Nakládání s osobními údaji z pohledu Hasičského záchranného sboru České republiky
23. 5. 2018 (T. Veselá) - Hasičský záchranný sbor České republiky (HZS ČR) reaguje na nová opatření v souvislosti s GDPR (General Data Protection Regulation), která vstoupila v účinnost 25. května 2018.
Již před vstupem do Evropské unie byla Česká republika nucena přehodnotit ochranu osobních údajů, tedy systém nakládání s těmito údaji, kdy byl tehdy přijat zákon o ochraně osobních údajů (zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů). Další velká změna, zejména aplikační, souvisí s nakládáním s osobními údaji v rámci informačních systémů - zahájení fungování systému základních registrů. V této souvislosti i HZS ČR musel na tento novodobý stav reagovat. Nejprve to bylo novelou krizového zákona (zákon č. 240/2000 Sb.) v roce 2010, stanovující oprávnění vstupu do základních registrů. Následně zákonem o HZS ČR (zákon č. 320/2015 Sb.), kdy část právní normy obsahuje úpravu o nakládání s informacemi a osobními údaji. Tato část právní úprava byla přijata v návaznosti na výjimku danou HZS ČR (zejména z důvodu bezpečnosti) v zákoně o ochraně osobních údajů.
A dnes stojíme před další velkou změnou, kdy i HZS ČR musí přijmout patřičná opatření. Jedná se o GDPR, nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016, tedy o nové obecné nařízení o ochraně osobních údajů, jehož účinnost nastala již 25. května 2018. K revizi právního rámce ochrany osobních údajů bylo přikročeno zejména z toho důvodu, že současný právní rámec již přestal odpovídat současné době (zpracování osobních údajů je nyní komplexnější než před několika desítkami let) a zejména díky moderním výpočetním technologiím je užívání osobních údajů mnohem častější. Cílem obecného nařízení je sjednocení a přizpůsobení právního rámce ochrany osobních údajů k dnešní době v rámci států EU. Obecně lze shrnout, že nová právní úprava nepřináší žádnou revoluci, ale kontinuálně navazuje na dřívější právní úpravu (národní a i evropskou).
V českém právním prostředí tak obecné nařízení mimo jiné zaujme svým obsahem právní úpravu zákona o ochraně osobních údajů a bude přijat nový zákon (v současné době v legislativním procesu na úrovni Poslanecké sněmovny Parlamentu) o zpracování osobních údajů. Hlavním cílem předloženého návrhu zákona a novelizace právních předpisů (tzv. doprovodný zákon) je provést implementaci sekundárního předpisu Evropské unie (směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016) a adaptace na obecné nařízení. Logicky se chce zajistit soulad vnitrostátní právní úpravy s těmito předpisy a tím splnit povinnost, která plyne České republice z členství v EU a nastavit celkově právní prostředí na aplikaci.
Nařízení GDPR dává subjektům údajů (občanům) do rukou nová práva, která se razantně neodlišují od ochrany osobních údajů známé dodnes. I když k řadě změn novou právní úpravou dochází. Kromě toho, že budou muset být subjekty o svých právech důkladně informováni, budou moci také vyžadovat něco, co doposud nemohli - např. právo vznést námitku proti zpracování či právo na přenositelnost osobních údajů.
Dalším důležitým krokem v souladu s GDPR je jmenování tzv. pověřence pro ochranu osobních údajů neboli DPO (Data Protection Officer). Každý pověřenec (např. i v soukromém sektoru) by měl sloužit jako pomocník a konzultant v problematice osobních dat. Po účinnosti nové právní úpravy, tedy i obecného nařízení, bude potřeba reagovat na nové instituty, dodržovat povinnosti a zachovávat práva, a to jak ve státním či soukromém sektoru, územní samosprávě či běžném životě osob. Jde například i o:
• vytvoření přesného a podrobného popisu nakládání s osobními údaji a jejich ochranu,
• povinnost vést záznamy o činnostech zpracování,
• ohlašování případů porušení zabezpečení osobních údajů pro ochranu osob-ních údajů,
• přesné, a celkem vysoké, sankce za porušení povinnosti při nakládání s osobní-mi údaji.
Za Ministerstvo vnitra-generální ředitelství HZS ČR byl ustanoven jeden pověřenec pro ochranu osobních údajů, dále pak 14 styčných osob z HZS krajů a další styčné osoby ze Záchranného útvaru HZS ČR, Střední odborné školy požární ochrany a Vyšší odborné školy požární ochrany a z dalších vzdělávacích, technických a jiných účelových zařízení Ministerstva vnitra–generálního ředitelství HZS ČR. Na základě zaslaných podkladů ze všech součástí HZS ČR byl proveden soupis všech mož-ností nakládání s osobními údaji v rámci HZS ČR, z čehož vyšlo pět základních „kategorií" nakládání s osobními údaji v rámci HZS ČR:
1. Nakládání s osobními údaji na základě právního předpisu. Zejména jde o nakládání s osobními údaji podle zákona o služebním poměru příslušníků bezpečnostních sborů nebo zákoníku práce (např. služebně-právní evidence příslušníků)
2. Nakládání s osobními údaji na základě vlastní činnosti HZS ČR (pomocné evidence aj.). HZS ČR bude muset dodržet obecné povinnosti ochrany osobních dat a jejich nakládání.
3. Výjimky stanovené zákonem o zpracování osobních údajů (jak je uvedeno v návrhu zákona, bude se jednat o výjimky zejména k zásahové činnosti HZS ČR).
4. Nakládání s osobními údaji na základě nastavení systému od jiných subjektů (např. využívání systému spisové služby nebo elektronického personálního a ekonomického systému). HZS ČR je pouze uživatelem tohoto systému.
5. Další jakékoli nakládání s osobními údaji (určitá zbytková činnost, která nesouvisí s uvedenými kategoriemi).
Ministerstvo vnitra-generální ředitelství HZS ČR s blížící se účinnosti nařízení pořádalo dvě školení, řadu jednání a konzultací, nastavilo i interní předpisy a metodiky na novou právní úpravu. Obecné nařízení zavádí celou řadu „nových“ pravidel, kterými se každý musí řídit a každý správce i zpracovatel osobních údajů bude muset prokazatelně doložit nakládání s osobními údaji (po celou dobu zpracování). Není nutné si nalhávat, že tím nedojde k navýšení administrativní zátěže, prostě dojde, a to i u HZS ČR. Obecné nařízení a příslušná právní úprava ovšem přinesou i rovnocennou vymahatelnost práva v celé EU, stejné sankce a také mnohem těsnější spolupráci dozorových orgánů. Z pohledu akutní zásahové činnosti HZS ČR nebude žádné novum, hasiči budou zasahovat nadále, budou v rámci zásahové činnosti nadále nakládat s osobními údaji (např. v rámci tísňových volání, ale i přímo v rámci zpráv o zásahu), spíše bude nutné se připravit na přísnější administrativní úroveň a přísnější pravidla v rámci „běžného“ stavu nakládání s osobními údaji.
Doplňující informace: http://www.mvcr.cz/gdpr/
Fotografie: zdroj HZS ČR
Pověřenec pro GDPR u MV-GŘ HZS ČR:
pplk. Mgr. Tereza Veselá, MBA.
Odbor vnějších vztahů a legislativy
Ministerstvo vnitra - generální ředitelství HZS ČR
Kloknerova 26
148 01 Praha 14
Tel: +420 950 819 855
Email: tereza.vesela@grh.izscr.cz