§ 42 Oznamování porušení zabezpečení osobních údajů subjektu údajů
ZZOÚzákon č. 110/2019 Sb. · Hlava III – Ochrana osobních údajů při jejich zpracování za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti české republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti · znění od 1. 8. 2025
Tento paragraf stanovuje povinnost spravujícího orgánu informovat lidi (subjekty údajů) o tom, že došlo k úniku nebo porušení zabezpečení jejich osobních dat. Týká se situací, kdy toto porušení představuje vysoké riziko pro práva a svobody dotčených osob. Dále určuje výjimky, kdy se tato oznamovací povinnost na spravující orgán nevztahuje.
- Pokud porušení zabezpečení osobních údajů představuje vysoké riziko pro práva a svobody lidí, musí jim to spravující orgán bez zbytečného odkladu oznámit.
- Obsah oznámení musí zahrnovat konkrétní údaje, jejichž přesný rozsah upravuje jiné ustanovení zákona.
- V případě, že by přímé kontaktování lidí vyžadovalo nepřiměřené úsilí, lze oznámení učinit vhodným veřejným způsobem.
- Informování lidí není povinné, pokud byla data technicky zabezpečena proti zneužití nebo byla přijata opatření, která vysoké riziko významně snížila.
- O tom, zda existuje vysoké riziko nebo zda byly splněny výjimky z oznamování, může rozhodnout také Úřad pro ochranu osobních údajů.
- Oznámení se neprovede nebo se omezí v případě, že by jeho vydání vedlo k zákonem definovanému ohrožení, které upravuje jiné ustanovení.
(1) Spravující orgán oznámí bez zbytečného odkladu porušení zabezpečení osobních údajů subjektu údajů, pokud je riziko neoprávněného zásahu do práv a svobod subjektu údajů plynoucí z tohoto porušení vysoké.
(2) V oznámení spravující orgán uvede alespoň údaje uvedené v § 41 odst. 3 písm. a) a c) až e).
(3) Pokud by oznámení subjektu údajů podle odstavce 1 vyžadovalo nepřiměřené úsilí, spravující orgán oznámení vhodným způsobem zveřejní.
(4) Spravující orgán není povinen porušení zabezpečení osobních údajů oznámit, pokud
a) provedená technická a organizační opatření zajišťují, že dotčené osobní údaje nelze zneužít, nebo
b) následná opatření spravujícího orgánu významně snížila riziko neoprávněného zásahu do práv a svobod subjektu údajů.
(5) O existenci vysokého rizika neoprávněného zásahu do práv a svobod subjektu údajů nebo o splnění podmínek podle odstavce 4 může rozhodnout také Úřad.
(6) Spravující orgán porušení zabezpečení osobních údajů neoznámí, popřípadě oznámí pouze částečně, pokud by oznámením došlo k ohrožení podle § 28 odst. 2.