§ 13 Zákon o ochraně osobních údajů a o změně některých zákonů – Povinnosti osob při zabezpečení osobních údajů
Zákon o ochraně osobních údajů a o změně některých zákonů · 101/2000 Sb. · § 13 · IT právo a ochrana dat
Stručně: Paragraf 13 zákona č. 101/2000 Sb. ukládá správcům a zpracovatelům osobních údajů povinnost přijmout taková opatření, která zajistí ochranu osobních údajů před neoprávněným přístupem, změnou, zničením, ztrátou, přenosem či jiným zneužitím, a to i po ukončení zpracování.
§ 13 Povinnosti osob při zabezpečení osobních údajů
(1) Správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.
(2) Správce nebo zpracovatel je povinen zpracovat a dokumentovat přijatá a provedená technicko-organizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy.
(3) V rámci opatření podle odstavce 1 správce nebo zpracovatel posuzuje rizika týkající se
a) plnění pokynů pro zpracování osobních údajů osobami, které mají bezprostřední přístup k osobním údajům,
b) zabránění neoprávněným osobám přistupovat k osobním údajům a k prostředkům pro jejich zpracování,
c) zabránění neoprávněnému čtení, vytváření, kopírování, přenosu, úpravě či vymazání záznamů obsahujících osobní údaje a
d) opatření, která umožní určit a ověřit, komu byly osobní údaje předány.
(4) V oblasti automatizovaného zpracování osobních údajů je správce nebo zpracovatel v rámci opatření podle odstavce 1 povinen také
a) zajistit, aby systémy pro automatizovaná zpracování osobních údajů používaly pouze oprávněné osoby,
b) zajistit, aby fyzické osoby oprávněné k používání systémů pro automatizovaná zpracování osobních údajů měly přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby,
c) pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a
d) zabránit neoprávněnému přístupu k datovým nosičům.
Paragraf 13 zákona č. 101/2000 Sb. ukládá správcům a zpracovatelům osobních údajů povinnost přijmout taková opatření, která zajistí ochranu osobních údajů před neoprávněným přístupem, změnou, zničením, ztrátou, přenosem či jiným zneužitím, a to i po ukončení zpracování.
Co to znamená v praxi
Správce nebo zpracovatel musí aktivně chránit osobní údaje před jakýmkoli neoprávněným zásahem, a to po celou dobu jejich zpracování i po jeho skončení.
Je nutné písemně zdokumentovat veškerá technická a organizační opatření, která byla přijata k ochraně osobních údajů.
Při zavádění ochranných opatření je třeba posoudit rizika spojená s přístupem k údajům, jejich úpravami, kopírováním a předáváním.
V případě automatizovaného zpracování osobních údajů je nutné zajistit, aby k systémům měli přístup pouze oprávnění uživatelé s odpovídajícími oprávněními a aby byly pořizovány záznamy o tom, kdo a kdy s údaji manipuloval.
Na co si dát pozor
Povinnost ochrany osobních údajů trvá i po ukončení jejich zpracování.
Je nezbytné mít písemně zdokumentovaná všechna přijatá ochranná opatření.
Opatření musí být nastavena tak, aby zabránila neoprávněnému přístupu k datovým nosičům.