256/1992 Sb., o ochraně osobních údajů v informačních systémech

Informace, které se vztahují k určité osobě, jsou osobními údaji.

Informačním systémem se rozumí funkční celek zabezpečující cílevědomé a systematické shromažďování, zpracovávání, uchovávání a zpřístupňování informací. Každý informační systém zahrnuje informační základnu, technické a programové prostředky, technologie a procedury a pracovníky.

Provozováním informačního systému se rozumí provádění činností směřujících ke shromažďování (sběru) informací, jejich vstupnímu zpracování, ukládání informací do údajové základny, zpracování informací pro vnitřní potřeby systému nebo pro poskytování informační služby. Provozování zahrnuje všechny nebo jen některé z uvedených činností.

Informační službou se rozumí provádění činností směřujících k poskytování informací z informačního systému, obvykle spojené se zpracováním informací uchovávaných v informačním systému.

Likvidací informace se rozumí její výmaz nebo fyzické rozložení takovým způsobem, aby informace nemohla být znovu sestavena, nebo fyzické zničení hmotného nosiče, na nějž je vázána.

Účastníky výměny informací se rozumí provozovatel informačního systému (dále jen "provozovatel") , uživatel informačních služeb (dále jen "uživatel") a zprostředkovatel informací (dále jen "zprostředkovatel").

Dotčenou osobou se rozumí jednotlivá fyzická osoba, o které informace vypovídá.

(1) Provozovatelem se rozumí fyzická nebo právnická osoba, která zabezpečuje zpracování informací nebo poskytování informačních služeb a vystupuje vůči ostatním fyzickým nebo právnickým osobám jako nositel práv a povinností spojených s provozováním informačního systému.

Uživatelem se rozumí fyzická nebo právnická osoba, která využívá informace získané z informačního systému nebo o tyto informace žádá v rámci informačních služeb poskytovaných informačním systémem.

Zprostředkovatelem se rozumí fyzická nebo právnická osoba zjišťující, shromažďující, zpracovávající nebo poskytující informace pro provozovatele nebo uživatele.

Náležitým způsobem sběru informací se rozumí jejich zjišťování, které není maskováno jiným účelem, kryto jinou činností a nenarušuje práva a svobody občanů.

Za zveřejněnou informaci se považuje informace uvedená na veřejnost prostřednictvím hromadných sdělovacích prostředků nebo prostřednictvím elektronických veřejně přístupných informačních služeb.

Provozovat informační systém, který nakládá s informacemi, které vypovídají o osobnosti a soukromí dotčené osoby, jejím rasovém původu, národnosti, politických postojích a členství v politických stranách a hnutích, vztahu k náboženství, o její trestné činnosti, zdraví, sexuálním životě a majetkových poměrech, lze pouze, stanoví-li tak zvláštní zákon, nebo se souhlasem žijící dotčené osoby, pokud je možné, aby tento projev vůle učinila. Jestliže nelze podmínku souhlasu splnit, lze s informacemi nakládat jen za předpokladu, že bude zachována lidská důstojnost, osobní čest, dobrá pověst a chráněno dobré jméno dotčené osoby.

(1) Při ukončení provozu informačního systému je provozovatel povinen provést taková opatření, aby informace, s nimiž informační systém nakládal, nemohly být zneužity.

(2) V případě porušení povinnosti podle odstavce 1 má oprávněná osoba nárok na zadostiučinění, odstranění závadného stavu, vydání bezdůvodného obohacení od osoby, která jej získala, a dále nárok upravený v § 20 písm. d) a e).

(2) Při zprostředkování informací pro uživatele i provozovatele je zprostředkovatel povinen uchovávat informace získané v souvislosti s výkonem zprostředkovatelské činnosti pouze po dobu nezbytně nutnou a v rozsahu oprávnění provozovatele.

Zprostředkovatel odpovídá za činnosti, které vykonává pro provozovatele nebo uživatele v rozsahu odpovědnosti provozovatele.

(1) Fyzické osoby v rámci svého pracovního nebo obdobného poměru nebo v rámci své veřejné či jiné funkce (např. funkce soudního znalce, auditora) anebo další osoby, které při plnění svých úkolů u provozovatele přicházejí do styku s informacemi, s nimiž nakládá příslušný informační systém (dále jen "povinné osoby") mají povinnost mlčenlivosti o těchto informacích a nesmí je bez souhlasu provozovatele zpřístupnit jiným subjektům nebo je využít pro sebe, pokud zvláštní zákon nestanoví jinak.

(2) Povinnosti uvedené v odstavci 1 přetrvávají i po skončení pracovního nebo obdobného poměru mezi povinnou osobou a provozovatelem nebo po skončení výkonu funkce povinné osoby.

(4) Jestliže jsou tyto povinnosti porušeny povinnou osobou, která je v pracovním nebo obdobném poměru k provozovateli, odpovídá provozovatel za poskytnutí peněžitého plnění podle odstavce 3 písm. c) a za poskytnutí zadostiučinění podle odstavce 3 písm. a).

(5) Získá-li někdo informace z informačního systému protiprávním jednáním, vztahují se na něj obdobně odstavce 1 a 3.

Spory vyplývající z uplatňování práv a povinností podle tohoto zákona řeší soud.

K provedení registrace a provádění dozoru nad provozem informačních systémů jsou příslušné orgány, zřízené zvláštními zákony.

(1) Orgán uvedený v § 24 eviduje registrované informační systémy po dobu jejich provozu. Evidence je veřejně přístupná a úředně zveřejňována tímto orgánem vždy k 31. prosinci.

(2) Provozovatel je povinen bez zbytečného odkladu informovat orgán uvedený v § 24 o ukončení provozu informačního systému s uvedením data, ke kterému se provoz informačního systému ukončuje. Toto se netýká informačních systémů, na něž se nevztahuje povinnost registrace.

Povinnosti registrovat se podléhají pouze informační systémy nakládající s informacemi uvedenými v § 16, pokud neslouží výhradně pro vnitřní potřebu provozovatele; výjimky z povinnosti registrace stanoví zvláštní zákon. Registraci nepodléhají informační systémy nakládající výhradně se zveřejněnými informacemi.

Provozovat informační systém zřízený po dni účinnosti tohoto zákona lze pouze při splnění podmínek uvedených v tomto zákoně; jeho provozovatel je povinen požádat o registraci do tří měsíců po nabytí účinnosti zákona, kterým se zřizuje orgán uvedený v § 24.

Vláda České a Slovenské Federativní Republiky může výjimečně stanovit podmínky provozování již fungujícího informačního systému, který není v souladu s tímto zákonem, na období ne delší tří let od nabytí účinnosti tohoto zákona. Tímto není dotčena povinnost provozovatele požádat orgán podle § 24 o registraci v období do tří měsíců po nabytí účinnosti zákona, kterým se tento orgán zřizuje.