Často kladené otázky

V zmysle GDPR sa za osobný údaj považuje akákoľvek informácia týkajúca sa identifikovanej alebo identifikovateľnej t. j. určenej alebo určiteľnej fyzickej osoby. Identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na jej identifikátor, ako sú:

• meno;
• identifikačné číslo;
• lokalizačné údaje;
• online identifikátor – fyzickým osobám môžu byť pridelené online identifikátory, ktoré poskytujú ich prístroje, aplikácie, nástroje a protokoly (IP adresa, cookies, alebo iné identifikátory);
• odkaz na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú (napr. farba vlasov, farba očí, výška, váha, spôsob chôdze a pod.), mentálnu (informácie o správaní alebo reakciách osoby v určitých situáciách), ekonomickú (informácie o majetku, záväzkoch či pohľadávkach), kultúrnu (záujmy a záľuby) alebo sociálnu (rodinný stav, dosiahnuté vzdelanie, zamestnanie) identitu tejto fyzickej osoby;
• informácie týkajúce sa osoby, ktoré sa nedajú okamžite zistiť (napr. profesia, funkcia a pod.)

Každý prípad je potrebné posudzovať jednotlivo a s ohľadom na všetky relevantné skutočnosti, ktoré môžu viesť k identifikácii alebo identifikovaniu konkrétnej fyzickej osoby.

Áno, pre nahlásenie úniku osobných údajov existuje formulár, ktorý je potrebné vyplniť a odoslať do 72 hodín od zistenia úniku. Tento formulár je súčasťou povinnosti nahlásiť porušenie ochrany osobných údajov. Avšak, ak nie je pravdepodobné, že únik povedie k riziku pre práva fyzických osôb, a údaje sú aj napriek úniku chránené proti zneužitiu, táto povinnosť nahlásenia nie je vyžadovaná. Formulár slúži na to, aby správca údajov mohol informovať príslušné orgány a zabezpečil primeranú ochranu dotknutých osôb.

Viac informácií nájdete na stránke Úradu na ochranu osobných údajov.

Služba ochrany utajovaných skutočností je určená pre osoby, ktoré majú záujem poskytovať služby orgánom štátnej správy alebo sa oboznamovať s utajovanými informáciami. Okrem toho je určená pre firmy, ktoré obchodujú s citlivými údajmi alebo poskytujú služby ozbrojeným silám Slovenskej republiky. Ďalej je nevyhnutná pre tých, ktorí vykonávajú letecké snímkovanie alebo sa podieľajú na zvýšení bezpečnosti a imidžu firmy. Tento typ služby zaisťuje bezpečný prístup k utajovaným skutočnostiam a pomáha zabezpečiť ochranu citlivých informácií v rôznych oblastiach podnikania a štátnej správy.

Existujú rôzne stupne ochrany osobných údajov, ktoré závisia od citlivosti informácií a rizika ich zneužitia. Tieto stupne zahŕňajú:

• Prísne tajné: Najvyšší stupeň ochrany, určený pre informácie, ktoré by mohli mať závažné dôsledky pre národnú bezpečnosť alebo verejný poriadok, ak by sa dostali do nesprávnych rúk.
• Tajné: Informácie, ktorých zverejnenie by mohlo spôsobiť vážne poškodenie záujmov štátu alebo iných subjektov.
• Dôverné: Údaje, ktoré sú citlivé, ale ich únik by nemusel mať také závažné dôsledky.
• Vyhradené: Informácie, ktoré majú určitú úroveň ochrany, ale nepredstavujú bezprostrednú hrozbu v prípade ich zneužitia.

Podľa nariadenia GDPR je povinnosť ustanoviť zodpovednú osobu (DPO) daná len v určitých prípadoch. V čl. 37 GDPR je uvedené, že prevádzkovatelia musia ustanoviť DPO, ak:

• ide o orgány a inštitúcie verejnej moci, ktoré spracúvajú osobné údaje;
• ak prevádzkovateľ spracúva „big data“ alebo osobitnú kategóriu osobných údajov vo veľkom rozsahu;
• ak prevádzkovateľ spracúva údaje o trestnej činnosti alebo priestupkoch.

V ostatných prípadoch však môže byť zodpovedná osoba dobrovoľne ustanovená, aby dohliadala na ochranu osobných údajov.

Zodpovedná osoba (DPO) je kľúčová pre dodržiavanie pravidiel GDPR. Táto osoba musí mať odborné kvality, predovšetkým odborné znalosti práva a postupov v oblasti ochrany osobných údajov. Jej úlohou je dohliadať na správne spracovanie údajov v súlade s predpismi. Zodpovedná osoba môže byť členom interného personálu prevádzkovateľa alebo sprostredkovateľa, alebo môže plniť tieto úlohy na základe zmluvy o poskytovaní služieb. Je dôležité, aby zodpovedná osoba bola nezávislá a mala potrebné prostriedky a autoritu na plnenie svojich povinností, ako aj pravidelne informovala vedenie organizácie.

Oprávnená osoba je fyzická osoba, ktorá má prístup k osobným údajom u prevádzkovateľa v rámci plnenia svojich pracovných alebo služobných povinností. Táto osoba môže mať vzťah k prevádzkovateľovi na základe poverenia, vymenovania, zvolenia alebo v rámci výkonu verejnej funkcie. Oprávnené osoby vykonávajú spracovateľské operácie s osobnými údajmi, ktoré sú im určené prevádzkovateľom. Je dôležité, aby tieto osoby spracovávali údaje v súlade s GDPR a chránili ich pred neautorizovaným prístupom.

Technicky nevyhnutné cookies, ktoré sú nevyhnutné pre fungovanie vašej webovej stránky, spracúvate na základe vášho oprávneného záujmu ako záujmu prevádzkovateľa, proti ktorému môžu návštevníci vzniesť námietku. O tom musíte v texte pod tlačidlom Viac informácií v rámci cookie banneru,príp. v dostupnej cookies politike návštevníka poučiť, no jeho súhlas nepotrebujete.

Preferenčné/štatistické cookies merajú návštevnosť webu a správanie sa návštevníkov na webe. Ich spracúvanie môžete opätovne skryť pod váš oprávnený záujem, voči ktorému môže návštevník vzniesť námietku.

Okrem uvedených informácií je potrebné návštevníka informovať aj o možnosti prehliadať stránku bez spustenia týchto cookies – teda je potrebné uviesť informáciu, že návštevník si môže zmeniť nastavenia vo svojom prehliadači.

Za únik osobných údajov hrozia vysoké sankcie, ak sa nepostupuje podľa pravidiel GDPR. Ak sa o úniku dozviete, máte povinnosť nahlásiť ho do 72 hodín prostredníctvom príslušného formulára. Tieto pravidlá platia v prípade, že únik osobných údajov predstavuje riziko pre práva dotknutých osôb. Ak však nie je pravdepodobné, že únik povedie k poškodeniu, napríklad ak sú údaje chránené proti zneužitiu, túto povinnosť nemusíte splniť. Je dôležité vždy dôkladne posúdiť situáciu a zabezpečiť ochranu osobných údajov, aby sa predišlo právnym a finančným dôsledkom.

Pri úniku osobných údajov je potrebné dodržiavať prísne postupy na ochranu dotknutých osôb a informovať príslušné orgány. Uvedieme príklad spoločnosti EquiFax, ktorá spracúva úverovú históriu a zaznamenala únik údajov 143 miliónov Američanov. Aj keď spoločnosť o úniku vedela, nenahlásila ho ani neinformovala poškodené osoby, čo ich vystavilo riziku individuálnych útokov.

Podľa GDPR je však potrebné únik okamžite nahlásiť príslušnému orgánu do 72 hodín a informovať dotknuté osoby, pokiaľ to môže ohroziť ich práva a slobodu. Ochrana musí byť komplexná, napríklad ak sú údaje kryptované, neexistuje riziko pre poškodené osoby.

Sankcie za porušenie povinností externého účtovníka podľa GDPR môžu byť veľmi závažné. Ak účtovník poruší povinnosť viesť záznamy o spracovateľských činnostiach, nezabezpečí oznámenie bezpečnostného incidentu prevádzkovateľovi alebo poruší povinnosť mlčanlivosti, Úrad na ochranu osobných údajov môže uložiť pokutu až do výšky 10 000 000 eur. Ak ide o podnik, pokuta môže dosiahnuť až 2 % celkového svetového ročného obratu za predchádzajúci účtovný rok, pričom sa uplatní tá vyššia suma.

Základné povinnosti externého účtovníka podľa GDPR:

• chrániť spracúvané osobné údaje pred neoprávneným prístupom;
• viesť záznamy o spracovateľských činnostiach (čl. 30 bod 2 GDPR);
• oznámiť prevádzkovateľovi porušenie ochrany osobných údajov;
• spolupracovať s Úradom na ochranu osobných údajov SR;
• po ukončení spracovania vymazať alebo vrátiť osobné údaje prevádzkovateľovi;
• zachovávať mlčanlivosť o spracovaných informáciách (§ 79 nového zákona o ochrane osobných údajov).

Externý účtovník môže spracúvať osobné údaje dotknutých osôb na základe poverenia od prevádzkovateľa. Podľa GDPR je prevádzkovateľ oprávnený poveriť sprostredkovateľa spracúvaním osobných údajov, avšak toto poverenie musí byť vykonané prostredníctvom osobitnej zmluvy. Táto zmluva medzi prevádzkovateľom a sprostredkovateľom musí presne definovať podmienky spracúvania údajov, vrátane účelu, rozsahu, doby spracúvania a bezpečnostných opatrení, ktoré musia byť dodržiavané pri spracovaní osobných údajov.

Pri ochrane osobných údajov je potrebné rozlišovať dva subjekty – prevádzkovateľa a sprostredkovateľa.

Prevádzkovateľom je fyzická alebo právnická osoba, ktorá spracúva osobné údaje vo vlastnom mene (napr. zamestnávateľ sám spracúva osobné údaje svojich zamestnancov na účel plnenia povinností súvisiacich s pracovným pomerom).

Naopak, sprostredkovateľom je fyzická alebo právnická osoba, ktorá spracúva osobné údaje v mene prevádzkovateľa (napr. účtovník, resp. účtovnícka firma vedie účtovníctvo a mzdovú agendu pre inú firmu). V prípade externého účtovníka teda ide o sprostredkovateľa, ktorý spracúva údaje na základe zmluvy a podľa pokynov prevádzkovateľa, napríklad pri vedení účtovníctva alebo mzdovej agendy.

Dotknutá osoba má právo na základe písomnej žiadosti od prevádzkovateľa:

• požadovať prístup k jej osobným údajom;
• požadovať opravu, vymazanie alebo obmedzenie spracúvania jej osobných údajov;
• namietať spracúvanie osobných údajov,
• na prenosnosť svojich osobných údajov;
• kedykoľvek svoj súhlas so spracúvaním osobných údajov odvolať, ak sa osobné údaje spracúvajú na tomto právnom základe,
• právo podať sťažnosť dozornému orgánu t. j. Úradu na ochranu osobných údajov Slovenskej republiky.

Áno, podľa nariadenia GDPR má každá osoba, ktorej obraz je zaznamenaný na kamerovom systéme, právo požadovať a mať k dispozícii kópiu svojich osobných údajov, ktoré sú zaznamenané na kamerovom zázname. To znamená, že ak zamestnanec požiada o prístup k svojej osobe zachytenej na kamerovom zázname, ste povinní poskytnúť tieto informácie v primeranej forme. Tento postup slúži na ochranu práv zamestnanca a zabezpečenie transparentnosti spracovania osobných údajov v súlade s GDPR.

Vo všeobecnosti na Slovensku platí, že záznamy z kamerového systému by mali byť uchovávané maximálne 15 dní, aby sa zamedzilo porušovaniu nariadenia GDPR. Ak máte dôvod uchovávať záznamy dlhšie, je nevyhnutné, aby ste vykonali hodnotenie rizika, ktoré presne vysvetlí, prečo je potrebné uchovávanie na dlhšiu dobu a aký je účel takéhoto uchovávania. Moderné kamerové systémy CCTV umožňujú nastaviť konkrétne obmedzenia pre každú kameru, čím sa zabezpečí, že záznamy budú uchovávané len po dobu, ktorá je nevyhnutná na splnenie daného účelu.

Áno, je potrebné informovať ľudí o prítomnosti CCTV. Podľa nariadenia GDPR je dôležité, aby informácie o monitorovanom objekte, ako napríklad značka, ktorá upozorňuje na používanie CCTV, a kontaktné číslo správcu, boli zreteľne zobrazené na viditeľných miestach, ako sú všetky vstupy a vjazdy.

Na zlepšenie prehľadnosti môžu byť tieto informácie doplnené aj jednoduchými a názornými obrázkami. Okrem toho môže správca poskytnúť informácie elektronickou formou, aby zabezpečil, že všetci dotknutí jednotlivci budú informovaní o monitorovaní. Týmto spôsobom sa zaručí transparentnosť a rešpektovanie práv osôb.

Áno, používanie kamerového systému na monitorovanie zamestnancov podlieha pravidlám GDPR. V prípade, že sa kamery používajú, je dôležité, aby organizácia dokázala, že existuje oprávnený záujem na ich použití.

Monitorovanie zamestnancov môže byť považované za narušenie ich práva na súkromie, a preto je potrebné, aby zamestnávateľ preukázal, že kamery sú nevyhnutné na ochranu zdravia a bezpečnosti zamestnancov. V tomto prípade môže byť používanie kamier legitímne. Je tiež dôležité informovať zamestnancov o existencii kamerového systému a jeho účele.

Náhodné porušenie ochrany osobných údajov neospravedlňuje nedodržanie pravidiel GDPR. Aj v prípade náhodného porušenia môže byť organizácia vystavená vysokým pokutám. Podľa nariadenia GDPR môže byť pokuta až do výšky 20 miliónov eur alebo 4 % ročných príjmov spoločnosti, podľa toho, ktorá hodnota je vyššia. To znamená, že aj neúmyselné porušenie pravidiel o ochrane osobných údajov môže mať vážne finančné následky pre organizáciu. Preto je dôležité, aby organizácie prijali potrebné opatrenia na ochranu osobných údajov a zamedzili riziku porušenia pravidiel.

Ak chcete presunúť osobné údaje externej účtovníčke alebo účtovníkovi, táto osoba sa stáva sprostredkovateľom osobných údajov. Je potrebné uzavrieť s ňou sprostredkovateľskú zmluvu, ktorá bude upravovať podmienky spracovania údajov. Zmluva musí presne definovať, akým spôsobom, v akom rozsahu a na akú dlhú dobu môže táto osoba spracúvať osobné údaje, ktoré ste jej poskytli ako prevádzkovateľ. Dôležité je, že účtovníčka alebo účtovník môže spracovávať osobné údaje len v rozsahu a na účely, ktoré ste výslovne určili a povolili v zmluve.

Pre živnostníkov neexistuje výnimka z nariadenia GDPR. Ak spracúvate osobné údaje kohokoľvek v rámci vášho podnikania, či už ide o zamestnancov, zákazníkov, dodávateľov alebo iné osoby, ste povinný sa riadiť pravidlami GDPR. To znamená, že musíte zabezpečiť správnu ochranu osobných údajov, ich spracovanie len na oprávnené účely a v súlade so všetkými požiadavkami nariadenia. Nezáleží na veľkosti vášho podnikania, GDPR sa vzťahuje na všetky subjekty, ktoré spracúvajú osobné údaje v rámci svojich činností, vrátane živnostníkov.

Novému nariadeniu GDPR sa nevyhnú ani neziskové organizácie. Tento krok Európskej únie je absolútne adekvátny, pretože aj neziskové organizácie, dobročinné spolky a združenia často spracúvajú osobné údaje. Tieto organizácie môžu zbierať údaje o darcoch, dobrovoľníkoch, príjemcoch pomoci, či členoch, a preto je potrebné zabezpečiť, aby tieto údaje boli správne chránené a spracovávané v súlade s pravidlami GDPR. Doteraz ochrana týchto dát nebola vždy dostatočná, čo GDPR napravuje. Neziskové organizácie musia zaviesť primerané opatrenia na ochranu osobných údajov, rovnako ako komerčné subjekty.

Podľa GDPR je prevádzkovateľ povinný nahlásiť únik osobných údajov najneskôr do 72 hodín od zistenia porušenia. Ak je to možné, únik by mal byť oznámený ešte skôr, bez zbytočného odkladu. Je dôležité, aby prevádzkovatelia mali stanovené interné postupy na monitorovanie a identifikáciu bezpečnostných incidentov, aby mohli včas reagovať. Ak únik predstavuje vysoké riziko pre práva a slobody dotknutých osôb, je potrebné ich tiež informovať, aby mohli prijať potrebné opatrenia na ochranu svojich osobných údajov.

Áno, fakturačné údaje sa považujú za spracovanie osobných údajov podľa GDPR. Nariadenie neodlišuje medzi podnikateľmi a nepodnikateľmi, takže ak spracovávate údaje živnostníka, jeho údaje sú chránené ako údaje fyzickej osoby. Napríklad, ak spracovávate údaje klientov – SZČO na účely vystavenia faktúry a uchovávate ich vo fakturačnom systéme, je dôležité mať v internej dokumentácii zdôvodnenie tohto spracovania. Takéto spracovanie môže byť odôvodnené ako povinnosť podľa osobitných zákonov, ktoré stanovujú povinnosť uchovávania týchto údajov na účely fakturácie.

Nie každá firma je povinná mať zodpovednú osobu pre ochranu údajov (DPO), no mať DPO je veľmi žiadúce. DPO je osoba, ktorá dohliada na správne nakladanie s osobnými údajmi v rámci firmy a zabezpečuje, že všetky procesy spojené s GDPR sú v súlade s nariadením. Aj keď nie je povinnosťou mať DPO, firma, ktorá spracúva veľké množstvo osobných údajov, by mala túto osobu určiť. GDPR je dynamické a v priebehu času sa vyvíja, najmä s rastom firmy, a preto je dobré mať odborníka, ktorý zabezpečí jeho správnu implementáciu.

Každá firma, ktorá spracúva osobné údaje, či už zamestnancov, dodávateľov, odberateľov alebo zákazníkov, musí riešiť GDPR bez ohľadu na veľkosť firmy. Tieto povinnosti sa týkajú všetkých organizácií, ktoré prichádzajú do kontaktu s osobnými údajmi. Firmy musia zabezpečiť ochranu týchto údajov a dodržiavať pravidlá GDPR, ktoré stanovujú, ako sa osobné údaje môžu zbierať, spracovávať a uchovávať. Je dôležité začať implementovať politiku ochrany osobných údajov hneď, ako začnete spracovávať akékoľvek osobné údaje, aby ste sa vyhli sankciám a právnym problémom.

Áno, GDPR sa vzťahuje aj na fotografov a kameramanov, pretože aj oni spracúvajú osobné údaje pri výkone svojej práce. Každá fotografia alebo video, na ktorých sa nachádzajú osoby, je považovaná za spracovanie osobných údajov. Fotograf alebo kameraman musí získať súhlas od týchto osôb na použitie ich obrazových záznamov,. Preto je nevyhnutné dodržiavať zásady ochrany osobných údajov stanovené GDPR a zabezpečiť, že všetky údaje sú chránené v súlade s týmto nariadením.

Pre prípad, že vás modelka alebo model požiadajú o stiahnutie fotografií z webu, je dôležité mať túto situáciu ošetrenú v zmluve. Podľa Zákona č. 185/2015 Z.z. Autorský zákon, konkrétne v § 4 a § 5, sa fotografie považujú za autorské diela, a preto ich použitie a distribúcia sú chránené právom autora. V zmluve môžete upraviť podmienky, ktoré stanovujú, za akých okolností a na aký čas sú fotografie sprístupnené verejnosti a či je možné ich stiahnuť alebo odstrániť.

Výroba fotografií pri výkone verejnej funkcie alebo pri výkone verejných vecí nie je obmedzená GDPR. Ak sa fotografia robí v rámci plnenia verejnej úlohy, napr. na verejných podujatiach, zasadnutiach alebo pri iných verejných činnostiach, môžete ju vyhotoviť bez súhlasu dotknutých osôb. V tomto prípade nie je potrebné získať súhlas ani podľa nariadenia GDPR, pretože fotografia je súčasťou plnenia verejnej funkcie.

Áno, môžete. GDPR nezasahuje do zhotovovania fotografií na verejných miestach alebo počas verejných akcií. Môžete fotiť bez problémov a tieto fotografie následne zverejniť, pokiaľ sú dodržané pravidlá ochrany osobných údajov. Avšak, zhotoviteľ fotografie musí pri spracovaní fotografií dodržiavať aj ďalšie právne predpisy, ako napríklad Zákon č. 40/1964 Zb. Občiansky zákonník, ktorý ustanovuje pravidlá týkajúce sa ochrany práv jednotlivcov pri zhotovovaní a šírení fotografií.

Fotografia sa stáva osobným údajom, ak je spojená s iným osobným údajom:

• meno, priezvisko, dátum narodenia;
• identifikačné číslo – rodné číslo, číslo občianskeho preukazu;
• lokalizačné údaje – adresa;
• genetické údaje týkajúce sa zdedených alebo nadobúdaných genetických charakteristických znakov fyzickej osoby;
• údaje týkajúce sa zdravotného stavu dotknutej osoby, ktoré poskytujú informácie o minulom, súčasnom alebo budúcom fyzickom alebo duševnom zdravotnom stave dotknutej osoby;
• údaje špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;
• online identifikátor – fyzickým osobám môžu byť pridelené online identifikátory, ktoré poskytujú ich prístroje, aplikácie, nástroje a protokoly (IP adresa, cookies, alebo iné identifikátory).

Fotografia sama o sebe nie je považovaná za osobitnú kategóriu osobných údajov podľa GDPR, avšak môže byť považovaná za osobný údaj, ak umožňuje identifikáciu konkrétnej osoby. Ak fotografia zachytáva jedinca takým spôsobom, že je možné na jej základe určiť jeho identitu, napríklad tvárou alebo inými rozpoznateľnými znakmi, stáva sa osobným údajom. V takom prípade je potrebné s ňou zaobchádzať v súlade s pravidlami ochrany osobných údajov, čo zahŕňa získanie súhlasu dotknutej osoby na jej spracovanie a zabezpečenie primeranej ochrany.

E-shop je povinný preukázať oprávnené spracovanie osobných údajov v prípade kontroly Úradom na ochranu osobných údajov. Musí dokázať, že spracováva osobné údaje na základe platného a informovaného súhlasu, ktorý získal v súlade s nariadením GDPR.

E-shopy, rovnako ako všetci spracovatelia osobných údajov, musia tiež rešpektovať právo dotknutých osôb na prístup k ich údajom a právo na zabudnutie, ktoré znamená, že musia vymazať osobné údaje, ak už nie sú potrebné na účely, na ktoré boli pôvodne spracované, alebo ak si osoba odvolá súhlas.

Ak e-shop nezískal súhlas so spracovaním osobných údajov v súlade s nariadením GDPR pred májom 2018, musí pred pokračovaním v spracúvaní týchto údajov získať od zákazníkov nový, informovaný súhlas. Tento súhlas musí byť jasný, jednoznačný a dokumentovaný. E-shop musí zároveň zabezpečiť, že zákazníci sú informovaní o účele spracovania ich osobných údajov a že majú právo tento súhlas kedykoľvek odvolať. Tento krok je nevyhnutný pre dodržiavanie právnych predpisov a ochranu osobných údajov podľa GDPR.

Áno, nariadenie GDPR sa vzťahuje na každý e-shop, či už ide o malý alebo veľký obchod. Každý e-shop spracúva osobné údaje zákazníkov, ako sú meno, adresa, telefónne číslo, email a ďalšie údaje potrebné pre spracovanie objednávky a komunikáciu so zákazníkmi. Okrem toho e-shopy často zbierajú údaje aj na svojich webových stránkach, ako napríklad prostredníctvom cookies alebo analytických nástrojov. Z tohto dôvodu sú povinné tieto osobné údaje chrániť v súlade s požiadavkami GDPR, aby zabezpečili ochranu súkromia zákazníkov a minimalizovali riziko zneužitia údajov.

V rámci GDPR majú zdravotnícke zariadenia nasledovné povinnosti:

• prijať primerané technické a organizačné opatrenia na zaistenie úrovne bezpečnosti primeranej riziku spracovania osobných údajov – napr. zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov spracúvania osobných údajov;
• zabezpečiť proces obnovy dostupnosti osobných údajov a prístup k nim v prípade fyzického incidentu alebo technického incidentu;
• pravidelne testovať účinnosť technických a organizačných opatrení;
• bez zbytočného odkladu oznámiť dotknutej osobe (pacientovi) porušenie ochrany osobných údajov;
• oznámiť Úradu na ochranu osobných údajov SR porušenie ochrany osobných údajov do 72 hodín po tom, ako sa o ňom dozvedel; to neplatí, ak nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva fyzickej osoby.

Nový zákon o ochrane osobných údajov prináša pozitívnu zmenu pre zdravotnícke zariadenia, keďže upúšťa od povinnosti vypracovávať bezpečnostný projekt a bezpečnostné smernice. Okrem toho už nie je potrebné viesť evidenciu informačného systému ani oznamovať tieto systémy Úradu na ochranu osobných údajov SR.

Namiesto toho sa zavádza nová povinnosť viesť záznam o spracovateľských činnostiach. Tento záznam musí byť vedený v listinnej alebo elektronickej podobe a mal by obsahovať informácie o spracúvaní osobných údajov v rámci organizácie.

Áno, podľa návrhu nového zákona o ochrane osobných údajov je ustanovenie zodpovednej osoby povinné pre osoby, ktorých hlavnou činnosťou je spracúvanie údajov týkajúcich sa zdravia vo veľkom rozsahu. Pojem „veľký rozsah“ nie je v zákone presne špecifikovaný, čo znamená, že povinnosť závisí od konkrétnych okolností poskytovateľa zdravotnej starostlivosti. Veľkosť zariadenia, počet pacientov a povaha spracovávaných údajov budú určujúcimi faktormi pri rozhodovaní, či je potrebné ustanoviť zodpovednú osobu na ochranu osobných údajov.

Poskytovatelia zdravotnej starostlivosti sa nemusia obávať toho, že budú musieť získavať písomný súhlas pacientov na spracovanie osobných údajov, keďže súhlas na spracovanie osobných údajov sa nevyžaduje, ak spravovanie osobný údajov je nevyhnutné podľa osobitného predpisu. V tomto prípade je osobitným predpisom:

• zákon č. 576/2004 Z.z., v zmysle ktorého sa súhlas dotknutej osoby (pacienta) na spracúvanie, poskytovanie a sprístupňovanie údajov zo zdravotnej dokumentácie sa za podmienok ustanovených zákon č. 576/2004 Z.z. nevyžaduje;
• zákon č. 153/2013 Z.z. o národnom zdravotníckom informačnom systéme a o zmene a doplnení niektorých zákonov;
• zákon č. 578/2004 Z.z. o poskytovateľoch zdravotnej starostlivosti, zdravotníckych pracovníkoch, stavovských organizáciách v zdravotníctve a o zmene a doplnení niektorých – zákonov v znení neskorších predpisov;
• zákon č. 362/2011 Z.z. o liekoch a zdravotníckych pomôckach a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.

V meste alebo obci sa GDPR dotýka viacerých oddelení a zamestnancov, ktorí spracúvajú osobné údaje. Tieto oddelenia zahŕňajú:

• personálne oddelenie, ktoré spracováva údaje zamestnancov;
• oddelenie matriky, ktoré spracováva údaje o obyvateľoch;
• oddelenie stavebných konaní, ktoré môže spracovávať osobné údaje v súvislosti s povoleniami a konaniami;
• kontaktné centrum, ktoré komunikuje s obyvateľmi a spracováva ich údaje;
• IT oddelenie, ktoré zabezpečuje ochranu údajov,
• bezpečnostný tím, ktorý chráni infraštruktúru;
• manažment, ktorý zodpovedá za implementáciu a dodržiavanie pravidiel GDPR v organizácii.

Áno, zodpovedná osoba pre ochranu osobných údajov môže byť zamestnancom úradu, ale je dôležité, aby v tejto úlohe bola nezávislá. Zodpovedná osoba musí vykonávať svoju prácu tak, aby neexistoval konflikt záujmov. Napríklad, ak má zamestnanec na starosti ochranu a bezpečnosť IT, nemal by byť zodpovedný za kontrolu svojich vlastných aktivít v tejto oblasti, pretože by to viedlo ku konfliktu záujmov. Zodpovedná osoba by mala mať dostatočnú nezávislosť na to, aby mohla efektívne plniť svoje povinnosti a zabezpečiť súlad s GDPR.

Áno, všetky obce, bez ohľadu na ich veľkosť, rozlohu či počet obyvateľov, musia zabezpečiť súlad s GDPR. Nariadenie o ochrane osobných údajov je platné pre všetky verejné orgány, a to od 25. mája 2018. Týka sa to aj malých obcí, ktoré spracúvajú osobné údaje, napríklad v oblasti školstva alebo sociálnych služieb. Výnimkou môže byť len prispôsobenie výšky sankcií, ktoré sa môžu líšiť medzi jednotlivými štátmi, no samotné nariadenie je povinné pre všetky obce a mestá.

Áno, zákon o ochrane osobných údajov (GDPR) sa týka aj miest a obcí. Ako orgány samosprávy a verejné orgány mestá a obce pri plnení väčšiny svojich úloh spracúvajú osobné údaje, čím sa stávajú správcom alebo spracovateľom údajov.

Okrem bežných osobných údajov mestá a obce spracúvajú aj špeciálne kategórie údajov, ako sú údaje o deťoch v rámci školstva alebo o zdravotnom stave fyzických osôb v rámci poskytovania sociálnych služieb. Pre tieto špeciálne údaje platí ešte prísnejšia právna úprava, ktorá zabezpečuje ich adekvátnu ochranu.

Najčastejšie súhlasy, ktoré by sme mohli od hostí vyžadovať, zahŕňajú súhlas so spracovaním ich osobných údajov na účely rezervácie a poskytovania služieb, súhlas na marketingové účely, ako je zasielanie newsletterov alebo ponúk, a súhlas so všeobecnými obchodnými podmienkami vrátane storno podmienok. Tieto súhlasy musia byť vždy jasne formulované a hostia musia mať možnosť slobodne, informovane a jednoznačne súhlasiť s konkrétnymi podmienkami pred spracovaním ich údajov.

Ak sa v priestore ubytovacieho zariadenia nachádzajú kamery, kvôli bezpečnosti hostí, je to v poriadku z dôvodu oprávneného záujmu. Kamerové systémy môžu byť nevyhnutné na ochranu osôb a majetku v priestoroch, kde sa pohybujú hostia. Avšak podľa GDPR je dôležité, aby tieto údaje neboli uchovávané dlhšie, než je nevyhnutné. Preto sa odporúča nastaviť kamerový systém na automatické zmazanie záznamov po uplynutí určitého časového obdobia, ktoré je potrebné na ochranu bezpečnosti a vyhodnotenie situácií. Hostí je potrebné o monitorovaní informovať, aby bola zabezpečená transparentnosť a súlad s požiadavkami GDPR.

Pre ubytovacie účely sa môžu spracovávať nasledujúce osobné údaje: meno a priezvisko ubytovaného, číslo jeho občianskeho preukazu alebo cestovného dokladu, adresa trvalého pobytu a doba ubytovania. Tieto údaje sú nevyhnutné na riadne vybavenie ubytovania a plnenie zmluvy medzi ubytovateľom a hosťom. Ubytovateľ potrebuje tieto informácie, aby mohol správne viesť evidenciu, zabezpečiť dodržiavanie podmienok pobytu a v prípade potreby splniť ďalšie zákonné povinnosti.

Nie, nie je potrebné žiadať od hostí súhlas na spracovanie osobných údajov, pokiaľ tieto údaje spracúvate v účtovnom systéme, pretože ste im poskytli ubytovanie. Tieto údaje sa zbierajú z dôvodu plnenia zmluvy o ubytovaní.

Okrem toho sa zbierajú aj zo zákonnej povinnosti, a to na základe Zákona č. 404/2011 o pobyte cudzincov, ktorý ukladá ubytovateľom povinnosť pri ubytovaní overiť totožnosť cudzinca. V takomto prípade nie je potrebné žiadať súhlas hostí na spracovanie osobných údajov, keďže spracovanie je nevyhnutné pre plnenie zmluvy a je podporené zákonnou povinnosťou.

Podľa nariadenia GDPR si hotely musia ustanoviť zodpovednú osobu pre ochranu osobných údajov (DPO – Data Protection Officer), ak vykonávajú rozsiahle spracovanie osobných údajov. To znamená, že ak hotel pravidelne spracúva citlivé osobné údaje svojich hostí, ako napríklad údaje o platbách, zdravotnom stave, alebo iné osobné informácie, musí mať DPO, ktorý zabezpečí, že spracovanie údajov je v súlade so všetkými právnymi požiadavkami GDPR. DPO je zodpovedný za monitorovanie dodržiavania pravidiel ochrany osobných údajov v hoteli, poskytovanie poradenstva a školenie zamestnancov, ako aj komunikáciu s príslušnými úradmi pre ochranu osobných údajov.

Ministerstvo školstva môže udeliť prístup k osobným údajom rôznym subjektom, ktoré sú oprávnené na spracovanie týchto údajov v rámci výkonu svojich zákonných povinností. Tieto subjekty môžu zahŕňať školy a školské zariadenia, ktoré spracúvajú údaje týkajúce sa žiakov a zamestnancov, zriaďovateľov týchto škôl, orgány štátnej správy v školstve, ako aj iné príslušné orgány štátnej správy, ktoré vykonávajú dohľad, kontrolu alebo iné administratívne úkony v oblasti školstva.

Prístup môže byť udelený aj odborným poradcom alebo iným relevantným subjektom, pokiaľ to zákon umožňuje. Všetky tieto subjekty musia zabezpečiť, aby bol prístup k osobným údajom vykonávaný v súlade s legislatívnymi požiadavkami o ochrane osobných údajov.

Sprostredkovateľská zmluva sa uzatvára iba s tými fyzickými a právnickými osobami, ktoré v mene prevádzkovateľa (školy/školského zariadenia) spracúvajú osobné údaje v ich informačných systémoch. Tieto zmluvy sú potrebné na ochranu osobných údajov, keďže sprostredkovatelia vykonávajú spracovanie osobných údajov podľa pokynov prevádzkovateľa a sú zodpovední za ochranu údajov v súlade s GDPR.

Nakoľko Ministerstvo školstva, vedy, výskumu a športu SR (MŠVVaŠ SR) nespracúva osobné údaje priamo vo vašich informačných systémoch, nie je dôvod, aby malo so školou/školským zariadením podpísanú sprostredkovateľskú zmluvu. MŠVVaŠ SR pôsobí ako správca údajov, ktorý zabezpečuje štatistiky a administratívnu podporu, a preto sa sprostredkovateľská zmluva medzi ním a školou nevyžaduje.

Toto podlieha povinnosti prevádzkovateľa vyžiadať si súhlas dotknutých osôb. Ide najmä o zverejňovanie mena a priezviska spolu s iným údajom ako je dátum narodenia, trieda, príslušnosť ku škole a pod. Ak sa daný súhlas viaže na viac účelov, je potrebné každý účel mať zvlášť definovaný. V súčasnosti za neplnoletého žiaka (18. ročný) takýto súhlas prevádzkovateľovi dáva v písomnej forme zákonný zástupca žiaka, po termíne 25.5.2018, kedy nadobudol účinnosť nový zákon o ochrane osobných údajov č. 18/2018 Z. z. je táto hranica posunutá na dovŕšenie 16. roku.

Škola a školské zariadenie môžu spracúvať osobné údaje o žiakoch a ich zákonných zástupcoch na základe viacerých právnych základov podľa GDPR. Škola a školské zariadenie spracúvajú osobné údaje o žiakoch a zákonných zástupcoch bez súhlasu dotknutých osôb len na konkrétne určený, výslovne uvedený a oprávnený účel a iba v prípadoch, ak im to ustanovuje osobitný zákon.

Hlavným právnym základom je plnenie zákonnej povinnosti (napr. v súvislosti s evidenciou žiakov, vedením školských záznamov, podávaním správ orgánom verejnej správy). Ďalej môžu spracúvať údaje na základe zmluvy (napr. pri organizovaní školských akcií), ochrany životne dôležitých záujmov (napr. v prípade núdzových situácií) alebo na základe výkonu verejnej moci (ak to vyžaduje verejný záujem). Spracúvanie osobných údajov sa musí vykonávať v súlade s príslušnými právnymi predpismi, ako je zákon o výchove a vzdelávaní alebo iné špecifické predpisy.

Vstúpením nariadenia GDPR do platnosti 25. mája 2018 už prevádzkovatelia nemajú povinnosť vypracovať tradičný bezpečnostný projekt, ako tomu bolo v minulosti. Namiesto toho sa zaviedla povinnosť vykonať posúdenie vplyvu ochrany osobných údajov (DPIA) v prípade určitých typov spracovateľských operácií.

Tento postup je povinný napríklad pri systematickom monitorovaní verejne prístupných miest vo veľkom rozsahu, spracúvaní osobitných kategórií osobných údajov vo veľkom rozsahu, spracúvaní údajov súvisiacich s uznávaním viny za trestné činy a priestupky, ako aj pri profilovaní alebo automatickom spracovaní osobných údajov. Ak posúdenie vplyvu naznačí vysoké riziko pre práva a slobody dotknutých osôb, prevádzkovatelia musia požiadať dozorový úrad o konzultácie podľa článkov 35 a 36 GDPR.

Treba si uvedomiť, že implementácia GDPR vyžaduje postupné kroky vykonané vo vnútri spoločnosti. Je veľa atribútov, ktoré môžu ovplyvniť dĺžku implementácie, ktorá môže vyžadovať 3 – 12 mesiacov závislých hlavne od:

• počtu informačných systémov, ktoré spoločnosť využíva na spracovanie osobných údajov;
• kategória osobných údajov;
• doterajšia úroveň riadenia informačnej bezpečnosti;
• podpora manažmentu;
• zapojenie externých zdrojov.

Pri zavádzaní GDPR je kľúčové, aby manažment spoločnosti najprv pochopil, čo GDPR prináša a aký dopad má na organizáciu. Následne je potrebné definovať jasnú stratégiu pre implementáciu pravidiel ochrany osobných údajov.

Prvým krokom je vykonanie GAP analýzy (rozdielovej analýzy), ktorá pomôže identifikovať rozdiely medzi aktuálnymi procesmi a požiadavkami stanovenými GDPR. Táto analýza sa zameriava na riadenie informačnej bezpečnosti a zistenie, ako spoločnosť spĺňa nové práva dotknutých osôb. Na základe výsledkov GAP analýzy môže byť potrebné upraviť procesy a v niektorých prípadoch aj informačné systémy, aby spoločnosť bola v súlade s požiadavkami GDPR a zabezpečila ochranu osobných údajov.

GDPR vylučuje z ochrany niektoré typy údajov. Medzi vylúčené údaje patria:

• Anonymizované údaje – ide o údaje, ktoré sú upravené tak, že už nie je možné priradiť ich k žiadnej konkrétnej osobe, ani nepriamo. Keď sú údaje anonymizované, strácajú status osobného údaja a neberú sa do úvahy pri spracovaní podľa GDPR.
• Údaje zomretých osôb – podľa zákona č. 122/2013 Z. z. sa ešte pred GDPR považovali údaje zomretých za osobné údaje. Avšak príchodom GDPR sa táto prax zmenila a spracúvanie údajov o zomretých osobách už nie je považované za spracúvanie osobných údajov.

Ochrana osobných údajov sa vzťahuje aj na údaje získané v rámci B2B (business-to-business) komunikácie, pokiaľ sa týkajú konkrétnych fyzických osôb, ktoré sú identifikovateľné. GDPR totiž definuje osobný údaj ako akýkoľvek údaj, ktorý môže priamo alebo nepriamo identifikovať konkrétnu osobu. Aj keď údaje ako e-mail, telefónne číslo alebo IP adresa zvyčajne patria k firmám, ak sú tieto údaje spojené s konkrétnym zamestnancom alebo kontaktom v rámci firmy, považujú sa za osobné údaje. Preto, ak máte k dispozícii kontaktné informácie, ktoré možno priradiť ku konkrétnej fyzickej osobe (napr. jej meno, priezvisko, pracovná pozícia), tieto údaje musíte chrániť v súlade s pravidlami GDPR.

V prvom rade by maI manažment spoločnosti pochopiť, čo je GDPR, aké povinnosti z GDPR plynú, aké sú termíny a sankcie. Následne by mala spoločnosť prejsť na vzdelávanie ľudí, ktorí budú implementáciu realizovať – odporúčame preto školenia pre manažérov a zamestnancov.

Ďalším krokom je analýza dopadu implementácie GDPR pre spoločnosť. Výsledok analýzy vám dodá podklad pre akčný plán, vrátane časového a finančného aspektu. Pokiaľ spoločnosť neriadi informačnú bezpečnosť, je potrebné sa zamerať najskôr na túto oblasť, keďže je to nutná podmienka implementácie GDPR.

Nariadenie Európskej únie o ochrane osobných údajov, známe ako GDPR (General Data Protection Regulation), nadobudlo účinnosť 25. mája 2018. Toto nariadenie prinieslo jednotné pravidlá pre ochranu osobných údajov v celej Európskej únii a zvýšilo práva občanov v oblasti ochrany ich súkromia.

GDPR sa vzťahuje na všetky organizácie, firmy, štátne inštitúcie aj jednotlivcov, ktorí spracúvajú osobné údaje fyzických osôb. Zákon upravuje pravidlá týkajúce sa zberu, uchovávania, spracovania a ochrany osobných údajov, pričom kladie dôraz na transparentnosť a bezpečnosť.

Subjekty, ktoré spracúvajú osobné údaje, musia dodržiavať zásady a nariadenia, inak im hrozia vysoké pokuty. Zavedenie GDPR zvýšilo ochranu súkromia a posilnilo práva jednotlivcov pri nakladaní s ich osobnými údajmi.

Ochrana osobných údajov sa vzťahuje na všetky subjekty, ktoré akýmkoľvek spôsobom spracúvajú osobné údaje fyzických osôb. Podľa platnej legislatívy, najmä nariadenia GDPR a zákona o ochrane osobných údajov, sú povinné dodržiavať pravidlá týkajúce sa zberu, uchovávania, spracovania a ochrany údajov.

Tento zákon sa vzťahuje na:

• Orgány štátnej správy – napríklad ministerstvá, daňové úrady, súdy či polícia;
• Orgány územnej samosprávy – obce, mestá a vyššie územné celky;
• Iné orgány verejnej moci – štátne inštitúcie a úrady;
• Právnické osoby – firmy, neziskové organizácie, či školy;
• Fyzické osoby – podnikatelia a samostatne zárobkovo činné osoby, ktoré spracúvajú osobné údaje, určujú účel a prostriedky spracovania alebo poskytujú osobné údaje na ďalšie spracovanie.

Každý, kto narába s osobnými údajmi, je povinný zabezpečiť ich ochranu a dodržiavať zákonné podmienky ich spracovania.

Nariadenie Európskej únie GDPR (General Data Protection Regulation), ktoré je v platnosti od 25. mája 2018, zavádza prísnejšie pravidlá v oblasti ochrany osobných údajov a poskytuje občanom množstvo nových práv. Tieto práva umožňujú jednotlivcom väčšiu kontrolu nad svojimi údajmi a spôsobom ich spracovania organizáciami.

Medzi základné práva, ktoré GDPR poskytuje, patrí:

• Právo na prístup k osobným údajom – Môžete si vyžiadať informácie o tom, aké údaje o vás organizácie uchovávajú.
• Právo na opravu údajov – Ak sú vaše údaje nesprávne alebo neaktuálne, môžete požiadať o ich opravu.
• Právo na obmedzenie spracovania – Môžete požadovať obmedzenie používania vašich údajov.
• Právo na vymazanie (tzv. právo byť zabudnutý) – Organizácia je povinná vymazať vaše osobné údaje, ak už nie sú potrebné alebo ste odvolali svoj súhlas.

GDPR tak prispieva k väčšej bezpečnosti a transparentnosti pri ochrane osobných údajov.

Vaše osobné údaje môžu byť zneužité na rôzne účely, často bez vášho vedomia a súhlasu. Medzi najčastejšie spôsoby ich zneužitia patria:

• Marketingové a reklamné účely – Útočníci alebo neseriózne firmy môžu vaše údaje použiť na nevyžiadané reklamy, spam, či cielené marketingové kampane.
• Zistenie identity – Osobné údaje môžu byť zneužité na získanie ďalších citlivých informácií o vás alebo vašich blízkych.
• Krádež identity – Podvodníci sa môžu vydávať za vás a pod vaším menom vykonávať rôzne podvodné aktivity.
• Krádež bankových údajov – Ak sa útočník dostane k vašim finančným údajom, môže neoprávnene vyberať peniaze z vášho účtu.
• Zhoršenie reputácie – Osobné údaje môžu byť zneužité na poškodenie vášho mena, napríklad pri uchádzaní sa o prácu alebo pri pokuse o získanie obchodného partnera.

Svoje údaje dokážete chrániť rôznymi spôsobmi, pričom sa nejedná o nič zložité. Považujeme za nesmierne dôležité, premýšľať nad tým, aké informácie organizácii poskytujeme a na aký účel budú použité. Vaše osobné údaje od vás nikto nezíska, pokiaľ mu ich neposkytnete.

Ďalším spôsobom ochrany osobných údajov je používanie silných a unikátnych hesiel pre rôzne online účty. Odporúča sa využívať dvojfaktorovú autentifikáciu (2FA), ktorá pridáva ďalšiu vrstvu zabezpečenia. Dôležité je tiež pravidelne aktualizovať softvér a operačné systémy na svojich zariadeniach, aby ste sa vyhli zneužitiu bezpečnostných zraniteľností.

Zvýšenú pozornosť venujte aj ochrane súkromia na sociálnych sieťach – zdieľajte len nevyhnutné informácie a nastavte si súkromie tak, aby vaše osobné údaje neboli verejne dostupné. Ak dostanete podozrivý e-mail alebo správu, nekonajte unáhlene a vždy si overte odosielateľa. Ochrana osobných údajov je nevyhnutná v digitálnom svete, preto je dôležité byť obozretný a zodpovedný.

Doba uchovávania osobných údajov používateľov závisí od účelu, na ktorý boli získané, a od právneho základu ich spracúvania. Podľa nariadenia GDPR by sa údaje nemali uchovávať dlhšie, ako je nevyhnutné na splnenie účelu, na ktorý boli zhromaždené.

Pri jednorazovom nákupe v e-shope by sa osobné údaje zákazníka mali uchovávať len počas doby nevyhnutnej na splnenie zmluvných povinností, vrátane riešenia reklamácií či uplatnenia záruky. Ak zákazník udelil súhlas so zasielaním obchodných oznámení, údaje môžu byť uchovávané do doby odvolania súhlasu.

Funkciu zodpovednej osoby môže zastávať zamestnanec, prevádzkovateľ alebo aj externý špecialista, ktorý bude plniť jej úlohu na základe zmluvy. 

S povinnosťou mať zodpovednú osobu podľa GDPR sú spojené aj dodatočné náklady. Poteší možno informácia, že skupina podnikateľov môže mať jednu a tú istú zodpovednú osobu. Podmienkou len je, aby bola zodpovedná osoba jednoducho dostupná v rámci jednotlivých podnikov. 

Ak teda chcete ušetriť náklady, nemusíte mať vlastného človeka na ochranu osobných údajov. Jednoducho Vám zodpovednú osobu zabezpečíme my. 

Viac informácií nájdete na stránke Ochrana osobných údajov GDPR.

Nariadenie GDPR sa vzťahuje na každého, kto spracúva osobné údaje, bez ohľadu na veľkosť firmy či sektor, v ktorom pôsobí. Naša spoločnosť ponúka služby ochrany osobných údajov pre rôzne odvetvia, vrátane verejnej správy, e-shopov, fotografov, ubytovacích zariadení, zdravotníckych zariadení, školských inštitúcií, finančných služieb či obchodných spoločností.

Toto sú len niektoré z mnohých oblastí, v ktorých poskytujeme naše služby, a radi vám pomôžeme s ochranou osobných údajov aj vo vašom sektore. Zabezpečíme implementáciu opatrení, vypracovanie potrebnej dokumentácie a zaistenie súladu s právnymi predpismi.

GDPR školenia sú vhodné pre všetkých zamestnancov, ktorí pracujú s osobnými údajmi a sú oprávnenými osobami Prevádzkovateľa, teda spracovávajú, uchovávajú alebo inak manipulujú s osobnými údajmi klientov, zamestnancov, či obchodných partnerov. Špeciálne sú dôležité pre pracovníkov v oblasti HR, marketingu, IT, zákazníckej podpory, či manažmentu, kde dochádza k častému kontaktu s citlivými údajmi.

Školenie GDPR vieme prispôsobiť konkrétnym potrebám vašej organizácie, či už ide o základné školenie pre nových zamestnancov alebo pokročilé školenie pre manažérov a zodpovedné osoby (DPO – Data Protection Officer). Cieľom školenia je zabezpečiť, aby všetci zamestnanci rozumeli zásadám ochrany osobných údajov a vedeli ich správne aplikovať v praxi.

Samotná výška pokuty môže byť až do výšky 20 miliónov eur alebo 4 % ročného obratu danej firmy v závislosti od toho, ktorá suma bude vyššia. Pokuta v maximálnej výške 10 miliónov eur alebo 2 % ročného obratu danej firmy môže byť udelená za porušenie nasledovných predpisov:

• získanie súhlasu rodiča pri spracovaní osobných údajov dieťaťa do 16 rokov;
• spracovanie osobných údajov môže prebiehať len v súlade s pokynmi prevádzkovateľa;
• spracovatelia a prevádzkovatelia musia zaviesť opatrenia pre dostatočnú bezpečnosť osobných údajov;
• prevádzkovateľ má povinnosť nahlásiť únik osobných údajov dozornému úradu do 72 hodín od zistenia skutočnosti;

Viac sa môžete dočítať v článku Najvyššia pokuta v historií GDPR!?.

Výhody spolupráce s našou spoločnosťou sú:

• osobné návštevy sú samozrejmosťou na celom území SR,
• pravidelné školenia v prípade potreby,
• analýza súčasného stavu spracúvania osobných údajov,
• analýza informačných systémov,
• odborné konzultácie a poradenstvo,
• súčinnosť pri kontrole z Úradu pre ochranu osobných údajov,
• prebratie zodpovednosti za prípadné škody poistením,
• upozornenia na prípadné zmeny v zákonoch a v problematike ochrany osobných údajov.

Spoločnosť osobnyudaj.sk, s.r.o. je najväčším poskytovateľom služieb v oblasti ochrany osobných údajov na Slovensku. Výkon zodpovednej osoby (ZO / DPO) poskytujeme už viac ako 3000 subjektom. Náš tím tvorí viac 35 profesionálov, ktorí sú vám k dispozícii v 12 pobočkách po celom Slovensku.

Poskytujeme niekoľko služieb v oblasti ochrany osobných údajov:

• audit – analýza bezpečnosti;
• kybernetická bezpečnosť;
• bezpečnostná dokumentácia na kľúč;
• ochrana utajovaných skutočností;
• školenia GDPR.

Úrad môže v prípade zistenia porušenia povinností ustanovených GDPR alebo novým zákonom o ochrane osobných údajov uložiť:

• pokutu do výšky 10 000 000 eur alebo ak ide o podnik do 2 % celkového svetového ročného obratu za predchádzajúci účtovný rok podľa toho, ktorá suma je vyššia – za menej závažné porušenia povinností,
• pokutu do výšky 20 000 000 eur, alebo ak ide o podnik do 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia – za závažné porušenia povinností,
• poriadkovú pokutu do výšky 2 000 eur,
• poriadkovú pokutu do výšky 10 000 eur.

Uvedené sumy pokút predstavujú horný strop, teda ide o maximálnu hornú hranicu pokuty, ktorá môže byť uložená.

Všetky organizácie, ktoré spracúvajú osobné údaje, musia počítať s vymenovaním funkcie zodpovednej osoby (ZO / DPO). Nariadenie GDPR však ustanovilo pre niektoré subjekty vymenovanie ZO / DPO ako povinnosť. Takúto povinnosť majú napr. všetky školy, škôlky, orgány verejnej moci (napr. obce a vyššie územné celky), ako aj spoločnosti, ktoré spracúvajú osobné údaje vo veľkom rozsahu. 

Zodpovednou osobou (ZO / DPO) môže byť interný zamestnanec alebo externý subjekt. Zodpovedná osoba je poradným orgánom, ktorý prevádzkovateľovi resp. sprostredkovateľovi radí, pomáha napr. aj pri uzatváraní sprostredkovateľských zmlúv, poskytuje mu podporu a informácie pri nastavovaní spracúvania osobných údajov. 

Prevádzkovateľ a sprostredkovateľ určia zodpovednú osobu (DPO) v prípade, keď:

• spracúvanie vykonáva orgán verejnej moci;
• hlavnými činnosťami sú spracovateľské operácie, ktoré si vyžadujú pravidelné a systematické monitorovanie dotknutých osôb vo veľkom rozsahu;
• hlavnými činnosťami prevádzkovateľa alebo sprostredkovateľa je spracúvanie osobitných kategórií údajov.

Medzi zásadné zmeny, ktoré nariadenie GDPR zaviedlo, možno zaradiť:

• povinné ustanovenie zodpovednej osoby (ZO / DPO) pre všetky mestá a obce,
• povinné ustanovenie zodpovednej osoby (ZO / DPO) pre všetky školy a materské školy,
• povinnosť opätovne nahlásiť všetky informačné systémy (IS),
• nové tlačivá a bezpečnostná dokumentácia v súlade s GDPR,
• zjednotenie opatrení pre ochranu osobných údajov naprieč celou EÚ,
• povinnosť oznamovať a dokumentovať bezpečnostné incidenty,
• nová úprava súhlasu zo strany neplnoletých dotknutých osôb,
• nové pravidlá cezhraničného prenosu osobných údajov,
• posilnenie práv dotknutých osôb,
• likvidačné pokuty až do výšku 20 miliónov eur, resp. do výšky 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma bude vyššia.

Všetkých, ktorí spracúvajú osobné údaje, pričom za spracúvanie sa považuje akákoľvek operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov. Ide napr. o získavanie (zhromažďovanie), zaznamenávanie (ukladanie informácií na akýkoľvek nosič t. j. do systémov, aplikácií, na médiá a pod.), usporadúvanie (triedenie podľa určitých kategórií), uchovávanie (nevymazanie osobných údajov počas určitej doby), prepracúvanie alebo zmena (napr. oprava neaktuálnych alebo nesprávnych údajov), prehliadanie (prezeranie osobných údajov bez ich modifikácie), vymazanie alebo likvidácia (zrušenie osobných údajov ich vymazaním, rozložením, zničením hmotných nosičov a pod.) a mnohé ďalšie.

V súčasnosti je takmer nemožné predstaviť si organizáciu alebo spoločnosť, ktorá osobné údaje nespracúva v zmysle nariadenia GDPR.

General Data Protection Regulation (GDPR) je zaužívaná skratka pre Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), ktoré sa od 25. mája 2018 uplatňuje vo všetkých členských štátoch EÚ, Európskeho hospodárskeho priestoru a zároveň rieši a upravuje aj export osobných údajov mimo oblastí EÚ a EHP.

Nariadenie GDPR je na území Slovenska priamo aplikovateľné, pričom nahradilo dovtedy platný a účinný zákon č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov a stanovuje povinnosti pre fyzické alebo právnické osoby, orgány verejnej moci, agentúry alebo iné subjekty, ktoré samé alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov.