ovinnosti spojené s ochranou osobních údajů jsou v GDPR často popsané dost abstraktně. Kde tedy hledat odpovědi na konkrétní problémy? Velkou oporou jsou rozhodnutí dozorových orgánů jednotlivých členských států. Poradíme užitečné online nástroje, které vám pomůžou v praxi.
V čtenářů na poslední články Zpravodaje se ukázalo, že většina organizací upírá pohled přes samotnou implementaci GDPR spíše na kontrolní fázi, přičemž všichni mají potřebu se na ni taktéž připravit. Potvrdilo se, že v rámci vyjednávání o zpracovatelských smlouvách i při dalších diskuzích se svými „zaměstnavateli“ pověřenci nejčastěji narážejí na to, že svůj výklad abstraktně uložených povinností podle GDPR nemají o co opřít. S nadějí se tak upínají na webové stránky Úřadu pro ochranu osobních údajů (ÚOOÚ) a hledají, zda k dané věci nevydal stanovisko či zda na obdobný problém nenarazil při kontrolní činnosti, ze které pak uveřejnil kontrolní protokol.
Ať už se hádáte se svým „šéfem“, kolegy, protistranou (zpracovatelem) či jen obhajujete svůj názor, navrch bude mít vždycky ten, kdo má více podkladů, zná judikaturu a ví, jak se ke kritické otázce staví kontrolní orgány či soudy. Nespornou výhodou GDPR totiž je, že platí pro všechny státy Evropské unie stejně. Pokud tedy české dozorové orgány či soudy nikdy naši otázku neřešili, je velká šance, že tak učinil jiný dozorový úřad, přičemž závěry takového rozhodnutí pro vás mohou být více než důležité. Jak však tuto výhodu získat, když si nemůžete dovolit drahé monitoringy od mezinárodních advokátních kanceláří?
Informace o činnostech dozorových orgánů
Seznam všech dozorových orgánů nalezneme na internetových stránkách Evropského sboru pro ochranu osobních údajů zde. Mimo samotné členy sboru tam najdete i kontaktní údaje a odkazy na webové stránky, kde budou k nalezení informace o rozhodovací či poradní činnosti. Tyto informace vám pak mohou velmi často pomoci (například současný britský dozorový úřad ICO je, co se týče vydávání výkladových stanovisek, mnohem aktivnější než jeho český protějšek a tyto materiály velmi pomáhají při výkladu nejasných ustanovení a při hledání příkladů dobré praxe).
Samotný seznam je sice pěkná věc, nicméně procházet jej každý den a kontrolovat, zda něco nepřibylo nebo nebylo vydáno, není cesta, jíž by se kdokoli chtěl dát. Existuje lepší nástroj, který by vám mohl s tímto alespoň trochu pomoci. Tím je tzv. GDPRHub (dostupný na stránkách zde), kde si můžete zobrazit všechny údaje o dozorových úřadech, podívat se na rozhodovací praxi či na to, zda tamní legislativa obsahuje nějaké odchylky. Jedná se o poměrně dobrý nástroj v momentě, kdy chcete zjistit, jak k nějaké koncepční otázce (třeba způsobu vymahatelnosti práva) přistupují jednotlivé členské státy a vy například potřebujete informace týkající se nové služby, již chcete spustit na území EU i mimo Českou republiku. I tento nástroj má však své nedokonalosti. Možnosti vyhledávání či filtrování jsou velmi omezené (zjednodušeně řečeno běží na stejném mechanismu jako Wikipedia). Obsah samotný navíc není zpravidla upravován prostřednictvím zástupců dozorových orgánů, ale širokou veřejností. Informace uvedené na daných stránkách tak mohou být v nejlepším případě zastaralé a nemusí odpovídat aktuální situaci. Pokud chcete znát konkrétní informace a rozhodovací praxi, stále musíte otevřít odkazy na dozorové úřady (například v sekci Rozhodnutí úřadu zeje v případě ÚOOÚ GDPRHub prázdnotou).
Sledovač vymáhání GDPR
V minulých dílech jsme se věnovali tomu, jak by měla vypadat zpracovatelská smlouva. Existuje místo, kde bychom mohli jednoduše zjistit, jak k dané problematice při kontrolách a ukládání sankcí přistupují jiné dozorové úřady?
Odpověď zní ano, existuje totiž bezplatná služba GDPR Enforcement Tracker, kterou naleznete zde. Provozuje ji společnost CMS Law.Tax. Ačkoli je stránka v angličtině, svou jednoduchostí poslouží i osobám, které jazyk neovládají. Předmětný sledovač funguje jako databáze rozhodnutí dozorových orgánů, kterou aktualizuje výše zmíněná společnost vlastním přičiněním, popřípadě na základě upozornění uživatelů v jednoduchém formuláři. Samotné záznamy v databázi obsahují informaci o zemi dozorového úřadu, datum rozhodnutí, výše udělené pokuty, identifikační údaje o pokutované osobě (ať už správci, nebo zpracovateli, některé země jako ČR to však zpravidla neuvádějí), dotčený článek GDPR, klíčová slova, ale hlavně odkaz na zdrojový dokument s informacemi o rozhodnutí, který ačkoli může být ve všech možných jazycích, pro naše účely si s ním zpravidla poradí jakýkoli internetový překladač. Většina záznamů je rozklikávací a obsahuje shrnutí, jež napomůže rozpoznat, zda je to něco relevantní, či nikoli.
Daná služba umožňuje filtrovat podle několika kritérií, což ještě usnadňuje její používání. Pokud vás tedy zajímá, jak se dozorové orgány staví ke zpracovatelským smlouvám, stačí v levém panelu kliknout na článek 28 a vypíšou se předmětná rozhodnutí.
Naopak pokud by někdo argumentoval tím, že nějaká společnost, například Google, se staví k GDPR mírněji, můžeme velmi lehce nalézt protiargument. Stačí zadat název společnosti Google do kolonky na hlavní stránce a protiargumentovat tím, že Google pro nás není berná mince, pokud minimálně čtyři dozorové úřady z různých členských státu Google pokutovali za porušení GDPR. Nad celou databází ještě běží fulltextové vyhledávání, díky kterému můžete svoji odpověď naleznout ještě rychleji stačí zadat hledané heslo do vyhledávače a výsledek se obratem zobrazí.
Jak s nástroji pracovat
Jak se samotnými nástroji pracovat, zůstává na vás. Dlužno dodat, že všechny informační systémy, které jsou zdarma, zpravidla trpí tím, že nemusí být nutně úplné či mohou obsahovat chyby. Na druhou stranu je to pro vás velká časová i peněžní úspora a slovy klasika – lepší než nic.
Hledat argumentaci pro svá tvrzení či postupy v rámci právního předpisu, který v zásadě obsahuje jen abstraktní povinnosti, není lehký úkol. Díky těmto bezplatným nástrojům však můžeme argumentačně konkurovat komukoli, kdo na to prostředky má.
Pokud tedy budete příště řešit nějakou zásadní otázku, zkontrolujte si, že o ní již někdy někdo nerozhodoval, a získejte veškeré podklady, které jsou k dispozici.
Článek byl publikován v Elektronickém zpravodaji pro pověřence dne 12.11.2020