Osobné údaje

Dňa 24. apríla 2024 Národná rada SR schválila zákon, ktorým sa menia a dopĺňajú niektoré zákony v súvislosti so zlepšovaním podnikateľského prostredia a znižovaním administratívnej záťaže. K zmenám došlo v zákonoch: 

• Zákon č. 67/2010 Z. z. o podmienkach uvedenia chemických látok a chemických zmesí na trh, 
• Zákon č. 18/2018 Z. z. o ochrane osobných údajov, 
• Zákon č. 94/2013 Z. z. o puncovníctve a skúšaní drahých kovov,
• Zákon č. 251/2012 Z. z. o energetike, v ktorom sa zavádza povinnosť odberateľa plynu alebo vlastníka nehnuteľnosti, do ktorej je dodávaný plyn, umožniť prevádzkovateľovi distribučnej siete kontrolu zariadenia alebo určeného meradla a tiež povinnosť prevádzkovateľa distribučnej siete vykonať fyzický odpočet stavu počítadla určeného meradla na odbernom mieste, ktoré nie je vybavené určeným meradlom s diaľkovým odpočtom minimálne raz za 12 po sebe nasledujúcich mesiacov, ak odberateľ nepotvrdil prevádzkovateľovi distribučnej siete záujem o nahlásenie stavu počítadla určeného meradla ako náhrady za fyzický odpočet alebo nejde o odberné miesto so spotrebou, ktorá neprekročila 200 m3 za rok za obdobie posledných piatich rokov, fyzický odpočet u odberateľa plynu mimo domácnosti je povinný vykonať každoročne k 31. decembru v priebehu mesiaca december príslušného kalendárneho roka. 

Úrad na ochranu osobných údajov SR (ďalej ako „Úrad“) vykonal v období od 25. mája 2018 do 24. mája 2019 kontrolu zameranú na spracúvanie osobných údajov. V nasledujúcom článku prinášame výsledky kontrolných zistení Úradu, spolu so zhrnutím skutkového stavu jednotlivých prípadov. 

Dňa 15.6.2018 nadobudla účinnosť Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov (ďalej len „vyhláška“), ktorá bola prijatá na základe splnomocňujúceho ust. § 108 ods. 2 3 zákona č. 18/2018 Z. z. o ochrane osobných údajov v platnom znení (ďalej len „zákon o ochrane osobných údajov“).

V záverečnej časti bližšie rozoberáme postavenie zodpovednej osoby podľa novej právnej úpravy. 

Prevádzkovateľ a sprostredkovateľ majú na zabezpečenie osobných údajov viacero možností. Samotná úprava bezpečnosti bola prebratá z pôvodnej právnej úpravy bez významných zmien. Prevádzkovateľ alebo správca majú povinnosť najskôr posúdiť riziká, ktoré hrozia pri spracúvaní osobných údajov a následne s prihliadnutím na stav techniky, na náklady a rozsah rizika priať primerané technické opatrenia. S ohľadom na posúdenie špecifík každej operácie sa prevádzkovateľovi podľa čl. 12 GDPR ponúka viacero možností.

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018 (ďalej len „zákon o ochrane osobných údajov“) upravujú práva dotknutých osôb pri nakladaní s osobnými údajmi. V tejto časti sa budeme venovať ďalším povinnostiam prevádzkovateľov. 

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018 (ďalej len „zákon o ochrane osobných údajov“) upravujú práva dotknutých osôb pri nakladaní s osobnými údajmi. V tejto časti sa budeme venovať najmä povinnostiam prevádzkovateľa, ktoré mu vyplývajú z novej právnej úpravy. 

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018 (ďalej len „zákon o ochrane osobných údajov“) upravujú práva dotknutých osôb pri nakladaní s osobnými údajmi. V tejto časti sa budeme venovať najmä právu na prenosnosť údajov ale aj právu namietať spracovanie osobných údajov.

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018  upravujú práva dotknutých osôb pri nakladaní s osobnými údajmi. V tejto časti sa budeme venovať najmä poskytovaniu informácií zo strany prevádzkovateľa, výmazu a obmedzeniu osobných údajov na žiadosť dotknutej osoby. 

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018 (ďalej len „zákon o ochrane osobných údajov“) upravujú osobitné kategórie osobných údajov. Osobitné kategórie sú v nariadení aj v zákone taxatívne menované. Dôvodom jej úpravy sú citlivé údaje o osobách, pričom možno predpokladať, že pri ich zneužití môžu predstavovať pre dotknutú osobu významný zásah do základných ľudských práv. 

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018 (ďalej len „zákon o ochrane osobných údajov“) považuje zásadu zákonnosti za jednu z hlavných zásad novej právnej úpravy. Jej základom je predpoklad nadobudnutia a spracovania osobných údajov len na základe zákonných predpokladov. Za tieto zákonné predpoklady považujeme právny titul. 

V tomto odbornom článku sa budeme venovať ďalšej časti Nariadenia Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“), ktorá sa venuje zásadám spracúvania osobných údajov (čl. 5 a nasl.).

Zásady spracovania osobných údajov predstavujú základné mantinely, v medziach ktorých sa môže s osobnými údajmi nakladať. Týmito zásadami sa riadi celé nariadenie GDPR ale do svojich ustanovení ich prebral aj zákon č. 18/2018 Z. z. o ochrane osobných údajov. Základné zásady sú teda v oboch predpisoch pojmovo aj obsahovo totožné, preto sme ich z dôvodu nadbytočnej duplicity zhrnuli do jedného článku. 

V predchádzajúcom odbornom článku sme sa venovali úvodu do novej právnej úpravy. Nakoľko je potrebné pre ľahšiu orientáciu v právnej úprave poznať základné pojmy, s ktorými zákon o ochrane osobných údajov a aj GDPR pracujú, tento článok sa bude venovať ich vymedzeniu a zrozumiteľnému vysvetleniu. 

Dňa 29. novembra 2017 Národná rada Slovenskej republiky schválila nové znenie zákona o ochrane osobných údajov, ktorý vznikol za účelom zosúladenia vnútroštátneho práva s Nariadením Európskeho parlamentu a rady (EÚ) č. 2016/679 z 27. 4. 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe týchto údajov (tzv. General Data Protection Regulation alebo ako ho aj skrátene budeme ďalej označovať "GDPR"). GDPR predstavuje za posledných 20 rokov najvýznamnejší legislatívny zásah v oblasti osobných údajov, pričom zasahuje široké spektrum subjektov práva, a to vo všetkých členských štátoch Európskej únie. Nariadenie a rovnako aj zákon o ochrane osobných údajov nadobudnú účinnosť k 25. 5. 2018.

GDPR si nevyžadovalo tvorbu nového zákona, no ponechalo členským štátom voľnosť pri vlastnej úprave niektorých ustanovení. Zákon o ochrane osobných údajov teda implementuje priamo GDPR do nášho právneho poriadku, no obsahuje aj svoju špecifickú právnu úpravu na miestach, kde mu splnomocňovacie ustanovenia GDPR dovolia. Tieto dva veľké legislatívne materiály predstavujú novú a zložitú právnu problematiku, ktorá sa môže javiť ako nejasný a nezrozumiteľný text s množstvom podmienok. Preto sme sa rozhodli pre našich používateľov pripraviť sieť odborných článkov, ktoré pomôžu pochopiť zmeny doterajšej úpravy osobných údajov .

Prinášame Vám sumár dôležitých termínov, ktoré je potrebné dodržať v zmysle ustanovenia §76 zákona č.122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.

Predmetom odborného článku je zákon o ochrane osobných údajov a všeobecné rozobratie jeho jednotlivých ustanovení na základe dôvodovej správy k zákonu.

Európsky výbor pre ochranu údajov so zreteľom na článok 70 ods. 1 písm. e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej ako „nariadenie GDPR“), prijal tieto usmernenia.

Európsky výbor pre ochranu údajov usmernenia k výnimkám podľa článku 49 nariadenia GDPR ohľadne výnimiek prenosov osobných údajov do tretích krajín.  Usmernenie vydal s poukazom na čl. 70 ods. 1 písm. j) a e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27.apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej ako „nariadenie GDPR“).

Pracovná skupina pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov, vydala usmernenie, týkajúce sa zodpovedných osôb (ďalej ako „usmernenie“). Povinnosti sa týkajú všetkých orgánov verejnej moci a verejnoprávnych subjektov (bez ohľadu na to, aké údaje spracúvajú) a ďalších organizácií, ktorých hlavnou činnosťou je vo veľkom rozsahu systematicky monitorovať jednotlivcov alebo vo veľkom rozsahu spracúvať osobitné kategórie osobných údajov.

V stanovisku sa posudzuje rovnováha medzi oprávnenými záujmami zamestnávateľov a odôvodnenými očakávaniami zamestnancov v oblasti ochrany súkromia, a to tak, že sa v ňom opisujú riziká, ktoré prinášajú nové technológie a uskutočňuje posúdenie proporcionality niekoľkých scenárov, v ktorých by sa tieto technológie mohli použiť.

Intenzívne používanie kamerových zariadení ovplyvňuje správanie občanov. Keďže sa tieto nástroje používajú v mnohých oblastiach života a vo veľkej miere, zvyšuje sa tlak na jednotlivcov, aby sa usilovali zabrániť odhaleniu niečoho, čo sa môže vnímať ako anomália. V skutočnosti môžu tieto technológie obmedzovať možnosti anonymného pohybu alebo anonymného využívania služieb a vo všeobecnosti obmedzovať možnosť zostať nepovšimnutý.

Európsky výbor pre ochranu údajov vydal s poukazom na čl. 70 ods. 1 písm. e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27.apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej ako „nariadenie GDPR“).

Metodické usmernenie bližšie rozvádza pravidlá pre prevádzkovateľov ohľadne správnej aplikácie zásady zákonnosti spracúvania osobných údajov, určenia právneho základu a krokov pre vykonanie testu proporcionality.

Usmernenie podrobne rozoberá určenie právneho základu pri vyhotovovaní fotografií a audiovizuálnych záznamov z verejných akcií a poukazuje na špecifické situácie, kedy nie je potrebné vyžadovať súhlas fyzickej osoby.

Stanovisko Úradu na ochranu osobných údajov SR bližšie poukazuje na postup pri doručovaní písomností v správnom konaní obcami a mestami a nazerania do spisového materiálu vedeného v rámci správneho konania, s ohľadom na ochranu osobných údajov.

Usmernenie reaguje na absenciu povinnosti poučenia oprávnených osôb a bližšie rozoberá povinnosť prevádzkovateľa ohľadom postupu osôb konajúcich na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktoré majú prístup k osobným údajom.

Usmernenie bližšie vymedzuje postup obce v pozícii prevádzkovateľa pri spracúvaní osobných údajov jej zamestnancov, obyvateľov či iných fyzických osôb. 

Usmernenie pre postup obcí a miest na zmapovanie toku osobných údajov za účelom získania prehľadu o právnom základe spracúvania, účelu spracúvania osobných údajov, archivácii a likvidácii osobných údajov a možnosti nastavenia procesov v súlade s novou právnou úpravou.

Metodické usmernenie bližšie rozoberá inštitút zodpovednej osoby, ktorého ustanovenie je novou povinnosťou pre obce a mestá na účel výkonu dohľadu nad ochranou osobných údajov.

Usmernenie bližšie upravuje povinnosti obcí pri voľbách do orgánov územnej samosprávy tak, aby bola zabezpečená ochrana osobných údajov voličov.

Obec zaznamenáva a zverejňuje zvukové nahrávky z verejného zasadnutia obecného zastupiteľstva, ktoré môžu obsahovať aj osobné údaje fyzických osôb, ktoré v tom čase na zasadnutí nie sú prítomní. Musí komisia čítať kompletné znenie uznesení aj s osobnými údajmi? Môže obec zverejniť takúto nahrávku úplnú alebo ju je povinná redigovať?

Môže obecný úrad elektronicky zasielať materiály členom mládežníckeho parlamentu? Podľa štatútu môžu byť jeho členmi aj osoby neplnoleté a materiály obsahujú aj osobné údaje.

Vyžaduje sa súhlas zamestnanca so spracúvaním osobných údajov zamestnávateľom?

Hlavný kontrolór predložil správu o výsledkoch kontroly v mestskej obchodnej  spoločnosti obecnému zastupiteľstvu , v ktorej sa uvádzali mená a priezviská neplatičov; túto správu mesto zverejnilo na webovom sídle ako materiál predkladaný na rokovanie zastupiteľstva.  Kto zodpovedá za porušenie zákona ak došlo k neoprávnenému zverejneniu osobných údajov fyzických osôb?

Je možné v súlade so zákonom o ochrane osobných údajov predložiť obecnému zastupiteľstvu menný zoznam daňových dlžníkov ako prílohu k návrhu na odpis daňových pohľadávok?

Je obec povinná vyhovieť žiadosti o výmaz osobných údajov osoby v rozsahu meno a priezvisko z videozáznamu z rokovania mestského zastupiteľstva, ktorý je zverejňovaný v mestskej televízii aj na internetovom kanáli youtube?

Občania vyžadujú, aby obecný úrad zverejňoval na svojej web stránke fotky z podujatí. Môže obec v súvislosti s GDPR zverejňovať fotografie z verejných akcií organizovaných obcou?

Ako má obec postupovať pri plnení novej povinnosti vydávať súhlas o tom, že ubytovanie v nehnuteľnosti, kde sa bude štátny príslušník tretej krajiny zdržiavať počas pobytu, spĺňa podmienky minimálnych bytových štandardov stanovených Vyhláškou č. 259/2008 Z. z. o podrobnostiach o požiadavkách na vnútorné prostredie budov a o minimálnych požiadavkách na byty nižšieho štandardu a na ubytovacie zariadenia?

Odkiaľ získava obec údaje potrebné na vydanie súhlasu?

Môže obec postupovať pri vyhlásení voľby hlavného kontrolóra podľa § 13 ods. 1 písm. b) zák. č. 18/2018 Z. z. a nežiadať od kandidátov na post hlavného kontrolóra súhlas na spracovanie osobných údajov za účelom vykonania voľby hlavného kontrolóra ?

Sú poslanci a členovia komisií obecného zastupiteľstva oprávnenými osobami v zmysle zák. č. 18/2018 Z. z. o ochrane osobných údajov, vykonávajúcimi spracovateľské operácie? 

Predstavuje upratovanie priestorov, v ktorých sa nachádzajú dokumenty obsahujúce osobné údaje, riziko pre ochranu osobných údajov ? Akým spôsobom má v takomto prípade postupovať prevádzkovateľ ?

Je potrebné zverejniť sprostredkovateľskú zmluvu uzatváranú v zmysle zákona č. 18/2018 Z.z. o ochrane osobných údajov?

Je potrebné, aby podpisové listiny obsahovali aj vyjadrenie - súhlas osôb, ktoré podporujú nezávislého kandidáta, so spracovaním osobných údajov pre potreby kontroly náležitostí kandidátnej listiny osobou oprávnenou?

Má mesto povinnosť vyhovieť žiadosti o osobné nahliadnutie do knihy overovania podpisov ? Ako postupovať v prípade, že záznam žiadateľov o overení podpisu sa v knihe nenachádza a ide teda o nahliadnutie osôb, ktorých záznam sa v osvedčovacej knihe nenachádza?

Má obec, ktorá je zriaďovateľom školy, oprávnenie požadovať od tejto školy internú platovú inventúru za účelom zostavenia rozpočtu? Musí jej škola vyhovieť? Má starosta obce alebo iný orgán oprávnenie kontrolovať finančné zaradenie zamestnancov školy s právnou subjektivitou? 

Nebol porušený zákon o ochrane osobných údajov kontrolórom obce, keď v ročnej správe uvádza mzdu zamestnanca obce formou zaradenia do platovej skupiny a percentuálnu výšku príplatku? 

Na úradnej tabuli mesta (aj na web stránke mesta) pravidelne zverejňujeme dražobné vyhlášky na predaj hnuteľných vecí ako aj nehnuteľností. Tieto dražobné vyhlášky väčšinou obsahujú osobné údaje vlastníka predmetu dražby v rozsahu: meno, priezvisko, rod. priezvisko, dátum narodenia. Môže mesto dražobné vyhlášky zverejniť tak ako ich dostane od dražobníka alebo máme zakrývať niektoré údaje v zmysle zákona o ochrane údajov?

Občan požiadal v zmysle info zákona o zaslanie bezpečnostného projektu. Nakoľko sa jedná o interný predpis obce, môže obec zverejňovať tieto údaje?

Môže si vypracovať bezpečnostný projekt aj obec sama alebo to môže urobiť len oprávnená osoba?

Akým spôsobom zverejňovať osobné údaje v materiáloch mestského zastupiteľstva, ktoré sú zverejnené na webovom sídle mesta? Jedná sa o materiály v elektronickej podobe, ktoré sa týkajú predaja alebo prenájmu nehnuteľných a hnuteľných vecí mesta. Mestský úrad zverejňuje meno, priezvisko a bydlisko osoby, ktorá žiada mesto o predaj alebo prenájom majetku mesta. Úrad pre ochranu osobných údajov mestu vytkol, že koná nad rámec zákona, a teda zverejňuje osobné údaje v rozpore so zákonom.

Mesto má zámer zverejniť zoznam žiadateľov o mestský nájomný byt na webovej stránke mesta v rozsahu: meno a priezvisko, dátum zaradenia žiadosti, požadovaná veľkosť bytu. Neporuší mesto ustanovenia zákona, ktorý pojednáva o ochrane osobných údajov? Naším cieľom je zvýšenie transparentnosti pri prideľovaní nájomných bytov.

V prípade zníženia, odpustenia poplatku za odvoz komunálneho odpadu nám daňovníci predkladajú napr. kópiu pracovnej zmluvy v zahraničí alebo v SR. Ako sa v tomto prípade aplikuje § 15 ods. 6 zákona č. 122/2013 Z. z. o ochrane osobných údajov ohľadne kopírovania úradných dokladov iba so súhlasom dotknutej osoby? Môžeme robiť kópie pracovných zmlúv resp. môžu nám dokladovať takýmito kópiami zmluvný vzťah ku zníženiu poplatku? Čo sa rozumie pre účely tohto zákona úradný doklad?

Je zverejňovanie zoznamu daňových dlžníkov v zmysle § 52 ods. 2 zákona č. 563/2009 Z. z. o správe daní (daňový poriadok) porušením zákona č. 122/2013 Z. z. o ochrane osobných údajov?

Čo je to vlastne bezpečnostný projekt, ktorý musia mať samosprávy? Je povinná aktualizácia bezpečnostného projektu a musí ho vypracovať a aktualizovať spôsobilá osoba?