§ 41 zákon o zpracování osobních údajů – Ohlašování porušení zabezpečení osobních údajů Úřadu
Zákon o zpracování osobních údajů · 110/2019 Sb. · IT právo a ochrana dat
Stručně: Paragraf 41 zákona o zpracování osobních údajů stanoví povinnost spravujícího orgánu ohlásit Úřadu pro ochranu osobních údajů porušení zabezpečení osobních údajů, pokud není riziko pro práva a svobody subjektu údajů nízké, a to bez zbytečného odkladu. Povinnost ohlášení: Pokud dojde k porušení zabezpečení osobních údajů (např. únik dat, neoprávněný přístup), musí spravující orgán tuto událost oznámit Úřadu pro ochranu osobních údajů. (§ 41 zákona č. 110/2019 Sb., zákon o zpracování osobních údajů, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Ohlašování porušení zabezpečení osobních údajů Úřadu
- Lhůta nebo doba (odst. 1): „Spravující orgán ohlásí bez zbytečného odkladu porušení zabezpečení osobních údajů Úřadu, ledaže je riziko neoprávněného zásahu do…“
- Lhůta nebo doba (odst. 4): „…podle odstavce 3, které mu nebyly v době ohlášení známy, spravující orgán doplní bez zbytečného odkladu poté, co se o nich dozví.“
- Lhůta nebo doba (odst. 6): „…důsledcích a přijatých nápravných opatřeních dokumentaci, kterou uchovává nejméně 3 roky.“
- Judikatura: na § 41 odkazuje 1 soudní rozhodnutí (NS, ÚS, NSS)
- Právní otázky k tomuto ustanovení: Co znamená „Ohlašování porušení zabezpečení osobních údajů Úřadu“ podle zákona?
- Účinnost: znění beze změny od původního znění předpisu
- Zdroj: e-Sbírka, 110/2019 Sb.
(1) Spravující orgán ohlásí bez zbytečného odkladu porušení zabezpečení osobních údajů Úřadu, ledaže je riziko neoprávněného zásahu do práv a svobod subjektu údajů nízké.
(2) Pokud spravující orgán provede ohlášení po více než 72 hodinách od okamžiku, kdy se o něm dozvěděl, připojí k němu odůvodnění tohoto prodlení.
(3) V ohlášení podle odstavce 1 spravující orgán uvede, pokud jsou mu tyto údaje známy, alespoň
a) popis povahy porušení zabezpečení osobních údajů,
b) kategorie a přibližný počet subjektů údajů a záznamů osobních údajů, kterých se porušení zabezpečení týká,
c) jméno a kontaktní údaje pověřence nebo jiného pracoviště, které poskytne bližší informace k porušení zabezpečení osobních údajů,
d) popis pravděpodobných důsledků porušení zabezpečení osobních údajů a
e) popis opatření přijatých nebo navržených spravujícím orgánem k nápravě nebo zmírnění újmy způsobené porušením zabezpečení osobních údajů.
(4) Skutečnosti podle odstavce 3, které mu nebyly v době ohlášení známy, spravující orgán doplní bez zbytečného odkladu poté, co se o nich dozví.
(5) Skutečnosti podle odstavce 3 sdělí spravující orgán též osobě nebo orgánu jiného členského státu Evropské unie, který osobní údaje poskytl nebo obdržel.
(6) Spravující orgán vede o každém porušení zabezpečení osobních údajů, jeho důsledcích a přijatých nápravných opatřeních dokumentaci, kterou uchovává nejméně 3 roky.
Srozumitelný výklad
Co to znamená v praxi
- Povinnost ohlášení: Pokud dojde k porušení zabezpečení osobních údajů (např. únik dat, neoprávněný přístup), musí spravující orgán tuto událost oznámit Úřadu pro ochranu osobních údajů.
- Lhůta pro ohlášení: Ohlášení musí proběhnout bez zbytečného odkladu, ideálně do 72 hodin od zjištění porušení. Pokud je lhůta překročena, je nutné zdůvodnit prodlení.
- Obsah ohlášení: V ohlášení je potřeba uvést podrobnosti o povaze porušení, počtu dotčených subjektů a záznamů, kontaktní údaje pro další informace, pravděpodobné důsledky a přijatá nebo navržená opatření.
- Dokumentace: Spravující orgán musí vést záznamy o každém porušení, jeho důsledcích a nápravných opatřeních a uchovávat je nejméně 3 roky.
Na co si dát pozor
- Nízké riziko: Povinnost ohlášení odpadá pouze v případě, že je riziko neoprávněného zásahu do práv a svobod subjektu údajů nízké. Posouzení tohoto rizika je klíčové.
- Včasnost: Zpoždění ohlášení nad 72 hodin je nutné odůvodnit, což může být předmětem kontroly.
- Kompletnost informací: Je důležité shromáždit co nejvíce informací o porušení, aby ohlášení bylo co nejpřesnější a nejúplnější. Chybějící informace je nutné doplnit bez zbytečného odkladu.
- Mezinárodní spolupráce: Pokud byly osobní údaje poskytnuty nebo obdrženy od orgánu jiného členského státu EU, je nutné mu sdělit stejné informace jako Úřadu.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Judikatura k § 41
Jak soudy aplikují § 41
Dále uvedl, že žalobcem citovaná důvodová zpráva k ustanovením § 41 až 47 zákona č. 110/2019 Sb. sice skutečně připouští, že by Hlavu IV tohoto zákona bylo možno aplikovat i na zpracování, u nichž je to odůvodněno podmínkami, ve kterých probíhají (např. zpracování za krizového stavu, při požáru apod.), nicméně Policie osobní údaje zpracovávala ve strukturované podobě.
Právní otázky
Související
§ 4 Účinnost (Nařízení vlády, kterým se stanoví katalo)§ 3 Katalog prací (Nařízení vlády, kterým se stanoví katalo)§ 113 Účinnost (Vyhláška o výkonu činnosti bank, spořite)§ 84 ÚČINNOST (Vyhláška o podrobnostech nakládání s odp)§ 237 Účinnost (Vyhláška o pravidlech obezřetného podnik)