Dotazy z praxe
1) Na které subjekty ve veřejné a soukromé sféře v České republice se obecné nařízení o ochraně osobních údajů vztahuje a na které se nevztahuje (čl. 2 odst. 2 nařízení)?
Ustanovení čl. 2 odst. 2 obecného nařízení o ochraně osobních údajů neupravuje osobní, ale věcnou působnost nařízení. Množina subjektů v ČR, na které se nařízení vztahuje, je tudíž neuzavřená a nařízení v zásadě bude dopadat na kterýkoli subjekt zabývající se činnostmi z oblasti věcné působnosti nařízení.
Obecné nařízení o ochraně osobních údajů upravuje svou působnost poměrně obecně takto:
- 1. podle prostředků zpracování:
- vztahuje se na zpracování prováděné alespoň částečně automatizovaně (např. uložení na CD nebo na cloud), nebo
- vztahuje se na osobní údaje, které jsou nebo mají být součástí kartotéky či evidence (např. papírová zdravotní karta v kartotéce lékaře a její součásti, nebo úřední spis a jeho části, ale nikoli např. lístek s telefonním číslem a jménem svědka nehody nebo s SPZ vozidla, který nebude zařazen do žádné evidence),
a zároveň
- 2. podle věcné oblasti, ve které zpracování probíhá:
- vztahuje se na činnosti, které podléhají právu Unie, kromě:
- provádění evropské společné zahraniční a bezpečnostní politiky členskými státy (tam by měla Unie přijmout podle čl. 39 Smlouvy o EU jiný předpis, ale zatím tak neučinila),
- potírání trestné činnosti a ochrany veřejného pořádku a bezpečnosti,
- nevztahuje se na zpracování prováděná fyzickou osobou čistě pro její osobní nebo domácí potřebu (korespondence, adresář, osobní život na sociálních sítích).
Pokud jde o to, co „podléhá právu Unie“, z čl. 4 odst. 2 Smlouvy o EU je jisté, že právu EU nepodléhá oblast „národní bezpečnosti“, tedy oblast ochrany státní suverenity, teritoriální integrity, obrany a zpravodajských služeb.
Není ovšem pochyb, že stejně jako platná směrnice dopadá i nové nařízení na velkou většinu ostatních oblastí, ať již je právo EU substantivně upravuje nebo ne. (V rozsudku C-201/14 Bara použil Soudní dvůr platnou směrnici o ochraně dat na přenos údajů o přiznaných příjmech fyzické osoby od orgánu správy daní k orgánu pro výběr příspěvku na zdravotní pojištění.) To je podtrženo samostatným zakotvením ochrany osobních údajů do článku 16 Smlouvy o fungování Evropské unie.
2) Co lze považovat jednotlivě nebo v souboru za osobní údaj (viz čl. 4 odst. 1 nařízení)?
U definic nedochází k žádnému posunu oproti stávajícímu stavu tak, jak ho zná současný zákon o ochraně osobních údajů a platná směrnice. Stručně lze uvést, že osobním údajem může být jakýkoli údaj o osobě, kterou může správce nebo kdokoli jiný přímo nebo nepřímo ztotožnit.
Definice v obecném nařízení o ochraně osobních údajů je bohatší na příklady, nicméně již definici směrnice 95/46 vykládá Soudní dvůr tak široce, že nelze najít rozdíl.
Jedna věc však je definice osobního údaje a jiná věc je, kdy se na zpracování takového údaje vztahuje obecné nařízení o ochraně osobních údajů. Například poznamenání si určitého údaje pro osobní potřebu není zpracováním osobního údaje podle nařízení.
3) Zakládá se pracovní poměr pověřence „jmenováním“ ve smyslu českého zákoníku práce?
Způsob zřízení funkce pověřence není nařízením limitován na akt jmenování ve smyslu českého zákoníku práce. Právo EU obecně (tedy i předmětné nařízení o ochraně osobních údajů) je třeba vykládat „volněji“ než předpisy vnitrostátní. Aplikace práva EU musí být jednotná ve všech členských státech, což vyžaduje uplatňování autonomní interpretace. To znamená, že pojmům vyskytujících se v unijních předpisech nemůže být automaticky přikládán stejný právní význam, jaký je jim přikládán vnitrostátním právem. Především zahrnuje pojem „jmenování“ širší okruh aktů, než jen pracovněprávní úkony. Jedná se spíše o „ustavení“ do funkce, což může být uskutečněno i formou služby. Pracovní poměr pověřence však vzniká buď na základě pracovní smlouvy (srov. ust. § 33 odst. 1 zákoníku práce), nebo jmenováním v případě, že plnění úkolů pověřence je spojeno s funkcí vykonávanou v pracovním poměru, který vzniká jmenováním (srov. ust. § 33 odst. 3 zákoníku práce).
4) Je možné, aby pověřenec vykonával své úkoly i na základě dohod o pracích konaných mimo pracovní poměr?
Čl. 37 odst. 6 nařízení stanoví, že pověřenec může být buď „pracovníkem“, nebo může plnit své úkoly na základě smlouvy o poskytování služeb. Porovnáním ostatních jazykových verzí čl. 37 odst. 6 nařízení lze dovodit, že pojem „pracovník“ je zde použit jako synonymum pojmu „zaměstnanec“, kterým se v českém právním prostředí rozumí jak zaměstnanec na základě pracovní smlouvy, tak zaměstnanec na základě dohod o pracích konaných mimo pracovní poměr. S ohledem na povahu činnosti pověřence připadá v tomto případě do úvahy pouze dohoda o pracovní činnosti (nikoli též dohoda o provedení práce, jejíž podstatou je výkon časově omezeného rozsahu práce, srov. § 75 zákoníku práce). Uzavření dohody o pracovní činnosti s pověřencem není nařízením výslovně vyloučeno, nicméně obecně nelze doporučit. Nevhodnost daného postupu vyplývá z principu nezávislosti, ze kterého je mj. dovozován i požadavek na stálost funkce pověřence, přičemž u dohod o pracích konaných mimo pracovní poměr není zákoníkem práce stanovena ochrana při skončení pracovněprávního vztahu (srov. § 77 odst. 2 písm. g/ ve spojení s § 77 odst. 4 zákoníku práce).
Je však třeba připustit, že zejména u malých obcí nemusí být vyhovujícím řešením uzavřít s pověřencem pracovní smlouvu na dobu neurčitou. U těchto obcí lze s ohledem na povahu a rozsah jimi prováděného zpracování osobních údajů důvodně očekávat, že ve standardních případech se bude časová potřeba činnosti pověřence pohybovat v řádu dnů v roce. Pro malé obce, které zpracovávají údaje převážně na základě zákona a nejsou správci velkého rozsahu osobních nebo citlivých údajů, se tedy může jevit uzavření dohody o pracovní činnosti s pověřencem jako přijatelné s tím, že ani v tomto v případě však nesmí být pověřenec propuštěn ani sankcionován v souvislosti s plněním svých úkolů. Doporučujeme tedy, aby na pravidlo uvedené v čl. 38 odst. 3 nařízení bylo pamatováno již při uzavírání dohody o pracovní činnosti a aby tato dohoda obsahovala taxativní výčet důvodů, pro které je výpověď ze strany zaměstnavatele možná a které představují záruky nezávislého výkonu funkce pověřence.
5) Je možné, aby malé obce sdílely pověřence s obcí „vyššího typu“, resp. aby pověřence pro obec zajistila obec s rozšířenou působností?
Nařízení nevylučuje, aby více povinných subjektů sdílelo jediného pověřence, a pochopitelně tak není vyloučena ani možnost, aby některé, zejména menší obce, sdílely pověřence např. s obcí s rozšířenou působností. „Sdílením“ je třeba rozumět dobrovolnou spolupráci dvou či více územních samosprávných celků s cílem zajištění pověřence pro všechny tyto spolupracující obce, ke které nemůže být žádná ze stran případné spolupráce nucena. Sdílení pověřence je tedy vždy založeno na dobrovolné bázi a všechny zúčastněné subjekty se při této spolupráci nacházejí v rovnoprávném postavení. V žádném případě tak plnění případné dohody ze strany obce s rozšířenou působností nelze hodnotit jako výkon přenesené působnosti (tedy výkon státní správy).
6) Musí mít školy pověřence pro ochranu osobních údajů?
Podle čl. 37 odst. 1 obecného nařízení o ochraně osobních údajů musí mít správce a zpracovatel pověřence pro ochranu osobních údajů, pokud:
- zpracování provádí orgán veřejné moci či veřejný subjekt, s výjimkou soudů jednajících v rámci svých soudních pravomocí;
- hlavní činnosti správce nebo zpracovatele spočívají v operacích zpracování, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů; nebo
- hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů uvedených v článku 9 a osobních údajů týkajících se rozsudků v trestních věcech a trestných činů uvedených v článku 10.
Školy a školská zařízení je nutné považovat za „orgán veřejné moci“ ve smyslu obecného nařízení s ohledem na skutečnost, že jsou nadány pravomocí rozhodovat o právech a povinnostech osob. Školy tedy pověřence pro ochranu osobních údajů mít musí.
7) Do jaké platové třídy podle katalogu prací zařadit pověřence pro ochranu osobních údajů?
Dne 1. ledna 2018 nabylo účinnosti nařízení vlády č. 399/2017 Sb., kterým se mění nařízení vlády č. 222/2010 Sb., o katalogu prací ve veřejných službách a správě. Do katalogu prací se doplňuje činnost referenta ochrany osobních údajů zahrnující též činnost pověřence pro ochranu osobních údajů, a to (v závislosti na povaze činnosti správce a zpracovatele osobních údajů, u něhož pověřenec působí) do platových tříd v rozmezí od 10. do 13. platové třídy.
8) Co se stane, když obec po stanoveném termínu nebude mít pověřence pro ochranu osobních údajů?
Povinnost orgánů veřejné moci (za něž je nutné považovat i každou obec), které provádějí zpracování osobních údajů, mít pověřence pro ochranu osobních údajů je stanovena obecným nařízením o ochraně osobních údajů. Obecné nařízení se stane přímo účinné a aplikovatelné ve všech státech Evropské unie dne 25. května 2018. Za porušení povinnosti ustanovit pověřence (ale i dalších povinností stanovených v článcích obecného nařízení upravujících činnost pověřence) hrozí povinným subjektům uložení pokuty dozorovým úřadem, kterým je v České republice Úřad pro ochranu osobních údajů. Obecné nařízení stanoví kritéria, která musí být ze strany dozorového úřadu zohledněna při rozhodování o uložení pokuty a její výše, jako je závažnost a délka trvání porušení povinnosti, forma zavinění atd.
9) Týká se obecné nařízení o ochraně osobních údajů též samostatné působnosti obcí nebo jen výkonu státní správy v přenesené působnosti
Pravidla ochrany osobních údajů se dotýkají kteréhokoli subjektu, který zpracovává osobní údaje způsoby, na něž se vztahuje obecné nařízení o ochraně osobních údajů. Obecné nařízení nerozlišuje podle toho, zda je zpracování prováděno v samostatné nebo přenesené působnosti, ale zda jsou zpracovávány osobní údaje ve smyslu definic obecného nařízení. V případě územních samosprávných celků je tudíž nutné dodržovat obecné nařízení jak při výkonu samostatné tak přenesené působnosti.
10) Obce mají na úřední desce dokumenty s osobními údaji. Musí se tyto nyní doplňovat nebo měnit?
Platí, že obecné nařízení o ochraně osobních údajů v zásadě přejímá podstatnou část dosavadních regulace této oblasti. Pokud správce osobních údajů (např. obec) postupuje dnes v souladu se zákonem č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, bude ve většině případů její činnost v souladu i s obecným nařízením. Záleží tedy především na tom, zda obec má pro zveřejnění osobních údajů na úřední desce odpovídající právní základ. Například v doručování veřejnou vyhláškou se nelze vyhnout zveřejnění osobních údajů a obci dokonce takový postup ukládá přímo zákon. Jestliže je tedy veřejná vyhláška v souladu se zákonem a neobsahuje údaje, které nejsou pro daný účel nezbytné, je postup obce též v souladu s obecným nařízením.
11) Proč je zapotřebí adaptace právního řádu na obecné nařízení o ochraně osobních údajů?
Obecné nařízení o ochraně osobních údajů je přímo použitelné. Platí tedy na území členských států Evropské unie, včetně České republiky bezprostředně. K jeho použitelnosti není potřeba, aby byl obsah nařízení převeden do zákona. Je však potřeba provést některé změny v právním řádu, aby byl jako celek s nařízením slučitelný.
Ministerstvo vnitra připravuje vládní návrhy adaptačních zákonů:
- zákona o zpracování osobních údajů,
- zákona, kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů (tzv. změnový zákon).
Zákon o zpracování osobních údajů toliko přizpůsobí právní řád požadavkům obecného nařízení, včetně povolených výjimek a odchylek. Upraví také postavení Úřadu pro ochranu osobních údajů, přičemž pravděpodobně částečně pozmění jeho organizační strukturu.
Změnový zákon se dotkne úpravy 19 zákonů, jejichž obsah je nutné přizpůsobit některému z výše uvedených evropských předpisů.
Oba návrhy zákonů jsou v současnosti ve fázi vypořádání meziresortního připomínkového řízení.
12) Musejí firmy, které nabízejí školení v oblasti GDPR, být certifikovány? Jakým způsobem najde obec firmu, která má patřičná oprávnění k tomu, aby proškolila zaměstnance obce? Existuje již nějaký seznam těchto firem?
Obecné nařízení o ochraně osobních údajů nestanoví povinnou certifikaci pro školitele (ani pro tzv. pověřence pro ochranu osobních údajů). S ohledem na to ani neexistuje oficiální seznam subjektů, které poskytují vzdělávací akce nebo další služby v oblasti ochrany osobních údajů.
Záleží samozřejmě na rozhodnutí jednotlivých územních samosprávných celků, zda a v jakém rozsahu a kvalitě budou poptávat služby soukromých poskytovatelů. Považujeme však za důležité zdůraznit, že jakkoli pestrá a naléhavá bude nabídka komerčních vzdělávacích akcí, neznamená to, že automaticky existuje u každé obce potřeba takovéto nabídky využívat.
Lze jedině doporučit, aby obec dříve než se rozhodne vydávat finanční prostředky za nákup vzdělávacích akcí, využila bezplatných metodických nástrojů, například metodické podpory Ministerstva vnitra, popřípadě možnosti obracet se na Ministerstvo vnitra či Úřad pro ochranu osobních údajů s dotazy k výkladu obecného nařízení.
13) Může vykonávat funkci pověřence zaměstnanec jiné obce (informatik)? Je potřeba nějaké školení či zkouška odborné způsobilosti?
Zaměstnanec obce (informatik) může vykonávat funkci pověřence pro ochranu osobních údajů pro jinou obec, pokud splňuje obecně formulované kvalifikační předpoklady podle čl. 37 odst. 5 GDPR, tedy má odborné znalosti práva (nemusí být ale právník) a praxi v oblasti ochrany údajů (což informatik má) a schopnosti plnit úkoly stanovené v článku 39 GDPR. Vzhledem k náročnosti a rozsáhlosti této funkce je nutné, aby pověřenec měl nejenom dostatečné profesní a další předpoklady pro výkon funkce, ale i časové možnosti plně se věnovat úkolům pověřence podle nařízení.
Pokud by Ve vámi zmiňovaném případě uzavřela smlouvu obec, u které je informatik zaměstnán, stala by se pověřencem tato obec, což GDPR nevylučuje. Obce se mohou dohodnout, že obec, která se stane pověřencem, bude úkoly pověřence vykonávat prostřednictvím konkrétního zaměstnance – informatika. Situace pak bude fakticky podobná, jako by byl pověřencem přímo informatik. Ten bude fakticky vykonávat činnosti pověřence v pracovněprávním vztahu ke své „domovské“ obci, čímž se situace poněkud zjednoduší pro druhou obec, která s ním nebude muset mít pracovněprávní vztah (bude mít občanskoprávní vztah s obcí).
Pro výkon funkce pověřence pro ochranu osobních údajů není předepsáno konkrétní školení. Obecné nařízení o ochraně osobních údajů (GDPR) nestanoví specifickou formu ověření nebo prokázání profesních kvalit pověřence. To znamená, že dle nařízení pověřenec nemusí mít vzdělání ve smyslu absolutoria vysoké školy a získání akademického titulu, nemusí mít ani certifikát o absolvování „profesní zkoušky“, školení atp.
14) Jaké jsou kvalifikační požadavky na pověřence?
Obecné nařízení o ochraně osobních údajů (GDPR) stanovuje pravidla a profesní požadavky pro výkon funkce pověřence v článcích 37 až 39.
Vykonávat funkci pověřence pro ochranu osobních údajů může osoba, která splňuje obecně formulované kvalifikační předpoklady podle čl. 37 odst. 5 GDPR:
- má odborné znalosti práva (nemusí být ale právník),
- a praxi v oblasti ochrany údajů,
- a schopnosti plnit úkoly stanovené v článku 39 GDPR.
Vzhledem k náročnosti a rozsáhlosti této funkce je nutné, aby pověřenec měl nejenom dostatečné profesní a další předpoklady pro výkon funkce, ale i časové možnosti plně se věnovat úkolům pověřence podle nařízení.
Z hlediska možného vzniku střetu zájmů pověřencem nemůže být osoba, která v rámci organizace nese odpovědnost za zpracování osobních údajů v souladu s právními předpisy (tzn. za jejich zpracování na základě zákonného titulu, v souladu s legitimním účelem, v nezbytném rozsahu atd.) a za bezpečnost těchto údajů.
Funkci pověřence lze vykonávat na základě pracovní smlouvy (tzn. v pracovním poměru), ale také externě na základě smlouvy o poskytování služeb (čl. 37 odst. 6 obecného nařízení o ochraně osobních údajů).
15) Může starosta obce vykonávat funkci pověřence u jiné obce, než ve které je starostou?
Starosta obce může vykonávat funkci pověřence pro ochranu osobních údajů pro jinou obec, pokud splňuje obecně formulované kvalifikační předpoklady podle čl. 37 odst. 5 GDPR, tedy má odborné znalosti práva (nemusí být ale právník) a praxi v oblasti ochrany údajů (což starosta má) a schopnosti plnit úkoly stanovené v článku 39 GDPR. Skutečnost, že je současně starostou jiné obce, není překážkou. Je ale potřeba, aby měl čas osobně vykonávat funkci pověřence a jeho jmenování tak nebylo pouze formalitou.
16) Je možné se na účinnost GDPR připravit bez vynaložení finančních prostředků?
Přípravě na účinnost Obecného nařízení o ochraně osobních údajů (GDPR) je vhodně se věnovat, není však důvod podléhat nabídkám části podnikatelské veřejnosti, řídící se heslem „vystrašit a vyfakturovat“. Příprava na GDPR stejně jako GDPR samo má spočívat na tzv. „přístupu založeném na riziku“, tedy například malé obec nemusí věnovat přípravě tolik úsilí a prostředků jako větší město nebo kraj. Přístupy k přípravě na GDPR jsou odstupňované podle rozsahu zpracování osobních údajů tím kterým zpracovatelem.
Úřady samy mohou nejlépe zhodnotit, jaké osobní údaje využívají, jak s nimi nakládají, kdo k nim má přístup a jak jsou zabezpečeny. Také za tímto účelem Ministerstvo vnitra připravilo pro zájemce z řad veřejné správy internetové stránky k problematice ochrany osobních údajů (http://www.mvcr.cz/gdpr), které neustále aktualizuje a doplňuje o nové metodické pokyny a další informace.
Na internetových stránkách již byla zveřejněna vzorová systémová analýza působnosti krajů a dnes byla předána ke zveřejnění také systémová analýza obcí. Obě tyto vzorové analýzy umožní územním samosprávným celkům při vlastních inventurách zpracování osobních údajů popsat a zhodnotit stav ochrany osobních údajů a přinesou návody pro řešení případných problémů.
Dále na uvedených internetových stránkách naleznete tzv. checklisty (http://www.mvcr.cz/gdpr/clanek/kontrolni-seznamy-checklisty-pro-obce.aspx), které zejména malým obcím umožní jednoduchým způsobem zkontrolovat, zda splňují zákonné požadavky v této oblasti.
Na stránkách jsou uveřejněny také podrobné metodické pokyny k pověřenci pro ochranu osobních údajů, aktualizované a doplněné o vzorovou pracovní náplň pověřence: http://www.mvcr.cz/gdpr/clanek/poverenec-pro-ochranu-osobnich-udaju-poverenec-pro-ochranu-osobnich-udaju.aspx, a metodický pokyn ke spisové službě s dokumentem „Přehled právních předpisů stanovujících povinnost ukládat vybrané typy dokumentů“, který je pomůckou pro stanovení skartačních lhůt vybraných typů dokumentů: http://www.mvcr.cz/gdpr/clanek/metodicka-podpora-a-konzultace-spisova-sluzba-spisova-sluzba.aspx.
17) Musí mít orgán obce přihlášku zákonného zástupce a souhlas se zpracováním osobních údajů, když bude zpracovávat osobní údaje za účelem zaslání pozvánky k vítání občánků, vypracování jmenného seznamu dětí, které jsou pak vyvolávány na dané akci a dále za účelem zápisu do kroniky?
Ke zpracování osobních údajů, které Vám zákon č. 128/2000 Sb., o obcích (obecní zřízení), výslovně umožňuje čerpat z informačních systémů veřejné správy, pro účely vítání občánků nebo zasílání gratulací k životním jubileím, není potřeba si opatřit souhlas subjektu údajů (ani přihlášku). Zpracování těchto údajů lze opřít o čl. 6 odst. 1 písm. e) GDPR. Lze dojít k závěru, že ve veřejném zájmu je pořádání obecních akcí, které slouží k podpoře života obce jako společenství občanů. K tomu patří jak tzv. vítání občánků, tak gratulace k významným výročím. Podobně u zápisů do kroniky obce lze hovořit o veřejném zájmu (podpořeném navíc přímo úpravou zákona o obecních kronikách). Zpracování údajů však musí být přiměřené účelu (v případě kronik se záznamy uvádějí pro „informaci i poučení budoucím generacím“, nejde o společenskou kroniku). Není tedy například důvod uvádět v kronice konkrétní data narození, postačuje uvést, které děti se narodily v určitém časovém úseku.
18) Je informace o přítomnosti či nepřítomnosti úředníka na městském úřadě osobním údajem? Je možné tuto informaci uveřejnit na internetu bez souhlasu úředníka? Účelem je informování občanů, zda je daný úředník dostupný v souvislosti s výkonem veřejné moci městského úřadu.
Údaj o tom, zda úředník obce je přítomen v úřadu, je osobním údajem. Týká se totiž identifikované fyzické osoby (čl. 4 odst. 1 GDPR).
Titul pro uvádění tohoto údaje na internetových stránkách obce je třeba hledat v téže kategorii jako u zveřejnění kontaktních údajů úředníka. Je však třeba upozornit na to, že osobní údaje mají být zpracovávány pouze v rozsahu nezbytném pro daný účel (zásada minimalizace podle čl. 5 odst. 1 písm. c) GDPR).
Dostupnost úřadu pro veřejnost lze zajistit i vhodnou zastupitelností v kombinaci s vnitřním předpisem a informací pro veřejnost, kdy se lze na úřad v dané agendě obracet telefonicky.
Navíc samotná přítomnost úředníka na pracovišti není zárukou toho, že se mu dovolám nebo jej zastihnu v kanceláři (může být třeba na jednání). K tomu ještě přistupuje fakt, že údaj o přítomnosti na pracovišti zasahuje do soukromí úředníka více než zveřejnění jeho (úředních) kontaktních údajů. Vypovídá totiž o tom, co právě fyzická osoba dělá, a vedle toho, kde právě je, vypovídá i o tom, kde není (není doma, což se může hodit například „nezvaným návštěvám“).
Z důvodu předběžné opatrnosti bychom doporučili proto spíše údaj o přítomnosti na pracovišti nezveřejňovat bez souhlasu konkrétního úředníka.
19) Jsou volaná telefonní čísla uložená v mobilním telefonu osobními údaji?
Protokoly o voláních, které Váš mobilní telefon ukládá jako seznam volajících s přiřazením telefonního čísla a času volání, nejsou předmětem ochrany osobních údajů podle GDPR. Jedná se sice o osobní údaje, lze však dojít k závěru, že jsou zpracovávány pro osobní potřebu fyzické osoby (i kdyby se jednalo o služební telefon). Není proto potřeba uplatňovat na tyto údaje pravidla podle GDPR (viz čl. 2 odst. 2 písm. c) GDPR).