Zákon o správě dat, o řízeném přístupu k datům a o změně některých souvisejících zákonů (zákon o správě dat a o řízeném přístupu k datům)

(1) Žadatel uhradí povolujícímu správnímu orgánu náklady spojené se zajištěním řízeného přístupu k datům v rozsahu podle čl. 6 odst. 5 nařízení o evropské správě dat. Náklady spojenými se zajištěním řízeného přístupu k datům se rozumí náklady související s rozmnožováním, poskytováním a šířením dat, vypořádáním práv, anonymizací nebo pseudonymizací dat, údržbou bezpečného zpracovatelského prostředí, získáním práva povolit opakované použití dat od třetích stran nebo získáváním souhlasu od subjektu údajů a svolení držitelů dat, jejichž práva a zájmy mohou být opakovaným použitím dat dotčeny.

(2) Povolující správní orgán písemně oznámí vyčíslení nákladů a výši úhrady žadateli před vydáním rozhodnutí o povolení řízeného přístupu a vyzve jej k zaplacení úhrady. Z oznámení musí být zřejmé, na základě jakých skutečností a jakým způsobem byla výše úhrady správcem dat vyčíslena. Úhrada nákladů nesmí přesáhnout skutečné náklady zajištění řízeného přístupu k datům. V případě, že v souvislosti se zajištěním řízeného přístupu k datům nevzniknou žádné náklady, povolující správní orgán oznámí tuto skutečnost žadateli.

(3) Podrobná kritéria pro výpočet výše úhrady nákladů podle odstavce 1 stanoví prováděcí právní předpis. Správci dat zveřejní na svých internetových stránkách popis hlavních kategorií nákladů a pravidel použitých k rozvržení nákladů.

(4) Pokud žadatel neuhradí náklady nejpozději do 30 dnů ode dne doručení výzvy k zaplacení, povolující správní orgán žádost zamítne.

(5) Úhrada nákladů je příjmem povolujícího správního orgánu. V případě, že je do zajištění řízeného přístupu k datům zapojeno více správců dat, povolující správní orgán rozdělí úhradu nákladů poměrně podle míry vynaložených nákladů.

Povolující správní orgán, příslušný subjekt nebo Agentura zajistí řízený přístup k datům na základě rozhodnutí o povolení řízeného přístupu.

(1) Povolující správní orgán zruší rozhodnutí o povolení řízeného přístupu k datům, jestliže o to osoba, které byl řízený přístup k datům povolen, požádá.

(2) Povolující správní orgán zruší rozhodnutí o povolení řízeného přístupu k datům, jestliže

a) osoba, které byl řízený přístup k datům zajištěn, opakovaně nebo závažným způsobem porušila některou z povinností vyplývajících z tohoto zákona, z nařízení o evropské správě dat nebo z rozhodnutí o povolení řízeného přístupu k datům,

b) bezpečnost poskytnutých dat byla ohrožena nebo poskytnutá data byla použita k jinému účelu, než ke kterému byla poskytnuta, nebo

c) osoba, které byl řízený přístup k datům zajištěn, nesplní opatření k nápravě podle § 31 odst. 2.

(3) Povolující správní orgán na žádost nebo z moci úřední změní rozhodnutí o povolení řízeného přístupu k datům, jestliže je vzhledem k účelu žádosti nebo ochraně poskytovaných dat nezbytné upravit podmínky v rozhodnutí.

(1) Osobě, které byl řízený přístup k datům povolen, je zakázáno

a) provést opětovnou identifikaci dotčeného subjektu údajů,

b) provést neoprávněné propojení dat,

c) použít data k jinému účelu, než pro který byla poskytnuta, nebo

d) porušit technické zabezpečení řízeného přístupu k datům.

(2) Povinnosti podle odstavce 1 se vztahují i na fyzickou osobu, která má k poskytnutým datům přístup na základě prohlášení o důvěrnosti podle odstavce 3 písm. b).

(3) Osoba, které byl řízený přístup k datům povolen, je povinna

a) přijmout technická a provozní opatření s cílem zabránit opětovné identifikaci dotčených subjektů údajů,

b) seznámit fyzické osoby, které budou mít přístup k datům, s povinnostmi využití řízeného přístupu k datům a předložit před zajištěním řízeného přístupu povolujícímu správnímu orgánu písemné prohlášení těchto osob o důvěrnosti dat,

c) dodržovat podmínky stanovené v rozhodnutí o povolení řízeného přístupu k datům a

d) oznámit Agentuře a správci dat porušení ochrany dat, které vedlo nebo může vést k opětovné identifikaci dotčených subjektů údajů.

(1) Povolující správní orgán zajistí řízený přístup k datům na vyžádání organizačním složkám státu, je-li takový přístup nezbytný za účelem tvorby politik veřejné správy a jejich vyhodnocování, hodnocení dopadů regulace nebo analýzy výkonu veřejné správy.

(2) Podrobnosti řízeného přístupu k datům podle odstavce 1 upraví povolující správní orgán a organizační složka státu, která si zajištění řízeného přístupu k datům vyžádala, vzájemnou dohodou.

(3) Řízeným přístupem k datům zajištěným organizační složce státu lze poskytnout pouze anonymizovaná data nebo data poskytnutá ve formě, která umožňuje pouze nepřímou identifikaci osoby, které se poskytovaná data týkají.

(4) Pokud jsou data požadovaná podle odstavce 1 osobními údaji, povolující správní orgán posoudí vliv řízeného přístupu k datům na ochranu osobních údajů.

Agentura

a) koordinuje a vytváří podmínky pro rozvoj oblasti správy dat,

b) vydává vyjádření podle § 18 odst. 2 a zajišťuje podporu v oblasti řízeného přístupu k datům,

c) zveřejňuje otevřené formální normy a jejich návrhy způsobem umožňujícím dálkový přístup,

d) rozhoduje o žádostech o povolení řízeného přístupu k datům podle § 12 písm. b),

e) rozhoduje o odvolání proti rozhodnutí o žádosti o povolení řízeného přístupu k datům,

f) je jednotným informačním místem podle čl. 8 odst. 1 nařízení o evropské správě dat,

g) zveřejňuje na svých internetových stránkách informace podle čl. 5 odst. 1 a čl. 8 odst. 1 nařízení o evropské správě dat,

h) zajišťuje napojení na evropské jednotné přístupové místo podle čl. 8 odst. 4 nařízení o evropské správě dat,

i) zveřejňuje prostřednictvím národního katalogu dat elektronický formulář pro podání žádosti o povolení řízeného přístupu k datům podle čl. 8 odst. 2 nařízení o evropské správě dat a

j) oznamuje Evropské komisi příslušné subjekty podle čl. 7 nařízení o evropské správě dat a změny těchto subjektů.

(1) Příslušným subjektem podle čl. 7 nařízení o evropské správě dat je

a) Ministerstvo práce a sociálních věcí pro oblast dat o sociálním zabezpečení, zaměstnanosti a sociální politice,

b) Český statistický úřad pro oblast statistických dat,

c) Generální finanční ředitelství pro oblast dat o daních a

d) Ústav zdravotnických informací a statistiky České republiky pro oblast zdravotnických dat a statistik.

(2) Ústav zdravotnických informací a statistiky České republiky zajišťuje přístup k datům podle § 12 písm. c) prostřednictvím Národního zdravotnického informačního systému.

Dotčený správce dat nebo příslušný subjekt je příslušný k vydání závazného stanoviska, ve kterém posoudí možnosti a podmínky zajištění řízeného přístupu k datům a které je podkladem pro rozhodnutí povolujícího správního orgánu podle § 17. Dotčený správce dat nebo příslušný subjekt poskytuje povolujícímu správnímu orgánu všechny informace důležité pro řízení.

(1) Agentura kontroluje, zda správci dat dodržují povinnosti stanovené tímto zákonem a nařízením o evropské správě dat. Zjistí-li Agentura při kontrole u správce dat nedostatky v dodržování těchto povinností, může uložit správci dat, aby přijal opatření k nápravě. Správce dat přijme opatření k nápravě ve lhůtě stanovené Agenturou, která nesmí být delší než 6 měsíců.

(2) Povolující správní orgán kontroluje, zda osoba, které byl řízený přístup k datům zajištěn, dodržuje povinnosti vyplývající z tohoto zákona, nařízení o evropské správě dat a z rozhodnutí o povolení řízeného přístupu k datům. Zjistí-li povolující správní orgán při kontrole nedostatky v dodržování těchto povinností, může uložit osobě, které byl řízený přístup k datům zajištěn, aby přijala opatření k nápravě. Pokud vyjde v průběhu kontroly najevo, že osoba, které byl řízený přístup k datům zajištěn, neoprávněně využívá poskytnuté osobní údaje, povolující správní orgán neprodleně informuje Úřad pro ochranu osobních údajů.

(1) Správce dat se dopustí přestupku tím, že

a) v rozporu s § 7 odst. 2 neudržuje lokální katalog dat v aktuálním stavu,

b) v rozporu s § 8 odst. 1 nebo 2 nevytvoří datový slovník, nebo

c) nesplní opatření k nápravě uložené Agenturou podle § 31 odst. 1.

(2) Za přestupek podle odstavce 1 lze uložit pokutu do

a) 100 000 Kč, jde-li o přestupek podle odstavce 1 písm. c),

b) 200 000 Kč, jde-li o přestupek podle odstavce 1 písm. a), nebo

c) 500 000 Kč, jde-li o přestupek podle odstavce 1 písm. b).

(1) Osoba, které byl povolen řízený přístup k datům, se dopustí přestupku tím, že

a) v rozporu s § 26 odst. 1 písm. a) provede opětovnou identifikaci dotčeného subjektu údajů,

b) v rozporu s § 26 odst. 1 písm. b) provede neoprávněné propojení dat,

c) v rozporu s § 26 odst. 1 písm. c) použije data k jinému účelu, než pro který byla poskytnuta,

d) v rozporu s § 26 odst. 1 písm. d) poruší technické zabezpečení řízeného přístupu k datům,

e) v rozporu s § 26 odst. 3 písm. a) nepřijme technická nebo provozní opatření s cílem zabránit opětovné identifikaci dotčených subjektů údajů,

f) v rozporu s § 26 odst. 3 písm. b) neseznámí fyzické osoby, které budou mít přístup k datům, s povinnostmi využití řízeného přístupu k datům nebo nepředloží jejich písemné prohlášení o důvěrnosti dat povolujícímu správnímu orgánu,

g) v rozporu s § 26 odst. 3 písm. c) nedodrží některou z podmínek stanovených v rozhodnutí o povolení řízeného přístupu k datům,

h) v rozporu s § 26 odst. 3 písm. d) neoznámí Agentuře nebo správci dat porušení ochrany dat, které vedlo nebo může vést k opětovné identifikaci dotčeného subjektu údajů, nebo

i) poruší povinnost týkající se předávání neosobních údajů do třetích zemí podle čl. 5 odst. 14 a čl. 31 nařízení o evropské správě dat.

(2) Fyzická osoba, která má přístup k datům na základě prohlášení o důvěrnosti podle § 26 odst. 3 písm. b), se dopustí přestupku tím, že

a) v rozporu s § 26 odst. 1 písm. a) provede opětovnou identifikaci dotčeného subjektu údajů,

b) v rozporu s § 26 odst. 1 písm. b) provede neoprávněné propojení dat,

c) v rozporu s § 26 odst. 1 písm. c) použije data k jinému účelu, než pro který byla poskytnuta,

d) v rozporu s § 26 odst. 1 písm. d) poruší technické zabezpečení řízeného přístupu k datům, nebo

e) poruší povinnost týkající se předávání neosobních údajů do třetích zemí podle čl. 5 odst. 14 a čl. 31 nařízení o evropské správě dat.

(3) Za přestupek lze uložit pokutu do

a) 5 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. g) nebo h), nebo

b) 10 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) až f) nebo i) nebo odstavce 2.

(1) Přestupky podle tohoto zákona projednává Agentura.

(2) Pokuty vybírá a vymáhá Agentura.

Agentura vydá vyhlášku podle § 23 odst. 3.

Agentura nejpozději do 3 měsíců ode dne nabytí účinnosti tohoto zákona zveřejní na svých internetových stránkách otevřenou formální normu pro stanovení

a) struktury a podrobností podoby lokálního katalogu dat a

b) struktury a náležitostí datových slovníků.

V § 16m zákona č. 269/1994 Sb., o rejstříku trestů a evidenci přestupků, ve znění zákona č. 427/2023 Sb., se odstavce 2 až 4 zrušují a zároveň se zrušuje označení odstavce 1.

V § 17 odst. 1 zákona č. 89/1995 Sb., o státní statistické službě, ve znění zákona č. 411/2000 Sb., zákona č. 81/2004 Sb. a zákona č. 230/2006 Sb., se na konci textu písmene f) doplňují slova „ , a na poskytnutí těchto údajů se ustanovení části první hlavy III zákona o správě dat a o řízeném přístupu k datům nepoužijí“.

V položce 3 přílohy k zákonu č. 634/2004 Sb., o správních poplatcích, ve znění zákona č. 81/2006 Sb., zákona č. 109/2006 Sb., zákona č. 112/2006 Sb., zákona č. 269/2007 Sb., zákona č. 239/2008 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 255/2011 Sb., zákona č. 262/2011 Sb., zákona č. 274/2012 Sb., zákona č. 428/2012 Sb., zákona č. 249/2014 Sb., zákona č. 318/2015 Sb., zákona č. 295/2017 Sb., zákona č. 279/2019 Sb., zákona č. 270/2021 Sb., zákona č. 349/2023 Sb., zákona č. 414/2023 Sb., zákona č. 125/2024 Sb., zákona č. 237/2024 Sb. a zákona č. 278/2024 Sb., se doplňuje písmeno l), které zní:

„l)Přijetí žádosti o povolení řízeného přístupu k datůmKč 3 000“.

Zákon č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování (zákon o zdravotních službách), ve znění zákona č. 167/2012 Sb., nálezu Ústavního soudu, vyhlášeného pod č. 437/2012 Sb., zákona č. 66/2013 Sb., zákona č. 303/2013 Sb., zákona č. 60/2014 Sb., zákona č. 205/2015 Sb., zákona č. 47/2016 Sb., zákona č. 126/2016 Sb., zákona č. 147/2016 Sb., zákona č. 189/2016 Sb., zákona č. 192/2016 Sb., zákona č. 264/2016 Sb., zákona č. 298/2016 Sb., zákona č. 65/2017 Sb., zákona č. 183/2017 Sb., zákona č. 193/2017 Sb., zákona č. 206/2017 Sb., zákona č. 251/2017 Sb., zákona č. 290/2017 Sb., zákona č. 44/2019 Sb., zákona č. 45/2019 Sb., zákona č. 111/2019 Sb., zákona č. 255/2019 Sb., zákona č. 262/2019 Sb., zákona č. 277/2019 Sb., zákona č. 165/2020 Sb., zákona č. 261/2021 Sb., zákona č. 326/2021 Sb., zákona č. 363/2021 Sb., zákona č. 371/2021 Sb., zákona č. 374/2021 Sb., zákona č. 412/2023 Sb., zákona č. 240/2024 Sb., zákona č. 242/2024 Sb., zákona č. 278/2024 Sb., zákona č. 38/2025 Sb., zákona č. 77/2025 Sb., zákona č. 236/2025 Sb., zákona č. 270/2025 Sb., zákona č. 290/2025 Sb., zákona č. 300/2025 Sb. a zákona č. 360/2025 Sb., se mění takto:

1. V § 70 odst. 1 se na konci textu písmene e) slovo „a“ zrušuje.

2. V § 70 se na konci odstavce 1 tečka nahrazuje slovem „a“ a doplňuje se písmeno h), které zní:

„h) k zajištění řízeného přístupu k datům za účelem plnění povinností Ústavu zdravotnických informací a statistiky České republiky (dále jen „statistický ústav“) podle zákona o správě dat a o řízeném přístupu k datům.“.

3. V § 70 odst. 3 se slova „Ústav zdravotnických informací a statistiky České republiky (dále jen „statistický ústav“)“ nahrazují slovy „statistický ústav“.

4. V § 72 odst. 1 se za písmeno j) vkládá nové písmeno k), které zní:

„k) data pro zajištění řízeného přístupu k datům podle zákona o správě dat a o řízeném přístupu k datům,“.

5. V § 73 se na konci odstavce 8 doplňuje věta „Ustanovení části první hlavy III zákona o správě dat a o řízeném přístupu k datům se na postup podle tohoto odstavce nepoužijí.“.

Tento zákon nabývá účinnosti patnáctým dnem po jeho vyhlášení, s výjimkou ustanovení

a) § 9 odst. 1 písm. c), § 11 až 27, § 28 písm. d), e) a i), § 31 odst. 2, § 33, § 35 a § 38 až 40, která nabývají účinnosti dnem 1. ledna 2028, a

b) § 6 až 8 a § 32, která nabývají účinnosti dnem 1. ledna 2029.

Okamura v. r.

Pavel v. r.

Babiš v. r.

1) Nařízení Evropského parlamentu a Rady (EU) 2022/868 ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) 2018/1724 (akt o správě dat).

2) § 2 písm. u) a § 69b až 70 zákona č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, ve znění pozdějších předpisů.

3) Zákon č. 123/1998 Sb., o právu na informace o životním prostředí, ve znění pozdějších předpisů.