Upozornění pro čtenáře a uživatele této knihy

Všechna práva vyhrazena. Žádná část této tištěné či elektronické knihy nesmí být reprodukována ani šířena v papírové, elektronické či jiné podobě bez předchozího písemného souhlasu nakladatele. Neoprávněné užití této knihy bude trestně stíháno.

Edice Právo pro praxi

JUDr. Eva Janečková

GDPR – Řešení problémů v praxi obcí

Vydala Grada Publishing, a.s.

U Průhonu 22, 170 00 Praha 7

tel.: +420 234 264 401, fax: +420 234 264 400

www.grada.cz

jako svou 7167. publikaci

Odpovědná redaktorka Ing. Michaela Průšová

Realizace obálky Vojtěch Kočí

Sazba Antonín Plicka

Formát ePub Štěpán Böhm

Počet stran 344

První vydání, Praha 2019

Vytiskla tiskárna Tisk Centrum, s.r.o., Moravany

© Grada Publishing, a.s., 2019

ISBN 978-80-271-2719-1 (ePub)

ISBN 978-80-271-2718-4 (pdf)

ISBN 978-80-247-2925-1 (print)

Seznam použitých pojmů

Obecné nařízení (GDPR)

Nařízení Evropského parlamentu a Rady (EU) č. 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

(General Data Protection Regulation)

osobní údaje

definice podle zákona o ochraně osobních údajů: jakékoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu

definice podle Nařízení: veškeré informace o identifikované nebo identifikovatelné fyzické osobě – o subjektu údajů

správce

definice podle zákona o ochraně osobních údajů: každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů může správce zmocnit nebo pověřit zpracovatele, pokud zvláštní zákon nestanoví jinak.

definice podle Nařízení: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení

subjekt údajů

identifikovatelná fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, např. jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby

souhlas

definice podle zákona o ochraně osobních údajů: svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů

definice podle Nařízení: jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů

Porušení zabezpečení osobních údajů

porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů

zákon o ochraně osobních údajů

zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů

zpracovatel

definice podle zákona o ochraně osobních údajů: každý subjekt, který na základě zvláštního zákona nebo pověření správcem zpracovává osobní údaje podle tohoto zákona

definice podle Nařízení: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce

zpracování (osobních údajů)

definice podle zákona o ochraně osobních údajů: jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace

definice podle Nařízení: jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení

zvláštní kategorie osobních údajů

osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech,

genetické údaje a biometrické údaje zpracovávané za účelem jedinečné identifikace fyzické osoby

údaje o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby

adaptační zákon

nový zákon o ochraně osobních údajů, který je ve stádiu návrhu

upravuje v souladu s Nařízením některé oblasti specificky pro Českou republiku

Sbor (Skupina WP29)

pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená směrnicí Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995

dozorový úřad

Úřad pro ochranu osobních údajů

pověřenec (DPO)

osoba dozorující u správce či zpracovatele zpracování osobních údajů

posouzení vlivu (DPIA)

posouzení pravděpodobného rizika zamýšleného zpracování

Seznam zkratek

exekuční řád – zákon č. 120/2001 Sb., exekuční řád, ve znění pozdějších předpisů

kontrolní řád – zákon č. 255/2015 Sb., o kontrole (kontrolní řád), ve znění pozdějších předpisů

nařízení vlády o katalogu prací – nařízení vlády č. 222/2010 Sb., o katalogu prací ve veřejných službách a správě

nařízení vlády o platových poměrech – nařízení vlády č. 341/2017 Sb., o platových poměrech zaměstnanců ve veřejných službách a správě, ve znění pozdějších předpisů

občanský zákoník – zákon č. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů

správní řád – zákon č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů

zákon o kronikách – zákon č. 132/2006 Sb., o kronikách obcí

zákon o obcích – zákon č. 128/2000 Sb., o obcích (obecní zřízení), ve znění pozdějších předpisů

zákon o obecní policii – zákon č. 553/1991 Sb., o obecní polici, ve znění pozdějších předpisů

zákon o ochraně osobních údajů – zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů

zákon o Policii ČR – zákon č. 273/2008 Sb., o Policii České republiky, ve znění pozdějších předpisů

zákon o přestupcích – zákon č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, ve znění pozdějších předpisů

zákon o registru smluv – zákon č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů

zákon o svobodném přístupu k informacím – zákon č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů

zákon o úřednících územních samosprávných celků – zákon č. 312/2002 Sb., o úřednících územních samosprávných celků a o změně některých zákonů, ve znění pozdějších předpisů

zákon o zaměstnanosti – zákon č. 435/2004 Sb., o zaměstnanosti, ve znění pozdějších předpisů

zákoník práce – zákon č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů

Úvod

Česká republika má s právní úpravou v oblasti ochrany osobních údajů dlouholeté zkušenosti. První právním předpisem byl zákon č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech, který byl prvním uceleným právním předpisem v oblasti ochrany osobních údajů a který vznikl po přijetí Úmluvy o ochraně osob se zřetelem na automatizované zpracování osobních dat.

Uvedený zákon upravil ochranu osobních údajů, zejména povinnosti související s ochranou informací, pouze při provozování informačních systémů nakládajících s osobními údaji. Dále stanovil odpovědnost provozovatelů takových informačních systémů a dalších fyzických a právnických osob účastnících se provádění činností souvisejících s provozováním informačních systémů. Neupravil či upravil pouze částečně řadu dalších oblastí, např. dostatečnou ochranu osobních údajů vypovídajících o osobnosti a soukromí, povinnost toho, kdo shromažďuje osobní údaje, informovat občana o jeho právech a o jiných pro něj významných skutečnostech, oznamovací povinnost nakládání s osobními údaji u kontrolního orgánu subjektem, který hodlá nakládat s osobními údaji, možnost zásahu kontrolního orgánu před zahájením takového nakládání s osobními údaji, které by z hlediska ochrany osobních údajů mohlo představovat určitá rizika, sankce za porušování zákona a předávání údajů do jiných zemí.[1] Tento nedostatek napravil až zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“).

Vzhledem k tomuto stavu nebyl český právní řád, kam byl zmíněný zákon převzat, kompatibilní s právem Evropské unie, na jejíž půdě byla přijata zvláštní Směrnice Evropského parlamentu a rady č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volným pohybem těchto údajů (dále jen „Směrnice 95/46/ES“), která ukládala členským státům, aby ji promítly do tří let do svých právních řádů. Svoje zákony s ní musely samozřejmě harmonizovat i státy, které se chtěly stát členy Evropské unie.

Cílem Směrnice 95/46/ES bylo zajistit vysokou úroveň ochrany osobních údajů ve všech členských státech Unie, zajistit volný pohyb informací a informačních služeb mezi členskými státy (zejména z důvodu stále se rozvíjejícího vnitřního trhu), stanovit společný rámec pro práci s osobními údaji a jejich ochranu na území Evropské unie a sladit národní legislativu v této oblasti platnou na území jednotlivých států (členské státy si mohou v národních předpisech upřesnit obecné podmínky a zákonitosti zpracování osobních údajů. Zásady ochrany se měly vztahovat na veškeré zpracování osobních údajů kteroukoliv osobou, jejíž činnosti spadají do oblasti působnosti práva EU (nevztahuje se však na fyzické osoby, které provádějí zpracování osobních údajů, které má výlučně osobní povahu – např. vedení adresáře, korespondence...), musely se vztahovat na veškeré informace týkající se identifikované nebo identifikovatelné osoby (nevztahují se tedy na anonymní nebo anonymizované údaje) a vztahovaly se i na zvukové a obrazové údaje týkající se fyzických osob.

Směrnice však pocházela již z roku 1995, a byla tedy 22 let stará. V těchto letech došlo k prudkému rozvoji informačních technologií, ke změnám v kategoriích nejčastěji zpracovávaných osobních údajů, i k určitému smazání hranic mezi státy. Vzhledem k tomu, že měl každý stát svou vlastní právní úpravu (a navzdory tomu, že všechny zákony vycházely ze Směrnice 95/46/ES), v mnoha oblastech se značně lišily, přinášela tato skutečnost komplikace.

Proto vyvstala potřeba úpravu zmodernizovat a sjednotit. Na základě zkušeností z aplikování Směrnice bylo jako právní forma nové úpravy vybráno nařízení. Nařízení má obecnou závaznost (podobá se vnitrostátnímu zákonu) – upravuje konkrétní skutkové situace pro abstraktně určené adresáty. Je závazné ve všech svých částech (nemůže být adresáty aplikováno nahodile a pouze v některých částech). Důležité je především to, že je přímo použitelné v každém členském státě (automaticky zakládá práva a povinnosti v právním řádu členských států). V okamžiku vstupu v platnost platí ve všech členských státech bez ohledu na existenci případných adaptačních zákonů a všechny orgány členského státu, správní úřady i soudy jsou povinny nařízení aplikovat. V okamžiku, kdy nařízení vstoupí v platnost, vytlačuje veškeré vnitrostátní právo, které je s ním v rozporu.

Dne 27. dubna 2016 schválil Evropský parlament konečnou podobu Nařízení Evropského parlamentu a Rady 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Obecné nařízení (GDPR) měly členské země do 6. května 2018 převést do vnitrostátní legislativy, platit začalo od 25. května 2018.

Zároveň byl vytvořen návrh tzv. adaptačního zákona, kterým je návrh zákona o ochraně osobních údajů. „Návrh nového zákona o ochraně údajů má mimo jiné formou adaptace zajistit soulad vnitrostátní právní úpravy s obecným nařízením o ochraně osobních údajů, jehož hlavním cílem je účinná ochrana osobních údajů v celé Evropské unii, která vyžaduje posílení a podrobné vymezení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají a o jejich zpracování rozhodují, a dále též rovnocenné pravomoci dozorových úřadů při monitorování a zajišťování souladu s pravidly ochrany osobních údajů, jakož i rovnocenné sankce za jejich porušování v členských státech.

Řádné fungování vnitřního trhu vyžaduje, aby volný pohyb osobních údajů v Evropské unii nebyl omezován z důvodů souvisejících s ochranou osobních údajů fyzických osob. Jednotná úroveň ochrany fyzických osob v celé Evropské unii zamezí rozdílům bránícím volnému pohybu osobních údajů v rámci vnitřního trhu a poskytne hospodářským subjektům, včetně mikropodniků a malých a středních podniků, právní jistotu a transparentnost, které fyzickým osobám ve všech členských státech zajistí stejnou úroveň práv vymahatelných právními prostředky a správcům a zpracovatelům uloží povinnosti a úkoly, prostřednictvím důsledného monitorování zpracování osobních údajů a rovnocenných sankcí ve všech členských státech, jakož i účinné spolupráce mezi dozorovými úřady jednotlivých členských států.“[2]

Také byl vytvořen návrh zákona, kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů.

1 Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk č. 374/0.

2 Důvodová zpráva k zákonu o zpracování osobních údajů.

I.

OBECNÁ ČÁST

1Základní pojmy používané v oblasti ochrany osobních údajů

Jedním z klíčových ustanovení Obecného nařízení (GDPR) je článek 4, v němž jsou vymezeny základní pojmy. Toto ustanovení patří mezi jedno z nejdůležitějších, neboť z pojmů a z jejich aplikace vycházejí veškerá práva a povinnosti, která z Obecného nařízení (GDPR) vyplývají.

Nejprve je nutné přesvědčit se, že informace, s níž správce pracuje, je skutečně osobním údajem ve smyslu definice podle článku 4 písm. a) Obecného nařízení (GDPR), zda proces s ním prováděný je zpracováním ve smyslu definice, a teprve v případě kladné odpovědi na tyto otázky se správce zabývá dalšími ustanoveními Obecného nařízení (GDPR), jež mu ukládají povinnosti a dávají práva.

Článek 4 definuje řadu základních pojmů; vymezeny jsou všechny základní pojmy ve smyslu jejich hmotného obsahu (např. osobní údaj a další) a také pojmy, které lze označit za „popis procesu“ (např. zpracování).

Osobní údaj

Tento pojem je tím nejzákladnějším a nejpoužívanějším pojmem. Definice zůstala téměř stejná jako v předchozí právní úpravě. Podle definice jsou osobními údaji veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby. Ke změně došlo především v příkladmém výčtu osobních údajů ve druhé části definice.

Pojem je definován několika faktory. Prvním faktorem je rozsah. Definice říká, že osobním údajem je informace, aniž by typ informace nějak limitovala. Termín „informace“ jako takový není nijak vymezen, ale ani omezen. Znamená to například, že není kladen důraz na pravdivost informace. Může se také jednat nejen o informace tzv. objektivní, ale také o různé soudy, hodnocení, závěry a podobně.

Osobním údajem je tedy jakýkoli údaj, jenž se vztahuje k nějaké fyzické osobě. Současně je ovšem třeba, aby tato osoba byla těmito údaji či na jejich základě identifikovatelná. Pro to, zda jde o osobní údaj, je rozhodná skutečnost, zda je možno ze strany správce vytvořit přímý vztah mezi takovým údajem a danou fyzickou osobou. Takový vztah se vytváří prostřednictvím určitých identifikátorů, na jejichž základě lze jednoznačně určit, že se jedná o určitou osobu.

O osobní údaj se však jedná i v případě, že správce sice nedisponuje údaji, jimiž by mohl provést (přímou) identifikaci, ale má možnost si takový údaj opatřit a spojit s údajem, kterým disponuje (např. jméno a příjmení s rodným číslem). V takovém případě lze zjistit identitu subjektu údajů nepřímo. Určenost je tedy stav, kdy správce disponuje údaji, jimiž lze fyzickou osobu přímo jednoznačně identifikovat, o určitelnost jde tam, kdy správce může na základě údajů, která má buď k dispozici, nebo k nimž má přístup, tuto osobu jednoznačně odlišit od jiných subjektů.[3] V těchto případech bude nezbytné zpracování takových údajů posuzovat zcela individuálně, případ od případu. Bude záležet na rozsahu údajů či zpracovávaných informací, dostupnosti a legálním zdroji případných dalších údajů, přístupu k těmto zdrojům apod.

Obecné nařízení (GDPR) stanoví, že informace se musí týkat subjektu údajů (tedy fyzické osoby) a tato fyzická osoba pak musí být buď identifikovaná, nebo alespoň identifikovatelná. I když lze jistě polemizovat, které informace mohou subjekt údajů identifikovat, a to natolik přesně, aby nebyla zaměnitelná za jinou fyzickou osobu, lze nepochybně říci, že těmito údaji obecně bude jméno, příjmení, bydliště a případně i rok narození. Na základě těchto údajů bude fyzická osoba identifikována přímo a subjekt údajů tak bude určen. Fyzická osoba však může být identifikována, a tedy určena v některých případech i menším rozsahem údajů. Pak se hovoří o určení nepřímém, tedy identifikovatelnosti, resp. určitelnosti subjektu údajů.

Pojem „osobní údaj“ byl vždy dotvářen rozhodováním soudů.

K otázce, kdy se o osobní údaj nejedná, se například vyjádřil Nejvyšší správní soud (dále jen „NSS“) v rozsudku ze dne 29. 7. 2009, čj. 1 As 98/2008 – 148 tak, že uvedl „za osobní údaj však zdejší soud nepovažuje ani jméno a příjmení osoby (návštěvníka) ve spojení s číslem jeho občanského průkazu. Ani na základě těchto údajů totiž není možné konkrétní osobu určit nebo kontaktovat. Neexistuje totiž žádný veřejně dostupný registr čísel občanských průkazů, v němž by bylo možné zjistit identitu osoby podle čísla průkazu. Navíc v případě čísla občanského průkazu se jedná o označení, které je v průběhu času proměnlivé. Fyzická osoba totiž neobdrží jedno číslo občanského průkazu na celý život, nýbrž při každé výměně tohoto průkazu získává průkaz s číslem novým. Ani ve spojení tohoto čísla se jménem a příjmením fyzické osoby nelze zpravidla zjistit konkrétní identitu, a to tím spíše, jedná-li se o údaje z knihy návštěv vedené na služebně policie v Praze – tj. v místě, kde množina potenciálních návštěvníků je velmi rozsáhlá“.

Nicméně pojem osobní údaj je velmi „tvárný“. Zatímco v jednom případě se o osobní údaj jednat nebude (viz právě rozsudek NSS shora), v jiném případě to platit nemusí a stejná kombinace informací (tedy jméno, příjmení a číslo občanského průkazu) osobním údajem bude. Příkladem může být situace, kdy se tato kombinace údajů dostane např. k Policii České republiky. Ta má oprávněný přístup do evidence občanských průkazů,[4] a tak jí i tato kombinace informací stačí k tomu, aby fyzická osoba byla minimálně identifikovatelná, což znamená, že v tomto případě se o osobní údaje jednat bude (minimálně tedy ve vztahu k Policii ČR).

V dalším rozsudku NSS byl použit prvek, který je reálným aplikačním rozšířením základní zákonné definice. Tímto prvkem je možnost fyzickou osobu kontaktovat. Tedy jinak řečeno, NSS došel k názoru, že osobním údajem může být i jen samostatně stojící informace o „čísle nebo kódu“.

V rozsudku ze dne 12. 2. 2009, čj. 9 As 34/2008 – 68 totiž dovodil, že, „plná identita fyzické osoby v současných podmínkách technologicky vyspělé společnosti, tj. za vysokého stupně rozvoje elektronických a jiných médií, která jsou většině populace snadno dostupná, ve své podstatě neznamená nic jiného než možnost tuto osobu určitým způsobem kontaktovat, aniž by bylo nutno znát místo jejího aktuálního pobytu. Proto se výklad pojmu „osobní údaj“ nemůže omezit striktně jen na znalost např. rodného čísla, adresy či pracoviště subjektu údajů. Z tohoto pohledu je za osobní údaj třeba považovat i číslo mobilního telefonu určité osoby, jakkoli může být takové číslo používáno příslušnou osobou jen dočasně, a zároveň nijak nespecifikuje jeho fyzickou, psychickou, ekonomickou, kulturní nebo sociální identitu (viz shora). Prostřednictvím tohoto čísla je však možno daný subjekt v určitém časovém úseku přímo kontaktovat (což se ostatně stalo i v posuzovaném případě), a tento subjekt je tak dosažitelný a jistým způsobem určitelný, a to případně i bez znalosti jeho jména a dalších údajů, které již vazbu na jeho fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu mají“.

Ve výše naznačeném smyslu by pak za osobní údaj (alespoň v některých případech) mohla být považována i e-mailová adresa. Jistě si lze představit, že e-mailová adresa ve tvaru jmeno.příjmení@firma.cz osobním údajem bude. Ve kmeni je totiž uvedeno komu, které, podle tvaru jednoznačně fyzické osobě, náleží. A ve spojení s označením firmy, jíž zřejmě přísluší daná doména, je taková fyzická osoba identifikovatelná, a tedy o osobní údaje se jednat bude[5]. Obdobné pak bude jistě platit, pokud za @ bude i jen označení poskytovatele (např. tedy seznam.cz)

Jinou kombinací údajů pak posuzoval NSS v případě, kdy se jednalo o informace o „politické příslušnost“ a v jedné své části se týká i toho, zda informace je, či není citlivým osobním údaje, přesněji, zda se jedná o údaj citlivý (dnes zvláštní kategorie údajů), nebo jen o údaj tzv. obyčejný. Jde o rozsudek NSS 3 As 3/2010 – 182, ze dne 26. dubna 2011, který je zajímavý z mnoha důvodů a svým dosahem se dotýká i ústavního práva. V tomto rozsudku se totiž jednalo o to, zda lze, či nelze podle informačního zákona (zákon č. 106/1999Sb., o svobodném přístupu k informacím) poskytnout „seznamy všech soudců působících u obecných soudů v ČR, kteří byli v minulosti členy KSČ“.

Tyto informace tehdy Ministerstvo spravedlnosti odmítlo poskytnout s tím, (cit. z uvedeného rozsudku), „že poskytování informací o politické příslušnosti je citlivým údajem podle § 4 písm. b) zákona č. 101/2000 Sb., o ochraně osobních údajů (dále též „zákon o ochraně osobních údajů“), a ty je vždy možno shromažďovat a poskytovat pouze s výslovným souhlasem subjektu těchto údajů (§ 9 zákona o ochraně osobních údajů). Shromažďování těchto citlivých údajů nespadá do působnosti Ministerstva spravedlnosti. Ministerstvo ani nevede osobní spisy soudců. Osobní spisy soudců vedou výhradně jednotlivé soudy“.

NSS ve svém rozsudku vycházel z právní názoru vysloveného Ústavním soudem v nálezu ze dne 15. 11. 2010, sp. zn. I. ÚS 517/10 a ve vztahu ke zde traktované problematice dovodil, vycházeje z názoru Ústavního soudu, že „i zde Nejvyšší správní soud musí respektovat princip vázanosti soudů právními názory 3 As 3/2010 – 188 Ústavního soudu s odkazem na čl. 89 odst. 2 Ústavy, a proto vychází z toho, že požadované údaje Ústavní soud kategorizuje jako osobní údaje ve smyslu § 4 písm. a) zákona o ochraně osobních údajů, požívající nižší ochrany než tzv. „citlivé údaje“, a na režim jejich zpracovávání dopadá ustanovení § 5 odst. 2 citovaného zákona. Nejvyšší správní soud přitom, má-li se podle imperativu Ústavního soudu v citovaném nálezu stran obdobné věci pohybovat svými úvahami v intencích § 4 písm. a) a 5 odst. 2 zákona o ochraně osobních údajů, a musí vybrat z obsahu ustanovení § 5 odst. 2, potom za jediné v dané věci v úvahu přicházející pravidlo pro zpracovávání předmětných údajů považuje Ústavním soudem doporučené pravidlo zakotvené v písm. f) citovaného ustanovení. Podle názoru Ústavního soudu ústavně konformní interpretace těchto ustanovení podústavní úpravy umožňuje dospět k závěru, že požadované informace mají být stěžovateli poskytnuty i bez souhlasu dotyčných subjektů“.

Konec ukázky

Table of Contents

Tiráž

Seznam použitých pojmů

Seznam zkratek

Úvod

OBECNÁ ČÁST

1 Základní pojmy používané v oblasti ochrany osobních údajů

Osobní údaj

2 Základní zásady Obecného nařízení (GDPR) a jejich odraz v povinnostech

3 Práva subjektu údajů

8 Zabezpečení osobních údajů a jeho porušení

ZVLÁŠTNÍ ČÁST

1 Zveřejňování osobních údajů, mlčenlivost

1.2 Ochrana osobních údajů při poskytování informací

1.3 Povinnost mlčenlivosti a ochrana osobních údajů

2 Zpracování osobních údajů zaměstnanců obce

2.4 Ochrana soukromí zaměstnanců na pracovišti

3 Video a audio záznamy jako zpracování osobních údajů

5 Zvláštní činnosti obce

Seznam použité literatury a materiálů