§ 46 Povinnosti osob při zabezpečení osobních údajů
ZZOÚzákon č. 110/2019 Sb. · Hlava IV – Ochrana osobních údajů při zajišťování obranných a bezpečnostních zájmů české republiky · znění od 1. 8. 2025
Tento paragraf stanovuje povinnost chránit osobní údaje před zneužitím, ztrátou nebo neoprávněným přístupem, a to pro správce i zpracovatele údajů. Ochrana musí trvat i po skončení zpracování a vyžaduje zavést vhodná bezpečnostní opatření a vést o nich dokumentaci. Týká se všech, kdo s osobními údaji pracují, přičemž při počítačovém (automatizovaném) zpracování platí ještě přísnější pravidla.
- Musíte přijmout technická a organizační opatření, která zabrání úniku, ztrátě, změně nebo neoprávněnému přístupu k osobním údajům.
- O přijatých bezpečnostních opatřeních musíte vést dokumentaci a uchovávat ji po celou dobu, co údaje zpracováváte.
- Předem musíte posoudit rizika, například kdo má k datům přístup, jak zabránit neoprávněným osobám v jejich čtení či mazání a jak ověřit, komu byly údaje předány.
- Při práci na počítači musíte zajistit, aby do systému přistupovaly jen oprávněné osoby pod svými vlastními účty a jen k datům, k nimž mají oprávnění.
- V elektronických systémech musíte uchovávat záznamy o tom, kdo, kdy a z jakého důvodu s osobními údaji pracoval.
- Všechny tyto povinnosti platí obdobně i pro zpracovatele osobních údajů a povinnost chránit data trvá i po ukončení jejich zpracování.
(1) Správce je povinen přijmout taková technická a organizační opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení, ztrátě, neoprávněnému přenosu nebo jinému neoprávněnému zpracování nebo zneužití. Tato povinnost platí i po ukončení zpracování osobních údajů.
(2) Správce je povinen přijmout technická a organizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy. Správce vede o přijatých technických a organizačních opatřeních dokumentaci, kterou uchovává po dobu zpracování osobních údajů.
(3) V rámci opatření podle odstavce 1 správce posuzuje rizika týkající se oblastí
a) plnění pokynů pro zpracování osobních údajů osobami, které mají bezprostřední přístup k osobním údajům,
b) zabránění neoprávněným osobám přistupovat k osobním údajům a k prostředkům pro jejich zpracování,
c) zabránění neoprávněnému čtení, vytváření, kopírování, přenosu, úpravě nebo vymazání záznamů obsahujících osobní údaje a
d) opatření, která umožní určit a ověřit, komu byly osobní údaje předány.
(4) Při automatizovaném zpracování osobních údajů je správce v rámci opatření podle odstavce 1 dále povinen
a) zajistit, aby systém pro automatizované zpracování osobních údajů používala pouze oprávněná fyzická osoba,
b) zajistit, aby oprávněná fyzická osoba měla přístup pouze k osobním údajům odpovídajícím jejímu oprávnění, a to na základě zvláštního uživatelského oprávnění zřízeného výlučně pro tuto osobu,
c) pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a
d) zabránit neoprávněnému přístupu k datovým nosičům.
(5) Povinnosti stanovené v odstavcích 1 až 4 platí pro zpracovatele obdobně.