Zákon o správě dat, o řízeném přístupu k datům a o změně některých souvisejících zákonů (zákon o správě dat a o řízeném přístupu k datům)

(1) Žádost o povolení řízeného přístupu k datům se podává Agentuře prostřednictvím národního katalogu dat.

(2) Součástí žádosti o povolení řízeného přístupu k datům je projekt využití dat, který obsahuje

a) vymezení požadovaných dat,

b) podrobný popis účelu zamýšleného využití dat,

c) formu a způsob, jakým má být řízený přístup k datům zajištěn, včetně popisu vhodné míry anonymizace nebo agregace požadovaných dat s ohledem na účel jejich zpracování,

d) dobu, po kterou má být řízený přístup k datům zajišťován,

e) popis plánovaného životního cyklu získaných dat,

f) popis zabezpečení požadovaných dat a

g) seznam fyzických osob, které budou mít k datům přístup v průběhu zajištění řízeného přístupu.

(3) V žádosti o povolení řízeného přístupu k datům za účelem vědeckého výzkumu žadatel uvede informace dokládající jeho odbornou způsobilost pro provedení zamýšleného výzkumu, zejména informace o nezbytných vědeckých znalostech a zkušenostech s prováděním výzkumu, označení instituce provádějící vědecký výzkum, u níž je žadatel zaměstnán nebo která s ním na vědeckém výzkumu spolupracuje, popis zamýšleného vědeckého výzkumu, a popřípadě doloží další dokumenty související se zamýšleným vědeckým výzkumem nebo vyjádření etické komise instituce provádějící vědecký výzkum nebo jiného obdobného orgánu, je-li zřízen.

(1) Pokud je povolujícím správním orgánem Agentura, vyžádá si k rozhodnutí o žádosti závazné stanovisko dotčeného správce dat nebo příslušného subjektu. V případě, že dotčený správce dat není správním orgánem, vyžádá si Agentura k rozhodnutí o žádosti pouze jeho vyjádření. Dotčený správce dat nebo příslušný subjekt vydá závazné stanovisko nebo vyjádření na základě zhodnocení možnosti zajištění řízeného přístupu a uvede podmínky, za kterých je požadovaná data z právního a technického hlediska možné zpřístupnit.

(2) Pokud zajištění řízeného přístupu k datům nevyžaduje propojování dat z informačních systémů veřejné správy různých správců dat nebo různých příslušných subjektů, vyhoví Agentura žádosti o povolení řízeného přístupu k datům ve vztahu k datům dotčených správců dat nebo příslušných subjektů, kteří vydali k žádosti souhlasné závazné stanovisko nebo vyjádření.

(3) Pokud zajištění řízeného přístupu k datům vyžaduje propojování dat z informačních systémů veřejné správy různých správců dat nebo různých příslušných subjektů, Agentura vyhoví žádosti o povolení řízeného přístupu k datům pouze tehdy, jestliže všichni dotčení správci dat a dotčené příslušné subjekty vydali k žádosti souhlasné závazné stanovisko nebo vyjádření. Agentura může v rozhodnutí o povolení řízeného přístupu k datům se souhlasem dotčeného správce dat nebo příslušného subjektu stanovit, že tento správce dat nebo příslušný subjekt provede zajištění řízeného přístupu k datům.

(4) Není-li Agentura povolujícím správním orgánem, předá žádost o povolení řízeného přístupu k datům věcně příslušnému správci dat nebo příslušnému subjektu.

(1) Pokud je povolujícím správním orgánem správce dat nebo příslušný subjekt a požadovaná data jsou osobními údaji, povolující správní orgán po předání žádosti o povolení řízeného přístupu k datům Agenturou posoudí vliv řízeného přístupu k datům na ochranu osobních údajů.

(2) Správce dat si vyžádá součinnost ve smyslu čl. 7 nařízení o evropské správě dat nebo vyjádření Agentury nebo příslušného subjektu, je-li to potřebné k rozhodnutí o žádosti o povolení řízeného přístupu k datům nebo k zajištění řízeného přístupu k datům. Příslušný subjekt si vyžádá součinnost ve smyslu čl. 7 nařízení o evropské správě dat nebo vyjádření Agentury, je-li to potřebné k rozhodnutí o žádosti o povolení řízeného přístupu k datům nebo k zajištění řízeného přístupu k datům.

Povolující správní orgán projedná s dotčenými správci dat a příslušnými subjekty jimi vydaná vyjádření a závazná stanoviska a podmínky, které mají být stanoveny v rozhodnutí o povolení řízeného přístupu k datům. Povolující správní orgán může za tímto účelem svolat společné jednání. Společné jednání je neveřejné a povolující správní orgán o jeho průběhu a závěrech sepíše protokol. Je-li to účelné, nařídí povolující správní orgán k projednání vyjádření a závazných stanovisek ústní jednání a přizve k němu i žadatele.

(1) Povolující správní orgán může vyzvat žadatele, aby v přiměřené lhůtě předložil změnu projektu využití dat, pokud lze očekávat, že žádosti o povolení řízeného přístupu k datům bude možné po změně projektu využití dat vyhovět. Pokud proběhlo jednání podle § 19, povolující správní orgán ve výzvě zohlední jeho závěry.

(2) Změnu projektu využití dat povolující správní orgán projedná s dotčenými správci dat a příslušnými subjekty. Pro projednání změny projektu využití dat se použijí ustanovení § 17 až 19 obdobně.

Pokud nelze rozhodnutí o povolení řízeného přístupu k datům vydat bezodkladně, vydá jej povolující správní orgán ve lhůtě podle čl. 9 odst. 1 nařízení o evropské správě dat, která běží ode dne, kdy žádost o povolení řízeného přístupu k datům obdržel.

(1) Povolující správní orgán vyhoví žádosti o povolení řízeného přístupu k datům, pokud žadatel splnil podmínky stanovené tímto zákonem. Povolující správní orgán při rozhodování o žádosti zohlední vyjádření Agentury a příslušných subjektů podle § 18 odst. 2.

(2) Povolující správní orgán v rozhodnutí o povolení řízeného přístupu k datům stanoví podmínky poskytnutí dat, zejména formu a způsob, jakým budou data žadateli zpřístupněna, a zohlední při tom obsah projektu využití dat. Povolující správní orgán může v rozhodnutí stanovit další podmínky nezbytné k zajištění ochrany poskytovaných dat, pokud s nimi žadatele seznámil před vydáním rozhodnutí a umožnil mu vyjádřit se k nim.

(3) Povolující správní orgán žádost o povolení řízeného přístupu k datům zamítne, jestliže

a) žadatel nesplnil podmínky stanovené tímto zákonem, nebo

b) žádost směřuje na data, jejichž poskytnutím by došlo k nepřiměřenému zásahu do práv nebo právem chráněných zájmů podle § 14.

(1) Žadatel uhradí povolujícímu správnímu orgánu náklady spojené se zajištěním řízeného přístupu k datům v rozsahu podle čl. 6 odst. 5 nařízení o evropské správě dat. Náklady spojenými se zajištěním řízeného přístupu k datům se rozumí náklady související s rozmnožováním, poskytováním a šířením dat, vypořádáním práv, anonymizací nebo pseudonymizací dat, údržbou bezpečného zpracovatelského prostředí, získáním práva povolit opakované použití dat od třetích stran nebo získáváním souhlasu od subjektu údajů a svolení držitelů dat, jejichž práva a zájmy mohou být opakovaným použitím dat dotčeny.

(2) Povolující správní orgán písemně oznámí vyčíslení nákladů a výši úhrady žadateli před vydáním rozhodnutí o povolení řízeného přístupu a vyzve jej k zaplacení úhrady. Z oznámení musí být zřejmé, na základě jakých skutečností a jakým způsobem byla výše úhrady správcem dat vyčíslena. Úhrada nákladů nesmí přesáhnout skutečné náklady zajištění řízeného přístupu k datům. V případě, že v souvislosti se zajištěním řízeného přístupu k datům nevzniknou žádné náklady, povolující správní orgán oznámí tuto skutečnost žadateli.

(3) Podrobná kritéria pro výpočet výše úhrady nákladů podle odstavce 1 stanoví prováděcí právní předpis. Správci dat zveřejní na svých internetových stránkách popis hlavních kategorií nákladů a pravidel použitých k rozvržení nákladů.

(4) Pokud žadatel neuhradí náklady nejpozději do 30 dnů ode dne doručení výzvy k zaplacení, povolující správní orgán žádost zamítne.

(5) Úhrada nákladů je příjmem povolujícího správního orgánu. V případě, že je do zajištění řízeného přístupu k datům zapojeno více správců dat, povolující správní orgán rozdělí úhradu nákladů poměrně podle míry vynaložených nákladů.

Povolující správní orgán, příslušný subjekt nebo Agentura zajistí řízený přístup k datům na základě rozhodnutí o povolení řízeného přístupu.

(1) Povolující správní orgán zruší rozhodnutí o povolení řízeného přístupu k datům, jestliže o to osoba, které byl řízený přístup k datům povolen, požádá.

(2) Povolující správní orgán zruší rozhodnutí o povolení řízeného přístupu k datům, jestliže

a) osoba, které byl řízený přístup k datům zajištěn, opakovaně nebo závažným způsobem porušila některou z povinností vyplývajících z tohoto zákona, z nařízení o evropské správě dat nebo z rozhodnutí o povolení řízeného přístupu k datům,

b) bezpečnost poskytnutých dat byla ohrožena nebo poskytnutá data byla použita k jinému účelu, než ke kterému byla poskytnuta, nebo

c) osoba, které byl řízený přístup k datům zajištěn, nesplní opatření k nápravě podle § 31 odst. 2.

(3) Povolující správní orgán na žádost nebo z moci úřední změní rozhodnutí o povolení řízeného přístupu k datům, jestliže je vzhledem k účelu žádosti nebo ochraně poskytovaných dat nezbytné upravit podmínky v rozhodnutí.

(1) Osobě, které byl řízený přístup k datům povolen, je zakázáno

a) provést opětovnou identifikaci dotčeného subjektu údajů,

b) provést neoprávněné propojení dat,

c) použít data k jinému účelu, než pro který byla poskytnuta, nebo

d) porušit technické zabezpečení řízeného přístupu k datům.

(2) Povinnosti podle odstavce 1 se vztahují i na fyzickou osobu, která má k poskytnutým datům přístup na základě prohlášení o důvěrnosti podle odstavce 3 písm. b).

(3) Osoba, které byl řízený přístup k datům povolen, je povinna

a) přijmout technická a provozní opatření s cílem zabránit opětovné identifikaci dotčených subjektů údajů,

b) seznámit fyzické osoby, které budou mít přístup k datům, s povinnostmi využití řízeného přístupu k datům a předložit před zajištěním řízeného přístupu povolujícímu správnímu orgánu písemné prohlášení těchto osob o důvěrnosti dat,

c) dodržovat podmínky stanovené v rozhodnutí o povolení řízeného přístupu k datům a

d) oznámit Agentuře a správci dat porušení ochrany dat, které vedlo nebo může vést k opětovné identifikaci dotčených subjektů údajů.

(1) Povolující správní orgán zajistí řízený přístup k datům na vyžádání organizačním složkám státu, je-li takový přístup nezbytný za účelem tvorby politik veřejné správy a jejich vyhodnocování, hodnocení dopadů regulace nebo analýzy výkonu veřejné správy.

(2) Podrobnosti řízeného přístupu k datům podle odstavce 1 upraví povolující správní orgán a organizační složka státu, která si zajištění řízeného přístupu k datům vyžádala, vzájemnou dohodou.

(3) Řízeným přístupem k datům zajištěným organizační složce státu lze poskytnout pouze anonymizovaná data nebo data poskytnutá ve formě, která umožňuje pouze nepřímou identifikaci osoby, které se poskytovaná data týkají.

(4) Pokud jsou data požadovaná podle odstavce 1 osobními údaji, povolující správní orgán posoudí vliv řízeného přístupu k datům na ochranu osobních údajů.

Agentura

a) koordinuje a vytváří podmínky pro rozvoj oblasti správy dat,

b) vydává vyjádření podle § 18 odst. 2 a zajišťuje podporu v oblasti řízeného přístupu k datům,

c) zveřejňuje otevřené formální normy a jejich návrhy způsobem umožňujícím dálkový přístup,

d) rozhoduje o žádostech o povolení řízeného přístupu k datům podle § 12 písm. b),

e) rozhoduje o odvolání proti rozhodnutí o žádosti o povolení řízeného přístupu k datům,

f) je jednotným informačním místem podle čl. 8 odst. 1 nařízení o evropské správě dat,

g) zveřejňuje na svých internetových stránkách informace podle čl. 5 odst. 1 a čl. 8 odst. 1 nařízení o evropské správě dat,

h) zajišťuje napojení na evropské jednotné přístupové místo podle čl. 8 odst. 4 nařízení o evropské správě dat,

i) zveřejňuje prostřednictvím národního katalogu dat elektronický formulář pro podání žádosti o povolení řízeného přístupu k datům podle čl. 8 odst. 2 nařízení o evropské správě dat a

j) oznamuje Evropské komisi příslušné subjekty podle čl. 7 nařízení o evropské správě dat a změny těchto subjektů.

(1) Příslušným subjektem podle čl. 7 nařízení o evropské správě dat je

a) Ministerstvo práce a sociálních věcí pro oblast dat o sociálním zabezpečení, zaměstnanosti a sociální politice,

b) Český statistický úřad pro oblast statistických dat,

c) Generální finanční ředitelství pro oblast dat o daních a

d) Ústav zdravotnických informací a statistiky České republiky pro oblast zdravotnických dat a statistik.

(2) Ústav zdravotnických informací a statistiky České republiky zajišťuje přístup k datům podle § 12 písm. c) prostřednictvím Národního zdravotnického informačního systému.

Dotčený správce dat nebo příslušný subjekt je příslušný k vydání závazného stanoviska, ve kterém posoudí možnosti a podmínky zajištění řízeného přístupu k datům a které je podkladem pro rozhodnutí povolujícího správního orgánu podle § 17. Dotčený správce dat nebo příslušný subjekt poskytuje povolujícímu správnímu orgánu všechny informace důležité pro řízení.

(1) Agentura kontroluje, zda správci dat dodržují povinnosti stanovené tímto zákonem a nařízením o evropské správě dat. Zjistí-li Agentura při kontrole u správce dat nedostatky v dodržování těchto povinností, může uložit správci dat, aby přijal opatření k nápravě. Správce dat přijme opatření k nápravě ve lhůtě stanovené Agenturou, která nesmí být delší než 6 měsíců.

(2) Povolující správní orgán kontroluje, zda osoba, které byl řízený přístup k datům zajištěn, dodržuje povinnosti vyplývající z tohoto zákona, nařízení o evropské správě dat a z rozhodnutí o povolení řízeného přístupu k datům. Zjistí-li povolující správní orgán při kontrole nedostatky v dodržování těchto povinností, může uložit osobě, které byl řízený přístup k datům zajištěn, aby přijala opatření k nápravě. Pokud vyjde v průběhu kontroly najevo, že osoba, které byl řízený přístup k datům zajištěn, neoprávněně využívá poskytnuté osobní údaje, povolující správní orgán neprodleně informuje Úřad pro ochranu osobních údajů.

(1) Správce dat se dopustí přestupku tím, že

a) v rozporu s § 7 odst. 2 neudržuje lokální katalog dat v aktuálním stavu,

b) v rozporu s § 8 odst. 1 nebo 2 nevytvoří datový slovník, nebo

c) nesplní opatření k nápravě uložené Agenturou podle § 31 odst. 1.

(2) Za přestupek podle odstavce 1 lze uložit pokutu do

a) 100 000 Kč, jde-li o přestupek podle odstavce 1 písm. c),

b) 200 000 Kč, jde-li o přestupek podle odstavce 1 písm. a), nebo

c) 500 000 Kč, jde-li o přestupek podle odstavce 1 písm. b).

(1) Osoba, které byl povolen řízený přístup k datům, se dopustí přestupku tím, že

a) v rozporu s § 26 odst. 1 písm. a) provede opětovnou identifikaci dotčeného subjektu údajů,

b) v rozporu s § 26 odst. 1 písm. b) provede neoprávněné propojení dat,

c) v rozporu s § 26 odst. 1 písm. c) použije data k jinému účelu, než pro který byla poskytnuta,

d) v rozporu s § 26 odst. 1 písm. d) poruší technické zabezpečení řízeného přístupu k datům,

e) v rozporu s § 26 odst. 3 písm. a) nepřijme technická nebo provozní opatření s cílem zabránit opětovné identifikaci dotčených subjektů údajů,

f) v rozporu s § 26 odst. 3 písm. b) neseznámí fyzické osoby, které budou mít přístup k datům, s povinnostmi využití řízeného přístupu k datům nebo nepředloží jejich písemné prohlášení o důvěrnosti dat povolujícímu správnímu orgánu,

g) v rozporu s § 26 odst. 3 písm. c) nedodrží některou z podmínek stanovených v rozhodnutí o povolení řízeného přístupu k datům,

h) v rozporu s § 26 odst. 3 písm. d) neoznámí Agentuře nebo správci dat porušení ochrany dat, které vedlo nebo může vést k opětovné identifikaci dotčeného subjektu údajů, nebo

i) poruší povinnost týkající se předávání neosobních údajů do třetích zemí podle čl. 5 odst. 14 a čl. 31 nařízení o evropské správě dat.

(2) Fyzická osoba, která má přístup k datům na základě prohlášení o důvěrnosti podle § 26 odst. 3 písm. b), se dopustí přestupku tím, že

a) v rozporu s § 26 odst. 1 písm. a) provede opětovnou identifikaci dotčeného subjektu údajů,

b) v rozporu s § 26 odst. 1 písm. b) provede neoprávněné propojení dat,

c) v rozporu s § 26 odst. 1 písm. c) použije data k jinému účelu, než pro který byla poskytnuta,

d) v rozporu s § 26 odst. 1 písm. d) poruší technické zabezpečení řízeného přístupu k datům, nebo

e) poruší povinnost týkající se předávání neosobních údajů do třetích zemí podle čl. 5 odst. 14 a čl. 31 nařízení o evropské správě dat.

(3) Za přestupek lze uložit pokutu do

a) 5 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. g) nebo h), nebo

b) 10 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) až f) nebo i) nebo odstavce 2.

(1) Přestupky podle tohoto zákona projednává Agentura.

(2) Pokuty vybírá a vymáhá Agentura.

Agentura vydá vyhlášku podle § 23 odst. 3.

Agentura nejpozději do 3 měsíců ode dne nabytí účinnosti tohoto zákona zveřejní na svých internetových stránkách otevřenou formální normu pro stanovení

a) struktury a podrobností podoby lokálního katalogu dat a

b) struktury a náležitostí datových slovníků.

V § 16m zákona č. 269/1994 Sb., o rejstříku trestů a evidenci přestupků, ve znění zákona č. 427/2023 Sb., se odstavce 2 až 4 zrušují a zároveň se zrušuje označení odstavce 1.

V § 17 odst. 1 zákona č. 89/1995 Sb., o státní statistické službě, ve znění zákona č. 411/2000 Sb., zákona č. 81/2004 Sb. a zákona č. 230/2006 Sb., se na konci textu písmene f) doplňují slova „ , a na poskytnutí těchto údajů se ustanovení části první hlavy III zákona o správě dat a o řízeném přístupu k datům nepoužijí“.

V položce 3 přílohy k zákonu č. 634/2004 Sb., o správních poplatcích, ve znění zákona č. 81/2006 Sb., zákona č. 109/2006 Sb., zákona č. 112/2006 Sb., zákona č. 269/2007 Sb., zákona č. 239/2008 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 255/2011 Sb., zákona č. 262/2011 Sb., zákona č. 274/2012 Sb., zákona č. 428/2012 Sb., zákona č. 249/2014 Sb., zákona č. 318/2015 Sb., zákona č. 295/2017 Sb., zákona č. 279/2019 Sb., zákona č. 270/2021 Sb., zákona č. 349/2023 Sb., zákona č. 414/2023 Sb., zákona č. 125/2024 Sb., zákona č. 237/2024 Sb. a zákona č. 278/2024 Sb., se doplňuje písmeno l), které zní:

„l)Přijetí žádosti o povolení řízeného přístupu k datůmKč 3 000“.

Zákon č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování (zákon o zdravotních službách), ve znění zákona č. 167/2012 Sb., nálezu Ústavního soudu, vyhlášeného pod č. 437/2012 Sb., zákona č. 66/2013 Sb., zákona č. 303/2013 Sb., zákona č. 60/2014 Sb., zákona č. 205/2015 Sb., zákona č. 47/2016 Sb., zákona č. 126/2016 Sb., zákona č. 147/2016 Sb., zákona č. 189/2016 Sb., zákona č. 192/2016 Sb., zákona č. 264/2016 Sb., zákona č. 298/2016 Sb., zákona č. 65/2017 Sb., zákona č. 183/2017 Sb., zákona č. 193/2017 Sb., zákona č. 206/2017 Sb., zákona č. 251/2017 Sb., zákona č. 290/2017 Sb., zákona č. 44/2019 Sb., zákona č. 45/2019 Sb., zákona č. 111/2019 Sb., zákona č. 255/2019 Sb., zákona č. 262/2019 Sb., zákona č. 277/2019 Sb., zákona č. 165/2020 Sb., zákona č. 261/2021 Sb., zákona č. 326/2021 Sb., zákona č. 363/2021 Sb., zákona č. 371/2021 Sb., zákona č. 374/2021 Sb., zákona č. 412/2023 Sb., zákona č. 240/2024 Sb., zákona č. 242/2024 Sb., zákona č. 278/2024 Sb., zákona č. 38/2025 Sb., zákona č. 77/2025 Sb., zákona č. 236/2025 Sb., zákona č. 270/2025 Sb., zákona č. 290/2025 Sb., zákona č. 300/2025 Sb. a zákona č. 360/2025 Sb., se mění takto:

1. V § 70 odst. 1 se na konci textu písmene e) slovo „a“ zrušuje.

2. V § 70 se na konci odstavce 1 tečka nahrazuje slovem „a“ a doplňuje se písmeno h), které zní:

„h) k zajištění řízeného přístupu k datům za účelem plnění povinností Ústavu zdravotnických informací a statistiky České republiky (dále jen „statistický ústav“) podle zákona o správě dat a o řízeném přístupu k datům.“.

3. V § 70 odst. 3 se slova „Ústav zdravotnických informací a statistiky České republiky (dále jen „statistický ústav“)“ nahrazují slovy „statistický ústav“.

4. V § 72 odst. 1 se za písmeno j) vkládá nové písmeno k), které zní:

„k) data pro zajištění řízeného přístupu k datům podle zákona o správě dat a o řízeném přístupu k datům,“.

5. V § 73 se na konci odstavce 8 doplňuje věta „Ustanovení části první hlavy III zákona o správě dat a o řízeném přístupu k datům se na postup podle tohoto odstavce nepoužijí.“.

Tento zákon nabývá účinnosti patnáctým dnem po jeho vyhlášení, s výjimkou ustanovení

a) § 9 odst. 1 písm. c), § 11 až 27, § 28 písm. d), e) a i), § 31 odst. 2, § 33, § 35 a § 38 až 40, která nabývají účinnosti dnem 1. ledna 2028, a

b) § 6 až 8 a § 32, která nabývají účinnosti dnem 1. ledna 2029.

Okamura v. r.

Pavel v. r.

Babiš v. r.

1) Nařízení Evropského parlamentu a Rady (EU) 2022/868 ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) 2018/1724 (akt o správě dat).

2) § 2 písm. u) a § 69b až 70 zákona č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, ve znění pozdějších předpisů.

3) Zákon č. 123/1998 Sb., o právu na informace o životním prostředí, ve znění pozdějších předpisů.