Zákon o ochraně osobních údajů a o změně některých zákonů

§ 1

účinné od 1. 6. 2000Předmět úpravy

účinné od 1. 6. 2000Zákon upravuje ochranu osobních údajů o fyzických osobách, práva a povinnosti při zpracování těchto údajů a stanoví podmínky, za nichž se uskutečňuje jejich předávání do jiných států.

§ 2

účinné od 1. 6. 2000Zřizuje se Úřad pro ochranu osobních údajů se sídlem v Praze (dále jen „Úřad“).

§ 3

účinné od 1. 6. 2000Působnost zákona

účinné od 1. 6. 2000(1) Zákon se vztahuje na osobní údaje, které zpracovávají státní orgány, orgány územní samosprávy, jiné orgány veřejné moci, jakož i fyzické a právnické osoby, pokud tento zákon nebo zvláštní zákon nestanoví jinak.

účinné od 1. 6. 2000(2) Zákon se vztahuje na veškeré zpracovávání osobních údajů, ať k němu dochází automatizovaně nebo jinými prostředky.

účinné od 1. 6. 2000(3) Zákon se nevztahuje na zpracování osobních údajů, které provádí fyzická osoba výlučně pro osobní potřebu.

účinné od 1. 6. 2000(4) Zákon se nevztahuje na nahodilé shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány.

účinné od 1. 6. 2000(5) Zpracování osobních údajů pro účely statistické a archivnictví stanoví zvláštní zákony.¹)^,2)

účinné od 1. 6. 2000(6) Ustanovení § 5, 9, 11, 16 a 27 tohoto zákona se nepoužijí pro zpracování osobních údajů

1. účinné od 1. 6. 2000a) zpravodajskými službami,³)
2. účinné od 1. 6. 2000b) Policií České republiky, včetně její Národní ústředny Interpolu, při odhalování trestné činnosti,⁴)
3. účinné od 1. 6. 2000c) Ministerstvem financí v rámci finančně-analytické činnosti podle zvláštního právního předpisu,⁵)
4. účinné od 1. 6. 2000d) Národním bezpečnostním úřadem při provádění bezpečnostních prověrek podle zvláštního právního předpisu,⁶)
5. účinné od 1. 6. 2000e) Ministerstvem vnitra při vydávání osvědčení podle zvláštního právního předpisu,⁷) při vydávání krycích dokladů⁸) a při činnosti útvaru inspekce ministra vnitra.⁹)

§ 4

účinné od 1. 6. 2000Vymezení pojmů

účinné od 1. 6. 2000Pro účely tohoto zákona se rozumí

1. účinné od 1. 6. 2000a) osobním údajem jakýkoliv údaj týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze na základě jednoho či více osobních údajů přímo či nepřímo zjistit jeho identitu. O osobní údaj se nejedná, pokud je třeba ke zjištění identity subjektu údajů nepřiměřené množství času, úsilí či materiálních prostředků,
2. účinné od 1. 6. 2000b) citlivým údajem osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v politických stranách či hnutích nebo odborových či zaměstnaneckých organizacích, náboženství a filozofickém přesvědčení, trestné činnosti, zdravotním stavu a sexuálním životě subjektu údajů,
3. účinné od 1. 6. 2000c) anonymním údajem takový údaj, který buď v původním tvaru nebo po provedeném zpracování nelze vztáhnout k určenému nebo určitelnému subjektu údajů,
4. účinné od 1. 6. 2000d) subjektem údajů fyzická osoba, k níž se osobní údaje vztahují,
5. účinné od 1. 6. 2000e) zpracováním osobních údajů jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace,
6. účinné od 1. 6. 2000f) shromažďováním osobních údajů systematický postup nebo soubor postupů, jehož cílem je získání osobních údajů za účelem jejich dalšího uložení na nosič informací pro jejich okamžité nebo pozdější zpracování,
7. účinné od 1. 6. 2000g) uchováváním osobních údajů udržování údajů v takové podobě, která je umožňuje dále zpracovávat,
8. účinné od 1. 6. 2000h) blokováním osobních údajů vytvoření takového stavu, při kterém je osobní údaj určitou dobu nepřístupný a nelze jej jinak zpracovávat,
9. účinné od 1. 6. 2000i) likvidací osobních údajů se rozumí fyzické zničení jejich nosiče, jejich fyzické vymazání nebo jejich trvalé vyloučení z dalších zpracování,
10. účinné od 1. 6. 2000j) správcem každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů může správce zmocnit nebo pověřit zpracovatele, pokud zvláštní zákon nestanoví jinak,
11. účinné od 1. 6. 2000k) zpracovatelem každý subjekt, který na základě zvláštního zákona nebo pověření správcem zpracovává osobní údaje podle tohoto zákona,
12. účinné od 1. 6. 2000l) zveřejněným osobním údajem osobní údaj zpřístupněný zejména hromadnými sdělovacími prostředky, jiným veřejným sdělením nebo jako součást veřejného seznamu.

§ 5

účinné od 1. 6. 2000(1) Správce je povinen

1. účinné od 1. 6. 2000a) stanovit účel, k němuž mají být osobní údaje zpracovány,
2. účinné od 1. 6. 2000b) stanovit prostředky a způsob zpracování osobních údajů,
3. účinné od 1. 6. 2000c) zpracovávat pouze pravdivé a přesné osobní údaje, které získal v souladu s tímto zákonem. Je povinen ověřovat, zda jsou osobní údaje pravdivé a přesné. Zjistí-li správce, že jím zpracovávané údaje nejsou s ohledem na stanovený účel pravdivé a přesné, zejména k námitce subjektu údajů, je povinen je blokovat a bez zbytečného odkladu opravit nebo doplnit. Nelze-li je opravit nebo doplnit, musí je bez zbytečného odkladu zlikvidovat. Nepravdivé, nepřesné nebo neověřené osobní údaje lze zpracovávat pouze v případě, stanoví-li tak zvláštní zákon.¹⁰) Tyto údaje se musí náležitě označit a vést odděleně od ostatních osobních údajů,
4. účinné od 1. 6. 2000d) shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu,
5. účinné od 1. 6. 2000e) uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely statistické, vědecké a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů,
6. účinné od 1. 6. 2000f) zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny, pokud zvláštní zákon nestanoví jinak. Zpracovávat k jinému účelu lze osobní údaj, jen pokud k tomu dal subjekt údajů souhlas,
7. účinné od 1. 6. 2000g) shromažďovat osobní údaje pouze otevřeně; je vyloučeno shromažďovat údaje pod záminkou jiného účelu nebo jiné činnosti, pokud zvláštní zákon nestanoví jinak,
8. účinné od 1. 6. 2000h) nesdružovat osobní údaje, které byly získány k rozdílným účelům, pokud zvláštní zákon nestanoví jinak.

účinné od 1. 6. 2000(2) Správce může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je může zpracovávat,

1. účinné od 1. 6. 2000a) jestliže provádí zpracování stanovené zvláštním zákonem nebo nutné pro plnění povinností stanovených zvláštním zákonem,¹¹)
2. účinné od 1. 6. 2000b) jestliže je nezbytné, aby subjekt údajů mohl vstoupit do jednání o smluvním vztahu nebo aby plnil ujednání smlouvy uzavřené se správcem,
3. účinné od 1. 6. 2000c) pokud je to nezbytně třeba k ochraně důležitých zájmů subjektu údajů. V tomto případě je třeba bez zbytečného odkladu získat jeho souhlas. Pokud souhlas není dán, musí správce ukončit zpracování a údaje zlikvidovat,
4. účinné od 1. 6. 2000d) jedná-li se o oprávněně zveřejněné osobní údaje v souladu se zvláštním právním předpisem.¹²) Tím však není dotčeno právo na ochranu soukromého a osobního života subjektu údajů,
5. účinné od 1. 6. 2000e) pokud je to nezbytné pro ochranu práv správce; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života.

účinné od 1. 6. 2000(3) Provádí-li správce zpracování osobních údajů na základě zvláštního zákona,¹¹) je povinen dbát práva na ochranu soukromého a osobního života subjektu údajů.

účinné od 1. 6. 2000(4) Bez souhlasu subjektu údajů lze osobní údaje zpracovávat pro účely statistické nebo vědecké. Pro tyto účely zpracování je nutno osobní údaje anonymizovat, jakmile je to možné. Při zpracování osobních údajů pro tyto účely je však nutno zajistit požadovanou úroveň jejich zabezpečení podle § 13.

účinné od 1. 6. 2000(5) Souhlasem podle odstavce 2 však nemohou být dotčeny povinnosti uvedené v odstavci 1 písm. c) a g). Souhlas je třeba dát v písemné formě a musí z něho být patrné, v jakém rozsahu je poskytován, komu a k jakému účelu, na jaké období a kdo jej poskytuje. Souhlas může být kdykoliv odvolán. Tento souhlas musí správce uschovat po dobu zpracování osobních údajů, k jejichž zpracování byl dán souhlas.

účinné od 1. 6. 2000(6) Provádí-li správce nebo zpracovatel zpracování osobních údajů za účelem nabízení obchodu nebo služeb subjektu údajů, lze pro tento účel použít jméno, příjmení a adresu subjektu údajů, pokud tyto údaje byly získány z veřejného seznamu nebo v souvislosti se svojí činností jakožto správce nebo zpracovatele. Správce nebo zpracovatel však nesmí uvedené údaje dále zpracovávat, pokud s tím subjekt údajů vyslovil nesouhlas. Nesouhlas se zpracováním je nutné vyjádřit písemně. Bez souhlasu subjektu údajů nelze k uvedeným údajům přiřazovat další osobní údaje.

§ 6

účinné od 1. 6. 2000Pokud zmocnění nevyplývá z právního předpisu, může správce se zpracovatelem uzavřít smlouvu o zpracování osobních údajů. Smlouva musí mít písemnou formu, jinak je neplatná. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá. Jestliže zpracovatel ve smlouvě neposkytne dostatečné záruky o technickém a organizačním zabezpečení ochrany osobních údajů, je taková smlouva neplatná.

§ 7

účinné od 1. 6. 2000Povinnosti stanovené v § 5 platí obdobně také pro zpracovatele.

§ 8

účinné od 1. 6. 2000Jestliže zpracovatel zjistí, že správce porušuje povinnosti stanovené tímto zákonem, je povinen jej na to neprodleně upozornit a ukončit zpracování osobních údajů. Pokud tak neučiní, odpovídá za škodu, která subjektu údajů vznikla, společně a nerozdílně se správcem údajů. Tím není dotčena jeho odpovědnost podle tohoto zákona.

§ 9

účinné od 1. 6. 2000Citlivé údaje

účinné od 1. 6. 2000Citlivé údaje je možné zpracovávat, jestliže

1. účinné od 1. 6. 2000a) subjekt údajů dal ke zpracování výslovný souhlas. Souhlas musí být dán písemně, podepsán subjektem údajů a musí z něho být zřejmé, k jakým údajům je dáván, jakému správci údajů, k jakému účelu, na jaké období a kdo jej poskytuje. Souhlas může subjekt údajů kdykoliv odvolat. Správce je povinen předem subjekt údajů o jeho právech poučit. Tento souhlas musí správce uschovat po dobu zpracování osobních údajů, k jejichž zpracování byl souhlas dán,
2. účinné od 1. 6. 2000b) je to nezbytné v zájmu zachování života nebo zdraví subjektu údajů nebo jiné osoby nebo odvrácení bezprostředního závažného nebezpečí hrozícího jejich majetku, pokud není možno jeho souhlas získat zejména z důvodů fyzické, duševní či právní nezpůsobilosti, v případě, že je nezvěstný nebo z jiných podobných důvodů. Správce musí ukončit zpracování údajů, jakmile pominou uvedené důvody, a údaje musí zlikvidovat, ledaže by subjekt údajů dal k dalšímu zpracování souhlas,
3. účinné od 1. 6. 2000c) se jedná o poskytování zdravotní péče,¹³) jakož i jiné posuzování zdravotního stavu podle zvláštního právního předpisu, zejména pro účely sociálního zabezpečení,¹⁴)
4. účinné od 1. 6. 2000d) je tak stanoveno zvláštním zákonem.¹⁵)

§ 10

účinné od 1. 6. 2000Při zpracování osobních údajů správce a zpracovatel dbá, aby subjekt údajů neutrpěl újmu na svých právech, zejména na právu na zachování lidské důstojnosti, a také dbá na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů.

§ 11

účinné od 1. 6. 2000(1) Správce je povinen včas a řádně subjekt údajů informovat o tom, že o něm shromažďuje údaje, v jakém rozsahu a pro jaký účel, kdo je bude dále zpracovávat a pro jaký účel a komu mohou být zpřístupněny či komu jsou údaje určeny. Součástí této informace musí být též údaj o jeho sídle, případně o sídle zpracovatele.

účinné od 1. 6. 2000(2) Správce musí dále subjekt údajů poučit o tom, zda je podle zákona povinen pro zpracování osobní údaje poskytnout, jaké důsledky budou vyvozeny, pokud tak neučiní, a kdy je oprávněn odmítnout poskytnutí osobních údajů nebo zda poskytnutí osobních údajů je dobrovolné.

účinné od 1. 6. 2000(3) Správce musí subjekt údajů informovat o jeho právu k přístupu k osobním údajům, jakož i o dalších právech stanovených v § 21 tohoto zákona.

účinné od 1. 6. 2000(4) Jestliže správce nezískal osobní údaje od subjektu údajů, poskytne mu kromě informací podle odstavců 1 a 2 před jejich dalším zpracováním dále také informace o tom, kdo mu údaje poskytl, informace o druhu osobních údajů a také obsah těchto údajů.

účinné od 1. 6. 2000(5) Údaje podle odstavce 1 není povinen správce poskytovat, pokud

1. účinné od 1. 6. 2000a) zpracovává osobní údaje výlučně pro účely statistické, vědecké nebo archivnictví,
2. účinné od 1. 6. 2000b) zpracování osobních údajů mu ukládá zákon,
3. účinné od 1. 6. 2000c) zvláštní zákon¹⁶) stanoví, že není povinen osobní údaje poskytovat.

účinné od 1. 6. 2000(6) Rozhodnutí orgánu veřejné moci ani jiný úkon nelze bez ověření vydat nebo učinit na základě výlučně automatizovaného zpracování osobních údajů. To neplatí v případě, že takové rozhodnutí nebo úkon byly učiněny ve prospěch subjektu údajů.

účinné od 1. 6. 2000(7) Předchozími ustanoveními nejsou dotčena práva subjektu údajů požadovat informace podle zvláštních zákonů.¹⁷)

účinné od 1. 6. 2000(8) Při zpracování osobních údajů podle § 5 odst. 2 písm. e) je správce povinen bez zbytečného odkladu subjekt údajů informovat o tomto postupu.

§ 12

účinné od 1. 6. 2000(1) Informace podle § 11 odst. 1 až 4 jsou subjektu údajů podávány písemně, ve srozumitelné formě a bez zbytečného prodlení. Informace se však neposkytují, jsou-li součástí poučení podle právního předpisu.

účinné od 1. 6. 2000(2) Správce je povinen jednou za kalendářní rok bezplatně, jinak kdykoli za přiměřenou úhradu nepřevyšující náklady nezbytné na poskytnutí informace, subjektu údajů na základě písemné žádosti poskytnout informace o osobních údajích o něm zpracovávaných, pokud tento zákon nebo zvláštní zákon¹⁶) nestanoví jinak.

§ 13

účinné od 1. 6. 2000Správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.

§ 14

účinné od 1. 6. 2000Zaměstnanci správce nebo zpracovatele a jiné osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, mohou zpracovávat osobní údaje pouze za podmínek a v rozsahu správcem nebo zpracovatelem stanoveném.

§ 15

účinné od 1. 6. 2000(1) Zaměstnanci správce nebo zpracovatele, jiné fyzické osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, a další osoby, které v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele, jsou povinni zachovávat mlčenlivost o osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů. Povinnost mlčenlivosti trvá i po skončení zaměstnání nebo příslušných prací.

účinné od 1. 6. 2000(2) Ustanovením předchozího odstavce není dotčena povinnost zachovávat mlčenlivost podle zvláštních zákonů.¹⁸)

účinné od 1. 6. 2000(3) Povinnost zachovávat mlčenlivost se nevztahuje na informační povinnost podle zvláštních zákonů.¹⁹)

§ 16

účinné od 1. 12. 2000Oznamovací povinnost

účinné od 1. 12. 2000(1) Ten, kdo hodlá zpracovávat osobní údaje, je povinen tuto skutečnost oznámit Úřadu před započetím zpracovávání osobních údajů. Oznámení je povinen učinit i správce, jestliže hodlá změnit zpracování osobních údajů. Oznámení musí být učiněno písemně.

účinné od 1. 12. 2000(2) Oznámení musí obsahovat následující informace:

1. účinné od 1. 12. 2000a) název správce, adresu jeho sídla a identifikační číslo, pokud bylo přiděleno,
2. účinné od 1. 12. 2000b) účel nebo účely zpracování,
3. účinné od 1. 12. 2000c) kategorie subjektů údajů a osobních údajů, které se těchto subjektů týkají,
4. účinné od 1. 12. 2000d) zdroje osobních údajů,
5. účinné od 1. 12. 2000e) popis způsobu zpracování osobních údajů,
6. účinné od 1. 12. 2000f) místo nebo místa zpracování osobních údajů, jsou-li odlišná od adresy sídla správce,
7. účinné od 1. 12. 2000g) příjemce nebo kategorie příjemců, kterým uvedené osobní údaje mohou být zpřístupněny či sdělovány,
8. účinné od 1. 12. 2000h) předpokládané přenosy osobních údajů do jiných států,
9. účinné od 1. 12. 2000i) popis opatření k zajištění požadované ochrany osobních údajů podle § 13,
10. účinné od 1. 12. 2000j) propojení na jiné správce nebo zpracovatele.

účinné od 1. 12. 2000(3) Úřad je povinen do 30 dnů od doručení oznámení Úřadu oznamovateli sdělit, že jeho oznámení registruje, nebo vydat rozhodnutí podle § 17.

účinné od 1. 12. 2000(4) Pokud Úřad oznámení zaregistroval, může dnem registrace oznamovatel zahájit zpracování osobních údajů.

účinné od 1. 12. 2000(5) Jestliže Úřad ve lhůtě stanovené v odstavci 3 oznamovateli nesdělí, že oznámení zaregistroval, ani nevydá rozhodnutí, má se za to, že oznámení zaregistroval.

§ 17

účinné od 1. 12. 2000(1) Zjistí-li Úřad, že oznamovatel nesplňuje podmínky stanovené tímto zákonem, zpracování osobních údajů nepovolí.

účinné od 1. 12. 2000(2) Jestliže oznámení neobsahuje všechny požadované informace, vyzve Úřad oznamovatele, aby je ve stanovené lhůtě doplnil.

účinné od 1. 12. 2000(3) Vznikne-li z oznámení důvodná obava, že při zpracování osobních údajů by mohlo dojít k porušení tohoto zákona, vyzve Úřad oznamovatele, aby oznámení ve stanovené lhůtě doplnil, popřípadě může sám provést šetření na místě samém.

účinné od 1. 12. 2000(4) Po uplynutí lhůty stanovené podle odstavce 2 a 3 Úřad oznámení zaregistruje nebo vydá rozhodnutí, jímž zpracování osobních údajů nepovolí.

§ 18

účinné od 1. 6. 2000Oznamovací povinnost podle § 16 se nevztahuje na zpracování osobních údajů,

1. účinné od 1. 6. 2000a) které jsou součástí evidencí veřejně přístupných,
2. účinné od 1. 6. 2000b) jejichž zpracování je správci uloženo zákonem.²⁰)

§ 19

účinné od 1. 6. 2000Jestliže správce hodlá ukončit svoji činnost, je povinen Úřadu neprodleně oznámit, jak naložil s osobními údaji, pokud se na jejich zpracování vztahuje oznamovací povinnost.

§ 20

účinné od 1. 6. 2000Likvidace osobních údajů

účinné od 1. 6. 2000(1) Správce nebo na základě jeho pokynu zpracovatel je povinen provést likvidaci osobních údajů, jakmile pomine účel, pro který byly osobní údaje zpracovány, nebo na základě žádosti subjektu údajů podle § 21.

účinné od 1. 6. 2000(2) Zvláštní zákon stanoví výjimky týkající se uchovávání osobních údajů pro účely archivnictví a uplatňování práv v občanském soudním řízení, trestním řízení a správním řízení.

§ 21

účinné od 1. 6. 2000(1) Pokud subjekt údajů zjistí, že došlo k porušení povinností správcem nebo zpracovatelem, má právo obrátit se na Úřad s žádostí o zajištění opatření k nápravě.

účinné od 1. 6. 2000(2) Došlo-li k porušení povinností správcem nebo zpracovatelem, má subjekt údajů právo požadovat

1. účinné od 1. 6. 2000a) aby se správce či zpracovatel zdržel takového jednání, odstranil takto vzniklý stav či poskytl na svoje náklady omluvu nebo jiné zadostiučinění,
2. účinné od 1. 6. 2000b) aby správce či zpracovatel provedl opravu nebo doplnění osobních údajů tak, aby byly pravdivé a přesné,
3. účinné od 1. 6. 2000c) aby osobní údaje byly zablokovány nebo zlikvidovány,
4. účinné od 1. 6. 2000d) zaplacení peněžité náhrady, jestliže tím bylo porušeno jeho právo na lidskou důstojnost, osobní čest, dobrou pověst či právo na ochranu jména.

účinné od 1. 6. 2000(3) Odpovědnosti podle odstavce 2 se zprostí ten, kdo prokáže, že porušení povinnosti nebylo možno zabránit ani při vynaložení veškerého úsilí, které lze od něj požadovat. Přesto však může subjekt údajů požadovat, aby se správce nebo zpracovatel zdržel závadného jednání, odstranil závadný stav, provedl opravu, doplnění, blokování nebo likvidaci osobních údajů.

účinné od 1. 6. 2000(4) Způsobil-li správce nebo zpracovatel subjektu údajů škodu, odpovídají za ni společně a nerozdílně podle zvláštních právních předpisů.²¹)

účinné od 1. 6. 2000(5) Došlo-li k porušení povinností uložených tímto zákonem jak u správce, tak u zpracovatele, odpovídají za ně společně a nerozdílně. Subjekt údajů se může domáhat svých nároků u kteréhokoliv z nich.

účinné od 1. 6. 2000(6) O opatřeních provedených podle odstavce 2 písm. a) až c) je správce povinen bez zbytečného odkladu zajistit informování každého subjektu, jemuž byly v rámci zpracování osobní údaje poskytnuty, s výjimkou informací o poskytnutí omluvy či jiného zadostiučinění.

§ 22

účinné od 1. 6. 2000Právo na zablokování či likvidaci osobních údajů nemůže subjekt údajů požadovat, jestliže je správce povinen osobní údaje zpracovávat na základě zákona nebo pokud by tím mohla být způsobena újma na právech třetích osob.

§ 23

účinné od 1. 6. 2000Náprava nemajetkové újmy

účinné od 1. 6. 2000(1) Jestliže osoba, která vykonává pro správce či zpracovatele činnosti na základě smlouvy, poruší uložené povinnosti, má subjekt údajů právo požadovat,

1. účinné od 1. 6. 2000a) aby se zdržela takového jednání, odstranila takto vzniklý stav či poskytla na svoje náklady omluvu nebo jiné zadostiučinění,
2. účinné od 1. 6. 2000b) aby zlikvidovala osobní údaje, které neoprávněně zpracovává,
3. účinné od 1. 6. 2000c) aby zaplatila peněžitou náhradu újmy, která vznikla porušením jeho práva na lidskou důstojnost, osobní čest, dobrou pověst či práva na ochranu jména.

účinné od 1. 6. 2000(2) Neposkytne-li tato osoba na svoje náklady omluvu nebo jiné zadostiučinění nebo nezaplatí peněžitou náhradu, je povinen za ni tuto povinnost splnit správce nebo zpracovatel.

účinné od 1. 6. 2000(3) Poruší-li uložené povinnosti osoba, která je ke správci nebo zpracovateli v pracovním poměru, řídí se její odpovědnost zákoníkem práce.

§ 24

účinné od 1. 6. 2000Osoby uvedené v § 23 se odpovědnosti zprostí, pokud prokáží, že porušení předpisů nezavinily. Přesto však může subjekt údajů požadovat, aby se zdržely jednání porušujícího stanovené povinnosti, odstranily stav z takového jednání vzniklý a zlikvidovaly osobní údaje, které neoprávněně zpracovávají.

§ 25

účinné od 1. 6. 2000Náhrada škody

účinné od 1. 6. 2000V otázkách neupravených tímto zákonem se použije obecná úprava odpovědnosti za škodu.²²),²³)

§ 26

účinné od 1. 6. 2000Povinnosti podle § 21 až 25 se obdobně vztahují i na osoby, které shromáždily osobní údaje neoprávněně.

§ 27

účinné od 1. 6. 2000(1) Do jiných států mohou být osobní údaje předány za podmínky, že právní úprava státu, kde mají být zpracovány, odpovídá požadavkům stanoveným v tomto zákoně.

účinné od 1. 6. 2000(2) Není-li podmínka podle odstavce 1 splněna, může být předávání osobních údajů uskutečněno, jestliže

1. účinné od 1. 6. 2000a) předávání údajů se děje se souhlasem nebo na základě pokynu subjektu údajů, který je oprávněn jej učinit,
2. účinné od 1. 6. 2000b) je to nezbytné k ochraně práv nebo uplatňování nároků subjektu údajů,
3. účinné od 1. 6. 2000c) jde o osobní údaje, které jsou součástí evidencí veřejně přístupných nebo přístupných těm, kdo prokáží právní zájem, avšak jen pokud se týče individuálně určeného údaje nebo údajů,
4. účinné od 1. 6. 2000d) předávání vyplývá z mezinárodní smlouvy, jíž je Česká republika vázána,
5. účinné od 1. 6. 2000e) předávání je nutné pro uzavření nebo plnění smlouvy mezi subjektem údajů a správcem nebo smlouvy, která je uzavírána v zájmu subjektu údajů, nebo
6. účinné od 1. 6. 2000f) je to nezbytné pro záchranu života nebo pro poskytnutí zdravotní péče subjektu údajů.

účinné od 1. 6. 2000(3) Předávání osobních údajů může být uskutečněno v jiných případech, je-li tak činěno ve prospěch subjektu údajů a pokud z dvoustranné smlouvy mezi správcem a přijímacím subjektem vyplývá, že přijímací strana zajistí požadovanou ochranu osobních údajů.

účinné od 1. 6. 2000(4) Správce je povinen požádat Úřad o povolení k předání nebo předávání osobních údajů do jiných států. O žádosti Úřad rozhodne bezodkladně, nejpozději do 7 kalendářních dnů. Pokud v této lhůtě Úřad nerozhodne, má se za to, že s předáním osobních údajů souhlasí, a to na dobu, která je uvedena v žádosti. Hrozí-li nebezpečí z prodlení, vydá Úřad rozhodnutí neprodleně. Odvolání proti rozhodnutí nemá odkladný účinek.

účinné od 1. 6. 2000(5) Vydá-li Úřad rozhodnutí o předávání osobních údajů, stanoví také dobu, po kterou může správce předávání provádět. Pokud správce poruší povinnosti stanovené tímto zákonem, Úřad toto povolení odejme. Odvolání proti rozhodnutí nemá odkladný účinek.

účinné od 1. 6. 2000(6) Povinnosti podle odstavců 4 a 5 nemá správce v případě, že tak stanoví zvláštní zákon.²⁴)

§ 28

účinné od 1. 6. 2000(1) Úřad je nezávislý orgán. Ve své činnosti postupuje nezávisle a řídí se pouze zákony a jinými právními předpisy.

účinné od 1. 6. 2000(2) Do činnosti Úřadu lze zasahovat jen na základě zákona.

účinné od 1. 6. 2000(3) Činnost Úřadu je hrazena ze samostatné kapitoly státního rozpočtu České republiky.

§ 29

účinné od 1. 6. 2000(1) Úřad

1. účinné od 1. 6. 2000a) provádí dozor nad dodržováním povinností stanovených tímto zákonem při zpracování osobních údajů,
2. účinné od 1. 6. 2000b) vede evidenci oznámení učiněných podle § 16 a registr povolených zpracování osobních údajů (dále jen „registr“),
3. účinné od 1. 6. 2000c) přijímá podněty a stížnosti občanů na porušení tohoto zákona,
4. účinné od 1. 6. 2000d) zpracovává a veřejnosti zpřístupňuje výroční zprávu o své činnosti,
5. účinné od 1. 6. 2000e) vykonává další působnosti stanovené mu zákonem,
6. účinné od 1. 6. 2000f) projednává přestupky a jiné správní delikty a uděluje pokuty podle tohoto zákona,
7. účinné od 1. 6. 2000g) zajišťuje plnění požadavků vyplývajících z mezinárodních smluv, jimiž je Česká republika vázána,
8. účinné od 1. 6. 2000h) poskytuje konzultace v oblasti ochrany osobních údajů,
9. účinné od 1. 6. 2000i) spolupracuje s obdobnými úřady jiných států.

účinné od 1. 6. 2000(2) Při výkonu dozoru ve formě kontroly se postupuje podle zvláštního právního předpisu.²⁵)

účinné od 1. 6. 2000(3) Dozor nad zpracováním osobních údajů, které provádějí zpravodajské služby, stanoví zvláštní právní předpis.²⁶)

§ 30

účinné od 1. 6. 2000(1) Úřad se skládá z

1. účinné od 1. 6. 2000a) předsedy,
2. účinné od 1. 6. 2000b) inspektorů,
3. účinné od 1. 6. 2000c) zaměstnanců.

účinné od 1. 6. 2000(2) Kontrolní činnost Úřadu provádějí inspektoři a pověření zaměstnanci (dále jen „kontrolující“).

účinné od 1. 6. 2000(3) Na předsedu Úřadu, inspektory a zaměstnance se vztahují ustanovení zákoníku práce, pokud tento zákon nestanoví jinak.

účinné od 1. 6. 2000(4) Platové poměry zaměstnanců Úřadu se řídí právními předpisy upravujícími platové poměry zaměstnanců orgánů státní správy.²⁷)

účinné od 1. 6. 2000(5) Zaměstnancům Úřadu přísluší náhrada cestovních výdajů podle zvláštního právního předpisu.²⁸)

§ 31

účinné od 1. 6. 2000Kontrolní činnost Úřadu se provádí na základě kontrolního plánu nebo na základě podnětů a stížností občanů.

§ 32

účinné od 1. 6. 2000Předseda Úřadu

účinné od 1. 6. 2000(1) Úřad řídí předseda, kterého jmenuje a odvolává prezident republiky na návrh Senátu Parlamentu České republiky.

účinné od 1. 6. 2000(2) Předseda Úřadu je jmenován na dobu 5 let. Může být jmenován maximálně na 2 po sobě jdoucí období.

účinné od 1. 6. 2000(3) Předsedou Úřadu může být jmenován pouze občan České republiky, který

1. účinné od 1. 6. 2000a) je způsobilý k právním úkonům,
2. účinné od 1. 6. 2000b) je bezúhonný, splňuje podmínky stanovené zvláštním právním předpisem²⁹) a jeho znalosti, zkušenosti a morální vlastnosti jsou předpokladem, že bude svoji funkci řádně zastávat,
3. účinné od 1. 6. 2000c) má ukončené vysokoškolské vzdělání.

účinné od 1. 6. 2000(4) Bezúhonnou je pro účel tohoto zákona fyzická osoba, která nebyla pravomocně odsouzena pro úmyslný trestný čin nebo i trestný čin spáchaný z nedbalosti v souvislosti se zpracováním osobních údajů.

účinné od 1. 6. 2000(5) S výkonem funkce předsedy Úřadu je neslučitelná funkce poslance nebo senátora, soudce, státního zástupce, jakákoliv funkce ve veřejné správě, funkce člena orgánů územní samosprávy a členství v politických stranách a hnutích.

účinné od 1. 6. 2000(6) Předseda Úřadu nesmí zastávat jinou placenou funkci, být v dalším pracovním poměru ani vykonávat výdělečnou činnost s výjimkou správy vlastního majetku a činnosti vědecké, pedagogické, literární, publicistické a umělecké, pokud tato činnost nenarušuje důstojnost nebo neohrožuje důvěru v nezávislost a nestrannost Úřadu.

účinné od 1. 6. 2000(7) Z funkce je předseda Úřadu odvolán, přestal-li splňovat některou z podmínek pro jeho jmenování.

účinné od 1. 6. 2000(8) Z funkce může být předseda odvolán také tehdy, jestliže nevykonává po dobu 6 měsíců svoji funkci.

§ 33

účinné od 1. 6. 2000(1) Inspektora jmenuje a odvolává prezident republiky na návrh Senátu Parlamentu České republiky.

účinné od 1. 6. 2000(2) Inspektor je jmenován na období 10 let. Může být jmenován opakovaně.

účinné od 1. 6. 2000(3) Inspektor vykonává kontrolu, řídí kontrolu, vypracovává kontrolní protokol a provádí další úkony, jež souvisejí s úkoly Úřadu.

účinné od 1. 6. 2000(4) Činnosti podle odstavce 3 vykonává 7 inspektorů Úřadu.

§ 34

účinné od 1. 6. 2000(1) Inspektorem může být jmenován občan České republiky, který je způsobilý k právním úkonům, bezúhonný, splňuje podmínky stanovené zvláštním právním předpisem²⁹) a má ukončené odborné vysokoškolské vzdělání.

účinné od 1. 6. 2000(2) S výkonem funkce inspektora je neslučitelná funkce poslance nebo senátora, soudce, státního zástupce, jakákoliv funkce ve veřejné správě, funkce člena orgánů územní samosprávy a členství v politických stranách a hnutích. Inspektor nesmí zastávat jinou placenou funkci, být v pracovním poměru ani vykonávat výdělečnou činnost s výjimkou správy vlastního majetku a činnosti vědecké, pedagogické, literární, publicistické a umělecké, pokud tato činnost nenarušuje důstojnost nebo neohrožuje důvěru v nezávislost a nestrannost Úřadu.

účinné od 1. 6. 2000(3) Z funkce je inspektor odvolán, přestal-li splňovat některou z podmínek pro jeho jmenování.