Nová právní regulace kryptoměn a zpracování osobních údajů

28. 1. 2024

Nařízení Evropského parlamentu a Rady (EU) 2023/1114 ze dne 31. května 2023 o trzích kryptoaktiv (Markets in Crypto Assets Regulation, MiCA), které představuje zcela nový právní rámec pro dosud komplexně neregulované odvětví kryptoaktiv v EU, bylo dne 9. června 2023 zveřejněno v Úředním věstníku Evropské unie.[1] Účinnost nabyde zčásti 30. června 2024 a zčásti 30. prosince 2024. K posledně uvedenému datu nabyde účinnosti i Nařízení č. 2023/1113 ze dne 31. května 2023, o informacích doprovázejících převody peněžních prostředků a některých kryptoaktiv[2] (Transfer of Funds Regulation, TFR). Informace doprovázející transakce Na základě TFR budou muset kryptografické transakce v EU obsahovat identifikační údaje bez ohledu na hodnotu transakce. Poskytovatelé služeb v oblasti kryptoaktiv („CASP“), jako jsou směnárny, burzy a další společnosti, budou pak muset shromažďovat osobní údaje o majitelích veřejných adres, na které jsou zasílány kryptoměny. Tím bude také definován právní titul zpracování osobních údajů pro tyto účely. Preambule TFR (recitál 19) uvádí, že zpracování pro komerční účely mimo rámec GDPR je přísně zakázáno, a upozorňuje rovněž na zpracování osobních údajů ve veřejném zájmu, který je představován bojem proti legalizaci příjmů z trestné činnosti a financování terorismu „AML“).  Konkrétní požadavky a povinnosti v oblasti AML jsou pak rozpracované dále v textu TFR. Poskytovatelům služeb souvisejících s kryptoaktivy vč. […]

Vedení interního telefonního seznamu zaměstnanců

28. 12. 2023

V současné době snad každá větší soukromá společnost či orgán veřejné moci disponuje interním telefonním seznamem svých zaměstnanců.[1] Vedení takového seznamu je čistě praktická záležitost, která usnadňuje komunikaci uvnitř společnosti nebo úřadu. Ačkoli nám vedení takového telefonního seznamu s kontakty zaměstnanců přijde jako naprosto běžná věc, nesmíme zapomínat, že i ten se musí řídit určitými pravidly, a to zejména v oblasti ochrany osobních údajů. Pojďme se blíže podívat, jaké stěžejní povinnosti je třeba v souvislosti s vedením telefonního seznamu uvnitř společnosti dodržovat z pohledu GDPR.[2] Není pochyb o tom, že informace o jednotlivých zaměstnancích zpřístupněné v interním telefonním seznamu představují jejich osobní údaje. Ač je čtenáři jistě zřejmé, jak takový adresář kontaktů vypadá a není potřeba ho blíže popisovat, přesto se jednotlivé telefonní seznamy rozchází v rozsahu osobních údajů, které obsahují. Pro rozbor z pohledu GDPR je nicméně důležité si jednotlivé údaje obsažené v interním telefonním seznamu rozebrat, neboť někdy je už „přes čáru“ regulí na ochranu osobních údajů, co všechno v nich můžeme nalézt. Rozsah osobních údajů zpracovávaných v telefonním seznamu Nejčastěji se setkáme s tím, že vedle identifikačních údajů, jakými je jméno a příjmení, popř. titul zaměstnance, bude telefonní seznam obsahovat klíčové položky, a to pracovní telefonní číslo (ať již číslo mobilního telefonu, číslo pevné telefonní linky, nebo obojí) a samozřejmě e-mailovou […]

Používání GPS ve služebních vozech a využití elektronické knihy jízd

28. 11. 2023

Při výkonu zaměstnání občas dochází k vyslání zaměstnance na pracovní cestu. Taková „služebka“ bývá nezřídka spojena s využitím služebního vozidla. Pracovněprávní aspekty spojené s řízením služebního vozidla a povinnosti zaměstnavatele s tím spojené budou v tomto textu ponechány bez hlubšího komentáře. Jak se ale s touto problematikou prolíná ochrana osobních údajů? Co když je vozidlo sledováno přes GPS, případně je využívána elektronická kniha jízd? A jak by měl zaměstnavatel postupovat, pokud zaměstnanci zároveň umožňuje využívat vozidlo k soukromým jízdám? Základní pojmy Nejprve je třeba dát do kontextu některé pojmy. Pojem GPS je všem asi dobře znám, často ho využíváme při řízení nebo při toulkách přírodou namísto klasické turistické mapy. Jedná se o systém, který dokáže pomocí elektromagnetického přijímače určit přesnou polohu na povrhu Země, a slouží tedy výlučně k určování polohy, a to na základě signálů odesílaných z družic. Oproti tomu kniha jízd je evidence (elektronická či analogová), která nemá s určením přesné polohy nic společného, ale je zaměstnavateli využívána, protože díky správnému vedení knihy jízdy (o rozsahu informací viz níže) má každý zaměstnavatel možnost uplatnit náklady na pohonné hmoty. Pokud je kniha jízd vedena správně, je zaměstnavatel rovněž schopen prokázat splnění povinností ve vztahu k bezpečnosti a ochraně zdraví při práci, a to v návaznosti na nařízení vlády č. 168/2002 Sb.[1] […]

Zpracování osobních údajů z veřejných rejstříků a povinnosti správce

28. 10. 2023

Pokud se jiný subjekt rozhodne zpracovávat osobní údaje obsažené ve veřejných rejstřících, musí nejprve určit účel a prostředky zpracování. Toto rozhodnutí z něj učiní správce. Co vše zahrnuje pojem veřejný rejstřík a jaké povinnosti má správce při dalším zpracování osobních údajů v takovém rejstříku obsažených? Co je veřejný rejstřík? V užším smyslu, ve kterém budu pojem dále užívat, jsou veřejnými rejstříky ty, které jsou úplným výčtem vyjmenovány v zákoně č. 304/2013 Sb., o veřejných rejstřících právnických a fyzických osob a o evidenci svěřenských fondů (dále jen „ZVR“), tj.: spolkový rejstřík, nadační rejstřík, rejstřík ústavů, rejstřík společenství vlastníků jednotek, obchodní rejstřík a rejstřík obecně prospěšných společností. Jde o informační systémy veřejné správy, do kterých se zapisují zákonem stanovené údaje o právnických a fyzických osobách. Obecně platí, že údaje o zapsané osobě a listiny uložené ve sbírce listin zveřejňuje rejstříkový soud způsobem umožňujícím dálkový přístup. Z hlediska možného dalšího zpracování údajů ve veřejných rejstřících je však třeba zdůraznit, že některé údaje se neuveřejňují a některé údaje lze na žádost zapsané osoby znepřístupnit.[1] Speciální úpravu stanoví ZVR u rodných čísel Pokud se do veřejného rejstříku zapisuje rodné číslo, neuvádí se v opisu z veřejného rejstříku ani se neuveřejňuje. Je-li rodné číslo uvedeno v listinách zakládaných do sbírky listin, uveřejňují se tyto listiny postupem […]

Francouzský dozorový úřad radí náborářům

28. 9. 2023

Francouzský dozorový úřad (Commission Nationale de l’Informatique et des Libertés, dále CNIL) vydal letos 30. ledna návod pro náboráře a personalisty zaměřený na standardy ochrany osobních údajů v souvislosti s výběrem a najímáním nových zaměstnanců.[1] Při náborech dochází ke zpracování velkého množství údajů více osob Nábor zaměstnanců je proces, při kterém dochází ke zpracování velkého množství údajů více osob. Nepřekvapí proto, že se tímto tématem CNIL zabýval už dříve, konkrétně v roce 2002.[2] Technologický posun a další změny v následujících 20 letech vedly k silnému zájmu odborné veřejnosti o nová vodítka k ochraně osobních údajů. Není snad ani třeba připomínat změnu právního prostředí díky nové evropské úpravě. Nové technologie přinesly nové možnosti náboru např. prostřednictvím sociálních sítí, personalizované reklamy a specializovaných vyhledávacích programů. Běžně se využívají nové formy komunikace. Kromě videokonferenčních hovorů jde o chatboty, různé mobilní aplikace a další nástroje. Mnohem snáze lze vytvořit velkou databázi údajů. Tu pak může zpracovat umělá inteligence nebo jiný nástroj, který na základě dostupných informací vyhodnotí „umění žít“ či tzv. měkké dovednosti kandidátů. Všechny tyto nové prvky s sebou nesou rizika narušení soukromí uchazečů o práci. Příručka CNIL se zaměřila na všechny fáze náboru Příručka je rozdělena na dvě poloviny. První připomíná základy právní úpravy ochrany osobních údajů. Druhá […]

Whistleblowing – nová výzva pro společnosti i jejich DPO

28. 7. 2023

Už je to více než pět let od účinnosti nařízení, které způsobilo revoluci v oblasti ochrany osobních údajů. Od té doby bylo GDPR několikrát „podrobeno zkoušce“. Například v době covid-19 se ukázalo, jak jsou společnosti připraveny na zpracování zvláštních kategorií osobních údajů. V minulém roce se společnosti musely začít prát se soubory cookies, které prostě, chtě nechtě, s GDPR souvisí. Od 1. srpna 2023 přichází další zkouška, která otestuje funkčnost GDPR v mnoha organizacích. Tou je nový zákon č. 171/2023 Sb., o ochraně oznamovatelů. Zákon o whistleblowingu. Předpis, který důvěrnost a důraz na soukromí staví na první místo. Na co myslet při implementaci whistleblowingu z pohledu GDPR? Tady je shrnutí toho nejdůležitějšího. Jak spolu whistleblowing a GDPR souvisí? Zákon o ochraně oznamovatelů zavádí povinnost vytvořit vnitřní oznamovací systém u společností nad 50 zaměstnanců, veřejných zadavatelů, obcí, orgánů veřejné moci a dalších subjektů uvedených v § 8 daného zákona. Pod pojmem vnitřní oznamovací systém si nemusíte představovat software, nýbrž souhrn procesních pravidel, která zajistí, že každý oznamovatel může v klidu a bezpečí oznámit protiprávní jednání na pracovišti. Zákon zavádí také novou pozici příslušné osoby, neboli řešitele oznámení, který má za úkol oznámení přijímat, vyřizovat a navrhovat společnosti opatření. Každý oznamovatel tak musí být chráněn, pokud učiní oznámení o […]

Metodika Úřadu pro ochranu osobních údajů ke kamerám

27. 6. 2023

Kamerami a kamerovými systémy, resp. zpracováním osobních údajů prostřednictvím kamer, se zabývá Úřad pro ochranu osobních údajů (ÚOOÚ) již poměrně dlouho. První stanovisko k tomu tématu, tedy aplikaci předchozího zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, na kamery, Úřad publikoval již v lednu roku 2006[1]. Na tento dokument pak navazovala řada dalších, které řešily především využití kamer v některé specifické oblasti či při určité činnosti, například v bytových domech, osobních automobilech atd. Zájem veřejnosti na ochraně jejich soukromí při zpracování osobních údajů kamerami dokládají i čísla z výročních zpráv ÚOOÚ. V roce 2022 obdržel celkem 2.192 stížností, z nich 10 % se týkalo právě kamer. V roce 2021 to bylo 13 % ze 2.430 přijatých stížností a v roce 2020 se kamer týkalo 13 % z 1.855 stížností, které ÚOOÚ obdržel. Kamery a GDPR Většina stanovisek a metodik, které ÚOOÚ vydal k aplikaci předchozí právní úpravy na kamery, byla po účinnosti GDPR z jeho webu stažena. Proč? Obecné nařízení o ochraně osobních údajů (GDPR)[2] sice definice základních pojmů, hlavních pravidel a povinností souvisejících se zpracováním osobních dat a věcné působnosti této právní úpravy změnilo jen minimálně, do hry ale vstoupil Evropský sbor pro ochranu osobních údajů (EDPB). Na počátku roku 2020 EDPB vydal pokyny č. 3/2019 […]

Cloudové služby – výsledky šetření z akce evropského sboru pro ochranu údajů

28. 5. 2023

V říjnu 2020 Evropský sbor pro ochranu údajů (EDPB) zřídil koordinované vymáhání práva (CEF) s cílem zefektivnit vymáhání a spolupráci mezi dohledovými orgány (SA). V roce 2021 se pak zaměřil na cloudové poskytovatele a jejich využívání ve veřejném sektoru. V letošním roce, konkrétně 17. ledna, vydal Evropský sbor pro ochranu údajů zprávu z výsledků šetření. Co se v ní uvádí? Zpráva obsahuje zjištění ze šetření z roku 2021 až 2023, různá doporučení a připomíná práva a povinnosti zpracovatele v souvislosti s využíváním cloudových služeb. Dále také seznam rozhodnutí nebo jiných typů opatření, která již na vnitrostátní úrovni v oblasti cloud computingu přijalo několik dohledových orgánů. Nakonec se v ní diskutuje o zpracování telemetrických dat a auditování. Informuje o častém výskytu problémů v předsmluvní fázi týkající se provádění posouzení dopadu na ochranu údajů (a/nebo posouzení rizik) a role stran. Pokud jde o smlouvy s poskytovatelem cloudových služeb (CSP), byly identifikovány problémy s absencí smluv a obtížností vyjednat zakázku šitou na míru, stejně jako znalost nebo kontrola dalších zpracovatelů ze strany veřejných orgánů. Kromě toho se objevují problémy související s mezinárodními převody a přístupem zahraničních veřejných orgánů. Závěr zprávy je takový, že s ohledem na možnou citlivou povahu a velké množství údajů zpracovávaných veřejnými orgány […]

Nahrávání úředních osob? Co na sebe nechcete prozradit, nikomu nesdělujte

28. 4. 2023

Fenoménem dnešní doby je focení a natáčení kde čeho a kdekoho. Prakticky všichni máme mobilní telefony, které nám to usnadňují. Jednoduché je i následné šíření neomezenému počtu osob kdekoliv ve světě. Před tímto trendem nejsme uchráněni ani my, zaměstnanci úřadů a veřejných institucí. Citlivost nahrávání (pořizování obrazového nebo zvukového záznamu) spočívá v tom, že nahrávky zachycují nejen to, jak vypadáme (naši podobu, vzhled) a co říkáme (náš hlasový projev), ale i řadu dalších významných či méně významných informací (osobních údajů), které o nás mnohé vypovídají, např. odhalí tetování, vadu řeči nebo jiný zdravotní handicap. Podoba člověka je významným projevem osobní povahy.[1] Zachováváme si ji i při výkonu úřední činnosti. Nemáme dvě tváře – jednu pro soukromý život a druhou pro ten profesní. V úředním styku si nenasazujeme žádnou masku. I v práci jsme to stále „jenom my“. V jaké míře ztrácíme ve svém profesním životě kontrolu nad svojí podobou a souvisejícími osobnostními projevy (jejich zachycením a šířením)? Mohou lidé nahrávat zaměstnance úřadů a jsou úředníci povinni nahrávání strpět? Jako vodítko nám k odpovědím na tyto otázky poslouží stanoviska soudů a veřejného ochránce práv. Výchozí pravidlo: Nelze nahrávat soukromý život úředních osob Každý člověk vede tři životy: veřejný, soukromý a tajný.[2] Soukromí každého z nás nekončí tím, […]

Vývoj autonomních systémů řízení s pomocí dat z palubních kamer

28. 3. 2023

Samotná instalace palubních kamer ve vozidlech není již žádnou novinkou. Jejich využití za účelem získání důkazního materiálu pro případ dopravní nehody je v České republice legální (z hlediska bezpečnosti provozu i ochrany soukromí dotčených osob) a zřejmě i poměrně obvyklou praxí. S tím, jak se do výbavy vozidel prosazují stále pokročilejší asistenční systémy a vývoj směřuje k plně autonomním vozům, získává však shromažďování a další využívání dat z palubních kamer zcela jiné rozměry a význam. Právě díky masivnímu zpracování dat můžeme v dohledné budoucnosti očekávat na našich silnicích vozidla, která se doteď objevovala pouze jako rekvizita ve sci-fi filmech. Moderní vozidla jsou již dnes běžně vybavena množstvím senzorů, které získávají data jak o provozu vozidla samotného, tak i o jeho interakci s okolím, a které takto získaná data ukládají pro budoucí využití nebo i přímo předávají zpět výrobcům, servisům apod.[1] Veškeré informace „zevnitř“ vozu (vypovídající o způsobu řízení nebo o využívání bezpečnostních a asistenčních systémů) i „zvenku“ (týkající se např. dopravního značení a dopravních situací) jsou totiž zcela zásadní z hlediska další optimalizace stávajících asistenčních systémů i pro vývoj nových, včetně autonomních. Množství dat, která jsou a nadále budou zapotřebí k vývoji a dalšímu zdokonalení („učení“) systémů autonomního řízení, je přitom takové, že jen s malou nadsázkou lze říci, […]