Co znamená „Ohlašování porušení zabezpečení osobních údajů Úřadu“ podle zákona?

Paragraf 41 zákona o zpracování osobních údajů stanoví povinnost spravujícího orgánu ohlásit Úřadu pro ochranu osobních údajů porušení zabezpečení osobních údajů, pokud není riziko pro práva a svobody subjektu údajů nízké, a to bez zbytečného odkladu.

Zdroj: § 41 zákon o zpracování osobních údajů – plné znění s výkladem. Odpověď je generovaná z textu zákona, orientační.

• Lhůta pro ohlášení: Ohlášení musí proběhnout bez zbytečného odkladu, ideálně do 72 hodin od zjištění porušení. Pokud je lhůta překročena, je nutné zdůvodnit prodlení.
• Obsah ohlášení: V ohlášení je potřeba uvést podrobnosti o povaze porušení, počtu dotčených subjektů a záznamů, kontaktní údaje pro další informace, pravděpodobné důsledky a přijatá nebo navržená opatření.
• Dokumentace: Spravující orgán musí vést záznamy o každém porušení, jeho důsledcích a nápravných opatřeních a uchovávat je nejméně 3 roky.

Dále uvedl, že žalobcem citovaná důvodová zpráva k ustanovením § 41 až 47 zákona č. 110/2019 Sb. sice skutečně připouští, že by Hlavu IV tohoto zákona bylo možno aplikovat i na zpracování, u nichž je to odůvodněno podmínkami, ve kterých probíhají (např. zpracování za krizového stavu, při požáru apod.), nicméně Policie osobní údaje zpracovávala ve strukturované podobě.

6 A 83/2023 · Městský soud v Praze · 20. 6. 2024

Výňatky z odůvodnění rozhodnutí, která toto ustanovení citují. Celý kontext najdete v textu rozhodnutí.

§ 41 Ohlašování porušení zabezpečení osobních údajů Úřadu

(1) Spravující orgán ohlásí bez zbytečného odkladu porušení zabezpečení osobních údajů Úřadu, ledaže je riziko neoprávněného zásahu do práv a svobod subjektu údajů nízké.

(2) Pokud spravující orgán provede ohlášení po více než 72 hodinách od okamžiku, kdy se o něm dozvěděl, připojí k němu odůvodnění tohoto prodlení.

(3) V ohlášení podle odstavce 1 spravující orgán uvede, pokud jsou mu tyto údaje známy, alespoň

a) popis povahy porušení zabezpečení osobních údajů,

b) kategorie a přibližný počet subjektů údajů a záznamů osobních údajů, kterých se porušení zabezpečení týká,

c) jméno a kontaktní údaje pověřence nebo jiného pracoviště, které poskytne bližší informace k porušení zabezpečení osobních údajů,

d) popis pravděpodobných důsledků porušení zabezpečení osobních údajů a

e) popis opatření přijatých nebo navržených spravujícím orgánem k nápravě nebo zmírnění újmy způsobené porušením zabezpečení osobních údajů.

(4) Skutečnosti podle odstavce 3, které mu nebyly v době ohlášení známy, spravující orgán doplní bez zbytečného odkladu poté, co se o nich dozví.

(5) Skutečnosti podle odstavce 3 sdělí spravující orgán též osobě nebo orgánu jiného členského státu Evropské unie, který osobní údaje poskytl nebo obdržel.

(6) Spravující orgán vede o každém porušení zabezpečení osobních údajů, jeho důsledcích a přijatých nápravných opatřeních dokumentaci, kterou uchovává nejméně 3 roky.

Paragraf s výkladem a judikaturou

Zákon o zpracování osobních údajů – přehled paragrafůIT právo a ochrana datVšechny právní otázky

Řešíte konkrétní dopis či spor? Analýza dokumentu