Zákon o zpracování osobních údajů je zákon č. 110/2019 Sb., účinný od 24. 4. 2019, který doplňuje evropské nařízení GDPR o české odchylky a upravuje Úřad pro ochranu osobních údajů a přestupky. Týká se firem, podnikatelů, úřadů, zaměstnavatelů, provozovatelů webů a e-shopů i každého, jehož osobní údaje někdo zpracovává.
| Číslo a název | Zákon č. 110/2019 Sb., o zpracování osobních údajů |
|---|---|
| Přijat (ze dne) | 12. 3. 2019 |
| Účinnost od | 24. 4. 2019 (§ 68: dnem vyhlášení) |
| Aktuální znění účinné od | 1. 8. 2025 |
| Poslední novela | zákon č. 230/2025 Sb. |
| Příští ohlášená změna | žádná (stav e-Sbírky k 4. 10. 2026) |
| Stav | platný a účinný |
Úplné znění a PDF ke stažení v e-Sbírce ↗
Zpracovala redakce Muj-Pravnik.cz · Citace porovnány s e-Sbírkou 4. 10. 2026 · Znění účinné od 1. 8. 2025
Ve zkratce: Hlavní pravidla nestanoví tento zákon, ale nařízení (EU) 2016/679 (GDPR), přímo použitelné od 25. 5. 2018 (čl. 99 GDPR). Český zákon na GDPR navazuje (§ 1): dítě může samo udělit souhlas u služeb informační společnosti od 15 let místo obecných 16 (§ 7, čl. 8 GDPR). Stanoví výjimky pro zpracování pro novinářské, akademické, umělecké a literární účely (§ 17–23) a upravuje Úřad pro ochranu osobních údajů (§ 50–60). Za porušení zákazu zveřejnění osobních údajů hrozí až 1 000 000 Kč, při zveřejnění tiskem nebo na internetu až 5 000 000 Kč (§ 61). Zákon zrušil dřívější zákon č. 101/2000 Sb., o ochraně osobních údajů (§ 67).
Jak s touto stránkou pracovat: Závazné je pouze znění vyhlášené ve Sbírce zákonů a mezinárodních smluv, která se od 1. 1. 2024 vede elektronicky v systému e-Sbírka. Konsolidované (úplné) znění k určitému datu má informativní povahu. Citace paragrafů na této stránce přebíráme doslovně z e-Sbírky, citace nařízení GDPR z jeho českého znění v Úředním věstníku EU (EUR-Lex). Výklad pod citacemi je obecné vysvětlení textu předpisů, nikoli posouzení vaší konkrétní situace.
Vztah zákona č. 110/2019 Sb. a nařízení GDPR
Nařízení Evropského parlamentu a Rady (EU) 2016/679, obecné nařízení o ochraně osobních údajů (GDPR), je závazné v celém rozsahu a přímo použitelné ve všech členských státech (čl. 99 odst. 2 GDPR ↗). Do českého práva se tedy nepřebírá zákonem, platí samo. Zákon č. 110/2019 Sb. proto GDPR neopakuje: podle § 1 na přímo použitelný předpis EU „navazuje“ a zároveň zapracovává směrnici (EU) 2016/680 o zpracování osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů.
| Téma | Co stanoví GDPR | Co doplňuje zákon č. 110/2019 Sb. |
|---|---|---|
| Pojmy a zásady | Definice (čl. 4), zásady (čl. 5), právní základy (čl. 6), souhlas (čl. 7) | Oprávnění zpracovávat údaje při plnění právní povinnosti nebo úkolu ve veřejném zájmu (§ 5) |
| Souhlas dítěte | U služeb informační společnosti nabízených přímo dítěti obecně 16 let, stát smí stanovit nižší věk, ne nižší než 13 let (čl. 8 odst. 1) | Hranice 15 let (§ 7) |
| Práva subjektu údajů | Přístup, oprava, výmaz, omezení zpracování, přenositelnost, námitka (čl. 15–21) | Případy, kdy se práva a povinnosti uplatní přiměřeně nebo se jejich splnění odloží (§ 11, § 12, § 16) |
| Pověřenec | Povinné jmenování v případech podle čl. 37 odst. 1 | Povinnost mají i orgány zřízené zákonem, které plní úkoly ve veřejném zájmu (§ 14) |
| Novinářské a umělecké účely | Státy mají stanovit odchylky a výjimky (čl. 85) | Konkrétní výjimky (§ 17–23) |
| Dozorový úřad | Každý stát pověří nezávislý dozorový úřad (čl. 51) | Úřad pro ochranu osobních údajů, jeho předseda a činnosti (§ 50–60) |
| Pokuty | Až 10 000 000 EUR / 2 % obratu nebo až 20 000 000 EUR / 4 % obratu podle druhu porušení (čl. 83 odst. 4 a 5) | Skutkové podstaty přestupků (§ 62), bez pokut pro orgány veřejné moci (§ 62 odst. 5), vlastní pokuty v Kč (§ 61, § 63) |
Kdy budete zákon o zpracování osobních údajů potřebovat
- Provozujete e-shop nebo web a sbíráte údaje zákazníků. Právní základy zpracování a podmínky souhlasu stanoví přímo GDPR (čl. 6 a 7), český zákon přidává hlavně přestupky (§ 62). Dokumenty pro e-shop popisuje článek vzorové obchodní podmínky pro e-shopy, k cookies článek GDPR a soubory cookies.
- Předáváte zpracování dodavateli (účetní, hosting, mailingová služba). Vztah se řídí smlouvou podle čl. 28 odst. 3 GDPR, viz článek smlouva o zpracování osobních údajů.
- Vaši službu používají i děti. U online služeb nabízených přímo dítěti může dítě samo souhlasit od 15 let (§ 7).
- Jste zaměstnavatel. Vycházet můžete ze vzoru souhlasu zaměstnance se zpracováním osobních údajů, pravidla monitoringu shrnuje článek sledování zaměstnanců.
- Píšete, natáčíte nebo publikujete. Pro novinářské, akademické, umělecké a literární účely platí výjimky (§ 17 až § 23).
- Chcete se obrátit na Úřad pro ochranu osobních údajů. Stížnost umožňuje čl. 77 GDPR, Úřad upravuje § 50 a násl. Více v článku Úřad pro ochranu osobních údajů.
Struktura zákona o zpracování osobních údajů
| Část | Co upravuje | Paragrafy |
|---|---|---|
| Hlava I: Základní ustanovení | Předmět úpravy, působnost zákona, subjekt údajů | § 1–3 |
| Hlava II, díl 1: Zpracování podle GDPR, obecná ustanovení | Souhlas dítěte, zpracování při plnění právní povinnosti, omezení práv, pověřenec, výzkum a statistika | § 4–16 |
| Hlava II, díl 2: Novinářské, akademické, umělecké a literární účely | Zákonnost zpracování a výjimky z povinností správce | § 17–23 |
| Hlava III: Trestní řízení, bezpečnost a veřejný pořádek | Zpracování údajů příslušnými orgány, včetně izolovaného systému biometrické identifikace | § 24–42 |
| Hlava IV: Obranné a bezpečnostní zájmy České republiky | Zpracování při zajišťování obrany a bezpečnosti | § 43–49 |
| Hlava V: Úřad | Úřad pro ochranu osobních údajů, předseda a místopředsedové, činnosti, výroční zpráva | § 50–60 |
| Hlava VI: Přestupky | Přestupky, pokuty a odložení věci | § 61–65 |
| Část druhá: Přechodná, zrušovací a závěrečná ustanovení | Přechod ze zákona č. 101/2000 Sb., zrušení předpisů, účinnost | § 66–68 |
Zákon má dvě části. Pro firmy a soukromé osoby jsou podstatné hlavy II, V a VI; hlavy III a IV se týkají orgánů v oblasti trestního řízení, bezpečnosti a obrany.
Klíčové paragrafy zákona o zpracování osobních údajů: doslovné znění a co znamenají
§ 1: Předmět úpravy
§ 1 zákona o zpracování osobních údajů · znění účinné od 1. 8. 2025 · e-Sbírka ↗
Tento zákon zapracovává příslušné předpisy Evropské unie1), zároveň navazuje na přímo použitelný předpis Evropské unie2) a k naplnění práva každého na ochranu soukromí upravuje práva a povinnosti při zpracování osobních údajů.
Co to znamená: Zákon sám říká, že na GDPR jen „navazuje“. Hlavní povinnosti správců a zpracovatelů i práva lidí, jejichž údaje se zpracovávají, proto hledejte v nařízení (EU) 2016/679. Poznámka pod čarou č. 1 odkazuje na směrnici (EU) 2016/680, kterou zákon zapracovává pro oblast trestního řízení a bezpečnosti.
§ 2: Působnost zákona
§ 2 zákona o zpracování osobních údajů · znění účinné od 1. 8. 2025 · e-Sbírka ↗
Tento zákon upravuje
a) zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/6792),
b) zpracování osobních údajů příslušnými orgány za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech,
c) zpracování osobních údajů při zajišťování obranných a bezpečnostních zájmů České republiky,
d) další zpracování osobních údajů, které mají být nebo jsou zařazeny do evidence nebo jejichž zpracování probíhá zcela nebo částečně automatizovaně, nejde-li o zpracování osobních údajů fyzickou osobou v průběhu výlučně osobních nebo domácích činností, a
e) postavení a pravomoc Úřadu pro ochranu osobních údajů (dále jen „Úřad“).
Co to znamená: Zákon pokrývá pět oblastí: zpracování podle GDPR, zpracování v trestní oblasti a pro bezpečnost, zpracování pro obranu, další zpracování v evidenci nebo automatizovaně a postavení Úřadu. U dalšího zpracování podle písm. d) je výslovně vyňato zpracování fyzickou osobou v průběhu výlučně osobních nebo domácích činností. Na takové zpracování se nevztahuje ani GDPR (čl. 2 odst. 2 písm. c) GDPR).
§ 7: Způsobilost dítěte pro souhlas se zpracováním osobních údajů
§ 7 zákona o zpracování osobních údajů · znění účinné od 1. 8. 2025 · e-Sbírka ↗
Dítě nabývá způsobilosti k udělení souhlasu se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti přímo jemu dovršením patnáctého roku věku.
Co to znamená: GDPR stanoví, že u služeb informační společnosti nabízených přímo dítěti je zpracování na základě souhlasu zákonné, je-li dítěti nejméně 16 let; za mladší dítě musí souhlas vyjádřit nebo schválit osoba s rodičovskou zodpovědností. Státy smějí věk snížit, nejníže na 13 let (čl. 8 odst. 1 GDPR). Česko zvolilo 15 let.
§ 14: Jmenování pověřence pro ochranu osobních údajů
§ 14 zákona o zpracování osobních údajů · znění účinné od 1. 8. 2025 · e-Sbírka ↗
Povinnost jmenovat pověřence pro ochranu osobních údajů podle čl. 37 odst. 1 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 mají kromě orgánů veřejné moci také orgány zřízené zákonem, které plní zákonem stanovené úkoly ve veřejném zájmu.
Co to znamená: Podle čl. 37 odst. 1 písm. a) GDPR musí pověřence jmenovat orgán veřejné moci či veřejný subjekt, s výjimkou soudů jednajících v rámci soudních pravomocí. Český zákon upřesňuje, že povinnost mají kromě orgánů veřejné moci také orgány zřízené zákonem, které plní zákonem stanovené úkoly ve veřejném zájmu. Soukromé firmy posuzují povinnost podle čl. 37 odst. 1 písm. b) a c) GDPR. Vzorové ujednání nabízí článek smlouva o zřízení pověřence.
§ 17: Zákonnost zpracování pro novinářské a umělecké účely
§ 17 zákona o zpracování osobních údajů · znění účinné od 1. 8. 2025 · e-Sbírka ↗
(1) Osobní údaje lze zpracovávat také tehdy, slouží-li to přiměřeným způsobem pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu. Při posouzení přiměřenosti podle věty první se přihlédne také k tomu, jestli zpracování zahrnuje osobní údaje uvedené v čl. 9 odst. 1 nebo čl. 10 nařízení Evropského parlamentu a Rady (EU) 2016/679.
(2) Zpracování osobních údajů pro účely uvedené v odstavci 1 není podmíněno povolením nebo schválením Úřadu a požívá práva na ochranu zdroje a obsahu informací, a to i v případě zpracování osobních údajů způsobem umožňujícím dálkový přístup.
Co to znamená: Zpracovat osobní údaje lze i tehdy, slouží-li to přiměřeným způsobem novinářským účelům nebo akademickému, uměleckému či literárnímu projevu. Takové zpracování nepotřebuje povolení Úřadu a požívá ochrany zdroje a obsahu informací, a to i při zpracování způsobem umožňujícím dálkový přístup, tedy například na internetu. Navazující § 18 až 23 zmírňují informační povinnost a další povinnosti správce; námitku lze vznést jen proti konkrétnímu zveřejnění (§ 22).
§ 50: Úřad pro ochranu osobních údajů
§ 50 zákona o zpracování osobních údajů · znění účinné od 1. 8. 2025 · e-Sbírka ↗
(1) Úřad je ústředním správním úřadem pro oblast ochrany osobních údajů v rozsahu stanoveném tímto zákonem, jinými právními předpisy5), mezinárodními smlouvami, které jsou součástí právního řádu, a přímo použitelnými předpisy Evropské unie.
(2) Sídlem Úřadu je Praha.
Co to znamená: Úřad pro ochranu osobních údajů (ÚOOÚ) je český dozorový úřad ve smyslu GDPR. Postupuje nezávisle (§ 51 odst. 1), řídí ho předseda, kterého jmenuje prezident republiky na návrh Senátu na 5 let, nejvýše na 2 po sobě jdoucí období (§ 52). Úřad mimo jiné schvaluje kodexy chování (§ 54 odst. 1) a projednává přestupky (§ 64).
§ 61: Přestupek zveřejnění osobních údajů
§ 61 zákona o zpracování osobních údajů · znění účinné od 1. 8. 2025 · e-Sbírka ↗
(1) Fyzická osoba, právnická osoba nebo podnikající fyzická osoba se dopustí přestupku tím, že poruší zákaz zveřejnění osobních údajů stanovený jiným právním předpisem10).
(2) Za přestupek podle odstavce 1 lze uložit pokutu do
a) 1 000 000 Kč, nebo
b) 5 000 000 Kč, jde-li o přestupek spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem.
(3) Úřad upustí od uložení správního trestu také tehdy, jde-li o subjekty uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.
Co to znamená: Přestupek může spáchat fyzická osoba, podnikatel i firma, pokud poruší zákaz zveřejnění osobních údajů stanovený jiným zákonem. Pokuta je až 1 000 000 Kč, při zveřejnění tiskem, rozhlasem, televizí, na internetu nebo obdobně účinným způsobem až 5 000 000 Kč. Veřejným subjektům podle čl. 83 odst. 7 GDPR Úřad trest neuloží (odst. 3).
§ 62: Přestupky správců a zpracovatelů podle GDPR
§ 62 odst. 1 a 5 zákona o zpracování osobních údajů · znění účinné od 1. 8. 2025 · e-Sbírka ↗
(1) Správce nebo zpracovatel podle hlavy II se dopustí přestupku tím, že
a) poruší některou z povinností podle čl. 8, 11, 25 až 39, 42 až 49 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II,
b) poruší některou ze základních zásad pro zpracování osobních údajů podle čl. 5 až 7 nebo 9 nařízení Evropského parlamentu a Rady (EU) 2016/679,
c) poruší některé z práv subjektu údajů podle čl. 12 až 22 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II,
d) nesplní příkaz nebo poruší omezení zpracování osobních údajů nebo nedodrží přerušení toků údajů uložené Úřadem podle čl. 58 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679, nebo
e) neposkytne Úřadu přístup k údajům, informacím a prostorám podle čl. 58 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679.
(5) Úřad upustí od uložení správního trestu také tehdy, jde-li o správce a zpracovatele uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.
Co to znamená: Porušení povinností, zásad nebo práv subjektu údajů podle GDPR je v Česku přestupkem. Výši pokuty § 62 neuvádí, plyne z čl. 83 GDPR: až 10 000 000 EUR, u podniku až 2 % celkového ročního obratu celosvětově za předchozí finanční rok (např. čl. 8, 11, 25 až 39), u zásad, souhlasu a práv subjektu údajů až 20 000 000 EUR, u podniku až 4 %, vždy podle toho, která hodnota je vyšší. Úřady, obce a další veřejné subjekty podle čl. 83 odst. 7 GDPR pokutu nedostanou (odst. 5), Úřad jim ale může uložit opatření k nápravě (§ 60).
Časové verze znění
Zákon je účinný od 24. 4. 2019 a byl novelizován třikrát:
| Účinné od | Účinné do | Novela | Stav | e-Sbírka |
|---|---|---|---|---|
| 1. 8. 2025 | – | zákon č. 230/2025 Sb. | aktuální | znění ↗ |
| 1. 7. 2025 | 31. 7. 2025 | zákon č. 218/2025 Sb. | minulé | znění ↗ |
| 1. 1. 2025 | 30. 6. 2025 | zákon č. 448/2024 Sb. | minulé | znění ↗ |
| 24. 4. 2019 | 31. 12. 2024 | – | minulé | znění ↗ |
E-Sbírka vede u zákona o zpracování osobních údajů 4 účinných znění. Tabulka ukazuje aktuální znění, tři předchozí verze včetně původního znění. Stav k 4. 10. 2026.
Co se v zákoně o zpracování osobních údajů změnilo
- Od 1. 1. 2025 (zákon č. 448/2024 Sb.): Vůči předsedovi Úřadu není nadřízeným služebním orgánem nejvyšší státní tajemník (dříve náměstek ministra vnitra pro státní službu) a z textu vypadla zmínka o kárné komisi zřízené v Úřadu (§ 51 odst. 3).
- Od 1. 7. 2025 (zákon č. 218/2025 Sb.): Z § 64 bylo vypuštěno ustanovení „Pokutu vybírá Úřad“; zůstalo jen pravidlo, že přestupky podle tohoto zákona projednává Úřad.
- Od 1. 8. 2025 (zákon č. 230/2025 Sb.): Nové § 39a až 39c upravují izolovaný systém umělé inteligence pro vzdálenou biometrickou identifikaci osob v reálném čase podle nařízení (EU) 2024/1689 v prostoru mezinárodního letiště. Používání předem písemně povoluje předseda senátu vrchního soudu, nejdéle na 12 měsíců s možností opakovaného prodloužení vždy o dalších 12 měsíců (§ 39b odst. 2 a 8). Dále: místopředsedou Úřadu může být občan od 35 let (§ 53 odst. 3), kritéria podle čl. 41 až 43 GDPR stanoví Úřad opatřením obecné povahy místo vyhlášky (§ 54 odst. 1 písm. d), nový § 54a o rozhodování o kodexech chování a nové přestupky související s izolovaným systémem s pokutou do 10 000 000 Kč (§ 63 odst. 2 a 4).
Související články a vzory
- Smlouva o zpracování osobních údajů (zpracovatelská smlouva podle GDPR)
- Vzor souhlasu zaměstnance se zpracováním osobních údajů
- Úřad pro ochranu osobních údajů: co dělá a kdy se na něj obrátit
- Vzorové obchodní podmínky pro e-shopy včetně zásad ochrany osobních údajů
- GDPR a soubory cookies: chyby, nedostatky a pokuty
- Sledování zaměstnanců: pravidla a limity
- Kamery v bytových domech
- Zákoník práce: průvodce a klíčové paragrafy a zákon o odpovědnosti za přestupky
Nejčastější otázky
Jaký je rozdíl mezi GDPR a zákonem o zpracování osobních údajů?
GDPR je přímo použitelné nařízení EU 2016/679 s hlavními pravidly: zásady, právní základy, práva lidí a povinnosti správců. Zákon č. 110/2019 Sb. na něj navazuje (§ 1) a upravuje jen to, co GDPR nechává státům: například věk 15 let pro souhlas dítěte (§ 7), výjimky pro novinářské účely (§ 17–23), Úřad pro ochranu osobních údajů (§ 50–60) a přestupky (§ 61–65).
Od kolika let může dítě samo dát souhlas se zpracováním osobních údajů?
V Česku od 15 let, a to u souhlasu se zpracováním údajů v souvislosti s nabídkou služeb informační společnosti přímo dítěti (§ 7). Bez české úpravy by platila obecná hranice GDPR 16 let (čl. 8 odst. 1 GDPR). U mladšího dítěte musí souhlas vyjádřit nebo schválit osoba, která k němu vykonává rodičovskou zodpovědnost (čl. 8 odst. 1 GDPR).
Jaké pokuty hrozí za porušení GDPR v Česku?
Za porušení GDPR hrozí správní pokuty až 10 000 000 EUR, u podniku až 2 % celkového ročního obratu celosvětově, u závažnějších porušení až 20 000 000 EUR, u podniku až 4 % obratu, podle toho, která hodnota je vyšší (čl. 83 odst. 4 a 5 GDPR); skutkové podstaty vymezuje § 62 zákona. Za porušení zákazu zveřejnění osobních údajů lze uložit až 1 000 000 Kč, při zveřejnění tiskem nebo na internetu až 5 000 000 Kč (§ 61).
Co dělá Úřad pro ochranu osobních údajů?
Úřad pro ochranu osobních údajů je ústřední správní úřad se sídlem v Praze (§ 50); jeho předseda se považuje za člena dozorového úřadu podle čl. 53 GDPR (§ 52 odst. 1). Projednává přestupky (§ 64), může uložit opatření k odstranění nedostatků (§ 60), schvaluje kodexy chování a provádí audity podle kontrolního řádu (§ 54 odst. 1). Stížnost můžete podat podle čl. 77 GDPR.
Platí ještě zákon č. 101/2000 Sb., o ochraně osobních údajů?
Neplatí. Zákon č. 101/2000 Sb. byl zrušen zákonem o zpracování osobních údajů s účinností od 24. 4. 2019 (§ 67 bod 1 a § 68). Souhlas udělený podle starého zákona se považuje za souhlas podle GDPR, pokud byl udělen způsobem, který je s nařízením v souladu (§ 66 odst. 7).
Musím mít pověřence pro ochranu osobních údajů?
Záleží na tom, kdo jste. Pověřence musí jmenovat orgány veřejné moci a veřejné subjekty (čl. 37 odst. 1 písm. a) GDPR) a podle § 14 také orgány zřízené zákonem plnící úkoly ve veřejném zájmu. Firmy jej musí mít tehdy, když jejich hlavní činností je rozsáhlé pravidelné a systematické monitorování osob nebo rozsáhlé zpracování zvláštních kategorií údajů či údajů o trestných činech (čl. 37 odst. 1 písm. b) a c) GDPR).
Jak tuto stránku připravujeme
Stránku připravuje redakce Muj-Pravnik.cz. Text zákona a citace paragrafů přebíráme z e-Sbírky (Ministerstvo vnitra), změny ověřujeme v seznamu časových verzí e-Sbírky. Údaje o nařízení GDPR ověřujeme v jeho českém znění na EUR-Lex. Naposledy porovnáno 4. 10. 2026. Pokud najdete chybu, můžete nám ji nahlásit přes kontaktní formulář.
Upozornění: Tato stránka má informativní charakter a shrnuje obecně text zákona č. 110/2019 Sb. a nařízení (EU) 2016/679. Nenahrazuje posouzení konkrétní situace a není právní službou. Závazné je znění předpisů vyhlášené ve Sbírce zákonů a mezinárodních smluv a v Úředním věstníku Evropské unie.