Úřad pro ochranu osobních údajů je ústředním správním úřadem, který působí v oblasti ochrany osobních údajů. Činnost úřadu je vymezena zákonem č. 110/2019 Sb., o zpracování osobních údajů (§ 50 – § 60).
Doslovné znění § 50 o Úřadu, výklad jeho postavení a přehled novel najdete na stránce zákon o zpracování osobních údajů č. 110/2019 Sb.
Ochrana osobních údajů je v dnešní době stěžejní. Jak Úřad pro ochranu osobních údajů reguluje spam, kdy je povoleno zpracovávat osobní údaje bez souhlasu a jak se legislativa změnila s příchodem GDPR?
Co je Úřad pro ochranu osobních údajů
Úřad pro ochranu osobních údajů byl zřízen v roce 2000 zákonem č. 101/2000 Sb. Tento zákon o ochraně osobních údajů byl následně od 24.4.2019 nahrazen již zmíněným zákonem o zpracování osobních údajů.
Podle zákona č. 480/2004 Sb., o některých službách informační společnosti, je ÚOOÚ rovněž dozorovým orgánem v oblasti šíření obchodních sdělení (spam). V listopadu roku 2023 byla Úřadem právě v tomto odvětví udělena rekordní pokuta ve výši bezmála osm milionů Kč.
Další stěžejní právní předpis v oblasti ochrany osobních údajů představuje Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) – zkráceně GDPR.
GDPR
Obecné nařízení o ochraně osobních údajů (GDPR) vstoupilo v účinnost v roce 2018. Základním cílem tohoto předpisu je stanovit univerzálně platná pravidla pro subjekty, které při své činnosti zpracovávají osobní údaje.
Hlavní přínos GDPR představuje sjednocení daných pravidel v rámci Evropské Unie.
Působnost ÚOOÚ
Obecnou působnost Úřadu pro ochranu osobních údajů vymezuje již zmíněný zákon o ochraně osobních údajů. Jde zejména o dozorovu činnost, přijímání podnětů a konzultace ohledně ochrany osobních údajů.
Jedním z důležitých úkolů, které Úřad pro ochranu osobních údajů má, je ochrana před nevyžádanou poštou. ÚOOÚ nicméně na svém webu informoval, že není příslušným k řešení nevyžádané pošty v datových schránkách. Přestupky v této oblasti jsou totiž v dikci Digitální a informační agentury.
Zvláštní působnost ÚOOÚ pak upravují různé jednotlivé právní předpisy. Namátkou jde například o zákon o elektronických komunikacích, o regulaci reklamy či o cestovních dokladech.
ÚOOÚ rovněž může při porušení GDPR udělit viníkům pokuty, a to v nemalé výši.
Ochrana osobních údajů
Ochrana osobních údajů je obzvláště důležitá v digitálním věku, kdy se shromažďuje a analyzuje obrovské množství těchto údajů. A to prostřednictvím internetu, sociálních sítí, mobilních aplikací a různých online služeb.
Co je osobní údaj
A co to vlastě osobní údaje jsou? Osobní údaj je jakákoli informace, která se vztahuje na identifikovatelnou fyzickou osobu. Tato poměrně široká definice zahrnuje například:
- Základní identifikační informace: jméno, příjmení, domácí adresa, e-mailová adresa (obahuje-li jméno a příjmení), telefonní číslo,
- Identifikační čísla: rodné číslo, pasové číslo,
- Lokalizační údaje: GPS data, IP adresa,
- Osobní charakteristiky: rasa, etnický původ, pohlaví, věk,
- Fyzické charakteristiky: vzhled, otisky prstů, DNA,
- Zdravotní informace: lékařské záznamy, informace o zdravotním stavu,
- Ekonomické informace: informace o bankovním účtu, kreditní skóre, údaje o příjmu,
- Sociální vztahy: informace o rodinném stavu, přátelích, sociálních sítích,
- Profesionální informace: zaměstnání, pracovní historie, vzdělání.
Zvláštní kategorie osobních údajů
Zvláštní kategorie osobních údajů, často označované jako „citlivé osobní údaje„, jsou druhem informací, které kvůli své povaze vyžadují vyšší úroveň ochrany. Tyto údaje jsou považovány za citlivé, protože jejich zpracování může mít značné riziko pro práva a svobody jednotlivců.
Podle GDPR zahrnují tyto kategorie:
- Rasový nebo etnický původ,
- Politické názory,
- Náboženské nebo filosofické přesvědčení,
- Odborová příslušnost,
- Genetické údaje,
- Biometrické údaje,
- Zdravotní údaje,
- Údaje o sexuální orientaci a sexuálním životě.
Zpracování těchto zvláštních kategorií osobních údajů je obecně zakázáno, pokud není získán výslovný souhlas nebo pokud není splněna jiná zákonná výjimka. Tato pravidla mají chránit jednotlivce před diskriminací, zneužitím nebo jinými negativními dopady, které by mohly vzniknout v důsledku zpracování těchto citlivých údajů.
Souhlas se zpracováním osobních údajů zaměstnance
Po dobu trvání pracovní smlouvy, dohody o provedení práce či dohody o pracovní činnosti zaměstnavatel zpracovává osobní údaje zaměstnance.
Souhlas zaměstnance k tomu ale zpravidla nepotřebuje. Údaje nutné pro plnění pracovní smlouvy nebo dohody a pro splnění zákonných povinností (mzda, daně, pojistné, evidence) zpracovává na základě čl. 6 odst. 1 písm. b) a c) GDPR. Zaměstnance o zpracování pouze informuje (čl. 13 GDPR), tedy uvede účel, právní základ, dobu uložení údajů a jeho práva.
Souhlas je namístě jen u zpracování nad rámec těchto důvodů (například zveřejnění fotografie zaměstnance na webu). Musí být svobodný a zaměstnanec jej může kdykoli odvolat (čl. 7 GDPR).
SOUHLAS SE ZPRACOVÁNÍM OSOBNÍCH ÚDAJŮ
Zpracování osobních údajů bez souhlasu
Souhlas je přitom jen jedním ze šesti právních základů zpracování. Ale kdy je povoleno zpracovávat osobní údaje bez souhlasu?
Podle čl. 6 odst. 1 GDPR tehdy, když je zpracování nezbytné pro splnění smlouvy, pro splnění právní povinnosti správce, pro ochranu životně důležitých zájmů, pro splnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci, anebo pro oprávněný zájem správce. Zvláštní pravidla platí i pro archivaci ve veřejném zájmu a pro vědecký či statistický výzkum (čl. 89 GDPR).
Veřejný registr zpracování osobních údajů
Nyní již neplatný zákon o ochraně osobních údajů obsahoval oznamovací povinnost správců osobních údajů, kteří se museli registrovat u ÚOOÚ – za tím účelem byl veden veřejný registr zpracování osobních údajů. Nicméně s příchodem GDPR byla činnost registru zastavena.
Obdobou původní oznamovací povinnosti jsou nyní “záznamy o činnostech”. Správci a zpracovatelé osobních údajů jsou povinni vést si o určitých událostech záznamy. Jedná se hlavně o větší podniky, které zpracovávají rizikové informace.
Poslední aktualizace: 17. října 2026