Ambulancia čeľustnej ortopédie pre deti a dospelých
Posúdenie vplyvu na ochranu osobných údajov
(smernica o ochrane osobných údajov)
Obsah:
1 Úvod
2 Vymedzenie pojmov
2.1 Základné pojmy
3 Zásady spracúvania osobných údajov
3.1 Zásada zákonnosti
3.2 Zásada obmedzenia účelu
3.3 Zásada minimalizácie osobných údajov
3.4 Zásada správnosti
3.5 Zásada minimalizácie uchovávania
3.6 Zásada integrity a dôvernosti
3.7 Zásada zodpovednosti
4 Zákonnosť spracúvania
5 Spracúvanie osobitných kategórií osobných údajov
6 Prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii
7 Prevádzkovateľ
8 Sprostredkovateľ1
9 Zodpovedná osoba
10 Spracovateľské operácie
10.1 Účely spracúvania osobných údajov
11 Opatrenia na elimináciu rizík pre práva fyzickej osoby
11.1 Technické opatrenia
11.1.1 Technické opatrenia realizované prostriedkami fyzickej povahy
11.1.2 Ochrana pred neoprávneným prístupom
11.1.3 Riadenie prístupu poverených osôb
11.1.4 Riadenie zraniteľností
11.1.5 Sieťová bezpečnosť
11.1.6 Zálohovanie
11.1.7 Likvidácia osobných údajov a dátových nosičov
11.2 Organizačné opatrenia
11.2.1 Personálne opatrenia
11.2.2 Riadenie aktív
11.2.3 Riadenie prístupu osôb k osobným údajom
11.2.4 Organizácia spracúvania osobných údajov
11.2.5 Porušenia ochrany osobných údajov
11.2.6 Kontrolná činnosť
11.2.7 Dodávateľské vzťahy
Prevádzkovateľ:
Esteam dent s. r. o.
Letná 3370/21, 058 01 Poprad
IČO: 54571642
Za ochranu osobných údajov zodpovedá :
Ing. Marek Sonoga, MUDr. Zuzana Sonogová - konatelia
1. Úvod
Prevádzkovateľ, vypracoval tento dokument v súlade s Nariadením európskeho parlamentu a rady (EU) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane osobných údajov) (ďalej len ako „nariadenie) a zákona č. 18/2018 Z.z. o ochrane osobných údajov (ďalej len ako „zákon č. 18/2018 Z.z.).
2. Vymedzenie pojmov
2.1 Základné pojmy
Osobnými údajmi sú údaje týkajúce sa identifikovanej fyzickej osoby alebo identifikovateľnej fyzickej osoby, ktorú možno identifikovať priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora, iného identifikátora, ako je napríklad meno, priezvisko, identifikačné číslo, lokalizačné údaje, alebo online identifikátor, alebo na základe jednej alebo viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú identitu, fyziologickú identitu, genetickú identitu, psychickú identitu, mentálnu identitu, ekonomickú identitu, kultúrnu identitu alebo sociálnu identitu.
Na účely nariadenia a zákona č. 18/2018 Z.z. sa rozumie:
a) súhlasom dotknutej osoby akýkoľvek vážny a slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby vo forme vyhlásenia alebo jednoznačného potvrdzujúceho úkonu, ktorým dotknutá osoba vyjadruje súhlas so spracúvaním svojich osobných údajov,
b) genetickými údajmi osobné údaje týkajúce sa zdedených genetických charakteristických znakov fyzickej osoby alebo nadobudnutých genetických charakteristických znakov fyzickej osoby, ktoré poskytujú jedinečné informácie o fyziológii alebo zdraví tejto fyzickej osoby a ktoré vyplývajú najmä z analýzy biologickej vzorky danej fyzickej osoby,
c) biometrickými údajmi osobné údaje, ktoré sú výsledkom osobitného technického spracúvania osobných údajov týkajúcich sa fyzických charakteristických znakov fyzickej osoby, fyziologických charakteristických znakov fyzickej osoby alebo behaviorálnych charakteristických znakov fyzickej osoby a ktoré umožňujú jedinečnú identifikáciu alebo potvrdzujú jedinečnú identifikáciu tejto fyzickej osoby, ako najmä vyobrazenie tváre alebo daktyloskopické údaje,
d) údajmi týkajúcimi sa zdravia osobné údaje týkajúce sa fyzického zdravia alebo duševného zdravia fyzickej osoby vrátane údajov o poskytovaní zdravotnej starostlivosti alebo služieb súvisiacich s poskytovaním zdravotnej starostlivosti, ktorými sa odhaľujú informácie o jej zdravotnom stave,
e) spracúvaním osobných údajov spracovateľská operácia alebo súbor spracovateľských operácií s osobnými údajmi alebo so súbormi osobných údajov, najmä získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie, bez ohľadu na to, či sa vykonáva automatizovanými prostriedkami alebo neautomatizovanými prostriedkami,
f) obmedzením spracúvania osobných údajov označenie uchovávaných osobných údajov s cieľom obmedziť ich spracúvanie v budúcnosti,
g) profilovaním akákoľvek forma automatizovaného spracúvania osobných údajov spočívajúceho v použití osobných údajov na vyhodnotenie určitých osobných znakov alebo charakteristík týkajúcich sa fyzickej osoby, najmä na analýzu alebo predvídanie znakov alebo charakteristík dotknutej osoby súvisiacich s jej výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom,
h) pseudonymizáciou spracúvanie osobných údajov spôsobom, že ich nie je možné priradiť ku konkrétnej dotknutej osobe bez použitia dodatočných informácií, ak sa takéto dodatočné informácie uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia na zabezpečenie toho, aby osobné údaje nebolo možné priradiť identifikovanej fyzickej osobe alebo identifikovateľnej fyzickej osobe,
i) logom záznam o priebehu činnosti používateľa v automatizovanom informačnom systéme,
j) šifrovaním transformácia osobných údajov spôsobom, ktorým opätovné spracúvanie je možné len po zadaní zvoleného parametra, ako je kľúč alebo heslo,
k) online identifikátorom identifikátor poskytnutý aplikáciou, nástrojom alebo protokolom, najmä IP adresa, cookies, prihlasovacie údaje do online služieb, rádiofrekvenčná identifikácia, ktoré môžu zanechávať stopy, ktoré sa najmä v kombinácii s jedinečnými identifikátormi alebo inými informáciami môžu použiť na vytvorenie profilu dotknutej osoby a na jej identifikáciu,
l) informačným systémom akýkoľvek usporiadaný súbor osobných údajov, ktoré sú prístupné podľa určených kritérií, bez ohľadu na to, či ide o systém centralizovaný, decentralizovaný alebo distribuovaný na funkčnom základe alebo geografickom základe,
m) porušením ochrany osobných údajov porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene alebo k neoprávnenému poskytnutiu prenášaných, uchovávaných osobných údajov alebo inak spracúvaných osobných údajov, alebo k neoprávnenému prístupu k nim,
n) dotknutou osobou každá fyzická osoba, ktorej osobné údaje sa spracúvajú,
o) prevádzkovateľom každý, kto sám alebo spoločne s inými vymedzí účel a prostriedky spracúvania osobných údajov a spracúva osobné údaje vo vlastnom mene; prevádzkovateľ alebo konkrétne požiadavky na jeho určenie môžu byť ustanovené v osobitnom predpise alebo medzinárodnej zmluve, ktorou je Slovenská republika viazaná, ak takýto predpis alebo táto zmluva ustanovuje účel a prostriedky spracúvania osobných údajov,
p) sprostredkovateľom každý, kto spracúva osobné údaje v mene prevádzkovateľa,
q) príjemcom každý, komu sa osobné údaje poskytnú bez ohľadu na to, či je treťou stranou; za príjemcu sa nepovažuje orgán verejnej moci, ktorý spracúva osobné údaje na základe osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, v súlade s pravidlami ochrany osobných údajov vzťahujúcimi sa na daný účel spracúvania osobných údajov,
r) treťou stranou každý, kto nie je dotknutou osobou, prevádzkovateľ, sprostredkovateľ alebo inou fyzickou osobou, ktorá na základe poverenia prevádzkovateľa alebo sprostredkovateľa spracúva osobné údaje,
s) zodpovednou osobou osoba určená prevádzkovateľom alebo sprostredkovateľom, ktorá plní úlohy podľa tohto zákona,
t) zástupcom fyzická osoba alebo právnická osoba so sídlom, miestom podnikania, organizačnou zložkou, prevádzkarňou alebo trvalým pobytom v členskom štáte, ktorú prevádzkovateľ alebo sprostredkovateľ písomne poveril podľa § 35,
u) podnikom fyzická osoba – podnikateľ alebo právnická osoba vykonávajúca hospodársku činnosť bez ohľadu na jej právnu formu vrátane združení fyzických osôb alebo združení právnických osôb, ktoré pravidelne vykonávajú hospodársku činnosť,
v) skupinou podnikov ovládajúci podnik a ním ovládané podniky,
w) hlavnou prevádzkarňou
1. miesto centrálnej správy prevádzkovateľa v Európskej únii, ak ide o prevádzkovateľa s prevádzkarňami vo viac než jednom členskom štáte, okrem prípadu, keď sa rozhodnutia o účeloch a prostriedkoch spracúvania osobných údajov prijímajú v inej prevádzkarni prevádzkovateľa v Európskej únii a táto iná prevádzkareň má právomoc presadiť vykonanie takýchto rozhodnutí, pričom v takom prípade sa za hlavnú prevádzkareň považuje prevádzkareň, ktorá takéto rozhodnutia prijala,
2. miesto centrálnej správy sprostredkovateľa v Európskej únii, ak ide o sprostredkovateľa s prevádzkarňami vo viac než jednom členskom štáte alebo ak sprostredkovateľ nemá centrálnu správu v Európskej únii, prevádzkareň sprostredkovateľa v Európskej únii, v ktorej sa v kontexte činností prevádzkarne sprostredkovateľa uskutočňujú hlavné spracovateľské činnosti, a to v rozsahu, v akom sa na sprostredkovateľa vzťahujú osobitné povinnosti podľa tohto zákona,
x) vnútropodnikovými pravidlami postupy ochrany osobných údajov, ktoré dodržiava prevádzkovateľ alebo sprostredkovateľ so sídlom, miestom podnikania, organizačnou zložkou, prevádzkarňou alebo trvalým pobytom na území Slovenskej republiky na účely prenosu osobných údajov prevádzkovateľovi alebo sprostredkovateľovi v tretej krajine,
y) kódexom správania súbor pravidiel ochrany osobných údajov dotknutej osoby, ktorý sa prevádzkovateľ alebo sprostredkovateľ zaviazal dodržiavať,
z) medzinárodnou organizáciou organizácia a jej podriadené subjekty, ktoré sa riadia medzinárodným právom verejným, alebo akýkoľvek iný subjekt, ktorý bol zriadený dohodou medzi dvoma alebo viacerými krajinami alebo na základe takejto dohody,
aa) členským štátom štát, ktorý je členským štátom Európskej únie alebo zmluvnou stranou Dohody o Európskom hospodárskom priestore,
bb) treťou krajinou krajina, ktorá nie je členským štátom,
cc) zamestnancom úradu zamestnanec v pracovnom pomere alebo v obdobnom pracovnom vzťahu podľa osobitného predpisu alebo štátny zamestnanec, ktorý vykonáva štátnu službu v štátnozamestnaneckom pomere podľa osobitného predpisu.
Ďalšie dôležité pojmy:
a) sprístupňovaním osobných údajov – oznámenie osobných údajov alebo umožnenie prístupu k nim príjemcovi, ktorý ich ďalej nespracúva,
b) zverejňovaním osobných údajov – publikovanie, uverejnenie alebo vystavenie osobných údajov na verejnosti prostredníctvom masovokomunikačných prostriedkov, verejne prístupných počítačových sietí, verejným vykonaním alebo vystavením diela, verejným vyhlásením, uvedením vo verejnom zozname, v registri alebo v operáte, ich umiestnením na úradnej tabuli alebo na inom verejne prístupnom mieste,
c) likvidáciou osobných údajov – zrušenie osobných údajov rozložením, vymazaním alebo fyzickým zničením hmotných nosičov tak, aby sa z nich osobné údaje nedali reprodukovať,
d) blokovaním osobných údajov – dočasné alebo trvalé pozastavenie spracúvania osobných údajov do takého stavu, počas ktorého možno vykonávať len tie operácie s osobnými údajmi, ktoré sú nevyhnutné na splnenie povinnosti uloženej týmto zákonom,
e) účelom spracúvania osobných údajov – vopred jednoznačne vymedzený alebo ustanovený zámer spracúvania osobných údajov, ktorý sa viaže na určitú činnosť,
f) cezhraničným prenosom osobných údajov – prenos osobných údajov mimo územia Slovenskej republiky a na územie Slovenskej republiky,
g) všeobecne použiteľný identifikátor – trvalý identifikačný údaj dotknutej osoby, ktorý zabezpečuje jej jednoznačnosť v informačných systémoch,
h) anonymizovaný údaj – je osobný údaj upravený do takej podoby, v ktorej ho nie je možné priradiť ku konkrétnej dotknutej osobe,
i) verejný záujem – dôležitý záujem štátu pri realizácii výkonu verejnej moci, ktorý prevažuje nad oprávneným záujmom fyzickej osoby alebo viacerých fyzických osôb a bez jeho realizácie by mohli vzniknúť rozsiahle alebo nenahraditeľné škody,
j) zraniteľné miesto – slabina systému využiteľná na spôsobenie škôd,
k) aktívum - sa rozumie čokoľvek, čo má pre prevádzkovateľa hodnotu a môže to ovplyvniť bezpečnosť osobných údajov
l) hrozba – potenciálna možnosť využitia zraniteľného miesta,
- Fyzické poškodenie (požiar, poškodenie vodou, znečistenie, závažná havária)
- Prírodné udalosti (klimatický jav, povodeň, zemetrasenie, sopečná činnosť)
- Strata dôležitých služieb (výpadok energetického napájania, porucha telekomunikačných zariadení)
- Technické zlyhanie (zlyhanie zariadenia, zahltenie informačného systému, chyba SW, zanedbanie údržby systému)
- Kompromitácia informácií (a funkcií Vzdialená špionáž, odpočúvanie, krádež dokumentov a zariadení, manipuláciu s hardvérom alebo softvérom, zneužitie prístupových práv, falšovanie práv, nedostupnosť personálu)
- Ľudské zdroje (heker, terorista, zamestnanec)
m) dopad - predstavuje vyhodnotenie negatívneho vplyvu, ktorý sa vyskytne v dôsledku realizácie niektorej hrozby, pri využití zraniteľnosti aktíva
n) riziko – pravdepodobnosť uplatnenia hrozby, čiže pravdepodobnosť využitia zraniteľného miesta aktív,
o) incident – využitie zraniteľného miesta na využitie škôd, strata na aktívach, prípadné ich poškodenie alebo zničenie,
p) audit bezpečnosti informačného systému – nezávislé, odborné posúdenie spoľahlivosti a celkovej bezpečnosti informačného systému z hľadiska bezpečnosti dôvernosti, integrity a dostupnosti spracúvania osobných údajov,
q) kamerový informačný systém – systém technických zariadení umožňujúci sledovanie, archiváciu a reprodukciu audio a video záznamu.
r) priestor prístupný verejnosti – priestor, do ktorého možno voľne vstupovať a v ktorom sa možno voľne zdržiavať bez časového obmedzenia alebo vo vymedzenom čase,
s) cookies – vyskytuje sa v protokole HTTP a je to malé množstvo stavových dát, ktoré server pošle webovému prehliadaču pri prehliadaní samotnej webovej stránky. Ak sú cookies v prehliadači povolené, uložia sa na počítači (alebo smartfóne alebo tablete) používateľa, zvyčajne ako krátky textový súbor na určené miesto. Pri ďalšej požiadavke prehliadača na stránku z toho istého webového sídla potom prehliadač posiela späť serveru aj uložené cookie alebo viac cookies, ktoré si pýta už v hlavičke stránky. V prípade dočasných cookies sú informácie zapamätané len po dobu trvania aktuálnej návštevy (session) daného sídla, v prípade permanentných cookies aj pri ďalších návštevách až do uplynutia platnosti cookies, alebo ich odstránenia (vymazania) používateľom. Cookies majú viaceré výhody ale môžu byť aj zneužité na sledovanie užívateľa, preto je dôležité rozumieť ich účelu, čo umožňuje zvoliť správne nastavenie prehliadača a rozhodnutie o tom, či prijať alebo zamietnuť prijatie a ukladanie cookies.
3. Zásady spracúvania osobných údajov
3.1 Zásada zákonnosti
Osobné údaje možno spracúvať len zákonným spôsobom a tak, aby nedošlo k porušeniu základných práv dotknutej osoby.
3.2 Zásada obmedzenia účelu
Osobné údaje sa môžu získavať len na konkrétne určený, výslovne uvedený a oprávnený účel a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmto účelom.
3.3 Zásada minimalizácie osobných údajov
Spracúvané osobné údaje musia byť primerané, relevantné a obmedzené na nevyhnutný rozsah daný účelom, na ktorý sa spracúvajú.
3.4 Zásada správnosti
Spracúvané osobné údaje musia byť správne a podľa potreby aktualizované.
3.5 Zásada minimalizácie uchovávania
Osobné údaje musia byť uchovávané vo forme, ktorá umožňuje identifikáciu dotknutej osoby najneskôr dovtedy, kým je to potrebné na účel, na ktorý sa osobné údaje spracúvajú.
3.6 Zásada integrity a dôvernosti
Osobné údaje musia byť spracúvané spôsobom, ktorý prostredníctvom primeraných technických a organizačných opatrení zaručuje primeranú bezpečnosť osobných údajov vrátane ochrany pred neoprávneným spracúvaním osobných údajov, nezákonným spracúvaním osobných údajov, náhodnou stratou osobných údajov, výmazom osobných údajov alebo poškodením osobných údajov.
3.7 Zásada zodpovednosti
Prevádzkovateľ je zodpovedný za dodržiavanie základných zásad spracúvania osobných údajov, za súlad spracúvania osobných údajov so zásadami spracúvania osobných údajov a je povinný tento súlad so zásadami spracúvania osobných údajov na požiadanie úradu preukázať.
4 Zákonnosť spracúvania
Spracúvanie osobných údajov je zákonné, ak sa vykonáva na základe aspoň jedného z týchto právnych základov:
- dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov aspoň na jeden konkrétny účel,
- spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo na vykonanie opatrenia pred uzatvorením zmluvy na základe žiadosti dotknutej osoby,
- spracúvanie osobných údajov je nevyhnutné podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná,
- spracúvanie osobných údajov je nevyhnutné na ochranu života, zdravia alebo majetku dotknutej osoby alebo inej fyzickej osoby,
- spracúvanie osobných údajov je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, alebo
- spracúvanie osobných údajov je nevyhnutné na účel oprávnených záujmov prevádzkovateľa alebo tretej strany okrem prípadov, keď nad týmito záujmami prevažujú záujmy alebo práva dotknutej osoby vyžadujúce si ochranu osobných údajov, najmä ak je dotknutou osobou dieťa; tento právny základ sa nevzťahuje na spracúvanie osobných údajov orgánmi verejnej moci pri plnení ich úloh.
5 Spracúvanie osobitných kategórií osobných údajov
Zakazuje sa spracúvanie osobitných kategórií osobných údajov. Osobitnými kategóriami osobných údajov sú údaje, ktoré odhaľujú rasový pôvod alebo etnický pôvod, politické názory, náboženskú vieru, filozofické presvedčenie, členstvo v odborových organizáciách, genetické údaje, biometrické údaje, údaje týkajúce sa zdravia alebo údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
Zákaz spracúvania osobitných kategórií osobných údajov neplatí, ak:
- dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov aspoň na jeden konkrétny účel; súhlas je neplatný, ak jeho poskytnutie vylučuje osobitný predpis,
- spracúvanie je nevyhnutné na účel plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva, práva sociálneho zabezpečenia, sociálnej ochrany alebo verejného zdravotného poistenia podľa osobitného predpisu, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo podľa kolektívnej zmluvy, ak poskytujú primerané záruky ochrany základných práv a záujmov dotknutej osoby,
- spracúvanie je nevyhnutné na ochranu života, zdravia alebo majetku dotknutej osoby alebo inej fyzickej osoby, ak dotknutá osoba nie je fyzicky spôsobilá alebo právne spôsobilá vyjadriť svoj súhlas,
- spracúvanie vykonáva v rámci oprávnenej činnosti občianske združenie, nadácia alebo nezisková organizácia poskytujúca všeobecne prospešné služby, politická strana alebo politické hnutie, odborová organizácia, štátom uznaná cirkev alebo náboženská spoločnosť a toto spracúvanie sa týka iba ich členov alebo tých fyzických osôb, ktoré sú s nimi vzhľadom na ich ciele v pravidelnom styku, osobné údaje slúžia výlučne pre ich vnútornú potrebu a nebudú poskytnuté príjemcovi bez písomného alebo inak hodnoverne preukázateľného súhlasu dotknutej osoby,
- spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila,
- spracúvanie je nevyhnutné na uplatnenie právneho nároku, alebo pri výkone súdnej právomoci,
- spracúvanie je nevyhnutné z dôvodu verejného záujmu na základe tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ktoré sú primerané vzhľadom na sledovaný cieľ, rešpektujú podstatu práva na ochranu osobných údajov a ustanovujú vhodné a konkrétne opatrenia na zabezpečenie základných práv a záujmov dotknutej osoby,
- spracúvanie je nevyhnutné na účel preventívneho pracovného lekárstva, poskytovania zdravotnej starostlivosti a služieb súvisiacich s poskytovaním zdravotnej starostlivosti alebo na účel vykonávania verejného zdravotného poistenia, ak tieto údaje spracúva poskytovateľ zdravotnej starostlivosti, zdravotná poisťovňa, osoba vykonávajúca služby súvisiace s poskytovaním zdravotnej starostlivosti alebo osoba vykonávajúca dohľad nad zdravotnou starostlivosťou a v jej mene odborne spôsobilá oprávnená osoba, ktorá je viazaná povinnosťou mlčanlivosti o skutočnostiach, o ktorých sa dozvedela pri výkone svojej činnosti, a povinnosťou dodržiavať zásady profesijnej etiky,
- spracúvanie je nevyhnutné na účel sociálneho poistenia, sociálneho zabezpečenia policajtov a vojakov, poskytovania štátnych sociálnych dávok, podpory sociálneho začlenenia fyzickej osoby s ťažkým zdravotným postihnutím do spoločnosti, poskytovania sociálnych služieb, vykonávania opatrení sociálnoprávnej ochrany detí a sociálnej kurately alebo na účel poskytovania pomoci v hmotnej núdzi, alebo je spracúvanie nevyhnutné na účel plnenia povinností alebo uplatnenia práv prevádzkovateľa zodpovedného za spracúvanie v oblasti pracovného práva a v oblasti služieb zamestnanosti, ak to prevádzkovateľovi vyplýva z osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná,
- spracúvanie je nevyhnutné z dôvodu verejného záujmu v oblasti verejného zdravia, ako je ochrana proti závažným cezhraničným ohrozeniam zdravia alebo zabezpečenie vysokej úrovne kvality a bezpečnosti zdravotnej starostlivosti, liekov, dietetických potravín alebo zdravotníckych pomôcok, na základe tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ktorými sa ustanovujú vhodné a konkrétne opatrenia na ochranu práv dotknutej osoby, najmä povinnosť mlčanlivosti,
- spracúvanie je nevyhnutné na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel podľa tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ktoré sú primerané vzhľadom na sledovaný cieľ, rešpektujú podstatu práva na ochranu osobných údajov a ustanovené vhodné a konkrétne opatrenia na zabezpečenie základných práv a záujmov dotknutej osoby.
6. Prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii
Prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť, ak Európska komisia (ďalej len „Komisia“) rozhodla, že tretia krajina, územie alebo jeden či viaceré určené odvetvia v danej tretej krajine alebo medzinárodná organizácia zaručujú primeranú úroveň ochrany osobných údajov. Taký prenos nevyžaduje osobitné povolenie.
Ak neexistuje takéto rozhodnutie Komisie, prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť len vtedy, ak sa poskytnú primerané záruky ochrany osobných údajov.
Primerané záruky sa môžu ustanoviť bez toho, aby bolo potrebné žiadať úrad o osobitné povolenie, prostredníctvom
- medzinárodnej zmluvy, ktorou je Slovenská republika viazaná,
- vnútropodnikových pravidiel podľa § 49 zákona č. 18/2018 Z.z.,
- štandardnej doložky o ochrane údajov, ktoré prijala Komisia,
- štandardnej doložky o ochrane údajov, ktoré prijal úrad,
- schváleného kódexu správania podľa § 85 zákona č. 18/2018 Z.z. spolu so záväzkami prevádzkovateľa alebo sprostredkovateľa v tretej krajine spočívajúcimi v uplatňovaní primeraných záruk, a to aj ak ide o práva dotknutej osoby, alebo
- certifikátu podľa § 86 zákona č. 18/2018 Z.z. spolu so záväzkom prevádzkovateľa alebo sprostredkovateľa v tretej krajine spočívajúcim v uplatňovaní primeraných záruk, a to aj ak ide o práva dotknutej osoby.
Primerané záruky sa môžu tiež zabezpečiť na základe povolenia úradu najmä
- zmluvnými doložkami medzi prevádzkovateľom alebo sprostredkovateľom a prevádzkovateľom, sprostredkovateľom alebo príjemcom v tretej krajine alebo medzinárodnej organizácii, alebo
- ustanoveniami v administratívnych dohodách medzi orgánmi verejnej moci alebo verejnoprávnymi inštitúciami, ktoré zahŕňajú účinné prostriedky na uplatnenie práva dotknutej osoby na podanie návrhu na začatie konania podľa § 100 zákona č. 18/2018 Z.z. a na inú právnu ochranu podľa osobitného predpisu.
7. Prevádzkovateľ
- je povinný prijať primerané opatrenia a mechanizmy na zabezpečenie ochrany osobných údajov. Bezpečnostné opatrenia sú realizované v súlade so získavaním osobných údajov, rozsahu ich spracúvania, dobou ich uchovávania a ich dostupnosťou formou dodržiavania zásad spracúvania osobných údajov. Taktiež je povinný, osobné údaje, chrániť pred náhodným, ako aj nezákonným poškodením a zničením, náhodnou stratou, zmenou, nedovoleným prístupom a sprístupnením, ako aj pred akýmikoľvek inými neprístupnými formami spracúvania.
- zabezpečí, aby každá fyzická osoba – poverená osoba, ktorá má prístup k osobným údajom, spracúvala tieto údaje len na základe pokynov prevádzkovateľa, oboznámi ich o právach, povinnostiach a mlčanlivosti vyplývajúcich za zákona č. 18/2018 Z.z.
- môže poveriť spracúvaním osobných údajov sprostredkovateľa, pričom sa spracúvanie riadi zmluvou alebo iným právnym úkonom (v listinnej alebo elektronickej podobe), ktorý zaväzuje sprostredkovateľa voči prevádzkovateľovi a v ktorom je ustanovený predmet a doba spracúvania, povaha a účel spracúvania, zoznam alebo rozsah osobných údajov, kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa.
- pri výbere sprostredkovateľa, prevádzkovateľ dbá na to, aby sprostredkovateľ poskytoval dostatočné záruky na prijatie primeraných technických a organizačných opatrení tak, aby spracúvanie osobných údajov spĺňalo požiadavky zákona č. 18/2018 Z.z. a aby sa zabezpečila ochrana práv dotknutej osoby. Na poverenie sprostredkovateľa spracúvaním osobných údajov podľa prvej vety sa súhlas dotknutej osoby nevyžaduje.
- je povinný oznámiť úradu porušenie ochrany osobných údajov do 72 hodín po tom, ako sa o ňom dozvedel; to neplatí, ak nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva fyzickej osoby. Ak prevádzkovateľ nesplní oznamovaciu povinnosť, musí zmeškanie lehoty zdôvodniť.
- ak je spracúvanie osobných údajov založené na súhlase dotknutej osoby, prevádzkovateľ je povinný kedykoľvek vedieť preukázať, že dotknutá osoba poskytla súhlas so spracúvaním svojich osobných údajov, pričom tento súhlas musí byť odlíšený od iných skutočností a musí byť vyjadrený jasne a v zrozumiteľnej a ľahko dostupnej forme.
· ak dotknutá osoba nežije, súhlas môže poskytnúť jej blízka osoba. Súhlas nie je platný, ak čo len jedna blízka osoba písomne vyslovila nesúhlas.
· osobné údaje o dotknutej osobe možno získať od inej fyzickej osoby a spracúvať v informačnom systéme len s predchádzajúcim písomným súhlasom dotknutej osoby; to neplatí, ak poskytnutím osobných údajov o dotknutej osobe do informačného systému iná fyzická osoba chráni svoje práva alebo právom chránené záujmy, oznamuje skutočnosti, ktoré odôvodňujú uplatnenie právnej zodpovednosti dotknutej osoby, alebo sa osobné údaje spracúvajú na základe osobitného zákona,
· v súvislosti s ponukou služieb informačnej spoločnosti prevádzkovateľ spracúva osobné údaje na základe súhlasu dotknutej osoby zákonne, ak dotknutá osoba dovŕšila 16 rokov. Ak má dotknutá osoba menej ako 16 rokov, takéto spracúvanie osobných údajov je zákonné iba za podmienky a v rozsahu, v akom takýto súhlas poskytol alebo schválil jej zákonný zástupca, pričom prevádzkovateľ je povinný si overiť, že zákonný zástupca dotknutej osoby poskytol alebo schválil súhlas so spracúvaním osobných údajov, s využitím dostupnej technológie.
- je povinný poskytnúť dotknutej osobe informácie o spracúvaní osobných údajov pri ich získavaní v rozsahu :
· identifikačné a kontaktné údaje prevádzkovateľa, a zástupcu prevádzkovateľa, ak bol poverený
· kontaktné údaje zodpovednej osoby,
· účel a právne základy spracúvania osobných údajov,
· oprávnené záujmy prevádzkovateľa alebo tretej strany, ak sa osobné údaje spracúvajú podľa § 13 ods. 1 písm. f) zákona č. 18/2018 Z.z.
· kategóriu príjemcov,
· informáciu o tom, či prevádzkovateľ zmýšľa preniesť osobné údaje do do tretej krajiny alebo medzinárodnej organizácii,
· doby uchovávania osobných údajov,
· o existencii automatizovaného individuálneho rozhodovania vrátane profilovania,
· o tom, či je poskytovanie osobných údajov zákonnou požiadavkou alebo zmluvnou požiadavkou, ako aj o možných následkoch neposkytnutia osobných údajov,
· o právach dotknutej osoby, ktoré sú bližšie špecifikované v § 21 až 28, § 100 a § 14 ods. 3 zákona č. 18/2018 Z.z.
Informácie sa poskytujú v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne.
- prevádzkovateľ a zástupca prevádzkovateľa, ak bol poverený, je povinný viesť záznam o spracovateľských činnostiach. Tento záznam musí obsahovať:
-
identifikačné údaje a kontaktné údaje prevádzkovateľa, spoločného prevádzkovateľa, zástupcu prevádzkovateľa, ak bol poverený, a zodpovednej osoby,
-
účel spracúvania osobných údajov,
-
opis kategórií dotknutých osôb a kategórií osobných údajov,
-
kategórie príjemcov vrátane príjemcu v tretej krajine alebo medzinárodnej organizácii,
-
označenie tretej krajiny alebo medzinárodnej organizácie, ak prevádzkovateľ zamýšľa prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii a dokumentáciu o primeraných zárukách, ak prevádzkovateľ zamýšľa prenos
-
predpokladané lehoty na vymazanie rôznych kategórií osobných údajov,
-
všeobecný opis technických a organizačných bezpečnostných opatrení
Záznamy sa vedú v listinnej podobe alebo elektronickej podobe.
Prevádzkovateľ alebo sprostredkovateľ a zástupca prevádzkovateľa alebo zástupca sprostredkovateľa, ak bol poverený, sú povinní na požiadanie sprístupniť záznam o spracovateľských činnostiach úradu.
- prevádzkovateľ je povinný vykonať posúdenie vplyvu, ak typ spracúvania osobných údajov, najmä s využitím nových technológií a s ohľadom na povahu, rozsah, kontext a účel spracúvania osobných údajov, môže viesť k vysokému riziku pre práva fyzických osôb,
· posúdenie vplyvu na ochranu osobných údajov sa vyžaduje najmä, ak ide o:
- systematické a rozsiahle hodnotenie osobných znakov alebo charakteristík týkajúcich sa dotknutej osoby, ktoré je založené na automatizovanom spracúvaní osobných údajov vrátane profilovania a z ktorého vychádzajú rozhodnutia s právnymi účinkami týkajúcimi sa dotknutej osoby alebo s podobne závažným vplyvom na ňu,
- spracúvanie vo veľkom rozsahu osobitných kategórií osobných údajov podľa § 16 ods. 1 zákona č. 18/2018 Z.z. (osobitná kategória osobných údajov) alebo osobných údajov týkajúcich sa uznania viny za spáchanie trestného činu alebo priestupku podľa § 17 zákona č. 18/2018 Z.z.,
- systematické monitorovanie verejne prístupných miest vo veľkom rozsahu.
· posúdenie vplyvu na ochranu osobných údajov obsahuje najmä:
- systematický opis plánovaných spracovateľských operácií a účel spracúvania osobných údajov vrátane uvedenia prípadného oprávneného záujmu, ktorý sleduje prevádzkovateľ,
- posúdenie nutnosti a primeranosti spracovateľských operácií vo vzťahu k účelu,
- posúdenie rizika pre práva dotknutej osoby,
- opatrenia na elimináciu rizík vrátane záruk, bezpečnostných opatrení a mechanizmov na zabezpečenie ochrany osobných údajov a na preukázanie súladu s týmto zákonom s prihliadnutím na práva a oprávnené záujmy dotknutej osoby a ďalších fyzických osôb, ktorých sa to týka
- prevádzkovateľ je povinný určiť zodpovednú osobu, ak
· spracúvanie osobných údajov vykonáva orgán verejnej moci alebo verejnoprávna inštitúcia okrem súdov pri výkone ich súdnej právomoci,
· hlavnými činnosťami prevádzkovateľa alebo sprostredkovateľa sú spracovateľské operácie, ktoré si vzhľadom na svoju povahu, rozsah alebo účel vyžadujú pravidelné a systematické monitorovanie dotknutej osoby vo veľkom rozsahu,
· hlavnými činnosťami prevádzkovateľa alebo sprostredkovateľa je spracúvanie osobitných kategórií osobných údajov podľa § 16 zákona č. 18/2018 Z.z. vo veľkom rozsahu alebo spracúvanie osobných údajov týkajúcich sa uznania viny za spáchanie trestného činu alebo priestupku podľa § 17 zákona č. 18/2018 Z.z. vo veľkom rozsahu.
- prevádzkovateľ môže spracúvať osobné údaje bez súhlasu dotknutej osoby aj vtedy, ak spracúvanie osobných údajov je nevyhnutné na akademický účel, umelecký účel alebo literárny účel; to neplatí, ak spracúvaním osobných údajov na taký účel prevádzkovateľ porušuje právo dotknutej osoby na ochranu jej osobnosti alebo právo na ochranu súkromia alebo také spracúvanie osobných údajov bez súhlasu dotknutej osoby vylučuje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná.
- prevádzkovateľ môže spracúvať osobné údaje bez súhlasu dotknutej osoby aj vtedy, ak spracúvanie osobných údajov je nevyhnutné pre potreby informovania verejnosti masovokomunikačnými prostriedkami a ak osobné údaje spracúva prevádzkovateľ, ktorému to vyplýva z predmetu činnosti; to neplatí, ak spracúvaním osobných údajov na taký účel prevádzkovateľ porušuje právo dotknutej osoby na ochranu jej osobnosti alebo právo na ochranu súkromia alebo také spracúvanie osobných údajov bez súhlasu dotknutej osoby vylučuje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná.
- prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby, je oprávnený poskytovať jej osobné údaje alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, pracovné zaradenie, služobné zaradenie, funkčné zaradenie, osobné číslo zamestnanca alebo zamestnanecké číslo zamestnanca, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo, adresa elektronickej pošty na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných povinností, služobných povinností alebo funkčných povinností dotknutej osoby. Poskytovanie osobných údajov alebo zverejnenie osobných údajov nesmie narušiť vážnosť, dôstojnosť a bezpečnosť dotknutej osoby.
- pri spracúvaní osobných údajov možno využiť na účely identifikovania fyzickej osoby všeobecne použiteľný identifikátor podľa osobitného predpisu len vtedy, ak jeho využitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Súhlas so spracúvaním všeobecne použiteľného identifikátora musí byť výslovný a nesmie ho vylučovať osobitný predpis, ak ide o jeho spracúvanie na právnom základe súhlasu dotknutej osoby. Zverejňovať všeobecne použiteľný identifikátor sa zakazuje; to neplatí, ak všeobecne použiteľný identifikátor zverejní sama dotknutá osoba.
- prevádzkovateľ môže spracúvať genetické údaje, biometrické údaje a údaje týkajúce sa zdravia aj na právnom základe osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.
8. Sprostredkovateľ
- sprostredkovateľ, ktorý bol poverený prevádzkovateľom, aby spracúval osobné údaje v mene prevádzkovateľa, nesmie poveriť spracúvaním osobných údajov ďalšieho sprostredkovateľa bez predchádzajúceho osobitného písomného súhlasu prevádzkovateľa alebo všeobecného písomného súhlasu prevádzkovateľa. Sprostredkovateľ je povinný vopred informovať prevádzkovateľa o poverení ďalšieho sprostredkovateľa, ak sa poverenie vykonalo na základe všeobecného písomného súhlasu.
- spracúvanie osobných údajov sprostredkovateľom sa riadi zmluvou alebo iným právnym úkonom, v ktorom sa musí najmä ustanoviť, že sprostredkovateľ je povinný:
-
spracúvať osobné údaje len na základe písomných pokynov prevádzkovateľa, a to aj vtedy, ak ide o prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii okrem prenosu na základe osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná; sprostredkovateľ je pri takom prenose povinný oznámiť prevádzkovateľovi túto požiadavku pred spracúvaním osobných údajov, ak osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, takéto oznámenie nezakazuje z dôvodov verejného záujmu,
-
zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali, že zachovajú mlčanlivosť o informáciách, o ktorých sa dozvedeli, ak nie sú viazané povinnosťou mlčanlivosti podľa osobitného zákona,
-
vykonať opatrenia podľa § 39 zákona č. 18/2018 Z.z.,
-
dodržiavať podmienky zapojenia ďalšieho sprostredkovateľa,
-
po zohľadnení povahy spracúvania osobných údajov v čo najväčšej miere poskytnúť súčinnosť prevádzkovateľovi vhodnými technickými a organizačnými opatreniami pri plnení jeho povinnosti prijímať opatrenia na základe žiadosti dotknutej osoby podľa druhej časti druhej hlavy,
-
poskytnúť súčinnosť prevádzkovateľovi pri zabezpečovaní plnenia povinností podľa § 39 až 43 zákona č. 18/2018 Z.z. s prihliadnutím na povahu spracúvania osobných údajov a informácie dostupné sprostredkovateľovi,
-
vymazať osobné údaje alebo vrátiť prevádzkovateľovi osobné údaje po ukončení poskytovania služieb týkajúcich sa spracúvania osobných údajov na základe rozhodnutia prevádzkovateľa a vymazať existujúce kópie, ktoré obsahujú osobné údaje, ak osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, nepožaduje uchovávanie týchto osobných údajov,
-
poskytnúť prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností a poskytnúť súčinnosť v rámci auditu ochrany osobných údajov a kontroly zo strany prevádzkovateľa alebo audítora, ktorého poveril prevádzkovateľ.
- sprostredkovateľ je povinný bez zbytočného odkladu informovať prevádzkovateľa, ak má za to, že sa pokynom prevádzkovateľa porušuje tento zákon, osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, ktoré sa týkajú ochrany osobných údajov.
- ak sprostredkovateľ zapojí do vykonávania osobitných spracovateľských činností v mene prevádzkovateľa ďalšieho sprostredkovateľa, tomuto ďalšiemu sprostredkovateľovi v zmluve alebo inom právnom úkone je povinný uložiť rovnaké povinnosti týkajúce sa ochrany osobných údajov, ako sú ustanovené v zmluve alebo v inom právnom úkone medzi prevádzkovateľom a sprostredkovateľom, a to najmä poskytnutie dostatočných záruk na prijatie primeraných technických a organizačných opatrení tak, aby spracúvanie osobných údajov spĺňalo požiadavky zákona č. 18/2018 Z.z.. Zodpovednosť voči prevádzkovateľovi nesie pôvodný sprostredkovateľ, ak ďalší sprostredkovateľ nesplní svoje povinnosti týkajúce sa ochrany osobných údajov.
- sprostredkovateľ, ktorý porušil tento zákon tým, že určí účel a prostriedky spracúvania osobných údajov, sa považuje v súvislosti s týmto spracúvaním osobných údajov za prevádzkovateľa.
- sprostredkovateľ a zástupca sprostredkovateľa, ak bol poverený, je povinný viesť záznam o kategóriách spracovateľských činností (v listinnej alebo elektronickej podobe), ktoré vykonal v mene prevádzkovateľa. Tento záznam musí obsahovať:
-
identifikačné údaje a kontaktné údaje sprostredkovateľa a prevádzkovateľa, v mene ktorého sprostredkovateľ koná, zástupcu prevádzkovateľa alebo sprostredkovateľa, ak bol poverený, a zodpovednej osoby,
-
kategórie spracúvania osobných údajov vykonávaného v mene každého prevádzkovateľa,
-
označenie tretej krajiny alebo medzinárodnej organizácie, ak prevádzkovateľ zamýšľa prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii, a dokumentáciu o primeraných zárukách, ak prevádzkovateľ zamýšľa prenos,
-
všeobecný opis technických a organizačných bezpečnostných opatrení
9. Zodpovedná osoba
- zodpovedná osoba môže byť zamestnancom prevádzkovateľa alebo sprostredkovateľa alebo môže plniť úlohy na základe zmluvy o poskytovaní služieb,
- prevádzkovateľ a sprostredkovateľ sú povinní zverejniť, napríklad na ich webovom sídle, kontaktné údaje zodpovednej osoby, ak je určená, a oznámiť ich úradu.
- úlohy zodpovednej osoby:
· poskytuje informácie a poradenstvo prevádzkovateľovi alebo sprostredkovateľovi a zamestnancom, ktorí vykonávajú spracúvanie osobných údajov, o ich povinnostiach,
· monitoruje súlad s týmto zákonom, osobitnými predpismi alebo medzinárodnými zmluvami, ktorými je Slovenská republika viazaná, týkajúcimi sa ochrany osobných údajov a s pravidlami prevádzkovateľa alebo sprostredkovateľa súvisiacimi s ochranou osobných údajov vrátane rozdelenia povinností, zvyšovania povedomia a odbornej prípravy osôb, ktoré sú zapojené do spracovateľských operácií a súvisiacich auditov ochrany osobných údajov,
· poskytuje na požiadanie poradenstvo, ak ide o posúdenie vplyvu na ochranu osobných údajov a monitorovanie jeho vykonávania,
· plní úlohy kontaktného miesta pre úrad v súvislosti s otázkami týkajúcimi sa spracúvania osobných údajov,
· spolupracuje s dozorným orgánom,
· náležite zohľadňuje riziko spojené so spracovateľskými operáciami, pričom berie do úvahy povahu, rozsah, kontext a účel spracúvania osobných údajov.
- prevádzkovateľ a sprostredkovateľ sú povinní zabezpečiť, aby zodpovedná osoba riadne a včas vykonávala činnosti súvisiace s ochranou osobných údajov,
- prevádzkovateľ a sprostredkovateľ sú povinní poskytnúť zodpovednej osobe pri plnení úloh potrebnú súčinnosť, zabezpečiť, aby v súvislosti s plnením úloh nedostávala žiadne pokyny,
- zodpovedná osoba je v súvislosti s výkonom svojich úloh viazaná povinnosťou mlčanlivosti alebo dôvernosť informácií v súlade zákonom č. 18/2018 Z.z. alebo osobitným predpisom,
- zodpovedná osoba môže plniť aj iné úlohy a povinnosti. Prevádzkovateľ alebo sprostredkovateľ sú povinní zabezpečiť, aby žiadna z takýchto iných úloh alebo povinností neviedla ku konfliktu záujmov,
- dotknuté osoby môžu kontaktovať zodpovednú osobu v súvislosti so všetkými otázkami týkajúcimi sa spracúvania ich osobných údajov a uplatňovania ich práv.
10. Spracovateľské operácie
Prevádzkovateľ získava a spracúva osobné údaje na konkrétny určený účel. Osobné údaje sú uchovávané vo forme, ktorá umožňuje identifikáciu dotknutej osoby. Tieto údaje sú spracúvané automatizovanými prostriedkami alebo neautomatizovanými prostriedkami. Dokumenty obsahujúce osobné údaje, ktoré nie sú súčasťou registratúrneho záznamu (zákon č. 395/2002 Z.z. o archívoch a registratúrach v znení neskorších predpisov), alebo po uplynutí doby uloženia sa likvidujú fyzickou likvidáciou a výmazom.
Prevádzkovateľ nemá poverenú zodpovednú osobu, dotknuté osoby si svoje práva môžu uplatniť prostredníctvom kontaktnej osoby : Ing. Marek Sonoga, Letná 3370/21, 058 01 Poprad. Prevádzka sa nachádza na ulici 1. mája 19, Poprad.
Účely spracúvania osobných údajov
Opis vzťahu prevádzkovateľa k dotknutým osobám, právny základ spracúvania osobných údajov, zoznam alebo rozsah spracúvaných osobných údajov, okruh príjemcov, doba uchovávania osobných údajov a bezpečnostné opatrenia sú špecifikované v záznamoch o spracovateľských činnostiach.
Mzdová politika zamestnávateľa – plnenie povinnosti zamestnávateľa súvisiacich s pracovnoprávnym vzťahom, plnenie povinností zamestnávateľa voči sociálnej poisťovni, zdravotnej poisťovni, plnenie povinností zamestnávateľa na úseku bezpečnosti a ochrany zdravia.
Osobné údaje sú spracúvané automatizovanými prostriedkami a neautomatizovanými prostriedkami.
Dokumenty sú uložené v uzamykateľnej skrinke v uzamykateľnej miestnosti a okná sú nepriehľadné. Objekt prevádzkovateľa je zabezpečený pomocou elektronického zabezpečovacieho systému, hasiacich prístrojov, kamerového systému a elektrickej požiarnej signalizácie. Prihlasovanie do počítača je s použitím užívateľského mena, hesla a biometrie tváre. Na detekciu prítomnosti škodlivého kódu používa prevádzkovateľ antivírusový program a nástroj sieťovej bezpečnosti firewall na ochranu vonkajšieho a vnútorného prostredia. Vhodným umiestnením zobrazovacích jednotiek, prevádzkovateľ, zamedzuje náhodnému odpozeraniu osobných údajov zo zobrazovacích jednotiek informačného systému. Úložiskom údajov je hardisk v počítači . Osobné údaje spracúva osoba poskytujúca účtovné a daňové služby - Věra Deptová, 05801 Poprad, Ul. Mládeže 2351/12, IČO 35417781.
Daňová povinnosť – plnenie daňových povinností a spracovanie účtovných dokladov.
Osobné údaje sú spracúvané automatizovanými prostriedkami a neautomatizovanými prostriedkami.
Dokumenty sú uložené v uzamykateľnej skrinke v uzamykateľnej miestnosti a okná sú nepriehľadné. Objekt prevádzkovateľa je zabezpečený pomocou elektronického zabezpečovacieho systému, hasiacich prístrojov, kamerového systému a elektrickej požiarnej signalizácie. Prihlasovanie do počítača je s použitím užívateľského mena, hesla a biometrie tváre. Na detekciu prítomnosti škodlivého kódu používa prevádzkovateľ antivírusový program a nástroj sieťovej bezpečnosti firewall na ochranu vonkajšieho a vnútorného prostredia. Vhodným umiestnením zobrazovacích jednotiek, prevádzkovateľ, zamedzuje náhodnému odpozeraniu osobných údajov zo zobrazovacích jednotiek informačného systému. Úložiskom údajov je hardisk v počítači . Osobné údaje spracúva osoba poskytujúca účtovné a daňové služby - Věra Deptová, 05801 Poprad, Ul. Mládeže 2351/12, IČO 35417781.
Správa registratúry a evidencia došlej odoslanej pošty – komunikácia s pacientmi, dodávateľmi.
Osobné údaje sú spracúvané automatizovanými prostriedkami a neautomatizovanými prostriedkami.
Dokumenty sú uložené v uzamykateľnej miestnosti a okná sú nepriehľadné. Objekt prevádzkovateľa je zabezpečený pomocou elektronického zabezpečovacieho systému, hasiacich prístrojov, kamerového systému a elektrickej požiarnej signalizácie. Prihlasovanie do počítača je s použitím užívateľského mena, hesla a biometrie tváre. Na detekciu prítomnosti škodlivého kódu používa prevádzkovateľ antivírusový program a nástroj sieťovej bezpečnosti firewall na ochranu vonkajšieho a vnútorného prostredia. Vhodným umiestnením zobrazovacích jednotiek, prevádzkovateľ, zamedzuje náhodnému odpozeraniu osobných údajov zo zobrazovacích jednotiek informačného systému. Úložiskom údajov je hardisk v počítači. Osobné údaje spracúva poučená oprávnená osoba.
Evidencia pacientov – Evidencia pacientov pri poskytovaní zdravotnej starostlivosti.
Osobné údaje sú spracúvané automatizovanými prostriedkami.
Dokumenty sú v uzamykateľnej miestnosti. Objekt prevádzkovateľa je zabezpečený pomocou elektronického zabezpečovacieho systému, hasiacich prístrojov, kamerového systému a elektrickej požiarnej signalizácie. Prihlasovanie do počítača je s použitím užívateľského mena, hesla a biometrie tváre. Na detekciu prítomnosti škodlivého kódu používa prevádzkovateľ antivírusový program a nástroj sieťovej bezpečnosti firewall na ochranu vonkajšieho a vnútorného prostredia. Vhodným umiestnením zobrazovacích jednotiek, prevádzkovateľ, zamedzuje náhodnému odpozeraniu osobných údajov zo zobrazovacích jednotiek informačného systému. Úložiskom údajov je cloud dodávateľa softvéru. Osobné údaje spracúva poučená oprávnená osoba.
Evidencia uplatnených práv dotknutých osôb v zmysle GDPR
Osobné údaje sú spracúvané automatizovanými prostriedkami a neautomatizovanými prostriedkami.
Dokumenty sú uložené v uzamykateľnej miestnosti a okná sú nepriehľadné. Objekt prevádzkovateľa je zabezpečený pomocou elektronického zabezpečovacieho systému, hasiacich prístrojov, kamerového systému a elektrickej požiarnej signalizácie. Prihlasovanie do počítača je s použitím užívateľského mena, hesla a biometrie tváre. Na detekciu prítomnosti škodlivého kódu používa prevádzkovateľ antivírusový program a nástroj sieťovej bezpečnosti firewall na ochranu vonkajšieho a vnútorného prostredia. Vhodným umiestnením zobrazovacích jednotiek, prevádzkovateľ, zamedzuje náhodnému odpozeraniu osobných údajov zo zobrazovacích jednotiek informačného systému. Úložiskom údajov je hardisk v počítači a úložisko elektronickej schránky. Osobné údaje spracúva poučená oprávnená osoba.
Zverejnenie fotografie zamestnanca v pracovnej vizitke na webovej stránke prevádzkovateľa za účelom pozitívnej propagácie spoločnosti.
Uchovanie fotografie pacienta v zdravotnej dokumentácií z pred a po zákroku.
Osobné údaje sú spracúvané automatizovanými prostriedkami
Objekt prevádzkovateľa je zabezpečený pomocou elektronického zabezpečovacieho systému, hasiacich prístrojov, kamerového systému a elektrickej požiarnej signalizácie. Prihlasovanie do počítača je s použitím užívateľského mena, hesla a biometrie tváre. Na detekciu prítomnosti škodlivého kódu používa prevádzkovateľ antivírusový program a nástroj sieťovej bezpečnosti firewall na ochranu vonkajšieho a vnútorného prostredia. Vhodným umiestnením zobrazovacích jednotiek, prevádzkovateľ, zamedzuje náhodnému odpozeraniu osobných údajov zo zobrazovacích jednotiek informačného systému. Fotografia zamestnanca je zverejnená na webovej stránke prevádzkovateľa na základe udeleného súhlasu dotknutej osoby. Úložiskom údajov je úložisko poskytovateľa webhostingu a cloud dodávateľa softvéru. Osobné údaje spracúva poučená oprávnená osoba.
Používanie súborov cookies – ukladanie alebo prístup k informáciám na zariadení a zabezpečovanie riadnej funkčnosti, zabezpečenie ochrany a bezpečnosti našej webovej lokality, riadne využívanie webovej stránky, analýza návštevnosti našej stránky a zaistenie vyššieho komfortu pri ich používaní
Osobné údaje sú spracúvané automatizovanými prostriedkami prostriedkami.
Objekt prevádzkovateľa je zabezpečený pomocou elektronického zabezpečovacieho systému, hasiacich prístrojov, kamerového systému a elektrickej požiarnej signalizácie. Prihlasovanie do počítača je s použitím užívateľského mena, hesla a biometrie tváre. Na detekciu prítomnosti škodlivého kódu používa prevádzkovateľ antivírusový program a nástroj sieťovej bezpečnosti firewall na ochranu vonkajšieho a vnútorného prostredia. Vhodným umiestnením zobrazovacích jednotiek, prevádzkovateľ, zamedzuje náhodnému odpozeraniu osobných údajov zo zobrazovacích jednotiek informačného systému. Úložiskom údajov je úložisko poskytovateľa webhostingu. Osobné údaje spracúvajú poučené oprávnené osoby.
Kamerový systém – oprávnený záujem prevádzkovateľa za účelom ochrany majetku prevádzkovateľa, ochrana života a zdravia, prevencia kriminality, zvyšovanie bezpečnosti objektu, ochrana voči nečakaným situáciám.
Osobné údaje sú spracúvané automatizovanými prostriedkami prostriedkami.
Inštalovaný bol spoločnosťou: ENGLER ELEKTRO, s.r.o., Fraňa Kráľa 2071/34 058 01 Poprad, IČO:44518331, č. licencie tech. služby: PT002771 Používané kamery sú digitálne s infra prísvitom. Celkový počet kamier je 7 a sú umiestnené v interiéri. Kamery sú pripojené k samostatnému záznamovému zariadeniu, ktoré nie je pripojené k PC, ani k zobrazovaciemu zariadeniu. Objekt prevádzkovateľa je zabezpečený pomocou elektronického zabezpečovacieho systému, hasiacich prístrojov, kamerového systému a elektrickej požiarnej signalizácie. Prihlasovanie do aplikácie je s použitím užívateľského mena a hesla.
Identifikácia kamier – v interiéri s infra prísvitom:
Kamera č. 1 – recepcia
Kamera č. 2 – recepcia
Kamera č. 3 – ambulancia
Kamera č. 4 – ambulancia
Kamera č. 5 – chodba
Kamera 6 – technická miestnosť 1
Kamera 7 – technická miestnosť 2
Balančný test
Oprávnený záujem - Záujem prevádzkovateľa na ochrane majetku prevádzkovateľa, ochrana života a zdravia, prevencia kriminality, zvyšovanie bezpečnosti objektu, ochrana voči nečakaným situáciám, ochrana voči nečakaným situáciám (poruchy strojov a pod.).
Účel spracúvania: Monitorovanie verejného poriadku, ochrana majetku
Prevádzkovateľ vykonal v súlade s čl. 6 ods. 1 písm. f) Nariadenia nasledovné posúdenie a test proporcionality pre oprávnený záujem prevádzkovateľa:
LEGITÍMNOSŤ
Je oprávnený záujem Prevádzkovateľa povolený právom Únie a právnymi predpismi platnými v Slovenskej republike?
Áno.
Napr. článok 20 Ústavy Slovenskej republiky, § 420 a nasl. zákona č. 40/1964 Zb. Občiansky zákonník v znení neskorších predpisov.
Je oprávnený záujem Prevádzkovateľa dostatočne konkrétny, dostatočne jasne formulovaný a ľahko pochopiteľný, aby ho bolo možné porovnať so záujmami, základnými právami a slobodami dotknutej osoby?
Áno.
Použitím kamerového systému sa má docieliť ochrana majetku prevádzkovateľa, ochrana života a zdravia, prevencia kriminality, zvyšovanie bezpečnosti objektu, ochrana voči nečakaným situáciám (poruchy strojov a pod.).
Ide o skutočný a existujúci záujem?
Áno.
NEVYHNUTNOSŤ
Je možné za účelom dosiahnutia sledovaného záujmu Prevádzkovateľa použiť aj menej invazívne prostriedky, ktoré by mali menej negatívny vplyv na dotknutú osobu?
Nie.
Prevádzkovateľ používa aj iné prostriedky na dosiahnutie sledovaného oprávneného záujmu. Tieto prostriedky zmierňujú riziko pre oprávnený záujem, ale nedokážu nahradiť prvky charakterizujúce kamerový systém (napr. identifikáciu osoby, ktorá koná proti oprávnenému záujmu Prevádzkovateľa).
VHODNOSŤ
Je spracúvanie osobných údajov potrebné na dosiahnutie sledovaného záujmu Prevádzkovateľa?
Áno.
Identifikácia osoby použitím kamerového systému vyžaduje spracúvanie osobných údajov.
Možno oprávnený záujem Prevádzkovateľa dosiahnuť zamýšľaným spracúvaním osobných údajov dotknutých osôb?
Áno.
Spracúvanie osobných údajov použitím kamerového systému je nevyhnutné pre identifikáciu osoby, ktorá koná proti oprávnenému záujmu Prevádzkovateľa.
POSÚDENIE PROPORCIONALITY
Aká je povaha záujmu Prevádzkovateľa?
Ochrana majetku prevádzkovateľa, ochrana života a zdravia, prevencia kriminality, zvyšovanie bezpečnosti objektu, ochrana voči nečakaným situáciám (poruchy strojov a pod.).
Ide o výkon základného práva alebo slobody?
Áno.
Ústavné právo na ochranu majetku Prevádzkovateľa podľa článku 20 Ústavy Slovenskej republiky, prípadne právo na život atď.
Ide o záujem prospešný pre spoločnosť alebo ide o záujem, ktorý je prospešný iba pre Prevádzkovateľa?
V bodoch ochrana majetku Prevádzkovateľa, zvyšovanie bezpečnosti objektu a ochrana voči nečakaným situáciám je oprávnený záujem prospešný pre Prevádzkovateľa. V bode ochrana života a zdravia a prevencia kriminality ide o záujem prospešný pre spoločnosť.
Vznikla by Prevádzkovateľovi škoda, ak by sa zamýšľané spracúvanie osobných údajov nevykonalo?
Pravdepodobne áno.
Použitie kamerových systémov je prevenčné opatrenie, ktorým sa má predchádzať vzniku škody.
Aká je povaha (citlivosť) osobných údajov, ktoré sa za účelom dosiahnutia sledovaného záujmu majú spracúvať?
Bežné osobné údaje – len obrazový záznam (bez zvukového záznamu)
Aký je vzťah dotknutej osoby a Prevádzkovateľa?
Dotknutá osoba vstúpi a bude sa zdržiavať v priestoroch, ktoré sú monitorované kamerovým systémom. Medzi dotknutou osobou a Prevádzkovateľom nemusí byť žiadny vzťah. Je možné vierohodne identifikovať iba vzťahy vyplývajúce z predmetu činnosti Prevádzkovateľa, ďalej pracovnoprávne, rodinné a obchodné vzťahy. Každý iný vzťah sa bude posudzovať až momentom prešetrovania zásahu voči oprávnenému záujmu Prevádzkovateľa.
Patrí dotknutá osoba do zraniteľnejšej skupiny, ktorá si vyžaduje osobitnú ochranu?
V zásade nie.
Dotknutá osoba môže patriť do zraniteľnejšej skupiny, ktorá si vyžaduje osobitnú ochranu, avšak vzhľadom na povahu priestorov, ktoré sú monitorované, je možné ustáliť, že takéto dotknuté osoby budú monitorované iba zriedka, a to iba v prípade, ak vstúpia a budú sa zdržiavať v monitorovaných priestoroch.
Aké je postavenie Prevádzkovateľa?
Poskytovateľ zdravotnej starostlivosti, zamestnávateľ.
Akým spôsobom sa budú osobné údaje spracúvať?
Kamerovým systémom, pričom dáta sú ukladané na úložný priestor, čím dochádza k získavaniu, zaznamenávaniu, usporadúvaniu, uchovávaniu využívaniu, kombinovaniu, obmedzeniu či vymazaniu osobných údajov.
Je súčasťou spracúvania rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní s právnymi účinkami, vrátane profilovania?
Nie.
Budú osobné údaje zverejnené?
Nie.
K takémuto zverejneniu môže dôjsť len v dôsledku súčinnosti s orgánmi činnými v trestnom konaní alebo inými zainteresovanými subjektami pre naplnenie účelu spracúvania osobných údajov (napr. poisťovne).
Aké prostriedky a technológie sa na spracúvanie použijú?
Kamerové systémy dostupné na trhu EÚ.
Aké záujmy, základné práva a slobody dotknutej osoby by mohli byť spracúvaním osobných údajov dotknuté?
- právo na ochranu osobných údajov;
- majetkové práva fyzickej osoby;
- diskriminácia z dôvodu získania informácií o národnostnej / kultúrnej / náboženskej rozdielnosti;
zásah do práva na súkromie;
- získanie informácií o súkromnej komunikácii fyzickej osoby.
Môže dotknutá osoba v danom čase a kontexte získavania osobných údajov primerane očakávať, že sa spracúvanie na tento účel môže uskutočniť?
Áno.
Kamerové systémy sú viditeľné zariadenia, pričom monitorované priestory sú zreteľné označené nápisom upozorňujúcim, že dochádza k ich monitorovaniu kamerovým systémom.
Aký je vplyv spracúvania na dotknutú osobu?
Zaznamenáva sa obrazový záznam konania a pohybov dotknutej osoby.
Aké sú očakávané prínosy spracúvania osobných údajov pre Prevádzkovateľa?
Ochrana majetku prevádzkovateľa, ochrana života a zdravia, prevencia kriminality, zvyšovanie bezpečnosti objektu, ochrana voči nečakaným situáciám (poruchy strojov a pod.).
ZÁRUKY PRE OCHRANU PRÁV A SLOBÔD DOTKNUTÝCH OSÔB
Aké opatrenia Prevádzkovateľ vykonal za účelom ochrany práv a slobôd dotknutých osôb?
- Obmedzený prístup k záznamom z bezpečnostných kamier;
- prístup k záznamom je zabezpečený heslom k zariadeniu;
- umiestnenie nálepky s piktogramom a nápisom v monitorovanom objekte: „Tento objekt je monitorovaný kamerovým systémom so záznamom“; identifikačné údaje prevádzkovateľa a dostupnosť informácií o spracúvaní OÚ
- dáta sa z úložného priestoru odstraňujú v pravidelnom intervale 14 dní
ZÁVER:
Prevažujú na základe vyššie uvedených odpovedí oprávnené záujmy Prevádzkovateľa nad záujmami, základnými právami a slobodami dotknutej osoby?
Na základe horeuvedených odpovedí na otázky je preukázateľné, že v danej situácii prevažujú oprávnené záujmy Prevádzkovateľa. Riziká pre záujmy, základné práva a slobody sme identifikovali v kroku 4 bod 13 tohto testu proporcionality a za týmto účelom sme prijali primerané opatrenia v zmysle kroku 5 ods. 1 tohto testu proporcionality.
11. Opatrenia na elimináciu rizík pre práva fyzickej osoby
11.1. Technické opatrenia
11.1.1 Technické opatrenia realizované prostriedkami fyzickej povahy
- zabezpečenie objektu pomocou mechanických zábranných prostriedkov (uzamykateľné dvere, okná, mreže) a aj pomocou technických zabezpečovacích prostriedkov (napr. elektronický poplašný systém, elektrická požiarna signalizácia, kamerový systém),
- zabezpečenie chráneného priestoru jeho oddelením od ostatných častí objektu (steny, mreže, presklenia, bezpečnostné fólie),
- umiestnenie dôležitých prostriedkov informačných technológií v chránenom priestore a ochrana informačnej infraštruktúry pred fyzickým prístupom neoprávnených osôb a nepriaznivými vplyvmi okolia,
- bezpečné uloženie fyzických nosičov osobných údajov vrátane bezpečného uloženia listinných dokumentov (uzamykateľná miestnosť, uloženie dokumentov v uzamykateľnej skrini, priestory určené pre spracúvanie osobných údajov zamykať mimo pracovnej doby, ale aj pre dočasnej pracovnej neprítomnosti poverenej osoby),
- opatrenie na zamedzenie náhodného prečítania osobných údajov zo zobrazovacích jednotiek (vhodné umiestnenie zobrazovacích jednotiek, dodržiavať „metodiku čistého stola a čistej obrazovky“ – pri opustení pracoviska odhlásiť sa z informačného systému, uzamknúť obrazovku PC, na stole nenechávať dokumenty s osobnými údajmi).
11.1.2 Ochrana pred neoprávneným prístupom
- Šifrová ochrana uložených a prenášaných údajov, pravidlá pre kryptografické opatrenia
· Zabezpečiť prenos od klienta na server šifrovanou komunikáciou – potrebné použiť SSL certifikát a HTTPS protokol, v prípade programov na serveroch prenos kryptovať napr. pomocou SSH, VPN alebo iných štandardných zabezpečených protokolov
· Nepodmieňovať viac súhlasov jedným tlačítkom (na každý súhlas musí byť použitý jeden CHECKBOX, ktorý nesmie byť predvyplnený).
· Prípadná databáza musí byť zabezpečená šifrovaná s povinnosťou zadávať heslo pre vstup
– zariadenia s osobnými údajmi musia byť zabezpečené proti odcudzeniu, tak aby ich nebolo možné skopírovať, napr. použiť viaceré spôsoby:
· Zaheslovať samotný súbor pred uložením na disk,
· Využiť komerčný program na zaheslovanie súboru, alebo zaheslovať konkrétny adresár a len do toho adresára ukladať dokumenty obsahujúce osobné údaje,
· Pri zasielaní heslovaného súboru, poslať heslo iným komunikačným kanálom,
· Nezdieľať v počítačovej sieti, bez nutnosti zadať heslo, dokumenty alebo celé adresáre obsahujúce súbory s osobnými údajmi, aby každý, kto sa pripojí do tejto siete nemal prístup k týmto súborom,
- Pravidlá prístupu tretích strán k informačnému systému, ak k takému prístupu dochádza (minimálne sa požaduje certifikácia hostingových a prevádzkových zariadení, aplikácií a procesov využívaných pre klienta v súlade so zmluvou podľa normy ISO/IEC 27001 „Informačné technológie, technologická bezpečnosť, systémy riadenia informačnej bezpečnosti – požiadavky“.
11.1.3 Riadenie prístupu poverených osôb
- Riadenie prístupov a opatrenia na zaručenie platných politík riadenia prístupov (napr. identifikácia, autentizácia a autorizácia osôb v informačnom systéme, každý užívateľ má vlastné heslo pre vstup do informačného systému, povinné odhlasovanie z informačného systému pri opustení pracoviska).
- Riadenie privilegovaných prístupov v informačnom systéme (prístupy do informačného systému / do jednotlivých modulov)
- Zaznamenávanie prístupu a aktivít poverených osôb v informačnom systéme.
11.1.4 Riadenie zraniteľností
- Opatrenia na detekciu a odstránenie škodlivého kódu a nápravu následkov škodlivého kódu.
- Ochrana pred nevyžiadanou elektronickou poštou.
- Používanie legálneho a prevádzkovateľom schváleného softvéru.
- Opatrenia na zaručenie pravidelnej aktualizácie operačných systémov a programového aplikačného vybavenia.
- Pravidlá sťahovania súborov z verejne prístupnej počítačovej siete a spôsob ich overovania. Filtrovanie sieťovej komunikácie (nespúšťať programy z prostredia internetu nepodpísanou certifikačnou autoritou, nesťahovať neautorizované programy)
- Zhromažďovanie informácií o technických zraniteľnostiach informačných systémov, vyhodnocovanie úrovne rizík a implementácia opatrení na potlačenie týchto rizík.
11.1.5 Sieťová bezpečnosť
- Kontrola, obmedzenie alebo zamedzenie prepojenia informačného systému, v ktorom sú spracúvané osobné údaje s verejne prístupnou počítačovou sieťou.
- Ochrana vonkajšieho a vnútorného prostredia prostredníctvom nástrojov sieťovej bezpečnosti (napr. firewall, antivírusový program), segmentácia počítačovej siete.
- Pravidlá prístupu do verejne prístupnej počítačovej siete, opatrenia na zamedzenie pripojenia k určitým adresám, pravidlá používania sieťových protokolov
· Bezdrôtová sieť musí byť za každých okolností zašifrovaná a to nie len pomocou hesla, je potrebné správne zvoliť SSID (meno siete) a formu šifrovania, napr. použiť WPA/WPA2 kryptovanie s PSK (Pre-Shared-Key)
· Neposkytovať pripojenie do siete prostredníctvom WIFI, osobám ktoré prišli na návštevu, až na výnimku, ak je vytvorené pripojenie pre hostí (GUEST)
- Ochrana proti iným hrozbám pochádzajúcim z verejne prístupnej počítačovej siete (napr. hackerský útok).
- Aktualizácia operačného systému a programového aplikačného vybavenia.
11.1.6 Zálohovanie
- Test funkčnosti záložných dátových nosičov (v prípade nefunkčnosti, najmä pri nečitateľnosti, opätovne vytvoriť zálohy na inom dátovom nosiči).
- Vytváranie záloh s vopred zvolenou periodicitou (archivačnú zálohu vytvárať v dvoch vyhotoveniach).
- Určenie doby uchovávania záloh a kontrola jej dodržiavania (stanoviť dobu pre vytváranie prevádzkovej zálohy a pre archivačnú zálohu).
- Test obnovy informačného systému zo zálohy (napr. raz za rok)
- Bezpečné ukladanie záloh (záložné dátové nosiče sú umiestnené v zabezpečenom priestore, v oddelenej miestnosti od miesta spracúvania osobných údajov v uzamykateľnej skrini, aby v prípade bezpečnostnej udalosti (požiar, krádež, živelná pohroma...) nedošlo k ich poškodeniu)
11.1.7 Likvidácia osobných údajov a dátových nosičov
- Technické opatrenia na bezpečné vymazanie osobných údajov z dátových nosičov (napr. vymazaním alebo naformatovaním, tak aby sa nedali osobné údaje obnoviť a reprodukovať).
- Zariadenie na mechanické zničenie dátových nosičov osobných údajov (napr. zariadenie na skartovanie listín a dátových médií, písomné dokumenty neodovzdávať do zberu).
11.2. Organizačné opatrenia
11.2.1 Personálne opatrenia
- Poverenie osoby prevádzkovateľom alebo sprostredkovateľom, ktorá má prístup k osobným údajom (osobu, ktorá má prístup k osobným údajom pri výkone pracovných činností, zaviazať dodržaním mlčanlivosti).
- Pokyny prevádzkovateľa na spracúvanie osobných údajov, najmä vymedzenie osobných údajov, ku ktorým má mať konkrétna osoba prístup na plnenie jej povinností alebo úloh, určenie postupov, ktoré je poverená osoba povinná uplatňovať pri spracúvaní osobných údajov, vymedzenie základných postupov alebo operácií s osobnými údajmi, vymedzenie zodpovednosti za porušenie zákona.
- Poučenie poverených osôb o postupoch spojených s automatizovanými prostriedkami spracúvania a súvisiacich právach a povinnostiach (v priestoroch prevádzkovateľa a mimo týchto priestorov).
- Určenie zodpovednej osoby podľa § 44 zákona č. 18/2018 Z.z. (ak je splnená podmienka)
- Vzdelávanie poverených osôb (napr. právna oblasť, oblasť informačných technológií).
- Postup pri uzatváraní pracovného alebo obdobného vzťahu (napr. pri získavaní použiť dotazník, ktorého súčasťou je dohoda, že zamestnanec je povinný oznámiť zmenu osobných údajov, nevytvárať kópie úradných dokladov, ak to nie je potrebné na plnenie predpisov podľa osobitného zákona).
- Postup pri ukončení pracovného alebo obdobného pracovného vzťahu alebo obdobného pomeru poverenej osoby (napr. odovzdanie pridelených aktív, zrušenie prístupových práv, poučenie o následkoch porušenia zákonnej alebo zmluvnej povinnosti mlčanlivosti, odovzdanie identifikačnej karty zamestnanca, jej likvidácia, nepotrebné písomné dokumenty, ktoré nie sú súčasťou registratúrneho záznamu likvidovať skartovaním).
- Práca na diaľku a pravidlá mobilného spracovania dát.
11.2.2 Riadenie aktív
- Vedenie inventárneho zoznamu aktív a jeho pravidelná aktualizácia.
- Evidencia všetkých miest prepojenia sietí vrátane prepojení s verejne prístupnou počítačovou sieťou.
- Určenie vlastníctva aktív a zodpovednosti za riziká.
- Pravidlá a postupy klasifikácie informácií.
- Pravidlá a postupy na označovanie informácií a zaobchádzanie s nimi v súlade s platnou klasifikačnou schémou.
- Pravidlá na prijateľné používanie informácií a aktív spojených s prostriedkami na spracúvanie informácií.
- Opatrenia na vrátenie aktív (napr. prostriedkov spracúvania osobných údajov) patriacich prevádzkovateľovi po ukončení pracovného pomeru, po vypršaní uzatvorenej dohody alebo zmluvy, pri zmene pracovného miesta alebo pracovného zaradenia a pod.
11.2.3 Riadenie prístupu osôb k osobným údajom
- Pravidlá fyzického vstupu do objektu a chránených priestorov prevádzkovateľa.
- Správa prístupových prostriedkov a zariadení do objektov (individuálne prideľovanie kľúčov, elektronických kľúčov, vstupných kariet a bezpečné ukladanie ich rezerv, heslá a administratívne prístupy musia byť zdokumentované a uložené v zapečatenej obálke v trezore / uzamykateľnej skrini, pokyn na otvorenie môže dať poverená osoba, režim zaobchádzania s kľúčmi – minimálne jedna kópia od miestnosti, kde sa spracúvajú osobné údaje, musí byť bezpečne uložená v úschovnom zariadení).
- Pravidlá prideľovania prístupových práv a úrovní prístupu (rolí) povereným osobám.
- Politika hesiel a pravidlá používania autorizačných a autentizačných prostriedkov.
- Pravidlá vzájomného zastupovania poverených osôb (napr. pri nehode, dočasnej pracovnej neschopnosti, ukončení pracovného alebo obdobného pomeru).
- Pravidlá odstránenia alebo zmeny prístupových práv poverených osôb a zariadení na spracúvanie informácií pri ukončení zamestnania, zmluvy alebo dohody, alebo prispôsobenie zmenám rolí.
11.2.4 Organizácia spracúvania osobných údajov
- Pravidlá spracúvania osobných údajov v chránenom priestore.
- Nepretržitá prítomnosť poverenej osoby v chránenom priestore, ak sa v ňom nachádzajú aj iné ako poverené osoby.
- Režim údržby a upratovania chránených priestorov.
- Pravidlá spracúvania osobných údajov mimo chráneného priestoru, ak sa také spracúvanie predpokladá
. pravidlá manipulácie s fyzickými nosičmi osobných údajov (napr. listiny, fotografie) mimo chránených priestorov a vymedzenie zodpovedností,
· pravidlá používania automatizovaných prostriedkov spracúvania (napr. notebooky) mimo chránených priestorov a vymedzenie zodpovedností,
· pravidlá používania prenosných dátových nosičov mimo chránených priestorov a vymedzenie zodpovedností.
11.2.5 Porušenia ochrany osobných údajov
- Postup pri oznamovaní porušenia ochrany osobných údajov úradu a dotknutej osobe na včasné prijatie preventívnych alebo nápravných opatrení.
- Pravidelné preskúmavanie záznamov udalostí, záznamov o aktivitách používateľov, záznamov o výnimkách.
- Evidencia porušení ochrany osobných údajov a použitých riešení, napr:
· pri strate, krádeží hesiel - zmena všetkých hesiel, poučiť poverené osoby o utajení hesiel, disciplinárne konanie, ak sa jednoznačne zistí pochybenie zo strany poverenej osoby
· pri krádeží počítača, záložných médií, kľúčov – zabezpečiť miesto proti opätovnému odcudzeniu, okamžitá výmena zámkov, prípadné doplnenie technických a zábranných prostriedkov, zabezpečiť ukladanie údajov v šifrovanom / kryptovanom tvare
- Postup identifikácie a riešenia jednotlivých typov porušení ochrany osobných údajov.
- Postup odstraňovania následkov porušení ochrany osobných údajov.
- Postupy zaručenia kontinuity pri havárii alebo inej mimoriadnej udalosti, napr:
· Zabezpečiť záložné zdroje, monitorovať činnosť serverov, zachovávať pravidlo – novší server sa stáva hlavným a starší záložným
· Pri výpadku servera presmerovať prevádzku na záložný server, obnova zo zálohy,
· Zabezpečiť antivírusovú ochranu a používanie autorizovaným programov
· Pri havárií databáz ú aplikácií sledovať konfiguračné súbory, kontrolovať chybové hlásenia a včas na ne reagovať
- Postup pri poruche, údržbe alebo oprave automatizovaných prostriedkov spracúvania.
11.2.6 Kontrolná činnosť
- Kontrolná činnosť zameraná na dodržiavanie prijatých bezpečnostných opatrení s určením spôsobu, formy a periodicity jej realizácie (napr. pravidelné kontroly prístupov, pravidelne sledovať funkčnosť dverí, okien, zabezpečiť opravu, kontrolovať požiarne opatrenia, kontrola osoby pri vstupe do budovy).
- Informovanie osôb o kontrolnom mechanizme, ak ho prevádzkovateľ alebo sprostredkovateľ má zavedený (rozsah kontroly a spôsoby jej uskutočňovania).
- Postupy monitorovania súladu spracúvania osobných údajov podľa § 42 ods. 7 zákona č. 18/2018 Z.z..
11.2.7 Dodávateľské vzťahy
- Postup overenia dostatočných záruk.
- Začlenenie požiadaviek na ochranu údajov do požiadaviek nových systémov a do pravidiel vývoja a nákupu systémov.
- Začlenenie požiadaviek na ochranu údajov do zmluvných vzťahov s dodávateľmi a tretími stranami.
- Testovanie bezpečnostných funkcií počas vývoja systémov.
- Monitorovanie a pravidelné preskúmavanie úrovne bezpečnosti služieb poskytovaných dodávateľmi.
Tento dokument, Smernica o ochrane osobných údajov, nadobúda platnosť a účinnosť dňom podpisu.
V Poprade dňa 1.11.2025
............................................................…
Ing. Marek Sonoga, konateľ
Esteam dent s.r.o.