Tento zákon upravuje

Tento zákon sa vzťahuje na orgány štátnej správy, orgány územnej samosprávy, iné orgány verejnej moci, ako aj na ostatné právnické osoby a fyzické osoby, ktoré spracúvajú osobné údaje, určujú účel a prostriedky spracúvania alebo poskytujú osobné údaje na spracúvanie.

Tento zákon sa vzťahuje aj na prevádzkovateľov, ktorí nemajú sídlo alebo trvalý pobyt na území

Tento zákon sa vzťahuje na osobné údaje systematicky spracúvané úplne alebo čiastočne automatizovanými prostriedkami spracúvania alebo inými ako automatizovanými prostriedkami spracúvania, ktoré sú súčasťou informačného systému alebo sú určené na spracúvanie v informačnom systéme.

Ustanovenia § 5 ods. 4, § 6 ods. 1 až 4, § 10 ods. 1, 2 a 8, § 20 ods. 1, § 27 a 32 sa nevzťahujú na spracúvanie osobných údajov nevyhnutných na zabezpečenie verejného záujmu, ak prevádzkovateľ plní povinnosti výslovne ustanovené osobitným zákonom určené na zaistenie

Prevádzkovateľom registra o osobách právoplatne odsúdených súdmi v trestnom konaní, ako aj o osobách, proti ktorým bolo prokurátormi alebo súdmi právoplatne rozhodnuté o podmienečnom zastavení trestného stíhania alebo o schválení zmieru, môže byť len štátny orgán ustanovený osobitným zákonom.¹

Na účely tohto zákona sa ďalej rozumie

Prevádzkovateľom je orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická osoba alebo fyzická osoba, ktorá sama alebo spoločne s inými určuje účel a prostriedky spracúvania osobných údajov. Ak účel, prípadne aj prostriedky spracúvania osobných údajov ustanovuje osobitný zákon, prevádzkovateľom je ten, koho na plnenie účelu spracúvania ustanoví zákon alebo kto splní zákonom ustanovené podmienky. To platí aj vtedy, ak tak ustanovuje právny akt Európskych spoločenstiev a Európskej únie.

Sprostredkovateľom je orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická osoba alebo fyzická osoba, ktorá spracúva osobné údaje v mene prevádzkovateľa alebo zástupcu prevádzkovateľa.

Oprávnenou osobou je každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovnoprávneho vzťahu, štátnozamestnaneckého pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania alebo v rámci výkonu verejnej funkcie, ktorá môže osobné údaje spracúvať len na základe pokynu prevádzkovateľa, zástupcu prevádzkovateľa alebo sprostredkovateľa, ak tento zákon alebo osobitný zákon neustanovuje inak.

Dotknutou osobou je každá fyzická osoba, o ktorej sa spracúvajú osobné údaje.

Zástupcom prevádzkovateľa je právnická osoba alebo fyzická osoba, ktorá na území Slovenskej republiky zastupuje prevádzkovateľa so sídlom alebo s trvalým pobytom v tretej krajine.

Treťou stranou je orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická osoba alebo fyzická osoba iná ako dotknutá osoba, vlastný prevádzkovateľ alebo zástupca prevádzkovateľa, jeho sprostredkovateľ a ich oprávnené osoby.

Príjemcom je orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická osoba alebo fyzická osoba, ktorej sú osobné údaje poskytnuté alebo sprístupnené; prevádzkovateľ, ktorý je oprávnený spracúvať osobné údaje na základe § 2 ods. 1 písm. f) a úrad pri plnení úloh ustanovených týmto zákonom, sa nepovažuje za príjemcu.

Osobné údaje môže spracúvať iba prevádzkovateľ a sprostredkovateľ.

Sprostredkovateľ je oprávnený spracúvať osobné údaje len v rozsahu a za podmienok dojednaných s prevádzkovateľom v písomnej zmluve alebo v písomnom poverení. Sprostredkovateľ je oprávnený spracúvať osobné údaje len v rozsahu a za podmienok dojednaných s prevádzkovateľom alebo so súhlasom prevádzkovateľa aj so sprostredkovateľom v písomnej zmluve, alebo v písomnom poverení.

Prevádzkovateľ dbá pri výbere sprostredkovateľa najmä na jeho záruky, pokiaľ ide o opatrenia v oblasti technickej, organizačnej a personálnej bezpečnosti (§ 15 ods. 1). Prevádzkovateľ nesmie zveriť spracúvanie osobných údajov sprostredkovateľovi, ak by tým mohli byť ohrozené práva a právom chránené záujmy dotknutých osôb.

Ak prevádzkovateľ poveril spracúvaním sprostredkovateľa až po získaní osobných údajov, oznámi to dotknutým osobám pri najbližšom kontakte s nimi, najneskôr však do troch mesiacov od poverenia sprostredkovateľa. To platí aj vtedy, ak spracúvanie osobných údajov prevezme iný prevádzkovateľ.

Zástupca prevádzkovateľa je povinný konať v rozsahu práv a povinností ustanovených týmto zákonom prevádzkovateľovi. Ustanovenia tohto zákona, podľa ktorých ukladá úrad prevádzkovateľovi, aby niečo vykonal, niečoho sa zdržal alebo niečo strpel, sa rovnako vzťahujú aj na zástupcu prevádzkovateľa.

Prevádzkovateľ je povinný

Prevádzkovateľ nemá povinnosť podľa odseku 1 písm. a) len vtedy, ak účel spracúvania osobných údajov ustanovuje osobitný zákon v súlade s podmienkami uvedenými v odseku 1 písm. a). Prevádzkovateľ nemá povinnosť určiť prostriedky a spôsob spracúvania osobných údajov podľa odseku 1 písm. b) len vtedy, ak ich ustanovuje všeobecne záväzný právny predpis. Ostatné povinnosti podľa odseku 1 písm. c) až h) a písm. i) časti vety pred bodkočiarkou, je prevádzkovateľ povinný dodržiavať aj počas spracúvania osobných údajov na základe osobitného zákona; týmto nie je dotknuté ustanovenie § 7 ods. 6 prvej vety vrátane jej časti za bodkočiarkou.

Ďalšie spracúvanie zhromaždených osobných údajov na historické, vedecké alebo štatistické účely sa nepovažuje za nezlučiteľné s pôvodným účelom spracúvania vymedzeným v súlade s odsekom 1 písm. a) alebo ustanoveným podľa odseku 2 prvej vety. Po skončení pôvodného účelu spracúvania je prípustné zhromaždené osobné údaje ďalej spracúvať v nevyhnutnom rozsahu na historické, vedecké alebo štatistické účely len vtedy, ak prevádzkovateľ

Prevádzkovateľ, ktorý poveril spracúvaním osobných údajov sprostredkovateľa, je povinný zabezpečiť, aby sprostredkovateľ dodržiaval povinnosti ustanovené v odseku 1 písm. c) až i) a odseku 3.

V prípade pochybnosti o tom, či spracúvané osobné údaje svojím rozsahom, obsahom a spôsobom spracúvania alebo využívania zodpovedajú účelu ich spracúvania, či sú s daným účelom spracúvania zlučiteľné alebo časovo a vecne neaktuálne vo vzťahu k tomuto účelu, rozhodne úrad. Stanovisko úradu je záväzné.

Osobné údaje možno spracúvať len so súhlasom dotknutej osoby, ak tento zákon neustanovuje inak. Týmto nie sú dotknuté ustanovenia odseku 5 prvej vety, § 8 ods. 4 písm. b), § 9 ods. 1, § 9 ods. 1 písm. b) a c), § 10 ods. 6, § 23 ods. 4 písm. a) a § 23 ods. 5.

Ak prevádzkovateľ spracúva osobné údaje na základe súhlasu dotknutej osoby, je povinný v prípade pochybností preukázať úradu kedykoľvek na jeho žiadosť, že súhlasom disponuje. Súhlas sa preukazuje zvukovým alebo zvukovo-obrazovým záznamom alebo čestným vyhlásením toho, kto poskytol osobné údaje do informačného systému, prípadne iným hodnoverným spôsobom. Písomný súhlas preukazuje prevádzkovateľ úradu dokladom, ktorý potvrdzuje poskytnutie súhlasu. Dôkaz o súhlase obsahuje najmä údaj o tom, kto súhlas poskytol, komu sa tento súhlas dáva, na aký účel, zoznam alebo rozsah osobných údajov, dobu platnosti súhlasu a podmienky jeho odvolania. Súhlas daný v písomnej forme je bez vlastnoručného podpisu toho, kto súhlas dáva, neplatný.

Súhlas podľa odseku 1 sa nevyžaduje, ak sa osobné údaje spracúvajú na základe osobitného zákona,⁴ ktorý ustanovuje zoznam osobných údajov, účel ich spracúvania a okruh dotknutých osôb. Spracúvané osobné údaje o dotknutej osobe možno z informačného systému poskytnúť, sprístupniť alebo zverejniť len vtedy, ak osobitný zákon ustanovuje účel poskytovania, sprístupňovania alebo zverejňovania, zoznam osobných údajov, ktoré možno poskytnúť, sprístupniť alebo zverejniť, ako aj tretie strany, ktorým sa osobné údaje poskytujú, prípadne okruh príjemcov, ktorým sa osobné údaje sprístupňujú, ak tento zákon neustanovuje inak. Týmto nie je dotknuté ustanovenie § 9 ods. 1 písm. a).

Ďalej bez súhlasu uvedeného v odseku 1 možno osobné údaje spracúvať len vtedy, ak

Osobné údaje o dotknutej osobe možno získať od inej osoby a spracúvať v informačnom systéme len s predchádzajúcim písomným súhlasom dotknutej osoby. To neplatí, ak poskytnutím osobných údajov o dotknutej osobe do informačného systému iná osoba chráni svoje zákonné práva alebo právom chránené záujmy, alebo oznamuje skutočnosti, ktoré odôvodňujú uplatnenie právnej zodpovednosti dotknutej osoby, alebo sa osobné údaje spracúvajú na základe osobitného zákona podľa odseku 3 alebo § 9 ods. 1 písm. a). Ten, kto takto osobné údaje spracúva, musí vedieť preukázať úradu kedykoľvek na jeho žiadosť, že ich získal v súlade s týmto zákonom.

Zoznam osobných údajov podľa odseku 3 a § 9 ods. 1 písm. a) možno nahradiť rozsahom osobných údajov len vtedy, ak vzhľadom na účel spracúvania osobných údajov ustanovený v osobitnom zákone sa nedajú vopred konkrétne určiť jednotlivé osobné údaje, ktoré majú byť predmetom spracúvania; prevádzkovateľ je povinný pri takomto spracúvaní osobných údajov postupovať podľa § 6 ods. 1 písm. d) s výnimkou tých prevádzkovateľov, ktorí spracúvajú osobné údaje na účely súdneho konania a v súvislosti s ním. Zoznam tretích strán podľa odseku 3 a § 9 ods. 1 písm. a) možno nahradiť určením okruhu tretích strán len vtedy, ak vzhľadom na povahu veci nemožno vopred špecifikovať jednotlivé tretie strany, ktorým sa osobné údaje poskytujú, alebo ak tretie strany tvoria skupinu subjektov s rovnakým predmetom činnosti a vykonávajú spracúvanie osobných údajov na rovnaký alebo rovnaké účely, prípadne ak zloženie takejto skupiny podlieha neustálej zmene.

Ten, kto mieni zverejniť osobné údaje dotknutej osoby, nesmie svojím konaním neoprávnene zasahovať do práva na ochranu jej osobnosti a súkromia; ich zverejnenie nesmie byť v rozpore s oprávnenými záujmami dotknutej osoby.⁷

Ak dotknutá osoba nemá spôsobilosť na právne úkony v plnom rozsahu,⁸ súhlas vyžadovaný podľa tohto zákona môže poskytnúť jej zákonný zástupca.⁹

Ak dotknutá osoba nežije, súhlas vyžadovaný podľa tohto zákona môže poskytnúť jej blízka osoba.¹⁰ Súhlas nie je platný, ak čo len jedna blízka osoba písomne vyslovila nesúhlas.

Ustanovenie odseku 6 sa použije aj v prípadoch, keď sa postupuje podľa § 5 ods. 2 alebo § 10 ods. 1 alebo 2.

Osobné údaje dotknutej osoby možno poskytnúť z informačného systému inej právnickej osobe, fyzickej osobe, prípadne subjektu v cudzine len spolu s písomným dokladom o danom súhlase, ak tento zákon takýto súhlas vyžaduje; ten, kto osobné údaje takto poskytuje, môže písomný doklad o danom súhlase nahradiť písomným vyhlásením prevádzkovateľa o udelení súhlasu dotknutými osobami, ak prevádzkovateľ vie preukázať, že písomný súhlas dotknutých osôb bol daný.

Osobné údaje podľa odseku 4 písm. c) a podľa § 9 ods. 1 písm. b) možno spracúvať bez súhlasu dotknutej osoby len po dobu, kým nezaniknú dôvody, ktoré neumožňovali získať súhlas dotknutej osoby. Ak dôvody zanikli, ten kto osobné údaje spracúva, zabezpečí súhlas dotknutej osoby.

Ten, kto tvrdí, že spracúva zverejnené osobné údaje, na požiadanie preukáže úradu, že spracúvané osobné údaje boli už zverejnené.

Užívateľ môže sprístupnené osobné údaje o dotknutej osobe spracúvať len pre vlastnú potrebu výlučne v rámci osobných alebo domácich činností.

Spracúvať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru alebo svetonázor, členstvo v politických stranách alebo politických hnutiach, členstvo v odborových organizáciách a údaje týkajúce sa zdravia alebo pohlavného života, sa zakazuje.

Pri spracúvaní osobných údajov možno využiť na účely určenia fyzickej osoby všeobecne použiteľný identifikátor ustanovený osobitným zákonom¹¹ len vtedy, ak jeho použitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Spracúvať iný identifikátor, ktorý v sebe skrýva charakteristiky dotknutej osoby, alebo zverejňovať všeobecne použiteľný identifikátor sa zakazuje.

Spracúvanie osobných údajov o porušení ustanovení predpisov trestného práva, priestupkového práva alebo občianskeho práva, ako aj o výkone právoplatných rozsudkov alebo rozhodnutí môže vykonávať len ten, komu to umožňuje osobitný zákon.¹²

Spracúvanie biometrických údajov možno vykonávať len za podmienok ustanovených v osobitnom zákone, ak

Spracúvanie osobných údajov o psychickej identite fyzickej osoby alebo o jej psychickej pracovnej spôsobilosti môže vykonávať len psychológ alebo ten, komu to umožňuje osobitný zákon.¹³

Zákaz spracúvania osobných údajov ustanovený v § 8 ods. 1 neplatí, ak dotknutá osoba dala písomný súhlas na ich spracúvanie alebo ak

Písomný súhlas dotknutej osoby daný podľa odseku 1 je neplatný, ak jeho poskytnutie vylučuje osobitný zákon.

Ustanovenie § 8 ods. 4 sa nepoužije, ak sa spracúvajú biometrické údaje s výnimkou analýzy deoxyribonukleovej kyseliny a profilu deoxyribonukleovej kyseliny fyzických osôb na účely evidencie alebo identifikácie vstupu do citlivých, osobitne chránených objektov, vyhradených priestorov alebo prístupu do technických zariadení alebo prístrojov s vysokou mierou rizika a ak ide výlučne o vnútornú potrebu prevádzkovateľa.

Prevádzkovateľ, ktorý mieni získať od dotknutej osoby jej osobné údaje, je povinný najneskôr pri ich získavaní informovať dotknutú osobu a bez vyzvania jej vopred oznámiť

Ak osobné údaje o dotknutej osobe nezískal prevádzkovateľ priamo od tejto dotknutej osoby, je povinný bez zbytočného odkladu, najneskôr však v čase pred ich prvým poskytnutím tretej strane, ak sa takéto poskytovanie predpokladalo už pri získavaní osobných údajov, oznámiť dotknutej osobe informácie podľa odseku 1 písm. a) až c) a ďalšie doplňujúce informácie v takom rozsahu, v akom sú s ohľadom na všetky okolnosti spracúvania osobných údajov potrebné pre dotknutú osobu na zaručenie jej práv a právom chránených záujmov, najmä právo byť informovaná o podmienkach spracúvania svojich osobných údajov

Informácie podľa odseku 1 netreba dotknutej osobe oznamovať, ak s ohľadom na všetky okolnosti vie prevádzkovateľ úradu kedykoľvek na jeho žiadosť preukázať, že v čase získavania osobných údajov boli všetky potrebné informácie dotknutej osobe už známe. Informácie podľa odseku 2 netreba dotknutej osobe oznamovať, ak

Prevádzkovateľ, ktorý získava osobné údaje na účely identifikácie fyzickej osoby pri jej jednorazovom vstupe do jeho priestorov, je oprávnený od nej požadovať meno, priezvisko, titul a číslo občianskeho preukazu¹⁴ alebo číslo služobného preukazu, alebo číslo cestovného dokladu,¹⁵ štátnu príslušnosť a preukázanie pravdivosti poskytnutých osobných údajov predkladaným dokladom. Ak sa fyzická osoba preukáže podľa osobitného zákona,¹⁶ je prevádzkovateľ oprávnený od nej požadovať len evidenčné číslo služobného preukazu. V týchto prípadoch sa odsek 1 nepoužije.

Prevádzkovateľ alebo sprostredkovateľ, ktorý v priestoroch prístupných verejnosti získava, poskytuje alebo sprístupňuje osobné údaje, zabezpečí diskrétnosť pri ich spracúvaní.

Získavať osobné údaje nevyhnutné na dosiahnutie účelu spracúvania kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií možno len vtedy, ak s tým dotknutá osoba písomne súhlasí alebo ak to osobitný zákon výslovne umožňuje bez súhlasu dotknutej osoby.¹⁷ Súhlas dotknutej osoby si prevádzkovateľ ani sprostredkovateľ nesmú vynucovať ani podmieňovať hrozbou odmietnutia zmluvného vzťahu, služby, tovaru alebo povinnosti ustanovenej prevádzkovateľovi alebo sprostredkovateľovi zákonom.

Priestor prístupný verejnosti možno monitorovať pomocou videozáznamu alebo audiozáznamu len na účely verejného poriadku a bezpečnosti, odhaľovania kriminality alebo narušenia bezpečnosti štátu, a to len vtedy, ak priestor je zreteľne označený ako monitorovaný. Označenie monitorovaného priestoru sa nevyžaduje, ak tak ustanovuje osobitný zákon. Vyhotovený záznam možno využiť len na účely trestného konania alebo konania o priestupkoch, ak osobitný zákon neustanovuje inak.

Prevádzkovateľ, ktorý získa osobné údaje uvedené v § 7 ods. 4 písm. d) bez vedomia dotknutej osoby alebo priamo od nej, poskytne jej pri prvom kontakte informácie podľa odseku 1 a ak sú spracúvané na účely priameho marketingu, oboznámi ju aj s právom písomne namietať proti ich poskytovaniu a využívaniu v poštovom styku.

Prevádzkovatelia, ktorých predmetom činnosti je priamy marketing, vedú zoznam poskytnutých osobných údajov podľa § 7 ods. 4 písm. d) v rozsahu meno, priezvisko, titul a adresa dotknutej osoby, dátum ich poskytnutia, prípadne dátum, od ktorého platí zákaz ich ďalšieho poskytovania podľa § 13 ods. 6, a názov právnickej osoby alebo fyzickej osoby, ktorej boli uvedené osobné údaje poskytnuté. Zoznam v rovnakom rozsahu vedú aj právnické osoby a fyzické osoby, ktorým boli tieto osobné údaje poskytnuté.

Správnosť a aktuálnosť osobných údajov zabezpečuje prevádzkovateľ. Za správny sa považuje taký osobný údaj, ktorý sa poskytol v súlade s § 11.

Osobný údaj sa považuje za správny, kým sa nepreukáže opak.

Prevádzkovateľ po splnení účelu spracúvania zabezpečí bezodkladne likvidáciu osobných údajov.

Prevádzkovateľ zabezpečí bezodkladne likvidáciu osobných údajov okrem osobných údajov uvedených v § 7 ods. 4 písm. d) aj vtedy, ak

Odsek 1 sa nepoužije, ak

Úschovné lehoty písomných, obrazových, zvukových a iných záznamov, ktoré obsahujú osobné údaje a sú zaradené do predarchívnej starostlivosti, možno stanoviť len na dobu nevyhnutnú na uplatnenie práv alebo povinností ustanovených zákonom.²¹

Ak dotknutá osoba uplatní námietku podľa § 20 ods. 3 písm. b), prevádzkovateľ bezodkladne skončí využívanie osobných údajov uvedených v § 7 ods. 4 písm. d) v poštovom styku.

Ak dotknutá osoba uplatní námietku podľa § 20 ods. 3 písm. c), prevádzkovateľ to bezodkladne písomne oznámi každému, komu osobné údaje uvedené v § 7 ods. 4 písm. d) poskytol; zákaz ďalšieho poskytovania tu uvedených osobných údajov platí pre prevádzkovateľa a každého, komu ich prevádzkovateľ poskytol odo dňa nasledujúceho po dni doručenia námietky dotknutej osoby, prípadne doručenia písomného oznámenia prevádzkovateľa.

Ak vyhotovený záznam podľa § 10 ods. 7 nie je využitý na účely trestného konania alebo konania o priestupkoch, ten, kto ho vyhotovil, ho zlikviduje najneskôr v lehote siedmich dní odo dňa nasledujúceho po dni, v ktorom bol záznam vyhotovený, ak osobitný zákon neustanovuje inak.

Opravu alebo likvidáciu osobných údajov oznámi prevádzkovateľ do 30 dní od ich vykonania dotknutej osobe a každému, komu ich poskytol.

Od oznámenia možno upustiť, ak sa neoznámením opravy alebo likvidácie osobných údajov neporušia práva dotknutej osoby.

Za bezpečnosť osobných údajov zodpovedá prevádzkovateľ a sprostredkovateľ tým, že ich chráni pred náhodným, ako aj nezákonným poškodením a zničením, náhodnou stratou, zmenou, nedovoleným prístupom a sprístupnením, ako aj pred akýmikoľvek inými neprípustnými formami spracúvania. Na tento účel prijme primerané technické, organizačné a personálne opatrenia zodpovedajúce spôsobu spracúvania, pričom berie do úvahy najmä

Opatrenia podľa odseku 1 prijme prevádzkovateľ a sprostredkovateľ vo forme bezpečnostného projektu informačného systému (ďalej len „bezpečnostný projekt") a zabezpečí jeho vypracovanie, ak

Na požiadanie úradu prevádzkovateľ a sprostredkovateľ preukážu rozsah a obsah prijatých technických, organizačných a personálnych opatrení podľa odseku 1 alebo 2.

Ak sú predmetom kontroly informačné systémy podľa odseku 2, úrad má právo požadovať od prevádzkovateľa alebo sprostredkovateľa predloženie hodnotiacej správy o výsledku auditu bezpečnosti informačného systému (ďalej len „hodnotiaca správa"), ak sú vážne pochybnosti o jeho bezpečnosti alebo o praktickom uplatňovaní opatrení uvedených v bezpečnostnom projekte. Hodnotiacu správu, nie staršiu ako dva roky, bezodkladne predloží prevádzkovateľ alebo sprostredkovateľ úradu, inak zabezpečí vykonanie auditu bezpečnosti informačného systému na vlastné náklady a predloží hodnotiacu správu najneskôr do troch mesiacov odo dňa uloženia povinnosti.

Audit bezpečnosti informačného systému môže vykonať iba externá, odborne spôsobilá právnická osoba alebo fyzická osoba, ktorá sa nepodieľala na vypracovaní bezpečnostného projektu predmetného informačného systému, a nie sú pochybnosti o jej nezaujatosti.

Bezpečnostný projekt vymedzuje rozsah a spôsob technických, organizačných a personálnych opatrení potrebných na eliminovanie a minimalizovanie hrozieb a rizík pôsobiacich na informačný systém z hľadiska narušenia jeho bezpečnosti, spoľahlivosti a funkčnosti.

Bezpečnostný projekt sa spracúva v súlade so základnými pravidlami bezpečnosti informačného systému vydanými bezpečnostnými štandardmi, právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná.

Bezpečnostný projekt obsahuje najmä

Bezpečnostný zámer vymedzuje základné bezpečnostné ciele, ktoré je potrebné dosiahnuť na ochranu informačného systému pred ohrozením jeho bezpečnosti, a obsahuje najmä

Analýza bezpečnosti informačného systému je podrobný rozbor stavu bezpečnosti informačného systému, ktorá obsahuje najmä

Bezpečnostné smernice upresňujú a aplikujú závery vyplývajúce z bezpečnostného projektu na konkrétne podmienky prevádzkovaného informačného systému a obsahujú najmä

Prevádzkovateľ a sprostredkovateľ sú povinní zachovávať mlčanlivosť o osobných údajoch, ktoré spracúvajú. Povinnosť mlčanlivosti trvá aj po ukončení spracovania. Povinnosť mlčanlivosti nemajú, ak je to podľa osobitného zákona nevyhnutné na plnenie úloh orgánov činných v trestnom konaní; tým nie sú dotknuté ustanovenia osobitných zákonov.²²

Oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými príde do styku; tie nesmie využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmie zverejniť a nikomu poskytnúť ani sprístupniť.

Povinnosť mlčanlivosti podľa odseku 2 platí aj pre iné fyzické osoby, ktoré v rámci svojej činnosti (napr. údržba a servis technických prostriedkov) prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa.

Povinnosť mlčanlivosti podľa odseku 2 trvá aj po zániku funkcie oprávnenej osoby alebo po skončení jej pracovného pomeru alebo obdobného pracovného vzťahu, ako aj štátnozamestnaneckého pomeru alebo vzťahu podľa odseku 3.

Odseky 1 až 4 a ustanovená povinnosť mlčanlivosti prevádzkovateľov, sprostredkovateľov a oprávnených osôb podľa osobitných predpisov²³ sa nepoužijú vo vzťahu k úradu pri plnení jeho úloh (§ 38 až 44).

Za výkon dohľadu nad ochranou osobných údajov spracúvaných podľa tohto zákona zodpovedá prevádzkovateľ.

Ak prevádzkovateľ zamestnáva viac ako päť osôb, výkonom dohľadu písomne poverí zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dozerajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov.

Odborné vyškolenie zodpovednej osoby alebo viacerých zodpovedných osôb zabezpečí prevádzkovateľ. Rozsah odborného školenia zodpovedá najmä obsahu tohto zákona a úlohám z neho vyplývajúcim, ako aj obsahu medzinárodných zmlúv o ochrane osobných údajov,²⁴ ktoré boli vyhlásené spôsobom ustanoveným zákonom. Úrad môže od prevádzkovateľa žiadať podanie dôkazu o vykonanom odbornom školení.

Zodpovedná osoba posúdi pred začatím spracúvania osobných údajov v informačnom systéme, či ich spracúvaním nevzniká nebezpečenstvo narušenia práv a slobôd dotknutých osôb. Zistenie narušenia práv a slobôd dotknutých osôb pred začatím spracúvania alebo porušenia zákonných ustanovení v priebehu spracúvania osobných údajov zodpovedná osoba bezodkladne písomne oznámi prevádzkovateľovi; ak prevádzkovateľ po upozornení bezodkladne nevykoná nápravu, oznámi to zodpovedná osoba úradu.

Prevádzkovateľ, ktorý písomne poveril výkonom dohľadu nad ochranou osobných údajov zodpovednú osobu, je povinný o tom písomne informovať úrad bez zbytočného odkladu, najneskôr do 30 dní odo dňa poverenia zodpovednej osoby doporučenou zásielkou. Prevádzkovateľ oznámi úradu tieto údaje:

Prevádzkovateľ oznámi úradu poverenie jednej zodpovednej osoby, a to aj vtedy, ak výkonom dohľadu nad ochranou osobných údajov súčasne poveril viac zodpovedných osôb. Ak prevádzkovateľ nahradí zodpovednú osobu, ktorú nahlásil úradu, inou zodpovednou osobou, postupuje podľa odseku 5.

Zodpovedná osoba zabezpečuje

Prevádzkovateľ, ktorý zamestnáva menej ako šesť osôb, môže výkonom dohľadu nad ochranou osobných údajov písomne poveriť zodpovednú osobu, ktorá dozerá na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov.

Prevádzkovateľ, ktorý zamestnáva menej ako šesť osôb a výkonom dohľadu nad ochranou osobných údajov písomne nepoveril zodpovednú osobu, je povinný prihlásiť na registráciu tie informačné systémy, ktoré podľa tohto zákona podliehajú registrácii podľa § 25.

Prevádzkovateľ je povinný umožniť zodpovednej osobe nezávislý výkon dohľadu nad ochranou osobných údajov a prijať jej oprávnené návrhy; upozornenie na nedostatky alebo vyslovenie požiadavky zodpovednou osobou v súvislosti s plnením jej povinností podľa odseku 7 sa nesmie stať podnetom ani dôvodom na konanie zo strany prevádzkovateľa, ktoré by zodpovednej osobe spôsobilo ujmu.

Úrad je oprávnený uložiť prevádzkovateľovi povinnosť písomne poveriť dohľadom nad ochranou osobných údajov inú zodpovednú osobu, ak sa preukáže, že písomne poverená zodpovedná osoba neplnila alebo nedostatočne plnila povinnosti podľa odseku 7, alebo práva a povinnosti uložené prevádzkovateľovi týmto zákonom nesprávne posudzovala alebo ich nesprávne uplatňovala v praxi, alebo nespĺňa podmienky ustanovené v odseku 12. Prevádzkovateľ je povinný bez zbytočného odkladu úradu vyhovieť a dohľadom písomne poveriť inú zodpovednú osobu; ak tomu bránia dôvody hodné osobitného zreteľa, ktoré vie prevádzkovateľ úradu hodnoverne preukázať, úrad určí prevádzkovateľovi lehotu, dokedy je povinný vymeniť zodpovednú osobu, prípadne prihlásiť informačné systémy na registráciu.

Zodpovednou osobou môže byť len fyzická osoba, ktorá má spôsobilosť na právne úkony v plnom rozsahu a spĺňa podmienku bezúhonnosti podľa § 35 ods. 4 prvej vety; bezúhonnosť sa preukazuje doložením výpisu z registra trestov nie starším ako tri mesiace, ktorý je prevádzkovateľ povinný uchovávať počas doby výkonu funkcie zodpovednej osoby. Zodpovednou osobou nemôže byť fyzická osoba, ktorá je štatutárnym orgánom prevádzkovateľa a fyzická osoba, ktorá je oprávnená konať v mene štatutárneho orgánu prevádzkovateľa. Zodpovedná osoba má postavenie oprávnenej osoby prevádzkovateľa.

Dotknutá osoba má právo na základe písomnej žiadosti od prevádzkovateľa vyžadovať

Právo dotknutej osoby možno obmedziť len podľa odseku 1 písm. d) a e), ak takéto obmedzenie vyplýva z osobitného zákona alebo jeho uplatnením by bola porušená ochrana dotknutej osoby, alebo by boli porušené práva a slobody iných osôb.

Dotknutá osoba na základe bezplatnej písomnej žiadosti má právo u prevádzkovateľa namietať voči

Dotknutá osoba na základe bezplatnej písomnej žiadosti alebo osobne, ak vec neznesie odklad, má právo u prevádzkovateľa kedykoľvek namietať

Dotknutá osoba má právo nesúhlasiť s rozhodnutím prevádzkovateľa podľa § 23 ods. 5 a odmietnuť prenos svojich osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, ak sa má prenos vykonať na základe § 23 ods. 4 písm. a).

Dotknutá osoba pri podozrení, že jej osobné údaje sa neoprávnene spracúvajú, môže podať o tom oznámenie úradu.

Ak dotknutá osoba nemá spôsobilosť na právne úkony v plnom rozsahu,⁸ jej práva môže uplatniť zákonný zástupca.⁹

Ak dotknutá osoba nežije, jej práva, ktoré mala podľa tohto zákona, môže uplatniť blízka osoba.¹⁰

Požiadavky dotknutej osoby podľa § 20 ods. 1 písm. a), d) až f) splní prevádzkovateľ bezplatne.

Informácie podľa § 20 ods. 1 písm. b) a c) prevádzkovateľ poskytne dotknutej osobe bezplatne s výnimkou úhrady vo výške, ktorá nesmie prekročiť výšku materiálnych nákladov spojených so zhotovením kópií, so zadovážením technických nosičov a s odoslaním informácie dotknutej osobe, ak osobitný zákon neustanovuje inak.²⁶

Prevádzkovateľ vyhovie požiadavkám dotknutej osoby podľa § 20 a písomne ju informuje najneskoršie do 30 dní od ich prijatia.

Ak tretia krajina zaručuje primeranú úroveň ochrany osobných údajov, prenos osobných údajov do tejto tretej krajiny možno vykonať za predpokladu, že dotknutej osobe boli poskytnuté informácie podľa § 10 ods. 1 alebo 2, alebo bola splnená niektorá z podmienok uvedených v § 10 ods. 3.

Primeranosť úrovne ochrany osobných údajov sa hodnotí na základe všetkých okolností súvisiacich s prenosom. Osobitne sa pritom posudzujú príslušné právne predpisy v cieľovej krajine vo vzťahu k povahe osobných údajov, účel a trvanie ich spracúvania.

Prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, možno vykonať len vtedy, ak sa takýto prenos uskutočňuje na základe rozhodnutia Európskej komisie alebo ak je splnená niektorá z podmienok uvedených v odseku 4.

V prípade, že cieľová krajina nezaručuje primeranú úroveň ochrany, možno prenos vykonať pod podmienkou, že

Ak sa prevádzkovateľ rozhodne vykonať prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany až po ich získaní, oznámi dotknutej osobe pred prenosom osobných údajov dôvod svojho rozhodnutia a oboznámi ju s právom odmietnuť takýto prenos podľa § 20 ods. 5, ak sa má prenos vykonať pod podmienkou uvedenou v odseku 4 písm. a); prevádzkovateľ je oprávnený vykonať navrhovaný prenos osobných údajov až po obdržaní písomného súhlasu dotknutej osoby.

Ak prevádzkovateľ poverí spracúvaním osobných údajov subjekt v cudzine, ktorý ich spracúva v mene prevádzkovateľa, ten je oprávnený spracúvať osobné údaje len v rozsahu a za podmienok dojednaných s prevádzkovateľom v písomnej zmluve. Obsah zmluvy musí byť vypracovaný v súlade so štandardnými zmluvnými podmienkami ustanovenými na prenos osobných údajov subjektom v cudzine, ktoré ich spracúvajú v mene prevádzkovateľa.

Na prenos osobných údajov podľa odseku 6 sa vyžaduje súhlas úradu.

Ten, kto vykonáva prenos osobných údajov, zaručí ich bezpečnosť (§ 15 ods. 1) aj pri tranzite.

Ochrana osobných údajov, prenesených na územie Slovenskej republiky od subjektov so sídlom alebo s trvalým pobytom v cudzine, sa vykonáva v súlade s týmto zákonom.

V prípade pochybnosti o tom, či možno vykonať cezhraničný tok osobných údajov, rozhodne úrad. Stanovisko úradu je záväzné.

Zriaďuje sa Úrad na ochranu osobných údajov Slovenskej republiky, ktorý je orgánom štátnej správy s celoslovenskou pôsobnosťou so sídlom v Bratislave.

Úrad ako štátny orgán vykonáva dozor nad ochranou osobných údajov nezávisle a podieľa sa na ochrane základných práv a slobôd fyzických osôb pri spracúvaní ich osobných údajov.

Ak osobné údaje spracúvajú spravodajské služby, dozor nad ochranou osobných údajov podľa odseku 2 vykonáva Národná rada Slovenskej republiky podľa osobitného zákona.²⁷

Úrad plní oznamovaciu povinnosť voči Európskej komisii v oblasti ochrany osobných údajov.

Úrad prijíma opatrenia na vykonanie rozhodnutí Európskej komisie vydaných v oblasti ochrany osobných údajov.

Úrad spolupracuje pri výkone dozoru nad ochranou osobných údajov s obdobnými orgánmi dozoru v zahraničí.

Úrad je rozpočtovou organizáciou.²⁸ Návrh rozpočtu predkladá úrad ako súčasť kapitoly Všeobecná pokladničná správa. Schválený rozpočet úradu môže znížiť v priebehu kalendárneho roku iba Národná rada Slovenskej republiky.

Podrobnosti o organizácii úradu upraví organizačný poriadok.

Na čele úradu je predseda úradu.

Predsedu úradu na návrh vlády Slovenskej republiky volí a odvoláva Národná rada Slovenskej republiky. Návrh na voľbu predsedu úradu na nové funkčné obdobie predkladá vláda Slovenskej republiky Národnej rade Slovenskej republiky najneskôr 60 dní pred uplynutím funkčného obdobia úradujúceho predsedu úradu. Funkčné obdobie predsedu úradu je päť rokov a možno ho zvoliť najviac na dve po sebe nasledujúce obdobia. Predseda úradu ostáva vo funkcii aj po uplynutí funkčného obdobia, kým Národná rada Slovenskej republiky nezvolí predsedu úradu na nové funkčné obdobie.

Za predsedu úradu možno zvoliť občana, ktorý je voliteľný za poslanca do Národnej rady Slovenskej republiky, je bezúhonný, má vysokoškolské vzdelanie, má najmenej 10 rokov odbornej praxe v oblasti informatiky alebo práva a dosiahol vek najmenej 35 rokov.

Za bezúhonného občana sa na účely tohto zákona považuje občan, ktorý nebol právoplatne odsúdený za úmyselný trestný čin alebo za trestný čin, za ktorý mu bol uložený nepodmienečný trest odňatia slobody. Bezúhonnosť sa preukazuje výpisom z registra trestov, ktorý nie je starší ako tri mesiace.

Predseda úradu nemôže byť členom politickej strany ani politického hnutia.

Platové a ďalšie náležitosti predsedu úradu určuje vláda Slovenskej republiky podľa osobitného predpisu.²⁹

Počas výkonu funkcie nesmie predseda úradu podnikať ani vykonávať inú zárobkovú činnosť s výnimkou vedeckej, pedagogickej, publicistickej, literárnej alebo umeleckej činnosti a správy vlastného majetku a majetku svojich maloletých detí.

Počas výkonu funkcie je predseda úradu oprávnený oboznamovať sa s utajovanými skutočnosťami podľa osobitného predpisu.³⁰

Počas funkčného obdobia i po jeho skončení je predseda úradu povinný zachovávať mlčanlivosť o skutočnostiach týkajúcich sa obsahu osobných údajov, o ktorých sa dozvedel počas výkonu svojej funkcie.

Od povinnosti mlčanlivosti môže predsedu úradu pre konkrétny prípad oslobodiť Národná rada Slovenskej republiky.

Za svoju činnosť zodpovedá predseda úradu Národnej rade Slovenskej republiky.

Pred uplynutím funkčného obdobia zaniká výkon funkcie predsedu úradu

Národná rada môže odvolať z funkcie predsedu úradu,

Predseda úradu je odvolaný z funkcie dňom nasledujúcim po dni, keď mu bolo doručené rozhodnutie Národnej rady Slovenskej republiky o odvolaní z funkcie.

Predsedu úradu v čase jeho neprítomnosti zastupuje podpredseda úradu. Podpredseda úradu okrem toho plní úlohy, ktorými ho poverí predseda úradu.

Podpredsedu úradu vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu.

Na výkon funkcie podpredsedu úradu sa primerane použijú ustanovenia § 35 ods. 3 až 5, 7, 9 a 12.

Od povinnosti mlčanlivosti môže podpredsedu úradu pre konkrétny prípad oslobodiť predseda úradu.

Činnosť inšpektorov riadi vrchný inšpektor.

Inšpektori vykonávajú kontrolnú činnosť a sú vecne príslušní na plnenie úloh úradu.

Inšpektorov vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu. Za inšpektora možno vymenovať občana, ktorý je voliteľný za poslanca Národnej rady Slovenskej republiky, je bezúhonný, má vysokoškolské vzdelanie a najmenej trojročnú odbornú prax v oblasti informatiky alebo práva a dosiahol vek najmenej 30 rokov. Vrchného inšpektora vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu z radov inšpektorov, ktorí majú odbornú prax najmenej päť rokov a dosiahli vek najmenej 35 rokov.

Funkčné obdobie vrchného inšpektora je päť rokov a do funkcie ho možno vymenovať opakovane. Na výkon funkcie vrchného inšpektora platia primerane odseky 2 a 6 a ustanovenia § 35 ods. 4, 5, 7, 12 a 13.

Na výkon funkcie inšpektora platia primerane ustanovenia § 35 ods. 4, 5, 7, 12 a 13. Okrem dôvodov uvedených v § 35 ods. 13 možno inšpektora z funkcie odvolať pre

Počas pracovného pomeru i po jeho skončení sú inšpektori a ďalší zamestnanci úradu povinní zachovávať mlčanlivosť o skutočnostiach týkajúcich sa obsahu osobných údajov, o ktorých sa dozvedeli v súvislosti s výkonom svojej práce; použitie osobných údajov pri plnení úloh úradu alebo v súvislosti s ich plnením v súlade s ustanoveniami tohto zákona alebo osobitného zákona sa nepovažuje za porušenie povinnosti mlčanlivosti. Od povinnosti mlčanlivosti môže inšpektorov a ďalších zamestnancov úradu pre konkrétny prípad oslobodiť predseda úradu.

Úrad pri výkone dozoru nad ochranou osobných údajov plní tieto úlohy:

Predmetom dozoru nad ochranou osobných údajov nie sú spory zo zmluvných alebo predzmluvných vzťahov prevádzkovateľov alebo sprostredkovateľov a dotknutých osôb alebo iných fyzických osôb alebo právnických osôb, na ktorých prejednávanie a rozhodovanie sú príslušné súdy alebo iné orgány podľa osobitných predpisov.

Ak úrad zistí skutočnosti nasvedčujúce tomu, že zákon, iný všeobecne záväzný právny predpis alebo prevádzkovateľom vydaný vnútorný predpis porušuje základné práva a slobody fyzických osôb pri spracúvaní ich osobných údajov, predseda úradu môže podať podnet na jeho zmenu alebo zrušenie príslušnému orgánu.

Úrad pri výkone dozoru nad ochranou osobných údajov využíva aj oznámenia a podnety právnických osôb a fyzických osôb (ďalej len „oznámenie") týkajúce sa podozrenia z porušovania povinností alebo podmienok určených týmto zákonom. Oznámenie sa úradu podáva písomne.

Oznámenie môže okrem dotknutej osoby podať úradu podľa § 20 ods. 6 aj fyzická osoba, ktorá tvrdí, že je priamo dotknutá vo svojich právach ustanovených týmto zákonom (ďalej len „oznamovateľ").

Úrad oznámenie odloží, ak

Úrad môže oznámenie odložiť, ak zistí, že

O odložení oznámenia a dôvodoch jeho odloženia úrad upovedomí toho, kto oznámenie podal; to neplatí, ak ide o anonymné oznámenie. Odložené oznámenie sa považuje za vybavené.

Oznámenie nie je prípustné, ak oznamovateľ pred jeho podaním neuplatnil svoje právo podľa § 20, ktoré mu tento zákon poskytuje. Úrad oznámenie odloží a poučí oznamovateľa o uplatnení práv podľa § 20.

Úrad neodloží oznámenie, aj keď sa nesplnila podmienka podľa odseku 6 len vtedy, ak oznamovateľ hodnoverne preukáže, že túto podmienku nesplnil z dôvodov hodných osobitného zreteľa.

Šetrenie je začaté dňom doručenia písomného oznámenia úradu. Prijatie oznámenia potvrdí úrad oznamovateľovi, ak oznámenie nebolo podané osobne.

Oznámenie musí obsahovať najmä

Ak oznámenie neobsahuje predpísané náležitosti podľa odseku 9, nie je zrozumiteľné, alebo ak sú na jeho náležité vybavenie potrebné údaje, ktoré sa v oznámení neuvádzajú, úrad vyzve oznamovateľa, aby v určenej lehote nie kratšej ako sedem dní odstránil nedostatky. Súčasne upozorní oznamovateľa na dôsledky neodstránenia nedostatkov na ďalší priebeh šetrenia. V čase, keď oznamovateľ mešká s plnením tejto povinnosti, lehota podľa odseku 12 neplynie.

Ak oznámenie podľa odseku 9 neobsahuje požiadavku oznamovateľa na utajenie jeho totožnosti, úrad vybavuje oznámenie bez utajenia osobných údajov uvedených v odseku 9 písm. a). Ak v oznámení podľa odseku 9 oznamovateľ požiada úrad o utajenie svojej totožnosti, ale charakter oznámenia neumožňuje jeho prešetrenie bez uvedenia niektorého údaja alebo údajov o oznamovateľovi, úrad po zistení tejto skutočnosti o tom upovedomí oznamovateľa. Zároveň oznamovateľa upozorní, že vo vybavovaní oznámenia sa bude pokračovať len v prípade, ak v určenej lehote písomne udelí úradu súhlas s uvedením určitého potrebného údaja alebo údajov o svojej osobe na použitie v rámci šetrenia.

Úrad prešetrí a vybaví písomné oznámenie oznamovateľa v lehote 60 dní odo dňa jeho prijatia. Vrchný inšpektor môže túto lehotu v odôvodnených prípadoch primerane predĺžiť, najviac však o šesť mesiacov. O predĺžení lehoty úrad písomne upovedomí oznamovateľa.

Úrad v lehote podľa odseku 12 písomne informuje oznamovateľa o výsledku prešetrenia oznámenia, v ktorom uvedie práva oznamovateľa ustanovené týmto zákonom, ktoré boli porušené. Ak úrad nezistí porušenie práv oznamovateľa, písomne ho informuje o tejto skutočnosti bez zbytočného odkladu, najneskôr však v lehote podľa odseku 12. Oznámenie sa považuje za vybavené doručením písomnej informácie o výsledku prešetrenia oznámenia oznamovateľovi.

Oznámenie v tej istej veci možno opakovať v lehote 30 dní odo dňa doručenia výsledku o prešetrení oznámenia; ak oznámenie neobsahuje nové skutočnosti, úrad postupuje podľa odseku 4 písm. e). Ak úrad opakované oznámenie neodložil alebo ak zistil, že obsahuje nové skutočnosti, vrchný inšpektor preskúma pôvodné oznámenie, či bolo správne vybavené; o výsledku písomne informuje oznamovateľa, pričom postupuje obdobne podľa odseku 13. Preskúmanie oznámenia vrchným inšpektorom je konečné.

V prípade, že v rovnakej veci, v akej už bolo vybavené oznámenie iného oznamovateľa, podá oznámenie ďalší oznamovateľ bez uvedenia nových skutočností, jeho oznámenie netreba znovu prešetrovať, ale treba ho upovedomiť bez zbytočného odkladu o výsledku vybavenia pôvodného oznámenia, najneskôr však v lehote podľa odseku 12 prvej vety.

Podanie oznámenia nesmie byť oznamovateľovi na ujmu; to neplatí, ak sa obsahom svojho oznámenia dopustí oznamovateľ trestného činu alebo priestupku.

Oznámenie podané inou právnickou osobou alebo fyzickou osobou ako oznamovateľom sa vybavuje ako konanie začaté z vlastnej iniciatívy úradu, ak sa po preskúmaní oznámenia preukáže, že je tu dôvod na začatie šetrenia. Na žiadosť právnickej osoby alebo fyzickej osoby, ktorá oznámenie podala, úrad potvrdí prijatie oznámenia; výsledok šetrenia jej úrad neoznamuje. Právnická osoba alebo fyzická osoba, ktorá oznámenie podala, sa nepovažuje za účastníka konania.

Úrad

Prevádzkovateľ a sprostredkovateľ bezodkladne vyhovejú požiadavkám úradu podľa odseku 1 a v určenej lehote informujú o ich splnení úrad.

Prevádzkovateľ a sprostredkovateľ sú oprávnení písomne podať námietky proti opatreniu uloženému podľa odseku 1 písm. a) do troch dní odo dňa jeho doručenia. Námietky proti takémuto opatreniu nemajú odkladný účinok.

Prevádzkovateľ a sprostredkovateľ sú oprávnení písomne podať námietky proti opatreniu uloženému podľa odseku 1 písm. b) do siedmich dní odo dňa jeho doručenia. Námietky proti takémuto opatreniu majú odkladný účinok.

O námietke prevádzkovateľa alebo sprostredkovateľa podanej podľa odseku 3 rozhodne predseda úradu do 15 dní a o námietke podanej podľa odseku 4 rozhodne do 60 dní odo dňa ich prijatia.

Rozhodnutie predsedu úradu o námietkach je konečné.

Písomné vyhotovenie výzvy na vykonanie opatrenia a písomné vyhotovenie rozhodnutia o námietkach sa oznamuje doručením do vlastných rúk.

Opatrenie uložené podľa odseku 1 písm. a) môže úrad zrušiť; účinnosť stráca dňom oznámenia opatrenia v predmetnej veci podľa odseku 1 písm. b).

Ak úrad zistí porušenie povinností ustanovených týmto zákonom alebo obchádzanie ustanovení tohto zákona alebo osobitného zákona³², môže predseda úradu alebo vrchný inšpektor zverejniť obchodné meno alebo názov, sídlo alebo trvalý pobyt, identifikačné číslo, ak ho má pridelené a právnu formu toho, kto sa dopustil protiprávneho konania a

Predseda úradu alebo vrchný inšpektor môže uložiť prevádzkovateľovi alebo sprostredkovateľovi povinnosť zverejniť skutočnosti v rozsahu podľa odseku 1 písm. c) v hromadných informačných prostriedkoch.

Prevádzkovateľ je povinný splniť povinnosť uloženú predsedom úradu alebo vrchným inšpektorom podľa odseku 2. Štatutárny orgán prevádzkovateľa je povinný zabezpečiť zverejnenie oznamu v hromadných informačných prostriedkoch v rozsahu podľa odseku 1 písm. c) na vlastné náklady prevádzkovateľa; obsah, formu, hromadný informačný prostriedok a najneskorší termín zverejnenia oznamu určí predseda úradu alebo vrchný inšpektor.

Povinnosť podľa odseku 3 sa vzťahuje aj na sprostredkovateľa.

Úrad môže uložiť pokutu od 50 000 Sk do 10 000 000 Sk prevádzkovateľovi alebo sprostredkovateľovi, ktorý

Úrad môže uložiť pokutu od 50 000 Sk do 5 000 000 Sk prevádzkovateľovi alebo sprostredkovateľovi, ktorý

Úrad môže uložiť pokutu od 30 000 Sk do 3 000 000 Sk prevádzkovateľovi, ktorý

Úrad môže uložiť pokutu od 10 000 Sk do 1 000 000 Sk prevádzkovateľovi, ktorý

Úrad môže uložiť pokutu do 100 000 Sk tomu, kto

Pokutu podľa odsekov 1 až 4 a podľa § 50 môže úrad uložiť opakovane, ak povinnosť nebola splnená v určenej lehote.

Pri ukladaní pokút sa prihliadne najmä na závažnosť, čas trvania a následky protiprávneho konania.

Pokutu podľa odsekov 1 až 5 možno uložiť do jedného roka odo dňa, keď úrad porušenie povinnosti zistil, najneskôr však do troch rokov odo dňa, keď k porušeniu povinnosti došlo.

Úrad môže v rozhodnutí o uložení pokuty súčasne povinnému uložiť, aby v určenej lehote vykonal opatrenia na nápravu následkov protiprávneho konania.

Proti rozhodnutiu o uložení pokuty možno podať rozklad do 15 dní odo dňa jeho doručenia. O rozklade rozhodne predseda úradu do 60 dní odo dňa jeho prijatia.

Výnosy z pokút sú príjmom štátneho rozpočtu.

Úrad môže uložiť prevádzkovateľovi alebo sprostredkovateľovi poriadkovú pokutu

Poriadkovú pokutu možno uložiť do jedného roka odo dňa, keď k porušeniu povinnosti došlo.

Prevádzkovatelia už fungujúcich informačných systémov uvedú ich do súladu s týmto zákonom do šiestich mesiacov odo dňa jeho účinnosti a ak to zákon vyžaduje, prihlásia ich v tejto lehote na registráciu.

Prevádzkovatelia, ktorí spracúvajú osobné údaje na základe osobitného zákona, ktorý neustanovuje náležitosti podľa § 7 ods. 3, 5, 6 alebo podľa § 9 ods. 1 písm. a), môžu osobné údaje spracúvať v rozsahu nevyhnutnom na dosiahnutie ustanoveného účelu spracúvania bez súhlasu dotknutých osôb do 31. decembra 2005.

Záväzky orgánu štátneho dozoru nad ochranou osobných údajov v informačných systémoch vyplývajúce z doterajšieho predpisu prechádzajú dňom nadobudnutia účinnosti tohto zákona na úrad.

Práva a povinnosti z pracovnoprávnych vzťahov splnomocnenca na ochranu osobných údajov v informačných systémoch a zamestnancov Útvaru inšpekcie ochrany osobných údajov Úradu vlády Slovenskej republiky prechádzajú dňom nadobudnutia účinnosti tohto zákona na úrad v plnom rozsahu.

Majetok štátu v správe Úradu vlády Slovenskej republiky obstaraný na účely plnenia úloh štátneho dozoru nad ochranou osobných údajov v informačných systémoch prechádza dňom nadobudnutia účinnosti tohto zákona do správy úradu.

Úrad vlády Slovenskej republiky zabezpečuje materiálnu a technickú prevádzku úradu do 31. decembra 2002.

Majetok štátu v správe Štatistického úradu Slovenskej republiky, obstaraný na účely registrácie informačných systémov obsahujúcich osobné údaje, prechádza dňom nadobudnutia účinnosti tohto zákona do správy úradu.

Záväzky vyplývajúce pre splnomocnenca na ochranu osobných údajov v informačných systémoch z medzištátnych dohôd v oblasti ochrany osobných údajov prechádzajú dňom nadobudnutia účinnosti tohto zákona na úrad.

Splnomocnenec na ochranu osobných údajov v informačných systémoch vymenovaný do funkcie podľa doterajšieho predpisu stáva sa dňom účinnosti tohto zákona predsedom úradu a ostáva v tejto funkcii do konca funkčného obdobia, na ktoré bol ako splnomocnenec na ochranu osobných údajov v informačných systémoch vymenovaný.

Predseda úradu v lehote dvoch mesiacov odo dňa účinnosti tohto zákona rozhodne o tom, či informačný systém prihlásený na registráciu podľa doterajších predpisov možno považovať za zaregistrovaný podľa tohto zákona. Ak predseda úradu rozhodne, že takýto informačný systém nepodlieha registrácii, oznámi to úrad v tej istej lehote prevádzkovateľovi.

Konania začaté pred dňom nadobudnutia účinnosti tohto zákona sa dokončia podľa doterajších predpisov.

Úrad na ochranu osobných údajov podľa doterajších predpisov je Úradom na ochranu osobných údajov Slovenskej republiky podľa tohto zákona. Ak sa v iných právnych predpisoch používa pojem „Úrad na ochranu osobných údajov" vo všetkých gramatických tvaroch, rozumie sa tým „Úrad na ochranu osobných údajov Slovenskej republiky" v príslušnom gramatickom tvare.

Písomné poverenie zodpovednej osoby vydané podľa doterajších predpisov sa považuje za písomné poverenie podľa tohto zákona, ak zodpovedná osoba spĺňa podmienky ustanovené v § 19 ods. 12, prevádzkovateľ oznámi úradu najneskôr do 30. júna 2005 údaje podľa § 19 ods. 5 a doloží potvrdenie alebo vyhlásenie o tom, že zodpovedná osoba bola odborne vyškolená.

Zodpovedná osoba, ktorá bola písomne poverená dohľadom nad ochranou osobných údajov podľa doterajších predpisov a nespĺňa podmienky ustanovené v § 19 ods. 12, musí byť odvolaná z funkcie zodpovednej osoby najneskôr do 30. júna 2005 a prevádzkovateľ je povinný písomne poveriť výkonom dohľadu inú zodpovednú osobu. Týmto nie je dotknuté ustanovenie § 19 ods. 5.

Prevádzkovatelia už fungujúcich informačných systémov, na ktoré sa podľa doterajších predpisov nevzťahovala osobitná registrácia podľa § 27, sú povinní prihlásiť ich na osobitnú registráciu najneskôr do 30. júna 2005, inak právo na spracúvanie osobných údajov v týchto informačných systémoch zanikne uplynutím tejto lehoty.

Predseda úradu do 31. decembra 2005 rozhodne o tom, či informačný systém prihlásený na registráciu a zaregistrovaný podľa doterajších predpisov možno považovať za zaregistrovaný podľa tohto zákona. Ak predseda úradu rozhodne, že takýto informačný systém nepodlieha registrácii podľa tohto zákona, úrad registráciu informačného systému zruší a v tej istej lehote zverejní na svojej internetovej stránke registračné čísla tých informačných systémov, ktorých registrácia bola zrušená.

Konania začaté a právoplatne neukončené pred nadobudnutím účinnosti tohto zákona sa dokončia podľa doterajších predpisov. Právne účinky úkonov, ktoré v konaní nastali pred nadobudnutím účinnosti tohto zákona, zostávajú zachované.

Na lehoty, ktoré v deň nadobudnutia účinnosti tohto zákona ešte neuplynuli, sa vzťahujú ustanovenia doterajších predpisov.

Prevádzkovatelia už fungujúcich informačných systémov sú povinní ich uviesť do súladu s týmto zákonom do 31. októbra 2005. Týmto nie sú dotknuté odseky 2 až 4.

zákon č. 52/1998 Z. z. o ochrane osobných údajov v informačných systémoch v znení zákona č. 241/2001 Z. z.,

vyhláška Štatistického úradu Slovenskej republiky č. 155/1998 Z. z., ktorou sa ustanovujú podrobnosti o spôsobe, forme a postupe pri registrácii informačného systému obsahujúceho osobné údaje.