Osobné údaje

Úrad na ochranu osobných údajov SR (ďalej ako „Úrad“) vykonal v období od 25. mája 2018 do 24. mája 2019 kontrolu zameranú na spracúvanie osobných. V nasledujúcom článku prinášame výsledky kontrolných zistení Úradu, spolu so zhrnutím skutkového stavu jednotlivých prípadov. 

Dňa 15.6.2018 nadobudla účinnosť Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov (ďalej len „vyhláška“), ktorá bola prijatá na základe splnomocňujúceho ust. § 108 ods. 2 3 zákona č. 18/2018 Z. z. o ochrane osobných údajov v platnom znení (ďalej len „zákon o ochrane osobných údajov“).

V záverečnej časti bližšie rozoberáme postavenie zodpovednej osoby podľa novej právnej úpravy. 

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018 (ďalej len „zákon o ochrane osobných údajov“) upravujú práva dotknutých osôb pri nakladaní s osobnými údajmi. V tejto časti sa budeme venovať najmä povinnostiam prevádzkovateľa, ktoré mu vyplývajú z novej právnej úpravy. 

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018 (ďalej len „zákon o ochrane osobných údajov“) upravujú osobitné kategórie osobných údajov. Osobitné kategórie sú v nariadení aj v zákone taxatívne menované. Dôvodom jej úpravy sú citlivé údaje o osobách, pričom možno predpokladať, že pri ich zneužití môžu predstavovať pre dotknutú osobu významný zásah do základných ľudských práv. 

Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) ale aj zákon č. 18/2018 Z. z. o ochrane osobných údajov s účinnosťou od 25. 5. 2018 (ďalej len „zákon o ochrane osobných údajov“) považuje zásadu zákonnosti za jednu z hlavných zásad novej právnej úpravy. Jej základom je predpoklad nadobudnutia a spracovania osobných údajov len na základe zákonných predpokladov. Za tieto zákonné predpoklady považujeme právny titul. 

V tomto odbornom článku sa budeme venovať ďalšej časti Nariadenia Európskeho parlamentu a rady (EÚ) č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“), ktorá sa venuje zásadám spracúvania osobných údajov (čl. 5 a nasl.).

Zásady spracovania osobných údajov predstavujú základné mantinely, v medziach ktorých sa môže s osobnými údajmi nakladať. Týmito zásadami sa riadi celé nariadenie GDPR ale do svojich ustanovení ich prebral aj zákon č. 18/2018 Z. z. o ochrane osobných údajov. Základné zásady sú teda v oboch predpisoch pojmovo aj obsahovo totožné, preto sme ich z dôvodu nadbytočnej duplicity zhrnuli do jedného článku. 

Dňa 29. novembra 2017 Národná rada Slovenskej republiky schválila nové znenie zákona o ochrane osobných údajov, ktorý vznikol za účelom zosúladenia vnútroštátneho práva s Nariadením Európskeho parlamentu a rady (EÚ) č. 2016/679 z 27. 4. 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe týchto údajov (tzv. General Data Protection Regulation alebo ako ho aj skrátene budeme ďalej označovať "GDPR"). GDPR predstavuje za posledných 20 rokov najvýznamnejší legislatívny zásah v oblasti osobných údajov, pričom zasahuje široké spektrum subjektov práva, a to vo všetkých členských štátoch Európskej únie. Nariadenie a rovnako aj zákon o ochrane osobných údajov nadobudnú účinnosť k 25. 5. 2018.

GDPR si nevyžadovalo tvorbu nového zákona, no ponechalo členským štátom voľnosť pri vlastnej úprave niektorých ustanovení. Zákon o ochrane osobných údajov teda implementuje priamo GDPR do nášho právneho poriadku, no obsahuje aj svoju špecifickú právnu úpravu na miestach, kde mu splnomocňovacie ustanovenia GDPR dovolia. Tieto dva veľké legislatívne materiály predstavujú novú a zložitú právnu problematiku, ktorá sa môže javiť ako nejasný a nezrozumiteľný text s množstvom podmienok. Preto sme sa rozhodli pre našich používateľov pripraviť sieť odborných článkov, ktoré pomôžu pochopiť zmeny doterajšej úpravy osobných údajov .

Prinášame Vám sumár dôležitých termínov, ktoré je potrebné dodržať v zmysle ustanovenia §76 zákona č.122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.

K povinnosti osobitných bezpečnostných opatrení vo vzťahu k informačnému systému.

Súvisia so spracúvaním rodného čísla osobitné povinnosti?

Osobitným druhom informácií v súčasnej informačnej spoločnosti sú osobné údaje. Ochrana osobných údajov vychádza zo všeobecného osobnostného práva, ktoré je chránené štátom a vyplýva priamo z Ústavy SR ako aj z ostatných právnych predpisov.

Nariadením GDPR sa zavádza požiadavka týkajúca sa porušenia ochrany osobných údajov, ktoré sa má oznámiť príslušnému vnútroštátnemu dozornému orgánu (alebo v prípade cezhraničného porušenia vedúcemu orgánu) a v určitých prípadoch oznámiť porušenie jednotlivcom, ktorých osobné údaje boli porušením dotknuté.

Európsky výbor pre ochranu údajov usmernenia k výnimkám podľa článku 49 nariadenia GDPR ohľadne výnimiek prenosov osobných údajov do tretích krajín.  Usmernenie vydal s poukazom na čl. 70 ods. 1 písm. j) a e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27.apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej ako „nariadenie GDPR“).

Intenzívne používanie kamerových zariadení ovplyvňuje správanie občanov. Keďže sa tieto nástroje používajú v mnohých oblastiach života a vo veľkej miere, zvyšuje sa tlak na jednotlivcov, aby sa usilovali zabrániť odhaleniu niečoho, čo sa môže vnímať ako anomália. V skutočnosti môžu tieto technológie obmedzovať možnosti anonymného pohybu alebo anonymného využívania služieb a vo všeobecnosti obmedzovať možnosť zostať nepovšimnutý.

Európsky výbor pre ochranu údajov vydal s poukazom na čl. 70 ods. 1 písm. e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27.apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej ako „nariadenie GDPR“).

Metodické usmernenie sa týka všeobecných zásad ochrany súkromia a údajov detí, rodičov a zákonných zástupcov a ich uplatňovania v oblasti vzdelávania.

Usmernenie bližšie upravuje návod, ako dosiahnuť súlad v oblasti ochrany osobných údajov s Nariadením GDPR a zákonom o ochrane osobných údajov pri spracovaní osobných údajov.

Usmernenie podrobnejšie upravuje kedy sa na prevádzkovateľov vzťahuje Nariadenie a kedy zákon o ochrane osobných údajov.

Metodické usmernenie bližšie rozvádza pravidlá pre prevádzkovateľov ohľadne správnej aplikácie zásady zákonnosti spracúvania osobných údajov, určenia právneho základu a krokov pre vykonanie testu proporcionality.

Usmernenie sa týka povinnosti prevádzkovateľa pri určení, či sa na neho vzťahuje povinnosť určenia zodpovednej osoby alebo nie a upravuje modelové situácie pre prevádzkovateľa ohľadne jeho ďalšieho postupu. 

Usmernenie podrobne rozoberá určenie právneho základu pri vyhotovovaní fotografií a audiovizuálnych záznamov z verejných akcií a poukazuje na špecifické situácie, kedy nie je potrebné vyžadovať súhlas fyzickej osoby.

Aké má povinnosti športový klub, ktorý spracúva osobné údaje detí a poskytuje ich do informačného systému športu na účely dotácie?

Ako máme postupovať ak rodina klienta nainštalovala do domácnosti, kde sa sociálna služba poskytuje kamery a neustále monitoruje a kontroluje výkon práce opatrovateľky?  Má rodina klienta právo monitorovať nášho zamestnanca? Ako postupovať voči tejto rodine?

Predstavuje upratovanie priestorov, v ktorých sa nachádzajú dokumenty obsahujúce osobné údaje, riziko pre ochranu osobných údajov? Akým spôsobom má v takomto prípade postupovať prevádzkovateľ?

Kto za športový klub vo forme občianskeho združenia je oprávnený vyžadovať rodné čísla od športovcov za účelom ich zápisu do informačného systému športu? Môže ich vyžadovať aj tajomník združenia?

Musíme registrovať zoznam, na ktorom vedieme osobné údaje o darcoch cez platobný portál alebo databázu rodín detí chorých na rakovinu, ktorým svojou činnosťou pomáhame ako informačný systém? Musíme v takomto prípade zabezpečiť súhlas na spracovanie údajov?

Sú nadácie povinné zverejňovať svoje nadačné listiny na webovom sídle? Ak áno, sú povinné ochraňovať osobné údaje členov orgánov v nich zahrnuté a v akom rozsahu?

Sme nadácia, ktorá si vedie zoznam prijímateľov nefinančných príspevkov. Je možné takýto zoznam považovať za informačný systém? 

Aké povinnosti má nezisková organizácia, ktorá v informačnom systéme spracúva osobné údaje svojich zamestnancov na účely mzdovej a personálnej agendy, vo vzťahu k Úradu na ochranu osobných údajov SR?  

Ako sú chránené osobné údaje na dokumentoch, ktoré máme povinnosť ukladať do registra účtovných závierok?

Aký je súčasný stav právnej úpravy týkajúcej sa ochrany osobných údajov? Platí naďalej že ak nemáme systémy na spracovanie osobných údajov prepojené s internetom, tak nepotrebujeme mať bezpečnostný projekt?