Články s tagem: GDPR

Loňský rok přinesl hned několik novinek týkajících se ochrany osobních údajů mimo jiné i v souvislosti s krizovými opatřeními proti dopadům onemocnění COVID-19.

Technologie rozpoznávání obličeje (dále také jako „facial recognition“) se v dnešní době stává čím dál více diskutovanou otázkou, když to reflektuje i nedávná zpráva o úmyslu Magistrátu hlavního města Prahy požádat o konzultaci Úřad pro ochranu osobních údajů (dále jen „ÚOOÚ“) ve věci funkcionality rozpoznávání tváří.

Technologie rozpoznávání obličeje (dále také jako „facial recognition“) se v dnešní době stává čím dál více diskutovanou otázkou, když to reflektuje i nedávná zpráva o úmyslu Magistrátu hlavního města Prahy požádat o konzultaci Úřad pro ochranu osobních údajů (dále jen „ÚOOÚ“) ve věci funkcionality rozpoznávání tváří.[1]

Byť je Nařízení o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (tzv. „Nařízení GDPR“) účinné už více než dva roky, a český tzv. „antispamový zákon“ (tedy zákon č. 480/2004 Sb. o některých službách informační společnosti, dále jen „ZSIS“) ještě mnohem déle, stále se setkáváme s tím, že subjekty mající zájem rozesílat e-mailová obchodní sdělení vůbec neznají podmínky, za kterých tak lze činit.

K problematice Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), anglicky „General Data Protection Regulation“ (dále jen „GDPR“), již bylo publikováno nepřeberné množství odborných článků, vysokoškolských kvalifikačních prací, apod., nicméně my se zaměříme na specifický aspekt GDPR, a to jeho (ne)aplikovatelnost při správě daní.

Soudní dvůr Evropské Unie dne 16. července 2020 prohlásil rozsudkem ve věci C-311/18 (Data Protection Commissioner v. Facebook Ireland a Schrems) rozhodnutí Komise 2016/1250 o odpovídající úrovni ochrany poskytované štítem EU – USA na ochranu soukromí (štít EU – USA na ochranu soukromí dále jen jako „Privacy Shield“) za neplatné, čímž podstatně ztížil možnost předání osobních údajů z EU do USA.

O cookies bylo již napsáno tolik textu, že je ani není třeba speciálně představovat. Ukládání a užívání souborů cookies, a zvláště pak souhlas s nimi, je neustále předmětem výkladových stanovisek i soudních rozhodnutí.

Digitální obsah nebo digitální služby se dnes často poskytují v případech, kdy spotřebitel za ně nutně neplatí, nýbrž namísto toho poskytuje obchodníkovi osobní údaje. Takové obchodní modely se již používají v různých formách na velké části trhu. Ačkoli dosavadní právní úprava plně uznává, že ochrana osobních údajů je jedním ze základních práv a osobní údaje tudíž nemohou být považovány za komoditu, je třeba je respektovat, aby spotřebitelé měli v souvislosti s těmito obchodními modely právo na smluvní prostředky nápravy.

Soudní dvůr prohlašuje rozhodnutí 2016/1250 o odpovídající úrovni ochrany poskytované štítem EU–USA na ochranu soukromí za neplatné. Naproti tomu rozhodnutí Komise 2010/87 o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích je platné.

GDPR v oblasti zapojení podzpracovatelů (řetězení zpracovatelů) přirozeně navazuje na trendy, které jsme mohli v oblasti ochrany osobních údajů sledovat již před jeho účinností. V minulosti právní úprava řetězení zakazovala, následně ho povolila, ale pouze pro specifické případy. GDPR přináší úpravu, která zapojení podzpracovatelů umožňuje za aktivní součinnosti správce. Z přístupu některých evropských dozorových úřadů vyplývá, že by rozvolnění v této oblasti potenciálně mohlo zajít ještě dál…

Po nabytí účinnosti GDPR některé členské státy EU, včetně Slovenska, začaly objevovat novinku mezi právními základy, kterou je oprávněný zájem. Nejedná se o žádný převratný objev, jelikož tento právní základ znal už článek 7 písm. f) směrnice EP a Rady č. 95/46/ES z roku 1995 („Směrnice“).

Výše pokut, které mají být udělovány dle GDPR, zpočátku vyvolávala (a stále vyvolává) mnohé zmatky a otázky, neboť výklady příslušných jednotlivých národních regulátorů nebyly příliš unifikované a současná situace stále není zcela vyjasněná. Díky tomu, že již nicméně od 25. května 2018 nějaký čas uplynul, tak je možné pozorovat určité trendy a vyvozovat první závěry.

Stále častěji zaměstnavatelé přecházejí na elektronickou docházku, která využívá otisky prstů zaměstnanců. Tyto „chytré“ produkty pro firmy nabízí spolehlivou kontrolu, kterou není jednoduché obejít. Není divu, že docházkové systému tohoto typu získávají velkou oblibu a zaměstnavatelé je instalují na svá pracoviště. Nejedná se však o příliš velký zásah do „soukromí“ zaměstnanců? Co na to GDPR [1]?

V oblasti regulace kybernetické bezpečnosti spočívá stěžejní právní úprava v zákoně č. 181/2014 Sb., o kybernetické bezpečnosti (dále též „ZoKB“), a podzákonných předpisech, které úpravu tohoto zákona dále rozvíjejí.

Evropský sbor pro ochranu osobních údajů schválil dne 8. října 2019 první závazná podniková pravidla podle GDPR.[1] Jednalo o závazná podniková pravidla společnosti Equinix, mezinárodní společnosti poskytující internetové připojení a datová centra. Dalšími závaznými podnikovými pravidly, které Evropský sbor schválil, byly dne 12. listopadu 2019 závazná podniková pravidla společnosti ExxonMobil Corporation.[2]

V březnu 2019 rozvířilo vody dodavatelů i uživatelů technologie tzv. dynamického biometrického podpisu (dále jen „DBP“) svérázné rozhodnutí Úřadu pro ochranu osobních údajů (dále jen „ÚOOÚ“).[1]

V březnu 2019 rozvířilo vody dodavatelů i uživatelů technologie tzv. dynamického biometrického podpisu (dále jen „DBP“) svérázné rozhodnutí Úřadu pro ochranu osobních údajů (dále jen „ÚOOÚ“),[1] které nám neznámému subjektu (dále jen „účastník řízení“) uložilo pokutu ve výši 250 000 Kč primárně za to, že údajně porušil zásadu zpracování osobních údajů stanovenou v čl. 5 odst. 1 písm. c) nařízení (EU) 2016/679 (GDPR), tedy zásadu, že osobní údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány („minimalizace údajů“).[2]

V březnu 2019 rozvířilo vody dodavatelů i uživatelů technologie tzv. dynamického biometrického podpisu (dále jen „DBP“) svérázné rozhodnutí Úřadu pro ochranu osobních údajů (dále jen „ÚOOÚ“),[1] které nám neznámému subjektu (dále jen „účastník řízení“) uložilo pokutu ve výši 250 000 Kč primárně za to, že údajně porušil zásadu zpracování osobních údajů stanovenou v čl. 5 odst. 1 písm. c) nařízení (EU) 2016/679 (GDPR), tedy zásadu, že osobní údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány („minimalizace údajů“).[2]

Stále častěji se v médiích objevují zprávy o kybernetických útocích, množství dat, která unikla, a také o pokutách udělených podnikatelům v souvislosti s incidentem. I přesto, že odpovědné společnosti implementují řadu bezpečnostních opatření a snaží se zajistit určitou míru ochrany svých informačních infrastruktur, těmto útokům není nikdy možné bezezbytku předejít.

25. května to byl rok, co nabylo účinnosti obecné nařízení o ochraně osobních údajů (GDPR) a začala platit jednotná evropská pravidla ochrany osobních údajů fyzických osob. A v České republice došlo už také na udělení prvních pokut ze strany Úřadu pro ochranu osobních údajů.

Tento článek navazuje na předchozí díl, který dokumentoval některé problémy, s nimiž jsme se setkali při implementaci Nařízení Evropského Parlamentu a Rady č. 2016/679, známého jako Obecné nařízení o ochraně osobních údajů neboli „GDPR“ (dále jako „Nařízení“). V tomto díle se podíváme na postavení poskytovatelů služeb uživatelské podpory software jakožto zpracovatelů osobních údajů.

Od nabytí účinnosti Obecného nařízení o ochraně osobních údajů (tedy Nařízení Evropského Parlamentu a Rady č. 2016/679, známého jako Obecné nařízení o ochraně osobních údajů neboli „GDPR“, dále jako „Nařízení“) uplynulo už několik měsíců.

V posledním květnovém víkendu nenápadně uplynul rok od okamžiku, kdy v České republice a celé Evropské unii vstoupilo v účinnost obecné nařízení o ochraně osobních údajů – GDPR. Podívejme se, co nám poslední rok v tomto ohledu přinesl, a na závěr se zamyslíme, kam se bude vývoj ubírat dál.

Jaké jsou nejčastější přetrvávající prohřešky při zpracování osobních údajů? Jaké případy musel úřad pro ochranu osobních údajů v posledním půlroce řešit a jak vypadá rozhodovací praxe? Výběr těch nejzajímavějších novinek přinášíme v našem článku.

Moderní technologie nabízí širokou škálu prostředků pro sledování činnosti zaměstnance. Zaměstnavatelé v zájmu ochrany vlastních oprávněných zájmů instalují kamerové systémy, GPS, nástroje pro filtrování webových stránek anebo využívají různé aplikace či jiná zařízení ke sledování, zejména za účelem prevence úniku dat.