Tento zákon upravuje

Tento zákon neupravuje ochranu osobných údajov spracúvaných fyzickou osobou v rámci výlučne osobných alebo domácich činností.

chrániť základné práva a slobody fyzických osôb pri spracúvaní ich osobných údajov,

ustanoviť práva a povinnosti fyzických osôb pri poskytovaní osobných údajov do informačného systému a práva, povinnosti a zodpovednosť právnických osôb a fyzických osôb, ktoré sa zúčastňujú na spracúvaní osobných údajov,

ustanoviť práva a povinnosti prevádzkovateľov informačného systému, sprostredkovateľov a dotknutých osôb pri poskytovaní osobných údajov z informačného systému,

ustanoviť podmienky cezhraničného toku osobných údajov,

ustanoviť podmienky spôsobu registrácie informačných systémov, ktoré obsahujú osobné údaje,

upraviť postavenie a pôsobnosť orgánu štátneho dozoru nad ochranou osobných údajov v informačných systémoch,

ustanoviť sankcie za porušenie zákona.

osobnými údajmi údaje týkajúce sa určitej alebo určiteľnej fyzickej osoby, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe identifikačného čísla alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu,

spracúvaním osobných údajov vykonávanie akýchkoľvek potrebných operácií alebo súboru operácií s osobnými údajmi, napr. ich získavanie, zhromažďovanie, zaznamenávanie, usporadúvanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, sprístupnenie pomocou prenosu, rozširovanie, preskupovanie alebo kombinovanie,

informačným systémom obsahujúcim osobné údaje sústava osobných údajov, ktoré sú spracúvané podľa osobitných organizačných podmienok s použitím automatizovaných alebo neautomatizovaných prostriedkov spracúvania,

poskytovaním osobných údajov ich odovzdávanie alebo sprístupnenie inej právnickej osobe alebo fyzickej osobe s výnimkou dotknutej osoby, prevádzkovateľa, sprostredkovateľa alebo oprávnenej osoby,

likvidáciou osobných údajov zrušenie osobných údajov rozložením, vymazaním alebo fyzickým zničením hmotných nosičov tak, aby sa z nich osobné údaje nedali reprodukovať,

súhlasom dotknutej osoby akýkoľvek slobodne daný výslovný a zrozumiteľný prejav vôle, ktorým dotknutá osoba vyjadruje súhlas so spravovaním svojich osobných údajov,

prevádzkovateľom informačného systému právnická osoba, fyzická osoba alebo iný subjekt, ktorý spracúva osobné údaje a ktorý zároveň určuje ciele a prostriedky spracúvania; ak účel spracúvania neustanovuje osobitný zákon, zodpovedá za jeho vymedzenie,

sprostredkovateľom právnická osoba alebo fyzická osoba, ktorá spracúva osobné údaje v mene prevádzkovateľa, a to na základe zmluvy alebo poverenia prevádzkovateľa,

oprávnenou osobou každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovného pomeru alebo obdobného pracovného vzťahu alebo v rámci výkonu verejnej funkcie, ktorá osobné údaje smie spracúvať len na základe pokynu prevádzkovateľa alebo sprostredkovateľa, ak to od nej nevyžaduje osobitný zákon,

dotknutou osobou každá fyzická osoba, o ktorej vypovedajú osobné údaje v informačnom systéme,

užívateľom právnická osoba alebo fyzická osoba, ktorá používa osobné údaje z informačného systému s výnimkou dotknutej osoby, prevádzkovateľa, sprostredkovateľa alebo oprávnenej osoby,

cezhraničným tokom osobných údajov prenos osobných údajov mimo územia Slovenskej republiky právnickým osobám alebo fyzickým osobám so sídlom alebo s trvalým pobytom v cudzine alebo ich výmena s týmito osobami.

Spracúvanie osobných údajov sa smie vykonávať iba so súhlasom dotknutej osoby. Tento súhlas sa nevyžaduje, ak to ustanovuje osobitný zákon³.

Iný ako dotknutá osoba môže poskytnúť do informačného systému osobné údaje o dotknutej osobe len s jej súhlasom. To neplatí, ak sa poskytujú osobné údaje do informačného systému za podmienok ustanovených osobitným zákonom⁴.

Súhlas podľa odseku 1 sa nevyžaduje, ak sa spracúvajú osobné údaje výlučne pre potreby umeleckého alebo literárneho vyjadrenia.

Ak dotknutá osoba nemá spôsobilosť na právne úkony, súhlas podľa odseku 1 môže poskytnúť zákonný zástupca⁵.

Ak dotknutá osoba nežije, súhlas podľa odseku 1 môže poskytnúť blízka osoba⁶.

Podmienka súhlasu je splnená, ak ide o osobné údaje, na ktorých zverejnenie dala súhlas dotknutá osoba. Takto zverejnené údaje nie sú chránené podľa tohto zákona.

Ten, kto získava osobné údaje, je povinný na požiadanie dotknutej osoby preukázať svoju totožnosť a vopred oznámiť dotknutej osobe alebo inej fyzickej osobe, od ktorej osobné údaje požaduje,

Ten, kto získava osobné údaje podľa odseku 1 písm. d), je povinný preukázať sa oprávnením na túto činnosť, ak toto oprávnenie nevyplýva zo zákona.

Oprávnenie na získavanie osobných údajov vydáva prevádzkovateľ alebo sprostredkovateľ.

Spracúvanie osobných údajov môže vykonávať iba prevádzkovateľ a sprostredkovateľ. To isté platí aj pri likvidácii osobných údajov.

Sprostredkovateľ je oprávnený vykonávať spracúvanie osobných údajov za podmienok a v rozsahu určených v písomnej zmluve alebo v písomnom poverení.

Prevádzkovateľ musí zabezpečiť, aby sa nespracúvali osobné údaje, ktoré

Prevádzkovateľ po splnení účelu spracovania zabezpečí bezodkladnú likvidáciu osobných údajov, ak osobitný zákon neustanovuje inak⁷.

Pri spracúvaní osobných údajov možno využiť na účely určenia fyzickej osoby všeobecne použiteľný identifikátor, ak je tento upravený osobitným zákonom⁸.

Spracúvať osobitné kategórie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru alebo svetonázor, členstvo v odboroch a údaje týkajúce sa zdravia alebo pohlavného života a odsúdenia, sa zakazuje.

Ustanovenie odseku 1 neplatí, ak

Prevádzkovateľ je povinný zabezpečiť správnosť a aktuálnosť osobných údajov. Za správny sa považuje taký osobný údaj, ktorý sa poskytol v súlade s § 5.

Prevádzkovateľ je povinný spracúvať len také osobné údaje, ktoré obsahom a rozsahom zodpovedajú účelu ich spracovania.

Na zabezpečenie aktuálnosti osobných údajov prevádzkovateľ je povinný opraviť alebo likvidovať tie osobné údaje, ktoré sa v priebehu spracúvania stanú neaktuálnymi.

Prevádzkovateľ a sprostredkovateľ sú povinní zachovávať mlčanlivosť o osobných údajoch, ktoré spracúvajú. Povinnosť mlčanlivosti trvá aj po ukončení spracovania. Povinnosť mlčanlivosti nemajú, ak je to podľa osobitného zákona nevyhnutné pre orgány činné v trestnom konaní; tým nie sú dotknuté ustanovenia osobitných zákonov¹⁰.

Oprávnená osoba má povinnosť mlčanlivosti o osobných údajoch, s ktorými príde do styku; tie nesmie využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmie nikomu sprístupniť.

Povinnosť mlčanlivosti podľa odseku 2 platí aj pre iné fyzické osoby, ktoré v rámci svojej činnosti (napr. údržba a servis technických prostriedkov) prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa.

Povinnosť mlčanlivosti podľa odseku 2 trvá aj po zániku funkcie oprávnenej osoby alebo po ukončení jej pracovného pomeru alebo obdobného pracovného vzťahu.

Ustanovenia odsekov 1 až 4 neplatia vo vzťahu k orgánu štátneho dozoru nad ochranou osobných údajov v informačných systémoch (§ 28 a § 29 ods. 2).

Dotknutá osoba má právo od prevádzkovateľa písomne vyžadovať

Právo dotknutej osoby môže byť obmedzené len podľa odseku 1 písm. c) a d) pod podmienkou, že jeho uplatnením by bola porušená ochrana dotknutej osoby alebo boli porušené práva a slobody iných osôb.

Dotknutá osoba na základe bezplatnej žiadosti má právo namietať voči spracovaniu takých jej osobných údajov, o ktorých predpokladá, že budú spracované na účely priameho marketingu.

Dotknutá osoba má právo nepodrobiť sa rozhodnutiu prevádzkovateľa, ktoré by malo pre ňu právne účinky alebo významný dosah, ak sa takéto rozhodnutie automaticky vydá výlučne na základe úkonov automatizovaného spracúvania jej osobných údajov. Toto právo môže byť obmedzené iba v prípade, ak to ustanovuje osobitný zákon¹¹, v ktorom sú zakotvené opatrenia na zabezpečenie oprávnených záujmov dotknutej osoby.

Dotknutá osoba môže po zistení, že s jej osobnými údajmi sa neoprávnene nakladalo, podať o tom oznámenie orgánu štátneho dozoru (§ 25).

Prevádzkovateľ je povinný poskytnúť dotknutej osobe informácie podľa § 13 ods. 1 písm. a) raz do roka bezplatne, ak o informácie písomne dotknutá osoba požiada; v ďalších prípadoch za dohodnutú cenu¹² alebo za správny poplatok¹³.

Prevádzkovateľ je povinný zabezpečiť splnenie požiadaviek podľa § 13 ods. 1 písm. b) až d) bezplatne.

Prevádzkovateľ je povinný podľa § 13 vyhovieť požiadavkám dotknutej osoby a písomne ju informovať najneskoršie do 30 dní od ich prijatia.

Opravu alebo likvidáciu osobných údajov musí prevádzkovateľ do 30 dní od ich vykonania oznámiť každému, komu ich poskytol.

Od oznámenia možno upustiť, ak sa neoznámením opravy neporušia práva dotknutej osoby.

Za výkon dozoru nad ochranou osobných údajov spracovaných podľa tohto zákona zodpovedá prevádzkovateľ.

Ak prevádzkovateľ zamestnáva viac ako päť osôb, výkonom dozoru písomne poverí zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dohliadajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov; zistenie porušenia sa musí bezodkladne oznámiť prevádzkovateľovi.

Prenos osobných údajov právnickým osobám alebo fyzickým osobám so sídlom alebo s trvalým pobytom v cudzine sa môže vykonať za predpokladu, že cieľová krajina zaručuje primeranú úroveň ochrany. Ten, kto vykonáva prenos osobných údajov, zodpovedá za ich bezpečnosť (§ 10) aj pri tranzite.

Primeranosť úrovne ochrany osobných údajov (odsek 1) sa hodnotí na základe všetkých okolností súvisiacich s prenosom. Osobitne sa pri tom posudzujú príslušné právne predpisy v cieľovej krajine vo vzťahu k povahe osobných údajov, účel a trvanie ich spracúvania.

V prípade, že cieľová krajina nezaručuje primeranú úroveň ochrany, možno prenos vykonať pod podmienkou, že

Na prenos osobných údajov podľa odseku 3 písm. d) sa vyžaduje súhlas orgánu štátneho dozoru (§ 25).

Ochrana osobných údajov prenesených od právnických osôb alebo fyzických osôb so sídlom alebo s trvalým pobytom v cudzine sa musí vykonávať v súlade s ustanoveniami tohto zákona. Prevádzkovateľom môže byť iba subjekt pôsobiaci na území Slovenskej republiky podľa osobitných predpisov¹⁴.

Informačné systémy je povinný prevádzkovateľ registrovať v rozsahu a za podmienok ustanovených týmto zákonom. Registráciu vykonáva Štatistický úrad Slovenskej republiky (ďalej len „úrad“). Úrad vykonáva registráciu bezplatne.

Úrad je povinný na požiadanie poskytnúť všetky informácie týkajúce sa registrácie informačných systémov orgánu štátneho dozoru (§ 25) bezplatne.

Registrácii nepodliehajú informačné systémy, ak

Ustanovenie odseku 3 s výnimkou písmena i) neplatí, ak sa v informačnom systéme spracúvajú osobitné kategórie osobných údajov podľa § 8 ods. 2.

V prípade pochybnosti o tom, či informačný systém podlieha registrácii, rozhodne orgán štátneho dozoru (§ 25).

Za prihlásenie informačného systému na registráciu zodpovedá jeho prevádzkovateľ.

Prevádzkovateľ je povinný prihlásiť informačný systém na registráciu pred začatím spracúvania osobných údajov.

Pri prihlasovaní informačného systému na registráciu je prevádzkovateľ povinný uviesť tieto údaje:

Prevádzkovateľ musí do 15 dní písomne oznámiť úradu akékoľvek zmeny údajov podľa odseku 3, ktoré nastanú v priebehu spracúvania osobných údajov.

Úrad je povinný pred pridelením registračného čísla predložiť na posúdenie orgánu štátneho dozoru (§ 25) údaje podľa § 20 ods. 3.

Orgán štátneho dozoru posúdi, či spracovaním osobných údajov nevzniká nebezpečenstvo narušenia práv a slobôd dotknutých osôb.

V prípade pochybností si orgán štátneho dozoru vyžiada od prevádzkovateľa ďalšie vysvetlenie.

Úrad pridelí registračné číslo (§ 22) až po získaní stanoviska orgánu štátneho dozoru.

Súčasťou registrácie je pridelenie registračného čísla informačnému systému, ktoré prevádzkovateľovi písomne oznámi úrad. Prevádzkovateľ ho uvedie vždy pri akomkoľvek komunikovaní o spracovaných osobných údajoch.

Vydanie náhradného potvrdenia o pridelenom registračnom čísle podlieha spoplatneniu podľa osobitného predpisu¹⁶.

Štátny dozor nad ochranou osobných údajov v informačných systémoch vykonáva splnomocnenec na ochranu osobných údajov v informačných systémoch (ďalej len „splnomocnenec“).

Splnomocnenec pri plnení svojich úloh je nezávislý a je viazaný len zákonom.

Splnomocnenca na návrh predsedu Štatistického úradu Slovenskej republiky vymenúva a odvoláva vláda Slovenskej republiky.

Za splnomocnenca možno vymenovať občiansky bezúhonnú osobu so štátnym občianstvom Slovenskej republiky, s vysokoškolským vzdelaním, s odbornou praxou v oblasti informatiky alebo práva minimálne 10 rokov a s vekom nad 30 rokov.

Splnomocnenec je vymenovaný na obdobie piatich rokov a možno ho vymenovať najviac na dve po sebe nasledujúce obdobia.

Splnomocnencom nemôže byť ten, kto štyri roky spätne, počítajúc odo dňa podania návrhu na splnomocnenca, bol

Funkcia splnomocnenca je verejná funkcia. Platové náležitosti splnomocnenca určuje vláda Slovenskej republiky podľa osobitného predpisu¹⁷. Cestovné náhrady, ktoré vzniknú splnomocnencovi v súvislosti s plnením funkcie, sa poskytujú podľa osobitného predpisu¹⁸.

Splnomocnenec sa počas výkonu svojej funkcie zúčastňuje na zdravotnom poistení¹⁹, nemocenskom poistení a dôchodkovom zabezpečení²⁰ rovnako ako zamestnanec v pracovnom pomere. Zamestnávateľom vo vzťahu k splnomocnencovi na účely zdravotného poistenia, nemocenského poistenia a dôchodkového zabezpečenia je Úrad vlády Slovenskej republiky.

Splnomocnencovi počas výkonu funkcie patrí dovolenka na zotavenie; na jej účely sa primerane použijú ustanovenia osobitného zákona²¹.

Počas výkonu funkcie nesmie splnomocnenec vykonávať inú zárobkovú činnosť s výnimkou vedeckej, pedagogickej, publicistickej, literárnej alebo umeleckej činnosti a správy vlastného majetku.

Počas funkčného obdobia i po jeho skončení je splnomocnenec povinný zachovávať mlčanlivosť o skutočnostiach týkajúcich sa obsahu osobných údajov, o ktorých sa dozvedel počas výkonu svojej funkcie.

Od povinnosti mlčanlivosti môže splnomocnenca pre konkrétny prípad oslobodiť vláda Slovenskej republiky.

Za svoju činnosť zodpovedá splnomocnenec vláde Slovenskej republiky.

Funkcia splnomocnenca zaniká

Splnomocnenca možno z funkcie odvolať len z dôvodu

Výkon úloh splnomocnenca zabezpečuje útvar inšpekcie ochrany osobných údajov (ďalej len „inšpekcia“). Inšpekcia je samostatný útvar Úradu vlády Slovenskej republiky. Zamestnanci inšpekcie sú v pracovnoprávnom vzťahu k Úradu vlády Slovenskej republiky a ich odmeňovanie sa riadi osobitným predpisom¹⁷.

Náklady na výkon úloh splnomocnenca sa uhrádzajú z prostriedkov štátneho rozpočtu Slovenskej republiky. Návrh rozpočtu sa predkladá ako súčasť kapitoly Úradu vlády Slovenskej republiky a meniť ho môže iba Národná rada Slovenskej republiky.

rozhoduje v pochybnostiach o registrácii informačných systémov podľa § 19 ods. 5,

vykonáva predbežnú kontrolu informačných systémov prihlásených na registráciu (§ 20) a posudzuje ich z hľadiska možného nebezpečenstva narušenia práv a slobôd dotknutých osôb (§ 21 ods. 2),

priebežne sleduje stav ochrany osobných údajov v informačných systémoch a ich registráciu,

odporúča prevádzkovateľom opatrenia na zabezpečenie ochrany osobných údajov v informačných systémoch,

kontroluje spracúvanie osobných údajov v informačných systémoch; na ten účel má právo nahliadať do materiálov a získavať odpisy údajov od prevádzkovateľa a sprostredkovateľa,

na požiadanie prevádzkovateľa rozhoduje v prípade pochybnosti pri poskytovaní osobných údajov do zahraničia,

prijíma a vybavuje sťažnosti týkajúce sa porušenia ochrany osobných údajov v informačných systémoch,

pri podozrení z porušenia povinností uložených týmto zákonom môže predvolať prevádzkovateľa alebo sprostredkovateľa s cieľom podať vysvetlenia,

podáva oznámenie²² orgánom činným v trestnom konaní pri podozrení, že ide o trestný čin,

dáva podnety pri zistení porušenia povinností uvedených v tomto zákone,

podieľa sa na príprave všeobecne záväzných právnych predpisov v oblasti ochrany osobných údajov,

riadi činnosť útvaru inšpekcie,

predkladá vláde Slovenskej republiky a Národnej rade Slovenskej republiky správu o stave ochrany osobných údajov v informačných systémoch najmenej raz za jeden rok.

Orgány štátnej správy, obce a prevádzkovatelia sú povinní poskytovať splnomocnencovi potrebnú pomoc pri plnení jeho úloh (§ 28).

Prevádzkovateľ a sprostredkovateľ sú povinní poskytnúť splnomocnencovi pri plnení jeho úloh všetky ním požadované údaje.

Ak sa v dôsledku nesplnenia povinnosti ustanovenej týmto zákonom spôsobila niekomu škoda, poškodený má nárok na primeranú finančnú náhradu²³.

O náhrade škody rozhoduje súd.

Za porušenie povinností vyplývajúcich z tohto zákona (§ 33 a 34) možno ukladať pokuty.

Pokuty podľa odseku 1 ukladá Úrad vlády Slovenskej republiky.

Úrad vlády Slovenskej republiky rozhoduje na základe podnetu splnomocnenca.

spracúva osobné údaje v rozpore s § 4 alebo § 7,

spracúva osobitné kategórie osobných údajov v rozpore s § 8,

vykonáva spracúvanie s nesprávnymi, neaktuálnymi alebo neadekvátnymi osobnými údajmi, alebo osobné údaje po ukončení účelu spracúvania nezlikviduje (§ 9),

nevykoná potrebné opatrenia na ochranu osobných údajov pred odcudzením, stratou, poškodením, neoprávneným prístupom, zmenou alebo šírením (§ 10),

nepoučí právnické osoby a fyzické osoby, ktoré majú prístup k osobným údajom v informačnom systéme (§ 11),

nesplní povinnosť poskytnúť informácie dotknutej osobe (§ 14),

nesplní oznamovaciu povinnosť o oprave osobných údajov (§ 16),

prenesie osobné údaje v rozpore s § 18,

neposkytne požadované údaje (§ 29 ods. 2),

nevyhovie požiadavkám splnomocnenca (§ 37 ods. 1 a 2).

Pokutu do 10 000 Sk možno uložiť dotknutej osobe, ktorá úmyselne poskytne nepravdivé údaje (§ 5).

Pokutu do 500 000 Sk možno uložiť inému ako dotknutej osobe, ak

Na konanie pri ukladaní pokút podľa § 33 a 34 sa vzťahujú všeobecné predpisy o správnom konaní²⁴, ak tento zákon neustanovuje inak.

Pri ukladaní pokút sa prihliadne najmä na závažnosť, čas trvania a následky protiprávneho konania.

Pokutu podľa § 33 a 34 môže Úrad vlády Slovenskej republiky uložiť do jedného roka odo dňa podania podnetu, najneskôr však do dvoch rokov odo dňa, keď došlo k porušeniu povinnosti.

Proti rozhodnutiu o uložení pokuty možno podať rozklad do 15 dní odo dňa jeho doručenia. Rozklad má odkladný účinok. O rozklade rozhodne vedúci Úradu vlády Slovenskej republiky do 30 dní.

Právoplatné rozhodnutie o uložení pokuty je preskúmateľné súdom²⁵.

Pokuta uložená podľa § 33 a 34 je splatná do 30 dní odo dňa, keď rozhodnutie o jej uložení nadobudlo právoplatnosť.

Výnosy z pokút sú príjmom štátneho rozpočtu Slovenskej republiky.

Zaplatením pokuty nie sú dotknuté ustanovenia osobitných predpisov o náhrade škody²⁶.

Prevádzkovateľovi, ktorý nesplní povinnosť registrácie informačného systému obsahujúceho osobné údaje a s tým súvisiace povinnosti vyplývajúce z tohto zákona, možno uložiť pokutu do 500 000 Sk a pri opakovanom nesplnení do 1 000 000 Sk.

Pokutu podľa odseku 1 ukladá úrad na základe podnetu splnomocnenca.

Pri ukladaní pokút podľa odseku 1 sa postupuje podľa ustanovení § 35.

Splnomocnenec pri zistení porušenia povinností podľa § 33 bezodkladne vyzve prevádzkovateľa na ukončenie tej spracovateľskej operácie, ktorou bola porušená povinnosť, alebo na zabezpečenie opatrení požadovaných splnomocnencom.

Prevádzkovateľ je povinný bezodkladne vyhovieť požiadavkám podľa odseku 1 a informovať o tom splnomocnenca.

Ak prevádzkovateľ neukončí vykonávanie príslušnej spracovateľskej operácie alebo nevykoná požadované opatrenia, splnomocnenec zverejní názov, adresu a identifikačné číslo prevádzkovateľa a charakteristiku skutkového stavu porušenia ochrany osobných údajov.

Podrobnosti o spôsobe, forme a postupe pri registrácii informačného systému upraví všeobecne záväzný právny predpis, ktorý vydá úrad.

Podrobnosti o postavení splnomocnenca upraví štatút, ktorý na návrh splnomocnenca schvaľuje vláda Slovenskej republiky.

vnútorného poriadku a bezpečnosti, alebo

obrany, alebo

ochrany utajovaných skutočností, alebo

trestného stíhania, alebo

dôležitého ekonomického alebo finančného záujmu štátu vrátane menových, rozpočtových a daňových záležitostí, alebo

ochrany dotknutej osoby alebo práv a slobôd iných osôb.