Zákon o ochrane osobných údajov a o zmene a doplnení niektorých zákonov

Tento zákon sa vzťahuje na každého, kto spracúva osobné údaje, určuje účel a prostriedky spracúvania alebo poskytuje osobné údaje na spracúvanie.

Tento zákon sa vzťahuje aj na prevádzkovateľov, ktorí nemajú sídlo, organizačnú zložku, prevádzkareň alebo trvalý pobyt na území

Tento zákon sa vzťahuje na osobné údaje systematicky spracúvané úplne alebo čiastočne automatizovanými prostriedkami spracúvania alebo inými ako automatizovanými prostriedkami spracúvania, ktoré sú súčasťou informačného systému alebo sú určené na spracúvanie v informačnom systéme.

Ustanovenia § 6 ods. 2 až 5, § 8 ods. 5, § 15 ods. 1, 2 a 8, § 28 ods. 1 a § 44 sa nevzťahujú na spracúvanie osobných údajov nevyhnutných na zabezpečenie verejného záujmu, ak prevádzkovateľ plní povinnosti výslovne ustanovené osobitným zákonom určené na zaistenie

Tento zákon sa nevzťahuje na osobné údaje, ktoré

Týmto zákonom nie je dotknuté právo na ochranu osobnosti.⁷)

Osobnými údajmi sú údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu.

Na účely tohto zákona sa rozumie

Na účely tohto zákona sa ďalej rozumie

Osobné údaje možno spracúvať len spôsobom ustanoveným týmto zákonom a v jeho medziach tak, aby nedošlo k porušeniu základných práv a slobôd dotknutých osôb, najmä k porušeniu ich práva na zachovanie ľudskej dôstojnosti alebo k iným neoprávneným zásahom do ich práva na ochranu súkromia.

Osobné údaje môže spracúvať iba prevádzkovateľ a sprostredkovateľ.

Prevádzkovateľom na účely spracúvania osobných údajov v registri trestov podľa osobitného zákona,¹⁰) môže byť len štátny orgán ustanovený zákonom.¹¹)

Spracúvať osobné údaje vo vlastnom mene môže len prevádzkovateľ. Prevádzkovateľ spracúva osobné údaje v súlade s § 9, spôsobom, ktorý je v súlade s dobrými mravmi, a to len na vymedzený alebo ustanovený účel.

Prevádzkovateľ je povinný

Prevádzkovateľ nemá povinnosť podľa odseku 2 písm. a) len vtedy, ak účel spracúvania osobných údajov ustanovuje osobitný zákon v súlade s podmienkami uvedenými v odseku 2 písm. a). Prevádzkovateľ nemá povinnosť určiť podmienky spracúvania osobných údajov podľa odseku 2 písm. b) len vtedy, ak ich ustanovuje všeobecne záväzný právny predpis. Ostatné povinnosti podľa odseku 2 písm. c) až i) je prevádzkovateľ povinný dodržiavať aj počas spracúvania osobných údajov na základe osobitného zákona; tým nie je dotknuté ustanovenie § 10 ods. 4 prvej vety.

Zhromaždené osobné údaje na pôvodne určený účel prevádzkovateľ nemôže spracúvať na iný účel, ktorý je nezlučiteľný s pôvodným účelom spracúvania.

Počas trvania pôvodne určeného účelu spracúvania osobných údajov, ako aj po jeho skončení je prípustné zhromaždené osobné údaje spracúvať v nevyhnutnom rozsahu na historický výskum, vedecký výskum a vývoj alebo na účely štatistiky, čo sa nepovažuje za nezlučiteľné s pôvodným účelom spracúvania. Takto spracúvané osobné údaje prevádzkovateľ nemôže použiť na podporu opatrení alebo rozhodnutí prijatých proti dotknutej osobe a nemôže ich využiť proti záujmom dotknutej osoby na obmedzenie jej základných práv a slobôd. Počas spracúvania osobných údajov na účely podľa prvej vety je prevádzkovateľ povinný ich označiť, anonymizovať ich, ak tým možno dosiahnuť účel spracúvania, a zlikvidovať ich ihneď, ako sa stanú nepotrebnými.

Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov podľa § 2 ods. 2 písm. b) je povinný pred začatím spracúvania vymenovať svojho zástupcu so sídlom, miestom podnikania alebo trvalým pobytom na území Slovenskej republiky.

Zástupca prevádzkovateľa je povinný disponovať originálom dokladu svojho vymenovania za zástupcu prevádzkovateľa a ten preukázať úradu kedykoľvek na jeho žiadosť. Pravosť podpisov a odtlačku pečiatky prevádzkovateľa na origináli dokladu musí byť úradne osvedčená.

Ustanovenia tohto zákona o prevádzkovateľovi sa v rovnakom rozsahu vzťahujú aj na zástupcu prevádzkovateľa.

Prevádzkovateľ je oprávnený na základe písomnej zmluvy poveriť spracúvaním osobných údajov sprostredkovateľa. Na účely poverenia sprostredkovateľa spracúvaním osobných údajov podľa prvej vety sa súhlas dotknutej osoby nevyžaduje.

Prevádzkovateľ je pri výbere sprostredkovateľa povinný dbať na jeho odbornú, technickú, organizačnú a personálnu spôsobilosť a jeho schopnosť zaručiť bezpečnosť spracúvaných osobných údajov opatreniami podľa § 19 ods. 1. Prevádzkovateľ nesmie zveriť spracúvanie osobných údajov sprostredkovateľovi, ak by tým mohli byť ohrozené práva a právom chránené záujmy dotknutých osôb.

Prevádzkovateľ je povinný uzatvoriť so sprostredkovateľom zmluvu podľa odseku 1 pred začatím spracúvania osobných údajov, najneskôr v deň začatia spracúvania osobných údajov. Sprostredkovateľ je oprávnený spracúvať osobné údaje len v rozsahu, za podmienok a na účel dojednaný s prevádzkovateľom v zmluve a spôsobom podľa tohto zákona.

Zmluva podľa odseku 3 musí obsahovať

Sprostredkovateľ vykonáva spracúvanie osobných údajov osobne, pokiaľ si s prevádzkovateľom písomne v zmluve nedohodne, že spracúvanie osobných údajov vykoná prostredníctvom inej osoby (ďalej len „subdodávateľ“). Subdodávateľ spracúva osobné údaje a zabezpečuje ich ochranu na zodpovednosť sprostredkovateľa. Ustanovenia tohto zákona o sprostredkovateľovi sa vzťahujú aj na subdodávateľa. Na subdodávateľa úrad nahliada ako na sprostredkovateľa.

Ak prevádzkovateľ poveril spracúvaním osobných údajov sprostredkovateľa až po získaní osobných údajov, je povinný zabezpečiť oznámenie tejto skutočnosti dotknutým osobám pri prvom kontakte s nimi, najneskôr však do troch mesiacov odo dňa poverenia sprostredkovateľa. To platí aj vtedy, ak spracúvanie osobných údajov prevezme právny nástupca prevádzkovateľa.¹²) Prevádzkovateľ nemusí dotknutej osobe informáciu podľa prvej vety oznamovať, ak sa v rovnakej lehote postupovalo podľa odseku 7.

Sprostredkovateľ je vždy povinný pri prvom kontakte s dotknutou osobou oznámiť, že spracúva jej osobné údaje v mene prevádzkovateľa na vymedzený alebo ustanovený účel, ak tento zákon neustanovuje inak.

Sprostredkovateľ je povinný dodržiavať povinnosti ustanovené prevádzkovateľovi v § 5 ods. 1, § 6 ods. 2 písm. c) až i), § 6 ods. 4, § 19 až 26, ak tento zákon neustanovuje inak.

Povinnosti prevádzkovateľa ustanovené v § 8 ods. 6, § 15 až 18 a § 28 až 32 môže vykonať sprostredkovateľ, ak sa tak výslovne dohodne v zmluve uzatvorenej s prevádzkovateľom podľa odseku 1.

Sprostredkovateľ zodpovedá za plnenie povinností podľa odseku 9 v rozsahu zmluvy uzatvorenej s prevádzkovateľom podľa odseku 1.

Prevádzkovateľ môže spracúvať osobné údaje len na základe priamo vykonateľného právne záväzného aktu Európskej únie, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ustanovení tohto zákona alebo osobitného zákona, alebo na základe súhlasu dotknutej osoby.

Sprostredkovateľ môže spracúvať osobné údaje na základe priamo vykonateľného právne záväzného aktu Európskej únie, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ustanovení tohto zákona alebo osobitného zákona, alebo na základe súhlasu dotknutej osoby, len v rozsahu a za podmienok dojednaných v zmluve uzatvorenej s prevádzkovateľom podľa § 8 ods. 1.

Prevádzkovateľ spracúva osobné údaje bez súhlasu dotknutej osoby, ak účel spracúvania osobných údajov, okruh dotknutých osôb a zoznam osobných údajov alebo ich rozsah podľa odseku 4 ustanovuje priamo vykonateľný právne záväzný akt Európskej únie, medzinárodná zmluva, ktorou je Slovenská republika viazaná, alebo tento zákon. Ak zoznam alebo rozsah osobných údajov nie je ustanovený, prevádzkovateľ môže spracúvať osobné údaje len v rozsahu a spôsobom, ktorý je nevyhnutný na dosiahnutie ustanoveného účelu spracúvania pri dodržaní povinností podľa § 6 ods. 2 písm. c) až f) a i).

Prevádzkovateľ ďalej spracúva osobné údaje bez súhlasu dotknutej osoby, ak účel spracúvania osobných údajov, okruh dotknutých osôb a zoznam osobných údajov ustanovuje osobitný zákon.¹³) Prevádzkovateľ spracúva osobné údaje len v rozsahu a spôsobom, ktorý ustanovuje osobitný zákon. Spracúvané osobné údaje možno z informačného systému poskytnúť, sprístupniť alebo zverejniť len vtedy, ak osobitný zákon ustanovuje účel poskytovania, sprístupňovania alebo zverejňovania, zoznam osobných údajov, ktoré možno poskytnúť, sprístupniť alebo zverejniť, ako aj tretie strany, ktorým sa osobné údaje poskytujú, prípadne okruh príjemcov, ktorým sa osobné údaje sprístupňujú, ak tento zákon neustanovuje inak.

Prevádzkovateľ spracúva osobné údaje bez súhlasu dotknutej osoby aj vtedy, ak

Ak sa vzhľadom na účel spracúvania osobných údajov ustanovený v priamo vykonateľnom právne záväznom akte Európskej únie, medzinárodnej zmluve, ktorou je Slovenská republika viazaná, v tomto zákone a osobitnom zákone nedajú vopred konkrétne určiť jednotlivé osobné údaje, ktoré majú byť predmetom spracúvania, zoznam osobných údajov podľa odsekov 1 a 2 možno nahradiť rozsahom osobných údajov; prevádzkovateľ je povinný pri takomto spracúvaní osobných údajov postupovať podľa § 6 ods. 2 písm. d) okrem tých prevádzkovateľov, ktorí spracúvajú osobné údaje na účely súdneho konania a v súvislosti s ním. Zoznam tretích strán podľa odseku 2 možno nahradiť určením okruhu tretích strán len vtedy, ak vzhľadom na povahu veci nemožno vopred určiť jednotlivé tretie strany, ktorým sa osobné údaje poskytujú, alebo ak tretie strany tvoria skupinu subjektov s rovnakým predmetom činnosti a vykonávajú spracúvanie osobných údajov na rovnaký účel, prípadne ak zloženie takejto skupiny podlieha neustálej zmene.

Ak sa na spracúvanie osobných údajov neuplatňuje § 10, prevádzkovateľ je oprávnený spracúvať osobné údaje len so súhlasom dotknutej osoby.

Ak prevádzkovateľ spracúva osobné údaje podľa odseku 1 a vzniknú pochybnosti o udelení súhlasu dotknutej osoby, prevádzkovateľ je povinný úradu hodnoverne preukázať, že mu dotknutá osoba súhlas poskytla.

Súhlas dotknutej osoby si prevádzkovateľ nesmie vynucovať a ani podmieňovať hrozbou odmietnutia zmluvného vzťahu, služby, tovaru alebo povinnosti ustanovenej prevádzkovateľovi právne záväzným aktom Európskej únie, medzinárodnou zmluvou, ktorou je Slovenská republika viazaná, alebo zákonom.

Súhlas sa preukazuje zvukovým alebo zvukovo-obrazovým záznamom alebo čestným vyhlásením toho, kto poskytol osobné údaje do informačného systému, alebo iným hodnoverným spôsobom. Písomný súhlas sa preukazuje dokladom, ktorý potvrdzuje poskytnutie súhlasu. Dôkaz o súhlase obsahuje najmä údaj o tom, kto súhlas poskytol, komu sa tento súhlas dáva, na aký účel, zoznam alebo rozsah osobných údajov a čas platnosti súhlasu. Súhlas daný v písomnej podobe je bez vlastnoručného podpisu toho, kto súhlas dáva, neplatný. Za súhlas v písomnej podobe sa považuje aj súhlas podpísaný zaručeným elektronickým podpisom.¹⁴)

Osobné údaje o dotknutej osobe možno získať od inej fyzickej osoby a spracúvať v informačnom systéme len s predchádzajúcim písomným súhlasom dotknutej osoby. To neplatí, ak poskytnutím osobných údajov o dotknutej osobe do informačného systému iná fyzická osoba chráni svoje práva alebo právom chránené záujmy alebo oznamuje skutočnosti, ktoré odôvodňujú uplatnenie právnej zodpovednosti dotknutej osoby, alebo sa osobné údaje spracúvajú na základe osobitného zákona podľa § 10 ods. 2. Ten, kto takto osobné údaje spracúva, musí vedieť preukázať úradu kedykoľvek na jeho žiadosť, že ich získal v súlade s týmto zákonom.

Osobné údaje dotknutej osoby možno poskytnúť z informačného systému inej právnickej osobe alebo fyzickej osobe len spolu s písomným dokladom o danom súhlase, ak tento zákon takýto súhlas vyžaduje; ten, kto osobné údaje takto poskytuje, môže písomný doklad o danom súhlase nahradiť písomným vyhlásením prevádzkovateľa o udelení súhlasu dotknutou osobou, ak prevádzkovateľ vie preukázať, že písomný súhlas dotknutej osoby bol daný.

Prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby, je oprávnený sprístupniť, poskytovať alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, pracovné, služobné alebo funkčné zaradenie, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo alebo elektronická pošta na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných, služobných alebo funkčných povinností dotknutej osoby. Sprístupnenie, poskytovanie alebo zverejnenie osobných údajov nemôže narušiť vážnosť, dôstojnosť a bezpečnosť dotknutej osoby.

Osobné údaje podľa § 10 ods. 3 písm. c) a podľa § 14 písm. c) možno spracúvať bez súhlasu dotknutej osoby len po dobu, kým nezaniknú dôvody, ktoré neumožňovali získať súhlas dotknutej osoby. Ak dôvody zanikli, ten, kto osobné údaje spracúva, zabezpečí súhlas dotknutej osoby.

Ten, kto má v úmysle zverejniť osobné údaje dotknutej osoby, nesmie svojím konaním neoprávnene zasahovať do práva na ochranu jej osobnosti a súkromia; zverejnenie osobných údajov nesmie byť v rozpore s oprávnenými záujmami dotknutej osoby.⁷)

Ak dotknutá osoba nemá spôsobilosť na právne úkony v plnom rozsahu,¹⁵) súhlas vyžadovaný podľa tohto zákona môže poskytnúť jej zákonný zástupca.¹⁶)

Ak dotknutá osoba nežije, súhlas vyžadovaný podľa tohto zákona môže poskytnúť jej blízka osoba.¹⁷) Súhlas nie je platný, ak čo len jedna blízka osoba písomne vyslovila nesúhlas.

Spracúvať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru alebo svetonázor, členstvo v politických stranách alebo politických hnutiach, členstvo v odborových organizáciách a údaje týkajúce sa zdravia alebo pohlavného života, sa zakazuje.

Pri spracúvaní osobných údajov možno využiť na účely určenia fyzickej osoby všeobecne použiteľný identifikátor ustanovený osobitným zákonom¹⁸) len vtedy, ak jeho použitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Spracúvať iný identifikátor, ktorý v sebe skrýva charakteristiky dotknutej osoby, alebo zverejňovať všeobecne použiteľný identifikátor sa zakazuje.

Spracúvanie osobných údajov o psychickej identite fyzickej osoby alebo o jej psychickej pracovnej spôsobilosti môže vykonávať len psychológ alebo ten, komu to umožňuje osobitný zákon.¹⁹)

Spracúvanie osobných údajov o porušení ustanovení zakladajúcich trestnú zodpovednosť alebo administratívnoprávnu zodpovednosť, môže vykonávať len ten, komu to umožňuje osobitný zákon.²⁰)

Prevádzkovateľ je oprávnený spracúvať biometrické údaje len vtedy, ak je to primerané účelu spracúvania a nevyhnutné na jeho dosiahnutie a ak

Primeranosť, nevyhnutnosť a právny základ spracúvania biometrických údajov podľa odseku 5 písm. b) až d) posudzuje úrad v konaní podľa § 37 až 39.

Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov dotknutej osoby, je povinný pred ich získavaním dotknutej osobe vopred oznámiť tieto informácie:

Ak osobné údaje o dotknutej osobe nezískal prevádzkovateľ priamo od tejto dotknutej osoby, je povinný bez zbytočného odkladu, najneskôr však v čase pred ich prvým poskytnutím tretej strane, ak sa takéto poskytovanie predpokladá, oznámiť dotknutej osobe informácie podľa odseku 1 písm. a) až c) a ďalšie doplňujúce informácie, pokiaľ sú potrebné s ohľadom na špecifické okolnosti, za ktorých sú osobné údaje získavané na zabezpečenie zákonného spracúvania, najmä

Informácie podľa odseku 1 netreba dotknutej osobe oznamovať, ak prevádzkovateľ vie úradu kedykoľvek na jeho žiadosť preukázať, že jej boli už predtým poskytnuté alebo ak prevádzkovateľ spracúva osobné údaje podľa § 10 ods. 1 a 2. Informácie podľa odseku 2 netreba dotknutej osobe oznamovať, ak prevádzkovateľ

Prevádzkovateľ, ktorý získava osobné údaje na účely identifikácie fyzickej osoby pri jej jednorazovom vstupe do jeho priestorov, je oprávnený od nej požadovať titul, meno, priezvisko a číslo občianskeho preukazu,²³) číslo služobného preukazu alebo číslo cestovného dokladu,²⁴) štátnu príslušnosť a preukázanie pravdivosti poskytnutých osobných údajov predkladaným dokladom. Ak sa fyzická osoba preukáže podľa osobitného zákona,²⁵) je prevádzkovateľ oprávnený od nej požadovať len evidenčné číslo služobného preukazu a názov orgánu, ktorý služobný preukaz vydal. V oboch prípadoch sa odsek 1 nepoužije.

Prevádzkovateľ, ktorý v priestoroch prístupných verejnosti získava, poskytuje alebo sprístupňuje osobné údaje, zabezpečí ich primeranú ochranu podľa § 19.

Získavať osobné údaje nevyhnutné na dosiahnutie účelu spracúvania kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií možno len vtedy, ak s tým dotknutá osoba písomne súhlasí alebo ak to osobitný zákon výslovne umožňuje bez súhlasu dotknutej osoby.²⁶) To neplatí, ak ide o získavanie osobných údajov na účely a v rozsahu údajov podľa odseku 4 ich zaznamenávaním z úradného dokladu automatizovanými prostriedkami spracúvania a o získavanie osobných údajov na účely uzatvorenia pracovnoprávneho alebo obdobného vzťahu.

Priestor prístupný verejnosti možno monitorovať len na účely ochrany verejného poriadku a bezpečnosti, odhaľovania kriminality, narušenia bezpečnosti štátu, ochrany majetku alebo zdravia, a to len vtedy, ak je priestor zreteľne označený ako monitorovaný; monitorovaný priestor je prevádzkovateľ povinný zreteľne označiť bez ohľadu na to, či sa snímaný obraz alebo zvuk zaznamenáva na nosič informácií. Označenie monitorovaného priestoru sa nevyžaduje, ak tak ustanovuje osobitný zákon. Vyhotovený záznam možno využiť len na účely trestného konania alebo konania o priestupkoch, ak osobitný zákon neustanovuje inak.

Prevádzkovateľ, ktorý získa osobné údaje uvedené v § 10 ods. 3 písm. d) bez vedomia dotknutej osoby alebo priamo od nej, poskytne jej pri prvom kontakte informácie podľa odseku 1, a ak sú spracúvané na účely priameho marketingu, oboznámi ju výslovne aj s právom písomne namietať proti ich poskytovaniu a využívaniu v poštovom styku.

Prevádzkovateľ, ktorého predmetom činnosti je priamy marketing, vedie zoznam poskytnutých osobných údajov podľa § 10 ods. 3 písm. d) v rozsahu titul, meno, priezvisko a adresa dotknutej osoby, dátum ich poskytnutia, prípadne dátum, od ktorého platí zákaz ich ďalšieho poskytovania podľa § 17 ods. 6, a názov právnickej osoby alebo fyzickej osoby, ktorej boli uvedené osobné údaje poskytnuté. Zoznam v rovnakom rozsahu vedie aj právnická osoba a fyzická osoba, ktorej boli tieto osobné údaje poskytnuté.

Do informačného systému možno poskytnúť len pravdivé osobné údaje. Za nepravdivosť osobných údajov zodpovedá ten, kto ich do informačného systému poskytol.

Správnosť a aktuálnosť osobných údajov zabezpečuje prevádzkovateľ.

Osobný údaj sa považuje za správny, kým sa nepreukáže opak.

Prevádzkovateľ je po splnení účelu spracúvania povinný bez zbytočného odkladu zabezpečiť likvidáciu osobných údajov.

Odsek 1 sa nepoužije, ak osobné údaje sú súčasťou registratúrneho záznamu.²⁷) Prevádzkovateľ zabezpečuje likvidáciu registratúrneho záznamu podľa osobitného predpisu.²⁸)

Prevádzkovateľ zabezpečí bez zbytočného odkladu likvidáciu osobných údajov okrem osobných údajov uvedených v § 10 ods. 3 písm. d) aj vtedy, ak zanikli dôvody, ktoré neumožňovali získať súhlas dotknutej osoby podľa § 11 ods. 4, a súhlas nebol daný.

Ak dotknutá osoba uplatní námietku podľa § 28 ods. 3 písm. a), prevádzkovateľ je povinný spracúvané osobné údaje bez zbytočného odkladu zlikvidovať okrem osobných údajov uvedených v § 10 ods. 3 písm. d).

Ak dotknutá osoba uplatní námietku podľa § 28 ods. 3 písm. b), prevádzkovateľ je povinný bez zbytočného odkladu skončiť využívanie osobných údajov uvedených v § 10 ods. 3 písm. d) v poštovom styku.

Ak dotknutá osoba uplatní námietku podľa § 28 ods. 3 písm. c), prevádzkovateľ je povinný to bez zbytočného odkladu, najneskôr do troch pracovných dní, písomne oznámiť každému, komu osobné údaje uvedené v § 10 ods. 3 písm. d) poskytol; zákaz ďalšieho poskytovania tu uvedených osobných údajov platí pre prevádzkovateľa a každého, komu ich prevádzkovateľ poskytol odo dňa nasledujúceho po dni doručenia námietky dotknutej osoby, prípadne doručenia písomného oznámenia prevádzkovateľa.

Ak záznam vyhotovený podľa § 15 ods. 7 nie je využitý na účely trestného konania alebo konania o priestupkoch, je ten, kto ho vyhotovil, povinný ho zlikvidovať najneskôr v lehote 15 dní odo dňa nasledujúceho po dni, v ktorom bol záznam vyhotovený, ak osobitný zákon neustanovuje inak.

Ak prevádzkovateľa upozorní dotknutá osoba alebo ak si dotknutá osoba uplatní u prevádzkovateľa svoje právo, alebo ak prevádzkovateľ sám zistí, že poskytol tretej strane nesprávne, neúplné alebo neaktuálne osobné údaje, alebo že ich poskytol bez právneho základu, je povinný bez zbytočného odkladu písomne oznámiť to každému, komu ich poskytol. Prevádzkovateľ v oznámení uvedie, aké opatrenia na nápravu vykonal, najmä či osobné údaje blokoval, doplnil, opravil, aktualizoval alebo zlikvidoval, a aké opatrenia žiada prijať od tretej strany.

Tretia strana je povinná na základe oznámenia podľa odseku 1 vykonať požadované opatrenia, najmä zablokovať osobné údaje v informačnom systéme a bez zbytočného odkladu ich doplniť, opraviť, aktualizovať alebo zlikvidovať.

Od oznámenia podľa odseku 1 možno upustiť len vtedy, ak oznámenie je objektívne nemožné alebo je možné len s vyvinutím neprimeraného úsilia.

Prevádzkovateľ, ktorý upustí od oznámenia podľa odseku 1 z dôvodu podľa odseku 3, je povinný na vyzvanie úradu preukázať, že upustenie od oznámenia je dôvodné.

Za bezpečnosť osobných údajov zodpovedá prevádzkovateľ. Prevádzkovateľ je povinný chrániť spracúvané osobné údaje pred ich poškodením, zničením, stratou, zmenou, neoprávneným prístupom a sprístupnením, poskytnutím alebo zverejnením, ako aj pred akýmikoľvek inými neprípustnými spôsobmi spracúvania. Na tento účel prijme primerané technické, organizačné a personálne opatrenia (ďalej len „bezpečnostné opatrenia“) zodpovedajúce spôsobu spracúvania osobných údajov, pričom berie do úvahy najmä použiteľné technické prostriedky, dôvernosť a dôležitosť spracúvaných osobných údajov, ako aj rozsah možných rizík, ktoré sú spôsobilé narušiť bezpečnosť alebo funkčnosť informačného systému.

Bezpečnostné opatrenia podľa odseku 1 prevádzkovateľ zdokumentuje v bezpečnostnom projekte informačného systému (ďalej len „bezpečnostný projekt“), ak

Prevádzkovateľ je povinný bez zbytočného odkladu zabezpečovať aktualizáciu bezpečnostných opatrení prijatých podľa odsekov 1 a 2 tak, aby zodpovedala prijatým zmenám pri spracúvaní osobných údajov, a to až do ukončenia spracúvania osobných údajov v informačnom systéme.

Na požiadanie úradu prevádzkovateľ preukáže rozsah a obsah bezpečnostných opatrení podľa odsekov 1 a 2.

Bezpečnostný projekt vymedzuje rozsah a spôsob bezpečnostných opatrení potrebných na eliminovanie a minimalizovanie hrozieb a rizík pôsobiacich na informačný systém z hľadiska narušenia jeho bezpečnosti, spoľahlivosti a funkčnosti.

Bezpečnostný projekt vypracúva prevádzkovateľ v súlade s bezpečnostnými štandardmi, právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná.

Rozsah a dokumentáciu bezpečnostných opatrení ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

Fyzická osoba sa stáva oprávnenou osobou dňom jej poučenia.

Prevádzkovateľ je povinný poučiť osobu podľa odseku 1 o jej právach a povinnostiach pri spracúvaní osobných údajov; poučenie obsahuje najmä vymedzenie rozsahu jej oprávnení, povolených činností a podmienok spracúvania osobných údajov. Prevádzkovateľ vykoná poučenie pred uskutočnením prvej operácie s osobnými údajmi oprávnenou osobou.

Prevádzkovateľ je povinný o poučení oprávnenej osoby vyhotoviť záznam, ktorý je povinný na požiadanie úradu hodnoverne preukázať.

Prevádzkovateľ je povinný opätovne poučiť oprávnenú osobu, ak došlo k podstatnej zmene jej pracovného, služobného alebo funkčného zaradenia, a tým sa významne zmenil obsah náplne jej pracovných činností, alebo sa podstatne zmenili podmienky spracúvania osobných údajov alebo rozsah spracúvaných osobných údajov v rámci jej pracovného, služobného alebo funkčného zaradenia.

Prevádzkovateľ je povinný zachovávať mlčanlivosť o osobných údajoch, ktoré spracúva. Povinnosť mlčanlivosti trvá aj po ukončení spracúvania osobných údajov.

Oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými príde do styku; tie nesmie využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmie zverejniť a nikomu poskytnúť ani sprístupniť.

Povinnosť mlčanlivosti podľa odseku 2 platí aj pre iné fyzické osoby, ktoré prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa.

Povinnosť mlčanlivosti podľa odseku 2 trvá aj po zániku funkcie oprávnenej osoby alebo po skončení jej pracovného pomeru, štátnozamestnaneckého pomeru, služobného pomeru alebo obdobného pracovného vzťahu. Povinnosť mlčanlivosti podľa prvej vety sa vzťahuje aj na fyzické osoby podľa odseku 3.

Povinnosť mlčanlivosti podľa odsekov 1 až 4 neplatí, ak je to nevyhnutné na plnenie úloh súdu a orgánov činných v trestnom konaní podľa osobitného zákona; tým nie sú dotknuté ustanovenia o mlčanlivosti podľa osobitných predpisov.³⁰)

Odseky 1 až 4 sa nepoužijú vo vzťahu k úradu pri plnení jeho úloh podľa tohto zákona.

Za výkon dohľadu nad ochranou osobných údajov spracúvaných podľa tohto zákona zodpovedá prevádzkovateľ.

Prevádzkovateľ, ktorý spracúva osobné údaje prostredníctvom oprávnených osôb, môže výkonom dohľadu písomne poveriť zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dozerajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov. Tým nie je dotknutá zodpovednosť prevádzkovateľa podľa odseku 1.

Ak prevádzkovateľ nepoverí zodpovednú osobu podľa odseku 2, je povinný oznámiť úradu tie informačné systémy, ktoré podľa tohto zákona podliehajú oznamovacej povinnosti podľa § 34. Povinnosť ustanovená prevádzkovateľovi podľa prvej vety sa nevzťahuje na sprostredkovateľa.

Zodpovedná osoba má postavenie oprávnenej osoby prevádzkovateľa s právom prístupu do informačných systémov prevádzkovateľa v rozsahu potrebnom na plnenie úloh podľa § 27.

Zodpovednou osobou môže byť len fyzická osoba, ktorá má spôsobilosť na právne úkony v plnom rozsahu, je bezúhonná a má platné potvrdenie úradu o absolvovaní skúšky podľa § 24.

Za bezúhonného sa na účely tohto zákona považuje ten, kto nebol právoplatne odsúdený za úmyselný trestný čin alebo za trestný čin, pri ktorom mu výkon trestu odňatia slobody nebol podmienečne odložený, ak sa podľa rozhodnutia súdu alebo na základe zákona nehľadí na neho, ako keby nebol odsúdený alebo odsúdenie mu nebolo zahladené. Bezúhonnosť sa preukazuje doloženým výpisom z registra trestov nie starším ako tri mesiace. Výpis z registra trestov fyzická osoba doloží prevádzkovateľovi najneskôr v deň poverenia podľa odseku 2. Prevádzkovateľ je povinný ho uchovávať spolu s poverením podľa odseku 8 počas celej doby výkonu funkcie zodpovednej osoby.

Povinnosť preukazovania bezúhonnosti podľa odseku 6 neplatí, ak fyzická osoba je povinná preukázať svoju bezúhonnosť na účely pracovného pomeru, štátnozamestnaneckého pomeru, služobného pomeru alebo obdobného pracovného vzťahu k prevádzkovateľovi podľa osobitného zákona.

Poverenie podľa odseku 2 obsahuje

Fyzická osoba môže byť poverená výkonom dohľadu nad ochranou osobných údajov po úspešnom absolvovaní skúšky.

Skúšku fyzickej osoby na účely výkonu funkcie zodpovednej osoby podľa tohto zákona zabezpečuje úrad.

Žiadosť o absolvovanie skúšky obsahuje

Vzor žiadosti o absolvovanie skúšky podľa odseku 3 zverejní úrad na svojom webovom sídle.

Potvrdenie o absolvovaní skúšky obsahuje

Fyzická osoba, ktorá úspešne absolvovala skúšku a nevykonáva funkciu zodpovednej osoby počas doby dlhšej ako dva roky, je povinná vykonať skúšku opakovane.

Podrobnosti o skúške fyzickej osoby na výkon funkcie zodpovednej osoby ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

Prevádzkovateľ je povinný umožniť zodpovednej osobe nezávislý výkon dohľadu nad ochranou osobných údajov a prijať jej oprávnené návrhy; upozornenie na nedostatky alebo vyslovenie požiadavky zodpovednou osobou v súvislosti s plnením jej povinností podľa § 27 ods. 2 sa nesmie stať podnetom ani dôvodom na konanie zo strany prevádzkovateľa, ktoré by zodpovednej osobe spôsobilo ujmu.

Prevádzkovateľ, ktorý písomne poveril výkonom dohľadu nad ochranou osobných údajov zodpovednú osobu, je povinný o tom písomne informovať úrad bez zbytočného odkladu, najneskôr do 30 dní odo dňa poverenia zodpovednej osoby doporučenou zásielkou alebo v podobe elektronického dokumentu podpísaného zaručeným elektronickým podpisom.¹⁴) Prevádzkovateľ oznámi úradu tieto údaje:

Ak prevádzkovateľ výkonom dohľadu nad ochranou osobných údajov súčasne poveril viac zodpovedných osôb, je povinný podľa odseku 2 oznámiť úradu poverenie všetkých zodpovedných osôb.

Ak počas výkonu funkcie zodpovednej osoby dôjde k zmene údajov oznamovaných podľa odseku 2, prevádzkovateľ je povinný bez zbytočného odkladu nahlásiť úradu zmenu týchto údajov.

Vzor oznámenia podľa odseku 2 zverejní úrad na svojom webovom sídle.

Prevádzkovateľ je oprávnený kedykoľvek bez udania dôvodu poverenie zodpovednej osoby písomne odvolať.

Poverenie zodpovednej osoby zaniká

Ak prevádzkovateľ odvolá poverenie zodpovednej osoby podľa odseku 1, môže postupovať podľa § 23 ods. 2 a § 25 ods. 2. Ak dôjde k zániku poverenia zodpovednej osoby podľa odseku 2 písm. a), c) až f), prevádzkovateľ môže postupovať podľa § 23 ods. 2 a § 25 ods. 2.

Ak dôjde k zániku poverenia zodpovednej osoby podľa odseku 2 písm. b), prevádzkovateľ je povinný o tom bez zbytočného odkladu informovať úrad.

Ak prevádzkovateľ nepostupuje podľa odseku 3, je povinný bez zbytočného odkladu oznámiť úradu odvolanie poverenia alebo zánik poverenia zodpovednej osoby.

Úrad je oprávnený uložiť prevádzkovateľovi povinnosť písomne poveriť výkonom dohľadu nad ochranou osobných údajov inú fyzickú osobu, ak sa preukáže, že písomne poverená zodpovedná osoba nepostupovala pri zabezpečovaní úloh podľa § 27 ods. 1 a 2 v súlade s týmto zákonom. Prevádzkovateľ je povinný bez zbytočného odkladu úradu vyhovieť a výkonom dohľadu nad ochranou osobných údajov písomne poveriť inú fyzickú osobu.

Zodpovedná osoba je povinná pred začatím spracúvania osobných údajov v informačnom systéme posúdiť, či ich spracúvaním nevzniká nebezpečenstvo narušenia práv a slobôd dotknutých osôb. Zistenie narušenia práv a slobôd dotknutých osôb pred začatím spracúvania alebo porušenia zákonných ustanovení v priebehu spracúvania osobných údajov je zodpovedná osoba povinná bez zbytočného odkladu písomne oznámiť prevádzkovateľovi.

Zodpovedná osoba je povinná zabezpečovať

Zodpovedná osoba, ktorá prestane spĺňať podmienky podľa § 23 ods. 5, je povinná bez zbytočného odkladu oznámiť túto skutočnosť prevádzkovateľovi.

Dotknutá osoba má právo na základe písomnej žiadosti od prevádzkovateľa vyžadovať

Právo dotknutej osoby podľa odseku 1 písm. e) a f) možno obmedziť, len ak takéto obmedzenie vyplýva z osobitného zákona alebo jeho uplatnením by bola porušená ochrana dotknutej osoby, alebo by boli porušené práva a slobody iných osôb.

Dotknutá osoba na základe písomnej žiadosti má právo u prevádzkovateľa namietať voči

Dotknutá osoba na základe písomnej žiadosti alebo osobne, ak vec neznesie odklad, má právo u prevádzkovateľa kedykoľvek namietať voči spracúvaniu osobných údajov v prípadoch podľa § 10 ods. 3 písm. a), e), f) alebo g) vyslovením oprávnených dôvodov alebo predložením dôkazov o neoprávnenom zasahovaní do jej práv a právom chránených záujmov, ktoré sú alebo môžu byť v konkrétnom prípade takýmto spracúvaním osobných údajov poškodené; ak tomu nebránia zákonné dôvody a preukáže sa, že námietka dotknutej osoby je oprávnená, prevádzkovateľ je povinný osobné údaje, ktorých spracúvanie dotknutá osoba namietala, bez zbytočného odkladu blokovať a zlikvidovať ihneď, ako to okolnosti dovolia.

Dotknutá osoba na základe písomnej žiadosti alebo osobne, ak vec neznesie odklad, ďalej má právo u prevádzkovateľa kedykoľvek namietať a nepodrobiť sa rozhodnutiu prevádzkovateľa, ktoré by malo pre ňu právne účinky alebo významný dosah, ak sa také rozhodnutie vydá výlučne na základe úkonov automatizovaného spracúvania jej osobných údajov. Dotknutá osoba má právo žiadať prevádzkovateľa o preskúmanie vydaného rozhodnutia metódou odlišnou od automatizovanej formy spracúvania, pričom prevádzkovateľ je povinný žiadosti dotknutej osoby vyhovieť, a to tak, že rozhodujúcu úlohu pri preskúmaní rozhodnutia bude mať oprávnená osoba; o spôsobe preskúmania a výsledku zistenia prevádzkovateľ informuje dotknutú osobu v lehote podľa § 29 ods. 3. Dotknutá osoba nemá toto právo iba v prípade, ak to ustanovuje osobitný zákon, v ktorom sú upravené opatrenia na zabezpečenie oprávnených záujmov dotknutej osoby, alebo ak v rámci predzmluvných vzťahov alebo počas existencie zmluvných vzťahov prevádzkovateľ vydal rozhodnutie, ktorým vyhovel požiadavke dotknutej osoby, alebo ak prevádzkovateľ na základe zmluvy prijal iné primerané opatrenia na zabezpečenie oprávnených záujmov dotknutej osoby.

Ak dotknutá osoba uplatní svoje právo

Dotknutá osoba pri podozrení, že jej osobné údaje sa neoprávnene spracúvajú, môže podať úradu návrh na začatie konania o ochrane osobných údajov.

Ak dotknutá osoba nemá spôsobilosť na právne úkony v plnom rozsahu,¹⁵) jej práva môže uplatniť zákonný zástupca.¹⁶)

Ak dotknutá osoba nežije, jej práva, ktoré mala podľa tohto zákona, môže uplatniť blízka osoba.¹⁷)

Žiadosť dotknutej osoby podľa § 28 ods. 1 písm. a) až c), e) až h) a ods. 3 až 5 vybaví prevádzkovateľ bezplatne.

Žiadosť dotknutej osoby podľa § 28 ods. 1 písm. d) vybaví prevádzkovateľ bezplatne okrem úhrady vo výške, ktorá nemôže prekročiť výšku účelne vynaložených vecných nákladov spojených so zhotovením kópií, so zadovážením technických nosičov a s odoslaním informácie dotknutej osobe, ak osobitný zákon neustanovuje inak.³¹)

Prevádzkovateľ je povinný písomne vybaviť žiadosť dotknutej osoby podľa odsekov 1 a 2 najneskôr do 30 dní odo dňa doručenia žiadosti.

Obmedzenie práv dotknutej osoby podľa § 28 ods. 2 prevádzkovateľ bez zbytočného odkladu písomne oznámi dotknutej osobe a úradu.

Prenos osobných údajov do tretej krajiny, ktorá podľa rozhodnutia Európskej komisie³²) zaručuje primeranú úroveň ochrany osobných údajov, možno uskutočniť, ak prevádzkovateľ dotknutej osobe predtým poskytol informácie podľa § 15 ods. 1 alebo ods. 2, alebo bola splnená niektorá z podmienok uvedených v § 15 ods. 3.

Prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, možno uskutočniť, ak prevádzkovateľ prijme primerané záruky ochrany súkromia a základných práv a slobôd jednotlivcov a výkonu príslušných práv; takéto záruky vyplývajú zo štandardných zmluvných doložiek podľa osobitného predpisu³³) alebo záväzných vnútropodnikových pravidiel prevádzkovateľa, ktoré boli schválené orgánom dozoru v oblasti ochrany osobných údajov so sídlom v členskom štáte.

Ak prevádzkovateľ nepostupuje podľa odseku 2, prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov možno uskutočniť, iba ak

Ak ide o prenos osobných údajov o osobách v pracovnom pomere, štátnozamestnaneckom pomere, služobnom pomere alebo v obdobnom pracovnom vzťahu, prevádzkovateľ je povinný prijať primerané záruky ochrany súkromia a ochrany osobných údajov podľa odseku 2.

Ak prevádzkovateľ alebo sprostredkovateľ so sídlom, miestom podnikania alebo trvalým pobytom v Spojených štátoch amerických pristúpil k zásadám bezpečného prístavu,³⁴) zmluva o prenose osobných údajov musí obsahovať

Ak prevádzkovateľ použije v zmluve o prenose osobných údajov do tretej krajiny bez primeranej úrovne ochrany osobných údajov zmluvné doložky, ktoré sú odlišné od štandardných zmluvných doložiek podľa odseku 2 určených na prenos prevádzkovateľom alebo sprostredkovateľom alebo s nimi vykazujú zjavný nesúlad, je povinný pred začatím prenosu požiadať úrad o súhlas.

Žiadosť podľa odseku 6 obsahuje

Prílohou žiadosti podľa odseku 7 je zmluva o prenose osobných údajov v štátnom jazyku alebo jej úradne overený preklad do štátneho jazyka.

Na prenos osobných údajov podľa odsekov 2, 3 a 5 sa súhlas úradu nevyžaduje.

Prevádzkovateľ je oprávnený uskutočniť prenos osobitnej kategórie osobných údajov tretej strane so sídlom v tretej krajine iba s predchádzajúcim písomným súhlasom dotknutej osoby, ak osobitný zákon neustanovuje inak.

Ten, kto uskutočňuje prenos osobných údajov, musí zabezpečiť ich bezpečnosť aj počas tohto prenosu.

Ochrana osobných údajov, ktoré prenáša prevádzkovateľ alebo sprostredkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom v tretej krajine na územie Slovenskej republiky, sa vykonáva v súlade s týmto zákonom.

Voľný pohyb osobných údajov medzi Slovenskou republikou a členskými štátmi sa zaručuje; Slovenská republika neobmedzí ani nezakáže prenos osobných údajov z dôvodov ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním ich osobných údajov.

Prevádzkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom na území Slovenskej republiky, ktorý zároveň spracúva osobné údaje prostredníctvom sprostredkovateľa na území jedného alebo viacerých členských štátov, je povinný zabezpečiť, aby konali podľa jeho pokynov a v súlade s týmto zákonom; to neplatí pri prijatí technických, organizačných a personálnych bezpečnostných opatrení.

Prevádzkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom na území Slovenskej republiky pri prenose osobných údajov prevádzkovateľovi v inom členskom štáte je povinný prijať primerané záruky zachovania práv a právom chránených záujmov dotknutých osôb.

Prevádzkovateľ je povinný získať písomný alebo iným hodnoverným spôsobom preukázateľný súhlas dotknutých osôb pred poskytnutím osobných údajov prevádzkovateľovi so sídlom v inom členskom štáte, ak tento zákon alebo osobitný zákon takýto súhlas vyžaduje.

Prevádzkovateľ je povinný oznámiť úradu informačné systémy, požiadať úrad o osobitnú registráciu informačných systémov alebo viesť o informačných systémoch evidenciu v rozsahu a za podmienok ustanovených týmto zákonom.

Oznamovacia povinnosť sa vzťahuje na všetky informačné systémy, v ktorých sa spracúvajú osobné údaje úplne alebo čiastočne automatizovanými prostriedkami spracúvania.

Oznamovacia povinnosť podľa odseku 1 sa nevzťahuje na informačné systémy, ktoré

Prevádzkovateľ je povinný oznámiť informačný systém podľa § 34 pred začatím spracúvania osobných údajov; oznámenie možno vykonať aj prostredníctvom elektronického formulára. Oznámenie musí obsahovať

Vzor oznámenia informačného systému a príkladmý zoznam informačných systémov podľa odseku 1 zverejní úrad na svojom webovom sídle.

Ak ide o informačný systém, ktorý podľa § 34 podlieha oznamovacej povinnosti a oznámenie spĺňa náležitosti podľa § 35 ods. 1, úrad informačnému systému pridelí identifikačné číslo. O splnení oznamovacej povinnosti vydá úrad na žiadosť prevádzkovateľa potvrdenie, ktoré obsahuje

Ak oznámenie nespĺňa náležitosti podľa § 35 ods. 1, úrad vyzve prevádzkovateľa na odstránenie nedostatkov v lehote, ktorú určí a ktorá nemôže byť kratšia ako sedem dní. Ak prevádzkovateľ neodstráni nedostatky v určenej lehote, úrad identifikačné číslo nepridelí a na oznámenie sa neprihliada.

Ak informačný systém podlieha oznamovacej povinnosti a prevádzkovateľ si splnil oznamovaciu povinnosť podľa § 35 ods. 1, je oprávnený začať so spracúvaním osobných údajov odo dňa oznámenia.

Ak informačný systém prevádzkovateľa po jeho oznámení začne spĺňať podmienky uvedené v § 34 ods. 2, prevádzkovateľ je povinný o tom bez zbytočného odkladu informovať úrad; úrad odníme identifikačné číslo, o čom bez zbytočného odkladu informuje prevádzkovateľa. Ak úrad zistí túto skutočnosť pri plnení úloh podľa tohto zákona z vlastnej iniciatívy, odníme identifikačné číslo, o čom bez zbytočného odkladu informuje prevádzkovateľa. Proti rozhodnutiu o odňatí identifikačného čísla nie je prípustný opravný prostriedok.

Prevádzkovateľ je povinný prihlásiť informačný systém na osobitnú registráciu na úrade pred začatím spracúvania osobných údajov. Žiadosť, ktorou prevádzkovateľ prihlasuje informačný systém na osobitnú registráciu, musí okrem náležitostí podľa § 35 ods. 1 obsahovať aj dôvod prihlasovania informačného systému na osobitnú registráciu podľa § 37.

Vzor žiadosti, ktorou prevádzkovateľ prihlasuje informačný systém na osobitnú registráciu, zverejní úrad na svojom webovom sídle.

Prílohou k žiadosti podľa odseku 2 sú podklady nevyhnutné na posúdenie, či spracúvaním osobných údajov nevzniká nebezpečenstvo porušenia práv a slobôd dotknutých osôb.

Ak žiadosť nespĺňa náležitosti podľa § 38 ods. 1 a 3 alebo ak pri posudzovaní žiadosti vzniknú akékoľvek pochybnosti, úrad vyzve prevádzkovateľa na odstránenie nedostatkov alebo doplnenie podkladov v lehote, ktorú určí a ktorá nemôže byť kratšia ako desať dní; počas tejto doby lehota v konaní o osobitnej registrácii neplynie.

Mieru nebezpečenstva porušenia práv a slobôd dotknutej osoby pri spracúvaní osobných údajov individuálne pre konkrétny prípad posudzuje úrad.

Ak spracúvaním osobných údajov nevzniká nebezpečenstvo porušenia práv a slobôd dotknutých osôb, úrad zaregistruje informačný systém a pridelí mu registračné číslo. O osobitnej registrácii vydá úrad potvrdenie, ktoré obsahuje

Vzor potvrdenia o osobitnej registrácii zverejní úrad na svojom webovom sídle.

Prevádzkovateľ je oprávnený začať spracúvať osobné údaje v informačnom systéme prihlásenom na osobitnú registráciu až po doručení potvrdenia o osobitnej registrácii.

Ak úrad spracúvanie osobných údajov v informačnom systéme prihlásenom na osobitnú registráciu posúdi ako rizikové, rozhodne o neudelení osobitnej registrácie prevádzkovateľovi na spracúvanie osobných údajov na daný účel. Prevádzkovateľ je povinný bez zbytočného odkladu vykonať opatrenia, aby sa spracúvanie osobných údajov neuskutočnilo.

Ak pri posudzovaní predložených údajov úrad zistí, že prihlásený informačný systém nepodlieha osobitnej registrácii, konanie o osobitnej registrácii zastaví a prevádzkovateľa o tom bez zbytočného odkladu informuje.

O osobitnej registrácii sa nevyhotovuje písomné rozhodnutie; proti osobitnej registrácii nie je prípustný opravný prostriedok.

Ak sa preukáže, že prevádzkovateľ spracúva osobné údaje v rozpore so zákonom alebo dobrými mravmi, úrad rozhodnutím zruší osobitnú registráciu informačného systému a rozhodne o ukončení spracúvania osobných údajov.

Prevádzkovateľ je povinný do 15 dní písomne oznámiť úradu akékoľvek zmeny oznámených údajov a údajov prihlásených na osobitnú registráciu, ktoré nastanú v priebehu spracúvania; povinnosť oznámenia zmien sa nevzťahuje na počet oprávnených osôb podľa § 35 ods. 1 písm. d). Vzor žiadosti o oznámení zmien zverejní úrad na svojom webovom sídle.

Prevádzkovateľ je povinný do 15 dní odo dňa skončenia spracúvania osobných údajov písomne oznámiť ukončenie používania informačného systému podľa § 35 ods. 1 a písomne odhlásiť informačný systém z osobitnej registrácie. Pri písomnom oznámení podľa prvej vety je prevádzkovateľ povinný uviesť najmä svoje identifikačné údaje, názov odhlasovaného informačného systému, identifikačné alebo registračné číslo a dátum skončenia spracúvania osobných údajov. Vzor písomného oznámenia podľa prvej vety zverejní úrad na svojom webovom sídle.

Zmenu oznámených údajov podľa odseku 1 a oznámenie ukončenia používania informačného systému podľa odseku 2 možno vykonať aj prostredníctvom elektronického formulára.

Za osobitnú registráciu a za zmenu osobitnej registrácie sa vyberá správny poplatok podľa osobitného predpisu.³⁵)

Údaje z oznámení v rozsahu podľa § 35 ods. 1 a osobitnej registrácie v rozsahu podľa § 38 ods. 1 je úrad povinný sprístupniť bezplatne komukoľvek, kto o to požiada.

Úrad prostredníctvom svojho webového sídla zverejňuje zoznam oznámení a osobitných registrácií v rozsahu

O informačných systémoch, ktoré nepodliehajú oznamovacej povinnosti alebo osobitnej registrácii, je prevádzkovateľ povinný viesť evidenciu, a to najneskôr odo dňa začatia spracúvania údajov v týchto informačných systémoch. Evidencia obsahuje údaje v rozsahu podľa § 35 ods. 1. Vzor evidencie zverejní úrad na svojom webovom sídle.

Prevádzkovateľ je povinný viesť a aktualizovať evidenciu podľa odseku 1 až do dňa ukončenia spracúvania osobných údajov v informačnom systéme; povinnosť aktualizácie sa nevzťahuje na počet oprávnených osôb podľa § 35 ods. 1 písm. d).

Údaje z evidencie podľa § 43 ods. 1 je prevádzkovateľ povinný sprístupniť bezplatne komukoľvek, kto o to požiada.

Úrad je orgánom štátnej správy s celoslovenskou pôsobnosťou, ktorý vykonáva dozor nad ochranou osobných údajov a podieľa sa na ochrane základných práv a slobôd fyzických osôb pri spracúvaní ich osobných údajov.

Sídlom úradu je Bratislava.

Úrad pri výkone svojej pôsobnosti postupuje nezávisle a riadi sa ústavou, ústavnými zákonmi, zákonmi, ostatnými všeobecne záväznými právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná.

Úrad je rozpočtovou organizáciou.³⁶) Návrh rozpočtu predkladá úrad ako súčasť kapitoly Všeobecná pokladničná správa. Schválený rozpočet úradu môže znížiť v priebehu kalendárneho roku iba Národná rada Slovenskej republiky.

Podrobnosti o organizácii úradu upraví organizačný poriadok.

Úrad pri výkone dozoru nad ochranou osobných údajov plní tieto úlohy:

Okrem plnenia úloh podľa odseku 1 úrad ďalej

Ak úrad zistí skutočnosti nasvedčujúce tomu, že zákon, iný všeobecne záväzný právny predpis alebo prevádzkovateľom vydaný vnútorný predpis porušuje základné práva a slobody fyzických osôb pri spracúvaní ich osobných údajov, predseda úradu môže podať podnet na jeho zmenu alebo zrušenie orgánu, ktorý tento predpis prijal.

Predmetom dozoru nad ochranou osobných údajov nie sú spory zo zmluvných alebo predzmluvných vzťahov medzi prevádzkovateľmi alebo sprostredkovateľmi a dotknutými osobami alebo inými fyzickými osobami, alebo právnickými osobami, na ktorých prejednávanie a rozhodovanie sú príslušné súdy alebo iné orgány podľa osobitných zákonov.

Ak osobné údaje spracúvajú spravodajské služby a Národný bezpečnostný úrad, dozor nad ochranou osobných údajov vykonáva Národná rada Slovenskej republiky podľa osobitného predpisu.³⁷)

Na čele úradu je predseda, ktorého volí a odvoláva Národná rada Slovenskej republiky na návrh vlády Slovenskej republiky.

Funkčné obdobie predsedu úradu je päť rokov a možno ho zvoliť najviac na dve po sebe nasledujúce funkčné obdobia. Predseda úradu ostáva vo funkcii aj po uplynutí funkčného obdobia, kým Národná rada Slovenskej republiky nezvolí nového predsedu.

Za predsedu úradu možno zvoliť občana Slovenskej republiky, ktorý je voliteľný do Národnej rady Slovenskej republiky, má spôsobilosť na právne úkony v plnom rozsahu, má vysokoškolské vzdelanie druhého stupňa a je bezúhonný podľa § 23 ods. 6 prvá a druhá veta.

Predseda úradu je povinný zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedel počas výkonu svojej funkcie, a to aj po skončení výkonu svojej funkcie. Od povinnosti mlčanlivosti môže predsedu úradu v konkrétnom prípade oslobodiť Národná rada Slovenskej republiky.

Za svoju činnosť predseda úradu zodpovedá Národnej rade Slovenskej republiky.

Predseda úradu má počas výkonu svojej funkcie postavenie vedúceho služobného úradu podľa osobitného zákona.³⁸)

Pred uplynutím funkčného obdobia výkon funkcie predsedu úradu zaniká

Predseda úradu môže byť z funkcie odvolaný, ak

Platové a ďalšie náležitosti predsedu úradu určuje vláda Slovenskej republiky podľa osobitného predpisu.³⁸)

Predsedu úradu zastupuje podpredseda úradu, ktorého vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu.

Funkčné obdobie podpredsedu úradu je päť rokov a možno ho vymenovať najviac na dve po sebe nasledujúce obdobia. Podpredseda úradu ostáva vo funkcii aj po uplynutí funkčného obdobia, kým vláda Slovenskej republiky nevymenuje nového podpredsedu.

Na výkon funkcie podpredsedu úradu sa ustanovenia § 47 ods. 3, 7 a 8 vzťahujú rovnako.

Na čele inšpektorov je vrchný inšpektor úradu, ktorého vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu.

Za vrchného inšpektora možno vymenovať občana,⁴⁰) ktorý má spôsobilosť na právne úkony v plnom rozsahu, je bezúhonný, má vysokoškolské vzdelanie druhého stupňa a najmenej päťročnú odbornú prax v oblasti informatiky alebo práva a dosiahol vek najmenej 35 rokov.

Funkčné obdobie vrchného inšpektora je päť rokov a do funkcie ho možno vymenovať najviac na dve po sebe nasledujúce obdobia. Vrchný inšpektor ostáva vo funkcii aj po uplynutí funkčného obdobia, kým vláda Slovenskej republiky nevymenuje nového vrchného inšpektora.

Vrchného inšpektora možno z funkcie odvolať, ak

Vrchný inšpektor úradu sa z funkcie odvolá, ak hrubo zanedbal povinnosti uložené týmto zákonom, ak nepreukáže, že zavinenie nespôsobil alebo mu nemohol zabrániť, alebo pre hrubé porušenie služobnej disciplíny.

Pred uplynutím funkčného obdobia výkon funkcie vrchného inšpektora úradu zaniká

Inšpektora úradu vymenúva a odvoláva predseda úradu zo štátnych zamestnancov³⁸) vykonávajúcich štátnu službu v úrade.

Za inšpektora úradu možno vymenovať občana,⁴⁰) ktorý má vysokoškolské vzdelanie druhého stupňa a najmenej trojročnú odbornú prax v oblasti informatiky alebo práva a dosiahol vek najmenej 30 rokov.

Inšpektora úradu možno odvolať pri zmene štátnozamestnaneckého pomeru,³⁸) a ak mu zdravotný stav dlhodobo, najmenej však počas šiestich mesiacov, nedovoľuje riadne vykonávať povinnosti vyplývajúce z opisu činností štátneho zamestnanca.

Podpredseda úradu, vrchný inšpektor, inšpektor úradu a zamestnanec úradu sú povinní zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedeli počas plnenia úloh podľa tohto zákona, a to aj po skončení výkonu svojej funkcie, štátnozamestnaneckého pomeru alebo pracovného pomeru. Od povinnosti mlčanlivosti môže podpredsedu úradu, vrchného inšpektora, inšpektora a zamestnanca úradu v konkrétnom prípade zbaviť predseda úradu.

Kontrolu spracúvania osobných údajov podľa tohto zákona vykonáva vrchný inšpektor úradu, inšpektor úradu a zamestnanci úradu, ktorí sú členmi kontrolného orgánu (ďalej len „kontrolný orgán“).

Kontrolný orgán vykoná kontrolu ako riadnu kontrolu na základe ročného plánu kontrol alebo ako mimoriadnu kontrolu na základe podozrenia z porušenia povinností pri spracúvaní osobných údajov ustanovených zákonom alebo v rámci konania o ochrane osobných údajov.

Vrchný inšpektor úradu vykonáva kontrolu na základe písomného poverenia predsedu úradu. Inšpektor úradu vykoná kontrolu na základe písomného poverenia vrchného inšpektora úradu. Zamestnanec úradu sa zúčastňuje na kontrole na základe písomného poverenia predsedu úradu alebo vrchného inšpektora úradu. Písomné poverenie na vykonanie kontroly obsahuje

Vzor poverenia na vykonanie kontroly zverejní úrad na svojom webovom sídle.

Kontrola je začatá dňom doručenia oznámenia o kontrole prevádzkovateľovi alebo sprostredkovateľovi (ďalej len „kontrolovaná osoba“).

Pri výkone kontroly je kontrolný orgán povinný postupovať tak, aby neboli dotknuté práva a právom chránené záujmy kontrolovanej osoby.

Kontrolný orgán, ktorý sa dozvedel o skutočnostiach zakladajúcich pochybnosti o jeho zaujatosti, je povinný tieto skutočnosti písomne oznámiť úradu bez zbytočného odkladu.

Ak má kontrolovaná osoba pochybnosti o zaujatosti kontrolného orgánu so zreteľom na jeho vzťah k predmetu kontroly alebo ku kontrolovanej osobe, kontrolovaná osoba je oprávnená podať písomné námietky s uvedením dôvodu. Podanie námietok nemá odkladný účinok; kontrolný orgán je podľa prvej vety oprávnený vykonať pri kontrole len také úkony, ktoré neznesú odklad.

O námietkach zaujatosti a o oznámení zaujatosti rozhodne predseda úradu v lehote do piatich pracovných dní od ich uplatnenia a písomne oboznámi s rozhodnutím toho, kto námietku uplatnil. Proti rozhodnutiu predsedu úradu nemožno podať opravný prostriedok.

Na rozhodovanie o zaujatosti sa nevzťahuje všeobecný predpis o správnom konaní.⁴¹)

Ak je to odôvodnené osobitnou povahou kontroly, môže kontrolný orgán prizvať na vykonanie kontroly iné fyzické osoby. Účasť týchto fyzických osôb na kontrole sa považuje za iný úkon vo všeobecnom záujme.

Prizvaná osoba sa ako člen kontrolného orgánu zúčastňuje kontroly na základe písomného poverenia predsedu úradu alebo vrchného inšpektora; o prizvaní fyzickej osoby kontrolný orgán upovedomí kontrolovanú osobu podľa § 55 písm. a).

Prizvaná osoba je povinná zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedela počas výkonu kontroly, a to aj po jej ukončení. Od povinnosti mlčanlivosti môže prizvanú osobu zbaviť predseda úradu.

Prizvaná osoba nemôže vykonávať úlohy podľa tohto zákona, ak so zreteľom na jej vzťah k predmetu veci možno mať pochybnosti o jej nezaujatosti. Prizvaná osoba, ktorá sama vie o skutočnostiach zakladajúcich pochybnosti o jej zaujatosti, oznámi tieto skutočnosti bez zbytočného odkladu úradu.

Kontrolovaná osoba môže písomne vzniesť preukázateľné námietky o zaujatosti prizvanej osoby. Prizvaná osoba môže do rozhodnutia o námietkach zaujatosti vykonať pri kontrole len také úkony, ktoré neznesú odklad.

O námietkach zaujatosti a o oznámení zaujatosti rozhodne predseda úradu v lehote do troch pracovných dní od ich uplatnenia. Proti rozhodnutiu predsedu úradu nemožno podať opravný prostriedok.

Na rozhodovanie o zaujatosti sa nevzťahuje všeobecný predpis o správnom konaní.⁴¹)

Výsledkom kontroly je protokol alebo záznam o kontrole.

Ak boli kontrolou zistené nedostatky, kontrolný orgán vypracuje protokol, ktorý obsahuje

Protokol podľa odseku 2 môže obsahovať prílohy; prílohy tvoria neoddeliteľnú súčasť protokolu.

Kontrolovaná osoba je po oboznámení sa s kontrolnými zisteniami uvádzanými v protokole oprávnená podať písomné námietky v lehote siedmich dní odo dňa podpísania protokolu; deň odmietnutia podpísať protokol podľa odseku 2 písm. j) vety za bodkočiarkou sa považuje za deň podpísania protokolu. Na neskôr podané námietky kontrolný orgán neprihliada.

Ak sú proti kontrolným zisteniam podané námietky podľa odseku 4 alebo vyšli najavo nové skutočnosti, ktoré v čase oboznamovania s protokolom neboli známe, kontrolný orgán posúdi ich obsah z hľadiska ich opodstatnenosti v lehote 15 dní odo dňa doručenia námietok a vypracuje o nich dodatok, ktorý je neoddeliteľnou súčasťou protokolu. Ak kontrolný orgán neakceptuje námietky kontrolovaného subjektu, je povinný to v dodatku zdôvodniť. Pri jeho vypracovaní sa postupuje primerane podľa odseku 2.

Kontrolný orgán písomne informuje kontrolovanú osobu o výsledku preskúmania námietok v lehote 15 dní odo dňa doručenia námietok.

Ak sa kontrolou nezistí porušenie povinností ustanovených zákonom, kontrolný orgán vypracuje záznam o kontrole. Pri jeho vypracovaní sa postupuje primerane podľa odseku 2.

Kontrola je ukončená dňom podpísania zápisnice o prerokovaní protokolu alebo dňom podpísania záznamu o kontrole podľa odseku 7. Ak kontrolovaná osoba odmietne podpísať zápisnicu o prerokovaní protokolu, kontrola sa považuje za ukončenú dňom odmietnutia jej podpísania, o čom kontrolný orgán vyhotoví v zápisnici záznam.

Protokol a informácie, ktoré obsahuje dokumentácia súvisiaca s výkonom kontroly podľa tohto zákona, sa nesprístupňujú podľa osobitného zákona.⁴²)

Na výkon kontroly sa nevzťahuje osobitný zákon o kontrole v štátnej správe.⁴³)

Na doručovanie písomností pri výkone kontroly sa vzťahuje všeobecný predpis o správnom konaní.^43a)

Účelom konania o ochrane osobných údajov (ďalej len „konanie“) je zistiť, či postupom prevádzkovateľa alebo sprostredkovateľa došlo k porušeniu práv fyzických osôb pri spracúvaní ich osobných údajov a v prípade zistenia nedostatkov, uložiť opatrenia na nápravu, prípadne sankciu za porušenie tohto zákona.

Konanie je neverejné; tým nie je dotknuté ustanovenie § 71.

Konanie sa začína na návrh dotknutej osoby alebo osoby, ktorá tvrdí, že je priamo dotknutá na svojich právach ustanovených týmto zákonom (ďalej len „navrhovateľ“), alebo bez návrhu.

Návrh na začatie konania podľa odseku 1 musí obsahovať

Úrad môže návrh na začatie konania podľa odseku 1 odložiť, ak

V odôvodnených prípadoch, v ktorých by mohlo dôjsť k porušeniu práv a právom chránených záujmov dotknutej osoby, môže úrad na žiadosť navrhovateľa utajiť jeho totožnosť.

Ak návrh na začatie konania doručí úradu iná osoba ako navrhovateľ, návrh sa považuje za podnet na začatie konania bez návrhu (ďalej len „podnet“).

Úrad môže podnet podľa odseku 5 odložiť, ak

Ak úrad podnet neodloží podľa odseku 6, začne konanie z vlastnej iniciatívy. Úrad začne konanie z vlastnej iniciatívy aj na základe výsledkov kontroly podľa § 60 ods. 2, ktorou boli zistené nedostatky.

Fyzická osoba alebo právnická osoba, ktorá podala podnet, nie je účastníkom konania. O spôsobe vybavenia jej podnetu podľa prvej vety ju úrad bez zbytočného odkladu informuje.

Úrad rozhodne o návrhu navrhovateľa v lehote do 60 dní odo dňa začatia konania. V odôvodnených prípadoch úrad túto lehotu primerane predĺži, najviac však o šesť mesiacov. O predĺžení lehoty úrad písomne informuje účastníkov konania.

Úrad posúdi podnet fyzickej osoby alebo právnickej osoby podľa § 63 ods. 5 v lehote 15 dní odo dňa jeho doručenia. Ak úrad nepostupuje podľa § 63 ods. 6, začne konanie a vo veci rozhodne v lehote podľa odseku 1.

Ak je počas konania začatého na základe návrhu navrhovateľa alebo na základe vlastnej iniciatívy podľa § 63 ods. 7 potrebné vykonať kontrolu, lehota na vybavenie návrhu podľa odseku 1 neplynie odo dňa začatia kontroly až do dňa skončenia kontroly. Výsledok kontroly je podkladom na rozhodnutie vo veci.

Ak úrad zistí porušenie práv navrhovateľa, fyzickej osoby v konaní bez návrhu alebo nesplnenie povinností pri spracúvaní osobných údajov ustanovených zákonom, uloží rozhodnutím prevádzkovateľovi alebo sprostredkovateľovi, aby v určenej lehote vykonal opatrenia na odstránenie zistených nedostatkov a príčin ich vzniku; inak konanie o ochrane osobných údajov zastaví.

Okrem opatrení podľa odseku 1 úrad je oprávnený ďalej uložiť opatrenia prevádzkovateľovi alebo sprostredkovateľovi, ktorými

Ak porušenie práv dotknutej osoby alebo nesplnenie povinností pri spracúvaní osobných údajov neznesie odklad, úrad vydá predbežné opatrenie.

Prevádzkovateľ alebo sprostredkovateľ je povinný informovať úrad o splnení uložených opatrení v úradom určenej lehote.

O rozklade podanom proti rozhodnutiu podľa § 65 rozhodne predseda úradu.

Úrad môže uložiť pokutu od 300 eur do 3 000 eur prevádzkovateľovi, ktorý

Úrad môže uložiť pokutu od 1 000 eur do 50 000 eur prevádzkovateľovi, ktorý

Úrad uloží pokutu od 1 000 eur do 200 000 eur prevádzkovateľovi, ktorý

Úrad môže uložiť pokutu od 300 eur do 3 000 eur sprostredkovateľovi, ktorý

Úrad môže uložiť pokutu od 1 000 eur do 50 000 eur sprostredkovateľovi, ktorý

Úrad uloží pokutu od 1 000 eur do 200 000 eur sprostredkovateľovi, ktorý

Úrad môže uložiť pokutu od 150 eur do 2 000 eur tomu, kto

Pokutu a poriadkovú pokutu úrad uloží opakovane, ak povinnosť nebola splnená v určenej lehote.

Pokutu podľa § 68 možno uložiť do dvoch rokov odo dňa, keď úrad porušenie povinnosti zistil, najneskôr však do piatich rokov odo dňa, keď k porušeniu povinnosti došlo.

Poriadkovú pokutu podľa § 69 možno uložiť do jedného mesiaca odo dňa, keď k porušeniu povinnosti došlo.

Pri ukladaní pokuty alebo poriadkovej pokuty a určení jej výšky úrad prihliada najmä na závažnosť, čas trvania a následky protiprávneho konania, opakovanie takéhoto konania a mieru ohrozenia súkromného a rodinného života a na počet dotknutých osôb.

Ak sa tá istá osoba dopustí toho istého porušenia tohto zákona do dvoch rokov od právoplatnosti rozhodnutia, môže jej úrad uložiť pokutu alebo poriadkovú pokutu až do výšky dvojnásobku sadzby uloženej pokuty alebo poriadkovej pokuty.

Proti rozhodnutiu o uložení pokuty alebo poriadkovej pokuty možno podať písomne rozklad do 15 dní odo dňa jeho doručenia. O rozklade rozhodne predseda úradu do 60 dní odo dňa jeho doručenia.

V odôvodených prípadoch úrad môže rozhodnutím povoliť odklad platenia pokuty alebo poriadkovej pokuty alebo povoliť platenie pokuty alebo poriadkovej pokuty v splátkach.

Výnosy pokút sú príjmom štátneho rozpočtu.

Ak úrad zistí porušenie povinností ustanovených týmto zákonom, môže rozhodnutím zverejniť obchodné meno alebo názov, sídlo alebo trvalý pobyt, identifikačné číslo, ak ho má pridelené, a právnu formu toho, kto sa dopustil protiprávneho konania, a

Úrad môže uložiť prevádzkovateľovi alebo sprostredkovateľovi povinnosť zverejniť skutočnosti v rozsahu podľa odseku 1 písm. c) v hromadných informačných prostriedkoch.

Úrad môže uložiť povinnosť zverejniť porušenie zákona podľa odseku 2, ak zistí závažné, opakované alebo dlhotrvajúce porušenie povinností ustanovených týmto zákonom; pri ukladaní povinnosti zverejniť porušenie zákona úrad zohľadní aj mieru ohrozenia súkromného a rodinného života a počet dotknutých osôb.

Prevádzkovateľ alebo sprostredkovateľ je povinný splniť povinnosť uloženú úradom podľa odseku 2. Štatutárny orgán prevádzkovateľa a sprostredkovateľa je povinný zabezpečiť zverejnenie oznamu v hromadných informačných prostriedkoch v rozsahu podľa odseku 1 písm. c) na vlastné náklady prevádzkovateľa; obsah, formu, hromadný informačný prostriedok a najneskorší termín zverejnenia oznamu určí úrad.

Osobné údaje uvedené vo výroku alebo odôvodnení vykonateľného opatrenia alebo rozhodnutia podľa odseku 1 písm. a) a b) sa nezverejňujú.

Na konanie podľa tohto zákona sa vzťahuje všeobecný predpis o správnom konaní,⁴¹) ak v odseku 2 nie je ustanovené inak.

Všeobecný predpis o správnom konaní⁴¹) sa nevzťahuje na

Každý je povinný umožniť úradu vykonať dozor nad dodržiavaním povinností podľa tohto zákona a rozhodnutí vydaných na jeho základe. Týmto nie je dotknuté ustanovenie § 46 ods. 5.

Každý je povinný poskytnúť úradu potrebnú súčinnosť pri plnení jeho úloh podľa tohto zákona.

Prevádzkovateľ a sprostredkovateľ sú povinní strpieť všetky úkony úradu smerujúce k zisteniu všetkých okolností potrebných na objektívne posúdenie veci.

Úrad na ochranu osobných údajov Slovenskej republiky zriadený podľa doterajšieho zákona je Úradom na ochranu osobných údajov Slovenskej republiky podľa tohto zákona.

Predseda úradu zvolený do funkcie podľa doterajšieho zákona je predsedom úradu podľa tohto zákona; týmto nie je dotknuté plynutie jeho funkčného obdobia.

Podpredseda úradu vymenovaný do funkcie podľa doterajších predpisov je podpredsedom úradu podľa tohto zákona; týmto nie je dotknuté plynutie jeho funkčného obdobia.

Vrchný inšpektor úradu vymenovaný do funkcie podľa doterajších predpisov je vrchným inšpektorom úradu podľa tohto zákona; týmto nie je dotknuté plynutie jeho funkčného obdobia.

Inšpektor úradu vymenovaný do funkcie podľa doterajších predpisov je inšpektorom úradu podľa tohto zákona.

Prevádzkovateľ uvedie do súladu s týmto zákonom do šiestich mesiacov odo dňa jeho účinnosti všetky informačné systémy, v ktorých spracúva osobné údaje.

Prevádzkovateľ je povinný zmluvný vzťah so sprostredkovateľom dať do súladu s týmto zákonom do dvoch rokov odo dňa účinnosti tohto zákona.

Prevádzkovateľ a sprostredkovateľ sú povinní vykonať poučenie oprávnených osôb v súlade s týmto zákonom do šiestich mesiacov odo dňa účinnosti tohto zákona.

Poverenia a oznámenia o poverení zodpovednej osoby podľa doterajšieho zákona sa považujú za poverenia a oznámenia o poverení zodpovednej osoby podľa tohto zákona. Prevádzkovateľ a sprostredkovateľ sú povinní písomne poveriť zodpovednú osobu a jej poverenie oznámiť úradu v súlade s týmto zákonom do jedného roka odo dňa účinnosti tohto zákona.

Registrácia udelená podľa doterajšieho zákona sa považuje za registráciu udelenú podľa tohto zákona. Prevádzkovateľ je povinný nanovo prihlásiť svoj informačný systém na registráciu v súlade s týmto zákonom do šiestich mesiacov odo dňa účinnosti tohto zákona, ak to zákon vyžaduje.

Osobitné registrácie udelené podľa doterajšieho zákona sa považujú za osobitné registrácie udelené podľa tohto zákona. Prevádzkovateľ je povinný nanovo prihlásiť svoj informačný systém na osobitnú registráciu v súlade s týmto zákonom do šiestich mesiacov odo dňa účinnosti tohto zákona, ak to zákon vyžaduje.

Bezpečnostné opatrenia, bezpečnostná smernica a bezpečnostný projekt vypracované podľa doterajšieho zákona sa účinnosťou tohto zákona považujú za bezpečnostné opatrenia vypracované podľa tohto zákona. Prevádzkovateľ a sprostredkovateľ sú povinní zosúladiť prijaté bezpečnostné opatrenia s týmto zákonom do deviatich mesiacov odo dňa účinnosti tohto zákona.

Súhlas so spracúvaním osobných údajov udelený podľa doterajšieho zákona sa účinnosťou tohto zákona považuje za súhlas so spracúvaním osobných údajov udelený podľa tohto zákona.

Konania začaté pred dňom nadobudnutia účinnosti tohto zákona sa dokončia podľa doterajších predpisov.

Registrácie informačných systémov vykonané do 14. apríla 2014 sa považujú za oznámenia informačných systémov podľa § 34 v znení účinnom od 15. apríla 2014.

Konania o registrácii informačných systémov a konania o osobitnej registrácii informačných systémov, ktoré neboli ukončené do 14. apríla 2014, sa dokončia podľa zákona účinného do 14. apríla 2014.

Pri vyhotovovaní oznámenia podľa § 35 ods. 1, oznámení zmeny oznámených údajov a oznámení ukončenia používania informačného systému elektronickou formou sa od 15. apríla 2014 nevyžaduje zaručený elektronický podpis; od 1. septembra 2014 možno oznámenie podľa § 35 ods. 1, oznámenie zmeny oznámených údajov a oznámenie ukončenia používania informačného systému vykonať aj prostredníctvom elektronického formulára. Úrad zverejní elektronický formulár na svojom webovom sídle.

Konania podľa § 68 a 69 začaté pred 15. aprílom 2014 sa dokončia podľa zákona účinného do 14. apríla 2014.

Týmto zákonom sa preberajú právne záväzné akty Európskej únie uvedené v prílohe.

Zrušuje sa zákon č. 428/2002 Z. z. o ochrane osobných údajov v znení zákona č. 602/2003 Z. z., zákona č. 576/2004 Z. z., zákona č. 90/2005 Z. z. a zákona č. 583/2008 Z. z.

Zákon č. 145/1995 Z. z. o správnych poplatkoch v znení zákona Národnej rady Slovenskej republiky č. 123/1996 Z. z., zákona Národnej rady Slovenskej republiky č. 224/1996 Z. z., zákona č. 70/1997 Z. z., zákona č. 1/1998 Z. z., zákona č. 232/1999 Z. z., zákona č. 3/2000 Z. z., zákona č. 142/2000 Z. z., zákona č. 211/2000 Z. z., zákona č. 468/2000 Z. z., zákona č. 553/2001 Z. z., zákona č. 96/2002 Z. z., zákona č. 118/2002 Z. z., zákona č. 215/2002 Z. z., zákona č. 237/2002 Z. z., zákona č. 418/2002 Z. z., zákona č. 457/2002 Z. z., zákona č. 465/2002 Z. z., zákona č. 477/2002 Z. z., zákona č. 480/2002 Z. z., zákona č. 190/2003 Z. z., zákona č. 217/2003 Z. z., zákona č. 245/2003 Z. z., zákona č. 450/2003 Z. z., zákona č. 469/2003 Z. z., zákona č. 583/2003 Z. z., zákona č. 5/2004 Z. z., zákona č. 199/2004 Z. z., zákona č. 204/2004 Z. z., zákona č. 347/2004 Z. z., zákona č. 382/2004 Z. z., zákona č. 434/2004 Z. z., zákona č. 533/2004 Z. z., zákona č. 541/2004 Z. z., zákona č. 572/2004 Z. z., zákona č. 578/2004 Z. z., zákona č. 581/2004 Z. z., zákona č. 633/2004 Z. z., zákona č. 653/2004 Z. z., zákona č. 656/2004 Z. z., zákona č. 725/2004 Z. z., zákona č. 5/2005 Z. z., zákona č. 8/2005 Z. z., zákona č. 15/2005 Z. z., zákona č. 93/2005 Z. z., zákona č. 171/2005 Z. z., zákona č. 308/2005 Z. z., zákona č. 331/2005 Z. z., zákona č. 341/2005 Z. z., zákona č. 342/2005 Z. z., zákona č. 473/2005 Z. z., zákona č. 491/2005 Z. z., zákona č. 538/2005 Z. z., zákona č. 558/2005 Z. z., zákona č. 572/2005 Z. z., zákona č. 573/2005 Z. z., zákona č. 610/2005 Z. z., zákona č. 14/2006 Z. z., zákona č. 15/2006 Z. z., zákona č. 24/2006 Z. z., zákona č. 117/2006 Z. z., zákona č. 124/2006 Z. z., zákona č. 126/2006 Z. z., zákona č. 224/2006 Z. z., zákona č. 342/2006 Z. z., zákona č. 672/2006 Z. z., zákona č. 693/2006 Z. z., zákona č. 21/2007 Z. z., zákona č. 43/2007 Z. z., zákona č. 95/2007 Z. z., zákona č. 193/2007 Z. z., zákona č. 220/2007 Z. z., zákona č. 279/2007 Z. z., zákona č. 295/2007 Z. z., zákona č. 309/2007 Z. z., zákona č. 342/2007 Z. z., zákona č. 343/2007 Z. z., zákona č. 344/2007 Z. z., zákona č. 355/2007 Z. z., zákona č. 358/2007 Z. z., zákona č. 359/2007 Z. z., zákona č. 460/2007 Z. z., zákona č. 517/2007 Z. z., zákona č. 537/2007 Z. z., zákona č. 548/2007 Z. z., zákona č. 571/2007 Z. z., zákona č. 577/2007 Z. z., zákona č. 647/2007 Z. z., zákona č. 661/2007 Z. z., zákona č. 92/2008 Z. z., zákona č. 112/2008 Z. z., zákona č. 167/2008 Z. z., zákona č. 214/2008 Z. z., zákona č. 264/2008 Z. z., zákona č. 405/2008 Z. z., zákona č. 408/2008 Z. z., zákona č. 451/2008 Z. z., zákona č. 465/2008 Z. z., zákona č. 495/2008 Z. z., zákona č. 514/2008 Z. z., zákona č. 8/2009 Z. z., zákona č. 45/2009 Z. z., zákona č. 188/2009 Z. z., zákona č. 191/2009 Z. z., zákona č. 274/2009 Z. z., zákona č. 292/2009 Z. z., zákona č. 304/2009 Z. z., zákona č. 305/2009 Z. z., zákona č. 307/2009 Z. z., zákona č. 465/2009 Z. z., zákona č. 478/2009 Z. z., zákona č. 513/2009 Z. z., zákona č. 568/2009 Z. z., zákona č. 570/2009 Z. z., zákona č. 594/2009 Z. z., zákona č. 67/2010 Z. z., zákona č. 92/2010 Z. z., zákona č. 136/2010 Z. z., zákona č. 144/2010 Z. z., zákona č. 514/2010 Z. z., zákona č. 556/2010 Z. z., zákona č. 39/2011 Z. z., zákona č. 119/2011 Z. z., zákona č. 200/2011 Z. z., zákona č. 223/2011 Z. z., zákona č. 254/2011 Z. z., zákona č. 256/2011 Z. z., zákona č. 258/2011 Z. z., zákona č. 324/2011 Z. z., zákona č. 342/2011 Z. z., zákona č. 363/2011 Z. z., zákona č. 381/2011 Z. z., zákona č. 392/2011 Z. z., zákona č. 404/2011 Z. z., zákona č. 405/2011 Z. z., zákona č. 409/2011 Z. z., zákona č. 519/2011 Z. z., zákona č. 547/2011 Z. z., zákona č. 49/2012 Z. z., zákona č. 96/2012 Z. z., zákona č. 251/2012 Z. z., zákona č. 286/2012 Z. z., zákona č. 336/2012 Z. z., zákona č. 339/2012 Z. z., zákona č. 351/2012 Z. z., zákona č. 439/2012 Z. z., zákona č. 447/2012 Z. z., zákona č. 459/2012 Z. z., zákona č. 8/2013 Z. z., zákona č. 39/2013 Z. z., zákona č. 40/2013 Z. z., zákona č. 72/2013 Z. z., zákona č. 75/2013 Z. z., zákona č. 94/2013 Z. z. a zákona č. 96/2013 Z. z. sa dopĺňa takto:

Zákon č. 215/2004 Z. z. o ochrane utajovaných skutočností a o zmene a doplnení niektorých zákonov v znení nálezu Ústavného súdu Slovenskej republiky č. 638/2005 Z. z., zákona č. 255/2006 Z. z., zákona č. 330/2007 Z. z., zákona č. 668/2007 Z. z., zákona č. 291/2009 Z. z., zákona č. 400/2009 Z. z. a zákona č. 192/2011 Z. z. sa dopĺňa takto:

Zákon č. 400/2009 Z. z. o štátnej službe a o zmene a doplnení niektorých zákonov v znení zákona č. 151/2010 Z. z., zákona č. 500/2010 Z. z., zákona č. 505/2010 Z. z., zákona č. 547/2010 Z. z., zákona č. 33/2011 Z. z., zákona č. 48/2011 Z. z., zákona č. 220/2011 Z. z., zákona č. 257/2011 Z. z., zákona č. 503/2011 Z. z., zákona č. 252/2012 Z. z., zákona č. 345/2012 Z. z., zákona č. 361/2012 Z. z. a zákona č. 392/2012 Z. z. sa mení takto:

Tento zákon nadobúda účinnosť 1. júla 2013.