Trestněprávní směrnice jako doplnění GDPR

Obecné nařízení o ochraně osobních údajů[1], tzv. GDPR, je jedním z nejmedializovanějších a nejrevolučnějších dokumentů týkajících se revize právního rámce ochrany osobních údajů na unijní úrovni.

Není však na místě opomenout další, neméně důležitý, legislativní akt EU, který byl zveřejněn současně s GDPR a doplňuje jej, tzv. trestněprávní směrnici (angl. Law Enforcement Directive, LED)[2].

Tato směrnice reaguje na specifickou povahu policejní a justiční spolupráce v trestněprávních věcech a obsahuje zvláštní pravidla pro ochranu osobních údajů a volný pohyb osobních údajů v této oblasti, která je jako taková vyňata z působnosti GDPR. Týká se jak přeshraničního, tak vnitrostátního zpracování osobních údajů příslušnými orgány členských států za účelem vymáhání práva, pod který se řadí prevence, vyšetřování, odhalování a stíhání trestných činů, anebo výkonu trestů jakož i ochrana a předcházení ohrožení veřejné bezpečnosti. Za cíl si stanovuje chránit právo jednotlivců na ochranu vlastních osobních údajů a zároveň zaručit vysokou úroveň právě veřejné bezpečnosti. Nevztahuje se naopak na zpracování osobních údajů prováděné při výkonu činností, které nespadají do oblasti působnosti práva Unie či zpracování prováděné orgány, institucemi a jinými subjekty Unie.

Co se obsahu směrnice týče, je zde stanovena řada zásad pro zpracování a shromažďování osobních údajů, mj. povinnost členských států zajistit, aby byly osobní údaje zpracovávány zákonným[3] a korektním způsobem a způsobem, který zajistí jejich náležité zabezpečení, shromažďovány pro určité, výslovně vyjádřené a legitimní účely, aby nebyly nepřiměřené ve vztahu k účelu, pro který jsou zpracovávány a aby byly přesné a v případě potřeby aktualizované.

Dále směrnice ukládá členským státům povinnost určit přiměřené lhůty pro výmaz osobních údajů nebo pro pravidelný přezkum potřeby uložení osobních údajů. Co do délky lhůt mají národní zákonodárci volnost, měli by však zohlednit jak maximální dobu pro skladování osobních údajů, tak i potřebu pravidelně prověřit, zda je nutné příslušné údaje uchovávat.

Dalším z témat, jimiž se směrnice zabývá, je například zpracování zvláštních kategorií osobních údajů, tedy genetických údajů, biometrických údajů, údajů o zdravotním stavu nebo údajů o sexuálním životě či sexuální orientaci, či těch které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filosofickém přesvědčení nebo členství v odborech, které je umožněno pouze po kumulativním splnění podmínek nezbytnosti a existence vhodné záruky práv a svobod subjektu údajů a pokud to unijní či národní právní úprava umožňuje, cílem zpracování je ochrana životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby, nebo pokud tyto osobní údaje subjekt údajů zjevně zveřejnil.

Subjektům údajů pak směrnice zaručuje širokou škálu práv, mezi která se řadí např. právo na určitý rozsah informací, právo na přístup k osobním údajům, právo na námitku a právo na opravu nebo výmaz osobních údajů a omezení zpracování. Směrnice se dále detailně věnuje pravidlům pro činnosti správce a zpracovatele osobních údajů a jejich spolupráci s dozorovým úřadem. Zásadám zabezpečení zpracování je také věnován jeden oddíl.

Členské státy jsou dle této směrnice mimo jiné povinny zřídit nezávislý dozorový úřad (ÚOOÚ) s vyšetřovací, nápravnou a poradní pravomocí a s pravomocí upozornit na porušení předpisů přijatých na základě této směrnice justiční orgány, a pokud je to vhodné, zahájit soudní řízení nebo se do něj jinak zapojit.

Trestněprávní směrnice nahrazuje Rámcové rozhodnutí Rady 2008/977/SVV, které se věnovalo pouze zpracování osobních údajů přenesených nebo uveřejněných mezi členskými státy navzájem. Vzhledem ke zvolené formě tohoto pramenu práva je vyžadována její implementace do právních řádů členských států, jednotlivé právní úpravy se od sebe tedy mohou lišit. V České republice se předpokládá promítnutí do zákona č. 273/2008 Sb., o Policii České republiky a do nového zákona transponující GDPR.

_____________________________

[1] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).

[2] Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV.

[3] Zpracování osobních údajů je dle této směrnice legální, pouze pokud je nezbytné ke splnění úkolů prováděných příslušnými orgány pro účely prevence, vyšetřování, odhalování a stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení a v rozsahu pro tyto účely nezbytném a pokud má základ v právu Unie nebo členského státu.