Osobní údaj

Osobní údaje, známé také jako osobní informace nebo údaje umožňující zjištění totožnosti, jsou jakékoli informace týkající se identifikovatelné nebo identifikované osoby.^[1] Identifikovatelnou osobou se rozumí fyzická osoba, kterou lze přímo či nepřímo ztotožnit, zejména odkazem na určitý identifikátor (jméno, vlastnost, identifikátor uživatele) nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.^[2]

Ztotožnění osoby podle jedinečného souboru osobních údajů se někdy nesprávně zaměňuje za autentizaci, což je ověření proklamované identity^[3] subjektu v informačním systému.

Jde především o údaje jako např.:

• jméno a příjmení
• adresa
• telefonní číslo
• lokační údaje (např. funkce využívající údaje o poloze v mobilním telefonu - tyto údaje mají hodnotu miliard dolarů)^[4]
• e-mailová adresa ve formátu jako např. jméno.příjmení@firma.com
• pohlaví
• věk a datum narození
• osobní stav
• adresa IP (Internetový protokol)
• ID souboru cookie,
• identifikátor telefonu pro inzerenty
• fotografický záznam
• způsob vystupování advokáta v soudním řízení.^[5][6][7]

Jde především o následující:

• registrační číslo společnosti,
• e-mailová adresa jako je například info@firma.com
• anonymizované údaje.^[8]

Nakládání s osobními údaji může být vzhledem k právu na soukromí omezováno, přičemž v Evropské unii je ochrana osobních údajů upravena především Obecným nařízením o ochraně osobních údajů (GDPR, anglická zkratka General Data Protection Regulation),^[9] které platí od 25. května 2018.^[10]

Nařízení je platné pro všechny státy Evropské unie, Island, Norsko a Lichtenštejnsko. K přijetí nařízení došlo kvůli nevyhovujícímu právnímu rámci (tento rámec přestal odpovídat nárokům současné doby).^[11] Dalším důvodem byla snaha sjednotit právo na celém území Evropské unie.^[12]

GDPR se použije, pokud:

• podnik se sídlem v EU zpracovává osobní údaje, a to bez ohledu na to, kde skutečné zpracování údajů probíhá nebo
• podnik je usazen mimo EU, ale zpracovává osobní údaje v souvislosti s nabídkou zboží a služeb fyzickým osobám žijícím v EU nebo sleduje chování jednotlivců v EU. Podniky, které nejsou usazeny v EU, ale zpracovávají údaje občanů Unie, musejí jmenovat svého zástupce v EU. Zahraniční podniky mimo EU, které spolupracují s osobami z členských států Evropské unie, jsou povinny se řídit GDPR.^[10]

GDPR se nepoužije, pokud:

• subjekt údajů je po smrti,
• subjekt údajů je právnická osoba nebo
• zpracování provádí osoba, která jedná za účelem nesouvisejícím s její živností, podnikáním nebo povoláním.^[10]

Právo na soukromí je součásti Evropské úmluvy o lidských právech^[13] z roku 1950, která stvrzuje, že každý má právo na ochranu soukromého života, obydlí a komunikace. Na této premise musí Evropská unie zajistit ochranu práv prostřednictvím legislativy.^[14]

Společně s vynálezem internetu a pokrokem technologie, musela Evropská unie vyvinout způsob jak chránit svůj prostor. V roce 1995 byla schválena evropská směrnice o ochraně údajů,^[15] stanovila minimální standardy ochrany osobních údajů a zabezpečení, které každý členský stát implementoval do svého vlastního práva.^[16]

GDPR stanoví, že správci údajů musí být schopni prokázat, že jsou v souladu s GDPR (nelze jednat retroaktivně).^[16]

Zásady:

• Určit odpovědnost za ochranu dat svému týmu. Udržovat podrobnou dokumentaci o datech, která jsou shromažďována, jak jsou používána, kde jsou uložena, který zaměstnanec je za ně zodpovědný atd.
• Vyškolit zaměstnance a zavést technická a organizační bezpečnostní opatření.
• Uzavřít smlouvy o zpracování údajů s třetími stranami, které zpracovávají údaje.
• Jmenovat pověřence pro ochranu osobních údajů.^[16]

EDPB přispívá k jednotnému uplatňování pravidel ochrany údajů v celé Evropské unii a prosazuje spolupráci mezi úřady pro ochranu osobních údajů v EU. Posláním je zajišťovat jednotné uplatňování obecného nařízení o ochraně osobních údajů a evropské směrnice o prosazování práva v Evropské unii. EDPB může vydávat obecné pokyny k objasnění pojmů obsažených v evropských právních předpisech v oblasti ochrany údajů a poskytovat zúčastněným stranám jednotný výklad jejich práv a povinností.^[17]

Úkoly a povinnosti:

• poskytovat obecné vodítko (včetně pokynů, doporučení a osvědčených postupů) k objasnění právních předpisů,
• poskytovat poradenství Evropské komisi ohledně jakékoli záležitosti související s ochranou osobních údajů a novými navrhovanými předpisy v Evropské unii,
• činit zjištění ohledně jednotnosti v přeshraničních případech týkajících se ochrany údajů,
• prosazovat spolupráci a účinnou výměnu informací a osvědčených postupů mezi vnitrostátními dozorovými úřady.^[17]

Obecné nařízení o ochraně osobních údajů platné od 25. května 2018 stanovilo pravidla pro zpracování osobních údajů, včetně práv subjektu údajů (fyzické osoby). V českém právním prostředí toto nařízení nahradilo zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.^[18]

Neoprávněné nakládání s osobními údaji může také být trestným činem.^[19]

Rozhoduje o klíčových prvcích zpracování. Některé činnosti zpracování lze považovat za přirozeně spojené s úlohou subjektu (zaměstnavatele vůči zaměstnancům, vydavatele vůči předplatitelům nebo sdružení vůči jeho členům). Správce zodpovídá za důvod a způsob zpracování.^[20]

Zpracovatelem může být fyzická či právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce. Zpracovatel musí splňovat dvě podmínky: jedná se o samostatný subjekt ve vztahu ke správci a osobní údaje zpracovává jménem správce.^[20]

Správce může ke zpracování osobních údajů přibrat i jiný subjekt, který bude pro něho osobní data zpracovávat. Správce by měl využít pouze takového zpracovatele, který s ohledem na povahu, kontext, kategorii osobních údajů a jejich možnosti poskytuje dostatečné záruky vhodných technických a organizačních opatření. Zpracování osobních údajů prostřednictvím zpracovatele musí splňovat požadavky obecného nařízení a zajistit ochranu práv subjektů údajů. Z tohoto důvodu by měla být mezi těmito dvěma subjekty uzavřena písemná smlouva.^[21]

Subjektem údajů je fyzická osoba, již se osobní údaje týkají. Subjekt údajů není např. právnická osoba, neboť údaje vztahující se k právnické osobě nejsou osobními údaji.^[22]

Zákon č. 110/2019 Sb., o zpracování osobních údajů,^[23] jehož účelem je ustanovení obecného nařízení směrující k členským státům, především o postavení a pravomoci Úřadu pro ochranu osobních údajů. Zákon stanoví některá práva subjektů údajů, věk dítěte pro udělení souhlasu v souvislosti s nabídkou služeb informační společnosti (dovršením 15 let), rozsah povinností jmenovat pověřence pro ochranu osobních údajů, zásady zpracování a ochrany osobních údajů i na zpracování, na něž se obecné nařízení nevztahuje.^[24]

Obecné nařízení podobně jako předchozí zákon č. 101/2000 Sb., o ochraně osobních údajů,^[18] přiznává subjektům údajů určitá práva. Správce je povinen reagovat na podanou žádost subjektu údajů neodkladně v případě, že se jedná o žádost podle článku 15 až 22 obecného nařízení.^[25] V ostatních případech nejpozději do jednoho měsíce.^[26]

Subjekt údajů má právo na informace ohledně zpracování svých osobních údajů (informace o účelu zpracování, totožnost správce, proč se zajímá o osobní údaje, příjemce osobních údajů).^[27]

Mezi další práva subjektu údajů, patří:

• právo na přístup k osobním údajům,
• právo na opravu, resp. doplnění,
• právo na výmaz,
• právo na omezení zpracování,
• právo na přenositelnost údajů,
• právo vznést námitku,
• právo nebýt předmětem automatizovaného individuálního rozhodování s právními či obdobnými účinky, zahrnující i profilování.^[28]

Jde o operaci, popř. soubor operací, která je prováděna s osobními údaji nebo se soubory osobních údajů jako např.: shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoli jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.^[29]

Souhlas je definován podle článku 4 odst. 1 bod 11 obecného nařízení^[30] jako svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů (nemohou být vynuceny). Souhlas se podává pouze za konkrétním účelem zpravování, je odvolatelný.^[31] Souhlasu je udělen k určitému účelu, pro který jsou osobní údaje zpracovávány. Pokud dojde k odvolání souhlasu, je správce povinen přestat zpracovávat osobní údaje pro účely definované v souhlasu.^[32]

Správce nemusí mít ke každému zpracování osobních údajů souhlas subjektu údajů. V takových případech musí mít pro zpracování osobních údajů jiný právní důvod,^[33] jde např. o

• smluvní vztah se subjektem údajů (typicky prodej zboží, poskytování služeb),
• plnění právní povinnosti správce nebo realizace jeho oprávněného zájmu nebo
• plnění úkolu prováděného ve veřejném zájmu.^[33]

Obecné nařízení ve svém článku 7^[34] podrobně stanovuje pravidla pro získání, udělení a využití souhlasu, zejména:

• srozumitelnost – vyjádření souhlasu musí být srozumitelné a od ostatních závazků a jiných skutečností odlišitelné a
• dobrovolnost – každý poskytuje svůj souhlas dobrovolně a každý může svůj souhlas odvolat.^[33]

Z pohledu obecného nařízení bude platný jen takový souhlas, který byl získán transparentním způsobem, a dotčená osoba jej udělila svobodně. Za neplatný je nutno naopak považovat každý souhlas, kdy byl zákazník při získání služby či výrobku nucen zároveň souhlasit se zpracováním osobních údajů (např. souhlasem zakomponovaným v obchodních podmínkách).^[35]

Nesprávné a nedůvodné vyžadování souhlasu bez odpovídající informace pak může být ve svém důsledku posouzeno jako porušení základních zásad pro zpracování, včetně podmínek týkajících se souhlasu a práv subjektů údajů, ve smyslu článku 83 odst. 5 písm. a) a písm. b) GDPR.^[36][35]

Vyžadování souhlasu, zejména prostřednictvím emailu či SMS, se zasíláním reklamních sdělení od osob, které nejsou zákazníky, je sankcionovatelné podle zákona č. 480/2004 Sb.^[37] jako nedovolené obchodní sdělení.^[35]

Zpracování by dle GDPR mělo splňovat následující zásady:

• zákonnost, korektnost, transparentnost
• omezení účelu
• minimalizace údajů
• přesnost
• omezení uložení
• integrita a důvěrnost.^[38]

Jednotlivé zásady jsou rozvinuty v článku 5 odst. 1 obecného nařízení.^[39] Vymezení, resp. dodržování těchto zásad, je pro správce zásadní také proto, že v článku 5 odst. 2 obecného nařízení^[40] je stanovena odpovědnost správce za jejich dodržování.^[38]

Právní důvody zpracování osobních údajů představují oprávnění správce osobní údaje zpracovávat. Správce může zpracovávat osobní údaje pro různé účely (pro každý účel je nezbytný právní důvod zpracování osobních údajů) a je povinen přistoupit k likvidaci osobních údajů, pokud správce pozbude poslední právní důvod ke zpracování osobních údajů.^[41]

Jednotlivec má právo na bezplatný přístup k osobním údajům.

Správce je subjektu osobních údajů je na požádání povinen:

• sdělit, zda jeho osobní údaje zpracovává,
• sdělit podrobnosti zpracování (účel zpracování, kategorie dotčených osobních údajů, kdo tyto informace dostává apod.) a
• dát kopii zpracovávaných osobních údajů (v dostupném formátu).^[41]

Dochází-li ke zpracování údajů na základě souhlasu nebo smlouvy, může subjekt rovněž požádat o to, aby jeho osobní údaje byly vraceny nebo byly předány jiné společnosti (tzv. „právo na přenositelnost údajů"). Údaje musí být poskytnuty v běžně používaném a strojově čitelném formátu.^[41]

V případě, že jsou údaje nesprávné, neúplné nebo nepřesné, má jednotlivec právo na provedení jejich opravy nebo jejich doplnění, a to bez zbytečného prodlení. Pokud by byl některý z osobních údajů nesprávný, je nutné upozornit každého, kdo s tímto údajem přišel do styku (ale pouze za předpokladu, že k tomu není zapotřebí nepřiměřené úsilí).^[42]

Každý jednotlivec rovněž může kdykoli podat námitku proti zpracování svých osobních údajů pro určité účely, a to v případě, že jsou osobní údaje zpracovány na základě opravného zájmu nějakého subjektu nebo z důvodu provedení úkolu ve veřejném zájmu. Pokud neexistuje oprávněný zájem, který by převažoval nad zájmy jednotlivce, je nutné zpracování osobních údajů ukončit.^[42]

Jednotlivec může požádat správce údajů o výmaz svých osobních údajů, například pokud již nejsou jeho údaje potřeba pro účely, pro které byly zpracovávány.^[43] Není ale povinností vymazat osobní údaje, pokud:

• je zpracování nezbytné pro dodržování svobody projevu a informací,
• je nutné uchovávat osobní údaje z důvodu splnění právních povinností,
• k uložení osobních údajů existují jiné důvody veřejného zájmu, např. v oblasti veřejného zdraví nebo pro účely vědeckého a historického výzkumu nebo
• je nutné osobní údaje uchovávat z důvodu ochrany právních nároků.^[43]

Pokud jsou shromažďovány osobní údaje o dítěti na základě jeho souhlasu např. při používání účtu na sociálních médiích nebo účtu pro stahování dat, je nutné nejdříve získat souhlas jeho rodičů. Věk, do kterého dítě není samostatně oprávněno udělit souhlas se zpracováním osobních údajů, záleží na tom, ve které zemi žije, běžně je to do 13 až 16 let.^[43]

Některé osobní údaje jsou takového charakteru, že mohou subjekt údajů samy o sobě poškodit ve společnosti, v zaměstnání, ve škole či mohou zapříčinit jeho diskriminaci. Z tohoto důvodu je taxativně (úplným výčtem) vymezena skupina osobních údajů, které jsou považovány s ohledem na osobu (subjekt) údajů za citlivé a jimž je proto poskytnuta zvýšená ochrana při jejich zpracování. Zvláštní kategorie osobních údajů jsou taková osobní data, která vypovídají o rasovém (či etnickém) původu, politických názorech, náboženském vyznání, filozofickém přesvědčení, členství v odborových organizacích, zdravotním stavu či o sexuálním životě anebo sexuální orientaci fyzické osoby.^[44]

Za zvláštní kategorii osobních údajů jsou považovány i genetické a biometrické osobní údaje, a to pokud jsou zpracovávány za účelem jedinečné identifikace fyzické osoby.^[45] Příkladem je otisk prstu, snímek oční duhovky, sítnice nebo obličeje, DNA a podobně.^[46]

Biometrická autentizace vychází z přesvědčení, že některé biologické charakteristiky (morfologické, fyziologické) jsou pro každého živého člověka jedinečné a neměnné. Proto se používají k identifikaci osob a jedná se tak o osobní údaj. Jejich nezměnitelnost je ovšem nevýhoda z hlediska bezpečnostních systémů. Při vyzrazení (úniku dat) nelze biometrické charakteristiky jednoduše změnit, jako to umožňuje například heslo.^[46]

Biometrické osobní údaje jsou důležitou složkou tzv. "silného ověření uživatele" (anglicky Strong Customer Authentication, SCA) ve směrnici Evropské unie o platebních službách. Pro podrobnosti viz samostatné články Směrnice PSD2 a Vícefázové ověření (2FA).^[46]

Další biometrické údaje:

• biometrický elektronický podpis
• biometrické zpracování fotografie
• biometrické zpracování otisku prstů
• analýza hlasu
• analýza osobnostních projevů.^[47]

Správce musí přijmout taková technická a organizační opatření, aby mohl doložit, že zpracování osobních údajů je prováděno v souladu s obecným nařízením, tj. přijmout adekvátní bezpečnostní opatření. Jako jeden z prvků zabezpečení rozumíme šifrovaní nebo pseudonymizaci.^[48]

Za porušení zabezpečení bezpečnostních osobních údajů se považuje porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů.^[49]

Pokud dojde k porušení zabezpečení osobních údajů, musí správce toto porušení bez zbytného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásit dozorovému úřadu (Úřadu pro ochranu osobních údajů). Pokud je ale nepravděpodobné, že by toto porušení mohlo mít za následek riziko práva a svobody fyzických osob, ohlašovací povinnost odpadá. Oznamují se tedy jen rizikové incidenty pro práva a svobody fyzických osob, nikoli bagatelní záležitosti, které jsou nerizikové.^[49]

Volný pohyb osobních údajů v Evropské unii není z důvodu ochrany fyzických osob v souvislosti se zpracováním osobních údajů omezen ani zakázán. Nelze však předávat osobní údaje jakémukoli správci či kdykoli. Při předávání osobních údajů neomezeně v zemích Evropské unie platí stejně vysoký standard právního rámce ochrany osobních údajů jako při jejich zpracování.^[50]

K samotnému předání jinému správci musí mít správce právní důvod. Právní důvod musí mít správce i tehdy, pokud předává osobní údaje do země mimo Evropskou unii (nebo pokud předává osobní údaje zpracovateli). Pokud správce chce předat jinému správci osobní údaje do země mimo Evropskou unii, musí být zajištěna jejich institucionální ochrana, tj. nelze (až na výjimky) předávat osobní údaje do zemí, kde není zajištěna dostatečná právní ochrana osobních údajů, resp. správce nepřijal instrumenty, které tuto ochranu při předávání zajistí.^[51]

V tomto článku byl použit překlad textu z článku Personal data na anglické Wikipedii.

• Evropská rada
• Evropský parlament
• Evropská komise

• Osobní údaj v České terminologické databázi knihovnictví a informační vědy (TDKIV)
• Sociologická encyklopedie, právo na soukromí
• Zákony na ochranu osobních údajů (Privacy law) (anglicky)
• GDPR (General Data Protection Regulation)
• Osobní údaje v Ministerstvu zahraničních věcí
• Osobní údaje v Evropské komisi
• Úřad pro ochranu osobních údajů
• Obecné nařízení o ochraně osobních údajů Archivováno 29. 3. 2023 na Wayback Machine.
• Evropský sbor pro ochranu osobních údajů (EDPB)