§ 34
Zpracovatel
(1) Spravující orgán pověří zpracováním osobních údajů pouze zpracovatele, který je schopen přijetím opatření podle § 32 odst. 1 účinně zajistit plnění povinností při ochraně osobních údajů.
(2) Pokud pověření zpracovatele nevyplývá z právního předpisu, spravující orgán se zpracovatelem uzavře písemnou smlouvu o zpracování osobních údajů. Nevyplývá-li to přímo z právního předpisu, smlouva především určí
a) předmět a dobu trvání zpracování osobních údajů,
b) povahu a účel zpracování osobních údajů,
c) typ osobních údajů, které budou zpracovávány,
d) kategorie subjektů údajů a
e) práva a povinnosti spravujícího orgánu.
(3) Smlouva o zpracování osobních údajů dále určí, nevyplývá-li to přímo z právního předpisu, že zpracovatel
a) jedná pouze podle pokynů spravujícího orgánu,
b) zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti,
c) pomáhá spravujícímu orgánu v plnění povinností podle této hlavy,
d) na základě pokynu spravujícího orgánu po ukončení své činnosti osobní údaje předá spravujícímu orgánu nebo je vymaže, ledaže zákon ukládá jiný postup, a
e) poskytne spravujícímu orgánu informace nezbytné pro doložení splnění povinností podle písmen a) až d) a odstavců 1 a 2.
(4) Zpracovatel vede písemné přehledy o všech typových činnostech zpracování osobních údajů, které obsahují
a) název a kontaktní údaje spravujícího orgánu, zpracovatele a pověřence,
b) kategorie zpracování osobních údajů pro jednotlivé spravující orgány,
c) informace o předání osobních údajů do konkrétních třetích zemí nebo mezinárodních organizací a
d) obecný popis zabezpečení osobních údajů.
(5) Zpracovatel bez zbytečného odkladu oznámí spravujícímu orgánu porušení zabezpečení osobních údajů.
(6) Zpracovatel může pověřit dalšího zpracovatele jen s předchozím písemným souhlasem spravujícího orgánu. Je-li souhlas spravujícího orgánu udělen obecně pro blíže neurčeného dalšího zpracovatele, zpracovatel, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, informuje předem spravující orgán o všech připravovaných pověřeních dalších zpracovatelů. Na vztah mezi zpracovatelem, se kterým spravující orgán uzavřel smlouvu o zpracování osobních údajů, a dalším zpracovatelem se použijí odstavce 1 až 3 obdobně.