GDPR — Obecné nařízení o ochraně osobních údajů

Nařízení Evropského parlamentu a Rady (EU) 2016/679 — General Data Protection Regulation. Účinnost od 25. května 2018 ve všech členských státech EU bez nutnosti transpozice. Pro Českou republiku doplněno zákonem č. 110/2019 Sb. o zpracování osobních údajů.

GDPR je v kurzu ImorK napříč více oblastmi: legislativní rámec ochrany dat, povinný kontext pro zdravotnická data, platební údaje a eHealth služby, a operační rámec definovaný v případové studii o krádeži dat (DPIA, Privacy by Design, ISO 27701).

Klíčové pojmy

Šest zásad zpracování (čl. 5)

1. Zákonnost, korektnost, transparentnost (lawfulness, fairness, transparency)
2. Účelové omezení (purpose limitation) — sběr pouze pro stanovené účely
3. Minimalizace údajů (data minimisation) — jen nezbytné údaje
4. Přesnost (accuracy) — udržovat aktuální, opravovat nepřesné
5. Omezení uložení (storage limitation) — uchovávat ne déle než nutné
6. Integrita a důvěrnost (integrity, confidentiality) — bezpečnost zpracování

Sedmá zásada odpovědnost (accountability, čl. 5 odst. 2) — správce musí být schopen svůj soulad doložit.

Šest právních titulů (čl. 6)

Zpracování je zákonné jen, je-li založeno na jednom ze šesti důvodů:

1. Souhlas subjektu údajů
2. Plnění smlouvy se subjektem
3. Zákonná povinnost správce
4. Životně důležité zájmy subjektu nebo jiné osoby
5. Veřejný zájem nebo výkon veřejné moci
6. Oprávněné zájmy správce (s testem proporcionality)

Práva subjektů údajů (čl. 15–22)

• Právo na informace — kdo, proč, na základě čeho, jak dlouho zpracovává
• Právo na přístup k osobním údajům
• Právo na opravu nepřesných údajů
• Právo na výmaz („right to be forgotten", čl. 17)
• Právo na omezení zpracování
• Právo na přenositelnost údajů ke konkurenci (čl. 20)
• Právo vznést námitku proti zpracování
• Právo nebýt předmětem automatizovaného rozhodování vč. profilování (čl. 22)

DPIA — Data Protection Impact Assessment (čl. 35)

Posouzení vlivu na ochranu osobních údajů — povinné, pokud zpracování pravděpodobně způsobí vysoké riziko pro práva a svobody subjektů.

Kdy je DPIA povinná

• Systematické a rozsáhlé hodnocení osobních aspektů (profilování)
• Rozsáhlé zpracování zvláštních kategorií údajů
• Rozsáhlé sledování veřejně přístupných míst (kamery v ulicích, MHD)

Tři analýzy DPIA (per ISO 27701)

Pět kroků hodnocení rizik

1. Definice operace zpracování a kontextu
2. Pochopení a hodnocení dopadu (CIA)
3. Definice hrozeb a hodnocení pravděpodobnosti
4. Vyhodnocení rizika (matice pravděpodobnost × dopad)
5. Výběr bezpečnostních opatření

Privacy by Design & Privacy by Default (čl. 25)

• Privacy by Design — proaktivní zahrnutí ochrany od počátku návrhu systému; ochrana zabudovaná do architektury, ne dolepovaná
• Privacy by Default — výchozí nastavení musí chránit; ověření účelu, rozsahu, sdílení a možností anonymizace před zpracováním
• Orientace na subjekt údajů — analýza rizik z pohledu jednotlivce, ne organizace

Oznamovací povinnost při porušení zabezpečení (čl. 33–34)

Sankce (čl. 83)

Pokuty ve dvou pásmech:

• Až 10 mil. EUR nebo 2 % celosvětového ročního obratu (vyšší z obou) — porušení procesních povinností (DPO, smlouva se zpracovatelem, oznámení porušení, DPIA)
• Až 20 mil. EUR nebo 4 % celosvětového ročního obratu — porušení zásad zpracování, práv subjektů, podmínek souhlasu, předávání mimo EU

ISO/IEC 27701 — PIMS

Privacy Information Management System — rozšíření ISO 27001/27002 o správu osobních informací. První vydání 2019, aktuální vydání 2025. Mapuje požadavky GDPR na konkrétní opatření a slouží jako certifikovatelný průvodce souladem. Zavádí DPIA, datovou a procesní analýzu jako standardní postupy. Detail v případové studii o krádeži dat a v hub topiku ochrana-dat.

Vztah k dalším normám a regulacím

• NIST SP 800-122 (2010) — Guide to Protecting PII Confidentiality (americký analog)
• NISTIR 8062 (2017) — Privacy Engineering and Risk Management
• FIPP — Fair Information Practice Principles (univerzální zásady, předchůdce GDPR)
• eIDAS (nařízení EU 910/2014, novelizováno nařízením (EU) 2024/1183 — „eIDAS 2.0", v účinnosti od května 2024) — elektronická identifikace a služby vytvářející důvěru; eIDAS 2.0 zavádí evropskou peněženku digitální identity (EUDI Wallet). Doplňuje GDPR pro digitální identitu (viz Ochrana dat)
• NIS2 (směrnice 2022/2555) — kybernetická bezpečnost, povinnosti hlášení překrývají GDPR čl. 33
• DORA (nařízení EU 2022/2554) — finanční sektor, viz Finanční sektor
• HIPAA (USA) — americký analog pro zdravotnictví, viz Zdravotnictví

Předávání údajů mimo EU (kap. V GDPR)

• Adekvátní rozhodnutí Komise — země s odpovídající úrovní ochrany: Andorra, Argentina, Brazílie, Faerské ostrovy, Guernsey, Isle of Man, Izrael, Japonsko, Jersey, Jižní Korea, Kanada (komerční subjekty), Nový Zéland, Spojené království, Švýcarsko, Uruguay, USA (EU-US Data Privacy Framework)
• Standardní smluvní doložky (SCC) — od 2021 nová verze po Schrems II
• Závazná podniková pravidla (BCR) pro nadnárodní skupiny
• Výjimky — výslovný souhlas, plnění smlouvy, životně důležité zájmy

Aplikační oblasti v kurzu ImorK

• Zdravotnictví — zvláštní kategorie (zdravotní data); ISO 27799 + GDPR
• eHealth — soulad s legislativou jako jeden ze tří pilířů důvěryhodnosti elektronického zdravotnictví
• Bezpečnost plateb — platební údaje a PCI DSS v kombinaci s GDPR
• Akademické prostředí — soulad s GDPR jako cíl bezpečnostní politiky univerzity
• Krádež dat — provozní implementace GDPR přes ISO 27701, DPIA, Privacy by Design

Související stránky

• Ochrana dat — technologická vrstva (DLP, šifrování, anonymizace)
• ISMS — manažerský rámec, ISO 27701 jako rozšíření 27001
• Řízení rizik — DPIA jako analýza rizik z pohledu subjektů údajů
• Krádež dat — případová studie — primární zdroj operačního výkladu
• Digitální identita a stopa — PII a digitální stopa