§ 40 Zabezpečení zpracování osobních údajů
ZZOÚzákon č. 110/2019 Sb. · Hlava III – Ochrana osobních údajů při jejich zpracování za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti české republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti · znění od 1. 8. 2025
Tento paragraf stanovuje povinnost zabezpečit zpracovávané osobní údaje pro spravující orgány i zpracovatele. Zabezpečení musí formou technických a organizačních opatření odpovídat míře rizika, povaze a účelu daného zpracování. Týká se to jak obecného zabezpečení, tak specifických požadavků při automatizovaném (počítačovém) zpracování dat.
- Spravující orgán i zpracovatel musí přijmout technická a organizační opatření odpovídající riziku a povaze zpracování osobních údajů.
- Při automatizovaném zpracování je nutné osobní údaje chránit před únikem, zničením, ztrátou, neoprávněným přístupem či jiným zneužitím.
- Musí být zajištěna možnost osobní údaje v případě potřeby obnovit.
- Systém musí umožnit určení a ověření konkrétní osoby, která údaje vložila, předala nebo k nim měla přístup.
- Je třeba zajistit bezpečnost a spolehlivost samotného informačního systému, vnímání a hlášení jeho chyb a zamezit neoprávněnému přístupu k datovým nosičům a Zařízením.
(1) Spravující orgán přijme taková organizační a technická opatření, aby zajistil úroveň zabezpečení osobních údajů odpovídající povaze, rozsahu, okolnostem, účelu a riziku jejich zpracování.
(2) Jsou-li osobní údaje zpracovávány automatizovaně, spravující orgán přijme nezbytná opatření, aby
a) tyto osobní údaje zabezpečil před neoprávněným přístupem, přenosem, změnou, zničením, ztrátou, odcizením, zneužitím nebo jiným neoprávněným zpracováním,
b) zajistil obnovitelnost těchto osobních údajů,
c) zajistil možnost určit a ověřit osobu, která tyto osobní údaje vložila nebo které byly prostřednictvím zařízení pro přenos údajů předány nebo zpřístupněny,
d) zajistil bezpečnost a spolehlivost informačního systému, který tyto osobní údaje obsahuje, včetně hlášení výskytu chyb, a
e) zabránil v neoprávněném přístupu k nosiči těchto osobních údajů nebo zařízení užívanému k jejich zpracování.
(3) Povinnosti spravujícího orgánu stanovené v odstavcích 1 a 2 platí pro zpracovatele obdobně.