Frequently Asked Questions

Výbor pro koordinační dohled, který existuje v rámci EDPB, koordinuje dohled nad zpracováním osobních údajů v Schengenském informačním systému (SIS). Příslušnými právními předpisy EU jsou nařízení (EU) 2018/1862 (zejména článek 71) a nařízení (EU) 2018/1861 (zejména článek 57).

Pokud jde o osobní údaje obsažené v SIS, máte právo na přístup, opravu a výmaz. Tato práva zahrnují:

• právo vědět, zda jsou informace, které se vás týkají, zpracovávány v SIS;
• právo na přístup k těmto údajům;
• právo na opravu nepřesných údajů nebo vymazání, pokud byly tyto údaje uchovávány protiprávně; a
• Právo podat žalobu u soudů, vašeho orgánu pro ochranu údajů a/nebo příslušných orgánů, pokud je to vhodné, na opravu nebo vymazání údajů, které se vás týkají, nebo na získání náhrady škody.

Chcete-li uplatnit svá práva, obraťte se na příslušný vnitrostátní orgán v zemi Schengenu, kterou si zvolíte. Další informace o příslušných vnitrostátních orgánech a o orgánu pro ochranu údajů v každé zemi schengenského prostoru naleznete v „Příručcepro výkon práv subjektů údajů“, která je k dispozici na našich internetových stránkách. Zde najdete také vzorové dopisy, které vám pomohou při výkonu vašich práv. 

Vezměte prosím na vědomí, že EDPB nemá pravomoc vyřizovat jednotlivé stížnosti nebo žádosti. Kromě toho nemá EDPB přístup k obsahu těchto informačních systémů a databází.

Další podrobnosti o tom, jak uplatnit svá práva, jsou k dispozici na našich internetových stránkách https://www.edpb.europa.eu/our-work-tools/our-documents/csc-data-subject-rights/schengen-information-system-guide-exercising_cs.

Obecné nařízení o ochraně osobních údajů stanoví konkrétní práva jednotlivců, která musí být dodržována. Můžete to udělat tím, že:

• informujete fyzické osoby jejichž údaje zpracováváte, o vašich operacích zpracování a účelech zpracování při shromažďování jejich údajů, například prostřednictvím prohlášení o ochraně osobních údajů na vašich webových stránkách
• odpovídáte na žádosti jednotlivců o výkon jejich práv, jako jsou žádosti o přístup, opravu, námitku, výmaz nebo přenositelnost

U organizací, které jsou transparentní, pokud jde o jejich používání osobních údajů, a které respektují práva jednotlivců, je méně pravděpodobné, že budou předmětem stížností.

Více informací:

• Respektování práv jednotlivců

Porušení zabezpečení osobních údajů je narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu k osobním údajům.

• Pokud porušení zabezpečení osobních údajů představuje pro dotčené osoby riziko, musíte je do 72 hodin nahlásit příslušnému orgánu pro ochranu osobních údajů.
• Pokud je pravděpodobné, že porušení bude mít za následek vysoké riziko pro fyzické osoby, budete také muset toto porušení oznámit dotčeným fyzickým osobám bez zbytečného odkladu.

V každém případě u všech porušení – i těch, která nejsou oznámena orgánu pro ochranu údajů – musíte zaznamenat alespoň základní podrobnosti o porušení, jeho posouzení, jeho účincích a opatřeních přijatých v reakci na ně.

Více informací:

• Porušení zabezpečení osobních údajů

Evropský sbor pro ochranu osobních údajů (EDPB) pravidelně zveřejňuje tiskové zprávy, novinky, blogy a další obsah na internetových stránkách EDPB a jeho kanálech sociálních médií Twitter @EU_EDPB; Linkedin Evropský sbor pro ochranu osobních údajů. EDPB tak komunitu pro ochranu údajů a širokou veřejnost průběžně informuje o své činnosti.

Internetové stránky EDPB mají také dva informační kanály RSS, které si můžete objednat pro automatické aktualizace zpráv EDPB  a nejnovějších publikací EDPB.

Obecné nařízení o ochraně osobních údajů (GDPR) nebo obecné nařízení o ochraně osobních údajů (GDPR) vytváří harmonizovaný soubor pravidel, která se vztahují na veškeré zpracování osobních údajů organizacemi (veřejnými nebo soukromými, bez ohledu na jejich velikost) usazenými v Evropském hospodářském prostoru (EHP) nebo zaměřenými na jednotlivce v EU. Hlavním cílem nařízení GDPR je zajistit, aby osobní údaje požívaly stejné vysoké úrovně ochrany všude v EHP, zvýšit právní jistotu pro fyzické osoby i organizace zpracovávající údaje a nabídnout fyzickým osobám vysoký stupeň ochrany.

Nařízení vstoupilo v platnost dne 24. května 2016 a jeho účinnost nastala dne 25. května 2018.

All individuals residing in the European Economic Area (EEA) have the right to the protection of their personal data.

More specifically, under the GDPR, you have several rights

• Right to be informed
• Right of access
• Right to rectification
• Right to restriction of processing
• Right to data portability
• Right to object
• Right not be subject to a decision based solely on automated processing.

For more information on your rights, please consult our leaflet The GDPR and your rights or the EDPB Data Protection Guide for small business.

Existují-li dva nebo více správců osobních údajů, kteří společně určují účel a prostředky zpracování, považují se za společné správce osobních údajů. Společně se rozhodnou zpracovávat osobní údaje pro společný účel. Společná správa může mít mnoho podob a účast různých správců může být nerovná. Společní správci proto musejí určit svou odpovědnost za soulad s obecným nařízením o ochraně osobních údajů.

Je důležité poznamenat, že společná správa vede ke společné odpovědnosti za činnost zpracování osobních údajů.

• Příklad společné správy: Společnosti A a B uvedly na trh produkt pod společnou značkou a chtějí uspořádat akci na podporu tohoto produktu. Za tímto účelem se rozhodnou sdílet data ze svých databází klientů a potenciálních klientů a na tomto základě rozhodnout o seznamu pozvaných na akci. Dohodnou se také na způsobech zasílání pozvánek na akci, způsobu získávání zpětné vazby během akce a následných marketingových akcích. Společnosti A a B lze považovat za společné správce pro zpracování osobních údajů souvisejících s organizací propagační akce, neboť společně rozhodují o společně definovaném účelu a základních prostředcích zpracování údajů v této souvislosti.

Více informací:

• Správce nebo zpracovatel údajů

Souhlas by skutečně mohl být platným právním základem pro uchovávání životopisů uchazečů o zaměstnání. Dalším možným právním základem by mohl být oprávněný zájem. V takovém případě byste museli provést test vyváženosti, abyste prokázali, že oprávněné zájmy vaší organizace převažují nad právy žadatelů.

V každém případě budete muset uchazeče informovat o tom, že hodláte jejich údaje uchovávat a pro jaké účely.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Ano, ale za tímto účelem budete muset nejprve určit právní základ pro zpracování tohoto typu osobních údajů. Zpracování může být například považováno za oprávněný zájem vaší organizace. Při zpracování osobních údajů na základě oprávněného zájmu je vždy nutné provést test vyváženosti, aby se zjistilo, zda vaše oprávněné zájmy převažují nad právy jednotlivců, zejména pokud se jedná o děti.

Dalším možným právním základem pro takové zpracování by mohl být souhlas. V každém případě by jednotlivci měli být vždy předem informováni o tom, že akce je fotografována nebo natáčena.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Evropská komise může rozhodnout, zda země mimo Evropu (nebo mezinárodní organizace) nabízí „přiměřenou“ úroveň ochrany údajů, která usnadňuje toky údajů mezi Evropou a touto zemí. 

EDPB je odpovědný za vydávání stanovisek k návrhům rozhodnutí o odpovídající ochraně před rozhodnutím Evropské komise. Stanoviska nejsou pro Evropskou komisi závazná, ale jsou obvykle užitečná pro ostatní organizace, které jsou v tomto rámci konzultovány, jako jsou členské státy EU.

Evropská komise je navíc oprávněna sledovat vývoj v mimoevropských zemích, který by mohl ovlivnit rozhodnutí o odpovídající ochraně. Některá rozhodnutí o odpovídající ochraně stanoví zvláštní správnost přezkumu rozhodnutí a mohou odkazovat na možnost zástupců EDPB účastnit se procesu přezkumu organizovaného Evropskou komisí.

Vezměte prosím také na vědomí, že evropské orgány pro ochranu údajů mohou chránit fyzické osoby v souvislosti s předáváním údajů v souvislosti s rozhodnutím o odpovídající ochraně (jejich seznam naleznete na našich internetových stránkách: https://edpb.europa.eu/about-edpb/our-members).

Pokud se domníváte, že stávající rozhodnutí o odpovídající ochraně není v souladu s vašimi základními právy na soukromí a ochranu údajů, můžete podat stížnost u svého orgánu pro ochranu údajů, který může tyto námitky vznést u vnitrostátního soudu, který může být povinen předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce (viz čl. 58 odst. 5 nařízení GDPR a rozsudek ESD ve věci Schrems (věc C-362/14)).

Další informace naleznete na adrese: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_cs

Ano, GDPR se použije, pokud jsou osobní údaje obsaženy nebo mají být obsaženy v evidenci. To znamená, že GDPR se vztahuje i na papírové záznamy, a nikoli pouze na automatizované zpracování osobních údajů.

Více informací:

• Základy ochrany údajů

Unfortunately, the EDPB cannot consider late contributions as part of the public consultation.

Ne, abyste se mohli stát pověřencem pro ochranu osobních údajů, nemusíte být certifikováni.

Pověřenci pro ochranu osobních údajů však musí být schopni prokázat, že mají nezbytnou kvalifikaci požadovanou obecným nařízením o ochraně osobních údajů, jako jsou odborné znalosti právních předpisů a postupů v oblasti ochrany osobních údajů.

Více informací:

• Pověřenec pro ochranu osobních údajů

Správci osobních údajů mohou zpracovávat osobní údaje pouze v jedné z následujících situací:

• se souhlasem dotčených osob
• pokud je zpracování nezbytné pro plnění smlouvy (smlouvy mezi vaší organizací a fyzickou osobou)
• splnění právní povinnosti podle právních předpisů EU nebo vnitrostátních právních předpisů
• pokud je zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu podle právních předpisů EU nebo vnitrostátních právních předpisů
• chránit životně důležité zájmy jednotlivce
• oprávněných zájmů vaší organizace – s výjimkou případů, kdy nad nimi převažují práva a svobody jednotlivců

Obecné nařízení o ochraně osobních údajů navíc stanoví další podmínky pro zpracování citlivých údajů.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Posouzení vlivu na ochranu osobních údajů (Data Protection Impact Assessment - DPIA) je písemné posouzení, které by organizace měla provést, aby vyhodnotila dopad plánované operace zpracování osobních údajů. Pomůže vám určit vhodná opatření k řešení rizik a prokázat dodržování předpisů.

I když je vždy vhodnější předvídat dopad plánovaných operací zpracování v organizaci, provedení posouzení vlivu na ochranu osobních údajů je povinné provést, pokud je pravděpodobné, že zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob (subjekty údajů).

Konkrétně se jedná o případ, kdy zamýšlené zpracování zahrnuje:

• rozsáhlé zpracování citlivých osobních údajů nebo údajů týkajících se rozsudků v trestních věcech (osobní údaje zvláštní kategorie)  
• systematické a rozsáhlé hodnocení osobních aspektů fyzické osoby založené na automatizovaném zpracování, včetně profilování, na němž jsou založena rozhodnutí, která mají právní účinky týkající se dotčené fyzické osoby nebo se jí obdobným způsobem významně dotýkají
• systematické monitorování veřejně přístupných prostor ve velkém měřítku.

Sbor pro ochranu osobních údajů (EDPB) vypracoval pokyny, v nichž jsou uvedena kritéria, která musíte vzít v úvahu při posuzování toho, zda je posouzení vlivu na ochranu osobních údajů povinné nebo ne. Orgány pro ochranu osobních údajů také zveřejnily seznamy operací zpracování, které podléhají posouzení vlivu na ochranu osobních údajů. Kromě toho několik úřadů pro ochranu osobních údajů vyvinulo příručky, software nebo nástroje pro sebehodnocení, které vám pomohou s vaším hodnocením.

Více informací:

• Soulad

Zpracování osobních údajů je povoleno, pokud pro to existuje právní základ. Kromě svobodného, konkrétního, informovaného a jednoznačného souhlasu lze pro zpracování použít i jiné právní základy.
Jinými slovy, souhlas je nezbytný, pokud se nepoužije žádný z ostatních právních základů.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Informace o pracovních příležitostech naleznete na našich internetových stránkách: https://www.edpb.europa.eu/career-opportunities_cs

Chcete-li získat více informací nebo chcete-li podat spontánní přihlášku, obraťte se na adresu edps-selections@edps.europa.eu. Chcete-li podat přihlášku, uveďte, že se ucházíte o pracovní místo v sekretariátu EDPB. Spontánní žádost zaslaná přímo Evropskému sboru pro ochranu osobních údajů se vymaže bez předání.

Podle obecného nařízení o ochraně osobních údajů existují v zásadě dva hlavní způsoby předávání osobních údajů do země mimo EHP nebo mezinárodní organizaci. Předání se může uskutečnit na základě rozhodnutí o odpovídající ochraně, nebo pokud takové rozhodnutí neexistuje, na základě vhodných záruk, včetně vymahatelných práv a opravných prostředků pro fyzické osoby (subjekty údajů).

Více informací:

• Mezinárodní transfery

Smlouva mezi správcem osobních údajů a zpracovatelem osobních údajů musí stanovit, že zpracovatel:

• zpracovává osobní údaje pouze na základě pokynů správce osobních údajů, a to i pokud jde o předávání osobních údajů do země mimo EHP
• zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala příslušná zákonná povinnost mlčenlivosti
• zajišťuje bezpečnost zpracování
• nesmí najmout jiného zpracovatele údajů bez předchozího zvláštního nebo obecného písemného povolení správce osobních údajů
• pomáhá správci osobních údajů při plnění jeho povinnosti reagovat na žádosti jednotlivců o výkon jejich práv
• pomáhá správci osobních údajů při zajišťování zpracování, oznamování případů porušení zabezpečení osobních údajů, a provádění posouzení vlivu na ochranu osobních údajů (DPIA)
• podle volby správce údajů vymaže nebo vrátí veškeré osobní údaje správci údajů po ukončení poskytování služeb
• poskytne správci údajů veškeré informace nezbytné k prokázání souladu s povinnostmi podle obecného nařízení o ochraně osobních údajů
• umožňuje audity, včetně inspekcí prováděných správcem údajů nebo jiným auditorem pověřeným správcem údajů, a přispívá k nim

Kromě toho zpracovatel údajů neprodleně informuje správce údajů, pokud podle jeho názoru pokyny porušují obecné nařízení o ochraně osobních údajů nebo jiné unijní nebo vnitrostátní předpisy o ochraně údajů.

Více informací:

• Správce nebo zpracovatel údajů

Ano, zpracovatelé osobních údajů (tj. fyzické osoby nebo subjekty, které zpracovávají údaje jménem správce údajů) mají povinnosti podle nařízení GDPR. Mezi odpovědností správců a zpracovatelů osobních údajů však existují určité rozdíly.

Zpracovatelé osobních údajů musí dodržovat povinnosti stanovené ve smlouvě mezi správcem a zpracovatelem osobních údajů, která podrobně popisuje operace zpracování a prostředky zpracování osobních údajů. Zpracovatel bude například muset provádět operace zpracování s vhodnými technickými a organizačními opatřeními podle pokynů správce. Zpracovatel přitom pomáhá správci při dodržování GDPR.

Více informací:

• Správce nebo zpracovatel údajů