§ 41 Ohlašování porušení zabezpečení osobních údajů Úřadu

ZZOÚzákon č. 110/2019 Sb. · Hlava III – Ochrana osobních údajů při jejich zpracování za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti české republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti · znění od 1. 8. 2025

Lidsky řečeno

Tento paragraf stanovuje povinnost spravujícího orgánu nahlásit Úřadu porušení zabezpečení osobních údajů, pokud z toho plyne vyšší než nízké riziko pro dotčené osoby (subjekty údajů). Týká se spravujících orgánů, které nakládají s osobními údaji a řeší jakýkoliv únik nebo narušení jejich bezpečnosti. Zákona rovněž určuje, co musí takové ohlášení obsahovat a jak se má událost evidovat.

Únik či porušení zabezpečení osobních údajů musíte Úřadu ohlásit bez zbytečného odkladu, ledaže je riziko pro dotčené osoby pouze nízké.
Pokud ohlášení pošlete až po více než 72 hodinách od zjištění, musíte k němu připojit zdůvodnění tohoto zpoždění.
V ohlášení musíte uvést známo popis incidentu, přibližný počet zasažených lidí a záznamů, kontaktní údaje pověřence nebo pracoviště, dopady a přijatá nápravná opatření.
Informace, které v době prvního ohlášení ještě neznáte, musíte Úřadu dodat bez zbytečného odkladu, jakmile se je dozvíte.
Stejné informace musíte sdělit i osobě nebo orgánu z jiného státu Evropské unie, od kterého jste údaje obdrželi nebo kterému jste je poskytli.
O každém bezpečnostním incidentu, jeho dopadech a nápravných opatřeních musíte vést dokumentaci a uchovávat ji nejméně 3 roky.

Pozor: Dejte si pozor na to, že pokud incident nenahlásíte do 72 hodin od chvíle, kdy jste se o něm dozvěděli, musíte Úřadu písemně vysvětlit důvod tohoto prodlení.

Příklad: Pokud spravující orgán zjistí únik dat a ohlásí jej Úřadu až po 80 hodinách od zjištění, musí v ohlášení podrobně zdůvodnit, proč k tomuto přesažení 72hodinové lhůty došlo.

Zjednodušené vysvětlení vzniká automaticky a nenahrazuje odbornou radu. Závazné je úřední znění níže.

Úřední znění

(1) Spravující orgán ohlásí bez zbytečného odkladu porušení zabezpečení osobních údajů Úřadu, ledaže je riziko neoprávněného zásahu do práv a svobod subjektu údajů nízké.

(2) Pokud spravující orgán provede ohlášení po více než 72 hodinách od okamžiku, kdy se o něm dozvěděl, připojí k němu odůvodnění tohoto prodlení.

(3) V ohlášení podle odstavce 1 spravující orgán uvede, pokud jsou mu tyto údaje známy, alespoň

a) popis povahy porušení zabezpečení osobních údajů,

b) kategorie a přibližný počet subjektů údajů a záznamů osobních údajů, kterých se porušení zabezpečení týká,

c) jméno a kontaktní údaje pověřence nebo jiného pracoviště, které poskytne bližší informace k porušení zabezpečení osobních údajů,

d) popis pravděpodobných důsledků porušení zabezpečení osobních údajů a

e) popis opatření přijatých nebo navržených spravujícím orgánem k nápravě nebo zmírnění újmy způsobené porušením zabezpečení osobních údajů.

(4) Skutečnosti podle odstavce 3, které mu nebyly v době ohlášení známy, spravující orgán doplní bez zbytečného odkladu poté, co se o nich dozví.

(5) Skutečnosti podle odstavce 3 sdělí spravující orgán též osobě nebo orgánu jiného členského státu Evropské unie, který osobní údaje poskytl nebo obdržel.

(6) Spravující orgán vede o každém porušení zabezpečení osobních údajů, jeho důsledcích a přijatých nápravných opatřeních dokumentaci, kterou uchovává nejméně 3 roky.

Zdroj: e-Sbírka