Osobní údaje v čase a prostoru

JUDr. MgA. Jakub Míšek

Doctoral thesis

Personal Data in Time and Space

Abstract:

Disertační práce Osobní údaje v čase a prostoru: Role performativní regulace v ochraně osobních údajů se zabývá obecnými otázkami právní úpravy ochrany osobních údajů. Práce chápe zpracování osobních údajů jako proces probíhající v čase. Vychází ze čtyř základních premis, na kterých ochrana osobních údajů spočívá. Jsou jimi i) věcná a funkční samostatnost práva na ochranu osobních údajů jako základního práva, ii) pragmatická nezbytnost zpracování osobních údajů pro fungování moderní společnosti, iii) garantovaná vysoká úroveň ochrany osobních údajů a s ní související silná role práv subjektů údajů a iv) nezbytnost preventivního přístupu k ochraně osobních údajů. V souladu s těmito premisami práce identifikuje jako základní problém předchozí právní úpravy (směrnice 95/46/ES a zákon č. 101/2000 Sb.) její nedostatečnou vnitřní flexibilitu spočívající v chybějící možnosti funkční granularity a škálovatelnosti povinností správce údajů. Práce dále rozebírá dva způsoby, které se v minulosti objevily jako snaha o překonání tohoto nedostatku. První spočíval v restriktivním výkladu definičních ustanovení právní úpravy a tím v omezení její působnosti tak, aby nedopadala na případy, ve kterých by aplikace všech povinností byla vzhledem k jejich povaze neproporcionální. Druhý spočíval v ad hoc rozhodnutí dozorových úřadů nevymáhat případy, které byly takto problematické. Oba dva způsoby však tato práce jako možná řešení problému nedostatečné granularity a škálovatelnosti povinností správce odmítá. Ve své klíčové části práce nabízí analýzu performativní regulace, moderní regulatorní metody, kterou evropský zákonodárce zvolil jako základní regulatorní rámec pro Obecné nařízení o ochraně osobních údajů (č. 2016/679). Performativní regulace v Obecném nařízení spočívá na společném fungování zásady odpovědnosti správce (accountability) a přístupu založeném na riziku. Díky tomu Obecné nařízení nabízí dostatečně flexibilní rámec povinností a umožňuje jejich granularitu a škálovatelnost. Práce ve svém závěru diskutuje výhody této regulatorní metody, včetně jejího uplatnění v kontextu plynoucího času, a upozorňuje rovněž na výzvy a překážky, které performativní regulace představuje pro interpretaci a aplikaci Obecného nařízení.

Abstract:

The dissertation thesis Personal Data in Time and Space: The Role of Performance-Based Regulation in Personal Data Protection studies general questions related to legal regulation of personal data protection. Personal data processing is seen as a process that unfolds over time, which is based on the four major principles that guide personal data protection: a) the material and functional independence of the right to protection of personal data as a fundamental right; ii) the pragmatic necessity of personal data processing for the functioning of a modern society; iii) the guarantee of a high level of personal data protection, also providing for a strong role of the data subjects’ rights; and iv) the necessity of a preventative approach to personal data protection. In accordance with these principles, the thesis identified that a fundamental problem of the previous regulation (Directive 95/46/EC and Act no. 101/2000 Sb.) was its lack of internal flexibility, as there was no option for functional granularity and scalability of duties of the data controller. The thesis also analyses two approaches to overcoming this shortcoming, which used to be applied in the past. The first one meant interpreting the defining provisions of the regulation restrictively and limiting its scope so that it did not apply in cases in which enforcing the full scope of the duties would not be proportional because of their nature. The second one meant that the supervising authorities decided ad hoc not to enforce the regulation in cases which were problematic in this way. However, this thesis rejects both these approaches to solving the issue of insufficient granularity and scalability of duties of the data controller. In the key part of the thesis, the author provides an analysis of performative regulation; a modern regulatory method chosen by European legislator as the foundation regulatory framework in the General Data Protection Regulation (no. 2016/679). The performance-based regulation in the GDPR is based on combining the controller accountability principle with a risk-based approach. That allows the GDPR to provide a sufficiently flexible framework of duties, allowing for their granularity and scalability. In the conclusion, the author discusses the advantages of this regulatory method, including its applications over time, and comments on the challenges and obstacles that performative regulation poses for the interpretation and application of the GDPR.

Keywords

ochrana osobních údajů, zpracování osobních údajů, performativní regulace, zásada odpovědnosti, přístup založený na riziku, granularita a škálovatelnost povinností, směrnice 95/46/ES, Obecné nařízení o ochraně osobních údajů, Personal Data Protection, Processing of Personal Data, Performance-Based Regulation, Principle of Accountability, Risk-Based Approach, Granularity and Scalability of Duties, Directive 95/46/EC, General Data Protection Regulation

Language used: Czech

Date on which the thesis was submitted / produced: 13. 9. 2019

Thesis defence

• Date of defence: 15. 1. 2020
• Supervisor: doc. JUDr. Radim Polčák, Ph.D.
• Reader: doc. JUDr. Pavel Mates, CSc., JUDr. Tomáš Rychlý, Ph.D.

Masaryk University

Faculty of Law

Doctoral programme / field:
Theoretical Legal Sciences (4-years) / Law Information and Communication Technologies