Modernizace Úmluvy 108, základního nástroje Rady Evropy pro ochranu osobních údajů

Definice klíčových pojmů jako osobní údaj, zpracování či správce údajů[2] je obsahově stejná, jako ji známe z českého zákona č. 101/2000 Sb., o ochraně osobních údajů, a z GDPR. Totéž platí pro základní pravidla zpracování osobních údajů, jako je legalita zpracování, princip účelového omezení, minimalizace údajů a další[3] a práva subjektů údajů, tedy osob, jejichž údaje jsou zpracovávány, tzn. právo na informace o zpracování osobních údajů, přístup k nim, právo na opravu, aktualizaci či výmaz[4]. V tomto kontextu jsou ještě pozoruhodnější některé výroky z posledních měsíců či let o tom, jak GDPR představuje revoluci v pravidlech pro zpracování osobních údajů a jak je nutné zcela změnit práci s daty.

Úmluvu 108 doplňuje dodatkový protokol z roku 2001, který upravuje dvě oblasti: veřejnoprávní dozor a předávání údajů do třetích zemí, resp. do států, které úmluvu neratifikovaly. Protokol požaduje, aby každý členský stát určil jeden či více úřadů, které budou vykonávat veřejnoprávní dozor nad zpracováním osobních údajů, přičemž tyto úřady musí své úkoly plnit nezávisle. V druhém bodě dodatkový protokol členským státům ukládá, aby zajistily, že osobní údaje budou předávány jen do takových třetích zemí nebo takovým příjemců, které zajišťují dostatečnou míru ochrany osobních údajů. Dodatkový protokol pro Českou republiku nabyl účinnosti dne 1. července 2004.

Úmluva 108 má ke dnešnímu dni celkem 51 signatářů, resp. 51 států ji ratifikovalo. Kromě členů Evropské unie mezi ně patří zejména další členové Rady Evropy, jako Rusko, Ukrajina, Gruzie, Turecko či státy západního Balkánu. K této mezinárodní smlouvě však mohou přistoupit i nečlenské státy Rady Evropy a také tak činí. Mezi signatáři tudíž nalezneme např. Tunisko, Uruguay nebo Senegal.[5]

Jak je výše uvedeno, Úmluva ukládá povinnosti signatářským státům a její plnění nemůže být předmětem přezkumu ze strany Evropského soudu pro lidská práva. Štrasburský soud však dovodil, že ochrana osobních údajů je nedílnou součástí práva na soukromí dle čl. 8 Úmluvy o ochraně lidských práva a svobod a že neplnění pravidel dle Úmluvy 108 může představovat porušení práva na soukromí.[6]

Úmluva 108 je rovněž důležitým nástrojem pro přeshraniční zpracování osobních údajů, když signatářské státy jsou povinny umožnit volné předávání údajů do dalšího signatářského státu. V případě členských států EU tento aspekt není tolik důležitý, protože stejná povinnost vyplývá i z GDPR, a předtím byla upravena Směrnicí 95/46. Okruh signatářských států úmluvy však není omezen pouze na členské státy unie, a proto Úmluva v tomto směru rozšiřuje okruh zemí, kam lze osobní údaje předávat bez nutnost přijetí dalších opatření, jako jsou například standardní smluvní doložky či závazná podniková pravidla.[7]

Třetím aspektem, již ne zcela právním, byť s právními důsledky, je šíření evropského standardu ochrany osobních údajů. K Úmluvě 108 se mohou připojit i země, které nejsou členy Rady Evropy, a také se tak v praxi děje. Ratifikace úmluvy ze strany afrických nebo jihoamerických států naznačuje, že evropská úroveň ochrany dat se může šířit i v jiných kontinentech, a tím přispívat k posilování globálního digitálního trhu.

Úmluva 108 byla připravována v sedmdesátých letech minulého století, a to v kontextu tehdejší politické a společenské situace, práva a nástrojů na zpracování osobních údajů. Z pochopitelných důvodů tak zdaleka nepostihuje šíři problematiky zpracování osobních údajů v dnešní době snadno dostupných nástrojů pro skutečně rozsáhlé zpracování informací, včetně osobních údajů, a to včetně jejich velmi snadného a v praxi naprosto běžného celosvětového toku.

Rada Evropy se z výše uvedených důvodů začala již před téměř deseti lety zabývat modernizací této smlouvy. První návrh modernizace byl přijat na plenárním zasedání konaném v listopadu roku 2012. Následovala řada let politických vyjednávání, například o tom, zda se signatářem může stát Evropská unie[8], a další práce na úpravách textu úmluvy tak, aby se blížila novému unijnímu předpisu pro ochranu dat, GDPR. Konečný text modernizované Úmluvy 108 včetně dodatkového protokolu byl zveřejněn dne 18. května 2018.[9]

Nyní jsou na tahu signatářské státy, aby dle svých vnitrostátních postupů modernizovanou úmluvu ratifikovaly. Úmluva v novém znění bude účinná po té, kdy ji ratifikuje pět signatářských států.

A jaké konkrétní změny v modernizovaném textu Úmluvy 108 nalezneme? Cílem tohoto článku není podávat kompletní přehled změn, shrňme tedy alespoň, že změny se týkají zejména následujících oblastí:

1) Výjimky z aplikace úmluvy

Současné znění Úmluvy 108 signatářským státům umožňuje, aby při její ratifikaci oznámily, že z její působnosti vyjmou některé oblasti zpracování osobních údajů, nebo že naopak úmluvu bude aplikovat i na manuální zpracování osobních dat či na zpracování informací o právnických osobách. Tuto možnost již modernizovaný text neumožňuje a jednotlivé státy se mohou k úmluvě připojit a aplikovat ji do svého vnitrostátního práva tak, jak je.[10]

2) Definice

Modernizovaný text zavádí několik nových definic, které dosavadní úmluva neznala, zejména pojem zpracovatele a příjemce osobních údajů. Definice zpracování osobních údajů je potom rozšířena tak, aby se úmluva, obdobně jako GDPR, vztahovala i na manuální zpracování údajů, pokud jsou tyto uspořádány a přístupny podle určitých kritérií.[11]

3) Pravidla pro zpracování osobních údajů

I v základních pravidlech pro zpracování osobních údajů se úmluva blíží GDPR, když detailněji specifikuje zásadu účelového omezení a zákonnosti zpracování osobních údajů[12]. Nový text rovněž výslovně upravuje princip transparentnosti, resp. informační povinnost správce vůči subjektům údajům[13], a povinnost správce, případě i zpracovatele, být schopen doložit soulad své činnosti s požadavky práva[14] (obdoba principu tzv. doložitelné odpovědnosti dle čl. 5 bodu 2 GDPR).

4) Práva dotčených osob

Nová verze úmluvy rozšiřuje rovněž práva subjektu údajů, tedy osoby, jejíž údaje jsou zpracovávány. Zatímco dosavadní text upravoval toliko právo na informace o zpracování osobních údajů včetně přístupu k jejich kopii, právo na výmaz protiprávně zpracovávaných údajů a na náhradu škody, modernizovaná úmluva doplňuje právo na námitku proti automatizovanému zpracování osobních údajů, námitku proti zpracování založeném na oprávněném zájmu správce údajů a právo na pomoc místně příslušného dozorového úřadu.[15]

5) Nové procesní náležitosti

Rada Evropy do nového textu doplnila rovněž některé nové procesní nástroje pro zajištění či dokumentování souladu zpracování osobních údajů s požadavky práva. Jedná se kupříkladu o povinnost oznamovat dozorovým úřadům pro ochranu dat bezpečnostní incidenty, které mohou vážně zasáhnout do práv dotčených osob[16], povinnost posuzovat dopady a rizika nového zpracování osobních údajů do práv dotčených osob a zajistit dodržování pravidel pro zpracování dat ve všech fázích zpracovatelského procesu (obdoba principu privacy by design zavedeného i do českého práva čl. 25 bod 1 GDPR)[17].

6) Dozorové úřady

Modernizovaná úmluva, resp. dodatkový protokol, se v neposlední řadě zabývají i veřejnoprávním dozorem nad zpracováním osobních údajů. Dodatkový protokol signatářský státům již nyní ukládá, aby jednomu či více národním úřadům svěřily kompetence ve věci ochrany osobních údajů. V rámci modernizace dochází k posílení pozice dozorových úřadů, které musí mít nově možnost rozhodovat o porušení pravidel o zpracování osobních údajů (dosud postačilo, pokud se s podnětem obrátily na soud), schvalovat nástroje pro předávání osobních údajů do třetích zemí a dále například mít možnost zapojit se do legislativního procesu a vyjádřit se ke každému návrhu právního předpisu, který má vztah ke zpracování osobních údajů.[18] Modernizovaný text se také více zabývá mezinárodní spoluprací dozorových úřadů, když členským státům, které jej ratifikují, ukládá, aby dozorovým úřadům uložil spolupracovat se svými partnery v dalších signatářských státech. Formou spolupráce může být jak sdílení informací o konkrétní právní úpravě či procesních postupech v jednotlivých státech, ale i koordinace dozorových akcí či pořádání společných kontrolních aktivit.[19]

Jaké budou v případě států, které modernizovanou Úmluvu 108 ratifikují, důsledky pro praxi zpracování osobních údajů, pro jednotlivé správce a zpracovatele dat?

V případě členských států Evropské unie včetně České republiky se bude z důvodu blízkosti nového textu úmluvy a GDPR jednat o spíše kosmetické změny, snad kromě možnosti intenzivnější spolupráce dozorových úřadů ze států mimo EU. Pokud tedy správce či zpracovatel sídlící na území členské státu EU bude vykonávat činnost i na území nečlenského státu, který ratifikuje modernizovanou Úmluvu 108, bude muset počítat s tím, že i v tomto případě může jeho činnost podléhat společné dozorové aktivně různých národních úřadů pro ochranu dat, byť tato úprava není tak detailní, jako v případě mechanismů jednotnosti a spolupráce vymezených v GDPR[20].

Nečlenské země EU pak v případě ratifikace modernizované úmluvy budou povinny svoji vnitrostátní úpravu přiblížit standardu GDPR. To na jedné straně může znamenat zátěž pro veřejnou i soukromou sféru, nikoliv nepodobnou té, která provázela implementaci GDPR v Unii. Na druhou stranu zavedení shora naznačených pravidel výrazně přiblíží právní úpravu v signatářské zemi unijnímu právnímu rámci a usnadní přeshraniční předávání osobních údajů se všemi pozitivními ekonomickými důsledky, které to s sebou nese.

Mgr. František Nonnemann,

autor za je zaměstnancem MONETA Money Bank, a.s.

Článek vyjadřuje osobní názor autora, nikoliv jeho zaměstnavatele.

[1] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

[2] Srov. čl. 2 Úmluvy 108.

[3] Čl. 5 Úmluvy 108.

[4] Čl. 8 Úmluvy 108.

[5] Aktuální seznam signatářů Úmluvy 108 je k dispozici >>> zde.

[6] Srov. Z. proti Finsku, stížnost č. 22009/93, rozsudek ze dne 25. února 1997, či Peck proti Spojeném království, stížnost č. 44647/98, rozsudek ze dne 28. ledna 2003.

[7] K úpravě předávání osobních údajů mimo EU srov. Nulíček, M. Donát, J. Nonnemann, F. Lichnovský, B. Tomíšek, J. DPR / Obecné nařízení o ochraně osobních údajů - Praktický komentář. Praha: Wolters Kluwer ČR, a.s. 1. vydání. 2017.

[8] Evropská unie se dle 26 Úmluvy 108 může stát jejím signatářem.

[9] Modernizovaný text úmluvy a dodatkového protokolu je k dispozici >>> zde.

[10] Čl. 3 Úmluvy 108.

[11] Čl. 2 Úmluvy 108.

[12] Čl. 5 Úmluvy 108.

[13] Čl. 8 Úmluvy 108.

[14] Nový čl. 10 bod 1 Úmluvy 108.

[15] Čl, 9 Úmluvy 108.

[16] Nový čl. 7 bod 2 Úmluvy 108.

[17] Nový čl. 10 Úmluvy 108.

[18] Nový čl. 15 Úmluvy 108.

[19] Nový čl. 17 Úmluvy 108.

[20] Srov. čl. 60 a dále GDPR.

© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz