Téměř s ročním zpožděním byla v České republice přijata adaptační legislativa k GDPR. Dnem 24.4. 2019 vstoupil v účinnost nový zákon č. 110/2019 Sb. o zpracování osobních údajů a další doprovodný zákon č. 111/2019 Sb.

Adaptační legislativa nezavádí převratné změny oproti GDPR, jednu naprosto zásadní však ano. Čeští zákonodárci se rozhodli stanovit nulové sankce za porušení GDPR pro orgány veřejné moci a veřejné subjekty a tímto diskriminačním přístupem vůči soukromoprávním subjektům, které investovaly nemalé prostředky do implementace požadavků GDPR, dali jasně najevo, jakou váhu přikládají našemu ústavním zákonem deklarovanému právu na ochranu soukromí a osobnosti. Přitom z praxe víme, že subjekty veřejného práva zpracovávají enormní množství osobních údajů včetně těch nejcitlivějších a tak se mohou dopustit porušení požadavků GDPR v mnohem závažnějším rozsahu než subjekty práva soukromého.

Na druhou stranu je pravdou, že dozorový úřad pořád může nařídit podle čl. 58 odst. 2 GDPR další nápravná opatření, jakým je právo upozornit správce či zpracovatele, že zamýšlené operace zpracování pravděpodobně porušují nařízení, udělit mu napomenutí nebo nařídit provedení nápravy, což v samotném důsledku může být pro danou veřejnoprávní organizaci mnohem dražší a časově náročnější proces než úhrada jednorázové pokuty.

Kromě správních sankcí za porušení GDPR veřejnoprávním institucím hrozí ještě další neopomenutelné postihy, a to zejména:

• § 180 trestního zákoníku -neoprávněné nakládání s osobními údaji, jehož první odstavec specificky míří na veřejné instituce.
• dalším případným negativním důsledkem porušování GDPR  je občanskoprávní odpovědnost, resp. odpovědnost podle zákona o odpovědnosti za škodu způsobenou při výkonu veřejné moci rozhodnutím nebo nesprávným úředním postupem.
• nedodržením pravidel stanovených v právních předpisech, tedy v předpisech vztahujících se k ochraně osobních údajů, dojde současně k porušení povinnosti jednat s péčí řádného hospodáře.

K lepší vymahatelnosti našeho práva na ochranu soukromí by měl přispět i institut hromadných žalob, který přináší do českého procesního práva menší revoluci.

Je tedy jenom na nás, subjektech údajů, jak urputně si budeme naše zákonem garantovaná práva bránit a jejich dodržování důsledně vymáhat. Praxe bohužel ukazuje, že i téměř po roce od účinnosti GDPR není uplatňování práva na přístup dle článku 15 GDPR příliš ze strany subjektů údajů využíváno, což logicky vede k laxnímu přístupu organizací k důslednému zavádění pravidel s ochranou našeho soukromí souvisejících. Kde není žalobce, nemůže být ani soudce.

V tomto odkazu najdete přehled adaptační legislativy v rámci celé EU.

Jaké jsou praktické zkušenosti po necelém roce účinnosti GDPR a které otázky se aktuálně řeší? To bylo jedno z hlavních témat nedávné konference CPDP 2019 v Bruselu.

Konference zaměřené na ochranu soukromí, osobní údaje a demokracii v digitálním světě se zúčastnilo na 1300 návštěvníků a mezi speakery byly mimo jiných osobnosti, které v současnosti patří k výrazným postavám na poli ochrany osobních údajů, jako je známý rakouský právník Max Schrems. Mix přednášejících nabídl zkušenosti z byznysu, neziskových organizací, orgánů EU i akademické sféry.

Podařený report z konference sepsala právnička Anna Drgová, přečtete si ho zde.

Dozvíte se například, proč v Irsku zatím nepadají v souvislosti s GDPR vysoké pokuty; jak se staví odborníci k přístupu k osobnímu údajům a hromadným žalobám subjektů údajů vůči platformám; za co se snáší na GDPR kritika; nebo proč některé mimoevrospké firmy nařízení uvítaly. Diskuze se věnovaly také otázkám automatického rozhodování a profilování v souvislosti s marketingem či prevencí kriminality.

Pokud by vám v dobrém slova smyslu vyčerpávající report nestačil, můžete si také pustit videa se záznamy některých vystoupení na kanále CPDPConferences na YouTube.