Zákon o zpracování osobních údajů - § 28

(1) Spravující orgán na žádost subjektu údajů sdělí, zda zpracovává osobní údaje vztahující se k jeho osobě. Jestliže takové údaje spravující orgán zpracovává, předá je subjektu údajů a sdělí mu informace o

a) účelu zpracování osobních údajů,

b) právních předpisech, na základě kterých tyto údaje převážně zpracovává,

c) příjemcích, popřípadě kategoriích příjemců,

d) předpokládané době uchování nebo způsobu jejího určení,

e) právu požádat o opravu, omezení zpracování nebo výmaz osobních údajů a

f) zdroji těchto údajů.

(2) Spravující orgán žádosti podle odstavce 1 nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení

a) plnění úkolu v oblasti předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech,

b) průběhu řízení o přestupku, kázeňském přestupku nebo jednání, které má znaky přestupku,

c) ochrany utajovaných informací, nebo

d) oprávněných zájmů třetí osoby.

(3) Pokud by vyhověním žádosti nebo sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení podle odstavce 2, spravující orgán informuje subjekt údajů stejně jako ty žadatele, jejichž osobní údaje nezpracovává.

(4) Spravující orgán vede o důvodech pro postup podle odstavců 2 a 3 dokumentaci, kterou uchovává nejméně 3 roky.