Zákon o zpracování osobních údajů

§ 39c

(1) Izolovaný systém, jehož používání bylo povoleno podle § 39b, může spravující orgán použít také pro identifikaci konkrétní fyzické osoby, která nespadá do kategorie fyzických osob uvedené v § 39b odst. 1, pokud je to nezbytné pro dosažení cíle uvedeného v § 39a odst. 3.

(2) Izolovaný systém lze použít podle odstavce 1 jen po předchozím písemném povolení příslušného soudce. Nesnese-li věc odkladu, lze izolovaný systém použít podle odstavce 1 i bez povolení. Spravující orgán je však povinen o povolení požádat do 24 hodin od okamžiku použití izolovaného systému, a pokud je neobdrží, je povinen použití izolovaného systému podle odstavce 1 ukončit a dotčené údaje a záznamy zničit.

(3) Rozhodnutí o povolení k použití izolovaného systému podle odstavce 1 vydává příslušný soudce na základě písemné odůvodněné žádosti, která obsahuje

1. a) označení spravujícího orgánu, adresu sídla nebo jinou adresu pro doručování,
2. b) odůvodnění zařazení biometrických údajů konkrétní fyzické osoby do referenční databáze izolovaného systému, včetně odůvodnění cíle uvedeného v § 39a odst. 3, kterého má být zařazením této osoby do referenční databáze dosaženo,
3. c) časové období, po které má být izolovaný systém vůči konkrétní fyzické osobě použit, a
4. d) informaci o jakékoli předchozí žádosti o použití izolovaného systému vůči konkrétní fyzické osobě, včetně informace, jak bylo o této žádosti rozhodnuto.

(4) Nemá-li žádost náležitosti podle odstavce 3 nebo trpí-li jinými vadami, vyzve příslušný soudce žadatele k jejich odstranění a poskytne mu k tomu přiměřenou lhůtu. Příslušný soudce vydá rozhodnutí o žádosti o povolení k použití izolovaného systému podle odstavce 1 do 72 hodin od podání úplné žádosti.

(5) Při rozhodování o žádosti o povolení k použití izolovaného systému podle odstavce 1 příslušný soudce posoudí důvody pro použití izolovaného systému podle odstavce 1, jakož i to, zda je takové použití izolovaného systému nezbytné a přiměřené k dosažení cíle uvedeného v § 39a odst. 3 a zda je omezeno na nezbytně nutnou dobu. Příslušný soudce rovněž vezme v úvahu závažnost, pravděpodobnost a rozsah újmy, ke které by mohlo dojít v případě, že k použití izolovaného systému podle odstavce 1 nedojde, jakož i důsledky pro práva a svobody všech dotčených osob, zejména závažnost, pravděpodobnost a rozsah těchto důsledků.

(6) Rozhodnutí o žádosti o povolení k použití izolovaného systému podle odstavce 1 obsahuje označení žadatele, výrok, zda se použití izolovaného systému podle odstavce 1 povoluje, povoluje částečně nebo nepovoluje, a odůvodnění. Rozhodnutí o povolení nebo částečném povolení k použití izolovaného systému podle odstavce 1 musí obsahovat časové období, po které může být izolovaný systém použit podle odstavce 1, a určení konkrétní fyzické osoby, pro jejíž identifikaci lze izolovaný systém použít podle odstavce 1.

(7) Účastníkem řízení o žádosti o povolení k použití izolovaného systému podle odstavce 1 je pouze žadatel. Proti rozhodnutí o žádosti o povolení k použití izolovaného systému podle odstavce 1 není přípustný opravný prostředek. Na rozhodování o žádosti o povolení k použití izolovaného systému podle odstavce 1 se správní řád nepoužije.

(8) Použití izolovaného systému podle odstavce 1 lze povolit nejdéle na 12 měsíců. Tuto dobu lze na žádost prodloužit vždy nejdéle na dalších 12 měsíců, a to i opakovaně; odstavce 3 až 7 se použijí obdobně.

§ 40

Zabezpečení zpracování osobních údajů

(1) Spravující orgán přijme taková organizační a technická opatření, aby zajistil úroveň zabezpečení osobních údajů odpovídající povaze, rozsahu, okolnostem, účelu a riziku jejich zpracování.

(2) Jsou-li osobní údaje zpracovávány automatizovaně, spravující orgán přijme nezbytná opatření, aby

1. a) tyto osobní údaje zabezpečil před neoprávněným přístupem, přenosem, změnou, zničením, ztrátou, odcizením, zneužitím nebo jiným neoprávněným zpracováním,
2. b) zajistil obnovitelnost těchto osobních údajů,
3. c) zajistil možnost určit a ověřit osobu, která tyto osobní údaje vložila nebo které byly prostřednictvím zařízení pro přenos údajů předány nebo zpřístupněny,
4. d) zajistil bezpečnost a spolehlivost informačního systému, který tyto osobní údaje obsahuje, včetně hlášení výskytu chyb, a
5. e) zabránil v neoprávněném přístupu k nosiči těchto osobních údajů nebo zařízení užívanému k jejich zpracování.

(3) Povinnosti spravujícího orgánu stanovené v odstavcích 1 a 2 platí pro zpracovatele obdobně.

§ 41

Ohlašování porušení zabezpečení osobních údajů Úřadu

(1) Spravující orgán ohlásí bez zbytečného odkladu porušení zabezpečení osobních údajů Úřadu, ledaže je riziko neoprávněného zásahu do práv a svobod subjektu údajů nízké.

(2) Pokud spravující orgán provede ohlášení po více než 72 hodinách od okamžiku, kdy se o něm dozvěděl, připojí k němu odůvodnění tohoto prodlení.

(3) V ohlášení podle odstavce 1 spravující orgán uvede, pokud jsou mu tyto údaje známy, alespoň

1. a) popis povahy porušení zabezpečení osobních údajů,
2. b) kategorie a přibližný počet subjektů údajů a záznamů osobních údajů, kterých se porušení zabezpečení týká,
3. c) jméno a kontaktní údaje pověřence nebo jiného pracoviště, které poskytne bližší informace k porušení zabezpečení osobních údajů,
4. d) popis pravděpodobných důsledků porušení zabezpečení osobních údajů a
5. e) popis opatření přijatých nebo navržených spravujícím orgánem k nápravě nebo zmírnění újmy způsobené porušením zabezpečení osobních údajů.

(4) Skutečnosti podle odstavce 3, které mu nebyly v době ohlášení známy, spravující orgán doplní bez zbytečného odkladu poté, co se o nich dozví.

(5) Skutečnosti podle odstavce 3 sdělí spravující orgán též osobě nebo orgánu jiného členského státu Evropské unie, který osobní údaje poskytl nebo obdržel.

(6) Spravující orgán vede o každém porušení zabezpečení osobních údajů, jeho důsledcích a přijatých nápravných opatřeních dokumentaci, kterou uchovává nejméně 3 roky.

§ 42

Oznamování porušení zabezpečení osobních údajů subjektu údajů

(1) Spravující orgán oznámí bez zbytečného odkladu porušení zabezpečení osobních údajů subjektu údajů, pokud je riziko neoprávněného zásahu do práv a svobod subjektu údajů plynoucí z tohoto porušení vysoké.

(2) V oznámení spravující orgán uvede alespoň údaje uvedené v § 41 odst. 3 písm. a) a c) až e).

(3) Pokud by oznámení subjektu údajů podle odstavce 1 vyžadovalo nepřiměřené úsilí, spravující orgán oznámení vhodným způsobem zveřejní.

(4) Spravující orgán není povinen porušení zabezpečení osobních údajů oznámit, pokud

1. a) provedená technická a organizační opatření zajišťují, že dotčené osobní údaje nelze zneužít, nebo
2. b) následná opatření spravujícího orgánu významně snížila riziko neoprávněného zásahu do práv a svobod subjektu údajů.

(5) O existenci vysokého rizika neoprávněného zásahu do práv a svobod subjektu údajů nebo o splnění podmínek podle odstavce 4 může rozhodnout také Úřad.

(6) Spravující orgán porušení zabezpečení osobních údajů neoznámí, popřípadě oznámí pouze částečně, pokud by oznámením došlo k ohrožení podle § 28 odst. 2.