Articles 15-34

Článek 15-22

Articles 15-34

Article 15 Data subject’s right to access personal data
1. The data subject shall have the right to obtain from the controller confirmation that personal data concerning him or her are being processed and, if so, have the right to access such personal data and the following information:

(a) processing purposes;

(b) the category of personal data concerned;

(c) the recipients or categories of recipients to whom personal data have been or will be made available, in particular recipients in third countries or international organizations;

(d) the planned period of time for which personal data will be stored or, failing that, the criteria used to determine that time;

(e) the existence of the right to require the controller to rectify or delete personal data relating to the data subject or to limit their processing or to object to such processing;

f) the right to file a complaint with the supervisory authority;

(g) any available information on the source of personal data, if not obtained from the data subject;

(h) the fact that there is automated decision-making, including profiling, as referred to in Article 22 (1) and (4), and at least in such cases meaningful information regarding the procedure used and the significance and implied consequences of such processing for the data subject.

2. Where personal data are transferred to a third country or international organization, the data subject shall have the right to be informed of the appropriate safeguards referred to in Article 46 which apply to the transfer.

3. The controller shall provide a copy of the personal data being processed. For additional copies at the request of the data subject, the controller may charge a reasonable fee based on administrative costs. If the data subject submits the application in electronic form, the information shall be provided in electronic form, which is commonly used, unless the data subject requests another.

4. The right to obtain the copy referred to in paragraph 3 shall not adversely affect the rights and freedoms of others.

Article 16 Right to repair
The data subject has the right to have the administrator correct the inaccurate personal data relating to him without undue delay. Taking into account the processing purposes, the data subject has the right to complete incomplete personal data, including by providing an additional declaration.

Article 17 Right of cancellation (“right to be forgotten”)
1. The data subject shall have the right to have the data subject to the data subject’s personal data deleted by the controller without undue delay and the controller shall be obliged to delete the data without undue delay if one of the following reasons is given:

(a) personal data are no longer needed for the purposes for which they were collected or otherwise processed;

(b) the data subject withdraws consent on the basis of which the data referred to in Article 6 (1) (a) have been revoked. or Article 9 (2) (a) (a) processed, and there is no other legal ground for processing;

(c) the data subject objects to the processing referred to in Article 21 (1) and there are no overriding legitimate grounds for processing or the data subject objects to the processing referred to in Article 21 (2);

(d) personal data have been unlawfully processed;

(e) personal data must be erased to fulfill the legal obligation laid down in Union or Member State law applicable to the controller;

(f) personal data have been collected in connection with the supply of information society services pursuant to Article 8 (1).

2. Where the controller has disclosed personal data and is required to delete them under paragraph 1, it shall take reasonable steps, including technical measures, to take into account the technology available and the cost of implementation, to inform the controller who is processing that personal data, that the data subject requests them to deleted all references to such personal data, their copies or replication.

3. Paragraphs 1 and 2 shall not apply where processing is necessary:

(a) for exercising the right to freedom of expression and information;

(b) to fulfill a legal obligation requiring processing under Union or Member State law applicable to the controller, or to carry out a task performed in the public interest or in the exercise of official authority entrusted to it;

(c) for reasons of public interest in the field of public health, in accordance with Article 9 (2) (a); (h) and (i) and Article 9 (3);

(d) for the purposes of archiving in the public interest, for scientific or historical research or for statistical purposes, in accordance with Article 89 (1), if the right referred to in paragraph 1 is likely to make or jeopardize the achievement of the objectives of that processing;

(e) to determine, exercise or defend legal claims.

Article 18 Right to Restrict Processing
1. The data subject shall have the right to have the controller restrict processing in any of the following cases:

(a) the data subject denies the accuracy of personal data for the time needed for the controller to verify the accuracy of the personal data;

(b) processing is illegal and the data subject refuses to delete personal data and asks instead to limit their use;

(c) the controller no longer needs personal data for processing purposes, but the data subject requires them to determine, exercise or defend legal claims;

(d) the data subject has objected to the processing referred to in Article 21 (1) until it has been verified that the legitimate reasons of the controller override the legitimate grounds of the data subject.

2. Where processing has been restricted in accordance with paragraph 1, such personal data may be processed, with the exception of their storage, only with the consent of the data subject, or for the purpose, exercise or defense of claims, for the protection of the rights of another natural or legal person or reasons of important public interest to the Union or a Member State.

3. The data subject who has reached the limit of processing under paragraph 1 shall be notified in advance by the controller that the processing restriction will be revoked.

Article 19 Reporting obligation to correct or delete personal data or limit processing
The controller shall notify individual recipients to whom personal data have been made of any rectification or deletion of personal data or restrictions on processing carried out in accordance with Articles 16, 17 (1) and 18, except where this proves impossible or requires disproportionate effort. The controller informs the data subject of these beneficiaries, if requested by the data subject.

Article 20 Right to data portability
1. The data subject shall have the right to obtain personal data concerning him which he has provided to the controller, in a structured, commonly used and machine-readable format, and the right to transmit such data to another controller, without the controller to whom the personal data has been provided; if:

(a) the processing is based on the consent referred to in Article 6 (1) (a); or Article 9 (2) (a) (a) or on the contract referred to in Article 6 (1) (a) or b); and

(b) processing is carried out automatically.

2. In exercising its right to data portability under paragraph 1, the data subject shall have the right to have personal data transmitted directly by one controller to another’s controller, where technically feasible.

3. The exercise of the right referred to in paragraph 1 of this Article shall be without prejudice to Article 17. This right shall not apply to the processing necessary for the performance of a task performed in the public interest or in the exercise of official authority entrusted to it.

4. The rights referred to in paragraph 1 shall not adversely affect the rights and freedoms of others.

Article 21 Right to object
1. The data subject shall, on grounds relating to his particular situation, have the right at any time to object to the processing of personal data concerning him on the basis of Article 6 (1) (a). (e) or (f), including profiling based on those provisions. The controller shall not process the personal data unless it proves serious legitimate reasons for processing that outweigh the interests or rights and freedoms of the data subject, or for the determination, exercise or defense of claims.

2. Where personal data are processed for direct marketing purposes, the data subject shall have the right at any time to object to the processing of personal data concerning him for such marketing, including profiling in respect of such direct marketing.

3. If the data subject objects to processing for direct marketing purposes, personal data will no longer be processed for that purpose.

4. The data subject shall be explicitly notified of the right referred to in paragraphs 1 and 2 and shall be clearly and separately identified from any other information at the latest at the time of first communication with the data subject.

5. In relation to the use of information society services and without prejudice to Directive 2002/58 / EC, the data subject may exercise his right to object by automated means using technical specifications.

6. Where personal data are processed for scientific or historical research or for statistical purposes under Article 89 (1), the data subject shall, for reasons relating to his particular situation, have the right to object to the processing of personal data concerning him or her , unless processing is necessary for the performance of a task performed for reasons of public interest.

Article 22 Automated individual decision making, including profiling
1. The data subject shall have the right not to be the subject of any decision based solely on automated processing, including profiling, which has legal effects or has a significant bearing on it.

2. Paragraph 1 shall not apply where the decision is: \ t

(a) necessary for the conclusion or performance of the contract between the data subject and the data controller;

(b) authorized by Union or Member State law applicable to the controller and which also provide for appropriate measures to safeguard the rights and freedoms and legitimate interests of the data subject; or

3. In the cases referred to in paragraph 2 (a): (a) and (c), the data controller shall take appropriate measures to protect the rights and freedoms and legitimate interests of the data subject, at least the right of human intervention by the controller, the right to express his opinion and the right to challenge the decision.

4. The decisions referred to in paragraph 2 shall not be based on the specific categories of personal data referred to in Article 9 (1), unless Article 9 (2) (a) applies. or (g) and appropriate arrangements are not in place to ensure the rights and freedoms and legitimate interests of the data subject.

Article 34 Reporting personal data breaches to the data subject
1. Where a personal data breach is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall notify the data subject without undue delay.

2. The notification to the data subject referred to in paragraph 1 of this Article, using clear and simple language means, shall describe the nature of the breach of personal data, indicating at least the information and measures referred to in Article 33 (3) (a). b), c) and d).

3. The data subject’s notification referred to in paragraph 1 shall not be required if any of the following conditions is met:

(a) the controller has put in place appropriate technical and organizational safeguards, and such measures have been applied to personal data affected by the breach of personal data, in particular those that render such data incomprehensible to anyone not entitled to access such data, such as encryption;

(b) the controller has taken follow-up measures to ensure that the high risk to the rights and freedoms of the data subjects referred to in paragraph 1 is no longer likely to occur;

(c) this would require a disproportionate effort. In such a case, the data subjects must be informed in an equally effective manner by means of a public notice or similar measure.

4. If the controller has not yet notified the data subject of the breach of the personal data breach, the supervisory authority may, after assessing the likelihood that the breach will result in a high risk, shall request it or may decide to comply with any of the conditions set out in paragraph 3.

This English version is a translation of the original Czech version. It is only of an informative nature. In the event of any discrepancy between the English and Czech versions, the Czech version takes precedence.

Článek 15-22

Článek 15 Právo subjektu údajů na přístup k osobním údajům

1. Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:

a) účely zpracování;

b) kategorie dotčených osobních údajů;

c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména

příjemci ve třetích zemích nebo v mezinárodních organizacích;

d) plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby;

e) existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování a nebo vznést námitku proti tomuto zpracování;

f) právo podat stížnost u dozorového úřadu;

g) veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů;

h) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

2. Pokud se osobní údaje předávají do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 46, které se vztahují na předání.

3. Správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.

4. Právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.

Článek 16 Právo na opravu

Subjekt údajů má právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení.

Článek 17 Právo na výmaz („právo být zapomenut“)

1. Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:

a) osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány;

b) subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování;

c) subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 1 a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2;

d) osobní údaje byly zpracovány protiprávně;

e) osobní údaje musí být vymazány ke splnění právní povinnosti stanovené v právu Unie nebo členského státu, které se na správce vztahuje;

f) osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle čl. 8 odst. 1.

2. Jestliže správce osobní údaje zveřejnil a je povinen je podle odstavce 1 vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.

3. Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné:

a) pro výkon práva na svobodu projevu a informace;

b) pro splnění právní povinnosti, jež vyžaduje zpracování podle práva Unie nebo členského státu, které se na správce vztahuje, nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen;

c) z důvodů veřejného zájmu v oblasti veřejného zdraví v souladu s čl. 9 odst. 2 písm. h) a i) a čl. 9 odst. 3;

d) pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu či pro statistické účely v souladu s čl. 89 odst. 1, pokud je pravděpodobné, že by právo uvedené v odstavci 1 znemožnilo nebo vážně ohrozilo splnění cílů uvedeného zpracování;

e) pro určení, výkon nebo obhajobu právních nároků.

Článek 18 Právo na omezení zpracování

1. Subjekt údajů má právo na to, aby správce omezil zpracování, v kterémkoli z těchto případů:

a) subjekt údajů popírá přesnost osobních údajů, a to na dobu potřebnou k tomu, aby správce mohl

přesnost osobních údajů ověřit;

b) zpracování je protiprávní a subjekt údajů odmítá výmaz osobních údajů a žádá místo toho o omezení jejich použití;

c) správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků;

d) subjekt údajů vznesl námitku proti zpracování podle čl. 21 odst. 1, dokud nebude ověřeno, zda oprávněné důvody správce převažují nad oprávněnými důvody subjektu údajů.

2. Pokud bylo zpracování omezeno podle odstavce 1, mohou být tyto osobní údaje, s výjimkou jejich uložení, zpracovány pouze se souhlasem subjektu údajů, nebo z důvodu určení, výkonu nebo obhajoby právních nároků, z důvodu ochrany práv jiné fyzické nebo právnické osoby nebo z důvodů důležitého veřejného zájmu Unie nebo některého členského státu.

3. Subjekt údajů, který dosáhl omezení zpracování podle odstavce 1, je správcem předem upozorněn na to, že bude omezení zpracování zrušeno.

Článek 19 Oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování

Správce oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré opravy nebo výmazy osobních údajů nebo omezení zpracování provedené v souladu s článkem 16, čl. 17 odst. 1 a článkem 18, s výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí. Správce informuje subjekt údajů o těchto příjemcích, pokud to subjekt údajů požaduje.

Článek 20 Právo na přenositelnost údajů

1. Subjekt údajů má právo získat osobní údaje, které se ho týkají, jež poskytl správci, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jinému správci, aniž by tomu správce, kterému byly osobní údaje poskytnuty, bránil, a to v případě, že:

a) zpracování je založeno na souhlasu podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) nebo na

smlouvě podle čl. 6 odst. 1 písm. b); a

b) zpracování se provádí automatizovaně.

2. Při výkonu svého práva na přenositelnost údajů podle odstavce 1 má subjekt údajů právo na to, aby osobní údaje byly předány přímo jedním správcem správci druhému, je-li to technicky proveditelné.

3. Výkonem práva uvedeného v odstavci 1 tohoto článku není dotčen článek 17. Toto právo se

neuplatní na zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen.

4. Právem uvedeným v odstavci 1 nesmí být nepříznivě dotčena práva a svobody jiných osob.

Článek 21 Právo vznést námitku

1. Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami

subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.

2. Pokud se osobní údaje zpracovávají pro účely přímého marketingu, má subjekt údajů právo vznést kdykoli námitku proti zpracování osobních údajů, které se ho týkají, pro tento marketing, což zahrnuje i profilování, pokud se týká tohoto přímého marketingu.

3. Pokud subjekt údajů vznese námitku proti zpracování pro účely přímého marketingu, nebudou již osobní údaje pro tyto účely zpracovávány.

4. Subjekt údajů je na právo uvedené v odstavcích 1 a 2 výslovně upozorněn a toto právo je uvedeno zřetelně a odděleně od jakýchkoli jiných informací, a to nejpozději v okamžiku první komunikace se subjektem údajů.

5. V souvislosti s využíváním služeb informační společnosti, a aniž je dotčena směrnice 2002/58/ES, může subjekt údajů uplatnit své právo vznést námitku automatizovanými prostředky pomocí

technických specifikací.

6. Jsou-li osobní údaje zpracovávány pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1, má subjekt údajů, z důvodů týkajících se jeho konkrétní situace, právo vznést námitku proti zpracování osobních údajů, které se ho týkají, ledaže je zpracování nezbytné pro splnění úkolu prováděného z důvodů veřejného zájmu.

Článek 22 Automatizované individuální rozhodování, včetně profilování

1. Subjekt údajů má právo nebýt předmětem žádného rozhodnutí založeného výhradně na

automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho

obdobným způsobem významně dotýká.

2. Odstavec 1 se nepoužije, pokud je rozhodnutí:

a) nezbytné k uzavření nebo plnění smlouvy mezi subjektem údajů a správcem údajů;

b) povoleno právem Unie nebo členského státu, které se na správce vztahuje a které rovněž stanoví vhodná opatření zajišťující ochranu práv a svobod a oprávněných zájmů subjektu údajů; nebo

c) založeno na výslovném souhlasu subjektu údajů.

3. V případech uvedených v odst. 2 písm. a) a c) provede správce údajů vhodná opatření na ochranu práv a svobod a oprávněných zájmů subjektu údajů, alespoň práva na lidský zásah ze strany správce, práva vyjádřit svůj názor a práva napadnout rozhodnutí.

4. Rozhodnutí uvedená v odstavci 2 se neopírají o zvláštní kategorie osobních údajů uvedené v čl. 9 odst. 1, pokud se neuplatní čl. 9 odst. 2 písm. a) nebo g) a nejsou zavedena vhodná opatření pro

zajištění práv a svobod a oprávněných zájmů subjektu údajů.

Článek 34 Oznamování případů porušení zabezpečení osobních údajů subjektu údajů

1. Pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za

následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu subjektu údajů.

2. V oznámení určeném subjektu údajů podle odstavce 1 tohoto článku se za použití jasných a

jednoduchých jazykových prostředků popíše povaha porušení zabezpečení osobních údajů a uvedou se v něm přinejmenším informace a opatření uvedené v čl. 33 odst. 3 písm. b), c) a d).

3. Oznámení subjektu údajů uvedené v odstavci 1 se nevyžaduje, je-li splněna kterákoli z těchto

podmínek:

a) správce zavedl náležitá technická a organizační ochranná opatření a tato opatření byla použita u

osobních údajů dotčených porušením zabezpečení osobních údajů, zejména taková, která činí tyto údaje nesrozumitelnými pro kohokoli, kdo není oprávněn k nim mít přístup, jako je například šifrování;

b) správce přijal následná opatření, která zajistí, že vysoké riziko pro práva a svobody subjektů údajů podle odstavce 1 se již pravděpodobně neprojeví;

c) vyžadovalo by to nepřiměřené úsilí. V takovém případě musí být subjekty údajů informovány stejně účinným způsobem pomocí veřejného oznámení nebo podobného opatření.

4. Jestliže správce dotčenému subjektu údajů porušení zabezpečení osobních údajů ještě neoznámil, může dozorový úřad po posouzení pravděpodobnosti toho, že dané porušení bude mít za následek vysoké riziko, požadovat, aby tak učinil, nebo může rozhodnout, že je splněna některá z podmínek

uvedených v odstavci 3.