epravo.cz

Přihlášení / registrace

Nemáte ještě účet? Zaregistrujte se


Zapomenuté heslo
    Přihlášení / registrace
    • ČLÁNKY
      • občanské právo
      • obchodní právo
      • insolvenční právo
      • finanční právo
      • správní právo
      • pracovní právo
      • trestní právo
      • evropské právo
      • veřejné zakázky
      • ostatní právní obory
    • ZÁKONY
      • sbírka zákonů
      • sbírka mezinárodních smluv
      • právní předpisy EU
      • úřední věstník EU
    • SOUDNÍ ROZHODNUTÍ
      • občanské právo
      • obchodní právo
      • správní právo
      • pracovní právo
      • trestní právo
      • ostatní právní obory
    • AKTUÁLNĚ
      • 10 otázek
      • tiskové zprávy
      • vzdělávací akce
      • komerční sdělení
      • ostatní
      • rekodifikace TŘ
    • Rejstřík
    • E-shop
      • Online kurzy
      • Online konference
      • Záznamy konferencí
      • EPRAVO.CZ Premium
      • Konference
      • Monitoring judikatury
      • Publikace a služby
      • Společenské akce
      • Advokátní rejstřík
      • Partnerský program
    • Předplatné
    7. 1. 2022
    ID: 114022upozornění pro uživatele

    Postavení poskytovatelů služeb při zpracování osobních údajů

    Nařízení EU o ochraně osobních údajů („GDPR“)[1], které upravuje pravidla při zpracování osobních údajů, primárně vychází ze zdánlivě jednoduchého rozlišení účastníků zpracování na tzv. správce (anglicky controllers) a zpracovatele (anglicky processors).

    Naším cílem v tomto článku není podat detailní definice toho, kdo je správce a kdo zpracovatel osobních údajů. K tomu ostatně můžeme odkázat například na Pokyny Evropského sboru pro ochranu osobních (EDPB) č. 07/2020 k pojmu správce a zpracovatele podle GDPR.

    Rádi bychom se ale zaměřili na jeden praktický případ, se kterým se opakovaně setkáváme a který vyvolává často neshody mezi zúčastněnými stranami. Jde o určení postavení a povinností při zpracování osobních údajů v případě poskytovatelů služeb v obchodních vztazích, ve kterých vystupují zpravidla dvě obchodní společnosti a dochází ke zpracování údajů klientů, případně zaměstnanců jedné z nich. Typicky může jít např. o dopravce zboží, který přijímá zakázku od e-shopu na dodání zboží jeho zákazníkovi, nebo poskytovatele služeb, které jsou využívány zaměstnanci jiné společnost (např. správa služebních platebních karet).

    Reklama
    Nemáte ještě registraci na epravo.cz?

    Registrujte se, získejte řadu výhod a jako dárek Vám zašleme aktuální online kurz na využití umělé inteligence v praxi.

    REGISTROVAT ZDE

    V praxi se často setkáváme s tím, že společnost poskytující údaje svých zákazníků nebo zaměstnanců automaticky předpokládá, že poskytovatel, jehož služby si pořizuje, je zpracovatelem osobních údajů. Tento přístup nicméně v mnoha případech považujeme za nesprávný.

    Kdo je zpracovatelem?

    Reklama
    Zavádění AI do firmy: průvodce džunglí inovací a právních pastí (online - živé vysílání) - 22.5.2025
    Zavádění AI do firmy: průvodce džunglí inovací a právních pastí (online - živé vysílání) - 22.5.2025
    22.5.2025 09:003 975 Kč s DPH
    3 285 Kč bez DPH

    Koupit

    Podle čl. 4/8 GDPR je „zpracovatelem“ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce. Přesněji řečeno, zpracovatel provádí zpracování za správce (viz oficiální corrigendum k obecnému nařízení čl. 28). Ještě jasněji je to pak uvedeno v anglické verzi GDPR, která používá spojení on behalf of (jménem, jako zástupce).

    Toto vymezení jinými slovy určuje, že zpracovatel nemůže osobní údaje zpracovávat pro své vlastní účely[2], a zároveň to také znamená, že zpracovatel může zpracovávat osobní údaje pouze na základě pokynů správce a v jejich mezích (viz čl. 28/3/a GDPR). Jde tedy o jakousi formu delegace zpracování ze správce na zpracovatele.[3] Na tom nic nemění ani určitá míra autonomie při volbě prostředků zpracování, kterou zpracovateli GDPR umožňuje. Nesmí nicméně jít o podstatné aspekty zpracování.

    Zpracovatel nesmí zpracovávat údaje pro vlastní účely – opravdu?

    Požadavek na pouhopouhé robotické plnění pokynů je sám o sobě velmi problematický, nakolik i typičtí zpracovatelé (podle příkladů uvedených v pokynech, stanoviscích, rozhodnutích a dalších podobných dokumentech regulátorů nebo soudů) v mnoha případech určité zpracování pro vlastní účely provádět musí (např. z důvodu interní kontroly nebo obrany a vymáhání smluvních podmínek dohodnutých se správcem, případně pro plnění svých zákonných povinností). Idea čistého zpracovatele je tak v současném právním prostředí EU spíše iluzorní. V tomto smyslu je realističtější přístup kalifornského zákona o soukromí spotřebitelů („CCPA“)[4], který dává podnikům (businesses) určité úlevy z regulace při využití tzv. poskytovatelů služeb (service providers). Tito poskytovatelé jsou nicméně podle §999.314 prováděcích nařízení k CCPA oprávnění nad rámec zpracování nutného pro splnění smlouvy s podnikem zpracovávat údaje pro zákonem vymezené účely zahrnující:

    • najmutí a zaměstnání jiného poskytovatele služeb jako subdodavatele;
    • interní použití údajů poskytovatelem služeb k vybudování služeb nebo zlepšení jejich kvality za předpokladu, že toto použití nezahrnuje vytvoření nebo úpravu profilů domácností nebo spotřebitelů ani čištění nebo obohacování údajů získaných z jiného zdroje;
    • odhalování bezpečnostních incidentů s údaji nebo ochranu před podvodnou nebo nezákonnou činností a
    • k plnění právních povinností, jako je spolupráce s orgány činnými v trestním řízení a uplatňování nebo obhajoba právních nároků.

    Tento přístup považujeme za lepší z hlediska reálného fungování dodavatelských vztahů. De lege ferenda jde podle našeho názoru o přístup, který by měla EU, potažmo členské státy zvážit.

    Kdy jsou poskytovatelé služeb správci?

    Pokud výše uvedená pravidla podle GDPR aplikujeme na námi vymezené vztahy, je zřejmé, že u řady poskytovatelů služeb nemůže v žádném případě jít o zpracovatele. V rámci jejich služeb dochází ke zpracování osobních údajů, které si sami určují jak co do jeho účelu, tak co do prostředků zpracování. Relevantní informace o zpracování osobních údajů v souladu s čl. 13 (případně 14) GDPR pak mají poskytovatelé popsány ve svých zásadách ochrany osobních údajů.

    Tento přístup je podpořen aktuálními pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele. Podle bodu 82. těchto pokynů je klíčovým faktorem pro posouzení postavení při zpracování povaha zpracování v kontextu specifických aktivit poskytovatele služeb, nikoli typ entity (myšleno zřejmě ve vztahu k poskytovateli služeb). Nelze tedy izolovaně hodnotit postavení jen podle typu vztahu, povahy osobních údajů ani kategorií subjektů údajů, kterých se zpracování týká. Vždy je nutné hodnotit celkový kontext zpracování.

    EDPB v tomto smyslu uvádí, že tam, kde poskytované služby nejsou specificky zaměřené na zpracování osobních údajů nebo kde zpracování osobních údajů není klíčovým elementem služby, může být poskytovatel služby v pozici, kdy samostatně určuje účely a prostředky zpracování nutného k zajištění své služby. V takové situaci pak podle EDPB bude poskytovatel služeb samostatným správcem a nikoli zpracovatelem.

    Tato poněkud krkolomná definice se podle našeho názoru dá zjednodušit tak, že osoba, která poskytuje vlastní služby, jejichž předmět a rozsah sama definuje, bude zpravidla správcem osobních údajů. To platí zejména tam, kde daná služba zahrnuje vysokou přidanou hodnotu, odbornost, autonomii rozhodování, nebo dokonce spadá do specifické právní regulace s pevně danými pravidly a povinnostmi (např. platební služby, nezávislé zprostředkování finančních služeb apod.).[5] V těchto případech si lze jen stěží představit situaci, kdy by objednatel služeb určoval, jak mají být takové služby poskytovány, eventuálně že by se služby poskytovaly pro každého objednatele jiným způsobem v závislosti na jeho pokynech.

    Příklady

    • Taxislužba nabízí online platformu, která firmám umožňuje objednat si taxi pro přepravu zaměstnanců nebo hostů na letiště a z letiště. Taxislužba nabízí své vlastní služby, zpracování osobních údajů není specifickým záměrem jejich činnosti, ale jen z ní vyplývá. Taxislužba se neřídí pokyny zákazníků ve vztahu ke zpracování osobních údajů, přestože své služby poskytuje na základě jejich požadavků. Taxislužba je správcem osobních údajů.[6]
    • Firma používá účetního k vedení účetnictví. Účetní zpracovává údaje pro svého klienta, ale je sám správcem osobních údajů v rámci své činnosti (účetnictví). Je tomu tak proto, že účetní a podobní poskytovatelé odborných služeb pracují na základě řady profesních povinností, které je zavazují k odpovědnosti za osobní údaje, které zpracovávají.[7]
    • Doručovací společnost obdrží od původního správce (např. od e-shopu) doručovací adresy (osobní údaje) adresátů pro účely doručení a zajistí doručení zásilek. Doručovatel zásilek jedná na vlastní odpovědnost, jde o samostatnou činnost dodavatele těchto služeb, tedy správce údajů, který provádí zpracování nebytné pro jím stanovený účel doručování. Doručovací společnost neprovádí zpracování údajů jako zpracovatel.[8]

    Kdy budou poskytovatelé přece jen zpracovateli?

    Pouhým zpracovatelem a nikoli správcem naopak zpravidla bude osoba, která provádí triviální operace s osobními údaji (např. rozeslání dopisů na adresy určeném zadavatelem), nebo postupuje výlučně podle pokynů správce a nemá prostor pro vlastní rozhodování ohledně předmětu a rozsahu svých služeb.

    Příklad

    • Provedení marketingové analýzy podle jasně daných instrukcí na datech poskytnutých zadavatelem.
    • Zajištění služeb call centra na základě a v mezích pokynů objednatele a ve vztahu k objednatelovým klientům.
    • Zajištění IT podpory na základě a v mezích pokynů objednatele, při níž dochází nevyhnutelně i k práci s osobními údaji, přestože nejde o primární smysl činnosti.
    • Doručovatel provádí doplňkové činnosti podle pokynů objednatele, např. kompletaci zásilek, vč. tisku oznámení obsahující osobní údaje a jejich vkládání do obálek. V tomto případě se jedná o činnost zpracovatele.

     

    Relativně samostatnou kapitolou jsou pak poskytovatelé cloudových služeb nebo jiných úložišť, kteří se zpravidla také považují jen za zpracovatele osobních údajů, a to přestože nabízejí své služby široké veřejnosti a podle jimi definovaných pravidel. Důvodem je podle EDPB skutečnost, že konečné rozhodnutí o účelech a o tom, jak takové předem definované nástroje využije, dělá zákazník (původní správce údajů), a to včetně všech povinností a nutnosti zajistit, že poskytovatel cloudových služeb respektuje jeho pokyny.[9] Tento přístup nám nepřijde zcela konzistentní s výše uvedenými kritérii a pro praxi navíc velmi problematický, nakolik požadavek donutit některé poskytovatele cloudových služeb respektovat specifické pokyny jednotlivých zákazníků/správců je mimo jejich reálné možnosti.

    Kdy nebude poskytovatel služeb ani správcem, ani zpracovatelem?

    Specifickým případem jsou situace, kdy osoba vůbec ke své činnosti osobní údaje nepotřebuje, ale může se k nim za určitých podmínek dostat (ať už náhodou, nebo i vědomě). V těchto případech je na místě primárně zajistit takové smluvní podmínky a záruky, aby nedošlo k ohrožení osobních údajů, případně si ujednat postup pro případ, že k tomu i přes tyto záruky dojde (např. ve smyslu ohlášení situace, zajištění bezpečnosti osobních údajů a zamezení dalšímu opakování nebo zhoršení situace).

     

    Příklad

    • Firma zajišťující úklid kanceláří, která se náhodou nebo nedbalostí zaměstnanců může dostat k dokumentům, počítačům apod.
    • IT firma najatá na vývoj nebo opravu softwaru, ke kterým nepotřebuje žádné osobní údaje, ale může náhodou nebo nedbalostí k takovým údajům získat přístup.
    • Doručovatelé poštovních zásilek ve vztahu k osobním údajům obsaženým uvnitř zásilek, které nesmějí otevřít.

    Závěrem

    Jak jsme v předchozím textu naznačili, zjednodušený přístup k poskytovatelům služeb, který jim automaticky přisuzuje postavení zpracovatelů, není v mnoha případech správný. Vždy bude záležet na konkrétním kontextu zpracování osobních údajů. Z uvedených příkladů a stanovisek dozorových úřadů se nicméně dá usuzovat, že poskytovatelů služeb, kteří budou jen zpracovateli, je podstatně méně, než by se na první pohled mohlo zdát. V řadě oblastí bude dokonce podle nás potřeba vztahy znovu revidovat a posoudit, zda skutečně v daných případech jsou poskytovatelé služeb pouhými zpracovateli ve smyslu GDPR.

    Jinou možností je pak přehodnotit extrémně úzké vymezení zpracovatele podle GDPR jako takového. V tomto ohledu hodnotíme jako lepší přístup kalifornského zákona o soukromí spotřebitelů a jeho definici poskytovatelů služeb, která jim nad rámec zpracování nezbytného pro plnění smlouvy umožňuje zpracovávat osobní údaje i pro další zákonem vymezené účely, aniž by ztratili postavení poskytovatele služeb.


    Ing. Mgr. Jakub Hruška, CIPP/E

    Herešová advokáti s.r.o.

    U průhonu 1589/13a, Holešovice

    170 00 Praha 7

    email: info@heresova.cz

     

    [1] NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

    [2] Pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele, bod 80.

    [3] Pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele, bod 80.

    [4] Dostupné >>>zde.

    [5] Viz například také stanovisko britského ICO ohledně postavení specializovaných poskytovatelů služeb: Pokud specializovaní poskytovatelé služeb zpracovávají údaje v souladu se svými profesními povinnostmi, vystupují vždy jako správce (viz >>> zde).

    [6] Pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele, bod 82.

    [7] Viz >>> zde.

    [8] Viz stanovisko UOOU k dispozici >>> zde.

    [9] Pokyny EDPB č. 07/2020 k pojmu správce a zpracovatele, bod 84.

     


    © EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz


    Ing. Mgr. Jakub Hruška, CIPP/E
    7. 1. 2022
    pošli emailem
    vytiskni článek

    Poslat článek emailem

    *) povinné položky

    • Tweet

    Další články:

    • Vypořádáním SJM k obchodnímu podílu soudním smírem (ne)může dojít k převodu obchodního podílu na exmanžela, který nebyl společníkem
    • „Flexinovela“ zákoníku práce: Co vše se letos mění?
    • Ubytování nezletilých sportovců v hostitelských rodinách
    • FDI v akci: První zákaz zahraniční investice v České republice
    • Právo nájemce na náhradu za převzetí zákaznické základny
    • Řízení o směnečném platebním rozkazu
    • Právní obrana SVJ proti přístavbě na společném prostoru
    • Zamítnutí žaloby z důvodu odlišných skutkových tvrzení v jiném řízení
    • Odpovědnost dopravce a zasílatele za škodu či ztrátu zboží při nakládce
    • Může rodič sledovat své dítě kamerou nebo prostřednictvím telefonu či hodinek?
    • Právní novinky v roce 2025, část první – rodinné právo

    Novinky v eshopu

    Aktuální akce

    • 22.05.2025Zavádění AI do firmy: průvodce džunglí inovací a právních pastí (online - živé vysílání) - 22.5.2025
    • 23.05.2025Nová a připravovaná legislativa v oblasti rodinného práva (online - živé vysílání) - 23.5.2025
    • 29.05.2025Švarcsystém a nastavení spolupráce s kontraktory v roce 2025 (online - živé vysílání) - 29.5.2025
    • 30.05.2025Česká implementace směrnice NIS2 očima právníka i úřadu (online - živé vysílání) - 30.5.2025
    • 03.06.2025Svěřenské fondy a fundace – právní a daňové aspekty dispozic s majetkem a plnění obmyšleným (online - živé vysílání) - 3.6.2025

    Online kurzy

    • Zaměstnanec – rodič z pohledu pracovněprávních předpisů
    • Flexi novela zákoníku práce
    • Umělá inteligence a odpovědnost za újmu
    • Novela insolvenčního zákona – klíčové změny od 1. 10. 2024
    • Evropské právo a jeho vliv na sport
    Lektoři kurzů
    JUDr. Tomáš Sokol
    JUDr. Tomáš Sokol
    Kurzy lektora
    JUDr. Martin Maisner, Ph.D., MCIArb
    JUDr. Martin Maisner, Ph.D., MCIArb
    Kurzy lektora
    Mgr. Marek Bednář
    Mgr. Marek Bednář
    Kurzy lektora
    Mgr. Veronika  Pázmányová
    Mgr. Veronika Pázmányová
    Kurzy lektora
    Mgr. Michaela Riedlová
    Mgr. Michaela Riedlová
    Kurzy lektora
    JUDr. Jindřich Vítek, Ph.D.
    JUDr. Jindřich Vítek, Ph.D.
    Kurzy lektora
    Mgr. Michal Nulíček, LL.M.
    Mgr. Michal Nulíček, LL.M.
    Kurzy lektora
    JUDr. Ondřej Trubač, Ph.D., LL.M.
    JUDr. Ondřej Trubač, Ph.D., LL.M.
    Kurzy lektora
    JUDr. Jakub Dohnal, Ph.D., LL.M.
    JUDr. Jakub Dohnal, Ph.D., LL.M.
    Kurzy lektora
    JUDr. Tomáš Nielsen
    JUDr. Tomáš Nielsen
    Kurzy lektora
    všichni lektoři

    Magazíny a služby

    • Monitoring judikatury (24 měsíců)
    • Monitoring judikatury (12 měsíců)
    • Monitoring judikatury (6 měsíců)

    Nejčtenější na epravo.cz

    • 24 hod
    • 7 dní
    • 30 dní
    • „Flexinovela“ zákoníku práce: Co vše se letos mění?
    • Máte dostatečně zdokumentované plnění s dodavatelem?
    • DEAL MONITOR
    • 10 otázek pro ... Lukáše Rezka
    • Prohlášení a záruky v korporačních smlouvách jako cár papíru?
    • Vypořádáním SJM k obchodnímu podílu soudním smírem (ne)může dojít k převodu obchodního podílu na exmanžela, který nebyl společníkem
    • Posouzení intenzity porušení pracovních povinností zaměstnance – komentář k rozhodnutí Nejvyššího soudu České republiky
    • Bezplatná obhajoba
    • Prohlášení a záruky v korporačních smlouvách jako cár papíru?
    • Byznys a paragrafy, díl 9.: Flexinovela zákoníku práce
    • „Flexinovela“ zákoníku práce: Co vše se letos mění?
    • ONLINE - ŽIVÉ VYSÍLÁNÍ | Sjezd českých právníků - 14.-15.5.2025
    • Posouzení intenzity porušení pracovních povinností zaměstnance – komentář k rozhodnutí Nejvyššího soudu České republiky
    • FDI v akci: První zákaz zahraniční investice v České republice
    • Flexibilní novela zákoníku práce
    • Bankovní tajemství ve světle nových výzev bezhotovostní digitální éry
    • Může rodič sledovat své dítě kamerou nebo prostřednictvím telefonu či hodinek?
    • Flexinovela zákoníku práce: sloučení výpovědních důvodů při ztrátě zdravotní způsobilosti
    • Rozhodnutí NSS podstatně mění zaběhlá pravidla v daňovém řízení: Po lhůtě už jen soudní cestou
    • Prohlášení a záruky v korporačních smlouvách jako cár papíru?
    • Právní novinky v roce 2025, část první – rodinné právo
    • Mohou vlastníci nemovitostí zabránit dronům pořizovat fotografie jejich nemovitostí? Rozhodnutí soudu v QR kódu
    • Návraty zaměstnanců z rodičovské dovolené, záskoky a související otázky trvání pracovního poměru
    • Smluvní pokuta versus odpovědnost za újmu: interpretační výzvy § 2050 a § 2898 občanského zákoníku

    Soudní rozhodnutí

    Bezplatná obhajoba

    Zásadně nelze za okolnost odůvodňující automatické přiznání nároku na bezplatnou obhajobu (či za sníženou odměnu) považovat pouze zjištění, že je proti obviněnému vedeno...

    Vyvlastnění

    Ustanovení § 23 odst. 4 zákona o vyvlastnění představuje skutkovou podstatu náhrady škody založené na objektivní odpovědnosti vyvlastnitele. Předpokladem jeho odpovědnosti není...

    Spoluzpůsobení si újmy poškozeným

    Porušení právní normy poškozeným, jež neslouží k ochraně práv porušených škůdcem, nezakládá spoluúčast na vzniklé újmě ve smyslu § 2918 o. z.

    Ochrana osobnosti, parlament (exkluzivně pro předplatitele)

    Poslanci a senátoři požívají indemnity podle čl. 27 odst. 2 Ústavy ve vztahu k trestní a přestupkové odpovědnosti, nikoli však ve vztahu k odpovědnosti soukromoprávní. Čl. 27 odst. 2...

    Ochrana projevu (exkluzivně pro předplatitele)

    Šíření dezinformací není vyňato z dosahu čl. 17 odst. 1 a 2 Listiny; lze je omezit jen zákonem a za podmínek čl. 17 odst. 4 Listiny.

    Hledání v rejstřících

    • mapa serveru
    • o nás
    • reklama
    • podmínky provozu
    • kontakty
    • publikační podmínky
    • FAQ
    • obchodní a reklamační podmínky
    • Ochrana osobních údajů - GDPR
    • Nastavení cookies
    100 nej
    © EPRAVO.CZ, a.s. 1999-2025, ISSN 1213-189X
    Provozovatelem serveru je EPRAVO.CZ, a.s. se sídlem Dušní 907/10, Staré Město, 110 00 Praha 1, Česká republika, IČ: 26170761, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze pod spisovou značkou B 6510.
    Automatické vytěžování textů a dat z této internetové stránky ve smyslu čl. 4 směrnice 2019/790/EU je bez souhlasu EPRAVO.CZ, a.s. zakázáno.

    Jste zde poprvé?

    Vítejte na internetovém serveru epravo.cz. Jsme zdroj informací jak pro laiky, tak i pro právníky profesionály. Zaregistrujte se u nás a získejte zdarma řadu výhod.

    Protože si vážíme Vašeho zájmu, dostanete k registraci dárek v podobě unikátního online kurzu Základy práce s AI. Tento kurz vás vybaví znalostmi a nástroji potřebnými k tomu, aby AI nebyla jen dalším trendem, ale spolehlivým partnerem ve vaší praxi. Připravte se objevit potenciál AI a zjistit, jak může obohatit vaši kariéru.

    Registrace je zdarma, k ničemu Vás nezavazuje a získáte každodenní přehled o novinkách ve světě práva.


    Vaše data jsou u nás v bezpečí. Údaje vyplněné při této registraci zpracováváme podle podmínek zpracování osobních údajů



    Nezapomněli jste něco v košíku?

    Vypadá to, že jste si něco zapomněli v košíku. Dokončete prosím objednávku ještě před odchodem.


    Přejít do košíku


    Vaši nedokončenou objednávku vám v případě zájmu zašleme na e-mail a můžete ji tak dokončit později.