§ 13 zákon o ochraně osobních údajů a o změně některých zákonů – Povinnosti osob při zabezpečení osobních údajů
Zákon o ochraně osobních údajů a o změně některých zákonů · 101/2000 Sb. · IT právo a ochrana dat
Stručně: Paragraf 13 zákona č. 101/2000 Sb. ukládá správcům a zpracovatelům osobních údajů povinnost přijmout taková opatření, která zajistí ochranu osobních údajů před neoprávněným přístupem, změnou, zničením, ztrátou, přenosem či jiným zneužitím, a to i po ukončení zpracování. Správce nebo zpracovatel musí aktivně chránit osobní údaje před jakýmkoli neoprávněným zásahem, a to po celou dobu jejich zpracování i po jeho skončení. (§ 13 zákona č. 101/2000 Sb., zákon o ochraně osobních údajů a o změně některých zákonů, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Povinnosti osob při zabezpečení osobních údajů
- Judikatura: na § 13 odkazuje 34 soudních rozhodnutí (NS, ÚS, NSS)
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 101/2000 Sb.
(1) Správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.
(2) Správce nebo zpracovatel je povinen zpracovat a dokumentovat přijatá a provedená technicko-organizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy.
(3) V rámci opatření podle odstavce 1 správce nebo zpracovatel posuzuje rizika týkající se
a) plnění pokynů pro zpracování osobních údajů osobami, které mají bezprostřední přístup k osobním údajům,
b) zabránění neoprávněným osobám přistupovat k osobním údajům a k prostředkům pro jejich zpracování,
c) zabránění neoprávněnému čtení, vytváření, kopírování, přenosu, úpravě či vymazání záznamů obsahujících osobní údaje a
d) opatření, která umožní určit a ověřit, komu byly osobní údaje předány.
(4) V oblasti automatizovaného zpracování osobních údajů je správce nebo zpracovatel v rámci opatření podle odstavce 1 povinen také
a) zajistit, aby systémy pro automatizovaná zpracování osobních údajů používaly pouze oprávněné osoby,
b) zajistit, aby fyzické osoby oprávněné k používání systémů pro automatizovaná zpracování osobních údajů měly přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby,
c) pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a
d) zabránit neoprávněnému přístupu k datovým nosičům.
Srozumitelný výklad
Co to znamená v praxi
- Správce nebo zpracovatel musí aktivně chránit osobní údaje před jakýmkoli neoprávněným zásahem, a to po celou dobu jejich zpracování i po jeho skončení.
- Je nutné písemně zdokumentovat veškerá technická a organizační opatření, která byla přijata k ochraně osobních údajů.
- Při zavádění ochranných opatření je třeba posoudit rizika spojená s přístupem k údajům, jejich úpravami, kopírováním a předáváním.
- V případě automatizovaného zpracování osobních údajů je nutné zajistit, aby k systémům měli přístup pouze oprávnění uživatelé s odpovídajícími oprávněními a aby byly pořizovány záznamy o tom, kdo a kdy s údaji manipuloval.
Na co si dát pozor
- Povinnost ochrany osobních údajů trvá i po ukončení jejich zpracování.
- Je nezbytné mít písemně zdokumentovaná všechna přijatá ochranná opatření.
- Opatření musí být nastavena tak, aby zabránila neoprávněnému přístupu k datovým nosičům.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Judikatura k § 13
Jak soudy aplikují § 13
Stěžovatelce nebylo možno vyhovět ani s ohledem na § 13 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění účinném pro rozhodné období (dále také "zákon o ochraně osobních údajů"), neboť zákonodárce policii výslovně zmocnil k nahlížení do domovní knihy, a to přesto, že tato obsahuje řadu osobních údajů.
Orgány státu, především Úřad pro ochranu osobních údajů a obecné soudy, se přitom nemohou vzdát své odpovědnosti za účinnou kontrolu postupu archivů a badatelů při přijímání opatření podle § 13 odst. 1 zákona č. 101/2000 Sb., která mají zabránit neoprávněnému nebo nahodilému přístupu k osobním údajům a jejich neoprávněnému zpracování, jakož i jinému zneužití.
… jak správně připomíná stěžovatel.“ Z odůvodnění tohoto rozsudku dále vyplývá, že ubytovatel jako osoba, která vede domovní knihu, je správcem osobních údajů ve smyslu tehdy účinného zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů (dále jen „zákon č. 101/2000 Sb.“), který má ve smyslu ust. § 13 odst. 1 zákona č. 101/2000 Sb. obecnou povinnost přijmout taková opatření, aby nemohlo dojít k neoprávněnému přístupu k osobním údajům, přenosům, zpracování, jakož ani k jinému zneužití osobních údajů.
Související
§ 12 Výjimka z povinnosti oznámení porušení zabezp (Zákon o zpracování osobních údajů)§ 45 Povinnosti osob při zabezpečení osobních údaj (Zákon o zpracování osobních údajů)§ 34 Zpracovatel (Zákon o zpracování osobních údajů)§ 40 Zabezpečení zpracování osobních údajů (Zákon o zpracování osobních údajů)§ 46 Povinnosti osob při zabezpečení osobních údaj (Zákon o zpracování osobních údajů)