně nepřiměřeným způsobem.
• Opravné prostředky žádosti o poskytnutí informace podle zákona č. 106/1999 Sb.:
  • Informační příkaz
  • Přezkumné řízení před ÚOOÚ
  • Opatření proti nečinnosti před ÚOOÚ
• Zákon o svobodném přístupu k informacím, novelizovaný na základě zákona č. 111/2019 Sb., upravil i působnost ÚOOÚ v oblasti práva na informace. ÚOOÚ – tedy kromě primární působnosti v oblasti ochrany osobních údajů – zajišťuje i úkony spojené se svobodným přístupem k informacím:
  • ÚOOÚ je oprávněn přezkoumat rozhodnutí odvolacího orgánu ve věci žádosti o informace, tj. rozhodnutí o odvolání, rozhodnutí o rozkladu.
  • ÚOOÚ je oprávněn, zpravidla na základě podnětu žadatele o informace, posoudit, zda je nadřízený orgán nečinný podle zákona č. 106/1999 Sb. a případně rozhodnout o opatření proti jeho nečinnosti.
  • ÚOOÚ je odvolacím orgánem pro povinné subjekty, u kterých dosud rozhodoval o odvolání a stížnostech ten, kdo stojí v čele povinného subjektu, a to s ohledem na skutečnost, že není možno určit nadřízený orgán dle ustanovení § 178 zákona č. 500/2004 Sb.

Výsledky činnosti ÚOOÚ za rok 2020

• Mezi nejčastěji zjištěná porušení v rámci kontrolní činnosti v roce 2020 patřila absence řádného právního důvodu pro uskutečňované zpracování ze strany správce osobních údajů. V řadě případů bylo kontrolami také zjištěno porušení výkonu práv subjektu údajů.
• Z celkem 1855 přijatých podnětů bylo zahájeno konkrétně 54 hloubkových kontrol a ÚOOÚ pouze v 5 případech uložil pokuty v celkové výši 1.323.000,- Kč.
• Mezi výsledky kontrolních činností ÚOOÚ zařadilo následující poznatky:
  • Vynucení souhlasu se zpracováním osobních údajů např. vyloučením ze spolku.
  • Neoprávněné vstupování do systému Centrálního úložiště elektronických receptů ze strany Státního ústavu pro kontrolu léčiv či konkrétních lékárníků.
  • Nepřiměřené zpracování osobních údajů nad rámec novinářské licence kamerami společností provozující internetovou televizi, která umístila kamery zabírající veřejné prostranství s možností jasně identifikovat všechny osoby a SPZ aut.
  • Soukromá internetová stránka se dopustila porušení GDPR, když mimo jiné „překlápěla“ osobní údaje stovek tisíc podnikatelů z obchodního a živnostenského rejstříku, neboť nesplnila podmínku nezbytnosti ve vztahu k účelu zpracování osobních údajů. Byla tedy uložena pokuta ve výši půl milionu korun spolu s pokutou sto tisíc korun za nesoučinnost.
  • Půjčovna lyžařského vybavení v rámci smlouvy o půjčení vybavení požadovala také pořízení kopie občanského průkazu, avšak na základě souhlasu, který nemohl zákazník odmítnout, neboť byl již zakomponován do podepisované smlouvy. Vyžadování takového souhlasu je v rozporu s obecným nařízením.
  • V rámci přímého marketingu byly neoprávněně použity kontakty, které obchodníci / poradci získali za plnění pracovních povinností pro jinou společnost. Šlo tedy o nezákonné zpracování ve smyslu obecného nařízení.

Zpracování osobních údajů Policií ČR

• ÚOOÚ začal prošetřovat, jakým způsobem je nakládáno s osobními údaji lidí, kterým byla udělena karanténní opatření v rámci pandemie COVID-19. Během ledna a února 2021 začala totiž dostávat Policie ČR od Krajských hygienických stanic a České správy sociálního zabezpečení informace o lidech v karanténě bez jejich vědomí.
• ÚOOÚ nyní místním šetřením kontroluje, jak jsou data Policií ČR uchovávána a dále používána, tedy zda dochází k fyzické kontrole těchto osob a v jaké souvislosti, dále jak jsou osobní údaje zabezpečeny, zda a jak je přístup k těmto datům nastaven a řízen a zda jsou vytvořeny k této nové činnosti potřebné záznamy o činnostech zpracování osobních údajů.
• I v této nelehké situaci stále platí, že ministerstva a ostatní úřady musí připravit a nastavit zpracování osobních údajů takovým způsobem, aby vždy byla dodržena pravidla a principy Nařízení GDPR a zákona o ochraně osobních údajů.

Osobní údaje ze soudních jednání

• Dle vyjádření ÚOOÚ dochází během soudních jednání ke zveřejňování osobních údajů. Takto je činěno v souvislosti s transparentností soudních jednání a má sloužit výhradně pro informování veřejnosti. Je běžnou praxí, že v různých fázích jednání dochází k uveřejnění různých typů údajů. Je ale vždy na samotném soudu posoudit vhodnost takových uveřejnění a najít rovnováhu ve snížení rizik jejich zneužití a naplněním požadavku na veřejnou kontrolu výkonu soudní moci.
• Například pro dočasné zveřejnění osobních údajů účastníků řízení pro účely informování veřejnosti o soudním jednání je možno snáze najít argumenty než pro zveřejnění týchž osobních údajů po skončení řízení.
• Zároveň ÚOOÚ upozorňuje, že technické řešení takového zveřejňování má bránit zneužití zveřejňovaných údajů jejich systematickým a plošným stahováním a neomezeným uchováváním případně dalšímu zveřejňování. Dále doporučuje zvážit, zda sledovaný účel vyžaduje neomezený přístup anonymních uživatelů k osobním údajům účastníků řízení či zda není vhodné přístup usměrňovat (individualizovat).

Nová centrální evidence psů a majitelů

• V meziresortním připomínkovém řízení je nyní novela zákona č. 166/1999 Sb., o veterinární péči a o změně některých souvisejících zákonů (veterinární zákon), která se také zásadně nově dotýká osobních údajů.
• Součástí novely je vytvoření centrální evidence psů, ve které by měly být uvedeny také osobní údaje statisíců majitelů psů. ÚOOÚ v rámci tohoto připomínkového řízení překontroloval mj. technické nastavení evidence a právní oporu, na základě které bude možné tyto osobní údaje evidovat.

Sběr dat aplikacemi

• Je všeobecně známo, že veškeré aplikace, které v mobilních telefonech používáme, o nás sbírají konkrétní data. Níže bezpečností společnost Clario Tech Limited zpracovala přehled nejpoužívanějších aplikací a jaké informace o uživatelích ukládá.

Zdroj: https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=48155

Monitorování zaměstnanců

• Pokud chce zaměstnavatel nějakým způsobem kontrolovat a tedy monitorovat své zaměstnance, musí při tom dodržovat podmínky stanovené zákoníkem práce a samozřejmě také pravidla vyplývající z obecného nařízení o ochraně osobních údajů. Vždy k tomu musí najít pádnou právní oporu. Při neoprávněném monitorování může být zaměstnavateli udělena pokuta až 1 milion Kč.
• Běžně se v rámci kontroly lze setkat s otevřeným či skrytým monitoringem a to pomocí kamerového systému, lokátoru GPS, odposlechu a zaznamenávání hovorů či kontroly elektronické pošty nebo listovních zásilek adresovaných zaměstnanci.
• Vždy by měla být dodržena zásada proporcionality, tedy úměrnost mezi narušením soukromí zaměstnance versus hodnota zájmů zaměstnavatele. Dále má zaměstnavatel povinnost zaměstnance o možnosti kontroly vždy informovat, například pomocí popisu uplatněných sledovacích mechanismů ve směrnici o zpracování a ochraně osobních údajů nebo v jiném, zaměstnanci přístupném vnitropodnikovém dokumentu.

Hra o bezpečném chování na síti

• Olomoucká pedagogická fakulta vytvořila pro žáky základních škol novou on-line hru, pomocí které se mají uživatelé trénovat v bezpečném chování na internetu. Hra nauku prezentuje prostřednictvím akčních soubojů a hlavolamů, které mají zábavnou a atraktivní cestou vzdělávat v zabezpečení mobilních telefonů a počítačů, dále v oblasti ochrany osobních údajů, autorských právech či kyberšikaně, kybergroomingu nebo sextingu.
• Hru je možné jednoduše spustit na odkaze http://www.internethighway.cz/.

Společnosti IKEA ve Francii hrozí pokuta

• Koncem března byl ve Francii zahájen soud s bývalým vedením IKEA za špehování svých zaměstnanců. Jedná se konkrétně o skutečnost, kdy IKEA nechávala své zaměstnance a uchazeče o zaměstnání prověřovat bezpečností agenturou, zda v minulosti neměli problémy s krádežemi, zda aktivně nevystupovali proti globalizaci, jestli od nich hrozí riziko ekoterorismu nebo proč se zásadně změnily jejich požadavky vůči zaměstnavateli.
• Společnosti IKEA za výše uvedené hrozí pokuta až 3,75 milionu EUR (98 milionů Kč).

Seznamovací aplikace Grindr

• Společnost provozující seznamovací aplikaci Grindr čelí pokutě od Norského úřadu pro ochranu osobních údajů. Výše pokuty může být až 251 milionů Kč a to za neoprávněné sdílení osobních údajů uživatelů aplikace se třetími stranami pro marketingové účely.
• Jednalo se konkrétně o data týkající se polohy uživatele (GPS signál), dále data uvedená na profilech uživatelů a informaci, zda dotyčný používá samotnou aplikaci.
• Aplikace sice měla snahu na poskytování těchto osobních údajů sbírat potřebné souhlasy, ty však nesplňovaly požadavky GDPR, ale zejména nebylo možné udělení daného souhlasu odmítnout. Každý uživatel tedy musel marketingový souhlas udělit, pokud chtěl aplikaci využívat.

Ukradená data z Facebooku

• Již v roce 2019 došlo v rámci sociální sítě Facebook k odcizení osobních údajů více jak půl miliardy uživatelů ze 106 zemí, mezi kterými bylo více jak 1,4 milionu profilů Čechů. Facebook sice v srpnu téhož roku přijal potřebná opatření, ale data už byla ukradena a škody napáchány. Jednalo se o osobní údaje jako telefonní číslo, jméno uživatele, email, datum narození a geolokační údaj.
• Až nyní, o dva roky později, se ukradená data objevila na internetu. Během celé doby mohlo docházet k jejich zneužívání, které mohlo vést až ke krádeži identity nebo peněz. V současné době ani případná změna hesla u dotčených profilů nic nezmění. Jediná možnost, jak dalšímu odcizení zabránit je účty natvrdo zrušit a smazat.

Firemní testování zaměstnanců na Covid-19

• Z důvodu nutnosti testovat zaměstnance na přítomnost nákazy Covid-19, která vyplývá z mimořádného opatření Ministerstva zdravotnictví (MZDR 47828/2020-16/MIN/KAN), začínají nyní zaměstnavatelé z pohledu GDPR a zákona o zpracování osobních údajů realizovat novou činnost. Jelikož bude při této činnosti zaměstnavatel o svých zaměstnancích evidovat nové osobní údaje a zejména pak citlivé údaje – informaci o zdravotním stavu, musí začít plnit povinnosti ochrany osobních údajů. Je nezbytné se zaměřit na následující body:
  • Zaměstnavatel je oprávněn údaje shromažďovat pouze na základě právního důvodu „zákonná povinnost“ a „veřejný zájem v oblasti ochrany veřejného zdraví“.
  • Vést záznamy o činnosti zpracování této nové agendy.
  • Informace z testování používat pouze v souvislosti s plněním povinností uložených mimořádným opatřením.
  • Záznamy o provedení testů mohou obsahovat pouze nezbytné osobní údaje – jméno a příjmení, číslo pojištěnce, údaje o zdravotní pojišťovně, přesný čas provedení testu a výsledek testu.
  • Pokud má některý zaměstnanec z testování udělenou výjimku, je nutné o takové osobě vést pouze identifikační údaje a důvod výjimky z testování.
  • Doba uschování záznamů by měla být minimálně do zrušení mimořádného opatření a dále k nezbytné kontrole zpracování plateb a nároků, které mohou v důsledku testování vzniknout.
  • Maximálně zabezpečit tyto zpracovávané osobní údaje.
  • Zpřístupnit osobní údaje pouze těm zaměstnancům, kteří jsou k tomu oprávnění – např. osobě, která byla pověřena k plnění úkolů k dodržování mimořádného opatření.
  • Zajistit informovanost testovaných zaměstnanců o druhu a povaze testů, o zvoleném způsobu testování a samozřejmě o tom, jak budou jejich osobní údaje zpracovávány.
• Testování není nutné provádět v následujících případech:
  • Jestliže zaměstnanec prodělal laboratorně potvrzené onemocnění Covid-19, uběhla potřebná doba izolace, nejeví žádné příznaky nemoci Covid-19 a od prvního pozitivního PCR testu nebo antigenního testu neuplynulo více než 90 dní. Vše je povinno doložit lékařskou zprávou.
  • Dále pokud zaměstnanec předloží negativní výsledek PCR testu nebo profesionálně provedeného antigenního testu.
  • A také, pokud je daný zaměstnanec plně naočkovaný a od poslední dávky uplynulo alespoň 14 dnů.
• Pokud zaměstnanec testování odmítne, je možné se domluvit na výkonu práce z domova, čerpání dovolené, poskytnutí neplaceného volna nebo na změně harmonogramu rozvržení směn. Jestliže se zaměstnanec a zaměstnavatel nedohodnou, půjde podle § 199 odst. 1 zákoníku práce o jinou důležitou osobní překážku v práci na straně zaměstnance, za kterou zaměstnanci však nepřísluší náhrada mzdy nebo platu. Zaměstnanci také podle zákona č. 94/2021 Sb. (pandemický zákon) hrozí finanční sankce.

Předávání údajů o karanténě policii

• V souvislosti s pandemií Covid-19 dochází k enormnímu nárůstu evidovaných osob s nařízenou karanténou z důvodu možného propuknutí nemoci. Za celou dobu mělo karanténu nařízeno přes 421 tisíc osob. Informace o tom, že daná osoba je v karanténě, spolu s datem narození, trvalým bydlištěm a přechodným bydlištěm, předávaly všechny krajské hygienické stanice a Česká správa sociálního zabezpečení Policii ČR za účelem kontroly porušování zakázaného pohybu.
• I v případě nouzového stavu však platí, že státní orgány musí zacházet s osobními údaji občanů vždy přesně v intencích zákona a zákonným způsobem, účelně a přiměřeně. Z tohoto důvodu pravděpodobně dojde k úpravě novely Ministerstva vnitra tak, aby mohla policie evidovat opakované porušování nařízení – např. neuposlechnutí zákazu provozovat služby. Dojde tedy k rozšíření registru přestupků o přestupky spáchané podle krizového zákona.

Rezervace návštěvy na úřadě

• V případě, že si potřebujete něco vyřídit na úřadě, ve velké řadě případů je možné se na návštěvu objednat, tedy rezervovat přesné datum a čas. Dané rezervační systémy jsou většinou zajištovány soukromými společnosti, ale je to právě daný úřad, který se tak stává správcem osobních údajů ze systému získaných a nese všechnu odpovědnost. Aby daný úřad neporušoval ochranu osobních údajů, musí u dané společnosti zajistit, že v rezervačním systému budou po občanovi vyžadovány pouze nezbytné osobní údaje k zajištění rezervace.
• Mezi nejčastější porušení ochrany osobních údajů v případě rezervačních systémů patří:
  • Sběr nadbytečného množství osobních údajů.
  • Nedostatečná informace, jaké osobní údaje a proč jsou zpracovávány. Také je velice často opomenuta informace o soukromé společnosti, která systém zajišťuje.
  • Nedostatečná informovanost o právech spojených s udělením souhlasu.
  • Nesprávné užití souhlasu.
  • Příliš dlouhá doba uložení dat.

Vzdělávání v oblasti ochrany osobních údajů a bezpečnosti na internetu pro děti

• Úřad pro ochranu osobních údajů průběžně zveřejňuje dostupné hry a vzdělávací zdroje pro mládež, které pomáhají v rozvoji informační gramotnosti, ochrany osobních údajů a správným návykům při pohybu v online světě.
  • https://www.uoou.cz/hry/ds-5115/archiv=1&p1=2331
  • https://www.uoou.cz/vismo/zobraz_dok.asp?id_org=200144&id_ktg=2331&n=pro%2Dmladez

Odcizené přihlašovací údaje

• V druhé polovině minulého roku probíhalo rozesílání phishingových emailů, v kterých byli příjemci vyzváni, aby otevřeli přiloženou HTML přílohu pro zobrazení naskenovaných dokumentů. Ve skutečnosti však šlo o podvržený email, který následně ukládal získaná hesla.
• Veškerá hesla se pak ukládala do databáze, která se ale díky indexování webových stránek stala veřejnou a při pouhém zadání emailu okradené osoby bylo možné se dostat ke všem zcizeným přihlašovacím údajům.
• Každé heslo, ať už je sebesilnější, je stále možné prolomit. Z tohoto důvodu je vhodné svá hesla pravidelně měnit, ideálně v intervalech tří měsíců.

Nejčastější důvody pokut

• Za uplynulé roky, kdy je v platnosti Nařízení GDPR a příslušné zákony řešící ochranu osobních údajů, stále existují případy, a není jich málo, kdy kontrolní úřad musel sáhnout k udělení nemalých pokut. Existuje několik oblastí, ve kterých správci osobních údajů nejčastěji chybují:
  • Transparentnost – správce musí mít k dispozici pro subjekty údajů přehledný popis toho, jaké údaje a jakým způsobem je zpracovává. Tyto informace musí být také jednoduše dostupné.
  • Právní základ – veškeré osobní údaje může správce sbírat a zpracovávat jen pouze na základě řádného právního základu. Mezi ty nejzákladnější je možné zařadit povinnost danou zákonem, na základě uzavřené smlouvy, souhlasu či na základě oprávněného zájmu.
  • Nedostatečná implementace potřebného zabezpečení – během zpracovávání získaných osobních údajů musí být průběžně aktualizována dostatečná bezpečnostní opatření. Např. by mělo pravidelně docházet k monitorování osob, které mají k datům přístup, zajistit šifrování dat, zavádět používání vícefaktorového ověřování, logování neúspěšných přihlášení atp.
  • Nedodržení zásady minimalizace a doby ukládání dat – během získávání dat dochází často ke zpracování většího rozsahu dat, než je k danému účelu ve skutečnosti potřebné.

Sdílení fotek na internetu

• Řada z nás za existence internetu a zejména sociálních sítí alespoň jednou sdílela fotku sebe, svých blízkých či přátel. Jedná se ale zejména o rodiče, kteří se se světem chtějí podělit o radost ze svých ratolestí a tak neváhají na internet „poslat“ kde co. V průměru se jedná až o 1 500 fotek, které rodiče nasdílí během pěti let od narození dítěte. Jedná se zejména o fotky z dovolených nebo úspěchy svých dětí.
• S rozmachem sociálních sítí je ale také snaha upozornit uživatele na rizika spojená s využíváním těchto platforem. A jsou to právě fotky, které o nás nebo ostatních mohou prozradit mnohem více informací, než může být na první pohled patrné.
• Mezi informace, které je možné velice často z fotografie či popisku zjistit patří:
  • Jméno a příjmení
  • Datum narození
  • Bydliště
  • Škola a třída, kterou dítě navštěvuje
  • Samotné dítě – obličej nebo obnažené tělo
  • Údaje uvedené na vysvědčení
  • Přezdívka
  • Název týmu, za které dítě hraje
• Odstrašujícím příkladem je používání fotografií malých dětí pedofily, které jsou získávány z nezabezpečených fotografických portálů. Např. na jednom ruském webu se hojně objevily i fotky českých dětí.
• Pokud se i přes všechny nástrahy rozhodnete sdílet fotografie dětí a daná platforma to nabízí, sdílejte informace pouze s vybraným okruhem přátel / uživatelů, nikoliv naprosto veřejně se všemi. A je dobré si pamatovat, že co jednou internet schvátí, už nikdy nenavrátí.

Zveřejňování kontaktů zaměstnanců obce

• V případě veřejných institucí je možné se v případě zveřejňování osobních údajů zaměstnanců opřít o právní základ – zpracování osobních údajů nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo pro výkon veřejné moci či splnění právní povinnosti, která se na správce osobních údajů vztahuje.
• Mezi osobní údaje, které je možné zveřejnit na webových stránkách např. úřadu patří:
  • Jméno a příjmení úředníka.
  • Funkce.
  • Služební telefonní číslo nebo email pouze u zaměstnanců, kteří přicházejí do kontaktu s občany či komunikují s dalšími institucemi.
• Na zvážení je pak zveřejnění titulu, neboť v případě nižšího vzdělání může docházet k „poškození“ dané osoby. Proto je doporučováno uveřejnit titul pouze u vedoucích osob nebo se souhlasem daného zaměstnance. Bez souhlasu by také neměly být uveřejněny soukromá telefonní čísla, fotografie či životopis.

Únik osobních údajů

• Litevská policie prošetřuje únik více jak 100 000 osobních údajů, které byly v roce 2018 odcizeny společnosti provozující sdílení automobilů. Mezi daty byly osobní údaje také několika ministrů a starosty hlavního města. Jednalo se o odcizení identifikačních čísel z nezabezpečené zálohy, která jsou obdobou našich rodných čísel. Data následně hacker nabídl k prodeji za 1 000 dolarů. Tamní úřad na ochranu osobních údajů nyní vyšetřuje dostatečnost zabezpečení dat a případně přistoupí k pokutě.

Statistiky v ochraně osobních údajů

• Dle statistiky společnosti DLA Piper bylo za pokuty v EU za minulý rok uděleno více jak 4 miliardy korun, což je o přibližně 40 % více než tomu bylo rok před tím. Za celkovou účinnost GDPR se tak rozdaly pokuty ve výši cca 7 miliard korun. Česká republika se na tomto čísle podílela „pouhými“ necelými třemi miliony Kč tvořící 0,04 % celkové částky.
• Celkem náš Úřad pro ochranu osobních údajů zaznamenal 7 179 podnětů a stížností a zahájil 144 kontrol.
• Nejvyšší pokuta byla uložena ve Francii společnosti Google ve výši 50 milionů EUR. Druhá nejvyšší pokuta byla udělena v Německu a to společnosti H&M ve výši 35,26 milionů EUR. Třetí největší pokutu 27,8 milionů EUR dostal v Itálii telekomunikační operátor TIM SpA.

Brexit a GDPR

• V okamžiku, kdy se Velká Británie přestala řadit mezi země EU a stala se tak třetí zemí ve vztahu k GDPR, se zásadně změnil režim ochrany osobních údajů na jejím území, včetně pravidel pro předávání osobních údajů z EU a opačně.
• Jestliže společnost se sídlem ve Velké Británii bude dostávat data z EU (např. bude poskytovat cloudové úložiště), budou tato data předávána do třetí země. Takovéto předávání dat se pak bude muset dít pouze za splnění konkrétních podmínek GDPR. Jako nejvýhodnější se jeví vydání rozhodnutí Evropské komise o odpovídající ochraně osobních údajů. Takovým rozhodnutím se řídí vůči EU již 12 zemí světa, jako je např. Kanada, Švýcarsko, Nový Zéland nebo Japonsko. Jako další možnost je pak pro správce uzavřít s každým zpracovatelem jednoduché smluvní doložky o ochraně osobních údajů.
• Za těchto okolností bylo vyjednáno, že po dobu šesti měsíců, tedy nejpozději do konce června 2021, bude předávání osobních údajů fungovat stále za stejných podmínek, řídí se tedy obecným Nařízením GDPR. Do této doby je Velká Británie povinna předložit a s EU schválit nová pravidla. Pokud se tak nestane, zařadí se Velká Británie skutečně do režimu třetí země a předávání osobních údajů se tak značně zkomplikuje.

Pokuta za spam do datových schránek

• V souvislosti s vyhlášeným nouzovým stavem způsobeným pandemií Covid-19 bylo v České republice zavedeno zaslání zpráv datovou schránkou zdarma pro zjednodušení a urychlení komunikace s úřady. Podmínkou však bylo, že společnosti tohoto zavedení nebudou zneužívat posíláním nevyžádaných nebo jinak obtěžujících sdělení.
• Na podnět několika desítek stížností Úřad pro ochranu osobních údajů udělil pokutu 11 společnostem v celkové výši přes 3 miliony Kč, které disponovaly a používaly databáze tisíců kontaktů datových schránek k rozesílání nejrůznějších nabídek zboží a služeb, aniž by disponovaly např. zákaznickým či jiným obdobním vztahem jež by je ospravedlňoval k zasílání sdělení tohoto typu z titulu oprávněného zájmu.

WhatsApp a jeho nové podmínky

• Začátkem roku mnoho z nás, kteří používáme ke komunikaci aplikaci WhatsApp, obdrželo informaci o tom, že bude nutné k dalšímu využívání aplikace nejpozději do 8. února 2021 akceptovat nové zásady ochrany osobních údajů. Hlavním tématem bylo to, že WhatsApp měl od tohoto data předávat získané osobní údaje z konverzací společnosti Facebook, jakožto majiteli této aplikace k dalšímu zpracování. Tyto nové změny rozpoutaly masivní přesun uživatelů na jiné aplikace, jako je Signal nebo Telegram.
• WhatsApp po vzniklém pozdvižení učinil nápravné kroky, mezi které patří nejen odsunutí účinnosti nových zásad o tři měsíce, ale zejména upřesnění a vysvětlení nových podmínek uživatelů.
• Změna zásad se totiž vůbec neměla týkat osobních účtů uživatelů ani jejich soukromých konverzací, ale účtů firemních a konverzací mezi zákazníkem a firmou v rámci nákupů nebo zákaznické podpory. Získaná data měla pak být zpracovávána pro marketingové účely a tím i cílenou reklamu.
• Nejdůležitější informace však je, že nové zásady jsou vytvořeny ve dvou variantách, kdy výše uvedené platí pouze pro uživatele mimo EU. V rámci České republiky a EU se nás tato změna netýká, neboť jsme chráněni přísnějšími pravidly GDPR. Přesto se jedná o velmi pěknou ukázku změny myšlení uživatelů online služeb, kdy již není možné vynuceným odsouhlasením změn podmínek užití bez povšimnutí prosadit další (zne)užívání osobních údajů.

Zásady ochrany soukromí neboli Privacy Notice

• Každý majitel webových stránek, který nějakým způsobem shromažďuje a zpracovává osobní údaje návštěvníků či zákazníků, je povinen o takovém zpracování stručně, transparentně a srozumitelně všechny informovat. Z toho důvodu se nabízí zpracování tzv. Zásad ochrany soukromí (Informační memorandum), které nám dají informaci o tom, zda jsou naše osobní údaje pro majitele webových stránek důvěrné, zda jsou dále sdíleny nebo předávány třetím stranám.
• Při vytváření takových Zásad je dobré reflektovat odpovědi na následující otázky:
  • Je má společnost / organizace správcem nebo zpracovatelem?
  • Mám povinnost jmenovat pověřence, a tím uvést i jeho / její kontakty?
  • Jaké konkrétní informace shromažďuji?
  • Kdo ve skutečnosti daná data sbírá?
  • Jak jsou shromažďována?
  • Z jakého důvodu jsou shromažďována?
  • Jak je budu následně používat?
  • Budu data dále s někým sdílet?
  • Bude nějaký dopad na dotčené osoby?
  • Hrozí, že naše použití získaných osobních údajů povede ke stížnostem či dokonce k námitkám?

Jak vytvořit silné heslo

• Používání hesel je jedno ze základních druhů zabezpečení. Používáme ho při přihlášení do počítače, mobilního telefonu, aplikací, systémů apod. Každý z nás by měl při tvorbě hesla dbát na základní pravidla, která zajistí jeho větší „sílu“ tedy míru odolnosti při snaze heslo prolomit. Zaměstnavatelé by měli nastavit jasná kritéria při vytváření hesel do nejrůznějších aplikací a systémů s vynucením pravidelné obměny hesla.
• Z hlediska náročnosti prolomit slabá hesla trvá méně než jednu sekundu např. u hesla „123456“. Stejně si stojí také heslo „heslo“ či „111111“.
• Při tvorbě každého hesla doporučujeme dodržovat následující pravidla:
  • Pro každý uživatelský účet vytvořte zcela odlišné a silné heslo, nepoužívejte pouze několik hesel, která střídáte.
  • Nepoužívejte jména rodinných příslušníků, domácích mazlíčků, herců, názvy oblíbených filmů či seriálů, sportů, jídel, nadávek ani pozitivních slov. Stejně je tomu u řady po sobě jdoucích písmen nebo čísel. Dále nepoužívejte osobní údaje spjaté s vaší osobou – datum narození, rodné číslo, adresu apod.
  • Dodržujte dostatečný počet znaků, tedy minimálně 12.
  • Kombinujte velká a malá písmena, ideálně háčky a čárky, čísla a speciální znaky. Vše používejte na různých pozicích hesla.
  • Nepoužívejte nahrazování písmen tvarově podobnou číslicí, jako je např. „VEVERKA“ za „V3V3RKA“.
  • Pokud je to možné, používejte dvoustupňové neboli dvoufaktorové ověření / autentizaci pomocí hesla a např. SMS zprávy.

Právní základ pro videokonference

• S pokračující situací kolem pandemie koronaviru se primárním způsobem jednání staly vzdálené videokonference. Online komunikace je také základní komunikační kanál v rámci školské výuky.
• Abychom mohli ke komunikaci využívat videokonference, tedy zapojit do hovoru také obraz, je stále nutné si tento požadavek obhájit i z pohledu GDPR. Existují právní základy, které nám dovolují video během hovoru používat:
  • Udělený souhlas – lze použít pouze tehdy, pokud ke komunikaci existuje i jiná alternativa.
  • Plnění uzavřené smlouvy.
  • Oprávněný zájem odpovědné osoby.
  • Zákon – v případě orgánů veřejné moci např. školský zákon, v případě plnění pracovních povinností pak zákoník práce.
• Dále doporučujeme při práci z domova aktivovat jiné pozadí či vyrovnat kameru tak, aby nedošlo k zásahu do soukromí účastníka hovoru.

Registrační systém na antigenní testování

• Během uplynulých týdnů bylo možné se v souvislosti s Covid-19 objednat na tzv. antigenní testování přítomnosti viru v těle. Na takové testování bylo a je nutné se předem objednat pomocí rezervačních systémů jednotlivých testovacích míst. Velké množství nemocnic využívá k registraci rezervační systém Reservatic, který je součástí centrálního státního rezervačního systému.
• Tento systém, provozovaný ostravskou společností Reservatic, však kromě vytvoření rezervace posílal některé získané osobní údaje společnostem jako je Seznam, Facebook či Google, které následně zacílí zobrazovanou reklamu. V současné době jsou již některé skripty odstraněny, ne ovšem plně.
• V souvislosti s tímto zjištěním byla zahájena kontrola Úřadem pro ochranu osobních údajů, která zahrnuje také prošetření rezervačního systému na očkování, jež dle zjištění obsahuje zásadní nedostatky a pochybení z hlediska ochrany osobních údajů.
• Dále je vhodné upozornit, že rezervační systémy velice často sbírají některé osobní údaje neoprávněně. Jedná se např. o rodné číslo, které je možné získávat až při dané návštěvě z kartičky pojištěnce či v případě antigenních testů bydliště a telefon. Tyto údaje testovací místo nepotřebuje, neboť výsledek se dozvíte okamžitě na místě.

Únik osobních údajů v Nizozemsku

• V rámci dvou útoků byly ukradeny osobní údaje tisíců nakažených lidí koronavirem z hlavního trasovacího systému. Jednalo se o data jako je jméno, bydliště, telefon, číslo pojištěnce a výsledek testu. Ukradená data byla následně nabídnuta na internetu ke koupi.

Pokuta pro Google a Amazon

• Koncem minulého roku udělil francouzský úřad na ochranu osobních údajů CNIL zatím největší pokutu ve výši 100 milionů EUR pro Google a 35 milionů EUR pro společnost Amazon. Obě společnosti se provinily tím, že porušily ochranu osobních údajů v souvislosti s používáním cookies a dalších sledovačů používaných k cílenému zobrazování reklamy na svých webových stránkách. Dále byly obě společnosti vyzvány k okamžité nápravě, přičemž každý den prodlevy se odrazí v pokutě 100 000 EUR denně.

Pokuta pro společnost Twitter

• Společnost Twitter International Company sídlící v Dublinu dostala v prosinci 2020 pokutu 450 000 EUR za porušení GDPR. Jednalo se nejen o nedodržení lhůty 72 hodin pro ohlášení porušení zabezpečení osobních údajů dozorovému úřadu a to od chvíle zjištění takové situace, ale také za samotné porušení zabezpečení ochrany osobních údajů. Pokud si uživatel změnil email propojený s účtem na Twitter, jejich tweety se následně staly nechráněné a byly tedy k nahlédnutí široké veřejnosti, ne pouze jejich followerům.

Jak správně vyžadovat souhlas

• Souhlas je jedním z právních základů, které opravňují správce zpracovávat jisté osobní údaje. Zároveň bylo již několikrát řečeno, že souhlas musí být jasný, dobrovolný a vědomý.
• Mezi nejčastější chyby při sběru souhlasů se zpracováním osobních údajů patří:
  • Souhlas je zakomponovaný do obchodních podmínek a subjekt údajů nemá možnost se k souhlasu vyjádřit samostatně. Tímto je donucen „se souhlasem souhlasit“, pokud si chce daný produkt koupit nebo uzavřít smlouvu.
  • Políčko, které je uvedeno u souhlasu je předem zaškrtnuto a vy musíte ručně souhlas odškrtnout, pokud s daným zpracováním osobních údajů nesouhlasíte.
• V případě první situace je takovéto vyžadování souhlasu zcela neakceptovatelné. Druhá situace dává možnost se k souhlasu vyjádřit, je však stále v rozporu s Nařízením GDPR. Správný postup je takový, kdy subjekt údajů musí sám, dobrovolně a vědomě políčko zaškrtnout. Správce je pak povinen daný souhlas subjektu údajů na vyžádání předložit.

Kamerový systém a souhlas

• Velice často se setkáváme se situací, kdy zaměstnavatel či různá sdružení vyžadují souhlas zaměstnanců nebo členů při pořizování kamerového systému. Nejprve je potřeba připomenout, že samotné pořízení zabezpečovacího kamerového systému nesouvisí s problematikou GDPR. Jeho následné používání už ale ano.
• V případě, že jsou respektovány základní zásady jako je například to, že kamerový systém nebude zasahovat do svobod a soukromí fyzických osob a všechny osoby jsou o pořizování záznamů prokazatelně informovány, je možné dané zpracovávání osobních údajů odůvodnit oprávněným zájmem zajistit bezpečnost osob a majetku. V takovémto případně není nutné a ani možné od daných osob vyžadovat souhlas, neboť daný kamerový systém by byl nainstalován i pokud by nesouhlasila jediná osoba. Zároveň není vhodné vyžadovat souhlas i z důvodu, že každý udělený souhlas musí být odvolatelný, což není v takovémto případě proveditelné.

Platba osobními údaji při poskytování digitálního obsahu či digitálních služeb

• V současné době již existují obchodní modely, kdy spotřebitel neplatí obchodníkovi za digitální obsah či digitální služby, ale namísto toho mu poskytuje osobní údaje. V právních předpisech se tedy postupně zakotvuje nový termín – tzv. platba osobními údaji. Směrnice Evropského parlamentu a Rady (EU) 2019/2161 ze dne 27. listopadu 2019 (tzv. Doprovodná směrnice) přinesla úpravu čtyř stávajících unijních spotřebitelských směrnic, mezi nimi i směrnici 2011/83/EU o právech spotřebitelů, která mj. upravuje a bere v potaz jak situace, kdy spotřebitel platí nebo se zavazuje platit penězi, tak i ty, kdy spotřebitel poskytne nebo se zavazuje poskytnout obchodníkovi své osobní údaje za určitou službu.
• Doprovodná směrnice zajistila konzistentnost mimo jiné se směrnicí Evropského parlamentu a Rady (EU) 2019/770 ze dne 20. května 2019 o některých aspektech smluv o poskytování digitálního obsahu a digitálních služeb, která se vztahuje i na smlouvy, na jejichž základě poskytovatel poskytuje nebo se zavazuje poskytovat digitální obsah nebo digitální službu spotřebiteli a spotřebitel poskytne nebo se zavazuje poskytnout osobní údaje.
• Směrnice 2011/83/EU a směrnice 2019/770/EU se tedy vztahují na smlouvy o poskytování digitálních služeb a obsahu, který není poskytován na hmotném nosiči (tj. poskytnutí digitálního obsahu online), bez ohledu na to, zda spotřebitel platí cenu v penězích nebo poskytne osobní údaje. V těchto případech vždy vzniká smluvní vztah. Větší ochranu, transparentnost a více práv pro spotřebitele přinese transpozice Doprovodné směrnice členskými státy, která je stanovena k 28. listopadu 2021.
• I přes novelizaci relevantních zákonů a směrnic by obchodník měl nadále provádět veškeré zpracování osobních údajů spotřebitele v souladu s Nařízením GDPR. Směrnicemi nejsou nijak dotčena práva spotřebitelů, jakožto subjektu údajů, která se vztahují na veškeré osobní údaje poskytnuté spotřebitelem obchodníkovi nebo shromážděné obchodníkem v souvislosti se smlouvou a v okamžiku, kdy spotřebitel ukončil smlouvu v souladu se směrnicemi.

Komunikace přes videokonference

• Současná situace ohledně šíření nakažlivé nemoci – koronaviru zapříčinila značné zapojení videokonferencí při běžné komunikaci mezi zaměstnanci, klienty, ale i v rámci výuky na školách. Je na místě tedy připomenout, že během online jednání či výuky dochází ke zpracování osobních údajů a je nutné zajistit dostatečné organizační a technická zabezpečení. Obraz, zvuk, stejně jako osobní údaje uvedené v promítaných dokumentech či v textu chatu, tak i metadata komunikace jsou osobními údaji.
• Většina videokonferencí je realizována přes externí provozovatele těchto služeb. Jedná se například o MS Teams, Cisco Webex, Zoom, Google Classroom atd. V takovém případě se daný provozovatel považuje za zpracovatele osobních údajů a je tedy nutné mít vše pokryté uzavřenou zpracovatelskou smlouvou.
• Dále je potřeba mít na paměti, že primární zodpovědnost vždy nese osoba, která online jednání zorganizovala.

Emaily či SMS obsahující přání k Vánocům

• V minulých několika týdnech většina z nás obdržela email či SMS s přáním k svátkům. Podle zákona č. 480/2004 Sb., o některých službách informační společnosti se takové zprávy považují za obchodní sdělení, neboť se jedná o sdělení určené ke zlepšení image podniku.
• Takováto obchodní sdělení však stále musí splňovat určité podmínky, nelze je posílat kdekomu. Emaily či SMS je možné poslat na kontakty, které:
  • V minulosti udělily souhlas se zasíláním obchodních sdělení. Těmto kontaktům je pak možné poslat samostatné přání.
  • Nebo kontaktům, které jsou s danou organizací v obchodním vztahu (v minulém či současném období). V tomto případě musí být přání připojeno k obchodnímu sdělení, které se bude týkat vlastních, obdobných výrobků či služeb, které byly dodány nebo poskytnuty v rámci obchodního vztahu. Není tedy možné poslat samostatné přání.

Další metody sledování kromě známých cookies

• Mezi další nástroje, které nejsou zatím tak známé, diskutované a kontrolované je možno zařadit tzv. trackery a pixely. Tyto nástroje mají, stejně jako cookies, sledovat chování uživatele a shromažďovat o něm potřebné informace. Je možné je najít na většině webových stránek.
• Trackovací, neboli sledovací / profilující pixel je pro uživatele neviditelný obrázek, který přidá provozovatel webu nebo odesílatel do emailu či odkazu. Po kliknutí na odkaz nebo pouhým otevřením emailu dostane autor informaci, že jste tak učinili.
• Tyto sledovací nástroje a techniky tak zjišťují a posílají informace o uživateli, které jsou dále zpracovávány do profilů na základě kterých je zacílena reklama. Mezi získávané informace je možné zařadit:
  • IP adresu, ze které je možné zjistit poskytovatele internetových služeb, polohu a data z profilu na sociálních sítích.
  • Aktivitu vykonanou na daném webu.
  • Čas návštěvy webu nebo otevření emailu.
  • Používaný operační systém.
  • Typ webového prohlížeče.
  • Typ emailového klienta.
  • Použité rozlišení monitoru.
• Trackery a pixely podléhají, stejně jako cookies, Nařízení GDPR a jejich autor by měl vždy na jejich využívání uživatele upozornit pomocí souhlasu. Výjimkou mohou být pouze případy, kdy tyto nástroje slouží k poskytnutí dané služby z hlediska technického nastavení a neposkytují specifické informace o každém uživateli.
• Sledování pomocí pixelů je možné omezit, pokud:
  • Bude email a prohlížeč nastaven na nejvyšší úroveň ochrany soukromí.
  • Budete v prohlížeči používat rozšíření, které zviditelní sledovací pixely.
  • Budete používat anonymní procházení.
  • Zamezíte používání Javaskriptu v prohlížeči.

Vyzvedávání dítěte ze školky na základě souhlasu

• Je běžnou praxí, že vedle souhlasů na zpracování osobních údajů dětí týkající se například uveřejňování fotografií či videí na webových stránkách organizace, je po rodičích vyžadováno vyplnění a podepsání souhlasu na vyzvedávání dětí ze školky jinou osobou, než je zákonný zástupce. Běžně je takovou osobou sourozenec, prarodič nebo sousedka.
• Vyzvedávat dítě ze školky jinou osobou, než je zákonný zástupce, je samozřejmě možné, ale pouze na základě pověření či zmocnění, které vyplní sám zákonný zástupce. Vyžadovat po rodičích vyplnění souhlasu pro tuto činnost je tedy chybné, neboť zpracování osobních údajů uvedených pověřených osob vyplývá ze zvláštních předpisů, nařízených postupů a s tím je spojené zpracování tudíž legitimní nevyžadující souhlas.
• Samotné zmocnění / pověření musí opět splňovat potřebné náležitosti uvedené v legislativě. Je tedy nezbytné s takovým dokumentem zacházet stejně jako s ostatními osobními údaji, tedy zabezpečenou formou.

Zpracování biometrických osobních údajů

• Úřad pro ochranu osobních údajů zveřejnil na svých webových stránkách neoficiální překlad materiálu Evropského inspektora ochrany údajů s názvem Čtrnáct nedorozumění ohledně biometrické identifikace a autentizace, který reflektuje současný zájem o oblast zpracování biometrických osobních údajů a upozorňuje na některá obecně rozšířená nedorozumění.
• Mezi časté omyly a skutečnosti patří následující body:
  • Biometrická informace je uchovávána v samotném algoritmu – zpracované informace jsou uloženy v tzv. vzorech, šablonách či podpisech.
  • Užívání biometrických údajů je stejně rušivé jako jakýkoliv jiný identifikační / autentizační systém – zpracování biometrických údajů je více rušivé, dochází ke zpracování většího rozsahu osobních údajů.
  • Biometrická identifikace / autentizace je přesná – procentuálně je biometrická identifikace přesná na zhruba 96 % na rozdíl od hesla, kde musí být shoda 100%.
  • Biometrická identifikace / autentizace je natolik přesná, aby vždy rozlišila mezi dvěma osobami – v případě sourozenců může vzniknout chybovost správné identifikace.
  • Biometrická identifikace / autentizace je vhodná pro všechny osoby – některé osoby mající specifické biologické vlastnosti a fyziologické znaky nedokáže daný systém rozpoznat.
  • Postup biometrické identifikace / autentifikace nelze obejít – biometrickou identifikaci lze obejít pomocí 3D masek či kopií otisků prstů.
  • Biometrická informace nemůže být prozrazena – některé biometrické údaje je možné zjistit na dálku, např. pohybový vzorec chůze, obrysy obličeje apod.
  • Jakékoliv biometrické zpracování předpokládá identifikaci / autentizaci – biometrické údaje mohou sloužit pouze k rozlišování mezi člověkem a robotem, zvířetem či pohlavím aniž by docházelo k identifikaci.
  • Biometrické identifikační / autentizační systémy jsou pro uživatele bezpečnější – stejně jako u jiných systémů, může i zde dojít k porušení zabezpečení, které může vést k obdobným škodám jako v případě úniku hesla.
  • Biometrická autentizace je silná – systém založený pouze na biometrické identifikaci je považován naopak za slabé ověření.
  • Biometrická identifikace / autentizace je uživatelsky přívětivější – používání biometrické identifikace může navodit pocit narušení soukromí, dále mohou být některé osoby nekompatibilní či nemožnost přihlášení v případě selhání systému.
  • Biometrickou informaci převedenou do hashe nelze obnovit – odstraněný biometrický údaj lze znovu obnovit a přečíst.
  • Uložená biometrická informace neumožňuje rekonstrukci původní biometrické informace, ze které byla získána – z uložené biometrické informace lze částečně zrekonstruovat původní biometrický údaj, kterým může být např. obličej.
  • Biometrická informace není interoperabilní – systémy jsou naopak vytvářeny tak, aby byly schopny mezi sebou vzájemně spolupracovat.
• Podrobnější informace naleznete na stránkách ÚOOÚ: https://www.uoou.cz/vismo/dokumenty2.asp?id_org=200144&id=43988.

Bezpečností incident – porušení zabezpečení osobních údajů

• V současné době neplatí, že by správce osobních údajů musel ohlašovat každé porušení zabezpečení osobních údajů. Ohlašuje se pouze takový incident, který může mít za následek riziko pro práva a svobody fyzických osob. Správce osobních údajů musí ohlásit například ztrátu osobního spisu zaměstnance, avšak už není nutné hlásit ztrátu prezenční listiny ke školení.
• Každé ohlášení porušení zabezpečení osobních údajů musí obsahovat (https://www.uoou.cz/vismo/zobraz_dok.asp?id_org=200144&id_ktg=5020):
  • Popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů.
  • Jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, které může poskytnout bližší informace.
  • Popis pravděpodobných důsledků porušení zabezpečení osobních údajů (pozn. zejména ve vztahu vůči subjektům údajů).
  • Popis opatření, která správce / zpracovatel přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.
• Porušení zabezpečení osobních údajů ohlásí správce osobních údajů dozorovému úřadu (Úřad pro ochranu osobních údajů) elektronickou formou použitím formuláře Ohlášení porušení zabezpečení osobních údajů dle GDPR, který zašle na e-mailovou adresu posta@uoou.cz nebo do datové schránky ÚOOÚ: qkbaa2n.
• Pokud porušení zabezpečení osobních údajů zjistí zpracovatel osobních údajů, tak toto porušení ohlásí správci osobních údajů.
• Incident se musí ohlásit ÚOOÚ do 72 hodin od okamžiku, kdy se o něm správce osobních údajů dozvěděl.
• Jestliže je pravděpodobné, že má porušení zabezpečení osobních údajů za následek zásadní riziko pro práva a svobody dotčených osob, je nutné dané osoby o incidentu informovat. V případě nepřiměřeného úsilí při oznamování může správce osobních údajů informovat pomocí veřejného oznámení nebo podobného opatření.
• Pokud se organizace řídí zákonem č. 181/2014 Sb., o kybernetické bezpečnosti může vznikat informační povinnost také vůči Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) či CSIRT.CZ.

Nedostatečné zabezpečení seznamu testovaných na COVID-19

Jedna z českých laboratoří nedostatečně zabezpečila osobní údaje žadatelů o test na COVID-19. Pouhým přepsáním adresního řádku mohl kdokoliv nahlížet na žádanku obsahující kromě jména, příjmení a adresy také další choulostivé údaje, jako je rodné číslo, číslo občanského průkazu a kontaktní údaje. Dle ÚOOÚ se jedná o jisté pochybení. Vedení laboratoře problém obratem začalo řešit.

Školská zařízení – používání kamery při distanční výuce

• V rámci zavedených opatřeních z důvodu šíření nakažlivé nemoci – koronaviru musela školská zařízení v České republice přejít z prezenční výuky na výuku distanční. Tento druh výuky má za úkol co nejlépe kopírovat podmínky vyučování ve třídě. Z tohoto důvodu je kontakt učitele a žáka přes online výuku nezbytný a požadavek na zapnutou kameru je tedy zcela legitimní, neboť se distanční výuka v nastalé situaci opírá o splnění úkolu ve veřejném zájmu ve smyslu čl. 6 odst. 1 písm. e) Nařízení GDPR. Škola vždy musí distanční výuku přizpůsobit individuálním podmínkám a technickým možnostem jednotlivých žáků a pedagogů.
• Ministerstvo školství, mládeže a tělovýchovy zpracovalo pro školská zařízení Metodické doporučení pro vzdělávání distančním způsobem (https://www.msmt.cz/file/53629/), které shrnuje právní, organizační a pedagogické prvky distančního způsobu vzdělávání.

Bezpečnostní rizika spojená s prací z domova

• Současná situace ohledně šíření nakažlivé nemoci – koronaviru donutila mnoho zaměstnavatelů změnit pohled na práci z domova, tzv. home office. Práce z domova však sebou přináší jistá bezpečnostní rizika, která mohou mít dopad do oblasti ochrany osobních údajů.
• Společnosti, jejíchž zaměstnanci začali z velké míry pracovat z domova, musí stále dodržovat platné smlouvy a s tím i dostatečná technická a organizační opatření zajišťující náležitou úroveň bezpečnosti. Společnosti budou muset zavést nové procesy práce s daty určující, jakým způsobem budou ukládána, jak a kdy budou odstraněna nebo zničena. Zaměstnanci mohou být donuceni využívat soukromá zařízení jako mobilní telefony a notebooky, které nemusí poskytovat dostatečné zabezpečení.
• Zaměstnavatel by měl klást důraz zejména na následující body:
  • Všechna zařízení využívaná k práci musí být po dokončení práce uzamčena a uložena na bezpečném místě, kde nemůže dojít k odcizení. Zároveň by měla existovat možnost výmazu vybraných dat na dálku.
  • Zajistit softwarovou aktualizaci společně s pravidelným zálohováním dat.
  • Nastavit silná hesla a šifrování dat.
  • Pro pracovní účely nepoužívat soukromé e-mailové účty.
  • Připomínat obezřetnost na podvržené emaily – phishing (v dnešní době je zjištěn zvýšený počet útoků).
  • Dokumenty, které jsou za běžného chodu uloženy v uzamčené kartotéce, nenechávat volně na stole k nahlédnutí či ztrátě. Zároveň zajistit řádnou likvidaci všech dokumentů obsahující osobní údaje.

SMS s aplikací eRouška

• V říjnu 2020 dostali tři největší operátoři v České republice pokyn od hygieničky Jarmily Rážové k rozeslání sedmi milionů SMS zpráv obsahující informaci ke stažení aplikace eRouška. Podle expertů na kyberbezpečnost je však zvolená forma zaslaného sdělení vysoce riziková, neboť hrozí možné zneužití hackery. Důvodem je skutečnost, že uvedená webová stránka na stažení aplikace není dostatečně zabezpečena protokolem HTTPS a je tedy velice snadné odkaz přesměrovat na nebezpečné servery.
• O2 zároveň sledoval, kdo z příjemců SMS na odkaz ve zprávě klikl, avšak účel tohoto sběru dat nevysvětlil.

Zpracování osobních údajů prostřednictvím externího informačního systému

• Za zpracování osobních údajů je vždy odpovědný správce osobních údajů (viz čl. 5 odst. 2 a čl. 24 Nařízení GDPR). Správce je odpovědný i za zapracování osobních údajů prostřednictvím externího informačního systému (informačního systému externího dodavatele). Správce má tedy povinnost zajistit a být schopen doložit, že zpracování osobních údajů je prováděno v souladu s Nařízením GDPR.
• Při výběru informačního systému musí vždy správce osobních údajů posoudit možnosti jeho funkcionalit a nastavení, a to i s ohledem na ochranu osobních údajů (čl. 25 Nařízení GDPR – záměrná a standardní ochrana osobních údajů, čl. 5 odst. 1 Nařízení GDPR – základní zásady, např. minimalizace údajů).
• Z hlediska ochrany osobních údajů je neakceptovatelné argumentovat skutečností, že správce osobních údajů využívá informační systém externího dodavatele, a že způsob či rozsah předmětného zpracování vyplývá z nastavení tohoto systému, který koupil či mu byl dodán. Pokud si správce osobních údajů pořizuje složitější informační systém, musí již od počátku spolupracovat s dodavatelem (vývojářem) informačního systému, aby informační systém odpovídal potřebám správce i s ohledem na jeho odpovědnost dle Nařízení GDPR.
• ÚOOÚ upozorňuje, že nelze automaticky předpokládat splnění všech povinností ochrany osobních údajů pouze na základě skutečnosti, že stejný informační systém je využíván i dalšími obdobnými správci.
• Podle GDPR má každý, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, právo obdržet od správce osobních údajů nebo zpracovatele osobních údajů náhradu. Vzhledem k tomu by správce osobních údajů, který má pochybnosti o nastavení systému externím dodavatelem v souladu s Nařízením GDPR, měl zvážit spolupráci raději s takovým, který nastavení systému garantuje a případně by se na pokrytí újmy podílel.

Osobní údaje zveřejněné v Centrálním registru dlužníků České republiky (CERD)

• Úřad pro ochranu osobních údajů provedl v r. 2018 kontrolu Centrálního registru dlužníků České republiky (CERD) a v r. 2019 zahájil řízení o sankci za nepřijetí opatření k nápravě. Správce osobních údajů systému CERD uložená opatření neprovedl, a proto se ÚOOÚ obrátil na poskytovatele služeb pro systém CERD, díky kterému se podařilo znepřístupnit web CERDu. Správce osobních údajů systému CERD si ale zajistil nového poskytovatele služeb – indickou společnost, která IP adresy pro registr hostuje na území Ruské federativní republiky.
• ÚOOÚ tedy přišel o možnost ovlivnit stažení nebo znepřístupnění protiprávního obsahu registru. Správce osobních údajů registru nyní s odkazem na svobodu shromažďování informací čeká na zrušení rozhodnutí ÚOOÚ.
• Provozovatel CERDu k tomu na webu napsal: „Transparentní protikorupční linka je pozastavena do doby zrušení Úřadu na ochranu osobních údajů. ÚOOÚ podalo opakovanou námitku proti zveřejnění příspěvků třetích stran ve formě veřejného fóra, kde se přispěvatelé snaží poukázat na podezření překračující zákon. Z důvodu možných budoucích sankcí za umožněné zveřejnění příspěvků doplněné poučením o možné irelevantnosti příspěvků je zveřejňování oznámení zastaveno. ÚOOÚ svým právním výkladem znemožnilo do budoucna zpětnou veřejnou kontrolu v rámci prověřování protikorupčních oznámení. Protikorupční systém je založen na legislativě USA, která nebrání přístupu k informacím a šíření svobodného názoru… Zveřejněné údaje nespadají do jurisdikce České publiky, neboť jsou data primárně uložena mimo území ČR a nejsou z důvodu ochrany vkladatele spojeny s českým rezidentem či provozovatelem.“
• Poznámka: CERD není součástí žádného zákonného registru, potvrzení registru banky nepřijímají a sám registr upozorňuje, že za data neručí. Registrem dlužníků v ČR je Solus a další bankovní i nebankovní firmy, stát provozuje insolvenční rejstřík a Exekutorská komora vede ze zákona Centrální evidenci exekucí.

Cookies na webových stránkách – režim OPT-IN vs. OPT-OUT

• Každá webová stránka si může ukládat informace o svém návštěvníkovi prostřednictvím cookies (datových souborů), které pat­ří mezi tzv. síťové identifikátory řešené v rámci GDPR. Existuje několik druhů cookies, od těch nejzákladnějších, které pomáhají nastavit správné zobrazení a fungování dané webové stránky, po cookies, které slouží k marketingovým účelům. Pro všechny cookies však platí, že správce webových stránek musí o používaných cookies informovat každého návštěvníka.
• Varianty souhlasu s cookies na webových stránkách:
  • Režim OPT-IN: reklamní cookies se neuloží, dokud není kliknuto na „Souhlasím“. Souhlas se zpracováním osobních údajů není právoplatně udělen, pokud je políčko předem zaškrtnuté a uživatel musí sám souhlas zrušit odškrtnutím.
  • Režim OPT-OUT: cookies se ukládají, dokud je uživatel neodmítne.
• Problematika cookies je řešena po celou platnost Nařízení GDPR. V současnosti ale panuje rozpor mezi českou právní úpravou cookies uvedenou v § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích (zde je dle jazykového výkladu uveden režim OPT-OUT) a směrnicí 2002/58/ES o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (tzv. směrnice o e-privacy), jež stanovuje režim OPT-IN, tedy možnost cookies odmítnout, nikoliv je aktivně povolit.
• Zavedení režimu OPT-IN podpořil i Evropský sbor pro ochranu osobních údajů. ÚOOÚ tedy doporučuje upřednostnit v rámci cookies režim OPT-IN, jelikož se jedná o celoevropsky uznávaný přístup a zároveň je navrhován v rámci novelizace zákona o elektronických komunikacích.

Zpracovávání osobních údajů zaměstnanců

• Dle Nařízení GDPR existuje celkem 6 důvodů, které opravňují zaměstnavatele ke zpracovávání osobních údajů zaměstnanců, avšak zaměstnavatel většinou použije následující:
  • zpracování je nezbytné k plnění smlouvy uzavřené se zaměstnancem (pracovní smlouva, DPČ, DPP);
  • zpracování je nezbytné k plnění právní povinnosti zaměstnavatele;
  • zpracování je nezbytné pro účely oprávněných zájmů zaměstnavatele;
  • zaměstnanec udělil souhlas.
• Velice často se stává, že zaměstnavatel od svých zaměstnanců vyžaduje ke zpracování souhlas. Ten by měl být jednak použit velice opatrně a zároveň je ve většině případů použit zbytečně, neboť zaměstnavatel se primárně řídí plněním povinností plynoucí z uzavřené smlouvy a právních povinností uložené legislativou.
• Po zániku pracovního vztahu je zaměstnavatel oprávněn uchovávat osobní údaje po nezbytně dlouhou dobu. Důvodem je primárně plnění zákonných lhůt archivace, ale i řešení případných sporů se zaměstnancem. Obvyklé lhůty pracovněprávních dokumentů jsou:
  • evidenční listy – 3 roky;
  • záznamy o pojistném na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti – 6 let;
  • záznamy o pojistném na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti u poživatelů starobního nebo invalidního důchodu – 10 let;
  • mzdové listy, účetní záznamy pro účely důchodového pojištění, např. doklady o pracovním vztahu, záznamy o pracovních úrazech, nemocech z povolání, záznamy o evidenci pracovní doby – 30 let.

Cíle a hodnocení zaměstnanců z pohledu osobních údajů

• Stejně jako mzdová a personální agenda, tak i v případě cílů a hodnocení zaměstnanců se jedná o osobní údaje a je tedy nutné s nimi zacházet stejným způsobem.
• Informace týkající se hodnocení pracovní výkonosti, dosažení ročních cílů zaměstnanců apod. je zaměstnavatel povinen zabezpečit a samozřejmě po uplynutí potřebné lhůty také zlikvidovat. Aktuálně platná legislativa bohužel neuvádí skartační lhůty týkající se těchto osobních údajů, je doporučeno tyto informace zachovávat přiměřeně dlouhou dobu po skončení pracovního poměru, neboť mohou být použity při obraně proti nařčení např. z diskriminace před soudem nebo pro případné kontroly inspekce práce. Jako přiměřeně dlouhá doba je v tomto případě doba trvání promlčecí lhůty, která trvá 3 roky.

Whistleblowing a ochrana osobních údajů

• Whistleblowing je termín, kdy současný nebo bývalý zaměstnanec organizace upozorní oprávněný orgán či instituci na nezákonné nebo neetické chování zaměstnavatele.
• Všechny členské státy EU musí do 17. prosince 2021 transponovat směrnici Evropského parlamentu a Rady (EU) 2019/1937 ze dne 23. října 2019 o ochraně osob, které oznamují porušení práva Unie (tzv. směrnici o whistleblowingu). Z tohoto důvodu Ministerstvo spravedlnosti vypracovalo návrh zákona o ochraně oznamovatelů protiprávních jednání – whistleblowerů, který je nyní v připomínkovém řízení.
• V současné době zatím není známa konečná podoba zákona o ochraně oznamovatelů, je však možné konstatovat, že každá organizace bude povinna zavést nové procesy, které mj. budou muset respektovat ochranu osobních údajů.

Obce a aplikace ochrany osobních údajů

• Přestože je Nařízení GDPR účinné více jak dva roky, stále většina obcí nenaplňuje dostatečnou ochranu osobních údajů občanů a zaměstnanců. Povinnost jmenovat pověřence pro ochranu osobních údajů sice obce splnily, ale zaměstnanci stále plně nedodržují zásady bezpečnosti. Například:
  • navštěvují podezřelé internetové stránky;
  • otvírají podezřelé emaily;
  • nemají dostatečně silné heslo;
  • vyzrazují důvěrné informace ze správních řízení;
  • neaktualizují dokumentaci GDPR vytvořenou v roce 2018;
  • zveřejňují identifikační údaje žadatele ve zveřejněných odpovědích na žádost o informace podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím;
  • neoprávněně nahlížejí do registrů;
  • nedostatečně zabezpečí dokumenty s osobními údaji.

Fotografie dětí na internetu

Městská část Praha 11 zveřejnila v rámci bezpečnostní prevence rizikovost sdílení fotek na internetu:

• Nechtěný zájem o vaše dítě může vyvolat jedna jediná fotka umístěná veřejně kdekoli na síti. Je to fotka před domem, ve vaší čtvrti, u školy, v kroužku? Dáváte tím světu na vědomí, kde se vaše dítě pravidelně pohybuje.
• Tisíce lidí cíleně procházejí profily na sociálních sítích, internetová alba, videa, blogy a další webové stránky jen za tím účelem, aby našly „atraktivní“ fotky či nahrávky dětí. Někteří se „jen“ podělí o své úlovky na diskuzním fóru, jiní mohou mít touhu se s takovým dítětem setkat. Ti, kteří pouze předávají fotky, dostávají obsah k dalším. Nemáte šanci je nikdy poznat, stejně jako jejich motivace.
• Myslete na to, že každá fotka, kterou jednou vložíte, žije na internetu navždy. Nikdy ji nesmažete. Nevíte, kdo ji má v počítači, komu ji pošle, na co ji použije a za jak dlouho ji může nechat opět vynořit.
• Na takzvaném darknetu, tedy ve veřejnosti složitě přístupné části internetu, jsou fotky dětí z celého světa, ke kterým si pedofilové předávají důvěrné informace a vkládají sexuálně laděné komentáře.
• Nejde zdaleka jen o to, jaké informace sami zveřejníte o svém dítěti. Internet je přece síť a v kombinaci s fotkami potenciálně velmi nebezpečná. Jaké informace jste zveřejnili o sobě, jaké jste publikovali vlastní fotky? Kolik snímků má škola na svém Facebooku či webu a kolik kamarádi vašeho dítěte? K těm se dá přece také snadno dostat: jsou to přátelé na Facebooku, sledující a sledovaní na Instagramu, komentující na Youtube. Vše se doplňuje a je to mozaika plná vodítek.
• Zdaleka ne poslední bod, ale jeden z hlavních: Jaké přátele sami máte na sociálních sítích, kde zveřejňujete fotky potomků? Jste schopni se za všechny zaručit? A pokud jste přesvědčeni, že ano, víte, jak mají silná hesla? Víte, kdo s nimi v domácnosti používá počítač nebo jiné zařízení, přes které přistupují na sítě? Víte, že se nikde nezapomínají odhlásit?

Doporučujeme k pročtení celý článek, který zasazuje celý problém do reálného prostředí a vše dokresluje (http://www.praha11.cz/redakce/index.php?lanG=cs&slozka=7532&xsekce=8265&clanek=12427).

Pokuta pro British Airways za únik dat

• Britský úřad na ochranu osobních údajů udělil pokutu ve výši 20.000.000 liber (cca 600 mil. Kč) letecké společnosti British Airways, která v roce 2018 dostatečně neochránila osobní a finanční údaje více jak 400 tisíc zákazníků. Důvodem výše této pokuty je skutečnost, že společnost sama útok nezaznamenala a byla na něj upozorněna až dva měsíce poté třetí stranou.

Pokuta pro společnost H&M

• Na podzim byla udělena dosud nevyšší pokuta ve výši 35,3 mil EUR (cca 950 mil. Kč) a to společnosti Hennes & Mauritz (H&M). Pokutu udělil německý dozorový úřad za zásadní porušení pravidel ochrany osobních údajů, kdy společnost záměrně sledovala soukromí stovek zaměstnanců servisního centra. Jednalo se o jejich intenzivní monitorování s cílem analyzovat osobní a rodinné poměry, zdravotný stav či jejich náboženské nebo filozofické přesvědčení. Zjištěné údaje pak společnost využívala například při rozhodování o ukončení pracovního poměru nebo dalších pracovněprávních změnách.

EU vyšetřuje aplikaci Instagram

• Irská Komise na ochranu dat zahájila vyšetřování proti sociální platformě Instagram, která je součástí společnosti Facebook. Důvodem je podezření, kdy Instagram porušuje GDPR nedostatečným zabezpečením dat, primárně dat dětí a mladistvých. V případě, že regulační orgány zjistí porušení může být uložena pokuta přesahující i 20 milionů EUR (cca 545 mil. Kč).

Kopírování dokladů zaměstnanců

• V případě daňových úlev zaměstnanců (např. na manželku, děti, hypoteční úroky) je plátcem daně zaměstnavatel. Ten má dle zákona č. 586/1992 Sb., o daních z příjmů povinnost předkládat daňová přiznání, ve kterých musí uvedené informace korespondovat s informacemi na předložených dokladech zaměstnanců.
• Dle stanoviska ÚOOÚ není dovoleno pořizovat kopie předkládaných dokladů zaměstnanců pro důkazní účely v následných kontrolách. Kopie dokladů a listin je možné pořizovat pouze v případě zahájení kontroly Finančním úřadem.

Poskytovatel cloudových či hostingových služeb je zpracovatel osobních údajů

• Mnoho společností, které nabízejí služby jako cloudové úložiště nebo zajišťují hostingový prostor, se často dle jejich názoru neřadí mezi tzv. zpracovatele osobních údajů. Jejich argumentací je skutečnost, že osobní údaje u nich uložené jsou šifrované, pseudonymizované a že nikdo ze zaměstnanců nemá k datům přístup ani je nijak nezpracovává. Avšak podle čl. 4 odst. 2 Nařízení GDPR je zpracováním osobních údajů i jejich pouhé uložení. Pro správce osobních údajů pak vyplývá povinnost s každým zpracovatelem osobních údajů uzavřít zpracovatelkou smlouvu.

Na co si dát pozor ve zpracovatelských smlouvách

• Smlouva musí být uzavřena písemně či elektronicky. Pokud je smlouva nepsaná či zcela chybí, jedná se o porušení Nařízení GDPR a vinni jsou zpracovatel osobních údajů i správce osobních údajů.
• Zpracovatelské smlouvy vytvořené samotným zpracovatelem osobních údajů velice často „kopírují“ text čl. 28 Nařízení GDPR a zcela opomíjí důležité části a informace.
• Velice často ve smlouvách chybí předmět zpracování osobních údajů nebo není jasně specifikovaný. Stejně tomu je v případě trvání zpracování, kdy údaj musí mít jasné časové vymezení.
• Povaha zpracování osobních údajů má reflektovat skutečné činnosti prováděné zpracovatelem. Příkladem může být: natáčení, nahrávání a archivace fotek.
• Účel zpracování osobních údajů by neměl kopírovat účel uzavřené smlouvy. Správně formulovaným účelem je například detekce nezákonného vstupu na pozemek namísto pouhého provozování kamerového systému.
• Zpracovatel by měl osobní údaje zpracovávat pouze na pokyn správce osobních údajů. Pokud zpracovatel osobních údajů překročí pokyny, které mu ke zpracování udělil správce, jednak porušuje své povinnosti a zároveň se sám stává správcem osobních údajů. To, jakým způsobem (např. email) bude zpracovateli dán pokyn ke zpracování, by mělo být jasně stanoveno v každé zpracovatelské smlouvě.
• Jednou z nejčastějších chyb zpracovatelských smluv je nedostatečný popis nebo absence bezpečnostních opatření. Mnoho zpracovatelů osobních údajů pouze uvede informaci, že se zavazuje přijmout vhodná bezpečností opatření, avšak už není popsáno jaká.

Uveřejnění členů pracovní skupiny obce – občané i zastupitelé

• V případě, že obec plánuje uveřejnit osobní údaje (identifikační údaje, údaje o zaměstnání nebo členství v zastupitelstvu, mobilní telefon a e-mailovou adresu) členů pracovní skupiny na svých webových stránkách, je zde namístě upozornit, že kompletní zveřejnění těchto osobních údajů není plně kryto plněním ve veřejném zájmu.
• Na základě veřejného zájmu může obec uveřejnit jméno a členství v pracovní skupině, avšak kontaktní údaje nikoliv. Je však možné zveřejnit telefon či email pověřeného člena pracovní skupiny, který bude postupovat k projednání náměty z řad veřejnosti.

Doručování veřejnou vyhláškou na úřední desce

• Ve smyslu § 25 zákona č. 500/2004 Sb., správní řád, je možné doručování veřejnou vyhláškou realizovat dvěma způsoby. Prvním způsobem je vyvěšením celé písemnosti na úřední desce správního orgánu, druhým způsobem pak vyvěšení pouhého oznámení o možnosti převzít písemnost. To, jakou možnost daný správní orgán zvolí, není již stanoveno, avšak je vždy nutné zajistit ochranu obsahu písemnosti a osobních údajů v ní obsažených.
• Pokud je uveřejněno oznámení o převzetí písemnosti, měly by být uvedeny pouze osobní údaje nezbytné pro identifikaci adresáta.
• V případě elektronické úřední desky nesmí být použito indexování, které umožní zobrazení oznámení i po jejich faktickém odstranění.

Osobní údaje a koronavirus

• V současné koronavirové krizi se začaly sbírat nové osobní údaje. Dle ÚOOÚ je zaměstnavatel oprávněn zjišťovat teplotu zaměstnanců při vstupu na pracoviště, neboť takovéto monitorování je možné opřít o oprávněné zájmy zaměstnavatele. Měření teploty návštěvníků na sportovních či kulturních akcích však ÚOOÚ neschvaluje. Zároveň dle ÚOOÚ nemá zaměstnavatel právo zjišťovat o svých zaměstnanců informace o destinaci dovolené či navštívených akcích.

eRouška vs. zákon č. 110/2019 Sb.

• ÚOOÚ bude na žádost předsedy Rady vlády pro informační společnost Vladimíra Dzurilly ověřovat soulad projektu eRouška se zákonem č. 110/2019 Sb., o zpracování osobních údajů a obecným nařízením o ochraně osobních údajů.

Často kladené otázky k ochraně osobních údajů v rámci opatření proti šíření koronaviru

• ÚOOÚ průběžně na svých webových stránkách zveřejňuje často kladené otázky ke zpracování osobních údajů v rámci opatření proti šíření koronaviru: https://www.uoou.cz/vismo/zobraz_dok.asp?id_org=200144&id_ktg=6134&n=ke%2Dzpracovani%2Dosobnich%2Dudaju%2Dv%2Dramci%2Dopatreni%2Dproti%2Dsireni%2Dkoronaviru

Únik osobních údajů uživatelů Moje eZdravie

• Na Slovensku mohlo dojít k úniku osobních údajů až 390 tisíc uživatelů aplikace Moje eZdravie, kteří byli testování na přítomnost viru v souvislosti s Covid-19. Aplikace, která obsahuje formulář, pomocí kterého je možné požádat o vyšetření, je provozována státní příspěvkovou organizací Národné centrum zdravotníckych informácií (NCZI).
• NCZI použilo při vytváření aplikace nezabezpečené rozhraní, do kterého mohl kdokoliv vstoupit a zároveň nebylo zajištěno šifrování dat. Bezpečnostní společnost tedy získala veškeré osobní údaje testovaných osob – jméno, datum narození, adresu, klinické příznaky, informace o odběru s výsledkem testu.

Zjištěná porušení ochrany osobních údajů

• Statutární město bylo uznáno vinným ze spáchání přestupku, když omylem odeslalo datovou schránkou seznam 10 112 dlužníků určený pro Finanční úřad neoprávněné osobě jisté společnosti.
• Statutární město předalo osobní údaje 150 členů Společenství vlastníků domů nájemci nebytových prostor u tohoto společenství za účelem získání souhlasu členů se změnou užívání jím pronajatých prostor.
• Univerzita v rámci přijímacího řízení zpracovávala rodné číslo pro účel přihlášení uchazeče o studium do informačního systému a dále nestanovila jednoznačný účel a právní základ pro zpracování osobních údajů v rozsahu občanství, místo narození, informace, odkud se uchazeč hlásí a soukromý e-mail.

Nejvyšší pokuta ÚOOÚ

• V září udělil ÚOOÚ doposud nejvyšší pokutu 6 mil. Kč společnosti, která se zabývá prodejem ojetých automobilů. Důvodem bylo opakované rozesílání nevyžádaných obchodních sdělení. Emaily byly doručovány půl milionu adres a to i osobám, které k tomu neudělily souhlas. Nevyžádanými sděleními společnost porušila zákon č. 480/2004 Sb., o některých službách informační společnosti.

Sankce za kybernetické útoky

• Na konci července 2020 Evropská unie poprvé uvalila sankce za kybernetické útoky, a to za útok namířený proti Organizaci pro zákaz chemických zbraní (OPCW) a útoky známé pod označením WannaCry, NotPetya a Operation Cloud Hopper.
• Postiženo má být celkem šest osob a tři subjekty pocházející z Ruska, Severní Koreje a Číny. Omezující opatření zahrnují zákaz cestování a zmrazení majetku. Osoby a subjekty z EU kromě toho nesmí osobám a subjektům zařazeným na sankční seznam zpřístupňovat finanční prostředky.

Pokuta pro Google za porušení práva být zapomenut

• Belgický dozorový úřad udělil společnosti Google pokutu ve výši 600.000 EUR (cca 16 mil. Kč) za nedostatečnou aplikaci práva být zapomenut, tj. práva na odstranění odkazů z výsledků vyhledávání. Konkrétně se jednalo o neodstranění internetových odkazů, které mohou poškodit jistého veřejně činného jednotlivce, z výsledků internetového vyhledávání na standardní vyhledávací dotaz. Společnost Google s rozhodnutím belgického dozorového úřadu nesouhlasí a bude se proti němu dále bránit.

Pokuta pro Twitter za nekalé nakládání se soubory cookies

• Španělský dozorový úřad udělil pokutu ve výši 30.000 EUR (cca 800 tis. Kč) společnosti Twitter za chybné získávání souhlasů s ukládáním souborů cookies. Společnost se provinila tím, že ihned po vstupu uživatele na webové stránky nainstalovala do přístupového zařízení soubory cookies, které však nebyly pro správné fungování Twitteru potřebné. Další výtka dozorového úřadu se týkala vyskakujícího banneru, který bez možnosti volby rovnou uvádí, že využíváním služeb Twitteru návštěvník automaticky souhlasí s pravidly společnosti pro zpracování souborů cookies.

Předávání osobních údajů do třetích zemí nebo mezinárodním organizacím – ukončení platnosti Privacy Shield pro zpracování osobních údajů mimo EU

• Problematiku předávání osobních údajů do třetích zemí nebo mezinárodním organizacím (dále jen „třetí země“) řeší Nařízení GDPR v kapitole V, čl. 44 – 50. Třetí zemí jsou míněny země mimo Evropskou unii. Definovaná pravidla respektují zásadu volného pohybu osobních údajů v rámci Evropské unie, tedy že nelze pouze z důvodu ochrany osobních údajů zakázat nebo omezit předávání údajů z jednoho členského státu EU do druhého. Jedná se i o služby hromadného rozesílání e-mailů (např. Sendgrid / Twilio) nebo formulářových řešení (např. Formstack). 
• Nařízení GDPR rozlišuje (podle způsobu, jakým jsou ve třetích zemích předávaným osobním údajům poskytovány / neposkytovány záruky jejich ochrany) tři úrovně předávání osobních údajů:
  • předávání založené na rozhodnutí o odpovídající ochraně,
  • předávání založené na vhodných zárukách garantovaných správcem / vývozcem údajů,
  • předávání založené na tzv. výjimkách pro specifické situace.
• Při předávání osobních údajů do třetích zemí musí být vždy dodržena zásada odpovídající úrovně ochrany osobních údajů.
• O tom, zda třetí země jako celek, příp. určité území nebo odvětví ve třetí zemi zajišťuje odpovídající úroveň ochrany osobních údajů, rozhoduje Evropská komise (viz čl. 45 Nařízení GDPR).

I. Předávání osobních údajů do třetích zemí nebo mezinárodním organizacím s dostatečnou úrovní ochrany osobních údajů

• „Bezpečné“ třetí země disponují platným rozhodnutím Evropské komise o odpovídající úrovni ochrany osobních údajů.
• Předání osobních údajů do „bezpečných“ třetích zemí nevyžaduje ze strany předávajícího správce osobních údajů žádná zvláštní opatření.
• Aktuální seznam třetích zemí s dostatečnou úrovní ochrany osobních údajů (tj. přehled platných rozhodnutí Evropské komise) je uveden na webové stránce Evropské komise (https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en) nebo na webové stránce ÚOOÚ (https://www.uoou.cz/predavani-zalozene-na-rozhodnuti-o-odpovidajici-urovni-ochrany-osobnich-udaju/ds-5065/p1=5065).

II. Předávání osobních údajů do třetích zemí nebo mezinárodním organizacím s nedostatečnou úrovní ochrany osobních údajů

• Třetí země, které Evropská komise neprohlásila svým rozhodnutím o odpovídající úrovni ochrany osobních údajů za bezpečné, jsou považovány za třetí země s nedostatečnou úrovní ochrany osobních údajů. Do těchto „nebezpečných“ třetích zemí je předání osobních údajů obecně možné jen na základě vytvoření vhodných záruk podle čl. 46 Nařízení GDPR, nebo ve specifických situacích podle čl. 49 Nařízení GDPR.
• Správce osobních údajů může předání osobních údajů do „nebezpečných“ třetích zemí realizovat bez předchozího povolení ÚOOÚ, pokud využije některý ze standardních nástrojů pro vytvoření vhodných záruk (viz čl. 46 Nařízení GDPR, odst. 2):
  • a) právně závazný a vymahatelný nástroj mezi orgány veřejné moci nebo veřejnými subjekty, tzn. zpravidla mezinárodní smlouva;
  • b) závazná podniková pravidla;
  • c) a d) standardní smluvní doložky podle rozhodnutí Komise (ať již přijaté Komisí přímo nebo schválené Komisí po předložení dozorovým úřadem);
  • e) schválený kodex chování v kombinaci se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky;
  • f) schválená certifikace v kombinaci se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky.
• Povolení ÚOOÚ je nutné získat pouze v případech, kdy správce osobních údajů hodlá předání osobních údajů realizovat na základě nestandardních nástrojů pro vytvoření vhodných záruk (viz čl. 46 Nařízení GDPR, odst. 3):
  • a) nestandardní smluvní doložky;
  • b) správní ujednání mezi orgány veřejné moci nebo veřejnými subjekty, která zahrnují vymahatelná a účinná práva subjektů údajů.
• V těchto případech ÚOOÚ v rámci povolení schvaluje navrhovaný nestandardní nástroj pro předávání osobních údajů, který vyžaduje plné uplatnění mechanismu jednotnosti včetně vydání kladného stanoviska Evropským sborem pro ochranu osobních údajů.

III. Předávání osobních údajů do Spojených států amerických

• Pro předávání osobních údajů do Spojených států amerických byl do půlky července 2020 využíván tzv. EU−U.S. Privacy Shield (štít soukromí EU−USA), který byl definován prováděcím rozhodnutím Komise (EU) 2016/1250 ze dne 12. července 2016 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající úrovni ochrany poskytované štítem EU–USA na ochranu soukromí.
• Do programu EU−U.S. Privacy Shield byly zapojeny americké společnosti, které se zavázaly k dodržování evropských standardů ochrany osobních údajů při zpracování údajů evropských osob ve Spojených státech amerických (příjemce osobních údajů se přihlásil k pravidlům programu Privacy Shield a nechal se zapsat na seznam vedený americkými úřady, poté se již z pohledu GDPR jednalo o bezpečného příjemce a předání dat bylo legální při dodržení stanovených pravidel).
• Změna v platnosti štítu soukromí EU−USA nastala dne 16. 7. 2020, kdy Soudní dvůr Evropské unie svým rozsudkem ve věci C-311/18 Data Protection Commissioner vs. Facebook Ireland Limited a Maximillian Schrems (tzv. Schrems II) odmítl platnost EU−U.S. Privacy Shield, tj. rozhodl, že rozhodnutí Komise (EU) 2016/1250 ze dne 12. července 2016 je neplatné, ale zároveň nezrušil ani nezpochybnil rozhodnutí týkající se standardních smluvních doložek (https://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=CELEX:62018CJ0311&from=CS).
• Podle rozhodnutí Soudního dvora Evropské unie štít soukromí EU−USA nezajišťuje dostatečnou ochranu dat evropských uživatelů. S okamžitou platností jsou proto všechny přenosy osobních údajů z EU do USA, které byly dříve založeny na EU-U.S. Privacy Shield jako právním základu, nepřípustné.
• V současné době společnosti mohou pro přenos osobních dat do USA použít např. smlouvu o předávání údajů, tzv. standardní smluvní doložky, které musí uzavřít ten kdo data z EU předává (správce) a jejich příjemce.
• Soudní dvůr Evropské unie svým rozsudkem standardní smluvní doložky sice nezrušil, ale jejich použití podmiňuje testem přiměřenosti přijatých opatření v závislosti na okolnostech předání a zemi dovozce údajů. O tom, zda budou moci společnosti data převádět mimo EU, budou podle Soudního dvora Evropské unie rozhodovat unijní dohledové úřady. Dohledové úřady budou povinny dočasně nebo trvale zakázat předávání osobních údajů do třetí země, pokud v ní nebude zajištěna ochrana vyžadovaná unijním právem.
• Dle vydaného rozhodnutí Soudní dvůr Evropské unie má předně za to, že unijní právo, a zejména GDPR, se uplatní na předávání osobních údajů prováděné pro obchodní účely hospodářským subjektem usazeným v členském státě jinému hospodářskému subjektu usazenému ve třetí zemi i tehdy, když tyto údaje mohou být při tomto předávání nebo po něm zpracovány orgány dotyčné třetí země pro účely veřejné bezpečnosti, obrany a bezpečnosti státu.

Střet zájmů Pověřence pro ochranu osobních údajů

• Při jmenování Pověřence pro ochranu osobních údajů v rámci organizace je důležité předejít případnému střetu zájmu. Nařízení GDPR (čl. 38 odst. 6) stanovuje, že „Pověřenec pro ochranu osobních údajů může plnit i jiné úkoly a povinnosti. Správce nebo zpracovatel zajistí, aby žádné z těchto úkolů a povinností nevedly ke střetu zájmů.“
• Absence střetu zájmů úzce souvisí s požadavkem kladeným na Pověřence pro ochranu osobních údajů jednat nezávisle, tj. Pověřenci mohou v rámci organizace zastávat i jiné funkce, ale jinými úkoly a povinnostmi je lze pověřit jenom za předpokladu, že u nich nedojde ke střetu zájmů. Pověřenec pro ochranu osobních údajů tedy nemůže v rámci organizace zastávat pozici, ve které by měl určovat účely a prostředky zpracování osobních údajů, např. pozici vedoucího pracovníka či pozici personalisty, IT atd.

Zpracování osobních údajů v rámci opatření proti šíření koronaviru

• Informace ke zpracování osobních údajů v rámci opatření proti šíření nakažlivé nemoci COVID-19 naleznete na webové stránce www.equica.cz/zpracovani-osobnich-udaju-v-ramci-opatreni-proti-sireni-koronaviru/.
• Shrnutí postoje ÚOOÚ k tématu na veřejném slyšení „Chytrá karanténa vs. bezpečnost osobních dat“, které se uskutečnilo v Senátu, je zveřejněno na webových stránkách ÚOOÚ https://www.uoou.cz/vismo/dokumenty2.asp?id_org=200144&id=43029.

Hrozba kybernetických útoků – hackeři útočí na nemocnice, městské části i ministerstva

• V poslední době se v České republice velmi často vyskytují kybernetické útoky na nemocnice, města / městské části i ministerstva. Napaden byl např. informační systém městské části Prahy 3, informační systém státního podniku Povodí Vltavy. Hackeři se dále pokusili napadnout několik nemocnic, energetickou společnost ČEZ Distribuce, Ministerstvo zdravotnictví (tyto útoky byly odvráceny).
• Hackeři využívají současnou situaci ohledně šíření nakažlivé nemoci COVID-19 a rozesílají e-maily s odkazy na podezřelé stránky s označením koronavir nebo COVID, po jejichž otevření získají kontrolu nad informačním systémem oběti.
• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) v souvislosti s hrozbou doporučuje několik bezpečnostních opatření. Zařízení by mělo upozornit uživatele systémů na podezřelé soubory (typu obrázek .png, .exe, text .txt, .exe, dokument .pdf, .exe a další podobné přílohy). Pokud je to možné, mělo by se také pomocí centrálního nastavení zabránit spouštění aktivního obsahu a maker především v souborech s přílohou doc.

Identifikace osob prostřednictvím otisku prstu

• Otisk prstu, který je jednoznačnou charakteristikou člověka, spadá dle Nařízení GDPR do zvláštní kategorie osobních údajů. Při zpracování zvláštních kategorií osobních údajů je nutné, aby správce osobních údajů disponoval některým z obecných právních titulů i právním titulem pro zpracování zvláštních kategorií údajů a subjekt údajů udělil správci souhlas se zpracování svých osobních údajů.
• Systémy umožňující identifikaci osob na základě technologie rozpoznání otisku prstů (např. docházkové systémy / docházkové terminály) vybírají z poskytnutého otisku prstu některé rysy specifické pro dané jednotlivce (tzv. markanty). Systém vytváří biometrickou šablonu na základě zjištěných markant, kterou před uložením v systému zpracuje matematickou operací do číselného vyjádření, tzv. hash kódu. Takto vytvořený hash kód (tj. otisk prstu převedený do číselné podoby) je následně uložen v řídící jednotce systému, zatímco obraz otisku prstu a zjištěné markanty jsou ihned po vytvoření hash kódu mazány.
• V souvislosti s účinností Nařízení GDPR, které mimo jiné zohledňuje vývoj technologií v oblasti zpracovávání osobních údajů, došlo ke změně v posuzování šablon biometrických údajů (hash), a jejich zpracování za účelem identifikace osob. Z pohledu této právní regulace je nutno i využívání systémů pracujících s šablonami (tj. nikoli přímo s biometrickými údaji, ale jejich algoritmickým vyjádřením v podobě hash kód) považovat za zpracování zvláštních kategorií osobních údajů, které vyžadují zvláštní, resp. přísnější systém ochrany. Postup spočívající ve vytvoření a následném využívání hash biometrického údaje lze považovat za jeden z prvků zabezpečení, není však důvodem k vyjmutí ze zvláštních kategorií osobních údajů.
• Dle vyjádření ÚOOÚ by zpracování biometrických údajů za účelem jednoznačné identifikace osob v rámci docházkových systémů mělo být využíváno pouze ve výjimečných situacích, kdy jiné řešení spočívající v prosté evidenci osob není s ohledem na specifické okolnosti dostačující (viz základní zásady zpracování osobních údajů – minimalizace rozsahu zpracovávaných osobních údajů).
• Tedy i v případě, že je otisk prstu uložen ve formě hash kódu, se jedná o zpracování zvláštní kategorie osobních údajů a je nezbytné, aby subjekt údajů udělil správci souhlas se zpracování svých osobních údajů.

Nahlížení do zápisů ze schůze rady obce

Zastupitelé obce mají právo na zápisy ze schůze rady obce pouze nahlížet – viz informace vyplývající z Průvodce pro přípravu měst a obcí na požadavky GDPR a stanoviska SMO ČR:

• Průvodce pro přípravu měst a obcí na požadavky GDPR (MV ČR): Schůze rady obce jsou neveřejné a zápis z její schůze je uložen u obecního úřadu k nahlédnutí členům zastupitelstva obce a nikoliv veřejnosti. Obec je povinna zajistit, aby k osobním údajům v zápisu obsaženém byl umožněn přístup pouze oprávněným osobám anebo v případech zveřejnění osobních údajů osob, jimž byly poskytnuty veřejné prostředky. (https://www.mvcr.cz/gdpr/soubor/gdpr-modelove-situace-uverejnovani-materialu-ze-zastupitelstva.aspx)
• Stanovisko Svazu měst a obcí České republiky: Zasedání rady obce jsou neveřejná a mohou se jich účastnit jen osoby vyjmenované v § 101 odst. 1 zákona o obcích. Zápis ze schůze rady obce musí být uložen u obecního úřadu k nahlédnutí členům zastupitelstva obce. (https://www.smocr.cz/cs/cinnost/gdpr/ministerstva—clanky-stanoviska/a/byt-ci-nebyt-transparentni-aneb-jak-na-zverejnovani-osobnich-udaju-v-zapisech-a-usnesenich-zastupitelstva-a-rady-obce)

Zpracování osobních údajů v souvislosti s pronajímáním obecních bytů

• Při uzavírání smluv o pronajímání obecních bytů bývá často vyžadováno doložení dalších skutečností (vlastnictví jiné nemovitosti, výpis z Insolvenčního rejstříku apod.). Dle vyjádření ÚOOÚ je při uzavření smlouvy o nájmu obecního bytu vhodnější, aby uchazeč sám doložil požadované skutečnosti. Pokud má být i po uzavření smlouvy s nájemcem kontrolováno a ověřováno, zda nájemce nenabyl jiné nemovitosti nebo s ním nebylo zahájeno insolvenční řízení, je třeba, aby byl o způsobu kontroly informován ve smyslu článku 14 odst. 4 Nařízení GDPR. Jako právní důvod lze v takovém případě shledávat plnění úkolu prováděného ve veřejném zájmu (čl. 6 odst. 1 písm. e) respektive i oprávněný zájem obce (čl. 6 odst. 1 písm. f) Nařízení GDPR.
• Rodná čísla lze v souvislosti s pronajímáním obecních bytů využívat jen tehdy, pokud je to nezbytné pro vymáhání soukromoprávních nároků nebo pro předcházení vzniku nesplácených pohledávek, jsou-li přijata konkrétní opatření k ochraně práv a svobod subjektu údajů. Toto ustanovení zákona nelze ustanovení vykládat extenzivně v tom smyslu, že rodné číslo je nezbytné pro uzavření jakékoliv smlouvy uzavírané s fyzickou osobou pro případ, že by neplnila smluvní ujednání. Jestliže je ale obec v souladu s § 4 odst. 2 a § 5 odst. 3 zákona o evidenci obyvatel a rodných číslech uživatelem rodného čísla zpracovávaného podle § 3 odst. 3 písm. e) tohoto zákona, lze rodná čísla za uvedeným účelem využívat, za předpokladu, že jsou o tom uchazeči předem informováni a jsou přijata opatření ustanovením § 13c odst. 1 písm. c) zákona o evidenci obyvatel a rodných číslech stanovená.

Problematika jmenného seznamu žáků třídy zveřejněného na dveřích třídy v budově školy

• Zveřejnění jmenného seznamu žáků třídy na dveřích dané třídy v budově školy lze pouze se souhlasem jednotlivých žáků, resp. (v závislosti na věku konkrétního žáka) jejich zákonných zástupců. Zákonný důvod zpracování těchto osobních údajů neexistuje, bez souhlasu žáka / zákonného zástupce žáka se škola vystavujete riziku sankce za neoprávněné zpracování osobních údajů.
• Jmenný seznam žáků lze po určitou krátkou dobu tolerovat v případě informace o rozdělení žáků do prvních tříd na začátku školního roku – jedná se o oprávněný zájem správce (hladký průběh prvních dní a přiřazení žáků do tříd). I v tomto případě je ale vhodnější užívat pseudonymizované informace, např. čísla žáků přidělená v rámci zápisu.

Hry / aplikace umožňující lépe pochopit základní principy ochrany osobních údajů

Pro rozšíření povědomí o principech ochrany osobních údajů a využívání služeb informační společnosti je vhodné začlenit problematiku i do vzdělávacího systému. V současné době existuje již několik her / aplikací, které umožňují lépe pochopit základní principy ochrany osobních údajů:

• Interland: Hra od Googlu přináší čtyři napínavá dobrodružství se spoustou nástrah i legrace. Kromě získání úrovně “internetový Úžasňák” se lze naučit jak si poradit s hackery, phishery, kyberšikanou nebo sdílením informací na sociálních sítích. (https://www.e-bezpeci.cz/index.php/tiskove-zpravy/1914-nova-webova-hra-interland-od-googlu-uci-deti-bezpecne-pouzivat-internet)
• Digitální stopa: Projekt NÚKIB názorně ukazuje, jak málo stačí, aby se člověk stal obětí kyberšikany, a poskytuje návod, jak tento problém řešit. (https://moodle.nic.cz/mod/page/view.php?id=345)
• Bad News: Mezinárodně rozšířená hra, vytvořená nevládní organizací think-tank Evropské hodnoty, o dezinformacích a jejich nebezpečí. Hra zábavnou formou provádí základními manipulačními technikami. (https://www.getbadnews.cz/droggame_book/junior/#intro)
• Než řekneš ano: Poučná on-line hra vytvořená spotřebitelskou organizací BEUC a dTest. Ve hře pomůžete Sáře a Kristiánovi naplánovat včas svatbu a vyhnout se přitom některým internetovým nástrahám. Narazíte na bezpečnost přístupových hesel, nakupování v e-shopu, komunikaci na sociálních sítích, ale třeba také rychlé odstranění poškozujícího online obsahu, odhalení podvodného e-mailu či obranu proti kyberzločinu. (https://www.nezreknesano.cz/)
• Cyber Chronix: Aplikace z dílny Evropské komise, v rámci které pomůžete hrdinům ze vzdálené planety překonávat překážky spojené s ochranou osobních dat. (https://ec.europa.eu/jrc/en/news/understanding-gdpr-new-game-jrc)
• Webowou diwočinou: Hra vytvořená Radou Evropy v rámci programu „Budujeme Evropu pro děti a s dětmi“. V rámci hry si vytvoříte vlastní postavičku a projdete se úžasnou zemí fantazie, a to včetně nástrah a úkolů ohledně ochrany vašich osobních údajů. (https://www.uoou.cz/webowou-diwocinou/ds-2433/archiv=0)

ÚOOÚ vytvořil na svých webových stránkách rubriku „Pro mládež“

• ÚOOÚ vytvořil na svých webových stránkách rubriku „Pro mládež“, která obsahuje cenné informace k ochraně osobních údajů v hravé a zajímavé formě. https://www.uoou.cz/pro-mladez/ds-2331/p1=2331
• Rubrika „Pro mládež“ obsahuje záložky Aktuality, Hry, Bezpečně na internetu, Kovyho mediální ring, Digi-obránci, Soutěže, Ultimátní příručka pro soukromí na Androidu, O vašich právech, Jak se chovat online, Archiv.

Šíření obchodních sdělení elektronickými prostředky

• Elektronická obchodní sdělení musí být šířena v rámci zákonem stanovených pravidel, např. dle zákona o některých službách informační společnosti, zákona o regulaci reklamy, Nařízení GDPR (při šíření obchodních sdělení dochází ke zpracování osobních údajů).
• Bez nutnosti zajištění souhlasu je možné obchodní sdělení zasílat pouze zákazníkům, kteří si u daného obchodníka zakoupili zboží / službu. Vždy se ale musí jednat o sdělení relevantní k předmětu jejich nákupu. Pro ostatní kategorie osob je vyžadován souhlas, který musí být evidován, uschován a adresáti musí mít možnost jej vzít zpět.
• E-mail s obchodním sdělením musí být označen jako obchodní sdělení nebo pojmem s obdobným významem (např. newsletter, reklama apod.), musí obsahovat označení osoby, která sdělení odesílá, i osoby, za kterou je sdělení odesíláno.
• Za šíření nevyžádaných obchodních sdělení jsou udělovány pokuty, např. Městský soud v Praze udělil pokutu ve výši 80 tisíc korun. Podle rozsudku vydaného Městským soudem v Praze v dubnu 2020 je za šíření nevyžádaných obchodních sdělení zodpovědný jak rozesílatel, tak i objednavatel (v kontextu zasílání e-mailových obchodních sdělení podle zákona o službách informační společnosti).
• Za šíření obchodních sdělení elektronickými prostředky nelze tedy považovat pouze osobu odesílatele, nýbrž i osobu, která jejich odeslání obchodních sdělení iniciovala, dala k němu příkaz či z něj také profitovala. V tomto případě se totiž aplikuje objektivní odpovědnost za zasílání, kterou nelze smluvně přenést.

Zneužití dat uživatelů antivirové ochrany Avast

• Česká antivirová společnost Avast Software s.r.o. obchodovala s daty, která získává o svých klientech. Americké magazíny Vice a PCMag jako první popsaly, jak Avast prodává data o vyhledávání stovek milionů svých klientů po celém světě globálním společnostem jako Google, Microsoft, Pepsi nebo Tripadvisor.
• Společnost Avast Software s.r.o. měla prostřednictvím své dceřiné společnosti Jumpshot prodávat data o aktivitách uživatelů antivirové ochrany. Jumpshot nabízela klientům různé balíky dat vč. takzvaného „All Clicks Feed“, který do detailu sleduje chování uživatele, jeho kliky, pohyb mezi weby i na jednotlivých stránkách. Někteří odběratelé podle získaných smluv platili za data částky v milionech dolarů.
• Na základě zveřejněných informací popisujících praktiky společnosti Avast Software s.r.o. zahájil ÚOOÚ prošetření případu. Výrobce antivirů Avast – dle vyjádření vedení společnosti − přestane prodávat veškerá data, která získal od svých zákazníků, nabízet nebude ani anonymizované údaje a zavře dceřinou společnost Jumpshot sídlící v San Franciscu.

Zneužití dat z Katastrálního úřadu firmou Nexter Company

• Společnost Nexter Company na svém webu Atlas cen zveřejnila data o 70 tisících nemovitostí prodaných v loňském roce, včetně ceny, za kterou byly prodány, kontaktů na majitele a fotek z původních inzerátů. Všechny tyto údaje, jež firma získala od Katastrálního úřadu a zaplatila za ně celkem 380 250 Kč, byly na webových stránkách přístupné bezplatně a bez nutnosti registrace. Společnost informace získané z Katastru nemovitostí tedy nevyužila pouze pro vlastní účely, ale šířila je i dál.
• Podle ÚOOÚ jde o největší zneužití cenových údajů z Katastru nemovitostí. Společnost se brání, že zveřejnění informací nebylo v rozporu s katastrálním zákonem, nicméně ze své webové stránky nejdříve odstranila fotky nemovitostí a nyní celý web reviduje.

Pochybení při zpracování osobních údajů politickými stranami

• V rámci kontrol provedených v roce 2019 ÚOOÚ prověřoval dvě politické strany – SPD a TOP 09, a to kvůli zpracování osobních dat jejich členů, příznivců a dárců.
• Porušení pravidel odhalil ÚOOÚ především u hnutí SPD. Hnutí zpracovávalo osobní údaje o svých dárcích v rozsahu, který nebyl nezbytně nutný (nadbytečně o dva roky prodloužilo lhůtu, v níž se uchovávaly data dárců). Hnutí mělo podle výsledků kontroly ÚOOÚ také nepřiměřeně dlouhou lhůtu pro vymazání osobních údajů nepřijatých zájemců o členství.
• Strana TOP 09 porušila ustanovení GDPR o vedení záznamů zpracování osobních údajů. Záznamy neobsahovaly všechny požadované náležitosti, např. zájemce o zasílání newsletteru strany. Strana toto pochybění neprodleně napravila.

Telefony Xiaomi odesílají data o svých uživatelích do Číny

• Rumunský softwarový inženýr Gabriel Cîrlig při testování telefonů čínské značky Xiaomi zjistil, že tato zařízení sledují aktivitu svých uživatelů a data následně odesílají na čínský server, který vlastní společnost Alibaba. Firma Xiaomi nepopírá, že data sbírá a odesílá, ale tvrdí, že se tomu děje pouze v anonymizované podobě. Toto tvrzení Gabriel Cîrlig odmítá, podle něj je možné informace na serveru snadno propojit s konkrétními osobami. V reakci na toto zjištění firma Xiaomi slíbila, že do příští aktualizace svého webového prohlížeče zahrne možnost sběru dat vypnout.
• V České republice používá telefony značky Xiaomi např. Úřad vlády, policie a některá zdravotnická zařízení, pro nadcházející sčítání lidu je nakoupil i Český statistický úřad.
• Kromě mobilních telefonů Xiaomi představují nebezpečí i softwarové produkty od této firmy, např. webové prohlížeče Mi Browser Pro a Mint Browser.

Příklady porušení ochrany osobních údajů vyplývající z kontrol provedených ÚOOÚ v 1. pololetí roku 2020

Níže je uvedeno shrnutí stěžejních chyb v oblasti ochrany osobních údajů identifikovaných v rámci kontrol provedených ÚOOÚ v 1. pololetí roku 2020:

• Veřejná vysoká škola vyžadovala při přihlašování uchazečů ke studiu nadbytečné údaje, bez jejichž vyplnění nebylo možné elektronickou přihlášku do přijímacího řízení na vysokou školu odeslat. Pro přihlášení do informačního systému, v němž byla elektronická přihláška ke studiu vyplňována a podávána, bylo nezákonně vyžadováno rodné číslo v kombinaci s iniciálami jména a příjmení uchazeče.
• V rámci exekutorského úřadu bylo zjištěno pochybení zaměstnance při doručování zprávy do datové schránky jiné osoby. Zaměstnanci, který porušil správcem stanovený pracovní postup, byla chyba vytknuta a byla přijata příslušná opatření k eliminaci selhání lidského faktoru.
• ÚOOÚ udělil několika obchodním společnostem pořádkovou pokutu (ve výši 25 – 300 tis. Kč) za neposkytnutí součinnosti při realizaci kontroly dodržování ochrany osobních údajů (kontroly provedené z důvodu podezření na neoprávněné předávání osobních údajů v rámci nákupu na e-shopu, nezákonného rozesílání nevyžádaných obchodních sdělení atd.).
• Organizace měla nesprávně nastaven postup pro udělení souhlasu s cookies na svých webových stránkách − souhlas se zpracováním osobních údajů nebyl právoplatně udělen, protože ukládání informací v koncovém zařízení uživatele internetových stránek prostřednictvím souborů cookies bylo povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí by musel uživatel k odmítnutí svého souhlasu zrušit.
• Společnost zaměřená na půjčování sportovního vybavení nezákonně kopírovala občanské průkazy klientů − společnost neměla řádně udělený souhlas pro zpracování osobních údajů a klienti nebyli dostatečně informováni, proč jsou jejich doklady kopírovány a jak bude s jejich osobními údaji nakládáno.
• Společnost pochybila při formulaci souhlasu zaměstnanců se zpracováním osobních a biometrických údajů za účelem provozování docházkového systému s technologií umožňující rozpoznání otisků prstů, a sledování zaměstnanců prostřednictvím kamerového systému, při práci s počítačem a pomocí GPS umístěných ve služebních vozech. Udělený souhlas nesplňoval zákonné požadavky, neboť informace a poučení subjektu údajů o účelu, způsobech a době zpracování biometrického údaje (otisku prstu) nebyly zcela jednoznačně formulovány / nebyly transparentní.
• Obchodní společnost nezákonně rozesílala nevyžádaná obchodní sdělení elektronickými prostředky, která obsahovala nabídky zboží a služeb různých internetových obchodů a rovněž vybízela k návštěvě internetových stránek určených k přímé podpoře nabízeného zboží a služeb.
• Společnost nezákonně zpracovávala osobní údaje za účelem uskutečňování nevyžádaných telefonických marketingových hovorů. Společnost pochybila i při zpracování osobních údajů klientů, kteří projevili souhlas se zpracováním pouze ústně – telefonicky, protože projevený souhlas nebyl nikterak zaznamenán či archivován.

Pokuta za uchovávání nadbytečných dokumentů / kopií ve spisech zaměstnanců

• ÚOOÚ udělil organizaci pokutu za uchovávání nadbytečných kopií ve spisech zaměstnanců. Problém uchovávání nadbytečných dokumentů (především kopie různých dokladů) o zaměstnancích se bohužel stále týká řady zaměstnavatelů. Při provedené kontrole ÚOOÚ zpochybnil uchovávání dokumentů, u kterých je jejich uchovávání skutečně neobhajitelné (kopie občanských průkazů, cestovních pasů apod.), uchovávání originálů výpisů z rejstříku trestů, kopie kartiček pojištěnce nebo bankovních kartiček s číslem účtu, ale i uchovávání daňových dokumentů (rodné listy, oddací listy, rozsudky o rozvodu manželství apod.) s poznámkou, že tyto doklady obsahují i řadu údajů třetích osob (dětí a manželů zaměstnanců).
• Přestože realita je taková, že veškeré ostatní kontrolní úřady (kromě ÚOOÚ) mají tendenci vyžadovat jakékoli kopie dokumentů, nezbytné pro kontrolu to není a z pohledu ÚOOÚ stačí, pokud zaměstnavatel do dokladu nahlédne a učiní o tom záznam s upřesněním, ze kterého dokladu byla předmětná skutečnost dovozena.

Problematika poskytování informací o klientech sociální práce

• Obecnou povinnost mlčenlivosti úředníka územního samosprávného celku definuje zákon č. 312/2002 Sb., o úřednících územních samosprávných celků a o změně některých zákonů. Podle tohoto zákona je jednou z povinností úředníka, jímž je i sociální pracovník obecního úřadu, v rozsahu stanoveném zvláštními právními předpisy zachovávat mlčenlivost o skutečnostech, které se dozvěděl při výkonu zaměstnání a v souvislosti s ním. To neplatí, pokud byl povinnosti mlčenlivosti zproštěn, přičemž povinnosti zachovávat mlčenlivost může úředníka zprostit vedoucí obecního úřadu, jím pověřený vedoucí úředník nebo příslušný správní úřad podle zvláštních právních předpisů, nestanoví-li zvláštní právní předpis jinak.
• Zákon č. 108/2006 Sb., o sociálních službách a zákon č. 111/2006 Sb., o pomoci v hmotné nouzi definují úkoly sociálních pracovníků obecních úřadů při realizaci činností sociální práce a ukládají povinnost mlčenlivosti sociálnímu pracovníkovi obecního úřadu. Povinnost mlčenlivosti sociálního pracovníka obecního úřadu je tedy „zpřísněna“ zákonem o sociálních službách a zákonem o pomoci v hmotné nouzi – podle těchto speciálních právních předpisů může totiž povinnosti mlčenlivosti zprostit sociálního pracovníka pouze ten, v jehož zájmu tuto povinnost mají, tj. klient sociální práce.
• Dle aktuálního výkladu výše zmíněných zákonů a vzhledem k tomu, že výkon činností sociální práce je výkonem přenesené působnosti, není možné informace o situaci konkrétního klienta sociální práce sdělit v žádném případě starostovi, žádnému jinému členu zastupitelstva obce ani jeho výboru či komisi rady obce. Ke konkrétním informacím o klientech sociálního pracovníka rovněž nemůže mít přístup tajemník obecního úřadu či vedoucí odboru sociálního, pokud současně nevykonávají činnosti sociální práce.

Absence zákonné povinnosti mlčenlivosti v zákoně o zpracování osobních údajů

• Oproti předchozí právní úpravě není v zákoně č. 110/2019 Sb., o zpracování osobních údajů, ukotvena zákonná povinnost mlčenlivosti všech zaměstnanců správce osobních údajů či jeho smluvních partnerů.
• Povinnost mlčenlivosti je zakotvena v aktuálně platném zákoně o zpracování osobních údajů pouze v hlavě IV (Ochrana osobních údajů při zajišťování obranných a bezpečnostních zájmů České republiky) § 47, která reguluje ochranu osobních údajů při zajišťování obranných a bezpečnostních zájmů České republiky. Předmětná povinnost se tak vztahuje, jak zmiňuje i důvodová zpráva k zákonu č. 110/2019 Sb., na zpracování prováděné zpravodajskými službami, tj. na zpracování zcela mimo působnost Nařízení GDPR.
• Aktuálně platné znění zákona č. 110/2019 Sb. tedy vůbec neřeší zákonnou povinnost mlčenlivosti o osobních údajích pro zaměstnance či smluvní partnery správce či zpracovatele osobních údajů (neřeší zákonnou povinnost mlčenlivosti při zpracování osobních údajů u jiných činností jako např. při zpracování osobních údajů orgány veřejné správy nebo podnikatelskými subjekty, na která dopadá Nařízení GDPR). O vypuštění této povinnosti ve vztahu k jiným zpracováním než zpravodajskými službami mlčí i důvodová zpráva k zákonu č. 110/2019 Sb., a není tak zcela zřejmé, zda se jedná o úmysl či spíše opomenutí zákonodárce.
• Doporučujeme proto zaměstnavatelům zakotvit takovou povinnost do pracovních smluv či dodatků k již uzavřeným pracovním smlouvám.

Udělení souhlasu s cookies na webových stránkách

• Každá webová stránka si může ukládat informace o svém návštěvníkovi prostřednictvím cookies, které pat­ří mezi tzv. síťové identifikátory řešené v rámci GDPR.
• Z rozsudku Soudního dvora EU ze dne 1.10.2019 (C‑673/17) ale vyplývá, že použití předem zaškrtnutých políček pro poskytnutí souhlasu se zpracováním osobních údajů je nevhodné jak obecně, tak vzhledem k povolení ukládání cookies zvlášť, tj. souhlas se zpracováním osobních údajů není právoplatně udělen, pokud jsou ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele internetových stránek prostřednictvím souborů cookies povoleny předem zaškrtnutým políčkem, jehož zaškrtnutí musí tento uživatel k odmítnutí svého souhlasu zrušit.
• Subjekt osobních údajů by měl vždy obdržet mj. též informaci o době existence cookies a o tom, kdo k nim může získat přístup.

Zveřejňování dokumentů třetích stran na úřední desce obce

• Při vyvěšování dokumentů třetích stran (orgánů veřejné správy nebo orgánů veřejné moci) obecní úřady nezačerňují osobní údaje uvedené na dokumentu, protože jde o dokument třetí strany a zaměstnanec obecního úřadu není kompetentní k tomu, aby sám posoudil nadbytečnost zpracování osobních údajů. Tj. obecní úřad obsah dané písemnosti orgánu veřejné správy či orgánu veřejné moci nezkoumá, nemůže ji měnit ani do ní jakkoliv zasahovat.
• U dokumentů zveřejňovaných na úřední desce, které nepochází od jiných orgánů veřejné správy nebo orgánů veřejné moci, je třeba při jejich zveřejnění na úřední desce dbát na to, aby rozsah zveřejňovaných osobních údajů byl přiměřený a omezený na nezbytné minimum (zásada minimalizace údajů).

Uvádění rodného čísla při exekuci, v dražební vyhlášce

• Rodné číslo lze – v souladu s § 13c zákona č. 133/2000 Sb., o evidenci obyvatel – využívat, jen jde-li o činnost ministerstev, jiných správních úřadů, orgánů pověřených výkonem státní správy, soudů, vyplývající z jejich zákonem stanovené působnosti, nebo notářů pro potřebu vedení Centrální evidence závětí. Podle § 28 zákona č. 120/2001 Sb., exekuční řád se úkony exekutora při provádění exekuce považují za úkony exekučního soudu, proto je soudní exekutor oprávněn využívat při své činnosti rodná čísla. Nejvyšší správní soud v rozsudku (sp. zn. 1 As 36/2008-77) judikoval, že účelem zpracování rodného čísla je zjištění co nejrychlejšího a nejefektivnějšího provedení exekuce a smyslem poskytnutí rodného čísla osoby, na jejíž majetek byla prohlášena exekuce, je umožnit vyšetření majetkové situace povinného exekutorem.
• Exekutor tak využívá znalost rodného čísla při podávání žádosti o součinnost dle exekučního zákona, avšak žádné procesně právní předpisy neukládají exekutorovi povinnost označovat osoby ve svých rozhodnutích či jiných listinách rodným číslem. Exekutor tedy nemůže neomezeně nakládat s rodným číslem, ale musí při jeho používání současně respektovat ustanovení zákona č. 110/2019 Sb., o zpracování osobních údajů. To, že účastník může být v návrhu (tj. v úkonu činěném jiným účastníkem) označen rodným číslem, nezakládá soudnímu exekutorovi právní titul k tomu, aby používal rodná čísla neomezeně ve všech listinách, které označení povinného vyžadují.
• Pro dražební vyhlášku je z logiky věci nejpodstatnější otázka předmětu dražby. Kdo je povinným není pro konání dražby z hlediska možného zásahu do práv jakýchkoli osob nijak rozhodující, a tedy není zjevné, proč účastník řízení trvá na identifikaci rodným číslem právě v tomto typu listiny.

Projekt Buď safe online pro školy a děti

• Buď safe online je společný projekt Jiřího Krále a odborníků z Avast Software s.r.o., jehož cílem je naučit děti jak být na internetu v bezpečí. Projekt je vhodný pro žáky 6. až 9 tříd základní školy.
• Na webové stránce https://www.budsafeonline.cz/ jsou zveřejněna videa, on-line kurzy a informace určené pro děti, učitele i rodiče.

Školská zařízení – výuka formou elektronické komunikace

• V případě využívání nástrojů elektronické komunikace v rámci výuku je vhodné informovat subjekty údajů (žáky a zákonné zástupce) o zpracování jejich osobních údajů.
• Vhodnou formou informování subjektu údajů může být např. (podle využívaných technologií): V rámci výuky formou elektronické komunikace naše škola komunikuje několika různými způsoby, a to e-mailem a dále využíváme prostředí Bakaláři, Office 365, G Suite, Google učebnu, MS Teams, Meet, Skype Webex, Zoom, … V rámci aplikace Meet, MS Teams, Webex, Zoom, … mohou být některé vyučovací hodiny nahrávány a uloženy pro studenty, kteří se nemohou účastnit online výuky. O této skutečnosti jsou žáci vždy informováni a ikona nahrávání je zobrazena i na monitoru při online hodině v aplikaci. Při vyučování jsou zpracovávány osobní údaje žáků pouze v rozsahu nutném ke správnému technickému nastavení služby, např. IP adresa počítače. Správcem osobních údajů je společnost Google, Microsoft, Webex, Zoom, … Osobní údaje jsou uloženy na serverech těchto společností a zabezpečeny v souladu s požadavky Nařízení GDPR (více informací zde: doplňte odkaz na stránky poskytovatele služby).

Termokamery u vstupu do škol

• V případě pořízení a umístění termokamer u vstupu do budovy školského zařízení se jedná o zpracování zvláštních kategorií osobních údajů, navíc údajů o dětech, proto je tedy nezbytné zajistit velmi dobrou ochranu / zabezpečení sbíraných dat. Zpracování těchto dat je zákonné – viz čl. 9, odst. 2, písm. i) Nařízení GDPR: zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění přísných norem kvality a bezpečnosti zdravotní péče a léčivých přípravků nebo zdravotnických prostředků, na základě práva Unie nebo členského státu, které stanoví odpovídající a zvláštní opatření pro zajištění práv a svobod subjektu údajů, zejména služebního tajemství.
• Prostřednictvím termokamer lze tedy měřit teplotu osob vstupujících do budovy školy a ukládat tyto záznamy, je však nutné:
  • Všechny subjekty údajů (žáky, zákonné zástupce, zaměstnance školy, návštěvníky školy) o tomto informovat (např. na webových stránkách, v IS Bakaláři, na ceduli před vstupem do budovy atd.).
  • Kamerové sledování nesmí nadměrně zasahovat do soukromí (šatny, toalety, sprchy, ale ani třídy atd.).
  • Stanovit lhůtu pro uchovávání záznamů z pohledu ochrany osobních údajů a následně provést výmaz záznamu (i ze záloh).
  • Je třeba řádně zajistit ochranu snímacích zařízení, přenosových cest a datových nosičů, na nichž jsou uloženy záznamy, před neoprávněným nebo nahodilým přístupem, změnou, zničením či ztrátou nebo jiným neoprávněným zpracováním. Interní postupy a pravidla pro provoz kamerového systému a nakládání se záznamy je vhodné upravit písemně, včetně jednoznačné definice přístupových oprávnění (kdo za jakých podmínek je může vidět).
  • O provozu kamerového systému musí být veden Záznam o činnosti zpracování.

Pokuta pro MV ČR za uchovávání DNA profilů

• Ministerstvo vnitra ČR neuspělo s kasační stížností proti pokutě 240.000,- Kč od ÚOOÚ. Nejvyšší správní soud potvrdil loňské stanovisko Městského soudu v Praze. Důvodem pokuty bylo nadbytečné uchovávání DNA profilů lidí, kteří nebyli pravomocně odsouzeni, příp. se dopustili činů s nízkou závažností a společenskou škodlivostí, třeba maření výkonu úředního rozhodnutí.
• Podle ÚOOÚ nelze úmyslné spáchání trestného činu akceptovat jako výhradní kritérium pro další zpracování citlivých údajů. Postačí jen pro sběr dat, při jejich dalším uchování je ale nutné zohlednit i kriminální minulost a další okolnosti.

Kybernetický útok na brněnskou fakultní nemocnici v Bohunicích a dětskou nemocnici a porodnici na Obilním trhu

• V první polovině března 2020 byly brněnská fakultní nemocnice v Bohunicích a dětská nemocnice a porodnice na Obilním trhu napadeny virem, který ochromil jejich počítačové systémy, omezil fungování nemocnice, omezil přístup k databázím a webovým stránkám nemocnice, došlo i k výpadku telefonních linek. Případ vy­šetřují odborníci z Národního úřadu pro kybernetickou a informační bezpečnost.

Transparentní účet a ochrana osobních údajů

• Transparentní účet − bankovní účet, do kterého může nahlížet veřejnost − obsahuje údaje (název účtu, zpráva pro příjemce, výše, datum a typ platby), na jejichž základě lze ztotožnit konkrétní osobu.
• Majitel transparentního účtu je povinen dostatečně informovat o povaze tohoto účtu osoby, které zasílají finanční plnění na tento účet, tj. musí být zřejmé, že se nejedná o běžný účet, u kterého se příchozí a odchozí platby spolu s dalšími informacemi nezveřejňují. Při provedení platby nelze jako variabilní symbol použít rodné číslo, protože rodné číslo je specifický identifikátor, jehož účely použití stanoví zákon o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon č. 133/2000 Sb.). Jako variabilní symbol je tedy nezbytné volit jinou číselnou kombinaci, která neobsahuje další informace o dané osobě.
• Vzhledem k veřejnosti transparentního účtu nelze tento typ bankovního účtu používat např. k výplatě mezd zaměstnancům. Případné související převody peněz mezi běžným a transparentním účtem je třeba provádět souhrnně (např. výplaty, poplatky, pokuty).
• Transparentní účet kraje / obce / městské části
  • Transparentní účet nelze doporučit využívat pro platby, které jsou přímo spojeny s výkonem veřejné moci ve vztahu k fyzickým osobám, tj. transparentní účet by neměl sloužit pro individuální příjem správních poplatků, uložených pokut, výplatu sociálních dávek, svědečného, znalečného atd. Z transparentního účtu nebo na transparentní účet lze především provádět takové platby, které by kraj / obec / městská část byly povinny poskytnout jako povinný subjekt podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím.
• Transparentní účet nadace
  • Nadace zveřejňuje v souladu s občanským zákoníkem (zákon č. 89/2012 Sb.) ve své výroční zprávě přehled o osobách, které poskytly nadační dar nebo jim byl poskytnut příspěvek v hodnotách vyšších než 10.000,- Kč, tedy pokud dárce a příjemce nepožádali o zachování své anonymity (přičemž anonymitu lze u těchto příspěvků zachovat jen v některých zvláštních situacích).

Shrnutí činností ÚOOÚ za rok 2019

• Úřad pro ochranu osobních údajů ve své Výroční zprávě za rok 2019 uvádí počty poskytnutých konzultací, řešených dotazů, podnětů a stížností a provedených kontrol.
• ÚOOÚ obdržel v roce 2019 celkem 1 836 dotazů a poskytl 2 667 konzultací přes GDPR telefonní linku.
• ÚOOÚ přijal 2 482 podnětů a stížností směřujících proti postupu správců osobních údajů, z toho bylo 560 vyřízeno upozorněním správce na možné porušení a 145 předáno ke kontrole nebo jinému řízení. Většina podnětů a stížností se týkala zejména zpracování osobních údajů pro marketingové účely, nerespektování práv subjektů údajů ze strany správců (např. práva na přístup k osobním údajům), neplnění nebo nedostatečné plnění správcovy informační povinnosti o zpracování osobních údajů, zpracování osobních údajů s podvodným úmyslem (vymáhání plateb po registraci na webovém portále nebo e-shopu, vymáhání pokut za porušení obchodních podmínek), zveřejnění adresních údajů žadatelů při zveřejnění poskytnuté informace podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím, zveřejnění neanonymizovaných záznamů (případně zápisů) z jednání Zastupitelstva obce nebo Rady města na internetu, provozování kamer atd.
• ÚOOÚ přijal 416 ohlášení porušení zabezpečení osobních údajů ve smyslu čl. 33 Nařízení GDPR – nejvíce ohlášení se týkalo kybernetického incidentu, který zasáhl i zpracovávané osobní údaje (zejména se jednalo o napadení škodlivým programem, tzv. ransomwarem), dálo se jednalo o jednorázové nedbalostní pochybení zaměstnanců správců spočívající např. v mylném zaslání osobních údajů jiným než zamýšleným adresátům, zaslání e-mailové komunikace adresátům v „neskrytých kopiích“, ztrátě zařízení obsahujícím osobní údaje, ztrátě nebo odcizení osobních údajů v listinné podobě.
• ÚOOÚ zahájil 63 kontrol a ukončil jich 75 (z toho 32 kontrol bylo z předchozích let) − kontroly byly úřadem zahájeny jak z poznatků ze stížnostní agendy, tak na základě vypracovaného kontrolního plánu pro rok 2019. Bylo uloženo 19 opatření k nápravě a 4 pokuty za neposkytnutí součinnosti v kontrole.
• ÚOOÚ obdržel 2 007 podnětů k problematice obchodních sdělení podle zákona č. 480/2004 Sb., o některých službách informační společnosti. Úřad zahájil 5 kontrol a ukončil jich 17 (z toho 13 kontrol bylo z předchozích let). Bez zahájení kontroly upozorněním subjektu na možné porušení povinností bylo vyřízeno 390 podnětů. Úřad vedl s 28 subjekty správní řízení, jehož výsledkem bylo uložení sankce.

Informace k minimalizaci hrozeb a rizik při práci s výpočetní technikou

• Úřad pro ochranu osobních údajů (ÚOOÚ) zveřejnil na svých webových stránkách základní pravidla a doporučení pro ochranu osobních údajů a minimalizaci hrozeb a rizik při práci s výpočetní technikou, v mobilní komunikaci či na sítích při práci z domova. Doporučení je z velké části určeno pro zaměstnance, přičemž v závěru obsahuje několik rad také pro zaměstnavatele.
• Doporučení k ochraně domova proti hackerům a upozornění na rizika online konferenčních služeb vydalo i Národní centrum kybernetické bezpečnosti (NCKB): https://www.govcert.cz/cs/informacni-servis/doporuceni/2739-ochrante-svuj-domov-proti-hackerum/ a https://www.govcert.cz/cs/informacni-servis/hrozby/2745-upozorneni-na-rizika-online-konferencnich-sluzeb/.

Zpracování zvláštní kategorie osobních údajů pří šíření nakažlivé nemoci

• V současné mimořádné situaci při šíření koronaviru, s přihlédnutím ke všem mimořádným opatřením vlády a jiných ústředních orgánů České republiky, dochází ve většině případů ke zpracování zvláštní kategorie osobních údajů, které je nutné chránit nad obecný rámec. Jedná se zejména o údaje o zdravotním stavu, včetně onemocnění nakažlivou chorobou (v tomto případě nemocí COVID-19). Zpracování těchto osobních údajů je založené na právních předpisech v oblasti veřejného zdraví za účelem ochrany před vážnými zdravotními hrozbami.
• Tato ochrana je právními předpisy uložena orgánům ochrany veřejného zdraví, kterými jsou typicky krajské hygienické stanice, Ministerstvo zdravotnictví ČR, Ministerstvo vnitra ČR a Ministerstvo obrany ČR. Tyto orgány ochrany veřejného zdraví jsou ke zpracování osobních údajů oprávněny v rozsahu a za účelem stanoveným zákonem č. 258/2000 Sb., o ochraně veřejného zdraví a o změně některých souvisejících zákonů, ve znění pozdějších předpisů.
• Zákon o ochraně veřejného zdraví umožňuje příslušným orgánům České republiky přijímat opatření k tomu, aby se zabránilo šíření nakažlivé nemoci – takovými oprávněními mohou být např. i sběr dat a informací, nebo informování obyvatel České republiky prostřednictvím mobilních komunikačních sítí ve spolupráci s operátory těchto sítí.
• Stanovenými opatřeními jsou povinny se řídit veřejné i soukromé subjekty, tj. veřejné i soukromé subjekty musí plně dodržovat veškeré platné předpisy včetně aktuálních mimořádných opatření vlády ČR a dalších ústředních orgánů, a pouze v takto stanovených mezích případně i zpracovávat / předávat osobní údaje.
• Osobní údaje osob, které byly dle výše uvedeného titulu platně získány v době šíření nakažlivé nemoci, nelze v budoucnu použít za jiným účelem, aniž by tento účel byl podložený jiným platným právním titulem (kontaktní údaje osob a jejich blízkých získané pro účely mimořádných opatření v době šíření nakažlivé nemoci nelze automaticky zařadit do obecných databází pro zasílání nezbytně nutných sdělení v současnosti či obchodních sdělení v budoucnosti).

Anonymita sdělování informací o pozitivním výsledku testování na COVID-19

• Dle zákona o ochraně veřejného zdraví a o změně některých souvisejících zákonů, ve znění pozdějších předpisů (zákon č. 258/2000 Sb.) jsou k získávání a zpracování osobních údajů v souvislosti s šířením nakažlivé nemoci oprávněny orgány ochrany veřejného zdraví, tj. takové zpracování osobních údajů může probíhat pouze na základě jejich pokynů.
• S ohledem na ochranu osobních údajů by se veřejné orgány měly snažit zpracovávat osobní údaje pro sledování, zvládání a tlumení šíření nakažlivé nemoci anonymizovaným způsobem, tj. zpracovávat údaje agregované tak, aby nebylo možno jednotlivce zpětně identifikovat. Pravidla ochrany osobních údajů se totiž nevztahují na řádně anonymizovaná data.
• Anonymita sdělování informací o pozitivním výsledku testování na COVID-19 je považována za vysoce žádoucí a důsledně na ni dbají i státní orgány ČR. Podmínky pro její zachování nejsou však na základě výzev některých subjektů (např. výboru společenství vlastníků bytů) vytvořeny, a proto státní orgány zveřejňují pouze anonymizované údaje.

Elektronicky vedená jednání z pohledu GDPR

• V případě nutnosti umožnit jednání se zaměstnanci, volenými orgány nebo dalšími subjekty je z pohledu GDPR bezpečné využít nejrůznější nástroje pro videokonference. Patří mezi ně např. nástroje Webex, Zoom, Microsoft Teams a další. Všechny tyto messengery mají v rámci přenosu šifrování dat, tedy komunikace je zabezpečená i z pohledu GDPR.
• Z pohledu ochrany osobních údajů je však potřeba věnovat pozornost rozesílání podkladů pro jednání – je možné rozesílat podklady pouze v rámci vlastní domény, nebo zabezpečené ve formátu *.zip a doplněné heslem, zaslaným jiným kanálem (např. SMS).
• Zároveň je důležité zohlednit jaké údaje jsou komu poskytovány nebo přímo zveřejňovány – jedná se především o citlivé údaje, kam patří i zdravotní stav (např. nákaza nakažlivou nemocí).

Stanovisko Evropského sboru pro ochranu osobních údajů ke zpracování osobních údajů v souvislosti s propuknutím nákazy COVID-19

• Evropský sbor pro ochranu osobních údajů vydal v březnu 2020 stanovisko ke zpracování osobních údajů v souvislosti s propuknutím nákazy COVID-19: monitorování výskytu a šíření koronavirové nákazy za pomoci moderních technologií je v zájmu lidstva. Ve vydaném stanovisku je řešena:
  • Zákonnost zpracování – obecné nařízení umožňuje příslušným orgánům veřejného zdraví a zaměstnavatelům zpracovat osobní údaje v souvislosti s epidemií, a to v souladu s národním právem a za podmínek v něm stanovených.
  • Klíčové zásady zpracování osobních údajů – osobní údaje nezbytné pro dosažení sledovaných cílů by měly být zpracovány pro konkrétní a výslovně stanovené účely.
  • Užití mobilních dat o poloze – jsou-li zavedena opatření dovolující zpracovávat údaje o poloze v neanonymizované podobě, je členský stát povinen uplatnit odpovídající záruky, jakým je poskytnutí práva nápravy soudní cestou uživatelům služeb elektronických komunikací.
  • Oblast zaměstnávání – zaměstnavatel by měl požadovat zdravotní informace jen v rozsahu povoleném národním právem.
• Evropský sbor pro ochranu osobních údajů také ale zdůrazňuje, že i v této mimořádné době musí správci a zpracovatelé zajistit ochranu osobních dat subjektů údajů, tj. musí být všestranně zohledněny záruky zákonného zpracování osobních údajů a ve všech případech by mělo být pamatováno na skutečnost, že jakékoliv opatření v dané souvislosti musí respektovat obecné zákonné zásady a nesmí být nevratné. „Stav nouze je okolnost, která může legitimizovat omezení svobod ovšem jen za předpokladu, že tyto restrikce budou úměrné a omezené jen na dobu nouze.“
• Úřad pro ochranu osobních údajů na svých webových stránkách zveřejnil vlastní (neoficiální) překlad stanoviska Evropského sboru pro ochranu osobních údajů ke zpracování osobních údajů v souvislosti s propuknutím nákazy COVID-19: https://www.uoou.cz/vismo/dokumenty2.asp?id_org=200144&id=40769.

Často kladené otázky k ochraně osobních údajů v rámci opatření proti šíření koronaviru

• Úřad pro ochranu osobních údajů zveřejnil na svých webových stránkách často kladené otázky ke zpracování osobních údajů v rámci opatření proti šíření koronaviru: https://www.uoou.cz/ke-zpracovani-osobnich-udaju-v-ramci-opatreni-proti-sireni-koronaviru/ds-6134/archiv=1&p1=2611.

Nová působnost ÚOOÚ – právo na informace

• Od ledna 2020 jsou účinná některá ustanovení zákona č. 111/2019 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. Tento zákon novelizoval i zákon č. 106/1999 Sb., o svobodném přístupu k informacím (konkrétně se jedná o ustanovení § 16, § 16a, § 16b a § 20 zákona).
• Ustanovení zákona s odloženou účinností upravují novou působnost ÚOOÚ pro oblast práva na informace. Jedná se o následující činnosti / oprávnění:
  • Přezkumné řízení u rozhodnutí nadřízeného orgánu (§ 16b odst. 1 a odst. 2 zákona č. 106/1999 Sb.) − ÚOOÚ je oprávněn přezkoumat rozhodnutí odvolacího orgánu ve věci žádosti o informace (rozhodnutí o odvolání, rozhodnutí o rozkladu). Při přezkumném řízení ÚOOÚ postupuje s odkazem na § 20 odst. 4 zákona č. 106/1999 Sb. a dle zákona č. 500/2004 Sb. Přezkumné řízení tedy již není oprávněn vést, ani na základě podnětu, nadřízený orgán, jehož rozhodnutí má být přezkoumáno.
  • Opatření proti nečinnosti nadřízeného orgánu (§ 16b odst. 3 zákona č. 106/1999 Sb.) − ÚOOÚ je oprávněn, zpravidla na základě podnětu žadatele o informace, posoudit, zda je nadřízený orgán nečinný podle zákona č. 106/1999 Sb. a případně rozhodnout o opatření proti jeho nečinnosti. V tomto případě postupuje ÚOOÚ s odkazem na § 20 odst. 4 zákona č. 106/1999 Sb. a dle zákona č. 500/2004 Sb.
  • Nadřízený orgán některých povinných subjektů (§ 20 odst. 5 zákona č. 106/1999 Sb.) − ÚOOÚ je odvolacím orgánem pro povinné subjekty, u kterých dosud rozhodoval o odvolání a stížnostech ten, kdo stojí v čele povinného subjektu (ustanovení § 20 odst. 5 zákona č. 106/1999 Sb.), a to s ohledem na skutečnost, že není možno určit nadřízený orgán dle ustanovení § 178 zákona č. 500/2004 Sb.

Aktualizace Metodického návodu k aplikaci zákona o registru smluv

• Ministerstvo vnitra ČR na svých webových stránkách zveřejnilo aktualizaci metodické pomůcky k anonymizaci zveřejňovaných dokumentů – Metodického návodu k aplikaci zákona o registru smluv, který mimo jiné obsahuje i požadavky na anonymizaci smluv před jejich vložením.
• V současné verzi Metodického návodu k aplikaci zákona o registru smluv oproti předcházející verzi byly doplněny nové skutečnosti, které přinesla novela zákona registru smluv provedená zákonem č. 177/2019 Sb., kterým se mění zákon č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů.
• Nejzásadnější změnou je zrušení požadavku na anonymizaci jména osoby jednající za smluvní stranu: „Jednající / Zastoupená − Případná anonymizace tohoto údaje nemá vliv na platnost a účinnost smlouvy a ani není protiprávním jednáním. Jedná se sice o osobní údaj, ale u veřejnoprávních subjektů lze bez dalšího zpracovat osobní údaje o veřejně činné osobě, funkcionáři nebo zaměstnanci veřejné správy, které vypovídají o jeho veřejné nebo úřední činnosti nebo o jeho funkčním nebo pracovním zařazení. U soukromoprávních subjektů je možné neanonymizovat osobní údaje, které jsou na základě zákona přístupné, jedná se tedy zejména o údaje o osobách, které jsou statutárními orgány obchodních korporací.“
• Plné znění Metodického návodu k aplikaci zákona o registru smluv v aktuální verzi je uvedeno na webové stránce MV ČR https://www.mvcr.cz/clanek/registr-smluv.aspx?q=Y2hudW09OQ%3D%3D.

Aktualizace dokumentu k povinnosti správců provádět DPIA

• ÚOOÚ vydal aktualizovanou verzi dokumentu K povinnosti správců provádět posouzení vlivu na ochranu osobních údajů (DPIA), která byla doplněna o seznam druhů operací zpracování nepodléhajících posouzení vlivu na ochranu osobních údajů.
• Podle § 10 zákona č. 110/2019 Sb., o zpracování osobních údajů, není správce povinen provádět posouzení vlivu na ochranu osobních údajů před jeho zahájením, pokud mu právní předpis stanoví povinnost takové zpracování osobních údajů provést. To znamená, že všechna zpracování osobních údajů, která jsou uložena národní legislativou, jsou od zpracování DPIA osvobozena.
• Dokument je určen správcům při usnadnění rozhodování o tom, zda konkrétní zpracování podléhá povinnosti posouzení vlivu na ochranu osobních údajů či nikoliv.
• Aktualizovaný dokument, který je nyní vydán pod názvem Seznam druhů operací zpracování (ne)podléhajících požadavku na posouzení vlivu na ochranu osobních údajů (verze 1.0), je zveřejněn na webové stránce ÚOOÚ https://www.uoou.cz/povinnosti-spravcu/ds-5856/p1=5856.

Pokyny ke zpracování osobních údajů prostřednictvím videozařízení (kamerových systémů)

• ÚOOÚ zveřejnil na svých webových stránkách vlastní shrnutí zásadních částí aktuálních pokynů Evropského sboru pro ochranu osobních údajů (EDPB) provozovatelům kamerových systémů.
• Klíčová doporučení v oblasti provozu kamerových systémů jsou:
  • Instalace videozařízení ke sledování lidí je zákonná pouze tehdy, když zpracování osobních údajů prostřednictvím videozařízení se opírá o jeden nebo více právních důvodů vyjmenovaných v čl. 6 odst.1 Nařízení GDPR, tj. např. o oprávněný zájem a plnění úkolu ve veřejném zájmu.
  • Možnost nasazení monitorovacích kamer končí na hranicích pozemku správce.
  • Udělování souhlasu v případě video monitoringu je spíše výjimečné vzhledem k povaze technologie.
  • V případě zpřístupnění kamerového záznamu třetí straně se vždy jedná o nové zpracování osobních údajů, pro které je nezbytné mít zákonný důvod podle čl. 6 odst. 1 Nařízení GDPR. Poskytnutí záznamu donucovacím orgánům představuje samostatné zpracování vyžadující odůvodnění ze strany správce.
  • V případě kamerového systému navrženého záměrně ke zpracování zvláštních kategorií osobních dat, musí být správce schopen doložit nejenom zákonný důvod podle čl. 6 odst. 1 Nařízení GDPR, ale také existenci výjimky podle čl. 9 Nařízení GDPR. Při zpracování tohoto druhu osobních údajů je nezbytné zvážit uplatnění vyšší úrovně datové bezpečnosti a příp. i vypracování posouzení vlivu na ochranu osobních údajů (DPIA).
  • Ve většině případů při sledování biometrických údajů (především v systémech rozpoznávání podle obličeje / tváře) vyžaduje použití takového video zařízení soukromým provozovatelem výslovný souhlas subjektu údajů, resp. správce musí při použití pro účely ztotožnění, nabídnout i alternativu bez zpracování biometrických dat, a to bez požadavku extra nákladů pro jednotlivce.
  • V případě ochrany práv třetích osob na záznamu lze použít software pro rozostření nebo maskování.
  • V případě nasazení kamerového systému se záznamem lze uplatnit právo na výmaz. Za vymazání se považuje i rozostření obrazu bez možnosti jeho zpětného obnovení. V souvislosti s kamerovým sledováním pro účely přímého marketingu je ovšem právo vznést námitku absolutní a subjekt údajů ho může uplatnit podle libosti.
  • Při provozování kamerového systému musí správce splnit informační povinnost – před vstupem do sledovaného prostoru musí být viditelně umístěna informační (varovná) tabule, na které je čitelně uvedený účel sledování, totožnost a kontakt na správce, poučení o právech subjektů údajů, informace o podstatných dopadech monitorování a informace o možnosti získat další a podrobnější informace (např. formou dostupného letáku, dobře viditelného plakátu nebo digitální cestou).
  • Pokyny nestanovují konkrétní přípustnou dobu uchování videozáznamu, jako pomyslné dělítko zmiňují hranici 72 hodin. Lhůty delší než 72 hodin budou vyžadovat hlubší zdůvodnění.
  • V průběhu shromažďování a uchovávání záznamů musí správce uplatňovat taková technická a organizační opatření, která odpovídají úrovni rizika, jež dané zpracování představuje pro práva a svobody jednotlivců (ochrana před náhodným či nezákonným zničením, ztrátou, pozměněním, neoprávněným zpřístupněním nebo neoprávněným přístupem).
  • Při instalaci videozařízení určených k monitorování osob vzniká ve většině případů povinnost vypracování posouzení vlivu na ochranu osobních údajů (DPIA). ÚOOÚ doporučuje všem správcům provozující kamerový systém prověřit, zda se na něho povinnost zpracování DPIA vztahuje či nikoliv.
• Dokument Shrnutí Pokynů 3/2019 ke zpracování osobních údajů prostřednictvím videozařízení (dokument v českém jazyce) je zveřejněn na webové stránce ÚOOÚ https://www.uoou.cz/uoou-shrnul-to-nejdulezitejsi-z-nbsp-novych-pokynu-ke-nbsp-kameram/d-39551.
• Pokyny 3/2019 schválené EDPB v anglickém jazyce (Guidelines 3/2019 on processing of personal data through video devices, Version 2.0) jsou zveřejněny na webové stránce ÚOOÚ https://www.uoou.cz/sbor-vydal-nove-pokyny-provozovatelum-kamerovych-systemu/d-39498.

Splnění informační povinnost vůči návštěvníkům budovy

• Právem vlastníka budovy je provádět kontrolu vstupu návštěvníků do budovy, a to s ohledem na jeho odpovědnost za majetek, provoz, případně i zajištění bezpečnosti osob nacházejících se uvnitř budovy.
• Dle výkladu ÚOOÚ může správce po návštěvníkovi budovy (subjektu údajů), která není určena k běžným návštěvám veřejnosti, požadovat, aby uvedl jméno navštívené osoby (příp. číslo kanceláře) a poskytl své identifikační údaje v rozsahu jméno a příjmení. V případě pracovního jednání je důvodné vyžadovat i předložení služebního průkazu, jehož číslo vč. názvu vysílající instituce lze v této souvislosti taktéž zaznamenat. Pokud je návštěva vykonána mimo rámec pracovní či služební povinnosti, představuje takovýto doklad především občanský průkaz nebo cestovní doklad, případně i jiný, účelu návštěvy odpovídající dokument (např. předvolání).
• Zpracování osobních údajů přitom probíhá na základě oprávněného zájmu podle čl. 6 odst. 1 písm. f) Nařízení GDPR. Oprávněný zájem spočívá v zajištění bezpečnosti lidí a majetku, které bude probíhat mimo jiné i pomocí možnosti následné identifikace návštěvníka, např. v případě mimořádné události přímo či nepřímo související s jeho pobytem v budově (např. bezpečnostního incidentu).
• O porušení pravidel zpracování osobních údajů by se jednalo v případě, že správce budovy bude bez opodstatněného důvodu požadovat po návštěvníkovi budovy nadbytečné údaje (např. adresu bydliště).

Zdravotní pojištění – Evropský průkaz zdravotního pojištění (kartička pojišťovny)

• Nárok na lékařské ošetření v jiné členské zemi Evropské unie, které je neodkladné a nemůže počkat do návratu domů, má každý občan EU pokud náhle onemocní během svého dočasného pobytu v členské zemi Evropské unie (např. na dovolené, služební cestě, školním zájezdu, stáži atd.).
• V případě uchovávání a předložení originálu (nikoliv kopie) Evropského průkazu zdravotního pojištění zdravotnickému zařízení se nejedná o zpracování osobních údajů. Pokud tedy např. dítě má s sebou originál kartičky pojišťovny (i uložený u učitelky), nejedná se o zpracování osobních údajů. Stále platí že není doporučováno, pořizovat a ukládat kopie kartiček pojišťovny.

Výše pokut za porušení GDPR v České republice

• ÚOOÚ zveřejnil přehled o počtu a výši pravomocně udělených pokut za porušení GDPR od začátku jeho účinnosti. K listopadu 2019 bylo uděleno celkem 105 pokut v souhrnné výši 7.467.000,- Kč, z nichž nejvyšší pokuta je 250.000,- Kč.
• V rámci provedených kontrol ÚOOÚ zjistil, že většina společností / organizací neví, co je balanční test (test proporcionality) nebo nedodržují dostatečná technicko-organizační opatření při zpracování osobních údajů.

Únik osobních údajů ze zdravotní dokumentace

• V Kosmonosech u Mladé Boleslavi byla v popelnici na tříděný odpad nalezena zdravotnická dokumentace – 50 složek obsahujících kompletní zdravotnické karty vč. jména, rodného čísla, adresy a diagnózy pacienta (zprávy lékařů s různou datací).
• Případem úniku osobních údajů se zabývá Policie ČR. Podle expertů by mohly být údaje ze zdravotních zpráv zneužitelné – tyto údaje patří do zvláštní kategorie osobních údajů, tj. jedná se o údaje, při kterých by měla být zvýšená míra zabezpečení při zpracování. V krajním případě by vyhození zdravotnických záznamů do popelnice mohlo být kvalifikované jako neoprávněné nakládání s osobními údaji, za které hrozí až pětiletý trest.

Ruský vir Ryuk v nemocnici v Benešově

• V prosinci 2019 napadl nemocnici v Benešově počítačový virus. Podle dosavadních informací se předpokládá, že se jednalo o specifický vir původem z Ruska zvaný Ryuk, který byl identifikován i v případě kybernetického útoku na doly OKD. Tento vir cílí na instituce a firmy pracující s citlivými daty.
• Vir neútočí okamžitě, ale nejdříve vše v počítači zanalyzuje – vir bez vědomí uživatele v počítači důkladně prozkoumá všechna data a dokumenty, a dokonce je schopen vypnout i antivirové programy. Když vše důkladně zanalyzuje, počítač zašifruje. Tato šifra je dostupnými technologiemi v podstatě neprolomitelná, klíč k ní totiž vlastní pouze ruská kriminální skupina, která Ryuk vytvořila. V některých případech pak skupina stojící za virem Ryuk s napadenou institucí vyjednává o ceně výkupného.
• Středočeský kraj (zřizovatel benešovské nemocnice) oznámil, že nemocnice nepřišla o velké množství dat. Incident řeší kraj jak s ÚOOÚ, tak i s NÚKIB. Obnova systémů v benešovské nemocnici zatím stála 40 mil. Kč (částka ještě není konečná).
• Skupina ruských hackerů virem Ryuk útočila v minulosti i v zahraničí, napadla např. americká vydavatelství novin, školy, ale i úřady na Floridě a ve Španělsku.

Kompletní informace z oblasti ochrany osobních údajů pro firmy naleznete zde a pro veřejnou správu zde.

Poznámka: Zdrojem výše uvedených informací jsou nejen znalosti a zkušenosti společnosti Equica, a.s. v oblasti ochrany osobních údajů, ale také webové stránky Úřadu pro ochranu osobních údajů (www.uoou.cz) a webové stránky Ministerstva vnitra České republiky (www.mvcr.cz).