GDPR v procesech zemnho plnovn MINISTERSTVO PRO MSTN

GDPR v procesech územního plánování MINISTERSTVO PRO MÍSTNÍ ROZVOJ ČR Ing. arch. Josef Morkus, Ph. D. Frýdlant nad Ostravicí, 25. 5. 2018

Pouze analýza vlivu na územní plánování § Pouze analýza vlivu na procesy územního plánování, nenahrazuje strategii přístupu úřadu k GDPR obecně § Nezahrnuje analýzu rizik, zabezpečení osobních údajů obecně, hlášení bezpečnostních incidentů (úniku, ohrožení zabezpečení osobních dat), pověřence pro ochranu osobních údajů - DPO…

GDPR § Obecné nařízení o ochraně osobních údajů § Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES § Nabývá účinnosti 25. 5. 2018 § První milník v chápání ochrany osobních údajů jako základního regulačního nástroje pro oblast digitální ekonomiky EU § Pokuty do maximální výše 20 mil. EUR § Nestanoví požadavek zvláštního právního předpisu pro každé zpracování osobních údajů.

GDPR § Týká se pouze fyzických osob (i podnikajících fyzických osob) § Netýká se práv a oprávněných zájmů právnických osob § Vyloučeny jsou údaje zpracovávané pro osobní potřebu § Týká se veškerého zpracování osobních údajů fyzických osob, bez ohledu na účel, cíl i formu zpracování (automatizované/elektronické i manuální) § Ke zpracování osobních údajů je nezbytná existence právního titulu, či důvodu provádění zpracování. § Úlohou je ochrana osobních údajů, ale nemá se tak dít na úkor výkonu veřejné správy v rámci zákonů jednotlivých zemí (pro to není nutný souhlas).

Definice § Osobními údaji jsou veškeré informace o identifikované nebo identifikovatelné fyzické osobě § Obecné osobní údaje - jméno, pohlaví, věk a datum narození, RČ, osobní stav, e-mailová adresa, telefonní číslo, IP adresa, fotografický záznam, lokační údaje… § Zvláštní osobní údaje - o rasovém či etnickém původu, politických názorech, náboženském nebo filozofickém vyznání, členství v odborech, o zdravotním stavu, sexuální orientaci, trestních deliktech či pravomocném odsouzení, genetické a biometrické údaje (včetně podpisu), osobní údaje dětí.

Pojmy § Anonymizace je nevratný proces bez možnosti zpětné identifikace osoby. § Pseudonymizace je procesem vratným. Osobní údaje nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně. § V případech, kdy lze povinnosti splnit bez zpracování skutečných osobních údajů, měly by být v souladu se zásadou minimalizace poskytnuty pseudonymizované údaje.

Základní zásady § Zásada zákonnosti, korektnosti a transparentnosti § Zásada účelového omezení – zpracování v souladu se svým účelem § Zásada minimalizace údajů – osobní údaje zpracovávat pouze v minimálním rozsahu a množství evidencí § Zásada přesnosti – údaje přesné a v případě potřeby aktualizované § Zásada omezeného uložení – jen po dobu nezbytně nutnou k naplnění účelu zpracování – vazba na archivační / skartační lhůty § Zásada integrity a důvěrnosti – bezpečné zpracování údajů

Vypořádání připomínek a námitek 1 § Stavební zákon požaduje po podatelích základní identifikaci dle správního řádu => úřad bude zpracovávat osobní údaje § Účelovým omezením je zpracovávat osobní údaje za účelem vypořádání připomínek a rozhodnutí o námitkách § Vypořádání připomínek a námitek nemá vztah pouze k podateli, ale je součástí odůvodnění opatření obecné povahy. Odůvodnění je výkladovým nástrojem pro regulaci ve výrokové části. § Je podstatné, aby přesná označení nemovitostí zůstala zachována a neanonymizovala se.

Vypořádání připomínek a námitek 2 § Projektant má přístup k připomínkám a námitkám => podání mu předávat pseudonymizovaná § Určený zastupitel zpracovává spolu s pořizovatelem rozhodnutí o námitkách a vyhodnocení připomínek a hlasuje o nich, proto mu nelze přístup k údajům odepřít => má mít přístup k plné verzi

Zástupce veřejnosti § Zvláštní účastník řízení, ať už jako fyzická nebo právnická osoba § V případě, že jde o fyzickou osobu, přistupovat k němu jako k ostatním fyzickým osobám § Údaje identifikující zástupce veřejnosti jako fyzickou osobu anonymizovat až po doručení rozhodnutí o námitkách a vypořádání připomínek.

Ukládání a zveřejňování ÚPD § § 164 a § 165 stavebního zákona ukládá povinnost uložit vyhotovení ÚPD u obce a u krajského úřadu § Ukládání neanonymizované dokumentace je v pořádku § Ve zveřejněné ÚPD coby opatření obecné povahy způsobem umožňujícím dálkový přístup údaje o fyzických osobách anonymizovat

Nahlížení do ÚPD § Umožnit nahlížení do anonymizované verze způsobem umožňujícím dálkový přístup § Umožnit nahlížení do kompletní neanonymizované verze v úředních hodinách § Potřeba nahlížet do neanonymizované verze je třeba s ohledem na možnost přezkumu, jelikož soudní řád správní stanoví povinnost žalobci / navrhovateli označit osoby zúčastněné na řízení

Registrační listy ÚPD a územních studií § Evidence je upravena v zákoně z hlediska předmětu evidence i evidujícího subjektu, ve vyhlášce je upřesněn obsah § Registrační listy neobsahuji osobní údaje nad rámec zásady zákonnosti, uvádění údajů o projektantovi či žadateli o pořízení RP nebo změny je v pořádku. § Registrační listy neobsahují žádné osobní údaje, které by neobsahovaly samotné evidované dokumenty.

Elektronická verze, strojově čitelný formát § Vyhotovení ÚPD a jejích změn v elektronické verzi ve strojově čitelném formátu § Dochází pouze k upřesnění požadavku na formát vyhotovení, nikoliv na obsah § Tato změna není z pohledu GDPR důležitá

Oprávnění investoři § Oprávněný investor jako fyzická osoba nemusí požádat o zápis do seznamu a přesto mu stavební zákon umožňuje hájit svá práva a oprávněné zájmy způsobem, kterým to umožňuje ostatním fyzickým a právnickým osobám § Ke zveřejňování osobních údajů oprávněného investora v seznamu existuje zákonem stanovený důvod a zveřejnění není možné nahradit. § Je možné zveřejňovat veškeré údaje požadované zákonem

Poskytování údajů o území § GDPR může mít vliv pouze na osobní údaje vlastníků dopravní a technické infrastruktury – fyzických osob. § V těchto případech je vhodné údaje pseudonymizovat

Poskytování informací dle zákona č. 106/1999 Sb. § Obdobně poskytování informací dle zákona č. 123/1998 Sb. , o právu na informace o životním prostředí § Umožňuje podávat informace i telefonicky a po žadateli o informace se identifikační údaje prakticky nevyžadují, pokud lze informaci poskytnout hned nebo je jasné, kam a jak informaci žadateli doručit => není důvodné evidovat osobní údaje žadatele

Žádosti a stížnosti subjektů údajů podle GDPR § Přistupovat k nim v souladu se správním řádem § Bez dalšího lze vyhovět, pokud se budou dotazovat na přístup k vlastním osobním údajům evidovaným u pořizovatele, k požadavkům na opravu a doplnění § Subjektům nelze vyhovět, pokud se budou dožadovat práva na výmaz. Právo na výmaz nelze vykonat v rozporu s povinnost správního orgánu vést spis a podle archivní a spisové služby úřadu jej archivovat.