Ochrana osobných údajov prechádza výraznými zmenami

Článok zachytáva platný zákon o ochrane osobných údajov so svojou zatiaľ jedinou novelou účinnou k 15. aprílu 2014.

Prvá výrazná zmena zákona o ochrane osobných údajov

Novela zákona o ochrane osobných údajov je prvou legislatívnou zmenou tejto právnej úpravy týkajúcej sa ochrany osobných údajov a ich spracúvania, ktorá je vyvolaná najmä tlakom na podnikateľov, ktorých zasiahli mnohé povinnosti týkajúce sa zodpovedných osôb a povinného ukladania sankcií zo strany Úradu (v článku budeme mať pod týmto označením na mysli Úrad na ochranu osobných údajov Slovenskej republiky). Počnúc 15. aprílom tohto roka (nadobúda účinnosť novela zákona, ktorá je publikovaná v Zbierke zákonov pod číslom 84/2014) sa viaceré významné povinnosti rušia a zároveň sa prehodnocuje zavedený spôsob ukladania pokút.

Ruší sa povinnosť ustanoviť zodpovednú osobu

Medzi prvé zmeny by sme rozhodne mali zaradiť novým spôsobom koncipované povinnosti prevádzkovateľa, ktoré sa týkajú vymenovania zodpovednej osoby. Doteraz bola totiž povinnosť ustanoviť zodpovednú osobu v prípade, ak prevádzkovateľ spracúval osobné údaje prostredníctvom 20 a viac oprávnených osôb. To na druhej strane zároveň znamenalo, že ak do tejto kategórie nespadal, musel prihlásiť na registráciu tie informačné systémy, ktoré podľa zákona podliehajú registrácii podľa § 34 zákona. Od 15. apríla 2014 už neplatí povinnosť ustanoviť zodpovednú osobu pre žiadnu kategóriu prevádzkovateľov. Tí budú mať už iba možnosť tak urobiť, no nie povinnosť.

V prípade, ak prevádzkovateľ nevyužije možnosť a zodpovednú osobu neustanoví, tak mu vzniká povinnosť oznámiť úradu tie informačné systémy, ktoré podľa zákona podliehajú oznamovacej povinnosti (nový § 34 zákona). Čiže praktický význam s ustanovením zodpovednej osoby (akéhosi strážcu spracúvania osobných údajov) je najmä v tom, že táto osoba eliminuje povinnosti podniku (prevádzkovateľa) oznamovať Úradu informačné systémy, v ktorých osobné údaje spracúva. Mnohé subjekty si svoju povinnosť ustanoviť zodpovednú osobu už splnili, a preto bude aj pre ne táto výhoda zachovaná. Neodporúčame odvolávať zodpovedné osoby len preto, že už nie je zákonná povinnosť ich mať ustanovené.

Doterajšia právna úprava platná pred prijatím tejto prvej zmeny mala obmedzenia, ktoré boli určené pre personálne obsadenie funkcie zodpovednej osoby, kde najmä obmedzenie v podobe zákazu vykonávať túto funkciu pre štatutárneho zástupcu prevádzkovateľa už nemá opodstatnenie.

Doterajšie povinnosti prevádzkovateľa, ktoré boli určené v § 26 ods. 3 zákona a týkali sa situácie, keď prevádzkovateľ odvolal z funkcie zodpovednú osobu, sa menia z povinnosti na možnosť. Teda ak prevádzkovateľ odvolá zodpovednú osobu z funkcie, nemusí už postupovať podľa príslušných odkazov v § 26 ods. 3, a to z dôvodu, že ustanovenie zodpovednej osoby už nie je povinnosťou alebo možnosťou, ktorá je daná na individuálnom rozhodnutí prevádzkovateľa (podniku).

Zmena v povinnom ustanovení zodpovednej osoby prináša viaceré zmeny

Doterajšia právna úprava, ktorá bola jedna z najviac kritizovaných, upravovala v znení § 27 ods. 1 povinnosť zodpovednej osobe nahlasovať porušenie zákona zo strany svojho poväčšine zamestnávateľa priamo Úradu.

Problematické znenie bolo definované dvojstupňovo a jeho formulácia „ak prevádzkovateľ po upozornení bez zbytočného odkladu nevykoná nápravu, oznámi to zodpovedná osoba úradu“ sa vypúšťa od 15. apríla bez náhrady. V prípade, že bude v podniku (u prevádzkovateľa) určená zodpovedná osoba, bude mať síce povinnosť prevádzkovateľovi oznámiť písomne porušenie ustanovení zákona, no ak nepríde k náprave zo strany podniku, už nebude mať zodpovedná osoba povinnosť to nahlásiť ďalej Úradu. Táto zmena konečne zachová doterajšie pracovnoprávne vzťahy medzi zamestnancom a jeho zamestnávateľom a z dôvodu, že zodpovedná osoba je poväčšine v pracovnoprávnom vzťahu, nebude musieť na svojho zamestnávateľa takpovediac donášať Úradu. To samozrejme nezbavuje podnik jeho povinností určených zákonom pri spracúvaní osobných údajov.

V tejto súvislosti prichádza k výraznej zmene aj pri statusovom definovaní oprávnenej osoby, pričom od 15. apríla sa za oprávnenú osobu, teda osobu, ktorá prichádza do styku s osobnými údajmi v rámci svojho vzťahu s prevádzkovateľom, novo považuje aj taká osoba, ktorá má pracovnoprávny vzťah k zamestnávateľovi. Doteraz to bola iba osoba, ktorá je v pracovnom pomere. To rozširuje okruh oprávnených osôb, teda osôb, ktoré sú oprávnené z titulu svojho vzťahu k prevádzkovateľovi dostávať sa k osobným údajom aj na takzvaných dohodárov. Inak vyjadrené, rozširuje sa tento zoznam na osoby pracujúce na základe dohody o vykonaní práce alebo dohody o pracovnej činnosti. Samozrejme, pojem pracovnoprávny vzťah je širším pojmom, ako je pracovný pomer, teda zamestnanci v pracovnom pomere ostávajú naďalej pokrytí aj novou právnou úpravou a stále sa považujú za oprávnenú osobu.

Vzťah medzi prevádzkovateľom a sprostredkovateľom

V rovnakom duchu, ako je zmena pri zodpovednej osobe a jej vzťahu k prevádzkovateľovi, najmä pokiaľ ide o nahlasovanie porušenia zákona Úradu sa nesie tiež úprava vzťahu medzi prevádzkovateľom a sprostredkovateľom. Od 15. apríla už ani sprostredkovateľ nemá povinnosť nahlasovať Úradu, že prevádzkovateľ, s ktorým má zmluvný vzťah, sa dopustil porušenia zákona a nevykonal nápravu napriek upozorneniu zo strany sprostredkovateľa. Úprava vzťahu týchto dvoch subjektov ide ešte ďalej, keď sprostredkovateľ nemá už ani uloženú povinnosť, aby prevádzkovateľa, s ktorým je v zmluvnom vzťahu, upozornil na zjavné porušenie zákona. Teda ostáva výlučne na prevádzkovateľovi a prípadne jeho ustanovenej zodpovednej osobe, aby zabezpečovala dodržiavanie zákona o ochrane osobných údajov. Tento model však považujeme za správny a je jasne vyjadrený už vyššie citovaným znením § 23 ods. 1 zákona.

Taktiež sa znižuje aj zodpovednosť sprostredkovateľa uvedená doteraz v zákone, ktorá bola postavená na princípe, že ak vznikne činnosťou alebo nečinnosťou škoda a tá má priamu súvislosť s porušením zákona, zodpovedá za takto vzniknutú škodu sprostredkovateľ spoločne a nerozdielne s prevádzkovateľom, a to v prípade, že si sprostredkovateľ nesplní svoju povinnosť upozorniť prevádzkovateľa na porušovanie zákona. Táto konštrukcia, a teda aj zodpovednosť uvedená v zákone bola novelizáciou zrušená.

A v prípade, ak by túto svoju prevenčnú (voči prevádzkovateľovi) a informačnú (voči Úradu) povinnosť sprostredkovateľ nesplnil, bude spoločne a nerozdielne zodpovedať za škody, ktoré môžu vzniknúť tým osobám, ktorých práva boli porušené. V tomto prípade tým, že nebol záznam zlikvidovaný v lehote, ako to zákon ukladá. Samozrejme, ten kto sa škody domáha, musí aj túto stránku preukázať a tiež sa musí identifikovať príčinná súvislosť medzi vznikom škody a porušením zákona zo strany prevádzkovateľa. To znamená, že musí ísť o takú konkrétnu situáciu porušenia zákona, bez vzniku ktorej by nevznikla ani samotná škoda.

Vzťah medzi zamestnávateľom a zamestnancom sa tiež mení

Medzi nové oprávnenie zamestnávateľa, ktoré získava po novele zákona, musíme jednoznačne zaradiť aj to, že k doteraz zákonom danej možnosti na sprístupnenie a zverejnenie osobných údajov zamestnanca môže odteraz zamestnávateľ tieto osobné údaje aj poskytovať.

Rozdiel medzi sprístupnením a poskytnutím je v tom, že poskytnutie sa deje odovzdaním tretej osobe, ktorá ich ďalej spracováva (napr. vytvorí zoznam zodpovedných zamestnancov, kde sa dá uplatňovať reklamácia a tento sprístupní na svojom webe pre určitú skupinu príjemcov, napr. spotrebitelia). Na druhej strane sprístupnenie je oznámenie osobných údajov zamestnanca príjemcovi, ktorý ich však ďalej nespracúva. Napríklad, ak sa poskytne zoznam osôb zodpovedných zamestnancov za prijímanie reklamácií, avšak príjemca (zákazník) ich využije iba pre svoje osobné potreby reklamácie a ďalej ich nebude spracúvať.

Druhá výrazná zmena na strane zamestnávateľa spočíva v tom, že bez súhlasu zamestnanca môže získavať jeho osobné údaje, a to kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií, avšak iba vtedy, ak ide o získavanie osobných údajov zamestnanca na účel uzatvorenia pracovnoprávneho alebo obdobného vzťahu. Zamestnávateľ si teda po novom bude môcť bez súhlasu zamestnanca napríklad spraviť kópiu diplomu o dosiahnutom vzdelaní a túto uložiť do spisu zamestnanca, ktorý je vedený na personálnom oddelení. A na takýto úkon už nepotrebuje súhlas zamestnanca.

Zmena sa dotkla rovnako inštitútu poučenia. Poučenie je totiž špecifický spôsob školenia, ktoré realizuje prevádzkovateľ voči oprávnenej osobe, väčšinou zamestnávateľ voči svojmu zamestnancovi. Doteraz bolo poučenie nastavené veľmi široko a napr. zamestnávateľ mal povinnosť poučiť svojho zamestnanca o právach a povinnostiach ustanovených zákonom a o zodpovednosti za ich porušenie pred uskutočnením prvej operácie s osobnými údajmi. Nové znenie poučovaciu povinnosť zužuje iba na tie práva a povinnosti, ktoré sa týkajú spracúvania osobných údajov, pričom poučenie obsahuje najmä jej (myslené na oprávnenú osobu – zamestnanca) rozsah oprávnení, povolené činnosti a podmienky spracúvania osobných údajov. Rozdiel je teda v tom, že prichádza k už spomínanému zúženiu zo všetkých práv a povinností zo zákona na tie, ktoré sa týkajú činnosti oprávnenej osoby (napr. zamestnanca), teda ide o práva a povinnosti pri spracúvaní osobných údajov.

O každom poučení oprávnenej osoby (zamestnanca) sa navyše musí vyhotoviť záznam. Novela túto povinnosť síce zachovala, ale samotný záznam už nemá zákonom predpísané náležitosti [boli v § 21 ods. 3 písm. a) až f) zákona] a záznam vyhotovuje prevádzkovateľ v podstate podľa svojho uváženia. Musí však z neho byť aj tak jasné, čoho sa poučenie týkalo, kto sa ho zúčastnil a nová povinnosť ukladá prevádzkovateľovi na požiadanie tento záznam predložiť Úradu.

Získavanie súhlasu a zmeny v informačných povinnostiach

Model získavania osobných údajov je vo všeobecnosti postavený na súhlase dotknutej osoby, teda osoby, ktorej sa získavané alebo vo všeobecnosti spracúvané osobné údaje týkajú. Teda platí hlavné a prvoradé pravidlo, že na každý úkon s osobnými údajmi treba súhlas toho, koho sa tieto údaje týkajú. Z tohto pravidla však existuje viacero výnimiek a novela zasiahla do tej najzaujímavejšej, ktorá umožňuje bez súhlasu spracúvať osobné údaje, ak ide o spracúvanie osobných údajov, je nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa alebo tretej strany [§ 10 ods. 3 písm. g) zákona]. K tomuto celkom širokému zneniu sa dopĺňa demonštratívny výpočet (výpočet v príkladoch, cez spojenie „najmä“) dôvodov, kedy sa dajú spracúvať osobné údaje dotknutej osoby prevádzkovateľom, a to bez súhlasu dotknutej osoby. Medzi dôvody spracúvania osobných údajov, ak je to nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa alebo tretej strany, sa považujú najmä osobné údaje spracúvané v rámci ochrany majetku, finančných alebo iných záujmov prevádzkovateľa a osobné údaje spracúvané na zabezpečenie bezpečnosti prevádzkovateľa prostredníctvom kamier alebo obdobných systémov.

Tento zákonný titul na spracúvanie osobných údajov bez súhlasu dotknutej osoby sa týka najmä prípadov, kedy si prevádzkovateľ uplatňuje napríklad pohľadávku v súdnom konaní alebo inú škodu. Teda musí súdu oznámiť osobné údaje svojho dlžníka a tieto aj spracúvať, aby mohol presne identifikovať osobu, voči ktorej si svoje práva z tohto titulu uplatňuje. Novela zároveň za tento zákonný dôvod spracúvania osobných údajov bez súhlasu považuje aj monitorovanie prevádzky podniku (prevádzkovateľa), ak je to nevyhnutné na ochranu práv podniku (prevádzkovateľa), prípadne aj tretej strany (napr. zamestnanca). Tu ide o kamerové systémy v podnikoch, ktoré napríklad monitorujú sklady, aby sa zabránilo vzniku krádeže alebo inej škody, prípadne aby sa napomohlo identifikácii osoby, ktorá prípadnú škodu spôsobila. Je samozrejmé, že súhlas zlodeja so spracovaním jeho osobných údajov by bolo viac ako nelogické získavať.

Zákon okrem iného množstva povinností ukladá každému prevádzkovateľovi (podniku) plniť voči osobe, od ktorej chce získať osobné údaje, viaceré informačné povinnosti. Musí jej napríklad dať vedieť, kto chce jej údaje spracúvať, na aký účel, v akom rozsahu a tiež či sa napríklad predpokladá sprístupňovanie tretej strane (upravené v § 15 ods. 1 zákona). V určitých situáciách sa však nemusia informácie dotknutej osobe oznamovať a prevádzkovateľ teda nemusí plniť informačnú povinnosť voči oprávnenej osobe predtým, ako získa jej osobné údaje (§ 15 ods. 3 zákona). Okrem doteraz platného znenia, kedy tak urobiť nemusel, a to v prípade, že vie Úradu kedykoľvek na jeho žiadosť preukázať, že zodpovednej osobe boli už predtým poskytnuté informácie, na ktoré má právo, sa vytvára teraz nový dôvod.

Registrácia informačných systémov sa mení na oznamovaciu povinnosť

Registrácia informačných systémov upravená v § 34 zákona a v súvisiacich ustanoveniach sa mení na nový model oznamovacej povinnosti. Zákon upravoval výnimky, kedy nebolo nutné vykonať registráciu systému na Úrade. Tieto výnimky upravené v § 34 zákona ostávajú zachované a na ne uvedené sa nevzťahuje už ani oznamovacia povinnosť. Najväčší význam má výnimka týkajúca sa ustanovenia zodpovednej osoby. Ak je táto osoba ustanovená, informačné systémy netreba ani oznamovať Úradu. Osobné údaje spracúvané podľa § 10 ods. 3 písm. g) zákona (situácia, kedy spracúvanie osobných údajov je nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa alebo tretej strany, najmä osobné údaje spracúvané v rámci ochrany majetku, finančných alebo iných záujmov prevádzkovateľa) vždy podliehajú iba oznamovacej povinnosti. Úrad však môže na základe vlastného rozhodnutia určiť, že namiesto oznamovacej povinnosti ich treba osobitne registrovať. Samotná oznamovacia povinnosť nespadá pod režim zákona o správnom konaní (správny poriadok), teda pre toto osobitné konanie neplatia lehoty a ani sa nevydáva rozhodnutie. Tiež, ak sa vykonali registrácie podľa doterajšej právnej úpravy, považujú sa už za oznámenia podľa novely zákona a netreba ich teda opätovne podrobiť novej oznamovacej povinnosti. To v praxi znamená, že subjekt, ktorý si splnil povinnosť a podrobil registrácii svoje informačné systémy doteraz, nemusí ich opätovne oznamovať Úradu. Túto povinnosť má už splnenú.

Doterajšie údaje, ktoré boli potrebné na registráciu, ostávajú zachované a považujú sa po novom za údaje nutné pre novú oznamovaciu povinnosť. Oznámenie navyše možno vykonať aj cez elektronický formulár. Vzor opäť zverejní Úrad na svojej webovej stránke, a to dokonca aj so zoznamom príkladov tých informačných systémov, ktoré treba Úradu oznámiť. K oznamovacej povinnosti už nebude treba dokladať popis podmienok spracúvania osobných údajov. Po splnení všetkých podmienok na splnenie oznamovacej povinnosti Úrad pridelí každému informačnému systému svoje identifikačné číslo. Teda už sa nebude robiť registrácia, preto Úrad nebude ani prideľovať registračné číslo, ako tomu bolo v tomto osobitnom type konania doteraz. Navyše, Úrad o splnení oznamovacej povinnosti bude vydávať potvrdenie iba na žiadosť prevádzkovateľa.

Ak má prevádzkovateľ informačný systém, ktorý sa musí oznámiť, môže začať spracúvať osobné údaje v tomto systéme odo dňa, kedy ho oznámil Úradu. V prípade, ak by oznámenie informačného systému nebolo v súlade so zákonom, tak Úrad vyzýva na odstránenie chýb a určuje na to lehotu. Tá nesmie byť kratšia ako sedem kalendárnych dní.

Táto lehota ostáva po starom a novela ju nemení, i keď je už spojená s iným konaním, ktorým je oznamovacia povinnosť a nie registrácia. Novela zákona novo rieši aj situáciu, ak počas využívania informačného systému nastane stav, že informačný systém je síce oznámený Úradu, no následne sa zaradí medzi tie systémy, ktoré netreba oznamovať. V tomto prípade sa na žiadosť prevádzkovateľa alebo z vlastnej iniciatívy Úradu odníme identifikačné číslo.

Za osobitnú registráciu a za zmenu osobitnej registrácie sa vyberá poplatok vo výške 50 €. Táto sadzba platí tak za registráciu, ale aj za zmenu registrácie. Oznamovacia povinnosť je bez poplatku. Každá zmena v ohlasovaných údajoch a tiež v údajoch informačných systémov, ktoré podliehajú osobitnej registrácii, sa Úradu nahlasuje v lehote 15 dní od momentu ich vzniku, a to v písomnej forme. Vzory oznámení zverejní Úrad na svojej webovej stránke a tieto zmeny bude možné nahlasovať aj cez elektronický formulár.

Tiež ostala zachovaná možnosť pre každého, kto o to požiada, získať z Úradu bezplatne údaje z oznámení (§ 35 ods. 1 zákona) a údaje z osobitnej registrácie (§ 38 ods. 1 zákona). Cez svoju webovú stránku Úrad zverejňuje zoznam oznámení a tiež osobitných registrácií. Na tomto modeli sa vo svojej podstate nič nemení ani po novele.

Úrad už nemusí uložiť pokutu

Pokuty sú jednou z najviac zasiahnutých ustanovení zákona, ktoré prinesú aj praktické a citeľné zmeny. Tou najväčšou je zmena doterajšieho modelu ukladania pokút z obligatórneho (kedy Úrad musí uložiť pokutu) na fakultatívny (kedy Úrad môže uložiť pokutu) a zákon ponechal iba dve ustanovenia, ktoré naďalej zachovávajú režim povinného ukladania pokút. Znenie § 68 ods. 3 a ods. 6 ponecháva Úradu povinnosť v ukladaní pokút a týka sa to tých najzávažnejších porušení zákona, kde nebude ponechané na vôli Úradu, či pokutu uloží alebo nie. Druhá zmena sa týka samotných výšok pokút, kde sa pristúpilo k ich znižovaniu, a to sa týka všetkých skutkových podstát uvedených v § 68 ods. 1 až 7 zákona, pričom sa znižuje vždy doterajšia horná hranica pokuty. Jediná sankcia, kde neprišlo k zmene jej výšky, je poriadková pokuta, ale Úrad ju opäť už bude môcť uložiť a nebude mať teda povinnosť ju uložiť.

Zaručený elektronický podpis nie je nutnosťou pri komunikácii s Úradom

Dôležité je tiež pre formu oznamovania niektorých údajov uviesť, že pri vyhotovovaní oznámenia podľa § 35 ods. 1 zákona (oznamovanie informačného systému, v ktorom sa budú spracúvať osobné údaje Úradu), oznámení zmeny oznámených údajov a oznámení ukončenia používania informačného systému elektronickou formou sa od 15. apríla 2014 nevyžaduje zaručený elektronický podpis. Tieto skutočnosti bude možné, ako sme už uviedli, oznamovať aj cez elektronický formulár. Ale až od 1. septembra 2014, pričom formulár zverejní Úrad na svojej webovej stránke.

Na záver

Možno jasne konštatovať, že novela zákona o ochrane osobných údajov účinná od 15. apríla 2014 je výraznou zmenou v doterajšom postavení tejto právnej úpravy. Mnohé povinnosti boli odstránené a medzi dve najväčšie zmeny by sme mali rozhodne zaradiť úpravy pri zodpovedných osobách, ktoré už nie sú povinne ustanovené, a samozrejme pri sankciách, kedy s výnimkou dvoch najzávažnejších skutkových podstát Úrad už nebude mať povinnosť ukladať pokutu, ale iba možnosť.

Všetky zmeny sú účinné jednotne od 15. apríla 2014 a budú snáď vítanou úpravou, najmä pre podnikateľskú sféru.

Autor: JUDr. Ondrej Beracka