Source: http://www.beck-online.cz/bo/chapterview-document.seam?documentId=onrf6mrqge4v6mjrga
Timestamp: 2019-11-15 04:37:49+00:00
Document Index: 31334905

Matched Legal Cases: ['§ 1', '§ 66', '§ 1', '§ 4', '§ 4', 'čl. 12', '§ 6', 'čl. 23', 'čl. 55', 'čl. 9', 'čl. 15', '§ 17', 'čl. 9', 'čl. 10', '§ 17', 'čl. 12', 'čl. 13', 'čl. 21', 'čl. 5', 'čl. 14', 'čl. 21', 'čl. 5', 'čl. 15', 'čl. 5', '§ 17', 'čl. 14', 'čl. 15', 'čl. 5', '§ 17', 'čl. 33', 'čl. 34', '§ 17', '§ 17', 'čl. 18', 'čl. 5', '§ 17', 'čl. 17', 'čl. 19', 'čl. 5', 'čl. 19', 'čl. 5', '§ 17', '§ 17', 'čl. 19', 'čl. 5', 'čl. 21', 'čl. 5', '§ 17', '§ 18', 'čl. 12', 'čl. 5', '§ 17', 'čl. 20', 'čl. 58', '§ 17', '§ 24', 'čl. 4', '§ 24', '§ 25', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28', 'soud ', '§ 24', '§ 32', '§ 37', '§ 41', '§ 28', '§ 43', 'čl. 4', '§ 50', 'čl. 53', 'čl. 53', '§ 52', '§ 58', '§ 6', '§ 61', 'čl. 83', 'čl. 42', 'čl. 41', '§ 54', '§ 60', '§ 32', '§ 66', 'zákona č. 101', 'zákona č. 101', 'zákona č. 101', 'zákona č. 101', 'zákona č. 301']

110/2019 Sb. - Beck-online
110/2019 Sb.: od 24. 4. 2019
Část první. Zpracování osobních údajů (§ 1-65)
Část druhá. Přechodná, zrušovací a závěrečná ustanovení (§ 66-68)
110/2019 Sb. znění účinné od 24. 4. 2019
Zpracování osobních údajů (§ 1-65)
Tento zákon zapracovává příslušné předpisy Evropské unie1, zároveň navazuje na přímo použitelný předpis Evropské unie2 a k naplnění práva každého na ochranu soukromí upravuje práva a povinnosti při zpracování osobních údajů.
zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/6792,
postavení a pravomoc Úřadu pro ochranu osobních údajů (dále jen „Úřad“).
Zpracování osobních údajů podle přímo použitelného předpisu Evropské unie (§ 4-23)
Obecná ustanovení (§ 4-16)
Ustanovení této hlavy se použijí při zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/679.
Ustanovení této hlavy a nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí i při zpracování osobních údajů, které mají být nebo jsou zařazeny do evidence, a při zpracování osobních údajů, které probíhá zcela nebo částečně automatizovaně, nejde-li o zpracování osobních údajů fyzickou osobou v průběhu výlučně osobních nebo domácích činností,
Nestanoví-li jiný právní předpis jinak, správce není povinen při zajišťování chráněného zájmu posuzovat před zpracováním osobních údajů k jinému účelu, než ke kterému byly shromážděny, slučitelnost těchto účelů, je-li toto zpracování nezbytné a přiměřené pro splnění
Chráněným zájmem podle odstavce 1 se rozumí
Nestanoví-li jiný právní předpis jinak, čl. 12 až 22 a v jim odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito články odloží, je-li to nezbytné a svým rozsahem přiměřené k zajištění chráněného zájmu uvedeného v § 6 odst. 2.
Omezení některých práv nebo povinností podle odstavce 1 správce nebo zpracovatel bez zbytečného odkladu oznámí Úřadu, přitom uvede v přiměřeném rozsahu skutečnosti podle čl. 23 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679; to neplatí pro soudy provádějící zpracování osobních údajů podle čl. 55 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679.
Osoby oprávněné k vydávání osvědčení o ochraně osobních údajů jsou akreditovány osobou pověřenou k výkonu působnosti akreditačního orgánu podle zákona upravujícího akreditaci subjektů posuzování shody3.
Správce nebo zpracovatel při zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely zajistí dodržování konkrétních opatření k ochraně zájmů subjektu údajů, která odpovídají stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i různě pravděpodobným a závažným rizikům pro práva a svobody fyzických osob. Taková opatření mohou zahrnovat zejména
Pokud to umožňuje dosáhnout účelu uvedeného v odstavci 1, osobní údaje uvedené v čl. 9 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 správce nebo zpracovatel dále zpracovává v podobě, která neumožňuje identifikaci subjektu údajů, ledaže tomu brání oprávněné zájmy subjektu údajů.
Nestanoví-li jiný právní předpis jinak, čl. 15, 16, 18 a 21 a v jim odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito články odloží, je-li to nezbytné a svým rozsahem přiměřené k naplnění účelu zpracování uvedeného v odstavci 1. Článek 15 a v jemu odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužije, pokud je zpracování nezbytné pro účely vědeckého výzkumu a poskytnutí informací by vyžadovalo nepřiměřené úsilí.
Zpracování osobních údajů prováděné pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu (§ 17-23)
Osobní údaje lze zpracovávat také tehdy, slouží-li to přiměřeným způsobem pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu. Při posouzení přiměřenosti podle věty první se přihlédne také k tomu, jestli zpracování zahrnuje osobní údaje uvedené v čl. 9 odst. 1 nebo čl. 10 nařízení Evropského parlamentu a Rady (EU) 2016/679.
Zpracování osobních údajů pro účely uvedené v odstavci 1 není podmíněno povolením nebo schválením Úřadu a požívá práva na ochranu zdroje a obsahu informací, a to i v případě zpracování osobních údajů způsobem umožňujícím dálkový přístup.
Správce může při zpracování osobních údajů pro účely uvedené v § 17 odst. 1 své povinnosti, vyplývající z čl. 12 odst. 1 a 2, čl. 13 odst. 1 až 3 a čl. 21 odst. 4, a v jim odpovídajícím rozsahu též z čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, splnit také jakýmkoliv vhodným informováním subjektu údajů o identitě správce. Informovat o identitě správce lze také vhodným přihlášením se k identitě správce, které může být provedeno grafickým označením, ústně či jiným vhodným způsobem. Informace o identitě správce je dostačující tehdy, je-li poučení správce o právech subjektu údajů a dalších skutečnostech potřebných pro ochranu jeho práv v rozsahu odpovídajícím jím obvykle prováděnému zpracování osobních údajů veřejně dostupné způsobem umožňujícím dálkový přístup.
Informaci o identitě správce není třeba poskytnout v odůvodněných případech, zejména pokud:
Povinnost informovat podle čl. 14 odst. 1 až 4 a čl. 21 odst. 4 a v jim odpovídajícím rozsahu též čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, jakož i o ostatních právech subjektu údajů, lze splnit také uveřejněním těchto informací způsobem umožňujícím dálkový přístup; v takovém případě postačí informovat o správcem obvykle prováděném zpracování osobních údajů.
Právo na přístup k osobním údajům podle čl. 15 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužije, pokud se jedná o osobní údaje, které nebyly správcem uveřejněny a jsou zpracovávány pouze za účelem uvedeným v § 17 odst. 1. V ostatních případech může správce přístup k osobním údajům vyloučit v odůvodněných případech, zejména pokud by jinak došlo k ohrožení nebo zmaření oprávněného účelu zpracování osobních údajů nebo by to vyžadovalo nepřiměřené úsilí.
Ustanovení čl. 14 odst. 2 písm. f) a čl. 15 odst. 1 písm. g) a v jim odpovídajícím rozsahu též čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se na zpracování osobních údajů pro účely uvedené v § 17 odst. 1 nepoužije.
Pokud je správce povinen oznámit porušení zabezpečení osobních údajů podle čl. 33 odst. 1 nebo čl. 34 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679, nemusí oznamovat informace umožňující určení zdroje nebo obsahu osobních údajů, jejichž zabezpečení bylo porušeno.
V případě uplatnění práv na výmaz nebo na opravu osobních údajů, které jsou zpracovávány pro účely uvedené v § 17 odst. 1, se postupuje podle jiných právních předpisů4.
Jde-li o zpracování osobních údajů k účelům uvedeným v § 17 odst. 1, má subjekt údajů právo na omezení zpracování osobních údajů podle čl. 18 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 pouze tehdy, pokud správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů tyto údaje požaduje pro určení, výkon nebo obhajobu právních nároků. To neplatí, pokud by to vyžadovalo nepřiměřené úsilí.
Je-li správce v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1, uskutečňovaným také způsobem umožňujícím dálkový přístup, povinen oznámit příjemcům opravu, výmaz nebo omezení zpracování osobních údajů podle čl. 17 odst. 2 nebo čl. 19 a v jim odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, může tuto povinnost splnit také uvedením údaje o okamžiku poslední aktualizace obsahu, v němž jsou nebo byly osobní údaje uvedeny, nebo jiným vhodným opatřením.
Oprava, výmaz nebo omezení zpracování podle čl. 19 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se oznamuje tomu, komu správce osobní údaje zpracovávané pro účely uvedené v § 17 odst. 1 předal, je-li to potřebné k ochraně práv nebo oprávněných zájmů subjektu údajů a nevyžaduje-li to nepřiměřené úsilí.
Správce může informovat subjekt údajů pouze o kategoriích příjemců, pokud v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1 vyžaduje informování subjektu údajů o příjemcích podle čl. 19 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 nepřiměřené úsilí, nebo pokud by došlo k ohrožení nebo zmaření oprávněného účelu zpracování.
Námitku podle čl. 21 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 lze v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1 vznést jen proti konkrétnímu zpřístupnění nebo uveřejnění osobních údajů; přitom subjekt údajů uvede konkrétní důvody nasvědčující, že v daném případě převažuje oprávněný zájem na ochraně jeho práv a svobod nad zájmem na takovém zpřístupnění nebo uveřejnění.
Byla-li podána námitka podle odstavce 1, je správce povinen takové zpřístupnění nebo uveřejnění ukončit, pokud má za to, že subjekt údajů osvědčil, že nad zájmem na tomto uveřejnění v daném případě převažuje oprávněný zájem na ochraně jeho práv a svobod. Správce bez zbytečného odkladu informuje subjekt údajů o tom, zda jeho námitce vyhověl.
Ustanovení § 18 až 22 a ustanovení čl. 12 až 19, 21, 33 a 34 a v jim odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužijí, použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů v nich stanovených odloží,
Ustanovení kapitoly VII nařízení Evropského parlamentu a Rady (EU) 2016/679 se při zpracování uvedeném v § 17 odst. 1 nepoužijí. Ustanovení čl. 20, 22, 56 a 58 odst. 1 písm. a), b), e) a f) a čl. 58 odst. 2 písm. d), f) a g) a kapitol II, IV, V a IX nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužijí, použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito ustanoveními odloží, je-li to nezbytné ke splnění účelu zpracování uvedeného v § 17 odst. 1.
Pokud by vyloučení nebo omezení některých práv nebo povinností podle odstavce 2 vedlo pravděpodobně k vysokému riziku pro oprávněné zájmy subjektu údajů, správce nebo zpracovatel bez zbytečného odkladu přijme a dokumentuje vhodná opatření ke zmírnění takového nebo obdobného rizika.
Ochrana osobních údajů při jejich zpracování za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti (§ 24-42)
Nestanoví-li zákon jinak, ustanovení této hlavy se použijí při zpracování osobních údajů, které je nezbytné pro plnění úkolu a výkon veřejné moci spravujícího orgánu stanovených jinými zákony5 za účelem předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech.
Pro účely této hlavy se použije čl. 4 body 1 až 6, 8, 9, 12 až 15 a 26 nařízení Evropského parlamentu a Rady (EU) 2016/679 obdobně.
Spravujícím orgánem se rozumí orgán veřejné moci příslušný k plnění úkolu uvedeného v odstavci 1, který není zpravodajskou službou nebo obecní policií.
Ustanovení této hlavy se použijí na zpracování osobních údajů, které jsou nebo mají být zařazeny do evidence, nebo pokud toto zpracování probíhá zcela nebo částečně automatizovaně.
Při zpracování osobních údajů spravující orgán
Pro účel nesouvisející s plněním úkolu uvedeného v § 24 odst. 1 lze osobní údaje zpracovávat, pouze pokud je k tomu spravující orgán oprávněn a tento účel není neslučitelný se stanoveným konkrétním účelem jejich zpracování.
kontaktních údajích pověřence pro ochranu osobních údajů (dále jen „pověřenec“),
Spravující orgán na žádost subjektu údajů sdělí, zda zpracovává osobní údaje vztahující se k jeho osobě. Jestliže takové údaje spravující orgán zpracovává, předá je subjektu údajů a sdělí mu informace o
Spravující orgán žádosti podle odstavce 1 nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení
Pokud by vyhověním žádosti nebo sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení podle odstavce 2, spravující orgán informuje subjekt údajů stejně jako ty žadatele, jejichž osobní údaje nezpracovává.
Spravující orgán vede o důvodech pro postup podle odstavců 2 a 3 dokumentaci, kterou uchovává nejméně 3 roky.
Spravující orgán na žádost subjektu údajů provede opravu nebo doplnění osobních údajů vztahujících se k jeho osobě. Vyžaduje-li to účel zpracování osobních údajů, může spravující orgán namísto opravy osobní údaje doplnit nebo k nim připojit dodatečné prohlášení.
Spravující orgán na žádost subjektu údajů provede výmaz osobních údajů vztahujících se k jeho osobě, pokud spravující orgán porušil zásady zpracování osobních údajů podle § 25 nebo jiného právního předpisu5 nebo omezení zpracování některých kategorií osobních údajů, nebo pokud má spravující orgán povinnost tyto údaje vymazat.
Namísto opravy nebo výmazu osobních údajů může spravující orgán omezit zpracování osobních údajů jejich zvláštním označením,
Je-li zpracování osobních údajů omezeno podle odstavce 3 písm. a), spravující orgán informuje subjekt údajů před zrušením takového omezení; spravující orgán rovněž subjekt údajů informuje, má-li být omezení zrušeno na základě rozhodnutí Úřadu nebo příslušného soudu.
Spravující orgán žádosti podle odstavců 1 až 3 nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení podle § 28 odst. 2. Pokud by sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení podle § 28 odst. 2, spravující orgán žadatele informuje tak, aby takovému ohrožení předcházel.
Spravující orgán vede o důvodech pro postup podle odstavce 5 dokumentaci, kterou uchovává nejméně 3 roky.
Spravující orgán vyřídí žádost podle § 28 nebo 29 bez zbytečného odkladu, nejdéle však do 60 dnů ode dne jejího podání.
Pokud spravující orgán doloží, že žádost podle § 28 nebo 29 je zjevně nedůvodná nebo nepřiměřená, zejména proto, že se v krátké době v téže věci opakuje, nemusí žádosti vyhovět.
Spravující orgán v rámci vyřízení žádosti podle § 28 nebo 29 informuje subjekt údajů o možnosti
O vyřízení žádosti podle § 28 nebo 29 spravující orgán subjekt údajů písemně informuje. Informace o vyřízení žádosti obsahuje odůvodnění, s výjimkou případů, kdy se žádosti vyhovuje v plném rozsahu. Je-li subjekt údajů zastoupen, může spravující orgán požadovat, aby byl podpis na písemné plné moci úředně ověřen; úřední ověření není třeba, pokud byla plná moc udělena před spravujícím orgánem.
Ustanovení odstavce 3 písm. a) a b) se nepoužijí, je-li spravujícím orgánem soud nebo státní zastupitelství.
Úřad může na základě podnětu subjektu údajů ověřit zákonnost zpracování osobních údajů.
Úřad nemusí podnětu podle odstavce 1 vyhovět zejména, pokud doloží, že podnět je zjevně nedůvodný nebo nepřiměřený, například proto, že se v krátké době v téže věci opakuje.
Úřad do 4 měsíců ode dne podání podnětu o ověření zákonnosti zpracování osobních údajů informuje subjekt údajů, zda ověřil zákonnost jejich zpracování či nikoliv; pokud tak neučinil, připojí k informaci odůvodnění svého postupu.
Úřad rovněž informuje subjekt údajů o možnosti žádat o soudní ochranu.
Spravující orgán s přihlédnutím k povaze, rozsahu, okolnostem, účelům a rizikům zpracování osobních údajů přijme taková technická a organizační opatření, aby zajistil a doložil splnění svých povinností při ochraně osobních údajů.
Spravující orgán s přihlédnutím k povaze, rozsahu, okolnostem, účelům a rizikům zpracování osobních údajů, vývoji techniky a nákladům přijímá technická a organizační opatření s cílem
Spravující orgán vede o opatřeních přijatých podle odstavců 1 a 2 dokumentaci, kterou uchovává po dobu zpracování osobních údajů.
Spravující orgán vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují
Dojde-li k nesprávnému předání nebo k předání nepřesných osobních údajů, spravující orgán o tom bez zbytečného odkladu informuje příjemce těchto údajů a orgán příslušný pro plnění účelu uvedeného v § 24 odst. 1, který je jejich původcem. Pokud spravující orgán provedl opravu, doplnění, omezení zpracování nebo výmaz osobních údajů, vyrozumí o nutnosti takového postupu rovněž příjemce těchto údajů.
Spravující orgán pověří zpracováním osobních údajů pouze zpracovatele, který je schopen přijetím opatření podle § 32 odst. 1 účinně zajistit plnění povinností při ochraně osobních údajů.
Pokud pověření zpracovatele nevyplývá z právního předpisu, spravující orgán se zpracovatelem uzavře písemnou smlouvu o zpracování osobních údajů. Nevyplývá-li to přímo z právního předpisu, smlouva především určí
Smlouva o zpracování osobních údajů dále určí, nevyplývá-li to přímo z právního předpisu, že zpracovatel
Zpracovatel vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují
Zpracovatel bez zbytečného odkladu oznámí spravujícímu orgánu porušení zabezpečení osobních údajů.
Zpracovatel může pověřit dalšího zpracovatele jen s předchozím písemným souhlasem spravujícího orgánu. Je-li souhlas spravujícího orgánu udělen obecně pro blíže neurčeného dalšího zpracovatele, zpracovatel, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, informuje předem spravující orgán o všech připravovaných pověřeních dalších zpracovatelů. Na vztah mezi zpracovatelem, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, a dalším zpracovatelem se použijí odstavce 1 až 3 obdobně.
Provádí-li spravující orgán automatizované zpracování osobních údajů, pořizuje záznamy alespoň o operacích shromáždění, vložení, pozměnění, kombinování, nahlédnutí, předání, sdělení a výmazu osobních údajů.
Záznamy o operacích shromáždění, vložení, nahlédnutí nebo sdělení podle odstavce 1 umožňují určit a ověřit důvod a čas těchto operací, totožnost osoby provádějící operaci a totožnost příjemce, ledaže zjištění totožnosti těchto osob není z technických důvodů možné.
Záznamy podle odstavce 1 lze využít pouze pro účely trestního řízení, ověření zákonnosti zpracování osobních údajů, zajištění neporušenosti zabezpečení osobních údajů a zajištění plnění úkolů spravujícího orgánu nebo zpracovatele a povinností osob, kterým se poskytuje přístup k osobním údajům.
Záznamy podle odstavce 1 jsou uchovávány po dobu 3 let od výmazu osobních údajů, ke kterým se vztahují.
Povinnosti spravujícího orgánu stanovené v odstavcích 1 až 4 platí pro zpracovatele obdobně.
Má-li připravovaným zpracováním osobních údajů vzniknout nová evidence, spravující orgán podá Úřadu žádost o projednání takového zpracování, pokud
Součástí žádosti podle odstavce 1 je posouzení vlivu podle § 37; na vyžádání Úřadu spravující orgán poskytne i jiné související informace.
Úřad může vydat seznam zpracování osobních údajů, která je spravující orgán povinen projednat s Úřadem. O takových zpracováních Úřad spravující orgán informuje.
Má-li Úřad za to, že by připravované zpracování osobních údajů porušilo ustanovení této hlavy nebo ustanovení jiného právního předpisu upravujícího zpracování osobních údajů, upozorní na to spravující orgán do 6 týdnů ode dne podání žádosti podle odstavce 1, popřípadě uplatní další své pravomoci. Tuto lhůtu může Úřad s ohledem na složitost věci prodloužit o 1 měsíc; o prodloužení lhůty Úřad informuje spravující orgán do 1 měsíce ode dne podání žádosti.
Spravující orgán přijme taková organizační a technická opatření, aby zajistil úroveň zabezpečení osobních údajů odpovídající povaze, rozsahu, okolnostem, účelu a riziku jejich zpracování.
Jsou-li osobní údaje zpracovávány automatizovaně, spravující orgán přijme nezbytná opatření, aby
Povinnosti spravujícího orgánu stanovené v odstavcích 1 a 2 platí pro zpracovatele obdobně.
Spravující orgán ohlásí bez zbytečného odkladu porušení zabezpečení osobních údajů Úřadu, ledaže je riziko neoprávněného zásahu do práv a svobod subjektu údajů nízké.
Pokud spravující orgán provede ohlášení po více než 72 hodinách od okamžiku, kdy se o něm dozvěděl, připojí k němu odůvodnění tohoto prodlení.
V ohlášení podle odstavce 1 spravující orgán uvede, pokud jsou mu tyto údaje známy, alespoň
Skutečnosti podle odstavce 3, které mu nebyly v době ohlášení známy, spravující orgán doplní bez zbytečného odkladu poté, co se o nich dozví.
Skutečnosti podle odstavce 3 sdělí spravující orgán též osobě nebo orgánu jiného členského státu Evropské unie, který osobní údaje poskytl nebo obdržel.
Spravující orgán vede o každém porušení zabezpečení osobních údajů, jeho důsledcích a přijatých nápravných opatřeních dokumentaci, kterou uchovává nejméně 3 roky.
Spravující orgán oznámí bez zbytečného odkladu porušení zabezpečení osobních údajů subjektu údajů, pokud je riziko neoprávněného zásahu do práv a svobod subjektu údajů plynoucí z tohoto porušení vysoké.
V oznámení spravující orgán uvede alespoň údaje uvedené v § 41 odst. 3 písm. a) a c) až e).
Pokud by oznámení subjektu údajů podle odstavce 1 vyžadovalo nepřiměřené úsilí, spravující orgán oznámení vhodným způsobem zveřejní.
Spravující orgán není povinen porušení zabezpečení osobních údajů oznámit, pokud
O existenci vysokého rizika neoprávněného zásahu do práv a svobod subjektu údajů nebo o splnění podmínek podle odstavce 4 může rozhodnout také Úřad.
Spravující orgán porušení zabezpečení osobních údajů neoznámí, popřípadě oznámí pouze částečně, pokud by oznámením došlo k ohrožení podle § 28 odst. 2.
Ochrana osobních údajů při zajišťování obranných a bezpečnostních zájmů České republiky (§ 43-49)
Ustanovení této hlavy se použijí při zpracování osobních údajů k zajišťování obranných a bezpečnostních zájmů České republiky, pokud jiný právní předpis6 nestanoví jinak.
Pro účely této hlavy se použije čl. 4 body 1, 2, 6 až 8, 9 a 11 nařízení Evropského parlamentu a Rady (EU) 2016/679 obdobně.
Správce může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu může správce osobní údaje zpracovávat, jestliže
Subjekt údajů musí být před udělením souhlasu informován o tom, pro jaký účel zpracování osobních údajů a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Souhlas subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu jejich zpracování.
Povinnosti stanovené v odstavcích 3 a 4 platí pro zpracovatele obdobně.
Jestliže zpracovatel zjistí, že správce porušuje povinnosti stanovené tímto zákonem nebo jiným právním předpisem6, je povinen jej na to neprodleně upozornit a ukončit zpracování osobních údajů. Pokud tak neučiní, odpovídá za škodu společně a nerozdílně se správcem.
Správce je povinen přijmout taková technická a organizační opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení, ztrátě, neoprávněnému přenosu nebo jinému neoprávněnému zpracování nebo zneužití. Tato povinnost platí i po ukončení zpracování osobních údajů.
Správce je povinen přijmout technická a organizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy. Správce vede o přijatých technických a organizačních opatřeních dokumentaci, kterou uchovává po dobu zpracování osobních údajů.
V rámci opatření podle odstavce 1 správce posuzuje rizika týkající se oblastí
Při automatizovaném zpracování osobních údajů je správce v rámci opatření podle odstavce 1 dále povinen
Povinnosti stanovené v odstavcích 1 až 4 platí pro zpracovatele obdobně.
Každý subjekt údajů, který má za to, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo s touto hlavou, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování, může
Je-li žádost subjektu údajů podle odstavce 1 písm. b) shledána oprávněnou, správce nebo zpracovatel bez zbytečného odkladu odstraní závadný stav.
Došlo-li při zpracování osobních údajů k porušení povinností uložených zákonem u správce nebo u zpracovatele, odpovídají za újmu společně a nerozdílně.
Správce je povinen bez zbytečného odkladu informovat příjemce o žádosti subjektu údajů podle odstavce 1 a o opravě, doplnění nebo výmazu osobních údajů. To se nepoužije, je-li informování příjemce nemožné nebo by vyžadovalo neúměrné úsilí.
Úřad (§ 50-60)
Úřad je ústředním správním úřadem pro oblast ochrany osobních údajů v rozsahu stanoveném tímto zákonem, jinými právními předpisy5, mezinárodními smlouvami, které jsou součástí právního řádu, a přímo použitelnými předpisy Evropské unie.
Do činnosti Úřadu lze zasahovat jen na základě zákona. Při výkonu své působnosti v oblasti ochrany osobních údajů Úřad postupuje nezávisle a řídí se pouze právními předpisy a přímo použitelnými předpisy Evropské unie.
Náměstek ministra vnitra pro státní službu není nadřízeným služebním orgánem vůči předsedovi Úřadu. Proti rozhodnutí předsedy Úřadu ve věci státní služby a proti rozhodnutí kárné komise prvního stupně zřízené v Úřadu není odvolání přípustné.
Úřad řídí předseda Úřadu, kterého jmenuje a odvolává prezident republiky na návrh Senátu. Předseda Úřadu se považuje za člena dozorového úřadu podle čl. 53 nařízení Evropského parlamentu a Rady (EU) 2016/679. Předseda Úřadu může pověřit místopředsedu Úřadu trvalým plněním některých svých úkolů. Předseda Úřadu se považuje za služební orgán podle zákona o státní službě a je oprávněn dávat státnímu zaměstnanci příkazy k výkonu státní služby.
Funkční období předsedy Úřadu je 5 let. Předseda Úřadu může být jmenován nejvýše na 2 po sobě jdoucí funkční období.
je bezúhonný, splňuje podmínky stanovené jiným právním předpisem7 a jeho znalosti, zkušenosti a morální vlastnosti jsou předpokladem, že bude svoji funkci řádně zastávat, a
Za bezúhonnou se pro účel tohoto zákona považuje fyzická osoba, která nebyla pravomocně odsouzena pro úmyslný trestný čin nebo trestný čin spáchaný z nedbalosti v souvislosti se zpracováním osobních údajů.
S výkonem funkce předsedy Úřadu je neslučitelná funkce poslance nebo senátora, soudce, státního zástupce, jakákoliv funkce ve veřejné správě a členství v politické straně nebo politickém hnutí.
Z funkce může být předseda Úřadu odvolán, přestal-li splňovat některou z podmínek pro jeho jmenování.
Úřad má 2 místopředsedy, které na návrh předsedy Úřadu volí a odvolává Senát. Místopředseda Úřadu je ředitelem sekce. Místopředseda Úřadu se považuje za člena dozorového úřadu podle čl. 53 nařízení Evropského parlamentu a Rady (EU) 2016/679.
Místopředseda Úřadu zastupuje předsedu Úřadu v jeho nepřítomnosti; pořadí zastupování se řídí pořadím, ve kterém byli místopředsedové Úřadu zvoleni, včetně případného bezprostředně předcházejícího funkčního období.
Ustanovení § 52 odst. 2 až 7 se použijí obdobně.
Ve vztahu ke zpracování osobních údajů podle hlavy II Úřad
Ve vztahu ke zpracování osobních údajů podle hlavy III, nejde-li o zpracování osobních údajů prováděné soudy a státními zastupitelstvími, Úřad
Dozor nad zpracováním osobních údajů, které provádějí soudy nebo státní zastupitelství podle hlavy III tohoto zákona nebo zpravodajské služby, stanoví jiný právní předpis8.
Úřad využívá při výkonu působnosti podle tohoto zákona nebo jiného právního předpisu ze základního registru obyvatel údaje v rozsahu
Úřad využívá při výkonu působnosti podle tohoto zákona nebo jiného právního předpisu z informačního systému evidence obyvatel údaje v rozsahu
Úřad využívá při výkonu působnosti podle tohoto zákona nebo jiného právního předpisu z informačního systému cizinců údaje v rozsahu
Z poskytovaných údajů lze v konkrétním případě využít vždy jen takové údaje, které jsou nezbytné ke splnění daného úkolu.
Úřad poskytuje v oblasti ochrany osobních údajů podle hlavy III pomoc, včetně provedení šetření, kontrol nebo poskytnutí informací, dozorovým úřadům jiných členských států Evropské unie a států, které uplatňují předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680.
Žádost dozorového úřadu jiného členského státu Evropské unie nebo státu, který uplatňuje právní předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680, podle odstavce 1 Úřad vyřídí bez zbytečného odkladu, nejpozději do 1 měsíce ode dne jejího podání, ledaže k poskytnutí pomoci není Úřad oprávněn nebo by jím došlo k porušení zákona.
O vyřízení žádosti podle odstavce 2 nebo důvodech jejího nevyřízení Úřad informuje žádající dozorový úřad.
Pomoc podle odstavce 1 se poskytuje na náklady Úřadu; pokud vyřízení žádosti vyžaduje vynaložení neúměrných nákladů, Úřad vyřízení žádosti odloží, dokud nedojde k dosažení dohody se žádajícím dozorovým úřadem o způsobu úhrady takových nákladů.
Pokud vyřízení žádosti Úřadu v cizině vyžaduje vynaložení neúměrných nákladů, může být s jeho souhlasem žádost vyřízena na jeho náklady.
Výroční zpráva Úřadu obsahuje zejména informace o provedené kontrolní činnosti a její zhodnocení, informace o stavu v oblasti zpracování a ochrany osobních údajů v České republice a jeho zhodnocení a zhodnocení ostatní činnosti Úřadu, včetně dozoru nad zpracováním osobních údajů podle hlavy II tohoto zákona.
Výroční zprávu předkládá předseda Úřadu Parlamentu a vládě do 3 měsíců od skončení rozpočtového roku.
Úřad je oprávněn seznamovat se se všemi informacemi nezbytnými pro plnění konkrétního úkolu. To platí i pro informace chráněné povinností mlčenlivosti podle jiného právního předpisu, nestanoví-li jiný právní předpis9 pro přístup Úřadu k takovým údajům jiné podmínky.
S informacemi chráněnými povinností mlčenlivosti podle zákona o advokacii je Úřad oprávněn se seznamovat pouze za přítomnosti a se souhlasem zástupce České advokátní komory (dále jen „komora“), kterého ustanoví předseda komory z řad jejích zaměstnanců nebo z řad advokátů. Odmítne-li zástupce komory souhlas udělit, bezodkladně zajistí na písemnou žádost Úřadu důvěrnost a neporušenost informací podle věty první a bezodkladně předá kontrolní radě komory písemnou žádost Úřadu o nahrazení souhlasu zástupce komory rozhodnutím kontrolní rady komory. Nerozhodne-li kontrolní rada komory o žádosti Úřadu tak, že nahrazuje souhlas zástupce komory, ve lhůtě 30 dnů ode dne doručení žádosti zástupcem komory, lze souhlas zástupce komory nahradit na návrh Úřadu rozhodnutím soudu podle zákona o zvláštních řízeních soudních.
S informacemi chráněnými povinností mlčenlivosti podle zákona o daňovém poradenství a Komoře daňových poradců České republiky je Úřad oprávněn se seznamovat pouze za přítomnosti a se souhlasem zástupce Komory daňových poradců České republiky, kterého ustanoví prezident Komory daňových poradců České republiky z řad jejích zaměstnanců nebo z řad daňových poradců. Odmítne-li zástupce Komory daňových poradců České republiky souhlas udělit, bezodkladně zajistí na písemnou žádost Úřadu důvěrnost a neporušenost informací podle věty první a bezodkladně předá dozorčí komisi Komory daňových poradců České republiky písemnou žádost Úřadu o nahrazení souhlasu zástupce Komory daňových poradců České republiky rozhodnutím dozorčí komise Komory daňových poradců České republiky. Nerozhodne-li dozorčí komise Komory daňových poradců České republiky o žádosti Úřadu tak, že nahrazuje souhlas zástupce Komory daňových poradců České republiky, ve lhůtě 30 dnů ode dne doručení žádosti zástupcem Komory daňových poradců České republiky, lze souhlas zástupce Komory daňových poradců České republiky nahradit na návrh Úřadu rozhodnutím soudu podle zákona o zvláštních řízeních soudních.
Úřad vyloučí z nahlížení do spisu informace, které jsou obchodním, bankovním nebo jiným obdobným zákonem chráněným tajemstvím, informace, které požívají autorskoprávní ochrany, a informace podle odstavce 1 věty druhé nebo odstavce 2, pokud do spisu umožní nahlédnout osobě odlišné od osoby, od níž byly tyto informace získány. V řízení o uložení povinnosti Úřad zpřístupní účastníkovi řízení informace vyloučené podle věty první, pokud jimi byl nebo bude proveden důkaz. Před zpřístupněním informace musí být účastník řízení nebo jeho zástupce poučen o ochraně, kterou informace požívá; o poučení se sepíše protokol. Právo na přístup k takovým informacím nezahrnuje právo činit si výpisy nebo právo na pořízení kopií informací.
Odstavcem 1 není dotčena povinnost kontrolujícího prokázat oprávnění k přístupu k utajované informaci.
Místopředseda a zaměstnanci Úřadu jsou povinni zachovávat mlčenlivost o osobních údajích, o informacích podle § 58 odst. 4, jakož i o organizačních a technických opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů, se kterými se seznámili při výkonu působnosti Úřadu nebo v souvislosti s ní. Tato povinnost trvá i po skončení služebního nebo pracovního poměru.
Povinnosti zachovávat mlčenlivost podle odstavce 1 se nelze dovolávat vůči Úřadu. Povinnosti mlčenlivosti podle odstavce 1 se lze dovolávat vůči orgánu činnému v trestním řízení nebo soudu pouze tehdy, pokud by se povinnosti mlčenlivosti vůči orgánu činnému v trestním řízení nebo soudu mohl dovolávat ten, jemuž byla zákonem uložena a od něhož informace chráněná povinností mlčenlivosti pochází. Subjektu údajů lze osobní údaje sdělit, pouze pokud tímto sdělením nedojde k ohrožení chráněného zájmu uvedeného v § 6 odst. 2.
Povinnosti zachovávat mlčenlivost může místopředsedu Úřadu a zaměstnance zprostit předseda Úřadu nebo jím pověřená osoba.
Přestupky (§ 61-65)
Fyzická osoba, právnická osoba nebo podnikající fyzická osoba se dopustí přestupku tím, že poruší zákaz zveřejnění osobních údajů stanovený jiným právním předpisem10.
Úřad upustí od uložení správního trestu také tehdy, jde-li o subjekty uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.
Správce nebo zpracovatel podle hlavy II se dopustí přestupku tím, že
Subjekt pro vydávání osvědčení se dopustí přestupku tím, že poruší některou z povinností podle čl. 42 a 43 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II.
Subjekt pro monitorování souladu se dopustí přestupku tím, že poruší některou z povinností podle čl. 41 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2016/679.
Úřad může upustit od uložení správního trestu také tehdy, pokud uloží opatření podle § 54 odst. 1 písm. e) nebo § 60.
Právnická osoba se dopustí přestupku tím, že při zpracování osobních údajů
poruší omezení zpracování zvláštních kategorií osobních údajů podle jiného právního předpisu5,
poruší povinnost jmenovat pověřence podle jiného právního předpisu5,
poruší povinnost informovat o nesprávném předání nebo o předání nepřesných osobních údajů podle § 32 odst. 5 nebo podle jiného právního předpisu5,
poruší některou z podmínek podle jiného právního předpisu5 pro předání osobních údajů do mezinárodní organizace nebo státu, který neuplatňuje právní předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680, nebo
poruší povinnost prověřovat potřebnost dalšího zpracování nebo vymazat osobní údaje podle jiného právního předpisu5.
Přestupku se dopustí ten, kdo při zpracování osobních údajů
Za přestupek podle odstavců 1 a 2 lze uložit pokutu do 10 000 000 Kč.
Přechodná, zrušovací a závěrečná ustanovení (§ 66-68)
Ode dne nabytí účinnosti tohoto zákona do 31. prosince 2020 má Úřad pouze 1 místopředsedu Úřadu. Druhého místopředsedu Úřadu lze zvolit s účinností nejdříve od 1. ledna 2021.
Předseda Úřadu, který je ve funkci ke dni nabytí účinnosti tohoto zákona, dokončí své funkční období podle dosavadních právních předpisů.
Inspektor Úřadu, který je ve funkci ke dni nabytí účinnosti tohoto zákona, dokončí své funkční období podle dosavadních právních předpisů. Ode dne nabytí účinnosti tohoto zákona do konce svého funkčního období je inspektor zaměstnancem Úřadu pověřeným řízením a prováděním kontrolní činnosti v pracovním poměru na dobu určitou. Nárok inspektora Úřadu na plat, náhradu výdajů a naturální plnění se řídí dosavadními právními předpisy.
Informace zpracovávané přede dnem nabytí účinnosti tohoto zákona v registru zpracování osobních údajů podle zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, jsou veřejně přístupné po dobu 18 měsíců ode dne nabytí účinnosti tohoto zákona.
Řízení zahájená podle zákona č. 101/2000 Sb., která nebyla pravomocně skončena přede dnem nabytí účinnosti tohoto zákona, se dokončí podle zákona č. 101/2000 Sb.
Kde se v dosavadních právních předpisech používá pojem citlivý údaj nebo citlivý osobní údaj, rozumí se tím ode dne nabytí účinnosti tohoto zákona osobní údaj, který vypovídá o rasovém nebo etnickém původu, politických názorech, náboženském vyznání nebo filosofickém přesvědčení nebo členství v odborové organizaci, genetický údaj, biometrický údaj zpracovávaný za účelem jedinečné identifikace fyzické osoby, údaj o zdravotním stavu, o sexuálním chování, o sexuální orientaci a údaj týkající se rozsudků v trestních věcech a trestných činů nebo souvisejících bezpečnostních opatření.
Souhlas subjektu údajů udělený podle zákona č. 101/2000 Sb. se považuje za souhlas podle nařízení Evropského parlamentu a Rady (EU) 2016/679, ledaže způsob jeho udělení nebyl v souladu s tímto nařízením.
Část šestá zákona č. 301/2016 Sb․, kterým se mění některé zákony v souvislosti s přijetím zákona o centrální evidenci účtů.
Přehled souvislostí Verze(1) Komentáře (1) Důvodové zprávy (1) Novelizované předpisy (22) Ruší (3) Dokumenty EU (2) Aktuální k datu Historie Editorial Záložky
Souvislosti k 110/2019 Sb. bez vazby na §
Zákon o zpracování osobních údajů, 1. vydání, 2019 (Vlachová, Maisner)
110/2019 Dz
Zákon č. 52/2009 Sb. 24.04.2019 -