§ 34 Zpracovatel
ZZOÚzákon č. 110/2019 Sb. · Hlava III – Ochrana osobních údajů při jejich zpracování za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti české republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti · znění od 1. 8. 2025
Tento paragraf upravuje pravidla pro případ, kdy spravující orgán (někdo, kdo spravuje osobní údaje) pověří jejich zpracováním externího zpracovatele. Stanovuje podmínky výběru takového zpracovatele, povinnost uzavřít s ním písemnou smlouvu a povinný obsah této smlouvy. Týká se to organizací a subjektů v roli spravujících orgánů i samotných zpracovatelů osobních údajů.
- Spravující orgán musí vybrat pouze takového zpracovatele, který je schopen přijetím vhodných opatření účinně zajistit bezpečnost a ochranu osobních údajů.
- Pokud zpracování nevyplývá přímo ze zákona, musí spravující orgán se zpracovatelem uzavřít písemnou smlouvu s přesně vymezeným obsahem, jako je účel, doba, typ údajů či práva a povinnosti.
- Smlouva musí obsahovat závazek zpracovatele jednat jen podle pokynů, zajistit mlčenlivost osob, pomáhat s plněním povinností a po skončení údaje vymazat nebo vrátit.
- Zpracovatel má povinnost vést písemné přehledy o činnostech zpracování a bez zbytečného odkladu hlásit spravujícímu orgánu jakékoli porušení zabezpečení.
- Zpracovatel může zapojit dalšího zpracovatele pouze s předchozím písemným souhlasem spravujícího orgánu.
(1) Spravující orgán pověří zpracováním osobních údajů pouze zpracovatele, který je schopen přijetím opatření podle § 32 odst. 1 účinně zajistit plnění povinností při ochraně osobních údajů.
(2) Pokud pověření zpracovatele nevyplývá z právního předpisu, spravující orgán se zpracovatelem uzavře písemnou smlouvu o zpracování osobních údajů. Nevyplývá-li to přímo z právního předpisu, smlouva především určí
a) předmět a dobu trvání zpracování osobních údajů,
b) povahu a účel zpracování osobních údajů,
c) typ osobních údajů, které budou zpracovávány,
d) kategorie subjektů údajů a
e) práva a povinnosti spravujícího orgánu.
(3) Smlouva o zpracování osobních údajů dále určí, nevyplývá-li to přímo z právního předpisu, že zpracovatel
a) jedná pouze podle pokynů spravujícího orgánu,
b) zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti,
c) pomáhá spravujícímu orgánu v plnění povinností podle této hlavy,
d) na základě pokynu spravujícího orgánu po ukončení své činnosti osobní údaje předá spravujícímu orgánu nebo je vymaže, ledaže zákon ukládá jiný postup, a
e) poskytne spravujícímu orgánu informace nezbytné pro doložení splnění povinností podle písmen a) až d) a odstavců 1 a 2.
(4) Zpracovatel vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují
a) název a kontaktní údaje spravujícího orgánu, zpracovatele a pověřence,
b) kategorie zpracování osobních údajů pro jednotlivé spravující orgány,
c) informace o předání osobních údajů do konkrétních třetích zemí nebo mezinárodních organizací a
d) obecný popis zabezpečení osobních údajů.
(5) Zpracovatel bez zbytečného odkladu oznámí spravujícímu orgánu porušení zabezpečení osobních údajů.
(6) Zpracovatel může pověřit dalšího zpracovatele jen s předchozím písemným souhlasem spravujícího orgánu. Je-li souhlas spravujícího orgánu udělen obecně pro blíže neurčeného dalšího zpracovatele, zpracovatel, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, informuje předem spravující orgán o všech připravovaných pověřeních dalších zpracovatelů. Na vztah mezi zpracovatelem, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, a dalším zpracovatelem se použijí odstavce 1 až 3 obdobně.