GDPR a novináři.

Prezentace na téma: "GDPR a novináři."— Transkript prezentace:

1 GDPR a novináři

2 Výjimky pro novináře – čl. 85
Členské státy uvedou prostřednictvím právních předpisů právo na ochranu osobních údajů podle tohoto nařízení do souladu s právem na svobodu projevu a informací, včetně zpracování pro novinářské účely a pro účely akademického, uměleckého či literárního projevu. Pro zpracování pro novinářské účely nebo pro účely akademického, uměleckého či literárního projevu členské státy stanoví odchylky a výjimky z kapitoly II (zásady), kapitoly III (práva subjektu údajů), kapitoly IV (správce a zpracovatel), kapitoly V (předávání osobních údajů do třetí země nebo mezinárodní organizaci), kapitoly VI (nezávislé dozorové úřady), kapitoly VII (spolupráce a jednotnost) a kapitoly IX (zvláštní situace, při nichž dochází ke zpracování osobních údajů), pokud je to nutné k uvedení práva na ochranu osobních údajů do souladu se svobodou projevu a informací. Každý členský stát ohlásí Komisi právní ustanovení, která přijme podle odstavce 2, a bez prodlení jakékoliv následné novely nebo změny týkající se těchto ustanovení.

3 Obecný přístup k provedení GDPR
I. Úplné vyjmutí II. Vyjmutí v případě, kdy v rámci testu proporcionality převážil zájem na zpracování pro novinářské účely nad zájmem dotčené osoby III. Snaha o kompromis V současné době specifické výjimky v českém právu zakotveny nejsou.

4 Právní důvod zpracování
Článek 6 odst Zákonnost zpracování Souhlas (vždy odvolatelný) – pro novinářskou práci nevhodné, může se užít např. u některých ilustračních záběrů Zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů Zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje; Zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby; Zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce; Zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě. Adaptační zákon – kompromis: Zpracování osobních údajů je zákonné také tehdy, slouží-li pro výkon práva na svobodu projevu a informací, včetně zpracování pro novinářské účely nebo pro účely akademického, uměleckého či literárního projevu. Tímto není dotčena možnost subjektů údajů domáhat se práv na ochranu osobnosti stanovených zvláštními právními předpisy. Odpadá poměřování zájmů subjektů (uplatní se až při zveřejnění v rámci obrany proti zveřejněným informacím, případně v rámci obrany předběžným opatřením)

5 Zpracování údajů pro jiné účely
Článek 6 odst Zákonnost zpracování Pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1, zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné: jakoukoli vazbu mezi účely, kvůli nimž byly osobní údaje shromážděny, a účely zamýšleného dalšího zpracování; okolnosti, za nichž byly osobní údaje shromážděny, zejména pokud jde o vztah mezi subjekty údajů a správcem; povahu osobních údajů, zejména zda jsou zpracovávány zvláštní kategorie osobních údajů podle článku 9 nebo osobní údaje týkající se rozsudků v trestních věcech a trestných činů podle článku 10; možné důsledky zamýšleného dalšího zpracování pro subjekty údajů; existenci vhodných záruk, mezi něž může patřit šifrování nebo pseudonymizace.

6 Zpracování údajů pro jiné účely
Adaptační zákon – kompromis: Zpracování osobních údajů je zákonné také tehdy, slouží-li pro výkon práva na svobodu projevu a informací, včetně zpracování pro novinářské účely nebo pro účely akademického, uměleckého či literárního projevu. Tímto není dotčena možnost subjektů údajů domáhat se práv na ochranu osobnosti stanovených zvláštními právními předpisy. Nestanoví-li právní předpis jinak, může správce zpracovat osobní údaje i k jinému účelu, než ke kterému byly shromážděny, také je-li to nezbytné a přiměřené k plnění povinnosti správce stanovené právním předpisem, úkolu správce prováděného ve veřejném zájmu, při výkonu práva svobody projevu a práva na informace, včetně zpracování pro novinářské účely a pro účely akademického, uměleckého či literárního projevu.

7 Zpracování „citlivých“ údajů
Článek 9 odst Zákonnost zpracování Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. Výjimky jsou v čl. 9 odst. 2, mj. zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů Zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů či souvisejících bezpečnostních opatření na základě čl. 6 odst. 1 se může provádět pouze pod dozorem orgánu veřejné moci nebo pokud je oprávněné podle práva Unie nebo členského státu poskytujícího vhodné záruky, pokud jde o práva a svobody subjektů údajů. Jakýkoli souhrnný rejstřík trestů může být veden pouze pod dozorem orgánu veřejné moci.

8 Zpracování „citlivých“ údajů
Adaptační zákon – kompromis: Zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu nebo sexuálním chování nebo orientaci fyzické osoby je přípustné pro účely podle odstavce 1, je- li přiměřené k dosažení sledovaného oprávněného cíle; tímto není dotčena možnost subjektů údajů domáhat se práv na ochranu osobnosti stanovených zvláštními právními předpisy. Zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů, rozhodnutí o přestupcích a přestupků, jakož i souvisejících bezpečnostních opatření, je přípustné pro účely podle odstavce 1, je-li přiměřené k dosažení sledovaného oprávněného cíle; omezení stanovená zvláštními právními předpisy tím nejsou dotčena.

9 Práva subjektů údajů Transparentnost (čl. 12)
Právo na informace (čl. 13 a čl. 14) Právo na přístup k údajům (čl. 15) Právo na opravu (čl. 16) Právo na výmaz (právo být zapomenut) Právo na omezení zpracování Oznamovací povinnost vůči příjemcům (čl. 19) Portabilita (čl. 20) Právo vznést námitku (čl. 21)

10 Transparentnost – čl. 12 Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace Pokud správce nepřijme opatření, o něž subjekt údajů požádal, informuje bezodkladně a nejpozději do jednoho měsíce od přijetí žádosti subjekt údajů o důvodech nepřijetí opatření a o možnosti podat stížnost u dozorového úřadu a žádat o soudní ochranu. Informace podle článků 13 a 14 a veškerá sdělení a veškeré úkony podle článků 15 až 22 a 34 se poskytují a činí bezplatně (s výjimkami).

11 Informační povinnost I.
Článek 13 – údaje jsou získány přímo od subjektu údajů Povinnost informovat v okamžiku získání údajů např.: totožnost a kontaktní údaje správce a jeho případného zástupce; případně kontaktní údaje případného pověřence pro ochranu osobních údajů; účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování; případné příjemce nebo kategorie příjemců osobních údajů; Je-li to nezbytné pro zajištění spravedlivého a transparentního zpracování, např. dále: doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby; existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů .

12 Informační povinnost I.
Adaptační zákon – kompromis: V souvislosti se zpracováním osobních údajů pro účely podle odstavce 1, které byly získány od subjektu údajů, splní správce vůči subjektu údajů poučovací a informační povinnosti podle GDPR, včetně informace o jeho právech a o skutečnostech potřebných pro uplatňování jeho práv podle tohoto zákona a GDPR a včetně informace o právu vznést námitku proti zpracování či jiných právech či povinnostech podle kapitoly III GDPR také vhodným přihlášením se k příslušnosti ke správci, které může být provedeno i ústně, jsou-li obecné poučení správce a ostatní informace v rozsahu odpovídajícím správcem obvykle prováděnému zpracování veřejně dostupné způsobem umožňujícím dálkový přístup. Pokud by přihlášení se k příslušnosti ke správci a poskytnutí poučení či informací ohrozilo nebo zmařilo účel zpracování, lze příslušnost ke správci neprokázat a poučení a informace vyžadované nařízením Evropského parlamentu a Rady (EU) 2016/679 neposkytnut, je-li takový postup potřebný k dosažení oprávněného účelu zpracování. Dopady: stačí označení mikrofonu, uvedení média, obecné poučení na webových stránkách u investigativy v odůvodněných případech není třeba se hlásit jako novinář .

13 Informační povinnost II.
Článek 14 – údaje jsou získány jinak Povinnost informovat v okamžiku získání údajů např.: totožnost a kontaktní údaje správce a jeho případného zástupce; případně kontaktní údaje případného pověřence pro ochranu osobních údajů; účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování; případné příjemce nebo kategorie příjemců osobních údajů; Je-li to nezbytné pro zajištění spravedlivého a transparentního zpracování, např. dále: doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby; existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů zdroj, ze kterého osobní údaje pocházejí a případně informaci o tom, že osobní údaje pocházejí z veřejně dostupných zdrojů .

14 Informační povinnost II.
Adaptační zákon – kompromis: Při zpracování osobních údajů, které nebyly získány od subjektu údajů, může správce odložit nebo odepřít subjektu údajů sdělení zdroje, ze kterého osobní údaje pocházejí, či takové údaje nesdělit, je-li zpracování prováděno pro účely podle odstavce 1. Splnění ostatních poučovacích a informačních povinností podle GDPR vůči subjektům údajů lze odložit na dobu potřebnou k ochraně zdroje nebo obsahu informací nebo je-li to potřebné pro naplnění účelu podle odst. 1. Tyto povinnosti lze splnit ve vztahu ke všem subjektům údajů také zveřejněním těchto informací a poučení správcem v obecném rozsahu odpovídajícím správcem obvykle prováděnému zpracování veřejně dostupným způsobem umožňujícím dálkový přístup. Dopady: Není třeba informovat, Postačuje obecné poučení na webových stránkách .

15 Právo na přístup Článek 15
Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a např. k následujícím informacím: účely zpracování; kategorie dotčených osobních údajů; plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby; existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování a nebo vznést námitku proti tomuto zpracování; veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů; Správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.

16 Informační povinnost II.
Adaptační zákon – kompromis: Právo na přístup k osobním údajům může správce omezit nebo vyloučit, je-li to potřebné pro účely podle odstavce 1 nebo pro ochranu zdroje, ze kterého osobní údaje pocházejí, zejména pokud by jinak došlo k ohrožení nebo zmaření oprávněného účelu zpracování. Ustanovení čl. 15 nařízení Evropského parlamentu a Rady (EU) 2016/679 se dále neuplatní v rozsahu těch osobních údajů, které byly správcem zveřejněny v hromadných sdělovacích prostředcích. Dopady: Záleží na charakteru zpracování (investigativa zřídka, fotky prvňáčků často) Zásadní výjimka pro zveřejněné údaje .

17 Právo na opravu Subjekt údajů má právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení. Adaptační zákon – kompromis: V případě výkonu práva na opravu osobních údajů a plnění povinnosti zpracovávat přesné a aktualizované údaje, pokud je zpracování takových údajů prováděno za účelem výkonu práva na svobodu projevu a informací, se postupuje podle zvláštních právních předpisů. Dopady: Uplatní se pouze dosavadní úprava Občanský zákoník, Tiskový zákon, Zákon o R a TV vysílání apod.

18 Právo na výmaz (být zapomenut)
Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů: osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 1 a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2 osobní údaje byly zpracovány protiprávně osobní údaje musí být vymazány ke splnění právní povinnosti stanovené v právu Unie nebo členského státu, které se na správce vztahuje osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle čl. 8 odst. 1. GDPR obsahuje výslovnou výjimku, pokud je zpracování nezbytné pro výkon práva na svobodu projevu.

19 Právo na omezení zpracování
Subjekt údajů má právo na to, aby správce omezil zpracování, v kterémkoli z těchto případů: subjekt údajů popírá přesnost osobních údajů, a to na dobu potřebnou k tomu, aby správce mohl přesnost osobních údajů ověřit zpracování je protiprávní a subjekt údajů odmítá výmaz osobních údajů a žádá místo toho o omezení jejich použití správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků subjekt údajů vznesl námitku proti zpracování podle čl. 21 odst. 1, dokud nebude ověřeno, zda oprávněné důvody správce převažují nad oprávněnými důvody subjektu údajů Pokud bylo zpracování omezeno podle odstavce 1, mohou být tyto osobní údaje, s výjimkou jejich uložení, zpracovány pouze se souhlasem subjektu údajů, nebo z důvodu určení, výkonu nebo obhajoby právních nároků, z důvodu ochrany práv jiné fyzické nebo právnické osoby nebo z důvodů důležitého veřejného zájmu Unie nebo některého členského státu. Subjekt údajů, který dosáhl omezení zpracování podle odstavce 1, je správcem předem upozorněn na to, že bude omezení zpracování zrušeno.

20 Právo na omezení zpracování
Adaptační zákon – kompromis: Slouží-li zpracování osobních údajů k účelům podle odstavce 1, má subjekt údajů právo na omezení zpracování pouze tehdy, pokud správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů tyto údaje požaduje pro určení, výkon nebo uplatnění právních nároků; to neplatí v případě, kdy by výkon tohoto práva subjektu údajů byl neslučitelný s právem na svobodu projevu a informací. Ustanovení čl. 18 odst. 3 GDPR se pro tyto účely neuplatní.

21 Informační povinnost Jestliže správce osobní údaje zveřejnil a je povinen je vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace (čl. 17 odst. 2 ) Správce oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré opravy nebo výmazy osobních údajů nebo omezení zpracování provedené v souladu s článkem 16, čl. 17 odst. 1 a článkem 18, s výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí. Správce informuje subjekt údajů o těchto příjemcích, pokud to subjekt údajů požaduje (čl. 19). Adaptační zákon – kompromis: V souvislosti se zpracováním osobních údajů pro účely podle odstavce 1 se čl. 17 odst. 2 a čl. 19 GDPR neuplatní.

22 Právo na námitku Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků. Adaptační zákon – kompromis: Pokud je zpracování prováděno pro účely podle odst. 1, může subjekt údajů vznést námitku pouze proti zpracování osobních údajů formou jejich zveřejnění. Vznese-li subjekt údajů takovou námitku proti konkrétnímu zpracování zveřejněných údajů a jedná-li se o zpracování prováděné pro účely podle odst. 1, je správce povinen nezpracovávat takové údaje v rozsahu a způsobem, v nichž subjekt údajů prokáže, že nad zájmem na tomto konkrétním zpracování jeho osobních údajů v daném případě převažuje oprávněný zájem na ochraně jeho práv a svobod.

23 Oznamování porušení & cenzura
Adaptační zákon – kompromis: Porušení ochrany osobních údajů, které je správce povinen oznámit úřadu nebo subjektu údajů, pokud takové údaje byly zpracovávány pro účely podle odstavce 1, lze oznámit i bez údajů umožňujících určení zdroje či obsahu osobních údajů. Zpracování osobních údajů pro účely podle odstavce 1 není podmíněno povolením nebo schválením úřadu a požívá práva na ochranu zdroje a obsahu informací, včetně práva odepřít poskytnutí informace o původu či obsahu těchto informací a odepřít předložení nebo vydání věcí, z nichž by mohl být zjištěn původ či obsah těchto informací. V případě odepření přístupu úřadu do prostor, v nichž působí správce a zpracovatel, jakož i přístupu k zařízení a prostředkům určeným ke zpracování údajů, může umožnění takového přístupu v odůvodněných případech přikázat soud na návrh úřadu. Právo na ochranu zdroje či obsahu informací podle předchozího odstavce však není dotčeno.

24 Únikové ustanovení Adaptační zákon – kompromis: Na zpracování osobních údajů za účelem výkonu práva na svobodu projevu a informací, včetně zpracování pro novinářské účely anebo pro účely akademického, uměleckého či literárního projevu, se dále neužijí ta ustanovení tohoto zákona a kapitoly II, kapitoly III, kapitoly IV, kapitoly V, kapitoly VI, kapitoly VII a kapitoly IX nařízení Evropského parlamentu a Rady (EU) 2016/679, u nichž to odůvodňuje oprávněný zájem na výkonu výše uvedených práv.

25 Ostatní ustanovení Čl. 28 – zpracovatelé
Čl. 35 – posouzení vlivu na ochranu osobních údajů Povinnost mlčenlivosti pověřence pro ochranu osobních údajů Kontrolní pravomoci Úřadu