Úřad pro ochranu osobních údajů

Jaký je právní titul pro zpracování osobních údajů v rámci podnětů a podání občanů vůči veřejné správě? Je to zákon č. 500/2004 Sb., správní řád, tedy je možno použít právní titul dle čl. 6 odst. 1 písm. c) GDPR? 

Přijímání podnětů a stížností lze řadit pod právní důvody zpracování nezbytné pro plnění zákonem stanovené povinnosti.

Bude docházkový systém založený na použití otisků prstů a jednosměrného hashování, kdy nedochází k uchovávání samotných otisků prstů v databázi zaměstnavatele, v souladu s obecným nařízením o ochraně osobních údajů? 

Obecné nařízení o ochraně osobních údajů zakazuje zpracování biometrických údajů za účelem jedinečné identifikace fyzické osoby. Výjimku představuje, pokud 

• je zpracování nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, 
• je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů.

Podle obecného nařízení mohou členské státy zachovat nebo zavést další podmínky, včetně omezení, pokud jde o zpracování biometrických údajů. V případech, kdy se osobní údaje zpracovávají v návaznosti na zpracování biometrických údajů, by mělo být vypracováno posouzení vlivu na ochranu osobních údajů.

Jaký bude výklad těchto ustanovení, zda bude za zpracování biometrických údajů považováno i vstupní použití otisků prstů, aniž by docházelo k jejich uchovávání v databázi správce, či zda bude takový postup po posouzení vlivu na ochranu osobních údajů považován při dodržení stanovených záruk za přípustný, není zatím zřejmé. Mělo by to být předmětem jednotného celoevropského přístupu k této oblasti, o kterém bude Úřad informovat.

Za zpracování biometrických údajů za účelem jedinečné identifikace fyzické osoby je považováno i vstupní použití otisků prstů, aniž by docházelo k uchovávání samotných otisků prstů v databázi zaměstnavatele. Aby bylo použití docházkových systémů založených na biometrické identifikaci zaměstnanců v pracovněprávním vztahu s ohledem na charakter pracoviště uvedeno ve smyslu obecného nařízení do souladu s českým právním řádem, navrhl Úřad Ministerstvu práce a sociálních věcí iniciovat nezbytné legislativní změny v zákoníku práce.

Podléhá požadavkům GDPR účetnictví (prodejní doklady, mzdová a personální agenda) a co je třeba posoudit při zabezpečení této agendy?

Obecné nařízení o ochraně osobních údajů (GDPR) se týká všech subjektů, které zpracovávají osobní údaje fyzických osob, například zaměstnanců či klientů. V rámci účetnictví se jedná o zpracování podle zvláštního zákona, kterým je zákon o účetnictví. V tomto směru je tedy nezbytné také pro splnění právní povinnosti, která se na správce vztahuje ve smyslu obecného nařízení.

Úřad pro ochranu osobních údajů doporučuje přihlédnout, v jakém stavu se nachází technika zvolená pro účel zpracování, provádět pravidelné testování a hodnocení účinnosti zavedených technických a organizačních opatření pro bezpečnost zpracování. Při posuzování vhodné úrovně bezpečnosti je třeba zohlednit zejména rizika, která představuje zpracování, zejména náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění předávaných, uložených či jinak zpracovávaných osobních údajů, nebo neoprávněný přístup k nim.

Musí správce vždy provádět balanční test v případě zpracování osobních údajů prováděného na základě oprávněného zájmu?

Správce je povinen provést balanční test, neboli test proporcionality, pro každé zpracování osobních údajů, které hodlá vykonávat na základě právního důvodu oprávněného zájmu. 

Balanční test by měl být vypracován ve vztahu k účelu zpracování, přičemž pro obdobné účely postačuje vypracování jednoho balančního testu. 

Právě v důsledku takového testu je pak správce schopen vyhodnotit, zda před jeho oprávněnými zájmy nemají přednost zájmy nebo práva a svobody subjektu údajů, a lze tak tento právní důvod pro zpracování osobních údajů využít.