Frequently Asked Questions

Obecné nařízení o ochraně osobních údajů stanoví konkrétní práva jednotlivců, která musí být dodržována. Můžete to udělat tím, že:

• informujete fyzické osoby jejichž údaje zpracováváte, o vašich operacích zpracování a účelech zpracování při shromažďování jejich údajů, například prostřednictvím prohlášení o ochraně osobních údajů na vašich webových stránkách
• odpovídáte na žádosti jednotlivců o výkon jejich práv, jako jsou žádosti o přístup, opravu, námitku, výmaz nebo přenositelnost

U organizací, které jsou transparentní, pokud jde o jejich používání osobních údajů, a které respektují práva jednotlivců, je méně pravděpodobné, že budou předmětem stížností.

Více informací:

• Respektování práv jednotlivců

Porušení zabezpečení osobních údajů je narušení bezpečnosti, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu k osobním údajům.

• Pokud porušení zabezpečení osobních údajů představuje pro dotčené osoby riziko, musíte je do 72 hodin nahlásit příslušnému orgánu pro ochranu osobních údajů.
• Pokud je pravděpodobné, že porušení bude mít za následek vysoké riziko pro fyzické osoby, budete také muset toto porušení oznámit dotčeným fyzickým osobám bez zbytečného odkladu.

V každém případě u všech porušení – i těch, která nejsou oznámena orgánu pro ochranu údajů – musíte zaznamenat alespoň základní podrobnosti o porušení, jeho posouzení, jeho účincích a opatřeních přijatých v reakci na ně.

Více informací:

• Porušení zabezpečení osobních údajů

Pověřenci pro ochranu osobních údajů mohou v rámci organizace plnit i jiné úkoly, to však nesmí vést ke střetu zájmů.  Znamená to, že pověřenec pro ochranu osobních údajů nemůže v postavení, v němž by určoval účely a prostředky činností zpracování. Konfliktní funkce zahrnují především manažerské pozice (vedoucí pracovník, provozní ředitel, finanční ředitel, vedoucí lidských zdrojů, vedoucí IT, výkonný ředitel), ale mohou zahrnovat i jiné funkce, pokud vedou k určení účelů a prostředků zpracování.

Pověřenec pro ochranu osobních údajů musí být schopen plnit své povinnosti a úkoly nezávisle. To znamená, že organizace:

• nesmí dávat pověřenci pro ochranu osobních údajů pokyny, pokud jde o plnění jeho povinností
• nesmí pověřence pro ochranu osobních údajů penalizovat nebo odvolat za plnění jeho úkolů

Více informací:

• Pověřenec pro ochranu osobních údajů

Evropský sbor pro ochranu osobních údajů (EDPB) pravidelně zveřejňuje tiskové zprávy, novinky, blogy a další obsah na internetových stránkách EDPB a jeho kanálech sociálních médií Twitter @EU_EDPB; Linkedin Evropský sbor pro ochranu osobních údajů. EDPB tak komunitu pro ochranu údajů a širokou veřejnost průběžně informuje o své činnosti.

Internetové stránky EDPB mají také dva informační kanály RSS, které si můžete objednat pro automatické aktualizace zpráv EDPB  a nejnovějších publikací EDPB.

Obecné nařízení o ochraně osobních údajů (GDPR) nebo obecné nařízení o ochraně osobních údajů (GDPR) vytváří harmonizovaný soubor pravidel, která se vztahují na veškeré zpracování osobních údajů organizacemi (veřejnými nebo soukromými, bez ohledu na jejich velikost) usazenými v Evropském hospodářském prostoru (EHP) nebo zaměřenými na jednotlivce v EU. Hlavním cílem nařízení GDPR je zajistit, aby osobní údaje požívaly stejné vysoké úrovně ochrany všude v EHP, zvýšit právní jistotu pro fyzické osoby i organizace zpracovávající údaje a nabídnout fyzickým osobám vysoký stupeň ochrany.

Nařízení vstoupilo v platnost dne 24. května 2016 a jeho účinnost nastala dne 25. května 2018.

All individuals residing in the European Economic Area (EEA) have the right to the protection of their personal data.

More specifically, under the GDPR, you have several rights

• Right to be informed
• Right of access
• Right to rectification
• Right to restriction of processing
• Right to data portability
• Right to object
• Right not be subject to a decision based solely on automated processing.

For more information on your rights, please consult our leaflet The GDPR and your rights or the EDPB Data Protection Guide for small business.

Evropská komise může rozhodnout, zda země mimo Evropu (nebo mezinárodní organizace) nabízí „přiměřenou“ úroveň ochrany údajů, která usnadňuje toky údajů mezi Evropou a touto zemí. 

EDPB je odpovědný za vydávání stanovisek k návrhům rozhodnutí o odpovídající ochraně před rozhodnutím Evropské komise. Stanoviska nejsou pro Evropskou komisi závazná, ale jsou obvykle užitečná pro ostatní organizace, které jsou v tomto rámci konzultovány, jako jsou členské státy EU.

Evropská komise je navíc oprávněna sledovat vývoj v mimoevropských zemích, který by mohl ovlivnit rozhodnutí o odpovídající ochraně. Některá rozhodnutí o odpovídající ochraně stanoví zvláštní správnost přezkumu rozhodnutí a mohou odkazovat na možnost zástupců EDPB účastnit se procesu přezkumu organizovaného Evropskou komisí.

Vezměte prosím také na vědomí, že evropské orgány pro ochranu údajů mohou chránit fyzické osoby v souvislosti s předáváním údajů v souvislosti s rozhodnutím o odpovídající ochraně (jejich seznam naleznete na našich internetových stránkách: https://edpb.europa.eu/about-edpb/our-members).

Pokud se domníváte, že stávající rozhodnutí o odpovídající ochraně není v souladu s vašimi základními právy na soukromí a ochranu údajů, můžete podat stížnost u svého orgánu pro ochranu údajů, který může tyto námitky vznést u vnitrostátního soudu, který může být povinen předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce (viz čl. 58 odst. 5 nařízení GDPR a rozsudek ESD ve věci Schrems (věc C-362/14)).

Další informace naleznete na adrese: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_cs

Ano, GDPR se použije, pokud jsou osobní údaje obsaženy nebo mají být obsaženy v evidenci. To znamená, že GDPR se vztahuje i na papírové záznamy, a nikoli pouze na automatizované zpracování osobních údajů.

Více informací:

• Základy ochrany údajů

Ano, ale za tímto účelem budete muset nejprve určit právní základ pro zpracování tohoto typu osobních údajů. Zpracování může být například považováno za oprávněný zájem vaší organizace. Při zpracování osobních údajů na základě oprávněného zájmu je vždy nutné provést test vyváženosti, aby se zjistilo, zda vaše oprávněné zájmy převažují nad právy jednotlivců, zejména pokud se jedná o děti.

Dalším možným právním základem pro takové zpracování by mohl být souhlas. V každém případě by jednotlivci měli být vždy předem informováni o tom, že akce je fotografována nebo natáčena.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Souhlas by skutečně mohl být platným právním základem pro uchovávání životopisů uchazečů o zaměstnání. Dalším možným právním základem by mohl být oprávněný zájem. V takovém případě byste museli provést test vyváženosti, abyste prokázali, že oprávněné zájmy vaší organizace převažují nad právy žadatelů.

V každém případě budete muset uchazeče informovat o tom, že hodláte jejich údaje uchovávat a pro jaké účely.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Existují-li dva nebo více správců osobních údajů, kteří společně určují účel a prostředky zpracování, považují se za společné správce osobních údajů. Společně se rozhodnou zpracovávat osobní údaje pro společný účel. Společná správa může mít mnoho podob a účast různých správců může být nerovná. Společní správci proto musejí určit svou odpovědnost za soulad s obecným nařízením o ochraně osobních údajů.

Je důležité poznamenat, že společná správa vede ke společné odpovědnosti za činnost zpracování osobních údajů.

• Příklad společné správy: Společnosti A a B uvedly na trh produkt pod společnou značkou a chtějí uspořádat akci na podporu tohoto produktu. Za tímto účelem se rozhodnou sdílet data ze svých databází klientů a potenciálních klientů a na tomto základě rozhodnout o seznamu pozvaných na akci. Dohodnou se také na způsobech zasílání pozvánek na akci, způsobu získávání zpětné vazby během akce a následných marketingových akcích. Společnosti A a B lze považovat za společné správce pro zpracování osobních údajů souvisejících s organizací propagační akce, neboť společně rozhodují o společně definovaném účelu a základních prostředcích zpracování údajů v této souvislosti.

Více informací:

• Správce nebo zpracovatel údajů

Unfortunately, the EDPB cannot consider late contributions as part of the public consultation.

Zpracování osobních údajů je povoleno, pokud pro to existuje právní základ. Kromě svobodného, konkrétního, informovaného a jednoznačného souhlasu lze pro zpracování použít i jiné právní základy.
Jinými slovy, souhlas je nezbytný, pokud se nepoužije žádný z ostatních právních základů.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Ne, abyste se mohli stát pověřencem pro ochranu osobních údajů, nemusíte být certifikováni.

Pověřenci pro ochranu osobních údajů však musí být schopni prokázat, že mají nezbytnou kvalifikaci požadovanou obecným nařízením o ochraně osobních údajů, jako jsou odborné znalosti právních předpisů a postupů v oblasti ochrany osobních údajů.

Více informací:

• Pověřenec pro ochranu osobních údajů

Posouzení vlivu na ochranu osobních údajů (Data Protection Impact Assessment - DPIA) je písemné posouzení, které by organizace měla provést, aby vyhodnotila dopad plánované operace zpracování osobních údajů. Pomůže vám určit vhodná opatření k řešení rizik a prokázat dodržování předpisů.

I když je vždy vhodnější předvídat dopad plánovaných operací zpracování v organizaci, provedení posouzení vlivu na ochranu osobních údajů je povinné provést, pokud je pravděpodobné, že zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob (subjekty údajů).

Konkrétně se jedná o případ, kdy zamýšlené zpracování zahrnuje:

• rozsáhlé zpracování citlivých osobních údajů nebo údajů týkajících se rozsudků v trestních věcech (osobní údaje zvláštní kategorie)  
• systematické a rozsáhlé hodnocení osobních aspektů fyzické osoby založené na automatizovaném zpracování, včetně profilování, na němž jsou založena rozhodnutí, která mají právní účinky týkající se dotčené fyzické osoby nebo se jí obdobným způsobem významně dotýkají
• systematické monitorování veřejně přístupných prostor ve velkém měřítku.

Sbor pro ochranu osobních údajů (EDPB) vypracoval pokyny, v nichž jsou uvedena kritéria, která musíte vzít v úvahu při posuzování toho, zda je posouzení vlivu na ochranu osobních údajů povinné nebo ne. Orgány pro ochranu osobních údajů také zveřejnily seznamy operací zpracování, které podléhají posouzení vlivu na ochranu osobních údajů. Kromě toho několik úřadů pro ochranu osobních údajů vyvinulo příručky, software nebo nástroje pro sebehodnocení, které vám pomohou s vaším hodnocením.

Více informací:

• Soulad

Správci osobních údajů mohou zpracovávat osobní údaje pouze v jedné z následujících situací:

• se souhlasem dotčených osob
• pokud je zpracování nezbytné pro plnění smlouvy (smlouvy mezi vaší organizací a fyzickou osobou)
• splnění právní povinnosti podle právních předpisů EU nebo vnitrostátních právních předpisů
• pokud je zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu podle právních předpisů EU nebo vnitrostátních právních předpisů
• chránit životně důležité zájmy jednotlivce
• oprávněných zájmů vaší organizace – s výjimkou případů, kdy nad nimi převažují práva a svobody jednotlivců

Obecné nařízení o ochraně osobních údajů navíc stanoví další podmínky pro zpracování citlivých údajů.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem

Informace o pracovních příležitostech naleznete na našich internetových stránkách: https://www.edpb.europa.eu/career-opportunities_cs

Chcete-li získat více informací nebo chcete-li podat spontánní přihlášku, obraťte se na adresu edps-selections@edps.europa.eu. Chcete-li podat přihlášku, uveďte, že se ucházíte o pracovní místo v sekretariátu EDPB. Spontánní žádost zaslaná přímo Evropskému sboru pro ochranu osobních údajů se vymaže bez předání.

Prvním krokem k instalaci CCTV systému je identifikovat účel nebo účely pro jeho potenciální instalaci. Účely instalace CCTV mohou být různé, např.: zajištění bezpečnosti prostor, pomoc při prevenci a odhalování krádeží a jiných trestných činů, ochrana životů a zdraví zaměstnanců vzhledem k povaze práce.

Stejně jako při jakémkoli zpracování osobních údajů musí mít zaznamenávání fyzických osob právní základ podle GDPR.  Souhlas může být právním základem pro takové zpracování údajů. Je však nepravděpodobné, že by se to ve většině případů vztahovalo na používání CCTV systémů, protože bude obtížné získat svobodně udělený souhlas všech osob, u nichž je pravděpodobné, že budou zaznamenány. Nejběžnějším právním základem pro tento druh zpracování osobních údajů je oprávněný zájem. Tedy pokud je zpracování založeno na oprávněném zájmu, budete muset provést test vyváženosti, abyste zjistili, zda vaše oprávněné zájmy převažují nad právy jednotlivce.

Budete muset informovat jednotlivce, že jsou zaznamenávány. To lze provést umístěním snadno čitelných značek na prominentních místech. Kromě toho by u všech vchodů měla být umístěna značka uvádějící účel instalovaného CCTV systému a totožnost a kontaktní údaje správce údajů.

Fyzickým osobám, jejichž snímky jsou zaznamenávány kamerovým systémem, by měly být poskytnuty tyto informace:

• totožnost a kontaktní údaje správce osobních údajů, které jsou CCTV systém získávány
• účely zpracování
• právní základ zpracování (v případě oprávněného zájmu konkrétní informace o tom, které oprávněné zájmy se vztahují ke konkrétnímu zpracování a o tom, který subjekt sleduje každý oprávněný zájem)
• kontaktní údaje pověřence pro ochranu osobních údajů (pokud pověřenec existuje)
• příjemci nebo kategorie příjemců údajů
• bezpečnostní opatření pro záznam z kamerového systému
• dobu uchovávání záznamů z CCTV systému
• existenci práv fyzických osob podle obecného nařízení o ochraně osobních údajů a právo podat stížnost u vnitrostátního orgánu pro ochranu údajů.

Více informací:

• Zpracovávání osobních údajů zákonným způsobem
• Respektování práv jednotlivců

Podle obecného nařízení o ochraně osobních údajů existují v zásadě dva hlavní způsoby předávání osobních údajů do země mimo EHP nebo mezinárodní organizaci. Předání se může uskutečnit na základě rozhodnutí o odpovídající ochraně, nebo pokud takové rozhodnutí neexistuje, na základě vhodných záruk, včetně vymahatelných práv a opravných prostředků pro fyzické osoby (subjekty údajů).

Více informací:

• Mezinárodní transfery

Ano, zpracovatelé osobních údajů (tj. fyzické osoby nebo subjekty, které zpracovávají údaje jménem správce údajů) mají povinnosti podle nařízení GDPR. Mezi odpovědností správců a zpracovatelů osobních údajů však existují určité rozdíly.

Zpracovatelé osobních údajů musí dodržovat povinnosti stanovené ve smlouvě mezi správcem a zpracovatelem osobních údajů, která podrobně popisuje operace zpracování a prostředky zpracování osobních údajů. Zpracovatel bude například muset provádět operace zpracování s vhodnými technickými a organizačními opatřeními podle pokynů správce. Zpracovatel přitom pomáhá správci při dodržování GDPR.

Více informací:

• Správce nebo zpracovatel údajů