Ochrana osobnch dajov v personlnej a mzdovej agende

Ochrana osobných údajov v personálnej a mzdovej agende Lektor: JUDr. Marcela Macová, Ph. D.

Pramene práva Smernica Európskeho parlamentu a Rady č. 46 (95/46/ES) o ochrane jednotlivcov pri spracúvaní osobných údajov a voľnom pohybe takýchto údajov Nariadenie o ochrane osobných údajov NOVÉ – platné od 25. 5. 2016 a účinné od 25. 5. 2018 Zákon č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov účinný od 1. júla 2013 Novela zákona č. 84/2014 Z. z. účinná od 15. apríla 2014 Predpis č. 165/2013 Z. z. Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky, ktorou sa ustanovujú podrobnosti o skúške fyzickej osoby na výkon funkcie zodpovednej osoby Predpis č. 164/2013 Z. z. Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky o rozsahu a dokumentácii bezpečnostných opatrení Novela vyhlášky č. 117/2014 Z. z. účinná od 1. mája 2014 2

Predmet zákona § 1 Tento zákon upravuje • ochranu práv fyzických osôb pred neoprávneným zasahovaním do ich súkromného života pri spracúvaní ich osobných údajov, • práva, povinnosti a zodpovednosť pri spracúvaní osobných údajov fyzických osôb, • postavenie, pôsobnosť a organizáciu Úradu na ochranu osobných údajov Slovenskej republiky 3

Pôsobnosť zákona § 2 Tento zákon sa vzťahuje na každého, kto spracúva osobné údaje, určuje účel a prostriedky spracúvania alebo poskytuje osobné údaje na spracúvanie. Tento zákon sa vzťahuje na osobné údaje systematicky spracúvané úplne alebo čiastočne automatizovanými prostriedkami spracúvania alebo inými ako automatizovanými prostriedkami spracúvania, ktoré sú súčasťou informačného systému alebo sú určené na spracúvanie v informačnom systéme. 4

Pôsobnosť zákona § 3 Ustanovenia § 6 ods. 2 až 5, § 8 ods. 5, § 15 ods. 1, 2 a 8, § 28 ods. 1 a § 44 sa nevzťahujú na spracúvanie osobných údajov nevyhnutných na zabezpečenie verejného záujmu, ak prevádzkovateľ plní povinnosti výslovne ustanovené osobitným zákonom určené na zaistenie napr. bezpečnosti Slovenskej republiky, obrany Slovenskej republiky napríklad zákon č. 319/2002 Z. z. o obrane Slovenskej republiky v znení neskorších predpisov, zákon č. 321/2002 Z. z. o ozbrojených silách Slovenskej republiky zákon č. 179/2011 Z. z. o hospodárskej mobilizácii a o zmene a doplnení zákona č. 387/2002 Z. z. o riadení štátu v krízových situáciách mimo času vojny a vojnového stavu v znení neskorších predpisov, verejného poriadku a bezpečnosti ) 5

Pôsobnosť zákona § 3 ods. 2 Zákon sa nevzťahuje na osobné údaje, ktoré a) fyzická osoba spracúva pre vlastnú potrebu v rámci výlučne osobných alebo domácich činností, najmä vedenie osobného adresára alebo korešpondencie, b) boli získané náhodne bez predchádzajúceho určenia účelu a prostriedkov spracúvania, bez zámeru ich ďalšieho spracúvania v usporiadanom systéme podľa osobitných kritérií a nie sú ďalej systematicky spracúvané. 6

Osobné údaje Osobnými údajmi sú údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu Bežné osobné údaje – titul, meno, priezvisko, dátum narodenia, číslo občianskeho preukazu, identifikačné číslo zamestnanca a ďalšie Osobitná kategória osobných údajov – (§ 13) rodné číslo, údaj o zdraví, fotografia, záznam z kamerového zariadenia, členstvo v odborovej organizácii a ďalšie 7

Fotografia § 13 ods. 1 Spracúvať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru alebo svetonázor, členstvo v politických stranách alebo politických hnutiach, členstvo v odborových organizáciách a údaje týkajúce sa zdravia alebo pohlavného života, sa zakazuje. § 14 Zákaz spracúvania osobných údajov podľa § 13 ods. 1 neplatí, ak a) dotknutá osoba dala písomný alebo inak hodnoverne preukázateľný súhlas na ich spracúvanie; súhlas je neplatný, ak jeho poskytnutie vylučuje osobitný zákon, b) právnym základom pre spracúvanie osobných údajov je osobitný zákon, právne záväzný akt Európskej únie alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, Samostatný IS – účel napríklad propagácia spoločnosti s cieľom zvýšiť záujem klientov 8

Fotografia § 10 ods. 3 písm. g) – prevádzkovateľ spracúva osobné údaje bez súhlasu dotknutej osoby ak spracúvanie osobných údajov je nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa alebo tretej strany, najmä osobné údaje spracúvané v rámci ochrany majetku, finančných alebo iných záujmov prevádzkovateľa a osobné údaje spracúvané na zabezpečenie bezpečnosti prevádzkovateľa prostredníctvom kamier alebo obdobných systémov; to neplatí, ak pri takomto spracúvaní osobných údajov prevažujú základné práva a slobody dotknutej osoby, ktoré podliehajú ochrane podľa tohto zákona. • Uvedené ustanovenie sa dá použiť iba na prípady, keď prevádzkovateľ potrebuje fotografiu na firemný preukaz a môže ho vystavovať aj iným ako svojim zamestnancom napr. aj osobám, ktorá pravidelne vstupujú do jeho priestorov. Ide o situáciu keď preukaz je dôležitý vzhľadom na zabezpečenie bezpečnosti prevádzkovateľa a ak by neudelili všetci súhlas mohlo by prísť k úniku bezpečnosti. Ide o veľmi špecifické situácie, kedy je možné použiť fotografiu. Toto ustanovenie sa však nedá použiť na prípady ak chce prevádzkovateľ zverejňovať fotografiu na svojom webovom sídle, alebo v outlooku, intranete, v priestoroch prevádzkovateľa. 9

Spracúvanie spracúvaním osobných údajov sa rozumie vykonávanie operácií alebo súboru operácií s osobnými údajmi, najmä ich získavanie, zhromažďovanie, šírenie, zaznamenávanie, usporadúvanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, preskupovanie, kombinovanie, premiestňovanie, využívanie, uchovávanie, blokovanie, likvidácia, ich cezhraničný prenos, poskytovanie, sprístupňovanie alebo zverejňovanie; niektorými operáciami s osobnými údajmi sa podľa prvej vety rozumejú zverejňovaním osobných údajov je publikovanie, uverejnenie alebo vystavenie osobných údajov na verejnosti prostredníctvom masovokomunikačných prostriedkov, verejne prístupných počítačových sietí, verejným vykonaním alebo vystavením diela, ) verejným vyhlásením, uvedením vo verejnom zozname, v registri alebo v operáte, ) ich umiestnením na úradnej tabuli alebo na inom verejne prístupnom mieste, cezhraničným prenosom osobných údajov je prenos osobných údajov 10 mimo územia Slovenskej republiky a na územie Slovenskej republiky,

Cezhraničný tok osobných údajov Do členských štátov § 32 - 28 členských štátov, a štáty, ktoré sú zmluvné strany Zmluvy o založení Európskeho hospodárskeho priestoru. Ide o tieto štáty: Nórsko, Island, Lichtenštajnsko. Do tretích krajín § 31 - prenosu osobných údajov mimo Európskej únie, do tzv. tretích krajín. Právna úprava v zásade rozlišuje krajiny na dve skupiny: (a)tie, ktoré zabezpečujú primeranú úroveň ochrany osobných údajov a (b) tie, ktoré túto primeranú úroveň nezabezpečujú. 11

Cezhraničný tok osobných údajov Do Európskej únie § 32 (1)Voľný pohyb osobných údajov medzi Slovenskou republikou a členskými štátmi sa zaručuje; Slovenská republika neobmedzí ani nezakáže prenos osobných údajov z dôvodov ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním ich osobných údajov. (2) Prevádzkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom na území Slovenskej republiky, ktorý zároveň spracúva osobné údaje prostredníctvom sprostredkovateľa na území jedného alebo viacerých členských štátov je povinný zabezpečiť, aby konali podľa jeho pokynov a v súlade s týmto zákonom; to neplatí pre prijatie technických, organizačných a personálnych bezpečnostných opatrení. (3) Prevádzkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom na území Slovenskej republiky pri prenose osobných údajov prevádzkovateľovi v inom členskom štáte je povinný prijať primerané 12 záruky zachovania právom chránených záujmov dotknutých osôb.

Cezhraničný tok osobných údajov Mimo Európsku Úniu (1) Prenos osobných údajov do tretej krajiny, ktorá podľa rozhodnutia Európskej komisie zaručuje primeranú úroveň ochrany osobných údajov možno uskutočniť, ak prevádzkovateľ dotknutej osobe predtým poskytol informácie podľa § 15 ods. 1 alebo ods. 2, alebo bola splnená niektorá z podmienok uvedených v § 15 ods. 3. (2) Prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, možno uskutočniť, ak prevádzkovateľ prijme primerané záruky ochrany súkromia a základných práv a slobôd jednotlivcov a výkonu príslušných práv; takéto záruky vyplývajú zo štandardných zmluvných doložiek podľa osobitného predpisu alebo záväzných vnútropodnikových pravidiel prevádzkovateľa, ktoré boli schválené orgánom dozoru v oblasti ochrany osobných údajov so sídlom v členskom štáte. 13

Cezhraničný tok osobných údajov USA Úrad na ochranu osobných údajov Slovenskej republiky oznamuje, že dňa 12. 07. 2016 Európska komisia vydala vykonávacie rozhodnutie podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej štítom na ochranu osobných údajov medzi EÚ a USA (tzv. Štít na ochranu osobných údajov medzi EÚ a USA , v anglickom jazyku označený ako „EU – U. S. Privacy Shield“). Rozhodnutie je účinné dňom vydania. Predmetným rozhodnutím sa odstránila právne neistota pri prenosoch osobných údajov z EÚ do USA, ktorá vznikla po vyhlásení predchádzajúceho rozhodnutia Komisie (2000/520/ES)o bezpečnom prístave („Safe Harbour“) Európskym súdnom dvorom v prípade Maximiliam Schrems vs. Data protection Commissioner za neplatné. Prenosy osobných údajov do USA bude tak možné uskutočniť v súlade s vyššie uvedeným rozhodnutím Európskej komisie a za podmienok stanovených v ust. § 31 ods. 1 zákona č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov. 14

Cezhraničný tok osobných údajov USA Pri aplikácii Privacy Shieldu sa nepostupuje podľa § 31 ods. 5 zákona č. 122/2013 Z. z, ktorý bol viazaný na Rozhodnutie Komisie (2000/520 ES) tzv. Safe Harbour ( toto ustanovenie sa stalo neplatným na základe rozhodnutia Európskeho súdneho dvora). Na prenos osobných údajov spoločnostiam, ktoré sú zapísané do zoznamu Privacy Shieldu, sa v zmysle zákona č. 122/2013 Z. z. nahliada ako na prenos do tretej krajiny poskytujúcej primeranú úroveň ochrany osobných údajov v zmysle par. 31 ods. 1 zákona č. 122/2013 Z. z. Prevádzkovateľ je zodpovedný za bezpečnosť spracúvania osobných údajov, vrátane bezpečnosti osobných údajov aj pri cezhraničnom prenose osobných údajov, resp. pri spracúvaní osobných údajov prostriedkami spracúvania umiestnenými v tretej krajine. Čo sa týka používania „gmailu“, jeho prevádzkovateľ spoločnosť Google Inc. je zapísaná v rámci Privacy Shieldu. Postavenie spoločnosti Google Inc. a Vás závisí od vzájomne nastavených podmienok, a pristúpenia k nim. • 15

Dotknutá osoba Základné pojmy vo všeobecnosti vymedzujú zmysel a charakterizujú podstatu najčastejšie používaných termínov v zákonom regulovanej oblasti. Dotknutou osobou je „každá fyzická osoba, ktorej sa osobné údaje týkajú“. Dotknutou osobou môže byť napr. zamestnanec, uchádzač o zamestnanie, dočasne pridelení zamestnanec Za dotknutú osobu sa nepovažuje právnická osoba ani fyzická osoba – podnikateľ 16

Prevádzkovateľ § 4 ods. 2 písm. b) Prevádzkovateľom je každý, kto sám alebo spoločne s inými vymedzí účel spracúvania osobných údajov, určí podmienky ich spracúvania a spracúva osobné údaje vo vlastnom mene; ak účel, prípadne aj podmienky spracúvania osobných údajov ustanovuje zákon, priamo vykonateľný právne záväzný akt Európskej únie, alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, prevádzkovateľom je ten, kto je na plnenie účelu spracúvania za prevádzkovateľa ustanovený alebo kto spĺňa zákonom, priamo vykonateľným právne záväzným aktom Európskej únie, alebo medzinárodnou zmluvou, ktorou je Slovenská republika viazaná ustanovené podmienky. Prevádzkovateľa určuje osobitný predpis napr. zákon č. 307/2014 Z. z. o niektorých opatreniach súvisiacich s oznamovaním protispoločenskej činnosti a o zmene a doplnení niektorých zákonov Spracúvať osobné údaje vo vlastnom mene môže len prevádzkovateľ. Prevádzkovateľ spracúva osobné údaje v súlade s § 9, spôsobom, ktorý je v súlade s dobrými mravmi, a to len na vymedzený alebo ustanovený účel 17 (§ 6 ods. 1)

Sprostredkovateľ § 8 sprostredkovateľom je každý, kto spracúva osobné údaje v mene prevádzkovateľa, v rozsahu a za podmienok dojednaných s prevádzkovateľom v písomnej zmluve podľa § 8 a v súlade s týmto zákonom (§ 4 ods. 2 písm. d), Prevádzkovateľ je oprávnený na základe písomnej zmluvy poveriť spracúvaním osobných údajov sprostredkovateľa. Na účely poverenia sprostredkovateľa spracúvaním osobných údajov podľa prvej vety sa súhlas dotknutej osoby nevyžaduje (§ 8 ods. 1). Osobné údaje môže spracúvať iba prevádzkovateľ a sprostredkovateľ 18

Kto je sprostredkovateľ? ? ? - Externe personalistiku a mzdy Externe účtovníctvo BOZP Balíčkovanie gastrolístkov Ušitie a starostlivosť o pracovný odev SBS (kamerové systémy, kniha návštev) Zasielanie obálok Cloudové služby Externista na dochádzkový systém – software ako služba 19

Metodické usmernenie č. 3/2016 Cloudové služby Cloud computing pozostáva zo súboru technológií a modelov služieb, ktoré sa zameriavajú na používanie a poskytovanie IT aplikácií cez internet, schopnosť spracovania, uchovávania a poskytovania pamäťového priestoru. Poskytovatelia cloud computingu môžu svojim zákazníkom v závislosti od ich požiadaviek poskytovať rôzne riešenia. Tými najhlavnejšími službami/riešeniami sú • Infraštruktúra ako služba (Iaa. S) -Ide o službu, kde si zákazník cloudovej služby prenajme hardvérovú a softvérovú infraštruktúru do úrovne operačného systému, v požadovanej špecifikácii. Iaa. S teda v sebe zahŕňa hardvérové prostriedky pripravené na použitie vrátane základného softvéru, napr. operačný systém s nastavenou IP adresou, sieťovou konfiguráciou a diskovým priestorom. Hlavnou časťou Iaa. S služieb je virtualizácia serverovej a storage infraštruktúry na dosiahnutie nízkych nákladov a vysokej dostupnosti. • Softvér ako služba (Saa. S) - poskytovateľ poskytuj e prostredníctvom internetu služby rôznych aplikácií a sprístupňuje tieto aplikácie konečným požívateľom. • Platforma ako služba (Paa. S) - poskytovateľ ponúka riešenia pre pokročilý vývoj a hosting aplikácií. Tieto služby sú väčšinou určené subjektom, ktorí ich ďalej používajú na vývoj a hosting vlastných, na aplikáciách založených, riešení s cieľom pokryť interné požiadavky a/alebo poskytovať služby tretím stranám. Zákazník využívajúci služby poskytované poskytovateľom Paa. S nemusí mať žiadny 20 dodatočný a/alebo špecifický interný hardvér či softvér.

Metodické usmernenie č. 3/2016 Cloudové služby Zákazník cloudovej služby určuje konečný účel spracúvania a rozhoduje o outsourcingu tohto spracovania a delegovaní všetkých alebo časti spracovateľských činností na externú organizáciu poskytovateľa cloudovej služby. Zákazník cloudovej služby vystupuje ako prevádzkovateľ. V tomto kontexte je potrebné zdôrazniť, že je to práve prevádzkovateľ, ktorý nesie primárnu zodpovednosť za spracúvanie osobných údajov v súlade so zákonom o ochrane osobných údajov. Ďalší subjekt v predmetnom vzťahu predstavuje poskytovateľ cloudovej služby, ktorý zastáva postavenie sprostredkovateľa, nakoľko je to subjekt, na ktorý prevádzkovateľ deleguje niektoré zo svojich úloh a povinností Zákazníka cloudovej služby považujeme za prevádzkovateľa. Poskytovateľa naopak za sprostredkovateľa. V súlade s § 8 ods. 1 zákona o ochrane osobných údajov je prevádzkovateľ oprávnený na základe písomnej zmluvy poveriť spracúvaním osobných údajov sprostredkovateľa. Na účely poverenia sprostredkovateľa spracúvaním osobných údajov podľa prvej vety sa súhlas dotknutej osoby nevyžaduje. Na to, aby bol vzájomný vzťah zákazníka a poskytovateľa cloudovej služby súladný so zákonom o ochrane osobných údajov, je nevyhnutné, aby tieto dva subjekty medzi sebou uzatvorili písomnú zmluvu podľa zákona. 21

Tretia strana Treťou stranou je „každý, kto nie je dotknutou osobou, prevádzkovateľom poskytujúcim osobné údaje jeho zástupcom, sprostredkovateľom alebo oprávnenou osobou“. Treťou stranou môže byť orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická osoba alebo fyzická osoba, ktorej prevádzkovateľ poskytuje osobné údaje a ktorá tieto osobné údaje ďalej spracúva ako prevádzkovateľ vo svojom informačnom systéme [napr. zamestnávateľ ako prevádzkovateľ poskytne osobné údaje o svojich zamestnancoch Sociálnej poisťovni (tzv. odvody), ktorá ich ďalej spracúva vo svojom informačnom systéme na daný účel]. Poskytovaním osobných údajov odovzdávanie osobných údajov tretej strane, ktorá ich ďalej spracúva. 22

Kto je tretia strana? ? ? - Sociálna poisťovňa zdravotné poisťovne orgány činné v trestnom konaní kontrolné orgány advokát, exekútor, notár banka, poisťovňa odbory (zástupca zamestnancov) Inšpektorát práce Slovenská pošta Kuriér Zdravotná služba 23

Kto je tretia strana? ? ? Pracovná zdravotná služba (ďalej len „PZS“); lekár PZS je v zmysle § 24 ods. 4 písm. g) zákona č. 576/2004 Z. z. o zdravotnej starostlivosti, službách súvisiacich s poskytovaním zdravotnej starostlivosti a o zmene a doplnení niektorých zákonov oprávnený získať od poskytovateľa zdravotnej starostlivosti výpis zo zdravotnej dokumentácie v obmedzenom rozsahu na účel posúdenia zdravotnej spôsobilosti konkrétneho zamestnanca na prácu. Tu je teda hlavným vzťahom prevádzkovateľa a dotknutej osoby vzťah poskytovateľa zdravotnej starostlivosti a pacienta zamestnanca. Tento poskytovateľ zdravotnej starostlivosti je povinný poskytnúť v zmysle vyššie uvedeného lekárovi PZS osobné údaje pacienta - zamestnanca v určitom rozsahu, aby mohol posúdiť jeho zdravotnú spôsobilosť. A teda lekár PZS je voči tomuto hlavnému vzťahu ďalším prevádzkovateľom – niekto tretí. Napríklad to môže znamenať, že tretia strana môže získavať od iného prevádzkovateľa osobné údaje, ktoré spracúva, za účelom, aby si mohla plniť svoju prácu, resp. povinnosti. Podstatný rozdiel je, že lekár PZS už spracúva jemu poskytnuté údaje vo vlastnom 24 mene.

Kto je tretia strana? ? ? V prípade advokátov je právnym základom, ktorý ich oprávňuje získavať osobné údaje zákon č. 586/2003 Z. z. o advokácii. V zmysle tohto zákona spracúvajú osobné údaje klientov a iných fyzických osôb v rozsahu nevyhnutnom na účely výkonu svojho povolania v súlade so zákonom č. 122/2013 Z. z. A teda, advokáti majú v zmysle uvedeného postavenie samostatného prevádzkovateľa, t. z. že spracúvajú osobné údaje vo vlastnom mene v rámci vlastnej činnosti. 25

Poskytovanie osobných údajov o zamestnancovi 1)Poskytovanie osobných údajov tretej strana na základe zákona Napríklad Inšpektorátu práce na základe Zákonníka práce Bez súhlasu dotknutej osoby 2)Poskytovanie osobných údajov sprostredkovateľovi Bez súhlasu dotknutej osoby Prevádzkovateľ je povinný informovať dotknutú osobu dokázateľným spôsobom o tom, že jej osobné údaje poskytuje sprostredkovateľovi a to v rozsahu: názov, právna forma, IČO a sídlo 3)Ustanovenie § 12 ods. 3 zákona o OOU Bez súhlasu dotknutej osoby Podľa § 12 ods. 3 zákona o ochrane osobných údajov zamestnávateľ môže bez súhlasu zamestnanca jeho osobné údaje sprístupniť, poskytovať alebo zverejniť v rozsahu titul, meno, priezvisko, pracovné, služobné alebo funkčné zaradenie, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo alebo elektronická pošta na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných, služobných alebo funkčných povinností dotknutej osoby - zamestnanca. Sprístupnenie, poskytovanie alebo zverejnenie osobných údajov nemôže narušiť vážnosť, dôstojnosť a bezpečnosť dotknutej osoby. 4)Súhlas dotknutej osoby 26

Poskytovanie osobných údajov o zamestnancovi § 12 ods. 2 zákona o OOU Osobné údaje dotknutej osoby možno poskytnúť z informačného systému inej právnickej osobe alebo fyzickej osobe len spolu s písomným dokladom o danom súhlase, ak tento zákon takýto súhlas vyžaduje; ten, kto osobné údaje takto poskytuje, môže písomný doklad o danom súhlase nahradiť písomným vyhlásením prevádzkovateľa o udelení súhlasu dotknutou osobou, ak prevádzkovateľ vie preukázať, že písomný súhlas dotknutej osoby bol daný. 27

Príjemca Príjemcom je „každý, komu sú osobné údaje poskytnuté alebo sprístupnené, pričom príjemcom môže byť aj tretia strana; prevádzkovateľ, ktorý spracúva osobné údaje na základe § 3 ods. 1 písm. g), a úrad, ktorý plní úlohy ustanovené týmto zákonom, sa nepovažujú za príjemcu“. Príjemcom môže byť orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická osoba alebo fyzická osoba, ktorej sú osobné údaje poskytnuté (to znamená, že ich môže ďalej spracúvať, ako napr. Sociálna poisťovňa, daňový úrad) alebo sprístupnené (to znamená, že je mu umožnený prístup k osobným údajom, ako napr. nahliadnutie účastníka konania do súdneho spisu, ktorý ich ďalej nebude spracúvať). Príjemcom nemôže byť Úrad na ochranu osobných údajov Slovenskej republiky a prevádzkovateľ, ktorý spracúva osobné údaje za účelom výkonu kontroly, dohľadu alebo dozoru podľa osobitného zákona (napr. Slovenská obchodná inšpekcia, inšpektorát práce). Sprístupňovaním osobných údajov oznámenie osobných údajov alebo umožnenie prístupu k nim príjemcovi, ktorý ich ďalej nespracúva 28

Kto je príjemca? ? ? - - IT servis Hostingové služby Upratovacie služby Servis kamerových systémov § 22 ods. 3 – iné fyzické osoby, ktoré prídu do styku s osobnými údajmi - MLČANLIVOSŤ 29

Kto je príjemca? ? ? Ak je software vo Vašom počítači a údržbu a servis na ňom Vám vykonáva firma, ktorá nespracúva osobné údaje, a teda jej nie sú ani žiadnou formou na tomto počítači sprístupnené a ďalej s nimi nenakladá, tak táto firma nie je ani sprostredkovateľom ani treťou stranou. Pokiaľ ale pracovník tejto firmy osobné údaje vo Vašom počítači vidí a nie je možné ich pseudonymizovať alebo iným spôsobom šifrovať, je tento povinný zachovávať v zmysle § 22 ods. 3 zákona č. 122/2013 Z. z. mlčanlivosť o osobných údajoch, s ktorými prišiel do styku u prevádzkovateľa alebo sprostredkovateľa. 30

Sprostredkovateľ Prevádzkovateľ je povinný uzatvoriť so sprostredkovateľom zmluvu pred začatím spracúvania osobných údajov, najneskôr v deň začatia spracúvania osobných údajov. Sprostredkovateľ je oprávnený spracúvať osobné údaje len v rozsahu, za podmienok a na účel dojednaný s prevádzkovateľom v zmluve a spôsobom podľa tohto zákona (§ 8 ods. 3) Prevádzkovateľ je pri výbere sprostredkovateľa povinný dbať na jeho odbornú, technickú, organizačnú a personálnu spôsobilosť a jeho schopnosť zaručiť bezpečnosť spracúvaných osobných údajov opatreniami podľa § 19 ods. 1. Prevádzkovateľ nesmie zveriť spracúvanie osobných údajov sprostredkovateľovi, ak by tým mohli byť ohrozené práva a právom chránené záujmy dotknutých osôb (§ 8 ods. 2). 31

Subdodávateľ Sprostredkovateľ vykonáva spracúvanie osobných údajov osobne, pokiaľ si s prevádzkovateľom písomne v zmluve nedohodne, že spracúvanie osobných údajov vykoná prostredníctvom inej osoby (ďalej len „subdodávateľ“). Subdodávateľ spracúva osobné údaje a zabezpečuje ich ochranu na zodpovednosť sprostredkovateľa. Ustanovenia tohto zákona o sprostredkovateľovi sa vzťahujú aj na subdodávateľa. Na subdodávateľa úrad nahliada ako na sprostredkovateľa (§ 8 ods. 5). 32

Zmluva musí obsahovať § 8 ods. 4 : Zmluva podľa odseku 3 musí obsahovať a)údaje o zmluvných stranách (ďalej len „identifikačné údaje“); • titul, meno, priezvisko, dátum narodenia a adresu trvalého pobytu, ak ide o fyzickú osobu, • názov, právnu formu, adresu sídla a identifikačné číslo, ak ide o právnickú osobu, • obchodné meno, adresu miesta podnikania a identifikačné číslo, ak ide o fyzickú osobu – podnikateľa, b)deň, od ktorého je sprostredkovateľ oprávnený začať so spracúvaním osobných údajov v mene prevádzkovateľa, c)účel spracúvania osobných údajov, d)názov informačného systému, e)zoznam osobných údajov, ktoré sa budú spracúvať; zoznam osobných údajov možno nahradiť rozsahom osobných údajov podľa § 10 ods. 4, f)okruh dotknutých osôb, g)podmienky spracúvania osobných údajov vrátane zoznamu povolených operácií s osobnými údajmi, h)vyhlásenie prevádzkovateľa, že pri výbere sprostredkovateľa postupoval podľa odseku 2 prvej vety, i)súhlas prevádzkovateľa na spracúvanie osobných údajov sprostredkovateľom prostredníctvom inej osoby, ak postupujú podľa odseku 5, j)dobu, na ktorú sa zmluva uzatvára, k)dátum uzatvorenia zmluvy a podpisy zmluvných strán. 33

Sankcie Podľa § 68 ods. 3 Úrad uloží pokutu od 1 000 eur do 200 000 eur prevádzkovateľovi, ktorý a) nesplnil alebo porušil povinnosť poveriť spracúvaním osobných údajov sprostredkovateľa na základe písomnej zmluvy podľa § 8 ods. 3 prvej vety, Podľa § 68 ods. 2 Úrad môže uložiť pokutu od 1 000 eur do 50 000 eur prevádzkovateľovi, ktorý b) pri výbere a poverovaní sprostredkovateľa nesplnil alebo porušil niektorú z povinností podľa § 8 ods. 2 až 5, 34

Informačný systém § 4 ods. 3 písm. b) informačným systémom osobných údajov je informačný systém, v ktorom sa -na vopred vymedzený alebo ustanovený účel systematicky spracúva alebo má spracúvať akýkoľvek usporiadaný súbor osobných údajov prístupných podľa určených kritérií, -bez ohľadu na to, či ide o informačný systém centralizovaný, decentralizovaný alebo distribuovaný na funkčnom alebo geografickom základe (ďalej len „informačný systém“); !!!!! informačným systémom sa na účely tohto zákona rozumie aj súbor osobných údajov, ktoré sú spracúvané alebo pripravené na spracúvanie čiastočne automatizovanými alebo inými ako automatizovanými prostriedkami spracúvania účelom spracúvania osobných údajov vopred jednoznačne vymedzený alebo ustanovený zámer spracúvania osobných údajov, ktorý sa viaže na určitú činnosť -niečo kvôli čomu potrebujem spracúvať osobné údaje -určuje výlučne prevádzkovateľ (ak nie je stanovený zákonom) 35

Príklady informačných systémov • • • • • • IS Personálny a mzdový IS Dochádzka (zvlášť iba ak je na biometriu) IS BOZP (ak sa poučujú aj iné osoby ako zamestnanci) IS Uchádzači o zamestnanie IS Dočasne pridelení zamestnanci IS Fotografia IS Účtovné doklady IS Správa registratúry (evidencia pošty) IS Monitorovanie zamestnancov - § 13 ods. 4 Zákonník prace IS Monitorovanie priestorov prístupných verejnosti - § 15 ods. 7 a § 17 ods. 7 IS Monitorovanie priestorov neprístupných verejnosti alebo Autokamery - § 10 ods. 3 písm. g) IS Kúpne zmluvy/ Nájomné zmluvy/Darovacie zmluvy/Autorské zmluvy IS Časopis resp. Publikačná činnosť IS Marketing IS Agenda spoločnosti (a. s. ) IS Súdne spory IS Súťaž IS Oznamovanie protispoločenskej činnosti – interný whisteblowing IS Whisteblowing – externý IS Zodpovedná osoby – externá 36 IS Zamestnanci dodávateľov

IS Zamestnanci dodávateľov V príslušných ustanoveniach zákona č. 351/2015 Z. z. o cezhraničnej spolupráci pri vysielaní zamestnancov na výkon prác pri poskytovaní služieb a o zmene a doplnení niektorých zákonov a zákona č. 82/2005 Z. z. o nelegálnej práci a nelegálnom zamestnávaní a o zmene a doplnení niektorých zákonov je nutné upriamiť pozornosť na to, že zákonodarca pri poskytovaní osobných údajov používa slovné spojenie v nevyhnutnom rozsahu a rozsahu nevyhnutnom na dosiahnutie účelu. Ak osobitné zákony taxatívne neuvádzajú, ktoré konkrétne osobné údaje budú spracúvané, je potrebné postupovať podľa § 10 ods. 4 Zákona č. 122/2013 Z. z. o ochrane osobných údajov podľa ktorého: „ak sa vzhľadom na účel spracúvania osobných údajov ustanovený v osobitnom zákone nedajú vopred určiť jednotlivé osobné údaje, ktoré majú byť predmetom spracúvania, zoznam osobných údajov možno nahradiť rozsahom osobných údajov. “ Pri spracúvaní osobných údajov je prevádzkovateľ povinný v zmysle § 6 ods. 2 písm. d) Zákona č. 122/2013 Z. z. o ochrane osobných údajov zabezpečiť, aby sa spracúvali len také osobné údaje, ktoré svojim rozsahom a obsahom zodpovedajú účelu ich spracúvania a sú nevyhnutné na ich dosiahnutie. Právnym základom pre spracúvanie osobných údaj sú v zmysle ustanovenia § 10 ods. 2 zákona č. 122/2013 Z. z. vyššie spomenuté osobitné zákony (zákona č. 351/2015 Z. z. a zákona č. 82/2005 Z. z. ), pričom spracúvanie osobných údajov sa v tomto prípade vykonáva bez súhlasu dotknutej osoby. 37

Whisteblowing • buď treba postupovať predpísaným spôsobom dovnútra spoločnosti (tzv. interný whistleblowing), alebo konať mimo spoločnosti (tzv. externý whistleblowing). Externý zahrňa zákazníkov, spotrebiteľov, dodávateľov, veriteľov, konkurentov a pod. • zákon č. 307/2014 Z. z. o niektorých opatreniach súvisiacich s oznamovaním protispoločenskej činnosti a o zmene a doplnení niektorých zákonov (účinnosť 1. 1. 2015) - Zamestnávateľ, ktorý zamestnáva najmenej 50 zamestnancov, a zamestnávateľ, ktorý je orgánom verejnej moci, je povinný určiť osobitnú organizačnú zložku alebo osobu (ďalej len „zodpovedná osoba“), • oznámenie je uvedenie skutočností, o ktorých sa fyzická osoba dozvedela v súvislosti s výkonom svojho zamestnania, povolania, postavenia alebo funkcie a ktoré môžu významnou mierou prispieť alebo prispeli k objasneniu závažnej protispoločenskej činnosti alebo k zisteniu alebo usvedčeniu jej páchateľa 38

Metodické usmernenia úradu Metodické usmernenie č. 1/2014 - Monitorovanie priestoru prístupného verejnosti kamerovým systémom Metodické usmernenie č. ´ 2/2016 - Označenie monitorovaného priestoru podľa § 15 ods. 7 zákona č. 122/2013 Z. z. Metodické usmernenie č. 5/2016 - Monitorovanie priestorov verejnosti neprístupných Metodické usmernenie č. 3/2013 – Kamerové informačné systémy osobných údajov vo vozidlách 39

IS Monitorovanie priestorov prístupných verejnosti - Či je priestor kde je sníma kamera považovaný za priestor prístupný verejnosti - Právny základ - Účel spracúvania osobných údajov - Doba uchovávania záznamu - Poskytovanie záznamu 40

Priestor prístupný verejnosti je definovaný v § 4 ods. 3 písm. j) zákona ako priestor, do ktorého možno voľne vstupovať a v ktorom sa možno voľne zdržiavať bez časového obmedzenia alebo v čase vymedzenom prevádzkovateľom. Súčasne platí, že pokiaľ existuje obmedzenie, ktoré určitým spôsobom limituje vstup alebo voľný pohyb osoby v tomto priestore, a ktoré, ak je splnené, nemá na tento vstup alebo voľný pohyb osoby vplyv. Týmto obmedzením možno rozumieť pravidlá, ktoré platia pre pohyb v danom priestore, a ktoré môžu byť charakteru časového (napr. voľný pohyb po areáli po zaplatení vstupného počas trvania koncertu), personálneho (napr. vstup dieťaťa a jeho zákonného zástupcu do priestorov centra voľného času) alebo iného (obmedzenie súvisiace s kapacitou priestoru – balkón divadla). Pre priestor, ktorý nie je kvalifikovaný ako priestor prístupný verejnosti sa § 15 ods. 7 zákona upravujúci podmienky monitorovania priestoru prístupného verejnosti neuplatňuje; tým nie je dotknuté plnenie ostatných povinností pri spracúvaní osobných údajov podľa zákona. V takomto prípade nie je zároveň vylúčená ani pôsobnosť iných zákonov, napríklad Občiansky zákonník) alebo Zákonník práce, ) ktoré upravujú monitorovanie fyzických osôb (vrátane kamerového systému) za podmienok a okolností ustanovených týmito zákonmi. 41

Monitorovanie priestorov prístupných verejnosti (§ 15 ods. 7, § 17 ods. 7) Priestor prístupný verejnosti možno monitorovať len na účely ochrany verejného poriadku a bezpečnosti, odhaľovania kriminality, narušenia bezpečnosti štátu, ochrany majetku alebo zdravia, a to len vtedy, ak je priestor zreteľne označený ako monitorovaný; monitorovaný priestor je prevádzkovateľ povinný zreteľne označiť bez ohľadu na to, či sa snímaný obraz alebo zvuk zaznamenáva na nosič informácií. Označenie monitorovaného priestoru sa nevyžaduje, ak tak ustanovuje osobitný zákon. Vyhotovený záznam možno využiť len na účely trestného konania alebo konania o priestupkoch, ak osobitný zákon neustanovuje inak. 42

Monitorovanie priestorov prístupných verejnosti § 17 ods. 7: „Ak záznam vyhotovený podľa § 15 ods. 7 nie je využitý na účely trestného konania alebo konania o priestupkoch, je ten, kto ho vyhotovil, povinný ho zlikvidovať najneskôr v lehote 15 dní odo dňa nasledujúceho po dni, v ktorom bol záznam vyhotovený, ak osobitný zákon neustanovuje inak. “ Ak prevádzkovateľ vyhotovuje záznam pri prevádzkovaní kamerového systému, zákon stanovuje 15 dňovú lehotu (kalendárne dni) na uchovávanie tohto záznamu, pokiaľ osobitný zákon neustanovuje dlhšiu lehotu jeho uchovania. V prípade, že tento záznam nie je využitý v rámci priestupkového alebo trestného konania, je prevádzkovateľ povinný ho v tejto lehote zlikvidovať. Samotné opomenutie prevádzkovateľa záznam postúpiť orgánom príslušným konať v rámci priestupkového alebo trestného konania neodôvodňuje uchovávanie jeho uchovanie v lehote dlhšej ako zákonom stanovených 15 dní. 43

Monitorovanie priestorov prístupných verejnosti Zákon ustanovuje povinnosti prevádzkovateľa kamerového systému so záznamom rovnako, ako aj prevádzkovateľa kamerového systému, ktorý záznam nevyhotovuje. Zároveň je irelevantné, či pri monitorovaní určeného priestoru dochádza k vyhotovovaniu záznamu a jeho ukladaniu na nosič informácií, alebo sa jedná len o priamy prenos z monitorovaného priestoru na zobrazovaciu jednotku prostredníctvom kamery (tzv. streaming). Pre pôsobnosť zákona taktiež nie je podstatné, či prevádzkovateľ má kamerový systém, z ktorého sú výstupy spracúvané napr. prostredníctvom Internetu (prenášanie obrazu v režime OCTV) alebo iba v rámci uzatvoreného televízneho okruhu (režim CCTV). Na nosič informácií (kamera a zariadenie, na ktorom je ukladaný záznam) z vykonaného monitorovania alebo zobrazovacie zariadenia v prípade kamerového systému, ktorý pracuje v režime streamingu, je z pohľadu zákona potrebné nazerať ako na súčasť informačného systému, resp. ako na prostriedok spracúvania osobných údajov 44

Označenie monitorovaného priestoru Monitorovaný priestor je prevádzkovateľ povinný zreteľne označiť vhodným piktogramom a/alebo textom (napr. tento priestor je monitorovaný kamerovým systémom), a to v mieste vstupu do tohto priestoru. V prípade, že má priestor viacero vstupov je potrebné, aby takéto označenie bolo umiestnené pri každom vstupe a tým bola objektívne zabezpečená rovnaká možnosť dotknutým fyzickým osobám vstupujúcim prostredníctvom rôznych vstupov oboznámiť sa so skutočnosťou, že tento priestor je monitorovaný kamerovým systémom. Pokiaľ z povahy veci a miesta inštalácie kamerového systému nie je zrejmé, kto je prevádzkovateľom kamerového systému, v rámci označenia monitorovaného priestoru je vhodné uviesť aj označenie prevádzkovateľa v takom rozsahu, aby dotknutá osoba mohla uplatniť svoje práva v zmysle § 28 zákona. Zreteľnosť označenia je potrebné posudzovať s ohľadom na konkrétne okolnosti danej situácie; na zreteľnosť má vplyv napríklad jeho farba, veľkosť (vrátane veľkosti piktogramu alebo písma) alebo miesto umiestnenia. Za zreteľné označenie je vo všeobecnosti možné považovať označenie, ktoré je na viditeľnom mieste a je čitateľné aj z väčšej vzdialenosti, najmenej však z 2 metrov (to neplatí pre prípadné označenie prevádzkovateľa). 45

Označenie monitorovaného priestoru - Metodické usmernenie č. 2/2016 Z dôvodu právnej istoty dotknutej osoby, je potrebné, aby prevádzkovatelia na nimi zvolenú formu označenia monitorovaného priestoru uviedli aj svoj názov, prípadne kontakt, na ktorom dotknutá osoba získa informáciu o tom, kto kamerový systém prevádzkuje, a kde si môže uplatniť svoje práva, ako dotknutá osoba. Za nedostatočné (nevýrazné, nezreteľné) je možno považovať umiestnenie označenia monitorovaného priestoru do spodného alebo horného rohu preskleného výkladu (napr. obchod); umiestnenie označenia do priestoru zarasteného bujnou vegetáciou (napr. vstup do parku); umiestnenie označenia určitej veľkosti/ zreteľnosti, ktoré je v neprimeranej vzdialenosti od miesta vstupu do monitorovaného priestoru, a teda označenie je viditeľné (pomer vzdialenosti umiestnenia k veľkosti označenia). Prevádzkovateľ by mal pri označení monitorovaného priestoru zohľadniť dotknuté osoby (napr. chodec, vodič, cyklista, korčuliar), nachádzajúce sa v monitorovanom priestore a zvoliť formu označenia priestoru tak, aby označenie monitorovaného priestoru bolo pre dotknuté osoby reálne viditeľné. Viditeľnosť je možné zaistiť najmä použitím výrazných farieb (napr. žltá, čierna, červená, reflexné farby), výberom vhodných znakov obsahujúcich informáciu (napr. písmo, piktogram alebo ich kombinácia) a zvolením vhodnej veľkosti znakov i samotného označenia tak, aby bola informácia ľahko čitateľná a jednoznačne zrozumiteľná.

IS Kontrolný mechanizmus – monitorovanie zamestnancov na pracovisku - Právny základ - § 13 ods. 4 zákonníka práce Účel spracúvania osobných údajov Podmienky spracúvania osobných údajov Doba uchovávania záznamu Poskytovanie záznamu 47

Kontrolný mechanizmus – Monitorovanie zamestnancov Sledovanie zamestnanca na pracovisku § 13 ods. 4 zákonníka práce Zamestnávateľ nesmie bez vážnych dôvodov spočívajúcich v osobitnej povahe činností zamestnávateľa narúšať súkromie zamestnanca na pracovisku a v spoločných priestoroch zamestnávateľa tým, že ho monitoruje, vykonáva záznam telefonických hovorov uskutočňovaných technickými pracovnými zariadeniami zamestnávateľa a kontroluje elektronickú poštu odoslanú z pracovnej elektronickej adresy a doručenú na túto adresu bez toho, aby ho na to vopred upozornil. Ak zamestnávateľ zavádza kontrolný mechanizmus, je povinný prerokovať so zástupcami zamestnancov rozsah kontroly, spôsob jej uskutočnenia, ako aj dobu jej trvania a informovať zamestnancov o rozsahu kontroly, spôsobe jej uskutočnenia, ako aj o dobe jej trvania. 48

IS Monitorovanie zamestnancov na pracovisku Zákonník práce záväzne určil, že proces zavádzania akéhokoľvek kontrolného mechanizmu zamestnávateľa na sledovanie zamestnanca predpokladá kumulatívne splnenie týchto dvoch podmienok: a) zamestnávateľ so zástupcami zamestnancov prerokuje: - rozsah takejto kontroly, - spôsob uskutočňovania takejto kontroly a - dobu trvania kontroly. b) zamestnávateľ zamestnanca informuje - o rozsahu takejto kontroly, - o spôsoboch uskutočňovania takejto kontroly a - o dobe trvania kontroly. 49

Akými spôsobmi môžem informovať zamestnanca o tom, že je monitorovaný? - Pracovnom poriadku - Internom predpise - Informácia o monitorovaní 50

Ako môžem monitorovať zamestnanca? - Kamery - Odfotenie pri dochádzke - Internet - Tlačiareň - Čipy - Pracovný email - Pracovný telefón 51

Metodické usmernenie O kontrolnom mechanizme vykonávanom monitorovaním zamestnancov - dotknutých osôb (ďalej len „KM KIS“), spravidla platí • z pohľadu zákona je zavedenie KM KIS možné, a to na základe § 10 ods. 2 zákona, t. j. právnym základom je osobitný zákon - Zákonník práce; zavedenie KM KIS bude prebiehať bez súhlasu dotknutých osôb, zároveň • zavedenie KIS musí byť vopred (i) prerokované so zástupcami zamestnancov a (ii) poskytnutá informácia zamestnancom v súlade so Zákonníkom práce, zároveň • jeho zavedenie je možné tam, kde zamestnanci vykonávajú svoje pracovné povinnosti/ činnosti (napr. výrobná linka, výrobná hala a pod. ), zároveň • KM KIS je použiteľné na vyvodenie pracovnoprávnej zodpovednosti voči zamestnancom, ktorým sa stanovuje účel KM KIS, zároveň • KM KIS musí rešpektovať základné ľudské práva a slobody; nesmie byť zneužitý na monitorovanie takých priestorov, v ktorých má zamestnanec na základe ZP prípadne iných zákonov právo na oddych a odpočinok (napr. sociálne zariadenie, odpočivárne a pod. ); platí, že prevádzkovateľ takéto priestory spravidla nemonitoruje, ak osobitný zákon neustanovuje inak. 52

Rozsudok ESĽP Európsky súd pre ľudské práva rozhodol dňa 12. 01. 2016 v prípade Barbulescu v. Romania - v predmetnom rozhodnutí uznal právo zamestnávateľa oboznamovať sa s komunikáciou svojich zamestnancov počas pracovného času Pán Barbulescu pracoval ako zamestnanec v súkromnej spoločnosti, ktorej interné predpisy, s ktorými bol pán Barbulescu riadne oboznámený, zakazovali používanie majetku spoločnosti na súkromné účely. Pán Barbulescu v roku 2007 používal počas pracovného času aplikáciu Yahoo Messenger na počítači svojho zamestnávateľa, a to nie len na komunikáciu so zákazníkmi svojho zamestnávateľa, ale aj na komunikáciu so svojim bratom a so svojou snúbenicou. ´Ihneď ako sa zamestnávateľ pána Barbulesca oboznámil so skutočnosťou, že pán Barbulescu využíval internet na osobné účely, zamestnávateľ ho oboznámil s prepisom jeho komunikácie a ukončil s ním pracovný pomer pre porušenie vyššie uvedených interných predpisov zamestnávateľa. Pán Barbulescu zastával názor, že konaním zamestnávateľa došlo k porušeniu odseku 1 Článku 8 Európskeho dohovoru o ochrane ľudských práv a základných slobôd s názvom „Právo na rešpektovanie súkromného a rodinného života“, ktorý ustanovuje, že: „Každý má právo na rešpektovanie svojho súkromného a rodinného života, obydlia a korešpondencie. “. Európsky súd pre ľudské práva nakoniec rozhodol v prospech zamestnávateľa pána Barbulescu, keď uviedol, že konaním zamestnávateľa nedošlo v danom prípade k porušeniu Článku 8 odsek 1 Európskeho dohovoru o ochrane ľudských práv a základných slobôd. Predmetné rozhodnutie Európskeho súd pre ľudské práva je záväzné pre všetky krajiny, ktoré ratifikovali Európsky dohovor o ľudských právach, vrátane Slovenskej republiky. 53

Monitorovanie priestorov neprístupných verejnosti -Či je priestor neprístupný verejnosti -Účel monitorovania - Doba monitorovania -Oznámenia na úrad 54

Monitorovanie priestorov neprístupných verejnosti Na účely monitorovania priestorov KIS podľa § 10 ods. 3 písm. g) zákona v zmysle tohto metodického usmernenia musia byť kumulatívne splnené nasledovné podmienky • monitorovaný priestor, ktorého ochrana sa má monitorovaním zabezpečiť, spravidla nie je priestorom prístupným verejnosti podľa § 4 ods. 3, písm. j) zákona, zároveň • ide o priestor, kde zamestnanci spravidla nevykonávajú svoju pracovnú činnosť pravidelne/ štandardne/bežne, prípadne sa v daných priestoroch pohybujú iba v čase, ak v nich majú vykonať istú činnosť (napr. naloženie a vyloženie tovaru, dovoz nových výrobkov a pod. ), zároveň • ide o priestor, kde sa môžu pohybovať nielen zamestnanci prevádzkovateľa, ale aj iné osoby, ktoré nie sú považované za verejnosť (napr. zamestnanci iného prevádzkovateľa, klienti, obchodní partneri a pod. ) a súčasne • ide o priestory, v ktorých sa nachádzajú hodnoty, ktoré je potrebné chrániť pred ich poškodením/odcudzením/zničením (napr. nakladacie rampy, veľkosklady, dátové centrá a pod. ), a súčasne • prevádzkovateľ pri monitorovaní týchto priestorov KIS dodržiava zásady proporcionality a monitorovanie vykonáva na zákonom stanovený a vymedzený účel. 55

Priestor neprístupný verejnosti Pre vymedzenie pojmu „priestor verejnosti neprístupný“ je možné analogicky vychádzať z definície priestoru verejnosti prístupného v zmysle § 4 ods. 3 písm. j) zákona, a teda za priestor verejnosti neprístupný je možné považovať priestor • do ktorého verejnosť nemôže voľne vstupovať a/alebo • v ktorom sa verejnosť nemôže voľne/bez sprievodu zdržiavať, pohybovať ani vo vymedzenom čase, • a súčasne nie je tento priestor označený, ako priestor prístupný verejnosti podľa osobitného zákona.

Monitorovanie priestorov neprístupných verejnosti § 10 ods. 3 písm. g) spracúvanie osobných údajov je nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa alebo tretej strany, najmä osobné údaje spracúvané v rámci ochrany majetku, finančných alebo iných záujmov prevádzkovateľa a osobné údaje spracúvané na zabezpečenie bezpečnosti prevádzkovateľa prostredníctvom kamier alebo obdobných systémov; to neplatí, ak pri takomto spracúvaní osobných údajov prevažujú základné práva a slobody dotknutej osoby, ktoré podliehajú ochrane podľa tohto zákona IS je prevádzkovateľ povinný oznámiť Úradu na ochranu osobných údajov SR bez ohľadu na to či má prevádzkovateľ poverenú výkonom dohľadu nad ochranou osobných údajov zodpovednú osobu 57

Monitorovanie priestorov neprístupných verejnosti Úrad pri rozhodovaní o tom či ide o priestory prístupné verejnosti alebo neprístupné zaujíma špecifikácia, čo je predmetom snímania kamerového informačného systému: • či je predmetom monitorovania priestor prístupný verejnosti (priestor do ktorého je možné voľne vstupovať a voľne sa v ňom zdržiavať - napr. priestor, do ktorého voľne vstupujú zákazníci, vonkajšie okolie budovy, verejne prístupné parkovisko pred budovou atd) alebo priestor neprístupný verejnosti (priestor do ktorého môže vstupovať len určitá kategória osôb po prekonaní určitej prekážky), • aké osoby sú kamerovým informačným systémom monitorované (zamestnanci, klienti, atď. ), • ako sa osoby monitorované kamerovým informačným systémom dostanú do monitorovaného priestoru (popis treba uvádzať zvlášť pre každú kategóriu osôb) a či je na vstup do monitorovaného priestoru potrebné prekonanie určitej prekážky (vrátnica, prístupový systém, SBS služba, atď. ). • či sa osoby monitorované kamerovým informačným systémom môžu v monitorovaných priestoroch po prekonaní prekážky (vrátnica, prístupový systém, SBS služba, atď. ) voľne pohybovať, • či je zavedený kontrolný mechanizmus v zmysle § 13 ods. 4 zákona č. 311/2001 Z. z. Zákonník práce v znení neskorších predpisov, • treba poslať úradu fotodokumentáciu výstupov z kamerového informačného systému, 58 • treba poslať úradu pôdorys so zaznačením umiestnenia kamier.

Právny základ spracúvania osobných údajov Prevádzkovateľ môže spracúvať osobné údaje: • len na základe priamo vykonateľného právne záväzného aktu Európskej únie, • medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, • ustanovení tohto zákona, • alebo osobitného zákona, • alebo na základe súhlasu dotknutej osoby. Osobné údaje možno spracúvať: - Bez súhlasu dotknutej osoby - So súhlasom dotknutej osoby 59

Právny základ – osobitný zákon Bez súhlasu dotknutej osoby § 10 ods. 1 Prevádzkovateľ spracúva osobné údaje bez súhlasu dotknutej osoby, ak účel spracúvania osobných údajov, okruh dotknutých osôb a zoznam osobných údajov alebo ich rozsah podľa odseku 4 ustanovuje priamo vykonateľný právne záväzný akt Európskej únie, medzinárodná zmluva, ktorou je Slovenská republika viazaná alebo tento zákon. Ak zoznam alebo rozsah osobných údajov nie je ustanovený, prevádzkovateľ môže spracúvať osobné údaje len v rozsahu a spôsobom, ktorý je nevyhnutný na dosiahnutie ustanoveného účelu spracúvania pri dodržaní povinností podľa § 6 ods. 2 písm. c) až f) a i). Napríklad IS Monitorovanie priestorov prístupných verejnosti - § 15 ods. 7 a § 17 ods. 7 zákona o OOÚ IS Jednorazový vstup do priestorov prevádzkovateľa - § 15 ods. 4 zákona o OOÚ IS Externá zodpovedná osoba - § 23 až § 27 zákona o OOÚ 60

Právny základ – osobitný zákon Bez súhlasu dotknutej osoby § 10 ods. 2 Požiadavky na obsahové náležitosti osobitného zákona Podľa § 10 ods. 2 Nové znenie Prevádzkovateľ ďalej spracúva osobné údaje bez súhlasu dotknutej osoby, ak účel spracúvania osobných údajov, okruh dotknutých osôb a zoznam osobných údajov ustanovuje osobitný zákon. Prevádzkovateľ spracúva osobné údaje len v rozsahu a spôsobom, ktorý ustanovuje osobitný zákon. Spracúvané osobné údaje možno z informačného systému poskytnúť, sprístupniť alebo zverejniť len vtedy, ak osobitný zákon ustanovuje účel poskytovania, sprístupňovania alebo zverejňovania, zoznam osobných údajov, ktoré možno poskytnúť, sprístupniť alebo zverejniť, ako aj tretie strany, ktorým sa osobné údaje poskytujú, prípadne okruh príjemcov, ktorým sa osobné údaje sprístupňujú, ak tento zákon neustanovuje inak. Napríklad IS Personalistika a mzdy – Zákonník práce a ďalšie IS Účtovné doklady – zákon o účtovníctve, zákon o DPH a ďalšie IS Správa registratúry – zákon o archívoch a registratúrach IS Oznamovanie protispoločenskej činnosti – zákon č. 307/2014 Z. z. IS Monitorovanie zamestnancov na pracovisku - § 13 ods. 4 Zákonníka práce IS Dočasne pridelení zamestnanci - Zákonník práce 61

Kopírovanie úradných dokladov bez súhlasu zamestnanca § 15 ods. 6 zákona o ochrane osobných údajov Podľa novely zákona (od 15. 4. 2014), písomný súhlas ani výslovná právna úprava v osobitnom zákone sa nevyžaduje, ak je to nevyhnutné na účely uzatvorenia pracovnoprávneho alebo obdobného vzťahu. Prevádzkovateľ, ktorý je zamestnávateľom, je však v tejto súvislosti povinný dodržiavať súvisiaci § 6 ods. 2 písm. d) zákona, podľa ktorého je prevádzkovateľ povinný „zabezpečiť, aby sa spracúvali len také osobné údaje, ktoré svojím rozsahom a obsahom zodpovedajú účelu ich spracúvania a sú nevyhnutné na jeho dosiahnutie“, ako aj rešpektovať osobitnú právnu úpravu čl. 11 základných zásad Zákonníka práce, podľa ktorého „zamestnávateľ môže o zamestnancovi zhromažďovať len osobné údaje súvisiace s kvalifikáciou a profesionálnymi skúsenosťami zamestnanca a údaje, ktoré môžu byť významné z hľadiska práce, ktorú zamestnanec má vykonávať, vykonáva alebo vykonával“. Na vyhotovené fotokópie, naskenované alebo inak zaznamenané úradné doklady, ktoré nesúvisia a nie je potrebné spracúvať na účely pracovnoprávneho alebo obdobného vzťahu podľa Zákonníka práce, sa predmetná výnimka nevzťahuje. 62

Právny základ – zákon o ochrane osobných údajov – bez súhlasu § 10 ods. 3 Písm. a) spracúvanie osobných údajov je nevyhnutné na účely tvorby umeleckých alebo literárnych diel, pre potreby informovania verejnosti masovokomunikačnými prostriedkami a ak osobné údaje spracúva prevádzkovateľ, ktorému to vyplýva z predmetu jeho činnosti; to neplatí, ak spracúvaním osobných údajov na takýto účel prevádzkovateľ porušuje právo dotknutej osoby na ochranu jej osobnosti a súkromia alebo takéto spracúvanie osobných údajov bez súhlasu dotknutej osoby vylučuje osobitný zákon alebo medzinárodná zmluva, ktorou je Slovenská republika Písm. b) 1. spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy, v ktorej vystupuje dotknutá osoba ako jedna zo zmluvných strán 2. alebo v predzmluvných vzťahoch s dotknutou osobou – 3. alebo pri rokovaní o zmene zmluvy, ktoré sa uskutočňujú na žiadosť dotknutej osoby Ide o situácie, v ktorých dochádza k uzatvoreniu novej zmluvy, k plneniu zmluvu už uzatvorenej alebo k zmene uzatvorenej zmluvy vrátane jej zániku. ) 63

Bez súhlasu dotknutej osoby Písm. c) spracúvanie osobných údajov je nevyhnutné na ochranu života, zdravia alebo majetku dotknutej osoby (nehody, havárie, živelné pohromy. . . ) Písm. d) predmetom spracúvania sú výlučne titul, meno, priezvisko a adresa dotknutej osoby bez možnosti priradiť k nim ďalšie jej osobné údaje a ich využitie je určené výhradne pre potreby prevádzkovateľa v poštovom styku s dotknutou osobou a evidencie týchto údajov; ak je predmetom činnosti prevádzkovateľa priamy marketing, uvedené osobné údaje môže poskytovať, bez možnosti ich sprístupňovania a zverejňovania, len vtedy, ak sú poskytované inému prevádzkovateľovi, ktorý má rovnaký predmet činnosti výhradne na účely priameho marketingu, a dotknutá osoba písomne neuplatnila námietku podľa § 28 ods. 3 písm. c), Písm. e) sa spracúvajú osobné údaje, ktoré už boli zverejnené v súlade so zákonom a prevádzkovateľ ich náležite označil ako zverejnené; ten, kto tvrdí, že spracúva zverejnené osobné údaje, na požiadanie preukáže úradu, že spracúvané osobné údaje boli už zákonne zverejnené. Osobné údaje musia byť označené ako zverejnené (napríklad SME ročník, číslo, strana a pod. ). 64

Bez súhlasu dotknutej osoby Písm. f) Spracúvanie osobných údajov je nevyhnutné na splnenie dôležitej úlohy realizovanej vo verejnom záujme – v takomto prípade tiež nie je potrebný súhlas dotknutej osoby. Písm. g) spracúvanie osobných údajov je nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa alebo tretej strany, najmä osobné údaje spracúvané v rámci ochrany majetku, finančných alebo iných záujmov prevádzkovateľa a osobné údaje spracúvané na zabezpečenie bezpečnosti prevádzkovateľa prostredníctvom kamier alebo obdobných systémov; to neplatí, ak pri takomto spracúvaní osobných údajov prevažujú základné práva a slobody dotknutej osoby, ktoré podliehajú ochrane podľa tohto zákona Napr. IS Monitorovanie priestorov neprístupných verejnosti IS Externý whistleblowing (dobrovoľný) IS Autokamery IS Vstupy na biometriu IS Blacklist 65

Právny základ - Súhlas dotknutej osoby § 11 a 12 Akýkoľvek slobodne daný výslovný a zrozumiteľný prejav vôle, ktorým dotknutá osoba na základe poskytnutých informácií vedome vyjadruje súhlas so spracúvaním svojich osobných údajov Súhlas dotknutej osoby si prevádzkovateľ nesmie vynucovať a ani podmieňovať hrozbou odmietnutia zmluvného vzťahu, služby, tovaru alebo povinnosti ustanovenej prevádzkovateľovi právne záväzným aktom Európskej únie, medzinárodnou zmluvou, ktorou je Slovenská republika viazaná alebo zákonom (§ 11 ods. 3). Príklad: Nie je dovolené, aby prevádzkovateľ zamedzil dotknutej osobe prístup k tovarom alebo využívaniu služieb, pokiaľ mu neudelila súhlas na spracúvanie osobných údajov na účel marketingovej komunikácie, napríklad zasielania propagačných materiálov. 66

Právny základ - Súhlas dotknutej osoby § 11 a 12 Hodnoverne preukázateľný Súhlas sa preukazuje zvukovým alebo zvukovo-obrazovým záznamom alebo čestným vyhlásením toho, kto poskytol osobné údaje do informačného systému, alebo iným hodnoverným spôsobom (ako prejavu vôle urobeného slobodne a vážne, určite a zrozumiteľne, napríklad súhlas udelený v elektronickej podobe, potvrdením zaškrtávacieho poľa, zakliknutím políčka súhlasu, atď. ) Písomný súhlas sa preukazuje dokladom, ktorý potvrdzuje poskytnutie súhlasu. Súhlas daný v písomnej podobe je bez vlastnoručného podpisu toho, kto súhlas dáva, neplatný. Za súhlas v písomnej podobe sa považuje aj súhlas podpísaný zaručeným elektronickým podpisom. 67

Súhlas dotknutej osoby Dôkaz o súhlase obsahuje najmä: údaj o tom, kto súhlas poskytol, komu sa tento súhlas dáva, na aký účel, Príklad : Nie je dovolené, aby súhlas znel nasledovne: „Registráciou v tomto eshope (účel č. 1) súčasne udeľuje súhlas so spracúvaním svojich osobných údajov zasielania marketingových ponúk (účel č. 2). “ A to z dôvodu, ako je vyššie uvedené, že dotknutá osoba nemá možnosť samostatne prejaviť svoju slobodnú vôľu pre každý jednotlivý účel uvedený v súhlase. zoznam alebo rozsah osobných údajov čas platnosti súhlasu. Príklad : Určenie času platnosti súhlasu so spracúvaním osobných údajov „až do odvolania súhlasu so spracúvaním osobných údajov“ nie je dovolené, nakoľko by mohlo dôjsť k situácii, že osobné údaje by boli spracúvané na dobu neurčitú, čo je ako je vyššie uvedené v rozpore so zásadou primeranosti a zákonnou povinnosťou určenia času platnosti súhlasu prevádzkovateľom. + informácia v § 15 ods. 1 68

Povinnosti prevádzkovateľa Pred začatím spracúvania osobných údajov § 15 – napr. Všeobecné obchodné podmienky (1) Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov dotknutej osoby, je povinný pred ich získavaním dotknutej osobe vopred oznámiť tieto informácie a)identifikačné údaje prevádzkovateľa a zástupcu prevádzkovateľa, ak bol vymenovaný, b)identifikačné údaje sprostredkovateľa; to neplatí, ak prevádzkovateľ pri získavaní osobných údajov nepostupuje podľa § 8, c)účel spracúvania osobných údajov, d)zoznam osobných údajov alebo rozsah osobných údajov podľa § 10 ods. 4 prvá veta a Podľa § 8 ods. 4 písm. a) sa za identifikačné údaje považuje: • titul, meno, priezvisko, dátum narodenia a adresu trvalého pobytu, ak ide o fyzickú osobu, • názov, právnu formu, adresu sídla a identifikačné číslo, ak ide o právnickú osobu, • obchodné meno, adresu miesta podnikania a identifikačné číslo, ak ide o fyzickú osobu – podnikateľa. 69

Povinnosti prevádzkovateľa Pred začatím spracúvania osobných údajov § 15 – napr. Všeobecné obchodné podmienky e) doplňujúce informácie, ktoré sú s ohľadom na všetky okolnosti a podmienky spracúvania osobných údajov potrebné pre dotknutú osobu na zaručenie jej práv a právom chránených záujmov v rozsahu najmä 1. preukázanie totožnosti oprávnenej osoby, ktorá získava osobné údaje alebo preukázanie príslušnosti oprávnenej osoby hodnoverným dokladom k tomu subjektu, v mene ktorého koná; oprávnená osoba je povinná takejto žiadosti dotknutej osoby bez zbytočného odkladu vyhovieť, 2. poučenie o dobrovoľnosti alebo povinnosti poskytnúť požadované osobné údaje; ak prevádzkovateľ získava osobné údaje dotknutej osoby na základe súhlasu dotknutej osoby podľa § 11, oznámi jej aj čas platnosti súhlasu a ak dotknutej osobe povinnosť poskytnúť osobné údaje vyplýva z priamo vykonateľného právne záväzného aktu Európskej únie, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná alebo zákona, prevádzkovateľ oznámi dotknutej osobe právny základ, ktorý jej túto povinnosť ukladá a upovedomí ju o následkoch odmietnutia poskytnúť osobné údaje, 70

Povinnosti prevádzkovateľa Pred začatím spracúvania osobných údajov § 15 – napr. Všeobecné obchodné podmienky e) doplňujúce informácie, ktoré sú s ohľadom na všetky okolnosti a podmienky spracúvania osobných údajov potrebné pre dotknutú osobu na zaručenie jej práv a právom chránených záujmov v rozsahu najmä 3. tretie strany, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje poskytnuté, 4. okruh príjemcov, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje sprístupnené, 5. formu zverejnenia, ak majú byť osobné údaje zverejnené, 6. tretie krajiny, ak sa predpokladá alebo je zrejmé, že sa do týchto krajín uskutoční prenos osobných údajov, 7. poučenie o právach dotknutej osoby. 71

Povinnosti prevádzkovateľa 1) prijať bezpečnostné opatrenia: bezpečnostný projekt, bezpečnostné opatrenia podľa § 19 ods. 1 2) oznamovať informačný systém, viesť evidenciu informačného systému, osobitná registrácia IBA prevádzkovateľ 3) písomne poveriť zodpovednú osobu dohľadom nad ochranou osobných údajov u prevádzkovateľa 4) poučiť oprávnené osoby 72

Povinnosti prevádzkovateľa Počas spracúvania osobných údajov § 19 a § 20 Za bezpečnosť spracúvaných osobných údajov zodpovedá prevádzkovateľ. Prevádzkovateľ je povinný chrániť spracúvané osobné údaje pred ich : Ø poškodením, zničením, Ø stratou, zmenou Ø neoprávneným prístupom a sprístupnením, poskytnutím alebo zverejnením Ø akýmikoľvek inými neprípustnými formami spracúvania 73

Povinnosti prevádzkovateľa Počas spracúvania osobných údajov Na tento účel príjme primerané technické, organizačné a personálne opatrenia (ďalej len „bezpečnostné opatrenia“) zodpovedajúce spôsobu spracúvania osobných údajov, pričom berie do úvahy najmä - použiteľné technické prostriedky, - dôvernosť a dôležitosť spracúvaných osobných údajov - ako aj rozsah možných rizík, ktoré sú spôsobilé narušiť bezpečnosť alebo funkčnosť informačného systému. 74

OSOBITNÁ KATEGÓRIA OSOBNÝCH ÚDAJOV § 13 (1) Spracúvať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru alebo svetonázor, členstvo v politických stranách alebo politických hnutiach, členstvo v odborových organizáciách a údaje týkajúce sa zdravia alebo pohlavného života , sa zakazuje. (2) Pri spracúvaní osobných údajov možno využiť na účely určenia fyzickej osoby všeobecne použiteľný identifikátor ustanovený osobitným zákonom len vtedy, ak jeho použitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Spracúvať iný identifikátor, ktorý v sebe skrýva charakteristiky dotknutej osoby, alebo zverejňovať všeobecne použiteľný identifikátor sa zakazuje. (3) Spracúvanie osobných údajov o psychickej identite fyzickej osoby alebo o jej psychickej pracovnej spôsobilosti môže vykonávať len psychológ alebo ten, komu to umožňuje osobitný zákon napríklad § 33 zákona č. 578/2004 Z. z. o poskytovateľoch zdravotnej starostlivosti, zdravotníckych pracovníkoch, stavovských organizáciách v zdravotníctve a o zmene a doplnení niektorých zákonov (4) Spracúvanie osobných údajov o porušení ustanovení zakladajúcich trestnú zodpovednosť alebo administratívnoprávnu zodpovednosť, môže vykonávať len ten, komu to umožňuje osobitný zákon. (5) Prevádzkovateľ je oprávnený spracúvať biometrické údaje len vtedy, ak je to primerané účelu spracúvania a nevyhnutné na jeho dosiahnutie a ak a)to prevádzkovateľovi vyplýva výslovne zo zákona, b)dotknutá osoba dala na spracúvanie písomný alebo inak hodnoverne preukázateľný súhlas, c)spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy podľa § 10 ods. 3 písm. b), alebo d)spracúvanie osobných údajov je nevyhnutné na účely podľa § 10 ods. 3 písm. g). (6) Primeranosť, nevyhnutnosť a právny základ spracúvania biometrických údajov podľa odseku 5 písm. b) až d) posudzuje úrad v konaní podľa § 37 až 39. 75

Výnimky z obmedzení pri spracúvaní osobitných kategórií osobných údajov § 14 Zákaz spracúvania osobných údajov podľa § 13 ods. 1 neplatí, ak a)dotknutá osoba dala písomný alebo inak hodnoverne preukázateľný súhlas na ich spracúvanie; súhlas je neplatný, ak jeho poskytnutie vylučuje osobitný zákon, b)právnym základom pre spracúvanie osobných údajov je osobitný zákon, právne záväzný akt Európskej únie alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, c)spracúvanie je nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby, ak dotknutá osoba nemá spôsobilosť na právne úkony alebo fyzicky nie je spôsobilá na vydanie písomného súhlasu, a ak nemožno získať písomný súhlas jej zákonného zástupcu, d)spracúvanie vykonáva v rámci oprávnenej činnosti občianske združenie, nadácia alebo nezisková organizácia poskytujúca všeobecne prospešné služby, politická strana alebo politické hnutie, odborová organizácia, štátom uznaná cirkev alebo náboženská spoločnosť a toto spracúvanie sa týka iba ich členov alebo tých fyzických osôb, ktoré sú s nimi vzhľadom na ich ciele v pravidelnom styku, osobné údaje slúžia výlučne pre ich vnútornú potrebu a nebudú poskytnuté tretej strane bez písomného alebo 76 inak hodnoverne preukázateľného súhlasu dotknutej osoby,

Bezpečnostné opatrenia Osobitná kategória osobných údajov Prepojenie s verejne prístupnou počítačovou sieťou Bezpečnostný projekt A A Bezpečnostné opatrenia podľa § 19 ods. 1 A N Bezpečnostné opatrenia podľa § 19 ods. 1 N A Bezpečnostné opatrenia podľa § 19 ods. 1 N N 77

Bezpečnostné opatrenia § 19 ods. 1 Bezpečnostné opatrenia podľa § 19 ods. 1 zákona, t. j. ak prevádzkovateľ nepostupuje podľa § 19 ods. 2 zákona, prevádzkovateľ preukazuje napríklad: • popisom bezpečnostných opatrení a spôsobom ich uplatňovania v konkrétnych podmienkach, • záznamami o poučení oprávnených osôb podľa § 21 zákona, • záznamami o zistených bezpečnostných incidentoch s vplyvom na bezpečnosť osobných údajov a • záznamami o opatreniach, ktoré prevádzkovateľ prijal na zaistenie bezpečnosti informačného systému po bezpečnostných incidentoch. 78

Metodické usmernenie č. 4/2016 Bezpečnostné opatrenia podľa § 19 ods. 1 zákona č. 122/2013 Z. z. • Z týchto opatrení možno spomenúť • prístup do určitých priestorov prevádzkovateľa (napr. serverovňa, úložisko chránených dôverných informácii a pod. ) je umožnené iba vybraným zamestnancom, nie je udelené všetkým zamestnancom paušálne, nakoľko isté časti prevádzky prevádzkovateľa sú citlivé a hromadným prístupom by prevádzkovateľ zvyšoval riziko poškodenia prostriedkov spracúvania osobných údajov prípadne prístup k nim (napr. server, trezor, bezpečnostná skriňa a pod. ), • na základe náplne práce majú zamestnanci povolené vstupovať iba do určitých informačných systémov prevádzkovateľa (napr. personalistka má prístup iba do časti informačného systému prevádzkovateľa, ktorý zodpovedá jej pracovnej náplni a nie do všetkých informačných systémov prevádzkovateľa, napr. zamestnanci call centra, majú prístup do klientskej databázy informačného systému, ale nemajú prístup do informačného systému personalistika a mzdy a pod. ), • poučenie oprávnenej osoby prevádzkovateľom, prípadne osobou ním poverenou; týmto prevádzkovateľ zabezpečuje, že oprávnená osoba, ako jeho zamestnanec presne vie, do ktorých informačných systémov má prístup a aké spracovateľské operácie v nich môže vykonávať a akým spôsobom priamo realizuje ochranu osobných údajov prevádzkovateľa (napr. „politika čistého stola“ - dokumenty obsahujúce osobné údaje s ktorými momentálne zamestnanec nepracuje sa nemajú nachádzať na pracovnom stole, „politika čistej obrazovky“ - ak je zamestnanec mimo svojho pracovného stola má mať uzamknutú obrazovku), 79

Bezpečnostný projekt sa skladá z: a) názov informačného systému, na ktorý sa vzťahuje, b) bezpečnostný zámer, c) analýza bezpečnosti informačného systému, d) závery vyplývajúce z písmen b) a c). Ak prevádzkovateľ spracúva osobné údaje vo viacerých informačných systémoch, z ktorých aspoň jeden vyžaduje vypracovanie bezpečnostného projektu, môže vypracovať jeden bezpečnostný projekt pre všetky informačné systémy, v ktorom zreteľne označí časti týkajúce sa jednotlivých informačných systémov. 80

Kontrola bezpečnostnej dokumentácie Spôsob kontroly bezpečnostnej dokumentácie z pohľadu úradu: - bezpečnostný projekt absencia - základná dokumentácia - aktualizácia - náležitosti napr. kontrolná činnosť 81

Kontrola bezpečnostnej dokumentácie SANKCIE: § 68 ods. 7 - Úrad môže uložiť pokutu od 150 eur do 2 000 eur tomu, kto c) nepostupoval v súlade s technickými, organizačnými alebo personálnymi opatreniami prijatými prevádzkovateľom alebo sprostredkovateľom podľa § 19 a 20 § 68 ods. 1 - Úrad môže uložiť pokutu od 1000 eur do 50 000 eur prevádzkovateľovi, ktorý e) nesplnil alebo porušil niektorú z povinností bezpečnosti spracúvania osobných údajov podľa § 19 ods. 1 a 3 a § 20, § 68 ods. 3 - Úrad uloží pokutu od 1 000 eur do 200 000 eur prevádzkovateľovi, ktorý c) nesplnil alebo porušil povinnosť mať vypracovaný bezpečnostný projekt podľa § 19 ods. 2 82

Oprávnená osoba - definícia Oprávnenou osobou každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovnoprávneho vzťahu, štátnozamestnaneckého pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania, alebo v rámci výkonu verejnej funkcie, a ktorá spracúva osobné údaje v rozsahu a spôsobom určeným v poučení 83

Obsah poučenia oprávnenej osoby Fyzická osoba sa stáva oprávnenou osobou dňom jej poučenia. Prevádzkovateľ je povinný poučiť osobu podľa odseku 1 o jej právach a povinnostiach pri spracúvaní osobných údajov; poučenie obsahuje najmä vymedzenie rozsahu jej oprávnení, povolených činností a podmienok spracúvania osobných údajov. Prevádzkovateľ vykoná poučenie pred uskutočnením prvej operácie s osobnými údajmi oprávnenou osobou. “. Prevádzkovateľ je povinný o poučení oprávnenej osoby vyhotoviť záznam, ktorý je povinný na požiadanie úradu hodnoverne preukázať. 84

Obsah poučenia oprávnenej osoby Prevádzkovateľ je povinný opätovne poučiť oprávnenú osobu, ak došlo k podstatnej zmene jej pracovného, služobného alebo funkčného zaradenia, a tým sa významne zmenil obsah náplne jej pracovných činností, alebo sa podstatne zmenili podmienky spracúvania osobných údajov alebo rozsah spracúvaných osobných údajov v rámci jej pracovného, služobného alebo funkčného zaradenia. Oprávnené osoby poučené do 31. 12. 2013 Po tomto dátume - nástup do práce - zmenila úroveň prístupu k osobným údajom 85

Mlčanlivosť § 22 (1) Prevádzkovateľ je povinný zachovávať mlčanlivosť o osobných údajoch, ktoré spracúva. Povinnosť mlčanlivosti trvá aj po ukončení spracúvania osobných údajov. (2) Oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými príde do styku; tie nesmie využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmie zverejniť a nikomu poskytnúť ani sprístupniť. (3) Povinnosť mlčanlivosti podľa odseku 2 platí aj pre iné fyzické osoby, ktoré prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa. Napríklad údržba a servis technických prostriedkov, upratovačky a podobne. (4) Povinnosť mlčanlivosti podľa odseku 2 trvá aj po zániku funkcie oprávnenej osoby alebo po skončení jej pracovného pomeru, štátnozamestnaneckého pomeru, služobného pomeru alebo obdobného pracovného vzťahu. Povinnosť mlčanlivosti podľa prvej vety sa vzťahuje aj na fyzické osoby podľa odseku 3. (5) Povinnosť mlčanlivosti podľa odsekov 1 až 4 neplatí, ak je to nevyhnutné na plnenie úloh súdu a orgánov činných v trestnom konaní podľa osobitného zákona; tým nie sú dotknuté ustanovenia o mlčanlivosti podľa osobitných predpisov. 86

Kontrola poučenia oprávnenej osoby Spôsob kontroly poučení oprávnenej osoby z pohľadu úradu: - absencia poučení - náležitosti - spracovateľské operácie - konkrétne informačné systémy 87

Kontrola poučenia oprávnenej osoby Sankcie: § 68 ods. 1 - Úrad môže uložiť pokutu od 300 eur do 3 000 eur prevádzkovateľovi, ktorý c) nesplnil alebo porušil povinnosť hodnoverne preukázať vyhotovenie záznamu poučenia oprávnených osôb podľa § 21 ods. 3 § 68 ods. 2 - Úrad môže uložiť pokutu od 1 000 eur do 50 000 eur prevádzkovateľovi, ktorý f) nesplnil alebo porušil niektorú z povinností upravujúcich poučenie oprávnených osôb podľa § 21 ods. 2 a 4 88

Podmienky poverenia zodpovednej osoby § 23 (1)Za výkon dohľadu nad ochranou osobných údajov spracúvaných podľa tohto zákona zodpovedá prevádzkovateľ. (2) Prevádzkovateľ, ktorý spracúva osobné údaje prostredníctvom oprávnených osôb môže výkonom dohľadu písomne poveriť zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dozerajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov. Týmto nie je dotknutá zodpovednosť prevádzkovateľa podľa odseku 1. (3) Ak prevádzkovateľ nepoverí zodpovednú osobu podľa odseku 2 je povinný oznámiť úradu tie informačné systémy, ktoré podľa tohto zákona podliehajú oznamovacej povinnosti podľa § 34. Povinnosť ustanovená prevádzkovateľovi podľa prvej vety sa nevzťahuje na sprostredkovateľa. “. (4) Zodpovedná osoba má postavenie oprávnenej osoby prevádzkovateľa s právom prístupu do informačných systémov prevádzkovateľa v rozsahu potrebnom na plnenie úloh podľa § 27. (5) Zodpovednou osobou môže byť len fyzická osoba, ktorá má spôsobilosť na právne úkony v plnom rozsahu, je bezúhonná a má platné potvrdenie úradu o absolvovaní skúšky podľa § 24. 89

Podmienky poverenia zodpovednej osoby § 23 (6) Za bezúhonného sa na účely tohto zákona považuje ten, kto nebol právoplatne odsúdený za úmyselný trestný čin alebo za trestný čin pri ktorom mu výkon trestu odňatia slobody nebol podmienečne odložený, ak sa podľa rozhodnutia súdu alebo na základe zákona nehľadí na neho, ako keby nebol odsúdený alebo odsúdenie mu nebolo zahladené. Bezúhonnosť sa preukazuje doloženým výpisom z registra trestov nie starším ako tri mesiace. Výpis z registra trestov fyzická osoba doloží prevádzkovateľovi najneskôr v deň poverenia podľa odseku 2. Prevádzkovateľ je povinný ho uchovávať spolu s poverením podľa odseku 8 počas celej doby výkonu funkcie zodpovednej osoby. (7) Povinnosť preukazovania bezúhonnosti podľa odseku 6 neplatí, ak fyzická osoba je povinná preukázať svoju bezúhonnosť na účely pracovného pomeru, štátnozamestnaneckého pomeru, služobného pomeru alebo obdobného pracovného vzťahu k prevádzkovateľovi podľa osobitného zákona. (8) Poverenie podľa odseku 2 obsahuje • identifikačné údaje prevádzkovateľa, • titul, meno, priezvisko a dátum narodenia poverenej zodpovednej osoby, • dátum začiatku platnosti poverenia zodpovednej osoby, • vyhlásenie prevádzkovateľa o tom, že poverená osoba spĺňa predpoklady podľa tohto zákona, • číslo potvrdenia o absolvovaní skúšky podľa § 24 ods. 5 písm. c) a dátum vydania potvrdenia, • výslovný súhlas s poverením a podpis poverenej zodpovednej osoby, • odtlačok pečiatky prevádzkovateľa, • dátum vyhotovenia poverenia a • podpis štatutárneho orgánu prevádzkovateľa alebo inej osoby oprávnenej konať v 90 mene prevádzkovateľa.

Zodpovedná osoba Mám zodpovednú osobu Nemám zodpovednú osobu Do 30. 06. 2013 Prevádzkovateľ zamestnával viac ako 5 zamestnancov - MUSEL Prevádzkovateľ zamestnával menej ako 6 zamestnancov - MOHOL Od 01. 07. 2013 do 15. 04. 2014 Prevádzkovateľ spracúval osobné údaje prostredníctvom 20 a viac opráv. osôb MUSEL Prevádzkovateľ spracúval osobné údaje prostredníctvom menej 20 a viac opráv. osôb NEMOHOL Od 15. 04. 2014 Bez ohľadu na počet oprávnených osôb – CHCE MÁ Bez ohľadu na počet oprávnených osôb – NECHCE NEMÁ 91

Zodpovedná osoba podľa nariadenia – účinného od 25. 5. 2018 Prevádzkovateľ a sprostredkovateľ určia zodpovednú osobu v každom prípade, keď: a) spracúvanie vykonáva orgán verejnej moci alebo verejnoprávny subjekt s výnimkou súdov pri výkone ich súdnej právomoci; b) hlavnými činnosťami prevádzkovateľa alebo sprostredkovateľa sú spracovateľské operácie, ktoré si vzhľadom na svoju povahu, rozsah a/alebo účely vyžadujú pravidelné a systematické monitorovanie dotknutých osôb vo veľkom rozsahu; alebo c) hlavnými činnosťami prevádzkovateľa alebo sprostredkovateľa je spracúvanie osobitných kategórií údajov podľa článku 9 vo veľkom rozsahu alebo spracúvanie osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky podľa článku 10. 92

Skúška na výkon funkcie zodpovednej osoby § 24 (1) Fyzická osoba môže byť poverená výkonom dohľadu nad ochranou osobných údajov po úspešnom absolvovaní skúšky. (2) Skúšku fyzickej osoby na účely výkonu funkcie zodpovednej osoby podľa tohto zákona zabezpečuje úrad. (3) Žiadosť o absolvovanie skúšky obsahuje • údaje o žiadateľovi v rozsahu titul, meno, priezvisko, dátum narodenia, adresa trvalého pobytu a adresa na doručovanie písomností, elektronická pošta a telefónne číslo, • Identifikačné údaje prevádzkovateľa alebo sprostredkovateľa, ak zasielajú žiadosť o absolvovanie skúšky za žiadateľa • dátum a podpis žiadateľa. (6) Fyzická osoba, ktorá úspešne absolvovala skúšku a nevykonáva funkciu zodpovednej osoby počas doby dlhšej ako dva roky, je povinná vykonať skúšku opakovane. Skúška je bezplatná!! 93

Skúška – podrobnosti vo Vyhláške o skúške fyzickej osoby na výkon funkcie zodpovednej osoby § 2 (1)Skúškou sa overujú znalosti všeobecne záväzných právnych predpisov upravujúcich ochranu osobných údajov formou písomného testu; o priebehu a výsledku skúšky skúšajúci vyhotovuje záznam o skúške. Okruhy otázok na skúšku sú uvedené v prílohe. (2) Písomný test obsahuje 20 otázok. Za každú správne zodpovedanú otázku je jeden bod. Na vyznačenie odpovedí je limit 30 minút. (3) Na absolvovanie skúšky je potrebné získať najmenej 15 bodov. 94

Povinnosti zodpovednej osoby - § 27 (1) Zodpovedná osoba je povinná pred začatím spracúvania osobných údajov v informačnom systéme posúdiť, či ich spracúvaním nevzniká nebezpečenstvo narušenia práv a slobôd dotknutých osôb. Zistenie narušenia práv a slobôd dotknutých osôb pred začatím spracúvania alebo porušenia zákonných ustanovení v priebehu spracúvania osobných údajov je zodpovedná osoba povinná bez zbytočného odkladu písomne oznámiť prevádzkovateľovi. 95

Povinnosti zodpovednej osoby - § 27 (2) Zodpovedná osoba je povinná zabezpečovať • potrebnú súčinnosť s úradom pri plnení úloh patriacich do jeho pôsobnosti; na požiadanie je zodpovedná osoba povinná úradu kedykoľvek predložiť svoje písomné poverenie a písomné oznámenia podľa odseku 1, • povinnosti podľa odseku 1, • dohľad nad plnením základných povinností prevádzkovateľa podľa § 6, • poučenie oprávnených osôb podľa § 21, • vybavovanie žiadostí dotknutých osôb podľa § 28 až 30, • prijatie bezpečnostných opatrení podľa § 19 ods. 1 až 2, dohliadať na ich aplikáciu v praxi a zabezpečovať ich aktualizáciu podľa § 19 ods. 3, • dohľad nad výberom sprostredkovateľa, prípravu písomnej zmluvy so sprostredkovateľom a počas trvania zmluvného vzťahu preverovať dodržiavanie dohodnutých podmienok podľa § 8, • dohľad nad cezhraničným prenosom osobných údajov podľa § 31 a 32, • prihlásenie informačných systémov na osobitnú registráciu, ich odhlásenie alebo nahlasovanie zmien alebo zabezpečovať vedenie evidencie informačných systémov podľa § 34 až 44. (3) Zodpovedná osoba, ktorá prestane spĺňať podmienky podľa § 23 ods. 5 je povinná bez zbytočného odkladu oznámiť túto skutočnosť prevádzkovateľovi. 96

Zodpovedná osoba- dokumentácia Zodpovedná osoba bude u seba uchovávať tieto dokumenty: 1) Potvrdenie o úspešnom absolvovaní skúšky 2) Výpis z registra trestov (platný ku dňu písomného poverenia, alebo podľa osobitného zákona k prevádzkovateľovi 3) Písomné poverenie, ktoré má náležitosti podľa § 23 ods. 8 zákona o OOÚ 4) Oznámenie prevádzkovateľa o poverení zodpovednej osoby. Poslať ako jediný dokument na úrad. (Podací lístok, dôkaz o zaručenom elektronickom podpise) 97

Povinnosti prevádzkovateľa Osobitná registrácia, oznamovacia povinnosť a evidencia informačných systémov Prevádzkovateľ má ku každému informačnému systému vypracovanú: • oznamovaciu povinnosť (§ 34 - § 36) posiela na úrad, alebo • osobitnú registráciu (§ 37 - 41) posiela na úrad, alebo • evidencia informačných systémov v rozsahu a za podmienok ustanovených týmto zákonom (§ 43 a 44) zostáva u prevádzkovateľa Osobitná registrácia je jediná spoplatnená sumou 50, - eur – aj oznamovanie zmien Prevádzkovaľ má ku každému informačnému systému vypracovanú iba jednu z troch uvedených foriem!!!!!! Vždy prevádzkovateľ musí mať vyprac ované aj keď osobné údaje spracúva sprostredkovateľ. 98

Oznamovacia povinnosť § 34 30 Oprávnených osôb Prevádzkovateľ zodpovednú osobu 30 Oprávnených osôb nepoverí Prevádzkovateľ poverí zodpovednú osobu Prevádzkovateľ vypracuje: -Evidenčný list -Osobitnú registráciu - Oznámenie (prevádzkovateľ spracúva osobné údaje úplne alebo čiastočne automatizovanými prostriedkami spracúvania) Prevádzkovateľ vypracuje: -Evidenčný list -Osobitnú registráciu - Oznámenie – ale iba informačného systému, kde právny základ je § 10 ods. 3 písm. g) zákona o OOU (napr. IS Monitorovanie priestorov neprístupných verejnosti Právny základ je: Úrad môže v konaní o oznámení - Súhlas dotknutej osoby presunúť IS na osobitnú registráciu -§ 10 ods. 3 písm. g) zákona o OOU 99

Oznamovacia povinnosť § 34 (1) Oznamovacia povinnosť sa vzťahuje na všetky informačné systémy, v ktorých sa spracúvajú osobné údaje úplne alebo čiastočne automatizovanými prostriedkami spracúvania. !!!!! Chýba neautomatizovaná forma (2) Oznamovacia povinnosť podľa odseku 1 sa nevzťahuje na informačné systémy, ktoré a)podliehajú osobitnej registrácii podľa § 37, b)podliehajú dohľadu zodpovednej osoby, ktorú písomne poveril prevádzkovateľ podľa § 23 a ktorá vykonáva dohľad nad ochranou osobných údajov podľa tohto zákona, okrem informačného systému, v ktorom sa spracúvajú osobné údaje na základe § 10 ods. 3 písm. g), ktorý vždy podlieha oznamovacej povinnosti; úrad môže rozhodnúť, že informačný systém, v ktorom sa spracúvajú osobné údaje na základe § 10 ods. 3 písm. g) podlieha osobitnej registrácii, 100

Oznamovacia povinnosť § 34 c)obsahujú osobné údaje o členstve osôb v občianskom združení alebo odborovej organizácii, a ak tieto osobné údaje spracúvajú a využívajú výlučne pre svoju vnútornú potrebu, alebo obsahujú osobné údaje o náboženskej viere osôb združených v štátom uznanej cirkvi alebo náboženskej spoločnosti a ak tieto osobné údaje spracúva cirkev alebo náboženská spoločnosť a využíva ich výlučne pre svoju vnútornú potrebu, alebo obsahujú osobné údaje o členstve osôb v politickej strane alebo v politickom hnutí, ktoré sú ich členmi a ak tieto osobné údaje spracúva politická strana alebo politické hnutie a využíva ich výlučne pre svoju vnútornú potrebu, alebo d)obsahujú osobné údaje, ktoré sú spracúvané na základe zákona, priamo vykonateľného právne záväzného aktu Európskej únie alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná. Oznamujú sa iba tie IS, ktoré sa nedajú dať pod výnimky uvedené v § 34, nie všetky IS. Napríklad IS Personalistika a mzdy, IS Účtovné doklady, IS Správa registratúry sa nikdy neoznamujú, vždy je potrebné, aby prevádzkovateľ vypracoval evidenčné listy. 101

Názov systému informačného Právny základ Personalistika a mzdy Prevádzkovateľ nepoveril zodpovednú osobu Prevádzkovateľ poveril zodpovednú osobu Zákonník práce, EL zákon o soc. poistení atď. EL Uchádzači o zamestnanie, Súhlas dotknutej OZ Marketing, Fotografia osoby EL Monitorovanie zamestnancov pracovisku § 13 ods. 4 EL na Zákonníka práce EL Monitorovanie priestorov § 15 ods. 7 a § EL prístupných verejnosti 17 ods. 7 zákona o OOU EL Monitorovanie priestorov § 10 ods. 3 písm. OZ neprístupných verejnosti g) zákona o OOU OZ Zmluvy EL § 10 ods. 3 písm. EL b) zákona o ochrane osobných údajov 102

Povinnosti prevádzkovateľa Ako si splniť oznamovaciu povinnosť? Prevádzkovateľ je povinný vyplniť oznámenie informačného systému. Oznámenie informačného systému sa zasiela úradu písomne poštou, v podobe elektronického dokumentu, prostredníctvom elektronického formuláru alebo osobne do podateľne úradu. V prípade, keď oznámenie informačného systému vybavuje niekto iný ako prevádzkovateľ (napr. advokátska kancelária), v tom prípade je potrebné so žiadosťou doručiť aj splnomocnenie. • Je potrebné k vyplnenému oznámenou priložiť ďalšie dokumenty? K oznámeniu sa neprikladajú ďalšie dokumenty. Ak však oznámenie nespĺňa všetky zákonom o ochrane osobných údajov predpísané náležitosti, úrad vyzve prevádzkovateľa na odstránenie nedostatkov. Pokiaľ prevádzkovateľ neodstráni nedostatky v určenej lehote, úrad nepridelí identifikačné číslo a na podané oznámenie sa neprihliada. • Vydáva úrad potvrdenie o splnení oznamovacej povinnosti? Potvrdenie o splnení oznamovacej povinností vydá úrad len na žiadosť prevádzkovateľa. • Je oznamovacia povinnosť spoplatnená? Nie, za oznámenie informačného systému sa nevyberá žiaden správny poplatok. • Kedy je možné začať so spracúvaním osobných údajov v informačnom systéme, ktorý podlieha oznamovacej povinnosti? Začať spracúvať osobné údaje je možné ihneď po oznámení informačného systému úradu. 103

Osobitná registrácia Prevádzkovateľ je povinný prihlásiť informačný systém na osobitnú registráciu na úrade pred začatím spracúvania osobných údajov. Osobitnej registrácii podliehajú informačné systémy, v ktorých sa spracúvajú: § 37 Osobitná registrácia sa vzťahuje na informačné systémy, v ktorých prevádzkovateľ spracúva a) osobné údaje na základe § 10 ods. 3 písm. g), ak o tom rozhodne úrad podľa § 34 ods. 2 písm. b), b) osobné údaje na základe § 13 ods. 5 písm. b), c) a d), alebo c) aspoň jeden z osobných údajov uvedených v § 13 ods. 1 a zároveň sa predpokladá prenos týchto osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov; osobitná registrácia sa nevyžaduje v prípadoch podľa § 31 ods. 9. 104

Osobitná registrácia Ako prihlásiť informačný systém na osobitnú registráciu? Prevádzkovateľ je povinný prihlásiť informačný systém na osobitnú registráciu na úrade pred začatím spracúvania osobných údajov. Žiadosť, ktorou prevádzkovateľ prihlasuje informačný systém na osobitnú registráciu, musí okrem náležitostí podľa § 35 ods. 1 obsahovať aj dôvod prihlasovania informačného systému na osobitnú registráciu podľa § 37. Prílohou k žiadosti sú podklady nevyhnutné na posúdenie, či spracúvaním osobných údajov nevzniká nebezpečenstvo porušenia práv a slobôd dotknutých osôb. Prevádzkovateľ je povinný vyplniť žiadosť, podpísať, opatriť pečiatkou, priložiť podklady, ktoré sú nevyhnutné na posúdenie predmetného spracúvania osobných údajov, zaplatiť poplatok a zaslať úradu doporučenou zásielkou. V prípade, keď osobitnú registráciu vybavuje niekto iný ako prevádzkovateľ (napr. advokátska kancelária), v tom prípade je potrebné s registračným formulárom doručiť aj splnomocnenie. Prevádzkovateľ je oprávnený začať spracúvať osobné údaje v informačnom systéme prihlásenom na osobitnú registráciu až po doručení potvrdenia o osobitnej registrácii 105

Oznámenie zmien, odhlásenie z registrácie a odhlásenie osobitnej registrácie § 40 (1) Prevádzkovateľ je povinný do 15 dní písomne oznámiť úradu akékoľvek zmeny oznámených údajov a údajov prihlásených na osobitnú registráciu, ktoré nastanú v priebehu spracúvania; povinnosť oznámenia zmien sa nevzťahuje na počet oprávnených osôb podľa § 35 ods. 1 písm. d). Vzor žiadosti o oznámení zmien zverejní úrad na svojom webovom sídle. (2) Prevádzkovateľ je povinný do 15 dní odo dňa skončenia spracúvania osobných údajov písomne oznámiť ukončenie používania informačného systému podľa § 35 ods. 1 a písomne odhlásiť informačný systém z osobitnej registrácie. Pri písomnom oznámení podľa prvej vety je prevádzkovateľ povinný uviesť najmä svoje identifikačné údaje, názov odhlasovaného informačného systému, identifikačné alebo registračné číslo a dátum skončenia spracúvania osobných údajov. Vzor písomného oznámenia podľa prvej vety zverejní úrad na svojom webovom sídle. (3) Zmenu oznámených údajov podľa odseku 1 a oznámenie ukončenia používania informačného systému podľa odseku 2 možno vykonať aj prostredníctvom elektronického formulára. 106

Podmienky evidencie § 43 a § 44 (1) O informačných systémoch, ktoré nepodliehajú oznamovacej povinnosti alebo osobitnej registrácii, je prevádzkovateľ povinný viesť evidenciu, a to najneskôr odo dňa začatia spracúvania údajov v týchto informačných systémoch. Evidencia obsahuje údaje v rozsahu podľa § 35 ods. 1. Vzor evidencie zverejní úrad na svojom webovom sídle. (2) Prevádzkovateľ je povinný viesť a aktualizovať evidenciu podľa odseku 1 až do dňa ukončenia spracúvania osobných údajov v informačnom systéme; povinnosť aktualizácie sa nevzťahuje na počet oprávnených osôb podľa § 35 ods. 1 písm. d). § 44 Sprístupnenie evidencie Údaje z evidencie podľa § 43 ods. 1 je prevádzkovateľ povinný sprístupniť bezplatne komukoľvek, kto o to požiada. Evidenčný formulár sa úradu nezasiela ostáva prevádzkovateľa. 107

Čo poslať na Úrad na ochranu osobných údajov SR? 1) POVERENIE ZODPOVEDNEJ OSOBY (do 30 dní odo dňa poverenia doporučenou zásielkou alebo prostredníctvom zaručeného elektronického podpisu) oznámenie zmien - BEZODKLADNE oznámenie o zániku/odvolaní poverenia – BEZODKLADNE 2) OZNÁMENIE – (pred začatím spracovávania osobných údajov, deň oznámenia je deň začatia spracúvania osob. údajov) oznámenie zmien – do 15 dní oznámenie ukončenia používania IS – do 15 dní 3) OSOBITNÁ REGISTRÁCIA – (zaslať úradu pred začatím spracovávania osobných údajov. Prevádzkovateľ môže spracúvať osobné údaje, až po potvrdení zo strany úradu) oznámenie zmien – do 15 dní odhlásenie IS – do 15 dní 108

Priebeh kontroly úradu 1) Oznámenie o kontrole (poštou alebo prinesú osobne) 2) Zápisnica z kontroly (zistenie stavu a odobratie dokumentácie) 3) Záznam z kontroly – nezistené porušenie návrh Zápisnice o prerokovaní protokolu z kontroly – 7/10 dní na vyjadrenie 4) Zápisnica o prerokovaní protokolu z kontroly – podpis. Námietky do 7 dní – podpis Dodatku k Zápisnici o prerokovaní protokolu z kontroly Záznam z kontroly – ak akceptujú všetky pripomienky 5) Oznámenie o začatí správneho konania – 10 dní na vyjadrenie 6) Zastavenie konania/ Rozhodnutie o uložení opatrenia – do 15 dní rozklad. Pozor nezabudnúť zaslať úradu Informáciu o splnení opatrenia, za nezaslanie včas hrozí poriadková pokuta 7) Rozhodnutie o uložení sankcie – do 15 dní rozklad § 70 ods. 2 zákona o OOU - Pokutu podľa § 68 možno uložiť do dvoch rokov odo dňa, keď úrad porušenie povinnosti zistil, najneskôr však do piatich rokov odo dňa, keď k porušeniu povinnosti došlo. 109

Úrad na ochranu osobných údajov SR Adresa: Úrad na ochranu osobných údajov SR Hraničná 12 820 07 Bratislava Web stránka: www. dataprotection. gov. sk Adresa pre elektronický poštový styk: statny. dozor@pdp. gov. sk 110

Ďakujem za pozornosť marcelamacova@dapro. sk www. dapro. sk 111