3. SPECIFIKA OCHRANY OSOBNÍCH ÚDAJŮ V INFORMAČNÍCH
SYSTÉMECH, POVINNOSTI SPRÁVA, PRÁVA SUBJEKTŮ, aj.
Právo informačních a komunikačních
technologií
16 | 10 | 2025

2

I. Obecný úvod do
problematiky ochrany
osobních údajů a dat

„Takový vševládný stát (lhostejno jaké
formy) roztáhne po zemi svou právní
síť, a člověk bude běhat jako zajíc sem
a tam, aby našel v této síti díru či větší
oko, aby se dostal na místečko, kde by
si oddechl a zašeptal: ‚Zaplať pánbů,
tady jsem sám, tady si zaskotačím.‘
Pozorujte proto naše zákonodárství z
tohoto hlediska a dávejte pozor,
abychom na místě svobody netvořili
nové formy nevolnictví“

Emil Svoboda
O vývoji v právu, 1927

3 Specifika ochrany osobních údajů v infomačních systémech, povinnosti správce, práva subjektů údajů

Prameny a historický kontext
● Zákon č. 110/2019 Sb., o zpracování osobních údajů (tzv. adaptační
zákon k GDPR)
● Nařízení Evropského parlamentu a Rady č. 2016/679, Obecné
nařízení o ochraně osobních údajů (GDPR), které bylo publikováno
dne 27. dubna 2016 (účinnost ke dni 25. května 2018)
● Zákon o elektronických komunikacích, zákon o základních registrech,
zákon o evidenci obyvatel, zákon o advokacii, procesní kodexy, atd.,
● Občanský zákoník, Zákoník práce
Právní (politické) důvody regulace
● technologický rozvoj a význam datové stopy života člověka,
● desítky významných soudních sporů (Max Mosley, Google vs. Spain,
GSV, B. Wulff, apod.)

Historické pozadí:
technologický rozvoj (jeho možnosti)
● kvantitativní hlediska
○ datová analytika,
○ rozsah zpracování,
● kvalitativní hlediska
○ způsob zpracování,
○ časová souvislosti
○ Internet “nezapomíná",
● význam datové stopy života a potřeby ji chránit
○ jiné pojetí v EU a USA,
○ úplně jiné v Číně, apod.
● soudní spory ve světě
○ problém rozhodného práva, aj.
○ právo není efektivní prostředek ochrany (viz kauzy od r. 2008)
zdroj: https://www.pcmag.com/news/what-happens-in-60-seconds-of-global-internet-activity

Historické pozadí:
kauza “Max Mosley” (2008)

Historické pozadí:
Kauza “Max Mosley”(2008)

Kauza Google Spain v AEPD and
Mario Costeja González (2014)

Quelle: Reuters/VPW/nl

Kauza Google(GSV, Wi-Fi data),
autokompletace (B. Wulff)

Politická obhajoba (2012 - 2016)
Ochrana osobních údajů je základním právem
všech Evropanů. Občané však vždy pocit plné
kontroly nad informacemi o sobě nemají. Mé
návrhy pomohou vytvořit důvěru ve služby
poskytované on-line: lidé budou díky nim lépe
informováni o svých právech a budou mít nad
informacemi o sobě větší kontrolu.
Viviane Redding, Brusel 25. ledna 2012
Návrh komplexní reformy předpisů o ochraně údajů, která měla zvýšit
kontrolu uživatelů nad jejich údaji a snížit náklady pro podniky (sic!).

O čem je GDPR?
● Nařízení č. 2016/679, Obecné nařízení o ochraně osobních údajů
(GDPR), publikováno dne 27. 4. 2016 (účinnost ke dni 25. 5. 2018)
● Jde o nejkomplexnější soubor pravidel na ochranu osobních údajů na
světě
● Cílem nařízení je přispět k dotvoření prostoru svobody, bezpečnosti a
práva a hospodářské unie, k hospodářskému a sociálnímu pokroku, k
posílení a sblížení ekonomik v rámci vnitřního trhu a k dobrým
životním podmínkám fyzických osob.
● Zpracování osobních údajů má sloužit lidem.
● Právo na ochranu osobních údajů není právem absolutním, musí být:
○ posuzováno v souvislosti se svou funkcí a
○ v souladu se zásadou proporcionality,
○ v rovnováze s dalšími základními právy

O čem GDPR není? (publikované mýty)
●
●
●
●

GDPR je zcela revoluční změnou, nejde jen o “evoluční” krok,
GDPR je směrnice (Directive) nikoliv nařízení (Regulation),
GDPR má výrazně širší působnost než dosavadní úprava,
GDPR nově vše „pokrývá“ souhlasem jako svého druhu ideálním
právním titulem, který je vyžadován téměř vždy,
● GDPR se týká jen korporací zaměstnávajících více jak 250 osob,
● dle GDPR musí všichni správci vést velmi podrobné záznamy o všech
zpracováních,
● GDPR stanoví vůči všem extrémně vysoké sankce dle obratu,
●
●
●
●

dle GDPR musí být všechny IT systémy zabezpečeny šifrováním,
dle GDPR všichni potřebují pověřence, navíc certifikovaného,
dle GDPR musí být pověřenec nezávislý, nelze jej úkolovat
...

Věcná působnost,
pojem osobní údaj (čl. 2, čl. 4 GDPR)
● GDPR se vztahuje na zcela nebo částečně automatizované
zpracování osobních údajů a na neautomatizované zpracování těch
osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být
zařazeny.
● osobními údaji jsou veškeré informace o identifikované nebo
identifikovatelné fyzické osobě (subjekt údajů);
identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze
přímo či nepřímo identifikovat, zejména odkazem na určitý
identifikátor, například jméno, identifikační číslo, lokační údaje, síťový
identifikátor nebo na jeden či více zvláštních prvků fyzické,
fyziologické, genetické, psychické, ekonomické, kulturní nebo
společenské identity této fyzické osoby.

Pojem osobní údaj
(čl. 2, čl. 4, vy. 26, 27 GDPR)
● Osobní údaj se vždy musí vztahovat k
identifikovatelné fyzické osobě.
● Subjektem je tak vždy pouze člověk
(fyzická osoba), byť jde o OSVČ.
● Subjektem nikdy nebude právnická osoba
(včetně názvu, právní formy a kontaktních
údajů právnické osoby).
● Subjekt nemusí být identifikován přímo,
ale postačí nepřímá identifikace (např.
vyčleněním ostatních údajů).
● Osobním údajem je:
○
○

šifrovaný osobní údaj,
pseudonymizovaný osobní údaj,

● Osobním údajem není:
○
○

anonymizovaný osobní údaj,
osobní údaj zesnulé osoby,

➔
➔
➔
➔
➔
➔
➔
➔
➔
➔
➔
➔
➔

jméno a příjmení, adresa
IČO a DIČ fyzické podnikající osoby,
rodné číslo,
(geo)lokační údaje,
věk a datum narození,
pohlaví, osobní stav, občanství,
emailová adresa, telefonní číslo,
"kapka“ krve,
IP adresa, číslo IMEI, MAC adresa, apod.
data o spotřebiči v domácnosti (?),
zachycení podoby („fotografie“),
podpis (dynamický biometrický podpis),
ostatní biometrické charakteristiky, např.
◆
◆
◆
◆

otisky ucha, prstů ruky, tvar ruky,
vybraných částí obličeje,
záznam hlasového projevu,
záznam dynamiky psaní na klávesnici

Zvláštní kategorie osobních údajů
(čl. 2, čl. 4, vy. 26, 27 GDPR)
● GDPR výslovně zakazuje
zpracování údajů o:
○ rasovém nebo etnickém
původu,
○ politických názorech,
○ náboženském vyznání,
○ filozofickém přesvědčení,
○ členství v odborech,
○ genetických informacích,
○ biometrických údajích (za
účelem identifikace),
○ o zdravotním stavu,
○ o sexuálním životě,
○ sexuální orientaci.

➔ Zákaz se však nepoužije:

◆ je-li získán výslovný souhlas,
◆ je-li zpracování vyžadováno za účelem
výkonu zvláštních práv správce nebo
subjektu v oblasti pracovního práva
nebo sociálního zabezpečení a sociální
ochrany,
◆ je-li to nezbytné pro ochranu životně
důležitých zájmů subjektů,
◆ je-li oprávněným zájmem neziskové
organizace,
◆ netýká-li se údajů zveřejněných
subjektem samotným,
◆ je-li to nezbytné pro obhajobu právních
nároků,
◆ je-li nutné z důvodu veřejného zájmu,
pracovního lékařství

Pojem zpracování osobních údajů
(čl. 4 odst. 2, vy. 16, 18 GDPR)
● Zpracováním se rozumí
jakákoliv operace nebo soubor
operací s osobními údaji nebo
soubory osobních údajů.
● Za zpracování se nepovažuje:

○ nepravidelné a nahodilé operace se
záznamy, které nejsou uspořádány
podle určitých hledisek (kritérií),
○ takový přístup k údajům, jehož účelem
není práce s daty (servisní zásah, aj.),
○ operace s osobními údaji čistě osobní
povahy nebo činnosti prováděné
výhradně v domácnosti, a tedy bez
jakékoliv souvislosti s profesní nebo
obchodní činností,

➔
➔
➔
➔
➔
➔
➔
➔
➔
➔
➔
➔
➔
➔

shromáždění,
zaznamenání,
uspořádání,
strukturování,
uložení,
přizpůsobení nebo pozměnění,
vyhledání,
nahlédnutí,
použití,
zpřístupnění přenosem,
šíření nebo jakékoliv jiné zpřístupnění,
seřazení či zkombinování,
omezení,
výmaz nebo zničení.

Role v GDPR
(pojem správce, zpracovatel)
● Subjekt údajů
○ fyzická osoba s trvalým pobytem v EU (předmět ochrany nařízení)
● Správce
○ stanoví prostředky a účel, odpovídá za činnost (sub)zpracovatele
○ výkonná role při zajištění všech práv subjektu údajů
○ nositel důkazního břemena (povinnost prokazováním)
○ oznamuje dozorovému úřadu, subjektům údajů, apod.
● Zpracovatel
○ zpracovává údaje jménem správce, je mu podřízen
○ řetězení zpracovatelů lze jen se souhlasem správce
○ povinnosti zajistit potřebné podklady na žádost správce (práva
subjektu)
○ nutná úprava (zpracovatelskou) smlouvou se správcem (…)

Zpracovatelská smlouva
(čl. 28 odst. 2, 3, čl. 32 a násl. vy. 81 GDPR)
● Správce by měl zpracováním pověřit pouze ty, kteří poskytují
dostatečné záruky (odbornost, spolehlivost, aj.)
● Nutná je písemná smlouva mezi správcem a zpracovatelem, která
musí obsahovat:
○
○
○
○
○
○
○
○
○

předmět a dobu trvání zpracování, jeho povahu a účel,
typ osobních údajů a kategorie subjektů údajů,
konkrétní povinnosti a práva správce
zajištění mlčenlivosti (NDA),
závazek poskytnutí dostatečných záruk o zavedení vhodných technických a
organizačních opatřeních,
závazek zajistit neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb
zpracování,
povinnost součinnost při výkonu požadavků od subjektů údajů,
procesní možnosti směřující k umožnění auditu ze strany správce,
zajišťovací práv a povinnosti správce, aj.

Zásady a principy zpracování dle
GDPR (čl. 5, 6, 9,16, vy. 39, 58, 60)
● Zásady korektnosti a transparentnosti

○ ve vztahu k subjektům musí jít o férové, resp. korektní a transparentní zpracování

● Zásada minimalizace údajů, omezení legitimním účelem

○ osobní údaje musí být přiměřené a relevantní ve vztahu k účelu, nesmějí být
zpracovávány způsobem, který je s těmito účely neslučitelný,
○ osobní údaje musí být shromažďovány pro určité, výslovně vyjádřené a legitimní účely,

● Zásada přesnosti a aktualizovanosti
○

osobní údaje musí být přesné a v případě potřeby aktualizované

● Zásada zajištění integrity a důvěrnosti

○ náležité technické a organizační zabezpečení osobních údajů

● Zásada objektivní odpovědnosti

○ správců, zpracovatelů jako svého druhu vlastníků procesů, záznamů o činnostech, aj.

● Zásada omezení rizika, posuzování dopadu do soukromí člověka
● Zásada zákonnosti
○ zpracování je zákonné, pouze pokud mu “svědčí” nejméně jeden z právních titulů

20

II. Právní tituly
pro zpracování

Zákonnost zpracování:
právní tituly (dle čl. 6 GDPR)
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů
pro jeden či více konkrétních účelů;
b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou
je subjekt údajů, nebo pro provedení opatření přijatých před
uzavřením smlouvy na žádost tohoto subjektu údajů;
c) zpracování je nezbytné pro splnění právní povinnosti, která se na
správce vztahuje;
d) zpracování je nezbytné pro ochranu životně důležitých zájmů
subjektu údajů nebo jiné fyzické osoby;
e) zpracování je nezbytné pro splnění úkolu prováděného ve
veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen
správce;
f) zpracování je nezbytné pro účely oprávněných zájmů příslušného
správce či třetí strany, kromě případů, kdy před těmito zájmy mají
přednost zájmy nebo základní práva a svobody subjektu údajů
vyžadující ochranu osobních údajů (např. dítěte).

Souhlas
(čl. 4 odst. 11, čl. 7, vy. 32 GDPR)
● Souhlas musí být:
○ svobodný a aktivní,
○ jednoznačný, srozumitelný, přístupný a konkrétní,
○ zřetelně oddělen v případě, že je součástí jiného dokument,
○ snadno odvolatelný (impl. dostupnost formuláře na jeho odvolání).
● Souhlas tak nemůže být poskytnut:
○ na základě nečinnosti subjektu,
○ jako nedílná součást uzavírané smlouvy či sml. podmínek,
○ formou předem zaškrtnutých či předvyplněných částí (např. )
● Souhlas může být poskytnut v podobě listinné i elektronické; ústní
forma vyloučena není (problematické je však prokazování),
● Povinnost doložit souhlas má vždy správce.
● Za dítě mladší 13 let uděluje souhlas jeho zákonný zástupce.

Plnění smlouvy
(dle čl. 6 GDPR)
● Zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou
je subjekt údajů, nebo pro provedení opatření přijatých před
uzavřením smlouvy na žádost tohoto subjektu údajů;
○ jde o druhově relativně široký titul,
○ druhově podobný souhlasu, avšak méně formální,
○ pokrývá nejenom zpracovávání údaju v souvislosti s plněním
závazků ze smlouvy, ale i širší kontraktační souvislosti, včetně:
■ jednání o uzavření smlouvy,
■ zasílání návrhů, apod.
○ pozor na balanční test nezbytnosti (rozsah údajů i čas),
○ nutno počítat s právy subjektu (přenostitelnost, apod.).

Plnění právní povinnosti
(čl. 6, vy. 45, 69 GDPR)
● Zpracování je nezbytné pro splnění právní povinnosti, která se na
správce vztahuje;
● Titul tak fakticky spočívá v konkrétní právní normě, která musí:
■ obsahovat účel zpracování,
■ určit správce,
■ vymezit typ osobních údajů, které mají být zpracovány,
■ druhově identifikovat dotčené subjekty údajů, a
■ subjekty, kterým lze osobní údaje sdělit,
■ obsahovat další omezení (doby uložení a dalších opatření k
zajištění zákonného a spravedlivého zpracování)
● Dotčený subjekt údajů má právo vznést námitku proti zpracování
osobních údajů, které se týkají jeho konkrétní situace.

Ochrana životně důležitých zájmů
(čl. 6, vy. 46 GDPR)

● Zpracování je nezbytné pro ochranu životně důležitých zájmů
subjektu údajů nebo jiné fyzické osoby;
○ Realizace tohoto titulu je možná pouze tehdy, pokud nemůže být
zpracovávání fakticky realizováno na základě jiného právního
titulu.
● Fakticky jde o případy:
○ monitorování epidemií, bránění jejich šíření, karantény, apod.
○ případy přírodních a člověkem způsobených katastrof,
○ humanitární zájmy, apod.

Veřejný zájem
(čl. 6, čl. 49, vy. 158 GDPR)
● zpracování je nezbytné pro splnění úkolu prováděného ve
veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen
správce;
○ veřejný zájem je termín, který je záměrně vágní a neostrý;
○ chrání se zde obecně prospěšný zájem zejména státu nebo
veřejnoprávní korporace;
○ obecně lze za veřejný zájem označovat takovou činnost, která
■ podporuje rozvoj společnosti a
■ řešení jejích reálných problémů (významné je téma!).
○ veřejný zájem musí být právem uznán, je třeba jej doložit, (lze i
bez existence výslovné úpravy, avšak musí být dovoditelný);
● v. v. i. nesporně plní úkoly ve veřejném zájmu, byť ne každá činnost je
“úkolem ve veřejném zájmu”;
● na uplatnění veřejného zájmu v činnosti v. v. i. dbá dozorčí rada;

Oprávněný zájem správce
(čl. 6, vy. 47, 48)
● Zpracování je nezbytné pro účely oprávněných zájmů příslušného
správce či třetí strany,
● Jde o záměrně neurčitý titul, jehož realizaci má svá omezení:
○ zájmy správce nesmí převažovat nad zájmy nebo základními právy
subjektu údajů;
○ je nutno zohlednit přiměřené očekávání subjektu údajů na základě
jeho vztahu se správcem;
○ existence oprávněného zájmu musí být pečlivě posouzena, nutný
test proporcionality (legitimita zájmu, nutnost zpracování, vyvážení
práv, uplatnění záruk, dokumentace compliance, apod.)
● Oprávněným zájmem bude:
○ zpracování ve prospěch subjektů údajů;
○ zpracování nezbytně nutné za účelem zamezení podvodům
○ předání údajů v rámci skupiny podniků pro vnitřní adm. účely;

“Audit” právních titulů
● Je přiřazený titul odpovídající, nepřekrývá se s jiným (přiléhavějším)?
● Odpovídají “získané” informované souhlasy požadavkům GDPR,
zejména ve smyslu obsahových náležitostí, formy souhlasu i způsobu
získání
● Balanční test u požadavku nezbytnosti u ostatních titulů, tj.:
○ Nezpracovávám nějaké údaje navíc? (např. rodné číslo);
○ Není doba archivace delší než je nezbytné (AV záznam);
○ Nepoužívám zbytečně invazivní prostředky? (kvalita rozlišení);
○ Nelze právní povinnosti splnit i jinak? (za použití méně údajů);
○ Jaký konkrétní úkol činím ve veřejném zájmu, o co tento zájem
opírám?
○ Jaký konkrétní oprávněný zájem mi svědčí, v čí je prospěch, a
nemá před tímto zájmy přednost jiný zájem, základní právo či
svoboda?

29

III. Doporučení při
implementaci GDPR do IS

Doporučení:
iniciační úvahy a východiska
● Obecná pravidla pro všechny subjekty nebudou fungovat (směrnice,
vnitřní předpisy, komise, apod.);
● Stejně tak zpravidla nefungují ani obecné vzory, nástroje, řešení či jiná
centralizovaná řešení a postupy;
● Je třeba přijmout a implementovat vlastní individualizované
řešení souladu s GDPR;
● Nenakupovat žádná obecná softwarová či analytická řešení;
● Seznamte se podrobně s GDPR, konzultujte rizika s ÚOOÚ (čl. 36)
● Zanalyzujte si, zda potřebujete (obligatorně) pověřence - DPO;
● Zanalyzujte si, zda potřebujete (fakultativně) odpovědnou osobu za
ochranu osobních údajů - např. CDO (včetně týmu).

Doporučení (fáze 1):
reflexe a popis stávajícího stavu
● Popište organizační strukturu správce či zpracovatele;
● V rámci této struktury (oddělení či jiných organizačních jednotek)
identifikujte a zaznamenejte všechny procesy (aktiva), kde dochází
ke zpracování);
● Identifikujte a zaevidujte všechny klíčové osoby (tj. osoby odpovědné
za jednotlivé procesy zpracování);
● Proveďte detailní interní průzkum těchto procesů, zejména pak
těch, kde dochází k pravidelnému zpracování - např. účetní a mzdové
systémy, pracovněprávní či manažerské, knihovnické a další;
● Zjistěte a zaevidujte, zda vůči někomu vystupujete v postavení
zpracovatele, pokud ano, zaevidujte všechny zpracovatelské smlouvy
a proveďte audit jejich souladu s GDPR;
● Vytvořte si interní dokument, resp. plán dalšího postupu (s termíny).

Doporučení (fáze 2):
stanovení účelu, přiřazení titulu
● Stanovte a popište všechny činnosti zpracování;
● Definujte si jejich citlivost, resp. rizikovost (v kontextu možných
dopadů do soukromí či jiných práv subjektu);
● Takto zjištěným činnostem zpracování (procesům) přiřaďte
odpovídající účel zpracování, který následně typizujte (např. vedení
povinné pracovněprávní agendy, kontrola práce na pracovišti, apod.),
● Takto zjištěným účelům přiřaďte odpovídající právní titul;
● Vytvořte si “mapy” procesu pro každou činnost (jednotlivě);
● Vyjasněte si (s klíčovými osobami) všechny kroky všech aktérů v
procesu zpracování (nejenom interní, ale externí role - zpracovatelé);
● Zvažte dopady principu minimalizace;
● Proveďte balanční testy ve vztahu k titulům “nezbytnosti”;
● Připravte si informované souhlasy pro jednotlivé agendy
● Posuďte celkovou funkčnost realizovaných opatření (personálních
a objektové zabezpečení, omezení přístupu do IS, logování, apod.).

Doporučení (fáze 3):
GDPR je průběžné

➔ GDPR není o jednorázovém řešení,
◆ jde o pravidelnou agendu,
● vyžadující průběžnou péči,
● zejména aktualizaci, součinnost i dohled,
● a to jak na úrovni právní, manažerské, tak i technologické (IT),
● potřeba školení (právo, IT, soft skills).

34

IV. Specifika zpracování
osobních údajů, výjimky

Typy výzkumu dle GDPR
(Recitály 159, 160, 162)
● Vědecký výzkum: chápání v širokém smyslu - technologický vývoj a
technologické demonstrace, základní výzkum, aplikovaný výzkum a výzkum
financovaný ze soukromých zdrojů, včetně studií prováděných ve veřejném
zájmu v oblasti veřejného zdraví
● Historický výzkum: zahrnuje i výzkum pro genealogické účely; GDPR se
však nevztahuje na osobní údaje zesnulých osob
● Statistický výzkum: jakékoli operace shromažďování a zpracování
osobních údajů nezbytné pro statistická zjišťování nebo pro generování
statistických výsledků
● Výzkum v oblasti veřejného zdraví: podmnožina vědeckého výzkumu, na
kterou se vztahují některá specifická pravidla; veřejným zdravím se rozumí
veškeré prvky týkající se zdraví, zejména zdravotní stav včetně nemocnosti
a zdravotního postižení, determinanty ovlivňující tento zdravotní stav,
potřeby zdravotní péče, prostředky přidělené na zdravotní péči, poskytování
zdravotní péče a její všeobecná dostupnost, výdaje na zdravotní péči a její
financování a příčiny úmrtnosti (Nařízení EP a Rady č. 1338/2008, čl. 3,
písm.c)).

Zpracování zvláštních kategorií
osobních údajů
● Platí obecný zákaz zpracování zvláštních kategorií osobních údajů, ale…
● Výzkum jako primární účel zpracování:
○ Zpracování pro účely archivace ve veřejném zájmu, vědeckého či historického
výzkumu nebo pro statistické účely (čl. 9, odst. 2, písm. j)): na základě práva
EU/členského státu, přiměřenost sledovanému cíli, dodržení podstaty práva na
ochranu osobních údajů (modifikované zásady a práva subjektů, apod.), poskytnutí
vhodných a konkrétních záruk subjektům
○ Zpracování z důvodů veřejného zájmu v oblasti veřejného zdraví (čl. 9, odst. 2,
písm. i)): ochrana před vážnými přeshraničními zdravotními hrozbami, zajištění
norem kvality a bezpečnosti - na základě práva EU/členského státu, zvláštní
opatření pro zajištění práv
● Výzkum jako sekundární účel zpracování:
○ Stejné podmínky jako u běžných kategorií osobních údajů
○ Není třeba souhlas subjektu údajů při dalším zpracování
○ Pokud byly údaje shromážděny s výslovným souhlasem subjektu nebo z důvodu
významného veřejného zájmu na základě práva EU/členského státu, ale s pomocí
výše uvedených titulů, pak nelze tyto zvláštní kategorie údajů využít k následnému
profilování (automatizované zpracování za účelem hodnocení osobních aspektů
fyzické osoby, zejm. jejich analýzy a predikce - např. zdravotní stav, chování, místo,
kde se nachází, apod.)

Záruky při zpracování pro výzkum
(čl. 89, v budoucnu národní specifika)
● Nutnost přijmout vhodné záruky práv a svobod subjektů, zejména pomocí
technických a organizačních opatření zajistit zásadu minimalizace údajů
● Důležitost sledovaného účelu - lze dosáhnout pseudonymizací či dokonce
anonymizací?
○ Pseudonymizace - oddělení informací tak, že údaje nutné pro zpracování
nemohou být bez dalšího přiřazena ke konkrétním fyzickým osobám;
dodatečné informace o identitách uchovávány odděleně, chráněny
technickými a organizačními opatřeními tak, aby nemohly být spojeny se
zpracovávanými údaji - cílem omezení počtu osob, které by mohly zjistit
identitu osob, jejichýž údaje zpracovávají
○ Anonymizace - údaje nelze přiřadit ke konkrétní osobě, osobu nelze z údajů
identifikovat (GDPR se na zpracování nepoužije) - problém: možnost
nepřímé/zpětné identifikace za použití specifických metod analýzy prostředky, o kterých lze rozumě předpokládat, že je správce nebo jiná
osoba použijí (náklady, čas, dostupné technologie)
● Nemožnost určit předem absolutní rozsah účelu zpracování - nutnost dodržovat
uznávané etické normy pro výzkum (recitál č. 33, vztahuje se nejen na souhlas
subjektu)

38

V. Povinnosti správce
a zpracovatele osobních
údajů v IS

Základní povinnosti správce a zpracovatele

●
●
●
●

Stanovení účelu zpracování (čl. 5 písm. b)
Zpracování jen po dobu potřebnou pro účel, příp. po zákonnou dobu (čl. 5 písm. b)
Povinnost minimalizce údajů (čl. 5 písm. c)
Zachovávání přesnosti a aktuálnosti údajů (čl. 5 písm. d)

●
●
●
●
●
●
●

Naplňovat požadavky na informování subjektů (čl. 12, čl. 13 a čl. 14)
Uzavírat zpracovatelské smlouvy (čl. 28 odst. 3)
Vést záznamy o činnostech zpracování (čl. 30)
Zajistit požadavky na zabezpečení údajů (čl. 32)
Hlásit porušení zabezpečení (čl. 33)
Zpracování posouzení vlivu - DPIA(čl. 35)
Jmenovat pověřence (čl. 37)

Povinnost transparentnosti (čl. 12 14, vy. 58 - 62)
● Forma:
○ stručné, transparentní, srozumitelné a snadno přístupné
informace o zpracování
● Způsob:
○ písemně, elektronicky (webová stránka), standardizované ikony,
ústně na žádost subjektu
● Doba:
○ údaje jsou získány od subjektu - v okamžiku získání
○ údaje nejsou získány od subjektu - při první komunikaci se
subjektem/při prvním zpřístupnění/nejpozději do jednoho měsíce
● Kdy není povinnost poskytnout informace:
○ subjekt informace má
○ poskytnutí takových informací není možné nebo by vyžadovalo
nepřiměřené úsilí (zejména v případě zpracování pro účely
vědeckého či historického výzkumu, ochrana práv a zájmů
subjektu)

Povinnost transparentnosti
Poskytované informace
Vždy:
● identifikace správce a kontakt
● kontakt na pověřence
● účely a právní důvod zpracování, vč. oprávněných zájmů
● příjemci údajů nebo jejich kategorie
● přenos do třetích zemí
● doba zpracovávání
● práva subjektů, vč. práva odvolat souhlas a práva podat stížnost
● existence automatizovaného rozhodování
Údaje byly získány od subjektu:
● existence zákonného/smluvního požadavku na poskytnutí informace
Údaje nebyly získány od subjektu:
● kategorie údajů
● zdroj údajů

Povinnost zabezpečení údajů (čl. 32,
vy. 74 - 77)
● ochrana před ztrátou, zničením, neoprávněným přístupem,
pozměněním, nedostupností
● přijetí vhodných technických a organizačních opatření podle míry
rizika pro subjekt, stavu techniky, nákladů na provedení, účelu
zpracování, apod.
● Opatření:
○ technická - šifrování, pseudonymizace, hesla a jejich obměna,
zálohování, antivirový program
○ organizační - školení, vnitřní předpisy
● Porušení zabezpečení a rizika pro subjekt:
○ hlášení porušení zabezpečení ÚOOÚ, případně subjektům
○ do 72 hodin poté, co se správce dozvěděl

Povinnost vedení záznamů (čl. 30, vy.
82)
● Povinnost správce vést písemné/elektronické záznamy o činnostech
zpracování
● Nevzahuje se na organizaci zaměstnávající méně než 250 osob, ledaže
○ zpracování pravděpodobně představuje riziko pro práva a svobody
subjektů,
○ zpracování není příležitostné, nebo
○ zpracovávání zahrnuje zvláštní kategorie údajů, nebo osobních údajů
týkajících se rozsudků v trestních věcech a trestných činů
● Obsah:
○ jméno a kontaktní údaje správce
○ účel zpracování
○ popis kategorií subjektů a kategorií údajů
○ kategorie příjemců
○ informace o případném předání údajů do třetí země
○ je-li to možné, plánované lhůty pro výmaz jednotlivých kategorií údajů
○ je-li to možné, obecný popis technických a organizačních
bezpečnostních opatření

Povinnost provádět posouzení vlivu
(čl. 35, vy. 90 - 93)
● Pravděpodobnost, že určitý druh zpracování, bude mít za následek vysoké
riziko pro práva a svobody (využití nových technologií, povaha, rozsah,
kontext a účely zpracování)
● Jedno DPIA pro soubor podobných operací s podobným rizikem
● Před zahájením zpracování, přezkum, změní-li se riziko
● Příklady situací zpracování:
○ systematické a rozsáhlé vyhodnocování osobních aspektů týkajících se
fyzických osob, které je založeno na automatizovaném zpracování
○ rozsáhlé zpracování zvláštních kategorií údajů nebo osobních údajů
týkajících se rozsudků v trestních věcech a trestných činů
○ rozsáhlé systematické monitorování veřejně přístupných prostorů
● Obsah:
○ popis zamýšlených operací zpracování a účely zpracování
○ posouzení nezbytnosti a přiměřenosti operací zpracování
○ posouzení rizik pro práva a svobody subjektů údajů
○ plánovaná opatření k řešení těchto rizik

Shrnutí základních povinnosti při při tvorbě aplikací)
● „Privacy by Design“, resp. dbejte od počátku na principy GDPR;
● Zmapujte si důkladně životní cyklus osobních údajů v aplikaci
●
●
●
●
●

Kde a jak dochází ke sběru údajů a jak probíhá jejich přenos ke správci?
Kde se údaje ukládají? (v zařízení uživatele, na vašem serveru, v mezipaměti)
Jsou údaje ukládány na serverech v EU nebo mimo EU?
Jací dodavatelé nebo další třetí strany mohou mít k údajům přístup?
Za jak dlouho nebo za jakých podmínek údaje uživatele vymažete?

●

bezpečnostní opatření je nutné volit podle povahy údajů, rizik, která dotčeným subjektům a jejich údajům
hrozí a s přihlédnutím k dostupným technologiím a nákladům
nutno identifikovat všechna potenciální rizika (DPIA)

● Aplikaci zabezpečte
●

● Hlídejte a prověřujte své dodavatele
●
●

analyzujte, kdo bude mít přístup k osobním údajům v aplikaci (provozovatel serveru, externí
programátory),
tito dodavatelé jsou tzv. zpracovateli osobních údajů (smlouva)

● Zaměřte se na UX a UI design aplikace
●
●
●

informujte uživatele o tom, jak budete nakládat s jejich osobními údaji formou zvláštní části, jaká pravidla
uživatel akceptoval v reg. formuláři, apod.
umožněte uživateli uplatňovat jeho práva vztahující se ke zpracování jeho osobních údajů
logujte registraci, souhlasy, odmítnutí i uplatnění práv uživatele,

46

VI. Práva subjektu údajů
(uživatelů IS)

Práva subjektu údajů
(ind. prostředky ochrany dle GDPR)
● Subjekt údajů má široké portfolio právních nástrojů, klíčový je však
rozumný přístup ke zveřejňování údajů, volbě a využívání služeb,
jakož i k jejich zabezpečení.
● Důraz je kladen na angažovanost subjektu.
● Portfolio jeho práv obsahuje:
○ právo na přístup, právo být informován,
○ právo na opravu,
○ právo na výmaz,
○ právo vznést námitku,
○ právo nebýt předmětem automatizovaného rozhodování a
profilování,
○ právo na přenositelnost údajů.

Právo subjektu na přístup
(čl. 15, vy. 63 GDPR)
● Subjekt může po správci požadovat přístup k údajům, které o
něm zpracovává (tomu odpovídá povinnost správce - viz výše)
● Součástí poskytované informace má být informace o:
○ účel zpracování,
○ kategorii zpracovávaných údajů,
○ seznam příjemců (adresátů) údajů,
○ informace o právu na opravu, výmaz, námitku, stížnost
○ kopie všech zpracovávaných údajů
● GDPR připouští omezení (nemožnost, nepřiměřené úsilí),
● Problematická místa:
○ obstrukční jednání, mazání stop po protiprávním jednání,
kvalifikovaná identifikace subjektu, technická omezení,
○ problematická dohledatelnost, nemožnost sledovat všechny
pohyby údajů, apod., .

Práva subjektu na opravu
(čl. 16 GDPR)
● Subjekt má právo na opravu nesprávných nebo nekompletních
osobních údajů
● Správce má povinnost opravu provést ve lhůtě 1 měsíce
● Problematická místa:
○ povinnost aktualizace v rámci součinnosti u třetích osob
(zpracovatelů a pod zpracovatelů)
○ kvalifikovaná identifikace subjektu,
○ technická omezení na straně správce,
○ problematická dohledatelnost na straně správce,
○ netransparentost některých procesů,
○ apod.

Právo subjektu na výmaz
(čl. 17, GDPR)
● Right to be forgotten (viz Google v. Spain)
● Důvody výmazu:
○ neúčelnost, zastaralost, odvolání souhlasu,
○ ukončení právního vztahu (výpověď smlouvy, apod.),
○ vznesená námitka - protiprávní zpracování,
○ zákonný požadavek, apod.
● Součástí je právo na omezení zpracování,
● Problematická místa:
○ povinnost aktualizace, prokazatelnost smazání záznamu,
○ zálohování, kvalifikovaná identifikace subjektu,
○ technická omezení na straně správce,
○ problematická dohledatelnost na straně správce,
○ netransparentost některých procesů, apod.

Práva subjektu vznést námitku
(čl. 21 GDPR)
● Subjekt má právo vznést námitku proti zpracování ve veřejném
zájmu, nebo oprávněném zájmu správce, a to včetně profilování
● Jde o precesně-preventivní nástroj ochrany, který nemá výrazné limity,
tj. dopadá i na archivní či vědecké účely, apod.
● Nemusí se vyhovět, nutno precizovat odůvodnění, které musí
obsahovat závažné oprávněné důvody pro zpracování, které
převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo
pro určení, výkon nebo obhajobu právních nároků.
● Pokud subjekt údajů vznese námitku proti zpracování pro účely
přímého marketingu, nebudou již osobní údaje pro tyto účely
zpracovávány.

Právo subjektu nebýt předmětem
automatiz. rozhodování a profilování
● Právo nebýt předmětem žádného rozhodnutí založeného
výhradně na automatizovaném zpracování, včetně profilování,
které má pro něho právní účinky nebo se ho obdobným
způsobem významně dotýká.
● Lze provádět s výslovným souhlasem subjektu údajů
● Nelze provádět se zvláštními kategoriemi osobních údajů
● Problematická místa:
○ posouzení, kdy se automatizované rozhodnutí/profilování
významně dotýká fyzické osoby

Práva subjektu na přenositelnost
údajů
● Právo získat osobní údaje, které se ho týkají a jež poskytl
správci, ve strukturovaném, běžně používaném a strojově
čitelném formátu
● Právo předat tyto údaje jinému správci
● Podmínka: automatizované zpracování, založené na souhlasu/plnění
smlouvy
● Obsah předávaných údajů:
○ osobní údaje
○ údaje poskytnuté subjektem - aktivně i pasivně (pozorováním
chování), nikoliv však údaje odvozené správcem
● Problematická místa:
○ formát údajů - “běžně používaný formát” (individuální výzkum)
○ zvážení potenciálních rizik zveřejnění duševního vlastnictví vs.
práv subjektu
○ spolupráce mezi více subjekty na výzkumu

54

VII. Postavení,
kvalifikace,
práva a povinnosti
pověřence (DPO)

Kdy je třeba jmenovat pověřence (čl.
37, vy. 97)
● Kdy jmenovat:
○ zpracování provádí orgán veřejné moci či veřejný subjekt
○ hlavní činnosti správce spočívají v operacích zpracování, které
kvůli své povaze, svému rozsahu nebo svým účelům vyžadují
rozsáhlé pravidelné a systematické monitorování subjektů údajů
○ hlavní činnosti správce spočívají v rozsáhlém zpracování
zvláštních kategorií údajů a osobních údajů týkajících se rozsudků v
trestních věcech a trestných činů

● Hlavní činnost:
○ zpracování dat tvoří nedílnou součást činnosti správce
● Rozsáhlé zpracování:
○ počet subjektů, objem dat, doba trvání, územní rozsah

Postavení a kvalifikace pověřence
(čl. 38, vy. 97)
● Právní vztah:
○ zaměstnanec správce/osoba činná na základě smlouvy o poskytování
služeb
○ interní/externí (snadná dosažitelnost pro zaměstnance i pro subjekty)
○ společný pověřenec
● Odborné kvality:
○ znalosti v oblasti práva, praxe v ochraně osobních údajů, znalosti o chodu
organizace, znalosti IT
● Postavení pověřence:
○ zapojení do veškerých záležitostí souvisejících s ochranou osobních údajů
○ poskytnutí nezbytných zdrojů k plnění těchto úkolů (např. tým)
○ absence pokynů týkající se výkonu úkolů souvisejících se svou funkcí
○ absence sankcí s souvislosti s plněním úkolů
○ absence střetu zájmů
○ povinnost sdělit kontaktní údaje ÚOOÚ

Úkoly pověřence (čl. 39, vy. 97)
● poskytování informací a poradenství správcům a zaměstnancům,
kteří provádějí zpracování údajů
● monitorování souladu zpracování s GDPR a dalšími předpisy v
oblasti ochrany údajů a s koncepcemi správce v oblasti ochrany
osobních údajů, včetně školení zaměstnanců a auditů
● poskytování poradenství ohledně posouzení vlivu na ochranu
osobních údajů a monitorování jeho uplatňování
● spolupráce s ÚOOÚ

58

VIII. Úřad pro ochranu
osobních údajů (praxe)

Výroční zpráva Úřadu
za rok 2023

Částé téma
„cookies“

67

IX. PRAKTICKÉ
PŘÍKLADY

Příklad č.1: Doxxing
• Datové schránky (ISDS)
• Obchodní rejstřík a
• ostatní veřejné registry (rejstříky, seznamy)
• Portál živnostenského
podnikání (RŽP)
• Katastr nemovitostí
• Data retention, reklamní systémy,
aplikace, web (google fonty, aj.)
____
https://haveibeenpwned.com
https://inteltechniques.com

 (ne)zákonné, nezřídka na pomezí legality;
 zpravidla v rozporu s účelem zveřejnění, resp. proporcionalitou;
 silně omezené možnosti právní obrany (zrušení a změny v IS
nefungují, neboť „zůstává„ historie, apod.)

Příklad č. 2: Osobní údaje obsažené v emailové schránce

• Jak bude probíhat realizace práv subjektů?
• práva na výmaz,
• práva na přenositelnost údajů,
• povinnost poskytnout informace
• Je to vůbec možné? Nejde o nepřiměřené úsilí?
• Jaký je zde právní titul?
• Jde vlastně o zpracování?
- existující implementační sw nástroje s takovým postupem počítají,
- typicky šedá zóna GDPR, netriviální posouzení,
- striktně formální postup dle GDPR by vedl k zásahu do těla zpráv,
narušení jejich integrity dat, souvisejících autorských práv a soukromí
ostatních uživatelů, tj. k absurdním závěrům
- patrně lze “vše” opřít o oprávněný zájem, pozor ale na balanční test

Příklad č. 3: Knihovní služby
• Knihovna vystupuje v postavení správce
• Právním titulem je zde plnění smlouvy, jejíž
smluvní stranou je subjekt údajů a v. v. i., tj.
jde o titul dle čl. 6 písm. b) GDPR
• nutno provést balanční test nezbytnosti
rozsahu zpracovávaných údajů i doby
jejich zpracování,
• nutno počítat s právy subjektu (včetně
vypovězení smlouvy, přenositelnosti,
apod.), jakož i s oprávněnými zájmy
správce či zpracovatele (např. uchovat
potřebné záznamy na základě
“oprávněného zájmu” za účelem
uplatňování právních nároků, včetně
soudních sporů, apod.

Příklad č. 4: Konference, workshop, seminář, letní škola…
● Subjekt vystupuje v postavení správce,
který musí:
•
•
•
•

stanovit konkrétní účel a informovat subjekty,
splnit podmínky souhlasu (případně balančního testu),
přijmout opatření pro opravu či výmaz,
zajistit integritu a bezpečnost údajů, apod.

● Nutno pamatovat i na další účely např.:

• pořízení fotografií či záznamu za účelem realizace
případné kontroly ze strany poskytovatele dotace;
• pořízení záznamu za účelem jeho dalšího šíření, ať již
časově omezeného, jako např. streaming, webcasting
(v reálném čase), či neomezeného - video on demand;
• další užití fotografií a video záznamu na webu
pracoviště, sociálních sítích (titul: souhlas, plnění
smlouvy);
• nutno pamatovat i na aspekty autorskoprávní
(prezentace);

Příklad č. 5 : Zveřejnění záznamu na sociálních sítích
• Zpravidla je nutný souhlas, výjimečně ostatní tituly (balanční test)
• Případ eKolo.cz (rozhodnutí ÚOOU – SS – NSS - III. ÚS, 3565/16)
• spor o interpretaci pojmu nezbytnost (§ 5 odst. 2) písm. e) zákona st. zákona),
• dva možné přístupy (ve prospěch ochrany majetku nebo ochrany soukromí),
• v této oblasti dochází k postupnému vývoji,
• Stanovisko ÚOOÚ č. 1/2016 - Umístění kamerových systémů v bytových domech.

Příklad č. 6: Kamerové záznamy
• Úřad pro ochranu osobních údajů zveřejnil novou Metodiku k návrhu a provozování
kamerových systémů z hlediska zpracování a ochrany osobních údajů.
• Cílem je snaha zajistit kvalitnější orientaci správců, zpracovatelů osobních údajů a
dodavatelů kamerových systémů v povinnostech, které je nutné dodržovat. Metodika
se týká:
• kamerových systémů (včetně fotopastí) se záznamem
• kamerových systémů v režimu on-line, které jsou zahrnuty do zpracování
osobních údajů.
• Metodika není právně závazným dokumentem a zůstává tedy povinností správců
osobních údajů postupovat vždy v souladu s GDPR a Pokyny EDPB č. 3/2019.
• Je navrženo řazení kamerových systémů do čtyř tříd, a to s návrhem minimálních
technických a organizačních opatření a příkladem možného zpracování balančního
testu.
• Jaké tituly
• https://uoou.gov.cz/media/clanky/dokumenty/metodika-kamerove-systemy-webpdf.pdf

X. ZÁVEREČNÉ SHRNUTÍ
(K IMPLEMETACI GDPR)

Závěrečná shrnutí pro implementaci
GDPR a další doporučení
● Fáze 0 - seznamte se podrobně s GDPR, jeho principy, vytvořte
pracovní skupinu
● Fáze 1 - popište stávajícího zpracování, a to jak ve smyslu
kvalitativním, tak i kvantitativním
● Fáze 2 - stanovte účel, přiřaďte právní tituly
● Fáze 3 - jmenujte DPO, případně pověřte “CDO”, veďte (alespoň
nějaké) záznamy o činnostech zpracování (i když “nemusíte”), event.
zpracujte DPIA, apod.
● Fáze 4 - průběžně zejména provádějte balanční testy, vyhodnocujte
dopady principu minimalizace; celkovou funkčnost realizovaných
opatření (personálních a objektové zabezpečení, omezení přístupu
do IS, logování, apod.).
● Fáze 5 - průběžně aktualizujte záznamy, vykonávejte dozor, pište
zápisy z jednání (skupiny), vzdělávejte se (právo, IT/IS, soft skills)

XI. RELEVANTNÍ PRÁVNÍ
PŘEDPISY A ZDROJE

76 Short name of the powerpoint presentation, maximum length two thirds of the page

DOPORUČENÁ LITERATURA

 NULÍČEK, Michal. GDPR – obecné nařízení o ochraně osobních údajů. 2.
vydání. Praha: Wolters Kluwer, 2018. Praktický komentář. ISBN 978-80-7598-0687
PATTYNOVÁ, Jana. Obecné nařízení o ochraně osobních údajů (GDPR): Zákon o
zpracování osobních údajů: komentář. 2. aktualizované a doplněné vydání. Praha:
Leges, 2019. Komentátor. ISBN 978-80-7502-396-4

 MATEJKA, J. Internet jako objekt práva: hledání rovnováhy autonomie a soukromí.
1. vydání. Praha: CZ.NIC, 2013, ISBN 978-80-904248-7-6, 256 s., Dostupné
[online] z: https://knihy.nic.cz/files/nic/edice/jan_matejka_ijop.pdf
 POLČÁK, Radim. Internet a proměny práva. Praha : Auditorium, 2012
77 | Úvod do studia předmětu Právo informačních a komunikačních technologií

PRÁVNÍ PŘEDPISY A DALŠÍ ZDROJE
 Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 (NPP,
2016) o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o
volném pohybu těchto údajů (nařízení GDPR)
 související adaptační zákon č. 110/2019 Sb., o zpracování osobních údajů

 Zákon č. 89/2012 Sb., občanský zákoník (ObčZ nebo NOZ)
 Nařízení Evropského parlamentu a Rady (EU) č. 2024/1689 ze dne 13. června 2024,
kterým se stanoví harmonizovaná pravidla pro umělou inteligenci (akt o umělé
inteligenci)
Vodítka (Pokyny, Guidlines) WP29/EDPB
 https://www.uoou.cz/schvalene-pokyny/d-28603
GDPR v otázkách a odpovědích
 https://www.uoou.cz/gdpr%2Dv%2Dnbsp%2Dotazkach%2Da%2Dnbsp
%2Dodpovedich/d-23790/p1=4720
Dokumenty k GDPR
 https://www.uoou.cz/dokumenty%2Dk%2Dgdpr/ds-4720/archiv=0&p1=3938
Role ÚOOÚ
 https://www.uoou.cz/gdpr%2Da%2Drole%2Duoou/ds-4726/archiv=0&p1=3938
Další zdroje
 studia předmětu Právo informačních a komunikačních technologií
78 | Úvod dohttps://www.gdpr.cz

DISKUSE?
79 | Specifika ochrany osobních údajů v infomačních systémech, povinnosti správce, práva subjektů údajů

DĚKUJI
ZA POZORNOST

Jungmannova 17 | 110 00 Praha 1
| Česká republika
+420 221 506 700
www.cevro.cz

80