Zákon o zpracování osobních údajů - § 34

(1) Spravující orgán pověří zpracováním osobních údajů pouze zpracovatele, který je schopen přijetím opatření podle § 32 odst. 1 účinně zajistit plnění povinností při ochraně osobních údajů.

(2) Pokud pověření zpracovatele nevyplývá z právního předpisu, spravující orgán se zpracovatelem uzavře písemnou smlouvu o zpracování osobních údajů. Nevyplývá-li to přímo z právního předpisu, smlouva především určí

a) předmět a dobu trvání zpracování osobních údajů,

b) povahu a účel zpracování osobních údajů,

c) typ osobních údajů, které budou zpracovávány,

d) kategorie subjektů údajů a

e) práva a povinnosti spravujícího orgánu.

(3) Smlouva o zpracování osobních údajů dále určí, nevyplývá-li to přímo z právního předpisu, že zpracovatel

a) jedná pouze podle pokynů spravujícího orgánu,

b) zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti,

c) pomáhá spravujícímu orgánu v plnění povinností podle této hlavy,

d) na základě pokynu spravujícího orgánu po ukončení své činnosti osobní údaje předá spravujícímu orgánu nebo je vymaže, ledaže zákon ukládá jiný postup, a

e) poskytne spravujícímu orgánu informace nezbytné pro doložení splnění povinností podle písmen a) až d) a odstavců 1 a 2.

(4) Zpracovatel vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují

a) název a kontaktní údaje spravujícího orgánu, zpracovatele a pověřence,

b) kategorie zpracování osobních údajů pro jednotlivé spravující orgány,

c) informace o předání osobních údajů do konkrétních třetích zemí nebo mezinárodních organizací a

d) obecný popis zabezpečení osobních údajů.

(5) Zpracovatel bez zbytečného odkladu oznámí spravujícímu orgánu porušení zabezpečení osobních údajů.

(6) Zpracovatel může pověřit dalšího zpracovatele jen s předchozím písemným souhlasem spravujícího orgánu. Je-li souhlas spravujícího orgánu udělen obecně pro blíže neurčeného dalšího zpracovatele, zpracovatel, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, informuje předem spravující orgán o všech připravovaných pověřeních dalších zpracovatelů. Na vztah mezi zpracovatelem, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, a dalším zpracovatelem se použijí odstavce 1 až 3 obdobně.