Práva subjektů údajů podle GDPR: přístup, výmaz, odvolání souhlasu

GDPR není jen souborem povinností pro podniky a další organizace. Chrání fyzické osoby tím, že stanoví pravidla pro nakládání s jejich osobními údaji a přiznává jim konkrétní, vymahatelná práva.

V článku vysvětlujeme, jaká práva mohou subjekty údajů uplatnit, v čem se jednotlivá práva liší a jak má správce na jejich žádosti reagovat.

Jaká práva má subjekt údajů

Subjektem údajů je identifikovaná nebo identifikovatelná fyzická osoba, k níž se osobní údaje vztahují (čl. 4 bod 1 GDPR). Práva upravená GDPR uplatňuje zásadně vůči správci, tedy subjektu, který určuje účely a prostředky zpracování. Zpracovatel, který jedná jménem správce, mu při vyřizování žádostí subjektů údajů poskytuje součinnost.

Právo na informace (čl. 13 a 14 GDPR) a právo na přístup (čl. 15 GDPR)

Právo na informace a právo na přístup nejsou totožná práva. Podle čl. 13 a 14 GDPR má správce povinnost poskytnout subjektu údajů informace o zpracování z vlastní iniciativy, aniž by o ně musel žádat. Pokud údaje získává přímo od subjektu údajů, informuje jej zásadně při jejich získání. Pokud je získá z jiného zdroje, poskytne informace v přiměřené lhůtě, nejpozději do jednoho měsíce; při dřívější komunikaci se subjektem údajů nebo zpřístupnění údajů jinému příjemci se uplatní zvláštní pravidla. GDPR stanoví také výjimky z informační povinnosti.

Informační povinnost zahrnuje zejména údaje o totožnosti a kontaktních údajích správce a případně jeho zástupce, účelech a právních základech zpracování, příjemcích nebo jejich kategoriích, případném předávání do třetích zemí, době uchování a právech subjektu údajů. Podle okolností je třeba uvést také kontaktní údaje pověřence pro ochranu osobních údajů, oprávněné zájmy správce, informace o automatizovaném rozhodování, včetně profilování, a další informace stanovené příslušným článkem GDPR. U údajů nezískaných od subjektu údajů přistupují informace o kategoriích dotčených osobních údajů a zdroji, ze kterého osobní údaje pocházejí, a případně informace o tom, zda údaje pocházejí z veřejně dostupných zdrojů. Nejde tedy o zcela stejný výčet v čl. 13 a v čl. 14 GDPR.

Na rozdíl od informační povinnosti se právo na přístup podle čl. 15 GDPR uplatňuje individuální žádostí. Správce musí potvrdit, zda údaje o žadateli zpracovává, a pokud ano, umožnit přístup k těmto údajům, poskytnout informace vyjmenované v čl. 15 GDPR a zpravidla i jejich kopii. Pouhé odkázání na obecné zásady ochrany osobních údajů tak nemusí být dostačující odpovědí na žádost podle čl. 15 GDPR.

Rozsah práva na přístup dále upřesňuje judikatura Soudního dvora EU. V rozsudku C‑487/21 (CRIF) Soudní dvůr dovodil, že správce musí subjektu údajů poskytnout věrnou a srozumitelnou kopii všech zpracovávaných osobních údajů. Nestačí tedy pouze jejich obecný popis nebo výčet kategorií. Pokud je to nezbytné pro porozumění zpracovávaným údajům a účinný výkon práv subjektu údajů, může být správce povinen poskytnout také výňatky z dokumentů, případně celé dokumenty nebo výpisy z databází obsahující osobní údaje. To však neznamená automatické právo na kopii každého dokumentu, v němž se osobní údaje nacházejí.

V rozsudku C‑154/21 (Österreichische Post) Soudní dvůr upřesnil rozsah práva na informace o příjemcích osobních údajů podle čl. 15 odst. 1 písm. c) GDPR. Pokud subjekt údajů požaduje informace o tom, komu byly nebo budou jeho osobní údaje zpřístupněny, musí správce zásadně sdělit konkrétní totožnost těchto příjemců. Pouhé uvedení jejich kategorií postačuje pouze tehdy, pokud není možné jednotlivé příjemce určit nebo pokud správce prokáže, že je žádost zjevně nedůvodná či nepřiměřená.

Právo na opravu nepřesných nebo doplnění neúplných údajů (čl. 16 GDPR)

Je-li osobní údaj nepřesný, může subjekt údajů požadovat jeho opravu bez zbytečného odkladu. S ohledem na účely zpracování může žádat také doplnění neúplných údajů, a to i prostřednictvím dodatečného prohlášení. Nejde o neomezené právo měnit jakýkoli záznam podle vlastního přání: správce musí zohlednit povahu údaje a účel jeho zpracování.

Právo na výmaz neboli právo být zapomenut (čl. 17 GDPR)

Subjekt údajů může požadovat výmaz, pokud nastane některý z důvodů podle čl. 17 odst. 1 GDPR – například údaje již nejsou potřebné pro původní účel, byly zpracovány protiprávně, existuje povinnost je vymazat, nebo byl odvolán souhlas a neexistuje jiný právní základ zpracování. Důvodem může být také oprávněná námitka proti zpracování. Právo na výmaz však není absolutní. Údaje lze dále zpracovávat, je-li to nezbytné například ke splnění právní povinnosti, která se na správce vztahuje, pro výkon práva na svobodu projevu a informace nebo pro určení, výkon či obhajobu právních nároků.

Například povinnost uchovávat účetní doklady může odůvodnit ponechání příslušných osobních údajů i po žádosti o výmaz. Výjimku však nelze používat plošně pro údaje, jejichž další uchovávání už žádný zákonný důvod nepokrývá.

Právo na omezení zpracování (čl. 18 GDPR)

O omezení zpracování lze požádat v případech vymezených v čl. 18 GDPR.

Jedním z těchto případů je situace, kdy subjekt údajů popírá přesnost osobních údajů. V takovém případě musí správce omezit zpracování osobních údajů na dobu potřebnou k ověření jejich přesnosti.

Subjekt údajů má dále právo požadovat omezení zpracování, pokud je zpracování protiprávní a subjekt údajů odmítá výmaz osobních údajů a místo toho žádá o omezení jejich použití; správce již osobní údaje nepotřebuje, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků; nebo subjekt údajů vznesl námitku proti zpracování podle čl. 21 odst. 1 GDPR, a to do doby, než bude ověřeno, zda oprávněné důvody správce převažují nad oprávněnými důvody subjektu údajů.

Pokud bylo zpracování osobních údajů omezeno, mohou být tyto údaje, s výjimkou jejich uložení, zpracovány pouze se souhlasem subjektu údajů, nebo z důvodu určení, výkonu nebo obhajoby právních nároků, z důvodu ochrany práv jiné fyzické nebo právnické osoby nebo z důvodů důležitého veřejného zájmu EU nebo některého členského státu.

Právo na přenositelnost údajů (čl. 20 GDPR)

Právo na přenositelnost umožňuje získat osobní údaje, které subjekt údajů správci poskytl, ve strukturovaném, běžně používaném a strojově čitelném formátu a předat je jinému správci. Uplatní se pouze tehdy, je-li zpracování založeno na souhlasu nebo smlouvě a současně probíhá automatizovaně. Pokud je to technicky proveditelné, může subjekt údajů požadovat přímé předání mezi správci.

Právo vznést námitku proti zpracování (čl. 21 GDPR)

Pokud správce zpracovává osobní údaje pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen, případně pro účely oprávněných zájmů, může subjekt údajů z důvodů týkajících se jeho konkrétní situace vznést proti takovému zpracování námitku. Správce následně nesmí osobní údaje dále zpracovávat, ledaže prokáže existenci závažných oprávněných důvodů pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo důvodů pro určení, výkon či obhajobu právních nároků. Zvláštní pravidlo se uplatní také při námitce proti zpracování osobních údajů pro účely vědeckého či historického výzkumu nebo pro statistické účely.

Samostatný a přísnější režim se uplatní v případě zpracování osobních údajů pro účely přímého marketingu, včetně souvisejícího profilování. Proti takovému zpracování lze vznést námitku kdykoli a bez uvedení důvodu. Správce poté již nesmí osobní údaje pro tyto účely zpracovávat. Samotné profilování však nelze ztotožňovat s přímým marketingem. V případě elektronicky zasílaných obchodních sdělení je navíc třeba zohlednit zvláštní pravidla pro jejich rozesílání.

Právo nebýt předmětem výhradně automatizovaného individuálního rozhodování (čl. 22 GDPR)

Čl. 22 GDPR stanoví zákaz rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, pokud pro subjekt údajů má právní účinky nebo se ho obdobně významně dotýká. Takové rozhodování je za stanovených podmínek možné, je-li nezbytné pro uzavření nebo plnění smlouvy mezi subjektem údajů a správcem údajů, výslovně povolené právem EU či členského státu se zárukami ochrany nebo založené na výslovném souhlasu subjektu údajů.

Není-li automatizované individuální rozhodování, včetně profilování, povoleno právem EU nebo členského státu, provede správce údajů vhodná opatření na ochranu práv a svobod a oprávněných zájmů subjektu údajů, alespoň práva na lidský zásah ze strany správce, práva vyjádřit svůj názor a práva napadnout rozhodnutí.

U zvláštních kategorií údajů platí přísnější podmínky podle čl. 22 odst. 4 ve spojení s čl. 9 odst. 2 písm. a) nebo g) GDPR.

Příkladem může být automatizované hodnocení úvěruschopnosti, pokud jeho výsledek hraje rozhodující roli při rozhodování o poskytnutí úvěru (rozsudek SDEU ze dne 7. prosince 2023, C‑634/21, SCHUFA Holding, bod 73).

Právo odvolat souhlas se zpracováním (čl. 7 odst. 3 GDPR)

Je-li zpracování osobních údajů založeno na souhlasu, může jej subjekt údajů kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování, které proběhlo před jeho odvoláním. Správce musí subjekt údajů o této možnosti informovat ještě před udělením souhlasu a zajistit, aby jeho odvolání bylo stejně snadné jako udělení.

Po odvolání souhlasu nesmí správce v příslušném zpracování na tomto právním základě pokračovat. Pokud pro zpracování daných údajů za příslušným účelem neexistuje jiný skutečně použitelný právní základ, vzniká zpravidla také povinnost jejich výmazu. Správce však nesmí odvolání souhlasu obcházet tím, že dodatečně a bez řádného důvodu označí totéž zpracování za založené na jiném právním základě.

Jiná je situace, kdy správce od počátku zpracovává určité osobní údaje pro odlišný účel na samostatném a řádně určeném právním základě, například za účelem splnění zákonné povinnosti uchovávat určité dokumenty. Odvolání souhlasu se pak tohoto nezávislého zpracování samo o sobě nedotýká.

Právo podat stížnost u dozorového úřadu (čl. 77 GDPR)

Domnívá-li se subjekt údajů, že při zpracování jeho osobních údajů došlo k porušení GDPR, může podat stížnost u příslušného dozorového úřadu. V České republice je tímto úřadem Úřad pro ochranu osobních údajů (ÚOOÚ).

Vedle práva podat stížnost GDPR zakotvuje také právo na účinnou soudní ochranu vůči dozorovému úřadu (čl. 78), právo na účinnou soudní ochranu vůči správci nebo zpracovateli (čl. 79) a právo na náhradu utrpěné újmy (čl. 82).

Jak uplatnit práva podle GDPR (čl. 12 GDPR)

Žádost o výkon práv podle čl. 15 až 22 GDPR se podává správci, nikoli primárně zpracovateli. Pro podání žádosti není předepsána zvláštní forma a zpravidla ji není nutné odůvodňovat. Má-li správce důvodné pochybnosti o totožnosti žadatele, může si vyžádat dodatečné informace nezbytné k jejímu potvrzení.

Správce poskytne informace o opatřeních přijatých na základě žádosti bez zbytečného odkladu, nejpozději však do jednoho měsíce od jejího obdržení. Je-li to vzhledem ke složitosti a počtu žádostí nezbytné, může tuto lhůtu prodloužit až o další dva měsíce. O prodloužení a jeho důvodech musí žadatele informovat do jednoho měsíce od obdržení žádosti.

Pokud správce žádosti nevyhoví, musí bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího obdržení, sdělit důvody svého postupu a informovat žadatele o možnosti podat stížnost u dozorového úřadu a domáhat se soudní ochrany.

Výkon práv je zásadně bezplatný. V případě zjevně nedůvodných nebo nepřiměřených žádostí však může správce požadovat přiměřený poplatek (zohledňující související administrativní náklady) nebo odmítnout žádosti vyhovět. První kopie osobních údajů poskytovaná podle čl. 15 odst. 3 GDPR je bezplatná.