Zákon o zpracování osobních údajů

§ 61

(1) Fyzická osoba, právnická osoba nebo podnikající fyzická osoba se dopustí přestupku tím, že poruší zákaz zveřejnění osobních údajů stanovený jiným právním předpisem¹⁰).

(2) Za přestupek podle odstavce 1 lze uložit pokutu do

1. a) 1 000 000 Kč, nebo
2. b) 5 000 000 Kč, jde-li o přestupek spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem.

(3) Úřad upustí od uložení správního trestu také tehdy, jde-li o subjekty uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 62

(1) Správce nebo zpracovatel podle hlavy II se dopustí přestupku tím, že

1. a) poruší některou z povinností podle čl. 8, 11, 25 až 39, 42 až 49 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II,
2. b) poruší některou ze základních zásad pro zpracování osobních údajů podle čl. 5 až 7 nebo 9 nařízení Evropského parlamentu a Rady (EU) 2016/679,
3. c) poruší některé z práv subjektu údajů podle čl. 12 až 22 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II,
4. d) nesplní příkaz nebo poruší omezení zpracování osobních údajů nebo nedodrží přerušení toků údajů uložené Úřadem podle čl. 58 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679, nebo
5. e) neposkytne Úřadu přístup k údajům, informacím a prostorám podle čl. 58 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679.

(2) Subjekt pro vydávání osvědčení se dopustí přestupku tím, že poruší některou z povinností podle čl. 42 a 43 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II.

(3) Subjekt pro monitorování souladu se dopustí přestupku tím, že poruší některou z povinností podle čl. 41 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2016/679.

(4) Úřad může upustit od uložení správního trestu také tehdy, pokud uloží opatření podle § 54 odst. 1 písm. e) nebo § 60.

(5) Úřad upustí od uložení správního trestu také tehdy, jde-li o správce a zpracovatele uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.

§ 63

(1) Právnická osoba se dopustí přestupku tím, že při zpracování osobních údajů

1. a) v rozporu s § 25 odst. 1 písm. a) nestanoví účel zpracování osobních údajů nebo stanoveným účelem zpracování osobních údajů poruší povinnost nebo překročí oprávnění vyplývající z jiného zákona,
2. b) v rozporu s § 25 odst. 1 písm. b) nepřijme opatření zajišťující, aby osobní údaje byly přesné ve vztahu k povaze a účelu jejich zpracování,
3. c) v rozporu s § 25 odst. 1 písm. c) uchovává osobní údaje po dobu delší než nezbytnou k dosažení účelu jejich zpracování,
4. d) v rozporu s § 27 neposkytne subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem,
5. e) v rozporu s § 28 odst. 2 nevyhoví žádosti subjektu údajů uvedené v § 28 odst. 1,
6. f) v rozporu s § 29 odst. 5 nevyhoví žádosti subjektu údajů uvedené v § 29 odst. 1 nebo 2,
7. g) v rozporu s § 32 odst. 1 až 3 nepřijme technická a organizační opatření nebo nevede jejich dokumentaci,
8. h) v rozporu s § 32 odst. 4 nevede písemné přehledy o všech typových činnostech zpracování osobních údajů,
9. i) v rozporu s § 36 odst. 1 nepořizuje záznamy,
10. j) v rozporu s § 36 odst. 3 využije záznamy k jinému účelu,
11. k) v rozporu s § 37 neprovede posouzení vlivu na ochranu osobních údajů,
12. l) v rozporu s § 38 odst. 1 nepožádá Úřad o projednání připravovaného zpracování osobních údajů,
13. m) v rozporu s § 39 zasáhne do práv a právem chráněných zájmů subjektu údajů nebo způsobí jiný obdobně závažný následek pro subjekt údajů,
14. n) v rozporu s § 40 odst. 1 nepřijme organizační a technická opatření k zajištění odpovídající úrovně zabezpečení osobních údajů,
15. o) v rozporu s § 40 odst. 2 nepřijme nezbytná opatření,
16. p) v rozporu s § 41 odst. 1 neohlásí porušení zabezpečení osobních údajů Úřadu,
17. q) v rozporu s § 42 odst. 1 neoznámí porušení zabezpečení osobních údajů subjektu údajů,
18. r) neprovede uložené opatření k nápravě ve lhůtě stanovené Úřadem,
19. s) poruší omezení zpracování zvláštních kategorií osobních údajů podle jiného právního předpisu⁵),
20. t) poruší povinnost jmenovat pověřence podle jiného právního předpisu⁵),
21. u) poruší povinnost informovat o nesprávném předání nebo o předání nepřesných osobních údajů podle § 32 odst. 5 nebo podle jiného právního předpisu⁵),
22. v) poruší některou z podmínek podle jiného právního předpisu⁵) pro předání osobních údajů do mezinárodní organizace nebo státu, který neuplatňuje právní předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680, nebo
23. w) poruší povinnost prověřovat potřebnost dalšího zpracování nebo vymazat osobní údaje podle jiného právního předpisu⁵).

(2) Přestupku se dopustí ten, kdo při zpracování osobních údajů

1. a) v rozporu s § 34 odst. 4 nevede přehledy o všech typových činnostech zpracování osobních údajů,
2. b) v rozporu s § 34 odst. 5 neoznámí spravujícímu orgánu porušení zabezpečení osobních údajů,
3. c) v rozporu s § 35 nezpracovává osobní údaje pouze podle pokynů spravujícího orgánu nebo podle zákona,
4. d) v rozporu s § 36 odst. 1 nepořizuje záznamy,
5. e) v rozporu s § 36 odst. 3 využije záznamy k jinému účelu,
6. f) v rozporu s § 40 odst. 1 nepřijme organizační a technická opatření k zajištění odpovídající úrovně zabezpečení osobních údajů,
7. g) v rozporu s § 40 odst. 2 nepřijme nezbytná opatření,
8. h) neprovede uložené opatření k nápravě ve lhůtě stanovené Úřadem,
9. i) poruší omezení zpracování zvláštních kategorií osobních údajů podle jiného právního předpisu⁵),
10. j) poruší povinnost jmenovat pověřence podle jiného právního předpisu⁵),
11. k) poruší povinnost informovat o nesprávném předání nebo o předání nepřesných osobních údajů podle § 32 odst. 5 nebo podle jiného právního předpisu⁵),
12. l) poruší některou z podmínek podle jiného právního předpisu⁵) pro předání osobních údajů do mezinárodní organizace nebo státu, který neuplatňuje právní předpisy k provedení směrnice Evropského parlamentu a Rady (EU) 2016/680, nebo
13. m) poruší povinnost prověřovat potřebnost dalšího zpracování nebo vymazat osobní údaje podle jiného právního předpisu⁵).

(3) Za přestupek podle odstavců 1 a 2 lze uložit pokutu do 10 000 000 Kč.

§ 64

(1) Přestupky podle tohoto zákona projednává Úřad.

(2) Pokutu vybírá Úřad.

§ 65

Zvláštní ustanovení o odložení věci

Aniž řízení o přestupku podle tohoto zákona a porušení nařízení Evropského parlamentu a Rady (EU) 2016/679 zahájí, může Úřad věc usnesením odložit též, jestliže je vzhledem k významu a míře porušení nebo ohrožení chráněného zájmu, který byl činem dotčen, způsobu provedení činu, jeho následku, okolnostem, za nichž byl čin spáchán, nebo vzhledem k chování podezřelého po spáchání činu zřejmé, že účelu, jehož by bylo možno dosáhnout provedením řízení o přestupku, bylo dosaženo nebo jej lze dosáhnout jinak. Usnesení o odložení věci podle věty první se pouze poznamená do spisu; ustanovení zákona upravujícího odpovědnost za přestupky a řízení o nich týkající se vyrozumění o odložené věci se v takovém případě nepoužije.