Co znamená „Oznamování porušení zabezpečení osobních údajů subjektu údajů“ podle zákona?
Klíčová fakta
- Právní základ: § 42 zákona č. 110/2019 Sb. (Zákon o zpracování osobních údajů) – úřední znění z e-Sbírky
- Judikatura: na § 42 odkazuje 1 soudní rozhodnutí (NS, ÚS, NSS a krajské soudy ve správních věcech), nejnovější z 19. 5. 2025
- Lhůta nebo doba (odst. 1): „Spravující orgán oznámí bez zbytečného odkladu porušení zabezpečení osobních údajů subjektu údajů, pokud je riziko neoprávněného…“
- Účinnost: znění beze změny od původního znění předpisu
- Aktualizováno: (stav databáze zákonů a judikatury)
Paragraf stanoví, že spravující orgán musí bez zbytečného odkladu oznámit subjektu údajů porušení zabezpečení jeho osobních údajů, pokud je vysoké riziko neoprávněného zásahu do jeho práv a svobod.
V praxi
- V oznámení musí být uvedeny alespoň informace o povaze porušení, kontaktní údaje na pověřence pro ochranu osobních údajů (pokud existuje), pravděpodobné důsledky porušení a přijatá nebo navrhovaná opatření k řešení situace.
- Pokud by přímé oznámení každému subjektu údajů bylo příliš náročné, může spravující orgán informaci zveřejnit vhodným způsobem, například na svých webových stránkách.
- Spravující orgán nemusí oznámení provést, pokud již přijal taková opatření, která znemožňují zneužití dat, nebo pokud následnými kroky významně snížil riziko pro dotčené osoby.
Judikatura
Jak soudy aplikují § 42
Konečně, zpracovávání žalobcovy fotografie jakožto osobního údaje se věnují § 79 až § 88 zákona o policii a § 24 až § 42 zákona č. 110/2019 Sb., o zpracování osobních údajů.
Co říká § 42 – Zákon o zpracování osobních údajů
§ 42 Oznamování porušení zabezpečení osobních údajů subjektu údajů
(1) Spravující orgán oznámí bez zbytečného odkladu porušení zabezpečení osobních údajů subjektu údajů, pokud je riziko neoprávněného zásahu do práv a svobod subjektu údajů plynoucí z tohoto porušení vysoké.
(2) V oznámení spravující orgán uvede alespoň údaje uvedené v § 41 odst. 3 písm. a) a c) až e).
(3) Pokud by oznámení subjektu údajů podle odstavce 1 vyžadovalo nepřiměřené úsilí, spravující orgán oznámení vhodným způsobem zveřejní.
(4) Spravující orgán není povinen porušení zabezpečení osobních údajů oznámit, pokud
a) provedená technická a organizační opatření zajišťují, že dotčené osobní údaje nelze zneužít, nebo
b) následná opatření spravujícího orgánu významně snížila riziko neoprávněného zásahu do práv a svobod subjektu údajů.
(5) O existenci vysokého rizika neoprávněného zásahu do práv a svobod subjektu údajů nebo o splnění podmínek podle odstavce 4 může rozhodnout také Úřad.
(6) Spravující orgán porušení zabezpečení osobních údajů neoznámí, popřípadě oznámí pouze částečně, pokud by oznámením došlo k ohrožení podle § 28 odst. 2.
Související otázky
Na co si dát pozor
- Úřad pro ochranu osobních údajů může rozhodnout o tom, zda existuje vysoké riziko neoprávněného zásahu, nebo zda byly splněny podmínky pro neoznámení.
- Oznámení se neprovádí, nebo se provede pouze částečně, pokud by tím došlo k ohrožení podle § 28 odst. 2 (například ohrožení bezpečnosti státu, veřejné bezpečnosti, obrany, předcházení, vyšetřování, odhalování či stíhání trestných činů).
Navazující ustanovení
Zákon o zpracování osobních údajů – přehled paragrafůIT právo a ochrana datVšechny právní otázky