Omezení uchovávání – osobní údaje musí být uchovávány způsobem, který umožňuje identifikaci subjektu údajů na dobu pouze nezbytně nutnou pro účely jejich zpracování. Údaje musí být uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány; osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely, a to za předpokladu provedení příslušných technických a organizačních opatření požadovaných tímto nařízením s cílem zaručit práva a svobody subjektu údajů („omezení uložení“).
Omezení účelu – osobní údaje mohou být shromažďovány pro konkrétní, jednoznačné a legitimní účely a nesmí být dále zpracovávány způsobem, který s těmito účely není v souladu.
Pro každé zpracování musí být stanoven konkrétní a legitimní účel (například oprávněný zájem pro zasílání newsletterů, oprávněný zájem pro zasílání faktur…).
Údaje, které jsou shromážděny a získány pro různé účely (například pro fakturaci a pro zasílání marketingových údajů) musí být evidovány a zpracovány odděleně.
Odpovědnost - správce je odpovědný za soulad zpracování osobních údajů s GDPR a tento soulad musí být schopen prokázat po celou dobu zpracovávání osobních údajů. Princip odpovědnosti znamená odpovědnost správce za dodržení zásad zpracování. Ty definuje článek 5 odstavec 1, který říká, že osobní údaje musí být:
- ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem
- shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný
- přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány
- přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny
- uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány
- zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením.
Minimalizace osobních údajů - osobní údaje musí být přiměřené, relevantní a omezené na to, co je nezbytné z hlediska účelu, pro který jsou zpracovávány.
Osobní údaje není možné uchovávat pro případ, že by se mohly hodit někdy v budoucnu. A také není možné uchovávat je po neomezenou dobu.
Pokud je ze strany majitele údajů odvolán souhlas s jejich zpracováním nebo je ukončena smlouva či vypršel zákonný důvod, musí být odstraněny.
Jednotnost a důvěrnost - osobní údaje musí být zpracovávány způsobem, který zaručí jejich náležitou bezpečnost, včetně ochrany proti neoprávněnému či nezákonnému zpracování a proti náhodné ztrátě, zničení nebo poškození za pomoci odpovídajících technických nebo organizačních opatření
Zpracovatel osobních údajů je subjekt, který na základě zvláštního zákona nebo pověření či zmocnění správcem zpracovává osobní údaje.
Povinnosti zpracovatele údajů:
- zpracovává osobní údaje pouze na základě doložených pokynů správce,
- zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti,
- zohledňuje povahu zpracování, je správci nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, pro splnění správcovy povinnosti reagovat na žádosti o výkon práv subjektu údajů
- v souladu s rozhodnutím správce všechny osobní údaje buď vymaže, nebo je vrátí správci po ukončení poskytování služeb spojených se zpracováním, a vymaže existující kopie, pokud právo Unie nebo členského státu nepožaduje uložení daných osobních údajů;
- poskytne správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v tomto článku, a umožní audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil, a k těmto auditům přispěje.
Zpracování osobních údajů je jakýkoliv úkon nebo soubor úkonů, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky.
Zpracováním se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.
Základní povinnosti, které Obecné nařízení o ochraně osobních údajů přináší(GDPR):
- povinnost vést záznamy o činnostech zpracování
- posouzení vlivu na ochranu osobních údajů
- předchozí konzultace s Úřadem pro ochranu osobních údajů
- ohlašování případu porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů
- oznamování případu porušení zabezpečení osobních údajů subjektu údajů,
- povinnost jmenovat pověřence pro ochranu osobních údajů nebo takovou osobu zajistit externě.
Subjekt údajů je podle GDPR fyzická osoba, k níž se osobní údaje vztahují. Jde o rezidenty EU, jejichž práva nařízení chrání. Subjekt údajů není právnická osoba. Osobní údaje mohou být pouze ve vztahu k žijící fyzické osobě, jelikož Obecné nařízení vylučuje svoji působnost na údaje o zesnulých osobách.
Správce osobních údajů je každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí za jím stanoveným účelem jejich shromažďování, zpracování a uchování. Za soulad těchto činností s platnými právními předpisy odpovídá. Zpracováním osobních údajů může správce pověřit nebo k němu zmocnit zpracovatele.
GDPR ukládá správcům údajů novou povinnost, a tou je vypracovávat tzv. záznamy o činnostech zpracování, které budou obsahovat mj. jméno a kontaktní údaje správce, účely zpracování, popis kategorií subjektů údajů a kategorií zpracovávaných osobních údajů, informace o případném předávání osobních údajů do zahraničí, apod.
Správci budou mít také povinnost nastavit si se zpracovateli, například cloudovými službami, takové smlouvy, ze kterých bude zjevné, kdo je odpovědný za případný únik dat nebo jiné narušení ochrany. Pokud bude ke zpracování dat docházet mimo EU, musí být respektována pravidla pro přenos dat do zahraničí.
Profilování je forma automatizovaného zpracování osobních údajů spočívající v jejich použití k hodnocení některých osobních aspektů vztahujících se k fyzické osobě, zejména k rozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází nebo pohybu.
Nejedná se o žádnou novinku, jelikož k profilování dochází i v současné době. Profilování není a priori zákonem o ochraně osobních údajů či Obecným nařízením zakázáno. Je však důležité, aby se dělo v předvídaných případech a na základě stanovených pravidel.
