Netrpělivě očekávaný návrh zákona o zpracování osobních údajů, který kompletně nahradí stále účinný zákon č. 101/2000 Sb., o ochraně osobních údajů, byl v srpnu 2017 konečně předložen Ministerstvem vnitra ke schválení vládou a Parlamentem ČR. Je zjevné, že samotný zákon ještě čeká strastiplná cesta, neboť ve druhé polovině října dojde k parlamentním volbám a do té doby zákon určitě schválen nebude. S ohledem na politickou situaci je dokonce představitelné, že zákon nebude přijat ani do doby účinnosti Nařízení GDPR. Nicméně nemalujme čerta na zeď a pozastavme se některými body nové úpravy.
Mezi cíle zákona patří implementace Nařízení GDPR a částečná implementace směrnice Evropského parlamentu a rady (EU) 2016/680, sjednocení národní úpravy s evropskou a zároveň zapracování českých specifik v oblasti ochrany osobních údajů. Jednotný přístup k ochraně osobních údajů fyzických osob v rámci celého prostoru Evropské unie by měl usnadnit volný pohyb osobních údajů na vnitřním trhu a poskytnout správcům, zpracovatelům a také subjektům osobních údajů přehlednost a právní jistotu. Evropské orgány navíc mohou zajistit rovnocennou vymahatelnost práv vyplývajících z GDPR v celém prostoru EU.
S ohledem na skutečnost, že zákon je v podstatě odrazem GDPR do Právního řádu ČR, adresáty nepřekvapí, že ve většině ustanovení nařízení kopíruje. Za zmínku stojí tato česká specifika:
- Akreditačním orgánem pro certifikace splnění požadavků dobrovolných pečetí, známek nebo certifikátů ochrany soukromí ve smyslu čl. 42 nařízení je Český institut pro akreditaci, o.p.s., který teprve bude vydávat metodiku pro danou oblast.
- Souhlas se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti přímo dítěti mladšímu 13 let je platný pouze, pokud je vyjádřen nebo schválen jeho zákonným zástupcem.
- Orgánem veřejné moci nebo veřejným subjektem ve smyslu čl. 37 odst. 1 písm. a) Nařízení se rozumí orgán zřízený zákonem nebo na základě zákona v oblasti práva veřejného, který plní zákonem stanovené úkoly ve veřejném zájmu. V praxi se bude jednat zejména o ministerstva a jiné ústřední orgány státní správy a úřady jim podřízené, dále veřejné sbory, ozbrojené sbory, veřejné školy, veřejná zdravotnická zařízení, kraje a obce (okolo 6 250), státní podniky a další veřejné ústavy, profesní a zájmové komory a soudy (vč. Ústavního) mimo soudní rozhodování.
- Nařízení se nevztahuje na činnost zpravodajských služeb.
- Ve smyslu 83 odst. 7 nařízení se omezuje horní hranice správní pokuty pro veřejnoprávní subjekt na 10 milionů Kč. Zákonodárce tímto omezením hledá kompromis mezi odrazující povahou trestání a faktem, že pokuty těchto subjektů jsou hrazeny z veřejných rozpočtů. Zejména v případě institucí s menším rozpočtem by v zásadě šlo o pouhé formální přesuny finančních prostředků v rámci státního rozpočtu, neboť takové instituce by musely o finanční prostředky na úhradu pokuty dodatečně žádat.
- Hlavním dozorový orgánem pro ČR bude i nadále Úřad pro ochranu osobních údajů, přičemž jeho pravomoci vzrostou. Zároveň se předseda Úřadu stane členem Evropského sboru pro ochranu osobních údajů, tedy úřadu, jehož vznik přináší GDPR a který bude mít kontrolní a rozhodovací pravomoci. Změní se také struktura úřadu. Nově se ruší pozice inspektorů, neboť v počtu 7 členů by nebylo možné funkčnost kontrol a přeshraniční spolupráci zajistit. Nově budou zavedeny pozice dvou místopředsedů Úřadu, kteří budou předsedu zastupovat, čímž by se měla zajistit plná funkčnost úřadu.