§ 32 Obecné povinnosti spravujícího orgánu a záměrná ochrana osobních údajů
ZZOÚzákon č. 110/2019 Sb. · Hlava III – Ochrana osobních údajů při jejich zpracování za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti české republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti · znění od 1. 8. 2025
Tento paragraf stanovuje povinnosti pro spravující orgán při ochraně a zabezpečení osobních údajů. Týká se způsobu, jakým musí tento orgán údaje chránit, jakou o tom musí vést dokumentaci a jak má postupovat při chybách v předání údajů. Všichni dotčení musejí mít nastavená odpovídající technická a organizační opatření a vést o nich přesné záznamy.
- Spravující orgán musí přijmout technická a organizační opatření, kterými zajistí i doloží ochranu osobních údajů a zabrání jejich nadbytečnému zpracování či automatickému zveřejňování.
- O přijatých bezpečnostních opatřeních je nutné vést dokumentaci a uchovávat ji po celou dobu, po kterou se osobní údaje zpracovávají.
- Orgán má povinnost vést písemné přehledy o všech typových činnostech zpracování, které obsahují zákonem stanovené náležitosti, jako jsou účely, kategorie údajů nebo popis zabezpečení.
- Pokud dojde k předání nesprávných nebo nepřesných údajů, musí o tom orgán bez zbytečného odkladu informovat jejich příjemce i původce.
- Při opravě, doplnění, omezení zpracování nebo výmazu údajů musí spravující orgán vyrozumět příjemce o nutnosti provést stejný postup.
(1) Spravující orgán s přihlédnutím k povaze, rozsahu, okolnostem, účelům a rizikům zpracování osobních údajů přijme taková technická a organizační opatření, aby zajistil a doložil splnění svých povinností při ochraně osobních údajů.
(2) Spravující orgán s přihlédnutím k povaze, rozsahu, okolnostem, účelům a rizikům zpracování osobních údajů, vývoji techniky a nákladům přijímá technická a organizační opatření s cílem
a) co nejúčinněji chránit osobní údaje,
b) omezovat nepřiměřené zpracování osobních údajů,
c) omezovat zpracování osobních údajů, které není nezbytné kvůli svému rozsahu, množství údajů, době jejich uložení nebo jejich dostupnosti,
d) poskytovat nezbytné záruky práv subjektu údajů a
e) předcházet automatickému zveřejňování osobních údajů.
(3) Spravující orgán vede o opatřeních přijatých podle odstavců 1 a 2 dokumentaci, kterou uchovává po dobu zpracování osobních údajů.
(4) Spravující orgán vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují
a) název a kontaktní údaje spravujícího orgánu a pověřence,
b) účel zpracování osobních údajů,
c) kategorie příjemců nebo budoucích příjemců,
d) kategorie subjektů údajů a kategorie osobních údajů,
e) informaci, zda a jak je použito profilování,
f) kategorie přenosů do třetích zemí nebo mezinárodních organizací,
g) právní základ pro operace zpracování, pro něž jsou osobní údaje určeny,
h) lhůty pro výmaz nebo přezkum potřebnosti kategorií osobních údajů a
i) obecný popis zabezpečení osobních údajů.
(5) Dojde-li k nesprávnému předání nebo k předání nepřesných osobních údajů, spravující orgán o tom bez zbytečného odkladu informuje příjemce těchto údajů a orgán příslušný pro plnění účelu uvedeného v § 24 odst. 1, který je jejich původcem. Pokud spravující orgán provedl opravu, doplnění, omezení zpracování nebo výmaz osobních údajů, vyrozumí o nutnosti takového postupu rovněž příjemce těchto údajů.