Přehled › Předpisy › GDPR-03

ePrivacy → ZEK

Směrnice 2002/58/ES o soukromí a elektronických komunikacích
Zákon č. 127/2005 Sb., o elektronických komunikacích

47.0

index přísnosti (0–100)

-2.2

rozdíl obtížnosti ČR − EU

nálezů přísnějších než EU

z toho závažných (4–5)

českých prováděcích opatření

Verdikt

Vlastní jádro směrnice 2002/58/ES (důvěrnost sdělení, provozní a lokalizační údaje, zobrazení čísla, přesměrování volání, seznamy účastníků) je v § 87 až 96 ZEK přeloženo velmi věrně, místy doslovně. Nadstavba je soustředěna do tří oblastí: plošné šestiměsíční uchovávání provozních a lokalizačních údajů podle § 97 odst. 3 s předchozím posouzením technického řešení Policií ČR (§ 97a), formalizované bezpečnostní dokumentace (§ 88, § 88a, § 98 odst. 6) a přísnější režim účastnických seznamů a marketingu (§ 95 odst. 1 písm. b), § 95 odst. 5, § 96 odst. 1 a 4). Naopak oznamování narušení bezpečnosti osobních údajů zákon vlastní úpravou neprovádí a odkazuje na GDPR, čímž práh informování účastníka spíše zvyšuje. Celkově jde o věrnou transpozici s výrazným národním nástavcem v oblasti data retention.

Po adversariálním ověření: Both severity-4+ items rest on Art 15(1), which is an express Member State option, and the retention period chosen is the EU-era minimum rather than an excess; the residual gold-plating is the security documentation regime (§ 88, § 88a, § 98 odst. 6) and the stricter directory/marketing rules extended to legal persons (§ 95, § 96), which are genuine but severity-3.

Výhrady k tomuto srovnání. 1) Dodaný český výřez obsahuje pouze § 87 až 104a (a začátek hlavy VI), tedy neobsahuje sankční § 118 až 120 ani vymezení působnosti ČTÚ a ÚOOÚ; údaje o pokutách proto pocházejí z konsolidovaného znění celého zákona v /home/claude/eu-cz/data/cz_2005-127.txt, nikoli ze souboru GDPR-03_cz.txt. 2) Český výřez zahrnuje i díly, které směrnici 2002/58/ES vůbec neprovádějí (§ 100 až 104a - rušení, ochranná pásma, oprávnění k cizím nemovitostem; § 98a - nástroj detekce Vojenského zpravodajství); ty nejsou hodnoceny jako gold-plating, neboť podle čl. 1 odst. 3 směrnice se úprava nevztahuje na bezpečnost státu. 3) § 98 a § 99 provádějí primárně čl. 13a a 13b rámcové směrnice 2002/21/ES ve znění 2009/140/ES, která není součástí porovnávaného textu; zjištění F9 je proto formulováno vůči čl. 4 odst. 1a směrnice 2002/58/ES a jeho váhu je nutno brát s rezervou. 4) Výjimka podle čl. 13 odst. 2 (soft opt-in) je v českém právu obsažena v § 7 zákona č. 480/2004 Sb.; v samotném ZEK chybí, proto je F15 klasifikováno jako roztříštěnost, nikoli jako nevyužitá výjimka. 5) Plošná retence podle § 97 odst. 3 byla po rozsudcích SDEU ve věcech C-293/12 a C-203/15 opakovaně kritizována; hodnocení zde vychází výhradně z textu směrnice, nikoli z judikatury. 6) EU text je konsolidované znění k 19. 12. 2009 (včetně změn směrnicí 2009/136/ES) a odkazuje ještě na směrnici 95/46/ES, zatímco česká úprava již odkazuje na GDPR.

Klíčové údaje

Předpis EU: Směrnice 2002/58/ES o soukromí a elektronických komunikacích (32002L0058)
Použité znění EU: 02002L0058-20091219
Český předpis: Zákon č. 127/2005 Sb., o elektronických komunikacích
Rozsah srovnání: Hlava V – ochrana údajů a důvěrnost komunikací
Kvalita párování: code-fragment
Oblast: Ochrana osobních údajů
Skóre analytika / po ověření: 58 / 42
Ověření nálezů: 0 potvrzeno, 2 sníženo, 0 vyvráceno
Sankce podle směrnice: Čl. 15a odst. 1: „Členské státy stanoví sankce, včetně případných trestních sankcí, za porušení vnitrostátních předpisů přijatých podle této směrnice... Stanovené sankce musí být účinné, přiměřené a odrazující a mohou se vztahovat k době, v níž porušení trvalo.“ Směrnice žádnou horní hranici pokuty neurčuje; čl. 15a odst. 2 a 3 požadují pravomoc nařídit zastavení protiprávního jednání a vyšetřovací pravomoci, čl. 13 odst. 6 pak soudní ochranu pro dotčené osoby.
Sankce v ČR: Zákon č. 127/2005 Sb., § 118 odst. 26: až 50 000 000 Kč nebo 10 % čistého obratu (vyšší z hodnot) mj. za přestupek podle § 118 odst. 14 písm. c) - porušení povinnosti uchovávat, předat nebo zlikvidovat provozní a lokalizační údaje podle § 97 odst. 3 - a podle § 118 odst. 1 písm. j) - obtěžování marketingovou reklamou prostřednictvím sítí nebo služeb elektronických komunikací; až 15 000 000 Kč nebo 5 % čistého obratu mj. za ohrožení důvěrnosti zpráv porušením § 89 odst. 1, § 90 odst. 2 až 6 nebo § 91 odst. 2 až 4 (§ 118 odst. 14 písm. j) a x)) a za porušení § 95 (§ 118 odst. 1 písm. s)); u fyzických osob § 119 odst. 9 maximálně 200 000 Kč. Sazba se podle § 120 odst. 3 zvyšuje na dvojnásobek při opakovaném spáchání a podle § 118 odst. 27 lze uložit i zveřejnění rozhodnutí. Tyto paragrafy leží mimo dodaný výřez § 87 až 104 (převzato z konsolidovaného znění zákona v /home/claude/eu-cz/data/cz_2005-127.txt).

Srozumitelnost

Ukazatel	Předpis EU	Český předpis	Rozdíl
Počet slov	4072	8547	+4475.0
Počet vět	138	302	+164.0
Průměrná délka věty (slov)	29.51	28.3	-1.2
Medián délky věty	27.0	27.0	0.0
Podíl vět nad 40 slov (%)	23.91	20.86	-3.1
Slov se 4+ slabikami (%)	24.85	28.3	+3.4
Křížové odkazy / 1000 slov	20.38	18.6	-1.8
Podmínkové vazby / 1000 slov	9.82	5.97	-3.9
Příkazy a zákazy / 1000 slov	12.77	14.04	+1.3
Nominalizace / 1000 slov	79.32	83.66	+4.3
Trpný rod / 1000 slov	7.61	8.31	+0.7
Vedlejších vět na větu	1.16	1.37	+0.2
INDEX OBTÍŽNOSTI	55.9	53.7	-2.2

Zarovnání ustanovení

Strojově nalezené nejtěsnější dvojice mezi paragrafy českého zákona a články směrnice. Slouží k orientaci v textu — není to měřítko gold-platingu, proč, je vysvětleno ve statistikách.

Paragraf ČR	Článek směrnice	Podobnost
§ 93	čl. 13	0.77
§ 94	čl. 11	0.70
§ 90	čl. 6	0.88
§ 98	čl. 2	0.84
§ 96	čl. 13	0.70
§ 88a	čl. 2	0.83
§ 89	čl. 2	0.83
§ 97a	čl. 2	0.79

Nálezy — česká úprava přísnější (13)

Řazeno podle závažnosti po ověření. Citace jsou doslovné; strojově ověřeno, že jsou podřetězcem zdrojového textu.

Vykazování navíc sníženo

ČR: § 97 odst. 3 · EU: čl. 15 odst. 1

Rozdíl: Z fakultativní výjimky se stala tvrdá plošná povinnost pro všechny poskytovatele – náklady na skladování, poskytování dat a likvidaci po uplynutí lhůty.
Požadavek EU: Uchovávání provozních a lokalizačních údajů je pouhou možností členského státu („mohou přijmout legislativní opatření“); základním pravidlem čl. 6 odst. 1 je výmaz či anonymizace údajů, jakmile nejsou potřebné pro přenos.
Požadavek ČR: Každá osoba zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu je povinna plošně uchovávat provozní a lokalizační údaje po dobu 6 měsíců a poskytovat je pěti okruhům orgánů.
Hodnoty: EU: — · ČR: 6 měsíce
Ověřovatel: § 97 odst. 3 reads as quoted, but Art 15(1) second sentence is an express invitation ('Za tímto účelem mohou členské státy mimo jiné přijmout legislativní opatření umožňující uchovávání údajů po omezenou dobu'), and the same consolidated EU file contains Art 15(1a): 'Odstavec 1 se nevztahuje na údaje, které se podle směrnice 2006/24/ES ... mají uchovávat' - i.e. the EU text itself points to an instrument that mandated retention of exactly these data for 6 to 24 months, and Czechia took the shortest permitted period, not a longer one. § 97 odst. 7 písm. b) and § 97 odst. 11 písm. b) further provide a State contribution to the retention costs, so the net burden is smaller than a severity-5 rating implies. (důvod: not_goldplating)
Citace EU: Za tímto účelem mohou členské státy mimo jiné přijmout legislativní opatření umožňující uchovávání údajů po omezenou dobu na základě důvodů uvedených v tomto odstavci.
Citace ČR: je povinna uchovávat po dobu 6 měsíců provozní a lokalizační údaje, které jsou vytvářeny nebo zpracovávány při zajišťování jejích veřejných komunikačních sítí

Kratší lhůty neověřováno

ČR: § 89 odst. 4 · EU: SMĚRNICE MLČÍ

Rozdíl: Nová bezplatná služba s třídenní zákonnou lhůtou a nutností provozně zajistit export dat.
Požadavek EU: Směrnice neukládá poskytovateli vydávat účastníkovi provozní a lokalizační údaje po kybernetickém incidentu.
Požadavek ČR: Podnikatel musí na žádost účastníka bezplatně a ve strojově zpracovatelné formě předat provozní a lokalizační údaje, nejpozději do 3 dnů od doručení žádosti.
Hodnoty: EU: — · ČR: 3 dny
Citace EU: SMĚRNICE MLČÍ
Citace ČR: nejpozději však do 3 dnů ode dne doručení žádosti

Dozorové pravomoci navíc sníženo

ČR: § 97a odst. 1 až 4 · EU: čl. 15 odst. 1

Rozdíl: Faktický schvalovací proces před spuštěním nebo změnou sítě/služby – oznamovací povinnost, čekací doba a povinnost akceptovat připomínky orgánu.
Požadavek EU: Směrnice žádné schvalovací ani posuzovací řízení technického řešení nepředpokládá; umožňuje pouze přijmout legislativní opatření o uchovávání údajů.
Požadavek ČR: Podnikatel musí předem požádat Policii ČR (resp. oprávněný orgán) o posouzení technického řešení a vybavení, promítnout jejich připomínky a informovat je o každé nové či podstatně obměněné síti nebo službě; posouzení trvá až 90 dnů.
Hodnoty: EU: — · ČR: 90 dny
Ověřovatel: The sharpest elements of the claim are not in § 97a: there is no approval, no permit and no waiting period - § 97a odst. 3 sets 90 days as the deadline for the AUTHORITY ('provede zejména základní technické posouzení do 90 dnů ode dne doručení úplné žádosti'), not a standstill on the operator, and nothing bars launching the network meanwhile; the duty to notify a new or substantially altered network in § 97a odst. 1 is conditional ('pokud již dříve žádala o posouzení trvalého technického řešení'), and only the optional shared solution under § 97a odst. 4 must be submitted before retention starts. What survives is a real but narrower add-on - a mandatory technical consultation plus a duty to reflect the authority's comments - affecting only providers of public networks/services, with interface costs reimbursed under § 97 odst. 7 písm. a). (důvod: misread_cz)
Citace EU: Za tímto účelem mohou členské státy mimo jiné přijmout legislativní opatření umožňující uchovávání údajů po omezenou dobu na základě důvodů uvedených v tomto odstavci.
Citace ČR: požádá o posouzení technického řešení a vybavení pro plnění povinnosti uchovávat provozní a lokalizační údaje Policii České republiky.

Širší působnost neověřováno

ČR: § 96 odst. 1 · EU: čl. 13 odst. 3

Rozdíl: Souhlas musí být projeven zápisem ve veřejném seznamu; kdo v seznamu není vůbec, je marketingově nedostupný, a marketér musí seznam ověřovat.
Požadavek EU: U jiných nevyžádaných sdělení než automatických volání, faxů a e-mailů si členský stát může vybrat mezi režimem souhlasu (opt-in) a režimem námitky (opt-out).
Požadavek ČR: Marketingová nabídka přes sítě či služby elektronických komunikací je zakázána vůči každému, kdo si ve veřejném účastnickém seznamu výslovně neuvedl, že si přeje být kontaktován.
Citace EU: nebudou povolena buď bez souhlasu dotčených účastníků či uživatelů, nebo ve vztahu k účastníkům či uživatelům, kteří si nepřejí taková sdělení dostávat, přičemž výběr z uvedených možností bude stanoven vnitrostátními právními předpisy
Citace ČR: Je zakázáno prostřednictvím sítí nebo služeb elektronických komunikací nabízet marketingovou reklamu nebo jiný obdobný způsob nabídky zboží nebo služeb účastníkům nebo uživatelům, kteří ve veřejném seznamu podle § 95 odst. 1 písm. b) nebo § 95 odst. 2 neuvedli, že si přejí být kontaktováni za účelem marketingu.

Širší působnost neověřováno

ČR: § 95 odst. 5 · EU: čl. 12

Rozdíl: Režim účastnických seznamů (a s ním zákaz marketingu podle § 96 odst. 1) dopadá i na interní databáze čísel, které žádným seznamem ve smyslu směrnice nejsou.
Požadavek EU: Článek 12 upravuje pouze tištěné či elektronické účastnické seznamy dostupné veřejnosti nebo prostřednictvím informačních služeb o účastnických číslech.
Požadavek ČR: Za vytvoření účastnického seznamu se považuje i pouhé náhodné vygenerování telefonních čísel a rovněž seznam čísel bez dalších identifikačních údajů.
Citace EU: Členské státy zajistí, aby účastníci byli informováni zdarma a před zařazením do seznamu o účelu/účelech tištěného nebo elektronického účastnického seznamu, který bude k dispozici veřejnosti nebo dosažitelný prostřednictvím informačních služeb o účastnických číslech
Citace ČR: Za vytvoření účastnického seznamu se považuje i náhodné vygenerování telefonních čísel.

Nevyužitá výjimka neověřováno

ČR: § 95 odst. 1 písm. b) · EU: čl. 12 odst. 2

Rozdíl: Vydavatelé seznamů musí sbírat a prokazovat individuální předchozí souhlas každého účastníka místo nabídnutí volby při zařazení.
Požadavek EU: Postačuje, aby účastník měl možnost určit, zda a které údaje budou v seznamu uvedeny, a možnost je ověřit, opravit či odstranit – tedy i model námitky (opt-out).
Požadavek ČR: Vydavatel seznamu musí předem získat souhlas účastníků s uveřejněním jejich osobních a identifikačních údajů; bez souhlasu nesmí být údaje uveřejněny.
Citace EU: Členské státy zajistí, aby účastníci měli možnost určit, zda jejich osobní údaje budou uvedeny ve veřejném seznamu
Citace ČR: získat předem souhlas účastníků s uveřejněním jejich osobních a identifikačních údajů

Širší působnost neověřováno

ČR: § 96 odst. 4 · EU: čl. 12 odst. 4, čl. 13 odst. 5

Rozdíl: Plný souhlasový režim (včetně zákazu B2B marketingu bez zápisu v seznamu) dopadá i na firemní kontakty, kde směrnice požaduje jen přiměřenou ochranu.
Požadavek EU: Povinnosti u seznamů (čl. 12 odst. 1 a 2) i pravidla nevyžádaných sdělení (čl. 13 odst. 1 a 3) se vztahují na účastníky, kteří jsou fyzickými osobami; u právnických osob stačí zajistit dostatečnou ochranu jejich oprávněných zájmů.
Požadavek ČR: Ustanovení § 95 a 96 se použijí obdobně i na účastníky, kteří jsou právnickými osobami, tedy včetně požadavku předchozího souhlasu.
Citace EU: Odstavce 1 a 3 se vztahují na účastníky, kteří jsou fyzickými osobami.
Citace ČR: Ustanovení § 95 a 96 se vztahují obdobně i na údaje účastníků, kteří jsou právnickými osobami.

Dokumentační zátěž neověřováno

ČR: § 89 odst. 3 · EU: čl. 5 odst. 3

Rozdíl: Ke kvalifikovanému souhlasu přistupuje důkazní/evidenční povinnost – nutnost uchovávat záznamy o každém uděleném souhlasu (cookie logy).
Požadavek EU: Ukládání informací do koncového zařízení či přístup k nim je přípustné, pokud účastník nebo uživatel poskytl souhlas po poskytnutí jasných a úplných informací, mimo jiné o účelu zpracování.
Požadavek ČR: Provozovatel musí získat předem „prokazatelný“ souhlas s rozsahem a účelem zpracování.
Citace EU: pouze pod podmínkou, že dotčený účastník či uživatel poskytl svůj souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí 95/46/ES, mimo jiné o účelu zpracování
Citace ČR: získá od těchto účastníků nebo uživatelů předem prokazatelný souhlas s rozsahem a účelem jejich zpracování

Dokumentační zátěž neověřováno

ČR: § 88 odst. 1 písm. a) a b), § 88 odst. 2 · EU: čl. 4 odst. 1 a 1a

Rozdíl: Formalizovaný dokument a písemná smlouva navíc k věcné povinnosti zabezpečení, plus předkládací povinnost vůči regulátorovi.
Požadavek EU: Poskytovatel přijme vhodná technická a organizační opatření, v případě nutnosti v součinnosti s provozovatelem sítě, a zajistí provádění bezpečnostní politiky; forma není předepsána.
Požadavek ČR: Součinnost musí být podložena písemnou dohodou, opatření musí mít podobu vnitřního technicko-organizačního předpisu a ten musí být na vyžádání předložen ČTÚ, který stanoví lhůtu k odstranění nedostatků.
Citace EU: Poskytovatel veřejně dostupných služeb elektronických komunikací musí přijmout vhodná technická a organizační opatření, aby zajistil bezpečnost svých služeb, v případě nutnosti i v součinnosti s provozovatelem veřejné komunikační sítě
Citace ČR: zpracovat pro zajištění ochrany údajů a důvěrnosti komunikací podle písmene a) vnitřní technicko-organizační předpis

Dozorové pravomoci navíc neověřováno

ČR: § 98 odst. 6 · EU: čl. 4 odst. 1a druhý pododstavec

Rozdíl: Z kontrolní pravomoci orgánu se stává placená externí auditní povinnost podnikatele.
Požadavek EU: Příslušné orgány musí být schopné provádět kontrolu přijatých opatření a vydávat doporučení k osvědčeným postupům.
Požadavek ČR: ČTÚ může uložit povinnost provést bezpečnostní audit kvalifikovaným nezávislým subjektem na náklady podnikatele a vyžádat si bezpečnostní politiku a podklady.
Citace EU: Příslušné vnitrostátní orgány musí být schopné provádět kontrolu opatření, která přijali poskytovatelé veřejně dostupných služeb elektronických komunikací, a vydávat doporučení týkající se osvědčených postupů, pokud jde o úroveň bezpečnosti, které by tato opatření měla dosáhnout.
Citace ČR: může Úřad uložit povinnost provést bezpečnostní audit. Tento audit musí být proveden kvalifikovaným nezávislým subjektem a na náklady podnikatele.

Dokumentační zátěž neověřováno

ČR: § 88a odst. 1 a 2 · EU: SMĚRNICE MLČÍ

Rozdíl: Duplicitní bezpečnostní dokumentace pro data retention vedle předpisu podle § 88 odst. 1 písm. b).
Požadavek EU: Směrnice nezná povinné uchovávání údajů pro účely orgánů činných v trestním řízení, a tedy ani navazující dokumentační povinnosti.
Požadavek ČR: Pro údaje uchovávané podle § 97 odst. 3 musí být zpracován druhý samostatný vnitřní technicko-organizační předpis a zajištěna stejná kvalita a zabezpečení jako u údajů podle § 88.
Citace EU: SMĚRNICE MLČÍ
Citace ČR: je povinna zpracovat pro zajištění ochrany údajů podle odstavce 1 vnitřní technicko-organizační předpis

Širší působnost neověřováno

ČR: § 93 odst. 2 · EU: čl. 13 odst. 4

Rozdíl: Obecný zákaz dopadá na jakoukoli komunikaci (i nemarketingovou), kde je použita cizí e-mailová adresa.
Požadavek EU: Zakazuje se pouze zasílání elektronické pošty pro účely přímého marketingu, které skrývá nebo utajuje totožnost odesílatele či je zasláno bez platné zpětné adresy.
Požadavek ČR: Zakazuje se použít adresu elektronické pošty pro odeslání jakékoli zprávy bez souhlasu držitele této adresy, bez ohledu na marketingový účel.
Citace EU: V každém případě se zakazuje praxe zasílání elektronické pošty pro účely přímého marketingu, pokud tato skrývá nebo utajuje totožnost odesílatele
Citace ČR: Použít adresu elektronické pošty pro odeslání zprávy bez souhlasu držitele této adresy elektronické pošty je zakázáno.

Roztříštěnost úpravy neověřováno

ČR: § 96 odst. 2 · EU: čl. 13 odst. 2

Rozdíl: Adresát musí skládat pravidla nevyžádaných sdělení ze dvou zákonů s dvěma dozorovými orgány (ČTÚ a ÚOOÚ) a s odlišně formulovanými výjimkami.
Požadavek EU: Členský stát musí umožnit tzv. soft opt-in: kdo získal e-mailový kontakt od zákazníka při prodeji, může jej použít pro přímý marketing vlastních obdobných produktů, je-li nabídnuta možnost odmítnutí.
Požadavek ČR: Zákon o elektronických komunikacích stanoví bezvýjimečný požadavek předchozího souhlasu; obdoba výjimky pro dosavadní zákazníky v tomto zákoně chybí a je upravena v samostatném zákoně o některých službách informační společnosti.
Citace EU: může tato fyzická či právnická osoba využít tyto elektronické kontaktní údaje pro účely přímého marketingu svých vlastních obdobných výrobků nebo služeb pouze za předpokladu, že je zákazníkům jasně a zřetelně poskytnuta možnost zdarma a jednoduchým způsobem nesouhlasit s takovým využitím
Citace ČR: Je zakázáno využívat účastnické seznamy podle § 95, síť nebo službu elektronických komunikací pro účely přímého marketingu prostřednictvím automatických systémů volání bez lidské účasti (automatická volací zařízení), faksimilních přístrojů nebo elektronické pošty, nedal-li k tomu dotčený účastník nebo uživatel předem souhlas.

Nálezy — česká úprava mírnější (2)

Širší působnost neověřováno

ČR: § 90 odst. 6 · EU: čl. 6 odst. 5

Rozdíl: Vytváří se nový účel zpracování provozních údajů a předávání třetím osobám mimo taxativní výčet čl. 6 – česká úprava je zde volnější než směrnice.
Požadavek EU: Zpracování provozních údajů musí být omezeno na osoby jednající z pověření operátora, které se zabývají účtováním, řízením provozu, požadavky zákazníků, odhalováním podvodů, marketingem nebo službami s přidanou hodnotou, a jen v nezbytném rozsahu.
Požadavek ČR: Mobilní operátoři mohou z provozních údajů hodnotit „rizikovost komunikace“ a předávat výsledky bankám, pobočkám zahraničních bank a spořitelním a úvěrním družstvům, a to bez souhlasu uživatele.
Citace EU: Zpracování provozních údajů podle odstavců 1, 2, 3 a 4 musí být omezeno na osoby, které jednají z pověření provozovatelů veřejných komunikačních sítí a poskytovatelů veřejně dostupných služeb elektronických komunikací, a které se zabývají účtováním nebo řízením provozu, požadavky zákazníků, odhalováním podvodů, marketingem služeb elektronických komunikací nebo poskytováním služeb s přidanou hodnotou
Citace ČR: hodnotit rizikovost komunikace uskutečněné prostřednictvím jejich sítě, a údaje o rizikovosti uskutečněné komunikace předávat bance

Roztříštěnost úpravy neověřováno

ČR: § 88 odst. 4 až 6 · EU: čl. 4 odst. 3

Rozdíl: Sektorová povinnost je nahrazena obecným režimem GDPR – práh pro informování účastníka je vyšší („vysoké riziko“) než v čl. 4 odst. 3 a povinnost je roztříštěna mezi ZEK, GDPR a prováděcí předpis.
Požadavek EU: Poskytovatel oznámí narušení bezpečnosti osobních údajů příslušnému orgánu bez zbytečného prodlení a dotčenému účastníkovi či jednotlivci vždy, je-li pravděpodobné, že narušení nepříznivě ovlivní jeho osobní údaje nebo soukromí.
Požadavek ČR: Zákon vlastní oznamovací režim neobsahuje a odkazuje na obecné nařízení o ochraně osobních údajů (72 hodin vůči úřadu, informování subjektu údajů až při vysokém riziku).
Citace EU: Pokud je pravděpodobné, že narušení bezpečnosti osobních údajů nepříznivě ovlivní osobní údaje nebo soukromí účastníka nebo jednotlivce, oznámí toto narušení poskytovatel bez zbytečného prodlení rovněž dotčenému účastníkovi nebo jednotlivci.
Citace ČR: V případě porušení zabezpečení osobních údajů se postupuje podle obecného nařízení o ochraně osobních údajů.