Frequently Asked Questions

No. The EDPB does not handle complaints or conduct investigations. If you believe your data protection rights have been violated you can contact the organisation holding your data, contact your national data protection authority (DPA), or go to a national court.

DPAs can conduct investigations and impose sanctions where necessary. Find the contact details for all EEA DPAs 

The European Data Protection Supervisor (EDPS) is the European Union’s (EU) independent data protection authority.

The EDPS is responsible for monitoring the processing of personal data by the EU institutions, bodies, offices and agencies (EUIs) as well as providing advice on policies and legislation that affect privacy and cooperating with similar authorities to ensure consistent data protection.

For more information visit the EDPS website.

As addressees of the EDPB decisions, the relevant Data Protection Authorities (DPAs) that wish to challenge these decisions can bring an action for annulment before the European Court of Justice (CJEU) within two months of being notified.

While Art. 65 (a) and (b) relate to the one-stop-mechanism, Art.65.1 (c) GDPR concerns obligations of Data Protection Authorities (DPAs) stemming from the consistency mechanism.

More specifically, every competent DPA has the duty to request an opinion from the EDPB before adopting national measures pursuant to article 64.1 GDPR. Such measures include lists of processing operations for which a Data Protection Impact Assessment (DPIA) is required, or the approval of a new set of standard clauses. In addition, under Art. 64.2 GDPR, any SA may also request an EDPB consistency opinion on any matter of general application or producing effects in more than one Member State.

If an DPA does not request the opinion of the EDPB for the cases listed under Art. 64.1 GDPR or does not follow the EDPB opinion issued under Art. 64 GDPR, any DPA and the European Commission can launch the dispute resolution procedure of Art. 65.1 (c) GDPR about the matter.

Under the GDPR, you have the right to lodge a complaint with the Data Protection Authority (DPA) in the country of:

• your habitual residence;
• your place of work; or
• the place where the alleged infringement took place.

Find the contact details for all EEA DPAs

The General Data Protection Regulation (GDPR) requires the Data Protection Authority (DPA) of the European Economic Area (EEA) to cooperate closely - under the umbrella of the European Data Protection Board (EDPB) - to ensure the consistent application of the GDPR and the protection of individuals’ data protection rights across the EEA. One of their tasks is to coordinate decision-making in cross-border data processing cases.
A processing is cross-border when:

• data processing takes place in more than one country;
• or it substantially affects or it is likely to substantially affect individuals in more than one country.

Under the so-called one-stop-shop mechanism Art. 60 GDPR, the Lead Supervisory Authority (LSA) acts as the main point of contact for the controller or processor for a given processing, while the Concerned Supervisory Authorities (CSAs) act as the main point of contact for individuals in the territory of their Member State. The LSA is the authority in charge of leading the cooperation process. It will share relevant information with the CSAs, carry out the investigations, prepare the draft decision relating to the case, and cooperate with the other CSAs in an endeavour to reach consensus on this draft decision.

Ano, vaši klienti musí být při telefonickém hovoru informováni o účelu záznamu, příjemcích záznamů, o svém právu vznést námitku a o svém právu na přístup k záznamům.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Fyzické osoby mají právo požadovat výmaz osobních údajů, které se jich týkají, a v takovém případě má správce povinnost osobní údaje vymazat. Měli byste odpovědět bez zbytečného odkladu, nejpozději však do jednoho měsíce od obdržení žádosti. Tato lhůta může být prodloužena o další dva měsíce, pokud je žádost příliš složitá a k vyhovění žádosti je zapotřebí více času, pokud je o tom daná osoba informována do jednoho měsíce od obdržení žádosti.

Je důležité si uvědomit, že právo na výmaz není absolutní. Nevztahuje se na případy, kdy jsou dotyčné údaje nezbytné pro:

• výkon práva na svobodu projevu a informací (např. pro účely žurnalistiky);
• splnění právní povinnosti, která vyžaduje zpracování osobních údajů (např. zpracování záznamů o pracovní době zaměstnanců);
• důvody veřejného zájmu v oblasti veřejného zdraví
• účely archivace ve veřejném zájmu nebo pro účely vědeckého či historického výzkumu nebo pro statistické účely; a
• určení, výkon nebo obhajobu právních nároků.

Pokud byly osobní údaje, které mají být vymazány, dříve předány jiným organizacím, musíte tyto příjemce informovat o tom, že fyzická osoba požádala o výmaz, pokud se to neukáže jako nemožné nebo by to vyžadovalo nepřiměřené úsilí.

Více informací:

• Dodržování práv jednotlivců

V případě přímého shromažďování osobních údajů od dotčených fyzických osob musí organizace poskytnout informace o operacích zpracování stručným a transparentním způsobem za použití srozumitelného, snadno dostupného, jasného a jednoduchého jazyka. To lze provést písemně (např. na zadní straně nabídky) nebo elektronickými prostředky (např. na internetových stránkách). Pokud o to dotyčná osoba požádá, můžete tyto informace poskytnout také ústně, ale musí být schopna to později prokázat.

I když byly údaje shromážděny nepřímo, tj. pokud osobní údaje nejsou shromažďovány přímo od fyzické osoby, ale například prostřednictvím třetí strany, musí být fyzickým osobám poskytnuty stejné podrobné informace.

Platná smlouva mezi správcem a zpracovatelem osobních údajů je podle GDPR povinná. Protiprávnímu jednání může být uložena správní pokuta až do výše 10 milionů EUR nebo až do výše 2 % celkového ročního obratu společnosti, podle toho, která hodnota je vyšší.

Dánské a slovinské orgány pro ochranu údajů, jakož i Evropská komise vypracovaly vzorové dohody, které vám pomohou při uzavírání dohody mezi správcem a zpracovatelem.

Více informací:

• Správce nebo zpracovatel údajů

Once the EDPB has adopted a binding decision, the EDPB Chair notifies the binding decision to the relevant national Data Protection Authorities (DPAs) without undue delay.

Prior to the notification, the binding decision is translated into the languages of the relevant national DPAs that have to adopt a final decision or take measures at national level on the basis of the binding decision¹. Translation and proofreading can take a few weeks. In any case, the English version of the decision is the only authentic language version.

Next step for the relevant  Data Protection Authorities (DPAs)

Once the relevant SAs have been notified of the binding decision, a decision has to be adopted at national level to implement the content of the binding decision. This decision will be adopted without undue delay and at the latest one month after the EDPB has notified its decision.
For cross-border cases where no consensus was found (Art. 65.1 (a) GDPR), the final decision will be addressed to the controller or processor and, where relevant, to the complainant.

1. Please see paragraphs 6 and 7 of Art. 11 of the EDPB Rules of Procedure. In exceptional cases, other Concerned Supervisory Authority (CSAs) can request, providing the reasons, an urgent translation in their official EU language(s) no later than at the moment of adoption of the binding decision.

Within one month from the referral of the subject matter, the EDPB must adopt a decision by a two-thirds majority. 

The one-month deadline to adopt this binding decision can be extended by another month, if the case is complex. When the EDPB is not able to reach a decision within the abovementioned period, the decision must be adopted by a simple majority within two additional weeks. Should the members of the EDPB be split, the decision will be adopted by the vote of the EDPB Chair.

Bereme na vědomí Váš návrh adresovaný Evropskému sboru pro ochranu osobních údajů, aby tuto záležitost zvážil jako budoucí vodítko. Témata, která jsou v současné době obsažena v pracovním programu EDPB, si můžete prohlédnout na našich internetových stránkách: https://www.edpb.europa.eu/about-edpb/what-we-do/strategy-work-programme_cs.

Please note that the EDPB does not contact individuals, via phone or other means of communication, to inform them of such matters.

Therefore, it could be that the call you received represents a phishing attack targeting you abusing our name.

Měli byste odpovědět bez zbytečného odkladu, nejpozději však do jednoho měsíce od obdržení žádosti. Tato lhůta může být prodloužena o další dva měsíce, pokud je žádost příliš složitá a je zapotřebí více času na odpověď, za předpokladu, že je o tom daná osoba informována do jednoho měsíce od obdržení její žádosti.

Musíte to udělat zdarma.

Více informací:

• Respektování práv jednotlivců

Ne, zpracování citlivých údajů je obecně zakázáno. Možné to je jen s výjimkou a za velmi přísných omezení:

• Fyzická osoba udělila výslovný souhlas se zpracováním svých citlivých údajů.
• Zpracování citlivých údajů je nezbytné k tomu, aby správce údajů mohl plnit své povinnosti, zejména v souvislosti se zaměstnáním, sociálním zabezpečením a sociální ochranou. Může se například stát, že správce údajů bude muset zpracovávat citlivé údaje určité osoby, aby mohl určit, zda má tato osoba nárok na určité dávky sociálního zabezpečení nebo pracovní stipendium.
• Zpracování citlivých údajů je nezbytné pro ochranu životně důležitých zájmů osoby, která není fyzicky nebo právně způsobilá udělit souhlas. Například pokud je osoba ponechána v bezvědomí v důsledku nehody a vyžaduje okamžitou lékařskou péči, může být nutné zpracovat údaje o jejím zdravotním stavu, aby mohla být poskytnuta odpovídající lékařská péče.
• Zpracování citlivých údajů se provádí v souvislosti s legitimní činností nadace, sdružení nebo jiné neziskové organizace s politickým, filozofickým, náboženským nebo odborovým cílem a pouze pro zpracování osobních údajů jejich členů, bývalých členů nebo osob, které s nimi udržují pravidelný kontakt.
• Citlivé údaje byly zjevně zveřejněny jednotlivcem.
• Zpracování citlivých údajů je nezbytné v souvislosti se soudním řízením.
• Zpracování citlivých údajů je nezbytné pro záležitosti významného veřejného zájmu.
• Zpracování citlivých údajů je nezbytné v souvislosti s preventivním nebo pracovním lékařstvím. Například posouzení citlivých údajů jednotlivce, jako jsou jeho zdravotní údaje, může být nezbytné k určení jeho pracovní schopnosti jako zaměstnance.
• Zpracování citlivých údajů je nezbytné pro záležitosti veřejného zdraví na základě právních předpisů EU nebo vnitrostátních právních předpisů. Například zpracování citlivých údajů jednotlivců může být nezbytné pro zajištění vysoké kvality zdravotní péče a vysoké kvality zdravotnických výrobků nebo pro boj proti vážným zdravotním hrozbám, jako jsou viry.
• Zpracování citlivých údajů je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely. Zpracování citlivých údajů může být například nezbytné pro poskytnutí přesných statistik o situaci dané země v určité oblasti.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Fyzické osoby se vás mohou zeptat, zda jejich údaje zpracováváte a kde tomu tak je, mají právo na přístup k těmto údajům. Pokud se tak stane a pokud zpracováváte jejich údaje, měli byste například bezplatně poskytnout kopii jejich osobních údajů spolu s veškerými nezbytnými dodatečnými informacemi. Pokud je žádost podána elektronicky, měla by vaše organizace poskytnout požadované informace v běžně používaném elektronickém formátu, pokud jednotliví uživatelé nepožadují jinak.

Více informací:

• Dodržování práv jednotlivců

Zpracováním osobních údajů se rozumí jakýkoli druh činnosti (operace zpracování) prováděné na osobních údajích fyzických osob nebo s nimi. To zahrnuje shromažďování, zaznamenávání, organizování, strukturování, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, nahlížení, dotazování, používání, sdělování přenosem, šíření nebo jakékoli jiné zpřístupňování, srovnávání nebo kombinování, omezování, výmaz nebo ničení osobních údajů.

Obecné nařízení o ochraně osobních údajů se vztahuje na používání souborů cookie, pokud se používají ke zpracování osobních údajů, existují však také konkrétnější pravidla pro cookies soubory, včetně směrnice o soukromí a elektronických komunikacích.

Uložení cookie souboru nebo získání přístupu k již uloženému cookie souboru v koncovém zařízení uživatele je povoleno pouze za podmínky, že dotčený účastník nebo uživatel byl odpovídajícím způsobem informován (zejména o účelech zpracování) a udělil svůj souhlas.

Jedinou výjimkou jsou technicky nezbytné cookies. Organizace nemusí žádat o souhlas při používání technicky nezbytných cookies na svých webových stránkách.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Pseudonymizace spočívá v přeměně osobních údajů tak, aby bez použití dodatečných informací už nemohly být přiřazeny konkrétní fyzické osobě. Tyto dodatečné informace musejí být uchovávány odděleně a podléhají technickým a organizačním opatřením k zajištění toho, aby osobní údaje nebyly přiřazeny fyzické osobě. V praxi to může znamenat nahrazení osobních údajů (jméno, jméno, osobní číslo, telefonní číslo atd.) v souboru údajů nepřímo identifikujícími údaji (alias, pořadové číslo atd.). Pseudonymizované údaje jsou stále osobními údaji a vztahuje se na ně nařízení GDPR.

Anonymizované údaje jsou údaje, které byly anonymizovány takovým způsobem, že fyzická osoba není nebo už není identifikovatelná žádnými prostředky, u nichž je rozumně pravděpodobné, že budou použity. Pokud je anonymizace řádně provedena, nařízení GDPR se na anonymizované údaje už nevztahuje.

Více informací:

• Zabezpečení osobních údajů