Aktualizováno k 3. 7. 2026
Rychlé odpovědi na klíčové otázky kolem zákona o správě dat a řízeném přístupu. Zjistěte na jednom místě, jaké povinnosti a příležitosti legislativa přináší.
Zákon se věcně vztahuje na data a provozní údaje vedené v ISVS. Správcem dat je pro účely tohoto zákona definován správce ISVS podle zákona o informačních systémech veřejné správy. Povinnými subjekty jsou tedy všichni tito správci ISVS, pokud jejich systém nespadá pod zákonné výluky.
Právní základ: [§ 2 odst. 1] a [§ 4 ZoSD]
ZoSD v § 4 stanoví že „správcem dat“ je výhradně „správce ISVS“ podle zákona č. 365/2000 Sb., o informačních systémech veřejné správy.
Zákon č. 365/2000 Sb., o ISVS nezná a nepoužívá pojem „technický správce“. Namísto toho definuje pojem „provozovatel“ informačního systému, kterým je subjekt zajišťující funkčnost ISVS po technické, programové a organizační stránce.
Z hlediska odpovědnosti dopadají veškeré povinnosti podle tohoto zákona (včetně popisu dat metadaty, vedení lokálního katalogu dat a rozhodování o povolení řízeného přístupu) ex lege primárně na správce dat – tedy na tzv. věcného správce (resort či orgán veřejné moci, který poskytuje služby ISVS a za systém právně odpovídá). Technický správce (provozovatel) či externí technologický dodavatel zajišťuje pouze technologickou realizaci. Pokud správce dat k provozu ISVS využívá služeb provozovatele, je povinen si k datům a provozním údajům smluvně a technicky zajistit nepřetržitý a úplný přístup.
Právní základ: [§ 4] a [§ 5 odst. 2 ZoSD] v návaznosti na [§ 2 odst. 1 písm. d) ZoISVS]
Zákon se vůbec nevztahuje na data a provozní údaje, které obsahují utajované informace. Dále jsou z působnosti zákona kompletně vyjmuty:
Pozor u vícedílných ISVS:
Právní základ: [§ 2 odst. 2] [§ 2 odst. 3] [§ 2 odst. 4] [§ 2 odst. 5 ZoSD]
Pokud je ISVS tvořen více funkčně oddělenými částmi, zákon konstruuje pravidlo parciální výluky. Výluka z působnosti zákona (ať už z důvodu obsahu utajovaných informací, nebo z důvodu specifického účelu systému, jako je obrana či bezpečnost) se uplatňuje výhradně a pouze pro ty konkrétní části systému, které reálně slouží těmto zákonem vymezeným účelům. Ostatní funkčně oddělené části téhož ISVS podléhají plnému režimu zákona.
Právní základ: [§ 2 odst. 2] [§ 2 odst. 3] [§ 2 odst. 5 ZoSD]
Pro účely zákona jsou tyto pojmy definovány striktně legálními definicemi:
Právní základ: [§ 3 písm. a)] [§ 3 písm. b)] [§ 3 písm. c) ZoSD]
Zákon se nevztahuje na data a provozní údaje vedené v elektronických systémech spisové služby, které jsou atestovány podle zákona upravujícího archivnictví a spisovou službu. Tato výluka trvá i v případě, že se v průběhu platnosti atestu systém změní, nebo pokud byl atest po revizi zneplatněn. Výluka se rovněž vztahuje na systémy spisové služby, na které se požadavek atestace vůbec nevztahuje.
Právní základ: [§ 2 odst. 4 ZoSD]
Zákon v souladu s čl. 7 nařízení o evropské správě dat (DGA) taxativně určuje čtyři příslušné subjekty pro specifické oblasti dat:
Právní základ: [§ 29 odst. 1 ZoSD] v návaznosti na [čl. 7 Nařízení Evropského parlamentu a Rady (EU) 2022/868]
Správce dat je povinen při jakékoliv operaci s daty a provozními údajích chránit jejich důvěryhodnost, užitečnost a význam. Pokud k provozu ISVS využívá externího provozovatele, musí mít smluvně a technicky zajištěn nepřetržitý a úplný přístup k těmto datům. Klíčovou povinností je povinnost stanovit, uplatňovat v praxi a zajišťovat dodržování "vnitřních praviděl pro správu dat, provozních údajů a datových rozhraní", která definují principy a opatření pro řádnou správu.
Právní základ: [§ 5 ZoSD]
Správce dat má povinnost popsat data vedená v ISVS do datového slovníku a jím vytvářená datová rozhraní metadaty. Tento popis musí splňovat dvě hlavní podmínky:
Tuto konkrétní OFN momentálně DIA připravuje. Zveřejněna bude v srpnu 2026 na webu data.gov.cz/ofn. Jakmile vyjde, bude pro vás závazná.
Právní základ: [§ 6 odst. 1] [§ 6 odst. 2 ZoSD]
Lokální katalog dat je technický nástroj, který správce dat povinně vytváří a spravuje. Do LKD zapisuje vygenerovaná metadata podle § 6, ledaže by tomu bránily zákonné překážky (utajované skutečnosti, oprávněný zájem státu/třetích osob). Správce dat je povinen LKD průběžně aktualizovat; změnu rozsahu nebo podoby spravovaných dat či poskytovaných rozhraní musí zapsat nejpozději do 7 pracovních dnů od jejího zjištění. Obsah LKD se povinně zveřejňuje prostřednictvím národního katalogu dat.
Právní základ: [§ 7 ZoSD]
Zákon rozlišuje tři úrovně povinností:
Právní základ: [§ 8 odst. 1] [§ 8 odst. 2] [§ 8 odst. 3 ZoSD]
Právní základ: [§ 9] a [§ 10 ZoSD]
Řízený přístup k datům je zákonný režim umožňující zabezpečené opakované užití chráněných dat vedených v ISVS. Neslouží k běžnému zveřejnění dat ani k nahrazení otevřených dat, ale k tomu, aby bylo možné bezpečně využít data, která nelze volně zveřejnit například kvůli ochraně osobních údajů, obchodního tajemství, statistické důvěrnosti nebo práv třetích osob.
Právní základ: [§ 11 odst 1 ZoSD]
Věcná příslušnost se odvíjí od rozsahu požadovaných dat:
Právní základ: [§ 12 písm. a)] [§ 12 písm. b)] [§ 12 písm. c) ZoSD]
Řízený přístup k datům lze povolit výhradně pro tři zákonem uznané účely: a) vědecký výzkum, b) kontrola veřejné správy, c) výuka a vzdělávání. Žádost se podává obligatorně DIA prostřednictvím národního katalogu dat, a to formou elektronického formuláře. Pokud DIA není povolujícím orgánem, postoupí žádost věcně příslušnému správci či subjektu. Zvláštní režim platí pro organizační složky státu, kde se řízený přístup zajišťuje na vyžádání pro tvorbu a vyhodnocování veřejných politik, RIA nebo analýzu výkonu veřejné správy.
Právní základ: [§ 13 odst. 1] [§ 27] a [§ 16 odst. 1 ZoSD]
Projekt využití dat musí obsahovat: vymezení požadovaných dat, podrobný popis účelu, formu a způsob zajištění přístupu (včetně míry anonymizace či agregace), dobu trvání přístupu, popis plánovaného životního cyklu získaných dat, popis their technického zabezpečení a jmenný seznam fyzických osob, které budou mít k datům reálný přístup.
U žádosti za účelem vědeckého výzkumu musí žadatel navíc uvést informace dokládající odbornou způsobilost, zejména znalosti a zkušenosti s prováděním výzkumu, označení výzkumné instituce, popis zamýšleného výzkumu a případně další dokumenty nebo vyjádření etické komise.
Právní základ: [§ 16 odst. 2] [§ 16 odst. 3 ZoSD]
Žadatel může před podáním samotné žádosti požádat o předběžnou informaci prostřednictvím národního katalogu dat. Příslušný správní orgán (DIA, správce dat či příslušný subjekt) má povinnost ji poskytnout do 30 dnů od obdržení. Obsahem předběžné informace jsou údaje o možnostech a podmínkách povolení přístupu, hlediscích posuzování, předpokladech vyhovění a určení správců dat, jejichž závazným stanoviskem bude rozhodnutí podmíněno.
Právní základ: [§ 15 ZoSD]
Pokud je povolujícím orgánem DIA a dochází k propojování dat různých správců, DIA si musí vyžádat závazné stanovisko dotčených správců (nebo vyjádření, pokud správce není správním orgánem). Pokud byť jediný dotčený správce dat nebo příslušný subjekt nevydá souhlasné závazné stanovisko či vyjádření, DIA musí žádost zamítnout. Platí zde princip absolutního konsensu všech dotčených poskytovatelů.
Právní základ: [§ 17 odst. 3], [§ 19], [§ 20] a [§ 21 ZoSD] v návaznosti na [čl. 9 odst. 1 Nařízení Evropského parlamentu a Rady (EU) 2022/868]
Obecným a striktním pravidlem je, že řízený přístup k datům lze povolit pouze k datům v plně anonymizované podobě. Výjimka je přípustná exkluzivně pro účel vědeckého výzkumu: pokud vzhledem k vědeckému účelu žádosti není objektivně možné poskytnout data plně anonymizovaná, lze přístup povolit k datům, která umožňují pouze nepřímou identifikaci osob (pseudonymizovaná data).
Právní základ: [§ 13 odst. 3] [§ 13 odst. 4 ZoSD]
Přístup nelze povolit, pokud by došlo k nepřiměřenému zásahu do zájmů obrany a bezpečnosti státu, krizového řízení, ochrany zájmů ČR v zahraničí, bankovního tajemství, mlčenlivosti dle daňového řádu, probíhající kontroly/řízení nebo plnění úkolů zpravodajských služeb. Zcela absolutně je pak zakázáno povolit přístup k: biometrickým údajům, lokalizačním datům pohybu osob či vozidel, datům o mezinárodní ochraně a pobytovém řízení cizinců, datům z probíhajícího trestního řízení a datům o činnosti orgánů činných v trestním řízení či bezpečnostních sborů, pokud by to ohrozilo práva třetích osob nebo výkon veřejné moci.
Právní základ: [§ 14 odst. 1] a [§ 14 odst. 2 ZoSD]
Povolující orgán může uložit opatření k nápravě, změnit nebo zrušit rozhodnutí a v případě přestupku může být uložena pokuta. Zvlášť závažné je opětovné ztotožnění osob, neoprávněné propojení dat, použití dat k jinému účelu nebo porušení technického zabezpečení.
Právní základ: [§ 26 odst. 1] [§ 26 odst. 2] [§ 26 odst. 3] [§ 31 odst. 2] [§ 33 odst. 1] [§ 33 odst. 2] [§ 33 odst. 3 ZoSD]
Pokud lze data zveřejnit jako otevřená data nebo poskytnout běžným informačním režimem, nemá být řízený přístup prvním nástrojem. Řízený přístup je vhodný tam, kde existuje legitimní účel opakovaného užití, ale zároveň je nutné chránit práva a zájmy třetích osob nebo veřejné zájmy a data proto nelze volně zveřejnit.
Pro zajištění řízeného přístupu k datům podle tohoto zákona není vyžadován souhlas subjektu údajů. Zpracování dat (která v režimu nepřímé identifikace pro vědecké účely naplňují definici pseudonymizovaných osobních údajů) je plně legitimováno zákonným rámcem. Relevantním právním titulem pro toto zpracování je splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce dat (povinný úřad) pověřen.
Rizikovost tohoto zpracování pro práva a svobody fyzických osob je minimalizována ex lege, a to povinným uplatněním silné anonymizace, případně pseudonymizace (zajišťující pouze nepřímou identifikaci). Vzhledem k tomu, že data jsou poskytována v bezpečně modifikované podobě a pro specifické zákonné účely (vědecký výzkum, kontrola veřejné správy, výuka), spadá tento proces pod obecné výjimky z informační povinnosti správce vůči subjektům údajů podle GDPR, neboť plnění této povinnosti by v daném kontextu bylo pro úřad nemožné nebo by vyžadovalo nepřiměřené úsilí.
Právní základ: [§ 13 odst. 1] [§ 13 odst. 3] [§ 13 odst. 4 ZoSD] v návaznosti na [čl. 6 odst. 1 písm. e)] a [čl. 14 odst. 5 písm. b) Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR)]
GDPR se plně aplikuje. Pokud v průběhu zajištění řízeného přístupu dochází ke zpracování osobních údajů, je nezbytné postupovat tak, aby byla zajištěna jejich ochrana. K tomu náleží zejména povinnost, aby během přípravy finálního výstupu došlo k precizní anonymizaci. Pokud požadovaná data mají zůstat osobními údajimi (což je přípustné pouze v případě velmi silně pseudonymizovaných dat pro vědecké účely nebo pro analýzy organizačních složek státu, pokud nejsou anonymizovaná data pro dané účely dostatečná), má povolující správní orgán (správce dat nebo příslušný subjekt) po předání žádosti DIA obligatorní povinnost provést posouzení vlivu řízeného přístupu k datům na ochranu osobních údajů (odpovídající mechanismu DPIA). Správce si za tímto účelem vyžaduje součinnost podle čl. 7 nařízení o evropské správě dat (DGA) nebo vyjádření DIA.
Právní základ: [§ 18 odst. 1] [§ 27 odst. 4 ZoSD] v návaznosti na [Nařízení (EU) 2016/679 (GDPR)]
Řízený přístup k datům představuje specifický právní režim směřující k bezpečnému, opakovanému užití chráněných dat (data spadající pod DGA), nikoliv k prostému poskytování informací podle zákona č. 106/1999 Sb. Tento zákon se aplikuje na data vedená v ISVS, u kterých standardní režim volného poskytnutí informací naráží na limity ochrany práv třetích osob (např. obchodní tajemství, ochrana osobních údajů). Procesní postupy, lhůty, zpoplatnění i formy zpřístupnění (bezpečné zpracovatelské prostředí) jsou plně autonomní a odlišné od režimu zákona č. 106/1999 Sb.
Právní základ: [§ 11 odst. 1 ZoSD] v návaznosti na [Nařízení Evropského parlamentu a Rady (EU) 2022/868]
Zákon zavádí dvousložkový finanční model:
Právní základ: [§ 23] a [§ 39 ZoSD]
Kontrolním a dohledovým orgánem nad správci dat (úřady) je z moci zákona DIA. Pokud DIA při kontrole zjistí nedostatky v plnění povinností stanovených tímto zákonem nebo nařízením o evropské správě dat, je oprávněna uložit správci dat opatření k nápravě. Pro splnění tohoto opatření stanoví lhůtu, která nesmí přesáhnout 6 měsíců.
Právní základ: [§ 31 odst. 1 ZoSD]
Kontrolu nad osobou, které byl přístup povolen, vykonává povolující správní orgán. Ten rozhodnutí o povolení přístupu zruší z moci úřední, pokud uživatel opakovaně či závažně porušil povinnosti, pokud byla ohrožena bezpečnost dat, data byla použita k jinému účelu, nebo pokud uživatel nesplnil uložené opatření k nápravě. Pokud v průběhu kontroly vyjde najevo, že uživatel neoprávněně využívá poskytnuté osobní údaje, má úřad zákonnou povinnost neprodleně informovat Úřad pro ochranu osobních údajů (ÚOOÚ).
Právní základ: [§ 25 odst. 2] a [§ 31 odst. 2 ZoSD]
Správce dat se dopustí přestupku, pokud:
Právní základ: [§ 32 odst. 1] a [§ 32 odst. 2 ZoSD]
Uživatelům (osobám s povoleným přístupem) je přísně zakázáno provést opětovnou identifikaci subjektů údajů, provést neoprávněné propojení dat, použít data k jinému účelu nebo porušit technické zabezpečení. Jsou povinni přijmout technicko-provozní opatření proti reidentifikaci, zajistit písemná prohlášení o důvěrnosti od všech osob s přístupem a hlásit porušení ochrany dat. Za porušení podmínek rozhodnutí či neoznámení incidentu hrozí pokuta do 5 000 000 Kč. Za provedení reidentifikace, neoprávněné propojení dat, zneužití účelu či porušení technického zabezpečení hrozí pokuta až do výše 10 000 000 Kč.
Právní základ: [§ 26 odst. 1] a [§ 33 odst. 1] a [§ 33 odst. 3 ZoSD]
Ano, zákon konstruuje samostatnou odpovědnost za přestupky pro fyzické osoby, které mají k datům přístup na základě prohlášení o důvěrnosti podle § 26 odst. 3 písm. b). Pokud tato fyzická osoba provede opětovnou identifikaci, neoprávněně propojí data, použije je k jinému účelu, poruší technické zabezpečení nebo poruší pravidla pro předávání neosobních údajů do třetích zemí podle DGA, dopouští se samostatného přestupku, za který jí lze uložit pokutu do výše 10 000 000 Kč.
Právní základ: [§ 33 odst. 2] a [§ 33 odst. 3 písm. b) ZoSD]
Zákon vykazuje komplexní dělenou účinnost:
Právní základ: [§ 41 ZoSD]