GDPR

Výňatek z nařízení č. 679/2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES

Obecné nařízení o ochraně osobních údajů

KAPITOLA III: Práva subjektu údajů

Oddíl 2: Informace a přístup k osobním údajům

Článek 13: Informace, které je třeba poskytnout, pokud jsou od subjektu údajů shromažďovány osobní údaje

1. Pokud jsou od tohoto subjektu údajů shromažďovány osobní údaje týkající se subjektu údajů, poskytne správce při získávání těchto osobních údajů subjektu údajů všechny následující informace:

a) totožnost a kontaktní údaje provozovatele a případně jeho zástupce;

b) případně kontaktní údaje pověřence pro ochranu osobních údajů;

c) účely, pro které jsou osobní údaje zpracovávány, jakož i právní základ zpracování;

d) pokud je zpracování prováděno podle čl. 6 odst. 1 písm. f), oprávněné zájmy správce nebo třetí strany;

e) příjemci nebo kategorie příjemců osobních údajů;

f) případně záměr správce předat osobní údaje do třetí země nebo mezinárodní organizaci a existenci či neexistenci rozhodnutí Komise o vhodnosti nebo v případě předávání uvedených v článku 46 nebo 47 nebo článku 49 (1) (1) druhý pododstavec, odkaz na vhodné nebo vhodné záruky a na způsoby získání jejich kopie, pokud byly dány k dispozici.

2. Kromě informací uvedených v odstavci 1 poskytne správce při získávání osobních údajů subjektu údajů tyto dodatečné informace nezbytné k zajištění spravedlivého a transparentního zpracování:

a) dobu, po kterou budou osobní údaje uchovávány, nebo není-li to možné, kritéria pro stanovení této doby;

b) existence práva požadovat od správce osobní údaje týkající se subjektu údajů, přístup k nim, jejich opravu nebo výmaz nebo omezení zpracování nebo práva vznést námitku proti zpracování, jakož i práva na přenositelnost údajů;

c) je-li zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva souhlas kdykoli odvolat, aniž je dotčena zákonnost zpracování prováděného na na základě souhlasu před jeho odvoláním;

d) právo podat stížnost u dozorového úřadu;

e) zda je poskytnutí osobních údajů zákonnou nebo smluvní povinností nebo povinností nutnou k uzavření smlouvy, dále zda je subjekt údajů povinen tyto osobní údaje poskytnout a jaké jsou možné důsledky nedodržení tuto povinnost;

f) existenci automatizovaného rozhodovacího procesu včetně profilování uvedeného v čl. 22 odst. 1 a 4, jakož i alespoň v těchto případech příslušné informace o použité logice a o důležitosti a očekávaných důsledcích takového zpracování pro subjekt údajů.

3. Pokud správce hodlá dále zpracovávat osobní údaje pro jiný účel, než pro který byly shromážděny, poskytne subjektu údajů před takovým dalším zpracováním informace o tomto sekundárním účelu a případné další informace. odstavec 2.

4. Odstavce 1, 2 a 3 se nepoužijí, pokud a v rozsahu, ve kterém subjekt údajů již tyto informace má.

Článek 14: Informace, které mají být poskytnuty, pokud osobní údaje nebyly získány od subjektu údajů

(1) Pokud osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace: a) totožnost a kontaktní údaje správce a případně jeho zástupce;

b) případně kontaktní údaje pověřence pro ochranu osobních údajů;

c) účely, pro které jsou osobní údaje zpracovávány, jakož i právní základ zpracování;

d) kategorie dotčených osobních údajů;

e) příjemci nebo kategorie příjemců osobních údajů, podle okolností;

f) případně úmysl správce předat osobní údaje příjemci ve třetí zemi nebo mezinárodní organizaci a existenci či neexistenci rozhodnutí Komise o vhodnosti nebo v případě předávání uvedených v článku 46 nebo 47 nebo v čl. 49 odst. 1 druhém pododstavci odkaz na vhodné nebo vhodné záruky a na způsoby získání jejich kopie, pokud byly dány k dispozici.

2. Kromě informací uvedených v odstavci 1 poskytne správce subjektu údajů následující informace nezbytné k zajištění spravedlivého a transparentního zpracování, pokud jde o subjekt údajů:

a) dobu, po kterou budou osobní údaje uchovávány, nebo není-li to možné, kritéria pro stanovení této doby;

b) pokud je zpracování prováděno podle čl. 6 odst. 1 písm. f), oprávněné zájmy správce nebo třetí strany;

c) existence práva požadovat od správce osobní údaje týkající se subjektu údajů, přístup k nim, jejich opravu nebo výmaz nebo omezení zpracování a právo vznést námitku proti zpracování, jakož i právo na přenositelnost údajů;

d) je-li zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva souhlas kdykoli odvolat, aniž je dotčena zákonnost zpracování prováděného na na základě souhlasu před jeho odvoláním;

e) právo podat stížnost u dozorového úřadu;

f) zdroj, ze kterého osobní údaje pocházejí, a případně pokud pocházejí z veřejně dostupných zdrojů;

g) existenci automatizovaného rozhodovacího procesu včetně profilování uvedeného v čl. 22 odst. 1 a 4, jakož i alespoň v těchto případech relevantní informace o použité logice a o důležitosti a očekávaných důsledcích takového zpracování pro subjekt údajů.

3. Správce poskytne informace uvedené v odstavcích 1 a 2: a) v přiměřené lhůtě po získání osobních údajů, ne však déle než jeden měsíc, s přihlédnutím ke konkrétním okolnostem, za kterých jsou zpracovávány.

b) mají-li být osobní údaje použity pro komunikaci se subjektem údajů, nejpozději v době prvního sdělení dotčenému subjektu údajů; nebo

c) je-li zamýšleno předat osobní údaje jinému příjemci, nejpozději v den, kdy byly poprvé zpřístupněny.

4. Pokud správce hodlá dále zpracovávat osobní údaje pro jiný účel, než pro který byly získány, poskytne subjektu údajů před takovým dalším zpracováním informace o tomto sekundárním účelu a případné další informace. odstavec 2.

5. Odstavce 1 až 4 se nepoužijí, pokud a do té míry, že:

a) subjekt údajů již informace má;

b) poskytnutí těchto informací se ukáže jako nemožné nebo by vyžadovalo nepřiměřené úsilí, zejména v případě zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého nebo historického výzkumu nebo pro statistické účely, za podmínek a záruk v čl. 89 odst. 1 nebo v rozsahu, v jakém povinnost uvedená v odstavci 1 tohoto článku pravděpodobně znemožní nebo vážně naruší dosažení cílů takového zpracování. V takových případech přijme správce vhodná opatření k ochraně práv, svobod a oprávněných zájmů subjektu údajů, včetně zpřístupnění informací veřejnosti;

c) získávání nebo zpřístupňování údajů je výslovně stanoveno unijním nebo vnitrostátním právem, kterému správce podléhá a které stanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů; nebo d) kde osobní údaje musí zůstat důvěrné na základě zákonné povinnosti zachovávat služební tajemství upravené unijním nebo vnitrostátním právem, včetně zákonné povinnosti zachovávat mlčenlivost.

Článek 15: Právo na přístup subjektu údajů

1. Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud ano, má právo získat přístup k těmto údajům a k následujícím informacím:

a) účely zpracování;

b) kategorie dotčených osobních údajů;

c) příjemci nebo kategorie příjemců, kterým byly nebo mají být osobní údaje zpřístupněny, zejména příjemci ze třetích zemí nebo mezinárodních organizací;

d) je-li to možné, dobu, po kterou se očekává, že budou osobní údaje uchovávány, nebo není-li to možné, kritéria použitá ke stanovení této doby;

e) existence práva požadovat od provozovatele opravu nebo výmaz osobních údajů nebo omezení zpracování osobních údajů týkajících se subjektu údajů nebo práva vznést námitku proti zpracování;

f) právo podat stížnost u dozorového úřadu;

g) v případě, že osobní údaje nejsou shromažďovány od subjektu údajů, veškeré dostupné informace o jejich zdroji;

h) existenci automatizovaného rozhodovacího procesu včetně profilování uvedeného v čl. 22 odst. 1 a 4, jakož i alespoň v těchto případech relevantní informace o použité logice a o důležitosti a očekávaných důsledcích takového zpracování pro subjekt údajů.

2. Jsou-li osobní údaje předávány do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 46 týkajících se předávání.

(3) Provozovatel poskytne kopii osobních údajů, které jsou předmětem zpracování. Za jakékoli další kopie požadované subjektem údajů může provozovatel účtovat přiměřený poplatek na základě administrativních nákladů. Pokud subjekt údajů podává žádost v elektronickém formátu a pokud subjekt údajů nepožádá o jiný formát, informace se poskytují v běžně používaném elektronickém formátu.

4. Právo získat kopii podle odstavce 3 se nedotýká práv a svobod ostatních.

Oddíl 3: Oprava a vymazání

Článek 16: Právo na opravu

Subjekt údajů má právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají. S přihlédnutím k účelům, pro které byly údaje zpracovávány, má subjekt údajů právo získat doplnění osobních údajů, které jsou neúplné, a to i poskytnutím dodatečného prohlášení.

Čl. 17: Právo na výmaz údajů („právo být zapomenut“)

(1) Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se ho týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je splněn některý z těchto důvodů:

a) osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo zpracovány;

b) subjekt údajů odvolá souhlas, na jehož základě dochází ke zpracování v souladu s čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) a neexistuje žádný jiný právní základ pro zpracování;

c) subjekt údajů je proti zpracování podle čl. 21 odst. 1 a neexistují žádné oprávněné důvody pro zpracování nebo subjekt údajů nesouhlasí se zpracováním podle čl. 21 odst. 2;

d) osobní údaje byly zpracovávány nezákonně;

e) osobní údaje musí být vymazány, aby byla splněna právní povinnost správce podle unijního nebo vnitrostátního práva, které se na správce vztahuje;

f) osobní údaje byly shromážděny v souvislosti s poskytováním služeb informační společnosti uvedených v čl. 8 odst. 1.

2. Pokud správce zveřejnil své osobní údaje a je podle odstavce 1 povinen je vymazat, přijme správce s ohledem na dostupnou technologii a náklady na provedení přiměřená opatření, včetně technických opatření, aby informoval provozovatele, kteří zpracovávají osobních údajů, že subjekt údajů požádal tyto provozovatele o vymazání jakýchkoli odkazů na tyto údaje nebo jakýchkoli kopií či reprodukcí těchto osobních údajů.

3. Odstavce 1 a 2a se nepoužijí, pokud se vyžaduje zpracování:

a) za výkon práva na svobodu projevu a informací;

b) za splnění právní povinnosti zpracovávat podle unijního nebo vnitrostátního práva použitelného na správce nebo za plnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, který je správci svěřen;

c) z důvodů veřejného zájmu v oblasti veřejného zdraví v souladu s čl. 9 odst. 2 písm. h) ai) a čl. 9 odst. 3;

d) pro účely archivace ve veřejném zájmu, pro účely vědeckého nebo historického výzkumu nebo pro statistické účely v souladu s čl. 89 odst. 1, pokud právo uvedené v odstavci 1 pravděpodobně znemožní nebo vážně ovlivnit dosažení cílů tohoto zpracování; nebo

e) pro zjišťování, výkon nebo obhajobu práva u soudu.

čl. 18: Právo na omezení zpracování

1. Subjekt údajů má právo získat od správce omezení zpracování, pokud se jedná o jeden z následujících případů:

a) subjekt údajů popírá přesnost údajů, a to po dobu, která správci umožňuje přesnost údajů ověřit;

b) zpracování je protiprávní a subjekt údajů nesouhlasí s výmazem osobních údajů a žádá zpětně omezení jejich použití;

c) správce již osobní údaje nepotřebuje pro účel zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu práva u soudu; nebo

d) subjekt údajů vznesl námitku proti zpracování podle čl. 21 odst. 1, a to po dobu, po kterou se ověřuje, zda oprávněná práva správce převažují nad oprávněnými právy subjektu údajů.

2. Pokud bylo zpracování omezeno podle odstavce 1, mohou být tyto osobní údaje, kromě případu uchovávání, zpracovávány pouze se souhlasem subjektu údajů nebo pro určení, výkon nebo obhajobu práva u soudu, popř. ochrany práv jiné fyzické nebo právnické osoby nebo z důvodů převažujícího veřejného zájmu v Unii nebo v členském státě.

3. Subjekt údajů, který dosáhl omezení zpracování podle odstavce 1, je správcem informován, než bude omezení zpracování zrušeno.

čl. 19: Oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování

Správce oznámí každému příjemci, kterému byly osobní údaje sděleny, každou opravu nebo výmaz osobních údajů nebo omezení zpracování provedené v souladu s čl. 16, čl. 17 odst. 1 a čl. 18, pokud se to neukáže jako nemožné nebo to nezahrnuje nepřiměřené úsilí. Provozovatel informuje subjekt údajů o těchto příjemcích, pokud o to subjekt údajů požádá.

Článek 20: Právo na přenositelnost údajů

1. Subjekt údajů má právo získat osobní údaje, které se ho týkají a které poskytl správci, ve strukturovaném, běžně používaném a automaticky čitelném formátu a má právo předat tyto údaje jinému. bez překážek ze strany provozovatele, kterému byly osobní údaje poskytnuty, pokud:

a) zpracování je založeno na souhlasu podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) nebo na smlouvě podle čl. 6 odst. 1 písm. b); a

b) zpracování je prováděno automatickými prostředky.

2. Při výkonu svého práva na přenositelnost údajů podle odstavce 1 má subjekt údajů právo na to, aby byly osobní údaje předány přímo od jednoho správce druhému správci, je-li to technicky proveditelné.

3. Výkonem práva uvedeného v odstavci 1 tohoto článku není dotčen článek 17. Toto právo se nevztahuje na zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci s které je provozovateli svěřeno.

4. Práva podle odstavce 1 nejsou dotčena práva a svobody ostatních.

Oddíl 4: Právo na námitku a automatizované individuální rozhodování

Článek 21: Právo na námitku

1. Subjekt údajů má z důvodů týkajících se jeho konkrétní situace kdykoli právo vznést námitku proti zpracování podle čl. 6 odst. 1 písm. e) nebo f) nebo čl. 6 odst. 1. 1. týkající se ní, včetně vytváření profilů na základě těchto ustanovení. Správce již osobní údaje nezpracovává, pokud neprokáže, že má oprávněné a závažné důvody ospravedlňující zpracování a převažující nad zájmy, právy a svobodami subjektu údajů nebo že účelem je stanovení, výkon nebo obhajoba práva u soudu .

2. Pokud je zpracování osobních údajů prováděno za účelem přímého marketingu, má subjekt údajů právo kdykoli vznést námitku proti zpracování osobních údajů, které se ho týkají, včetně vytváření profilů, pokud k tomu přímému marketingu.

(3) Pokud subjekt údajů vznese námitku proti zpracování pro účel přímého marketingu, nebudou již osobní údaje pro tento účel zpracovávány.

4. Nejpozději při první komunikaci se subjektem údajů musí být subjekt údajů výslovně upozorněn na právo uvedené v odstavcích 1 a 2 a musí být jasně a odděleně od jakýchkoli jiných informací.

5. V souvislosti s využíváním služeb informační společnosti a bez ohledu na směrnici 2002/58/ES může subjekt údajů uplatnit své právo vznést námitku automatickými prostředky s využitím technických specifikací.

6. Jsou-li osobní údaje zpracovávány pro účely vědeckého nebo historického výzkumu nebo pro statistické účely v souladu s čl. 89 odst. 1, má subjekt údajů z důvodů souvisejících s jeho konkrétní situací právo vznést námitku proti zpracování osobních údajů, které se jí týkají, pokud zpracování není nezbytné pro splnění úkolu z důvodů veřejného zájmu.

čl. 22: Automatizovaný proces individuálního rozhodování, včetně vytvoření profilu

1. Subjekt údajů má právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro subjekt údajů právní účinky nebo se jej obdobným způsobem podstatným způsobem dotýká.

2. Odstavec 1 se nepoužije, pokud rozhodnutí:

a) je nezbytné pro uzavření nebo plnění smlouvy mezi subjektem údajů a správcem údajů;

b) je oprávněna unijním nebo vnitrostátním právem použitelným na správce a která rovněž stanoví vhodná opatření na ochranu práv, svobod a oprávněných zájmů subjektu údajů; nebo

c) je založeno na výslovném souhlasu subjektu údajů.

3. V případech uvedených v odst. 2 písm. a) ac) správce údajů zavede vhodná opatření k ochraně práv, svobod a oprávněných zájmů subjektu údajů, alespoň jeho práva na lidský zásah od subjektu údajů. subjekt údajů, provozovatel vyjádřit svůj názor a napadnout rozhodnutí.

4. Rozhodnutí uvedená v odstavci 2 nebudou založena na zvláštních kategoriích osobních údajů uvedených v čl. 9 odst. 1, pokud se nepoužije čl. 9 odst. 2 písm. a) nebo g). byly zavedeny k ochraně práv, svobod a oprávněných zájmů subjektu údajů.