interactive GDPR 2016/0679 CS

whereas plní:

• whereas (45) 1
• whereas (81) 1
• whereas (93) 1
• whereas (109) 1

definitions:

Článek 24

Odpovědnost správce

1.   S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.

2.   Pokud je to s ohledem na činnosti zpracování přiměřené, zahrnují opatření uvedená v odstavci 1 uplatňování vhodných koncepcí v oblasti ochrany údajů správcem.

3.   Jedním z prvků, jimiž lze doložit, že správce plní příslušné povinnosti, je dodržování schválených kodexů chování uvedených v článku 40 nebo schválených mechanismů pro vydávání osvědčení uvedených v článku 42.

Článek 28

Zpracovatel

1.   Pokud má být zpracování provedeno pro správce, využije správce pouze ty zpracovatele, kteří poskytují dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby dané zpracování splňovalo požadavky tohoto nařízení a aby byla zajištěna ochrana práv subjektu údajů.

2.   Zpracovatel nezapojí do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení správce. V případě obecného písemného povolení zpracovatel správce informuje o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a poskytne tak správci příležitost vyslovit vůči těmto změnám námitky.

3.   Zpracování zpracovatelem se řídí smlouvou nebo jiným právním aktem podle práva Unie nebo členského státu, které zavazují zpracovatele vůči správci a v nichž je stanoven předmět a doba trvání zpracování, povaha a účel zpracování, typ osobních údajů a kategorie subjektů údajů, povinnosti a práva správce. Tato smlouva nebo jiný právní akt zejména stanoví, že zpracovatel:

a)

zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně v otázkách předání osobních údajů do třetí země nebo mezinárodní organizaci, pokud mu toto zpracování již neukládají právo Unie nebo členského státu, které se na správce vztahuje; v takovém případě zpracovatel správce informuje o tomto právním požadavku před zpracováním, ledaže by tyto právní předpisy toto informování zakazovaly z důležitých důvodů veřejného zájmu;

b)	zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti;

c)	přijme všechna opatření požadovaná podle článku 32;

d)	dodržuje podmínky pro zapojení dalšího zpracovatele uvedené v odstavcích 2 a 4;

e)	zohledňuje povahu zpracování, je správci nápomocen prostřednictvím vhodných technických a organizačních opatření, pokud je to možné, pro splnění správcovy povinnosti reagovat na žádosti o výkon práv subjektu údajů stanovených v kapitole III;

f)	je správci nápomocen při zajišťování souladu s povinnostmi podle článků 32 až 36, a to při zohlednění povahy zpracování a informací, jež má zpracovatel k dispozici;

g)	v souladu s rozhodnutím správce všechny osobní údaje buď vymaže, nebo je vrátí správci po ukončení poskytování služeb spojených se zpracováním, a vymaže existující kopie, pokud právo Unie nebo členského státu nepožaduje uložení daných osobních údajů;

h)	poskytne správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v tomto článku, a umožní audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil, a k těmto auditům přispěje.

Pokud jde o první pododstavec písm. h), informuje zpracovatel neprodleně správce v případě, že podle jeho názoru určitý pokyn porušuje toto nařízení nebo jiné předpisy Unie nebo členského státu týkající se ochrany údajů.

4.   Pokud zpracovatel zapojí dalšího zpracovatele, aby jménem správce provedl určité činnosti zpracování, musí být tomuto dalšímu zpracovateli uloženy na základě smlouvy nebo jiného právního aktu podle práva Unie nebo členského státu stejné povinnosti na ochranu údajů, jaké jsou uvedeny ve smlouvě nebo jiném právním aktu mezi správcem a zpracovatelem podle odstavce 3, a to zejména poskytnutí dostatečných záruk, pokud jde o zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky tohoto nařízení. Neplní-li uvedený další zpracovatel své povinnosti v oblasti ochrany údajů, odpovídá správci za plnění povinností dotčeného dalšího zpracovatele i nadále plně prvotní zpracovatel.

5.   Jedním z prvků, jimiž lze doložit dostatečné záruky podle odstavců 1 a 4 tohoto článku, je skutečnost, že zpracovatel dodržuje schválený kodex chování uvedených v článku 40 nebo schválený mechanismus pro vydávání osvědčení uvedený v článku 42.

6.   Aniž jsou dotčeny individuální smlouvy mezi správcem a zpracovatelem, mohou být smlouvy nebo jiné právní akty podle odstavců 3 a 4 tohoto článku založeny zcela nebo částečně na standardních smluvních doložkách podle odstavců 7 a 8 tohoto článku, mimo jiné i v případě, že jsou součástí osvědčení uděleného správci či zpracovateli podle článků 42 a 43.

7.   Pro záležitosti uvedené v odstavcích 3 a 4 tohoto článku může standardní smluvní doložky stanovit Komise přezkumným postupem podle čl. 93 odst. 2.

8.   Pro záležitosti uvedené v odstavcích 3 a 4 tohoto článku může standardní smluvní doložky přijmout dozorový úřad v souladu s mechanismem jednotnosti uvedeným v článku 63.

9.   Smlouva nebo jiný právní akt podle odstavců 3 a 4 musí být vyhotoveny písemně, v to počítaje i elektronickou formu.

10.   Aniž jsou dotčeny články 82, 83 a 84, pokud zpracovatel poruší toto nařízení tím, že určí účely a prostředky zpracování, považuje se ve vztahu k takovému zpracování za správce.

Článek 44

Obecná zásada pro předávání

K jakémukoli předání osobních údajů, které jsou předmětem zpracování nebo které jsou určeny ke zpracování po předání do třetí země nebo mezinárodní organizaci, může dojít pouze tehdy, splní-li správce a zpracovatel v závislosti na dalších ustanoveních tohoto nařízení podmínky stanovené v této kapitole, včetně podmínek pro další předávání osobních údajů z dané třetí země nebo mezinárodní organizace do jiné třetí země nebo jiné mezinárodní organizaci. Veškerá ustanovení této kapitoly se použijí s cílem zajistit, aby úroveň ochrany fyzických osob zaručená tímto nařízením nebyla znehodnocena.

Článek 57

Úkoly

1.   Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území:

a)	monitoruje a vymáhá uplatňování tohoto nařízení;

b)	zvyšuje povědomí veřejnosti o rizicích, pravidlech, zárukách a právech v souvislosti se zpracováním a podporuje porozumění těmto otázkám. Zvláštní pozornost se přitom věnuje akcím, které jsou určeny speciálně pro děti;

c)	v souladu s právem členského státu poskytuje poradenství vnitrostátnímu parlamentu, vládě a dalším orgánům a institucím ohledně legislativních a správních opatření týkajících se ochrany práv a svobod fyzických osob v souvislosti se zpracováním;

d)	podporuje povědomí správců a zpracovatelů o jejich povinnostech podle tohoto nařízení;

e)	na požádání poskytuje všem subjektům údajů informace ohledně výkonu jejich práv podle tohoto nařízení a, je-li to vhodné, spolupracuje za tímto účelem s dozorovými úřady v jiných členských státech;

f)

zabývá se stížnostmi, které mu podá subjekt údajů nebo subjekt, organizace či sdružení v souladu s článkem 80, a ve vhodné míře prošetřuje předmět stížnosti a v přiměřené lhůtě informuje stěžovatele o vývoji a výsledku šetření, zejména v případech, kdy je zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem;

g)	s cílem zajistit jednotné uplatňování a prosazování tohoto nařízení spolupracuje s dalšími dozorovými úřady, mimo jiné formou sdílení informací, a s těmito úřady si vzájemně poskytuje pomoc;

h)	provádí šetření o uplatňování tohoto nařízení, mimo jiné na základě informací obdržených od jiného dozorového úřadu či jiného orgánu veřejné moci;

i)	monitoruje vývoj v relevantních oblastech, pokud má vliv na ochranu osobních údajů, zejména vývoj informačních a komunikačních technologií a obchodních praktik;

j)	přijímá standardní smluvní doložky uvedené v čl. 28 odst. 8 a čl. 46 odst. 2 písm. d);

k)	připravuje a udržuje seznam v souvislosti s požadavkem provádět posouzení vlivu na ochranu osobních údajů podle čl. 35 odst. 4;

l)	poskytuje poradenství o operacích zpracování uvedených v čl. 36 odst. 2;

m)	podporuje vypracování kodexů chování podle čl. 40 odst. 1, vydává stanoviska a schvaluje takové kodexy chování, které poskytují dostatečné záruky podle čl. 40 odst. 5;

n)	vybízí k zavedení mechanismů pro vydávání osvědčení o ochraně údajů a pečetí a známek dokládajících ochranu údajů podle čl. 42 odst. 1 a schvaluje kritéria pro vydávání osvědčení podle čl. 42 odst. 5;

o)	případně provádí pravidelný přezkum osvědčení vydaných v souladu s čl. 42 odst. 7;

p)	navrhuje a zveřejňuje kritéria pro schvalování subjektu pro monitorování kodexů chování podle článku 41 a subjektu pro vydávání osvědčení podle článku 43;

q)	provádí schvalování subjektu pro monitorování kodexů chování podle článku 41 a subjektu pro vydávání osvědčení podle článku 43;

r)	schvaluje smluvní doložky a ustanovení uvedené v čl. 46 odst. 3;

s)	schvaluje závazná podniková pravidla podle článku 47;

t)	přispívá k činnostem sboru;

u)	vede interní záznamy o porušeních tohoto nařízení a o opatřeních přijatých podle čl. 58 odst. 2; a

v)	plní veškeré další úkoly související s ochranou osobních údajů.

2.   Každý dozorový úřad usnadňuje podávání stížností uvedených v odst. 1 písm. f) takovými opatřeními, jako je poskytnutí formuláře pro podávání stížností, který lze vyplnit i v elektronické formě, aniž jsou vyloučeny jiné komunikační prostředky.

3.   Provádění úkolů každého dozorového úřadu je pro subjekty údajů a pro případné pověřence pro ochranu osobních údajů bezplatné.

4.   Jestliže jsou požadavky zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může dozorový úřad uložit přiměřený poplatek na základě svých administrativních nákladů nebo odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá dozorový úřad.

Článek 62

Společné postupy dozorových úřadů

1.   Dozorové úřady podle potřeby provádějí společné postupy, včetně společných šetření a společných donucovacích opatření, do nichž jsou zapojeni členové nebo pracovníci dozorových úřadů z jiných členských států.

2.   Pokud má správce nebo zpracovatel provozovny v několika členských státech, nebo pokud je pravděpodobné, že operacemi zpracování bude podstatně dotčen významný počet subjektů údajů ve více než jednom členském státě, má dozorový úřad každého z těchto členských států právo účastnit se společných postupů. Dozorový úřad příslušný podle čl. 56 odst. 1 nebo 4 vyzve dozorový úřad každého z těchto členských států k účasti na těchto společných postupech a na žádost některého dozorového úřadu o účast bez odkladu odpoví.

3.   Dozorový úřad může v souladu s právem členského státu a s povolením vysílajícího dozorového úřadu svěřovat pravomoci včetně vyšetřovacích pravomocí členům nebo pracovníkům vysílajícího dozorového úřadu zapojeným do společných postupů, nebo pokud to umožňuje právo členského státu hostitelského dozorového úřadu, povolit členům nebo pracovníkům vysílajícího dozorového úřadu, aby vykonávali své vyšetřovací pravomoci v souladu s právem členského státu vysílajícího dozorového úřadu. Tyto vyšetřovací pravomoci mohou být vykonávány pouze pod vedením a za přítomnosti členů nebo pracovníků hostitelského dozorového úřadu. Na členy nebo pracovníky vysílajícího dozorového úřadu se vztahuje právo členského státu hostitelského dozorového úřadu.

4.   Pokud pracovníci vysílajícího dozorového úřadu působí v souladu s odstavcem 1 v jiném členském státě, přijímá členský stát hostitelského dozorového úřadu odpovědnost za jejich jednání, včetně odpovědnosti za škody, které tito pracovníci během svých úkonů způsobí, v souladu s právem členského státu, na jehož území působí.

5.   Členský stát, na jehož území byla škoda způsobena, nahradí tuto škodu za stejných podmínek, jaké se vztahují na škody způsobené jeho vlastními pracovníky. Členský stát vysílajícího dozorového úřadu, jehož pracovníci způsobí škodu jakékoli osobě na území jiného členského státu, nahradí tomuto jinému členskému státu v plné výši částky, které tento stát jménem dotčených pracovníků vyplatil oprávněným osobám.

6.   V případě uvedeném v odstavci 1 a s výjimkou odstavce 5 se každý členský stát zřekne požadavků vůči jinému členskému státu na náhradu škody uvedené v odstavci 4, aniž jsou dotčena jeho práva vůči třetím stranám.

7.   Jestliže je plánován společný postup a některý dozorový úřad nesplní do jednoho měsíce povinnost stanovenou v odst. 2 tohoto článku druhé větě, mohou ostatní dozorové úřady přijmout na území svého členského státu v souladu s článkem 55 předběžné opatření. V takovém případě se nutnost naléhavě jednat podle čl. 66 odst. 1 považuje za splněnou, což vyžaduje přijetí naléhavého stanoviska nebo naléhavého závazného rozhodnutí sboru podle čl. 66 odst. 2.

Oddíl 2

Jednotnost

Článek 64

Stanovisko sboru

1.   Sbor vydá stanovisko, hodlá-li příslušný dozorový úřad přijmout některé z níže uvedených opatření. Za tímto účelem příslušný dozorový úřad oznámí sboru návrh rozhodnutí, pokud:

a)	má za cíl přijmout seznam operací zpracování podléhajících požadavku na posouzení vlivu na ochranu osobních údajů podle čl. 35 odst. 4;

b)	se týká záležitosti podle čl. 40 odst. 7, zda je návrh kodexu chování nebo změna či rozšíření kodexu chování v souladu s tímto nařízením;

c)	má za cíl schválit kritéria pro akreditaci subjektu podle čl. 41 odst. 3 nebo subjektu pro vydávání osvědčení podle čl. 43 odst. 3;

d)	má za cíl stanovit standardní doložky o ochraně údajů podle čl. 46 odst. 2 písm. d) a čl. 28 odst. 8;

e)	má za cíl schválit smluvní doložky podle čl. 46 odst. 3 písm. a); nebo

f)	má za cíl schválit závazná podniková pravidla ve smyslu článku 47.

2.   Kterýkoli dozorový úřad, předseda sboru nebo Komise mohou požádat, aby sbor posoudil jakoukoli záležitost s obecnou působností nebo s účinky ve více než jednom členském státě za účelem získání stanoviska, zejména v případě, kdy příslušný dozorový úřad nesplní povinnosti související se vzájemnou pomocí podle článku 61 nebo se společnými postupy podle článku 62.

3.   V případech uvedených v odstavcích 1 a 2 vydá sbor stanovisko k záležitosti, která mu byla předložena, pokud již stanovisko ke stejné záležitosti nevydal. Toto stanovisko se přijme do osmi týdnů prostou většinou členů sboru. Tato lhůta může být prodloužena o dalších šest týdnů s ohledem na složitost dané záležitosti. Pokud jde o návrh rozhodnutí uvedený v odstavci 1 zaslaný členům sboru v souladu s odstavcem 5, má se za to, že členové, kteří v přiměřené lhůtě stanovené předsedou nevznesli námitky, s návrhem rozhodnutí souhlasí.

4.   Dozorové úřady a Komise elektronickými prostředky a za použití standardizovaného formátu bez zbytečného odkladu oznamují sboru veškeré relevantní informace, případně včetně shrnutí skutečností, návrhu rozhodnutí, důvodů, pro které je nezbytné takové opatření přijmout, a stanoviska dalších dotčených dozorových úřadů.

5.   Předseda sboru bez zbytečného odkladu elektronickými prostředky sděluje:

a)	členům sboru a Komisi veškeré relevantní informace, které byly radě pro ochranu údajů sděleny, a to za použití standardizovaného formátu. V nezbytných případech poskytne sekretariát sboru překlady relevantních informací; a

b)	dozorovému úřadu uvedenému v odstavcích 1 a 2 a Komisi stanovisko, které zveřejní.

6.   Během lhůty uvedené v odstavci 3 nepřijme příslušný dozorový úřad svůj návrh rozhodnutí podle odstavce 1.

7.   Dozorový úřad uvedený v odstavci 1 stanovisko sboru co nejvíce zohlední a do dvou týdnů po obdržení stanoviska v elektronické formě sdělí předsedovi sboru, zda svůj návrh rozhodnutí zachová nebo jej změní, a rozhodne-li se je změnit, zašle mu pozměněný návrh rozhodnutí za použití standardizovaného formátu.

8.   Pokud ve lhůtě uvedené v odstavci 7 tohoto článku informuje dotčený dozorový úřad předsedu sboru o tom, že nemá v úmyslu se stanoviskem sboru řídit, ať již zcela nebo částečně, a uvede relevantní důvody, použije se čl. 65 odst. 1.

Článek 74

Úkoly předsedy

1.   Předseda plní následující úkoly:

a)	svolává zasedání sboru a připravuje pro ně pořad jednání;

b)	oznamuje rozhodnutí přijatá sborem podle článku 65 vedoucímu dozorovému úřadu a dotčeným dozorovým úřadům;

c)	zajišťuje včasné plnění úkolů sborem, zejména v souvislosti s mechanismem jednotnosti uvedeným v článku 63.

2.   Sbor stanoví ve svém jednacím řádu rozdělení úkolů mezi předsedu a místopředsedy.

Článek 75

Sekretariát

1.   Sbor má k dispozici sekretariát, jehož služby poskytuje evropský inspektor ochrany údajů.

2.   Sekretariát plní své úkoly výlučně v souladu s pokyny předsedy sboru.

3.   Na pracovníky evropského inspektora ochrany údajů podílející se na plnění úkolů svěřených sboru tímto nařízením se vztahují jiné hierarchické linie než na pracovníky podílející se na plnění úkolů svěřených evropskému inspektorovi ochrany údajů.

4.   Sbor s evropským inspektorem ochrany údajů v případě potřeby vypracují a zveřejní memorandum o porozumění, jímž se provádí tento článek a vymezují podmínky jejich spolupráce a jenž je použitelný pro pracovníky evropského inspektora ochrany údajů podílející se na plnění úkolů svěřených sboru tímto nařízením.

5.   Sekretariát zajišťuje sboru analytickou, administrativní a logistickou podporu.

6.   Sekretariát odpovídá zejména za:

a)	každodenní fungování sboru;

b)	komunikaci mezi členy sboru, jeho předsedou a Komisí;

c)	komunikaci s jinými institucemi a veřejností;

d)	využívání elektronických prostředků k interní a externí komunikaci;

e)	překlady relevantních informací;

f)	přípravu zasedání sboru a navazující opatření;

g)	přípravu, navrhování a zveřejňování stanovisek, rozhodnutí o urovnání sporů mezi dozorovými úřady a jiných textů přijímaných sborem.