JUDr. Katarzyna Žák Krzyžanková, Ph.D. GDPR A NOVINÁŘI

OBECNĚ K GDPR I (= General Data Protection Right) nařízení EP a Rady 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (tj. Obecné nařízení o ochraně osobních údajů – „GDPR“) „v celém rozsahu závazné a použitelné ve všech členských státech“ (čl. 99 odst. 2 al. 2 GDPR, resp. čl. 288 SFUE), tj. od 25. května 2018 obecná působnost + úplný přímý účinek princip nadřazenosti a přednosti evropského práva – mělo by do souladu vnitrostátní právo + eurokonformní výklad (v duchu zásad a hodnot zhmotněných v nařízení)

OBECNĚ K GDPR II Zdroje: Čl. 8 Listiny základních práv EU – Ochrana údajů osobních charakteru „1. Každý člověk má právo na ochranu údajů osobního charakteru, které se ho týkají. 2. S těmito údaji musí být nakládáno čestně, pouze k přesně danému účelu a na základě souhlasu dotyčné osoby či na základě jiného legitimního opodstatnění uvedeného v zákoně. Každý člověk má právo na přístup k údajům sebraným o jeho osobě a na jejich zpřesnění. 3. Respektování těchto pravidel podléhá kontrole nezávislé moci.“ SFEU - Čl. 16 (čl. 286 SES) „1. Každý má právo na ochranu osobních údajů, které se jej týkají.“ 2. Evropský parlament a Rada přijmou řádným legislativním postupem pravidla o ochraně fyzických osob při zpracovávání osobních údajů orgány, institucemi a jinými subjekty Unie a členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidla o volném pohybu těchto údajů. Dodržování těchto pravidel podléhá kontrole nezávislými orgány.“

OBECNĚ K GDPR III odráží evropský pohled na problematiku dat a jejich rozvoje (regulační rámec pro data; data jako toxická komodita) preference principu preventivní ochrany Doplňuje: tzv. kybernetická legislativa (NBÚ) tzv. vertikální regulace (určité sektory - zdravotnictví, finance, telekomunikace)

OBECNĚ K GDPR IV – PROČ TÉMA? riziko uložení velkých sankcí při nedodržení – „20 000 000 Eur, nebo jedná-li se o podnik, až 4% celkového ročního obratu celosvětově za předchozí rozpočtový rok“ (čl. 83 odst. 6 Nařízení) tr. čin neoprávněného nakládání s os. údaji (§ 180 tr. zákoníku): „1.Kdo, byť i z nedbalosti, neoprávněně zveřejní, sdělí, zpřístupní, jinak zpracovává nebo si přisvojí osobní údaje, které byly o jiném shromážděné v souvislosti s výkonem veřejné moci, a způsobí tím vážnou újmu na právech nebo oprávněných zájmech osoby, jíž se osobní údaje týkají, bude potrestán odnětím svobody až na tři léta nebo zákazem činnosti.“ + kvalifikovaná SP: „spáchá-li takový čin tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem“ (odst. 3; sankce 1 až 5 let odnětí svobody) + ochrana osobnosti, nekalá soutěž, klamaní spotřebitele (ČOI), ČBÚ

163 dnů do účinnosti… Jak začít? seznámit s GDPR, další legislativou + detailní analýza vlastní činnosti z pohledu ochrany os. údajů – určení oblastí, kterých se nařízení dotýká a v jakém rozsahu klíčová je povaha vykonávané činnosti, nikoliv příslušnost k určitému povolání Zpracovávám osobní údaje v rámci své činnosti?

Co je to… OSOBNÍ ÚDAJ? GDPR se týká jen osobních údajů, ne plošně dat „= veškeré informace o identifikované nebo identifikovatelné osobě (subjekt údajů); identifikovatelná fyzická osoba je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby“ (čl. 4 odst. 1 GDPR; legální definice) jen fyzické osoby (i podnikající), ne tedy právnické osoby (s.r.o., a.s., SE)

Co je to… ZPRACOVÁNÍ? = „jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“ (čl. 4 odst. 2 GDPR; legální definice) GDPR dopadá na toto zpracování os. údajů (čl. 2 GDPR): zcela nebo zčásti automatizované nebo neautomatizované, jsou-li nebo má-li být součástí evidencí („jakýkoliv strukturovaný soubor osobních údajů přístupných podle zvláštních kritérií…“ – čl. 4 odst. 6 GDPR)

Zpracování informace II a dále: vztahují na činnosti podléhající právu EU (vyjma evropská společná bezpečnostní a zahraniční politika, potírání trestné činnosti) Vyňato z GDPR: zpracování údajů prováděných „fyzickou osobou v průběhu výlučně osobních či domácích činností“ (čl. 2 odst. 2 písm. c) GDPR)

NOVINÁŘ profesionál; 2 druhy činností: stricto novinářské; jiné související činnosti (zaměstnávání osob, předplatné, marketingová činnost) Ad. 1) novinářská činnost – (či spíše žurnalistika - journalism) – chápána široce, a to „veškeré činnosti, jestliže je jejich účelem zpřístupnit veřejnosti informace, názory či myšlenky, ať již je způsob přenosu jakýkoliv. Nejsou vyhrazeny provozovatelům sdělovacích prostředků a mohou být spojeny s výdělečným účelem“ (bod 61 odůvodnění rozhdnutí SD EU ve věci sp. zn. C-73/07 Tietosuojavaltuutettu v. Satakunnan Markkinaporssi Oy a Satamedia Oy z 16.12.2008) Poslední věta recitálu 153 GDPR: „Aby byl zohledněn význam práva na svobodu projevu v každé demokratické společnosti, je třeba vykládat pojmy související s touto svobodu, například žurnalistika, šířeji.“

GDPR počítá se 2 režimy práv a povinností pro novináře v rámci výkonu žurnalistiky sensu stricto, ale široko chápané; zbytek činností - postavení jako jiní správci (tj. ten, kdo „určuje účely a prostředky zpracování osobních údajů“ – čl. 4 odst. 7 GDPR) či zpracovatelé (ten, kdo „zpracovává osobní údaje pro správce“ – čl. 4 odst. 8 GDPR) – všechny povinnosti dle GDPR

ŽURNALISTICKÁ ČINNOST – zvláštní režim Čl. 85 GDPR (1. v kapitole IX „Ustanovení týkající se zvláštních situací, při nichž dochází ke zpracování“): „2. Pro zpracování pro novinářské účely (journalistic purposes) nebo pro účely akademického, uměleckého či literárního projevu členské státy stanoví odchylky a výjimky z kapitoly II (zásady), kapitoly III (práva subjektů údajů), kapitoly IV (správce a zpracovatel), kapitoly V (předávání osobních údajů do třetí země nebo mezinárodní organizaci), kapitoly VI (nezávislé dozorové orgány), kapitoly VII (spolupráce a jednotnost) a kapitoly IX (zvláštní situace, při nichž dochází ke zpracování osobních údajů), pokud je to nutné k uvedení práva na ochranu osobních údajů do souladu se svobodou projevu a informací.“ tj. blanketová norma, na jejímž základě lze suspendovat dopad GDPR na novinářskou činnost Vždy se ale bude vztahovat (bezvýjimečně): kapitola I. (obecná ustanovení), kapitola XIII (právní ochrana, odpovědnost a sankce), kapitola X (akty v přenesené působnosti a prováděcí akty) a kapitola XI (závěrečná ustanovení) + eurokonformní výklad tuzemské úpravy

PROČ TENTO ZVLÁŠTNÍ REŽIM? 2 DŮVODY: 1) SVOBODA PROJEVU A PRÁVO NA INFORMACE – SVOBODNÁ MÉDIA JAKO POJISTKA DEMOKRATICKÉ SPOLEČNOSTI Čl. 85 odst. 1 GDPR: „Členské státy uvedou prostřednictvím právních předpisů právo na ochranu osobních údajů podle tohoto nařízení do souladu s právem na svobodu projevu a informací, včetně zpracování pro novinářské účely a pro účely akademického, uměleckého či literárního projevu.“ + rozvádí Recitál 153 GDPR Čl. 11 Listiny základních práv a svobod EU - Svoboda projevu a právo na informace „1. Každý člověk má právo na svobodu projevu. Toto právo zahrnuje svobodu zastávat názory a přijímat či šířit informace bez zásahu státní moci a bez ohledu na hranice státu. 2. Svoboda médií a jejich pluralita musí být respektovány.“ Obecněji recitál bod 4 GDPR: „Zpracování osobních údajů by mělo s loužit lidem. Právo na ochranu osobních údajů není právem absolutním, musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva… zejména svobodu projevu a informací…“

PROČ TENTO ZVLÁŠTNÍ REŽIM? ii 2) REFLEXE ZÁSADY SUBSIDIARITY – státy jsou schopny lépe posoudit, jak určitý institut posoudit, a to se zřetelem k již existující právní praxi (čl. 5 odst. 3 SFEU) Nicméně 1 výjimka již v samotném GDPR: čl. 17 odst. 3 písm. a), dle které právo na výmaz (právo být zapomenut) se neuplatní, pokud je zpracování nezbytné pro výkon práva na svobodu projevu a informace.

VNITROSTÁTNÍ ROVINA Ministerstvo vnitra: návrh zákona o zpracování osobních údajů (stav dle O/doku k 16.09.2017) – po skončeném třetím připomínkovém řízení (nereflektuje zatím tyto připomínky, zřejmě část promítne) Jak vypadá? zrušení zákona 101/2000 Sb.; přijetí nového zákona dílem adaptačního (hlava II - Zvláštní ustanovení o ochraně osobních údajů, pro novináře stěžejní § 15), dílem transpozičního (hl. III, hl. IV; implementace tzv. trestněprávní směrnice v oblasti justiční a policejní spolupráce, tj. S EP a Rady 2016/680 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV); vymezení kompetencí Úřadu pro ochranu osobních údajů (hl. V); Hlava VI – Přestupky, hlava VII – závěrečná a přechodná ustanovení

K § 15 návrhu zákona obecně zvolena cesta úpravy konkrétních výjimek či odchylek od GDPR (x generální klauzule či obecná žurnalistická licence) + není využita možnost suspendovat ustanovení ze všech kapitol GDPR, kde myslitelné (může problém) Nejde o komplexní úpravu (vždy práce s GDPR) 12 kazuistických odstavců, co do rozsahu a detailnosti nevyvážené oproti zbylé úpravě; řada relativně neurčitých pojmů (např. „oprávněné zájmy“, „přiměřený způsob“, „oprávněný cíl“, „záležitosti veřejného zájmu“), pracuje s poměřováním zájmů

Obecná pravidla zpracování údajů dle GDPR Dle čl. 5 odst. 1 GDPR - osobní údaj lze zpracovat, jsou-li dodrženy tyto zásady (zákon plošně nevyjímá pro novináře): zákonnost, korektnost a transparentnost zpracování; účelové omezení (účel musí legitimní, zpracování musí slučitelné s účelem); minimalizace údajů (jen v nezbytném rozsahu lze údaje zpracovávat); přesnost údajů (důraz na výmazy, opravy nepřesných údajů); omezené uložení (jen po dobu nezbytně nutnou); integrita a důvěrnost údajů (náležité zabezpečení) odpovědnost ve vztahu k údajům.

ZÁKONNOST – PR. ZPRACOVÁVAT ÚDAJE - §15 odst. 1 § 6 GDPR - osobní údaj lze zpracovat, jestli to umožňuje GDPR, anebo byl k tomu dán souhlas GDPR umožňuje zpracovávat údaje (bez souhlasu), je-li nezbytné pro: splnění smlouvy, pro splnění právní povinnosti, pro ochranu životně důležitých zájmů subjektu údajů, ve veřejném zájmu nebo při výkonu veřejné moci, anebo „pro účely oprávněných zájmů správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud subjektem údajů je dítě“ (čl. 6 odst. 1 písm. f GDPR)

PRÁVO ZPRACOVAT ÚDAJE BEZ SOUHLASU - §15 odst. 1 věta první 1. věta: „Zpracování osobních údajů je přípustné také tehdy, slouží-li přiměřeným způsobem pro novinářské účely nebo pro účely akademického, uměleckého či literárního projevu.“ „přípustnost“ – zákonnost, obecná, nevýlučná kompetence zpracovávat os. údaje Novinářské účely – jazykově možná lepší termín žurnalistické, anebo zpravodajské účely (OZ: §89 „Podobizna nebo zvukový záznam se mohou bez dovolení člověka také pořídit nebo použít přiměřeným způsobem též k vědeckému nebo uměleckému účelu a pro tiskové, rozhlasové, televizní nebo obdobné zpravodajství.“) „přiměřený způsob“

PRÁVO ZPRACOVAT ÚDAJE BEZ SOUHLASU - §15 odst. 1 věta druhá 2., 3. věta: „Takové zpracování nesmí být v rozporu s oprávněnými zájmy subjektu údajů. Omezení stanovená jinými předpisy tím nejsou dotčena.“ intence: zákaz svévole ze strany novinářů „oprávněný zájem subjektu“ „rozpor s oprávněným zájmem“ – každý, v jaké míře? Ad 3. věta: Nadále je třeba dodržovat pravidla plynoucí např. z tiskového zák., zák. o neperiodických publikacích, zák. o svobodném přístupu k informacím, občanského zák., zák. o provozování rozhlasového a televizního vysílání (a to při zohlednění různých legálních licencí a jejich mezí)

ZPRACOVÁNÍ CITLIVÝCH ÚDAJŮ - §15 odst. 2 (čl. 9) „Zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu nebo sexuálním chování nebo orientaci fyzické osoby je přípustné pro účely podle odstavce 1, je-li nezbytné k dosažení sledovaného oprávněného cíle a převažuje-li zájem na zpracování osobních údajů nad oprávněnými zájmy subjektu údajů; omezení stanovená jinými předpisy tím nejsou dotčena.“ Speciální ustanovení vůči odst. 1 Dopadá na tzv. citlivé údaje (GDPR: zvláštní kategorie osobních údajů) „orientace“ x „údajů o zdravotním stavu či sexuálním životě nebo sexuální orientaci fyzické osoby“ (čl. 9 odst. 1 GDPR) Složitější test: nezbytnost (= skutečně nutné x přiměřené), oprávněný cíl (?, přípustnost dle odst. 1?), vážení zájmů – jak interpretovat?, rozpor s odst. 1

ZPRACOVÁNÍ ÚDAJŮ O TR. ČINECH - § 15 odst. 3 (čl. 10) „Zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů, rozhodnutí o přestupcích a přestupků, jakož i souvisejících bezpečnostních opatření, je přípustné pro účely podle odstavce 1 jen v záležitostech veřejného zájmu; omezení stanovená jinými předpisy tím nejsou dotčena.“ Speciální ustanovení ve vztahu k odst. 1 Terminologie: rozsudky v tr. věcech a tr. činů, bezpečnostní opatření Test: záležitosti veřejného zájmu Část za středníkem: nadále bude platit §§ 8a – d tr. řádu, jakožto zvláštní režim k tomuto ustanovení Systematická otázka: proč § 15 odst. 2 a § 15 odst. 3 nespojit a stejné kritérium?

INFORMAČNÍ POVINNOST - §15 odst. 4 (čl. 12,13 GDPR) „V souvislosti se zpracováním osobních údajů pro účely podle odstavce 1 splní správce vůči subjektu údajů poučovací a informační povinnost o jeho právech a o skutečnostech potřebných pro uplatňování jeho práv podle tohoto zákona a nařízení Evropského parlamentu a Rady (EU) 2016/679, včetně práva vznést námitku proti tomuto zpracování, také přihlášením se k příslušnosti ke správci, je-li poučení správce o právech subjektu údajů a dalších skutečnostech potřebných pro ochranu jeho práv v rozsahu odpovídajícím jím obvykle prováděnému zpracování veřejně dostupné způsobem umožňujícím dálkový přístup. Pokud by přihlášení se k příslušnosti ke správci ohrozilo nebo zmařilo účel zpracování, lze příslušnost ke správci neprokázat, je-li takový postup nezbytný k dosažení oprávněného účelu zpracování.“ Je třeba číst od konce – 3 režimy: vůbec nepoučuji, nic neprokazuji, nepřihlašuji se ke správci – podmínka: oprávněný účel, nezbytnost (typicky skrytá kamera, reportáž v utajení či pod falešnou identitou); ostatní novinářská činnosti – stačí přihlásit k příslušnosti správce (podoba?)

§ 15 odst. 4 návrhu zákona – II. Mám ale poučovací povinnost, ale jak mám naformulovat? - dle čl. 12 odst. 1 GDPR: má se „za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v čl. 13 a 14 a učinit sdělení podle čl. 15 až 22 a 34 o zpracování“, tj. mj.: účel zpracování, pro které jsou os. údaje určeny (čl.13 odst. 1 písm. c GDPR); doba, po kterou údaje budou uloženy (čl. 13 odst. 2 písm. a) GDPR, to předem asi nelze zde určit – obecná formulace) existence práva požadovat od správce přístup k os. údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz… (čl. 13 odst. 2 písm. b GDPR) – nebudou zaplavovány žádosti typu nemáte něco o mě?) Z logiky věci bude záležet na povaze konkrétní věci, problém plošnosti (částečně ale řeší další ustanovení – výjimky mj. z poučovacích pravidel) Novinář na volné noze – podoba, musí také web? C) lze poučit v duchu pravidel GDPR – zdlouhavé, nepraktické

OCHRANA ZDROJE - § 15 odst. 5 (čl.14) „Při zpracování osobních údajů, které nebyly získány od subjektu údajů, může správce odložit nebo odepřít subjektu údajů sdělení zdroje, ze kterého osobní údaje pocházejí, je-li zpracování prováděno pro účely podle odstavce 1 a je to potřebné k ochraně zdroje a obsahu informací. Povinnost informovat o správci, způsobu a podmínkách zpracování, jakož i o ostatních právech subjektu údajů, lze odložit na dobu nezbytnou k ochraně zdroje a obsahu informací a lze ji splnit také zveřejněním těchto informací veřejně dostupným způsobem umožňujícím dálkový přístup; v takovém případě dostačuje informovat o správcem obvykle prováděném zpracování“ rozšíření výjimek, které upravuje GDPR (čl. 14 odst. 5), kdy a jak třeba informovat subjekt údajů o zpracování osobních údajů jiným získaných od třetích osob; Jde ale o možnost – nevylučuje postup, že se sdělí informace, kdo správce, účel, doba, zdroj, právech subjektu údajů (v praxi iracionální)

OMEZENÍ PŘÍSTUPU K ÚDAJŮM DOTČENÉ OSOBĚ- § 15 odst. 6 (čl. 16) „Právo na přístup k osobním údajům může správce na nezbytnou dobu omezit nebo vyloučit, je-li to nutné pro účely podle odstavce 1, zejména pokud by jinak došlo k ohrožení nebo zmaření oprávněného účelu zpracování.“ Suspendace čl. 15 GDPR po nezbytnou dobu (problém určení u dlouhodobého monitorování) Omezit – poskytnu jen část údajů x vyloučit Právo správce odepřít přístup, nikoliv povinnost Právo subjektů údajů na přístup není ale samo o sobě vyloučeno jednou pro vždy

OMEZENÉ ZPRACOVÁNÍ - § 15 odst. 7 (čl. 18) „Slouží-li zpracování osobních údajů k účelům podle odstavce 1, má subjekt údajů právo na omezení zpracování pouze tehdy, pokud tyto údaje požaduje pro určení, výkon nebo uplatnění právních nároků; to neplatí v případě, kdy by výkon tohoto práva subjektu údajů byl neslučitelný se svobodou projevu či právem na informace. V případě uplatnění práva na opravu údajů se postupuje podle jiných právních předpisů.“ „Omezení zpracování“ = (?), „označení uložených os. údajů za účelem omezení jejich zpracování v budoucnu“ (čl. 4 bod 3, leg. definice) Nepřímo z čl. 18 odst. 2 GDPR: lze jen uložit údaje, jakékoliv další operace jen se souhlasem subjektu údajů, nebo z důvodu realizace procesních práv či veřejného zájmu Myšlena tatáž situace, co v GDPR v čl. 18 odst. 1 písm. c) „Správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků.“ ), anebo jde o odlišný případ?

INFORMAČNÍ POVINNOSTI - §15 odst. 8 (čl. 19) „V souvislosti se zpracováním osobních údajů pro účely podle odstavce 1, uskutečňovaným způsobem umožňujícím dálkový přístup, je povinnost oznamovat opravu nebo likvidaci osobních údajů splněna také uvedením údaje o okamžiku poslední aktualizace obsahu, v němž jsou nebo byly osobní údaje uvedeny, a dále o druhu úpravy obsahu. Oprava nebo likvidace se vždy oznamuje tomu, kdo obsah se souhlasem správce převzal či jinak využil.“ Čl. 19 GDPR: „Správce oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré opravy nebo výmazy…. S výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí. Správce informuje subjekt údajů o těchto příjemcích, pokud to subjekt údajů požaduje.“

INFORMAČNÍ POVINNOSTI ii REŽIMY: a) GDPR první věta – plný režim – každému oznámit B) zákon – první věta – zřejmě zvýhodněný režim, problém, není řečeno, jak má oprava zveřejněna (zřejmě stejně, jak zpracováno – jak realizovat u TV apod.?) C) druhá věta zákona – vynětí ze zvýhodněného režimu zákona; souhlas správce – jakou má mít podobu?, zřejmě formalizovanou, jinak nebylo by možné splnit (nákladnost) D) trvá povinnost dle věty druhé GDPR – ta nijak nevyloučena (jak v praxi bude řešit, např. zveřejní všechny IP adresy, kdo se podíval na web?; info o všech potencionálních os., - ochr. zdroje)

ZÁKAZ ZPRACOVÁNÍ – NÁMITKY §15 odst. 9 (čl. 21) „Osobní údaje zpracovávané pro účely podle odstavce 1 správce dále nezpracovává, pokud subjekt údajů vznese námitku proti konkrétnímu zpracování a prokáže, že nad zájmem na tomto konkrétním zpracování jeho osobních údajů v daném případě převažuje oprávněný zájem na ochraně jeho práv a svobod.“ Právo vznést námitku proti zpracování, ale i profilování Oproti čl. 21 odst. 2 GDPR v zákoně obrácené důkazní břemeno – musí subjekt údajů prokázat (tj. doložit existenci, nestačí pouze „osvědčit“ – tvrdit možnost), že jeho zájem převažuje (dle GDPR tak činí správce), a to aby přestal správce zpracovávat Smysl: neochromit novinářskou činnost cestou námitek Definitivní stanovisko, čí zájem převažuje – asi soud (x úřad; do té doby by zřejmě šlo zpracovávat) – tam ale musí postaveno na jisto

OHLAČOVACÍ POVINNOST ÚŘADU - § 15 odst. 10 (čl. 33) „Porušení ochrany osobních údajů, které je správce povinen oznámit úřadu nebo subjektu údajů, pokud takové údaje byly zpracovávány pro účely podle odstavce 1, lze oznámit i bez údajů umožňujících určení zdroje či obsahu osobních údajů.“ + ochrana zdroje, jinak povinnosti dle GDPR trvají - krátké lhůty dle 33 GDPR (bezodkladně, max. do 72 hodin je třeba sdělit jakékoliv porušení zabezpečení os. údajů (má obsahovat i popis opatření, které přijato, aby vyřešil problém či zmírnily vzniklé následky) – u rozsáhlého průniku může problém, popř. Vánoce apod.

OMEZENÍ PRAVOMOCÍ ÚŘADU - § 15 odst. 11 „Zpracování osobních údajů pro účely podle odstavce 1 není podmíněno povolením nebo schválením úřadu a požívá práva na ochranu zdroje a obsahu informací, a to i v případě zpracování způsobem umožňujícím dálkový přístup.“ Suspendace některých pravomocí Úřadu: nepovoluje zpracování neschvaluje zpracování právo na ochranu zdroje ochrana obsahu informací (suspendace čl. 58 odst. 1 písm. e zákona – tj. možnost úřadu získat přístup ke všem osobním údajům a ke všem informacím) Není ale explicitně zákaz dalších pravomocí: uložení dočasného či trvalého omezení, nařízení výmazu či opravy (nepřímo z ochrany obsahu informací), nařízení přerušení toků údajů příjemci ve třetí zemi (!)

OMEZENÍ PRAVOMOCÍ ÚŘADU II - § 15 odst. 12 „V případě odepření přístupu úřadu do prostor, v nichž působí správce a zpracovatel, jakož i přístupu k zařízení a prostředkům určeným ke zpracování údajů, může umožnění takového přístupu přikázat soud na návrh úřadu. Právo na ochranu zdroje či obsahu informací podle předchozího odstavce však není dotčeno.“ Zvláštní režim ke kompetenci úřadu „získat přístup do všech prostor, v nichž správce a zpracovatel působí, včetně přístupu k veškerému zařízení a prostředkům určeným ke zpracování údajů…“ (čl. 58 odst. 1 písm. f) GDPR), tj. oproti jiným subjektům lze odmítnout vpustit Nepřímá novela soudního řádu správního – soudy možnost v této věci rozhodovat (chybí ale detailní procesní úprava – kdo legitimován, kdo je účastník řízení apod.) – v připomínkách napadáno

OMEZENÍ PRAVOMOCÍ ÚŘADU – OBECNĚ Nedochází ale k plošnému vynětí z kontrolní působnosti úřadu novinářské činnosti, a tak nelez vyloučit, že budou vznikat spory, co konkrétně může úřad činit Vyžadovalo by konkrétní zpřesnění – jak lze vykonávat kontrolu, jaké nápravné opatření lze činit

Závěrečná poznámka Zákon – jen pracovní verze (otázka, jak finální verze) Otázky zákonem neřešené, řídí bez dalšího GDPR

Děkuji za pozornost!