§ 16 Zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely
ZZOÚzákon č. 110/2019 Sb. · Díl 1 – Obecná ustanovení · znění od 1. 8. 2025
Tento paragraf stanovuje bezpečnostní a organizační pravidla pro správce a zpracovatele, kteří zpracovávají osobní údaje pro účely vědeckého, historického výzkumu nebo statistiky. Určuje, jaká opatření se mají zavést k ochraně dotčených lidí a za jakých podmínek lze omezit některá jejich práva na přístup či opravu údajů. Týká se všech podnikatelů a firem, které data k těmto konkrétním účelům používají.
- Při výzkumu nebo statistice musíte podle konkrétních rizik a nákladů zavedených systémů zajistit odpovídající technická a organizační opatření k ochraně osobních údajů.
- Zákon nabízí seznam možných opatření, jako je pseudonymizace (skrytí totožnosti), šifrování údajů, jmenování pověřence nebo vedení záznamů o nakládání s daty alespoň po dobu 2 let.
- Citlivé osobní údaje (zvláštní kategorie údajů) se musí dále zpracovávat v anonymizované podobě bez možnosti identifikace konkrétního člověka, pokud to účel výzkumu umožňuje.
- Práva lidí na přístup k údajům, opravu, omezení zpracování či námitku lze odložit nebo použít jen přiměřeně, pokud je to nutné pro naplnění účelu výzkumu nebo statistiky.
- Informace o zpracování pro vědecký výzkum se nemusí lidem poskytnout, pokud by to vyžadovalo nepřiměřené úsilí.
(1) Správce nebo zpracovatel při zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely zajistí dodržování konkrétních opatření k ochraně zájmů subjektu údajů, která odpovídají stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i různě pravděpodobným a závažným rizikům pro práva a svobody fyzických osob. Taková opatření mohou zahrnovat zejména
a) technická a organizační opatření zaměřená na důsledné uplatnění povinnosti podle čl. 5 odst. 1 písm. c) nařízení Evropského parlamentu a Rady (EU) ,
b) pořizování záznamů alespoň o všech operacích shromáždění, vložení, pozměnění a výmazu osobních údajů, které umožní určit a ověřit totožnost osoby provádějící operaci, a uchovávání těchto záznamů nejméně po dobu 2 let od provedení operace,
c) informování osob zpracovávajících osobní údaje o povinnostech v oblasti ochrany osobních údajů,
d) jmenování pověřence,
e) zvláštní omezení přístupu k osobním údajům v rámci správce nebo zpracovatele,
f) pseudonymizaci osobních údajů,
g) šifrování osobních údajů,
h) opatření k zajištění trvalé důvěrnosti, integrity, dostupnosti a odolnosti systémů a služeb zpracování,
i) opatření umožňující obnovení dostupnosti osobních údajů a včasný přístup k těmto údajům v případě incidentů,
j) proces pravidelného testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování,
k) zvláštní omezení přenosu osobních údajů do třetí země, nebo
l) zvláštní omezení zpracování osobních údajů pro jiné účely.
(2) Pokud to umožňuje dosáhnout účelu uvedeného v odstavci 1, osobní údaje uvedené v čl. 9 odst. 1 nařízení Evropského parlamentu a Rady (EU) správce nebo zpracovatel dále zpracovává v podobě, která neumožňuje identifikaci subjektu údajů, ledaže tomu brání oprávněné zájmy subjektu údajů.
(3) Nestanoví-li jiný právní předpis jinak, čl. 15, 16, 18 a 21 a v jim odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) se použijí přiměřeně nebo se splnění povinností správce nebo zpracovatele nebo uplatnění práva subjektu údajů stanovených těmito články odloží, je-li to nezbytné a svým rozsahem přiměřené k naplnění účelu zpracování uvedeného v odstavci 1. Článek 15 a v jemu odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) se nepoužije, pokud je zpracování nezbytné pro účely vědeckého výzkumu a poskytnutí informací by vyžadovalo nepřiměřené úsilí.