Vyjadrenie pre Úrad na ochranu osobných údajov

Vyjadrenie pre Úrad OOÚ

Úrad na ochranu osobných údajov môže podnikateľovi resp. prevádzkovateľovi uložiť pokutu do 20.000.000 eur alebo do 4 % celkového svetového ročného obratu podnikateľa za predchádzajúci účtovný rok. Za týmto účelom môže u podnikateľa vykonať kontrolu, vyžadovať od podnikateľa dokumenty, podklady a pod. za účelom preukázania zákonného spracúvania osobných údajov. Úrad na ochranu osobných údajov môže podnikateľa vyzvať, aby preukázal, že osobné údaje spracúva zákonným spôsobom. Ak tak urobí, podnikateľ musí adekvátnym spôsobom reagovať a predložiť dokumentáciu k spracúvaniu osobných údajov, ktorou zákonnosť preukáže. Nižšie uvádzame základné body, ktoré by malo každé vyjadrenie podnikateľa v komunikácii s Úradom na ochranu osobných údajov, obsahovať.

Záhlavie výzvy a bod 1. Do záhlavia a bodu 1. sa uvedú identifikačné údaje spoločnosti resp. podnikateľa, identifikačné údaje správneho orgánu (Úrad na ochranu osobných údajov) a číslo konania, na základe ktorého Úrad vo veci koná.

Bod 2.– 4. V týchto bodoch sa uvedú skutkové okolnosti a súvislosti na základe ktorých spoločnosť resp. podnikateľ spracúva osobné údaje zákonným spôsobom. Úrad na ochranu osobných údajov vyzýva v niekoľkých bodoch na preukázanie právneho základu, splnenia informačnej povinnosti, prijatia opatrení, získania súhlasu a pod. a je na podnikateľovi (prevádzkovateľovi) aby preukázal splnenie zákonných povinností. Formu ako to preukáže, právna úprava nestanovuje. Je teda na podnikateľovi, či splnenie zákonných povinností preukáže čestnými prehláseniami, zaškrtnutými checkboxami, podpísanými listinami a pod. V časti „Ochrana osobných údajov“ nášho vzdelávacieho portálu nájdete bližšie informácie a povinnú dokumentáciu k ochrane osobných údajov, ktorú po úprave na Váš konkrétny prípad, môžete použiť a aj predložiť Úradu.

Podnikateľ je podľa § 94 písm. f), g) zákona č. 18/2018 Z. z. o ochrane osobných údajov povinný:

- v určenej lehote poskytnúť kontrolnému orgánu originál alebo kópiu dokladov, iných písomností, vyjadrenia a informácie, osobné údaje spracúvané na pamäťových médiách vrátane technických nosičov osobných údajov, výpisy a zdrojové kódy programov, ak ich vlastní alebo má k dispozícii, a ďalšie materiály alebo podklady potrebné na výkon kontroly a v odôvodnených prípadoch umožniť odoberať originály alebo kópie aj mimo priestorov kontrolovanej osoby,

- poskytnúť kontrolnému orgánu úplné a pravdivé ústne a písomné informácie, vyjadrenia a vysvetlenia ku kontrolovaným a s kontrolou súvisiacim skutočnostiam.

Výzva zo strany Úradu na ochranu osobných údajov môže vyzerať napr. takto:

V nadväznosti na uvedené skutočnosti Vás Úrad na ochranu osobných údajov (ďalej tiež ako „úrad“) s poukazom na § 109 zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „zákon) vyzýva na poskytnutie súčinnosti v lehote 15 dní odo dňa doručenia žiadosti v rozsahu:

1) Uveďte úradu, akým spôsobom ste si splnili informačnú povinnosť voči dotknutým osobám v zmysle čl. 13 Nariadenia GDPR a preukážte to.

2) Uveďte úradu, kde sa nachádzajú dokumenty s osobnými údajmi, kto a na akom právnom základe má k nim prístup.

3) Preukážte úradu vo vzťahu k spracúvaniu osobných údajov prijatie primeraných technických a organizačných opatrení zaisťujúcich bezpečnosť spracúvania osobných údajov podľa čl. 32 nariadenia (Podľa čl. 32 ods. 1 nariadenia GDPR prevádzkovateľ a sprostredkovateľ prijmú so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú tomuto riziku, pričom uvedené opatrenia prípadne zahŕňajú aj:

a) pseudonymizáciu a šifrovanie osobných údajov;

b) schopnosť zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov spracúvania a služieb;

c) schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu;

d) proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania.

Podľa čl. 32 ods. 2 nariadenia GDPR pri posudzovaní primeranej úrovne bezpečnosti sa prihliada predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávneného prístupu k takýmto údajom.

4) Predložte úradu záznamy o spracovateľských činnostiach podľa čl. 30 nariadenia GDPR.

5) Uveďte akékoľvek ďalšie relevantné informácie súvisiace s predmetným podozrením.

Podľa § 109 zákona o ochrane osobných údajov každý je povinný poskytnúť Úradu potrebnú súčinnosť pri výkone jeho úloh a právomoci a umožniť úradu vykonať dozor nad dodržiavaním povinností podľa tohto zákona alebo osobitného predpisu a rozhodnutí vydaných na základe tohto zákona. Týmto nie sú dotknuté ustanovenia § 81 ods. 7 a 8 predmetného zákona.