Reforma EU v oblasti ochrany údajů: Rada potvrdila dohodu s Evropským parlamentem

Dne 18. prosince 2015 potvrdil Výbor stálých zástupců (Coreper) kompromisní znění návrhů, které se týkají reformy v oblasti ochrany údajů, dohodnutých s Evropským parlamentem. Dohody mezi Radou, Parlamentem a Komisí bylo dosaženo 15. prosince. Tato dohoda odpovídá požadavku Evropské rady, aby byla jednání o reformě v oblasti ochrany údajů uzavřena do konce roku 2015.

Félix BRAZ, lucemburský ministr spravedlnosti a předseda Rady uvedl: „Dosáhli jsme zásadní dohody, jejíž dopady jsou významné. Reforma nejenže posiluje práva občanů, ale přizpůsobuje také pravidla týkající se společností digitálnímu věku a současně zmírňuje administrativní zátěž. Jedná se o ambiciózní návrhy zaměřené na budoucnost. O jejich výsledném účinku můžeme být stoprocentně přesvědčeni.“  

Reforma v oblasti ochrany údajů je legislativní balíček, který předložila Komise v roce 2012 s cílem aktualizovat a modernizovat pravidla týkající se ochrany údajů.  Reforma zahrnuje dva legislativní nástroje: obecné nařízení o ochraně údajů (které má nahradit směrnici 95/46/ES) a směrnici o ochraně údajů v oblasti vymáhání práva (která má nahradit rámcové rozhodnutí o ochraně osobních údajů z roku 2008). 

Ochrana osob v souvislosti se zpracováním jejich osobních údajů je základním právem stanoveným v Listině základních práv Evropské unie (článek 8) a ve Smlouvě o fungování Evropské unie (článek 16).

Obecné nařízení o ochraně údajů

Cílem obecného nařízení o ochraně údajů je zvýšit úroveň ochrany údajů u fyzických osob, jejichž osobní údaje jsou zpracovávány, a zlepšit podnikatelské příležitosti na jednotném digitálním trhu mimo jiné snížením administrativní zátěže. 

Zvýšená úroveň ochrany údajů

Zásady a pravidla pro zpracovávání osobních údajů fyzických osob musí respektovat základní práva a svobody, zejména právo na ochranu osobních údajů. Posílená práva na ochranu údajů umožňují subjektům údajů (tedy osobám, jejichž osobní údaje jsou zpracovávány), aby měli větší kontrolu nad svými osobními údaji: 

• více konkrétních pravidel, jež správcům údajů (tedy subjektům odpovědným za zpracování údajů) umožňují osobní údaje zpracovávat, mimo jiné na základě požadavku na získání souhlasu dotčených osob;
• snazší přístup ke svým osobním údajům;
• lepší informace o tom, co se s jejich osobními údaji děje od okamžiku, kdy jsou sdíleny. To znamená mimo jiné, že o zásadách ochrany osobních údajů jsou dotčené osoby informovány za použití jasných a jednoduchých jazykových prostředků, například pomocí standardizovaných ikon.
• právo na vymazání a právo „být zapomenut“. Subjekt údajů může například požádat o okamžité odstranění osobních údajů, které byly nashromážděny nebo zveřejněny na některé sociální síti v době, kdy byl ještě dítětem.
• Pokud si osoba ve věku do 16 let přeje využívat on-line služeb, musí se poskytovatel služeb pokusit prověřit, zda k tomu rodiče dali svolení. Členské státy mohou tuto věkovou hranici snížit, aniž by překročily dolní věkovou hranici 13 let;
• právo na přenositelnost umožňující snazší přenos osobních údajů od jednoho poskytovatele služeb, například sociální sítě, k jinému poskytovateli. Tímto opatřením byla posílena nejen práva na ochranu údajů, ale i hospodářská soutěž mezi poskytovateli služeb;
• právo vznést námitku proti zpracování osobních údajů v souvislosti s veřejným zájmem nebo oprávněným zájmem správce údajů. Toto právo se vztahuje na využívání osobních údajů pro účely profilování;
• obecné záruky vztahující se na zpracování osobních údajů pro účely archivování, je-li to ve veřejném zájmu, a pro účely vědeckého a historického výzkumu nebo pro statistické účely.

S cílem zajistit dostupnost prostředků právní nápravy mají subjekty údajů právo na přezkum jakéhokoliv rozhodnutí příslušného orgánu pro ochranu údajů jejich vnitrostátním soudem, bez ohledu na členský stát, v němž je usazen správce údajů. 

Více podnikatelských příležitostí v rámci jednotného digitálního trhu

Nařízení stanoví jednotný soubor pravidel platný napříč EU a použitelný na evropské i mimoevropské společnosti, které v EU nabízejí své služby on-line. Tím se zabrání tomu, aby nesourodá vnitrostátní pravidla na ochranu údajů narušovala přeshraniční výměnu údajů. Nařízení dále stanoví zvýšenou spolupráci mezi členskými státy s cílem zajistit jednotné uplatňování těchto pravidel v rámci EU. To povede ke spravedlivé hospodářské soutěži a podnítí společnosti, zejména malé a střední podniky, aby co nejefektivněji využívaly jednotného digitálního trhu. 

S cílem snížit náklady a poskytnout právní jistotu v důležitých přeshraničních případech, do kterých je zapojeno několik vnitrostátních orgánů dozoru, přijímá se jediné rozhodnutí orgánu dozoru. Tento mechanismus jediného kontaktního místa umožní společnosti s působností ve více členských státech, aby jednala pouze s orgánem pro ochranu údajů v členském státě její hlavní provozovny. Tento mechanismus rovněž stanoví přijímání jediného rozhodnutí použitelného na celém území EU v případě sporů. 

Za účelem snížení administrativních nákladů uplatňuje nařízení přístup založený na riziku: správci údajů mohou opatření provádět úměrně riziku operací zpracování údajů, jež uskutečňují. Činnosti podniků se liší a stejně tak se mohou odlišovat rizika týkající se oblasti soukromí, která z těchto činností vyplývají. Nařízení nepřináší žádné univerzální řešení: čím jsou rizika podnikatelských činností pro osobní údaje větší, tím přísnější jsou povinnosti. 

Zvýšení počtu i kvality nástrojů k prosazování dodržování pravidel na ochranu údajů

Nařízení stanoví řadu opatření na zvýšení odpovědnosti správců údajů s cílem zajistit, aby byla nová pravidla v oblasti ochrany údajů v plné míře dodržována. Správci údajů musí přijmout řadu bezpečnostních opatření, včetně požadavku, aby v určitých případech oznámili narušení ochrany osobních údajů. S cílem zajistit, aby nařízení vyhovovalo i do budoucna, jsou v něm již od návrhu a ve standardním nastavení zahrnuty zásady ochrany údajů. Pro zajištění souladu s těmito pravidly musí veřejné orgány a společnosti, které zpracovávají určité rizikové údaje, jmenovat inspektora ochrany údajů. 

Subjekty údajů a za určitých podmínek i organizace na ochranu údajů mohou podat u orgánu dozoru stížnost nebo se domáhat soudního opravného prostředku v případě, že nebyla dodržena pravidla týkající se ochrany údajů. Správci údajů mohou čelit pokutám do výše maximálně 20 milionů eur nebo 4 % jejich celkového ročního obratu. 

Záruky týkající se předávání osobních údajů mimo EU

Nařízení zavádí pravidla pro předávání osobních údajů třetím zemím a mezinárodním organizacím. Předání osobních údajů se může uskutečnit v případě, že je splněna řada podmínek a záruk, například pokud Komise rozhodla, že je zajištěna přiměřená úroveň ochrany údajů. Nová rozhodnutí o přiměřenosti musí být přezkoumána nejméně jednou za 4 roky. Stávající rozhodnutí o přiměřenosti a povolení zůstávají v platnosti, dokud nejsou změněna, nahrazena nebo zrušena.   

Směrnice o ochraně údajů v oblasti vymáhání práva

Tato směrnice je zaměřena na ochranu osobních údajů zpracovávaných za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, mimo jiné i za účelem ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení. 

Je zásadně důležité zajistit jednotnou a vysokou úroveň ochrany osobních údajů fyzických osob a současně usnadnit výměnu osobních údajů mezi orgány v oblasti vymáhání práva v jednotlivých členských státech. 

Rozšíření oblasti působnosti

Kromě toho, že se nová směrnice týká činností zaměřených na prevenci, vyšetřování, odhalování a stíhání trestných činů, její oblast působnosti byla rozšířena tak, aby se týkala také ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení. 

Nová směrnice by se vztahovala jak na přeshraniční zpracovávání osobních údajů, tak i na zpracování osobních údajů policejními a justičními orgány prováděnému výhradně na vnitrostátní úrovni. Rámcové rozhodnutí, které bude směrnicí nahrazeno, se vztahovalo pouze na přeshraniční výměnu údajů. 

Práva subjektů údajů

Pravidla vytvářejí rovnováhu mezi právem na soukromí a nutností zajistit, aby policie v raném stádiu vyšetřování nemusela prozradit, že jsou určité údaje zpracovávány. Znění návrhu nicméně obsahuje seznam informací, jež je subjekt údajů vždy oprávněn obdržet za účelem ochrany svých práv, pokud se obává, že došlo k jejich porušení. 

Nová pravidla budou rovněž zahrnovat předávání osobních údajů do třetích zemí a mezinárodním organizacím. 

Dodržování požadavků

Nová směrnice stanoví jmenování inspektora ochrany údajů, který příslušným orgánům pomůže zajistit dodržování pravidel na ochranu údajů. 

Dalším nástrojem, který zajistí dodržování pravidel, je posouzení dopadu. V situaci, kdy by určitý druh zpracování mohl být z hlediska práv a svobod fyzických osob vysoce rizikový, musí příslušné orgány provést posouzení možného dopadu tohoto druhu zpracování, zejména jsou-li využívány nové technologie.   

Sledování a náhrada škod

Znění směrnice a nařízení jsou ve vzájemném souladu, aby se zajistilo, že budou celkově uplatňovány tytéž obecné zásady. Pravidla týkající se orgánu dozoru jsou navíc do značné míry podobná, protože orgán dozoru zřízený podle obecného nařízení o ochraně údajů se může zabývat rovněž záležitostmi spadajícími do oblasti působnosti směrnice o ochraně údajů. Nová směrnice by rovněž poskytovala subjektům údajů právo na náhradu, pokud jim byla způsobena škoda v důsledku zpracování údajů, při němž nebyla dodržena pravidla.                        

DALŠÍ KROKY

Dne 17. prosince potvrdil Výbor Evropského parlamentu pro občanské svobody, spravedlnost a vnitřní věci znění návrhů dohodnutá během jednání trialogů. Díky této podpoře mohl dnes i Coreper potvrdit konečná kompromisní znění nařízení a směrnice. Po revizi právníky-lingvisty budou oba návrhy předloženy k přijetí Radou a následně Parlamentem. Nařízení a směrnice pravděpodobně vstoupí v platnost na jaře 2018.