Vážení čtenáři,

právě jste se začetli do časopisu DPO PRO, jehož první číslo vyšlo symbolicky v Den ochrany osobních údajů. Od okamžiku, kdy Rada Evropy přijala tzv. Úmluvu o ochraně osob se zřetelem na automatizované zpracování osobních údajů, uplynulo právě 40 let. Na tento dokument navázaly další právní předpisy zaměřené na ochranu osobních údajů. Patří k nim i Obecné nařízení (GDPR).

Události minulého roku přispěly ke zrychlené elektronizaci kontaktů a přesunu mnoha oblastí lidského života do online prostředí. Tyto okolnosti, spolu s neustále dokonalejšími kybernetickými útoky, ještě více zdůraznily nutnost zabývat se systematicky ochranou osobních údajů. A právě této problematice je věnován časopis DPO PRO, jenž je určený především pověřencům pro ochranu osobních údajů, ale také všem, kteří se o ochranu osobních údajů zajímají a s osobními údaji pracují. Časopis má za cíl zaměřit se na soukromou i veřejnou sféru a pokrýt oblast ochrany osobních údajů v co nejširším spektru.

Eva Janečková
šéfredaktorka DPO PRO

Ohlédnutí za zpracováním osobních údajů v souvislosti s prokazováním tzv. bezinfekčnosti a testováním

28. 6. 2022

Období testování a prokazování tzv. bezinfekčnosti, jehož jsme se v uplynulé době účastnili, je snad již za námi. Zkušenosti si odnášíme různé. Z jednotlivých rozhodnutí Nejvyššího správního soudu, kterému připadl úkol přezkoumávat zákonnost vydaných opatření obecné povahy, lze vyčíst mnohá doporučení pro praxi. Naší pozornosti by určitě neměl uniknout návod k posouzení, zda v konkrétním případě dochází ke zpracování osobních údajů. Neměli bychom rovněž zapomínat na to, jak je důležité jasně vymezit účel zpracování. Kontrola tzv. bezinfekčnosti V době pandemie jsem se v Kanceláři veřejného ochránce práv setkávala se stížnostmi, že v souvislosti s prokazováním tzv. bezinfekčnosti, jak vyžadovala nejrůznější opatření vlády nebo ministerstva zdravotnictví, dochází k porušování obecného nařízení o ochraně osobních údajů.[1] Lidsky lze těmto výhradám rozumět, z právního pohledu se však jedná o stížnosti neopodstatněné, což potvrdil i Nejvyšší správní soud. Povinnost poskytovatelů (organizátorů) akcí ověřit (typicky nahlédnutím do předloženého certifikátu o absolvovaném očkování, potvrzení o absolvovaném testu či prodělání nemoci, ať už v písemné, či elektronické podobě), zda osoba účastnící se akce splňuje podmínky tzv. bezinfekčnosti, nepředstavuje zpracování osobních údajů ve smyslu obecného nařízení o ochraně osobních údajů.[2] Obecné nařízení o ochraně osobních údajů dopadá na zpracování zcela automatizované[3] nebo částečně automatizované[4] a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci (např. kartotéce) nebo […]

Polemický pohled člena redakční rady

28. 5. 2022

Článek projevuje důvěrnou znalost problematiky. Vedle toho ale také projevuje – pro mě trochu křečovitě, až to vzbuzuje podezření – snahu přetlačit závěry dosavadního postoje ÚOOÚ, vyjádřeného jak ve stanovisku 2/2014, tak hlavně ve sdělení Změna v hodnocení úrovně právní ochrany biometrických údajů z června 2017. S obdobným zpochybňováním se u odborné veřejnosti setkáme často, například i v obou významných komentářích k obecnému nařízení, tedy GDPR / Obecné nařízení o ochraně osobních údajů (2016/679/EU) – Praktický komentář autorů Nulíček, Donát, Nonnemann, Lichnovský, Tomíšek, Praha, Wolters Kluwer, 2017, tak i Obecné nařízení o ochraně osobních údajů, komentář autorů UŘIČAŘ, RÁMIŠ a kol., Praha: C. H. Beck, 2021. Čtenář ale těžko hádá, který odborný pohled komentátorů doprovází třeba i upřímná snaha umožnit určité technologické a obchodní záměry výrobců a uživatelů příslušných technických zařízení a SW pro použití dynamického biometrického podpisu (např. banky). Lituji, že nejnadějnější pasáž pouze letmo zmiňující dosavadní kontrolní praxi ÚOOÚ, která dle autora dokládá neudržitelnost výše uvedených postojů Úřadu, není dotažena do konkrétních argumentů z kontrol. Za poněkud slovní ekvilibristiku považuji argumentaci autora, kterou popisuje nejednotnost definice biometrického údaje v čl. 4/14 obecného nařízení (ON) oproti jeho další konkretizaci v souvislosti s konkrétním použitím v čl. 9/1 ON. Definice v čl. 4/14 ON výslovně uvádí právě i autentizaci, […]

Dynamický biometrický podpis

28. 5. 2022

Část první: Jedná se o biometrický údaj?     Na českém trhu finančních služeb si získal popularitu tzv. dynamický biometrický podpis (DBP), který se možná stal obětí svého názvu. Je z něj totiž na první pohled patrné, že se jedná o osobní údaj zvláštní kategorie. Je tomu ale skutečně tak? Podstata biometrie DBP je třeba odlišovat od prostého podpisu vytvořeného na tabulce, který je pouhým obrázkem, jaký lze nakreslit na jakémkoli dotykovém displeji. Aby však mohl být podpis označen jako biometrický, musí obsahovat aktivní biometrické charakteristiky, které nevznikají náhodně, ale mají dynamický charakter vycházející z fyziologických a biomechanických schopností a z procesu individuálního učení.[1] Senzory podepisovacího zařízení mohou měřit tlak pera, rychlost, náklon atd., a tudíž lze zachytit podobné charakteristiky podpisu jako při zkoumání fyzického podpisu na papíře. Není však zřejmé, zda lze tyto biometrické charakteristiky technicky relevantním způsobem zaznamenat a zejména rekonstruovat. Nařízení GDPR[2] biometrické údaje definuje jako „osobní údaje vyplývající z konkrétního technického zpracování týkající se fyzických či fyziologických znaků nebo znaků chování fyzické osoby, které umožňuje nebo potvrzuje jedinečnou identifikaci, například zobrazení obličeje nebo daktyloskopické údaje.“[3] Lze mít za to, že je-li identita podepisující osoby předem známa, nedochází ke zpracování biometrických údajů za účelem „jedinečné identifikace fyzické osoby,“ kterou až na výjimky uvedené […]

Předávání osobních údajů do USA na případu Google Analytics aneb proč to není v souladu s GDPR?

27. 4. 2022

Dozorové úřady některých členských států v posledních měsících rozhodovaly, zda je používání nástroje Googlu pro měření a analýzu využívání webových stránek Google Analytics v souladu s GDPR. Shodly se na tom, že není. Důvodem je přenos osobních údajů do USA, kde prý neexistují dostatečné záruky pro ochranu osobních údajů. Rozhodl o tom rakouský dozorový úřad V červenci 2020 rozhodl Soudní dvůr Evropské unie ve věci Schrems II,[1] že přenos osobních údajů do třetí země, který se neuskutečňuje na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany (čl. 45 GDPR), je možný pouze tehdy, pokud ochrana osobních údajů bude ve třetí zemi v zásadě rovnocenná úrovni ochrany zaručené v Evropské unii, a to i co se týče případného přístupu orgánů veřejné moci k těmto údajům. Správce musí posoudit úroveň ochrany i v případě, že existují standardní smluvní doložky, které se na zpracování vztahují.[2] Google spoléhal na standardní smluvní doložky Přestože se Google spoléhal právě na standardní smluvní doložky, podala rakouská organizace NOYB stížnost rakouskému dozorovému úřadu proti zpracování osobních údajů uživatelů webových stránek, které používaly Google Analytics. Stížnost NOYB se zaměřila na webové stránky Netdokter. NOYB tvrdil, že Google je podle amerického práva poskytovatelem služeb elektronických komunikací, a proto se na něj vztahuje § 702 zákona FISA (Foreign Intelligence […]

Veřejné opatrovnictví: Zastupitelé by se měli dozvědět pouze nezbytné informace

28. 3. 2022

Když jeden orgán obce (starosta) sděluje osobní údaje týkající se výkonu veřejného opatrovnictví jinému orgánu obce (zastupitelstvu a jeho členům), nemusí to na první pohled vypadat jako porušení zákona. Neděje-li se tak za přítomnosti veřejnosti, zůstávají všechny tyto informace tzv. „pod jednou střechou“ – zpracovává je jeden správce osobních údajů (obec). Zdánlivě neškodným předáním osobních údajů však může v určitých případech docházet k porušení právních předpisů. Proto je namístě připomenout obecné zásady poskytování informací mezi orgány územních samospráv, abychom si uvědomili, kdy je sdělování osobních údajů o opatrovanci přípustné a kdy nikoliv. Základní zásady zpracování osobních údajů při výkonu veřejného opatrovnictví Člověk omezený ve svéprávnosti, kterému soud ustanovil veřejného opatrovníka, neztrácí právo na ochranu svého soukromí a osobních údajů.[1] Akceptujeme-li, že už samotné ustanovení veřejného opatrovníka nepochybně představuje podstatný zásah do soukromí opatrovaného, přináší výkon veřejného opatrovnictví v prvé řadě pro každého, kdo se této role ujme, závazek nastavit pravidla pro výkon veřejného opatrovnictví tak, aby respektovala vedle principů veřejného opatrovnictví coby podpůrného opatření[2] právo opatrovance na ochranu před neoprávněným zasahováním do soukromého života, jakož i jeho právo před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.[3] Zjednodušeně to znamená nejprve posoudit, komu a co o opatrovanci může veřejný opatrovník […]

Whistleblowing a zpracování osobních údajů: Oč se jedná a proč je to tak zajímavé?

28. 2. 2022

V posledních týdnech a měsících je často skloňován pojem whistleblowingu. Oč se jedná, proč je to tak zajímavé a jaký má whistleblowing vztah s právní úpravou zpracování osobních údajů? Whistleblowing není novinkou Whistleblowing je, stručně řešeno, proces na zajištění toho, aby zaměstnanci či osoby v obdobně citlivém postavení v rámci svojí organizace (úřadu, soukromé společnosti) důvěrně a v případě dobré víry i beztrestně mohly oznamovat možné porušování předpisů či dalších právních závazků. Aby byl tento proces úplný, musí být zajištěna jak ochrana oznamovatelů, tak i skutečné prošetření učiněných oznámení a přijetí opatření k nápravě, pokud bude porušování práva skutečně zjištěno. Dva povinné whistleblowing procesy už známe Ač to tak podle některých veřejných příspěvků nevypadá, v českém právu se o novinku rozhodně nejedná. Již nějakou dobu známe nejméně dva povinné whistleblowing procesy: Pro osoby v režimu státní služby je možnost učinit důvěrné oznámení o protiprávním jednání upravena vyhláškou č. 145/2015 Sb., o opatřeních souvisejících s oznamováním podezření ze spáchání protiprávního jednání ve služebním úřadu. Každý služební úřad musí na základě této vyhlášky mj. zřídit fyzickou i elektronickou schránku pro důvěrné či případně anonymní oznámení a pověřit konkrétního státního zaměstnance tím, aby doručená oznámení prošetřoval. Druhým sektorem, ve kterém byla tato povinnost již zavedena, jsou finanční služby. Povinné osoby v režimu […]