Přehled › Předpisy › GDPR-01

GDPR → ZZOÚ

Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů)
Zákon č. 110/2019 Sb., o zpracování osobních údajů

27.5

index přísnosti (0–100)

+3.4

rozdíl obtížnosti ČR − EU

nálezů přísnějších než EU

z toho závažných (4–5)

českých prováděcích opatření

Verdikt

Zákon č. 110/2019 Sb. je v části týkající se GDPR úzkou doprovodnou úpravou, která nařízení neopisuje, ale využívá jeho otevřené klauzule a výjimky. Převažuje spíše měkčí nastavení než zpřísnění: věk souhlasu dítěte snížen na 15 let, obligatorní upuštění od pokut pro orgány veřejné moci podle čl. 83 odst. 7, velmi široké výjimky pro novinářské, akademické, umělecké a literární zpracování a plošná úleva z posouzení vlivu. Skutečné goldplating je bodové - rozšíření působnosti GDPR i mimo právo EU (§ 4 odst. 2), oznamovací povinnost při omezení práv (§ 11 odst. 2), rozšíření povinnosti jmenovat pověřence (§ 14), přístup Úřadu k informacím chráněným mlčenlivostí (§ 58) a zvláštní přestupek za porušení zákazu zveřejnění (§ 61). Celkově jde o zdrženlivou a vůči adresátům spíše vstřícnou implementaci.

Po adversariálním ověření: The only severity-4 item was an under-implementation squarely inside an express GDPR opening clause, so it should not weigh on a gold-plating score; what remains are severity-3 national add-ons (§ 4 odst. 2, § 11 odst. 2, § 14, § 58, § 61) against an unusually generous set of derogations actually taken up. A score slightly below the analyst's 30 is warranted.

Výhrady k tomuto srovnání. GDPR je nařízení, nikoli směrnice, takže standardní test transpozice se nepoužije - hodnoceno je pouze využití otevřených klauzulí a odchylek. Dodaný český text je konsolidované znění zákona č. 110/2019 Sb. včetně novely reagující na nařízení (EU) 2024/1689 (§ 39a až 39c, izolovaný systém), tedy stav zhruba k roku 2025; unijní text je konsolidované znění GDPR s korigendy (značky C1, C2). Hlavy III a IV zákona provádějí směrnici (EU) 2016/680, resp. upravují obranné a bezpečnostní zájmy, a do tohoto páru věcně nepatří - jsou zmíněny jen tam, kde ovlivňují sankční rámec. Zákon nevyužil otevřenou klauzuli čl. 88 (zpracování v souvislosti se zaměstnáním) - ta zůstává v § 316 zákoníku práce - ani nepřijal obecné zmocnění podle čl. 10 pro zpracování údajů o odsouzeních soukromými správci; tyto absence nelze doložit citací, proto nejsou vedeny jako zjištění. Odkazy typu jiný právní předpis v poznámkách pod čarou nebyly ověřovány proti primárním textům.

Klíčové údaje

Předpis EU: Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů) (32016R0679)
Použité znění EU: 02016R0679-20160504
Český předpis: Zákon č. 110/2019 Sb., o zpracování osobních údajů
Rozsah srovnání: celý zákon
Kvalita párování: regulation-adaptation
Oblast: Ochrana osobních údajů
Skóre analytika / po ověření: 30 / 25
Ověření nálezů: 0 potvrzeno, 1 sníženo, 0 vyvráceno
Sankce podle směrnice: Čl. 83 odst. 4 GDPR: správní pokuty až do 10 000 000 EUR, u podniku až 2 % celkového ročního celosvětového obratu; čl. 83 odst. 5 a 6: až 20 000 000 EUR, u podniku až 4 % obratu. Čl. 83 odst. 7 umožňuje členskému státu stanovit, zda a do jaké míry lze pokuty ukládat orgánům veřejné moci a veřejným subjektům. Čl. 84 ukládá stanovit další účinné, přiměřené a odrazující sankce.
Sankce v ČR: § 62 zákona č. 110/2019 Sb. vlastní horní hranici pokuty nestanoví - přestupky podle hlavy II se trestají přímo podle čl. 83 nařízení (tj. až 20 mil. EUR / 4 % obratu); § 62 odst. 5 však Úřadu ukládá obligatorně upustit od trestu u subjektů podle čl. 83 odst. 7. Samostatné české sazby: § 61 odst. 2 - do 1 000 000 Kč, resp. do 5 000 000 Kč při spáchání médii nebo veřejně přístupnou počítačovou sítí; § 63 odst. 4 (hlava III, mimo GDPR) - do 10 000 000 Kč.

Srozumitelnost

Ukazatel	Předpis EU	Český předpis	Rozdíl
Počet slov	23407	11923	-11484.0
Počet vět	1003	606	-397.0
Průměrná délka věty (slov)	23.34	19.67	-3.7
Medián délky věty	19	15.0	-4.0
Podíl vět nad 40 slov (%)	12.86	7.76	-5.1
Slov se 4+ slabikami (%)	20.93	20.75	-0.2
Křížové odkazy / 1000 slov	30.42	39.67	+9.2
Podmínkové vazby / 1000 slov	11.02	9.48	-1.5
Příkazy a zákazy / 1000 slov	6.24	9.81	+3.6
Nominalizace / 1000 slov	75.19	90.75	+15.6
Trpný rod / 1000 slov	6.71	4.03	-2.7
Vedlejších vět na větu	1.02	0.79	-0.2
INDEX OBTÍŽNOSTI	55.3	58.7	+3.4

Zarovnání ustanovení

Strojově nalezené nejtěsnější dvojice mezi paragrafy českého zákona a články směrnice. Slouží k orientaci v textu — není to měřítko gold-platingu, proč, je vysvětleno ve statistikách.

Paragraf ČR	Článek směrnice	Podobnost
§ 7	čl. 8	0.89
§ 42	čl. 34	0.90
§ 48	čl. 13	0.82
§ 41	čl. 34	0.83
§ 9	čl. 19	0.69
§ 28	čl. 13	0.89
§ 17	čl. 6	0.81
§ 16	čl. 9	0.88

Nálezy — česká úprava přísnější (7)

Řazeno podle závažnosti po ověření. Citace jsou doslovné; strojově ověřeno, že jsou podřetězcem zdrojového textu.

Širší působnost neověřováno

ČR: § 4 odst. 2 · EU: čl. 2 odst. 2 písm. a) a b)

Rozdíl: Správci v oblastech mimo právo EU (a v rámci SZBP) musí plnit celý režim GDPR, ačkoli je z něj nařízení výslovně vyjímá.
Požadavek EU: GDPR se vůbec nevztahuje na zpracování při výkonu činností mimo oblast působnosti práva Unie a na činnosti v rámci SZBP.
Požadavek ČR: Hlava II zákona a samotné nařízení (EU) 2016/679 se použijí i na tato vyloučená zpracování.
Citace EU: při výkonu činností, které nespadají do oblasti působnosti práva Unie;
Citace ČR: Ustanovení této hlavy a nařízení Evropského parlamentu a Rady (EU) 2016/679 se použijí i při zpracování osobních údajů, které mají být nebo jsou zařazeny do evidence, a při zpracování osobních údajů, které probíhá zcela nebo částečně automatizovaně, nejde-li o zpracování osobních údajů fyzickou osobou v průběhu výlučně osobních nebo domácích činností,

Širší působnost neověřováno

ČR: § 66 odst. 6 · EU: čl. 9 odst. 1 ve spojení s čl. 10

Rozdíl: Na údaje o odsouzeních se napříč českým právním řádem automaticky uplatní přísnější režim vyhrazený zvláštním kategoriím údajů, ačkoli GDPR takové ztotožnění nepředpokládá.
Požadavek EU: Nařízení vymezuje zvláštní kategorie údajů v čl. 9 odst. 1 taxativně; údaje o odsouzeních a trestných činech do nich NEPATŘÍ, mají vlastní režim podle čl. 10.
Požadavek ČR: Zákon podřazuje pod dosavadní pojem citlivý údaj i údaj týkající se rozsudků v trestních věcech a trestných činů, a to pro všechny dosavadní právní předpisy.
Citace EU: Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.
Citace ČR: Kde se v dosavadních právních předpisech používá pojem citlivý údaj nebo citlivý osobní údaj, rozumí se tím ode dne nabytí účinnosti tohoto zákona osobní údaj, který vypovídá o rasovém nebo etnickém původu, politických názorech, náboženském vyznání nebo filosofickém přesvědčení nebo členství v odborové organizaci, genetický údaj, biometrický údaj zpracovávaný za účelem jedinečné identifikace fyzické osoby, údaj o zdravotním stavu, o sexuálním chování, o sexuální orientaci a údaj týkající se rozsudků v trestních věcech a trestných činů nebo souvisejících bezpečnostních opatření.

Vykazování navíc neověřováno

ČR: § 11 odst. 2 (a § 12 věta druhá) · EU: čl. 23 odst. 1 a 2

Rozdíl: Nová notifikační povinnost vůči ÚOOÚ při každém uplatnění zákonného omezení práv subjektu údajů; nařízení ji nezná.
Požadavek EU: Omezení práv podle čl. 12 až 22 se provádí legislativním opatřením, které má obsahovat vyjmenované náležitosti; nařízení neukládá správci žádnou oznamovací povinnost vůči dozorovému úřadu.
Požadavek ČR: Správce nebo zpracovatel musí každé omezení práv bez zbytečného odkladu oznámit Úřadu a uvést skutečnosti podle čl. 23 odst. 2.
Citace EU: Každé legislativní opatření uvedené v odstavci 1 zejména obsahuje konkrétní ustanovení, alespoň, je-li to relevantní, pokud jde o:
Citace ČR: Omezení některých práv nebo povinností podle odstavce 1 správce nebo zpracovatel bez zbytečného odkladu oznámí Úřadu, přitom uvede v přiměřeném rozsahu skutečnosti podle čl. 23 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679

Dokumentační zátěž neověřováno

ČR: § 14 · EU: čl. 37 odst. 1 písm. a)

Rozdíl: Rozšířený okruh subjektů musí jmenovat a financovat pověřence (čl. 37 odst. 4 to sice umožňuje, jde však o vnitrostátní rozšíření nad základní režim).
Požadavek EU: Pověřence povinně jmenují orgány veřejné moci a veřejné subjekty (s výjimkou soudů).
Požadavek ČR: Povinnost se navíc výslovně vztahuje na orgány zřízené zákonem, které plní zákonem stanovené úkoly ve veřejném zájmu.
Citace EU: zpracování provádí orgán veřejné moci či veřejný subjekt, s výjimkou soudů jednajících v rámci svých soudních pravomocí;
Citace ČR: Povinnost jmenovat pověřence pro ochranu osobních údajů podle čl. 37 odst. 1 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 mají kromě orgánů veřejné moci také orgány zřízené zákonem, které plní zákonem stanovené úkoly ve veřejném zájmu.

Dozorové pravomoci navíc neověřováno

ČR: § 58 odst. 1 · EU: čl. 90 odst. 1 (ve spojení s čl. 58 odst. 1 písm. e) a f))

Rozdíl: Šíře přístupu ÚOOÚ k profesně chráněným informacím jde nad rámec základního režimu; pro advokáty a daňové poradce zákon zavádí zvláštní součinnostní proceduru.
Požadavek EU: Nařízení předpokládá, že členské státy mohou pravomoci dozorového úřadu vůči subjektům vázaným mlčenlivostí naopak omezit zvláštními pravidly.
Požadavek ČR: Úřad je oprávněn seznamovat se se všemi informacemi včetně informací chráněných zákonnou povinností mlčenlivosti.
Citace EU: mohou členské státy přijmout zvláštní pravidla, aby stanovily pravomoci dozorových úřadů podle čl. 58 odst. 1 písm. e) a f) ve vztahu ke správcům nebo zpracovatelům
Citace ČR: Úřad je oprávněn seznamovat se se všemi informacemi nezbytnými pro plnění konkrétního úkolu. To platí i pro informace chráněné povinností mlčenlivosti podle jiného právního předpisu

Vyšší sankce neověřováno

ČR: § 61 odst. 1 a 2 · EU: —

Rozdíl: Vydavatelé a provozovatelé online médií nesou vedle režimu GDPR samostatnou přestupkovou odpovědnost projednávanou ÚOOÚ.
Požadavek EU: Nařízení neupravuje porušení zákazu zveřejnění osobních údajů podle trestního řádu ani zákona o soudnictví ve věcech mládeže.
Požadavek ČR: Zvláštní vnitrostátní přestupek s pokutou do 1 000 000 Kč, resp. do 5 000 000 Kč při spáchání médii nebo veřejně přístupnou počítačovou sítí.
Hodnoty: EU: — · ČR: 5000000 Kč
Citace EU: SMĚRNICE MLČÍ
Citace ČR: 5000000 Kč, jde-li o přestupek spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem.

Roztříštěnost úpravy neověřováno

ČR: § 20 odst. 1 (s pozn. pod čarou 4) · EU: čl. 17 odst. 1

Rozdíl: Subjekt údajů i redakce musí uplatnění práv hledat ve třech dalších zákonech s odlišnými lhůtami a procesy; fragmentace úpravy.
Požadavek EU: Právo na výmaz a jeho podmínky upravuje přímo nařízení jako jednotný režim.
Požadavek ČR: U novinářského, akademického, uměleckého a literárního zpracování se výmaz a oprava řídí jinými právními předpisy - občanským zákoníkem, tiskovým zákonem a zákonem o rozhlasovém a televizním vysílání.
Citace EU: Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
Citace ČR: V případě uplatnění práv na výmaz nebo na opravu osobních údajů, které jsou zpracovávány pro účely uvedené v § 17 odst. 1, se postupuje podle jiných právních předpisů

Nálezy — česká úprava mírnější (7)

Nevyužitá výjimka neověřováno

ČR: § 19 odst. 2 · EU: čl. 15 odst. 1

Rozdíl: Absolutní vyloučení práva na přístup (bez testu proporcionality v jednotlivém případě) u redakčních databází.
Požadavek EU: Subjekt údajů má právo na potvrzení o zpracování a na přístup k údajům a k dalším informacím.
Požadavek ČR: Právo na přístup se vůbec nepoužije u neuveřejněných údajů zpracovávaných pouze pro novinářské, akademické, umělecké nebo literární účely; v ostatních případech je lze vyloučit.
Citace EU: Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:
Citace ČR: Právo na přístup k osobním údajům podle čl. 15 a v jemu odpovídajícím rozsahu též podle čl. 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužije, pokud se jedná o osobní údaje, které nebyly správcem uveřejněny a jsou zpracovávány pouze za účelem uvedeným v § 17 odst. 1.

Nevyužitá výjimka neověřováno

ČR: § 8 · EU: čl. 13 odst. 1

Rozdíl: Individuální informační povinnost je u zpracování při plnění právní povinnosti nebo výkonu veřejné moci nahrazena zveřejněním na webu; u čl. 13 pro to nařízení oporu nedává.
Požadavek EU: Při získání údajů od subjektu údajů poskytne správce informace přímo subjektu údajů v okamžiku získání; čl. 13 nezná výjimku obdobnou čl. 14 odst. 5.
Požadavek ČR: Správce zpracovávající podle § 5 může informace podle čl. 13 i čl. 14 splnit pouhým zveřejněním způsobem umožňujícím dálkový přístup.
Citace EU: Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
Citace ČR: Pokud správce provádí zpracování osobních údajů podle § 5 a je povinen subjektu údajů poskytnout informace podle čl. 13 nebo čl. 14 odst. 1, 2 a 4 nařízení Evropského parlamentu a Rady (EU) 2016/679, může tyto informace v rozsahu odpovídajícím jím obvykle prováděnému zpracování osobních údajů poskytnout zveřejněním způsobem umožňujícím dálkový přístup.

Dokumentační zátěž neověřováno

ČR: § 10 · EU: čl. 35 odst. 10

Rozdíl: Plošná úleva od DPIA nad rámec čl. 35 odst. 10 - riziková zpracování uložená zákonem mohou zůstat zcela neposouzena.
Požadavek EU: Výjimka z DPIA platí jen pro zpracování podle čl. 6 odst. 1 písm. c) nebo e), jehož právní základ upravuje konkrétní operaci a u něhož již bylo posouzení vlivu provedeno v rámci přijímání tohoto právního základu.
Požadavek ČR: Správce nemusí provádět DPIA vždy, když mu právní předpis stanoví povinnost zpracování provést; podmínka předchozího posouzení v legislativním procesu chybí.
Citace EU: a pokud bylo posouzení vlivu na ochranu osobních údajů již provedeno jakožto součást obecného posouzení dopadů v souvislosti s přijetím uvedeného právního základu, odstavce 1 až 7 se nepoužijí
Citace ČR: Správce nemusí provádět posouzení vlivu zpracování na ochranu osobních údajů před jeho zahájením, pokud mu právní předpis stanoví povinnost takové zpracování osobních údajů provést.

Nevyužitá výjimka neověřováno

ČR: § 23 odst. 2 · EU: čl. 85 odst. 2

Rozdíl: Velmi široké plošné vynětí, včetně části dozorových pravomocí ÚOOÚ, jde na hranici testu nezbytnosti podle čl. 85 odst. 2.
Požadavek EU: Odchylky pro novinářské, akademické, umělecké a literární účely se stanoví, pokud je to NUTNÉ k uvedení ochrany údajů do souladu se svobodou projevu.
Požadavek ČR: Kapitola VII nařízení se nepoužije bez dalšího; kapitoly II, IV, V a IX a čl. 20, 22, 56 a část vyšetřovacích i nápravných pravomocí podle čl. 58 se nepoužijí, použijí přiměřeně nebo se odloží.
Citace EU: Pro zpracování pro novinářské účely nebo pro účely akademického, uměleckého či literárního projevu členské státy stanoví odchylky a výjimky z kapitoly II (zásady), kapitoly III (práva subjektu údajů), kapitoly IV (správce a zpracovatel), kapitoly V (předávání osobních údajů do třetí země nebo mezinárodní organizaci), kapitoly VI (nezávislé dozorové úřady), kapitoly VII (spolupráce a jednotnost) a kapitoly IX (zvláštní situace, při nichž dochází ke zpracování osobních údajů), pokud je to nutné k uvedení práva na ochranu osobních údajů do souladu se svobodou projevu a informací.
Citace ČR: Ustanovení kapitoly VII nařízení Evropského parlamentu a Rady (EU) 2016/679 se při zpracování uvedeném v § 17 odst. 1 nepoužijí.

Nevyužitá výjimka neověřováno

ČR: § 16 odst. 3 věta druhá · EU: čl. 89 odst. 2

Rozdíl: Mírnější test (nepřiměřené úsilí) než unijní test vážného ohrožení účelu; právo na přístup lze vyloučit snáze, než nařízení dovoluje.
Požadavek EU: Odchylky od čl. 15, 16, 18 a 21 lze stanovit jen tehdy, pokud by daná práva pravděpodobně znemožnila nebo vážně ohrozila splnění výzkumných účelů, a jen s podmínkami a zárukami podle čl. 89 odst. 1.
Požadavek ČR: Článek 15 se nepoužije již tehdy, pokud je zpracování nezbytné pro vědecký výzkum a poskytnutí informací by vyžadovalo nepřiměřené úsilí.
Citace EU: může právo Unie nebo členského státu stanovit odchylky od práv uvedených v článcích 15, 16, 18 a 21, s výhradou podmínek a záruk uvedených v odstavci 1 tohoto článku, pokud je pravděpodobné, že by daná práva znemožnila nebo vážně ohrozila splnění zvláštních účelů, a tyto odchylky jsou pro splnění těchto účelů nezbytné.
Citace ČR: Článek 15 a v jemu odpovídajícím rozsahu též článek 5 nařízení Evropského parlamentu a Rady (EU) 2016/679 se nepoužije, pokud je zpracování nezbytné pro účely vědeckého výzkumu a poskytnutí informací by vyžadovalo nepřiměřené úsilí.

Širší působnost neověřováno

ČR: § 7 · EU: čl. 8 odst. 1

Rozdíl: Nižší ochrana dětí než základní režim GDPR; poskytovatelé služeb ověřují rodičovský souhlas o rok kratší dobu.
Požadavek EU: Souhlas dítěte se službou informační společnosti je zákonný od 16 let; členský stát může snížit, ne však pod 13 let.
Požadavek ČR: ČR využila odchylku a stanovila hranici 15 let.
Hodnoty: EU: 16 · ČR: 15 roky věku
Citace EU: je zpracování osobních údajů dítěte zákonné, je-li dítě ve věku nejméně 16 let
Citace ČR: Dítě nabývá způsobilosti k udělení souhlasu se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti přímo jemu dovršením patnáctého roku věku.

Vyšší sankce sníženo

ČR: § 62 odst. 5 (a § 61 odst. 3) · EU: čl. 83 odst. 7

Rozdíl: Orgány veřejné moci a veřejné subjekty jsou v ČR fakticky zcela vyňaty z pokut podle čl. 83; sankční tlak dopadá jen na soukromý sektor.
Požadavek EU: Členský stát MŮŽE stanovit, zda a do jaké míry lze ukládat správní pokuty orgánům veřejné moci a veřejným subjektům.
Požadavek ČR: Úřad od uložení správního trestu obligatorně upustí, jde-li o správce a zpracovatele uvedené v čl. 83 odst. 7.
Ověřovatel: The CZ text is accurate (§ 62 odst. 5 'Úřad upustí' is mandatory, contrasted with the discretionary 'Úřad může upustit' in § 62 odst. 4), but Art 83(7) GDPR is an express opening clause: 'může každý členský stát stanovit pravidla týkající se toho, zda a do jaké míry je možno ukládat správní pokuty orgánům veřejné moci' (line 1789 of the EU file). Czechia simply used the option the Regulation itself invites, and the same sentence preserves the supervisory authority's corrective powers under Art 58(2) ('Aniž jsou dotčeny nápravné pravomoci dozorových úřadů podle čl. 58 odst. 2'), which § 54 and § 60 of the Act retain, so public bodies are not left unsupervised - only unfined. (důvod: not_goldplating)
Citace EU: může každý členský stát stanovit pravidla týkající se toho, zda a do jaké míry je možno ukládat správní pokuty orgánům veřejné moci a veřejným subjektům usazeným v daném členském státě.
Citace ČR: Úřad upustí od uložení správního trestu také tehdy, jde-li o správce a zpracovatele uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.