Úřad pro ochranu osobních údajů

V textu je odkazováno na znění zákona (resp. jiného právního předpisu), které již není účinné. Tato skutečnost však nemá vliv na zde obsažený právní názor.

Jednou z povinností správce osobních údajů vyplývajících ze zákona č. 101/2000 Sb. je povinnost stanovená v § 13 odst. 1 tohoto zákona, tedy povinnost přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů.

Za tímto účelem je správce osobních údajů povinen, a to v podstatě ještě před započetím zpracování osobních údajů, vyhodnotit všechna rizika zamýšleného zpracování a přijmout a následně i v praxi provést jim odpovídající opatření.

Určení podmínek, které jsou jednotliví zaměstnanci nebo jiné osoby přicházející do styku s osobními údaji (dále jen „zaměstnanci“) povinni dodržovat, je nutno považovat za jedno ze základních opatření ve smyslu § 13 odst. 1 zákona č. 101/2000 Sb. Zaměstnance je možno poučit o jejich povinnostech při zpracování osobních údajů, tj. včetně jejich náležité ochrany, zejména prostřednictvím interního předpisu zaměstnavatele nebo pravidelných školení.

Bez ohledu na to, jakou formu instruktáže zaměstnanců správce osobních údajů zvolí, měl by být schopen přijetí a provedení těchto opatření prokázat, a to po celou dobu zpracování osobních údajů (jak ostatně nyní výslovně vyplývá i z nového ustanovení § 13 odst. 2 zákona č. 101/2000 Sb.). V opačném případě, kdy správce osobních údajů neprokáže, zda a jakým způsobem své zaměstnance řádně instruoval či proškolil, je nutno veškeré postupy běžně užívané zaměstnanci při zpracování osobních údajů považovat za postupy správcem údajů schválené, tedy jím považované za postupy v souladu s § 13 odst. 1 zákona č. 101/2000 Sb. Za veškerá případná ohrožení, či dokonce neoprávněné nakládání s osobními údaji vyplývající z těchto postupů, pak nese odpovědnost správce osobních údajů.

K naplnění skutkové podstaty správního deliktu podle § 46 odst. 1 zákona č. 101/2000 Sb. porušením povinnosti stanovené v § 13 odst. 1 tohoto zákona postačí i stav, kdy k neoprávněnému zpracování osobních údajů dojít může (vzhledem k absenci opatření), tj. pouhé ohrožení zpracovávaných osobních údajů. Neoprávněné zpřístupnění osobních údajů třetí osobě nebo jejich ztráta apod. jsou již pouze následkem nedostatečně provedených opatření podle § 13 odst. 1 zákona č. 101/2000 Sb. a jako taková jsou hodnocena při stanovení výše sankce za správní delikt. ( čj. 2/05/SŘ-OSČ )