Co je Zákon č. 110/2019 Sb.?

Zákon č. 110/2019 Sb., o zpracování osobních údajů — Zákon o zpracování osobních údajů.

Kdy nabyl Zákon č. 110/2019 Sb. účinnosti?

Zákon č. 110/2019 Sb. nabyl účinnosti 24.04.2019.

Je Zákon č. 110/2019 Sb. stále platný?

Ano, Zákon č. 110/2019 Sb. je stále platný a účinný.

Zákon č. 110/2019 Sb. - Zákon o zpracování osobních údajů

110

ZÁKON

ze dne 12. března 2019

o zpracování osobních údajů

Parlament se usnesl na tomto zákoně České republiky:

ČÁST PRVNÍ

ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ

HLAVA I

ZÁKLADNÍ USTANOVENÍ

§ 1

Předmět úpravy

Tento zákon zapracovává příslušné předpisy Evropské unie¹), zároveň navazuje na přímo použitelný předpis Evropské unie²) a k naplnění práva každého na ochranu soukromí upravuje práva a povinnosti při zpracování osobních údajů.

§ 2

Působnost zákona

Tento zákon upravuje

a) zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/679²),

b) zpracování osobních údajů příslušnými orgány za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech,

c) zpracování osobních údajů při zajišťování obranných a bezpečnostních zájmů České republiky,

d) další zpracování osobních údajů, které mají být nebo jsou zařazeny do evidence nebo jejichž zpracování probíhá zcela nebo částečně automatizovaně, nejde-li o zpracování osobních údajů fyzickou osobou v průběhu výlučně osobních nebo domácích činností, a

e) postavení a pravomoc Úřadu pro ochranu osobních údajů (dále jen „Úřad“).

§ 3

Subjekt údajů

Subjektem údajů se rozumí fyzická osoba, k níž se osobní údaje vztahují.

HLAVA II

ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ PODLE PŘÍMO POUŽITELNÉHO PŘEDPISU EVROPSKÉ UNIE

Díl 1

Obecná ustanovení

§ 4

Působnost

(1) Ustanovení této hlavy se použijí při zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/679.

(2) Ustanovení této hlavy a nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí i při zpracování osobních údajů, které mají být nebo jsou zařazeny do evidence, a při zpracování osobních údajů, které probíhá zcela nebo částečně automatizovaně, nejde-li o zpracování osobních údajů fyzickou osobou v průběhu výlučně osobních nebo domácích činností,

a) při výkonu činností, které nespadají do oblasti působnosti práva Evropské unie nebo do působnosti hlavy III nebo IV, nebo

b) při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o Evropské unii.

§ 5

Oprávnění ke zpracování osobních údajů při plnění právní povinnosti nebo výkonu působnosti

Správce je oprávněn zpracovávat osobní údaje, pokud je to nezbytné pro splnění

a) povinnosti, která je správci uložena právním předpisem, nebo

b) úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen.

§ 6

Výjimka z povinnosti posuzování slučitelnosti účelů

(1) Nestanoví-li jiný právní předpis jinak, správce není povinen při zajišťování chráněného zájmu posuzovat před zpracováním osobních údajů k jinému účelu, než ke kterému byly shromážděny, slučitelnost těchto účelů, je-li toto zpracování nezbytné a přiměřené pro splnění

a) povinnosti, která je správci uložena, nebo

b) úkolu ve veřejném zájmu stanoveného právním předpisem nebo při výkonu veřejné moci, kterým je správce pověřen.

(2) Chráněným zájmem podle odstavce 1 se rozumí

a) obranné nebo bezpečnostní zájmy České republiky,

b) veřejný pořádek a vnitřní bezpečnost, předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkon trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech,

c) jiný důležitý cíl veřejného zájmu Evropské unie nebo členského státu Evropské unie, zejména důležitý hospodářský nebo finanční zájem Evropské unie nebo členského státu Evropské unie, včetně záležitostí měnových, peněžních, rozpočtových, daňových a finančního trhu, veřejného zdraví nebo sociálního zabezpečení,

d) ochrana nezávislosti soudů a soudců,

e) předcházení, vyhledávání, odhalování nebo stíhání porušování etických pravidel regulovaných povolání,

f) dohledové, kontrolní nebo regulační funkce spojené s výkonem veřejné moci v případech uvedených v písmenech a) až e),

g) ochrana práv a svobod osob, nebo

h) vymáhání soukromoprávních nároků.

§ 7

Způsobilost dítěte pro souhlas se zpracováním osobních údajů

Dítě nabývá způsobilosti k udělení souhlasu se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti přímo jemu dovršením patnáctého roku věku.

§ 8

Informační povinnost pro zpracování osobních údajů upravená zákonem

Pokud správce provádí zpracování osobních údajů podle § 5 a je povinen subjektu údajů poskytnout informace podle čl. 13 nebo čl. 14 odst. 1, 2 a 4 nařízení Evropského parlamentu a Rady (EU) 2016/679, může tyto informace v rozsahu odpovídajícím jím obvykle prováděnému zpracování osobních údajů poskytnout zveřejněním způsobem umožňujícím dálkový přístup.

§ 9

Oznámení formou změny výchozí evidence

Je-li správce povinen oznámit příjemci provedenou opravu, omezení zpracování nebo výmaz osobních údajů, může tak učinit změnou osobních údajů v evidenci, pokud příjemci pravidelně zpřístupňuje její platný obsah.

§ 10

Výjimka z povinnosti posouzení vlivu zpracování osobních údajů na ochranu osobních údajů

Správce nemusí provádět posouzení vlivu zpracování na ochranu osobních údajů před jeho zahájením, pokud mu právní předpis stanoví povinnost takové zpracování osobních údajů provést.

§ 11

Omezení některých práv a povinností

(1) Nestanoví-li jiný právní předpis jinak, čl. 12 až 22 a v jim odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito články odloží, je-li to nezbytné a svým rozsahem přiměřené k zajištění chráněného zájmu uvedeného v § 6 odst. 2.

(2) Omezení některých práv nebo povinností podle odstavce 1 správce nebo zpracovatel bez zbytečného odkladu oznámí Úřadu, přitom uvede v přiměřeném rozsahu skutečnosti podle čl. 23 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679; to neplatí pro soudy provádějící zpracování osobních údajů podle čl. 55 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 12

Výjimka z povinnosti oznámení porušení zabezpečení osobních údajů subjektu údajů

Pokud je správce povinen oznámit porušení zabezpečení osobních údajů subjektu údajů, toto oznámení provede v omezeném rozsahu nebo jej odloží, je-li to nezbytné a svým rozsahem přiměřené k zajištění chráněného zájmu uvedeného v § 6 odst. 2. Pro oznámení takového postupu Úřadu se § 11 odst. 2 použije obdobně.

§ 13

Osobní údaje s omezeným zpracováním

Pokud bylo zpracování osobních údajů omezeno podle čl. 18 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679, není tím dotčena povinnost správce nebo zpracovatele tyto osobní údaje předat nebo zpřístupnit, je-li tato povinnost stanovena právním předpisem. Tyto údaje se při předání nebo zpřístupnění označí jako údaje uvedené v čl. 18 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 14

Jmenování pověřence pro ochranu osobních údajů

Povinnost jmenovat pověřence pro ochranu osobních údajů podle čl. 37 odst. 1 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 mají kromě orgánů veřejné moci také orgány zřízené zákonem, které plní zákonem stanovené úkoly ve veřejném zájmu.

§ 15

Akreditace subjektů pro vydávání osvědčení

Osoby oprávněné k vydávání osvědčení o ochraně osobních údajů jsou akreditovány osobou pověřenou k výkonu působnosti akreditačního orgánu podle zákona upravujícího akreditaci subjektů posuzování shody³).

§ 16

Zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely

(1) Správce nebo zpracovatel při zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely zajistí dodržování konkrétních opatření k ochraně zájmů subjektu údajů, která odpovídají stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i různě pravděpodobným a závažným rizikům pro práva a svobody fyzických osob. Taková opatření mohou zahrnovat zejména

a) technická a organizační opatření zaměřená na důsledné uplatnění povinnosti podle čl. 5 odst. 1 písm. c) nařízení Evropského parlamentu a Rady (EU) 2016/679,

b) pořizování záznamů alespoň o všech operacích shromáždění, vložení, pozměnění a výmazu osobních údajů, které umožní určit a ověřit totožnost osoby provádějící operaci, a uchovávání těchto záznamů nejméně po dobu 2 let od provedení operace,

c) informování osob zpracovávajících osobní údaje o povinnostech v oblasti ochrany osobních údajů,

d) jmenování pověřence,

e) zvláštní omezení přístupu k osobním údajům v rámci správce nebo zpracovatele,

f) pseudonymizaci osobních údajů,

g) šifrování osobních údajů,

h) opatření k zajištění trvalé důvěrnosti, integrity, dostupnosti a odolnosti systémů a služeb zpracování,

i) opatření umožňující obnovení dostupnosti osobních údajů a včasný přístup k těmto údajům v případě incidentů,

j) proces pravidelného testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování,

k) zvláštní omezení přenosu osobních údajů do třetí země, nebo

l) zvláštní omezení zpracování osobních údajů pro jiné účely.

(2) Pokud to umožňuje dosáhnout účelu uvedeného v odstavci 1, osobní údaje uvedené v čl. 9 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 správce nebo zpracovatel dále zpracovává v podobě, která neumožňuje identifikaci subjektu údajů, ledaže tomu brání oprávněné zájmy subjektu údajů.

(3) Nestanoví-li jiný právní předpis jinak, čl. 15, 16, 18 a 21 a v jim odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito články odloží, je-li to nezbytné a svým rozsahem přiměřené k naplnění účelu zpracování uvedeného v odstavci 1. Článek 15 a v jemu odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužije, pokud je zpracování nezbytné pro účely vědeckého výzkumu a poskytnutí informací by vyžadovalo nepřiměřené úsilí.

Díl 2

Zpracování osobních údajů prováděné pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu

§ 17

Zákonnost zpracování

(1) Osobní údaje lze zpracovávat také tehdy, slouží-li to přiměřeným způsobem pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu. Při posouzení přiměřenosti podle věty první se přihlédne také k tomu, jestli zpracování zahrnuje osobní údaje uvedené v čl. 9 odst. 1 nebo čl. 10 nařízení Evropského parlamentu a Rady (EU) 2016/679.

(2) Zpracování osobních údajů pro účely uvedené v odstavci 1 není podmíněno povolením nebo schválením Úřadu a požívá práva na ochranu zdroje a obsahu informací, a to i v případě zpracování osobních údajů způsobem umožňujícím dálkový přístup.

§ 18

Výjimky z poučovací a informační povinnosti správce

(1) Správce může při zpracování osobních údajů pro účely uvedené v § 17 odst. 1 své povinnosti, vyplývající z čl. 12 odst. 1 a 2, čl. 13 odst. 1 až 3 a čl. 21 odst. 4, a v jim odpovídajícím rozsahu též z čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, splnit také jakýmkoliv vhodným informováním subjektu údajů o identitě správce. Informovat o identitě správce lze také vhodným přihlášením se k identitě správce, které může být provedeno grafickým označením, ústně či jiným vhodným způsobem. Informace o identitě správce je dostačující tehdy, je-li poučení správce o právech subjektu údajů a dalších skutečnostech potřebných pro ochranu jeho práv v rozsahu odpovídajícím jím obvykle prováděnému zpracování osobních údajů veřejně dostupné způsobem umožňujícím dálkový přístup.

(2) Informaci o identitě správce není třeba poskytnout v odůvodněných případech, zejména pokud:

a) to není možné nebo by to vyžadovalo nepřiměřené úsilí,

b) subjekt údajů může zpracování uvedené v § 17 odst. 1 oprávněně očekávat,

c) subjekt údajů takové informace má, nebo

d) by poskytnutí takové informace ohrozilo nebo zmařilo účel zpracování osobních údajů, je-li takový postup nutný k dosažení oprávněného účelu zpracování osobních údajů, zejména v záležitostech veřejného zájmu.

Namísto vyloučení poskytnutí informace o identitě správce může správce poskytnutí této informace odložit.

§ 19

Ochrana zdroje a obsahu informací

(1) Povinnost informovat podle čl. 14 odst. 1 až 4 a čl. 21 odst. 4 a v jim odpovídajícím rozsahu též čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, jakož i o ostatních právech subjektu údajů, lze splnit také uveřejněním těchto informací způsobem umožňujícím dálkový přístup; v takovém případě postačí informovat o správcem obvykle prováděném zpracování osobních údajů.

(2) Právo na přístup k osobním údajům podle čl. 15 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužije, pokud se jedná o osobní údaje, které nebyly správcem uveřejněny a jsou zpracovávány pouze za účelem uvedeným v § 17 odst. 1. V ostatních případech může správce přístup k osobním údajům vyloučit v odůvodněných případech, zejména pokud by jinak došlo k ohrožení nebo zmaření oprávněného účelu zpracování osobních údajů nebo by to vyžadovalo nepřiměřené úsilí.

(3) Ustanovení čl. 14 odst. 2 písm. f) a čl. 15 odst. 1 písm. g) a v jim odpovídajícím rozsahu též čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se na zpracování osobních údajů pro účely uvedené v § 17 odst. 1 nepoužije.

(4) Pokud je správce povinen oznámit porušení zabezpečení osobních údajů podle čl. 33 odst. 1 nebo čl. 34 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679, nemusí oznamovat informace umožňující určení zdroje nebo obsahu osobních údajů, jejichž zabezpečení bylo porušeno.

§ 20

Výjimka z práv na opravu, na výmaz a na omezení zpracování osobních údajů

(1) V případě uplatnění práv na výmaz nebo na opravu osobních údajů, které jsou zpracovávány pro účely uvedené v § 17 odst. 1, se postupuje podle jiných právních předpisů⁴).

(2) Jde-li o zpracování osobních údajů k účelům uvedeným v § 17 odst. 1, má subjekt údajů právo na omezení zpracování osobních údajů podle čl. 18 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 pouze tehdy, pokud správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů tyto údaje požaduje pro určení, výkon nebo obhajobu právních nároků. To neplatí, pokud by to vyžadovalo nepřiměřené úsilí.

§ 21

Informování o opravě, výmazu a omezení zpracování

(1) Je-li správce v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1, uskutečňovaným také způsobem umožňujícím dálkový přístup, povinen oznámit příjemcům opravu, výmaz nebo omezení zpracování osobních údajů podle čl. 17 odst. 2 nebo čl. 19 a v jim odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679, může tuto povinnost splnit také uvedením údaje o okamžiku poslední aktualizace obsahu, v němž jsou nebo byly osobní údaje uvedeny, nebo jiným vhodným opatřením.

(2) Oprava, výmaz nebo omezení zpracování podle čl. 19 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se oznamuje tomu, komu správce osobní údaje zpracovávané pro účely uvedené v § 17 odst. 1 předal, je-li to potřebné k ochraně práv nebo oprávněných zájmů subjektu údajů a nevyžaduje-li to nepřiměřené úsilí.

(3) Správce může informovat subjekt údajů pouze o kategoriích příjemců, pokud v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1 vyžaduje informování subjektu údajů o příjemcích podle čl. 19 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 nepřiměřené úsilí, nebo pokud by došlo k ohrožení nebo zmaření oprávněného účelu zpracování.

§ 22

Omezení práva na námitku

(1) Námitku podle čl. 21 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 lze v souvislosti se zpracováním osobních údajů pro účely uvedené v § 17 odst. 1 vznést jen proti konkrétnímu zpřístupnění nebo uveřejnění osobních údajů; přitom subjekt údajů uvede konkrétní důvody nasvědčující, že v daném případě převažuje oprávněný zájem na ochraně jeho práv a svobod nad zájmem na takovém zpřístupnění nebo uveřejnění.

(2) Byla-li podána námitka podle odstavce 1, je správce povinen takové zpřístupnění nebo uveřejnění ukončit, pokud má za to, že subjekt údajů osvědčil, že nad zájmem na tomto uveřejnění v daném případě převažuje oprávněný zájem na ochraně jeho práv a svobod. Správce bez zbytečného odkladu informuje subjekt údajů o tom, zda jeho námitce vyhověl.

§ 23

Další výjimky pro zvláštní případy

(1) Ustanovení § 18 až 22 a ustanovení čl. 12 až 19, 21, 33 a 34 a v jim odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužijí, použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů v nich stanovených odloží,

a) je-li takový postup potřebný ke splnění účelu zpracování uvedeného v § 17 odst. 1, a

b) nepovede-li takový postup pravděpodobně k vysokému riziku pro oprávněné zájmy subjektu údajů.

(2) Ustanovení kapitoly VII nařízení Evropského parlamentu a Rady (EU) 2016/679 se při zpracování uvedeném v § 17 odst. 1 nepoužijí. Ustanovení čl. 20, 22, 56 a 58 odst. 1 písm. a), b), e) a f) a čl. 58 odst. 2 písm. d), f) a g) a kapitol II, IV, V a IX nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužijí, použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito ustanoveními odloží, je-li to nezbytné ke splnění účelu zpracování uvedeného v § 17 odst. 1.

(3) Pokud by vyloučení nebo omezení některých práv nebo povinností podle odstavce 2 vedlo pravděpodobně k vysokému riziku pro oprávněné zájmy subjektu údajů, správce nebo zpracovatel bez zbytečného odkladu přijme a dokumentuje vhodná opatření ke zmírnění takového nebo obdobného rizika.

HLAVA III

OCHRANA OSOBNÍCH ÚDAJŮ PŘI JEJICH ZPRACOVÁNÍ ZA ÚČELEM PŘEDCHÁZENÍ, VYHLEDÁVÁNÍ NEBO ODHALOVÁNÍ TRESTNÉ ČINNOSTI, STÍHÁNÍ TRESTNÝCH ČINŮ, VÝKONU TRESTŮ A OCHRANNÝCH OPATŘENÍ, ZAJIŠŤOVÁNÍ BEZPEČNOSTI ČESKÉ REPUBLIKY NEBO ZAJIŠŤOVÁNÍ VEŘEJNÉHO POŘÁDKU A VNITŘNÍ BEZPEČNOSTI

§ 24

Obecná ustanovení

(1) Nestanoví-li zákon jinak, ustanovení této hlavy se použijí při zpracování osobních údajů, které je nezbytné pro plnění úkolu a výkon veřejné moci spravujícího orgánu stanovených jinými zákony⁵) za účelem předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech.

(2) Pro účely této hlavy se použije čl. 4 body 1 až 6, 8, 9, 12 až 15 a 26 nařízení Evropského parlamentu a Rady (EU) 2016/679 obdobně.

(3) Spravujícím orgánem se rozumí orgán veřejné moci příslušný k plnění úkolu uvedeného v odstavci 1, který není zpravodajskou službou nebo obecní policií.

(4) Ustanovení této hlavy se použijí na zpracování osobních údajů, které jsou nebo mají být zařazeny do evidence, nebo pokud toto zpracování probíhá zcela nebo částečně automatizovaně.

§ 25

Zásady zpracování osobních údajů

(1) Při zpracování osobních údajů spravující orgán

a) stanoví konkrétní účel zpracování osobních údajů v souvislosti s plněním úkolu uvedeného v § 24 odst. 1,

b) přijímá opatření zajišťující, aby osobní údaje byly přesné ve vztahu k povaze a účelu zpracování, a

c) uchovává osobní údaje v podobě umožňující identifikaci subjektu údajů jen po dobu nezbytnou k dosažení účelu jejich zpracování.

(2) Pro účel nesouvisející s plněním úkolu uvedeného v § 24 odst. 1 lze osobní údaje zpracovávat, pouze pokud je k tomu spravující orgán oprávněn a tento účel není neslučitelný se stanoveným konkrétním účelem jejich zpracování.

§ 26

Kategorie subjektů údajů a kvalita osobních údajů

Je-li to možné, spravující orgán

a) připojí ke zpracovávaným osobním údajům informaci o postavení subjektu údajů v trestním řízení, popřípadě také informaci o pravomocných rozhodnutích orgánů činných v trestním řízení, která se těchto údajů týkají, je-li to odůvodněné účelem jejich zpracování, a

b) označí nepřesné osobní údaje, popřípadě osobní údaje, které se zakládají na osobních hodnoceních.

§ 27

Informace pro subjekt údajů

Spravující orgán zveřejní způsobem umožňujícím dálkový přístup informace o

a) svém názvu a kontaktních údajích,

b) kontaktních údajích pověřence pro ochranu osobních údajů (dále jen „pověřenec“),

c) účelu zpracování osobních údajů,

d) právu podat stížnost k Úřadu a kontaktních údajích Úřadu a

e) právu na přístup k osobním údajům, jejich opravu, omezení zpracování nebo výmaz.

§ 28

Právo na přístup k osobním údajům

(1) Spravující orgán na žádost subjektu údajů sdělí, zda zpracovává osobní údaje vztahující se k jeho osobě. Jestliže takové údaje spravující orgán zpracovává, předá je subjektu údajů a sdělí mu informace o

a) účelu zpracování osobních údajů,

b) právních předpisech, na základě kterých tyto údaje převážně zpracovává,

c) příjemcích, popřípadě kategoriích příjemců,

d) předpokládané době uchování nebo způsobu jejího určení,

e) právu požádat o opravu, omezení zpracování nebo výmaz osobních údajů a

f) zdroji těchto údajů.

(2) Spravující orgán žádosti podle odstavce 1 nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení

a) plnění úkolu v oblasti předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech,

b) průběhu řízení o přestupku, kázeňském přestupku nebo jednání, které má znaky přestupku,

c) ochrany utajovaných informací, nebo

d) oprávněných zájmů třetí osoby.

(3) Pokud by vyhověním žádosti nebo sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení podle odstavce 2, spravující orgán informuje subjekt údajů stejně jako ty žadatele, jejichž osobní údaje nezpracovává.

(4) Spravující orgán vede o důvodech pro postup podle odstavců 2 a 3 dokumentaci, kterou uchovává nejméně 3 roky.

§ 29

Právo na opravu, omezení zpracování nebo výmaz osobních údajů

(1) Spravující orgán na žádost subjektu údajů provede opravu nebo doplnění osobních údajů vztahujících se k jeho osobě. Vyžaduje-li to účel zpracování osobních údajů, může spravující orgán namísto opravy osobní údaje doplnit nebo k nim připojit dodatečné prohlášení.

(2) Spravující orgán na žádost subjektu údajů provede výmaz osobních údajů vztahujících se k jeho osobě, pokud spravující orgán porušil zásady zpracování osobních údajů podle § 25 nebo jiného právního předpisu⁵) nebo omezení zpracování některých kategorií osobních údajů, nebo pokud má spravující orgán povinnost tyto údaje vymazat.

(3) Namísto opravy nebo výmazu osobních údajů může spravující orgán omezit zpracování osobních údajů jejich zvláštním označením,

a) popírá-li subjekt údajů jejich přesnost, přičemž nelze zjistit, zda jsou tyto údaje přesné, nebo

b) musí-li být tyto údaje uchovány pro účely dokazování.

(4) Je-li zpracování osobních údajů omezeno podle odstavce 3 písm. a), spravující orgán informuje subjekt údajů před zrušením takového omezení; spravující orgán rovněž subjekt údajů informuje, má-li být omezení zrušeno na základě rozhodnutí Úřadu nebo příslušného soudu.

(5) Spravující orgán žádosti podle odstavců 1 až 3 nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení podle § 28 odst. 2. Pokud by sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení podle § 28 odst. 2, spravující orgán žadatele informuje tak, aby takovému ohrožení předcházel.

(6) Spravující orgán vede o důvodech pro postup podle odstavce 5 dokumentaci, kterou uchovává nejméně 3 roky.

§ 30

Společné ustanovení o žádostech subjektu údajů

(1) Spravující orgán vyřídí žádost podle § 28 nebo 29 bez zbytečného odkladu, nejdéle však do 60 dnů ode dne jejího podání.

(2) Pokud spravující orgán doloží, že žádost podle § 28 nebo 29 je zjevně nedůvodná nebo nepřiměřená, zejména proto, že se v krátké době v téže věci opakuje, nemusí žádosti vyhovět.

(3) Spravující orgán v rámci vyřízení žádosti podle § 28 nebo 29 informuje subjekt údajů o možnosti

Citace	Zákon č. 110/2019 Sb., o zpracování osobních údajů
Typ předpisu	Zákon
Autor	-
Sbírka	Sbírka zákonů

Datum vyhlášení	24.04.2019
Účinnost od	24.04.2019
Účinnost do	-
Stav	Platný

Zákon č. 110/2019 Sb.

Zákon o zpracování osobních údajů

Obsah