§ 36 Automatizované pořizování záznamů
ZZOÚzákon č. 110/2019 Sb. · Hlava III – Ochrana osobních údajů při jejich zpracování za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti české republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti · znění od 1. 8. 2025
Tento paragraf stanovuje povinnost automatizovaně zaznamenávat nakládání s osobními údaji (např. jejich čištění, nahlížení nebo výmaz) a týká se spravujících orgánů a obdobně i zpracovatelů. Určuje, jaké údaje o těchto operacích se musí evidovat, pro jaké konkrétní účely je možné tyto záznamy použít a jak dlouho je nutné je uchovávat. Stanoví tak přísná pravidla pro kontrolu a ověřitelnost práce s citlivými daty v IT systémech.
- Při automatizovaném zpracování osobních údajů se musí povinně pořizovat záznamy o operacích, jako je shromáždění, vložení, pozměnění, kombinování, nahlédnutí, předání, sdělení a výmaz.
- Záznamy o vybraných operacích musí umožnit určit a ověřit čas, důvod a totožnost osoby provádějící operaci i totožnost příjemce, pokud to není z technických důvodů nemožné.
- Získané záznamy o operacích je povoleno využít výhradně pro účely trestního řízení, ověření zákonnosti zpracování, zajištění bezpečnosti údajů a plnění stanovených úkolů či povinností.
- Pořízené záznamy o operacích musíte uchovávat po dobu 3 let od výmazu osobních údajů, ke kterým se vztahují.
- Všechny tyto povinnosti platí pro zpracovatele osobních údajů obdobně jako pro spravující orgán.
(1) Provádí-li spravující orgán automatizované zpracování osobních údajů, pořizuje záznamy alespoň o operacích shromáždění, vložení, pozměnění, kombinování, nahlédnutí, předání, sdělení a výmazu osobních údajů.
(2) Záznamy o operacích shromáždění, vložení, nahlédnutí nebo sdělení podle odstavce 1 umožňují určit a ověřit důvod a čas těchto operací, totožnost osoby provádějící operaci a totožnost příjemce, ledaže zjištění totožnosti těchto osob není z technických důvodů možné.
(3) Záznamy podle odstavce 1 lze využít pouze pro účely trestního řízení, ověření zákonnosti zpracování osobních údajů, zajištění neporušenosti zabezpečení osobních údajů a zajištění plnění úkolů spravujícího orgánu nebo zpracovatele a povinností osob, kterým se poskytuje přístup k osobním údajům.
(4) Záznamy podle odstavce 1 jsou uchovávány po dobu 3 let od výmazu osobních údajů, ke kterým se vztahují.
(5) Povinnosti spravujícího orgánu stanovené v odstavcích 1 až 4 platí pro zpracovatele obdobně.