ČPT 472
SPRÁVA
O STAVE OCHRANY OSOBNÝCH ÚDAJOV
ZA ROK 2020
Úrad na ochranu osobných údajov Slovenskej republiky
marec, 2021
Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12
820 07 Bratislava 27
Slovenská republika
Elektronická verzia správy prístupná na
https://dataprotection.gov.sk/uoou/sk/content/vyrocne-spravy
IČO: 36064220
DIČ: 2021685985
Všetky práva vyhradené.
Reprodukovanie pre vzdelávacie
a nekomerčné účely povolené len s uvedením zdroja.
SPRÁVA O STAVE OCHRANY OSOBNÝCH ÚDAJOV ZA ROK 2020
Úrad na ochranu osobných údajov Slovenskej republiky v zmysle ustanovenia § 81 ods. 2 písm. k) zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 221/2019 Z. z. predkladá Národnej rade Slovenskej republiky Správu o stave ochrany osobných údajov za rok 2020. Predkladaná správa je prehľadom o činnosti úradu v sledovanom období.
Podľa čl. 59 Nariadenia Každý dozorný orgán vypracuje výročnú správu o svojich činnostiach, ktorá môže zahŕňať zoznam typov oznámených porušení a typov prijatých opatrení v súlade s článkom 58 ods. 2. Uvedené správy sa predkladajú národnému parlamentu, vláde a iným orgánom určeným právom členského štátu. Správy sa sprístupnia verejnosti, Komisii a výboru.“.
Uvedené ustanovenie sa premietlo do § 81 ods. 2 písm. k) zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 221/2019 Z. z. Úrad predkladá Národnej rade Slovenskej republiky správu o stave ochrany osobných údajov najmenej raz za rok; správu o stave ochrany osobných údajov zverejňuje úrad na svojom webovom sídle a poskytuje ju Európskemu výboru pre ochranu údajov a Komisii.“, na základe ktorého predkladám v mene úradu túto správu Národnej rade Slovenskej republiky. Po jej prerokovaní v Národnej rade Slovenskej republiky bude zverejnená na webovom sídle úradu pre širokú verejnosť a k dispozícii médiám a tiež predložená Európskemu výboru pre ochranu údajov a Komisii.
JUDr. Anna Vitteková
podpredsedníčka úradu
5
ZOZNAM POUŽÍVANÝCH SKRATIEK
úrad
Úrad na ochranu osobných údajov Slovenskej republiky
NR SR
Národná rada Slovenskej republiky
správa
Správa o stave ochrany osobných údajov za rok 2020
zákon
zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 221/2019 Z. z.
Nariadenie
Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Text s významom pre EHP)
smernica 2016/680
Smernica Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV
MPK
Medzirezortné pripomienkové konanie
Portál
Portál právnych predpisov Slov – Lex
smernica e-privacy
Smernica Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách)
návrh nariadenia e-privacy
Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o rešpektovaní súkromného života a ochrane osobných údajov v elektronických komunikáciách a o zrušení smernice 2002/58/ES (smernica o súkromí a elektronických komunikáciách)
Dohovor 108
Dohovor Rady Európy č. 108 o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov
6
Nariadenie 2018/1725
zákon č. 211/2000 Z. z.
zákon č. 211/2000 Z. z. o slobodnom prístupe k informáciám a o zmene a doplnení niektorých zákonov (zákon o slobode informácií)
EDPS
Európsky dozorný úradník pre ochranu údajov/ European Data Protection Supervisor
Európska únia
EK
Európska komisia
EHP
Európsky hospodársky priestor
EDPB
Európsky výbor pre ochranu údajov (European Data Protection Board) zriadený podľačl. 68 Nariadenia
7
OBSAH
8
9
1ÚVOD
1.1Cieľ správy
Predkladaná správa je štrnástou v histórii samostatnej Slovenskej republiky a dvanástou v histórii existencie samostatného úradu. Ide o historicky prvú správu predkladanú za kalendárny rok, čím sa úrad plne prispôsobuje Nariadeniu a ostatným členským štátom. Obdobie, kedy sa Nariadenie a zákon prelínali ešte s predchádzajúcou právnou úpravu, aj v zmysle sledovania ukončovania týchto procesov v predchádzajúcich správach bolo zavŕšené. Aj na účely prehľadnosti a plnenia požiadaviek Nariadenia je vykazovanie činnosti za kalendárny rok jednoduchšie a do budúcna bude aj porovnateľnejšie, či v konkrétnej agende nastal vzostup, prípadne pokles, či ako sa inak vyvíjala.
Cieľom správy je podať jednak štatistické ukazovatele z činnosti úradu, no predovšetkým poskytnúť ucelený obraz o stave ochrany osobných údajov v rámci Slovenskej republiky a tiež poukázať na činnosť úradu v medzinárodnom a európskom meradle. Nemenej dôležitým je tiež popísanie faktického stavu úradu s ohľadom na jeho personálne, materiálne a finančné zabezpečenie, aké v sledovanom období bolo a čo na základe uvedených ukazovateľov je potrebné a vhodné zmeniť.
10
2POSTAVENIE, PERSONÁLNE ZABEZPEČENIE A ROZPOČET ÚRADU
2.1Postavenie úradu
Ochrana osobných údajov v Slovenskej republike je na základe zákona a Nariadenia zverená do pôsobnosti úradu. Úrad je orgánom štátnej správy s celoslovenskou pôsobnosťou vykonávajúci dozor nad ochranou osobných údajov a podieľajúci sa na ochrane základných práv a slobôd fyzických osôb pri spracúvaní ich osobných údajov. Pri výkone svojej pôsobnosti úrad postupuje nezávisle a pri plnení svojich úloh sa riadi ústavou, ústavnými zákonmi, zákonmi, ostatnými všeobecne záväznými právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná. Úrad je rozpočtovou organizáciou podľa ustanovenia § 21 ods.1 a ods. 5 písm. a) zákona č. 523/2004 Z. z. o rozpočtových pravidlách verejnej správy a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.
2.2Personálne zabezpečenie úradu
2.2.1Verejné funkcie úradu
Na čele úradu je predseda, ktorého volí a odvoláva NR SR na návrh vlády Slovenskej republiky. Funkčné obdobie predsedu úradu je päť rokov. Funkciu predsedníčky úradu v období, jeho časti, konkrétne od 01.01.2020 do 29.04.2020 zastávala Soňa Pőtheová, ktorá bola do funkcie zvolená NR SR dňa 14. mája 2015 na základe výsledku hlasovania poslancov NR SR (uznesenie Národnej rady Slovenskej republiky č. 1736/2015). Na základe vládneho návrhu na jej odvolanie z funkcie, ktorý bol NR SR doručený dňa 27.04.2020 (
čpt. 74
) bola dňa 29.04.2020 na základe
výsledku
hlasovania poslancov NR SR
o návrhu na jej odvolanie zo svojej funkcie odvolaná (
Uznesenie NR
SR č. CRD-852/2020 z 29. apríla 2020
). Vedenia úradu sa následne v zmysle zákona ujala
podpredsedníčka úradu.
V čase neprítomnosti predsedu úradu tohto zastupuje podpredseda, ktorého vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu. Funkčné obdobie podpredsedu úradu je päť rokov. Funkciu podpredsedníčky úradu zastáva Anna Vitteková, ktorá bola s účinnosťou od 2. januára 2016 do funkcie vymenovaná vládou Slovenskej republiky uznesením č. 658/2015 zo dňa 2. decembra 2015. V súvislosti s odvolaním predsedníčky úradu po zvyšok roka 2020 úrad viedla podpredsedníčka úradu.
2.2.2Personálna oblasť zamestnancov úradu
Zamestnanci úradu plnia vysoko odborné úlohy v zmysle zákona a Nariadenia a iné prevádzkové činnosti a povinnosti podľa všeobecne záväzných právnych predpisov. Ich zabezpečovanie si vyžaduje potrebný počet kvalifikovaných zamestnancov spôsobilých vykonávať odborné činnosti na expertnej úrovni, pričom aj zohľadnenie potrebnej miery zastupiteľnosti je nevyhnutné. V podmienkach úradu, z pohľadu štruktúry zamestnancov, s výnimkou jedného zamestnanca, ktorý vykonával prácu vo verejnom záujme, ostatní zamestnanci v roku 2020 boli zamestnancami v štátnozamestnaneckom pomere. Výber zamestnancov a obsadzovanie voľných pracovných pozícií je realizované podľa zákonmi stanovených podmienok pre jednotlivé funkcie výlučne na základe výberových konaní.
K 1. januáru 2020 mal úrad obsadených 49 miest, z toho
48 zamestnancov v štátnozamestnaneckom pomere,
1 zamestnanca vykonávajúceho práce vo verejnom záujme.
11
K 31. decembru 2020 mal úrad obsadených 50 miest, z toho
49 zamestnancov v štátnozamestnaneckom pomere,
1 zamestnanca vykonávajúceho práce vo verejnom záujme.
Priemerný vek zamestnancov
k 01.01.2020 bol 40,62 roku, pričom
u mužov bol 41,87 roku;
u žien 40,09 roku;
k 31.12.2020 bol 41,56 roku, pričom
u mužov bol 43,14 roku;
u žien 40,91 roku.
Prehľad o počte zamestnancov úradu
Skutočný stav zamestnancov úradu
Rok
Štátnozamestnanecký pomer
Výkon práce vo verejnom záujme
Spolu
k 01.01.2020
48
1
49
k 31.12.2020
49
1
50
Ochrana osobných údajov je od 25. mája 2018 vykonávaná v zmysle Nariadenia a zákona, ktoré priamo stanovujú úradu všetky jeho práva, povinnosti a kompetencie. Napriek nespornej dôležitosti činnosti úradu, ktorá sa odvíja od dôležitosti významu a hodnoty osobných údajov, ako zdroja informácií o fyzických osobách, počet zamestnancov úradu sa zásadne pozitívne nemenil a aj v roku 2020 nebol dostatočný v kontexte agendy, ktorú úrad zabezpečuje a ktorá stále stúpajúcu tendenciu, čo do objemu práce pripadajúcej na jedného zamestnanca. Pre správnu činnosť úradu a tiež s ohľadom na ľudské možnosti a snahu o vysokokvalitnú prácu zamestnancov je nevyhnutné, aby bol počet zamestnancov významne navýšený. Zaistí sa tak prerozdelenie práce a možnosť vyššej špecializácie jednotlivých zamestnancov, nakoľko teraz mnohí vykonávajú kumulované činnosti, z ktorých každá si vyžaduje plné sústredenie a pozornosť.
Úrad mal v roku 2020 ustanovený limit na 51 zamestnancov, pričom každoročne avizoval a avizuje potrebu navýšenia ich počtu, teda zvýšenie uvedeného limitu maximálneho počtu zamestnancov minimálne o 30. Napriek tomu na rok 2021 bol úradu znížený limit zamestnancov na 461. Agenda úradu aj v kontexte povinností vyplývajúcich z Nariadenia neúmerne stúpla a má neustále rastúci trend. Na jedného zamestnanca v priemere pripadá viac ako 120 spisov na vybavenie. Súčasná situácia je dlhodobo neudržateľná a nedostatok kvalifikovaných zamestnancov sa nevyhnutne prejavuje aj v kvalite práce, prípadne vyúsťuje aj do nemožnosti dodržania procesných lehôt. V súvislosti s nedodržaním procesných lehôt bol úrad oslovený aj verejnou ochrankyňou práv, na ktorú sa obrátili dvaja účastníci konania práve z dôvodu neúmerne dlhého trvania konania o ochrane osobných údajov. Na základe preskúmania uvedených konaní bol verejnou ochrankyňou práv konštatovaný správny právny postup správneho orgánu, avšak nedodržanie zákonnej lehoty na vydanie rozhodnutia. Na tento účel verejná ochrankyňa práv uložila úradu opatrenia, ktorých cieľom bolo zefektívnenie komunikácie s účastníkmi konania ohľadom lehoty samotného konania. Pre naplnenie strategického smerovania činnosti úradu je nevyhnutné, aby sa navýšil počet zamestnancov, aby títo absolvovali a priebežne sa zúčastňovali
1 Zníženie limitu počtu zamestnancov úradu nastalo na základe prerokovania a schválenia materiálu
Návrh rozpočtu
verejnej správy na roky 2021 2023
“, číslo materiálu: UV-22129/2020; na základe ktorého bolo prijaté
Uznesenie
vlády SR č. 649/2020 zo 14/10/2020
. Povinné zohľadnenie zníženia stavu zamestnancov v podmienkach úradu
znamenalo úbytok 5 zamestnancov.
12
potrebných vzdelávacích aktivít, rozširovali si svoje vedomosti a boli tak schopní popri odbornom raste reflektovať aj požiadavku digitalizácie verejnej a štátnej správy.
Úrad je nutné posilniť aj o expertov na informačné technológie, nakoľko stále viac spracovateľských činností prebieha elektronickou formou a je potrebné, aby sa tak v rámci konaní, ako aj kontrol vedel úrad na expertnej úrovni vyjadrovať k zisteniam pokiaľ ide o prevádzkovateľmi a sprostredkovateľmi využívané informačné technológie.
Úrad taktiež pociťuje nedostatok zamestnancov venujúcich sa legislatíve, a to tak v oblasti jej tvorby, ako aj jej pripomienkovania, nakoľko ide o zdĺhavý proces skúmania predloženého návrhu právneho predpisu, či nelegislatívneho návrhu, ktorý si vyžaduje vysokú pozornosť a sústredenie a je nevyhnutné, aby mal zamestnanec na takúto prácu dostatok času a vedomostí, a to nielen teoretických, ale aj praktických. Poddimenzovaná personálna stránka úradu sa prejavuje aj v tom ohľade, že úrad toho času nemôže vôbec pomýšľať na zriadenie detašovaných pracovísk, čím by bol bližšie aj k dotknutým osobám, prevádzkovateľom a sprostredkovateľom.
Poddimenzovanie počtu zamestnancov tiež vplyv na to, že nie je možné rozvíjať potrebnú špecializáciu vytváraním nových odborov, ktoré by od existujúcich prevzali a následne rozvinuli niektoré agendy na expertnú úroveň. Považujeme za obzvlášť potrebné, aby bolo zamestnancom úradu umožňované potrebné vzdelávanie, ktoré bude mať pozitívny dopad na výkon ich činností, tak pokiaľ ide rýchlosť, no najmä odbornosť.
Ako problematická sa javí aj veľmi obmedzená možnosť vzdelávania terajších zamestnancov a nemožnosť adekvátnymi platovými podmienkami získať a dlhodobo udržať erudovaných špecialistov, v dôsledku čoho úrad nie je v rovnocennej pozícii voči prevádzkovateľom a ich možnostiam, čo je v konečnom dôsledku vždy v neprospech dotknutej osoby. Z aplikačnej praxe úradu vyplýva akútna potreba vzniku minimálne dvoch detašovaných pracovísk, jedného na strednom a jedného na východnom Slovensku. Dôvodom potreby vzniku týchto pracovísk je, aby boli zamestnanci úradu bližšie dotknutým osobám aj z týchto oblastí Slovenska a tiež skutočnosť, že by sa takto zefektívnil výkon kontrol a podstatne by sa znížili náklady úradu na cestovanie zamestnancov z Bratislavy; úrad by tiež prispel k zvýšeniu zamestnanosti v týchto regiónoch, kde je stále dostatok kvalifikovaných ľudí, ktorí sa za prácou nemôžu, alebo sa nechcú sťahovať.
2.3Rozpočet úradu
Úrad je rozpočtovou organizáciou, ktorá je svojimi príjmami a výdavkami naviazaná na štátny rozpočet prostredníctvom kapitoly Všeobecná pokladničná správa, ktorú spravuje Ministerstvo financií Slovenskej republiky.
Na rok 2020 bol pre úrad pôvodne schválený rozpočet vo výške 1.859.514,00 Eur. V mesiaci október 2020 bol navýšený rozpočet úradu na kapitálové výdavky pre medzirezortný prvok 0EK0W02 - Informačné technológie, financované zo štátneho rozpočtu na obstaranie výpočtovej techniky vo výške 71.400,00 Eur.
Čerpanie rozpočtu úradu k 31.12.2020 bolo vo výške 1.961.941,93 Eur, čo predstavuje 99,93% z celkového upraveného rozpočtu úradu na rok 2020.
13
Prehľad o rozpočte úradu za obdobie 01.01.2020 – 31.12.2020 v Eurách
Ukazovateľ
Schválený rozpočet k 1.1.2020
Upravený rozpočet k 31.12.2020
Čerpanie rozpočtu od 1.1.2020 do 31.12.2020
Mzdy, platy, služobné príjmy a OOV (610)
1.064.496,00
1.068.288,00
1.067.113,49
Poistné z miezd (620)
375.598,00
392.749,84
392.749,84
Tovary a služby (630)
403.420,00
357.485,18
357.392,73
Bežné transfery (640)
5 000,00
47.463,98
47.463,98
0EK0W02 (630) bežné výdavky
11 000,00
26.000,00
25.998,29
Bežné výdavky spolu (600)
1.859.514,00
1.891.987,00
1.890.718,33
Kapitálové výdavky (700)
0
0
0
0EK0W02 kapitálové výdavky (710)
0
71.400,00
71.223,60
Výdavky celkom
1.859.514,00
1.963.387,00
1.961.941,93
Obdobne, ako je potrebné navýšiť počet zamestnancov v kontexte navyšujúcej sa činnosti a zodpovednosti úradu, je potrebné zohľadniť nárast agendy a potreby materiálno - technického dovybavenia v rozpočte úradu. Nárast zaznamenal úrad v európskej a aj medzinárodnej agende, kde sa zamestnanci úradu priamo podieľajú a musia pravidelne zúčastňovať na zasadaniach expertných skupín Výboru a pracovných skupín Rady, ktorých predmetom dôležité usmernenia a dokumenty ovplyvňujúce činnosti úradu v mene Slovenskej republiky.
Úrad vykonáva činnosti vyplývajúce mu nielen z Nariadenia a zákona, ale aj iných osobitných predpisov, napríklad podľa NARIADENIA EURÓPSKEHO PARLAMENTU A RADY (EÚ, Euratom) 2019/493 z 25. marca 2019, ktorým sa mení nariadenie (EÚ, Euratom) č. 1141/2014, pokiaľ ide o postup overovania porušovania pravidiel o ochrane osobných údajov v kontexte volieb do Európskeho parlamentu (pozrite
čl. 10a ods. 2 uvedeného nariadenia
). Ak úrad rozhodne
v konaní o ochrane osobných údajov, že fyzická alebo právnická osoba porušila príslušné pravidlá o ochrane osobných údajov, a ak z daného rozhodnutia vyplýva alebo ak iné opodstatnené
14
dôvody domnievať sa, že porušenie súvisí s politickými činnosťami európskej politickej strany alebo európskej politickej nadácie v kontexte volieb do Európskeho parlamentu, tak rozhodnutie oznámi Úradu pre európske politické strany a nadácie.
V období od 15.07.2020 do 03.09.2020 bol vykonávaný Vládny audit zameraný na overenie splnenia opatrení prijatých na nápravu nedostatkov a na odstránenie príčin ich vzniku zistených Vládnym auditom počas kontroly v roku 2018. Cieľom bolo tiež overiť a zhodnotiť ďalšie skutočnosti, ak tak ustanovuje osobitný predpis. Správa z Vládneho auditu z 10.9.2020 konštatovala, že úrad za auditované obdobie funguje dobre, ale je potrebné vykonať ešte niektoré zlepšenia. Na základe vyššie uvedenej Správy z Vládneho auditu bol úradom vyhotovený zoznam prijatých opatrení a odoslaný na Úrad vládneho auditu, pracovisko Bratislava a dané opatrenia boli a sú následne realizované a uplatnené v aplikačnej praxi úradu.
15
3LEGISLATÍVNA ÚPRAVA OCHRANY OSOBNÝCH ÚDAJOV
3.1Medzirezortné pripomienkové konania
Úrad je orgán štátnej správy s celoslovenskou pôsobnosťou vykonávajúci dozor nad ochranou osobných údajov a podieľajúci sa na ochrane základných ľudských práv a slobôd pri spracúvaní osobných údajov fyzických osôb. Úrad si plní svoju úlohu v oblasti dozoru nad spracúvaním osobných údajov aj tým, že dohliada a vyjadruje sa k textom návrhov zákonov a ostatných všeobecne záväzných právnych predpisov (materiály legislatívnej povahy) a tiež k textom nelegislatívnych materiálov (vízie, stratégie a pod.). Svoje vyjadrenia k návrhom formuluje prostredníctvom Portálu v rámci MPK. Cieľom uplatňovaných pripomienok zo strany úradu je, aby najmä kvalita právnych predpisov, pokiaľ ide o úpravu spracúvania osobných údajov bola vysoká, aby následne prijatá právna úprava bola presná, jednoznačná, a to tak vo vzťahu k prevádzkovateľovi, ako aj vo vzťahu k dotknutej osobe, ktorej osobné údaje budú v praxi predmetom spracúvania.
V rámci sledovaného obdobia úrad uplatnil pripomienky k 23 materiálom zo všetkých predložených do MPK (bez ohľadu na to, či šlo o materiál legislatívnej aj nelegislatívnej povahy). Spolu úrad uplatnil 86 pripomienok, pričom 69 z nich bolo zásadných.
Uplatňovanými pripomienkami sa úrad vždy snaží o skvalitnenie právneho predpisu, prípadne o upozornenie na potrebu ochrany a rešpektovania legislatívy týkajúcej sa spracúvania osobných údajov, ak je predmetom pripomienkovania nelegislatívny materiál, napríklad koncepcia, ktorá do budúcna byť podkladom pre tvorbu právnych predpisov, či plnenie stanovených cieľov.
Menšie nedostatky právnych predpisov je možné korigovať obyčajnými pripomienkami, ktoré v zásade správnu formuláciu ustanovenia precizujú, alebo upravia do podoby, ktorá, pokiaľ ide o spracúvanie, je správna.
Podstatu pripomienkovacej činnosti úradu tvoria zásadné pripomienky, ktorými sa poukazuje na viac, či menej zásadné nedostatky právnych noriem, ktoré je potrebné doplniť, či prepracovať. V sledovanom období mnoho zásadných pripomienok úradu smerovalo ku gestorom ohľadom určenia a spresnenia účelu, pre ktorý majú byť osobné údaje spracúvané, nakoľko účely boli formulované veľmi všeobecne, alebo úplne absentovali, čo z hľadiska právnej istoty a vykonateľnosti právnej normy v praxi by určite spôsobovalo problémy a bolo v neprospech dotknutej osoby. Inou často sa opakujúcou zásadnou pripomienkou bola pripomienka požadujúca vypustenie určitých navrhovaných ustanovení, nakoľko nimi navrhované spracúvanie v kontexte účelu šlo nad rámec nevyhnutnosti a potrebnosti. V prípade takýchto pripomienok sa často stávalo, že úrad od gestora ani na rozporovom konaní nedostal uspokojivú odpoveď, prečo je rozsiahle spracúvanie potrebné, prípadne z čoho vyplýva a čo sa ním dosiahnuť. V niekoľkých prípadoch bol rozpor vysvetlením odstránený a formulácia spoločne upravená. Iným, stále častejšie sa opakujúcim pripomienkovaným nedostatkom zo strany úradu je obsahovo nedostatočná dôvodová správa, najmä jej osobitná časť, kedy najmä v ustanoveniach týkajúcich sa spracúvania osobných údajov absentujú dôvody a príčiny navrhovanej úpravy, vysvetlenia zo strany navrhovateľa zákona. Odôvodnenia v dôvodovej správe bývajú často všeobecné, uvedené jednou vetou, z ktorej nie je zrejmé, prečo sa spracúvanie požaduje, a prečo je nevyhnutné v uvedenom rozsahu. Veľmi často sa opakujúcou pripomienkou je absencia vnútorných odkazov na iné osobitné zákony, ktoré spresňujú a dopĺňajú samotný účel spracúvania osobných údajov v zmysle právnej agendy, ktorej sa môže spracúvanie týkať, prípadne odkazujú na ustanovenie iného zákona, kde je ustanovený rozsah alebo zoznam spracúvaných osobných údajov na ustanovený účel.
V sledovanom období mala na tvorbu legislatívy a spôsob jej prijímania vplyv aj pandémia
16
ochorenia Covid 19, ktorá, z pohľadu legislatívy a podľa názoru úradu sa odrazila na jej kvalite skôr negatívne, nakoľko mnohé legislatívne normy boli prijímané v skrátenom legislatívnom konaní, bez pripomienkovania. Úrad nespochybňuje, že ochrana ľudského života je prvoradá, no pri jej legislatívnom nastavení v zmysle zamedzenia šíreniu ochorenia Covid 19 by mali byť prijímané zásadné legislatívne úpravy tak, aby boli súladné aj s legislatívou upravujúcou iné základné ľudské práva, aby tak nevznikali v praxi situácie, kedy si právne normy navzájom konkurujú, či kolidujú.
Konkrétne znenia uplatnených pripomienok úradu je možné vyhľadať na
Portáli
s použitím filtra
inštitúcií a s použitím filtra pripomienok (či ide o pripomienku organizácie označenú ako zásadná, alebo obyčajná).
3.2Metodické usmernenia a informácie
Úrad metodicky usmerňuje prevádzkovateľov a sprostredkovateľov pri spracúvaní osobných údajov, zvyšuje povedomie verejnosti v oblasti rizík a práv súvisiacich so spracúvaním osobných údajov a tiež zvyšuje povedomie prevádzkovateľov a sprostredkovateľov o ich povinnostiach. Osvedčenou formou usmerňovania prevádzkovateľov a sprostredkovateľov a informovania verejnosti, najmä dotknutých osôb sa na základe praxe úradu stali metodické usmernenia úradu a krátke ad hoc metodiky publikované na webovom sídle úradu, venované otázkam a problematikám, ktoré v danom čase predmetom záujmu verejnosti alebo je potrebné o nich informovať.
V sledovanom období medzi najsledovanejšie patrili najmä tie, týkajúce sa informácií a stanovísk úradu k pandemickej situácii a spracúvaniu osobných údajov v nadväznosti s ňou, napríklad:
ÚOOÚ SR a projekt inteligentnej karantény [zverejnené 16.04.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/uoou-sr-projekt-inteligentnej-
karanteny
]
Vyjadrenie úradu k plánovanému plošnému testovaniu obyvateľstva na Covid 19 [zverejnené 21.10.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/vyjadrenie-uradu-k-planovanemu-
plosnemu-testovaniu-obyvatelstva-na-covid-19
]
Kamery obcí a miest a ich prípadné využitie na monitorovanie hustoty a počtu osôb pred testovacím odberným miestom pri plošnom testovaní usmernenie [zverejnené 27.10.2020, dostupné na tomto odkaze https://dataprotection.gov.sk/uoou/sk/content/kamery-obci-miest-ich-pripadne-vyuzitie-na-monitorovanie-hustoty-poctu-osob-pred-testovacim]
Koronavírus a spracúvanie osobných údajov Často kladené otázky aktualizované z 22.10.2020 [zverejnené 22.10.2020, dostupné na tomto odkaze https://dataprotection.gov.sk/uoou/sk/content/koronavirus-spracuvanie-osobnych-udajov-casto-kladene-otazky-aktualizovane-22102020].
Úrad samozrejme sleduje dianie v oblasti ochrany osobných údajov aj vo veci rozsudkov Európskeho súdu pre ľudské práva alebo Súdneho dvora Európskej únie. Všetky relevantné rozhodnutia s dosahom na ochranu a spracúvanie osobných údajov publikuje na svojom webovom sídle v časti
Legislatíva a judikatúra
. O významných rozhodnutiach informuje aj formou krátkej
správy priamo v novinkách na svojom webovom sídle.
V sledovanom období úrad zverejnil informáciu ohľadom rozhodnutia Súdneho dvora Európskej Únie:
Rozhodnutie SD vo veci Schrems II [zverejnené 16.07.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/rozhodnutie-sd-eu-vo-veci-schrems-ii
]
17
k tomu tiež zverejnené Často kladené otázky k tomuto rozhodnutiu [uverejnené 27.07.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/casto-kladene-otazky-v-suvislosti-s-
rozhodnutim-vo-veci-schrems-ii
]
Rozhodnutie SD vo veci Orange Romania SA [zverejnené 12.11.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/rozhodnutie-sd-eu-vo-veci-
orange-romania-sa
].
Predmetom zverejňovania a nepriamo aj formou vzdelávania, tak prevádzkovateľov, sprostredkovateľov, ako aj dotknutých osôb je zverejňovanie informácií a usmernení vydaných EDPS a EDPB na webovom sídle úradu.
V sledovanom období boli na webovom sídle úradu zverejnené nasledovné usmernenia EDPB, o ktorých úrad informoval:
usmernenia EDPB o spracúvaní osobných údajov prostredníctvom kamerových zariadení [zverejnené 04.02.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/usmernenia-o-spracuvani-osobnych-
udajov-prostrednictvom-kamerovych-zariadeni
]
usmernenia EDPB o spracúvaní údajov týkajúcich sa zdravia na účely vedeckého výskumu v súvislosti s prepuknutím ochorenia Covid 19 [zverejnené 22.04.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/usmernenia-o-spracuvani-udajov-
tykajucich-sa-zdravia-na-ucely-vedeckeho-vyskumu-v-suvislosti
]
usmernenia EDPB k právu na zabudnutie vo vyhľadávačoch (1. časť) [zverejnené 15.07.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/usmernenia-k-pravu-na-zabudnutie-vo-
vyhladavacoch-1-cast-0
]
usmernenia EDPB ku vzťahu druhej smernice o platobných službách na vnútornom trhu a všeobecného nariadenia o ochrane údajov [zverejnené 22.12.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/usmernenia-ku-vztahu-druhej-
smernice-o-platobnych-sluzbach-na-vnutornom-trhu-vseobecneho
]
usmernenia EDPB k výkladu článkov 46 ods. 2 písm. a) a 46 ods. 3 písm. b) všeobecného nariadenia o ochrane údajov [zverejnené 22.12.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/usmernenia-k-vykladu-clankov-46-ods-2-
pism-46-ods-3-pism-b-vseobecneho-nariadenia-o-ochrane
].
Úrad využíva webové sídlo na informovanie o aktuálnych udalostiach týkajúcich sa ochrany osobných údajov. Nakoľko rok 2020 bol rokom, kedy postupne takmer celý svet zasiahla pandémia ochorenia Covid 19, veľkú časť informačného spektra tvorili informácie týkajúce sa spracúvania osobných údajov v súvislosti s pandémiou, či v rámci Slovenskej republiky, alebo Európy. Pozornosť bola venovaná aj iným aktuálnym informáciám týkajúcim sa vyhlásenia možnosti zapojiť sa do pripomienkovania pripravovaných usmernení EDPB, či informáciách o právnych názoroch a postojoch EDPS.
Uvádzame napríklad:
Príručka pre orgány pri odoberaní odtlačkov prstov pre Eurodac [zverejnené 28.01.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/prirucka-pre-
organy-pri-odoberani-odtlackov-prstov-pre-eurodac
]
Informačný dokument k Brexitu a záväzným vnútropodnikovým pravidlám (BCR) [zverejnené 27.07.2020, dostupné na tomto odkaze
https://dataprotection.gov.sk/uoou/sk/content/informacny-dokument-k-brexitu-
zavaznym-vnutropodnikovym-pravidlam-bcr
].
18
4KOMUNIKÁCIA ÚRADU S VEREJNOSŤOU
4.1Vyjadrenia úradu k otázkam fyzických osôb a právnických osôb
Problematika ochrany osobných údajov sa netýka len prevádzkovateľov alebo sprostredkovateľov, ktorí majú povinnosť aplikovať legislatívu ochrany osobných údajov v praxi, ale aj ľudí, konkrétnych fyzických osôb - dotknutých osôb, majúcich otázky vyplývajúce zo situácií bežného života, súvisiace s ich osobnými údajmi a ich spracúvaním. V sledovanom období s ohľadom na pandémiu prevládali otázky týkajúce sa spracúvania osobných údajov o zdraví, merania teploty, spracúvania údajov o zdraví detí v školách a škôlkach s ohľadom na možnosť ich následného navštevovania predškolského či školského zariadenia. Opätovne pomerne veľkú časť otázok tvorili otázky spojené so spracúvaním osobných údajov v bytových domoch a s inštaláciu kamier v bytových domoch. Mnohé otázky smerovali k plošnému testovaniu a spracúvaniu osobných údajov testovaných osôb. Nakoľko mnohé z otázok boli vo vecnej pôsobnosti ÚVZ SR, tieto mu boli postúpené na vybavenie.
Prevádzkovatelia a sprostredkovatelia úradu najčastejšie adresujú otázky odborného charakteru súvisiace s ich povinnosťami vyplývajúcimi z Nariadenia a zákona, prípadne osobitných zákonov upravujúcich spracovateľské operácie. Nakoľko aj obce a mestá prevádzkovateľmi, niekoľko z nich sa obrátilo na úrad v spojitosti či s testovaním, alebo jeho prípravou adresovali otázky úradu najmä ohľadom ich postavenia v procese testovania, či plnenia si informačnej povinnosti voči dotknutým osobám alebo možnosti, či nemožnosti použitia obecných, či mestom prevádzkovaných kamier na účely monitorovania hustoty osôb pred testovacím miestom.
Zamestnanci úradu vybavili v sledovanom období 975 otázok, pričom je potrebné zohľadniť, že evidencia je vedená na písomnosť, nie počet položených otázok v nej, teda skutočne bolo vybavených niekoľkonásobne viac otázok verejnosti.
4.2Poskytovanie informácií na základe žiadostí o sprístupnenie informácií podľa zákona č. 211/2000 Z. z.
Jednou z možností prístupu verejnosti k informáciám je aj možnosť podať žiadosť v zmysle zákona č. 211/2000 Z. z. Úrad, ako povinná osoba, tieto žiadosti vyhodnotí a v zmysle zákona č. 211/2000 Z. z. vybaví.
V roku 2020 bolo úradu doručených 212 žiadostí o sprístupnenie informácií. Z tohto celkového počtu úrad v 50 prípadoch žiadosť vybavil tak, že požadovanú informáciu sprístupnil, v 44 prípadoch vydal rozhodnutie o nesprístupnení informácie sčasti a zároveň sprístupnil informácie, ktoré mohli byť sprístupnené, v 40 prípadoch úrad vydal rozhodnutie o nesprístupnení informácie, v 30 prípadoch podané žiadosti odložil, nakoľko neboli v lehote uvedenej vo výzve na doplnenie doplnené. V 48 prípadoch postúpila kancelária úradu, ako príslušný odbor na vybavovanie žiadostí tieto inému príslušnému odboru úradu na vybavenie, nakoľko z ich obsahu vyplývalo, že nie žiadosťou o sprístupnenie informácie, ale napríklad otázkou verejnosti, resp. niektoré postúpil na vybavenie inej povinnej osobe, do ktorej kompetencie na základe posúdenia ich obsahu patrili.
4.3 Komunikácia úradu s médiami
Predmetom otázok zo strany médií boli konkrétne problémy a „kauzy“ v ktorých bolo predmetom spracúvanie alebo ochrana osobných údajov, prípadne boli otázky novinárov smerované na špecifikáciu práv dotknutých osôb, ako ich správne uplatňovať a čoho všetkého je možné sa ako dotknutá osoba u prevádzkovateľa domáhať. Najmä od marca sledovaného obdobia sa postupne do popredia dostali otázky spracúvania a ochrany osobných údajov v spojitosti s pandémiou, a následnými opatreniami a povinnosťami, ktoré mali súvis so spracúvaním osobných údajov
19
fyzických osôb, najmä, pokiaľ boli predmetom spracúvania údaje týkajúce sa zdravia. Tiež veľký záujem médií vzbudili opakované bezpečnostné incidenty týkajúce sa Národného centra zdravotníckych informácií; konkrétne únik informácií o Covid 19 pozitívnych osobách tzv. „covid mapa“, či narušenie bezpečnosti aplikácie Moje eZdravie. Téma spracúvania a ochrany osobných údajov v spojitosti s pandémiou koronavírusu dominovala novinárskym otázkam do konca sledovaného obdobia a bola len výnimočne „prerušená“ inou, v danom momente aktuálnou témou.
4.4Webové sídlo úradu a jeho návštevnosť
Webové sídlo úradu spĺňa podmienky a technické kritéria v zmysle Výnosu Ministerstva financií SR o štandardoch pre informačné systémy verejnej správy, reflektuje na novú legislatívnu úpravu v oblasti ochrany osobných údajov, a je postupne dopĺňané o nové funkcionality a aktuálne formuláre, metodiky a usmernenia. Úrad pri vzhľade a delení webového sídla vychádza aj z praxe a snaží sa webové sídlo sprehľadňovať tak, aby bolo čo najviac užívateľsky prívetivé. V ostatnom sledovanom období sa úrad snažil skvalitniť a doplniť najmä anglickú verziu, aby sa dotknuté osoby vedeli domôcť informácií aj ak neovládajú slovenský jazyk a tiež v kontexte toho, že úrad a Slovenská republika boli predmetom schengenského hodnotenia pokiaľ ide o ochranu osobných údajov, kedy predmetom záujmu hodnotiteľov bol aj prístup a poskytovanie informácií v anglickom jazyku, prípadne inom cudzom jazyku, či jazyku národnostnej menšiny.
Webová stránka úradu bola vyhľadávaná počas sledovaného obdobia celkovo 734 654 krát, čo je v porovnaní s rokom 2019 nárast o viac ako 300 000 návštev.
4.5Webové sídlo úradu a nahlasovanie porušení ochrany osobných údajov
Webové sídlo úradu je kľúčový zdroj informácií vzťahujúcich sa k ochrane osobných údajov. Zároveň je aj základnou službou podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov. Prevádzkovatelia a sprostredkovatelia musia zaistiť nepretržitú dôveryhodnosť, integritu, dostupnosť a odolnosť systémov a služieb spracovania a v pravidelných intervaloch posudzovať účinnosť zavedených technických a organizačných opatrení. Napriek tomu môže dôjsť (či vplyvom zámernej činnosti, nedbalosti, omylu alebo živelnej udalosti) k porušeniu zabezpečenia osobných údajov, ktoré vo svojom dôsledku môže znamenať náhodné alebo protiprávne zničenie, stratu, zmenu, neoprávnené poskytnutie alebo sprístupnenie, prenášaných, uložených alebo inak spracúvaných osobných údajov.
Prevádzkovateľ povinnosť podľa čl. 33 Nariadenia alebo podľa § 40 zákona nahlásiť porušenie ochrany osobných údajov (tzv. „data breach“) úradu. Môže tak vo vzťahu k úradu urobiť viacerými spôsobmi, pričom jedným z nich, odporúčaným, je možnosť využiť na splnenie tejto povinnosti na to určený
formulár
, zverejnený na webovom sídle úradu, ktorý bol začiatkom
sledovaného obdobia precizovaný tak, aby sa úrad na základe jeho podrobnosti a odpovedí v ňom uvedených dozvedel všetky potrebné informácie, aby vedel nahlásené porušenie ochrany osobných údajov čo najlepšie posúdiť.
V sledovanom období bolo úradu formálne nahlásených 159 porušení ochrany osobných údajov (všetkými určenými spôsobmi). Po skúmaní a vyhodnotení z uvedeného počtu bolo možné ako porušenie ochrany osobných údajov skutočne označiť 107 nahlásení. Zvyšných 52 nahlásení predstavovalo zväčša inú agendu úradu, ako napríklad návrh na začatie konania, neopodstatnenú sťažnosť podanú bez relevantných údajov alebo inú písomnosť, ktorá nespĺňala náležitosti porušenia ochrany osobných údajov v zmysle čl. 33 Nariadenia. Nahlásenie porušenia je povinnosťou pre prevádzkovateľov, nie pre dotknuté osoby. V prípadoch, kedy porušenie ochrany osobných údajov nahlásili dotknuté osoby, tieto často uvádzali, že nahlásili porušenie z dôvodu, že prevádzkovateľ uviedol, že on ho nahlasovať úradu nebude, lebo incident ním nebol
20
vyhodnotený ako taký, ktorý je potrebné nahlasovať úradu. Radi by sme aj touto cestou apelovali na prevádzkovateľov, aby si svoje povinnosti plnili sami, nakoľko v prípade, ak úrad zistí, že došlo k porušeniu ochrany osobných údajov, ktoré nebolo nahlásené úradu a malo byť, to môže v prípadnom konaní o ochrane osobných údajov byť posúdené úradom ako priťažujúca okolnosť s priamym dopadom na možné navýšenie ukladanej pokuty.
Najčastejšie v sledovanom období k porušeniu ochrany osobných údajov došlo v dôsledku:
neoprávneného poskytnutia alebo sprístupnenia osobných údajov, celkovo 62 prípadov;
kybernetického útoku, celkovo 24 prípadov;
krádeže vlámaním a odcudzením nosičov obsahujúcich osobné údaje, celkovo 6 prípadov;
ojedinelých prípadov porušenia ochrany osobných údajov v dôsledku neoprávneného otvorenia pošty, zámeny osôb a tým aj zámeny osobných údajov.
4.5.1 Elektronizácia služieb Úradu na ochranu osobných údajov Slovenskej republiky
Za účelom dosiahnutia plného legislatívneho súladu v oblasti informačnej a kybernetickej bezpečnosti a tiež zabezpečenia elektronizácie služieb úradu dňa 17.12.2020 úrad a Ministerstvo dopravy a výstavby Slovenskej republiky v zastúpení Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky podpísali Zmluvy o poskytnutí nenávratného finančného príspevku vo výške 4 276 620,28 Eur na realizáciu
Projektu Elektronizácia služieb Úradu na
ochranu osobných údajov Slovenskej republiky
.
Cieľom projektu je vybudovanie komplexného riešenia informačného systému, ktorý bude efektívne elektronicky podporovať procesy úradu, čím sa optimalizuje automatizácia procesov úradu a následne zefektívni vybavovanie agendy zamestnancami. Tiež sa projektom a prijatými opatreniami uľahčí komunikácia externého prostredia s úradom a naopak.
21
5ZODPOVEDNÁ OSOBA
Za výkon dohľadu nad ochranou osobných údajov spracúvaných podľa Nariadenia a zákona zodpovedá prevádzkovateľ. Prevádzkovateľ a sprostredkovateľ môže, prípadne musí v stanovených prípadoch (čl. 37 ods. 1 písm. a) c) Nariadenia, prípadne § 44 ods. 1 písm. a) c) zákona) výkonom dohľadu nad ochranou osobných údajov určiť zodpovednú osobu pričom je povinný ju nahlásiť úradu.
Prehľad počtu určených zodpovedných osôb nahlásených úradu
Zodpovedné osoby
Obdobie
Počet
Celkový počet nahlásených zodpovedných osôb
01.01.2020 až 31.12.2020
1609
Počet žiadostí, ktoré dotknuté osoby adresovali úradu, ako prevádzkovateľovi
V roku 2020 boli úradu doručené fakticky 4 žiadosti dotknutých osôb, pričom dve z nich si uplatnila rovnaká osoba postupne v nadväznosti.
V 2 prípadoch si dotknuté osoby uplatnili právo na vymazanie (zabudnutie) ich osobných údajov. V oboch prípadoch boli žiadosti dotknutých osôb vybavené zaslaním potvrdenia o tom, že úrad ich osobné údaje, okrem tých, ktorými disponuje na základe ich uplatnenej žiadosti pred doručením žiadostí nespracúval.
V 1 prípade si dotknutá osoba uplatnila právo na prístup k jej osobným údajom. Dotknutej osobe bolo zaslané potvrdenie o tom, že úrad jej osobné údaje pred doručením žiadosti nespracúval.
Táto istá osoba si následne uplatnila právo na vymazanie (zabudnutie) jej osobných údajov. Táto žiadosť nebola vybavená kladne z dôvodu, že úrad je v zmysle osobitného predpisu v spojení s registratúrnym poriadkom úradu povinný jej osobné údaje na účel vybavenia žiadosti dotknutej osoby (v jej prípade aj na iné účely) uchovávať po dobu 5 rokov uzavretia spisového materiálu.
22
6SCHVAĽOVACIA A KONZULTAČNÁ ČINNOSŤ ÚRADU
6.1Predchádzajúca konzultácia
Podľa čl. 36 ods. 1 Nariadenia „Prevádzkovateľ uskutoční s dozorným orgánom pred spracúvaním konzultácie, ak z posúdenia vplyvu na ochranu údajov podľa článku 35 vyplýva, že toto spracúvanie by viedlo k vysokému riziku v prípade, ak by prevádzkovateľ neprijal opatrenia na zmiernenie tohto rizika.“
Podľa čl. 35 ods. 5 Nariadenia „Dozorný orgán môže stanoviť a zverejniť aj zoznam spracovateľských operácií, v prípade ktorých sa nevyžaduje posúdenie vplyvu na ochranu údajov. Dozorný orgán zasiela tieto zoznamy výboru.“; k tzv. zoznamu spracovateľských operácií, ktoré nebudú podliehať posúdeniu vplyvu na ochranu osobných údajov (tzv. white list) Slovenská republika zatiaľ nepristúpila.
Podľa čl. 35 ods. 4 Nariadenia „Dozorný orgán vypracuje a zverejní zoznam tých spracovateľských operácií, ktoré podliehajú požiadavke na posúdenie vplyvu na ochranu údajov podľa odseku 1. Dozorný orgán zasiela tieto zoznamy výboru uvedenému v článku 68.“; zoznam spracovateľských operácii, ktoré vždy podliehajú posúdeniu vplyvu Slovenská republika v zmysle uvedeného článku vypracovala (tzv. black list), je dostupný na webovom sídle úradu
Zoznam
spracovateľských operácií podliehajúcich posúdeniu vplyvu na ochranu osobných údajov
Slovenskej republiky
“. Tento zoznam spracovateľských operácií okrem iného slúži na spresnenie
čl. 35 ods. 1 Nariadenia a prevádzkovatelia, ktorí uvedené spracúvanie zamýšľajú uskutočniť v prípade, ak by nimi zamýšľané spracúvanie viedlo k vysokému riziku pre práva a slobody dotknutých osôb v prípade, ak by prevádzkovateľ neprijal opatrenia na zmiernenie tohto rizika, povinní vykonať s úradom predchádzajúcu konzultáciu.
V sledovanom období bola vybavená opakovaná žiadosť o predchádzajúcu konzultáciu, predložená ešte v roku 2019. V prípade tejto predchádzajúcej konzultácie bolo prevádzkovateľovi odporučené, aby prijal v súvislosti s plánovanou spracovateľskou činnosťou dostatočné opatrenia na minimalizáciu rizík spojených s používaním ním plánovaných technológií.
V roku 2020 bola úradu doručená jedna žiadosť o predchádzajúcu konzultáciu, ktorá je momentálne predmetom skúmania, rieši sa.
6.2Prenos osobných údajov
Voľný pohyb osobných údajov sa v rámci EHP zaručuje. Avšak pri prenose do krajín mimo EHP alebo medzinárodným organizáciám je potrebné dodržiavať dodatočné požiadavky na ochranu osobných údajov uvedené v Nariadení a smernici 2016/680. Aj keď niektoré nástroje na prenos osobných údajov podľa oboch právnych predpisov rovnaké, vždy je potrebné skúmať vecnú pôsobnosť použitého nástroja. Novinkou oproti predchádzajúcej právnej úprave je, že sa upravuje prenos aj medzinárodným organizáciám.
Prenosy môžeme rozdeliť do dvoch skupín:
prenos do tretích krajín (medzinárodnej organizácii) zaručujúcich primeranú úroveň ochrany,
prenos do tretích krajín (medzinárodnej organizácii) nezaručujúcich primeranú úroveň ochrany.
6.2.1Prenos do krajiny zaručujúcej primeranú úroveň ochrany osobných údajov
Pri prenose osobných údajov do tretích krajín sa rozlišuje, či ide o prenos osobných údajov do
23
tretej krajiny zaručujúcej alebo nezaručujúcej primeranú úroveň ochrany osobných údajov. Status krajiny, ktorá zaručuje primeranú úroveň ochrany osobných údajov určuje EK svojím rozhodnutím. Je potrebné, aby tretia krajina zaisťovala z dôvodu jej vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísala, úroveň ochrany základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v právnom poriadku EÚ.
EK vydáva rozhodnutie o primeranosti zvlášť pre vecnú pôsobnosť Nariadenia a zvlášť pre vecnú pôsobnosť smernice 2016/680. Rozhodnutia o primeranosti, ktoré EK vydala v čase pôsobnosti zákona č. 122/2013 Z. z., zostávajú v platnosti pokiaľ ich EK nezmení, nenahradí alebo nezruší rozhodnutím prijatým podľa Nariadenia. Uvedené rozhodnutia sa vzťahujú len na prenos osobných údajov v rámci vecnej pôsobnosti Nariadenia, nie smernice 2016/680. Úrad zverejňuje rozhodnutia o primeranosti na svojom
webovom sídle.
V hodnotenom období EK nevydala žiadne rozhodnutie o primeranosti podľa Nariadenia ani podľa smernice 2016/680.
6.2.2Prenos do krajiny nezaručujúcej primeranú úroveň ochrany osobných údajov
Aj pri prenose do krajiny alebo medzinárodnej organizácii nezaručujúcej primeranú úroveň ochrany je potrebné rozlišovať medzi nástrojmi, ktoré ponúka Nariadenie a nástrojmi, ktoré ponúka smernica 2016/680.
6.2.2.1Prenos podľa Nariadenia
Pokiaľ EK nevydala rozhodnutie o primeranosti, prípadne rozhodnutie o primeranosti zrušila, prevádzkovateľ alebo sprostredkovateľ môže na prenos využiť ešte tieto inštitúty:
a)právne záväzný a vykonateľný nástroj medzi orgánmi verejnej moci alebo verejnoprávnymi subjektmi
V hodnotenom období nebol prijatý takýto nástroj.
b)záväzné vnútropodnikové pravidlá
V hodnotenom období neboli prijaté úradom žiadne záväzné vnútropodnikové pravidlá podľa Nariadenia.
c)štandardných doložiek o ochrane údajov, ktoré prijala EK
V hodnotenom období neboli prijaté žiadne štandardné doložky podľa Nariadenia.
d)štandardných doložiek o ochrane údajov, ktoré prijal dozorný orgán,
V hodnotenom období neboli prijaté žiadne štandardné doložky prijaté úradom podľa Nariadenia.
e)schválený kódex správania
V hodnotenom období neboli schválené žiadne kódexy.
f)schválený certifikačný mechanizmus
V hodnotenom období neboli schválené žiadne certifikačné mechanizmy.
g)zmluvné doložky
V hodnotenom období neboli schválené žiadne zmluvné doložky.
h)ustanovenia, ktoré sa vložia do administratívnych dojednaní medzi orgánmi verejnej moci alebo verejnoprávnymi subjektmi a zahŕňajú vymožiteľné a účinné práva dotknutých osôb
V hodnotenom období neboli schválené žiadne administratívne dojednania.
24
i)výnimky pre osobitné situácie podľa čl. 49 Nariadenia
j)ojedinelý prenos osobných údajov podľa čl. 49 ods. 1 druhý pododsek
6.2.2.2Prenos podľa smernice 2016/680
Ak neexistuje rozhodnutie o primeranosti, členské štáty stanovia, že sa prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii môže uskutočniť za pomoci týchto nástrojov:
a)právne záväzný akt poskytujúci primerané záruky ochrany osobných údajov, alebo
b)prevádzkovateľ posúdil všetky okolnosti prenosu osobných údajov a dospel k záveru, že existujú primerané záruky ochrany osobných údajov,
c)výnimky pre osobitné situácie podľa § 76 zákona,
d)prenos príjemcom z tretej krajiny podľa § 77 zákona.
25
7KONTROLA
Dozor je zameraný najmä na prevádzkovateľov a sprostredkovateľov, ktorí pri spracúvaní osobných údajov povinní dodržiavať zásady ustanovené Nariadením a zákonom, ako aj na práva, právom chránené záujmy a slobody dotknutých osôb, ktorých osobné údaje predmetom spracúvania.
Úrad je v rámci svojej pôsobnosti oprávnený vykonávať kontrolu spracúvania osobných údajov, kontrolu dodržiavania kódexu správania schváleného úradom podľa § 85 zákona, kontrolu súladu spracúvania osobných údajov s vydaným certifikátom podľa § 86 a kontrolu dodržiavania vydaného osvedčenia o udelení akreditácie podľa § 87 a § 88 zákona. Na území Slovenskej republiky boli v roku 2020 (ďalej aj „hodnotené obdobie“) vykonávané len kontroly spracúvania osobných údajov.
Kontroly spracúvania osobných údajov vykonávané povereným kontrolným orgánom vždy zamerané na konkrétneho prevádzkovateľa alebo sprostredkovateľa a ich výsledky formulované v zázname o kontrole (ak nebolo zistené žiadne porušenie povinností pri spracúvaní osobných údajov) alebo v protokole o kontrole (ak boli zistené rozpory s požiadavkami všeobecne záväzných právnych predpisov). Výsledky kontrol formulované v protokole o kontrole iniciujú začatie konania o ochrane osobných údajov alebo využité ako podklad pre vydanie rozhodnutia v už prebiehajúcich konaniach o ochrane osobných údajov.
So zreteľom na ochranu života a zdravia fyzických osôb reprezentujúcich subjekty spracúvajúce osobné údaje (oprávnené osoby prevádzkovateľov a sprostredkovateľov), ako aj na ochranu života a zdravia zamestnancov úradu bola kontrolná činnosť úradu v roku 2020 výrazne ovplyvňovaná nepriaznivými podmienkami vyplývajúcimi z aktuálnej pandemickej situácie (vrátane uzávery ubytovacích a reštauračných zariadení, zamestnávateľmi aplikovaného režimu práce z domu, a podobne).
7.1Kontroly evidované v roku 2020
V priebehu roku 2020 úrad zaevidoval 65 nových kontrol spracúvania osobných údajov. Z uvedeného počtu bolo v tom istom roku ukončených 10 kontrol a 55 kontrol (v rôznom procesnom štádiu kontroly) bolo prenesených do roku 2021.
Z celkového počtu 65 kontrol bolo v roku 2020 evidovaných 19 kontrol na základe plánu kontrol, 34 kontrol v rámci konaní o ochrane osobných údajov a 12 kontrol na základe podozrení z porušenia povinností pri spracúvaní osobných údajov.
19
34
12
0
10
20
30
40
Na základe plánu kontrol
V rámci konania
Na základe podozrenia
Počet kontrol
26
7.2Kontroly ukončené v roku 2020
V hodnotenom období úrad ukončil 39 kontrol spracúvania osobných údajov, z toho 9 kontrol začatých v roku 2020 a 30 kontrol začatých v predchádzajúcom období. Predmetom 39 kontrol ukončených v sledovanom období boli v 10 prípadoch spracovateľské činnosti štátnych orgánov a organizácií, v 4 prípadoch spracovateľské činnosti orgánov územnej samosprávy (mestá a obce), v 20 prípadoch spracovateľské činnosti iných právnických osôb (vrátane dvoch bánk, jednej poisťovne a jedného poskytovateľa zdravotnej starostlivosti) a spracovateľské činnosti športového zväzu. V roku 2020 boli kontroly spracúvania osobných údajov vykonané aj u 4 fyzických osôb.
V rámci 14 kontrol ukončených v roku 2020 nebolo zistené porušenie Nariadenia, v dôsledku čoho boli tieto kontroly ukončené záznamom o kontrole. Výkonom zvyšných 25 kontrol boli zistené rozpory s požiadavkami Nariadenia, v dôsledku čoho boli tieto kontroly ukončené protokolom o kontrole.
Štruktúra kontrolovaných osôb a výsledkov kontrol ukončených v roku 2020
Kontrolované osoby
Zistené nedostatky
(protokol o kontrole)
Bez zistených nedostatkov
(záznam o kontrole)
štátne orgány a organizácie
5
5
orgány územnej samosprávy
2
2
iné právnické osoby
16
4
športový zväz
1
0
fyzické osoby
1
3
25
14
Kontroly spracúvania osobných údajov ukončené v hodnotenom období boli vykonávané v rámci konania o ochrane osobných údajov, na základe plánu kontrol, ako aj na základe podozrenia z porušenia povinností pri spracúvaní osobných údajov ustanovených Nariadením alebo zákonom. Ťažisko kontrol bolo zamerané na reálny stav spracúvania osobných údajov s akcentom na súlad spracovateľských činností s požiadavkami právnej regulácie reprezentovanej najmä Nariadením a zákonom. Pri kreácii plánu kontrol, ako aj pri výbere kontrol priebežne iniciovaných úradom na základe podozrenia z porušenia povinností pri spracúvaní osobných údajov úrad čerpal najmä z vlastných skúseností získavaných pri plnení svojich úloh v oblasti dozoru.
Štruktúra podnetov na kontroly ukončené v roku 2020
14
9
16
0
5
10
15
20
Plán kontrol
V rámci konania
Podozenie
Počet kontrol
27
7.3Výber z kontrol ukončených v roku 2020
7.3.1Kontroly spracúvania osobných údajov v informačných systémoch, pomocou ktorých sa zabezpečuje praktické vykonávanie schengenského „acquis“
Do plánu kontrol úrad pravidelne zaraďuje kontroly spracúvania osobných údajov v informačných systémoch, pomocou ktorých sa zabezpečuje praktické vykonávanie schengenského „acquis“ príslušnými orgánmi na území Slovenskej republiky, ako aj zastupiteľskými úradmi Slovenskej republiky v zahraničí. V roku 2020 boli ukončené 3 kontroly začaté v roku 2019 (Konzulárny odbor MZVaEZ SR, zastupiteľský úrad SR v Káhire a zastupiteľský úrad SR Nikózii) a jedna kontrola začatá v roku 2020 (Centrálny vízový orgán MV SR). Napriek tomu, že rezort MZVaEZ SR pristupuje k implementácii schengenského „acquis“ s vysokou mierou zodpovednosti, kontrolou dvoch zastupiteľských úradov boli zistené menej závažné nedostatky v oblasti špecifických bezpečnostných štandardov, v dôsledku čoho boli tieto kontroly ukončené protokolom o kontrole. Výkonom zvyšných dvoch kontrol ukončených záznamom o kontrole (Konzulárny odbor MZVaEZ SR a Centrálny vízový orgán MV SR) neboli zistené žiadne nedostatky.
7.3.2Kontrola spracovateľských činností obchodnej spoločnosti zaoberajúcej sa cieleným e-marketingom a predajom lesných plodov
Predmetom kontroly spracovateľských činností obchodnej spoločnosti zaoberajúcej sa cieleným e-marketingom a predajom lesných plodov bolo preverenie postupov kontrolovanej osoby súvisiacich s jej databázou kontaktov zameranou na právnické osoby, ktorá mala byť využívaná na cielený marketing. V priebehu kontroly bolo zistené, že v databázach kontrolovanej osoby sa nachádzajú aj osobné údaje fyzických osôb, čím sa kontrolovaná osoba ocitla v pozícii prevádzkovateľa v zmysle Nariadenia. Ďalšou činnosťou kontrolovanej osoby bol predaj lesných plodov, ktorý bol rovnako spojený so získavaním a ďalším spracúvaním osobných údajov. Ani v jednom z uvedených prípadov kontrolovaná osoba nepreukázala súlad svojich spracovateľských činností s požiadavkami Nariadenia, nakoľko dotknutým osobám v čase získavania ich osobných údajov neposkytovala informácie vymedzené článkom 13 Nariadenia a v rozpore so zásadou minimalizácie údajov sa nezaoberala ani lehotou uchovávania osobných údajov. Predmetná kontrola bola ukončená protokolom o kontrole, v ktorom bolo konštatované porušenie povinností pri spracúvaní osobných údajov.
7.3.3Kontrola spracovateľských činností obchodnej spoločnosti zaoberajúcej sa deratizáciou
Kontrolu spracovateľských činností obchodnej spoločnosti zaoberajúcej sa deratizáciou vykonal úrad v rámci konania o ochrane osobných údajov. Kontrola bola zameraná na zásady spracúvania osobných údajov, zákonnosť spracúvania, plnenie informačnej povinnosti prevádzkovateľa voči dotknutej osobe, vedenie záznamov o spracovateľských činnostiach a bezpečnosť spracúvania osobných údajov v zmysle Nariadenia. Vo vzťahu k dikcii článku 6 ods. 1 písm. f) Nariadenia kontrolovaná osoba v priebehu kontroly nepreukázala, že jej oprávnené záujmy prevažujú nad záujmami alebo základnými právami a slobodami dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov (test proporcionality), súčasne nepreukázala, že doba uchovávania osobných údajov určená kontrolovanou osobou je nevyhnutná na splnenie účelu spracúvania (kontrolovaná osoba navyše uchovávala osobné údaje po dobu dlhšiu, ako sama určila), a dotknutým osobám pri získavaní ich osobných údajov poskytovala len časť informácií, ktorých úplný rozsah ustanovuje článok 13 ods. 1 a 2 Nariadenia. Kontrola bola ukončená protokolom o kontrole
28
7.3.4Kontrola spracúvania osobných údajov v športovom zväze, ktorý je občianskym združením
Jednou z kontrol, ktoré úrad ukončil v roku 2020, bola kontrola spracúvania osobných údajov v športovom zväze, ktorý je občianskym združením. Predmetom kontroly bol súlad spracúvania osobných údajov s požiadavkami Nariadenia pri spracúvaní osobných údajov dotknutých osôb. Kontrola bola zameraná na spracúvanie osobných údajov záujemcov o členstvo v zväze a členov zväzu. Kontrolovaná osoba získavala osobné údaje dotknutých osôb prostredníctvom prihlášky, ktorou vyžadovala aj fotografiu záujemcu o členstvo v zväze. Kontrolovaná osoba následne prostredníctvom svojho webového sídla zverejňovala zoznam svojich členov vrátane tzv. elektronického registračného preukazu, ktorý obsahoval osobné údaje vrátane fotografie (v čase výkonu kontroly boli elektronické registračné preukazy zverejňované bez fotografie). Kontrolou bolo zistené, že dotknutá osoba nemala možnosť súhlasiť alebo nesúhlasiť so spracúvaním osobných údajov na jednotlivé účely spracúvania osobných údajov a neboli jej poskytnuté ani jednoznačné informácie o právnom základe spracúvania podľa účelu spracúvania. Kontrolou bolo súčasne zistené, že kontrolovaná osoba nesplnila podmienku vyplývajúcu z článku 7 Nariadenia tým, že dotknuté osoby pred poskytnutím súhlasu neinformovala o možnosti súhlas kedykoľvek odvolať. Kontrolou boli zistené aj pochybenia súvisiace s poskytovaním informácií, ktoré bola kontrolovaná osoba povinná poskytovať dotknutým osobám pri získavaní ich osobných údajov. Na základe zistených nedostatkov bola kontrola ukončená protokolom o kontrole.
7.3.5Kontrola spracúvania osobných údajov dotknutých osôb prevádzkovateľom, ktorý je poskytovateľom zdravotnej starostlivosti v oblasti esteticko-plastickej chirurgie a korektívnej dermatológie
Úrad v roku 2020 preveril spracúvanie osobných údajov dotknutých osôb prevádzkovateľom, ktorý je poskytovateľom zdravotnej starostlivosti v oblasti esteticko-plastickej chirurgie a korektívnej dermatológie, kde všetky zákroky (vrátane chirurgických úkonov) vykonávané na základe žiadosti klienta a hradí si ich samotný klient. Osobné údaje svojich klientov prevádzkovateľ spracúva autonómne a neposkytuje ich systematicky žiadnemu inému zdravotníckemu zariadeniu ani žiadnej zdravotnej poisťovni; výnimkou je len zdravotnícke laboratórium na účely diagnostiky v prípade histologického vyšetrenia vzorky odobratej klientovi. Osobné údaje klienta na účely vykonania zdravotných úkonov spracúvané prevádzkovateľom ako osobné údaje nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa a spracúvané v rozsahu, v akom je spracúvaná zdravotná dokumentácia pri poskytovaní zdravotnej starostlivosti na základe zákona o poskytovaní zdravotnej starostlivosti. Údaje spracúvané na účely poskytnutia zdravotnej starostlivosti údajmi týkajúcimi sa zdravia, teda osobitnou kategóriou osobných údajov; kontrolou nebolo zistené spracúvanie údajov týkajúcich sa zdravia na iné než zákonom vymedzené účely. Kontrolou však bolo zistené, že prevádzkovateľ pri získavaní osobných údajov potenciálnych klientov prostredníctvom on-line formulára na svojom webovom sídle poskytoval neaktuálne informácie týkajúce sa práv dotknutých osôb, pričom využíval jedinú, univerzálnu e-mailovú adresu na dva odlišné účely (komunikácia s verejnosťou a uplatňovanie práv dotknutých osôb). Na základe zistených nedostatkov bola kontrola ukončená protokolom o kontrole.
7.3.6Kontrola prevádzkovateľa (právnickej osoby), ktorý vykonáva strážnu službu
Predmetom kontroly prevádzkovateľa (právnickej osoby), ktorý vykonáva strážnu službu, bol súlad spracúvania osobných údajov dotknutých osôb kamerovým systémom s požiadavkami Nariadenia s dôrazom na preverenie spracúvania osobných údajov zamestnancov na účel tzv. kontrolného mechanizmu zamestnávateľa podľa Zákonníka práce. Kontrolovaná osoba mala v prevádzke niekoľko IP kamier, záznamové zariadenie a výstupné zobrazovacie jednotky. Kontrolný
29
orgán sa pri výkone kontroly zameral najmä na zásady spracúvania osobných údajov, zákonnosť spracúvania osobných údajov, informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby a bezpečnosť spracúvania osobných údajov. Spracúvanie osobných údajov zamestnancov prostredníctvom kamerového systému na účel kontrolného mechanizmu zamestnávateľa bolo kontrolovanou osobou prezentované ako jej oprávnený záujem v zmysle čl. 6 ods. 1 písm. f) Nariadenia, ktorý vyplýva z jej oprávnenia podľa osobitného zákona 13 ods. 4 Zákonníka práce). V priebehu výkonu kontroly však kontrolovaná osoba nijakým spôsobom (napr. testom proporcionality) nepreukázala, že jej oprávnené záujmy prevažujú nad záujmami alebo základnými právami a slobodami dotknutých osôb (vlastných zamestnancov). Právny základ spracúvania osobných údajov zamestnancov na účel kontrolného mechanizmu bol v rôznych dokumentoch predložených kontrolovanou osobou formulovaný odlišne (raz ako oprávnený záujem, inokedy ako § 13 ods. 4 Zákonníka práce), teda z pohľadu dotknutých osôb (zamestnancov) zavádzajúco, netransparentne. Výkonom kontroly bolo súčasne zistené, že kontrolovaná osoba jednou kamerou spracúva osobné údaje zamestnancov v neprimeranom rozsahu (nad rozsah nevyhnutný na dosiahnutie účelu spracúvania), teda v rozpore s článkom 5 ods. 1 písm. c) Nariadenia (zásada minimalizácie údajov). Rovnako bolo kontrolným orgánom zistené, že kontrolovaná osoba postupuje v rozpore s článkom 5 ods. 1 písm. e) Nariadenia (zásada minimalizácie uchovávania) tým, že uchováva osobné údaje dotknutých osôb (zamestnancov) po dobu dlhšiu ako je doba nevyhnutná na dosiahnutie sledovaného účelu. Na základe zistených nedostatkov bola kontrola ukončená protokolom o kontrole.
7.3.7Kontrola v obchodnej spoločnosti zaoberajúcej sa prevažne poskytovaním cielenej reklamy a vytváraním populačných analýz
Úrad na základe podozrenia z porušenia povinností pri spracúvaní osobných údajov vykonal kontrolu v obchodnej spoločnosti zaoberajúcej sa prevažne poskytovaním cielenej reklamy a vytváraním populačných analýz. Podnet na preverenie zákonnosti spracúvania osobných údajov bol úradu doručený od novinára, ktorého zaujala jedna z populačných analýz kontrolovanej osoby. Kontrola bola zameraná na oblasť súvisiacu so spracúvaním lokalizačných údajov dotknutých osôb prostredníctvom sledovania polohy SIM kariet, ktorého účelom bolo zistenie počtu obyvateľstva migrujúceho za prácou mimo okres alebo kraj. Túto analýzu pohybu obyvateľstva vykonala kontrolovaná osoba na základe objednávky iného subjektu, ktorý chcel výsledky analýzy využiť pri dopravnom plánovaní. Kontrolovaná osoba vytvárala analýzu migrácie obyvateľstva v časovom horizonte dvoch týždňov, a to na základe údajov, ktoré jej boli poskytnuté telekomunikačnými operátormi podľa uzatvorených zmlúv. Údaje boli poskytované kontrolovanej osobe vo forme, ktorá neumožňovala ich spätné priradenie ku konkrétnej dotknutej osobe. Kontrola, ktorou nebol zistený žiaden nesúlad s nariadením, bola ukončená záznamom o kontrole.
7.3.8Kontrola kamerových systémov prevádzkovaných fyzickými osobami
Úrad sa zaoberá aj spracúvaním osobných údajov dotknutých osôb prostredníctvom kamerových systémov prevádzkovaných fyzickými osobami. V konkrétnom prípade z podnetu na kontrolu vyplývalo, že kontrolovaná (fyzická) osoba monitoruje aj priestory, ktoré nevlastní, v dôsledku čoho nemôže ísť o výslovne domáce alebo osobné činnosti fyzickej osoby, na ktoré sa nariadenie nevzťahuje. Kontrolovaná osoba však v priebehu výkonu kontroly deklarovala a následne aj preukázala, že ide o nefunkčnú napodobeninu (atrapu) kamery, v dôsledku čoho nedochádza k žiadnemu spracúvaniu osobných údajov. Kontrola bola ukončená záznamom o kontrole.
Vo vzťahu ku kamerovým systémom prevádzkovaným fyzickými osobami je však žiaduce poukázať na to, že na monitorovanie vlastného obydlia (napríklad rodinného domu) sa v mnohých prípadoch nemôže vzťahovať výnimka z pôsobnosti Nariadenia podľa článku 2 ods. 2 písm. c) (spracúvanie osobných údajov v rámci výlučne osobnej alebo domácej činnosti) z dôvodu, že
30
dotknutý kamerový systém čo i len čiastočne monitoruje aj nehnuteľnosti inej osoby (napríklad pozemok alebo rodinný dom suseda) alebo verejné priestranstvo (napríklad časť ulice). V takých prípadoch aj fyzická osoba prevádzkujúca kamerový systém nadobúda postavenie prevádzkovateľa, v dôsledku čoho sa na ňu v plnom rozsahu vzťahujú všetky povinnosti vyplývajúce z Nariadenia.
31
8KONANIE O OCHRANE OSOBNÝCH ÚDAJOV
Účelom konania o ochrane osobných údajov je zistiť, či došlo k porušeniu práv fyzických osôb pri spracúvaní ich osobných údajov alebo došlo k porušeniu ustanovení Nariadenia, prípadne zákona, a v prípade zistenia nedostatkov, ak je to dôvodné a účelné, uložiť opatrenia na nápravu, prípadne pokutu. Na konanie o ochrane osobných údajov sa vzťahujú ustanovenia správneho poriadku.
Ak nie je daná kompetencia úradu na konanie a rozhodnutie vo veci úrad povinnosť podanie postúpiť príslušnému správnemu orgánu. V sledovanom období postúpil úrad celkovo 34 podaní inému, vecne príslušnému správnemu orgánu na konanie a rozhodnutie.
Právne predpisy v oblasti ochrany osobných údajov umožňujú úradu podanie v taxatívne stanovených prípadoch odložiť. K odloženiu podania musel úrad pristúpiť v prípade jeho neopodstatnenosti, v prípade, ak vec, ktorej sa podanie týkalo prejednával orgán činný v trestnom konaní, v prípade, ak podávateľ neposkytol úradu na jeho žiadosť potrebnú súčinnosť, pričom bez jeho aktívnej účasti nebolo možné vec vybaviť a v prípade, ak od udalosti, ktorej sa podanie týkalo, uplynul v deň jeho doručenia čas dlhší ako tri roky. Najčastejším dôvodom odloženia bola neopodstatnenosť podania, keď z dôkazov predložených najmä dotknutou osobou bolo zrejmé, že k porušeniu právnych predpisov v oblasti ochrany osobných údajov nedošlo. V sledovanom období bolo celkovo odložených 289 podaní.
Úrad, v rámci dozornej činnosti, vedie konanie o ochrane osobných údajov s cieľom ochrany práv fyzických osôb pred neoprávneným zasahovaním do ich súkromného života pri spracúvaní ich osobných údajov, pričom v ňom taktiež skúma dodržiavanie povinností stanovených Nariadením a zákonom. Ak zistí porušenie práv dotknutej osoby alebo nesplnenie povinností pri spracúvaní osobných údajov, rozhodnutím, ak je to dôvodné a účelné, uloží prevádzkovateľovi alebo sprostredkovateľovi, aby v určenej lehote vykonal opatrenia na odstránenie nedostatkov a príčin ich vzniku, prípadne mu v závislosti najmä od závažnosti zisteného porušenia uloží pokutu. V opačnom prípade konanie o ochrane osobných údajov zastaví.
Konanie o ochrane osobných údajov sa začína na návrh navrhovateľa alebo z vlastnej iniciatívy úradu. Konanie z vlastnej iniciatívy úradu sa začína na základe podnetu, na základe výsledkov kontroly, ktorou boli zistené nedostatky alebo na základe zistenia úradu z vlastnej činnosti o podozrení z porušenia právnych predpisov v oblasti ochrany osobných údajov, ako konanie začaté bez návrhu.
V sledovanom období začal úrad celkovo 219 správnych konaní, z ktorých 138 bolo začatých na návrh dotknutej osoby, 57 začatých na základe podnetu, 16 začatých na základe výsledkov kontroly, ktorou boli zistené nedostatky a 8 konaní viedol úrad z vlastnej iniciatívy na základe podozrenia z porušenia právnych predpisov v oblasti ochrany osobných údajov.
Prehľad spôsobov začatia konania v rámci sledovaného obdobia
Rok
Na základe
návrhu
Na základe
podnetu
Na základe
výsledkov kontroly
Z vlastnej
iniciatívy úradu
2020
138
57
16
8
Rozhodnutie úradu, ako správneho orgánu v prvom stupni v konaní o ochrane osobných údajov, vychádza zo spoľahlivo zisteného stavu veci. Na tento účel je úrad v konaní o ochrane osobných údajov oprávnený požadovať súčinnosť od kohokoľvek, pričom v hodnotenom období úrad žiadal o súčinnosť celkovo 972 krát. V konaní o ochrane osobných údajov sa vyskytli tri prípady kedy
32
subjekt, od ktorého bola žiadaná súčinnosť na ňu nereagoval a úradu ani po vyzvaní na splnenie si povinnosti súčinnosť neposkytol (v daných prípadoch bolo voči subjektom iniciované konanie o pokute prípadne o poriadkovej pokute).
V súvislosti so zvyšovaním povedomia ochrany osobných údajov u verejnosti sa o prípady, resp. výsledky konaní zaujímali častokrát taktiež média. Inštitút právneho zastúpenia bol v hodnotenom období využitý v značnom počte prípadov, pričom výnimkou neboli ani prípady, kedy všetci účastníci konania boli zastúpení právnymi zástupcami.
Najčastejším predmetom konania o ochrane osobných údajov bolo preskúmanie, či spracúvaním osobných údajov dotknutých osôb v informačnom systéme, súčasťou ktorého boli kamery, nedochádzalo k porušovaniu právnych predpisov v oblasti ochrany osobných údajov.
Medzi najčastejšie porušenia patrilo spracúvanie osobných údajov v rozpore so zásadou zákonnosti, kedy dochádzalo k spracúvaniu osobných údajov bez právneho základu, resp. v rozpore s právnym základom a spracúvanie v rozpore so zásadou integrity a dôvernosti, čo súviselo s neprijatím primeraných bezpečnostných opatrení.
33
9MECHANIZMUS SPOLUPRÁCE A KONZISTENTNOSTI
Fungovanie vnútorného trhu si vyžaduje, aby voľný pohyb osobných údajov v rámci Únie nebol obmedzený ani zakázaný, a to ani z dôvodov súvisiacich s ochranou fyzických osôb pri spracúvaní osobných údajov, čo sa odzrkadľuje aj v ustanovení čl. 1 ods. 3 Nariadenia. Na uvedené Nariadenie reaguje zavedením mechanizmov spolupráce a konzistentnosti, aby bola zaručená konzistentná a obdobne vysoká úroveň ochrany osobných údajov v každom členskom štáte bez ohľadu na miesto bydliska dotknutej osoby.
9.1Mechanizmus spolupráce
Nariadenie upravuje spoluprácu medzi dozornými orgánmi navzájom, či potreba vzájomnej spolupráce vznikne v rámci vyšetrovania konkrétneho podozrenia z porušenia ochrany osobných údajov alebo v rámci inej činnosti dozorného orgánu (napr. riešenie právnych otázok, poskytovanie konzultácií). Vzhľadom na to, že pravidlá spolupráce upravené priamo v Nariadení, nevyžaduje sa žiadne uzatváranie ďalších osobitných dohôd medzi členskými štátmi na tento účel.
9.1.1Cezhraničné spracúvanie
V zmysle čl. 55 Nariadenia každý dozorný orgán plní úlohy a vykonáva právomoci zverejnené Nariadením na území svojho štátu. Nariadenie však osobitne upravuje aj postup a príslušnosť v konaní pre cezhraničné spracúvanie osobných údajov. Cezhraničné spracúvanie je v zmysle čl. 4 bod 23 Nariadenia a) spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii v kontexte činností prevádzkarní prevádzkovateľa alebo sprostredkovateľa vo viac ako jednom členskom štáte, pričom prevádzkovateľ alebo sprostredkovateľ usadení vo viac ako jednom členskom štáte; alebo b) spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii kontexte činností jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa v Únii, ale ktoré podstatne ovplyvňuje alebo pravdepodobne podstatne ovplyvní dotknuté osoby vo viac ako jednom členskom štáte.
Nariadenie upravuje spoluprácu medzi dozornými orgánmi predovšetkým v súvislosti s mechanizmom jednotného kontaktného miesta (tzv. one-stop-shop) upraveného v čl. 56 ods. 1 Nariadenia, v zmysle ktorého je dozorný orgán hlavnej prevádzkarne alebo jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa oprávnený konať ako vedúci dozorný orgán pre cezhraničné spracúvanie vykonávané zo strany tohto prevádzkovateľa, resp. sprostredkovateľa. Podľa čl. 56 ods. 2 Nariadenia, je každý dozorný orgán príslušný zaoberať sa jemu podanou sťažnosťou alebo prípadným porušením Nariadenia, ak sa skutková podstata týka iba prevádzkarne v jeho členskom štáte alebo podstatne ovplyvňuje dotknuté osoby iba v jeho členskom štáte. V súlade s čl. 4 bod 22 Nariadenia ostatné dozorné orgány budú pre toto spracúvanie v pozícií dotknutých dozorných orgánov, ak a) prevádzkovateľ alebo sprostredkovateľ je usadený na území členského štátu tohto dozorného orgánu; b) dotknuté osoby s pobytom v členskom štáte tohto dozorného orgánu podstatne ovplyvnené alebo budú pravdepodobne podstatne ovplyvnené spracúvaním; alebo c) sťažnosť sa podala na tento dozorný orgán.
Určovanie vedúceho dozorného orgánu a dotknutých orgánov sa uskutočňuje v systéme IMI (Internal Market Informational System - Informačný systém o vnútornom trhu), v rámci ktorého prebieha medzi jednotlivými dozornými orgánmi výmena informácií o konkrétnom spracúvaní a konkrétnom podozrení z porušenia ochrany osobných údajov, resp. pokiaľ sa vyšetrovanie začalo na základe sťažnosti dotknutej osoby, tak aj o obsahu tejto konkrétnej sťažnosti. Výmena informácií prebieha v anglickom jazyku.
34
V sledovanom období bolo úradu doručených v systéme IMI 726 notifikácií ohľadom určovania vedúceho a dotknutého dozorného orgánu. Na základe starostlivého posúdenia každej jednej veci vyhodnotil, že je dotknutým dozorným orgánom v 154 prípadoch; najčastejšie z dôvodov, že predmetné spracúvanie osobných údajov podstatne ovplyvňuje alebo pravdepodobne podstatne ovplyvní dotknuté osoby s pobytom na území Slovenskej republiky. Najčastejšie išlo o prevádzkovateľov sociálnych sietí, letecké spoločnosti, prevádzkovateľov fitness centier, spoločnosti poskytujúce online hry, rôzne e-shopy, atď. V niektorých prípadoch bol úrad dotknutý aj z dôvodu, že prevádzkovateľ alebo sprostredkovateľ je usadený na území Slovenskej republiky, tzn. na území Slovenskej republiky jednu alebo viac prevádzkarní. Pokiaľ úrad vyhodnotil, že je dotknutým dozorným orgánom, označil to v systéme IMI a prípad ďalej sledoval. V súlade s čl. 60 Nariadenia úrad mal podľa potreby možnosť vyjadrovať sa k žiadostiam vedúceho dozorného orgánu, k jeho postupu a k výsledkom vyšetrovania a tiež pripomienkovať návrhy rozhodnutí. Pokiaľ by bol úrad dotknutým dozorným orgánom z dôvodu, že mu bola doručená sťažnosť, úrad by vystupoval ako kontaktný bod pre dotknutú osobu a oznamoval by jej rozhodnutie vedúceho dozorného orgánu.
Úradu bolo v sledovanom období doručených celkovo 39 podaní obsahujúcich prvky cezhraničného spracúvania a 11 oznámení o porušení ochrany osobných údajov, tzv. data breach. Tieto podania boli doručené buď od zahraničných osôb alebo smerovali voči zahraničným prevádzkovateľom, medzi inými napríklad aj voči prevádzkovateľom usídleným v USA, Českej republike alebo Írsku. Úrad v rámci každého doručeného podania najprv preskúmal (tzv. predbežné preskúmanie sťažnosti), či predmet podania spĺňa náležitosti návrhu, resp. podnetu podľa § 100 ods. 3 zákona a takisto či spĺňa podmienky cezhraničného spracúvania podľa čl. 4 bod 23 Nariadenia, resp. či bola splnená definícia podľa čl. 56 ods. 2 Nariadenia. Pokiaľ predmet podania zakladal dôvodné podozrenie z porušenia ochrany osobných údajov, úrad uvádzané tvrdenia preveroval aj v spolupráci s dozorným orgánom toho členského štátu, na území ktorého mal prevádzkovateľ hlavnú alebo jedinú prevádzkareň. V 10 prípadoch úrad vložil doručené podania do systému IMI a ďalej ich riešil v spolupráci s dozornými orgánmi, ktorí boli pre dané spracúvanie vedúcim dozorným orgánom. Úrad uvedené sťažnosti postúpil prostredníctvom systému IMI do Írska, Maďarska, Švédska, Luxemburska a tri sťažnosti úrad postúpil českému dozornému orgánu. Úrad bol v sledovanom období označený ako vedúci dozorný orgán v 4 prípadoch, to na základe miesta hlavného sídla prevádzkovateľa, pričom tieto sťažnosti pochádzali od občanov z Rakúska (celkovo 3 sťažnosti) a jednu sťažnosť podal slovenský občan žijúci v Nemecku.
9.1.2Vzájomná pomoc
Úrad spolupracuje s inými dozornými orgánmi aj mimo mechanizmu one-stop-shop. Táto spolupráca prebieha taktiež v systéme IMI, ktorý umožňuje zasielanie konkrétnych žiadostí vybraným dozorným orgánom. Úrad však priebežne vybavuje aj emailové, resp. písomné žiadosti iných dozorných orgánov.
Za sledované obdobie úrad v systéme IMI prijal 43 žiadostí iných dozorných orgánov o spoluprácu v zmysle čl. 61 Nariadenia. V predmetných žiadostiach dozorné orgány žiadali úrad o jeho právny názor predovšetkým ohľadom výkladu ustanovení Nariadenia. Žiadosti sa týkali napr. výkladu jednotlivých ustanovení, právneho základu spracúvania osobných údajov, zodpovedných osôb, vzájomného súladu Nariadenia a vnútroštátnych predpisov na ochranu osobných údajov, zisťovanie prijatia konkrétnej sťažnosti, výkladu čl. 10 Nariadenia, pôsobnosť Nariadenia na náboženské spoločnosti, spracúvanie osobných údajov počas pandémie, využitie umelej inteligencie v pracovnom prostredí, spracúvanie osobitnej kategórie osobných údajov, úlohy externej zodpovednej osoby, biometrické údaje, spôsob vybavovania sťažnosti, a pod.
35
Niektoré dozorné orgány týmto spôsobom úrad informovali o doručenom oznámení porušenia ochrany osobných údajov alebo využili tento spôsob na konzultáciu konkrétneho prípadu pred spustením one-stop-shop mechanizmu.
Za sledované obdobie úrad v systéme IMI zaslal 12 žiadostí o spoluprácu v zmysle čl. 61 Nariadenia. Žiadosti sa týkali informácií o konkrétnych cezhraničných prípadoch, konzultácií jednotlivých prípadov alebo právneho názoru ostatných dozorných orgánov ohľadom výkladu Nariadenia. Úrad sa ostatných dozorných orgánov napríklad pýtal na výklad čl. 2 ods. 2 písm. c) Nariadenia, lehoty pri kamerách, ktoré snímajú verejné priestranstvo, identifikáciu prevádzkovateľa, resp. poskytovateľa internetovej domény, teritoriálnu pôsobnosť v súvislosti s kódexmi správania. Úrad takisto požiadal ostatné dozorné orgány o spoluprácu napríklad aj v súvislosti s interpretáciou čl. 18 ods. 1 písm. d) Nariadenia, či zodpovedností zodpovednej osoby. Úrad na vzájomnú spoluprácu s inými dozornými orgánmi používal aj iné formy komunikácie ako systém IMI (email, písomná a telefonická komunikácia), pri ktorých využíval kontakty nadobudnuté počas svojej činnosti, medzi inými aj kontakty nadobudnuté v rámci členstva v expertných skupinách Výboru.
9.1.3Spoločné operácie dozorných orgánov
V rámci mechanizmu spolupráce sa v zmysle čl. 62 Nariadenia môžu vykonať aj spoločné operácie dozorných orgánov v rátane spoločných vyšetrovaní a spoločných opatrení v oblasti presadzovania. V sledovanom období úrad neinicioval ani neprijal žiadosť o vykonanie takýchto spoločných operácií dozorných orgánov.
9.2Mechanizmus konzistentnosti
Dôležitým atribútom Nariadenia je jeho konzistentné uplatňovanie. Aby sa dosiahol tento cieľ, Nariadenie upravuje mechanizmus konzistentnosti, ktorý možno chápať ako spoluprácu medzi dozornými orgánmi EHP, a v relevantných prípadoch aj s EK.
9.2.1Stanovisko EDPB
Účelom článku 64 Nariadenia je, aby EDPB vydal stanovisko v prípadoch, keď príslušný dozorný orgán plánuje prijať konkrétne opatrenia. Na tento účel by dozorný orgán mal EDPB oznámiť svoj návrh rozhodnutia. Nariadenie upravuje prípady, kedy je dozorný orgán povinný žiadať EDPB o stanovisko (čl. 64 ods. 1 Nariadenia) a kedy možnosť požiadať o stanovisko (čl. 64 ods. 2 Nariadenia). Úrad v hodnotenom období nepožiadal o stanovisko EDPB.
9.2.2Riešenie sporov EDPB
Riešenie sporov EDPB umožňuje prijať záväzné rozhodnutie na zabezpečenie konzistentného uplatňovania Nariadenia v týchto prípadoch:
Relevantná odôvodnená námietka bola vznesená dotknutým dozorným orgánom alebo zamietnutá vedúcim dozorným orgánom (čl. 60 Nariadenia);
Nesúhlas s určením vedúceho dozorného orgánu (čl. 56 Nariadenia);
Absencia konzultácie EDPB (čl. 64 Nariadenia);
Dozorný orgán nepostupoval podľa stanoviska EDPB (čl. 64 Nariadenia).
V hodnotenom období EDPB neriešil žiaden spor.
36
9.2.3Postup pre naliehavé prípady
Článok 66 Nariadenia upravuje mechanizmus postupu pre naliehavé prípady. Vo výnimočných prípadoch, keď sa dotknutý dozorný orgán domnieva, že je naliehavé chrániť práva a slobody dotknutých osôb, môže prijať dočasné opatrenia s právnymi účinkami na svojom území. Platnosť týchto opatrení nesmie časovo prekročiť tri mesiace. V tomto prípade je dotknutý dozorný orgán povinný informovať ostatné dozorné orgány, EDPB a EK.
Ak sa dozorný orgán domnieva, že je potrebné urýchlene prijať konečné opatrenia, môže požiadať EDPB o naliehavé stanovisko alebo o naliehavé záväzné rozhodnutie. Každý dozorný orgán môže od EDPB žiadať naliehavé stanovisko alebo záväzné rozhodnutie v prípadoch, keď príslušný dozorný orgán neprijal vhodné opatrenie a existuje naliehavá potreba konať. V hodnotenom období úrad neaplikoval tento článok.
37
10SANKCIONOVANIE
Sankciami za porušenie Nariadenia a zákona pokuta a poriadková pokuta. Sankcie v daných právnych normách upravené fakultatívne, tzn. že nie každé zistené porušenie sa automaticky musí skončiť uložením sankcie. Úrad ukladá pokuty a poriadkové pokuty v závislosti od okolností každého jednotlivého prípadu. Úrad pri rozhodovaní o uložení pokuty a určení jej výšky zohľadňuje najmä povahu, závažnosť a trvanie porušenia, počet dotknutých osôb, rozsah škody, ak vznikla, prípadné zavinenie porušenia ochrany osobných údajov a opatrenia, ktoré boli prijaté na zmiernenie škody, ktorú dotknuté osoby utrpeli. Úrad taktiež prihliada na predchádzajúce porušenia ochrany osobných údajov, mieru spolupráce s úradom pri náprave porušenia a zmiernení možných nepriaznivých dôsledkov porušenia, kategóriu osobných údajov, ktorých sa porušenie týka a na spôsob, akým sa úrad o porušení ochrany osobných údajov dozvedel.
10.1Pokuta
V sledovanom období úrad za porušenie právnych predpisov o oblasti ochrany osobných údajov právoplatne uložil 54 pokút v súhrnnej výške 103 300,- eur. V sledovanom období vybral úrad na pokutách celkovo 126 432 eur. Priemerná pokuta bola vo výške 1 913,- eur. Najnižšiu pokutu vo výške 300,- eur úrad uložil prevádzkovateľovi v súvislosti s neoprávneným zverejnením osobných údajov (v súvislosti s povinne zverejňovanou zmluvou). Najvyššiu pokutu úrad právoplatne uložil vo výške 20 000,- eur prevádzkovateľovi za porušenie zásady transparentnosti a minimalizácie uchovávania.
Prehľad uložených a vybratých pokút v sledovanom období
Sledované obdobie
Počet pokút
Celková výška právoplatne
uložených pokút v Eurách
Priemerná výška pokuty zaokrúhlená na celé Euro nahor
Celkovo vybraté na pokutách v Eurách
2020
54
103 300
1 913
126 432
Pokuta, ako druh sankcie, plnila v hodnotenom období represívnu, ako aj preventívnu funkciu. Pri jej ukladaní úrad okrem iného zohľadňoval postavenie subjektu a jeho činnosť, ako aj možný dopad výšky pokuty na jeho ďalšiu existenciu. V súvislosti s ukladaním pokút počas hodnoteného obdobia za porušenie právnych predpisov v oblasti ochrany osobných údajov možno konštatovať, že uložené pokuty nemali likvidačné dopady.
Na margo výšky výberu pokút je potrebné uviesť, že pre rok 2020 bol záväzný ukazovateľ príjmov pre úrad Ministerstvom financií Slovenskej republiky určený vo výške 81 778 Eur. V súvislosti s pandemickou situáciou bol v júli 2020 znížený na 60 000 Eur. Vzhľadom na to, že úrad v sledovanom období vybral pokuty v celkovej výške 126 432 Eur vysoko tým prekročil stanovený ukazovateľ príjmov.
10.2Poriadková pokuta
Poriadková pokuta slúži na zabezpečenie dôstojného a nerušeného priebehu dozornej činnosti úradu. Úrad môže uložiť poriadkovú pokutu prevádzkovateľovi alebo sprostredkovateľovi, prípadne zástupcovi prevádzkovateľa alebo sprostredkovateľa, ak marí výkon kontroly alebo ak nezabezpečí primerané podmienky na jej výkon. Úrad môže uložiť poriadkovú pokutu taktiež osobe, ktorá nie je prevádzkovateľom alebo sprostredkovateľom, za neposkytnutie požadovanej
38
súčinnosti úradu pri výkone dozoru. V sledovanom období uložil úrad dve poriadkové pokuty v súhrnnej výške 2 500,- eur, obe za neposkytnutie súčinnosti.
10.3Vybrané prípady z dozornej činnosti úradu
10.3.1Odloženia
10.3.1.1Spracúvanie osobných údajov fyzickou osobou
Úrad v roku 2020 prijal návrh dotknutej osoby smerovaný voči fyzickej osobe funkcionárovi mestskej polície, ktorá mala porušiť ochranu osobných údajov zaslaním dokumentov obsahujúcich osobné údaje dotknutej osoby v rozsahu meno, priezvisko a podpis na rôzne expozitúry. Úrad preskúmaním návrhu dotknutej osoby, ako aj k nemu priložených listín konštatoval, že nie je oprávnený nielen viesť konanie o ochrane osobných údajov proti fyzickej osobe, ale nie je rovnako oprávnený takejto fyzickej osobe uložiť pokutu. Právomoc úradu začať konanie o ochrane osobných údajov proti zákonom (taxatívne) stanoveným subjektom je totižto vymedzená v § 99 ods. 3 zákona (prevádzkovateľ, sprostredkovateľ, certifikačný subjekt, monitorujúci subjekt), pričom podľa zákona nie je možné fyzickú osobu v konaní o ochrane osobných údajov pre porušenie pravidiel ochrany osobných údajov ani pokutovať, preto vec odložil. Úrad následne danú vec odstúpil na posúdenie príslušnej súčasti Policajného zboru Ministerstva vnútra Slovenskej republiky s podozrením, či vec nenapĺňa skutkové znaky trestného činu Neoprávneného nakladania s osobnými údajmi podľa Trestného zákona.
10.3.1.2Zverejnenie osobných údajov médiami
Úrad v roku 2020 prijal viacero podaní, v ktorých podávatelia namietali zverejnenie osobných údajov dotknutých osôb prostredníctvom tlače prípadne spravodajských reportáží odvysielaných v televízii a neskôr dostupných na webových sídlach prevádzkovateľov. Na základe prevádzkovateľom zverejnených osobných údajov tak bolo možné fyzickú osobu identifikovať. V prípade zverejnenia osobných údajov médiami dochádza k stretu práva na ochranu osobných údajov s právom na slobodu prejavu a právom na informácie, pričom obe predstavujú základné práva v demokratickej spoločnosti. Z Nariadenia vyplýva, že členské štáty majú vnútroštátnymi predpismi zosúladiť právo na ochranu osobných údajov a právo na slobodu prejavu a právo na informácie vrátane spracúvania na žurnalistické účely a stanoviť výnimky resp. odchýlky z niektorých kapitol Nariadenia. Takýmto vnútroštátnym predpisom v podmienkach Slovenskej republiky je zákon. Vo vzťahu k predmetným podaniam úrad konštatoval, že prevádzkovatelia pri zverejnení osobných údajov postupovali podľa § 78 ods. 2 zákona , podľa ktorého prevádzkovateľ môže spracúvať osobné údaje bez súhlasu dotknutej osoby aj vtedy, ak spracúvanie osobných údajov je nevyhnutné pre potreby informovania verejnosti masovokomunikačnými prostriedkami a ak osobné údaje spracúva prevádzkovateľ, ktorému to vyplýva z predmetu činnosti. Prevádzkovateľom spracúvanie osobných údajov dotknutých osôb pre potreby informovania verejnosti vyplývalo z predmetu činnosti. Prevádzkovatelia v zmysle platnej legislatívy oprávnení získavať pravdivé, včasné a všestranné informácie za účelom informovania verejnosti a nezodpovedajú za obsah informácie poskytnutej vymedzeným okruhom osôb. Platí však tiež, že prevádzkovatelia spracúvaním osobných údajov dotknutých osôb na žurnalistické účely podľa § 78 ods. 2 zákona nesmú porušovať právo dotknutej osoby na ochranu jej osobnosti alebo právo na ochranu súkromia. Posudzovanie skutočnosti či zverejnením osobných údajov dotknutých osôb masovokomunikačnými prostriedkami na žurnalistický účel došlo k zásahu do práva na ochranu osobnosti a súkromia dotknutých osôb patrí do pôsobnosti všeobecného súdu (ochrana osobnosti). V prípade zverejňovania takých osobných údajov masovokomunikačnými prostriedkami, ktoré by mohli spôsobiť neoprávnený zásah do práva na ochranu osobnosti a súkromia dotknutej osoby, dotknutá osoba právo domáhať sa ochrany na
39
súde.
10.3.2Konania
10.3.2.1Jubilanti – blahoprianie obce k životnému jubileu
Úrad v roku 2020 prijal niekoľko návrhov na začatie konania o ochrane osobných údajov dotknutých osôb, ktoré napadli zverejnenie osobných údajov v časopisoch obcí v rubrikách „Blahoprianie k životnému jubileu“ v rozsahu meno, priezvisko, vek dotknutej osoby, ako aj v rubrike ako napríklad Uzavreli manželstvo, Zosobášili sa v rozsahu osobných údajov meno, priezvisko, titul a dátum zosobášenia dotknutej osoby. Úrad preskúmavaním veci v konaní o ochrane osobných údajov zistil, že ani jeden z prevádzkovateľov, voči ktorým viedol konanie, nepreukázal, že predmetné osobné údaje spracúval na primeranom právnom základe podľa čl. 6 ods. 1 Nariadenia, a preto úrad vyhodnotil takéto konanie prevádzkovateľa za rozporné so základnou zásadou zákonnosti spracúvania osobných údajov podľa čl. 5 ods. 1 písm. a) Nariadenia. Viacero prevádzkovateľov v konaní o ochrane osobných údajov tvrdilo, že spracúvajú osobné údaje na účel blahopriania dotknutým osobám v časopise, prípadne na jeho webovom sídle na právnom základe čl. 6 ods. 1 písm. e) Nariadenia, prípadne na oprávnenom záujme prevádzkovateľa podľa čl. 6 ods. 1 písm. f) Nariadenia, čo však nebolo správne tvrdenie. Aby prevádzkovateľ mohol postupovať podľa čl. 6 ods. 1 písm. e) Nariadenia, muselo by v danom prípade existovať súčasne podľa § 6 ods. 3 Nariadenia ustanovenie osobitného zákona upravujúce zákonné oprávnenie prevádzkovateľa spracúvať predmetné osobné údaje v nevyhnutnom rozsahu na daný účel (napríklad na účely významných životných udalostí svojich občanov). Žiadny z osobitných zákonov, ktoré obce využívajú, napríklad na účely evidencie matriky, evidencie obyvateľov, prípadne zákon o obciach, však túto zákonnú podmienku, resp. zákonné oprávnenie spracúvať osobné dotknutých osôb na vyššie uvedený účel neobsahuje. Úrad zároveň v tejto veci konštatoval, že obec ako prevádzkovateľ potrebuje disponovať právnymi základmi na dve spracovateľské operácie s osobnými údajmi, a to na spracovateľskú operáciu získavania osobných údajov v určitom rozsahu na účel blahopriania obyvateľom obce a na spracovateľskú operáciu zverejňovania osobných údajov v určitom rozsahu. Za súčasného právneho stavu je obec oprávnená spracúvať osobné údaje na tento účel na právnom základe, ktorým je súhlas dotknutej osoby podľa čl. 6 ods. 1 písm. a) Nariadenia, a to tak vo vzťahu k získavaniu osobných údajov z evidencie obyvateľov alebo matričnej evidencie obcou, ako aj vo vzťahu k zverejňovaniu predmetných údajov obcou v obecnom časopise alebo na webovom sídle obce. Úrad zároveň konštatoval, že prevádzkovatelia (obce) v nadväznosti na porušenie zásady zákonnosti súčasne porušili zásadu obmedzenia účelu spracúvania osobných údajov podľa čl. 5 ods. 1 písm. b) Nariadenia, keď získané osobné údaje dotknutých osôb na základe osobitného predpisu stanovujúceho aj konkrétny účel získavania osobných údajov, tieto využili aj na iný, resp. ďalší účel, čím prekročili pôvodne stanovený účel spracúvania osobných údajov, za čo im bola uložená pokuta.
10.3.2.2Vyžadovanie overeného podpisu dotknutej osoby pri uplatňovaní jej práva na prístup k osobným údajom podľa čl. 15 Nariadenia
V sledovanom období prijal úrad návrh dotknutej osoby vo veci porušenia práva na prístup k osobným údajom, nakoľko si u prevádzkovateľa poskytujúceho finančné služby uplatnila svoje právo na prístup k osobným údajom, ktorý ju následne odkázal na štandardizovaný formulár „Žiadosť o uplatnenie práv dotknutej osoby podľa GDPR“. Z tejto žiadosti vyplynulo, že prevádzkovateľ žiada pri uplatňovaní práv dotknutých osôb ich overený podpis. Z podkladov obstaraných v konaní o ochrane osobných údajov úrad vyslovil nesúlad s čl. 12 ods. 5 Nariadenia, pretože prevádzkovateľ vyžadoval od dotknutej osoby na účely jej uplatnenia práva na prístup overený podpis, čím jej v zmysle Recitálu 59, 63 Nariadenia, ako aj čl. 12 ods. 1 Nariadenia sťažil, a to neprimeraným kladením podmienok, ktoré nepochybne mali aj finančný charakter,
40
uplatňovanie práv v zmysle Nariadenia. Prevádzkovateľ túto neprimeranú podmienku v priebehu konania o ochrane osobných údajov odstránil, preto nebolo potrebné neuložiť opatrenia na odstránenie zistených nedostatkov.
10.3.2.3Nezákonné získavanie osobných údajov finančnou inštitúciou na účel oslovovania dotknutých osôb s ponukou finančného sprostredkovania alebo poradenstva
V sledovanom období prijal úrad návrh dotknutej osoby, ktorá tvrdila, že prevádzkovateľ (finančná inštitúcia) bez právneho základu spracúva jej osobné údaje v rozsahu meno, priezvisko, telefónne číslo, konkrétny produkt, a to tak, že poverená osoba prevádzkovateľa ho telefonicky kontaktovala za účelom predloženia výzvy alebo ponuky finančného sprostredkovania alebo finančného poradenstva. Úrad z obstaraných podkladov zistil, že dotknutá osoba nikdy nebola klientom prevádzkovateľa, čo potvrdil aj sám prevádzkovateľ. Prevádzkovateľ však uvádzal, že spracúval osobné údaje dotknutej osoby na právnom základe jeho oprávneného záujmu, a to na účely priameho marketingu podľa čl. 6 ods. 1 písm. f) Nariadenia, pričom tiež poukazoval na Recitál 47 Nariadenia. S týmito tvrdeniami prevádzkovateľa a jeho určením právneho základu oprávneného záujmu sa však úrad nestotožnil, pretože tak ako to uvádza Recitál 47 Nariadenia, na ktorý mimochodom sám prevádzkovateľ poukázal, oprávnený záujem prevádzkovateľa ako právny základ pre spracúvanie osobných údajov môže existovať len za predpokladu, ak existujú primerané očakávania dotknutej osoby na základe ich vzťahu k prevádzkovateľovi, pričom takýto oprávnený záujem prevádzkovateľa by mohol existovať napríklad vtedy, keby medzi dotknutou osobou a prevádzkovateľom existoval relevantný a primeraný vzťah (dotknutá osoba v postavení klienta voči prevádzkovateľovi alebo v jeho službách), čo však v danom prípade splnené nebolo. Keďže navrhovateľ nebol nikdy klientom prevádzkovateľa, čo navyše sám potvrdil i prevádzkovateľ, teda že tento neeviduje žiadnu zmluvu s navrhovateľom v databázach, dotknutá osoba (navrhovateľ) primerane nemohla nikdy očakávať takéto spracúvanie, resp. oslovenie zo strany podriadenej finančnej agentky prevádzkovateľa. Z uvedeného dôvodu úrad vyslovil porušenie zásady zákonnosti spracúvania osobných údajov podľa čl. 5 ods. 1 písm. a) Nariadenia, nakoľko prevádzkovateľ v konaní nepreukázal, že disponuje primeraným právnym základom spracúvania osobných údajov podľa čl. 6 ods. 1 Nariadenia na tento účel a uložil prevádzkovateľovi pokutu.
10.3.2.4Zverejňovanie rodných čísel uchádzačov o štúdium vo výsledkovej listine
Úrad prijal podnet fyzickej osoby voči prevádzkovateľovi, ktorým bola škola. Podľa jeho obsahu a priložených dôkazov mala škola na svojej oficiálnej webovej stránke zverejniť vo výsledkovej listine z prijímacieho konania na školský rok 2020/2021 poradie, bodové hodnotenie a rodné čísla uchádzačov o štvorročné štúdium na škole. Úrad preskúmaním webového sídla školy zistil, že daná výsledková listina s rodnými číslami nie je zverejňovaná. Úrad však na základe skutočností uvádzaných v podnete a priložených dôkazoch začal voči škole ako prevádzkovateľovi konanie z vlastnej iniciatívy. Úrad prešetroval predmetnú vec v rámci písomnej súčinnosti so školou. Podľa § 78 ods. 4 poslednej vety zákona platí, že zverejňovať všeobecne použiteľný identifikátor sa zakazuje; to neplatí, ak všeobecne použiteľný identifikátor zverejní sama dotknutá osoba. Ustanovenie § 78 zákona dopĺňa osobitné pravidlá spracúvania osobných údajov stanovené Nariadením. Konkrétne ide aj o osobitnú úpravu spracúvania národného identifikačného čísla, a to všeobecne použiteľného identifikátora, ktorým je v súčasnej dobe v Slovenskej republike rodné číslo fyzickej osoby. Úrad mal zistené, že škola ako prevádzkovateľ spracúval vo svojom informačnom systéme rodné čísla fyzických osôb uchádzačov štvorročného štúdia na školský rok 2020/2021 na účely prijímacieho konania, ktoré bol oprávnený spracúvať, pričom postupom prevádzkovateľa pri vyhlásení výsledkov prijímacieho konania došlo k zverejneniu rodných čísiel vo výsledkovej listine na jeho webovej stránke. K ukončeniu zverejňovania rodných čísiel došlo z vlastnej iniciatívy prevádzkovateľa ešte
41
pred začatím konania. Vzhľadom na toto zistenie o ukončení zverejňovania rodných čísiel a zabezpečení súladu so zákonom, ako aj na okolnosti súvisiace s týmto jednorazovým postupom prevádzkovateľa pri identifikácií uchádzačov na základe ich rodných čísiel (nedostatok času na distribúciu identifikačných kódov pre uchádzačov o štúdium s ohľadom na situáciu vzniknutú pandémiou COVID-19) úrad neuložil prevádzkovateľovi nápravné opatrenia. Úrad však prevádzkovateľovi za porušenie ustanovenia § 78 ods. 4 zákona pri zverejňovaní rodných čísiel dotknutých osôb uložil pokutu.
10.3.2.5Vyžadovanie súhlasu zamestnanca so spracúvaním osobných údajov v pracovnej zmluve
Úrad prijal návrh dotknutej osoby smerovaný voči prevádzkovateľovi, ktorým bol zamestnávateľ dotknutej osoby. Dotknutá osoba mala s prevádzkovateľom uzatvorený pracovný pomer, pričom namietala, že prevádzkovateľ vyžaduje od nej súhlas so spracúvaním osobných údajov priamo v pracovnej zmluve. Dotknutá osoba sa domnievala, že vyžadovanie súhlasu so spracúvaním jej osobných údajov pri uzatváraní pracovnej zmluvy je v tomto prípade v rozpore s Nariadením. Úrad na základe posúdenia návrhu a priloženej pracovnej zmluvy začal voči prevádzkovateľovi konanie. Úrad vec prešetroval v rámci písomnej súčinnosti. Úrad šetrením zistil, že navrhovateľ mal s prevádzkovateľom uzatvorenú pracovnú zmluvu za účinnosti Nariadenia a osobné údaje navrhovateľa boli spracúvané na účely personálnej a mzdovej agendy. Právnym základom spracúvania osobných údajov navrhovateľa pri uzatváraní pracovného pomeru a plnení povinností vyplývajúcich z pracovnej zmluvy nebol súhlas dotknutej osoby v zmysle čl. 4 ods. 11 Nariadenia v spojení s čl. 7 Nariadenia. V tomto konkrétnom prípade pracovná zmluva nemala obsahovať prehlásenie o súhlase zamestnanca ako dotknutej osoby, nakoľko právnym základom spracúvania bolo plnenie zmluvy (pracovnej zmluvy) alebo zákonná povinnosť (osobitné zákony). Úrad zároveň zistil, že ani forma udelenia súhlasu v danom prehlásení bola nesprávna, nakoľko poskytnutie súhlasu nebolo slobodné (nebola slobodná voľba súhlas udeliť alebo neudeliť). Postupom prevádzkovateľa tým, že pracovná zmluva so zamestnancom obsahovala jeho prehlásenie o súhlase so spracúvaním osobných údajov zamestnávateľom, ktorý jednak nebol získavaný slobodne a ani nebol primeraným právnym základom spracúvania osobných údajov navrhovateľa na účely uzavretia pracovnej zmluvy, došlo k porušeniu zásady zákonnosti podľa čl. 5 ods. 1 písm. a) Nariadenia. Úrad na základe zistených skutočností uložil prevádzkovateľovi nápravné opatrenie, o splnení ktorého prevádzkovateľ písomne informoval úrad v určenej lehote.
10.3.2.6Porušenie dôvernosti osobných údajov klientov prevádzkovateľa
Úrad ako dozorný orgán prijal oznámenie porušenia ochrany osobných údajov podľa čl. 33 Nariadenia zodpovednou osobou prevádzkovateľa. Úrad mal preukázané, že došlo k porušeniu ochrany osobných údajov klientov prevádzkovateľa. Oznámenie prevádzkovateľa obsahovalo všetky Nariadením stanovené náležitosti a porušenie ochrany osobných údajov bolo oznámené úradu do 72 hod. od jeho zistenia. U prevádzkovateľa malo dôjsť k porušeniu dôvernosti osobných údajov podľa čl. 5 ods. 1 písm. f) Nariadenia tým, že k osobným údajom dotknutých osôb mali mať neoprávnený prístup tretie osoby, ktoré k nim prístup nemali mať. Jednalo sa o osobné údaje dotknutých osôb v rozsahu meno, priezvisko, adresa, pohlavie, email, časy a dátumy letových spojení tzn. o bežnú kategóriu osobných údajov. Úradom nebolo zistené, že by sa porušenie týkalo aj osobitnej kategórie osobných údajov považovanej za citlivé osobné údaje a nebolo zistené ani porušenie integrity alebo porušenie dostupnosti osobných údajov. Prevádzkovateľ preukázal, že mal pred vznikom incidentu prijaté bezpečnostné opatrenia na predchádzanie tohto typu bezpečnostného incidentu, avšak v konkrétnej situácií malo dôjsť k nedostatočnému dodržaniu prijatých opatrení zlyhaním ľudského faktora. Prevádzkovateľ o vzniku incidentu informoval dotknuté osoby v zmysle čl. 34 Nariadenia. Úrad na základe posúdenia zhromaždených podkladov vyhodnotil, že nie je dôvod na uloženie nápravných opatrení, nakoľko prevádzkovateľ postupoval v súlade s čl. 33 a čl. 34 Nariadenia pri oznámení
42
porušenia ochrany osobných údajov, incident prešetril, zadokumentoval, prijal technické a organizačné opatrenia aj na predchádzanie opakovaniu porušenia v budúcnosti ako aj opatrenia na zmiernenie potenciálnych nepriaznivých následkov pre dotknuté osoby. Úrad v tomto konkrétnom prípade za porušenie zásady dôvernosti osobných údajov dotknutých osôb uložil prevádzkovateľovi pokutu.
10.3.2.7Spracúvanie osobných údajov na účel vymáhania dlhu a uplatnenia práva na výmaz osobných údajov
Úrad prijal návrh dotknutej osoby smerovaný voči prevádzkovateľovi, s ktorým mala dotknutá osoba v minulosti uzatvorenú úverovú zmluvu. Prevádzkovateľ kontaktoval dotknutú osobu v súvislosti s odstúpením časti dlhu. Dotknutá osoba namietala, že prevádzkovateľ nie je oprávnený spracúvať jej osobné údaje za účelom vymáhania dlžnej sumy, ktorá podľa nej neexistuje. Úradom bolo zistené, že prevádzkovateľ si ako veriteľ uplatňuje pohľadávku voči dotknutej osobe a v danej súvislosti spracúva jej osobné údaje, ktoré nevyhnutné na plnenie zmluvy. Osobné údaje mal prevádzkovateľ získať na konkrétne určený a výslovne uvedený oprávnený účel. Keďže sa vec týkala sporu zo zmluvného vzťahu medzi prevádzkovateľom a dotknutou osobou, ktorý nie je podľa § 81 ods. 5 zákona predmetom dozoru nad ochranou osobných údajov, a na ktorého prejednávanie a rozhodovanie príslušné súdy alebo iné orgány podľa osobitných predpisov, úrad návrh dotknutej osoby v tejto časti odložil ako zjavne neopodstatnený. Úrad však začal konanie voči prevádzkovateľovi v časti návrhu, v ktorej dotknutá osoba namietala, že od prevádzkovateľa nedostala odpoveď na svoju žiadosť o výmaz osobných údajov. Dotknutá osoba podľa čl. 17 Nariadenia právo dosiahnuť u prevádzkovateľa bez zbytočného odkladu vymazanie osobných údajov, ktoré sa jej týkajú a prevádzkovateľ je povinný ich bez zbytočného odkladu vymazať, ak je splnený niektorý zo stanovených šiestich dôvodov v čl. 17 ods. 1 Nariadenia. Prevádzkovateľ úradu vzhľadom na obdobie doručenia žiadosti dotknutej osoby (marec 2020) poukázal na zákon č. 62/2020 Z. z. o niektorých mimoriadnych opatreniach v súvislosti so šírením nebezpečnej nákazlivej ľudskej choroby COVID-19 a v justícií, a ktorým sa menia a dopĺňajú niektoré zákony (ďalej len „zákon č. 62/2020 Z. z.“), podľa ktorého lehoty v čase odo dňa účinnosti tohto zákona do 30. apríla 2020 neplynú. V súvislosti so vzniknutou situáciou prevádzkovateľ nezaslal dotknutej osobe vyrozumenie v lehote 30 dní. Vzhľadom na skutočnosť, že prevádzkovateľ spracúval osobné údaje dotknutej osoby z dôvodu existencie pohľadávky, bol povinný bezodkladne a najneskôr do jedného mesiaca od doručenia žiadosti dotknutej osoby informovať ju najmä o dôvodoch nekonania. Z úpravy zákona č. 62/2020 Z. z., a ani z dôvodovej správy k tomuto zákonu však nevyplývalo, že by sa mala týkať pozastavenia lehôt ustanovených Nariadením v čl. 12 v súvislosti s postupom prevádzkovateľa pri vybavovaní žiadostí dotknutých osôb. Úrad v danom prípade konštatoval porušenie zásady transparentnosti podľa čl. 5 ods. 1 písm. a) Nariadenia prevádzkovateľom tým, že pri vybavení žiadosti dotknutej osoby o výmaz osobných údajov, ktoré sa jej týkajú, uplatnenej elektronicky, nepostupoval spôsobom a v lehote podľa čl. 12 Nariadenia. Z dôvodu, že prevádzkovateľ počas konania vybavil žiadosť dotknutej osoby a prijal aj opatrenia pre zabezpečenie súladu s čl. 12 Nariadenia pri komunikácií s dotknutými osobami, úrad nápravné opatrenie prevádzkovateľovi neuložil.
10.3.2.8Zverejňovanie mena a priezviska na účely autorizácie textu
Úrad viedol konanie o ochrane osobných údajov na základe návrhu, kde navrhovateľ namietal spracúvanie svojho mena a priezviska vykonávané jeho zamestnávateľom tak, že ten na navrhovateľov pracovný e-mail umiestnil oznam formulovaný spôsobom, ako by šlo o oznam navrhovateľa a ukončený navrhovateľovým menom a priezviskom. Prevádzkovateľ odôvodňoval daný postup tým, že oznam mal za cieľ zabezpečiť chod organizácie a použitie navrhovateľovho mena a priezviska zakladal na ustanovení § 78 ods. 3 zákona, ktoré umožňuje zamestnávateľovi poskytnúť meno a priezvisko zamestnanca, ak je to potrebné v súvislosti s plnením jeho
43
pracovných povinností. Úrad konštatoval, že § 78 ods. 3 zákona neoprávňuje zamestnávateľa, aby bez vedomia a súhlasu zamestnanca zverejňoval jeho meno a priezvisko na účely autorizácie textu, ktorého zamestnanec nie je pôvodcom a nevyjadruje jeho vôľu ani záujem, takéto spracúvanie osobných údajov je v rozpore so základnými zásadami spravodlivosti a transparentnosti a nemôže spĺňať žiadnu podmienku zákonného spracúvania podľa čl. 6 ods. 1 Nariadenia, rovnako účel fungovania organizácie sledovaný obsahom oznamu, bolo v danom prípade možné dosiahnuť bez predmetného spracúvania osobných údajov navrhovateľa. Úrad konštatoval, že prevádzkovateľ spracúvaním mena a priezviska navrhovateľa, ako bolo predmetom návrhu, porušil zásady spravodlivosti, transparentnosti a zákonnosti podľa čl. 5 ods. 1 písm. a) Nariadenia a rozhodnutím uložil prevádzkovateľovi nápravné opatrenie.
10.3.2.9Zverejnenie interiéru navrhovateľovho obydlia
Úrad viedol konanie o ochrane osobných údajov na základe návrhu, kde navrhovateľ namietal, že Policajný zbor poskytol oznamovacím prostriedkom v súvislosti s informovaním o vlámaní do bytu navrhovateľa aj fotografiu miesta činu, na ktorej bol takto zverejnený interiér navrhovateľovho obydlia. Prevádzkovateľ uvádzal, že samotná fotografia bytového interiéru bola oznamovacím prostriedkom poskytnutá a následne zverejnená bez identifikačných údajov navrhovateľa a nie je preto osobným údajom, pričom účelom jej poskytnutia bola prevencia kriminality. Úrad na základe posúdenia celého súboru informácií poskytnutých a zverejnených spolu s danou fotografiou konštatoval, že použitím týchto informácií bol navrhovateľ ako fyzická osoba, ktorej patrí byt na fotografii, pre určitú skupinu osôb spoľahlivo identifikovateľný, a teda fotografia bytového interiéru bola v danom prípade osobným údajom týkajúcim sa navrhovateľa. Úrad zároveň konštatoval, že na účel prevencie kriminality nebol taký zásah do súkromia navrhovateľa, akým bol pohľad do jeho obydlia, nevyhnutný ani potrebný a prevádzkovateľ predmetným poskytnutím fotografie bytového interiéru zachytávajúcej podobizeň (fotku) poškodeného (navrhovateľa) oznamovacím prostriedkom porušil zásadu minimalizácie údajov podľa § 8 zákona.
44
11OPRAVNÉ PROSTRIEDKY A ROZHODOVANIE O NICH
Voči rozhodnutiu úradu vo veci konania o ochrane osobných údajov, ako aj voči rozhodnutiu o nesprístupnení informácie resp. rozhodnutiu o nesprístupnení informácie sčasti možno podať riadny opravný prostriedok rozklad, pričom sa subsidiárne uplatňujú ustanovenia o opravných prostriedkoch stanovené v správnom poriadku. O podaných rozkladoch rozhoduje predsedníčka úradu, po jej odvolaní o nich rozhoduje podpredsedníčka úradu na základe odporúčaní rozkladovej komisie, pričom podávateľ rozkladu môže tento rozšíriť alebo doplniť o ďalší návrh alebo o ďalšie body len v lehote určenej na podanie rozkladu, t.j. lehote 15 dní odo dňa oznámenia rozhodnutia.
Predsedníčke, neskôr podpredsedníčke úradu bolo v sledovanom období predložených 51 rozkladov na rozhodnutie. V sledovanom období z nich rozhodla v 38 prípadoch ako odvolací orgán. Taktiež v sledovanom období bolo ešte vydaných 5 rozhodnutí o rozklade, kedy bol rozklad predložený predsedníčke úradu na rozhodnutie ešte v roku 2019. V rámci sledovaného obdobia bolo vybavené jedno preskúmanie rozhodnutia mimo odvolacieho konania. Spolu v sledovanom období bolo odvolacím orgánom vydaných 44 rozhodnutí.
Z nich v 24 prípadoch bola predmetom rozhodovania aj výška pokuty; v 4 prípadoch došlo k jej zníženiu, v 10 prípadoch bola rozhodnutím uložená pokuta potvrdená, vo zvyšných 10 prípadoch bola vec vrátená prvostupňovému orgánu na opätovné rozhodnutie vo veci.
Vo zvyšných 20 prípadoch sa v 8 rozhodovalo o oprávnenosti zastavenia konania o ochrane osobných údajov, pričom sa v 3 prípadoch zastavenie konania potvrdilo, v 5 prípadoch bola vec vrátená na opätovné rozhodnutie.
V 4 prípadoch bolo predmetom rozhodovania o rozklade rozhodnutie o nesprístupnení informácie/ nesprístupnení informácie sčasti v zmysle zákona č. 211/2000 Z. z.; vo všetkých prípadoch sa rozhodnutie potvrdilo.
Vo zvyšných 8 konaniach o rozklade, šlo o konania, kde boli uložené prvostupňovým orgánom iba opatrenia na nápravu; rozhodnutím o rozklade boli 4 veci vrátené na opätovné rozhodnutie vo veci, v 2 prípadoch sa uložené opatrenia rozhodnutím o rozklade potvrdili, v dvoch prípadoch sa rozhodnutie zmenilo.
Účastník správneho konania môže voči právoplatnému rozhodnutiu predsedníčky úradu a odo dňa 29.04.2020 po jej odvolaní, voči právoplatnému rozhodnutiu podpredsedníčky úradu, podať žalobu o preskúmanie zákonnosti rozhodnutia, a to v lehote do dvoch mesiacov od jeho oznámenia. V rámci vecnej a miestnej príslušnosti je na konanie príslušný Krajský súd v Bratislave.
V sledovanom období bolo podaných na Krajský súd v Bratislave 5 žalôb na preskúmanie zákonnosti rozhodnutí úradu, ku všetkým sa úrad na žiadosť vyjadril (sp. zn.: 2S/225/2020, 2S/159/2020, 6S/79/2020, 5S/30/2020, 6S/3/2020). V sledovanom období boli tiež vydané tri rozsudky vo veci preskúmania zákonnosti rozhodnutí úradu, dva vydal Krajský súd v Bratislave (sp. zn.: 1S/243/2017, 2S/124/201) a jedno vydal Okresný súd v Žiline (sp. zn.: 2C/71/2019).
Krajský súd v Bratislave rozhoduje vo veci správnej žaloby rozsudkom, proti ktorému môžu účastníci správneho súdneho konania podať kasačnú sťažnosť. Najvyšší súd Slovenskej republiky, ako súd kasačný, na základe podanej kasačnej sťažnosti preskúmava rozsudok, ako aj konanie krajského súdu, ktorý ho vydal.
V sledovanom období úrad poskytol 2 vyjadrenia k podaným kasačným sťažnostiam v konaniach vedených na Krajskom súde v Bratislave (sp. zn.: 2S/141/2018, 2S/43/2017). V rámci súdneho konania vedenom na Krajskom súde v Bratislave pod sp. zn.: 6S/96/2019 je tiež podaná kasačná sťažnosť.
45
12EURÓPSKY A MEDZINÁRODNÝ LEGISLATÍVNY BALÍK OCHRANY OSOBNÝCH ÚDAJOV
12.1Legislatívny proces na úrovni EÚ
Dňa 10. januára 2017 EK predložila návrh nariadenia o rešpektovaní súkromného života a ochrane osobných údajov v elektronických komunikáciách a o zrušení smernice 2002/58/ES (smernica o súkromí a elektronických komunikáciách) s cieľom zabezpečiť súlad s jednotným prístupom k ochrane osobných údajov v celej EÚ. Návrh nariadenia e-privacy bude vo vzťahu k Nariadeniu lex specialis. Z tohto dôvodu je úrad spolu-gestorom v legislatívnom procese prijímania návrhu nariadenia e-privacy na európskej úrovni. Cieľom návrhu nariadenia e-privacy je zabezpečiť prísne pravidlá ochrany súkromia pre používateľov elektronických komunikačných služieb a rovnaké podmienky pre všetkých účastníkov trhu. Údajmi elektronických komunikácií sa rozumie ich obsah, ako napr. obsah súkromných správ, ale aj metaúdaje, ktoré zahŕňajú napr. volané čísla, navštívené internetové stránky, zemepisnú polohu, časové údaje volania alebo správy.
Európsky parlament prijal stanovisko k návrhu nariadenia e-privacy dňa 26. októbra 2017. Súbežne prebiehali rokovania zástupcov jednotlivých štátov v Rade EÚ, ktorá však ani v sledovanom období neprijala spoločnú dohodu o texte. Chorvátske a nemecké predsedníctvo Rady predložili na konci svojho mandátu v roku 2020 správu o dosiahnutom pokroku. Táto správa poukazuje na snahu oboch štátov ponúknuť riešenia na problematické témy v návrhu nariadenia e-privacy. Ide napríklad o vytvorenie nových dôvodov, pre ktoré bude možné spracúvať údaje elektronických komunikácií ako napríklad oprávnené záujmy alebo ďalšie kompatibilné spracúvanie týchto údajov. Návrh nariadenia e-privacy zostáva predmetom pokračujúcich jednaní na pôde EÚ s cieľom dosiahnutia dohody o jeho texte v čo najskoršom možnom termíne.
Dňa 10. septembra 2020 predložila EK návrh nariadenia Európskeho parlamentu a Rady o dočasnej výnimke z určitých ustanovení smernice Európskeho parlamentu a Rady 2002/58/ES, pokiaľ ide o používanie technológií poskytovateľmi interpersonálnych komunikačných služieb nezávislých od číslovania na spracúvanie osobných a iných údajov na účely boja proti sexuálnemu zneužívaniu detí online. Dôvodom predloženého návrhu nariadenia bolo nadobudnutie účinnosti Európskeho kódexu elektronických komunikácií, ktorý okrem iného zavádza novú definíciu elektronických komunikačných služieb, ktorá zahŕňa aj poskytovateľov služieb bez čísla (uplatňuje sa od 21. decembra 2020). Týmto dňom sa budú ustanovenia e-privacy smernice vzťahovať aj na poskytovateľov interpersonálnych komunikačných služieb nezávislých od číslovania, čím sa pre nich sťaží/znemožní pokračovanie vo využívaní technológií na účely boja proti sexuálnemu zneužívaniu detí online. Rada na konci októbra 2020 schválila mandát na začiatok rokovaní o tomto návrhu s Európskym parlamentom. Vzhľadom na zásadne rozdielne pripomienky k návrhu nariadenia z oboch inštitúcií, rokovania neboli ukončené do 21. decembra 2020a budú ďalej pokračovať vo forme trialógov.
12.2Európsky výbor pre ochranu údajov
EDPB je nezávislý orgán s právnou subjektivitou, ktorý prispieva ku konzistentnému uplatňovaniu pravidiel ochrany údajov v celom EHP a podporuje spoluprácu medzi orgánmi pre ochranu osobných údajov EHP.
EDPB zastupuje jeho predseda, ktorým je predsedníčka rakúskeho dozorného orgánu Andrea Jelinek. Pozostáva z vedúceho predstaviteľa jedného dozorného orgánu každého členského štátu EHP a EDPS. EK právo zúčastňovať sa na činnosti a zasadnutiach EDPB bez hlasovacieho
46
práva.
EDPB pracuje v súlade s
rokovacím poriadkom
, ktorý bol v hodnotenom období menený dvakrát.
Činnosť EDPB je rozdelená medzi 12 expertných podskupín (expert subgroups) a 3 pracovné skupiny (task force), ktoré tematicky rozdelené. Napr. expertná skupina pre technológie, pokuty, spoluprácu, a iné. Tieto expertné podskupiny pracujú na dokumentoch, ktorými sa napomáha ku konzistentnému uplatňovaniu Nariadenia. Úrad sa zúčastňuje na práci 11 expertných podskupín a 2 pracovných skupín osobnou účasťou, zasielaním písomných pripomienok, zúčastňovaním sa na video a tele konferenciách, prípadných súvisiacich workshopoch.
Dokumenty, na ktorých pracujú expertné podskupiny sa schvaľujú na plenárnom zasadnutí EDPB. V hodnotenom období sa konali 2 osobné plenárne zasadnutia v Bruseli a 25 online plenárnych zasadnutí. Úrad sa v hodnotenom období nezúčastnil 3 online plenárnych zasadnutí.
Najväčším prínosom pre verejnosť je vydávanie usmernení a odporúčaní EDPB k rôznym otázkam. V hodnotenom období vydal EDPB 15 usmernení a odporúčaní, 9 po verejnej konzultácii a 8 na verejnú konzultáciu. EDPB vydal v hodnotenom období aj viacero dokumentov zameraných na spracúvanie osobných údajov v súvislosti s ochorením COVID-19, Brexit a na prenosy osobných údajov do tretích krajín so zreteľom na závery rozhodnutia SDEÚ vo veci Schrems II. Usmernenia (aj iné dokumenty) zverejňované na
webovej stránke
EDPB. Úrad na svojej
webovej stránke
taktiež zverejňuje tieto usmernenia a odporúčania v slovenskom a anglickom
jazyku.
Výbor prijíma podľa čl. 71 Nariadenia vypracúva vlastnú
výročnú správu
.
12.3Výbor zriadený podľa článku 93 Nariadenia
Podľa čl. 93 Nariadenia a čl. 53 smernice 2016/680 je EK oprávnená prijímať vykonávacie akty. Výbor podľa článku 93 Nariadenia sa schádza ad hoc podľa potreby. V hodnotenom období sa výbor stretol raz a boli mu predstavené dva návrhy implementačných rozhodnutí EK zamerané na štandardné zmluvné doložky medzi prevádzkovateľom a sprostredkovateľom podľa čl. 28 GDPR a štandardné zmluvné doložky na prenos podľa čl. 46 ods. 2 písm. c) GDPR.
12.4Cezhraničná výmena údajov
vytvorila celý rad európskych rozsiahlych informačných systémov a agentúr, ktorých dohľad je zdieľaný medzi národnými orgánmi na ochranu údajov a EDPS. V záujme zabezpečenia vysokej a konzistentnej úrovne ochrany spolupracujú vnútroštátne orgány na ochranu údajov a dozorný úradník pri koordinácii dohľadu.
EDPS je nezávislý dozorný orgán zodpovedný za zabezpečenie dodržiavania základných práv a slobôd fyzických osôb, a najmä ich práva na ochranu údajov zo strany inštitúcií a orgánov Únie. EDPS je zodpovedný za monitorovanie a zabezpečenie uplatňovania ustanovení nariadenia 2018/1725 a akýchkoľvek ďalších aktov Únie týkajúcich sa ochrany základných práv a slobôd fyzických osôb so zreteľom na spracúvanie osobných údajov inštitúciou alebo orgánom Únie a za poradenstvo pre inštitúcie a orgány Únie a dotknuté osoby vo všetkých veciach týkajúcich sa spracúvania osobných údajov.
Vnútroštátne dozorné orgány a EDPS spolupracujú s cieľom zabezpečiť koordinovaný dohľad. Na tento účel sa zástupcovia národných orgánov na ochranu údajov a dozorný úradník pravidelne stretávajú - spravidla dvakrát ročne - s cieľom diskutovať o spoločných otázkach týkajúcich sa dohľadu. Medzi činnosti patria okrem iného spoločné kontroly a vyšetrovania a práca na spoločnej
47
metodike.
Ide konkrétne o tieto skupiny:
Rada pre spoluprácu nad Europolom,
Výbor pre koordinovaný dozor.
Zástupca Úradu sa zúčastnil stretnutí všetkých vyššie uvedených skupín. Stretnutia prebiehali online.
12.5Schengenské hodnotenie
V októbri 2019 sa uskutočnilo Schengenské hodnotenie Slovenskej republiky v oblasti ochrany osobných údajov. Spracovanie výsledkov Schengenského hodnotenia SR 2019 nebolo ani záverom roka 2020 ukončené. O riadne prijatých a schválených záveroch bude Slovenská republika informovaná prostredníctvom správy s výsledkami z hodnotenia.
12.6Konzultatívny výbor k Dohovoru 108
Konzultatívny výbor založený Radou Európy k Dohovoru 108 pozostáva zo zástupcov zmluvných strán dohovoru, ktorých dopĺňajú pozorovatelia z iných štátov (členov alebo nečlenov) a medzinárodných organizácií. Výbor je zodpovedný za interpretáciu ustanovení a za zlepšenie implementácie Dohovoru 108 a za zostavovanie správ, usmernení a usmerňujúcich zásad v takých oblastiach, ako zmluvné ustanovenia upravujúce ochranu údajov pri prenose osobných údajov tretím stranám, ktoré nezaručovali primeranú úroveň ochrany údajov alebo ochrany údajov s ohľadom na biometriu, profilovanie a automatické rozhodovanie či ochrany údajov v oblasti zdravia. Spomenuté oblasti len ukážkovou časťou náplne práce, ktorej sa výbor venuje. Stretnutí konzultatívneho výboru sa pravidelne zúčastňujú aj zástupcovia úradu, či na plenárnych zasadnutiach alebo užších stretnutiach výboru.
Rada Európy vydala v hodnotenom období
dokumenty
, ktoré zamerané na boj proti ochoreniu
COVID-19 a digitálnemu sledovaniu kontaktov, na právo na ochranu osobných údajov detí v kontexte vzdelávania, na medzinárodný pohybu osobných údajov, na profilovaniu, na politické kampane a na digitálnu identitu.
48
13STRETNUTIA S PARTNERSKÝMI DOZORNÝMI ORGÁNMI, KONFERENCIE A WORKSHOPY
13.1Good practices for Biometrics at the Borders
Zástupkyne úradu sa v apríli zúčastnili jednodňovej online konferencie s názvom Good practices for Biometrics at the Borders. Rečníci ako zástupcovia eu-LISA, UNCTED, FRA ako aj zástupcovia vlád rôznych štátov predniesli svoje príspevky, ktorých hlavným posolstvom bolo zdieľať skúsenosti z oblasti spracúvania biometrických údajov v kontexte hraníc. Diskutovalo sa najmä o ochrane dotknutých osôb a zabezpečení bezpečnosti spracúvania osobných údajov, ako aj o ochranných opatreniach, ktoré by sa mali uplatniť pri zvažovaní zavedenia technológie, ktorá využíva biometrické údaje ako reakciu na verejné zdravie. Patria sem jasné a podrobné právne rámce, prísne testovanie nevyhnutnosti a proporcionality a stanovený účel aplikácie, zakomponovanie základných práv do technických špecifikácií a obstaranie technológie a použitie posúdenia vplyvu na základné práva.
13.2Druhé stretnutie The Hague Forum
Zástupkyňa úradu sa v júli zúčastnila druhého stretnutia, ktoré bolo organizované EDPS a holandským ministerstvom spravodlivosti. Zástupcovia EDPS prezentovali zistené nedostatky v zmluvách, ktoré majú uzatvorené inštitúcie a agentúry so spoločnosťou Microsoft z pohľadu ochrany osobných údajov. Cieľom stretnutí je pomôcť skúsenosťami a zistenými skutočnosťami zo strany organizátorov iným štátom pri uzatváraní zmlúv a dojednaní podmienok o ochrane osobných údajov pri využívaní balíkov spoločnosti Microsoft a cloudových služieb od rôznych spoločností.
13.3Bitkom Privacy Conference
Zástupkyňa úradu sa v septembri zúčastnila dvojdňovej online konferencie s názvom Bitkom Privacy Conference 2020. Konferenciu otvoril európsky komisár pre spravodlivosť D. Reynders. Vo svojom vystúpení predniesol podrobnú prezentáciu o dátovej stratégii a dátovej ekonomike. Prvá panelová diskusia bola zameraná na otázku, ako by sa ochrana údajov mohla stať hnacou silou pre dátovú ekonomiku. EDPS, W. Wiewiórowski, zdôraznil, že dôvera a bezpečnosť nevyhnutné pre úspech obchodných modelov založených na dátach. Bez ochrany údajov by nebolo možné dosiahnuť žiadnu bezpečnosť IT. Bez nej by sa ochrana údajov dala ťažko dosiahnuť aj bez zabezpečenia IT. Úloha orgánov dohľadu bola zároveň rozhodujúca aj pre vývoj nových obchodných modelov. Druhý deň konferencie otvoril profesor U. Kelber - spolkový komisár pre ochranu údajov a slobodu informácií Nemecka. Vo svojom príhovore sa pozrel na prvé hodnotenie nariadenia a poukázal na nepriaznivú fragmentáciu v národných výkladoch nariadenia. Jednou z hlavných tém druhého dňa bol medzinárodný prenos údajov - tiež s ohľadom na rozhodnutie SDEÚ vo veci Schrems II a súvisiacu neistotu, možných dopadoch Brexitu na prenosy údajov a možné riešenia na ceste k právnej istote.
13.4IDLaw 2020 – Conference on Innovation and Digitalisation in Law
Zástupkyňa úradu sa v septembri zúčastnila jednodňovej online konferencie s názvom IDLaw 2020 - Conference on Innovation and Digitalisation in Law, ktorú organizovala University of Vienna. Konferencia sa zamerala na naliehavú otázku v práve na ochranu údajov, konkrétne na diskusiu o anonymizácii alebo pseudonymizácii, alebo o všeobecných požiadavkách na odstránenie identity v nariadení. Opätovná identifikácia je základným konceptom podľa nariadenia, pretože stanovením hranice medzi osobnými a neosobnými údajmi určuje rozsah
49
uplatniteľnosti európskeho práva na ochranu údajov. Napriek tomu, že text nariadenia navrhuje rôzne úrovne identifikovateľnosti, jasne nestanovuje spektrum identifikovateľnosti, čo vytvára neistotu, pokiaľ ide o konkrétne kroky, ktoré majú organizácie dodržať. Z technického hľadiska je navyše výber a implementácia najvhodnejšej techniky opätovnej identifikácie komplexným cvičením.
13.5Správa budov 2020
Zástupkyňa úradu sa v septembri zúčastnila trojdňovej 9. medzinárodnej konferencie s názvom Správa budov 2020. Konferencia sa konala aj tohto pod záštitou Ministra dopravy a výstavby SR. Zástupkyňa úradu vystúpila v rámci sekcie Legislatíva, financie a informatika s príspevkom zameraným na spracúvanie osobných údajov v oblasti správy budov. Konferencia priniesla praktické otázky a nové podnety z oblasti ochrany osobných údajov v prostredí bytových domov. Konferencie sa zástupca úradu zúčastňuje pravidelne a teda aj komunikácia zo strany správcov bytových domov je otvorenejšia a komunikatívnejšia, a jej cieľom je hľadať riešenia v tejto nie jednoduchej oblasti, ktorá sa spracúvania osobných údajov a medziľudských vzťahov veľmi dotýka.
13.6Cybersecurity for Artifical Intelligence
Zástupkyňa úradu sa v septembri zúčastnila jednodňového online workshopu s názvom Cybersecurity for Artificial Intelligence. Workshop organizovala ENISA. Cieľom workshopu bolo diskutovať o výzvach kybernetickej bezpečnosti súvisiacich s umelou inteligenciou. Aj keď je umelá inteligencia nepochybne prospešná pre každodenný život, nemalo by sa zabúdať, že umelá inteligencia a jej aplikácia pri automatizovanom rozhodovaní - najmä pri nasadeniach kritických z hľadiska bezpečnosti - by mohla otvoriť nové cesty v metódach manipulácie a útoku, pri vytváraní nových výziev na ochranu osobných údajov. Kybernetická bezpečnosť preto prvoradý význam pre spoľahlivé a dôveryhodné nasadenie umelej inteligencie.
13.7QuBit Conference Prague 2020
Zástupca úradu sa v septembri zúčastnil dvojdňovej online konferencie s názvom QuBit Conference Prague 2020. Konferencia pokrývala aktuálne bezpečnostné problémy a hrozby ako aj nové trendy a hrozby v kybernetickom priestore. Prednášky sa zameriavali okrem tradičných hrozieb aj na novo objavujúce sa technológie a s nimi spojené hrozby. Široký záber v oblasti kybernetickej bezpečnosti pokrývali témy od útokov ransomvérom a iným škodlivým kódom, kryptografiu, hrozby vzťahujúce sa k novým technológiám 5G, IoT, umelej inteligencie a možnostiam ako znížiť riziko týchto hrozieb v prostredí organizácii a jednotlivca.
13.87th AI and Law Breakfasts: Certification of Algorithmic Systems
Zástupkyne úradu sa v októbri zúčastnili jednodňového webinára s názvom 7th AI and Law Breakfasts: Certification of Algorithmic Systems. Konferencia bola pod záštitou Rady Európy v spolupráci s University of Strasbourg. Webinár bol zameraný na certifikáciu algoritmických systémov vrátane tých, ktoré sa týkajú najnovšieho vývoja umelej inteligencie. V čase, keď je verejná mienka veľmi znepokojená konkrétnymi dôsledkami niektorých aplikácií umelej inteligencie, ako je diskriminácia alebo oslabenie ľudských práv, regulačné orgány hľadajú konkrétne riešenia na vytvorenie dôvery medzi používateľmi. Účelom webinára o certifikácii algoritmických systémov bolo praktické preskúmanie príležitostí, ale aj praktických otázok takéhoto návrhu.
50
13.9eHealth Security Conference 2020 Online Series vol. 2
ENISA organizovala sériu virtuálnych bezpečnostných konferencií o eHealth v spolupráci s dánskym úradom pre zdravotné údaje o témach kybernetickej bezpečnosti dotýkajúcich sa sektoru zdravotnej starostlivosti. Zástupkyňa úradu sa v októbri zúčastnila časti zameranej na kybernetickú bezpečnosť pri sledovaní COVID-19 mobilnými aplikáciami. Mobilné aplikácie môžu zdravotníckym orgánom na vnútroštátnej úrovni a úrovni pomôcť pri monitorovaní a obmedzovaní šírenia COVID-19. Mnoho krajín od vyhlásenia pandémie ohlásilo spustenie aplikácií na podporu boja proti vírusu. Súbor nástrojov bol vydaný na základe odporúčania EK o aplikáciách na sledovanie kontaktov, ktoré slúži ako prostriedok na boj a zmiernenie krízy COVID-19. Zástupcovia tímov, ktoré vyvinuli tieto aplikácie, sa podelili o skúsenosti a výzvy z pohľadu kybernetickej bezpečnosti.
13.10Aktuálne výzvy kybernetickej bezpečnosti
Zástupca úradu sa v novembri zúčastnil online konferencie s medzinárodnou účasťou s názvom Aktuálne výzvy kybernetickej bezpečnosti. Konferencia bola organizovaná pod záštitou rektorky Akadémie Policajného zboru v Bratislave. Hlavným cieľom konferencie bolo vymedzenie a analyzovanie aktuálnych problémov spojených s kybernetickou bezpečnosťou, zovšeobecnenie teoretických prístupov a praktických skúseností kompetentných subjektov jednotlivých bezpečnostných zložiek ako základného predpokladu pre vytvorenie systematického prístupu k oblasti kybernetickej bezpečnosti a návrhu systému vzdelávania v štátnej a verejnej správe. K ďalším cieľom konferencie patrila identifikácia predpokladov a teoretických väzieb na prepojenie teórie s aplikačnou praxou, ako aj zabezpečenie transferu relevantných poznatkov do praxe subjektov štátnej a verejnej správy pre empirické skúmanie špecifických problémov a aktuálnych potrieb bezpečnostnej praxe v oblasti zvyšovania úrovne kybernetickej bezpečnosti SR.
13.11PrivSec Glogal 2020
Zástupca úradu sa na prelome mesiacov november a december zúčastnil online konferencie s názvom PrivSec Global 2020. Ide o najväčšiu konferenciu, kde sa stretlo cez 10 000 odborníkov z oblasti ochrany osobných údajov a bezpečnosti. Štvordňová konferencia priniesla prierez v jednotlivých oblastiach bezpečnosti a ochrany údajov. Hlavné témy boli ochrana údajov, súkromie a bezpečnosť v priemysle. Jednotlivé prednášky sa zameriavali jednak na novo objavujúce sa technológie, ale aj na posledný vývoj v oblasti bezpečnosti a hrozieb v kybernetickom svete.
13.12Doing AI the european way: protecting fundamental rights in an era of arifical intelligence
Zástupkyňa úradu sa v decembri zúčastnila jednodňovej online konferencie s názvom IDLaw 2020 - Conference on Innovation and Digitalisation in Law. Konferencia bola pod záštitou nemeckého predsedníctva v Rade v spolupráci s FRA. Táto konferencia sa venovala tomu, ako môžu dôkazy z konkrétnych prípadov podporiť tvorcov politík pri navrhovaní regulačných rámcov, ktoré budú formovať vývoj a používanie umelej inteligencie v nasledujúcich rokoch. Tvorcovia politík na úrovni EÚ, na vnútroštátnej a medzinárodnej úrovni diskutovali tom, či a ako pokročiť v regulácii umelej inteligencie založenej na riziku, aby sa využil jej obrovský potenciál a zároveň sa zabezpečilo, aby ľudia tejto technológii mohli dôverovať.
51
14ZHODNOTENIE STAVU OCHRANY OSOBNÝCH ÚDAJOV V SLEDOVANOM OBDOBÍ
Rok 2020 bol rokom, na ktorý asi nikto z nás nebol pripravený a nečakal, že sa v danom období zasiahne do viacerých základných ľudských práv v takom rozsahu, ako sa to udialo v dôsledku prepuknutia pandémie ochorenia Covid 19 a snahy príslušných orgánov o zastavenie, alebo minimálne spomalenie jej šírenia. Bol to rok, v ktorom pandémia napadla nielen zdravie ľudí, ale sa odzrkadlila aj v zákonodarnej činnosti štátu. Najmä z hľadiska snahy o zamedzenie jej šírenia sa osobné údaje spracúvali v masívnom rozsahu a toto spracúvanie sa stalo aj predmetom všeobecnej diskusie a stredom záujmu verejnosti, nakoľko tak masívne, a tak často o fyzických osobách neboli spracúvané údaje o zdraví v histórii samostatnej Slovenskej republiky ani raz.
Taktiež skrátené legislatívne konania v niektorých prípadoch viedli k rýchlym, no zásadným novelizáciám zákonov, ktorých predmetom bola aj úprava spracúvania osobných údajov, kde bez predchádzajúceho medzirezortného pripomienkového konania nemal úrad a ani iné ustanovizne venujúce sa ochrane základných ľudských práv a slobôd možnosť priamo sa podieľať, prípadne pripomienkami korigovať navrhované zmeny, čo v kontexte niekedy pomerne radikálnych zásahov do ustanovení niektorých zákonov viedlo k takým ich zmenám, s ktorými úrad v zmysle svojej pôsobnosti nie je vždy stotožnený.
Rok 2020 možno charakterizovať, a to najmä z pohľadu zvonka, ako rok, kedy úrad obrazne povedané stál na jednej strane barikády a iné štátne orgány na tej druhej, pričom medzi nimi boli právne normy, ustanovenia, vyhlášky, ktoré svojimi povinnosťami týkajúcimi sa aj spracúvania osobných údajov budili vášne verejnosti a úrad bol opakovane niekoľkokrát počas roka zahltený otázkami práve k týmto právnym normám a povinnostiam z nich vyplývajúcich. Bolo potrebné reagovať na otázky verejnosti, tak laickej, ako aj odbornej o zákonnosti daných ustanovení a o tom, ako ich majú v praxi plniť, a či vôbec. Toto hektické obdobie bolo náročné tak pre verejnosť, ako aj pre zamestnancov úradu, ktorí niekedy s vypätím všetkých síl riešili popri všetkej ich agende aj narastajúce rozhorčenie verejnosti, ktorá sa domáhala odpovedí, pričom úrad, v rámci svojej vecnej kompetencie, mohol poskytnúť len niektoré. Aj na základe týchto skúseností je potrebné si do budúcna z nich vziať poučenie a snažiť sa, aby bola tvorba legislatívy, najmä v tomto ťažkom období, kolegiálnym dielom, nie individuálnou tvorbou, ktorá po krátkej dobe aplikačnej praxe vedie nevyhnutne k následným novelám. Úrad, napriek tomu, že z hľadiska personálneho je poddimenzovaný odborníkov, ktorí ochotní a schopní sa spolupodieľať svojimi vedomosťami na tvorbe právnych predpisov.
Spracúvanie a ochrana osobných údajov dosiahli v roku 2020 aj vplyvom pandémie úplne novú dimenziu, ktorá vznikla prechodom pracovného a súkromného života do online prostredia. Za ostatný rok v tomto smere nastali obrovské zmeny a mnohí ľudia si vplyvom ich vlastného „online“ života uvedomili v akej veľkej miere ich osobné údaje predmetom potreby a záujmu. Mnohí za posledný rok uznali, že je potrebné venovať ochrane a informovaniu sa o spracúvaní osobných údajov pozornosť oveľa viac, nakoľko osobné údaje nie len predmetom obchodovania a záujmu, ale online prostredie ako celok je atakované aj z hľadiska bezpečnosti. Tiež na základe pretrvávajúceho dištančného vzdelávania žiakov a študentov aj ich študijné výsledky, ich osobné údaje oveľa viac zraniteľné. Všetky tieto novovzniknuté aspekty života úrad veľmi vnímal aj v rámci svojej činnosti za rok 2020. len otázky verejnosti mali tak široký záber, že reagovať na ne si vyžadovalo mnohokrát poznať a popísať vedomosti a súvislosti medzi viacerými zákonmi, ktorých sa týkali.
Záverom možno rok 2020 zhodnotiť ako rok, kedy sa ochrana osobných údajov, ich spracúvanie dostali v určitých chvíľach do stredu pozornosti, či z hľadiska novoprijatej legislatívy, alebo
52
povinností, ktoré boli touto legislatívou ustanovené a ich vykonávanie v praxi bolo spojené práve s osobnými údajmi.
Rok 2020 možno vnímať ako rok, ktorý zasiahol nielen do našich životov, ale aj zmenil náhľad spoločnosti na osobné údaje a potrebu ich ochrany, nakoľko aj napriek všetkým prijímaným opatreniam a povinnostiam je potrebné aj pri ochrane najvyššej hodnoty, ktorou je život, potrebné chrániť aj iné základné práva a slobody a neznižovať ich hodnotu a význam.