Viete či ste alebo máte vo firme oprávnenú osobu? Za nesplnenie súvisiacich povinností hrozia sankcie.
Oprávnenou osobou je len osoba, ktorá spĺňa znaky definované v § 4 ods. 2 písm. e) zákona č. 122/2013 Z. z. o ochrane osobných údajov v znení neskorších predpisov (ďalej len „zákon o ochrane osobných údajov“). Oprávnenou osobou je každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovnoprávneho vzťahu, štátnozamestnaneckého pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania, alebo v rámci výkonu verejnej funkcie, a ktorá spracúva osobné údaje v rozsahu a spôsobom určenom v poučení podľa § 21 zákona o ochrane osobných údajov.
Oprávnená osoba nie je uzavretá oblasť v ochrane osobných údajov, ale je potrebné ju ponímať komplexne, najmä v spojení s tým, ako sú vymedzené osobné údaje, ich spracúvanie, poučenie oprávnenej osoby a bezpečnostné opatrenia pri ochrane osobných údajov.
Zamestnanec prichádza do kontaktu s údajmi fyzických osôb. Sú to osobné údaje?
Pojem osobné údaje vymedzuje zákon o ochrane osobných údajov v § 4 ods. 1 ako údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu.
Zákon o ochrane osobných údajov nevymenúva taxatívne ani príkladmo, aké konkrétne údaje považuje za osobné. Poskytuje však širokú definíciu toho, čo a za akých podmienok možno považovať osobnými údajmi. Osobnými údajmi môžu byť akékoľvek údaje (identifikátory), ktoré sa týkajú fyzickej osoby a na ich základe je ju možné priamo alebo nepriamo rozpoznať. Vo všeobecnosti k osobným údajom patria napríklad meno, priezvisko, titul, pohlavie, adresa, rodné číslo, číslo občianskeho preukazu, dátum narodenia, biometrické údaje, hlas a pod. Môžu nimi byť aj údaje o majetkovej či príjmovej úrovni fyzickej osoby, ak ju dokážu jednoznačne určiť, najčastejšie v kombinácii s inými charakteristikami.
Čo sa rozumie spracúvaním osobných údajov
Činnosti, ktoré podľa zákona o ochrane osobných údajov spadajú pod spracúvanie osobných údajov sú uvedené príkladmo.
Spracúvaním osobných údajov sa v zmysle § 4 ods. 3 zákona o ochrane osobných údajov rozumie vykonávanie operácií alebo súboru operácií s osobnými údajmi, najmä ich získavanie, zhromažďovanie, šírenie, zaznamenávanie, usporadúvanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, preskupovanie, kombinovanie, premiestňovanie, využívanie, uchovávanie, blokovanie, likvidácia, ich cezhraničný prenos, poskytovanie, sprístupňovanie alebo zverejňovanie.
Príklad: Oprávnenou osobu je mzdová účtovníčka alebo personalista. Pri svojej činnosti prichádza do styku s osobnými údajmi zamestnancov.
Príklad: Oprávnenou osobou je aj administratívny pracovník, ktorý vybavuje objednávky prijaté prostredníctvom eshopu. Pri výkone svojej činnosti prichádza do styku s osobnými údajmi zákazníkov.
Príklad: Oprávnenou osobou je učiteľ, referent alebo asistent. Pri výkone svojej činnosti prichádza do styku s osobnými údajmi študentov.
Príklad: Oprávnenou osobu je aj administratívny pracovník, ktorý má na starosti databázu vernostných kariet a pripravuje podklady pre tvorbu nových či likvidáciu existujúcich vernostných kariet. Pri výkone svojej činnosti prichádza do styku s osobnými údajmi držiteľov týchto kariet.
Kedy sa osoba stane oprávnenou osobou a povinnosti prevádzkovateľa
V zmysle § 21 ods. 1 zákona o ochrane osobných údajov sa fyzická osoba stáva oprávnenou osobou dňom jej poučenia. Prevádzkovateľ (napr. zamestnávateľ) je povinný vykonať poučenie pred uskutočnením prvej operácie s osobnými údajmi oprávnenou osobou. Za poučenie oprávnenej osoby zodpovedá prevádzkovateľ (resp. sprostredkovateľ). Ak prevádzkovateľ poveril dohľadom nad ochranou osobných údajov zodpovednú osobu, poučenie zabezpečuje zodpovedná osoba.
Prevádzkovateľ je povinný poučiť osobu, ktorá sa má stať oprávnenou osobou, o jej právach a povinnostiach pri spracúvaní osobných údajov. Zákon o ochrane osobných údajov zohľadňuje odlišnosť osobných údajov a pracovnej náplne budúcich oprávnených osôb. Poučenie musí obsahovať najmä vymedzenie oprávnení, povolených činností a podmienok spracúvania osobných údajov. Na webovej stránke Úradu na ochranu osobných údajov SR (www.dataprotection.gov.sk) sú dostupné štyri vzory poučení oprávnenej osoby, a to v členení podľa právneho základu spracúvania osobných údajov a počtu oprávnených osôb pre poučenie.
O poučení je prevádzkovateľ (resp. sprostredkovateľ) povinný vyhotoviť písomný záznam. Na požiadanie Úradu na ochranu osobných údajov je povinný tento záznam hodnoverne preukázať.
V zmysle § 21 ods. 4 je prevádzkovateľ (resp. sprostredkovateľ) povinný opätovne poučiť oprávnenú osobu, ak došlo k podstatnej zmene jej pracovného, služobného alebo funkčného zaradenia, a tým sa významne zmenil obsah náplne jej pracovnej činnosti, alebo sa podstatne zmenili podmienky spracúvania osobných údajov alebo rozsah spracúvania osobných údajov v rámci jej pracovného, služobného alebo funkčného zaradenia. Za nesplnenie tejto povinnosti hrozí pokuta od 1 000 eur do 50 000 eur.
Práva a povinnosti oprávnenej osoby
Oprávnená osoba má podľa zákona o ochrane osobných údajov práva a povinnosti. K právam oprávnenej osoby patria najmä:
- právo spracúvať osobné údaje,
- právo byť poučená a opätovne poučená,
- právo porušiť povinnosť mlčanlivosti,
- právo vyžadovať poverenie na vykonanie kontroly,
- právo vyžadovať preukázanie príslušnosti k Úradu na ochranu osobných údajov SR,
- právo oboznamovať sa s kontrolnými zisteniami a písomne sa k nim vyjadrovať.
Zákon o ochrane osobných údajov oprávnenej osobe ukladá tieto povinnosti, a to najmä:
- povinnosť dodržiavať mlčanlivosť,
- povinnosť dodržiavať vymedzený rozsah oprávnení,
- povinnosť poučiť dotknutú osobu,
- povinnosť spracúvať len správne, úplné a podľa potreby aktualizované osobné údaje,
- povinnosť postupovať podľa bezpečnostných opatrení,
- povinnosť poskytnúť súčinnosť pri výkone dozoru.
Oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými príde do styku. Nesmie ich využiť pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmie zverejniť a nikomu poskytnúť ani sprístupniť. Povinnosť mlčanlivosti trvá aj po zániku funkcie oprávnenej osoby alebo po skončení pracovného pomeru, štátnozamestnaneckého pomeru, služobného pomeru alebo obdobného pracovného vzťahu. Povinnosť mlčanlivosti nie je časovo obmedzená.
Príklad: S účtovníčkou na mzdovom oddelení bol skončený pracovný pomer. Bývalý zamestnanec je povinný dodržiavať mlčanlivosť aj po skončení pracovného pomeru.
Príklad: Zamestnanec, ktorý bol v styku s osobnými údajmi zmenil pracovné zaradenie a v styku s osobnými údajmi nie je. Mlčanlivosť o osobných údajoch je povinný naďalej zachovávať.
Zákon o ochrane osobných údajov udeľuje oprávnenej osobe dve výnimky z povinnosti mlčanlivosti. Povinnosť mlčanlivosti o osobných údajoch neplatí, ak je to nevyhnutné na plnenie úloh súdu a orgánov činných v trestnom konaní. Taktiež v prípade plnení úloh vo vzťahu k Úradu na ochranu osobných údajov Slovenskej republiky.
Kto nie je oprávnenou osobou alebo osoby, ktoré prídu do styku s osobnými údajmi náhodne
Prevádzkovateľ (resp. sprostredkovateľ) je povinný vykonať také bezpečnostné opatrenia, aby k náhodnému styku s osobnými údajmi nedochádzalo. Bezpečnostné opatrenia môžu mať technický, organizačný alebo personálny charakter a musia zodpovedať spôsobu spracúvania osobných údajov. Ak to ukladá zákon o ochrane osobných údajov, bezpečnostné opatrenia musia byť zdokumentované v bezpečnostnom projekte.
Príklad: V kanceláriách sa nachádzajú dokumenty v listinnej podobe, ktoré obsahujú osobné údaje. Upratovanie v týchto kanceláriách je vykonávané dodávateľskou formou. V rámci zabránenia náhodného styku či prístupu k osobných údajom je potrebné vykonať zodpovedajúce bezpečnostné opatrenia. Ideálne je listinné dokumenty obsahujúce osobné údaje uložiť v uzamykateľnej skrini.
Príklad: V kancelárii pracujú dve zamestnankyne. Jedna z nich v rámci plnenia pracovných úloh prichádza do styku s osobnými údajmi, teda je oprávnenou osobou. V rámci bezpečnostných opatrení je nevyhnutné zariadiť kanceláriu nábytkom a ostatným vybavením tak, aby zamestnankyňa, ktorá nie je oprávnenou osobou, nemohla náhodne odpozerať z monitora (zobrazovacej jednotky) zamestnankyne, ktorá oprávnenou osobou je, osobné údaje, ktoré sú spracúvané.
Fyzické osoby, ktoré prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa sú viazané povinnosťou mlčanlivosti o osobných údajoch.
Pokuty
Úrad na ochranu osobných údajov SR môže v súvislosti s povinnosťami, pokiaľ ide o oprávnenú osobu, pokutovať prevádzkovateľa alebo sprostredkovateľa. Podľa zákona o ochrane osobných údajov možno pokutu uložiť i osobe inej ako prevádzkovateľ alebo sprostredkovateľ. Ukladať pokuty priamo oprávnenej osobe možno za porušenie mlčanlivosti o osobných údajoch alebo neposkytnutie požadovanej súčinnosti pri výkone dozoru.
Úrad na ochranu osobných údajov SR môže uložiť pokutu od 300 eur do 3 000 eur prevádzkovateľovi a sprostredkovateľovi, ktorý nesplnil alebo porušil povinnosť hodnoverne preukázať vyhotovenie záznamu poučenia oprávnených osôb.
Pokutu od 1 000 eur do 50 000 eur môže Úrad na ochranu osobných údajov SR uložiť tomu prevádzkovateľovi alebo sprostredkovateľovi, ktorý nesplnil alebo porušil niektorú z povinností upravujúcich poučenie oprávnených osôb (napr. poučenie bolo zabezpečené až po uskutočnení prevej operácie s osobnými údajmi oprávnenou osobou, nebolo vykonané opätovné poučenie vtedy, keď to zákon o ochrane osobných údajov vyžaduje).
Oprávnenej osobe môže byť uložená pokuta vo výške od 150 eur do 2 000 eur vtedy, ak poruší povinnosť mlčanlivosti o osobných údajoch alebo neposkytne Úradu na ochranu osobných údajov SR požadovanú súčinnosť pri výkone dozoru.
Pri ukladaní pokuty a určení jej výšky sa prihliada najmä na závažnosť, čas trvania a následky protiprávneho konania, opakovanie takéhoto konania a mieru ohrozenia súkromného a rodinného života a na počet dotknutých osôb. Ak sa tá istá osoba dopustí toho istého porušenia zákona o ochrane osobných údajov do dvoch rokov od právoplatnosti rozhodnutia, môže jej byť uložená pokuta až do výšky dvojnásobku sadzby uloženej pokuty (napr. oprávnená osoba opakovane aj po uložení pokuty poruší mlčanlivosť o osobných údajoch).
