FAQ

Zákonnost zpracování je upravena v článku 6 GDPR. V advokátní praxi se nejčastěji využije právní titul zpracování je nezbytné pro: splnění smlouvy [čl. 6 odst. 1 písm. b)], splnění právní povinnosti [čl. 6 odst. 1 písm. c)] a účely oprávněných zájmů [čl. 6 odst. 1 písm. e)]. Dále je možno využít jako právního titulu pro zpracování souhlas [čl. 6 odst. 1 písm. a)], ale pouze tehdy, kdy nelze aplikovat žádný jiný právní titul. Souhlas může subjekt údajů kdykoliv odvolat. Souhlasy je nutno interně evidovat, přičemž tato evidence musí být systematická a přehledná (s vyznačením doby, po kterou jsou osobní údaje na základě souhlasu zpracovávány). V advokátní praxi se zpracování založené na souhlasu subjektů údajů využívá minimálně, mnohem častější jsou jiné zákonné tituly pro zpracování (splnění smlouvy, plnění právní povinnosti, případně oprávněný zájem).

Připojištění není potřeba. Pokud jde o poskytování právních služeb týkajících se aplikace GDPR, jde o aplikaci unijního práva, které je kryto rámcovou pojistnou smlouvou (viz čl. III odst. 2 písm. a)). Rovněž poskytování právních služeb podle českého práva adaptující právní řád na GDPR je kryto stejně jako poskytování právních služeb v jakékoli jiné oblasti českého práva. A pokud jde o otázku výkonu funkce pověřence pro ochranu OÚ, tak tato činnost není poskytováním právních služeb, a proto není možno se na tuto činnost připojistit v rámci pojistky pro poskytování právních služeb (což samozřejmě nemusí platit pro individuální pojištění).

ČAK zastává názor, že kontrolní pravomoc ÚOOÚ nesmí prolamovat zvláštním zákonem uloženou a ústavně garantovanou povinnost mlčenlivosti advokáta. Vzhledem k povinnosti mlčenlivosti advokát v žádném případě nesmí vydat jednotlivý klientský spis ke kontrole ÚOOÚ.

Zástupce ČAK bude přítomen u každé kontroly advokáta ze strany ÚOOÚ. Detailní postup je uveden v metodice pro advokáty.

Ve vztahu k žádostem o přístup, týkajících se klientských spisů a podaných jinými osobami než klientem, se doporučuje tyto žádosti zamítnout s odkazem na existující povinnost mlčenlivosti, tj. neposkytovat ani informaci, zda kancelář osobní údaje příslušného subjektu údajů zpracovává, či nikoliv. I zamítnutí žádosti musí být vyřízeno ve stanovené lhůtě – tedy do jednoho měsíce od obdržení žádosti s možností prodloužení až o dva měsíce, avšak pouze v odůvodněných případech.

Pro splnění informační povinnosti se doporučuje využít webové stránky advokáta/kanceláře, při elektronické komunikaci do zápatí mailu uvést odkaz na tento web, a dále jako samostatnou přílohu ke smlouvě (VZOR viz sekce vzory). Zpětné potvrzení mailem není nutné.

Dokumentaci doplnit lze, nicméně nikoliv ustanovením o souhlasu, ale informací, že subjekt byl seznámen se zásadami zpracování osobních údajů (informační povinnost).

Doporučuje se informační povinnost zapracovat přílohou ke smlouvě (VZOR viz sekce vzory), využít webové stránky advokáta/kanceláře a příp. odkazem na webové stránky v zápatí mailové korespondence. V případě dodavatelů (zpracovatelů – osob, které pro advokáty dodávají služby a advokáti jim předávají osobní údaje, typicky mzdové účetní nebo dodavatelé IT podpory) je nutné, aby toto bylo součástí smluv, případně dodatků ke stávajícím smlouvám obsahující záruky zajištění odpovídající ochrany OÚ (dle čl. 32 GDPR).

Ano, GDPR uznává výkon funkce pověřence na úrovni EU. Pověřenec ale musí zároveň splňovat podmínky disponibility časové, místní i jazykové, proto lze doporučit jmenování pověřence lokálního pro zastoupení v místní pobočce.

Souhlas není u klientů nutný vůbec, právní titul pro zpracování OÚ je plnění smlouvy, nutná je informační povinnost a u stávajících klientů přichází v úvahu splnění zveřejněním na webu. Co se týká osob, u kterých nebylo převzato zastoupení/obhajoba, ale s kterými bylo jednáno, tak pokud si advokát vede evidenci takových osob, vyřeší stejným způsobem, pokud si evidenci takových osob nevede, nejde se o zpracování, a tedy nespadá pod úpravu GDPR.

GDPR definuje výměnný formát jako strukturovaný, strojově čitelný, běžně používaný. Vhodným formátem pro předání se jeví např. formát ZIP. Je nutno zdůraznit, že právem na přenositelnost nesmí být dotčena práva a svobody jiných osob.

K využití tohoto právního titulu dojde pouze výjimečně, např. pokud dojde ke kolapsu osoby v prostorách advokátní kanceláře a bude nutno okamžitě zjistit totožnost, příp. příčinu jejího zdravotního stavu pro poskytnutí okamžité první pomoci, příp. zavolání rychlé záchranné služby (nahlédnout do kapes, ověřit totožnost, příp. najít průkaz diabetika apod.).

Doporučuje se minimálně:

 

• Vést dokumentaci o procesu zpracování osobních údajů (např. interní směrnice zpracování osobních údajů)
• Vést dokumentaci o zpracování osobních údajů (záznamy o činnostech zpracování, VZOR viz sekce vzory)
• Plnit informační povinnost vůči subjektům údajů (VZOR viz sekce vzory)
• Popsat proces naplnění práv subjektů údajů (VZOR žádosti a odpovědi viz sekce vzory)
• Revidovat smlouvy (se zaměstnanci, klienty, zpracovateli)
• Revidovat souhlasy a zavést jejich evidenci
• Zavést/revidovat proces hlášení bezpečnostních incidentů
• Provést analýzu ohledně povinnosti jmenovat/nejmenovat pověřence pro ochranu osobních údajů a závěry zdokumentovat, v případě nutnosti jmenování pověřence zveřejnit jeho kontaktní údaje a nahlásit jmenování pověřence na ÚOOÚ
• Provést analýzu rizik zpracování OÚ a zavést proces pravidelného testování, posuzování a hodnocení technických a organizačních opatření pro zajištění vhodné úrovně zabezpečení OÚ odpovídající danému riziku
• Provést analýzu, zda je nutné zpracovat posouzení vlivu na ochranu osobních údajů (DPIA). V případě závěru analýzy, že konkrétní zpracování může být vysokým rizikem pro práva a svobody subjektů údajů, DPIA vypracovat (pokud nelze využít výjimky stanovené ÚOOÚ)

Úplně stejně jak u fyzických osob, jde o subjekt údajů a GDPR se na ně vztahuje.

GDPR v čl. 4 jako subjekt údajů, na nějž se vztahuje působnost GDPR, definuje jako fyzickou osobu, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor. Ačkoliv na právnické osoby se působnost GDPR nevztahuje (podobně jako ve stávající legislativě), doporučuje se i v rámci smluvního vztahu s právnickými osobami pamatovat na možnost zpracování osobních údajů fyzických osob, které právnickou osobu zastupují. Jako vhodné opatření lze doporučit zejména naplňování informační povinnosti (konkrétním ustanovením do smlouvy, zveřejněním na webových stránkách, v elektronické komunikaci – lze i odkazem na webové stránky v zápatí zprávy).

Domníváme se, že na spolupracující advokáty je nutno hledět jako na samostatné správce osobních údajů (v některých případech nelze vyloučit ani společné správcovství osobních údajů dle čl. 26 GDPR). Nelze totiž opomenout, že osobně odpovědným za výkon advokacie je právě samostatný advokát, který je při výkonu své činnosti nezávislý (srov. ustanovení § 3, 21 a 25 zákona o advokacii). Samostatný advokát odpovídá za řádné zpracování osobních údajů klientů v tom rozsahu, ve kterém mu jsou svěřeny AK za účelem naplňování činnosti a poskytování služeb.

Postavení samostatného správce však nevylučuje zvláštní právní úpravu vztahu ve smlouvě o spolupráci. Jako nutné minimum lze doporučit zahrnout do smlouvy vzájemnou informační povinnost, povinnost zajistit řádné předávání, uchování a vyřazování osobních údajů, principy zpracování, vědomé ochrany a zabezpečení osobních údajů. Současně je nutno spolupracující advokáty zahrnout i do pravidelného systému informování (znalosti interních předpisů) a proškolování v oblasti GDPR a o tomto vést záznamy.

Domníváme se, že s největší pravděpodobností nikoliv. Povinnost jmenování pověřence (DPO) je stanovena z důvodů popsaných v čl. 37 GDPR, přičemž v oblasti advokacie bude výjimečně připadat v úvahu situace vymezená v odst. 1 písm. c) („hlavní činnosti spočívají v rozsáhlém zpracování zvláštních kategorií údajů uvedených v čl. 9 a OÚ týkajících se rozsudků v trestních věcech a trestných činů uvedených v čl. 10“). Tyto podmínky naplní advokátní kanceláře, specializující se v rámci své hlavní činnost na rozsáhlou právní pomoc v oblasti trestního práva anebo agendy, při níž ve velkém rozsahu dochází ke zpracování osobních údajů zvláštních kategorií (spotřebitelské spory, náhrada škod a újem na zdraví). Pro všechny jiné poskytovatele advokátních služeb platí, že DPO nebudou velmi pravděpodobně muset jmenovat.

 

Doporučuje se, aby si každý správce (advokát/advokátní kancelář) provedl analýzu, zda DPO jmenovat nebo ne, závěry zdokumentoval a založil do dokumentace související s GDPR.

Advokát nejprve provede analýzu rizik (VZOR viz sekce vzory), zda zpracování osobních údajů nepředstavuje zpracování s vysokým rizikem pro práva a svobody subjektů údajů. I v případě poskytovatelů právních služeb lze předpokládat, že budou existovat zpracování osobních údajů, která by na základě analýzy mohla být zařazena do skupiny „zpracování s vysokým rizikem pro práva a svobody subjektů údajů“. Nicméně na základě empirických poznatků a případně i snahy po minimálním administrativním zatížení některých správců docházejí evropské nebo národní orgány k závěru, že zpracování posouzení vlivu na ochranu osobních údajů v těchto případech není třeba provádět.

 

Toto se týká např. i výkonu praxe samostatným advokátem. DPIA s největší pravděpodobností v tomto případě není třeba provádět (podle rec. 91 GDPR „zpracování by nemělo být považováno za zpracování velkého rozsahu, pokud se jedná o zpracování osobních údajů pacientů nebo klientů jednotlivými lékaři, zdravotníky nebo právníky.“).

Ochrana osobních údajů je na evropské i národní úrovni (v ČR jakožto součást obecné ochrany osobnosti a soukromí podle občanského zákoníku a dalších předpisů) definičně vázána na jakoukoliv fyzickou osobu bez ohledu na její svéprávnost anebo fakt, že se jedná o osobu uprchlou. Právní maximy ochrany osobních údajů tak platí i pro správce vedoucí evidenci o těchto osobách.

 

V obou zmíněných případech lze poukázat na specifické postavení subjektů, o nichž jsou v evidenci advokáta i zvláštní kategorie osobních údajů (např. informace o zdravotním stavu odůvodňující omezení svéprávnosti). To zvyšuje obecný standard ochrany osobních údajů (zejm. v oblasti jejich zabezpečení a ochrany).

Vzhledem k nesprávnému ukotvení výjimky v právním předpisu se tato výjimka téměř neuplatní, což bývá kritizováno i na úrovni dozorových a kontrolních orgánů (např. v rámci WP 29). Důvodem tohoto závěru je, že tato výjimka se uplatní pouze v minimálním počtu případů, kdy „zpracování (osobních údajů) není příležitostné.“ To však v případě advokátů (a lze uzavřít, že téměř u žádného podnikatele podle obecných anebo zvláštních předpisů) nebude naplněno nikdy (povinné evidence oborové – advokátní spisy, kniha o prohlášeních o pravosti podpisu, obecné podnikatelské – účetnictví, daňová evidence, personálně-mzdová evidence, specifické evidence – jsou systematické v čase, struktuře a rozsahu).

GDPR žádnou definici těchto opatření neposkytuje, rovněž tak stanoviska WP 29 a dalších orgánů s tímto pojmem pracují jako s mimoprávní notorietou. Ustanovení čl. 25 ani 32 GDPR nelze považovat za úplné definice v legislativním smyslu slova, spíše za příkladmé výčty možných opatření a principů ochrany a zabezpečení osobních údajů.

 

Jisté vodítko poskytuje v oblasti automatizovaných evidencí (informačních systémů a elektronických spisoven) zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), který v § 5 definuje katalog konkrétních organizačních a technických opatření (např. řízení rizik, bezpečnostní politika, fyzické zabezpečení, kryptografické prostředky apod.).

GDPR nedefinuje žádný minimální, ani optimální standard ochrany osobních údajů. Nařízení je vystavěnou na principu posuzování a řízení rizika konkrétního zpracování (tzv. risk-based approach), tj. v případě každého jmenovitého zpracování je potřeba minimální standard ochrany stanovit právě s ohledem na rizika s ním spojená. Z tohoto důvodu je potřeba zohlednit obsah evidencí a přizpůsobit jim standard ochrany (např. v případě klientských věcí je vhodné rozlišovat, zda jde o spisy obsahující zvláštní kategorie osobních údajů, u pracovně-právních evidencí usilovat o co nejmenší fyzický rozsah evidencí a jejich zpřístupnění minimálnímu počtu osob apod.).

Domníváme se, že nikoliv. Informace o zpracování osobních údajů není nezbytné poskytovat v rozsahu, ve kterém subjekt údajů již příslušné informace má (čl. 14 odst. 5 GDPR, rec. 62 GDPR). Pokud se jedná o zaměstnance obchodní společnosti, statutární orgán anebo jinou osobu v podobném postavení, měla by jí informace, že její údaje budou předmětem připravovaných smluv, stejně jako právní titul pro takové uvedení do smlouvy již známé. Jinak řečeno, ve vztahu k zástupci obchodní společnosti vzniká informační povinnost na straně správce, tj. zmíněné obchodní společnosti.

Domníváme se, že nikoliv. Informace o zpracování osobních údajů není nezbytné poskytovat v rozsahu, ve kterém subjekt údajů již příslušné informace má (čl. 14 odst. 5 GDPR, rec. 62 GDPR). Tento závěr platí tím spíše pro záznamy pořízené před datem účinnosti GDPR, a to přesto, že ověřovací kniha je nepochybně specifickou evidencí osobních údajů. ČAK v této souvislosti upozorňuje, že rozsah a obsah evidence v tomto případě stanoví příslušný komorový předpis. Na stránkách Komory je k dispozici Manuál k prohlášení o pravosti podpisu.

V popsaném případě bohužel neexistuje po uplynutí stanovené pětileté lhůty právní titul ani důvod pro další zpracování klientských věcí (ledaže by tyto měly nějaké pokračování, vazbu na jinou běžící věc, která by odůvodňovala držbu dokumentů advokátem apod.), takže advokát by po jejím uplynutí měl osobní údaje vyloučit z dalšího zpracování a nejlépe zlikvidovat (tak zcela jednoznačně naplní zásadu omezeného uložení osobních údajů dle čl. 5 odst. 1 písm. e) GDPR).

 

Na druhou stranu, řečená zásada je konstruována coby uložení „ve formě umožňující identifikaci subjektů údajů po (určitou) dobu“ . Pakliže budou tedy původní dokumenty upraveny způsobem, který vyloučí další zpracování osobních údajů v podáních/rešerších (vymazáním osobních údajů z obsahu, vlastností a metadat dokumentu anebo důsledná anonymizace), lze vytvořené dokumenty dále používat coby vzory písemností. I když je i anonymizace jako proces považována za zpracování osobních údajů, výsledný produkt, tedy vzorový dokument obsahující jen anonymizované údaje, již nespadá do působnosti GDPR.

Ačkoliv lze vytvoření archivačního a skartačního řádu coby nástroje pro řízení životního cyklu informací v kanceláři advokáta jen doporučit, považujeme v případě výkonu advokacie samostatným advokátem výše uvedené prohlášení do záznamů pro doložení souladu s GDPR za dostačující. Nelze však zapomenout na další lhůty stanovené právními předpisy, které by v záznamech měly být uvedeny (účetní, daňové dokumenty, personální evidence).

Naplňování informační povinnosti je založeno na principu nejvyššího racionálně možného úsilí. Advokát, který nemá webové stránky, by proto měl zajistit, aby byl schopen vůči svým klientům naplňovat informační povinnost jinou cestou (např. předložením předtištěného dokumentu, poskytnutím poučení, na které je odkazováno ve smlouvě apod.).

 

Co se týká stávajících klientů, jejichž věci však již byly uzavřeny a čekají na skartaci, resp. klientů, s nimiž již byl právní vztah ukončen, popř. nejsou pro advokáta kontaktní, představovalo by důsledné naplňování informační povinnosti neúměrné úsilí na straně advokáta coby správce. V tomto případě se proto informace neposkytují (s odkazem na rec. 62 GDPR ve spojení s čl. čl. 14 odst. 5 písm. b) GDPR.

Působnost GDPR dopadá na všechny správce, zpracovatele i subjekty údajů, a to bez ohledu na skutečnost, zda aktuálně vykonávají činnost, v jejímž rámci dochází ke zpracování osobních údajů, právně kvalifikovaným způsobem (tzn. podobně jako praktikující advokát).

Jinak řečeno, i advokát, který má pozastavenou činnost, avšak drží klientskou dokumentaci a byť jen občasně komunikuje s klienty (např. za účelem vracení spisů apod.), je osobou povinnou podle GDPR v postavení správce. Je tedy i nadále např. povinen vyřizovat žádosti a stížnosti týkající se uplatnění práv subjektů údajů, zabezpečovat a chránit osobní údaje subjektů, poskytovat součinnost Komoře a ÚOOÚ, pokud bude předmětem kontroly.

Domníváme se, že nikoliv. Advokát v takovém případě nenaplní požadavky čl. 37 odst. 1 písm. b) ani c) GDPR, zejména proto, že takové zpracování nenaplní požadavek rozsáhlého zpracování v rámci výkonu hlavní činnosti (ten bývá dle pravidelných vyjádření zástupců ÚOOÚ dosahován až v řádech vyšších stovek až tisíců záznamů).

S odkazem na čl. 37 odst. 6 GDPR lze funkci pověřence vykonávat jako zaměstnanec (tedy jakýkoliv typ pracovní smlouvy) nebo na základě smlouvy o poskytování služeb (např. příkazní smlouva). V případě advokátů, kdy výkon advokátní činnosti nelze sloučit s pracovně-právním poměrem u klienta, se jako vhodná úprava vzájemného vztahu jeví např. příkazní smlouva.

 

Advokát může vykonávat pro klienta i funkci pověřence, ale nejedná se o poskytování právních služeb ve smyslu zákona o advokacii. S ohledem na možný střet zájmů při výkonu funkce pověřence a povinnosti zastupovat zájmy klienta jako advokát se doporučuje ve vzájemné smlouvě vymezit činnosti, které nelze pro vyloučení střetu zájmů vykonávat (např. že advokát nebude zastupovat klienta před soudem v případě týkajícím se ochrany osobních údajů). Advokát v roli pověřence by měl především důsledně vyloučit všechny formy právního zastoupení a poskytování právního poradenství jak v oblasti zpracování a ochrany osobních údajů, tak v oblastech, kterých se zpracování těchto údajů nezbytně nutně týká (např. pracovněprávní problematika, e-commerce a marketing apod.). V detailu odkazujeme na Doporučení CCBE ohledně klíčových nových opatření pro advokáty k dosažení souladu s předpisy v souvislosti s obecným nařízením o ochraně osobních údajů (GDPR) ze dne 19. 5. 2017.

Na konci je však vždy na úvaze každého advokáta, aby zvážil vlastní odpovědnost ve vztahu ke klientovi a vyloučil případný střet zájmů.

Ano, advokát může vykonávat pro klienta i funkci pověřence, ale nejedná se o poskytování právních služeb ve smyslu zákona o advokacii. S ohledem na možný střet zájmů při výkonu funkce pověřence a povinnosti zastupovat zájmy klienta jako advokát se doporučuje ve vzájemné smlouvě vymezit činnosti, které nelze pro vyloučení střetu zájmů vykonávat (např. že advokát nebude zastupovat klienta před soudem v případě týkajícím se ochrany osobních údajů).

 

V detailu odkazujeme na Doporučení CCBE ohledně klíčových nových opatření pro advokáty k dosažení souladu s předpisy v souvislosti s obecným nařízením o ochraně osobních údajů (GDPR) ze dne 19.5.2017. Je na úvaze každého advokáta, aby zvážil jeho odpovědnost ve vztahu ke klientovi a vyloučil případný střet zájmů.

 

Obecné požadavky na výkon funkce DPO a stanovisko IAPP a CCBE

Požadavky na výkon funkce pověřence pro ochranu osobních údajů (DPO) obsažené v čl. 38 (podpůrně i v bodu 97 odůvodnění) a minimální soubor úkolů pověřence v čl. 39 GDPR jsou záměrně vymezeny poměrně vágně a široce. 

 

Mezinárodní organizace IAPP (International Association of Privacy Professionals) doporučuje, aby funkci pověřence pro ochranu osobních údajů zastával zkušený právník anebo auditor informačních systémů (nejlépe nadto licencovaný jako samostatný účetní a/nebo CFA), který je orientován na ochranu osobních údajů a nebo technologické právo. 

 

IAPP doporučuje, aby u DPO byla zajištěna schopnost výkonu povinností a úkolů nezávislou formou a schopnost pracovat bez instrukce správce ohledně výkonů úkolů (potažmo schopnost odmítat takové instrukce). Z tohoto důvodu bude v řadě situací vznikat imanentní konflikt zájmů (kontrola sama sebe v procesech, kde právník zpracovává ve své hlavní / další činnosti osobní údaje, situace, kdy jako DPO bude advokát řešit práva subjektů, vůči nimž by se pak měl bránit coby zástupce správce), jednak řada z nich nebude mít odpovídající schopnosti v oblasti informačního managementu / ICT technologií. 

 

V Německu se o této problematice v kontextu GDPR i dřívější právní úpravy (německé společnosti mají povinnost jmenovat osobu tzv. Datenschutzbeauftragter - DSB) vede intenzivní debata a existuje již i rozhodovací praxe federálních i zemských úřadů (zejm. bavorského BayLDA). Zmíněné úřady už několikrát rozhodovaly o situaci, kdy byl DSB/DPO jmenován zaměstnanec s jinou pracovní rolí u správce. V jednom případě byl správce pokutován BayLDA za to, že jako DSB jmenoval (a přes opakované žádosti úřadu nezměnil) osobu IT manažera společnosti. Úřad nemožnost tohoto souběhu funkcí odůvodnil právě konfliktem zájmů (zaměstnanec kontroluje sám sebe a není nestranný).

 

Rovněž tak se BayLDA v nedávné době vyjadřoval k možnosti jmenování členů právního oddělení do rolí DSB/DPO. Dovodil, že za určitých okolností mohou být všichni tito interní pracovníci diskvalifikováni z výkonu funkce DPO. Hlavním argumentem byla možnost, že tito pracovníci budou zastupovat správce ve sporech z ochrany osobních údajů (zejm. proti zaměstnancům anebo spotřebitelům) - pak jsou v konfliktu zájmů a nemohou být nezávislí. 

 

Ostatně, tento závěr potvrzuje i WP 29 ve své guideline k DPO (WP 243), když říká, že pojmově jsou z role DPO vyloučeni všichni C-level manažeři (COO, CFO, CIO, personální ředitel, marketingový ředitel, vedoucí lékař apod.). 

 

V této souvislosti nelze opominout, že nejmenování DPO anebo jmenování nezpůsobilého DPO je správním deliktem postihovaným základní sazbou sankce (tj. až do 10 mil. € / 2 % světového obratu společnosti/skupiny).

Ano, advokát může založit samostatnou společnost pro výkon činnosti pověřence.

Ano, pověřencem může být i právnická osoba, přičemž se doporučuje určit jednu konkrétní fyzickou osobu odpovědnou za výkon činnosti pověřence u konkrétního správce.

Advokát může vykonávat pro klienta i funkci pověřence, ale nejedná se o poskytování právních služeb ve smyslu zákona o advokacii. S ohledem na možný střet zájmů při výkonu funkce pověřence a povinnosti zastupovat zájmy klienta jako advokát se doporučuje ve vzájemné smlouvě vymezit činnosti, které nelze pro vyloučení střetu zájmů vykonávat (např. že advokát nebude zastupovat klienta před soudem v případě týkajícím se ochrany osobních údajů). Advokát v roli pověřence by měl především důsledně vyloučit všechny formy právního zastoupení a poskytování právního poradenství jak v oblasti zpracování a ochrany osobních údajů, tak v oblastech, kterých se zpracování těchto údajů nezbytně nutně týká (např. pracovněprávní problematika, e-commerce a marketing apod.).

V ostatním viz odpovědi výše.

Advokát je dle našeho názoru nepochybně správce osobních údajů klienta, protistrany a všech osob s věcí spojených (druhého právního zástupce, všech svědků apod.). Tyto osobní údaje zpracovává legitimně a po právu k naplnění smlouvy o poskytování právních služeb, naplnění právní povinnosti (§ 25 a 3 ZA) a k výkonu oprávněného zájmu klienta.

 

Advokát informaci poskytnout nemůže, a existuje pro to celá řada argumentů. Poskytování informací by v řadě případů vedlo k maření účelu zastoupení, advokát by porušil povinnost advokátní mlčenlivosti a mohl klientovi předčasným sdělením informace způsobit reálné škody a újmy. Nadto, jak správně uvedeno ve stanovisku CCBE, povinnosti dle čl. 14 GDPR nejsou bezbřehé a právě na výluku z této povinnosti pro účely zachování povinnosti mlčenlivosti se dá spolehnout. Rovněž tak se bude pravděpodobně možné spolehnout na možnost odložení informační povinnosti podle připravovaného zákona o zpracování osobních údajů.

 

CCBE v této věci ve svém doporučení ze dne 2/12/2016 uvádí:

 

V čl. 14 odst. 5) je stanovena výslovná výjimka z informačních požadavků správce, pokud osobní údaje nebyly získány od subjektů údajů, v případě, kdy se na údaje vztahuje PT (profesní tajemství)/PPM (právo na profesní mlčenlivost). Zejména pak odstavec 5) omezuje použití prvních čtyř odstavců článku 14 (upravující informace, které mají být poskytnuty v případech, kdy osobní údaje nebyly získány od subjektu údajů), jestliže „osobní údaje musí zůstat důvěrné s ohledem na povinnost zachovávat služební tajemství upravenou právem Unie nebo členského státu, včetně zákonné povinnosti mlčenlivosti“. Proto například když advokát při výkonu své profese shromáždil od klienta údaje o třetí osobě, pak není povinen naplnit informační požadavky stanovené v čl. 14 odst. 1) až 4).  

 

Kromě toho článek 23 omezuje rozsah povinností a práv stanovených v článcích 12 až 22 „jestliže takové omezení respektuje podstatu základních práv a svobod a představuje opatření v demokratické společnosti nezbytné a přiměřené, s cílem zajistit: [...] g) prevenci, vyšetřování, odhalování a stíhání porušování etických pravidel regulovaných profesí“. 

 

Tento článek může posloužit advokátním komorám a dalším jako základ snah o to zajistit, aby členské státy za účelem ochrany informací, na něž se vztahuje PT/PPM, přiměřeným způsobem omezily následující články: 

 

- Článek 13: „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“ 

- Článek 15: „Právo subjektu údajů na přístup k osobním údajům“ 

- Článek 16: „Právo na opravu“ 

- Článek 17: „Právo na výmaz („právo být zapomenut“)“. V této souvislosti je důležité poukázat na odst. 3 písm. e), který již obsahuje omezení, kterých by se mohli dovolávat advokáti v souvislosti s činnostmi při zpracovávání, které jsou nezbytné „pro určení, výkon nebo obhajobu právních nároků“. Advokátní komory mohou usilovat o to, aby se tato výjimka rozšířila tak, že bude zahrnovat i právní činnosti advokátů ve sporných řízeních, jejichž součástí je zpracování údajů, na něž se vztahuje PT/PPM.

- Článek 18: „Právo na omezení zpracování“ 

- Článek 19: „Oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování“ 

- Článek 20: „Právo na přenositelnost údajů“ 

- Článek 21: „Právo vznést námitku“  

- Článek 22: „Automatizované individuální rozhodování, včetně profilování“

V dohledné době o vypracování kodexu dle čl. 40 GDPR pro advokáty ČAK neuvažuje, čímž není vyloučeno vypracování kodexu v pozdější době, jakmile bude zavedena praxe ÚOOÚ pro přijímání a připomínkování kodexů.

Úmysl vypracování příp. celojustičního kodexu není ČAK znám. ČAK nemá ani informace o tom, že by takový kodex byl připravován na straně Ministerstva spravedlnosti.

GDPR nestanoví žádný minimální standard pro konkrétní bezpečnostní opatření v případě zpracování jmenovitých kategorií osobních údajů. Zabezpečení osobních údajů by mělo reflektovat jejich citlivost a důležitost pro subjekty osobních údajů.

Povinnost šifrovat korespondenci není v GDPR striktně stanovena, advokát je povinen přijmout vhodná technická a organizační opatření pro zajištění patřičné úrovně zabezpečení dle čl. 32 GDPR. Konkrétní opatření by měla vycházet z provedené analýzy rizik. Jako minimální opatření se doporučuje např. zaheslování souboru s daty obsahující zvláštní kategorie osobních údajů a sdělení hesla jinou cestou než e-mailem (telefonem, sms, heslovou knihou). Alternativou může být využívání zabezpečených online úložišť pro výměnu informací, kam je možné se přihlásit jenom přístupem přes poslaný odkaz a zadáním hesla.

Minimální povinnosti pro splnění souladu s GDPR byly zodpovězeny již dříve v otázce „Jaké jsou základní předpoklady pro splnění zásad zpracování osobních údajů advokátem a doložení splnění zásady odpovědnosti (dle čl. 5 odst. 2 GDPR)?“

Podrobný postup pro samostatné advokáty viz dokument v sekci VZORY „00_Doplneni metodiky_Postup pro samostatne advokaty“

 

Doporučuje se minimálně:

 

• vést dokumentaci o procesu zpracování osobních údajů (např. interní směrnice zpracování osobních údajů nebo pravidla OOÚ – viz VZOR 06 v sekci vzory). V případě samostatného advokáta není nutno vydávat směrnici, ale stačí stručně popsat proces, např. tzv. zásady pro zpracování osobních údajů s min. následujícím obsahem: jak plní informační povinnost, jak probíhá proces naplnění práv subjektů údajů, jaká jsou přijata opatření k zabezpečení OÚ, příp. závěry analýz (jmenování/nejmenování DPO, analýza rizik zpracování OÚ, příp. závěr, zda je nutno zpracovat posouzení vlivu/DPIA)
• vést dokumentaci o zpracování osobních údajů (záznamy o činnostech zpracování, VZOR viz sekce vzory)
• plnit informační povinnost vůči subjektům údajů (VZOR viz sekce vzory)
• popsat proces naplnění práv subjektů údajů (VZOR žádosti a odpovědi viz sekce vzory)
• revidovat smlouvy (se zaměstnanci, klienty, zpracovateli), výjimečně se zabývat souhlasy
• zavést proces hlášení bezpečnostních incidentů
• provést posouzení ohledně povinnosti jmenovat/nejmenovat pověřence pro ochranu osobních údajů a závěry zdokumentovat (zapsat do dokumentace – pravidel OOÚ), ve výjimečném případě nutnosti jmenování pověřence zveřejnit jeho kontaktní údaje a nahlásit jmenování pověřence na ÚOOÚ
• provést analýzu rizik zpracování OÚ (VZOR viz sekce vzory) a zavést proces pravidelného testování, posuzování a hodnocení technických a organizačních opatření pro zajištění vhodné úrovně zabezpečení OÚ odpovídající danému riziku, a zároveň během této analýzy vyhodnotit,

 

• zda je nutné zpracovat posouzení vlivu na ochranu osobních údajů (DPIA). Podle recitálu 91 GDPR „zpracování by nemělo být považováno za zpracování velkého rozsahu, pokud se jedná o zpracování osobních údajů pacientů nebo klientů jednotlivými lékaři, zdravotníky nebo právníky.“ V případě závěru analýzy, že konkrétní zpracování může být vysokým rizikem pro práva a svobody subjektů údajů, DPIA vypracovat (pokud nelze využít výjimky stanovené ÚOOÚ).

Nikoliv. V podrobnostech zodpovězeno viz výše v otázce Jak má postupovat samostatný advokát při implementaci GDPR?

Nikoliv. Co se týká záznamů o činnostech zpracování, tyto neslouží k evidenci jednotlivých případů, ale jsou obecným záznamem o způsobu zpracování osobních údajů v rámci prováděných agend. I z tohoto důvodu jsou zhotovovány bez konkrétních údajů klienta anebo jiného subjektu (jak je i uvedeno v příloze metodiky – příklad vyplněného záznamu).

 

Výjimečně je možné, že samostatný advokát bude mít např. pouze i jenom jednu agendu, a to pouze klientskou. Tato situace nastane např. tehdy, pokud samostatný advokát vykonává činnost zcela sám a pouze vlastními silami, nemá žádného zaměstnance nebo externího zpracovatele – poskytovatele služeb, kterému by předával osobní údaje (např. IT dodavatel, externí mzdová účetní, překladatelské služby atp.).

Základní analýza rizik zpracování OÚ slouží k posouzení stavu zabezpečení a ochrany osobních údajů a hodnocení přiměřenosti přijatých technických a organizačních opatření pro zajištění vhodné úrovně zabezpečení. Bez aspoň základní analýzy rizik není žádný správce, a to ani samostatný advokát, schopen racionálně vyhodnotit a doložit (dle čl. 24 ve spojení s čl. 5 odst. 2 GDPR, jímž se zavádí zásada odpovědnosti), zda přijatá opatření jsou vhodná a dostatečná. Proto se doporučuje tuto základní analýzu (nebo posouzení) provést vždy, a také ji pravidelně opakovat.

 

Co se týká posouzení vlivu na ochranu osobních údajů, správce na základě provedené analýzy rizik posoudí, zda zpracování osobních údajů nepředstavuje zpracování s vysokým rizikem pro práva a svobody subjektů údajů. I v případě poskytovatelů právních služeb lze předpokládat, že budou existovat zpracování osobních údajů, která by na základě analýzy mohla být zařazena do skupiny „zpracování s vysokým rizikem pro práva a svobody subjektů údajů“. Nicméně na základě empirických poznatků a případně i snahy po minimálním administrativním zatížení některých správců docházejí evropské nebo národní orgány k závěru, že zpracování posouzení vlivu na ochranu osobních údajů v těchto případech není třeba provádět.

 

Toto se týká např. i výkonu praxe samostatným advokátem. DPIA s největší pravděpodobností v tomto případě není třeba provádět (podle rec. 91 GDPR „zpracování by nemělo být považováno za zpracování velkého rozsahu, pokud se jedná o zpracování osobních údajů pacientů nebo klientů jednotlivými lékaři, zdravotníky nebo právníky.“). 

Naplňování informační povinnosti je založeno na principu nejvyššího racionálně možného úsilí. Advokát, který nemá webové stránky, by proto měl zajistit, aby byl schopen vůči svým klientům naplňovat informační povinnost jinou cestou (např. předložením předtištěného dokumentu, poskytnutím poučení, na které je odkazováno ve smlouvě apod.). Tato povinnost se týká i situací, ve kterých byl advokát ustanoven, neboť v daném případě nelze očekávat, že rozsah informací zpracovávaných o klientovi je tomuto subjektu znám.

 

Co se týká stávajících klientů, jejichž věci však již byly uzavřeny a čekají na skartaci, potažmo nejsou kontaktní, představovalo by důsledné naplňování informační povinnosti neúměrné úsilí na straně advokáta coby správce. V tomto případě se proto informace neposkytují (s odkazem na rec. 62 GDPR ve spojení s čl. čl. 14 odst. 5 písm. b) GDPR.

Pojištění se na tuto činnost nevztahuje, neboť nejde o výkon advokacie, ale o jinou činnost advokáta dle § 56 a násl. zákona o advokacii. Rámcovou smlouvou s Generali Pojišťovnou a.s. není pojištěna činnost pověřence pro ochranu osobních údajů. Ani navazující individuální pojistné smlouvy advokátů pojištění pověřence nepokrývají.