epravo.cz

Přihlášení


Registrace nového uživatele
Zapomenuté heslo
Přihlášení
  • ČLÁNKY
    • občanské právo
    • obchodní právo
    • insolvenční právo
    • finanční právo
    • správní právo
    • pracovní právo
    • trestní právo
    • evropské právo
    • veřejné zakázky
    • ostatní právní obory
  • ZÁKONY
    • sbírka zákonů
    • sbírka mezinárodních smluv
    • právní předpisy EU
    • úřední věstník EU
  • SOUDNÍ ROZHODNUTÍ
    • občanské právo
    • obchodní právo
    • správní právo
    • pracovní právo
    • trestní právo
    • ostatní právní obory
  • AKTUÁLNĚ
    • 10 otázek
    • tiskové zprávy
    • vzdělávací akce
    • komerční sdělení
    • ostatní
  • E-shop
    • Online kurzy
    • Online konference
    • Další vzdělávaní advokátů
    • Konference
    • Roční předplatné
    • Monitoring judikatury
    • Publikace a služby
    • Společenské akce
    • Advokátní rejstřík
    • Partnerský program
  • Advokátní rejstřík
  • Více
    7. 1. 2022
    ID: 114022upozornění pro uživatele

    Postavení poskytovatelů služeb při zpracování osobních údajů

    Nařízení EU o ochraně osobních údajů („GDPR“)[1], které upravuje pravidla při zpracování osobních údajů, primárně vychází ze zdánlivě jednoduchého rozlišení účastníků zpracování na tzv. správce (anglicky controllers) a zpracovatele (anglicky processors).

    Naším cílem v tomto článku není podat detailní definice toho, kdo je správce a kdo zpracovatel osobních údajů. K tomu ostatně můžeme odkázat například na Pokyny Evropského sboru pro ochranu osobních (EDPB) č. 07/2020 k pojmu správce a zpracovatele podle GDPR.

    Rádi bychom se ale zaměřili na jeden praktický případ, se kterým se opakovaně setkáváme a který vyvolává často neshody mezi zúčastněnými stranami. Jde o určení postavení a povinností při zpracování osobních údajů v případě poskytovatelů služeb v obchodních vztazích, ve kterých vystupují zpravidla dvě obchodní společnosti a dochází ke zpracování údajů klientů, případně zaměstnanců jedné z nich. Typicky může jít např. o dopravce zboží, který přijímá zakázku od e-shopu na dodání zboží jeho zákazníkovi, nebo poskytovatele služeb, které jsou využívány zaměstnanci jiné společnost (např. správa služebních platebních karet).

    V praxi se často setkáváme s tím, že společnost poskytující údaje svých zákazníků nebo zaměstnanců automaticky předpokládá, že poskytovatel, jehož služby si pořizuje, je zpracovatelem osobních údajů. Tento přístup nicméně v mnoha případech považujeme za nesprávný.

    Kdo je zpracovatelem?

    Reklama
    Trestní právo daňové (online - živé vysílání) - 10.11.2022
    Trestní právo daňové (online - živé vysílání) - 10.11.2022
    10.11.2022 09:003 025 Kč s DPH
    2 500 Kč bez DPH

    Koupit

    Podle čl. 4/8 GDPR je „zpracovatelem“ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce. Přesněji řečeno, zpracovatel provádí zpracování za správce (viz oficiální corrigendum k obecnému nařízení čl. 28). Ještě jasněji je to pak uvedeno v anglické verzi GDPR, která používá spojení on behalf of (jménem, jako zástupce).

    Toto vymezení jinými slovy určuje, že zpracovatel nemůže osobní údaje zpracovávat pro své vlastní účely[2], a zároveň to také znamená, že zpracovatel může zpracovávat osobní údaje pouze na základě pokynů správce a v jejich mezích (viz čl. 28/3/a GDPR). Jde tedy o jakousi formu delegace zpracování ze správce na zpracovatele.[3] Na tom nic nemění ani určitá míra autonomie při volbě prostředků zpracování, kterou zpracovateli GDPR umožňuje. Nesmí nicméně jít o podstatné aspekty zpracování.

    Zpracovatel nesmí zpracovávat údaje pro vlastní účely – opravdu?

    Požadavek na pouhopouhé robotické plnění pokynů je sám o sobě velmi problematický, nakolik i typičtí zpracovatelé (podle příkladů uvedených v pokynech, stanoviscích, rozhodnutích a dalších podobných dokumentech regulátorů nebo soudů) v mnoha případech určité zpracování pro vlastní účely provádět musí (např. z důvodu interní kontroly nebo obrany a vymáhání smluvních podmínek dohodnutých se správcem, případně pro plnění svých zákonných povinností). Idea čistého zpracovatele je tak v současném právním prostředí EU spíše iluzorní. V tomto smyslu je realističtější přístup kalifornského zákona o soukromí spotřebitelů („CCPA“)[4], který dává podnikům (businesses) určité úlevy z regulace při využití tzv. poskytovatelů služeb (service providers). Tito poskytovatelé jsou nicméně podle §999.314 prováděcích nařízení k CCPA oprávnění nad rámec zpracování nutného pro splnění smlouvy s podnikem zpracovávat údaje pro zákonem vymezené účely zahrnující:

    • najmutí a zaměstnání jiného poskytovatele služeb jako subdodavatele;
    • interní použití údajů poskytovatelem služeb k vybudování služeb nebo zlepšení jejich kvality za předpokladu, že toto použití nezahrnuje vytvoření nebo úpravu profilů domácností nebo spotřebitelů ani čištění nebo obohacování údajů získaných z jiného zdroje;
    • odhalování bezpečnostních incidentů s údaji nebo ochranu před podvodnou nebo nezákonnou činností a
    • k plnění právních povinností, jako je spolupráce s orgány činnými v trestním řízení a uplatňování nebo obhajoba právních nároků.

    Tento přístup považujeme za lepší z hlediska reálného fungování dodavatelských vztahů. De lege ferenda jde podle našeho názoru o přístup, který by měla EU, potažmo členské státy zvážit.

    Kdy jsou poskytovatelé služeb správci?

    Pokud výše uvedená pravidla podle GDPR aplikujeme na námi vymezené vztahy, je zřejmé, že u řady poskytovatelů služeb nemůže v žádném případě jít o zpracovatele. V rámci jejich služeb dochází ke zpracování osobních údajů, které si sami určují jak co do jeho účelu, tak co do prostředků zpracování. Relevantní informace o zpracování osobních údajů v souladu s čl. 13 (případně 14) GDPR pak mají poskytovatelé popsány ve svých zásadách ochrany osobních údajů.

    Tento přístup je podpořen aktuálními pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele. Podle bodu 82. těchto pokynů je klíčovým faktorem pro posouzení postavení při zpracování povaha zpracování v kontextu specifických aktivit poskytovatele služeb, nikoli typ entity (myšleno zřejmě ve vztahu k poskytovateli služeb). Nelze tedy izolovaně hodnotit postavení jen podle typu vztahu, povahy osobních údajů ani kategorií subjektů údajů, kterých se zpracování týká. Vždy je nutné hodnotit celkový kontext zpracování.

    EDPB v tomto smyslu uvádí, že tam, kde poskytované služby nejsou specificky zaměřené na zpracování osobních údajů nebo kde zpracování osobních údajů není klíčovým elementem služby, může být poskytovatel služby v pozici, kdy samostatně určuje účely a prostředky zpracování nutného k zajištění své služby. V takové situaci pak podle EDPB bude poskytovatel služeb samostatným správcem a nikoli zpracovatelem.

    Tato poněkud krkolomná definice se podle našeho názoru dá zjednodušit tak, že osoba, která poskytuje vlastní služby, jejichž předmět a rozsah sama definuje, bude zpravidla správcem osobních údajů. To platí zejména tam, kde daná služba zahrnuje vysokou přidanou hodnotu, odbornost, autonomii rozhodování, nebo dokonce spadá do specifické právní regulace s pevně danými pravidly a povinnostmi (např. platební služby, nezávislé zprostředkování finančních služeb apod.).[5] V těchto případech si lze jen stěží představit situaci, kdy by objednatel služeb určoval, jak mají být takové služby poskytovány, eventuálně že by se služby poskytovaly pro každého objednatele jiným způsobem v závislosti na jeho pokynech.

    Příklady

    • Taxislužba nabízí online platformu, která firmám umožňuje objednat si taxi pro přepravu zaměstnanců nebo hostů na letiště a z letiště. Taxislužba nabízí své vlastní služby, zpracování osobních údajů není specifickým záměrem jejich činnosti, ale jen z ní vyplývá. Taxislužba se neřídí pokyny zákazníků ve vztahu ke zpracování osobních údajů, přestože své služby poskytuje na základě jejich požadavků. Taxislužba je správcem osobních údajů.[6]
    • Firma používá účetního k vedení účetnictví. Účetní zpracovává údaje pro svého klienta, ale je sám správcem osobních údajů v rámci své činnosti (účetnictví). Je tomu tak proto, že účetní a podobní poskytovatelé odborných služeb pracují na základě řady profesních povinností, které je zavazují k odpovědnosti za osobní údaje, které zpracovávají.[7]
    • Doručovací společnost obdrží od původního správce (např. od e-shopu) doručovací adresy (osobní údaje) adresátů pro účely doručení a zajistí doručení zásilek. Doručovatel zásilek jedná na vlastní odpovědnost, jde o samostatnou činnost dodavatele těchto služeb, tedy správce údajů, který provádí zpracování nebytné pro jím stanovený účel doručování. Doručovací společnost neprovádí zpracování údajů jako zpracovatel.[8]

    Kdy budou poskytovatelé přece jen zpracovateli?

    Pouhým zpracovatelem a nikoli správcem naopak zpravidla bude osoba, která provádí triviální operace s osobními údaji (např. rozeslání dopisů na adresy určeném zadavatelem), nebo postupuje výlučně podle pokynů správce a nemá prostor pro vlastní rozhodování ohledně předmětu a rozsahu svých služeb.

    Příklad

    • Provedení marketingové analýzy podle jasně daných instrukcí na datech poskytnutých zadavatelem.
    • Zajištění služeb call centra na základě a v mezích pokynů objednatele a ve vztahu k objednatelovým klientům.
    • Zajištění IT podpory na základě a v mezích pokynů objednatele, při níž dochází nevyhnutelně i k práci s osobními údaji, přestože nejde o primární smysl činnosti.
    • Doručovatel provádí doplňkové činnosti podle pokynů objednatele, např. kompletaci zásilek, vč. tisku oznámení obsahující osobní údaje a jejich vkládání do obálek. V tomto případě se jedná o činnost zpracovatele.

     

    Relativně samostatnou kapitolou jsou pak poskytovatelé cloudových služeb nebo jiných úložišť, kteří se zpravidla také považují jen za zpracovatele osobních údajů, a to přestože nabízejí své služby široké veřejnosti a podle jimi definovaných pravidel. Důvodem je podle EDPB skutečnost, že konečné rozhodnutí o účelech a o tom, jak takové předem definované nástroje využije, dělá zákazník (původní správce údajů), a to včetně všech povinností a nutnosti zajistit, že poskytovatel cloudových služeb respektuje jeho pokyny.[9] Tento přístup nám nepřijde zcela konzistentní s výše uvedenými kritérii a pro praxi navíc velmi problematický, nakolik požadavek donutit některé poskytovatele cloudových služeb respektovat specifické pokyny jednotlivých zákazníků/správců je mimo jejich reálné možnosti.

    Kdy nebude poskytovatel služeb ani správcem, ani zpracovatelem?

    Specifickým případem jsou situace, kdy osoba vůbec ke své činnosti osobní údaje nepotřebuje, ale může se k nim za určitých podmínek dostat (ať už náhodou, nebo i vědomě). V těchto případech je na místě primárně zajistit takové smluvní podmínky a záruky, aby nedošlo k ohrožení osobních údajů, případně si ujednat postup pro případ, že k tomu i přes tyto záruky dojde (např. ve smyslu ohlášení situace, zajištění bezpečnosti osobních údajů a zamezení dalšímu opakování nebo zhoršení situace).

     

    Příklad

    • Firma zajišťující úklid kanceláří, která se náhodou nebo nedbalostí zaměstnanců může dostat k dokumentům, počítačům apod.
    • IT firma najatá na vývoj nebo opravu softwaru, ke kterým nepotřebuje žádné osobní údaje, ale může náhodou nebo nedbalostí k takovým údajům získat přístup.
    • Doručovatelé poštovních zásilek ve vztahu k osobním údajům obsaženým uvnitř zásilek, které nesmějí otevřít.

    Závěrem

    Jak jsme v předchozím textu naznačili, zjednodušený přístup k poskytovatelům služeb, který jim automaticky přisuzuje postavení zpracovatelů, není v mnoha případech správný. Vždy bude záležet na konkrétním kontextu zpracování osobních údajů. Z uvedených příkladů a stanovisek dozorových úřadů se nicméně dá usuzovat, že poskytovatelů služeb, kteří budou jen zpracovateli, je podstatně méně, než by se na první pohled mohlo zdát. V řadě oblastí bude dokonce podle nás potřeba vztahy znovu revidovat a posoudit, zda skutečně v daných případech jsou poskytovatelé služeb pouhými zpracovateli ve smyslu GDPR.

    Jinou možností je pak přehodnotit extrémně úzké vymezení zpracovatele podle GDPR jako takového. V tomto ohledu hodnotíme jako lepší přístup kalifornského zákona o soukromí spotřebitelů a jeho definici poskytovatelů služeb, která jim nad rámec zpracování nezbytného pro plnění smlouvy umožňuje zpracovávat osobní údaje i pro další zákonem vymezené účely, aniž by ztratili postavení poskytovatele služeb.


    Ing. Mgr. Jakub Hruška, CIPP/E

    Herešová advokáti s.r.o.

    U průhonu 1589/13a, Holešovice

    170 00 Praha 7

    email: info@heresova.cz

     

    [1] NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

    [2] Pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele, bod 80.

    [3] Pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele, bod 80.

    [4] Dostupné >>>zde.

    [5] Viz například také stanovisko britského ICO ohledně postavení specializovaných poskytovatelů služeb: Pokud specializovaní poskytovatelé služeb zpracovávají údaje v souladu se svými profesními povinnostmi, vystupují vždy jako správce (viz >>> zde).

    [6] Pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele, bod 82.

    [7] Viz >>> zde.

    [8] Viz stanovisko UOOU k dispozici >>> zde.

    [9] Pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele, bod 84.

     


    © EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz


    Ing. Mgr. Jakub Hruška, CIPP/E
    7. 1. 2022
    pošli emailem
    vytiskni článek
    • Tweet

    Další články:

    • Sousedské spory o nahlížení do oken
    • Právní rizika outsourcingu služeb aneb nehrozí Vám pokuta?
    • Rozhodčí řízení - jiný přístup k rozhodování o stavebních vícepracích
    • K limitům práva na informace o odměnách statutárních orgánů a zaměstnanců povinných osob podle zákona o svobodném přístupu k informacím
    • Nad judikaturou Ústavního soudu v otázce náhrady nákladů v řízení o zrušení a vypořádání spoluvlastnictví
    • Úskalí při zrušení podílového spoluvlastnictví k bytovému domu
    • Nepřípustnost návrhu na zrušení opatření obecné povahy dle nového stavebního zákona
    • Neorganizované organizační změny aneb kdopak je tu nadbytečný?
    • Dvojí kvalita potravin
    • Návrh zákona o ochraně oznamovatelů je opět ve hře
    • Zásahová žaloba jako prostředek ochrany před nezákonným zásahem správního orgánu se zaměřením na nezákonnost provádění kontroly a hrozbu jejího opakování

    Související produkty

    Online kurzy

    • Spolky pohledem daňového práva
    • Darování pro případ smrti alternativou vydědění?
    • Určitost předmětu podnikání ve společenské smlouvě
    • Aktuální judikatura vysokých soudů
    • Aktuální judikatura ve věcech náhrady škody
    Lektoři kurzů
    Mgr. Stanislav Servus,  LL.M.
    Mgr. Stanislav Servus, LL.M.
    Kurzy lektora
    JUDr. et Mgr.  Pavla  Voříšková, Ph.D.
    JUDr. et Mgr. Pavla Voříšková, Ph.D.
    Kurzy lektora
    doc. JUDr. Filip Melzer, LL.M., Ph.D.
    doc. JUDr. Filip Melzer, LL.M., Ph.D.
    Kurzy lektora
    Mgr. František Korbel, Ph.D.
    Mgr. František Korbel, Ph.D.
    Kurzy lektora
    JUDr. Milan Hulmák, Ph.D.
    JUDr. Milan Hulmák, Ph.D.
    Kurzy lektora
    JUDr. Kristýna Faltýnková
    JUDr. Kristýna Faltýnková
    Kurzy lektora
    JUDr. Katarina Maisnerová ml.
    JUDr. Katarina Maisnerová ml.
    Kurzy lektora
    JUDr. Petr Bříza, LL.M., Ph.D.
    JUDr. Petr Bříza, LL.M., Ph.D.
    Kurzy lektora
    JUDr. Jiří Ctibor, LL.M., Ph.D.
    JUDr. Jiří Ctibor, LL.M., Ph.D.
    Kurzy lektora
    JUDr. Jakub Dohnal, Ph.D.
    JUDr. Jakub Dohnal, Ph.D.
    Kurzy lektora
    všichni lektoři

    Nejčtenější na epravo.cz

    • 24 hod
    • 7 dní
    • 30 dní
    • Sousedské spory o nahlížení do oken
    • Právní rizika outsourcingu služeb aneb nehrozí Vám pokuta?
    • Rozhodčí řízení - jiný přístup k rozhodování o stavebních vícepracích
    • 10 otázek pro … Aleše Eppingera
    • Úřední ověření elektronického podpisu (e-legalizace) od 1. července 2022
    • Nad judikaturou Ústavního soudu v otázce náhrady nákladů v řízení o zrušení a vypořádání spoluvlastnictví
    • K limitům práva na informace o odměnách statutárních orgánů a zaměstnanců povinných osob podle zákona o svobodném přístupu k informacím
    • Vedlejší činnost zaměstnance
    • Úřední ověření elektronického podpisu (e-legalizace) od 1. července 2022
    • Vedlejší činnost zaměstnance
    • Pracovní právo - zbytečné lékařské prohlídky
    • Neorganizované organizační změny aneb kdopak je tu nadbytečný?
    • Úskalí při zrušení podílového spoluvlastnictví k bytovému domu
    • Ztráta licence a další osud Sberbank
    • Nad judikaturou Ústavního soudu v otázce náhrady nákladů v řízení o zrušení a vypořádání spoluvlastnictví
    • K limitům práva na informace o odměnách statutárních orgánů a zaměstnanců povinných osob podle zákona o svobodném přístupu k informacím
    • Úřední ověření elektronického podpisu (e-legalizace) od 1. července 2022
    • Darování nemovitosti z pohledu dárce a obdarovaného - Část 2.
    • Obrat v posuzování právních domněnek a fikcí užitých ve smlouvách ve světle rozsudku Nejvyššího soudu ze dne 23. 3. 2022, sp. zn. 23 Cdo 1001/2021
    • Střídavá péče jako postulát, ze kterého není úniku?
    • Náhrada škody způsobené členem statutárního orgánu SVJ
    • Určení (ne)existence zástavního práva jako naturálního práva a jeho výmaz z katastru nemovitostí
    • Ukládání pokut podle GDPR: dosavadní praxe a nová metodika ke kalkulaci pokut
    • Popis pracovní činnosti a jeho role ve vztahu se zaměstnancem

    Pracovní pozice

    Soudní rozhodnutí

    Nemajetková újma (exkluzivně pro předplatitele)

    Osobou, která má po určitou část trestního řízení zákonem stanovená práva a povinnosti, je i osoba, u níž se koná domovní prohlídka (popřípadě prohlídka jiných prostor a...

    Nezabavitelná částka

    Při stanovení nezabavitelné částky, která povinnému nesmí být sražena z měsíční mzdy (§ 278 o. s. ř.), se částka normativních nákladů na bydlení pro rok 2022 (vymezená...

    Advokacie (exkluzivně pro předplatitele)

    Splnění podmínky získání vysokoškolského vzdělání v oboru právo v magisterském studijním programu studiem na vysoké škole v České republice podle § 37 odst. 1 písm. b) bodu 1...

    Pandemický zákon (exkluzivně pro předplatitele)

    I. Aktivně procesně legitimován k podání návrhu na zrušení mimořádného opatření podle § 101a odst. 1 s. ř. s. ve spojení s § 13 zákona č. 94/2021 Sb., o mimořádných opatřeních...

    Územní a stavební řízení (exkluzivně pro předplatitele)

    Společenství vlastníků jednotek je účastníkem společného územního a stavebního řízení podle § 94k písm. e) zákona č. 183/2006 Sb., o územním plánování a stavebním řádu,...

    Hledání v rejstřících

    • mapa serveru
    • o nás
    • reklama
    • podmínky provozu
    • kontakty
    • publikační podmínky
    • FAQ
    • obchodní a reklamační podmínky
    • Ochrana osobních údajů - GDPR
    • Nastavení cookies
    100 nej
    © EPRAVO.CZ, a.s. 1999-2022, ISSN 1213-189X      developed by Actimmy
    Provozovatelem serveru je EPRAVO.CZ, a.s. se sídlem Dušní 907/10, Staré Město, 110 00 Praha 1, Česká republika, IČ: 26170761, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze pod spisovou značkou B 6510.

    Jste zde poprvé?

    Vítejte na internetovém serveru epravo.cz. Jsme zdroj informací jak pro laiky, tak i pro právníky profesionály. Zaregistrujte se u nás a získejte zdarma řadu výhod.


    Protože si vážíme Vašeho zájmu, dostanete k registraci dárek v podobě unikátního video tréningu od jednoho z nejznámějších českých advokátů a rozhodců JUDr. Martina Maisnera, Ph.D., MCIArb, a to "Taktika vyjednávání o smlouvách".


    Registrace je zdarma, k ničemu Vás nezavazuje a získáte každodenní přehled o novinkách ve světě práva.


    Vaše data jsou u nás v bezpečí. Údaje vyplněné při této registraci zpracováváme podle podmínek zpracování osobních údajů



    Nezapomněli jste něco v košíku?

    Vypadá to, že jste si něco zapoměli v košíku. Dokončete prosím objednávku ještě před odchodem.


    Přejít do košíku


    Vaši nedokončenou objednávku vám v případě zájmu zašleme na e-mail a můžete ji tak dokončit později.