Zákon o zpracování osobních údajů - § 32

(1) Spravující orgán s přihlédnutím k povaze, rozsahu, okolnostem, účelům a rizikům zpracování osobních údajů přijme taková technická a organizační opatření, aby zajistil a doložil splnění svých povinností při ochraně osobních údajů.

(2) Spravující orgán s přihlédnutím k povaze, rozsahu, okolnostem, účelům a rizikům zpracování osobních údajů, vývoji techniky a nákladům přijímá technická a organizační opatření s cílem

a) co nejúčinněji chránit osobní údaje,

b) omezovat nepřiměřené zpracování osobních údajů,

c) omezovat zpracování osobních údajů, které není nezbytné kvůli svému rozsahu, množství údajů, době jejich uložení nebo jejich dostupnosti,

d) poskytovat nezbytné záruky práv subjektu údajů a

e) předcházet automatickému zveřejňování osobních údajů.

(3) Spravující orgán vede o opatřeních přijatých podle odstavců 1 a 2 dokumentaci, kterou uchovává po dobu zpracování osobních údajů.

(4) Spravující orgán vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují

a) název a kontaktní údaje spravujícího orgánu a pověřence,

b) účel zpracování osobních údajů,

c) kategorie příjemců nebo budoucích příjemců,

d) kategorie subjektů údajů a kategorie osobních údajů,

e) informaci, zda a jak je použito profilování,

f) kategorie přenosů do třetích zemí nebo mezinárodních organizací,

g) právní základ pro operace zpracování, pro něž jsou osobní údaje určeny,

h) lhůty pro výmaz nebo přezkum potřebnosti kategorií osobních údajů a

i) obecný popis zabezpečení osobních údajů.

(5) Dojde-li k nesprávnému předání nebo k předání nepřesných osobních údajů, spravující orgán o tom bez zbytečného odkladu informuje příjemce těchto údajů a orgán příslušný pro plnění účelu uvedeného v § 24 odst. 1, který je jejich původcem. Pokud spravující orgán provedl opravu, doplnění, omezení zpracování nebo výmaz osobních údajů, vyrozumí o nutnosti takového postupu rovněž příjemce těchto údajů.