Povinnosti obcí vyplývajúce z nového nariadenia o ochrane osobných údajov

Nariadenie nadobudlo platnosť 24. mája 2016 a účinnosť nadobudne 25. mája 2018. Spolu s nariadením nadobudne účinnosť aj nový zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „zákon č. 18/2018 Z. z.“), ktorý dňom nadobudnutia účinnosti nahradí zákon č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v z. n. p. (ďalej len „zákon č. 122/2013 Z. z.“).

Nová právna úprava týkajúca sa ochrany osobných údajov sa v zásade dotkne každého subjektu, ktorý osobné údaje spracúva vrátane orgánov štátnej aj verejnej správy.

V príspevku sa venujeme zmenám, ktoré nová právna úprava so sebou prinesie.

Osobné údaje

Podľa nariadenia sa za osobné údaje považujú „akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby; identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako sú meno, identifikačné číslo, lokalizačné údaje, online identifikátor alebo odkazom na jeden prvok či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby“.

Nariadenie rozoznáva medzi všeobecnými osobnými údajmi a osobitnou kategóriou osobných údajov (čl. 9 nariadenia). Podľa čl. 9 Nariadenia do osobitnej kategórie osobných údajov zaraďujeme:

• údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových ­organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo se­xuálnej orientácie fyzickej osoby,
• biometrické údaje (napr. odtlačky prstov),
• genetické údaje (napr. údaje z DNA, RNA).

Zmena nastáva pri spracúvaní rodného čísla, keďže podľa novej legislatívy rodné číslo nebude patriť do osobitnej kategórie osobných údajov.

Prevádzkovateľ

Pojmom prevádzkovateľ rozumie nariadenie podľa čl. 4 ods. 7 „fyzickú alebo právnickú osobu, orgán verejnej moci, agentúru alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu.“

Medzi prevádzkovateľov možno podľa čl. 4 ods. 7 nariadenia zaradiť aj obce, VÚC, štátne orgány, základné, stredné školy a pod.

Prevádzkovateľ je v podstate primárny zodpovednostný subjekt, ktorý znáša hlavnú mieru zodpovednosti za spracúvanie osobných údajov v súlade s novou legislatívnou úpravou.

Sprostredkovateľ

Nariadenie v čl. 4 ods. 8 považuje za sprostredkovateľa „fyzickú alebo právnickú osobu, orgán verejnej moci, agentúru alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa“.

Ide v zásade o subjekt, ktorý spracúva osobné údaje dotknutých osôb v mene prevádzkovateľa na základe právneho vzťahu – zmluvy. Je to sekundárny zodpovednostný subjekt, ktorý znáša mieru zodpovednosti podľa ustanovení nariadenia a kontraktuálnu (zmluvnú) zodpovednosť voči prevádzkovateľovi.

Nariadenie v súvislosti s ustanovením sprostredkovateľa ustanovuje nové obsahové náležitosti zmluvy (čl. 28 ods. 3), ako najmä:

• predmet a dobu spracúvania,
• povahu a účel spracúvania,
• typ osobných údajov,
• kategórie dotknutých osôb,
• povinnosti a práva prevádzko­va­teľa,
• oprávnenie spracúvať osobné údaje prevádzkovateľom len na základe zdokumentovaných pokynov prevádzkovateľa,
• poučenie a povi