101/2000 Sb. Zákon o ochraně osobních údajů a o změně některých zákonů

101/2000 Sb. Zákon o ochraně osobních údajů a o změně některých zákonů

ZÁKON

ze dne 4. dubna 2000

o ochraně osobních údajů a o změně některých zákonů

Parlament se usnesl na tomto zákoně České republiky:

ČÁST PRVNÍ

OCHRANA OSOBNÍCH ÚDAJŮ
HLAVA I

ÚVODNÍ USTANOVENÍ
§ 1

 

Předmět úpravy

Tento zákon v souladu s právem Evropské unie,1) mezinárodními smlouvami, kterými je Česká republika vázána,1a) a k naplnění práva kazdého na ochranu před neoprávněným zasahováním do soukromí upravuje práva a povinnosti při zpracování osobních údajů a stanoví podmínky, za nichz se uskutečňuje předání osobních údajů do jiných států.

§ 2

(1) Zřizuje se Úřad pro ochranu osobních údajů se sídlem v Praze (dále jen "Úřad").

(2) Úřad je ústředním správním úřadem pro oblast ochrany osobních údajů v rozsahu stanoveném tímto zákonem, zvlástními právními předpisy1), mezinárodními smlouvami, které jsou součástí právního řádu, a přímo pouzitelnými předpisy Evropské unie.

(3) Úřad vykonává působnost dozorového úřadu pro oblast ochrany osobních údajů vyplývající z mezinárodních smluv, které jsou součástí právního řádu.

§ 3

Působnost zákona
(1) Tento zákon se vztahuje na osobní údaje, které zpracovávají státní orgány, orgány územní samosprávy, jiné orgány veřejné moci, jakoz i fyzické a právnické osoby.

(2) Tento zákon se vztahuje na veskeré zpracovávání osobních údajů, ať k němu dochází automatizovaně nebo jinými prostředky.

(3) Tento zákon se nevztahuje na zpracování osobních údajů, které provádí fyzická osoba výlučně pro osobní potřebu.

(4) Tento zákon se nevztahuje na nahodilé shromazďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány.

(5) Tento zákon se dále vztahuje na zpracování osobních údajů,

a) jestlize se právní řád České republiky pouzije přednostně na základě mezinárodního práva veřejného, i kdyz správce není usazen na území České republiky,
b) jestlize správce, který je usazen mimo území Evropské unie, provádí zpracování na území České republiky a nejedná se pouze o předání osobních údajů přes území Evropské unie; v tomto případě je správce povinen zmocnit postupem podle § 6 na území České republiky zpracovatele.

Jestlize zpracování provádí správce prostřednictvím svých organizačních jednotek umístěných na území Evropské unie, musí zajistit, ze tyto organizační jednotky budou zpracovávat osobní údaje v souladu s národním právem příslusného členského státu Evropské unie.

(6) Ustanovení § 5 odst. 1 a § 11 a 12 se nepouzijí pro zpracování osobních údajů nezbytných pro plnění povinností správce stanovených zvlástními zákony pro zajistění

a) bezpečnosti České republiky,4)
b) obrany České republiky,5)
c) veřejného pořádku a vnitřní bezpečnosti,6)
d) předcházení, vyhledávání, odhalování trestné činnosti a stíhání trestných činů,7)
e) významného hospodářského zájmu České republiky nebo Evropské unie,8)
f) významného finančního zájmu České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování penězního oběhu a platebního styku, jakoz i rozpočtová a daňová opatření,9)
g) výkonu kontroly, dozoru, dohledu a regulace spojených s výkonem veřejné moci v případech uvedených v písmenech c), d), e) a f),10)
h) činností spojených se zpřístupňováním svazků bývalé Státní bezpečnosti,10a) nebo
i) činností spojených s vedením centrální evidence účtů33).

§ 4

Vymezení pojmů

Pro účely tohoto zákona se rozumí

a) osobním údajem jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se povazuje za určený nebo určitelný, jestlize lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu,

b) citlivým údajem osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, nábozenství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním zivotě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umozňuje přímou identifikaci nebo autentizaci subjektu údajů,

c) anonymním údajem takový údaj, který buď v původním tvaru nebo po provedeném zpracování nelze vztáhnout k určenému nebo určitelnému subjektu údajů,

d) subjektem údajů fyzická osoba, k níz se osobní údaje vztahují,

e) zpracováním osobních údajů jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromazďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, pouzívání, předávání, síření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace,

f) shromazďováním osobních údajů systematický postup nebo soubor postupů, jehoz cílem je získání osobních údajů za účelem jejich dalsího ulození na nosič informací pro jejich okamzité nebo pozdějsí zpracování,

g) uchováváním osobních údajů udrzování údajů v takové podobě, která je umozňuje dále zpracovávat,

h) blokováním operace nebo soustava operací, kterými se na stanovenou dobu omezí způsob nebo prostředky zpracování osobních údajů, s výjimkou nezbytných zásahů,

i) likvidací osobních údajů se rozumí fyzické zničení jejich nosiče, jejich fyzické vymazání nebo jejich trvalé vyloučení z dalsích zpracování,

j) správcem kazdý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů můze správce zmocnit nebo pověřit zpracovatele, pokud zvlástní zákon nestanoví jinak,

k) zpracovatelem kazdý subjekt, který na základě zvlástního zákona nebo pověření správcem zpracovává osobní údaje podle tohoto zákona,

l) zveřejněným osobním údajem osobní údaj zpřístupněný zejména hromadnými sdělovacími prostředky, jiným veřejným sdělením nebo jako součást veřejného seznamu,

m) evidencí nebo datovým souborem osobních údajů (dále jen "datový soubor") jakýkoliv soubor osobních údajů uspořádaný nebo zpřístupnitelný podle společných nebo zvlástních kritérií,

n) souhlasem subjektu údajů svobodný a vědomý projev vůle subjektu údajů, jehoz obsahem je svolení subjektu údajů se zpracováním osobních údajů,

o) příjemcem kazdý subjekt, kterému jsou osobní údaje zpřístupněny; za příjemce se nepovazuje subjekt, který zpracovává osobní údaje podle § 3 odst. 6 písm. g).

HLAVA II

PRÁVA A POVINNOSTI PŘI ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

§ 5

(1) Správce je povinen

a) stanovit účel, k němuz mají být osobní údaje zpracovány,

b) stanovit prostředky a způsob zpracování osobních údajů,

c) zpracovat pouze přesné osobní údaje, které získal v souladu s tímto zákonem. Je-li to nezbytné, osobní údaje aktualizuje. Zjistí-li správce, ze jím zpracované osobní údaje nejsou s ohledem na stanovený účel přesné, provede bez zbytečného odkladu přiměřená opatření, zejména zpracování blokuje a osobní údaje opraví nebo doplní, jinak osobní údaje zlikviduje. Nepřesné osobní údaje lze zpracovat pouze v mezích uvedených v § 3 odst. 6.11) Nepřesné osobní údaje se musí označit. Informaci o blokování, opravě, doplnění nebo likvidaci osobních údajů je správce povinen bez zbytečného odkladu předat vsem příjemcům,

d) shromazďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu,

e) uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické sluzby, pro účely vědecké a pro účely archivnictví. Při pouzití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního zivota subjektu údajů, a osobní údaje anonymizovat, jakmile je to mozné,

f) zpracovávat osobní údaje pouze v souladu s účelem, k němuz byly shromázděny. Zpracovávat k jinému účelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajů předem souhlas,

g) shromazďovat osobní údaje pouze otevřeně; je vyloučeno shromazďovat údaje pod záminkou jiného účelu nebo jiné činnosti,

h) nesdruzovat osobní údaje, které byly získány k rozdílným účelům.

(2) Správce můze zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je můze zpracovávat,

a) jestlize provádí zpracování nezbytné pro dodrzení právní povinnosti správce,12)

b) jestlize je zpracování nezbytné pro plnění smlouvy, jejíz smluvní stranou je subjekt údajů, nebo pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů,

c) pokud je to nezbytně třeba k ochraně zivotně důlezitých zájmů subjektu údajů. V tomto případě je třeba bez zbytečného odkladu získat jeho souhlas. Pokud souhlas není dán, musí správce ukončit zpracování a údaje zlikvidovat,

d) jedná-li se o oprávněně zveřejněné osobní údaje v souladu se zvlástním právním předpisem.13) Tím vsak není dotčeno právo na ochranu soukromého a osobního zivota subjektu údajů,

e) pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů vsak nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního zivota,

f) pokud poskytuje osobní údaje o veřejně činné osobě, funkcionáři či zaměstnanci veřejné správy, které vypovídají o jeho veřejné anebo úřední činnosti, o jeho funkčním nebo pracovním zařazení, nebo,

g) jedná-li se o zpracování výlučně pro účely archivnictví podle zvlástního zákona.

(3) Provádí-li správce zpracování osobních údajů na základě zvlástního zákona,12) je povinen dbát práva na ochranu soukromého a osobního zivota subjektu údajů.

(4) Subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Souhlas subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu zpracování.

(5) Provádí-li správce nebo zpracovatel zpracování osobních údajů za účelem nabízení obchodu nebo sluzeb subjektu údajů, lze pro tento účel pouzít jméno, příjmení a adresu subjektu údajů, pokud tyto údaje byly získány z veřejného seznamu nebo v souvislosti se svojí činností jakozto správce nebo zpracovatele. Správce nebo zpracovatel vsak nesmí uvedené údaje dále zpracovávat, pokud s tím subjekt údajů vyslovil nesouhlas. Nesouhlas se zpracováním je nutné vyjádřit písemně. Bez souhlasu subjektu údajů nelze k uvedeným údajům přiřazovat dalsí osobní údaje.

(6) Správce, který zpracovává osobní údaje podle odstavce 5, můze tyto údaje předat jinému správci pouze za splnění těchto podmínek:

a) údaje subjektu údajů byly získány v souvislosti s činností správce nebo se jedná o zveřejněné osobní údaje,

b) údaje budou vyuzívány pouze za účelem nabízení obchodu a sluzeb,

c) subjekt údajů byl o tomto postupu správce předem informován a nevyslovil s tímto postupem nesouhlas.

(7) Jiný správce, kterému byly předány údaje podle odstavce 6, nesmí tyto údaje předávat jiné osobě.

(8) Nesouhlas se zpracováním podle odstavce 6 písm. c) musí subjekt údajů učinit písemně. Správce je povinen informovat kazdého správce, kterému předal jméno, příjmení a adresu subjektu údajů, o tom, ze subjekt údajů vyslovil nesouhlas se zpracováním.

(9) Za účelem vyloučení moznosti, ze jméno, příjmení a adresa subjektu údajů budou opakovaně pouzity k nabídce obchodu a sluzeb, je správce oprávněn dále zpracovávat pro svoji vlastní potřebu jméno, příjmení a adresu subjektu údajů přesto, ze subjekt údajů vyslovil nesouhlas podle odstavce 5.

§ 6

Pokud zmocnění nevyplývá z právního předpisu, musí správce se zpracovatelem uzavřít smlouvu o zpracování osobních údajů. Smlouva musí mít písemnou formu. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.

§ 7

Povinnosti stanovené v § 5 platí obdobně také pro zpracovatele.

§ 8

Jestlize zpracovatel zjistí, ze správce porusuje povinnosti stanovené tímto zákonem, je povinen jej na to neprodleně upozornit a ukončit zpracování osobních údajů. Pokud tak neučiní, odpovídá za skodu, která subjektu údajů vznikla, společně a nerozdílně se správcem údajů. Tím není dotčena jeho odpovědnost podle tohoto zákona.

§ 9

Citlivé údaje

Citlivé údaje je mozné zpracovávat, jen jestlize

a) subjekt údajů dal ke zpracování výslovný souhlas. Subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Existenci souhlasu subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu zpracování. Správce je povinen předem subjekt údajů poučit o jeho právech podle § 12 a 21,

b) je to nezbytné v zájmu zachování zivota nebo zdraví subjektu údajů nebo jiné osoby nebo odvrácení bezprostředního závazného nebezpečí hrozícího jejich majetku, pokud není mozno jeho souhlas získat zejména z důvodů fyzické, dusevní či právní nezpůsobilosti, v případě, ze je nezvěstný nebo z jiných podobných důvodů. Správce musí ukončit zpracování údajů, jakmile pominou uvedené důvody, a údaje musí zlikvidovat, ledaze by subjekt údajů dal k dalsímu zpracování souhlas,

c) se jedná o zpracování při poskytování zdravotních sluzeb, ochrany veřejného zdraví, zdravotního pojistění a výkon státní správy v oblasti zdravotnictví podle zvlástního zákona15) nebo se jedná o posuzování zdravotního stavu v jiných případech stanovených zvlástním zákonem,15a)

d) je zpracování nezbytné pro dodrzení povinností a práv správce odpovědného za zpracování v oblasti pracovního práva a zaměstnanosti, stanovené zvlástním zákonem,16)

e) jde o zpracování, které sleduje politické, filosofické, nábozenské nebo odborové cíle, prováděné v rámci oprávněné činnosti občanského sdruzení, nadace nebo jiné právnické osoby nevýdělečné povahy (dále jen "sdruzení"), a které se týká pouze členů sdruzení nebo osob, se kterými je sdruzení v opakujícím se kontaktu souvisejícím s oprávněnou činností sdruzení, a osobní údaje nejsou zpřístupňovány bez souhlasu subjektu údajů,

f) se jedná o údaje podle zvlástního zákona nezbytné pro provádění nemocenského pojistění, důchodového pojistění (zabezpečení), státní sociální podpory a dalsích státních sociálních dávek, sociálních sluzeb, sociální péče, pomoci v hmotné nouzi a sociálně-právní ochrany dětí, a při zajistění ochrany těchto údajů v souladu se zákonem,

g) se zpracování týká osobních údajů zveřejněných subjektem údajů,

h) je zpracování nezbytné pro zajistění a uplatnění právních nároků,

ch) jsou zpracovány výlučně pro účely archivnictví podle zvlástního zákona, nebo

i) se jedná o zpracování podle zvlástních zákonů při předcházení, vyhledávání, odhalování trestné činnosti, stíhání trestných činů a pátrání po osobách.

§ 10

Při zpracování osobních údajů správce a zpracovatel dbá, aby subjekt údajů neutrpěl újmu na svých právech, zejména na právu na zachování lidské důstojnosti, a také dbá na ochranu před neoprávněným zasahováním do soukromého a osobního zivota subjektu údajů.

§ 11

(1) Správce je při shromazďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace jiz známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakoz i o dalsích právech stanovených v § 21.

(2) V případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Je-li subjekt údajů povinen podle zvlástního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakoz i o následcích odmítnutí poskytnutí osobních údajů.

(3) Informace a poučení podle odstavce 1 není povinen správce poskytovat v případech, kdy osobní údaje nezískal od subjektu údajů, pokud

a) zpracovává osobní údaje výlučně pro účely výkonu státní statistické sluzby, vědecké nebo archivní účely a poskytnutí takových informací by vyzadovalo neúměrné úsilí nebo nepřiměřeně vysoké náklady; nebo pokud ukládání na nosiče informací nebo zpřístupnění je výslovně stanoveno zvlástním zákonem. V těchto případech je správce povinen přijmout potřebná opatření proti neoprávněnému zasahování do soukromého a osobního zivota subjektu údajů,

b) zpracování osobních údajů mu ukládá zvlástní zákon nebo je takových údajů třeba k uplatnění práv a povinností vyplývajících ze zvlástních zákonů,

c) zpracovává výlučně oprávněně zveřejněné osobní údaje, nebo

d) zpracovává osobní údaje získané se souhlasem subjektu údajů.

(4) Předchozími ustanoveními nejsou dotčena práva subjektu údajů pozadovat informace podle zvlástních zákonů.18)

(5) Při zpracování osobních údajů podle § 5 odst. 2 písm. e) a § 9 písm. h) je správce povinen bez zbytečného odkladu subjekt údajů informovat o zpracování jeho osobních údajů.

(6) Zádné rozhodnutí správce nebo zpracovatele, jehoz důsledkem je zásah do právních a právem chráněných zájmů subjektu údajů, nelze bez ověření vydat nebo učinit výlučně na základě automatizovaného zpracování osobních údajů. To neplatí v případě, ze takové rozhodnutí bylo učiněno ve prospěch subjektu údajů a na jeho zádost.

(7) Informační povinnost upravenou v § 11 můze za správce plnit zpracovatel.

§ 12

Přístup subjektu údajů k informacím

(1) Pozádá-li subjekt údajů o informaci o zpracování svých osobních údajů, je mu správce povinen tuto informaci bez zbytečného odkladu předat.

(2) Obsahem informace je vzdy sdělení o

a) účelu zpracování osobních údajů,

b) osobních údajích, případně kategoriích osobních údajů, které jsou předmětem zpracování, včetně veskerých dostupných informací o jejich zdroji,

c) povaze automatizovaného zpracování v souvislosti s jeho vyuzitím pro rozhodování, jestlize jsou na základě tohoto zpracování činěny úkony nebo rozhodnutí, jejichz obsahem je zásah do práva a oprávněných zájmů subjektu údajů,

d) příjemci, případně kategoriích příjemců.

(3) Správce má právo za poskytnutí informace pozadovat přiměřenou úhradu nepřevysující náklady nezbytné na poskytnutí informace.

(4) Povinnost správce poskytnout informace subjektu údajů upravenou v § 12 můze za správce plnit zpracovatel.

Povinnosti osob při zabezpečení osobních údajů

§ 13

(1) Správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakoz i k jinému zneuzití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.

(2) Správce nebo zpracovatel je povinen zpracovat a dokumentovat přijatá a provedená technicko-organizační opatření k zajistění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy.

(3) V rámci opatření podle odstavce 1 správce nebo zpracovatel posuzuje rizika týkající se

a) plnění pokynů pro zpracování osobních údajů osobami, které mají bezprostřední přístup k osobním údajům,

b) zabránění neoprávněným osobám přistupovat k osobním údajům a k prostředkům pro jejich zpracování,

c) zabránění neoprávněnému čtení, vytváření, kopírování, přenosu, úpravě či vymazání záznamů obsahujících osobní údaje a

d) opatření, která umozní určit a ověřit, komu byly osobní údaje předány.

(4) V oblasti automatizovaného zpracování osobních údajů je správce nebo zpracovatel v rámci opatření podle odstavce 1 povinen také

a) zajistit, aby systémy pro automatizovaná zpracování osobních údajů pouzívaly pouze oprávněné osoby,

b) zajistit, aby fyzické osoby oprávněné k pouzívání systémů pro automatizovaná zpracování osobních údajů měly přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvlástních uzivatelských oprávnění zřízených výlučně pro tyto osoby,

c) pořizovat elektronické záznamy, které umozní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a

d) zabránit neoprávněnému přístupu k datovým nosičům.

§ 14

Zaměstnanci správce nebo zpracovatele a jiné osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, mohou zpracovávat osobní údaje pouze za podmínek a v rozsahu správcem nebo zpracovatelem stanoveném.

§ 15

(1) Zaměstnanci správce nebo zpracovatele, jiné fyzické osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, a dalsí osoby, které v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele, jsou povinni zachovávat mlčenlivost o osobních údajích a o bezpečnostních opatřeních, jejichz zveřejnění by ohrozilo zabezpečení osobních údajů. Povinnost mlčenlivosti trvá i po skončení zaměstnání nebo příslusných prací.

(2) Ustanovením předchozího odstavce není dotčena povinnost zachovávat mlčenlivost podle zvlástních zákonů.19)

(3) Povinnost zachovávat mlčenlivost se nevztahuje na informační povinnost podle zvlástních zákonů.20)

§ 16

Oznamovací povinnost

(1) Ten, kdo hodlá jako správce zpracovávat osobní údaje nebo změnit registrované zpracování podle tohoto zákona, s výjimkou zpracování uvedených v § 18, je povinen tuto skutečnost písemně oznámit Úřadu před zpracováváním osobních údajů.

(2) Oznámení musí obsahovat tyto informace:

a) identifikační údaje správce, u fyzické osoby, která není podnikatelem, jméno, popřípadě jména, příjmení, datum narození a adresu místa trvalého pobytu, u jiných subjektů obchodní firmu nebo název, sídlo a identifikační číslo osoby, pokud bylo přiděleno, a jméno, popřípadě jména, a příjmení osob, které jsou jejich statutárními zástupci,

b) účel nebo účely zpracování,

c) kategorie subjektů údajů a osobních údajů, které se těchto subjektů týkají,

d) zdroje osobních údajů,

e) popis způsobu zpracování osobních údajů,

f) místo nebo místa zpracování osobních údajů,

g) příjemce nebo kategorie příjemců,

h) předpokládaná předání osobních údajů do jiných států,

i) popis opatření k zajistění ochrany osobních údajů podle § 13.

(3) Obsahuje-li oznámení vsechny nálezitosti podle odstavce 2 a není-li zahájeno řízení podle § 17 odst. 1, lze po uplynutí lhůty 30 dnů ode dne doručení oznámení zahájit zpracování osobních údajů. Úřad v takovém případě zapíse informace uvedené v oznámení do registru.

(4) Neobsahuje-li oznámení vsechny nálezitosti podle odstavce 2, Úřad neprodleně zasle oznamovateli výzvu, v níz upozorní na chybějící nebo nedostatečné informace a stanoví lhůtu k doplnění oznámení. V případě doplnění oznámení začíná bězet lhůta podle odstavce 3 dnem doručení doplnění oznámení. V případě, ze Úřad neobdrzí doplnění oznámení ve stanovené lhůtě, nahlízí na učiněné oznámení tak, jako by nebylo podáno.

(5) O provedení registrace vydá Úřad na zádost správce osvědčení, které obsahuje datum vyhotovení, číslo jednací, jméno, příjmení a podpis osoby, která osvědčení vydala, otisk úředního razítka, identifikační údaje správce a účel zpracování.

(6) Je-li podle odstavce 1 oznámeno zpracování, které je předmětem kontroly, Úřad registraci neprovede. Úřad registraci provede, jakmile je kontrola ukončena.

§ 17

(1) Vznikne-li z oznámení důvodná obava, ze při zpracování osobních údajů by mohlo dojít k porusení tohoto zákona, zahájí Úřad z vlastního podnětu řízení.

(2) Zjistí-li Úřad, ze oznámeným zpracováním neporusuje správce podmínky stanovené tímto zákonem, řízení zastaví a provede zápis podle § 16 odst. 3. Nejdříve dnem následujícím po provedení zápisu lze zahájit zpracování osobních údajů. V případě, ze oznámené zpracování nesplňuje podmínky stanovené tímto zákonem, zpracování osobních údajů Úřad nepovolí.

§ 17a

(1) Zjistí-li Úřad, ze správce, jehoz oznámení bylo zapsáno do registru, porusuje podmínky stanovené tímto zákonem, rozhodne o zrusení registrace.

(2) Pomine-li účel, pro který bylo zpracování zaregistrováno, Úřad z vlastního podnětu nebo na zádost správce rozhodne o zrusení registrace.

§ 18

(1) Oznamovací povinnost podle § 16 se nevztahuje na zpracování osobních údajů,

a) které jsou součástí datových souborů veřejně přístupných na základě zvlástního zákona,

b) které správci ukládá zvlástní zákon nebo je takových osobních údajů třeba k uplatnění práv a povinností vyplývajících ze zvlástního zákona, nebo

c) jde-li o zpracování, které sleduje politické, filosofické, nábozenské nebo odborové cíle, prováděné v rámci oprávněné činnosti sdruzení, a které se týká pouze členů sdruzení, nebo osob, se kterými je sdruzení v opakujícím se kontaktu souvisejícím s oprávněnou činností sdruzení, a osobní údaje nejsou zpřístupňovány bez souhlasu subjektu údajů.

(2) Správce, který provádí zpracování podle § 18 odst. 1 písm. b), je povinen zajistit, aby informace, týkající se zejména účelu zpracování, kategorií osobních údajů, kategorií subjektů údajů, kategorií příjemců a doby uchování, které by byly jinak přístupné prostřednictvím registru vedeného Úřadem podle § 35, byly zpřístupněny, a to i dálkovým přístupem nebo jinou vhodnou formou.

§ 19

Jestlize správce hodlá ukončit svoji činnost, je povinen Úřadu neprodleně oznámit, jak nalozil s osobními údaji, pokud se na jejich zpracování vztahuje oznamovací povinnost.

 § 20

Likvidace osobních údajů

(1) Správce nebo na základě jeho pokynu zpracovatel je povinen provést likvidaci osobních údajů, jakmile pomine účel, pro který byly osobní údaje zpracovány, nebo na základě zádosti subjektu údajů podle § 21.

(2) Zvlástní zákon stanoví výjimky týkající se uchovávání osobních údajů pro účely archivnictví a uplatňování práv v občanském soudním řízení, trestním řízení a správním řízení.

Ochrana práv subjektů údajů

§ 21

(1) Kazdý subjekt údajů, který zjistí nebo se domnívá, ze správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního zivota subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování, můze

a) pozádat správce nebo zpracovatele o vysvětlení,

b) pozadovat, aby správce nebo zpracovatel odstranil takto vzniklý stav. Zejména se můze jednat o blokování, provedení opravy, doplnění nebo likvidaci osobních údajů.

(2) Je-li zádost subjektu údajů podle odstavce 1 shledána oprávněnou, správce nebo zpracovatel odstraní neprodleně závadný stav.

(3) Pokud vznikla v důsledku zpracování osobních údajů subjektu údajů jiná nez majetková újma, postupuje se při uplatňování jejího nároku podle zvlástního zákona.22)

(4) Doslo-li při zpracování osobních údajů k porusení povinností ulozených zákonem u správce nebo u zpracovatele, odpovídají za ně společně a nerozdílně.

(5) Správce je povinen bez zbytečného odkladu informovat příjemce o zádosti subjektu údajů podle odstavce 1 a o blokování, opravě, doplnění nebo likvidaci osobních údajů. To neplatí, pokud je informování příjemce nemozné nebo by vyzadovalo neúměrné úsilí.

§ 25

Náhrada skody

V otázkách neupravených tímto zákonem se pouzije obecná úprava odpovědnosti za skodu.23),24)

§ 26

Povinnosti podle § 21 az 25 se obdobně vztahují i na osoby, které shromázdily osobní údaje neoprávněně.

HLAVA III

PŘEDÁNÍ OSOBNÍCH ÚDAJŮ DO JINÝCH STÁTŮ

§ 27

(1) Volný pohyb osobních údajů nemůze být omezován, pokud jsou údaje předány do členského státu Evropské unie.

(2) Do třetích zemí mohou být osobní údaje předány, pokud zákaz omezování volného pohybu osobních údajů vyplývá z mezinárodní smlouvy, k jejíz ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána,1a) nebo jsou osobní údaje předány na základě rozhodnutí orgánu Evropské unie. Informace o těchto rozhodnutích zveřejňuje Úřad ve Věstníku.

(3) Není-li podmínka podle odstavců 1 a 2 splněna, můze být předání osobních údajů uskutečněno, jestlize správce prokáze, ze

a) předání údajů se děje se souhlasem nebo na základě pokynu subjektu údajů,

b) jsou v třetí zemi, kde mají být osobní údaje zpracovány, vytvořeny dostatečné zvlástní záruky ochrany osobních údajů, například prostřednictvím jiných právních nebo profesních předpisů a bezpečnostních opatření. Takové záruky mohou být upřesněny zejména smlouvou uzavřenou mezi správcem a příjemcem, pokud tato smlouva zajisťuje uplatnění těchto pozadavků nebo pokud smlouva obsahuje smluvní dolozky pro předání osobních údajů do třetích zemí zveřejněné ve Věstníku Úřadu,

c) jde o osobní údaje, které jsou na základě zvlástního zákona součástí datových souborů veřejně přístupných nebo přístupných tomu, kdo prokáze právní zájem; v takovém případě lze osobní údaje zpřístupnit jen v rozsahu a za podmínek stanovených zvlástním zákonem,

d) je předání nutné pro uplatnění důlezitého veřejného zájmu vyplývajícího ze zvlástního zákona nebo z mezinárodní smlouvy, kterou je Česká republika vázána,

e) je předání nezbytné pro jednání o uzavření nebo změně smlouvy, uskutečněné z podnětu subjektu údajů, nebo pro plnění smlouvy, jejíz smluvní stranou je subjekt údajů,

f) je předání nezbytné pro plnění smlouvy uzavřené v zájmu subjektu údajů mezi správcem a třetí stranou, nebo pro uplatnění jiných právních nároků, nebo

g) je předání nezbytné pro ochranu práv nebo zivotně důlezitých zájmů subjektu údajů, zejména pro záchranu zivota nebo pro poskytnutí zdravotních sluzeb.

(4) Před předáním osobních údajů do třetích zemí podle odstavce 3 je správce povinen pozádat Úřad o povolení k předání, nestanoví-li zvlástní zákon jinak.25) Při posuzování zádosti Úřad přezkoumá vsechny okolnosti související s předáním osobních údajů, zejména zdroj, konečné určení a kategorie předávaných osobních údajů, účel a dobu zpracování, s přihlédnutím k dostupným informacím o právních nebo jiných předpisech upravujících zpracování osobních údajů ve třetí zemi. V povolení k předání Úřad stanoví dobu, po kterou můze správce předání provádět. Pokud dojde ke změně podmínek, za kterých bylo povolení vydáno, zejména na základě rozhodnutí orgánu Evropské unie, Úřad toto povolení změní nebo zrusí.

HLAVA IV

POSTAVENÍ A PŮSOBNOST ÚŘADU

§ 28

(1) Úřad je nezávislý orgán. Ve své činnosti postupuje nezávisle a řídí se pouze zákony a jinými právními předpisy.

(2) Do činnosti Úřadu lze zasahovat jen na základě zákona.

(3) Činnost Úřadu je hrazena ze samostatné kapitoly státního rozpočtu České republiky.

§ 29

(1) Úřad

a) provádí dozor nad dodrzováním povinností stanovených zákonem při zpracování osobních údajů,
b) vede registr zpracování osobních údajů,
c) přijímá podněty a stíznosti na porusení povinností stanovených zákonem při zpracování osobních údajů a informuje o jejich vyřízení,
d) zpracovává a veřejnosti zpřístupňuje výroční zprávu o své činnosti,
e) vykonává dalsí působnosti stanovené mu zákonem,
f) projednává přestupky a jiné správní delikty a uděluje pokuty podle tohoto zákona,
f) projednává přestupky a uděluje pokuty podle tohoto zákona,
g) zajisťuje plnění pozadavků vyplývajících z mezinárodních smluv, jimiz je Česká republika vázána, a z přímo pouzitelných předpisů Evropské unie,
h) poskytuje konzultace v oblasti ochrany osobních údajů,
i) spolupracuje s obdobnými úřady jiných států, s orgány Evropské unie a s orgány mezinárodních organizací působícími v oblasti ochrany osobních údajů. Úřad v souladu s právem Evropské unie plní oznamovací povinnost vůči orgánům Evropské unie.25a)

(2) Při výkonu dozoru ve formě kontroly se postupuje podle zvlástního právního předpisu.26)

(3) Dozor nad zpracováním osobních údajů, které provádějí zpravodajské sluzby, stanoví zvlástní právní předpis.27)

§ 29a

(1) Ministerstvo vnitra nebo Policie České republiky poskytuje Úřadu pro výkon působnosti stanovené tímto zákonem a dalsími právními předpisy

a) referenční údaje ze základního registru obyvatel,
b) údaje z agendového informačního systému evidence obyvatel,
c) údaje z agendového informačního systému cizinců.

(2) Poskytovanými údaji podle odstavce 1 písm. a) jsou

a) příjmení,
b) jméno, popřípadě jména,
c) adresa místa pobytu,
d) datum narození.

(3) Poskytovanými údaji podle odstavce 1 písm. b) jsou

a) jméno, popřípadě jména, příjmení, popřípadě rodné příjmení,
b) datum narození,
c) adresa místa trvalého pobytu, včetně předchozích adres místa trvalého pobytu,
d) počátek trvalého pobytu, popřípadě datum zrusení trvalého pobytu nebo datum ukončení trvalého pobytu na území České republiky.

(4) Poskytovanými údaji podle odstavce 1 písm. c) jsou

a) jméno, popřípadě jména, příjmení, popřípadě rodné příjmení,
b) datum narození,
c) druh a adresa místa pobytu,
d) číslo a platnost oprávnění k pobytu,
e) počátek pobytu, popřípadě datum ukončení pobytu.

(5) Údaje, které jsou vedeny jako referenční údaje v základním registru obyvatel, se vyuzijí z agendového informačního systému evidence obyvatel nebo agendového informačního systému cizinců, pouze pokud jsou ve tvaru předcházejícím současný stav.

(6) Z poskytovaných údajů lze v konkrétním případě pouzít vzdy jen takové údaje, které jsou nezbytné ke splnění daného úkolu.

HLAVA V

ORGANIZACE ÚŘADU

§ 30

(1) Zaměstnanci Úřadu jsou předseda, inspektoři a dalsí zaměstnanci.

(2) Kontrolní činnost Úřadu provádějí inspektoři a pověření zaměstnanci (dále jen "kontrolující").

(3) Předseda Úřadu má nárok na plat, náhradu výdajů, naturální plnění a odchodné jako prezident Nejvyssího kontrolního úřadu podle zvlástního zákona.26a)

(4) Inspektoři Úřadu mají nárok na plat, náhradu výdajů a naturální plnění jako členové Nejvyssího kontrolního úřadu podle zvlástního zákona.26a)

§ 31

Kontrolní činnost Úřadu se provádí na základě kontrolního plánu nebo na základě podnětů a stízností.

§ 32

Předseda Úřadu

(1) Úřad řídí předseda, kterého jmenuje a odvolává prezident republiky na návrh Senátu Parlamentu České republiky.

(2) Předseda Úřadu je jmenován na dobu 5 let. Můze být jmenován maximálně na 2 po sobě jdoucí období. Předseda Úřadu se povazuje za sluzební orgán a je oprávněn dávat státnímu zaměstnanci příkazy k výkonu státní sluzby podle zákona o státní sluzbě.

(3) Předsedou Úřadu můze být jmenován pouze občan České republiky, který

a) je způsobilý k právním úkonům,

b) je bezúhonný, splňuje podmínky stanovené zvlástním právním předpisem30) a jeho znalosti, zkusenosti a morální vlastnosti jsou předpokladem, ze bude svoji funkci řádně zastávat,

c) má ukončené vysokoskolské vzdělání.

(4) Bezúhonnou je pro účel tohoto zákona fyzická osoba, která nebyla pravomocně odsouzena pro úmyslný trestný čin nebo i trestný čin spáchaný z nedbalosti v souvislosti se zpracováním osobních údajů.

(5) S výkonem funkce předsedy Úřadu je neslučitelná funkce poslance nebo senátora, soudce, státního zástupce, jakákoliv funkce ve veřejné správě, funkce člena orgánů územní samosprávy a členství v politických stranách a hnutích.

(6) Předseda Úřadu nesmí zastávat jinou placenou funkci, být v dalsím pracovním poměru ani vykonávat výdělečnou činnost s výjimkou správy vlastního majetku a činnosti vědecké, pedagogické, literární, publicistické a umělecké, pokud tato činnost nenarusuje důstojnost nebo neohrozuje důvěru v nezávislost a nestrannost Úřadu.

(7) Z funkce je předseda Úřadu odvolán, přestal-li splňovat některou z podmínek pro jeho jmenování.

(8) Z funkce můze být předseda odvolán také tehdy, jestlize nevykonává po dobu 6 měsíců svoji funkci.

Inspektoři Úřadu

§ 33

(1) Inspektora jmenuje a odvolává prezident republiky na návrh Senátu Parlamentu České republiky.

(2) Inspektor je jmenován na období 10 let. Můze být jmenován opakovaně.

(3) Inspektor řídí kontrolu a provádí dalsí úkony, které jsou v působnosti Úřadu.

(4) Činnosti podle odstavce 3 vykonává 7 inspektorů Úřadu.

§ 34

(1) Inspektorem můze být jmenován občan České republiky, který je způsobilý k právním úkonům, bezúhonný, splňuje podmínky stanovené zvlástním právním předpisem30) a má ukončené odborné vysokoskolské vzdělání.

(2) S výkonem funkce inspektora je neslučitelná funkce poslance nebo senátora, soudce, státního zástupce, jakákoliv funkce ve veřejné správě, funkce člena orgánů územní samosprávy a členství v politických stranách a hnutích. Inspektor nesmí zastávat jinou placenou funkci, být v pracovním poměru ani vykonávat výdělečnou činnost s výjimkou správy vlastního majetku a činnosti vědecké, pedagogické, literární, publicistické a umělecké, pokud tato činnost nenarusuje důstojnost nebo neohrozuje důvěru v nezávislost a nestrannost Úřadu.

(3) Z funkce je inspektor odvolán, přestal-li splňovat některou z podmínek pro jeho jmenování.

HLAVA VI

ČINNOST ÚŘADU

§ 35

Registr
(1) Do registru zpracování osobních údajů se k osobám správců zapisují informace z oznámení podle § 16 odst. 2 a datum provedení, případně zrusení registrace.

(2) Informace zapsané do registru, s výjimkou informací uvedených v § 16 odst. 2 písm. e) a i), jsou veřejně přístupné, zejména způsobem umozňujícím dálkový přístup.

(3) Zrusení registrace podle § 17a oznamuje Úřad ve Věstníku Úřadu.

§ 36

Výroční zpráva

(1) Výroční zpráva Úřadu obsahuje zejména informace o provedené kontrolní činnosti a její zhodnocení, informace a zhodnocení stavu v oblasti zpracovávání a ochrany osobních údajů v České republice a zhodnocení ostatní činnosti Úřadu.

(2) Výroční zprávu předkládá předseda Úřadu pro informaci Poslanecké sněmovně a Senátu Parlamentu České republiky a vládě České republiky do 2 měsíců po skončení rozpočtového roku a zveřejňuje ji.

§ 37

Oprávnění kontrolujícího na přístup k informacím

Kontrolující je při kontrole zpracování osobních údajů oprávněn seznamovat se se vsemi informacemi v rozsahu nezbytném pro dosazení účelu kontroly, včetně citlivých údajů.

§ 37

Oprávnění kontrolujícího na přístup k informacím

Kontrolující je při kontrole zpracování osobních údajů oprávněn seznamovat se se vsemi informacemi v rozsahu nezbytném pro dosazení účelu kontroly, včetně citlivých údajů.

Opatření k nápravě

§ 40

Dojde-li k porusení povinnosti stanovené zákonem nebo ulozené na jeho základě při zpracování osobních údajů, ulozí inspektor opatření k odstranění zjistěných nedostatků a stanoví lhůtu pro jejich odstranění.

§ 40a

Dojde-li k nápravě protiprávního stavu v souladu s ulozeným opatřením nebo bezprostředně poté, kdy bylo zjistěno porusení povinnosti, můze Úřad upustit od ulození pokuty.

HLAVA VII

SPRÁVNÍ DELIKTY

PŘESTUPKY

§ 44

(1) Fyzická osoba, která

a) je ke správci nebo zpracovateli v pracovním nebo jiném obdobném poměru,
b) vykonává pro správce nebo zpracovatele činnosti na základě dohody, nebo
c) v rámci plnění zvlástním zákonem ulozených oprávnění a povinností přichází u správce nebo zpracovatele do styku s osobními údaji,
se dopustí přestupku tím, ze porusí povinnost mlčenlivosti (§ 15).

(2) Fyzická osoba se jako správce nebo zpracovatel dopustí přestupku tím, ze při zpracování osobních údajů

a) nestanoví účel, prostředky nebo způsob zpracování [§ 5 odst. 1 písm. a) a b)] nebo stanoveným účelem zpracování porusí povinnost nebo překročí oprávnění vyplývající ze zvlástního zákona,
b) zpracovává nepřesné osobní údaje [§ 5 odst. 1 písm. c)],
c) shromazďuje nebo zpracovává osobní údaje v rozsahu nebo způsobem, který neodpovídá stanovenému účelu [§ 5 odst. 1 písm. d), f) az h)],
d) uchovává osobní údaje po dobu delsí nez nezbytnou k účelu zpracování [§ 5 odst. 1 písm. e)],
e) zpracovává osobní údaje bez souhlasu subjektu údajů mimo případy uvedené v zákoně (§ 5 odst. 2 a § 9),
f) neposkytne subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem (§ 11),
g) odmítne subjektu údajů poskytnout pozadované informace (§ 12 a 21),
h) nepřijme nebo neprovede opatření pro zajistění bezpečnosti zpracování osobních údajů (§ 13),
i) nesplní oznamovací povinnost podle tohoto zákona (§ 16 a 27), nebo
j) neprovede ve stanovené lhůtě ulozené opatření k nápravě.

(3) Fyzická osoba se jako správce nebo zpracovatel dopustí přestupku tím, ze při zpracování osobních údajů některým ze způsobů podle odstavce 2

a) ohrozí větsí počet osob svým neoprávněným zasahováním do soukromého a osobního zivota, nebo
b) porusí povinnosti pro zpracování citlivých údajů (§ 9).

(4) Za přestupek podle odstavce 1 lze ulozit pokutu do výse 100 000 Kč.

(5) Za přestupek podle odstavce 2 lze ulozit pokutu do výse 1 000 000 Kč.

(6) Za přestupek podle odstavce 3 lze ulozit pokutu do výse 5 000 000 Kč.

§ 44a

(1) Fyzická osoba se dopustí přestupku tím, ze porusí zákaz zveřejnění osobních údajů stanovený jiným právním předpisem.

(2) Za přestupek podle odstavce 1 lze ulozit pokutu do 1000000 Kč.

(3) Za přestupek podle odstavce 1 spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem lze ulozit pokutu do 5000000 Kč.

§ 45

(1) Právnická osoba nebo fyzická osoba podnikající podle zvlástních předpisů se jako správce nebo zpracovatel dopustí správního deliktu tím, ze při zpracování osobních údajů

(1) Právnická nebo podnikající fyzická osoba se jako správce nebo zpracovatel dopustí přestupku tím, ze při zpracování osobních údajů

a) nestanoví účel, prostředky nebo způsob zpracování [§ 5 odst. 1 písm. a) a b)], nebo stanoveným účelem zpracování porusí povinnost nebo překročí oprávnění vyplývající ze zvlástního zákona,
b) zpracovává nepřesné osobní údaje [§ 5 odst. 1 písm. c)],
c) shromazďuje nebo zpracovává osobní údaje v rozsahu nebo způsobem, který neodpovídá stanovenému účelu [§ 5 odst. 1 písm. d), f) az h)],
d) uchovává osobní údaje po dobu delsí nez nezbytnou k účelu zpracování [§ 5 odst. 1 písm. e)],
e) zpracovává osobní údaje bez souhlasu subjektu údajů mimo případy uvedené v zákoně (§ 5 odst. 2 a § 9),
f) neposkytne subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem (§ 11),
g) odmítne subjektu údajů poskytnout pozadované informace (§ 12 a 21),
h) nepřijme nebo neprovede opatření pro zajistění bezpečnosti zpracování osobních údajů (§ 13),
i) nesplní oznamovací povinnost podle tohoto zákona (§ 16 a 27),
j) nevede přehled případů porusení ochrany osobních údajů podle § 88 odst. 7 zákona o elektronických komunikacích, nebo
k) neprovede ve stanovené lhůtě ulozené opatření k nápravě.

(2) Právnická osoba jako správce nebo zpracovatel se dopustí správního deliktu tím, ze při zpracování osobních údajů některým ze způsobů podle odstavce 1

(2) Právnická nebo podnikající fyzická osoba jako správce nebo zpracovatel se dopustí přestupku tím, ze při zpracování osobních údajů některým ze způsobů podle odstavce 1

a) ohrozí větsí počet osob svým neoprávněným zasahováním do soukromého a osobního zivota, nebo
b) porusí povinnosti pro zpracování citlivých údajů (§ 9).

(3) Za správní delikt podle odstavce 1 se ulozí pokuta do výse 5 000 000 Kč.

(3) Za přestupek podle odstavce 1 lze ulozit pokutu do 5000000 Kč.

(4) Za správní delikt podle odstavce 2 se ulozí pokuta do výse 10 000 000 Kč.

(4) Za přestupek podle odstavce 2 lze ulozit pokutu do 10000000 Kč.

§ 45a

(1) Právnická osoba nebo podnikající fyzická osoba se dopustí správního deliktu tím, ze porusí zákaz zveřejnění osobních údajů stanovený jiným právním předpisem.

(1) Právnická osoba nebo podnikající fyzická osoba se dopustí přestupku tím, ze porusí zákaz zveřejnění osobních údajů stanovený jiným právním předpisem.

(2) Za správní delikt podle odstavce 1 se ulozí pokuta do 1000000 Kč.

(2) Za přestupek podle odstavce 1 lze ulozit pokutu do 1000000 Kč.

(3) Za správní delikt podle odstavce 1 spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem se ulozí pokuta do 5000000 Kč.

(3) Za přestupek podle odstavce 1 spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem lze ulozit pokutu do 5000000 Kč.

§ 46

(1) Právnická osoba za správní delikt neodpovídá, jestlize prokáze, ze vynalozila veskeré úsilí, které bylo mozno pozadovat, aby porusení právní povinnosti zabránila.

(2) Při rozhodování o výsi pokuty se přihlízí zejména k závaznosti, způsobu, době trvání a následkům protiprávního jednání a k okolnostem, za nichz bylo protiprávní jednání spácháno.

(3) Odpovědnost právnické osoby za správní delikt zaniká, jestlize správní orgán o něm nezahájil řízení do 1 roku ode dne, kdy se o něm dozvěděl, nejpozději vsak do 3 let ode dne, kdy byl spáchán.

(4) Správní delikty podle tohoto zákona projednává v prvním stupni Úřad.

(1) Přestupky podle tohoto zákona projednává Úřad.

(5) Na odpovědnost za jednání, k němuz doslo při podnikání fyzické osoby nebo v přímé souvislosti s ním, se pouzijí ustanovení o odpovědnosti a postihu právnické osoby.

(6) Pokuta je splatná do 30 dnů ode dne, kdy rozhodnutí o jejím ulození nabylo právní moci.

(7) Pokutu vybírá Úřad. Výnos z pokut je příjmem státního rozpočtu.

(2) Pokutu vybírá Úřad.

HLAVA VIII

USTANOVENÍ SPOLEČNÁ, PŘECHODNÁ A ZÁVĚREČNÁ

§ 47

Opatření pro přechodné období

(1) Kazdý, kdo zpracovává ke dni nabytí účinnosti tohoto zákona osobní údaje a na něhoz se vztahuje povinnost oznámení podle § 16, je povinen tak učinit nejpozději do 6 měsíců ode dne nabytí účinnosti tohoto zákona.

(2) Zpracování osobních údajů prováděné před účinností tohoto zákona je nutno uvést do souladu s tímto zákonem do 31. prosince 2001.

(3) V případě, ze kontrolující zjistí porusení povinnosti podle odstavce 2, ustanovení § 46 odst. 1 a 2 se v takovém případě do 31. prosince 2002 nepouzijí.

§ 48

Zrusovací ustanovení

Zrusuje se zákon č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech.

ČÁST TŘETÍ

§ 50

Novela zákona o svobodném přístupu k informacím

Zákon č. 106/1999 Sb., o svobodném přístupu k informacím, se mění takto:

1. V § 2 odstavec 3 včetně poznámky pod čarou č. 1) zní:

"(3) Zákon se nevztahuje na poskytování osobních údajů a informací podle zvlástního právního předpisu.1)

1) Například zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, a zákon č. 123/1998 Sb., o právu na informace o zivotním prostředí.".

2. V § 5 odst. 3 se věta druhá nahrazuje větou, která včetně poznámky pod čarou č. 3a) zní: "Na tyto subjekty se pro tento účel nevztahuje povinnost zamezit sdruzování informací podle zvlástního právního předpisu.3a)

3a) § 5 odst. 1 písm. h) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.".

3. V § 8 se odstavce 1 a 2 včetně nadpisu a poznámky pod čarou č. 5) zrusují.

ČÁST ČTVRTÁ

ÚČINNOST

§ 51

Tento zákon nabývá účinnosti dnem 1. června 2000, s výjimkou ustanovení § 16, 17 a 35, která nabývají účinnosti dnem 1. prosince 2000.

Přechodná ustanovení zavedena zákonem č. 439/2004 Sb. Čl. II

1. Oznámení a rozhodnutí ve věci registrace zpracování osobních údajů podle § 16, 17 a 17a zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění zákona č. 450/2001 Sb., podaná a vydaná přede dnem nabytí účinnosti tohoto zákona zůstávají v platnosti.

2. Povolení k předání nebo předávání osobních údajů do jiného státu vydané přede dnem nabytí účinnosti tohoto zákona pozbývá dnem nabytí účinnosti tohoto zákona platnosti, pokud státem, pro který bylo povolení určeno, je členský stát Evropské unie nebo stát, pro který zákaz omezování volného pohybu osobních údajů vyplývá z vyhlásené mezinárodní smlouvy, k jejíz ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána. Povolení k předání nebo předávání osobních údajů do státu, který není uveden v předchozí větě, vydané přede dnem nabytí účinnosti tohoto zákona zůstává v platnosti.

3. Řízení zahájené a neskončené přede dnem nabytí účinnosti tohoto zákona se dokončí podle dosavadních právních předpisů, s výjimkou řízení o povolení k předání nebo předávání osobních údajů do členského státu Evropské unie nebo státu, pro který zákaz omezování volného pohybu osobních údajů vyplývá z vyhlásené mezinárodní smlouvy, k jejíz ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána, které se zastaví.

4. Správce provádějící zpracování osobních údajů, ke kterému podle dosavadních právních předpisů nebylo zapotřebí registrace, a které ode dne nabytí účinnosti tohoto zákona registraci podléhá, musí takové zpracování osobních údajů oznámit Úřadu pro ochranu osobních údajů do 6 měsíců ode dne nabytí účinnosti tohoto zákona.

Klaus v. r.

Havel v. r.

Zeman v. r.

 

1) § 10 odst. 1 písm. a) zákona č. 480/2004 Sb., o některých sluzbách informační společnosti a o změně některých zákonů (zákon o některých sluzbách informační společnosti).

1a) Úmluva o ochraně osob se zřetelem na automatizované zpracování osobních dat č. 108, vyhlásená pod č. 115/2001 Sb. m. s.

2) Zákon č. 89/1995 Sb., o státní statistické sluzbě.
Zákon č. 158/1999 Sb., o sčítání lidu, domů a bytů v roce 2001.

3) § 1 zákona č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel), ve znění pozdějsích předpisů.

4) Zákon č. 40/1993 Sb., o nabývání a pozbývání státního občanství České republiky, ve znění pozdějsích předpisů.

5) Například zákon č. 222/1999 Sb., o zajisťování obrany České republiky, ve znění zákona č. 320/2002 Sb., zákon č. 218/1999 Sb., o rozsahu branné povinnosti a o vojenských správních úřadech (branný zákon), ve znění pozdějsích předpisů, zákon č. 219/1999 Sb., o ozbrojených silách České republiky, ve znění pozdějsích předpisů, a zákon č. 124/1992 Sb., o Vojenské policii, ve znění pozdějsích předpisů.

6) Například zákon č. 240/2000 Sb., o krizovém řízení a o změně některých zákonů (krizový zákon), ve znění zákona č. 320/2002 Sb., zákon č. 283/1991 Sb., o Policii České republiky, ve znění pozdějsích předpisů, a zákon č. 553/1991 Sb., o obecní policii, ve znění pozdějsích předpisů.

7) Například zákon č. 61/1996 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a o změně a doplnění souvisejících zákonů, ve znění pozdějsích předpisů, zákon č. 141/1961 Sb., o trestním řízení soudním (trestní řád), ve znění pozdějsích předpisů, a zákon č. 200/1990 Sb., o přestupcích, ve znění pozdějsích předpisů.

7) Například zákon č. 61/1996 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a o změně a doplnění souvisejících zákonů, ve znění pozdějsích předpisů, zákon č. 141/1961 Sb., o trestním řízení soudním (trestní řád), ve znění pozdějsích předpisů, a zákon č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich.

8) Například zákon č. 241/2000 Sb., o hospodářských opatřeních pro krizové stavy a o změně některých souvisejících zákonů, ve znění pozdějsích předpisů, zákon č. 240/2000 Sb., o krizovém řízení a o změně některých zákonů (krizový zákon), ve znění zákona č. 320/2002 Sb., a zákon č. 148/1998 Sb., o ochraně utajovaných skutečností a o změně některých zákonů, ve znění pozdějsích předpisů.

9) Například zákon č. 218/2000 Sb., o rozpočtových pravidlech a o změně některých souvisejících zákonů (rozpočtová pravidla), ve znění pozdějsích předpisů, zákon č. 250/2000 Sb., o rozpočtových pravidlech územních rozpočtů, ve znění pozdějsích předpisů, zákon č. 6/1993 Sb., o České národní bance, ve znění pozdějsích předpisů, a zákon č. 212/1992 Sb., o soustavě daní, ve znění zákona č. 302/1993 Sb.

10) Například zákon č. 166/1993 Sb., o Nejvyssím kontrolním úřadu, ve znění pozdějsích předpisů, zákon č. 337/1992 Sb., o správě daní a poplatků, ve znění pozdějsích předpisů, a zákon č. 552/1991 Sb., o státní kontrole, ve znění pozdějsích předpisů.

10a) Zákon č. 140/1996 Sb., o zpřístupnění svazků vzniklých činností bývalé Státní bezpečnosti, ve znění zákona č. 107/2002 Sb.

11) Například zákon č. 13/1993 Sb., celní zákon, ve znění pozdějsích předpisů.

12) Například zákon č. 111/1998 Sb., o vysokých skolách a o změně a doplnění dalsích zákonů (zákon o vysokých skolách), ve znění pozdějsích předpisů, zákon č. 564/1990 Sb., o státní správě a samosprávě ve skolství, ve znění pozdějsích předpisů, zákon č. 153/1994 Sb., o zpravodajských sluzbách České republiky, ve znění pozdějsích předpisů, zákon č. 154/2000 Sb., o slechtění, plemenitbě a evidenci hospodářských zvířat a o změně některých souvisejících zákonů (plemenářský zákon), ve znění pozdějsích předpisů, zákon č. 166/1999 Sb., o veterinární péči a o změně některých souvisejících zákonů (veterinární zákon), ve znění pozdějsích předpisů, zákon č. 246/1992 Sb., na ochranu zvířat proti týrání, ve znění pozdějsích předpisů, zákon č. 147/1996 Sb., o rostlinolékařské péči a změnách některých souvisejících zákonů, ve znění pozdějsích předpisů, a zákon č. 219/2003 Sb., o uvádění do oběhu osiva a sadby pěstovaných rostlin a o změně některých zákonů (zákon o oběhu osiva a sadby).

13) Zákon č. 81/1966 Sb., o periodickém tisku a o ostatních hromadných informačních prostředcích, ve znění pozdějsích předpisů.

14) Zákon č. 20/1966 Sb., o péči o zdraví lidu, ve znění pozdějsích předpisů.

15) Například zákon č. 20/1966 Sb., o péči o zdraví lidu, ve znění pozdějsích předpisů, zákon č. 258/2000 Sb., o ochraně veřejného zdraví a o změně některých souvisejících zákonů, ve znění pozdějsích předpisů, zákon č. 48/1997 Sb., o veřejném zdravotním pojistění a o změně a doplnění některých souvisejících zákonů, ve znění pozdějsích předpisů, zákon č. 280/1992 Sb., o resortních, oborových, podnikových a dalsích zdravotních pojisťovnách, ve znění pozdějsích předpisů, zákon č. 551/1991 Sb., o Vseobecné zdravotní pojisťovně České republiky, ve znění pozdějsích předpisů, a zákon č. 592/1992 Sb., o pojistném na vseobecné zdravotní pojistění, ve znění pozdějsích předpisů.

15a) Například zákon č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, ve znění pozdějsích předpisů.

16) Například zákon č. 65/1965 Sb., zákoník práce, ve znění pozdějsích předpisů, zákon č. 1/1992 Sb., o mzdě, odměně za pracovní pohotovost a o průměrném výdělku, ve znění pozdějsích předpisů, zákon č. 218/2002 Sb., o sluzbě státních zaměstnanců ve správních úřadech a o odměňování těchto zaměstnanců a ostatních zaměstnanců ve správních úřadech (sluzební zákon), ve znění pozdějsích předpisů, a zákon č. 1/1991 Sb., o zaměstnanosti, ve znění pozdějsích předpisů.

18) Například zákon č. 123/1998 Sb., o právu na informace o zivotním prostředí, zákon č. 367/1990 Sb., o obcích (obecní zřízení), ve znění pozdějsích předpisů, zákon č. 106/1999 Sb., o svobodném přístupu k informacím.

19) Například zákon č. 148/1998 Sb., ve znění pozdějsích předpisů, zákon č. 89/1995 Sb., zákon č. 20/1966 Sb., ve znění pozdějsích předpisů, zákon č. 15/1998 Sb., o Komisi pro cenné papíry a o změně a doplnění dalsích zákonů.

20) Například § 167 a 168 zákona č. 140/1961 Sb., trestní zákon, ve znění pozdějsích předpisů, zákon č. 21/1992 Sb., o bankách, ve znění pozdějsích předpisů, zákon č. 20/1966 Sb., ve znění pozdějsích předpisů.

21) Například zákon č. 153/1994 Sb., zákon č. 61/1996 Sb., ve znění zákona č. 15/1998 Sb., zákon č. 283/1991 Sb., ve znění pozdějsích předpisů, a zákon č. 158/1999 Sb.

22) § 13 občanského zákoníku.

23) Zákon č. 40/1964 Sb., ve znění pozdějsích předpisů.

24) Zákon č. 513/1991 Sb., obchodní zákoník, ve znění pozdějsích předpisů.

25) Například § 5c zákona č. 1/1991 Sb., o zaměstnanosti, ve znění zákona č. 167/1999 Sb., zákona č. 155/2000 Sb. a zákona č. 220/2002 Sb., § 71a zákona č. 325/1999 Sb., o azylu a o změně zákona č. 283/1991 Sb., o Policii České republiky, ve znění pozdějsích předpisů, (zákon o azylu), ve znění zákona č. 2/2002 Sb., § 35 odst. 3 zákona č. 359/1999 Sb., o sociálně-právní ochraně dětí, ve znění pozdějsích předpisů, a § 4a odst. 3 zákona č. 13/1993 Sb., celní zákon, ve znění zákona č. 1/2002 Sb.

25a) Článek 8 odst. 6 a článek 26 odst. 3 Směrnice č. 95/46/ES.

26) Zákon č. 552/1991 Sb., o státní kontrole, ve znění pozdějsích předpisů.

26a) Zákon č. 236/1995 Sb., o platu a dalsích nálezitostech spojených s výkonem funkce představitelů státní moci a některých státních orgánů a soudců, ve znění pozdějsích předpisů.

27) § 12 zákona č. 153/1994 Sb.

30) Zákon č. 451/1991 Sb.

31) Zákon č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti.

32) Zákon č. 71/1967 Sb., o správním řízení (správní řád), ve znění zákona č. 29/2000 Sb.

33) Zákon č. 200/1990 Sb., o přestupcích, ve znění pozdějsích předpisů.

33) Zákon č. 300/2016 Sb., o centrální evidenci účtů.

§ 1

Předmět úpravy

Tento zákon zapracovává příslušné předpisy Evropské unie¹), zároveň navazuje na přímo použitelný předpis Evropské unie²) a k naplnění práva každého na ochranu soukromí upravuje práva a povinnosti při zpracování osobních údajů.

§ 2

Působnost zákona

Tento zákon upravuje

a) zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/679²),

b) zpracování osobních údajů příslušnými orgány za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech,

c) zpracování osobních údajů při zajišťování obranných a bezpečnostních zájmů České republiky,

d) další zpracování osobních údajů, které mají být nebo jsou zařazeny do evidence nebo jejichž zpracování probíhá zcela nebo částečně automatizovaně, nejde-li o zpracování osobních údajů fyzickou osobou v průběhu výlučně osobních nebo domácích činností, a

e) postavení a pravomoc Úřadu pro ochranu osobních údajů (dále jen „Úřad“).

§ 3

Subjekt údajů

Subjektem údajů se rozumí fyzická osoba, k níž se osobní údaje vztahují.

§ 4

Působnost

(1) Ustanovení této hlavy se použijí při zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/679.

(2) Ustanovení této hlavy a nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí i při zpracování osobních údajů, které mají být nebo jsou zařazeny do evidence, a při zpracování osobních údajů, které probíhá zcela nebo částečně automatizovaně, nejde-li o zpracování osobních údajů fyzickou osobou v průběhu výlučně osobních nebo domácích činností,

a) při výkonu činností, které nespadají do oblasti působnosti práva Evropské unie nebo do působnosti hlavy III nebo IV, nebo

b) při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o Evropské unii.

§ 5

Oprávnění ke zpracování osobních údajů při plnění právní povinnosti nebo výkonu působnosti

Správce je oprávněn zpracovávat osobní údaje, pokud je to nezbytné pro splnění

a) povinnosti, která je správci uložena právním předpisem, nebo

b) úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen.

§ 6

Výjimka z povinnosti posuzování slučitelnosti účelů

(1) Nestanoví-li jiný právní předpis jinak, správce není povinen při zajišťování chráněného zájmu posuzovat před zpracováním osobních údajů k jinému účelu, než ke kterému byly shromážděny, slučitelnost těchto účelů, je-li toto zpracování nezbytné a přiměřené pro splnění

a) povinnosti, která je správci uložena, nebo

b) úkolu ve veřejném zájmu stanoveného právním předpisem nebo při výkonu veřejné moci, kterým je správce pověřen.

(2) Chráněným zájmem podle odstavce 1 se rozumí

a) obranné nebo bezpečnostní zájmy České republiky,

b) veřejný pořádek a vnitřní bezpečnost, předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkon trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech,

c) jiný důležitý cíl veřejného zájmu Evropské unie nebo členského státu Evropské unie, zejména důležitý hospodářský nebo finanční zájem Evropské unie nebo členského státu Evropské unie, včetně záležitostí měnových, peněžních, rozpočtových, daňových a finančního trhu, veřejného zdraví nebo sociálního zabezpečení,

d) ochrana nezávislosti soudů a soudců,

e) předcházení, vyhledávání, odhalování nebo stíhání porušování etických pravidel regulovaných povolání,

f) dohledové, kontrolní nebo regulační funkce spojené s výkonem veřejné moci v případech uvedených v písmenech a) až e),

g) ochrana práv a svobod osob, nebo

h) vymáhání soukromoprávních nároků.

§ 7

Způsobilost dítěte pro souhlas se zpracováním osobních údajů

Dítě nabývá způsobilosti k udělení souhlasu se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti přímo jemu dovršením patnáctého roku věku.

§ 8

Informační povinnost pro zpracování osobních údajů upravená zákonem

Pokud správce provádí zpracování osobních údajů podle § 5 a je povinen subjektu údajů poskytnout informace podle čl. 13 nebo čl. 14 odst. 1, 2 a 4 nařízení Evropského parlamentu a Rady (EU) 2016/679, může tyto informace v rozsahu odpovídajícím jím obvykle prováděnému zpracování osobních údajů poskytnout zveřejněním způsobem umožňujícím dálkový přístup.

§ 9

Oznámení formou změny výchozí evidence

Je-li správce povinen oznámit příjemci provedenou opravu, omezení zpracování nebo výmaz osobních údajů, může tak učinit změnou osobních údajů v evidenci, pokud příjemci pravidelně zpřístupňuje její platný obsah.

§ 10

Výjimka z povinnosti posouzení vlivu zpracování osobních údajů na ochranu osobních údajů

Správce nemusí provádět posouzení vlivu zpracování na ochranu osobních údajů před jeho zahájením, pokud mu právní předpis stanoví povinnost takové zpracování osobních údajů provést.

§ 11

Omezení některých práv a povinností

(1) Nestanoví-li jiný právní předpis jinak, čl. 12 až 22 a v jim odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito články odloží, je-li to nezbytné a svým rozsahem přiměřené k zajištění chráněného zájmu uvedeného v § 6 odst. 2.

(2) Omezení některých práv nebo povinností podle odstavce 1 správce nebo zpracovatel bez zbytečného odkladu oznámí Úřadu, přitom uvede v přiměřeném rozsahu skutečnosti podle čl. 23 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679; to neplatí pro soudy provádějící zpracování osobních údajů podle čl. 55 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 12

Výjimka z povinnosti oznámení porušení zabezpečení osobních údajů subjektu údajů

Pokud je správce povinen oznámit porušení zabezpečení osobních údajů subjektu údajů, toto oznámení provede v omezeném rozsahu nebo jej odloží, je-li to nezbytné a svým rozsahem přiměřené k zajištění chráněného zájmu uvedeného v § 6 odst. 2. Pro oznámení takového postupu Úřadu se § 11 odst. 2 použije obdobně.

§ 13

Osobní údaje s omezeným zpracováním

Pokud bylo zpracování osobních údajů omezeno podle čl. 18 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679, není tím dotčena povinnost správce nebo zpracovatele tyto osobní údaje předat nebo zpřístupnit, je-li tato povinnost stanovena právním předpisem. Tyto údaje se při předání nebo zpřístupnění označí jako údaje uvedené v čl. 18 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 14

Jmenování pověřence pro ochranu osobních údajů

Povinnost jmenovat pověřence pro ochranu osobních údajů podle čl. 37 odst. 1 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 mají kromě orgánů veřejné moci také orgány zřízené zákonem, které plní zákonem stanovené úkoly ve veřejném zájmu.

§ 15

Akreditace subjektů pro vydávání osvědčení

Osoby oprávněné k vydávání osvědčení o ochraně osobních údajů jsou akreditovány osobou pověřenou k výkonu působnosti akreditačního orgánu podle zákona upravujícího akreditaci subjektů posuzování shody³).

§ 16

Zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely

(1) Správce nebo zpracovatel při zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely zajistí dodržování konkrétních opatření k ochraně zájmů subjektu údajů, která odpovídají stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i různě pravděpodobným a závažným rizikům pro práva a svobody fyzických osob. Taková opatření mohou zahrnovat zejména

a) technická a organizační opatření zaměřená na důsledné uplatnění povinnosti podle čl. 5 odst. 1 písm. c) nařízení Evropského parlamentu a Rady (EU) 2016/679,

b) pořizování záznamů alespoň o všech operacích shromáždění, vložení, pozměnění a výmazu osobních údajů, které umožní určit a ověřit totožnost osoby provádějící operaci, a uchovávání těchto záznamů nejméně po dobu 2 let od provedení operace,

c) informování osob zpracovávajících osobní údaje o povinnostech v oblasti ochrany osobních údajů,

d) jmenování pověřence,

e) zvláštní omezení přístupu k osobním údajům v rámci správce nebo zpracovatele,

f) pseudonymizaci osobních údajů,

g) šifrování osobních údajů,

h) opatření k zajištění trvalé důvěrnosti, integrity, dostupnosti a odolnosti systémů a služeb zpracování,

i) opatření umožňující obnovení dostupnosti osobních údajů a včasný přístup k těmto údajům v případě incidentů,

j) proces pravidelného testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování,

k) zvláštní omezení přenosu osobních údajů do třetí země, nebo

l) zvláštní omezení zpracování osobních údajů pro jiné účely.

(2) Pokud to umožňuje dosáhnout účelu uvedeného v odstavci 1, osobní údaje uvedené v čl. 9 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 správce nebo zpracovatel dále zpracovává v podobě, která neumožňuje identifikaci subjektu údajů, ledaže tomu brání oprávněné zájmy subjektu údajů.

(3) Nestanoví-li jiný právní předpis jinak, čl. 15, 16, 18 a 21 a v jim odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito články odloží, je-li to nezbytné a svým rozsahem přiměřené k naplnění účelu zpracování uvedeného v odstavci 1. Článek 15 a v jemu odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužije, pokud je zpracování nezbytné pro účely vědeckého výzkumu a poskytnutí informací by vyžadovalo nepřiměřené úsilí.

§ 17

Zákonnost zpracování

(1) Osobní údaje lze zpracovávat také tehdy, slouží-li to přiměřeným způsobem pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu. Při posouzení přiměřenosti podle věty první se přihlédne také k tomu, jestli zpracování zahrnuje osobní údaje uvedené v čl. 9 odst. 1 nebo čl. 10 nařízení Evropského parlamentu a Rady (EU) 2016/679.

(2) Zpracování osobních údajů pro účely uvedené v odstavci 1 není podmíněno povolením nebo schválením Úřadu a požívá práva na ochranu zdroje a obsahu informací, a to i v případě zpracování osobních údajů způsobem umožňujícím dálkový přístup.

§ 18

Výjimky z poučovací a informační povinnosti správce

(1) Správce může při zpracování osobních údajů pro účely uvedené v § 17 odst. 1 své povinnosti, vyplývající z čl. 12 odst. 1 a 2, čl. 13 odst. 1 až 3 a čl. 21 odst. 4, a v jim odpovídajícím rozsahu též z čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, splnit také jakýmkoliv vhodným informováním subjektu údajů o identitě správce. Informovat o identitě správce lze také vhodným přihlášením se k identitě správce, které může být provedeno grafickým označením, ústně či jiným vhodným způsobem. Informace o identitě správce je dostačující tehdy, je-li poučení správce o právech subjektu údajů a dalších skutečnostech potřebných pro ochranu jeho práv v rozsahu odpovídajícím jím obvykle prováděnému zpracování osobních údajů veřejně dostupné způsobem umožňujícím dálkový přístup.

(2) Informaci o identitě správce není třeba poskytnout v odůvodněných případech, zejména pokud:

a) to není možné nebo by to vyžadovalo nepřiměřené úsilí,

b) subjekt údajů může zpracování uvedené v § 17 odst. 1 oprávněně očekávat,

c) subjekt údajů takové informace má, nebo

d) by poskytnutí takové informace ohrozilo nebo zmařilo účel zpracování osobních údajů, je-li takový postup nutný k dosažení oprávněného účelu zpracování osobních údajů, zejména v záležitostech veřejného zájmu.

Namísto vyloučení poskytnutí informace o identitě správce může správce poskytnutí této informace odložit.

§ 19

Ochrana zdroje a obsahu informací

(1) Povinnost informovat podle čl. 14 odst. 1 až 4 a čl. 21 odst. 4 a v jim odpovídajícím rozsahu též čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, jakož i o ostatních právech subjektu údajů, lze splnit také uveřejněním těchto informací způsobem umožňujícím dálkový přístup; v takovém případě postačí informovat o správcem obvykle prováděném zpracování osobních údajů.

(2) Právo na přístup k osobním údajům podle čl. 15 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužije, pokud se jedná o osobní údaje, které nebyly správcem uveřejněny a jsou zpracovávány pouze za účelem uvedeným v § 17 odst. 1. V ostatních případech může správce přístup k osobním údajům vyloučit v odůvodněných případech, zejména pokud by jinak došlo k ohrožení nebo zmaření oprávněného účelu zpracování osobních údajů nebo by to vyžadovalo nepřiměřené úsilí.

(3) Ustanovení čl. 14 odst. 2 písm. f) a čl. 15 odst. 1 písm. g) a v jim odpovídajícím rozsahu též čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se na zpracování osobních údajů pro účely uvedené v § 17 odst. 1 nepoužije.

(4) Pokud je správce povinen oznámit porušení zabezpečení osobních údajů podle čl. 33 odst. 1 nebo čl. 34 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679, nemusí oznamovat informace umožňující určení zdroje nebo obsahu osobních údajů, jejichž zabezpečení bylo porušeno.

§ 20

Výjimka z práv na opravu, na výmaz a na omezení zpracování osobních údajů

(1) V případě uplatnění práv na výmaz nebo na opravu osobních údajů, které jsou zpracovávány pro účely uvedené v § 17 odst. 1, se postupuje podle jiných právních předpisů⁴).

(2) Jde-li o zpracování osobních údajů k účelům uvedeným v § 17 odst. 1, má subjekt údajů právo na omezení zpracování osobních údajů podle čl. 18 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 pouze tehdy, pokud správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů tyto údaje požaduje pro určení, výkon nebo obhajobu právních nároků. To neplatí, pokud by to vyžadovalo nepřiměřené úsilí.

§ 21

Informování o opravě, výmazu a omezení zpracování

(1) Je-li správce v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1, uskutečňovaným také způsobem umožňujícím dálkový přístup, povinen oznámit příjemcům opravu, výmaz nebo omezení zpracování osobních údajů podle čl. 17 odst. 2 nebo čl. 19 a v jim odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, může tuto povinnost splnit také uvedením údaje o okamžiku poslední aktualizace obsahu, v němž jsou nebo byly osobní údaje uvedeny, nebo jiným vhodným opatřením.

(2) Oprava, výmaz nebo omezení zpracování podle čl. 19 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se oznamuje tomu, komu správce osobní údaje zpracovávané pro účely uvedené v § 17 odst. 1 předal, je-li to potřebné k ochraně práv nebo oprávněných zájmů subjektu údajů a nevyžaduje-li to nepřiměřené úsilí.

(3) Správce může informovat subjekt údajů pouze o kategoriích příjemců, pokud v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1 vyžaduje informování subjektu údajů o příjemcích podle čl. 19 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 nepřiměřené úsilí, nebo pokud by došlo k ohrožení nebo zmaření oprávněného účelu zpracování.

§ 22

Omezení práva na námitku

(1) Námitku podle čl. 21 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 lze v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1 vznést jen proti konkrétnímu zpřístupnění nebo uveřejnění osobních údajů; přitom subjekt údajů uvede konkrétní důvody nasvědčující, že v daném případě převažuje oprávněný zájem na ochraně jeho práv a svobod nad zájmem na takovém zpřístupnění nebo uveřejnění.

(2) Byla-li podána námitka podle odstavce 1, je správce povinen takové zpřístupnění nebo uveřejnění ukončit, pokud má za to, že subjekt údajů osvědčil, že nad zájmem na tomto uveřejnění v daném případě převažuje oprávněný zájem na ochraně jeho práv a svobod. Správce bez zbytečného odkladu informuje subjekt údajů o tom, zda jeho námitce vyhověl.

§ 23

Další výjimky pro zvláštní případy

(1) Ustanovení § 18 až 22 a ustanovení čl. 12 až 19, 21, 33 a 34 a v jim odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužijí, použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů v nich stanovených odloží,

a) je-li takový postup potřebný ke splnění účelu zpracování uvedeného v § 17 odst. 1, a

b) nepovede-li takový postup pravděpodobně k vysokému riziku pro oprávněné zájmy subjektu údajů.

(2) Ustanovení kapitoly VII nařízení Evropského parlamentu a Rady (EU) 2016/679 se při zpracování uvedeném v § 17 odst. 1 nepoužijí. Ustanovení čl. 20, 22, 56 a 58 odst. 1 písm. a), b), e) a f) a čl. 58 odst. 2 písm. d), f) a g) a kapitol II, IV, V a IX nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužijí, použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito ustanoveními odloží, je-li to nezbytné ke splnění účelu zpracování uvedeného v § 17 odst. 1.

(3) Pokud by vyloučení nebo omezení některých práv nebo povinností podle odstavce 2 vedlo pravděpodobně k vysokému riziku pro oprávněné zájmy subjektu údajů, správce nebo zpracovatel bez zbytečného odkladu přijme a dokumentuje vhodná opatření ke zmírnění takového nebo obdobného rizika.

§ 24

Obecná ustanovení

(1) Nestanoví-li zákon jinak, ustanovení této hlavy se použijí při zpracování osobních údajů, které je nezbytné pro plnění úkolu a výkon veřejné moci spravujícího orgánu stanovených jinými zákony⁵) za účelem předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech.

(2) Pro účely této hlavy se použije čl. 4 body 1 až 6, 8, 9, 12 až 15 a 26 nařízení Evropského parlamentu a Rady (EU) 2016/679 obdobně.

(3) Spravujícím orgánem se rozumí orgán veřejné moci příslušný k plnění úkolu uvedeného v odstavci 1, který není zpravodajskou službou nebo obecní policií.

(4) Ustanovení této hlavy se použijí na zpracování osobních údajů, které jsou nebo mají být zařazeny do evidence, nebo pokud toto zpracování probíhá zcela nebo částečně automatizovaně.

§ 25

Zásady zpracování osobních údajů

(1) Při zpracování osobních údajů spravující orgán

a) stanoví konkrétní účel zpracování osobních údajů v souvislosti s plněním úkolu uvedeného v § 24 odst. 1,

b) přijímá opatření zajišťující, aby osobní údaje byly přesné ve vztahu k povaze a účelu zpracování, a

c) uchovává osobní údaje v podobě umožňující identifikaci subjektu údajů jen po dobu nezbytnou k dosažení účelu jejich zpracování.

(2) Pro účel nesouvisející s plněním úkolu uvedeného v § 24 odst. 1 lze osobní údaje zpracovávat, pouze pokud je k tomu spravující orgán oprávněn a tento účel není neslučitelný se stanoveným konkrétním účelem jejich zpracování.

§ 26

Kategorie subjektů údajů a kvalita osobních údajů

Je-li to možné, spravující orgán

a) připojí ke zpracovávaným osobním údajům informaci o postavení subjektu údajů v trestním řízení, popřípadě také informaci o pravomocných rozhodnutích orgánů činných v trestním řízení, která se těchto údajů týkají, je-li to odůvodněné účelem jejich zpracování, a

b) označí nepřesné osobní údaje, popřípadě osobní údaje, které se zakládají na osobních hodnoceních.

§ 27

Informace pro subjekt údajů

Spravující orgán zveřejní způsobem umožňujícím dálkový přístup informace o

a) svém názvu a kontaktních údajích,

b) kontaktních údajích pověřence pro ochranu osobních údajů (dále jen „pověřenec“),

c) účelu zpracování osobních údajů,

d) právu podat stížnost k Úřadu a kontaktních údajích Úřadu a

e) právu na přístup k osobním údajům, jejich opravu, omezení zpracování nebo výmaz.

§ 28

Právo na přístup k osobním údajům

(1) Spravující orgán na žádost subjektu údajů sdělí, zda zpracovává osobní údaje vztahující se k jeho osobě. Jestliže takové údaje spravující orgán zpracovává, předá je subjektu údajů a sdělí mu informace o

a) účelu zpracování osobních údajů,

b) právních předpisech, na základě kterých tyto údaje převážně zpracovává,

c) příjemcích, popřípadě kategoriích příjemců,

d) předpokládané době uchování nebo způsobu jejího určení,

e) právu požádat o opravu, omezení zpracování nebo výmaz osobních údajů a

f) zdroji těchto údajů.

(2) Spravující orgán žádosti podle odstavce 1 nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení

a) plnění úkolu v oblasti předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech,

b) průběhu řízení o přestupku, kázeňském přestupku nebo jednání, které má znaky přestupku,

c) ochrany utajovaných informací, nebo

d) oprávněných zájmů třetí osoby.

(3) Pokud by vyhověním žádosti nebo sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení podle odstavce 2, spravující orgán informuje subjekt údajů stejně jako ty žadatele, jejichž osobní údaje nezpracovává.

(4) Spravující orgán vede o důvodech pro postup podle odstavců 2 a 3 dokumentaci, kterou uchovává nejméně 3 roky.

§ 29

Právo na opravu, omezení zpracování nebo výmaz osobních údajů

(1) Spravující orgán na žádost subjektu údajů provede opravu nebo doplnění osobních údajů vztahujících se k jeho osobě. Vyžaduje-li to účel zpracování osobních údajů, může spravující orgán namísto opravy osobní údaje doplnit nebo k nim připojit dodatečné prohlášení.

(2) Spravující orgán na žádost subjektu údajů provede výmaz osobních údajů vztahujících se k jeho osobě, pokud spravující orgán porušil zásady zpracování osobních údajů podle § 25 nebo jiného právního předpisu⁵) nebo omezení zpracování některých kategorií osobních údajů, nebo pokud má spravující orgán povinnost tyto údaje vymazat.

(3) Namísto opravy nebo výmazu osobních údajů může spravující orgán omezit zpracování osobních údajů jejich zvláštním označením,

a) popírá-li subjekt údajů jejich přesnost, přičemž nelze zjistit, zda jsou tyto údaje přesné, nebo

b) musí-li být tyto údaje uchovány pro účely dokazování.

(4) Je-li zpracování osobních údajů omezeno podle odstavce 3 písm. a), spravující orgán informuje subjekt údajů před zrušením takového omezení; spravující orgán rovněž subjekt údajů informuje, má-li být omezení zrušeno na základě rozhodnutí Úřadu nebo příslušného soudu.

(5) Spravující orgán žádosti podle odstavců 1 až 3 nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení podle § 28 odst. 2. Pokud by sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení podle § 28 odst. 2, spravující orgán žadatele informuje tak, aby takovému ohrožení předcházel.

(6) Spravující orgán vede o důvodech pro postup podle odstavce 5 dokumentaci, kterou uchovává nejméně 3 roky.

§ 30

Společné ustanovení o žádostech subjektu údajů

(1) Spravující orgán vyřídí žádost podle § 28 nebo 29 bez zbytečného odkladu, nejdéle však do 60 dnů ode dne jejího podání.

(2) Pokud spravující orgán doloží, že žádost podle § 28 nebo 29 je zjevně nedůvodná nebo nepřiměřená, zejména proto, že se v krátké době v téže věci opakuje, nemusí žádosti vyhovět.

(3) Spravující orgán v rámci vyřízení žádosti podle § 28 nebo 29 informuje subjekt údajů o možnosti

a) požádat o ověření zákonnosti zpracování osobních údajů prostřednictvím Úřadu a o kontaktních údajích Úřadu,

b) podat stížnost Úřadu a

c) žádat o soudní ochranu.

(4) O vyřízení žádosti podle § 28 nebo 29 spravující orgán subjekt údajů písemně informuje. Informace o vyřízení žádosti obsahuje odůvodnění, s výjimkou případů, kdy se žádosti vyhovuje v plném rozsahu. Je-li subjekt údajů zastoupen, může spravující orgán požadovat, aby byl podpis na písemné plné moci úředně ověřen; úřední ověření není třeba, pokud byla plná moc udělena před spravujícím orgánem.

(5) Ustanovení odstavce 3 písm. a) a b) se nepoužijí, je-li spravujícím orgánem soud nebo státní zastupitelství.

§ 31

Podnět subjektu údajů o ověření zákonnosti zpracování osobních údajů

(1) Úřad může na základě podnětu subjektu údajů ověřit zákonnost zpracování osobních údajů.

(2) Úřad nemusí podnětu podle odstavce 1 vyhovět zejména, pokud doloží, že podnět je zjevně nedůvodný nebo nepřiměřený, například proto, že se v krátké době v téže věci opakuje.

(3) Úřad do 4 měsíců ode dne podání podnětu o ověření zákonnosti zpracování osobních údajů informuje subjekt údajů, zda ověřil zákonnost jejich zpracování či nikoliv; pokud tak neučinil, připojí k informaci odůvodnění svého postupu.

(4) Úřad rovněž informuje subjekt údajů o možnosti žádat o soudní ochranu.

§ 32

Obecné povinnosti spravujícího orgánu a záměrná ochrana osobních údajů

(1) Spravující orgán s přihlédnutím k povaze, rozsahu, okolnostem, účelům a rizikům zpracování osobních údajů přijme taková technická a organizační opatření, aby zajistil a doložil splnění svých povinností při ochraně osobních údajů.

(2) Spravující orgán s přihlédnutím k povaze, rozsahu, okolnostem, účelům a rizikům zpracování osobních údajů, vývoji techniky a nákladům přijímá technická a organizační opatření s cílem

a) co nejúčinněji chránit osobní údaje,

b) omezovat nepřiměřené zpracování osobních údajů,

c) omezovat zpracování osobních údajů, které není nezbytné kvůli svému rozsahu, množství údajů, době jejich uložení nebo jejich dostupnosti,

d) poskytovat nezbytné záruky práv subjektu údajů a

e) předcházet automatickému zveřejňování osobních údajů.

(3) Spravující orgán vede o opatřeních přijatých podle odstavců 1 a 2 dokumentaci, kterou uchovává po dobu zpracování osobních údajů.

(4) Spravující orgán vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují

a) název a kontaktní údaje spravujícího orgánu a pověřence,

b) účel zpracování osobních údajů,

c) kategorie příjemců nebo budoucích příjemců,

d) kategorie subjektů údajů a kategorie osobních údajů,

e) informaci, zda a jak je použito profilování,

f) kategorie přenosů do třetích zemí nebo mezinárodních organizací,

g) právní základ pro operace zpracování, pro něž jsou osobní údaje určeny,

h) lhůty pro výmaz nebo přezkum potřebnosti kategorií osobních údajů a

i) obecný popis zabezpečení osobních údajů.

(5) Dojde-li k nesprávnému předání nebo k předání nepřesných osobních údajů, spravující orgán o tom bez zbytečného odkladu informuje příjemce těchto údajů a orgán příslušný pro plnění účelu uvedeného v § 24 odst. 1, který je jejich původcem. Pokud spravující orgán provedl opravu, doplnění, omezení zpracování nebo výmaz osobních údajů, vyrozumí o nutnosti takového postupu rovněž příjemce těchto údajů.

§ 33

Společně spravující orgány

Stanoví-li více spravujících orgánů účely a prostředky zpracování osobních údajů společně, uzavřou písemnou dohodu, ve které mezi sebou upraví způsob plnění povinností podle této části a kontaktní místo pro příjem žádostí subjektů údajů, nestanoví-li zákon jinak.

§ 34

Zpracovatel

(1) Spravující orgán pověří zpracováním osobních údajů pouze zpracovatele, který je schopen přijetím opatření podle § 32 odst. 1 účinně zajistit plnění povinností při ochraně osobních údajů.

(2) Pokud pověření zpracovatele nevyplývá z právního předpisu, spravující orgán se zpracovatelem uzavře písemnou smlouvu o zpracování osobních údajů. Nevyplývá-li to přímo z právního předpisu, smlouva především určí

a) předmět a dobu trvání zpracování osobních údajů,

b) povahu a účel zpracování osobních údajů,

c) typ osobních údajů, které budou zpracovávány,

d) kategorie subjektů údajů a

e) práva a povinnosti spravujícího orgánu.

(3) Smlouva o zpracování osobních údajů dále určí, nevyplývá-li to přímo z právního předpisu, že zpracovatel

a) jedná pouze podle pokynů spravujícího orgánu,

b) zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti,

c) pomáhá spravujícímu orgánu v plnění povinností podle této hlavy,

d) na základě pokynu spravujícího orgánu po ukončení své činnosti osobní údaje předá spravujícímu orgánu nebo je vymaže, ledaže zákon ukládá jiný postup, a

e) poskytne spravujícímu orgánu informace nezbytné pro doložení splnění povinností podle písmen a) až d) a odstavců 1 a 2.

(4) Zpracovatel vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují

a) název a kontaktní údaje spravujícího orgánu, zpracovatele a pověřence,

b) kategorie zpracování osobních údajů pro jednotlivé spravující orgány,

c) informace o předání osobních údajů do konkrétních třetích zemí nebo mezinárodních organizací a

d) obecný popis zabezpečení osobních údajů.

(5) Zpracovatel bez zbytečného odkladu oznámí spravujícímu orgánu porušení zabezpečení osobních údajů.

(6) Zpracovatel může pověřit dalšího zpracovatele jen s předchozím písemným souhlasem spravujícího orgánu. Je-li souhlas spravujícího orgánu udělen obecně pro blíže neurčeného dalšího zpracovatele, zpracovatel, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, informuje předem spravující orgán o všech připravovaných pověřeních dalších zpracovatelů. Na vztah mezi zpracovatelem, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, a dalším zpracovatelem se použijí odstavce 1 až 3 obdobně.

§ 35

Závaznost pokynů spravujícího orgánu

Zpracovatel nebo fyzická osoba, která jedná z pověření spravujícího orgánu nebo zpracovatele, může osobní údaje zpracovávat pouze podle pokynů spravujícího orgánu, nestanoví-li zákon jinak.

§ 36

Automatizované pořizování záznamů

(1) Provádí-li spravující orgán automatizované zpracování osobních údajů, pořizuje záznamy alespoň o operacích shromáždění, vložení, pozměnění, kombinování, nahlédnutí, předání, sdělení a výmazu osobních údajů.

(2) Záznamy o operacích shromáždění, vložení, nahlédnutí nebo sdělení podle odstavce 1 umožňují určit a ověřit důvod a čas těchto operací, totožnost osoby provádějící operaci a totožnost příjemce, ledaže zjištění totožnosti těchto osob není z technických důvodů možné.

(3) Záznamy podle odstavce 1 lze využít pouze pro účely trestního řízení, ověření zákonnosti zpracování osobních údajů, zajištění neporušenosti zabezpečení osobních údajů a zajištění plnění úkolů spravujícího orgánu nebo zpracovatele a povinností osob, kterým se poskytuje přístup k osobním údajům.

(4) Záznamy podle odstavce 1 jsou uchovávány po dobu 3 let od výmazu osobních údajů, ke kterým se vztahují.

(5) Povinnosti spravujícího orgánu stanovené v odstavcích 1 až 4 platí pro zpracovatele obdobně.

§ 37

Posouzení vlivu na ochranu osobních údajů

Je-li pravděpodobné, že určitý druh připravovaného zpracování osobních údajů povede vzhledem k jeho povaze, rozsahu, okolnostem nebo účelu k vysokému riziku neoprávněného zásahu do práv a svobod subjektů údajů, vypracuje spravující orgán posouzení vlivu takového zpracování na ochranu osobních údajů, které obsahuje alespoň

a) obecný popis připravovaného zpracování osobních údajů a jeho operací,

b) posouzení rizika neoprávněného zásahu do práv a svobod subjektů údajů a

c) plánovaná opatření a vhodné záruky ke zmenšení rizika podle písmene b) a splnění povinností podle této hlavy.

§ 38

Projednání s Úřadem

(1) Má-li připravovaným zpracováním osobních údajů vzniknout nová evidence, spravující orgán podá Úřadu žádost o projednání takového zpracování, pokud

a) z posouzení podle § 37 vyplývá vysoké riziko neoprávněného zásahu do práv a svobod subjektů údajů, nebo

b) druh zpracování osobních údajů, s přihlédnutím k využití nových technologií nebo postupů, vede k vysokému riziku zásahu do práv a svobod subjektů údajů.

(2) Součástí žádosti podle odstavce 1 je posouzení vlivu podle § 37; na vyžádání Úřadu spravující orgán poskytne i jiné související informace.

(3) Úřad může vydat seznam zpracování osobních údajů, která je spravující orgán povinen projednat s Úřadem. O takových zpracováních Úřad spravující orgán informuje.

(4) Má-li Úřad za to, že by připravované zpracování osobních údajů porušilo ustanovení této hlavy nebo ustanovení jiného právního předpisu upravujícího zpracování osobních údajů, upozorní na to spravující orgán do 6 týdnů ode dne podání žádosti podle odstavce 1, popřípadě uplatní další své pravomoci. Tuto lhůtu může Úřad s ohledem na složitost věci prodloužit o 1 měsíc; o prodloužení lhůty Úřad informuje spravující orgán do 1 měsíce ode dne podání žádosti.

§ 39

Zásah na základě automatizovaného zpracování

Spravující orgán může na základě výhradně automatizovaného zpracování osobních údajů zasáhnout do práv a právem chráněných zájmů subjektu údajů nebo způsobit jiný obdobně závažný následek pro subjekt údajů, jen pokud to výslovně stanoví jiný zákon.

§ 39a

(1) Izolovaným systémem se rozumí systém umělé inteligence pro vzdálenou biometrickou identifikaci fyzických osob v reálném čase podle čl. 3 bodu 42 nařízení Evropského parlamentu a Rady (EU) 2024/1689 používaný spravujícím orgánem v prostoru, který

a) má stálý územní rozsah a

b) je omezen na objekty a prostory, které jsou součástí mezinárodního letiště.

(2) Izolovaný systém se může skládat z více územně oddělených součástí.

(3) Do referenční databáze izolovaného systému lze pro plnění úkolů spravujícího orgánu podle čl. 3 bodu 46 nařízení Evropského parlamentu a Rady (EU) 2024/1689 zařadit pouze biometrické údaje osoby, které jsou nezbytné pro plnění cíle používání izolovaného systému, kterým je

a) pátrání po zmizelé osobě nebo po oběti trestného činu proti lidské důstojnosti v sexuální oblasti, únosu dítěte a osoby stižené duševní poruchou, zavlečení nebo obchodování s lidmi,

b) pátrání po osobě podezřelé, obviněné nebo obžalované ze spáchání některého z trestných činů uvedených v příloze II nařízení Evropského parlamentu a Rady (EU) 2024/1689, pokud za něj trestní zákoník stanoví trest odnětí svobody s horní hranicí trestní sazby nejméně 4 roky, nebo odsouzené za takový trestný čin,

c) předcházení konkrétnímu, závažnému a bezprostřednímu ohrožení života nebo zdraví fyzické osoby, nebo

d) předcházení teroristickému útoku, který na základě zjištěných skutečností hrozí nebo jej lze důvodně předpokládat.

(4) Zprávu o použití izolovaného systému podle čl. 5 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2024/1689 předkládá spravující orgán Úřadu do 72 hodin od zahájení jeho použití.

(5) Spravující orgán ukládá údaje vzniklé biometrickým zpracováním zobrazení osob spolu s údajem o čase pořízení, označením kamery a evidenčním číslem v evidenci, která je oddělena od jiných evidencí; po uplynutí 90 dnů spravující orgán uložené údaje z evidence vymaže. Spravující orgán zajistí, aby přístup do této evidence byl možný jen pro účely trestního řízení o trestném činu podle odstavce 3 písm. b) na základě předchozího povolení soudce podle trestního řádu. O každém takovém přístupu spravující orgán informuje Úřad do 72 hodin.

§ 39b

(1) Izolovaný systém lze používat pro identifikaci fyzických osob,

a) u kterých jsou v okamžiku zařazení do referenční databáze splněny všechny podmínky pro omezení osobní svobody podle právních předpisů upravujících trestní řízení¹¹), pokud jsou

1. podezřelé, obviněné nebo obžalované ze spáchání některého z trestných činů uvedených v příloze II nařízení Evropského parlamentu a Rady (EU) 2024/1689, pokud za něj trestní zákoník stanoví trest odnětí svobody s horní hranicí trestní sazby nejméně 4 roky, nebo odsouzené za takový trestný čin, nebo

2. podezřelé, obviněné nebo obžalované ze spáchání trestného činu neuvedeného v bodě 1, pokud je důvodná obava, že by dokonáním, vykonáním nebo opakováním takového trestného činu způsobily ublížení na zdraví, těžkou újmu na zdraví nebo smrt, nebo

b) po kterých bylo vyhlášeno pátrání a

1. lze se důvodně domnívat, že je ohrožen jejich život nebo zdraví, nebo

2. u kterých jsou v okamžiku zařazení do referenční databáze splněny všechny zákonné podmínky pro omezení osobní svobody, s výjimkou osob, u kterých takové podmínky souvisejí s podezřením, obviněním nebo obžalobou ze spáchání trestného činu nebo s odsouzením za trestný čin.

(2) Spravující orgán může používat izolovaný systém podle odstavce 1 jen po předchozím písemném povolení předsedy senátu vrchního soudu příslušného podle sídla spravujícího orgánu (dále jen „příslušný soudce“).

(3) Rozhodnutí o povolení používání izolovaného systému vydává příslušný soudce na základě písemné odůvodněné žádosti, která obsahuje

a) označení spravujícího orgánu, adresu sídla nebo jinou adresu pro doručování,

b) přesné územní vymezení prostoru nebo všech územně oddělených součástí, ve kterých má být izolovaný systém používán,

c) časové období, po které má být izolovaný systém používán,

d) kategorie fyzických osob, které mají být zařazovány do referenční databáze izolovaného systému,

e) jméno, příjmení a kontaktní údaje pověřence, který je pověřen dohledem nad referenční databází,

f) shrnutí posouzení vlivu izolovaného systému na základní práva podle čl. 27 nařízení Evropského parlamentu a Rady (EU) 2024/1689,

g) potvrzení o tom, že spravující orgán provedl registraci podle čl. 49 nařízení Evropského parlamentu a Rady (EU) 2024/1689, ledaže je používání ze závažných naléhavých důvodů potřebné zahájit před provedením registrace, a

h) informaci o zařazování osob do referenční databáze, pokud byl izolovaný systém používán v předcházejícím období.

(4) Nemá-li žádost náležitosti podle odstavce 3 nebo trpí-li jinými vadami, vyzve příslušný soudce žadatele k jejich odstranění a poskytne mu k tomu přiměřenou lhůtu. Příslušný soudce vydá rozhodnutí o žádosti o povolení používání izolovaného systému do 30 dnů ode dne podání úplné žádosti.

(5) Při rozhodování o žádosti o povolení používání izolovaného systému příslušný soudce posoudí důvody pro používání izolovaného systému, jakož i to, zda je používání izolovaného systému nezbytné a přiměřené k dosažení cíle uvedeného v § 39a odst. 3 a zda je omezeno na nezbytně nutný územní rozsah a dobu, po kterou bude používání izolovaného systému trvat. Příslušný soudce rovněž vezme v úvahu závažnost, pravděpodobnost a rozsah újmy, ke které by mohlo dojít v případě, že k používání izolovaného systému nedojde, jakož i důsledky používání izolovaného systému pro práva a svobody všech dotčených osob, zejména závažnost, pravděpodobnost a rozsah těchto důsledků.

(6) Rozhodnutí o žádosti o povolení používání izolovaného systému obsahuje označení žadatele, výrok, zda se používání izolovaného systému povoluje, povoluje částečně nebo nepovoluje, a odůvodnění. Rozhodnutí o povolení nebo částečném povolení izolovaného systému musí obsahovat vymezení izolovaného systému podle hledisek uvedených v odstavci 3 písm. b) až d).

(7) Účastníkem řízení o žádosti o povolení používání izolovaného systému je pouze žadatel. Proti rozhodnutí o žádosti o povolení používání izolovaného systému není přípustný opravný prostředek. Na rozhodování o žádosti o povolení používání izolovaného systému se správní řád nepoužije.

(8) Používání izolovaného systému lze povolit nejdéle na 12 měsíců. Tuto dobu lze na žádost prodloužit vždy nejdéle na dalších 12 měsíců, a to i opakovaně; odstavce 3 až 7 se použijí obdobně.

(9) Spravující orgán oznámí pověřenci zařazení biometrických údajů každé konkrétní osoby do referenční databáze do 24 hodin od zařazení. Pokud pověřenec s takovým zařazením nesouhlasí, je spravující orgán povinen konkrétní osobu z referenční databáze vyřadit.

§ 39c

(1) Izolovaný systém, jehož používání bylo povoleno podle § 39b, může spravující orgán použít také pro identifikaci konkrétní fyzické osoby, která nespadá do kategorie fyzických osob uvedené v § 39b odst. 1, pokud je to nezbytné pro dosažení cíle uvedeného v § 39a odst. 3.

(2) Izolovaný systém lze použít podle odstavce 1 jen po předchozím písemném povolení příslušného soudce. Nesnese-li věc odkladu, lze izolovaný systém použít podle odstavce 1 i bez povolení. Spravující orgán je však povinen o povolení požádat do 24 hodin od okamžiku použití izolovaného systému, a pokud je neobdrží, je povinen použití izolovaného systému podle odstavce 1 ukončit a dotčené údaje a záznamy zničit.

(3) Rozhodnutí o povolení k použití izolovaného systému podle odstavce 1 vydává příslušný soudce na základě písemné odůvodněné žádosti, která obsahuje

a) označení spravujícího orgánu, adresu sídla nebo jinou adresu pro doručování,

b) odůvodnění zařazení biometrických údajů konkrétní fyzické osoby do referenční databáze izolovaného systému, včetně odůvodnění cíle uvedeného v § 39a odst. 3, kterého má být zařazením této osoby do referenční databáze dosaženo,

c) časové období, po které má být izolovaný systém vůči konkrétní fyzické osobě použit, a

d) informaci o jakékoli předchozí žádosti o použití izolovaného systému vůči konkrétní fyzické osobě, včetně informace, jak bylo o této žádosti rozhodnuto.

(4) Nemá-li žádost náležitosti podle odstavce 3 nebo trpí-li jinými vadami, vyzve příslušný soudce žadatele k jejich odstranění a poskytne mu k tomu přiměřenou lhůtu. Příslušný soudce vydá rozhodnutí o žádosti o povolení k použití izolovaného systému podle odstavce 1 do 72 hodin od podání úplné žádosti.

(5) Při rozhodování o žádosti o povolení k použití izolovaného systému podle odstavce 1 příslušný soudce posoudí důvody pro použití izolovaného systému podle odstavce 1, jakož i to, zda je takové použití izolovaného systému nezbytné a přiměřené k dosažení cíle uvedeného v § 39a odst. 3 a zda je omezeno na nezbytně nutnou dobu. Příslušný soudce rovněž vezme v úvahu závažnost, pravděpodobnost a rozsah újmy, ke které by mohlo dojít v případě, že k použití izolovaného systému podle odstavce 1 nedojde, jakož i důsledky pro práva a svobody všech dotčených osob, zejména závažnost, pravděpodobnost a rozsah těchto důsledků.

(6) Rozhodnutí o žádosti o povolení k použití izolovaného systému podle odstavce 1 obsahuje označení žadatele, výrok, zda se použití izolovaného systému podle odstavce 1 povoluje, povoluje částečně nebo nepovoluje, a odůvodnění. Rozhodnutí o povolení nebo částečném povolení k použití izolovaného systému podle odstavce 1 musí obsahovat časové období, po které může být izolovaný systém použit podle odstavce 1, a určení konkrétní fyzické osoby, pro jejíž identifikaci lze izolovaný systém použít podle odstavce 1.

(7) Účastníkem řízení o žádosti o povolení k použití izolovaného systému podle odstavce 1 je pouze žadatel. Proti rozhodnutí o žádosti o povolení k použití izolovaného systému podle odstavce 1 není přípustný opravný prostředek. Na rozhodování o žádosti o povolení k použití izolovaného systému podle odstavce 1 se správní řád nepoužije.

(8) Použití izolovaného systému podle odstavce 1 lze povolit nejdéle na 12 měsíců. Tuto dobu lze na žádost prodloužit vždy nejdéle na dalších 12 měsíců, a to i opakovaně; odstavce 3 až 7 se použijí obdobně.

§ 40

Zabezpečení zpracování osobních údajů

(1) Spravující orgán přijme taková organizační a technická opatření, aby zajistil úroveň zabezpečení osobních údajů odpovídající povaze, rozsahu, okolnostem, účelu a riziku jejich zpracování.

(2) Jsou-li osobní údaje zpracovávány automatizovaně, spravující orgán přijme nezbytná opatření, aby

a) tyto osobní údaje zabezpečil před neoprávněným přístupem, přenosem, změnou, zničením, ztrátou, odcizením, zneužitím nebo jiným neoprávněným zpracováním,

b) zajistil obnovitelnost těchto osobních údajů,

c) zajistil možnost určit a ověřit osobu, která tyto osobní údaje vložila nebo které byly prostřednictvím zařízení pro přenos údajů předány nebo zpřístupněny,

d) zajistil bezpečnost a spolehlivost informačního systému, který tyto osobní údaje obsahuje, včetně hlášení výskytu chyb, a

e) zabránil v neoprávněném přístupu k nosiči těchto osobních údajů nebo zařízení užívanému k jejich zpracování.

(3) Povinnosti spravujícího orgánu stanovené v odstavcích 1 a 2 platí pro zpracovatele obdobně.

§ 41

Ohlašování porušení zabezpečení osobních údajů Úřadu

(1) Spravující orgán ohlásí bez zbytečného odkladu porušení zabezpečení osobních údajů Úřadu, ledaže je riziko neoprávněného zásahu do práv a svobod subjektu údajů nízké.

(2) Pokud spravující orgán provede ohlášení po více než 72 hodinách od okamžiku, kdy se o něm dozvěděl, připojí k němu odůvodnění tohoto prodlení.

(3) V ohlášení podle odstavce 1 spravující orgán uvede, pokud jsou mu tyto údaje známy, alespoň

a) popis povahy porušení zabezpečení osobních údajů,

b) kategorie a přibližný počet subjektů údajů a záznamů osobních údajů, kterých se porušení zabezpečení týká,

c) jméno a kontaktní údaje pověřence nebo jiného pracoviště, které poskytne bližší informace k porušení zabezpečení osobních údajů,

d) popis pravděpodobných důsledků porušení zabezpečení osobních údajů a

e) popis opatření přijatých nebo navržených spravujícím orgánem k nápravě nebo zmírnění újmy způsobené porušením zabezpečení osobních údajů.

(4) Skutečnosti podle odstavce 3, které mu nebyly v době ohlášení známy, spravující orgán doplní bez zbytečného odkladu poté, co se o nich dozví.

(5) Skutečnosti podle odstavce 3 sdělí spravující orgán též osobě nebo orgánu jiného členského státu Evropské unie, který osobní údaje poskytl nebo obdržel.

(6) Spravující orgán vede o každém porušení zabezpečení osobních údajů, jeho důsledcích a přijatých nápravných opatřeních dokumentaci, kterou uchovává nejméně 3 roky.

§ 42

Oznamování porušení zabezpečení osobních údajů subjektu údajů

(1) Spravující orgán oznámí bez zbytečného odkladu porušení zabezpečení osobních údajů subjektu údajů, pokud je riziko neoprávněného zásahu do práv a svobod subjektu údajů plynoucí z tohoto porušení vysoké.

(2) V oznámení spravující orgán uvede alespoň údaje uvedené v § 41 odst. 3 písm. a) a c) až e).

(3) Pokud by oznámení subjektu údajů podle odstavce 1 vyžadovalo nepřiměřené úsilí, spravující orgán oznámení vhodným způsobem zveřejní.

(4) Spravující orgán není povinen porušení zabezpečení osobních údajů oznámit, pokud

a) provedená technická a organizační opatření zajišťují, že dotčené osobní údaje nelze zneužít, nebo

b) následná opatření spravujícího orgánu významně snížila riziko neoprávněného zásahu do práv a svobod subjektu údajů.

(5) O existenci vysokého rizika neoprávněného zásahu do práv a svobod subjektu údajů nebo o splnění podmínek podle odstavce 4 může rozhodnout také Úřad.

(6) Spravující orgán porušení zabezpečení osobních údajů neoznámí, popřípadě oznámí pouze částečně, pokud by oznámením došlo k ohrožení podle § 28 odst. 2.

§ 43

(1) Ustanovení této hlavy se použijí při zpracování osobních údajů k zajišťování obranných a bezpečnostních zájmů České republiky, pokud jiný právní předpis⁶) nestanoví jinak.

(2) Pro účely této hlavy se použije čl. 4 body 1, 2, 6 až 8, 9 a 11 nařízení Evropského parlamentu a Rady (EU) 2016/679 obdobně.

(3) Správce může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu může správce osobní údaje zpracovávat, jestliže

a) provádí zpracování nezbytné pro dodržení povinnosti správce,

b) je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů,

c) je zpracování nezbytné k ochraně životně důležitých zájmů subjektu údajů; v tomto případě je třeba bez zbytečného odkladu získat jeho souhlas, jinak musí správce toto zpracování ukončit a údaje vymazat,

d) se jedná o oprávněně zveřejněné osobní údaje,

e) je zpracování nezbytné pro ochranu práv nebo právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života,

f) poskytuje osobní údaje o veřejně činné osobě, funkcionáři nebo zaměstnanci orgánu veřejné správy, které vypovídají o jeho veřejné nebo úřední činnosti nebo funkčním nebo pracovním zařazení, nebo

g) se jedná o zpracování výlučně pro účely archivnictví.

(4) Subjekt údajů musí být před udělením souhlasu informován o tom, pro jaký účel zpracování osobních údajů a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Souhlas subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu jejich zpracování.

(5) Povinnosti stanovené v odstavcích 3 a 4 platí pro zpracovatele obdobně.

§ 44

Pokud pověření nevyplývá z jiného právního předpisu, musí správce se zpracovatelem uzavřít smlouvu o zpracování osobních údajů. Smlouva musí mít písemnou formu. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá, a musí obsahovat záruky zpracovatele o přijetí a dodržování technických a organizačních opatření k zajištění bezpečnosti a ochrany osobních údajů.

§ 45

Jestliže zpracovatel zjistí, že správce porušuje povinnosti stanovené tímto zákonem nebo jiným právním předpisem⁶), je povinen jej na to neprodleně upozornit a ukončit zpracování osobních údajů. Pokud tak neučiní, odpovídá za škodu společně a nerozdílně se správcem.

§ 46

(1) Správce je povinen přijmout taková technická a organizační opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení, ztrátě, neoprávněnému přenosu nebo jinému neoprávněnému zpracování nebo zneužití. Tato povinnost platí i po ukončení zpracování osobních údajů.

(2) Správce je povinen přijmout technická a organizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy. Správce vede o přijatých technických a organizačních opatřeních dokumentaci, kterou uchovává po dobu zpracování osobních údajů.

(3) V rámci opatření podle odstavce 1 správce posuzuje rizika týkající se oblastí

a) plnění pokynů pro zpracování osobních údajů osobami, které mají bezprostřední přístup k osobním údajům,

b) zabránění neoprávněným osobám přistupovat k osobním údajům a k prostředkům pro jejich zpracování,

c) zabránění neoprávněnému čtení, vytváření, kopírování, přenosu, úpravě nebo vymazání záznamů obsahujících osobní údaje a

d) opatření, která umožní určit a ověřit, komu byly osobní údaje předány.

(4) Při automatizovaném zpracování osobních údajů je správce v rámci opatření podle odstavce 1 dále povinen

a) zajistit, aby systém pro automatizované zpracování osobních údajů používala pouze oprávněná fyzická osoba,

b) zajistit, aby oprávněná fyzická osoba měla přístup pouze k osobním údajům odpovídajícím jejímu oprávnění, a to na základě zvláštního uživatelského oprávnění zřízeného výlučně pro tuto osobu,

c) pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a

d) zabránit neoprávněnému přístupu k datovým nosičům.

(5) Povinnosti stanovené v odstavcích 1 až 4 platí pro zpracovatele obdobně.

§ 47

Zaměstnanci správce nebo zpracovatele, jiné osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, nebo osoby, které v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele, jsou povinni zachovávat mlčenlivost o osobních údajích a o organizačních a technických opatřeních, jejichž zveřejnění by ohrozilo bezpečnost osobních údajů. Povinnost mlčenlivosti trvá i po skončení zaměstnání nebo příslušných prací.

§ 48

Výmaz osobních údajů

Správce nebo na základě jeho pokynu zpracovatel je povinen provést výmaz osobních údajů, jakmile pomine účel, pro který byly osobní údaje zpracovány, nebo na základě žádosti subjektu údajů podle § 49.

§ 49

Ochrana práv subjektu údajů

(1) Každý subjekt údajů, který má za to, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo s touto hlavou, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování, může

a) požádat správce nebo zpracovatele o vysvětlení, nebo

b) požadovat, aby správce nebo zpracovatel odstranil takto vzniklý stav, zejména provedením opravy, doplněním nebo výmazem osobních údajů.

(2) Je-li žádost subjektu údajů podle odstavce 1 písm. b) shledána oprávněnou, správce nebo zpracovatel bez zbytečného odkladu odstraní závadný stav.

(3) Došlo-li při zpracování osobních údajů k porušení povinností uložených zákonem u správce nebo u zpracovatele, odpovídají za újmu společně a nerozdílně.

(4) Správce je povinen bez zbytečného odkladu informovat příjemce o žádosti subjektu údajů podle odstavce 1 a o opravě, doplnění nebo výmazu osobních údajů. To se nepoužije, je-li informování příjemce nemožné nebo by vyžadovalo neúměrné úsilí.

§ 50

(1) Úřad je ústředním správním úřadem pro oblast ochrany osobních údajů v rozsahu stanoveném tímto zákonem, jinými právními předpisy⁵), mezinárodními smlouvami, které jsou součástí právního řádu, a přímo použitelnými předpisy Evropské unie.

(2) Sídlem Úřadu je Praha.

§ 51

(1) Do činnosti Úřadu lze zasahovat jen na základě zákona. Při výkonu své působnosti v oblasti ochrany osobních údajů Úřad postupuje nezávisle a řídí se pouze právními předpisy a přímo použitelnými předpisy Evropské unie.

(2) Činnost Úřadu je hrazena ze samostatné kapitoly státního rozpočtu České republiky.

(3) Nejvyšší státní tajemník není nadřízeným služebním orgánem vůči předsedovi Úřadu. Proti rozhodnutí předsedy Úřadu ve věci státní služby není odvolání přípustné.

§ 52

(1) Úřad řídí předseda Úřadu, kterého jmenuje a odvolává prezident republiky na návrh Senátu. Předseda Úřadu se považuje za člena dozorového úřadu podle čl. 53 nařízení Evropského parlamentu a Rady (EU) 2016/679. Předseda Úřadu může pověřit místopředsedu Úřadu trvalým plněním některých svých úkolů. Předseda Úřadu se považuje za služební orgán podle zákona o státní službě a je oprávněn dávat státnímu zaměstnanci příkazy k výkonu státní služby.

(2) Funkční období předsedy Úřadu je 5 let. Předseda Úřadu může být jmenován nejvýše na 2 po sobě jdoucí funkční období.

(3) Předsedou Úřadu může být jmenován pouze občan České republiky, který

a) je plně svéprávný,

b) dosáhl věku 40 let,

c) je bezúhonný, splňuje podmínky stanovené jiným právním předpisem⁷) a jeho znalosti, zkušenosti a morální vlastnosti jsou předpokladem, že bude svoji funkci řádně zastávat, a

d) získal vysokoškolské vzdělání absolvováním magisterského studijního programu zaměřeného na právo nebo informatiku, má potřebnou úroveň znalostí anglického, německého nebo francouzského jazyka a nejméně 5 let praxe v oblasti ochrany osobních údajů nebo lidských práv a základních svobod; přípustné je i jiné zaměření studijního programu, má-li takovou praxi delší než 10 let.

(4) Za bezúhonnou se pro účel tohoto zákona považuje fyzická osoba, která nebyla pravomocně odsouzena pro úmyslný trestný čin nebo trestný čin spáchaný z nedbalosti v souvislosti se zpracováním osobních údajů.

(5) S výkonem funkce předsedy Úřadu je neslučitelná funkce poslance nebo senátora, soudce, státního zástupce, jakákoliv funkce ve veřejné správě a členství v politické straně nebo politickém hnutí.

(6) Předseda Úřadu nesmí zastávat jinou placenou funkci, být v dalším pracovním poměru ani vykonávat výdělečnou činnost s výjimkou správy vlastního majetku a činnosti vědecké, pedagogické, literární, publicistické a umělecké, pokud tato činnost nenarušuje důstojnost nebo neohrožuje důvěru v nezávislost a nestrannost Úřadu.

(7) Z funkce může být předseda Úřadu odvolán, přestal-li splňovat některou z podmínek pro jeho jmenování.

§ 53

(1) Úřad má 2 místopředsedy, které na návrh předsedy Úřadu volí a odvolává Senát. Místopředseda Úřadu je ředitelem sekce. Místopředseda Úřadu se považuje za člena dozorového úřadu podle čl. 53 nařízení Evropského parlamentu a Rady (EU) 2016/679.

(2) Místopředseda Úřadu zastupuje předsedu Úřadu v jeho nepřítomnosti; pořadí zastupování se řídí pořadím, ve kterém byli místopředsedové Úřadu zvoleni, včetně případného bezprostředně předcházejícího funkčního období.

(3) Místopředsedou Úřadu může být jmenován občan České republiky, který dosáhl věku 35 let; ustanovení § 52 odst. 2 až 7 s výjimkou § 52 odst. 3 písm. b) se použijí obdobně.

§ 54

Činnosti Úřadu

(1) Ve vztahu ke zpracování osobních údajů podle hlavy II Úřad

a) při provádění auditu podle čl. 58 odst. 1 písm. b) nařízení Evropského parlamentu a Rady (EU) 2016/679 postupuje podle kontrolního řádu,

b) při postupu podle čl. 58 odst. 1 písm. d) nařízení Evropského parlamentu a Rady (EU) 2016/679 může správce vyzvat k vyjasnění nebo nápravě,

c) sdělením upozorňuje správce nebo zpracovatele, že zamýšleným zpracováním osobních údajů zřejmě poruší své povinnosti,

d) může stanovit opatřením obecné povahy kritéria nebo požadavky podle čl. 41 odst. 3, čl. 42 odst. 5 nebo čl. 43 odst. 1 písm. b) nařízení Evropského parlamentu a Rady (EU) 2016/679,

e) může nařídit subjektu pro vydávání osvědčení, aby odebral osvědčení, které tento subjekt vydal podle čl. 42 a 43 nařízení Evropského parlamentu a Rady (EU) 2016/679,

f) schvaluje kodexy chování; je-li kodex chování v rozporu s nařízením Evropského parlamentu a Rady (EU) 2016/679, Úřad jeho schválení zamítne, a

g) zveřejňuje způsobem umožňujícím dálkový přístup standardní smluvní doložky přijaté podle čl. 28 odst. 8 nebo čl. 46 odst. 2 písm. d) nařízení Evropského parlamentu a Rady (EU) 2016/679.

(2) Ve vztahu ke zpracování osobních údajů podle hlavy III, nejde-li o zpracování osobních údajů prováděné soudy a státními zastupitelstvími, Úřad

a) provádí dozor nad dodržováním povinností stanovených zákonem při zpracování osobních údajů,

b) ověřuje zákonnost zpracování osobních údajů na podnět subjektu údajů podle § 31,

c) přijímá podněty a stížnosti na porušení povinností stanovených zákonem při zpracování osobních údajů a informuje o jejich vyřízení,

d) projednává přestupky a ukládá pokuty,

e) poskytuje konzultace v oblasti ochrany osobních údajů,

f) informuje veřejnost o rizicích, pravidlech, zárukách a právech v souvislosti se zpracováním osobních údajů,

g) informuje správce a zpracovatele o jejich povinnostech v oblasti ochrany osobních údajů a

h) vykonává další působnost stanovenou mu zákonem.

(3) Úřad dále

a) zpracovává a veřejnosti zpřístupňuje výroční zprávu o své činnosti,

b) zajišťuje plnění požadavků vyplývajících z mezinárodních smluv, jimiž je Česká republika vázána, a z přímo použitelných předpisů Evropské unie,

c) i bez žádosti poskytuje Parlamentu vyjádření k návrhu právního předpisu, který upravuje zpracování osobních údajů,

d) podílí se na činnosti Evropského sboru pro ochranu osobních údajů, spolupracuje s obdobnými úřady jiných států, s orgány Evropské unie a s orgány mezinárodních organizací působícími v oblasti ochrany osobních údajů.

(4) Dozor nad zpracováním osobních údajů, které provádějí soudy nebo státní zastupitelství podle hlavy III tohoto zákona nebo zpravodajské služby, stanoví jiný právní předpis⁸).

§ 54a

Rozhodnutí o kodexu chování

Úřad na základě žádosti rozhoduje o

a) schválení kodexu chování podle čl. 40 odst. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679,

b) změně kodexu chování podle čl. 40 odst. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 a

c) udělení nebo prodloužení akreditace pro monitorování kodexu chování podle čl. 41 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 55

Využívání údajů z informačních systémů veřejné správy

(1) Úřad využívá při výkonu působnosti podle tohoto zákona nebo jiného právního předpisu ze základního registru obyvatel údaje v rozsahu

a) příjmení,

b) jméno, popřípadě jména,

c) adresa místa pobytu a

d) datum narození.

(2) Úřad využívá při výkonu působnosti podle tohoto zákona nebo jiného právního předpisu z informačního systému evidence obyvatel údaje v rozsahu

a) jméno, popřípadě jména, příjmení, popřípadě rodné příjmení,

b) datum narození,

c) adresa místa trvalého pobytu, včetně předchozích adres místa trvalého pobytu,

d) počátek trvalého pobytu, popřípadě datum zrušení trvalého pobytu nebo datum ukončení trvalého pobytu na území České republiky, a

e) rodné číslo.

(3) Úřad využívá při výkonu působnosti podle tohoto zákona nebo jiného právního předpisu z informačního systému cizinců údaje v rozsahu

a) jméno, popřípadě jména, příjmení, popřípadě rodné příjmení,

b) datum narození,

c) druh a adresa místa pobytu,

d) číslo a platnost oprávnění k pobytu a

e) počátek pobytu, popřípadě datum ukončení pobytu.

(4) Údaje, které jsou vedeny jako referenční údaje v základním registru obyvatel, se využijí z informačního systému evidence obyvatel nebo informačního systému cizinců, pouze pokud jsou ve tvaru předcházejícím současný stav.

(5) Z poskytovaných údajů lze v konkrétním případě využít vždy jen takové údaje, které jsou nezbytné ke splnění daného úkolu.

§ 56

Mezinárodní spolupráce

(1) Úřad poskytuje v oblasti ochrany osobních údajů podle hlavy III pomoc, včetně provedení šetření, kontrol nebo poskytnutí informací, dozorovým úřadům jiných členských států Evropské unie a států, které uplatňují předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680.

(2) Žádost dozorového úřadu jiného členského státu Evropské unie nebo státu, který uplatňuje právní předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680, podle odstavce 1 Úřad vyřídí bez zbytečného odkladu, nejpozději do 1 měsíce ode dne jejího podání, ledaže k poskytnutí pomoci není Úřad oprávněn nebo by jím došlo k porušení zákona.

(3) O vyřízení žádosti podle odstavce 2 nebo důvodech jejího nevyřízení Úřad informuje žádající dozorový úřad.

(4) Pomoc podle odstavce 1 se poskytuje na náklady Úřadu; pokud vyřízení žádosti vyžaduje vynaložení neúměrných nákladů, Úřad vyřízení žádosti odloží, dokud nedojde k dosažení dohody se žádajícím dozorovým úřadem o způsobu úhrady takových nákladů.

(5) Pokud vyřízení žádosti Úřadu v cizině vyžaduje vynaložení neúměrných nákladů, může být s jeho souhlasem žádost vyřízena na jeho náklady.

§ 57

Výroční zpráva

(1) Výroční zpráva Úřadu obsahuje zejména informace o provedené kontrolní činnosti a její zhodnocení, informace o stavu v oblasti zpracování a ochrany osobních údajů v České republice a jeho zhodnocení a zhodnocení ostatní činnosti Úřadu, včetně dozoru nad zpracováním osobních údajů podle hlavy II tohoto zákona.

(2) Výroční zprávu předkládá předseda Úřadu Parlamentu a vládě do 3 měsíců od skončení rozpočtového roku.

§ 58

Oprávnění Úřadu na přístup k informacím

(1) Úřad je oprávněn seznamovat se se všemi informacemi nezbytnými pro plnění konkrétního úkolu. To platí i pro informace chráněné povinností mlčenlivosti podle jiného právního předpisu, nestanoví-li jiný právní předpis⁹) pro přístup Úřadu k takovým údajům jiné podmínky.

(2) S informacemi chráněnými povinností mlčenlivosti podle zákona o advokacii je Úřad oprávněn se seznamovat pouze za přítomnosti a se souhlasem zástupce České advokátní komory (dále jen „komora“), kterého ustanoví předseda komory z řad jejích zaměstnanců nebo z řad advokátů. Odmítne-li zástupce komory souhlas udělit, bezodkladně zajistí na písemnou žádost Úřadu důvěrnost a neporušenost informací podle věty první a bezodkladně předá kontrolní radě komory písemnou žádost Úřadu o nahrazení souhlasu zástupce komory rozhodnutím kontrolní rady komory. Nerozhodne-li kontrolní rada komory o žádosti Úřadu tak, že nahrazuje souhlas zástupce komory, ve lhůtě 30 dnů ode dne doručení žádosti zástupcem komory, lze souhlas zástupce komory nahradit na návrh Úřadu rozhodnutím soudu podle zákona o zvláštních řízeních soudních.

(3) S informacemi chráněnými povinností mlčenlivosti podle zákona o daňovém poradenství a Komoře daňových poradců České republiky je Úřad oprávněn se seznamovat pouze za přítomnosti a se souhlasem zástupce Komory daňových poradců České republiky, kterého ustanoví prezident Komory daňových poradců České republiky z řad jejích zaměstnanců nebo z řad daňových poradců. Odmítne-li zástupce Komory daňových poradců České republiky souhlas udělit, bezodkladně zajistí na písemnou žádost Úřadu důvěrnost a neporušenost informací podle věty první a bezodkladně předá dozorčí komisi Komory daňových poradců České republiky písemnou žádost Úřadu o nahrazení souhlasu zástupce Komory daňových poradců České republiky rozhodnutím dozorčí komise Komory daňových poradců České republiky. Nerozhodne-li dozorčí komise Komory daňových poradců České republiky o žádosti Úřadu tak, že nahrazuje souhlas zástupce Komory daňových poradců České republiky, ve lhůtě 30 dnů ode dne doručení žádosti zástupcem Komory daňových poradců České republiky, lze souhlas zástupce Komory daňových poradců České republiky nahradit na návrh Úřadu rozhodnutím soudu podle zákona o zvláštních řízeních soudních.

(4) Úřad vyloučí z nahlížení do spisu informace, které jsou obchodním, bankovním nebo jiným obdobným zákonem chráněným tajemstvím, informace, které požívají autorskoprávní ochrany, a informace podle odstavce 1 věty druhé nebo odstavce 2, pokud do spisu umožní nahlédnout osobě odlišné od osoby, od níž byly tyto informace získány. V řízení o uložení povinnosti Úřad zpřístupní účastníkovi řízení informace vyloučené podle věty první, pokud jimi byl nebo bude proveden důkaz. Před zpřístupněním informace musí být účastník řízení nebo jeho zástupce poučen o ochraně, kterou informace požívá; o poučení se sepíše protokol. Právo na přístup k takovým informacím nezahrnuje právo činit si výpisy nebo právo na pořízení kopií informací.

(5) Odstavcem 1 není dotčena povinnost kontrolujícího prokázat oprávnění k přístupu k utajované informaci.

§ 59

Mlčenlivost zaměstnanců Úřadu

(1) Místopředseda a zaměstnanci Úřadu jsou povinni zachovávat mlčenlivost o osobních údajích, o informacích podle § 58 odst. 4, jakož i o organizačních a technických opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů, se kterými se seznámili při výkonu působnosti Úřadu nebo v souvislosti s ní. Tato povinnost trvá i po skončení služebního nebo pracovního poměru.

(2) Povinnosti zachovávat mlčenlivost podle odstavce 1 se nelze dovolávat vůči Úřadu. Povinnosti mlčenlivosti podle odstavce 1 se lze dovolávat vůči orgánu činnému v trestním řízení nebo soudu pouze tehdy, pokud by se povinnosti mlčenlivosti vůči orgánu činnému v trestním řízení nebo soudu mohl dovolávat ten, jemuž byla zákonem uložena a od něhož informace chráněná povinností mlčenlivosti pochází. Subjektu údajů lze osobní údaje sdělit, pouze pokud tímto sdělením nedojde k ohrožení chráněného zájmu uvedeného v § 6 odst. 2.

(3) Povinnosti zachovávat mlčenlivost může místopředsedu Úřadu a zaměstnance zprostit předseda Úřadu nebo jím pověřená osoba.

§ 60

Opatření k odstranění nedostatků

Dojde-li k porušení povinnosti stanovené zákonem nebo uložené na jeho základě při zpracování osobních údajů podle hlavy II nebo III nebo podle nařízení Evropského parlamentu a Rady (EU) 2016/679, může Úřad uložit opatření k odstranění zjištěných nedostatků a stanovit přiměřenou lhůtu pro jejich odstranění.

§ 61

(1) Fyzická osoba, právnická osoba nebo podnikající fyzická osoba se dopustí přestupku tím, že poruší zákaz zveřejnění osobních údajů stanovený jiným právním předpisem¹⁰).

(2) Za přestupek podle odstavce 1 lze uložit pokutu do

a) 1 000 000 Kč, nebo

b) 5 000 000 Kč, jde-li o přestupek spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem.

(3) Úřad upustí od uložení správního trestu také tehdy, jde-li o subjekty uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 62

(1) Správce nebo zpracovatel podle hlavy II se dopustí přestupku tím, že

a) poruší některou z povinností podle čl. 8, 11, 25 až 39, 42 až 49 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II,

b) poruší některou ze základních zásad pro zpracování osobních údajů podle čl. 5 až 7 nebo 9 nařízení Evropského parlamentu a Rady (EU) 2016/679,

c) poruší některé z práv subjektu údajů podle čl. 12 až 22 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II,

d) nesplní příkaz nebo poruší omezení zpracování osobních údajů nebo nedodrží přerušení toků údajů uložené Úřadem podle čl. 58 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679, nebo

e) neposkytne Úřadu přístup k údajům, informacím a prostorám podle čl. 58 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679.

(2) Subjekt pro vydávání osvědčení se dopustí přestupku tím, že poruší některou z povinností podle čl. 42 a 43 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II.

(3) Subjekt pro monitorování souladu se dopustí přestupku tím, že poruší některou z povinností podle čl. 41 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2016/679.

(4) Úřad může upustit od uložení správního trestu také tehdy, pokud uloží opatření podle § 54 odst. 1 písm. e) nebo § 60.

(5) Úřad upustí od uložení správního trestu také tehdy, jde-li o správce a zpracovatele uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 63

(1) Právnická osoba se dopustí přestupku tím, že při zpracování osobních údajů

a) v rozporu s § 25 odst. 1 písm. a) nestanoví účel zpracování osobních údajů nebo stanoveným účelem zpracování osobních údajů poruší povinnost nebo překročí oprávnění vyplývající z jiného zákona,

b) v rozporu s § 25 odst. 1 písm. b) nepřijme opatření zajišťující, aby osobní údaje byly přesné ve vztahu k povaze a účelu jejich zpracování,

c) v rozporu s § 25 odst. 1 písm. c) uchovává osobní údaje po dobu delší než nezbytnou k dosažení účelu jejich zpracování,

d) v rozporu s § 27 neposkytne subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem,

e) v rozporu s § 28 odst. 2 nevyhoví žádosti subjektu údajů uvedené v § 28 odst. 1,

f) v rozporu s § 29 odst. 5 nevyhoví žádosti subjektu údajů uvedené v § 29 odst. 1 nebo 2,

g) v rozporu s § 32 odst. 1 až 3 nepřijme technická a organizační opatření nebo nevede jejich dokumentaci,

h) v rozporu s § 32 odst. 4 nevede písemné přehledy o všech typových činnostech zpracování osobních údajů,

i) v rozporu s § 36 odst. 1 nepořizuje záznamy,

j) v rozporu s § 36 odst. 3 využije záznamy k jinému účelu,

k) v rozporu s § 37 neprovede posouzení vlivu na ochranu osobních údajů,

l) v rozporu s § 38 odst. 1 nepožádá Úřad o projednání připravovaného zpracování osobních údajů,

m) v rozporu s § 39 zasáhne do práv a právem chráněných zájmů subjektu údajů nebo způsobí jiný obdobně závažný následek pro subjekt údajů,

n) v rozporu s § 40 odst. 1 nepřijme organizační a technická opatření k zajištění odpovídající úrovně zabezpečení osobních údajů,

o) v rozporu s § 40 odst. 2 nepřijme nezbytná opatření,

p) v rozporu s § 41 odst. 1 neohlásí porušení zabezpečení osobních údajů Úřadu,

q) v rozporu s § 42 odst. 1 neoznámí porušení zabezpečení osobních údajů subjektu údajů,

r) neprovede uložené opatření k nápravě ve lhůtě stanovené Úřadem,

s) poruší omezení zpracování zvláštních kategorií osobních údajů podle jiného právního předpisu⁵),

t) poruší povinnost jmenovat pověřence podle jiného právního předpisu⁵),

u) poruší povinnost informovat o nesprávném předání nebo o předání nepřesných osobních údajů podle § 32 odst. 5 nebo podle jiného právního předpisu⁵),

v) poruší některou z podmínek podle jiného právního předpisu⁵) pro předání osobních údajů do mezinárodní organizace nebo státu, který neuplatňuje právní předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680, nebo

w) poruší povinnost prověřovat potřebnost dalšího zpracování nebo vymazat osobní údaje podle jiného právního předpisu⁵).

(2) Právnická osoba se dále dopustí přestupku tím, že

a) v rozporu s § 39a odst. 4 nepředloží zprávu o použití izolovaného systému,

b) v rozporu s rozhodnutím o povolení používání izolovaného systému podle § 39b odst. 6 nedodrží při použití izolovaného systému jeho územní vymezení, časové období použití nebo kategorie fyzických osob,

c) v rozporu s § 39b odst. 9 neoznámí zařazení konkrétní osoby do referenční databáze nebo takovou osobu z referenční databáze nevyřadí,

d) v rozporu s § 39c odst. 2 nepožádá o povolení do 24 hodin nebo neukončí použití izolovaného systému nebo dotčené údaje a záznamy nezničí, nebo

e) v rozporu s rozhodnutím o povolení k použití izolovaného systému podle § 39c odst. 6 nedodrží časové období použití nebo omezení na konkrétní fyzickou osobu.

(3) Přestupku se dopustí ten, kdo při zpracování osobních údajů

a) v rozporu s § 34 odst. 4 nevede přehledy o všech typových činnostech zpracování osobních údajů,

b) v rozporu s § 34 odst. 5 neoznámí spravujícímu orgánu porušení zabezpečení osobních údajů,

c) v rozporu s § 35 nezpracovává osobní údaje pouze podle pokynů spravujícího orgánu nebo podle zákona,

d) v rozporu s § 36 odst. 1 nepořizuje záznamy,

e) v rozporu s § 36 odst. 3 využije záznamy k jinému účelu,

f) v rozporu s § 40 odst. 1 nepřijme organizační a technická opatření k zajištění odpovídající úrovně zabezpečení osobních údajů,

g) v rozporu s § 40 odst. 2 nepřijme nezbytná opatření,

h) neprovede uložené opatření k nápravě ve lhůtě stanovené Úřadem,

i) poruší omezení zpracování zvláštních kategorií osobních údajů podle jiného právního předpisu⁵),

j) poruší povinnost jmenovat pověřence podle jiného právního předpisu⁵),

k) poruší povinnost informovat o nesprávném předání nebo o předání nepřesných osobních údajů podle § 32 odst. 5 nebo podle jiného právního předpisu⁵),

l) poruší některou z podmínek podle jiného právního předpisu⁵) pro předání osobních údajů do mezinárodní organizace nebo státu, který neuplatňuje právní předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680, nebo

m) poruší povinnost prověřovat potřebnost dalšího zpracování nebo vymazat osobní údaje podle jiného právního předpisu⁵).

(4) Za přestupek podle odstavců 1 až 3 lze uložit pokutu do 10 000 000 Kč.

§ 64

Přestupky podle tohoto zákona projednává Úřad.

§ 65

Zvláštní ustanovení o odložení věci

Aniž řízení o přestupku podle tohoto zákona a porušení nařízení Evropského parlamentu a Rady (EU) 2016/679 zahájí, může Úřad věc usnesením odložit též, jestliže je vzhledem k významu a míře porušení nebo ohrožení chráněného zájmu, který byl činem dotčen, způsobu provedení činu, jeho následku, okolnostem, za nichž byl čin spáchán, nebo vzhledem k chování podezřelého po spáchání činu zřejmé, že účelu, jehož by bylo možno dosáhnout provedením řízení o přestupku, bylo dosaženo nebo jej lze dosáhnout jinak. Usnesení o odložení věci podle věty první se pouze poznamená do spisu; ustanovení zákona upravujícího odpovědnost za přestupky a řízení o nich týkající se vyrozumění o odložené věci se v takovém případě nepoužije.

§ 66

Přechodná ustanovení

(1) Ode dne nabytí účinnosti tohoto zákona do 31. prosince 2020 má Úřad pouze 1 místopředsedu Úřadu. Druhého místopředsedu Úřadu lze zvolit s účinností nejdříve od 1. ledna 2021.

(2) Předseda Úřadu, který je ve funkci ke dni nabytí účinnosti tohoto zákona, dokončí své funkční období podle dosavadních právních předpisů.

(3) Inspektor Úřadu, který je ve funkci ke dni nabytí účinnosti tohoto zákona, dokončí své funkční období podle dosavadních právních předpisů. Ode dne nabytí účinnosti tohoto zákona do konce svého funkčního období je inspektor zaměstnancem Úřadu pověřeným řízením a prováděním kontrolní činnosti v pracovním poměru na dobu určitou. Nárok inspektora Úřadu na plat, náhradu výdajů a naturální plnění se řídí dosavadními právními předpisy.

(4) Informace zpracovávané přede dnem nabytí účinnosti tohoto zákona v registru zpracování osobních údajů podle zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, jsou veřejně přístupné po dobu 18 měsíců ode dne nabytí účinnosti tohoto zákona.

(5) Řízení zahájená podle zákona č. 101/2000 Sb., která nebyla pravomocně skončena přede dnem nabytí účinnosti tohoto zákona, se dokončí podle zákona č. 101/2000 Sb.

(6) Kde se v dosavadních právních předpisech používá pojem citlivý údaj nebo citlivý osobní údaj, rozumí se tím ode dne nabytí účinnosti tohoto zákona osobní údaj, který vypovídá o rasovém nebo etnickém původu, politických názorech, náboženském vyznání nebo filosofickém přesvědčení nebo členství v odborové organizaci, genetický údaj, biometrický údaj zpracovávaný za účelem jedinečné identifikace fyzické osoby, údaj o zdravotním stavu, o sexuálním chování, o sexuální orientaci a údaj týkající se rozsudků v trestních věcech a trestných činů nebo souvisejících bezpečnostních opatření.

(7) Souhlas subjektu údajů udělený podle zákona č. 101/2000 Sb. se považuje za souhlas podle nařízení Evropského parlamentu a Rady (EU) 2016/679, ledaže způsob jeho udělení nebyl v souladu s tímto nařízením.

§ 67

Zrušovací ustanovení

Zrušují se:

1. Zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.

2. Zákon č. 177/2001 Sb., kterým se mění zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění zákona č. 227/2000 Sb., a zákon č. 65/1965 Sb., zákoník práce, ve znění pozdějších předpisů.

3. Část šestá zákona č. 450/2001 Sb., kterým se mění zákon č. 128/2000 Sb., o obcích (obecní zřízení), ve znění pozdějších předpisů, zákon č. 129/2000 Sb., o krajích (krajské zřízení), ve znění pozdějších předpisů, zákon č. 131/2000 Sb., o hlavním městě Praze, ve znění pozdějších předpisů, zákon č. 250/2000 Sb., o rozpočtových pravidlech územních rozpočtů, ve znění zákona č. 320/2001 Sb., zákon č. 218/2000 Sb., o rozpočtových pravidlech a o změně některých souvisejících zákonů (rozpočtová pravidla), ve znění pozdějších předpisů, a zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů.

4. Část čtvrtá zákona č. 107/2002 Sb., kterým se mění zákon č. 140/1996 Sb., o zpřístupnění svazků vzniklých činností bývalé Státní bezpečnosti, a některé další zákony.

5. Část druhá zákona č. 310/2002 Sb., kterým se mění zákon č. 148/1998 Sb., o ochraně utajovaných skutečností a o změně některých zákonů, ve znění pozdějších předpisů, zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů, zákon č. 18/1997 Sb., o mírovém využití jaderné energie a ionizujícího záření (atomový zákon) a o změně a doplnění některých zákonů, ve znění pozdějších předpisů, zákon č. 38/1994 Sb., o zahraničním obchodu s vojenským materiálem a o doplnění zákona č. 455/1991 Sb., o živnostenském podnikání (živnostenský zákon), ve znění pozdějších předpisů, a zákona č. 140/1961 Sb., trestní zákon, ve znění pozdějších předpisů, zákon č. 283/1993 Sb., o státním zastupitelství, ve znění pozdějších předpisů, a zákon č. 42/1992 Sb., o úpravě majetkových vztahů a vypořádání majetkových nároků v družstvech, ve znění pozdějších předpisů.

6. Část devátá zákona č. 517/2002 Sb., kterým se provádějí některá opatření v soustavě ústředních orgánů státní správy a mění některé zákony.

7. Část první zákona č. 439/2004 Sb., kterým se mění zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů.

8. Část čtvrtá zákona č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (zákon o některých službách informační společnosti).

9. Část šestá zákona č. 626/2004 Sb., o změně některých zákonů v návaznosti na realizaci reformy veřejných financí v oblasti odměňování.

10. Část čtyřicátá zákona č. 413/2005 Sb., o změně zákonů v souvislosti s přijetím zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti.

11. Část jedenáctá zákona č. 109/2006 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o sociálních službách.

12. Část dvacátá zákona č. 264/2006 Sb., kterým se mění některé zákony v souvislosti s přijetím zákoníku práce.

13. Část třicátá šestá zákona č. 342/2006 Sb., kterým se mění některé zákony související s oblastí evidence obyvatel a některé další zákony.

14. Část třináctá zákona č. 170/2007 Sb., kterým se mění některé zákony v souvislosti se vstupem České republiky do schengenského prostoru.

15. Část šedesátá pátá zákona č. 41/2009 Sb., o změně některých zákonů v souvislosti s přijetím trestního zákoníku.

16. Část třetí zákona č. 52/2009 Sb., kterým se mění zákon č. 141/1961 Sb., o trestním řízení soudním (trestní řád), ve znění pozdějších předpisů, a některé další zákony.

17. Část osmdesátá osmá zákona č. 227/2009 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o základních registrech.

18. Část šedesátá pátá zákona č. 281/2009 Sb., kterým se mění některé zákony v souvislosti s přijetím daňového řádu.

19. Část čtyřicátá šestá zákona č. 375/2011 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zdravotních službách, zákona o specifických zdravotních službách a zákona o zdravotnické záchranné službě.

20. Část čtvrtá zákona č. 468/2011 Sb., kterým se mění zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění pozdějších předpisů, a některé další zákony.

21. Část dvacátá devátá zákona č. 64/2014 Sb., kterým se mění některé zákony v souvislosti s přijetím kontrolního řádu.

22. Část dvacátá devátá zákona č. 250/2014 Sb., o změně zákonů souvisejících s přijetím zákona o státní službě.

23. Část šestá zákona č. 301/2016 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o centrální evidenci účtů.

24. Část osmdesátá druhá zákona č. 183/2017 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o odpovědnosti za přestupky a řízení o nich a zákona o některých přestupcích.

25. Nařízení vlády č. 277/2011 Sb., o stanovení vzoru průkazu kontrolujícího Úřadu pro ochranu osobních údajů.

§ 68

Účinnost

Tento zákon nabývá účinnosti dnem jeho vyhlášení.