VZP ČR provádí svou činnost (veřejné zdravotní pojištění) v souladu zejména se zákonem č. 48/1997 Sb., o veřejném zdravotním pojištění, zákonem č. 592/1992 Sb., o pojistném na veřejné zdravotní pojištění a zákonem č. 551/1991 Sb., o Všeobecné zdravotní pojišťovně České republiky, tedy za účelem splnění uložených právních povinností.

Poskytovatelé zdravotních služeb jsou při své činnosti povinni řídit se zejména zákonem č. 48/1997 Sb., o veřejném zdravotním pojištění, a zákonem č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování.

Účel a prostředky zpracování osobních údajů tedy jak u VZP ČR, tak i u poskytovatele zdravotních služeb stanovil zákon a poskytovatel zdravotních služeb je stejně jako VZP ČR podle GDPR v roli samostatného správce osobních údajů. Smlouvu, kterou GDPR požaduje uzavřít v rámci vztahu mezi správcem a zpracovatelem nebo mezi společnými správci, spolu proto uzavírat nemusí.

V  souvislosti s aplikací GDPR provedla VZP ČR důkladné zrevidování stavu zpracování osobních údajů a přijala nutná opatření k plnění nových povinností, které GDPR ukládá. VZP ČR má trvale nastaven vysoký standard zabezpečení informací včetně osobních údajů.

Co se týče problematiky doručování poštovních zásilek obsahujících osobní údaje prostřednictvím provozovatele poštovních služeb, jedná se o právní vztah provozovatel poštovních služeb – adresát (příjemce) zásilky, který se řídí zákonem č. 29/2000 Sb., o poštovních službách. Dostatečným zabezpečením osobních údajů před neoprávněným přístupem dle čl. 32 GDPR je třeba rozumět vložení nosiče osobních údajů do neprůhledné korespondenční obálky před odesláním, a to především s ohledem na právní záruky, které příslušné vnitrostátní právní předpisy ČR takové korespondenci poskytují.

Ve vztahu ke smluvním poskytovatelům v rámci komunikace VZP ČR již před časem zavedla používání aplikací, které umožňují vzájemnou zabezpečenou elektronickou komunikaci.