Zákon č. 122/2013 Z. z. o Ochrane osobných údajov v znení zákona 84/2014 Z. z. PhDr. Anna Miklošová
Úvod Zákon o ochrane osobných údajov: ochrana práv fyzických osôb pred neoprávneným zasahovaním do ich súkromného života pri spracúvaní ich osobných údajov garantovaných Ústavou SR, práva, povinnosti a zodpovednosť subjektov spracúvajúcich osobné údaje, t.j. prevádzkovateľa a sprostredkovateľa, princípy ochrany osobných údajov obsiahnuté v zákone sú transpozíciou princípov Smernica 95/46/ES, účinnosť zákona od 1. 7. 2013.
Úvod Zákon o ochrane osobných údajov - novela: 3. 4. 2014 NR SR schválila novelu zákona o ochrane osobných údajov, účinnosť novely 15. 4. 2014, účel novely = úprava ustanovení súvisiacich s plnením povinností pri spracúvaní osobných údajov uľahčením vykonateľnosti ustanovení zákona v praxi pre prevádzkovateľov a sprostredkovateľov a zmiernením postihov v prípade porušenia zákona (Dôvodová správa k novele), novela priniesla významné zmeny.
Úvod Novela zákona o ochrane osobných údajov - hlavné zmeny: spresnenie vymedzenia pojmu oprávnená osoba a zmenu formy jej poučenia, úpravu vzťahu prevádzkovateľa a sprostredkovateľa zrušením niektorých povinností sprostredkovateľa a posunom lehôt na zosúladenie zmluvy týchto subjektov so zákonom, nahradenie povinnosti písomného poverenia zodpovednej osoby za dohľad nad ochranou osobných údajov dobrovoľnosťou, úprava spôsobu preukazovania prijatých technických, organizačných a personálnych opatrení na ochranu osobných údajov,
Úvod Novela zákona o ochrane osobných údajov hlavné zmeny: nahradenie spoplatnenej povinnosti registrovať informačné systémy bezplatnou oznamovacou povinnosťou, zmenu v informačnej povinnosti, pri kopírovaní úradných dokladov na účely uzatvorenia pracovnoprávneho vzťahu, spracúvaní osobných údajov, zmiernenie ukladania finančných sankcií za porušenie zákona, vyhláška 117/2014 Z. z., ktorou sa mení a dopĺňa vyhláška ÚOOÚ SR č. 164/2013 Z. z. o rozsahu a dokumentácii bezpečnostných opatrení.
Oprávnená osoba ( 4 ods. 2 písm. e)) do 15. 4. 2014 každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovného pomeru, štátnozamestnaneckého pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania, alebo v rámci výkonu verejnej funkcie, ktorá spracúva osobné údaje v rozsahu a spôsobom určeným v poučení podľa 21. od 15. 4. 2014 každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovnoprávneho vzťahu, štátnozamestnaneckého pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania, alebo v rámci výkonu verejnej funkcie, ktorá spracúva osobné údaje v rozsahu a spôsobom určeným v poučení podľa 21. 6
Oprávnená osoba ( 4 ods. 2 písm. e)) do 15. 4. 2014 pracovný pomer: zamestnanec pracovník personálneho útvaru, mzdová účtovníčka, recepčná, každý vedúci pracovník, štatutár, pracovníci vnútorného auditu. od 15. 4. 2014 pracovnoprávny vzťah : pracovník vykonávajúci prácu na základe dohody o vykonaní práce, dohody o pracovnej činnosti, fyzická osoba vykonávajúca absolventskú prax zástupca vlastníkov bytov, brigádnici (typovanie dát, call center), budúci pedagóg počas študijnej praxe, absolventská prax v domove sociálnych služieb. 7
Oprávnená osoba: Poučenie ( 21) do 15. 4. 2014 Písomný záznam o poučení mal taxatívne vymenované náležitosti: identifikácia prevádzkovateľa, identifikácia oprávnenej osoby, identifikácia osoby, ktorá poučenie vykonala, práva, povinnosti ustanovené zákonom, zodpovednosť za ich porušenie, rozsah oprávnení, popis povolených činností, deň poučenia, deň odkedy osoba prestala byť oprávnenou osobou. Realizácia poučenia pred prvou operáciou s osobnými údajmi. od 15. 4. 2014 Záznam o poučení má náležitosti: práva, povinnosti pri spracúvaní osobných údajov, rozsah oprávnení, rozsah povolených činností a podmienok spracúvania osobných údajov, povinnosť na požiadanie úradu poučenie hodnoverne preukázať. Realizácia poučenia pred prvou operáciou s osobnými údajmi. 8
Oprávnená osoba: Poučenie ( 21) Poučenie vo forme platnej do 15. 4. 2014 (osobitne každá oprávnená osoba vzory úradu) vzhľadom na prechodné ustanovenie 76 ods. 3 musia mať: 1. všetky oprávnené osoby, ktoré dlho pracujú u prevádzkovateľa, 2. všetky oprávnené osoby, ktoré boli prijaté a pracujú u prevádzkovateľa po účinnosti zákona, 3. všetky oprávnené osoby prijaté a pracujúce u prevádzkovateľa od 1.1.2014 do 15. 4. 2014. Poučenie vo forme platnej od 15. 4. 2014 majú / budú mať (aj hromadné poučenie) : 1. všetky oprávnené osoby, ktoré boli prijaté a pracujú u prevádzkovateľa po 15. 4. 2014, 2. všetky oprávnené osoby, ktoré po 15. 4. 2014 zmenili pracovnú pozíciu a teda sa zmenili aj práva a povinnosti pri spracúvaní osobných údajov. Oprávnenej osobe nie je možné uložiť pokutu za nesplnenie povinností uvedených v poučení. 9
Prevádzkovateľ - sprostredkovateľ Povinnosti prevádzkovateľa ( 8): uzatvoriť zmluvu so sprostredkovateľom pred začatím spracúvania osobných údajov, vyberať sprostredkovateľa s ohľadom na jeho záruky bezpečného spracúvania osobných údajov, taxatívne ustanovené náležitosti zmluvy, informačná povinnosť prevádzkovateľa / sprostredkovateľa ak bol sprostredkovateľ poverený spracúvaním osobných údajov po ich získaní, povinnosť zosúladiť zmluvný vzťah medzi prevádzkovateľom a sprostredkovateľom so zákonom do 30. 6. 2014 sa zmenila na 30. 6. 2015. Výnimka: poverenie sprostredkovateľa podľa zákona 428/2002 Z. z. sa malo zmeniť na zmluvný vzťah do 31. 12. 2013.
Prevádzkovateľ - sprostredkovateľ Povinnosti sprostredkovateľa: písomne upozorniť prevádzkovateľa, ak spracúva osobné údaje v zjavnom rozpore so zákonom (prevádzkovateľ je povinný bezodkladne, najneskôr do jedného mesiaca od doručenia písomného upozornenia vykonať nápravu), písomne upozorniť Úrad na ochranu osobných údajov SR ak prevádzkovateľ nevykoná v lehote nápravu. BOLI ZRUŠENÉ NOVELOU!
Zodpovedná osoba ( 23-27) do 15. 4. 2014 23 ods. 2 Ak prevádzkovateľ spracúva osobné údaje prostredníctvom 20 a viac oprávnených osôb, je povinný najneskôr v lehote 60 dní od začatia ich spracúvania výkonom dohľadu písomne poveriť zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dozerajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov. Týmto nie je dotknutá zodpovednosť prevádzkovateľa podľa odseku 1. od 15. 4. 2014 23 ods. 2 Prevádzkovateľ, ktorý spracúva osobné údaje prostredníctvom oprávnených osôb, môže výkonom dohľadu písomne poveriť zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dozerajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov. Týmto nie je dotknutá zodpovednosť prevádzkovateľa podľa odseku 1.
Zodpovedná osoba ( 23-27) do 15. 4. 2014 23 ods. 3 Ak prevádzkovateľ spracúva osobné údaje prostredníctvom menej ako 20 oprávnených osôb, je povinný prihlásiť na registráciu tie informačné systémy, ktoré podľa tohto zákona podliehajú registrácii podľa 34. Povinnosť ustanovená prevádzkovateľovi podľa prvej vety sa nevzťahuje na sprostredkovateľa. od 15. 4. 2014 23 ods. 3 Ak prevádzkovateľ nepoverí zodpovednú osobu podľa odseku 2, je povinný oznámiť úradu tie informačné systémy, ktoré podľa tohto zákona podliehajú oznamovacej povinnosti podľa 34. Povinnosť ustanovená prevádzkovateľovi podľa prvej vety sa nevzťahuje na sprostredkovateľa.
Zodpovedná osoba ( 23-27) od 15. 4. 2014 poverenie zodpovednej osoby je fakultatívne; to platí aj v prípade odvolania zodpovednej osoby zo strany prevádzkovateľa, zodpovednú osobu môže mať každý prevádzkovateľ, ktorý sa tak rozhodne bez ohľadu na počet oprávnených osôb, mandát zodpovednej osoby písomne poverenej podľa zákona č. 428/2002 Z. z. uplynul podľa prechodných ustanovení zákona o ochrane osobných údajov ( 76 ods. 6) 30.6. 2014 (do jedného roka od účinnosti tohto zákona ), prevádzkovateľ, ktorý do 30.6.2014 úradu neoznámil písomné poverenie zodpovednej osoby musí úradu oznámiť informačné systémy osobných údajov nepatriace medzi výnimky.
Zodpovedná osoba ( 23-27) od 15. 4. 2014 finančná sankcia zodpovednej osoby za neplnenie povinností ustanovených zákonom boli zrušené, bola zrušená aj bonzovacia povinnosť zodpovednej osoby, pozitívne vymedzenie zodpovednej osoby sa nezmenilo: spôsobilosť na právne úkony, bezúhonnosť, mať platné potvrdenie úradu o absolvovaní skúšky zodpovednej osoby a mať postavenie oprávnenej osoby, negatívne vymedzenie zodpovednej osoby sa zmenilo: zodpovednou osobou môže byť štatutár (ak sa zodpovedná osoba stane štatutárom jej mandát nekončí), finančné sankcionovanie zodpovednej osoby sa neskúma, náležitosti písomného poverenia zodpovednej osoby a lehota na oznámenie úradu ostali nezmenené. Prílohou písomného poverenia už nemusí byť záznam o poučení oprávnenej osoby.
Zodpovedná osoba ( 23) Podmienky poverenia zodpovednej osoby Písomné poverenie obsahuje: identifikačné údaje prevádzkovateľa, titul, meno, priezvisko a dátum narodenia poverenej zodpovednej osoby, dátum začiatku platnosti poverenia zodpovednej osoby, vyhlásenie prevádzkovateľa o tom, že poverená osoba spĺňa predpoklady podľa tohto zákona, číslo potvrdenia o absolvovaní skúšky podľa 24 ods. 5 písm. c) a dátum vydania potvrdenia (ZO až po skúške!), výslovný súhlas s poverením a podpis poverenej zodpovednej osoby, odtlačok pečiatky prevádzkovateľa, dátum vyhotovenia poverenia a podpis štatutárneho orgánu prevádzkovateľa alebo inej osoby oprávnenej konať v mene prevádzkovateľa.
Bezpečnosť spracúvania osobných údajov ( 19-20) Prevádzkovateľ Sprostredkovateľ ( 8 ods. 10) Za bezpečnosť osobných údajov zodpovedá prevádzkovateľ. Prevádzkovateľ je povinný chrániť spracúvané osobné údaje pred ich poškodením, zničením, stratou, zmenou, neoprávneným prístupom a sprístupnením, poskytnutím alebo zverejnením, ako aj pred akýmikoľvek inými neprípustnými spôsobmi spracúvania. Na tento účel prijme primerané technické, organizačné a personálne opatrenia (ďalej len "bezpečnostné opatrenia") zodpovedajúce spôsobu spracúvania osobných údajov, pričom berie do úvahy najmä použiteľné technické prostriedky, dôvernosť a dôležitosť spracúvaných osobných údajov, ako aj rozsah možných rizík, ktoré sú spôsobilé narušiť bezpečnosť alebo funkčnosť informačného systému.
Bezpečnosť spracúvania osobných do 15. 4. 2014 19 ods. 2
Bezpečnosť spracúvania osobných údajov Bezpečnostný projekt Bezpečnostné opatrenia prevádzkovateľ zdokumentuje v bezpečnostnom projekte informačného systému ak: A.v informačnom systéme prepojenom s verejne prístupnou počítačovou sieťou spracúvajú osobitné kategórie osobných údajov podľa 13, B. informačný systém slúži na zabezpečenie verejného záujmu podľa 3 ods. 1; ustanovenie 20 sa pri vypracúvaní bezpečnostného projektu nepoužije len vtedy, ak pre konkrétny prípad je tu súčasne povinnosť vypracovať bezpečnostný projekt podľa osobitného predpisu - zákon č. 215/2004 Z. z.
Bezpečnosť spracúvania osobných po 15. 4. 2014 Nový 19 ods. 2 a ods. 4
Bezpečnosť spracúvania osobných údajov ( 20) Bezpečnostný projekt Bezpečnostný projekt vymedzuje rozsah a spôsob bezpečnostných opatrení potrebných na eliminovanie a minimalizovanie hrozieb a rizík pôsobiacich na informačný systém z hľadiska narušenia jeho bezpečnosti, spoľahlivosti a funkčnosti. Bezpečnostný projekt vypracúva prevádzkovateľ v súlade s bezpečnostnými štandardmi, právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná. Rozsah dokumentácie bezpečnostného projektu je ustanovený vyhláškou UOOU SR 164/2013 Z. z. v znení vyhlášky 117/2014 Z. z.
Bezpečnosť spracúvania osobných údajov Bezpečnostné opatrenia Technické opatrenia Technické opatrenia realizované prostriedkami fyzickej povahy. Ochrana pred neoprávneným prístupom. Riadenie prístupu oprávnených osôb. Ochrana proti škodlivému kódu. Sieťová bezpečnosť. Zálohovanie. Likvidácia osobných údajov a dátových nosičov. Aktualizácia OS a APV. 2. Organizačné opatrenia. Personálne opatrenia (poučenie oprávnených osôb, postupy pri spracúvaní osobných údajov - povolené /zakázané). Vedenie zoznamu aktív a jeho aktualizácia.
Bezpečnosť spracúvania osobných údajov Bezpečnostné opatrenia Organizačné opatrenia Riadenie prístupu oprávnených osôb k osobným údajom (ochrana prístupu do objektu, správa kľúčov, prideľovanie prístupových práv na úrovni rolí). Správa hesiel. Zastupovanie oprávnených osôb. Pravidlá spracúvania OÚ v chránenom priestore (vrátane upratovania). Pravidlá spracúvania OÚ mimo chráneného priestoru (dátové nosiče, notebooky). Likvidácia OÚ. Bezpečnostné incidenty (ohlasovanie incidentov, evidencia incidentov, odstraňovanie incidentov). Kontrolná činnosť.
Bezpečnosť spracúvania osobných údajov Bezpečnostný projekt Náležitosti bezpečnostného projektu ustanovuje vyhláška ÚOOÚ 164/2013 Z. z. v znení vyhlášky 117/2014 Z. z. Bezpečnostný projekt obsahuje najmä názov informačného systému, na ktorý sa vzťahuje, bezpečnostný zámer, analýzu bezpečnosti informačného systému, závery zo zámeru a analýzy (bez rozsahu zodpovednosti ZO a OO). Ak prevádzkovateľ spracúva osobné údaje vo viacerých informačných systémoch, z ktorých jeden vyžaduje vypracovanie bezpečnostného projektu, môže vypracovať jeden bezpečnostný projekt pre všetky informačné systémy, v ktorom zreteľne označí časti týkajúce sa jednotlivých informačných systémov.
Bezpečnosť spracúvania osobných údajov ( 19-20) ( 76 ods. 1 a ods. 7) Do 15. 4. 2014 Bezpečnostné opatrenia, bezpečnostná smernica a bezpečnostný projekt vypracované podľa doterajšieho zákona sa účinnosťou tohto zákona považujú za bezpečnostné opatrenia vypracované podľa tohto zákona. Prevádzkovateľ a sprostredkovateľ sú povinní zosúladiť prijaté bezpečnostné opatrenia s týmto zákonom do deviatich mesiacov odo dňa účinnosti tohto zákona. od 15. 4. 2014 Do 31. 3. 2014 Bezpečnostný projekt a bezpečnostné opatrenia podľa novely vyhlášky sa vypracujú len pre tie IS, ktoré sa začali prevádzkovať po 15. 4. 2014.
Ďalšie zmeny zákona Zákon novelou umožňuje: získavať osobné údaje na účely uzatvorenia pracovnoprávneho alebo obdobného vzťahu kopírovaním úradných dokladov bez súhlasu dotknutej osoby ( 15 ods. 6), zverejniť, sprístupniť a poskytnúť zoznam zamestnancov v rozsahu titul, meno, priezvisko, funkcia, útvar, telefón, fax, e-mailová adresa ( 12 ods. 3), výnimku z oznamovacej povinnosti pri získavaní osobných údajov, ak sa osobné údaje získavajú napr. na základe osobitného zákona, zákona o ochrane osobných údajov ap.
Ďalšie zmeny zákona Zákon novelou rozširuje možnosť spracúvať osobné údaje ( 10 ods. 3 písm. g): bez súhlasu dotknutej osoby nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa alebo tretej strany, najmä osobné údaje spracúvané v rámci ochrany majetku, finančných alebo iných záujmov prevádzkovateľa, osobné údaje spracúvané na zabezpečenie bezpečnosti prevádzkovateľa prostredníctvom kamier alebo obdobných systémov; to neplatí, ak pri takomto spracúvaní osobných údajov prevažujú základné práva a slobody dotknutej osoby, ktoré podliehajú ochrane podľa tohto zákona. Spracúvanie osobných údajov podľa tohto ustanovenia vyžaduje oznamovaciu povinnosť. Úrad môže rozhodnúť o osobitnej registrácii.
Oznamovacia povinnosť / Evidencia ( 33-43) Prevádzkovateľ je povinný oznámiť úradu informačné systémy, požiadať úrad o osobitnú registráciu informačných systémov alebo viesť o informačných systémoch evidenciu v rozsahu a za podmienok ustanovených zákonom. Oznamovacia povinnosť sa vzťahuje na všetky informačné systémy, v ktorých sa spracúvajú osobné údaje úplne automatizovanými prostriedkami spracúvania alebo čiastočne automatizovanými prostriedkami spracúvania, pokiaľ nepatria medzi výnimky z tejto povinnosti. Oznamovacia povinnosť je bezplatná, Realizuje sa na predpísanom tlačive poštou. Potvrdenie o oznámení je potrebné žiadať.
Oznámenie alebo Evidencia ( 33-43) Medzi výnimky z oznamovacej povinnosti patria IS podliehajúce osobitnej registrácii podľa 37, podliehajúce dohľadu zodpovednej osoby, okrem informačného systému, v ktorom sa spracúvajú osobné údaje na základe 10 ods. 3 písm. g), ktorý vždy podlieha oznamovacej povinnosti; obsahujúce osobné údaje o členstve osôb v občianskom združení alebo odborovej organizácii, o náboženskej viere o členstve osôb v politickej strane, hnutí, a ak tieto osobné údaje spracúva prevádzkovateľ tohto typu využíva pre svoju vnútornú potrebu, alebo obsahujú osobné údaje, ktoré sú spracúvané na základe zákona, priamo vykonateľného právne záväzného aktu Európskej únie alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná. Prevádzkovateľ je povinný úradu písomne oznámiť akékoľvek zmeny údajov v oznámených IS do 15 dní odo dňa zmeny /ukončenia spracúvania OÚ (od septembra 2014 aj elektronicky).
Oznamovacia povinnosť Prevádzkovateľ je povinný oznámiť IS s osobnými údajmi pred začatím spracúvania osobných údajov. Oznámenie je možné vykonať aj elektronicky elektronické tlačivo sa pripravuje. Oznámenému IS je pridelené číslo. Potvrdenie o oznámení úrad vydá len na žiadosť prevádzkovateľa. IS Marketing IS Vernostný program IS Správa bytov IS E-shop IS Realitná činnosť IS Cestovná kancelária IS Školenia a kurzy IS Inzercia IS Záložňa IS darovacie zmluvy IS pôžičky (nebankovky) IS Spotrebiteľská súťaž Registrácia podľa doterajšej platnej právnej úpravy sa považuje za splnenie oznamovacej povinnosti podľa novely.
Osobitná registrácia ( 37-39) Informačné systémy, v ktorých sa spracúvajú: osobné údaje nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa alebo tretej strany, ak o tom rozhodne úrad, biometrické osobné údaje, ak dotknutá osoba dala na spracúvanie písomný alebo inak hodnoverne preukázateľný súhlas, biometrické osobné údaje nevyhnutné na plnenie zmluvy, biometrické osobné údaje nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa, osobné údaje z osobitnej kategórie osobných údajov (napr. rasa, zdravotný stav apod.), a zároveň sa predpokladá ich prenos do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov.
Osobitná registrácia ( 37-40) Prevádzkovateľ je oprávnený spracúvať osobné údaje až po získaní potvrdenia z úradu. Prevádzkovateľ je povinný úradu písomne oznámiť akékoľvek zmeny údajov v oznámených IS a v informačných systémoch prihlásených na osobitnú registráciu do 15 dní od zmeny vrátane ukončenia spracúvania osobných údajov. Správny poplatok 50 je potrebné uhradiť zároveň s podaním žiadosti.
Evidencia informačných systémov ( 43-44) O informačných systémoch, ktoré nepodliehajú oznamovanej povinnosti alebo osobitnej registrácii vedie prevádzkovateľ evidenciu od začiatku spracúvania osobných údajov. Údaje v evidencii sa aktualizujú okrem počtu oprávnených osôb. Pokuty sa stali fakultatívne a ich horná hranica sa znížila o tretinu okrem pokút ukladaných prevádzkovateľovi /sprostredkovateľovi, ktorý zmluvne nepoveril sprostredkovateľa spracúvaním osobných údajov, porušil ustanovenia týkajúce sa spracúvania osobitnej kategórie osobných údajov, nemal vypracovaný bezpečnostný projekt.
Ďakujem za pozornosť!