§ 40 zákon o zpracování osobních údajů – Zabezpečení zpracování osobních údajů
Zákon o zpracování osobních údajů · 110/2019 Sb. · IT právo a ochrana dat
Stručně: Paragraf stanovuje, že orgány spravující osobní údaje musí přijmout organizační a technická opatření k jejich zabezpečení, a to v míře odpovídající povaze a riziku zpracování. Spravující orgán musí zajistit, aby osobní údaje byly chráněny před neoprávněným přístupem, změnou, zničením nebo jiným zneužitím. (§ 40 zákona č. 110/2019 Sb., zákon o zpracování osobních údajů, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Zabezpečení zpracování osobních údajů
- Judikatura: na § 40 odkazuje 1 soudní rozhodnutí (NS, ÚS, NSS)
- Právní otázky k tomuto ustanovení: Co znamená „Zabezpečení zpracování osobních údajů“ podle zákona?
- Účinnost: znění beze změny od původního znění předpisu
- Zdroj: e-Sbírka, 110/2019 Sb.
(1) Spravující orgán přijme taková organizační a technická opatření, aby zajistil úroveň zabezpečení osobních údajů odpovídající povaze, rozsahu, okolnostem, účelu a riziku jejich zpracování.
(2) Jsou-li osobní údaje zpracovávány automatizovaně, spravující orgán přijme nezbytná opatření, aby
a) tyto osobní údaje zabezpečil před neoprávněným přístupem, přenosem, změnou, zničením, ztrátou, odcizením, zneužitím nebo jiným neoprávněným zpracováním,
b) zajistil obnovitelnost těchto osobních údajů,
c) zajistil možnost určit a ověřit osobu, která tyto osobní údaje vložila nebo které byly prostřednictvím zařízení pro přenos údajů předány nebo zpřístupněny,
d) zajistil bezpečnost a spolehlivost informačního systému, který tyto osobní údaje obsahuje, včetně hlášení výskytu chyb, a
e) zabránil v neoprávněném přístupu k nosiči těchto osobních údajů nebo zařízení užívanému k jejich zpracování.
(3) Povinnosti spravujícího orgánu stanovené v odstavcích 1 a 2 platí pro zpracovatele obdobně.
Srozumitelný výklad
Co to znamená v praxi
- Spravující orgán musí zajistit, aby osobní údaje byly chráněny před neoprávněným přístupem, změnou, zničením nebo jiným zneužitím.
- Pokud jsou údaje zpracovávány automatizovaně, je nutné zajistit jejich obnovitelnost a možnost ověřit, kdo s nimi manipuloval.
- Musí být zajištěna bezpečnost a spolehlivost informačního systému, který osobní údaje obsahuje.
- Tyto povinnosti platí obdobně i pro zpracovatele osobních údajů, tedy pro ty, kdo údaje zpracovávají jménem spravujícího orgánu.
Na co si dát pozor
- Úroveň zabezpečení musí odpovídat konkrétní povaze, rozsahu, okolnostem, účelu a riziku zpracování dat, což znamená, že ne pro všechna data platí stejná míra zabezpečení.
- Je důležité zajistit, aby nedošlo k neoprávněnému přístupu k nosičům dat nebo zařízením používaným k jejich zpracování.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Judikatura k § 40
Jak soudy aplikují § 40
Dalším příkladem může být ustanovení § 40 odst. 1 zákona č. 110/2019 Sb., o zpracování osobních údajů, podle kterého musí spravující orgán přijmout „taková organizační a technická opatření, aby zajistil úroveň zabezpečení osobních údajů odpovídající povaze, rozsahu, okolnostem, účelu a riziku jejich zpracování.“ Ani zde nemůže být pojem odpovídající synonymem k pojmu rovnající se, neboť zjevně vyjadřuje …
Právní otázky
Související
§ 13 Povinnosti osob při zabezpečení osobních údaj (Zákon o ochraně osobních údajů a o změně)§ 6 (Zákon o ochraně osobních údajů a o změně)§ 13a Zpracování údajů (Zákon České národní rady o organizaci a )§ 13a Zpracování údajů (Zákon, kterým se mění některé zákony v s)