Zákon o správě dat, o řízeném přístupu k datům a o změně některých souvisejících zákonů (zákon o správě dat a o řízeném přístupu k datům)

(1) Agentura kontroluje, zda správci dat dodržují povinnosti stanovené tímto zákonem a nařízením o evropské správě dat. Zjistí-li Agentura při kontrole u správce dat nedostatky v dodržování těchto povinností, může uložit správci dat, aby přijal opatření k nápravě. Správce dat přijme opatření k nápravě ve lhůtě stanovené Agenturou, která nesmí být delší než 6 měsíců.

(2) Povolující správní orgán kontroluje, zda osoba, které byl řízený přístup k datům zajištěn, dodržuje povinnosti vyplývající z tohoto zákona, nařízení o evropské správě dat a z rozhodnutí o povolení řízeného přístupu k datům. Zjistí-li povolující správní orgán při kontrole nedostatky v dodržování těchto povinností, může uložit osobě, které byl řízený přístup k datům zajištěn, aby přijala opatření k nápravě. Pokud vyjde v průběhu kontroly najevo, že osoba, které byl řízený přístup k datům zajištěn, neoprávněně využívá poskytnuté osobní údaje, povolující správní orgán neprodleně informuje Úřad pro ochranu osobních údajů.

(1) Správce dat se dopustí přestupku tím, že

a) v rozporu s § 7 odst. 2 neudržuje lokální katalog dat v aktuálním stavu,

b) v rozporu s § 8 odst. 1 nebo 2 nevytvoří datový slovník, nebo

c) nesplní opatření k nápravě uložené Agenturou podle § 31 odst. 1.

(2) Za přestupek podle odstavce 1 lze uložit pokutu do

a) 100 000 Kč, jde-li o přestupek podle odstavce 1 písm. c),

b) 200 000 Kč, jde-li o přestupek podle odstavce 1 písm. a), nebo

c) 500 000 Kč, jde-li o přestupek podle odstavce 1 písm. b).

(1) Osoba, které byl povolen řízený přístup k datům, se dopustí přestupku tím, že

a) v rozporu s § 26 odst. 1 písm. a) provede opětovnou identifikaci dotčeného subjektu údajů,

b) v rozporu s § 26 odst. 1 písm. b) provede neoprávněné propojení dat,

c) v rozporu s § 26 odst. 1 písm. c) použije data k jinému účelu, než pro který byla poskytnuta,

d) v rozporu s § 26 odst. 1 písm. d) poruší technické zabezpečení řízeného přístupu k datům,

e) v rozporu s § 26 odst. 3 písm. a) nepřijme technická nebo provozní opatření s cílem zabránit opětovné identifikaci dotčených subjektů údajů,

f) v rozporu s § 26 odst. 3 písm. b) neseznámí fyzické osoby, které budou mít přístup k datům, s povinnostmi využití řízeného přístupu k datům nebo nepředloží jejich písemné prohlášení o důvěrnosti dat povolujícímu správnímu orgánu,

g) v rozporu s § 26 odst. 3 písm. c) nedodrží některou z podmínek stanovených v rozhodnutí o povolení řízeného přístupu k datům,

h) v rozporu s § 26 odst. 3 písm. d) neoznámí Agentuře nebo správci dat porušení ochrany dat, které vedlo nebo může vést k opětovné identifikaci dotčeného subjektu údajů, nebo

i) poruší povinnost týkající se předávání neosobních údajů do třetích zemí podle čl. 5 odst. 14 a čl. 31 nařízení o evropské správě dat.

(2) Fyzická osoba, která má přístup k datům na základě prohlášení o důvěrnosti podle § 26 odst. 3 písm. b), se dopustí přestupku tím, že

a) v rozporu s § 26 odst. 1 písm. a) provede opětovnou identifikaci dotčeného subjektu údajů,

b) v rozporu s § 26 odst. 1 písm. b) provede neoprávněné propojení dat,

c) v rozporu s § 26 odst. 1 písm. c) použije data k jinému účelu, než pro který byla poskytnuta,

d) v rozporu s § 26 odst. 1 písm. d) poruší technické zabezpečení řízeného přístupu k datům, nebo

e) poruší povinnost týkající se předávání neosobních údajů do třetích zemí podle čl. 5 odst. 14 a čl. 31 nařízení o evropské správě dat.

(3) Za přestupek lze uložit pokutu do

a) 5 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. g) nebo h), nebo

b) 10 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) až f) nebo i) nebo odstavce 2.

(1) Přestupky podle tohoto zákona projednává Agentura.

(2) Pokuty vybírá a vymáhá Agentura.

Agentura vydá vyhlášku podle § 23 odst. 3.

Agentura nejpozději do 3 měsíců ode dne nabytí účinnosti tohoto zákona zveřejní na svých internetových stránkách otevřenou formální normu pro stanovení

a) struktury a podrobností podoby lokálního katalogu dat a

b) struktury a náležitostí datových slovníků.

V § 16m zákona č. 269/1994 Sb., o rejstříku trestů a evidenci přestupků, ve znění zákona č. 427/2023 Sb., se odstavce 2 až 4 zrušují a zároveň se zrušuje označení odstavce 1.

V § 17 odst. 1 zákona č. 89/1995 Sb., o státní statistické službě, ve znění zákona č. 411/2000 Sb., zákona č. 81/2004 Sb. a zákona č. 230/2006 Sb., se na konci textu písmene f) doplňují slova „ , a na poskytnutí těchto údajů se ustanovení části první hlavy III zákona o správě dat a o řízeném přístupu k datům nepoužijí“.

V položce 3 přílohy k zákonu č. 634/2004 Sb., o správních poplatcích, ve znění zákona č. 81/2006 Sb., zákona č. 109/2006 Sb., zákona č. 112/2006 Sb., zákona č. 269/2007 Sb., zákona č. 239/2008 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 255/2011 Sb., zákona č. 262/2011 Sb., zákona č. 274/2012 Sb., zákona č. 428/2012 Sb., zákona č. 249/2014 Sb., zákona č. 318/2015 Sb., zákona č. 295/2017 Sb., zákona č. 279/2019 Sb., zákona č. 270/2021 Sb., zákona č. 349/2023 Sb., zákona č. 414/2023 Sb., zákona č. 125/2024 Sb., zákona č. 237/2024 Sb. a zákona č. 278/2024 Sb., se doplňuje písmeno l), které zní:

„l)Přijetí žádosti o povolení řízeného přístupu k datůmKč 3 000“.

Zákon č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování (zákon o zdravotních službách), ve znění zákona č. 167/2012 Sb., nálezu Ústavního soudu, vyhlášeného pod č. 437/2012 Sb., zákona č. 66/2013 Sb., zákona č. 303/2013 Sb., zákona č. 60/2014 Sb., zákona č. 205/2015 Sb., zákona č. 47/2016 Sb., zákona č. 126/2016 Sb., zákona č. 147/2016 Sb., zákona č. 189/2016 Sb., zákona č. 192/2016 Sb., zákona č. 264/2016 Sb., zákona č. 298/2016 Sb., zákona č. 65/2017 Sb., zákona č. 183/2017 Sb., zákona č. 193/2017 Sb., zákona č. 206/2017 Sb., zákona č. 251/2017 Sb., zákona č. 290/2017 Sb., zákona č. 44/2019 Sb., zákona č. 45/2019 Sb., zákona č. 111/2019 Sb., zákona č. 255/2019 Sb., zákona č. 262/2019 Sb., zákona č. 277/2019 Sb., zákona č. 165/2020 Sb., zákona č. 261/2021 Sb., zákona č. 326/2021 Sb., zákona č. 363/2021 Sb., zákona č. 371/2021 Sb., zákona č. 374/2021 Sb., zákona č. 412/2023 Sb., zákona č. 240/2024 Sb., zákona č. 242/2024 Sb., zákona č. 278/2024 Sb., zákona č. 38/2025 Sb., zákona č. 77/2025 Sb., zákona č. 236/2025 Sb., zákona č. 270/2025 Sb., zákona č. 290/2025 Sb., zákona č. 300/2025 Sb. a zákona č. 360/2025 Sb., se mění takto:

1. V § 70 odst. 1 se na konci textu písmene e) slovo „a“ zrušuje.

2. V § 70 se na konci odstavce 1 tečka nahrazuje slovem „a“ a doplňuje se písmeno h), které zní:

„h) k zajištění řízeného přístupu k datům za účelem plnění povinností Ústavu zdravotnických informací a statistiky České republiky (dále jen „statistický ústav“) podle zákona o správě dat a o řízeném přístupu k datům.“.

3. V § 70 odst. 3 se slova „Ústav zdravotnických informací a statistiky České republiky (dále jen „statistický ústav“)“ nahrazují slovy „statistický ústav“.

4. V § 72 odst. 1 se za písmeno j) vkládá nové písmeno k), které zní:

„k) data pro zajištění řízeného přístupu k datům podle zákona o správě dat a o řízeném přístupu k datům,“.

5. V § 73 se na konci odstavce 8 doplňuje věta „Ustanovení části první hlavy III zákona o správě dat a o řízeném přístupu k datům se na postup podle tohoto odstavce nepoužijí.“.

Tento zákon nabývá účinnosti patnáctým dnem po jeho vyhlášení, s výjimkou ustanovení

a) § 9 odst. 1 písm. c), § 11 až 27, § 28 písm. d), e) a i), § 31 odst. 2, § 33, § 35 a § 38 až 40, která nabývají účinnosti dnem 1. ledna 2028, a

b) § 6 až 8 a § 32, která nabývají účinnosti dnem 1. ledna 2029.

Okamura v. r.

Pavel v. r.

Babiš v. r.

1) Nařízení Evropského parlamentu a Rady (EU) 2022/868 ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) 2018/1724 (akt o správě dat).

2) § 2 písm. u) a § 69b až 70 zákona č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, ve znění pozdějších předpisů.

3) Zákon č. 123/1998 Sb., o právu na informace o životním prostředí, ve znění pozdějších předpisů.