Zákon o ochrane osobných údajov (č. 18/2018 Z. z.) a jeho vzťah k GDPR

Dva predpisy, jeden režim

Ochranu osobných údajov v Slovenskej republike tvoria dva navzájom prepojené predpisy:

• nariadenie (EÚ) 2016/679 (GDPR) — priamo účinné, tvorí jadro úpravy (zásady, právne základy, práva dotknutých osôb, povinnosti prevádzkovateľa a sprostredkovateľa, cezhraničné prenosy, sankcie),
• zákon č. 18/2018 Z. z. — vnútroštátne doplnky tam, kde to GDPR umožňuje, a samostatná úprava pre oblasti mimo pôsobnosti práva EÚ (najmä spracúvanie príslušnými orgánmi na účely trestného konania a bezpečnosti štátu).

Čo upravuje zákon

• Úrad na ochranu osobných údajov SR — jeho postavenie, právomoci, dozor, konanie o ochrane osobných údajov a ukladanie pokút.
• Osobitné situácie spracúvania využívajúce možnosť odchýlky podľa GDPR — napríklad spracúvanie na účely žurnalistiky, vedeckého a historického výskumu a štatistiky, spracúvanie rodného čísla, spracúvanie v pracovnoprávnych vzťahoch.
• Vek dieťaťa pre platnosť súhlasu pri službách informačnej spoločnosti (v SR 16 rokov).
• Podmienky pre kamerové systémy vo verejne prístupných priestoroch a označovanie monitorovaného priestoru.

Kľúčové povinnosti (spoločné s GDPR)

• spracúvať údaje zákonne, spravodlivo a transparentne, len na určený účel a v nevyhnutnom rozsahu,
• mať pre každý účel právny základ,
• plniť informačnú povinnosť voči dotknutým osobám,
• viesť záznamy o spracovateľských činnostiach (s výnimkami pre malé subjekty),
• uzatvárať zmluvy so sprostredkovateľmi podľa čl. 28,
• pri prenose mimo EÚ zabezpečiť primeraný nástroj (rozhodnutie o primeranosti, štandardné zmluvné doložky, záväzné vnútropodnikové pravidlá),
• oznamovať porušenia ochrany údajov Úradu do 72 hodín, ak je pravdepodobné riziko pre práva a slobody dotknutých osôb.

Sankcie

Pokuty podľa GDPR dosahujú až 20 miliónov eur alebo 4 % celosvetového ročného obratu podľa toho, ktorá suma je vyššia; zákon upravuje aj poriadkové pokuty a sankcie za porušenia v oblastiach mimo pôsobnosti práva EÚ.

Odporúčanie

Dokumentáciu stavajte na GDPR; zákon č. 18/2018 Z. z. používajte na overenie vnútroštátnych špecifík (vek dieťaťa, rodné číslo, kamerové systémy, pracovnoprávne spracúvanie).