Zákon o ochrane osobných údajov

z 3. júla 2002

Národná rada Slovenskej republiky sa uzniesla na tomto zákone:

§ 1

(1)

Tento zákon upravuje

a)

ochranu osobných údajov fyzických osôb pri ich spracúvaní,

b)

zásady spracúvania osobných údajov,

c)

bezpečnosť osobných údajov,

d)

ochranu práv dotknutých osôb,

e)

cezhraničný tok osobných údajov,

f)

registráciu a evidenciu informačných systémov,

g)

zriadenie, postavenie a pôsobnosť Úradu na ochranu osobných údajov (ďalej len „úrad").

(2)

Tento zákon sa vzťahuje na orgány štátnej správy, orgány územnej samosprávy, iné orgány verejnej moci, ako aj na ostatné právnické osoby a fyzické osoby, ktoré spracúvajú osobné údaje, určujú účel a prostriedky spracúvania alebo poskytujú osobné údaje na spracúvanie.

§ 2

(1)

Tento zákon sa nevzťahuje na ochranu osobných údajov spracúvaných fyzickou osobou v rámci výlučne osobných alebo domácich činností.

(2)

Ak osobné údaje spracúva orgán štátnej správy alebo iný štátny orgán a ich spracúvanie je nevyhnutné na zabezpečenie dôležitého záujmu štátu, pričom túto nevyhnutnosť výslovne ustanovuje osobitný zákon1) v oblasti

a)

vnútorného poriadku a bezpečnosti,

b)

obrany,

c)

ochrany utajovaných skutočností,

d)

trestného stíhania alebo súdneho konania,

e)

ochrany ekonomického alebo finančného záujmu štátu vrátane menových, rozpočtových a daňových záležitostí, alebo

f)

ochrany dotknutej osoby alebo práv a slobôd iných osôb vo veciach uvedených v písmenách a) až e),

ustanovenia § 5 ods. 4, § 6 ods. 3 a 4, § 7 ods. 1, 6, 11 až 13, § 10 ods. 1 a 8, § 11 až 14, § 15 ods. 4 a 5, § 16, § 18 ods. 1 a 2, § 20 ods. 1, § 23 ods. 1 až 7, § 25 až 28 a § 32 tohto zákona sa nepoužijú.

§ 3

Osobné údaje

Osobnými údajmi sú údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu.

§ 4

(1)

Na účely tohto zákona sa ďalej rozumie

a)

spracúvaním osobných údajov vykonávanie akýchkoľvek operácií alebo súboru operácií s osobnými údajmi, napr. ich získavanie, zhromažďovanie, zaznamenávanie, usporadúvanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, preskupovanie, kombinovanie, premiestňovanie, využívanie, uchovávanie, likvidácia, ich prenos, poskytovanie, sprístupňovanie alebo zverejňovanie,

b)

poskytovaním osobných údajov odovzdávanie osobných údajov na spracúvanie inej právnickej osobe, fyzickej osobe, prípadne subjektu v cudzine s výnimkou dotknutej osoby, vlastného prevádzkovateľa, sprostredkovateľa alebo oprávnenej osoby,

c)

sprístupňovaním osobných údajov oznámenie osobných údajov alebo umožnenie prístupu k nim inej právnickej osobe, fyzickej osobe, prípadne subjektu v cudzine s výnimkou dotknutej osoby, vlastného prevádzkovateľa, sprostredkovateľa alebo oprávnenej osoby,

d)

zverejňovaním osobných údajov publikovanie, uverejnenie alebo vystavenie osobných údajov na verejnosti prostredníctvom masovokomunikačných prostriedkov, verejne prístupných počítačových sietí, verejným vykonaním alebo vystavením diela,2) verejným vyhlásením, uvedením vo verejnom zozname, v registri alebo v operáte,3) ich umiestnením na úradnej tabuli alebo na inom verejne prístupnom mieste,

e)

likvidáciou osobných údajov zrušenie osobných údajov rozložením, vymazaním alebo fyzickým zničením hmotných nosičov tak, aby sa z nich osobné údaje nedali reprodukovať,

f)

blokovaním osobných údajov uvedenie osobných údajov do takého stavu, v ktorom sú neprístupné a je zabránené akejkoľvek manipulácii s nimi,

g)

informačným systémom akýkoľvek súbor, sústava alebo databáza obsahujúca jeden alebo viac osobných údajov, ktoré sú spracúvané na dosiahnutie účelu podľa osobitných organizačných podmienok s použitím automatizovaných alebo neautomatizovaných prostriedkov spracúvania, napr. kartotéka, zoznam, register, operát, záznam alebo sústava obsahujúca spisy, doklady, zmluvy, potvrdenia, posudky, hodnotenia, testy,

h)

účelom spracúvania osobných údajov vopred jednoznačne vymedzený alebo ustanovený zámer spracúvania osobných údajov, ktorý sa viaže na určitú činnosť,

i)

súhlasom dotknutej osoby akýkoľvek slobodne daný výslovný a zrozumiteľný prejav vôle, ktorým dotknutá osoba vyjadruje súhlas so spracúvaním svojich osobných údajov,

j)

cezhraničným tokom osobných údajov prenos osobných údajov mimo územia Slovenskej republiky subjektom so sídlom alebo s trvalým pobytom v cudzine alebo ich výmena s týmito subjektmi,

k)

anonymizovaným údajom osobný údaj upravený do takej formy, v ktorej ho nemožno priradiť dotknutej osobe, ktorej sa týka,

l)

adresou súbor údajov o pobyte fyzickej osoby, do ktorého patria názov ulice, orientačné, prípadne súpisné číslo domu, názov obce, prípadne názov časti obce, poštové smerovacie číslo, názov okresu, názov štátu,

m)

všeobecne použiteľným identifikátorom trvalý identifikačný osobný údaj dotknutej osoby, ktorý zabezpečuje jej jednoznačnosť v informačných systémoch,

n)

biometrickým údajom osobný údaj fyzickej osoby, na základe ktorého je jednoznačne a nezameniteľne určiteľná, napr. odtlačok prsta, odtlačok dlane, analýza deoxyribonukleovej kyseliny, profil deoxyribonukleovej kyseliny,

o)

auditom bezpečnosti informačného systému nezávislé odborné posúdenie spoľahlivosti a celkovej bezpečnosti informačného systému z hľadiska zabezpečenia dôvernosti, integrity a dostupnosti spracúvaných osobných údajov.

(2)

Prevádzkovateľom je orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická osoba alebo fyzická osoba, ktorá určuje účel a prostriedky spracúvania. Ak účel a prostriedky spracúvania osobných údajov ustanovuje osobitný zákon, prevádzkovateľom je ten, koho ustanoví zákon alebo kto splní zákonom ustanovené podmienky.

(3)

Sprostredkovateľom je orgán štátnej správy, orgán územnej samosprávy, iný orgán verejnej moci alebo iná právnická osoba alebo fyzická osoba, ktorá spracúva osobné údaje v mene prevádzkovateľa.

(4)

Oprávnenou osobou je každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovného pomeru alebo obdobného pracovného vzťahu, štátnozamestnaneckého pomeru alebo v rámci výkonu verejnej funkcie, ktorá môže osobné údaje spracúvať len na základe pokynu prevádzkovateľa alebo sprostredkovateľa, ak osobitný zákon neustanovuje inak.

(5)

Dotknutou osobou je každá fyzická osoba, o ktorej sa spracúvajú osobné údaje.

(6)

Užívateľom je právnická osoba, fyzická osoba, prípadne subjekt v cudzine, ktorému sú sprístupnené osobné údaje z informačného systému.

PRVÁ HLAVA

ZÁSADY SPRACÚVANIA OSOBNÝCH ÚDAJOV

§ 5

Prevádzkovateľ a sprostredkovateľ

(1)

Osobné údaje môže spracúvať iba prevádzkovateľ a sprostredkovateľ.

(2)

Sprostredkovateľ je oprávnený spracúvať osobné údaje len v rozsahu a za podmienok dojednaných s prevádzkovateľom v písomnej zmluve alebo v písomnom poverení.

(3)

Prevádzkovateľ dbá pri výbere sprostredkovateľa najmä na jeho záruky, pokiaľ ide o opatrenia v oblasti technickej, organizačnej a personálnej bezpečnosti (§ 15 ods. 1). Prevádzkovateľ nesmie zveriť spracúvanie osobných údajov sprostredkovateľovi, ak by tým mohli byť ohrozené práva a právom chránené záujmy dotknutých osôb.

(4)

Ak prevádzkovateľ poveril spracúvaním sprostredkovateľa až po získaní osobných údajov, oznámi to dotknutým osobám pri najbližšom kontakte s nimi, najneskôr však do troch mesiacov od poverenia sprostredkovateľa. To platí aj vtedy, ak spracúvanie osobných údajov prevezme iný prevádzkovateľ.

(5)

Prevádzkovateľom a sprostredkovateľom môže byť iba ten, kto má sídlo alebo trvalý pobyt na území Slovenskej republiky.

§ 6

Účel spracúvania osobných údajov

(1)

Ak účel spracúvania osobných údajov neustanovuje osobitný zákon, prevádzkovateľ pred začatím spracúvania jednoznačne vymedzí účel a zabezpečí, aby sa nespracúvali osobné údaje, ktoré

a)

svojím rozsahom a obsahom sú nezlučiteľné s daným účelom spracúvania, pričom ďalšie spracúvanie osobných údajov na historické, štatistické a vedecké účely sa nepovažuje za nezlučiteľné, alebo

b)

sú časovo alebo vecne neaktuálne vo vzťahu k účelu spracúvania.

(2)

Účel spracúvania osobných údajov musí byť jasný a nesmie byť v rozpore so zákonmi.

(3)

Spracúvať možno len také osobné údaje, ktoré svojím rozsahom a obsahom zodpovedajú účelu ich spracúvania. Spôsob spracúvania a využívania osobných údajov musí zodpovedať účelu ich spracúvania.

(4)

Od dotknutej osoby možno vyžadovať len také osobné údaje, ktoré sú nevyhnutné na dosiahnutie účelu spracúvania. K takýmto osobným údajom môže prevádzkovateľ alebo sprostredkovateľ priradiť ďalšie osobné údaje dotknutej osoby, ktoré bezprostredne súvisia s daným účelom spracúvania, len ak na ne dotknutú osobu upozorní a táto s tým písomne súhlasí. Tento súhlas si prevádzkovateľ ani sprostredkovateľ nesmú vynucovať a ani podmieňovať hrozbou odmietnutia zmluvného vzťahu, služby, tovaru alebo povinnosti ustanovenej prevádzkovateľovi alebo sprostredkovateľovi zákonom.

(5)

V prípade pochybnosti o tom, či spracúvané osobné údaje svojím rozsahom, obsahom a spôsobom spracúvania alebo využívania zodpovedajú účelu ich spracúvania, či sú s daným účelom spracúvania zlučiteľné alebo časovo a vecne neaktuálne vo vzťahu k tomuto účelu, rozhodne úrad. Stanovisko úradu je záväzné.

§ 7

Súhlas dotknutej osoby

(1)

Osobné údaje možno spracúvať iba so súhlasom dotknutej osoby. Prevádzkovateľ zabezpečí preukázateľnosť súhlasu, a to tak, že možno o ňom podať dôkaz.

(2)

Dôkaz o preukázateľnom súhlase obsahuje najmä údaj o tom, kto súhlas poskytol, komu sa tento súhlas dáva, na aký účel, zoznam osobných údajov, dobu platnosti súhlasu a podmienky jeho odvolania. Súhlas daný v písomnej forme je bez vlastnoručného podpisu toho, kto súhlas dáva, neplatný. Na tento účel pre dokument v elektronickej forme možno použiť elektronický podpis podľa osobitného zákona.

(3)

Súhlas podľa odseku 1 sa nevyžaduje, ak sa osobné údaje spracúvajú na základe osobitného zákona,4) ktorý ustanovuje zoznam osobných údajov, účel ich spracúvania, podmienky ich získavania a okruh dotknutých osôb.

(4)

Súhlas podľa odseku 1 sa nevyžaduje aj vtedy, ak

a)

sa spracúvajú osobné údaje bez možnosti ich poskytovania a sprístupňovania výlučne na účely tvorby vedeckých, umeleckých alebo literárnych diel, pre potreby informovania verejnosti masovokomunikačnými prostriedkami, ako aj na historické alebo vedecké účely a ak spracúvanie vykonáva prevádzkovateľ, ktorému to vyplýva z predmetu jeho činnosti,

b)

sa spracúvané osobné údaje využijú na štatistické účely; v týchto prípadoch treba osobné údaje anonymizovať,

c)

spracúvanie osobných údajov je nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby, ktorá nemá spôsobilosť na právne úkony alebo je fyzicky nespôsobilá na vydanie súhlasu, a ak nemožno získať súhlas jej zákonného zástupcu,

d)

predmetom spracúvania sú výlučne titul, meno, priezvisko a adresa dotknutej osoby bez možnosti priradiť k nim ďalšie jej osobné údaje a ich využitie je určené výhradne pre potreby prevádzkovateľa v poštovom styku s dotknutou osobou a evidencie týchto údajov; ak je predmetom činnosti prevádzkovateľa priamy marketing, uvedené osobné údaje môže poskytovať bez možnosti ich sprístupňovania a zverejňovania len vtedy, ak sa poskytujú inému prevádzkovateľovi, ktorý má rovnaký predmet činnosti výhradne na účely priameho marketingu, a dotknutá osoba písomne neuplatnila námietku podľa § 20 ods. 3 písm. c), alebo

e)

sa spracúvajú už zverejnené osobné údaje; v týchto prípadoch treba osobné údaje náležite označiť.

(5)

Iná ako dotknutá osoba, s výnimkou osôb podľa odsekov 8 a 9, môže poskytnúť do informačného systému osobné údaje o dotknutej osobe len s jej písomným súhlasom. To neplatí, ak je to nevyhnutné na plnenie úloh orgánov činných v trestnom konaní alebo sa osobné údaje poskytujú do informačného systému na základe osobitného zákona,5) ktorý ustanovuje zoznam osobných údajov, účel ich spracúvania a podmienky ich poskytovania.

(6)

Spracúvané osobné údaje o dotknutej osobe možno z informačného systému poskytnúť, sprístupniť alebo zverejniť len s jej písomným súhlasom. To neplatí, ak je to nevyhnutné na plnenie úloh orgánov činných v trestnom konaní, alebo ak sa osobné údaje poskytujú, sprístupňujú alebo zverejňujú z informačného systému na základe osobitného zákona,6) ktorý ustanovuje zoznam osobných údajov, účel a podmienky poskytovania, sprístupňovania alebo zverejňovania osobných údajov, ako aj právnické osoby, fyzické osoby, prípadne subjekty v cudzine, ktorým sa osobné údaje poskytujú alebo sprístupňujú.

(7)

Ten, kto mieni zverejniť osobné údaje dotknutej osoby, nesmie svojím konaním neoprávnene zasahovať do práva na ochranu jej osobnosti a súkromia; ich zverejnenie nesmie byť v rozpore s oprávnenými záujmami dotknutej osoby.7)

(8)

Ak dotknutá osoba nemá spôsobilosť na právne úkony v plnom rozsahu,8) súhlas vyžadovaný podľa tohto zákona môže poskytnúť jej zákonný zástupca.9)

(9)

Ak dotknutá osoba nežije, súhlas vyžadovaný podľa tohto zákona môže poskytnúť jej blízka osoba.10) Súhlas nie je platný, ak čo len jedna blízka osoba písomne vyslovila nesúhlas.

(10)

Ak sú spracúvané osobné údaje súčasťou platnej zmluvy, ktorej jednou zo strán je dotknutá osoba a ktorá obsahuje náležitosti podľa odseku 2, podpis dotknutej osoby na zmluve vyjadruje súčasne písomný súhlas so spracúvaním jej osobných údajov.

(11)

Osobné údaje dotknutej osoby možno poskytnúť z informačného systému inej právnickej osobe, fyzickej osobe, prípadne subjektu v cudzine len spolu s písomným dokladom o danom súhlase, ak tento zákon takýto súhlas vyžaduje; ten, kto osobné údaje takto poskytuje, môže písomný doklad o danom súhlase nahradiť písomným vyhlásením prevádzkovateľa o udelení súhlasu dotknutými osobami, ak prevádzkovateľ vie preukázať, že písomný súhlas dotknutých osôb bol daný.

(12)

Osobné údaje podľa odseku 4 písm. c) a podľa § 9 ods. 1 písm. b) možno spracúvať bez súhlasu dotknutej osoby len po dobu, kým nezaniknú dôvody, ktoré neumožňovali získať súhlas dotknutej osoby. Ak dôvody zanikli, ten kto osobné údaje spracúva, zabezpečí súhlas dotknutej osoby.

(13)

Ten, kto tvrdí, že spracúva zverejnené osobné údaje, na požiadanie preukáže úradu, že spracúvané osobné údaje boli už zverejnené.

(14)

Užívateľ môže sprístupnené osobné údaje o dotknutej osobe spracúvať len pre vlastnú potrebu výlučne v rámci osobných alebo domácich činností.

§ 8

Osobitné kategórie osobných údajov

(1)

Spracúvať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru alebo svetonázor, členstvo v politických stranách alebo politických hnutiach, členstvo v odborových organizáciách a údaje týkajúce sa zdravia alebo pohlavného života, sa zakazuje.

(2)

Pri spracúvaní osobných údajov možno využiť na účely určenia fyzickej osoby všeobecne použiteľný identifikátor ustanovený osobitným zákonom11) len vtedy, ak jeho použitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Spracúvať iný identifikátor, ktorý v sebe skrýva charakteristiky dotknutej osoby, alebo zverejňovať všeobecne použiteľný identifikátor sa zakazuje.

(3)

Spracúvanie osobných údajov o porušení ustanovení predpisov trestného práva, priestupkového práva alebo občianskeho práva, ako aj o výkone právoplatných rozsudkov alebo rozhodnutí môže vykonávať len ten, komu to umožňuje osobitný zákon.12)

(4)

Spracúvanie biometrických údajov možno vykonávať len za podmienok ustanovených v osobitnom zákone, ak

a)

to prevádzkovateľovi vyplýva výslovne zo zákona, alebo

b)

na spracúvanie dala písomný súhlas dotknutá osoba.

(5)

Spracúvanie osobných údajov o psychickej identite fyzickej osoby alebo o jej psychickej pracovnej spôsobilosti môže vykonávať len psychológ alebo ten, komu to umožňuje osobitný zákon.13)

§ 9

Výnimky z obmedzení pri spracúvaní osobitných kategórií osobných údajov

(1)

Zákaz spracúvania osobných údajov ustanovený v § 8 ods. 1 neplatí, ak dotknutá osoba dala písomný súhlas na ich spracúvanie alebo ak

a)

spracúvanie vyžaduje osobitný zákon, ktorý ustanovuje zoznam osobných údajov, účel ich spracúvania, podmienky ich získavania a okruh dotknutých osôb, alebo

b)

spracúvanie je nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby, ktorá nemá spôsobilosť na právne úkony alebo je fyzicky nespôsobilá na vydanie písomného súhlasu, a ak nemožno získať písomný súhlas jej zákonného zástupcu, alebo

c)

spracúvanie vykonáva v rámci oprávnenej činnosti občianske združenie, nadácia alebo nezisková organizácia poskytujúca všeobecne prospešné služby, politická strana alebo politické hnutie, odborová organizácia, štátom uznaná cirkev alebo náboženská spoločnosť a toto spracúvanie sa týka iba ich členov, ktorí sú s nimi vzhľadom na ich ciele v pravidelnom styku, a osobné údaje slúžia výlučne pre ich vnútornú potrebu, alebo

d)