Moje práva k osobným údajom (GDPR)

GDPR sa nevzťahuje na spracúvanie osobných údajov fyzickou osobou v rámci výlučne osobnej alebo domácej činnosti. Podľa odôvodnenia 18 nariadenia ide o činnosť bez spojenia s profesijnou alebo komerčnou činnosťou — patrí sem napríklad korešpondencia, uchovávanie adries alebo používanie sociálnych sietí v tomto kontexte. Na prevádzkovateľov, ktorí na takéto osobné alebo domáce činnosti poskytujú prostriedky, sa nariadenie naopak vzťahuje. Slovenský zákon má rovnakú výnimku a navyše sa nevzťahuje na údaje zosnulých osôb. Voči obchodníkovi, zamestnávateľovi, banke, škole či úradu platia vaše práva v plnom rozsahu.

Právo na prístup nie je len o zozname údajov. Prevádzkovateľ vám musí dať potvrdenie o tom, či vaše údaje spracúva, a ak áno, aj prístup k nim spolu s týmito informáciami: účely spracúvania, kategórie dotknutých údajov, príjemcovia alebo kategórie príjemcov vrátane príjemcov v tretích krajinách, predpokladaná doba uchovávania alebo kritériá na jej určenie, poučenie o práve žiadať opravu, výmaz či obmedzenie a o práve namietať, poučenie o práve podať sťažnosť dozornému orgánu, informácia o zdroji údajov, ak ich nezískal od vás, a informácia o tom, či prebieha automatizované rozhodovanie vrátane profilovania spolu so zmysluplnými informáciami o použitom postupe a jeho dôsledkoch pre vás. Ak sa údaje prenášajú mimo Únie, máte právo vedieť aj o zárukách takého prenosu.

Formu zákon nepredpisuje. Od dňa doručenia žiadosti však beží lehota, takže sa oplatí voliť spôsob, ktorý deň doručenia preukáže — doporučený list, elektronická schránka alebo e-mail s potvrdením. Ak žiadosť podáte elektronicky, informácie vám majú byť podľa možnosti poskytnuté elektronicky, pokiaľ nepožiadate o iný spôsob. Odpoveď musí byť stručná, transparentná, zrozumiteľná a ľahko dostupná, formulovaná jasne a jednoducho. Ústne vám informácie môžu poskytnúť, len ak o to sami požiadate a ak sa vaša totožnosť preukáže iným spôsobom. Počítajte aj s overovaním totožnosti: ak má prevádzkovateľ oprávnené pochybnosti o tom, kto žiadosť podáva, môže požiadať o dodatočné informácie potrebné na jej potvrdenie. Nad tento rámec si pri tej príležitosti nové údaje zbierať nemá — ak jeho účely od neho nevyžadujú, aby vás identifikoval, nie je povinný uchovávať ani získavať dodatočné informácie len preto, aby dosiahol súlad s nariadením. Ak vie preukázať, že vás identifikovať nedokáže, musí vám to oznámiť a práva na prístup, opravu, výmaz, obmedzenie a prenosnosť sa neuplatnia, pokiaľ sami nedodáte informácie umožňujúce vašu identifikáciu.

Prevádzkovateľ vás musí informovať o prijatých opatreniach bez zbytočného odkladu a v každom prípade do jedného mesiaca od doručenia žiadosti. Lehotu môže v prípade potreby predĺžiť o ďalšie dva mesiace so zreteľom na komplexnosť žiadosti a počet žiadostí, no o predĺžení aj o jeho dôvodoch vás musí informovať do jedného mesiaca od doručenia žiadosti. Mlčanie teda lehotu nepredlžuje. Maximum je tak jeden plus dva mesiace, a to len pri splnení oboch podmienok.

Dokedy

do jedného mesiaca od doručenia žiadosti; predĺženie najviac o ďalšie dva mesiace a len s oznámením do prvého mesiaca

Všetky informácie, oznámenia a opatrenia podľa čl. 12 až 22 a čl. 34 sa poskytujú bezplatne. Poplatok prichádza do úvahy v dvoch odlišných situáciách. Prvá: ak sú vaše žiadosti zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, môže prevádzkovateľ buď požadovať primeraný poplatok zohľadňujúci administratívne náklady, alebo odmietnuť konať — pričom bremeno preukázania zjavnej neopodstatnenosti alebo neprimeranosti znáša on. Druhá: prvá kópia vašich údajov je bezplatná, za každú ďalšiu kópiu môže účtovať primeraný poplatok zodpovedajúci administratívnym nákladom.

Máte právo na to, aby prevádzkovateľ bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa vás týkajú. So zreteľom na účely spracúvania máte aj právo na doplnenie neúplných údajov, a to aj prostredníctvom poskytnutia doplnkového vyhlásenia — teda vlastným písomným doplnením, ktoré sa k vašim údajom pripojí. Osobitná lehota tu nie je, platí všeobecné pravidlo jedného mesiaca na informovanie o prijatých opatreniach. Opravu, vymazanie aj obmedzenie spracúvania musí prevádzkovateľ oznámiť každému príjemcovi, ktorému vaše údaje poskytol, pokiaľ sa to neukáže ako nemožné alebo si to nevyžaduje neprimerané úsilie, a na vašu žiadosť vás o týchto príjemcoch informuje. Požiadajte o to rovno v žiadosti — inak zostane oprava len u neho a nesprávny údaj bude ďalej kolovať u jeho partnerov.

Prevádzkovateľ musí údaje bez zbytočného odkladu vymazať, ak už nie sú potrebné na účel, na ktorý sa získali, ak odvoláte súhlas a neexistuje iný právny základ, ak namietate proti spracúvaniu a neprevažujú žiadne oprávnené dôvody, ak namietate proti priamemu marketingu, ak sa údaje spracúvali nezákonne, ak ich treba vymazať na splnenie zákonnej povinnosti alebo ak sa získali v súvislosti s ponukou služieb informačnej spoločnosti dieťaťu. Ak údaje zverejnil, musí so zreteľom na dostupnú technológiu a náklady podniknúť primerané opatrenia a informovať ďalších prevádzkovateľov, že žiadate vymazať odkazy, kópie či repliky. Výmaz sa však neuplatní, pokiaľ je spracúvanie potrebné na uplatnenie práva na slobodu prejavu a na informácie, na splnenie zákonnej povinnosti alebo úlohy vo verejnom záujme, z dôvodov verejného záujmu v oblasti verejného zdravia, na archiváciu vo verejnom záujme, vedecký či historický výskum alebo štatistiku, alebo na preukazovanie, uplatňovanie a obhajovanie právnych nárokov. Práve preto e-shop nevymaže faktúry a banka históriu platieb.

Obmedzenie je brzda na situácie, keď ešte nie je jasné, ako sa vec skončí. Máte naň právo v štyroch prípadoch: napadli ste správnosť údajov, a to na obdobie, ktoré prevádzkovateľovi umožní ich správnosť overiť; spracúvanie je protizákonné, ale namiesto výmazu žiadate obmedzenie použitia; prevádzkovateľ už údaje nepotrebuje, ale vy ich potrebujete na preukázanie, uplatňovanie alebo obhajovanie právnych nárokov; alebo ste namietali proti spracúvaniu a čaká sa na overenie, či jeho oprávnené dôvody prevažujú nad vašimi. Prakticky to znamená, že údaje smie ďalej len uchovávať. Inak ich môže spracúvať len s vaším súhlasom, na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, na ochranu práv inej osoby alebo z dôvodov dôležitého verejného záujmu. Pred zrušením obmedzenia vás o tom musí informovať.

Máte právo získať osobné údaje, ktoré ste prevádzkovateľovi poskytli, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a preniesť ich inému prevádzkovateľovi bez toho, aby vám v tom pôvodný prevádzkovateľ bránil. Platí to len vtedy, ak sa spracúvanie zakladá na súhlase alebo na zmluve a súčasne sa vykonáva automatizovanými prostriedkami. Ak je to technicky možné, máte právo na priamy prenos od jedného prevádzkovateľa druhému. Na spracúvanie nevyhnutné na splnenie úlohy vo verejnom záujme alebo pri výkone verejnej moci sa prenosnosť nevzťahuje vôbec a nesmie mať nepriaznivé dôsledky na práva a slobody iných. Toto právo nenahrádza právo na prístup — prístup pokrýva všetky údaje, prenosnosť len tie, ktoré ste poskytli vy.

Ak sa spracúvanie opiera o verejný záujem, výkon verejnej moci alebo oprávnený záujem prevádzkovateľa, môžete kedykoľvek namietať z dôvodov týkajúcich sa vašej konkrétnej situácie, a to aj proti profilovaniu založenému na týchto základoch. Prevádzkovateľ potom nesmie pokračovať, pokiaľ nepreukáže nevyhnutné oprávnené dôvody prevažujúce nad vašimi záujmami, právami a slobodami, alebo dôvody na preukazovanie, uplatňovanie či obhajovanie právnych nárokov. Pri priamom marketingu je to jednoduchšie: namietať môžete kedykoľvek, vrátane profilovania v rozsahu, v akom s marketingom súvisí, a ak namietnete, údaje sa už na tento účel spracúvať nesmú. Žiadne vyvažovanie záujmov sa tu nerobí. Na obe tieto práva vás musia výslovne upozorniť najneskôr pri prvej komunikácii s vami, jasne a oddelene od ostatných informácií. Pri výskume a štatistike je námietka možná tiež, okrem prípadov, keď je spracúvanie nevyhnutné na plnenie úlohy z dôvodov verejného záujmu.

Máte právo na to, aby sa na vás nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní vrátane profilovania, ktoré má voči vám právne účinky alebo vás podobne významne ovplyvňuje. Výnimkou je rozhodnutie nevyhnutné na uzavretie alebo plnenie zmluvy, rozhodnutie povolené právom Únie alebo členského štátu, ktoré zároveň stanovuje vhodné ochranné opatrenia, a rozhodnutie založené na vašom výslovnom súhlase. Pozor na rozsah práva na ľudský zásah: pri zmluve a pri výslovnom súhlase musí prevádzkovateľ zaručiť aspoň právo na ľudský zásah z jeho strany, právo vyjadriť svoje stanovisko a právo napadnúť rozhodnutie. Ak rozhodovanie povoľuje osobitný predpis, ochranu zaručuje ten predpis. Takéto rozhodnutia sa navyše nesmú zakladať na osobitných kategóriách údajov, ak nie je splnená osobitná podmienka a zavedené vhodné opatrenia.

Ak na základe vašej žiadosti neprijme opatrenia, musí vás bezodkladne a najneskôr do jedného mesiaca od doručenia žiadosti informovať o dôvodoch nekonania a zároveň poučiť o možnosti podať sťažnosť dozornému orgánu a uplatniť súdny prostriedok nápravy. Odpoveď si odložte aj s obálkou alebo e-mailovou hlavičkou. Ak neodpovie vôbec, uschovajte si doklad o odoslaní žiadosti — bude to príloha k návrhu na úrad.

Dokedy

odôvodnenie nekonania bezodkladne, najneskôr do jedného mesiaca od doručenia žiadosti

Konanie sa začína na váš návrh alebo bez návrhu. Návrh musí obsahovať vaše meno, priezvisko, korešpondenčnú adresu a podpis, označenie toho, proti komu smeruje, predmet návrhu s označením práv, ktoré mali byť porušené, dôkazy a kópiu listiny alebo iný dôkaz o tom, že ste si právo u prevádzkovateľa uplatnili — prípadne uvedenie dôvodov hodných osobitného zreteľa, prečo ste tak neurobili. Vzor návrhu zverejňuje úrad na svojom webe. Ak návrh podá niekto iný než dotknutá osoba, posudzuje sa ako podnet a podávateľ nie je účastníkom konania; úrad podnet posúdi a o spôsobe jeho vybavenia informuje do 30 dní. Úrad návrh odloží, ak je zjavne neopodstatnený, ak vec prejednáva súd alebo orgán činný v trestnom konaní, ak neposkytnete potrebnú súčinnosť, alebo ak od udalosti uplynuli v deň doručenia viac ako tri roky. Za návrh sa neplatí správny poplatok — sadzobník ho medzi spoplatnené úkony v oblasti ochrany osobných údajov neuvádza.

Kde

Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava

Dokedy

najneskôr do troch rokov od udalosti, ktorej sa návrh týka

Konanie je neverejné a ako navrhovateľ ste jeho účastníkom. Úrad rozhodne do 90 dní odo dňa začatia konania; v odôvodnených prípadoch lehotu primerane predĺži, najviac však o 180 dní, a o predĺžení účastníkov písomne informuje. Ak treba vykonať kontrolu, lehota neplynie odo dňa jej začatia do jej ukončenia. Ak úrad zistí porušenie, môže uložiť opatrenia na nápravu a lehotu na ich vykonanie, zrušiť záväznosť kódexu správania, odňať certifikát alebo akreditáciu a uložiť pokutu; ak sa porušenie nepreukáže, konanie zastaví. Pri veci, ktorá neznesie odklad, vydá predbežné opatrenie. Proti rozhodnutiu možno podať rozklad, o ktorom rozhodne predseda úradu. Pokuta je príjmom štátneho rozpočtu, takže z nej nedostanete nič. Nezávisle od konania pred úradom máte právo na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi; žalobu možno podať v štáte jeho prevádzkarne alebo v štáte vášho obvyklého pobytu. Súdnu ochranu máte aj voči úradu — okrem iného vtedy, ak vás do troch mesiacov neinformuje o pokroku alebo výsledku sťažnosti.

Dokedy

rozhodnutie do 90 dní od začatia konania, s možným predĺžením najviac o ďalších 180 dní

Každý, kto utrpel majetkovú alebo nemajetkovú ujmu v dôsledku porušenia nariadenia, má právo na náhradu od prevádzkovateľa alebo sprostredkovateľa. Prevádzkovateľ zodpovedá za škodu spôsobenú spracúvaním, ktoré bolo v rozpore s nariadením; sprostredkovateľ len vtedy, ak nesplnil povinnosti určené výslovne jemu alebo konal nad rámec či v rozpore s pokynmi prevádzkovateľa. Zodpovednosti sa zbaví, len ak preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá škodu spôsobila. Ak sa na spracúvaní zúčastnilo viac subjektov, každý z nich zodpovedá za celú škodu, aby ste dostali účinnú náhradu. Náhradu prisudzuje súd, nie úrad. Zastupovať vás pritom môže aj nezisková organizácia pôsobiaca v oblasti ochrany osobných údajov, ak ju na to poveríte.

Porušenie ochrany osobných údajov musí prevádzkovateľ oznámiť dozornému orgánu bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín od chvíle, keď sa o ňom dozvedel, okrem prípadov, keď nie je pravdepodobné, že povedie k riziku pre práva a slobody fyzických osôb; pri oneskorení musí pripojiť zdôvodnenie. Vám sa oznamuje bez zbytočného odkladu, no len ak porušenie pravdepodobne povedie k vysokému riziku pre vaše práva a slobody — oznámenie musí obsahovať jasný opis povahy porušenia, kontakt na zodpovednú osobu, opis pravdepodobných následkov a prijatých opatrení. Oznámiť vám to nemusí, ak boli údaje chránené tak, že sú pre neoprávnené osoby nečitateľné, napríklad šifrovaním, ak prijal následné opatrenia, ktoré vysoké riziko odvrátili, alebo ak by to vyžadovalo neprimerané úsilie — vtedy informuje verejnosť alebo zvolí rovnako účinné opatrenie. Ak vám to neoznámil, úrad mu to môže nariadiť.

Dokedy

oznámenie úradu do 72 hodín; oznámenie vám bez zbytočného odkladu, ak hrozí vysoké riziko