Se zkratkou GDPR se dnes patrně setkal téměř každý. Víte však, co se za ní skutečně skrývá?
GDPR neboli General Data Protection Regulation (obecné nařízení o ochraně osobních údajů) je nařízení Evropské unie, které upravuje ochranu fyzických osob při zpracování osobních údajů a pravidla jejich volného pohybu. Stanoví zejména práva subjektů údajů, tedy fyzických osob, k nimž se osobní údaje vztahují, a povinnosti správců a zpracovatelů těchto údajů. Vzhledem k tomu, že ochrana osobních údajů patří mezi základní práva, není GDPR pouhým souborem administrativních povinností, ale především právním nástrojem, který jednotlivcům umožňuje chránit jejich práva a získat větší kontrolu nad tím, jak jsou jejich osobní údaje zpracovávány.
Na co se GDPR vztahuje (a na co ne)
GDPR se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a také na jejich neautomatizované zpracování (například v listinné podobě), pokud jsou tyto údaje součástí evidence nebo do ní mají být zařazeny1. Zpracováním se rozumí jakákoli operace s osobními údaji, například jejich shromažďování, zaznamenávání, uspořádání, ukládání, vyhledávání, nahlížení do nich či jejich zpřístupňování.2
Osobním údajem se rozumí veškeré informace o identifikované nebo identifikovatelné fyzické osobě. Identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.3 Vzhledem k širokému vymezení pojmů „osobní údaj“ a „zpracování“ se GDPR vztahuje na celou řadu činností, při nichž dochází k nakládání s osobními údaji, pokud jsou splněny podmínky jeho působnosti.
Z hlediska místní působnosti se GDPR vztahuje především na zpracování osobních údajů v souvislosti s činnostmi provozovny správce nebo zpracovatele v EU, a to bez ohledu na to, zda samotné zpracování probíhá na území EU, či mimo něj. Za určitých podmínek se však GDPR vztahuje také na správce a zpracovatele, kteří nejsou usazeni v EU, pokud zpracovávají osobní údaje osob nacházejících se v EU v souvislosti s nabídkou zboží nebo služeb těmto osobám v EU či monitorováním jejich chování na území EU.4
Působnost GDPR však není neomezená. Nařízení se nevztahuje na zpracování osobních údajů při výkonu činností, které nespadají do oblasti působnosti práva EU.5 Z jeho působnosti je dále vyňato zpracování osobních údajů prováděné fyzickými osobami v rámci výlučně osobních nebo domácích činností, členskými státy při výkonu činností spadajících do oblasti společné zahraniční a bezpečnostní politiky a příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů.6 GDPR se rovněž nevztahuje na osobní údaje zesnulých osob, přičemž členské státy mohou stanovit vlastní pravidla pro jejich zpracování.7
Od kdy GDPR platí a jaký zákon nahradilo
GDPR, tedy nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, vstoupilo v platnost dne 24. května 2016 a použije se od 25. května 2018. Jako nařízení Evropské unie je GDPR závazné v celém rozsahu a přímo použitelné ve všech členských státech EU. Na základě Dohody o Evropském hospodářském prostoru se GDPR uplatňuje také na Islandu, v Lichtenštejnsku a Norsku, které nejsou členskými státy EU.
GDPR zrušilo dosavadní směrnici 95/46/ES. V českém právním prostředí byl následně přijat zákon č. 110/2019 Sb., o zpracování osobních údajů, který nabyl účinnosti dne 24. dubna 2019 a současně zrušil dosavadní zákon č. 101/2000 Sb., o ochraně osobních údajů. Jedná se o český adaptační zákon, který upravuje zejména otázky, jejichž úpravu GDPR ponechává členským státům, a další související záležitosti, například postavení a pravomoc Úřadu pro ochranu osobních údajů.
Zkratka GDPR a plné znění nařízení
Celý název nařízení je Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) a je volně dostupné na stránkách https://eur-lex.europa.eu/eli/reg/2016/679/oj/ces.
