Frequently Asked Questions

Obecné nařízení o ochraně osobních údajů rozlišuje dvě hlavní úlohy: správce osobních údajů a zpracovatel osobních údajů. Toto rozlišení je zásadní, protože správce osobních údajů nese větší odpovědnost a musí plnit více povinností než zpracovatel osobních údajů.

Správci a zpracovateli údajů mohou být fyzické nebo právnické osoby, například: malý nebo střední podnik, orgán veřejné moci, společnost, organizace, státní orgán, sdružení, apod.

Správce osobních údajů určuje účely a prostředky operace zpracování. Správce  tedy rozhoduje o tom, jak a proč se operace zpracování osobních údajů provádí. Zpracovatelé osobních údajů zpracovávají osobní údaje jménem správce osobních údajů. Zpracování prováděné zpracovateli musí být upraveno smlouvou se správcem osobních údajů nebo jiným právním aktem.

Příklady správců osobních údajů:

• společnosti, které zpracovávají osobní údaje svých zákazníků za účelem dokončení prodeje
• finanční instituce, které zpracovávají osobní údaje svých klientů
• sdružení, která zpracovávají údaje svých členů
• školy nebo univerzity, které zpracovávají osobní údaje studentů a učitelů
• nemocnice, které zpracovávají osobní údaje svých pacientů
• státní orgány, které zpracovávají osobní údaje občanů
   

Příklady zpracovatelů údajů:

• malý nebo střední podnik si najme účetní službu k vedení svých účetních knih a záznamů, malý nebo střední podnik je správcem údajů a účetní služba zpracovatelem údajů
• mzdová společnost zpracovává osobní údaje pro malý nebo střední podnik - mzdová společnost bude jednat jako zpracovatel osobních údajů, pokud zpracovává osobní údaje výhradně jménem malého nebo středního podniku. (mzdová společnost tak určuje účely a prostředky zpracování osobních údajů, a je proto správcem osobních údajů)
• malý nebo střední podnik pověří marketingovou společnost shromažďováním e-mailových adres prostřednictvím internetových stránek třetích stran - marketingová společnost tak činí podle výslovných pokynů malého a středního podniku a výhradně pro jeho účely (marketingová společnost vystupuje u této sbírky jako zpracovatel osobních údajů)

Více informací:

• Správce nebo zpracovatel údajů

Některé typy osobních údajů patří do zvláštních kategorií osobních údajů, což znamená, že si zaslouží vyšší míru ochrany, (tzv. citlivé údaje). Tyto osobní údaje zahrnují údaje, které odhalují informace o:

• zdraví jednotlivce
• sexuální orientaci jednotlivce
• rasový nebo etnický původ jednotlivce
• politické názory, náboženské nebo filozofické přesvědčení jednotlivce, členství jednotlivce v odborových organizacích
• biometrické a genetické údaje jednotlivce

Zpracování údajů zvláštní kategorie fyzické osoby je obecně zakázáno, s výjimkou zvláštních okolností, které odůvodňují jejich zpracování.

Více informací:

• Základy ochrany údajů

Pověřenec pro ochranu osobních údajů může být stávající zaměstnanec s dostatečnou znalostí GDPR (pokud jsou jeho pracovní úkoly slučitelné s pracovními úkoly pověřence pro ochranu osobních údajů a nevede to ke střetu zájmů) nebo jím může být externí osoba. Pověřenec pro ochranu osobních údajů by měl být schopen plnit úkoly nezávisle, a měl by být schopen podávat zprávy přímo nejvyššímu vedení organizace.

Více informací:

• Pověřenec pro ochranu osobních údajů

The archived documents adopted by the Article 29 Working Party (1997-2016) are available on the website of the European Commission here: WP29 archive.

Should you experience any difficulty accessing WP29 documents, we recommend contacting the European Commission's DG Justice. The European Commission provided the Secretariat for the Article 29 Working Party and was responsible for all its publications. 

You can contact them by filling out the following form

Every organisation, regardless of the their size or sector, established in the European Economic Area (EEA) or offering products or services to individuals in the EEA, processing personal data whether or not by automated means needs to comply with the GDPR. The GDPR applies to the automated processing of personal data and to processing operations carried out manually from the moment the paper files are organised in a systematic manner, e.g. ordered alphabetically in a filing cabinet.

Examples of processing operations include collecting, recording, organising, using, modifying, storing, disclosing, altering and erasing individuals’ personal data.

Nevertheless, the application of the GDPR is modulated according to the nature, context, purposes and risks of the processing operations carried out. For SMEs whose core business is not the processing of personal data, the obligations can be less strict than for a large company.

Once a public consultation is closed, all contributions to the public consultation are reviewed and, where necessary, the guidelines may be adapted. Once this process has been completed, the guidelines will be up for final adoption at a subsequent EDPB plenary.

Osobními údaji se rozumí veškeré informace týkající se identifikované nebo identifikovatelné fyzické osoby. Identifikovatelnou osobou je osoba, kterou lze přímo či nepřímo identifikovat. Osobními údaji jsou rovněž různé informace, které by mohly vést k identifikaci konkrétní osoby (subjektu údajů).

Příklady osobních údajů zahrnují:

• jméno a příjmení
• adresu bydliště
• e-mailovou adresu
• číslo průkazu totožnosti
• lokalizační údaje
• adresa internetového protokolu (IP);
• ID souboru cookie
• bankovní účty
• daňové výkazy
• biometrické údaje (např. otisk prstu)
• číslo sociálního zabezpečení
• číslo pasu
• výsledky zkoušek
• známky ve škole
• historie prohlížení
• fotografie jednotlivce
• registrační značka vozidla, apod.

Více informací:

• Základy ochrany údajů

All comments submitted are screened and reviewed manually before being displayed on our website. There should have been a visual confirmation after submitting your comments on our website.

In any case, please allow for some time before your comments are published.

The GDPR puts in place clear procedures in case of a data breach. If a data breach poses a risk, companies and organisations holding your data have to inform the relevant data protection authority within 72 hours or without undue further delay. If the leak poses a high risk to you, then you must also be informed personally.

For more information on data breaches, please consult the EDPB Data Protection Guide for small business.

We are constantly working on the translation of our documents into the official EU languages.
All static content, as well as press releases and documents officially adopted by the Board, such as Guidelines, will be made available in these languages.

This process takes time and various steps need to be completed in order to provide translations of the best quality.

Please note that documents undergoing public consultation are usually not translated. It is only after the public consultation has been concluded and a final version of the document has been adopted by the Board that these documents will be translated.

Certification bodies are accredited by the national data protection authorities (DPA) or by the national accreditation body (named in accordance with Regulation 17065/2012). For further information regarding certification bodies, we recommend contacting the national DPA in your country. You can find an overview of all EEA DPAs here.

You can find further information regarding accreditation of certification bodies here: Guidelines 4/2018 on the accreditation of certification bodies under Article 43 of the General Data Protection Regulation (2016/679)

EDPB neposkytuje občanům nebo soukromým/veřejným organizacím individuálně uzpůsobené právní poradenství ohledně toho, jak uplatňovat právní předpisy o ochraně údajů v konkrétních případech. 

Hlavním úkolem EDPB je vydávat obecné pokyny a stanoviska. Všechny přijaté pokyny a stanoviska jsou k dispozici zde: Pokyny, doporučení, osvědčené postupy a stanoviska. Doporučujeme rovněž přečíst si příručku o ochraně údajů pro malé podniky. Tato příručka vám pomůže porozumět klíčovým pojmům ochrany údajů, právům jednotlivců podle obecného nařízení o ochraně osobních údajů, požadavkům na dodržování předpisů, bezpečnostním opatřením a způsobu řešení případů porušení zabezpečení údajů.

Další informace o úloze EDPB a uplatňování obecného nařízení o ochraně osobních údajů naleznete také zde: Frequently Asked Questions.

Také vás vyzýváme, abyste se seznámili s webovými stránkami úřadu pro ochranu osobních údajů ve vaší zemi. Odkazy na internetové stránky našich členů naleznete zde: Our members.

Zveřejnění jmen vítězů soutěže na vašich internetových stránkách by mohlo být považováno za oprávněný zájem, pokud to můžete prokázat provedením testu vyváženosti s cílem určit, zda vaše oprávněné zájmy převažují nad právy jednotlivců.

Osvědčeným postupem by bylo zavedení interního postupu, v němž by byla vysvětlena pravidla pro zveřejňování osobních údajů vítězů.

Kromě toho by zpracování osobních údajů pro tyto účely mělo být součástí politiky ochrany soukromí výběrového řízení tak, aby účastníci informováni předem o tom, jak budou jejich údaje zpracovávány.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

All documents adopted during the EDPB Plenary are subject to the necessary legal, linguistic and formatting checks and will be made available on the EDPB website once these have been completed.

Once published, recently adopted documents will be listed under “latest publications” on the main page of this website.

You can also find overviews of the documents adopted per plenary on the EDPB news page.

The European Data Protection Board (EDPB) is an independent European body, which contributes to the consistent application of data protection rules throughout the European Union, and promotes cooperation between the EU’s data protection authorities (DPAs), as well as the DPAs of Iceland, Liechtenstein and Norway (the European Economic Area or EEA).

Once the Lead Supervisory Authority (LSA) or, in some cases the Concerned Supervisory Authority (CSA), with which the complaint was lodged has notified the EDPB of the date its final decision was communicated to the controller or processor and, where relevant, to the complainant, the EDPB will publish its own decision on its website.

Nezbytná bezpečnostní opatření se mohou lišit v závislosti na povaze osobních údajů, které zpracováváte, a souvisejících rizicích pro jednotlivce. V každém případě existuje několik minimálních opatření, která byste měli zavést:

• zabezpečený přístup do prostor organizace
• používat pravidelně aktualizovaný antivirový software
• pečlivě vybírat hesla
• zajistit, aby byli uživatelé před použitím počítačového vybavení ověřeni
• mít zavedeny zásady zálohování a vyhledávání údajů pro případě incidentu.

Kromě toho některá základní opatření, jako je zamykání obrazovky, když jste pryč a zamykání kanceláře na konci dne, nejsou nikdy na místě...

Více informací:

• Zabezpečení osobních údajů

The EDPB aims to ensure the consistent application of the General Data Protection Regulation and of the Law Enforcement Directive in the European Economic Area (EEA). The EDPB also looks into the application of certain aspects of the ePrivacy Directive.

Our main tasks and duties are:

• providing general guidance (including guidelines, recommendations and best practices) to clarify the law and to promote a common understanding of EU data protection laws;
• adopting opinions addressed to the European Commission or to the national Data Protection Authorities (DPAs):
  • to advise the European Commission on any issue related to the protection of personal data and newly proposed legislation in the European Union (Art. 70 GDPR). In some instances, we issue Joint Opinions together with the EDPS (Art.42 of Regulation 2018/1725);
  • to ensure consistency of the activities of national data protection authorities (DPAs) on cross-border matters (Art. 64 GDPR). If authorities fail to respect an opinion issued by the EDPB, we may adopt a binding decision;
• adopting binding decisions addressed to the national DPAs and aiming to settle disputes between them when they cooperate in cross-border cases, with the purpose of ensuring the correct and consistent application of the GDPR in individual cases;
• promoting and supporting the cooperation among national DPAs.

1. Ujistěte se, že osobní údaje, které jste obdrželi, byly shromážděny zákonným způsobem, a že dotčené osoby (subjekty údajů) byly informovány o zpracování jejich osobních údajů.
2. V případě, že třetí strana zpracovává osobní údaje vaším jménem, ujistěte se, že máte smlouvu mezi správcem osobních údajů a zpracovatelem (oú), která podrobně popisuje operace zpracování a prostředky ke zpracování osobních údajů.

A samozřejmě dodržujte všechny povinnosti správců osobních údajů.

Více informací:

• Správce nebo zpracovatel údajů

Ano, můžete, ale GDPR ukládá určité povinnosti podnikům, které sdílejí osobní údaje. Vaše organizace musí informovat fyzické osoby (subjekty údajů), že jejich údaje budete sdílet s třetí stranou. Musíte je také informovat o vašich účelech zpracování, zabezpečení, přístupu a o opatřeních pro uchovávání, která zavedete.