Právní titul zpracování (legal basis for processing)

Příklady z praxe

1. 01

   E-shop: jedna objednávka, tři různé tituly

   Zákazník objedná zboží. Adresa a kontakt slouží k dodání, tedy plnění smlouvy. Vystavená faktura se uchovává deset let podle zákona o DPH, tedy právní povinnost. Přihlášení k newsletteru v samostatném zaškrtávacím poli je souhlas. Odhlášení z newsletteru proto nesmí smazat fakturu a naopak.

2. 02

   Sloupec s titulem přímo v databázi

   Ukládat titul a účel ke každému záznamu umožní automatizovat retenci i výmaz. Skript pro anonymizaci pak pracuje jen s řádky, kde titul výmaz připouští, a nedotkne se dat držených kvůli účetnictví.

   CREATE TYPE legal_basis AS ENUM (
     'consent', 'contract', 'legal_obligation',
     'vital_interests', 'public_task', 'legitimate_interests'
   );
   
   CREATE TABLE processing_record (
     id           bigserial PRIMARY KEY,
     subject_id   bigint NOT NULL,
     purpose      text   NOT NULL,
     basis        legal_basis NOT NULL,
     consent_at   timestamptz,          -- vyplněno jen u 'consent'
     consent_text text,                 -- znění, se kterým subjekt souhlasil
     retain_until date NOT NULL
   );
   
   -- výmaz na žádost se dotkne jen toho, co lze smazat
   DELETE FROM processing_record
   WHERE subject_id = $1
     AND basis IN ('consent', 'legitimate_interests');

Časté omyly

MýtusNa všechno stačí získat souhlas, to je nejbezpečnější cesta.

Ve skutečnostiSouhlas je nejkřehčí titul, protože je odvolatelný a musí být skutečně svobodný. Pokud bez zaškrtnutí nelze objednávku dokončit, souhlas je neplatný a zpracování zůstane bez titulu. Pro dodání zboží je správným titulem plnění smlouvy.

MýtusOprávněný zájem si můžu napsat kamkoli, nikdo to nekontroluje.

Ve skutečnostiOprávněný zájem musí být doložen písemným balančním testem a správce musí umět reagovat na námitku. Bez zdokumentovaného posouzení jde při kontrole o zpracování bez platného titulu.

MýtusKdyž zákazník požádá o výmaz, musím smazat úplně všechno.

Ve skutečnostiPrávo na výmaz neplatí tam, kde zpracování stojí na právní povinnosti nebo je nutné k určení a obhajobě právních nároků. Faktury a účetní doklady se uchovávají po zákonnou dobu bez ohledu na žádost.

Časté dotazy

Jak poznám, který právní titul zvolit pro konkrétní zpracování?

Volba právního titulu začíná u přesně formulovaného účelu. Pokud jsou údaje nezbytné k tomu, aby správce splnil, co slíbil ve smlouvě, jde o plnění smlouvy. Pokud zpracování ukládá konkrétní paragraf zákona, jde o právní povinnost. Zbývající situace se posuzují jako oprávněný zájem, a když ten v balančním testu neobstojí nebo jde o citlivé údaje či marketing vůči neznámým osobám, zbývá souhlas. Souhlas je vhodné nechat až jako poslední možnost, protože ho subjekt údajů může kdykoli odvolat.

Musí být právní titul uveden v zásadách zpracování osobních údajů?

Právní titul patří mezi povinné informace podle článku 13 a 14 GDPR, takže musí být v zásadách zpracování uveden, a to pro každý účel zvlášť. U oprávněného zájmu má správce navíc povinnost popsat, o jaký zájem konkrétně jde. Obecná formulace typu „údaje zpracováváme v souladu s GDPR“ informační povinnost nesplňuje. Dokument by měl u každého účelu uvádět titul, kategorie údajů, dobu uchování a příjemce.

Co se stane, když zpracování probíhá bez právního titulu?

Zpracování bez právního titulu je porušením základní zásady zákonnosti a spadá do vyšší sazby správních pokut podle článku 83 odst. 5 GDPR. Úřad pro ochranu osobních údajů může kromě pokuty nařídit zastavení zpracování nebo výmaz dotčených údajů, což u marketingové databáze znamená její ztrátu. Riziko nese správce, nikoli dodavatel softwaru. Přechod na jiný titul zpětně nefunguje: zpracování, které proběhlo bez titulu, zůstává protiprávní.

Lze změnit právní titul u údajů, které už správce má?

Změna právního titulu u již probíhajícího zpracování je až na výjimky nepřípustná. GDPR vychází z toho, že subjekt údajů byl o titulu informován předem a podle toho ví, jaká práva má. Přechod ze souhlasu na oprávněný zájem po tom, co subjekt souhlas odvolal, by právo na odvolání zbavil smyslu. Legitimní je pouze situace, kdy se skutečně mění účel zpracování; pak jde o nové zpracování s novou informační povinností a s posouzením slučitelnosti podle článku 6 odst. 4.

Zdroje

1. Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů)(otevře se v novém okně)EUR-Lex, Úřad pro publikace EU, 2016
2. Úřad pro ochranu osobních údajů(otevře se v novém okně)Úřad pro ochranu osobních údajů
3. Zákon č. 110/2019 Sb., o zpracování osobních údajů(otevře se v novém okně)Zákony pro lidi, 2019
4. Obecné nařízení o ochraně osobních údajů(otevře se v novém okně)Wikipedie

Související pojmy

• GDPRGDPR je evropské nařízení pro ochranu osobních údajů, které stanovuje, kdy a jak mohou organizace údaje lidí shromažďovat, používat, sdílet a mazat. Pro vývojáře znamená požadavky na minimalizaci dat, právní důvod zpracování, bezpečnost, auditovatelnost a podporu práv uživatelů, například přístupu k údajům nebo jejich výmazu.
• Zpracovatelská smlouvaZpracovatelská smlouva je právní ujednání mezi správcem osobních údajů a zpracovatelem, které podle GDPR vymezuje, jak zpracovatel smí s údaji nakládat. Určuje účel, dobu, typy údajů, bezpečnostní povinnosti, zapojení dalších zpracovatelů i postup po skončení služby. V praxi brání tomu, aby externí dodavatel používal data volně nebo mimo pokyny správce.
• Zpracování osobních údajůZpracování osobních údajů je jakákoli práce s informací, která přímo nebo nepřímo souvisí s identifikovaným či identifikovatelným člověkem. Patří sem sběr, ukládání, třídění, předávání, úpravy i mazání údajů. V evropském právu vyžaduje právní základ, jasný účel, přiměřený rozsah a odpovědnost správce nebo zpracovatele.
• Účel zpracováníÚčel zpracování je konkrétní důvod, kvůli kterému správce osobních údajů shromažďuje, ukládá, používá nebo předává data. V GDPR určuje hranice přípustného nakládání s údaji, volbu právního základu, rozsah informování lidí i posouzení, zda pozdější použití dat zůstává slučitelné s původním záměrem.
• Správce osobních údajůSprávce osobních údajů je podle GDPR ten, kdo určuje účel a prostředky zpracování osobních údajů, tedy rozhoduje proč a jak se s daty nakládá. Může jím být firma, spolek, úřad i podnikající fyzická osoba. Správce nese hlavní odpovědnost vůči subjektům údajů i dozorovému úřadu a odpovídá i za zpracovatele, které si najme.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.
• AcquirerAcquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.
• AI etikaAI etika je obor, který zkoumá, jaké dopady mají systémy umělé inteligence na lidi, a formuluje pravidla pro jejich návrh, trénink a provoz. Řeší zaujatost dat, transparentnost rozhodování, ochranu soukromí, odpovědnost za chybu i bezpečnost modelu. Ve firemní praxi se promítá do interních politik, dokumentace modelů a povinností podle regulace typu AI Act.