GDPR: vaše práva na osobní údaje

Firmy, e-shopy, banky i úřady o vás drží osobní údaje a obecné nařízení o ochraně osobních údajů (GDPR) vám dává konkrétní nástroje, jak zjistit, co s nimi dělají, a v určitých případech to změnit. Nemusíte být právník ani znát paragrafy. Stačí vědět, která práva máte, komu napsat, jak dlouho má odpověď trvat a kam se obrátit, když se nic neděje.

Tento průvodce vychází z českého znění nařízení (EUR-Lex), z informací portálu veřejné správy o stížnostech u Úřadu pro ochranu osobních údajů (ÚOOÚ) a z informací ÚOOÚ k telemarketingu. U každého tvrzení uvádíme článek nařízení nebo zdroj. Nejde o individuální právní poradenství. Při složitějším sporu se obraťte na právníka nebo na ÚOOÚ.

Co je GDPR a komu se hodí

Obecné nařízení o ochraně osobních údajů (GDPR) je nařízení Evropské unie z roku 2016, které platí přímo i v České republice. Říká, za jakých podmínek mohou firmy, spolky a úřady zpracovávat údaje o lidech, a dává těmto lidem práva, o která se mohou opřít.

Několik pojmů, na které narazíte:

• Osobní údaje jsou informace, které se vztahují k vám jako konkrétnímu člověku, například jméno, e-mail, telefonní číslo, adresa nebo přihlašovací jméno.
• Subjekt údajů jste vy, tedy osoba, jejíž údaje se zpracovávají.
• Správce je firma nebo organizace, která rozhoduje o tom, proč a jak se vaše údaje zpracovávají. Právě jemu své žádosti posíláte.
• Zpracovatel zpracovává údaje pro správce, například dodavatel technického řešení.
• Dozorový úřad dohlíží na dodržování pravidel. V Česku jím je ÚOOÚ.

Práva se týkají všech, jejichž údaje někdo zpracovává. Typicky je využijete, když:

• chcete vědět, jaké údaje o vás e-shop nebo služba má,
• se vám ozývají firmy, které nevíte, odkud vaše číslo mají,
• po úniku dat chcete zjistit, co přesně uniklo,
• chcete, aby firma opravila chybný údaj nebo přestala používat váš kontakt k marketingu.

Vaše práva v kostce

Práva jsou popsána v článcích 12 až 22 nařízení. Zde je přehled, který pak rozebereme po jednom.

Žádné z těchto práv není absolutní. Každé má podmínky a výjimky, které popisujeme níže. Proto je dobré v žádosti uvést konkrétní důvod a odkázat na příslušný článek.

Jak a kdy správce odpovídá

Než přejdeme k jednotlivým právům, je dobré znát společná pravidla z čl. 12 nařízení. Platí pro všechna práva v článcích 15 až 22.

Srozumitelnost. Správce má poskytovat informace stručně, transparentně, srozumitelně a snadno přístupným způsobem, za použití jasných a jednoduchých jazykových prostředků. Má vám výkon práv usnadňovat.

Lhůta jeden měsíc. Správce vám sdělí informace o přijatých opatřeních bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce. O prodloužení musí správce informovat do jednoho měsíce od obdržení žádosti a uvést důvody.

Elektronická forma. Pokud podáte žádost elektronicky, poskytnou se informace elektronicky, je-li to možné, pokud si nevyžádáte jiný způsob.

Zdarma. Informace a všechny úkony podle článků 15 až 22 se poskytují bezplatně. Jen když jsou žádosti zjevně nedůvodné nebo nepřiměřené, například protože se opakují, může správce uložit přiměřený poplatek za administrativní náklady, nebo žádosti odmítnout vyhovět. Zjevnou nedůvodnost či nepřiměřenost musí správce doložit.

Ověření totožnosti. Pokud má správce důvodné pochybnosti o tom, kdo žádost podává, může požádat o dodatečné informace nezbytné k potvrzení totožnosti. Posílejte proto žádost z e-mailu, který u služby používáte, a neposílejte víc dokladů, než je nutné.

Odmítnutí. Pokud správce nevyhoví, musí vás bezodkladně a nejpozději do jednoho měsíce informovat o důvodech a o možnosti podat stížnost u dozorového úřadu a požádat o soudní ochranu.

Právo na přístup: co o mně firma ví

Nejužitečnější a nejčastěji používané právo. Podle čl. 15 máte právo získat od správce potvrzení, zda vaše údaje zpracovává. Pokud ano, máte právo na přístup k těmto údajům a k dalším informacím:

• účely zpracování,
• kategorie dotčených údajů,
• příjemci nebo kategorie příjemců, kterým byly nebo budou údaje zpřístupněny,
• plánovaná doba uložení, nebo kritéria k jejímu určení,
• existence práva požadovat opravu nebo výmaz, omezení zpracování a vznést námitku,
• právo podat stížnost u dozorového úřadu,
• veškeré dostupné informace o zdroji údajů, pokud je správce nezískal od vás,
• informace o automatizovaném rozhodování včetně profilování.

Správce vám poskytne kopii zpracovávaných údajů. Za další kopie může účtovat přiměřený poplatek. Právem na kopii nesmějí být nepříznivě dotčena práva a svobody jiných osob. Tomu se správce někdy dovolává, když by kopie obsahovala údaje o třetích osobách.

Praktický tip: požádáte-li o přístup ve chvíli, kdy vás obtěžují neznámé firmy, ÚOOÚ radí požádat volající firmu písemně také o informaci o zdroji osobních údajů podle čl. 15 nařízení. Tak zjistíte, odkud vaše kontakty pocházejí.

Podrobný návod s textem žádosti najdete v článku Žádost o přístup k osobním údajům: vzor.

Právo na opravu

Podle čl. 16 máte právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se vás týkají. S ohledem na účely zpracování máte také právo na doplnění neúplných údajů, a to i dodatečným prohlášením.

Hodí se to například tehdy, když firma uvádí špatné jméno, adresu nebo e-mail, nebo když v profilu chybí údaj, který by ho opravil. U veřejných registrů mají opravy často vlastní zákonný postup, takže se vyplatí zjistit, kdo registr vede.

Právo na výmaz

Právo na výmaz (někdy „právo být zapomenut“) je v čl. 17. Správce má povinnost vaše údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:

• údaje už nejsou potřebné pro účely, pro které se zpracovávaly,
• odvoláte souhlas, na jehož základě se údaje zpracovávaly, a neexistuje jiný právní důvod,
• vznesete námitku podle čl. 21 a nepřevažují oprávněné důvody správce (nebo jde o přímý marketing),
• údaje se zpracovávaly protiprávně,
• údaje je třeba vymazat ke splnění právní povinnosti,
• údaje se shromáždily při nabídce služeb informační společnosti dítěti.

Pokud správce vaše údaje zveřejnil a musí je vymazat, má s ohledem na dostupnou technologii a náklady přijmout přiměřené kroky, aby informoval další správce, kteří je zpracovávají, že žádáte o vymazání odkazů, kopií či replikací.

Kdy výmaz neplatí

Čl. 17 odst. 3 uvádí výjimky. Právo na výmaz se neuplatní, pokud je zpracování nezbytné:

• pro výkon práva na svobodu projevu a informace,
• pro splnění právní povinnosti nebo úkolu ve veřejném zájmu či při výkonu veřejné moci,
• z důvodů veřejného zdraví,
• pro archivaci ve veřejném zájmu, vědecký či historický výzkum nebo statistiku, pokud by výmaz vážně ohrozil splnění cílů,
• pro určení, výkon nebo obhajobu právních nároků.

To je důležité. Firma, která musí podle zákona uchovávat doklady, vám údaje z těchto dokladů nevymaže, ani když o to požádáte. A veřejné registry, které zveřejňují údaje na základě zákona, nejsou ve vztahu k vašim žádostem ve stejné pozici jako e-shop. Proto vám nikdo nemůže slíbit, že se každý údaj o vás odstraní. Jak to vypadá v praxi, popisuje článek Právo na výmaz: jak požádat o smazání údajů.

Zvláštním případem je vyhledávač. Odstranění výsledku z vyhledávače se vyřizuje u jeho provozovatele a týká se jen výsledku, ne zdrojové stránky. Postup popisuje článek Odstranění výsledku z Googlu: jak o něj požádat.

Právo na omezení zpracování

Podle čl. 18 můžete požadovat, aby správce zpracování omezil, v těchto případech:

• popíráte přesnost údajů, a to na dobu potřebnou k jejímu ověření,
• zpracování je protiprávní, ale místo výmazu žádáte o omezení použití,
• správce už údaje nepotřebuje, ale vy je potřebujete pro právní nároky,
• vznesli jste námitku podle čl. 21 a čeká se, zda převáží oprávněné důvody správce.

Po omezení smějí být údaje, s výjimkou uložení, zpracovány jen s vaším souhlasem, kvůli právním nárokům, k ochraně práv jiné osoby nebo z důvodů důležitého veřejného zájmu. Pokud omezení chce správce zrušit, musí vás na to předem upozornit.

Právo na přenositelnost

Čl. 20 vám dává právo získat údaje, které jste správci poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu a předat je jinému správci. Podmínkou je, že zpracování je založeno na souhlasu nebo na smlouvě a provádí se automatizovaně. Je-li to technicky proveditelné, můžete požádat, aby správce údaje předal přímo jinému správci.

Právo se neuplatní na zpracování nezbytné pro úkol ve veřejném zájmu nebo při výkonu veřejné moci a nesmí nepříznivě zasáhnout práva a svobody jiných osob. Hodí se třeba při přechodu k jiné službě, když si chcete odnést historii nebo seznam kontaktů.

Právo vznést námitku a obrana proti marketingu

Čl. 21 rozlišuje dvě situace.

Námitka z důvodů vaší konkrétní situace. Můžete kdykoli vznést námitku proti zpracování, které se opírá o veřejný zájem nebo oprávněný zájem správce. Správce vaše údaje dál nezpracovává, pokud neprokáže závažné oprávněné důvody, které převažují nad vašimi zájmy, právy a svobodami, nebo pokud je nepotřebuje pro právní nároky.

Námitka proti přímému marketingu. Pokud se údaje zpracovávají pro přímý marketing, můžete námitku vznést kdykoli a bez dalšího zdůvodnění. Poté se údaje už pro tyto účely nesmějí zpracovávat. Správce vás má na toto právo výslovně a zřetelně upozornit nejpozději při první komunikaci.

ÚOOÚ na svých stránkách o telemarketingu radí, abyste volající firmu nejdřív identifikovali (název, adresa nebo IČO) a potom proti využití svých údajů pro telemarketing písemně vznesli námitku. Správce pak musí údaje pro telemarketing přestat zpracovávat bez zbytečného odkladu. Zároveň radí nesdělovat volajícímu osobní údaje, i když se ptá „kvůli ověření totožnosti“, a při pochybnostech hovor ukončit. Zákaz marketingových nabídek lidem, kteří o ně ve veřejném seznamu účastníků nepožádali, stojí na zákoně o elektronických komunikacích a přestupky řeší Český telekomunikační úřad, ne GDPR.

Jak žádost napsat

Žádost může mít jakoukoli podobu, podstatná je srozumitelnost a to, abyste měli důkaz, že jste ji odeslali. Můžete postupovat takto:

1. Najděte kontakt. Hledejte „zásady ochrany osobních údajů“ nebo „kontakt pro ochranu osobních údajů“ na webu firmy. Pokud je tam pověřenec pro ochranu osobních údajů, pošlete žádost jemu. Jinak stačí obecný kontakt firmy.
2. Uveďte, kdo jste. Jméno a e-mail nebo číslo, pod kterým jste u firmy evidováni. Nic navíc.
3. Napište, co chcete. Konkrétní právo a článek, například „žádám o přístup k osobním údajům podle čl. 15 GDPR“.
4. Zmiňte lhůtu. Stačí připomenout, že správce má odpovědět do jednoho měsíce od obdržení žádosti.
5. Uschovejte důkaz. Odešlete e-mailem a uložte odeslanou zprávu, nebo pošlete dopis s potvrzením o doručení.

Příklad krátké žádosti (ukázka, údaje jsou smyšlené):

Dobrý den, žádám podle čl. 15 nařízení (EU) 2016/679 o potvrzení, zda zpracováváte moje osobní údaje, o jejich kopii a o informace uvedené v čl. 15 odst. 1, včetně zdroje údajů. Jsem veden pod e-mailem jana.vzor@example.cz. Odpověď prosím zašlete e-mailem. S pozdravem Jana Vzorová

Před odesláním zkontrolujte, zda žádost opravdu míří na správného správce. Firma, která vám nabízela službu, nemusí být tou, která údaje drží. Někdy je to jiná společnost ve skupině nebo obchodní partner.

Co když firma neodpoví

Pokud správce do jednoho měsíce neodpoví, nebo odpoví nedostatečně, nemusíte to přijmout. Postup:

1. Připomeňte se písemně. Krátká zpráva s odkazem na původní žádost a lhůtu z čl. 12 odst. 3. Počítejte s tím, že správce může využít prodloužení o dva měsíce, pokud vás o něm a o důvodech informoval v první lhůtě.
2. Uložte si komunikaci. Žádost, potvrzení odeslání i případné odpovědi se budou hodit.
3. Podejte stížnost u ÚOOÚ. Právo na to máte podle čl. 77 nařízení.

Stížnost u ÚOOÚ: jak to funguje

Podle čl. 77 máte právo podat stížnost u dozorového úřadu, zejména v členském státě svého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se domníváte, že zpracováním vašich údajů je porušeno nařízení. Dozorový úřad vás má informovat o pokroku a výsledku řešení a o možnosti soudní ochrany.

Podle portálu veřejné správy:

• Stížnost může podat fyzická osoba, která se domnívá, že se zpracováním jejích údajů porušují předpisy, a také ten, na jehož žádost o informace, výmaz nebo opravu správce nereagoval do jednoho měsíce nebo reagoval nedostatečně.
• Podat ji lze kdykoli od chvíle, kdy jste se o možném porušení dozvěděli.
• Můžete použít datovou schránku (ID qkbaa2n) nebo e-mail na posta@uoou.gov.cz. E-mail musí být elektronicky podepsán. Poštou nebo osobně lze stížnost podat na adresu úřadu.
• Stížnost můžete napsat volnou formou.
• Má obsahovat označení subjektu, na který si stěžujete, popis jednání, kterým mělo k porušení dojít, osobní údaje nebo aspoň jejich kategorie a podle možností důkazy a vaše kontaktní údaje.
• Služba je bezplatná. O průběhu a výsledku se dozvíte do tří měsíců od přijetí stížnosti, u elektronického podání od přijetí ověřené stížnosti.

ÚOOÚ podle téhož zdroje neřeší například podezření na zneužití identity, které je potřeba oznámit Policii ČR, ani ochranu osobnosti podle občanského zákoníku (pomluvy a nepravdivé informace) nebo zpracování v rámci výlučně osobních či domácích činností. Pokud se obáváte, že ve skutečnosti jde o podvod, začněte u banky a policie.

Podrobný průvodce najdete v článku Stížnost na ÚOOÚ: jak ji podat a kdy.

Co práva GDPR nezvládnou

Rozumná očekávání jsou důležitá. Uplatnění práv je účinný nástroj, ale má své hranice:

• Nezmizí všechno. Údaje ve veřejných registrech, které jsou zveřejněné na základě zákona, nebo údaje, které musí firma uchovávat, se podle výjimek z čl. 17 odst. 3 nemusí vymazat.
• Nejde o rychlý spínač. Správce má na odpověď až měsíc a lhůta může být prodloužena.
• Smažete jen u adresáta. Pokud se údaje dostaly k dalším společnostem nebo na jiné weby, musíte si je řešit jednotlivě. Správce, který údaje zveřejnil, má sice povinnost podle čl. 17 odst. 2 informovat další správce, ale s ohledem na technologii a náklady.
• Nelze se spolehnout na jediný krok. Výmaz u jednoho správce neznamená, že údaje nikde jinde nejsou. Proto dává smysl čas od času zjistit, co je o vás veřejně vidět.

Tohle platí i pro služby, které slibují odstranění vašich údajů z internetu. Nikdo nemůže slíbit, že se každý údaj odstraní. Seriózní postup je ověřit, co je vidět, a podat konkrétní žádosti konkrétním správcům. Tuto cestu rozebíráme v souvisejícím průvodci Odstranění osobních údajů z internetu a z registrů.

Než začnete psát žádosti, hodí se vědět, komu. Remove Me nabízí bezplatnou analýzu bez registrace. Hledá ve veřejně dostupných zdrojích, ve známých únicích dat (přes službu Have I Been Pwned) a v registru zprostředkovatelů dat. Přehled otevřete šestimístným kódem, který vám pošleme e-mailem. Remove Me zatím neodesílá žádosti o výmaz za vás, takže žádosti podle tohoto průvodce posíláte sami. Zahájit bezplatnou analýzu

Krátký přehled kroků

1. Zjistěte, kdo je správce, a najděte jeho kontakt pro ochranu osobních údajů.
2. Napište konkrétní žádost s odkazem na článek nařízení (15, 16, 17, 18, 20 nebo 21).
3. Odešlete ji způsobem, který dokládá odeslání, a uložte si kopii.
4. Počítejte s odpovědí do jednoho měsíce, případně se zdůvodněným prodloužením o dva měsíce.
5. Když správce neodpoví nebo odmítne bez dobrého důvodu, podejte stížnost u ÚOOÚ.
6. U podezření na zneužití identity nebo podvodu se obraťte na banku a Policii ČR.

Zdroje

• EUR-Lex: obecné nařízení o ochraně osobních údajů (GDPR)
• Portál veřejné správy: Stížnost na neoprávněné zpracování osobních údajů (ÚOOÚ)
• ÚOOÚ: Telemarketing (otázky a odpovědi)