Ochrana a zpracování osobních údajů (dle GDPR)

4.35

Ochrana a zpracování osobních údajů (dle GDPR)

JUDr. Dušan Srp, Ph.D.

1. Obecná ustanovení

2. Základní pojmy

3. Zásady zpracování osobních údajů

4. Účely a zákonnost zpracování a kategorie osobních údajů

5. Informace a přístup subjektu údajů k osobním údajům

6. Oprava a výmaz

7. Právo vznést námitku a automatizované individuální rozhodování

8. Záznamy o činnostech zpracování

9. Zabezpečení osobních údajů

10. Předávání a zpřístupnění osobních údajů subjektu údajů třetí straně

11. Předávání osobních údajů do třetích zemí mimo Evropskou unii nebo mezinárodním organizacím

12. Uchování osobních údajů subjektu údajů

13. Právní předpisy

1. Předmět a cíle vnitřního předpisu

Tento vnitřní předpis upravuje pravidla a postup účetního oddělení správce při ochraně a zpracování osobních údajů fyzických osob, které účetní oddělení při výkonu své pracovní činnosti pro správce zpracovává. Účetní oddělení tvoří zaměstnanci správce v pracovní pozici účetní, jakož i další zaměstnanci a pracovníci, kteří dle organizačního rozhodnutí správce tvoří účetní oddělení správce (dále jen "účetní oddělení"; zaměstnanci a pracovníci účetního oddělení dále jen "účetní").

2. Působnost vnitřního předpisu

Tento vnitřní předpis se vztahuje na zpracování osobních údajů v souvislosti s činností účetního oddělení správce. Tento vnitřní předpis je závazný pro správce jako zaměstnavatele a všechny jeho zaměstnance.

3. Aktualizace vnitřního předpisu

Obsah vnitřního předpisu je pravidelně, vždy jednou ročně, jinak kdykoli dle potřeby, kontrolován, vyhodnocován a aktualizován pověřenými zaměstnanci správce, kterým je [·]⁴.

4. Přístup k vnitřnímu předpisu

Vnitřní předpis je veřejně přístupný všem zaměstnancům správce. Zpřístupnění vnitřního předpisu třetí straně podléhá předchozímu písemnému souhlasu správce, resp. příslušného pracovníka správce, kterým je [·]⁵.

Pro účely tohoto vnitřního předpisu se dle Právních předpisů rozumí:

1. "osobními údaji" veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen "subjekt údajů"); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;

Osobní údaje, které účetní oddělení zpracovává dle tohoto vnitřního předpisu, jsou osobní údaje zaměstnanců správce či jiných fyzických osob, které při své pracovní činnosti účetní oddělení zpracovává (tj. subjektu údajů), zejména: [·]⁶

2. "subjektem údajů" dle tohoto vnitřního předpisu jsou fyzické osoby – zaměstnanci správce či jiné fyzické osoby, jejichž osobní údaje účetní oddělení při své pracovní činnosti pro správce zpracovává;

3. "zpracováním" jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;

4. "omezením zpracování" označení uložených osobních údajů za účelem omezení jejich zpracování v budoucnu;

5. "profilováním" jakákoli forma automatizovaného zpracování osobních údajů spočívající v jejich použití k hodnocení některých osobních aspektů vztahujících se k fyzické osobě, zejména k rozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází, nebo pohybu;

6. "pseudonymizací" zpracování osobních údajů tak, že již nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že nebudou přiřazeny identifikované či identifikovatelné fyzické osobě;

7. "evidencí" jakýkoliv strukturovaný soubor osobních údajů přístupných podle zvláštních kritérií, ať již je centralizovaný, decentralizovaný, nebo rozdělený podle funkčního či zeměpisného hlediska;

8. "správcem" fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Evropské Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;

Správcem dle tohoto vnitřního předpisu je [·]⁷⁸.

Kontaktní údaje správce: [·]⁹.

9. "zpracovatelem" fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce;

10. "příjemcem" fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoli. Avšak orgány veřejné moci, které mohou získávat osobní údaje v rámci zvláštního šetření v souladu s právem členského státu Evropské Unie, se za příjemce nepovažují; zpracování těchto osobních údajů těmito orgány veřejné moci musí být v souladu s použitelnými pravidly ochrany údajů pro dané účely zpracování;

Příjemcem dle tohoto vnitřního předpisu je vždy oprávněná osoba.¹⁰

11. "třetí stranou" fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který není subjektem údajů, správcem, zpracovatelem ani osobou přímo podléhající správci nebo zpracovateli, jež je oprávněna ke zpracování osobních údajů;

12. "souhlasem" subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů;

13. "porušením zabezpečení osobních údajů" porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů;

14. "dozorovým úřadem" nezávislý orgán veřejné moci zřízený členským státem podle článku 51 Nařízení;

Dozorovým úřadem správce je Úřad pro ochranu osobních údajů, sídlem Pplk. Sochora 27, 170 00 Praha 7. V případě přeshraničního zpracování osobních údajů je vedoucím dozorovým úřadem dozorový úřad [·]¹¹.

K právnímu jednání a zastupování správce při jednání s dozorovými úřady je určen: [odpovědná osoba, ...]¹²

15. "dotčeným dozorovým úřadem" dozorový úřad, kterého se zpracování osobních údajů dotýká, neboť:

1. správce či zpracovatel je usazen na území členského státu tohoto dozorového úřadu;
2. subjekty údajů s bydlištěm v členském státě tohoto dozorového úřadu jsou nebo pravděpodobně budou zpracováním podstatně dotčeny; nebo
3. u něj byla podána stížnost;

Dotčeným dozorovým úřadem je [·].¹³

16. "přeshraničním zpracováním" buď:

1. zpracování osobních údajů, které probíhá v souvislosti s činnostmi provozoven ve více než jednom členském státě správce či zpracovatele v Evropské Unii, je-li tento správce či zpracovatel usazen ve více než jednom členském státě Evropské Unie; nebo
2. zpracování osobních údajů, které probíhá v souvislosti s činnostmi jediné provozovny správce či zpracovatele v Evropské Unii, ale kterým jsou nebo pravděpodobně budou podstatně dotčeny subjekty údajů ve více než jednom členském státě Evropské Unie;

17. "oprávněnou osobou" každý zaměstnanec správce, který z důvodu výkonu svého zaměstnání pro správce přichází do styku či zpracovává osobní údaje, tj. účetní, [·]¹⁴. Oprávněné osoby musí být poučeny a seznámeny s obsahem tohoto vnitřního předpisu; o poučení a seznámení je sepsán písemný záznam. Oprávněné osoby je nutné opětovně poučit, pokud došlo ke změně jejich pracovního zařazení či jiné změně mající za následek změnu či rozsah pracovních úkonů oprávněné osoby ve vztahu ke zpracování osobních údajů. Přístup k osobním údajům subjektů údajů je striktně omezen pouze na poučené oprávněné osoby.

18. "odpovědnou osobou" je [pověřený účetní / pověřený zaměstnanec / oddělení ... ]¹⁵, kontaktní údaje [·]¹⁶, který je pověřen správcem plnit práva a povinnosti správce dle tohoto vnitřního předpisu vůči subjektům údajů a být kontaktním místem správce se subjekty údajů.

Odpovědná osoba [je/není]¹⁷ určena k právnímu jednání a zastupování správce s dozorovými úřady.

Je-li však jmenován pověřenec pro ochranu osobních údajů, je kontaktním místem pro dozorový úřad vždy pověřenec. Odpovědná osoba konzultuje zpracování osobních údajů s pověřencem pro ochranu osobních údajů, je-li jmenován a řídí se jeho pokyny.

19. "zástupcem" jakákoli fyzická nebo právnická osoba usazená v Evropské Unii, která je správcem nebo zpracovatelem určena písemně podle článku 27 Nařízení k tomu, aby správce nebo zpracovatele zastupovala, pokud jde o příslušné povinnosti správce nebo zpracovatele ve smyslu Nařízení;¹⁸

Zástupcem správcem dle tohoto vnitřního předpisu je [·]¹⁹.

Kontaktní údaje zástupce správce: [·]²⁰.

20. "posouzením vlivu" na ochranu osobních údajů se podle čl. 35 Nařízení rozumí provedení posouzení vlivu na ochranu osobních údajů a "předchozími konzultacemi" se podle čl. 36 Nařízení rozumí provedení předchozích konzultací s dozorovým úřadem. Správce po důkladném zhodnocení zpracování osobních údajů dle tohoto vnitřního předpisu [provedl / neprovedl]²¹ před zpracováním posouzení vlivu a dále [provedl / neprovedl]²² před zpracováním předchozí konzultace s dozorovým úřadem.

21. "pověřencem pro ochranu osobních údajů správce" se podle čl. 37 a dalšími Nařízení rozumí osoba²³ jmenovaná správcem pověřencem pro ochranu osobních údajů. Správce [má / nemá]²⁴ určeného pověřence pro ochranu osobních údajů.

Pověřenec poskytuje informace a poradenství účetním při zpracování osobních údajů dle tohoto vnitřního předpisu, spolupracuje s dozorovým úřadem a je kontaktním místem pro dozorový úřad v záležitostech týkajících se zpracování osobních údajů

Kontaktní údaje Pověřence:²⁵ [............] ²⁶

22. "kodexem chování" se podle čl. 40 Nařízení rozumí kodexy chování přispívající k řádnému uplatňování Nařízení, které správci a zpracovatelé musí či mohou dodržovat. Správce se při zpracování osobních údajů [řídí / neřídí]²⁷ kodexem(y) chování.

Kodex chování je publikován zde: ²⁸[............];²⁹

23. "osvědčením" se podle čl. 42 Nařízení rozumí osvědčení o ochraně osobních údajů. Správce [zpracoval / nezpracoval]³⁰ mechanismus pro vydávání osvědčení a [bylo/nebylo]³¹ mu vydáno osvědčení dle čl. 42 Nařízení;

a dále:³²

24. "genetickými údaji" osobní údaje týkající se zděděných nebo získaných genetických znaků fyzické osoby, které poskytují jedinečné informace o její fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku dotčené fyzické osoby;

25. "biometrickými údaji" osobní údaje vyplvající z konkrétního technického zpracování týkající se fyzických či fyziologických znaků nebo znaků chování fyzické osoby, které umožňuje nebo potvrzuje jedinečnou identifikaci, například zobrazení obličeje nebo daktyloskopické údaje;

26. "údaji o zdravotním stavu" osobní údaje týkající se tělesného nebo duševního zdraví fyzické osoby, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jejím zdravotním stavu;

27. "hlavní provozovnou":

1. v případě správce s provozovnami ve více než jednom členském státě místo, kde se nachází jeho ústřední správa v Evropské Unii, ledaže jsou rozhodnutí o účelech a prostředcích zpracování osobních údajů přijímána v jiné provozovně správce v Evropské Unii a tato jiná provozovna má pravomoc vymáhat provádění těchto rozhodnutí, přičemž v takovém případě je za hlavní provozovnu považována provozovna, která tato rozhodnutí přijala;
2. v případě zpracovatele s provozovnami ve více než jednom členském státě místo, kde se nachází jeho ústřední správa v Evropské Unii, nebo pokud zpracovatel nemá v Evropské Unii žádnou ústřední správu, pak ta provozovna zpracovatele v Evropské Unii, kde probíhají hlavní činnosti zpracování v souvislosti s činnostmi provozovny zpracovatele, v rozsahu, v jakém se na zpracovatele vztahují specifické povinnosti podle tohoto nařízení;

28. "podnikem" jakákoli fyzická nebo právnická osoba vykonávající hospodářskou činnost bez ohledu na její právní formu, včetně osobních společností nebo sdružení, která běžně vykonávají hospodářskou činnost;

29. "skupinou podniků" skupina zahrnující řídící podnik a jím řízené podniky;

30. "závaznými podnikovými pravidly" koncepce ochrany osobních údajů, kterou dodržuje správce nebo zpracovatel usazený na území členského státu Evropské Unie při jednorázových nebo souborných předáních osobních údajů správci nebo zpracovateli v jedné nebo více třetích zemích v rámci skupiny podniků nebo uskupení podniků vykonávajících společnou hospodářskou činnost;

31. "relevantní a odůvodněnou námitkou" námitka vůči návrhu rozhodnutí za účelem posouzení, zda došlo k porušení Nařízení, nebo zda je zamýšlený úkon v souvislosti se správcem či zpracovatelem v souladu s Nařízením, která jasně dokazuje významnost rizik vyplývajících z návrhu rozhodnutí, pokud jde o základní práva a svobody subjektů údajů, případně volný pohyb osobních údajů v rámci Evropské Unie;

32. "službou informační společnosti" služba ve smyslu čl. 1 odst. 1 písm. b) směrnice (EU) 2015/1535 (19);

33. "mezinárodní organizací" organizace a jí podřízené subjekty podléhající mezinárodnímu právu veřejnému nebo jiný subjekt zřízený dohodou mezi dvěma nebo více zeměmi nebo na jejím základě.

Zpracování osobních údajů správcem dle tohoto vnitřního předpisu podléhá v souladu s Právními předpisy těmto zásadám:

1. Osobní údaje musí být:

1. ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem ("zákonnost, korektnost a transparentnost");
2. shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se podle čl. 89 odst. 1 Nařízení nepovažuje za neslučitelné s původními účely ("účelové omezení");
3. přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány ("minimalizace údajů");
4. přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny ("přesnost");
5. uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány; osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1 Nařízení, a to za předpokladu provedení příslušných technických a organizačních opatření požadovaných Nařízením s cílem zaručit práva a svobody subjektu údajů ("omezení uložení");
6. zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením ("integrita a důvěrnost").

2. Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit.

1. Účely zpracování

Účely zpracování, pro které jsou osobní údaje určeny, jsou interní vedení účetnictví společnosti správce a provádění veškerých účetních operací účetními pro správce dle platných právních předpisů.

Správce nezpracovává osobní údaje pro jiné účely než pro výše uvedené.

2. Právní základ pro zpracování

Právním základem pro zpracování osobních údajů subjektu údajů je skutečnost, že zpracování je nezbytné pro splnění právních povinností, které se vztahují dle platných právních předpisů na správce podle čl. 6 odst. 1 písm. c) Nařízení, dále že zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů podle čl. 6 odst. 1 písm. b) Nařízení a dále že zpracování je nezbytné pro účely oprávněných zájmů správce či třetí strany podle čl. 6 odst. 1 písm. f) Nařízení, kterými jsou [·]³⁴.

Alternativně lze doplnit: ³⁵

Právním základem pro zpracování osobních údajů subjektu údajů může být v konkrétním případu i souhlas se zpracováním osobních údajů subjektu údajů podle čl. 6 odst. 1 písm. a) Nařízení. Subjekt údajů má právo svůj souhlas kdykoli odvolat.

3. Kategorie osobních údajů

Předmětem zpracování nejsou zvláštní kategorie osobních údajů.³⁶

1. Právo subjektu údajů na informace

Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne odpovědná osoba za správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

1. totožnost a kontaktní údaje správce a jeho případného zástupce;
2. případně kontaktní údaje případného pověřence pro ochranu osobních údajů;
3. účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;
4. oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f) Nařízení;³⁷
5. případné příjemce nebo kategorie příjemců osobních údajů;
6. případný úmysl správce předat osobní údaje do třetí země nebo mezinárodní organizaci a existenci či neexistenci rozhodnutí Komise Evropské Unie o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo čl. 49 odst. 1 druhém pododstavci Nařízení, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny;
7. doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby;
8. existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů;
9. pokud je zpracování založeno na souhlasu subjektu údajů podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) Nařízení, existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním;
10. existence práva podat stížnost u dozorového úřadu;
11. skutečnost, zda poskytování osobních údajů je zákonným či smluvním požadavkem, nebo požadavkem, který je nutné uvést do smlouvy, a zda má subjekt údajů povinnost osobní údaje poskytnout, a ohledně možných důsledků neposkytnutí těchto údajů;
12. skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4 Nařízení, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

Pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne odpovědná osoba subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené výše v tomto článku.

Výše v tomto článku uvedené se nepoužije, pokud subjekt údajů již uvedené informace má, a do té míry, v níž je má.

2. Právo subjektu údajů na přístup k osobním údajům

Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:

1. účely zpracování;
2. kategorie dotčených osobních údajů;
3. příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích;
4. plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby;
5. existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování a nebo vznést námitku proti tomuto zpracování;
6. právo podat stížnost u dozorového úřadu;
7. veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů;
8. skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4 Nařízení, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

Pokud se osobní údaje předávají do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 46 Nařízení, které se vztahují na předání.

Správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob. Právem získat kopii uvedenou v předchozí větě nesmějí být nepříznivě dotčena práva a svobody jiných osob.

3. Zajištění a organizace výkonu práv a povinností dle čl. 5 u správce

Povinnosti správce dle tohoto bodu zajišťuje odpovědná osoba. Potvrzení či přístup k osobním údajům dle tohoto bodu je subjektu údajů zasláno či umožněno bez zbytečného odkladu, nejpozději však do jednoho týdne od doručení žádosti správci.

Účetní oddělení spolupracuje s odpovědnou osobou dle jejích pokynů a na její požádání při provádění povinností správce dle čl. 5 vnitřního předpisu.

1. Právo na opravu

Subjekt údajů má právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení.

2. Právo na výmaz ("právo být zapomenut")

Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:

1. osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány;
2. subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo…