Problémy ochrany soukromí a osobních údajů v právu EU

Mgr. et Mgr. Daniel Novák, Ph.D.

Doctoral thesis

Problems of Privacy and Personal Data Protection in EU Law

Abstract:

Pojem soukromí – jakožto právní kategorii – poprvé vyjádřili S. D. Warren a L. D. Brandeis v článku „The Right to Privacy“ vydaném v Harvard Law Review roku 1890. Hranice soukromé sféry jsou – kromě právního vymezení – utvářeny též sociálními normami. Občas se ozývají hlasy, že soukromí by nemělo být pokládáno za samostatný předmět právní ochrany. Nelze přehlédnout kritiku, že jeho vymezení je bezbřehé, neboť do oblasti soukromí zasahují mnohá protiprávní jednání postrádající konkrétnější společný jmenovatel. Nicméně pojem soukromí může být strukturován. Obsahové těžiště textu se vztahuje k právu na soukromí ve smyslu informačním, a to zejména v rámci EU. Východiskem vymezení ochrany soukromí v právu EU může být srovnání evropského a amerického pohledu na danou problematiku. Podle Jamese Whitmana v právu USA představuje ochrana soukromí korelát ochrany jednotlivce před státem, zatímco v evropském pojetí se odvíjí ze záměru jednotlivce kontrolovat svůj obraz na veřejnosti. Současné evropské pojetí ochrany osobních údajů předpokládá, aby stát uznal svoji povinnost (pozitivní závazek) na tomto poli působit z moci úřední. Ochranná funkce státu především judikatorní cestou nabyla rozměr ústavněprávní, čímž doplňuje rovněž konstitucionalizované právo na ochranu soukromí. Evropskou ochranu soukromí zásadně ovlivnily zkušenosti s totalitárními a autoritativními režimy dvacátého století. Dalším materiálním zdrojem ochrany soukromí je rozvoj informačních a komunikačních technologií a tomu odpovídající nárůst elektronických dat, které „za sebou“ jednotlivec zanechává, a usnadnění jejich zpracování. V systému práva EU po jeho lisabonské revizi posílí role Úmluvy o ochraně lidských práv a základních svobod. Podle čl. 6 odst. 2 a 3 Smlouvy o EU ve znění Lisabonské smlouvy platí, že Unie k této Úmluvě přistoupí. Evropský soudní dvůr (Soudní dvůr Evropské unie) provádí konformní recepci právních názorů Evropského soudu pro lidská práva, který interpretuje právo na ochranu soukromí extenzívně. Potenciální střety mezi těmito soudními orgány by mohly vycházet z práva ochrany hospodářské soutěže. Evropský soudní dvůr (Soudní dvůr Evropské unie) „vyvíjí“ vlastní judikaturu a ochranu soukromí zařadil mezi obecné zásady práva Společenství. Lisabonská smlouva se promítla do oblasti ochrany soukromí rovněž tím, že mění čl. 6 odst. 1 Smlouvy o EU tak, že Unie uznává práva, svobody a zásady obsažené v Chartě, jež má stejnou právní sílu jako smlouvy. Charta je prvním lidskoprávním katalogem výslovně uznávajícím ochranu osobních údajů. Přetrvávajícím problémem ochrany lidských práv v EU zůstává nerovnováha mezi její hmotněprávní a procesněprávní rovinou, a to ve prospěch první „komponenty“. Zásady ochrany soukromí v právu EU jsou charakteristické svojí obecností a vyjadřováním některé z ústředních hodnot předmětné právní materie. Zásada férového a zákonného zpracování stanovuje některé požadavky týkající se platnosti souhlasu subjektu údajů. Dopady principu minimality jsou posíleny současnou judikaturou Evropského soudního dvora (Soudního dvora EU), který přijal relativně široký výklad pojmu osobní údaj. Zásada omezení účelu znamená, že účel zpracování osobních údajů musí být legitimní a jeho změny podléhají zvláštním požadavkům. Princip omezeného zpřístupnění údajů vystihuje stěžejní „obrannou“ funkci předmětného souboru norem. Zásada kvality údajů znamená, že zpracovávané údaje se mají přibližovat skutečnosti, což je ovšem závislé na vůli jejich subjektů. Zásada bezpečnosti je plně dosažitelná nanejvýš v rovině teoretické.

Abstract:

Pakliže správci údajů nechybí „dobrá vůle“, uplatňování zásady participace subjektů údajů je usnadněno rozvojem nových informačních a komunikačních technologií. Zásada odpovědnosti je charakteristická rozdílem mezi široce vymezenými kompetencemi úřadů pro ochranu osobních údajů a správní praxí, na jejímž podkladě bývají pravidla ochrany osobních údajů považována až za „soft law“. Pokud jde o místo ochrany osobních údajů v „podústavním“ právu, v evropském pojetí bývá – se zřetelem k metodě právní regulace – typicky podřazována správnímu právu. Jejím specifikem je význam souhlasu coby právního podkladu zpracování a etických kodexů. Úřady pro ochranu osobních údajů se vyznačují zvláštními zárukami nezávislosti. V praxi převažují jejich úlohy poradní, informační, facilitační a konciliační nad mocenským donucováním. Vztahy mezi některými subjekty práva ochrany osobních údajů jsou „pohotově“ změnitelné, čímž se lze snáze vyhýbat odpovědnosti. V současnosti je k dispozici široké spektrum možností identifikace jednotlivců prostřednictvím předmětu, který vůči němu má určitou vazbu (s pomocí IP adresy, cookies, RFID apod.). Lokalizačním údajům náleží zvláštní význam. Je určitým paradoxem, že soukromí je nezanedbatelně omezováno kamerovými systémy umístěnými ve veřejných prostorách. Mezi členskými státy EU přetrvávají rozdíly co do ochrany údajů právnických osob a zesnulých osob. Anonymizace je často diskutována v souvislosti s uveřejňováním soudních rozhodnutí. Speciální ochrana soukromí je vymezena v čl. 8 DPD. Obecným pravidlem je zákaz zpracování osobních údajů odhalujících rasový nebo etnický původ, politické názory, náboženské nebo filozofické přesvědčení, členství v odborové organizaci nebo zpracování údajů týkajících se zdraví a sexuálního života. Omezení rovněž dopadají na zpracování údajů týkajících se právních řízení. Problematičtějším aspektem DPD je jeho mlčení o ekonomických a lokalizačních údajích v souvislosti s uvedeným zvláštním institutem. DPD též neřeší výslovněji nepřímé zjištění citlivých charakteristik ze zdánlivě „neškodných“ informací. Východiskem kritiky může být příliš úzké spojení s antidiskriminačním právem. Postupná centralizace databází veřejných institucí usnadňuje občanům oznamování změn údajů, ale zhoršuje následky případného prolomení jejich ochrany. Přetrvává problém nedokončené harmonizace ochrany osobních údajů v oblasti vnitřní bezpečnosti EU. V případě komunikace, jejíž obsah má zůstat utajen, se svoboda projevu a ochrana soukromí vzájemně podporují. Oproti tomu, v oblasti veřejných projevů obě ústavněprávní hodnoty za jistých předpokladů kolidují. Lze doporučit odlišnou formulaci čl. 9 DPD, která by svobodu projevu definovala obecně, a ne jako výjimku vztahující se na žurnalisty. Problémy může způsobit poskytnutí záruky svobodného přístupu k informacím dle čl. 42 Charty jen občanům EU a rezidentům. Povinnost informovat subjekt údajů o datech, které jsou o něm shromažďovány a jeho souvisejících právech, má praktický význam zejména ve spojení s technologiemi veřejnosti méně známými jako je RFID. Práva na přístup k údajům a jejich opravu jsou relativně široce formulována a zahrnují oblast vnitřní bezpečnosti. DPD zůstává rezervovaná k automatizovanému zpracování údajů. Nicméně tato opatření bývají nepřiměřeně široká v porovnání se specifickými riziky. Oznamovací povinnost vůči úřadu pro ochranu osobních údajů je ve své základní formě často nahrazována zvláštními řešeními. Úniky dat nejsou státům dostatečným argumentem proti zvyšování objemu shromažďovaných údajů. Blanketní uchovávání komunikačních údajů představuje jedno k nejspornějších témat práva EU. Iniciativy se v tomto směru chopily některé ústavní soudy členských států EU. Zástupci nositelů práv duševního vlastnictví se intenzivně angažují na poli ochrany soukromí při elektronické komunikaci. DPD obsahuje propracovaná pravidla týkající se předávání osobních údajů do třetích zemí. Spojené státy americké sjednávají s Evropskou unií zvláštní řešení ospravedlňovaná poukazem na boj proti terorismu.

Abstract:

The concept of privacy - as a legal category - was for the first time expressed by S. D. Warren and L. D. Brandeis in his article "The Right to Privacy" published in the Harvard Law Review in 1890. The boundaries of privacy are also shaped by social norms. We sometimes hear voices that privacy should not be a separate object of legal protection. However, it has been criticized that the definition of privacy is boundless, because many offences affect the privacy and they have no specific common denominator. However, the notion of privacy can be structured. The core of the text refers to the right of privacy within the meaning of information, namely within the European Union. The starting point for defining privacy in EU law can be the comparison between European and U.S. perspective on the issue in question. James Whitman said that: American privacy protections are at their conceptual core, protections against the state; while European privacy protections are, at their conceptual core, protections against the media and the general public. The current European concept of privacy is associated with positive obligations of States to engage in this field ex officio. Protective functions of the state acquired constitutional dimension and the right to privacy is also constitutionalized. There are substantial differences between the European and American legal solutions. European privacy protection is significantly influenced by experiences with totalitarian and authoritarian regimes of the twentieth century. Another material source of the development of privacy protection is the advance of ICT and increase the amount of data that are stored electronically. The Convention for the Protection of Human Rights and Fundamental Freedoms will increase its importance in EU law after the Lisbon revision. Under Article 6, paragraph 2 and 3 of the Treaty on European Union as amended by the Lisbon Treaty, the Union shall accede to this Convention. The European Court of Justice recognizes judicial opinions of the European Court of Human Rights, which has been interpreting the right to privacy broadly. Potential conflicts between these courts may be based on competition law. European Union Court of Justice (ECJ) enshrined the protection of privacy in the general principles of Community law and it creates its own case law on this issue. Art. 6, paragraph 1 TEU, as amended by the Lisbon Treaty states that the Union recognizes the rights, freedoms and principles set out in the Charter of Fundamental Rights of the European Union, which shall have the same legal force as the Treaties. The Charter of Fundamental Rights is the first catalogue of human rights, which expressly recognizes the protection of personal data. The continuing problem of human rights protection in the EU law is its procedural dimension. Privacy protection principles in the EU law are characterized by their greater generality and social importance. The principle of fair and lawful processing lays down some requirements for valid consent of data subjects. Impacts of the principle of minimality are strengthened by the recent ECJ case law which recognizes the relatively broad scope of the concept of personal data. The purpose specification principle means that the purpose of processing personal data has to be legitimate and its changes are subject to special requirements. The disclosure limitation principle describes the fundamental defensive function of the set of norms for personal data protection. The data quality principle means that processed data should correspond with reality. But this is conditional on the willingness of data subjects. The security principle is fully respected only in theory. If a data controller has good will, implementation of the principle of data subject participation and control is facilitated by new information technologies. The accountability principle is characterized by the difference between the broadly defined competences of data protection authoritie

Abstract:

s and the application practices which cause that these rules are considered “soft law”. In the EU Member States, the protection of personal data falls under administrative law. A special feature is the considerable role of the institute of consent and the codes of conduct. Data protection offices are administrative authorities, but they have special guarantees of independence. In practice, the role of advisory, information, facilitation and conciliation body outweighs its power dimension. Relations between subjects of the personal data protection law are readily changeable, making it easier to get rid of responsibility. There are new ways to identify individuals through the technical equipment belonging to them (with the aid of IP addresses, cookies, RFID, etc.). Location data has special importance. It is paradoxical the privacy is severely limited by the security camera systems installed in the public space. EU Member States differ in the personals data protection of legal persons but also deceased persons. The anonymization is discussed in connection with the publication of judicial decisions. The special privacy protection is defined in the article 8 of the Data Protection Directive (Directive 95/46/EC). The basic norm says that member states of the European Union shall prohibit the processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, trade-union membership, and the processing of data concerning health or sex life. Restrictions also impact on the processing of data relating to law proceedings. One of the weaknesses of the Data Protection Directive is the silence about economic and location data. The issue of the indirect identification by non-sensitive characteristics is not explicitly solved in the directive. It can be a source of controversy that the concept of sensitive data is criticisable for its too close relations with anti-discrimination law. The trend of centralization of public databases facilitates the citizens´ reporting of changes but it aggravates the consequences of breaking data protection rules. There is a problem of incomplete harmonization in the field of internal security of the EU. In the case of communication whose content should be kept secret, the free speech and the privacy are mutually supportive. Conversely, in public speeches there are often both constitutional values in conflict. We can recommend a new formulation of the article 9 of the Data Protection Directive including freedom of expression defined generally and not just an exception for journalists. It may be problematic that the Charter of Fundamental Rights of the European Union in its article 42 guarantees freedom of information only to citizens and residents. The duty to inform the data subject about his collected data and his rights has the practical importance particularly in the connection with the technologies publicly less known such as RFID. The access and rectification rights are relatively broadly formulated and they include the area of internal security. The Data Protection Directive is stand-offish to decision which is based solely on automated processing of data. However, these measures are disproportionately large compared with the specific risks. The obligation to notify the supervisory authority, in its basic form, is forced out by specific solutions in both directions. Data leaks are not a sufficient warning to waive collection of additional data by states. Blanket retention of communications data based on the Data Retention Directive is one of the most contentious areas of EU law. The ECJ did not rule on the merits - impacts of this directive on human rights. The initiative was taken by some of the constitutional courts of EU member states. Representatives of holders of intellectual property rights are intensively engaged in the attempts to limit the privacy of electronic communications. DPD provides elaborate rules governing the transfer of personal data to third countries. United States negotiated with the European Union special regulation justified by the fight against terrorism.

Keywords

Accountability principle, anonymity, Convention for the Protection of Human Rights and Fundamental Freedoms, Court of Justice, data controller, data processor, Data Protection Directive, data quality principle, Data Retention Directive, data subject, Directive on Privacy and Electronic Communications, disclosure limitation principle, EU Law, European Court of Human Rights, European Court of Justice, Charter of Fundamental Rights of the European Union, Passenger Name Records, personal data protection, principle of fair and lawful processing, principle of minimality, privacy, processing of data, pseudonymity, purpose specification principle, security principle.

Language used: Czech

Date on which the thesis was submitted / produced: 1. 9. 2010

Thesis defence

• Date of defence: 24. 1. 2012
• Supervisor: doc. JUDr. Filip Křepelka, Ph.D.
• Reader: prof. JUDr. Vladimír Týč, CSc., doc. JUDr. Pavel Mates, CSc.

Masaryk University

Faculty of Law

Doctoral programme / field:
Theoretical Legal Sciences (4-years) / International and European Law