Osobný údaj je akákoľvek informácia, ktorá sa týka identifikovanej alebo identifikovateľnej fyzickej osoby. Ak je možné na základe tejto informácie identifikovať osobu priamo alebo nepriamo, ide o osobný údaj. Identifikácia osoby môže nastať na základe jednej informácie samostatne alebo kombináciou viacerých informácií, ktoré spolu umožňujú určiť konkrétnu osobu. Preto sa posúdenie toho, čo možno považovať za osobný údaj, vždy vykonáva v kontexte.

Za osobné údaje sa spravidla považujú nielen meno a priezvisko, adresa, e-mailová adresa, telefónne číslo, dátum narodenia, rodné číslo alebo číslo občianskeho preukazu, ale aj lokalizačné údaje (napr. údaje o polohe mobilného zariadenia), online identifikátory (napr. IP adresa, identifikátor zariadenia, MAC adresa), údaje získavané prostredníctvom cookies a podobných technológií, ako aj informácie o používaní webových stránok, aplikácií alebo služieb, ak umožňujú identifikáciu jednotlivca.

Spracúvanie osobných údajov upravuje predovšetkým Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) („Nariadenie“ ). 

Dozor vykonáva Úrad na ochranu osobných údajov („ÚOOÚ“). 

Právny základ je nevyhnutný, aby spracúvanie údajov bolo považované za zákonné, a teda súladné s Nariadením. Právny základ nemôže byť akýkoľvek, musí ísť o jeden zo 6 právnych základov upravených v čl. 6 Nariadenia. Osobné údaje sa môžu spracúvať na základe:

• súhlasu osoby, ktorej údaje sa spracúvajú (ale nie výlučne); 
• pre potreby plnenia zmluvy s osobou, ktorej údaje sa spracúvajú (napríklad pracovná zmluva, mandátna zmluva), 
• z dôvodu plnenia zákonnej povinnosti,  
• prípadne spracúvanie môže odôvodňovať oprávnený záujem toho, kto údaje spracúva (napríklad z dôvodu predchádzania škode na majetku, zabezpečenia ochrany bezpečnosti sietí a pod.). 

V súkromnom, resp. občianskom sektore sú menej využívané právne základy: 

• ochrana životne dôležitých záujmov osoby, ktorej údaje sa spracúvajú (napríklad pri ohrození zdravia), 
• plnenie úloh vo verejnom záujme alebo na výkon verejnej moci (častejšie pri orgánoch verejnej moci). 

Rozdiel je v tom, že pri súhlase je právnym základom predchádzajúci, slobodný a na konkrétny účel viazaný prejav vôle osoby, ktorej údaje sa spracúvajú. Pri oprávnenom záujme je právnym základom záujem osoby, ktorá osobné údaje spracúva (tzv. prevádzkovateľa). 

Oprávnený záujem ale nestačí len „mať“. Je potrebné ho identifikovať a komunikovať osobám, ktorých údaje sa spracúvajú (najčastejšie v informáciách o spracúvaní osobných údajov, ktoré musia byť dostupné týmto osobám). Zároveň je potrebné, aby bol oprávnený záujem skutočný tu a teraz, nielen domnelý (možný v budúcnosti), a tiež v súlade s právnymi predpismi. 

Oprávnený záujem môže byť právnym základom na spracúvanie osobných údajov len vtedy, ak nie je možné dosiahnuť rovnaký účel bez použitia osobných údajov alebo menej invazívnym spôsobom. 

Okrem toho musí prevádzkovateľ vykonať tzv. balančný test (test oprávneného záujmu). Ide o posúdenie, pri ktorom sa porovnáva záujem organizácie na spracúvaní osobných údajov s právami a slobodami osôb, ktorých sa údaje týkajú. Zjednodušene povedané, organizácia si musí položiť otázku: „Je náš záujem natoľko dôležitý, že odôvodňuje spracúvanie osobných údajov, pričom zároveň nezasahuje neprimerane do súkromia jednotlivca ani nevedie k nespravodlivému zásahu do jeho práv a záujmov?“

Ak práva, slobody alebo primerané očakávania dotknutej osoby prevažujú nad záujmom organizácie, oprávnený záujem nemožno použiť ako právny základ spracúvania. Príkladom je situácia, keď snaha predchádzať krádežiam neodôvodňuje monitorovanie osôb v prezliekacích kabínkach, pretože v tomto prípade práva a záujmy jednotlivcov prevážia.

Súhlas so spracúvaním osobných údajov je potrebné získať, keď nie je možné naplniť iný právny základ spracúvania osobných údajov. Významnou požiadavkou je, že súhlas musí byť slobodný (slobodne daný), a teda sa nehodí tam, kde musí dôjsť k spracúvaniu bez ohľadu na vôľu a preferencie dotknutej osoby (napríklad ak je potrebné osoby evidovať či registrovať z dôvodu bezpečnosti alebo zabezpečenia vstupu na podujatie). Naopak, hodí sa tam, kde ide o situáciu, kde je rozhodnutie plne na dotknutej osobe (napríklad prihlásenie sa na newsletter)

1. Záznamy o spracúvateľských činnostiach podľa čl. 30 Nariadenia. Ide o prehľad toho, aké údaje organizácia spracúva, za akým účelom, na akom právnom základe, ako dlho, koho sa údaje týkajú, komu sa poskytujú a či sa prenášajú do tretích krajín. Tento dokument je interný, a preto ho nie je potrebné zverejňovať.
2. Dokument, v ktorom organizácia poskytuje informácie. Ide o dokument, v ktorom organizácia oboznamuje osobu, ktorej údaje sa spracúvajú, o tom, kto a ako spracúva jej osobné údaje, aké má práva a ďalšie informácie podľa čl. 13 a čl. 14 Nariadenia. Tieto informácie sa poskytujú priamo dotknutým osobám, najčastejšie zverejňovaním na webovej stránke, poskytovaním v písomnej podobe alebo prostredníctvom intranetu, napríklad zamestnancom. 
3. Záznamy o porušeniach ochrany osobných údajov podľa čl. 33 ods. 5 Nariadenia, ktoré zaznamenávajú aj porušenia neohlásené Úradu na ochranu osobných údajov
4. Podľa čl. 24 a čl. 32 Nariadenia je vhodné zdokumentovať prijaté technické a organizačné opatrenia na ochranu spracúvaných osobných údajov. S týmito pravidlami (vrátane usmernenia o tom, aké bezpečnostné opatrenia sa uplatňujú – najmä obmedzenie prístupu k údajom, zavedenie dvojfaktorového overovania, pravidelné vymazávanie databáz a podobne) je následne potrebné oboznámiť všetkých zamestnancov a spolupracovníkov, ktorí s údajmi pracujú.

Bezpečnostný projekt sa podľa Nariadenia výslovne nevyžaduje, ale organizácia musí vedieť preukázať, že prijala dostatočné technické a organizačné opatrenia na ochranu osobných údajov (pozri otázku 5 bod 4).

Povinnosť mať zodpovednú osobu záleží od toho, akú činnosť vaša organizácia vykonáva. Povinnosť určiť si zodpovednú osobu máte v prípade, ak je vašou hlavnou činnosťou: 

1. pravidelné a systematické monitorovanie dotknutých osôb vo veľkom rozsahu (menej časté v občianskom sektore, nastáva napríklad pri uplatnení plošných mechanizmov monitorovania zamestnancov, kamerového monitorovania vo veľkom rozsahu),
2. spracúvanie citlivých osobných údajov vo veľkom rozsahu (ako sú rasový pôvod alebo etnický pôvod, politické názory, náboženská viera, filozofické presvedčenie, členstvo v odborových organizáciách, genetické údaje, biometrické údaje, údaje týkajúce sa zdravia alebo údaje týkajúce sa sexuálneho života, sexuálnej orientácie alebo trestnej činnosti), napríklad v prípade nemocníc, veľkých zariadení sociálnych služieb a pod.

Zodpovednú osobu si môžete určiť, aj keď tieto kritériá nespĺňate. V každom prípade, ak si zodpovednú osobu určíte, je potrebné ju oznámiť Úradu na ochranu osobných údajov. Ak si ju neurčíte, lebo nespĺňate uvedené kritériá, je stále vhodné mať v organizácii zaškolenú osobu, ktorá sa orientuje v problematike ochrany osobných údajov, a najmä dokáže komunikovať a vybavovať žiadosti dotknutých osôb.

Spracúvanie osobných údajov si nevyžaduje striktne písomnú formu, súhlas však musí byť jednoznačný a preukázateľný. Preto ho prevádzkovateľ (organizácia) musí vedieť preukázať. Odporúča sa preto mať súhlas písomne alebo elektronicky zachytený (napríklad vo forme logov s časovým určením udelenia súhlasu), aby ho bolo možné kedykoľvek preukázať. 

Je potrebné mať tiež na pamäti, že pri spracúvaní osobitnej kategórie osobných údajov (citlivé údaje, ako sú údaje o zdraví a pod.) na základe súhlasu sa vyžaduje výslovný súhlas. Ide o vyšší nárok na vyjadrenie súhlasu, ktoré musí byť výslovné, a preto je písomná forma často tá najvhodnejšia, hoci nie jediná možnosť. Do úvahy pripadá aj súhlas zaznamenaný ako nahrávka, dvojnásobne overený súhlas alebo digitálny podpis. 

Informácia o spracúvaní osobných údajov, ktoré je prevádzkovateľ povinný poskytnúť dotknutej osobe pri získavaní osobných údajov, nemusí byť potvrdená ani podpísaná. Avšak je potrebné vedieť preukázať, že osoba mala informácie k dispozícii, preto je vhodné mať zavedený systém, ktorým sa dá potvrdiť, že osoba si informácie o spracúvaní osobných údajov prečítala, resp. sa s nimi oboznámila.

Údaje musia byť uchovávané čo najkratšie, iba po dobu nevyhnutnú na splnenie účelu. Táto doba sa zaznamenáva v záznamoch o spracovateľských činnostiach, a preto je povinné, aby mala organizácia tieto doby uchovávania vopred určené. Lehota musí byť konkrétna (roky, resp. mesiace, v niektorých prípadoch dni). V niektorých prípadoch je výslovne určená právnymi predpismi (napríklad zákonom o účtovníctve).

Od zamestnancov sa súhlas so spracúvaním vo väčšine prípadov nevyžaduje, ak ide o spracúvanie, ktoré sa vyžaduje na účely plnenia pracovnej zmluvy, zákonných povinností zamestnávateľa (napríklad hlásenia v súvislosti so sociálnym poistením) alebo oprávnených záujmov zamestnávateľa. Veľmi výnimočne sa vo vzťahu zamestnanca a zamestnávateľa využíva ako právny základ súhlas, a to len tam, kde sa zamestnanec/kyňa môže slobodne rozhodnúť (napríklad pri prihlasovaní sa na určité benefity, resp. na marketingové účely, ak ide o dobrovoľnú propagáciu).

Organizátor je povinný informovať účastníkov o tom, kto údaje spracúva, aké údaje sú spracúvané, aký je účel spracúvania, na akú dobu, komu sa údaje poskytujú. To sa zvyčajne realizuje prostredníctvom „Informácie o spracúvaní osobných údajov”.

Pokiaľ ide o právny základ, tým môže byť súhlas so spracúvaním na účely účasti na podujatí, prípadne oprávnený záujem organizácie na zabezpečení priebehu podujatia (napríklad z dôvodu kontroly kapacity). 

Je potrebné upozorniť, že ak údaje z registrácie chcete využívať na iné účely, ako len registrácia na podujatie, napríklad na zasielanie newslettera, ide o nový účel. Súhlas s registráciou/prihlásenie sa na podujatie preto nemožno považovať za súhlas so zasielaním newslettera alebo ďalších pozvánok a je potrebný osobitný súhlas s ďalším kontaktovaním alebo odoberaním newslettera.

Pri získavaní a spracúvaní osobných údajov darcov je nevyhnutné postupovať transparentne, spracúvať s právnym základom, bezpečne a v súlade so zásadou minimalizácie údajov. 

TRANSPARENTNE: Dotknutá osoba musí byť pri získavaní údajov informovaná o tom, kto údaje spracúva, na aký účel, na akú dobu a aké práva jej prináležia (formou poskytnutia informácie písomne, resp. odkazom na zverejnené znenie, s ktorým sa môže osoba oboznámiť). 

S PRÁVNYM ZÁKLADOM: Údaje získané na účely darovania nemožno bez ďalšieho právneho základu použiť na iné účely, napríklad na marketing (preto je na marketing, zasielanie informácií a newslettera potrebný osobitný súhlas).  

VZŤAH S POSKYTOVATEĽOM: Pri získavaní finančných darov cez iný subjekt (platobnú bránu alebo portál) je potrebné určiť, aké postavenie majú tieto subjekty pri spracúvaní údajov. Ak ide o subjekt, ktorý údaje spracúva na základe inštrukcií a výlučne na účely organizácie, považuje sa za sprostredkovateľa. V tomto prípade ním je poskytovateľ platobnej brány alebo iná platforma využívaná na manažovanie darov. Ak darovací portál využíva údaje aj na svoje vlastné účely, musí o tom darcov informovať vo svojom mene, zadefinovať vlastné účely a disponovať príslušným právnym základom. 

BEZPEČNE: Rovnako je potrebné dbať na ochranu databázy darcov – prístup by mali mať len oprávnené osoby, databáza má byť zabezpečená heslom, šifrovaním a v prípade fyzickej podoby uložená v uzamykateľných priestoroch. Vo všeobecnosti je potrebné vyhýbať sa najmä získavaniu údajov nad rámec nevyhnutného, zasielaniu marketingových informácií bez súhlasu, zverejňovaniu mien darcov bez ich súhlasu (ak sa zverejnenie neukladá zákonom), uchovávaniu údajov dlhšie, ako je nevyhnutné, a nedostatočnému informovaniu dotknutých osôb.

Vo všeobecnosti je pri spracúvaní fotografií a záznamov potrebné získavať súhlas dotknutých osôb, najmä ak ide o použitie na marketingové účely, zverejňovanie fotografií na sociálnych sieťach či webovej stránke. Osobitne v prípade detí je potrebné informovať a získať súhlas zákonného zástupcu (najčastejšie rodiča). 

Ako bolo uvedené, súhlas nemusí byť písomný, ale musí byť slobodne daný, konkrétny, jednoznačný a informovaný (vrátane informácie, ako sa fotografie použijú). Súhlas je potrebné vedieť preukázať. 

Alternatívou je spracúvanie na základe oprávneného záujmu (najmä pri značnom počte osôb). Stále je ale nevyhnutné všetky osoby dostatočne o tom informovať a umožniť im vyjadriť námietku (napríklad uvedením oznamu v pozvánke o vyhotovovaní fotografií s možnosťou vyjadriť sa, že nechcem byť na fotografiách).

Áno, fotografie alebo videá možno zverejniť, ak bol udelený jednoznačný, konkrétny (účelom presne vymedzený), informovaný a slobodne daný súhlas. Dôležité je, aby mala osoba jasné očakávania a informáciu, ako budú fotografia alebo video použité (napríklad na sociálnych sieťach, na vykázanie aktivity donorovi či poskytnuté médiám). 

K zverejneniu alebo poskytnutiu záberov ďalším príjemcom by nemalo dôjsť, ak :

• o tom osoba nebola informovaná (nebolo to uvedené v priloženej informácii alebo súhlase),
• bol súhlas poskytnutý na iný účel (napríklad súhlas s registráciou na podujatie automaticky neznamená a neimplikuje súhlas s fotografovaním a zverejnením),
• bol súhlas formulovaný príliš všeobecne, bez dostatočného špecifikovania toho, ako sa s fotografiami a videami bude v budúcnosti nakladať.

Každá webová stránka, ktorá spracúva osobné údaje (napríklad cez kontaktný formulár), musí mať sekciu s informáciami o spracúvaní údajov (pozri otázku 5 bod 2), kde organizácia musí jasne uviesť: 

• kto je prevádzkovateľ webovej stránky (identita organizacie),
• kontaktné údaje organizácie (ideálne kontaktné údaje na osobu, ktorá vybavuje žiadosti osôb, ktoré si uplatňujú práva, prípadne kontakt na zodpovednú osobu, ak ju organizácia má určenú),
• na aký účel a na akom právnom základe organizácia údaje spracúva, 
• ak údaje organizácia spracúva na oprávnené účely, je potrebné uviesť tieto účely, 
• komu údaje organizácia poskytuje (napríklad dodávateľom, lektorom, donorom), 
• >ako dlho sa budú údaje uchovávať, 
• aké práva sa so spracúvaním spájajú (napríklad právo na výmaz), 
• existenciu automatizovaného rozhodovania vrátane profilovania (napríklad ak organizácia používa systém, ktorý automaticky vyhodnocuje životopisy a bez ľudského zásahu vyradzuje niektorých uchádzačov).
• informáciu o tom, či údaje organizácia prenáša mimo EÚ (k prenosu údajov dochádza aj vtedy, ak používate služby poskytovateľov z USA (napr. na získavanie analytických cookies alebo pri využívaní služieb dodávateľov newsletterov).

Pozor, informácie nesmú byť skryté ani neúplné. Informácia zverejnená na webovej stránke sa môže týkať aj iných osôb než návštevníkov webovej stránky, najmä, ak takto informujete aj osoby, registrujúce sa na podujatia a pod.

Áno, cookies sa môžu používať, ale na niektoré druhy cookies sa predtým, než sa použijú, vyžaduje súhlas (iné ako nevyhnutné cookies). V každom prípade je potrebné používateľov informovať o použití cookies, napríklad prostredníctvom osobitného banneru. 

Cookies sa delia na:

1. Nevyhnutné – tie môžete používať aj bez súhlasu, pretože sú potrebné na fungovanie stránky.
2. Analytické a marketingové – nie sú nevyhnutné, a preto na ne potrebujete súhlas návštevníka/používateľa.

Súhlas musí byť aktívny a dobrovoľný, to znamená, že používateľ musí sám kliknúť na „Súhlasím“, optimálne pre každú kategóriu cookies osobitne, okrem nevyhnutných cookies, ktoré súhlas nevyžadujú. Nemôžete mať políčka vopred zaškrtnuté ani nútiť používateľa súhlasiť, napríklad tým, že používateľov nepustíte na web, kým neodsúhlasia analytické alebo marketingové cookies.

Používanie cookies upravujú pravidlá v zákone o elektronických komunikáciách, ktoré vyžadujú predchádzajúci preukázateľný súhlas pre všetky cookies okrem nevyhnutných. Nariadenie zároveň určuje, ako má súhlas vyzerať: musí byť slobodný, konkrétny, informovaný a jednoznačný.

Príklad: Ak používate Google Analytics alebo reklamné cookies, môžete ich spustiť až po udelení súhlasu.

Dajte pozor aj na to, aby používateľ mal možnosť súhlas kedykoľvek jednoducho odvolať. Používateľ nesmie byť nútený „preklikávať“ sa cez 10 nastavení, aby cookies odmietol, ak mu na ich prijatie stačí jedno kliknutie.

Vo väčšine prípadov áno. Ak ide o nového záujemcu, musíte mať jeho jasný a dobrovoľný súhlas. Výnimkou je situácia, keď ide o vášho existujúceho zákazníka, ktorému môžete posielať ponuky na podobné tovary/služby aj bez nového súhlasu (na základe tzv. oprávneného záujmu). Pojem zákazník sa v tomto kontexte interpretuje užšie; ide výlučne o osoby, ktorým organizácia poskytuje tovary alebo služby, nie o spolupracovníkov či ľudí, ktorí sa iba zaujímajú o jej fungovanie.

Aj keď to zákon priamo nevyžaduje, v praxi sa odporúča tzv. double opt-in, nie je však nevyhnutný. Niekedy je vhodný aj z dôvodu uchovávania aktuálnych a fungujúcich kontaktných adries. Funguje to tak, že po prihlásení sa na newsletter príde používateľovi e-mail s potvrdzovacím odkazom, na ktorý musí kliknúť. Tým si overíte, že e-mailovú adresu zadal skutočne jej majiteľ.

Dôležité je tiež pripomenúť, že v každom jednom e-maile musí byť jasná a jednoduchá možnosť sa z odberu okamžite odhlásiť.

Zverejnené adresy, resp. zverejnenie údajov všeobecne neznamená, že sú „voľne použiteľné“. Vždy záleží na tom, o aké údaje ide a na aký účel majú byť použité. Obmedzenia sa predovšetkým vzťahujú na zasielanie marketingových správ/emailov a nevyžiadanej komunikácie. Samotný fakt, že je e-mail zverejnený na internete, neznamená, že naň možno posielať marketingové ponuky. 

Ak ide o súkromný e-mail fyzickej osoby (napríklad jan.mrkvicka@gmail.com): Pri zasielaní marketingu a newsletterov sa organizáciám odporúča získať predchádzajúci súhlas a neposielať informácie na z internetu zozbierané adresy. Domnievame sa, že za nevyžiadanú komunikáciu by bolo možné považovať aj hromadne zasielané e-maily s pozvánkami alebo newslettrami bez predchádzajúcej informácie a súhlasu prijímateľov, prípadne ak ste sa s osobami nedohodli pri osobnom kontakte. Vtedy je vhodné v nadväzujúcom e-maile odkázať na predchádzajúcu dohodu, a ak má ísť o dlhodobý odber newsletterov nechať si súhlas potvrdiť. 

Firemný e-mail na meno (napríklad jan.mrkvicka@firma.sk): Aj takýto email sa považuje za osobný údaj. Hoci ide o zamestnanca, bez predchádzajúceho vzťahu alebo súhlasu mu marketingovú ponuku poslať nemôžete. Nevylučuje sa kontaktovanie na nemarketingový účel, resp. ak nejde o nevyžiadanú komunikáciu. 

Všeobecná firemná adresa (napríklad info@firma.sk, recepcia@hotel.sk): Tieto adresy sa nepovažujú za osobné údaje (neodkazujú na konkrétnu osobu). Kontaktovanie na účely marketingu sa umožňuje. 

Ak chcete niekoho osloviť prvýkrát, najbezpečnejšie je buď si to dohodnúť osobne, zavolať a opýtať sa, či môžete zaslať ponuku e-mailom.

V takom prípade ide o žiadosť dotknutej osoby, ktorú je potrebné vybaviť bez zbytočného odkladu, najneskôr však do jedného mesiaca. 

Najprv overte totožnosť žiadateľa, aby ste údaje nevymazali niekomu inému. Overenie musí byť proporčné, preto sa nepýtajte na viac, než musíte. To znamená, že ak žiadosť smeruje z e-mailovej adresy, ktorú už spracúvate a s osobou bežne komunikujete, nie je proporčné žiadať (napríklad sken občianskeho preukazu alebo rodné číslo). Žiadosť si môžete overiť cez potvrdzujúci e-mail. V prípade pochybností môže postačovať overenie cez iný údaj, ktorý spracúvate, napríklad cez kontrolné otázky.  

Ak sú údaje spracúvané na základe súhlasu (napríklad na zasielanie newslettra), údaje vymažte, to jest ďalej ich nepoužívajte. 

Ak sú údaje spracúvané na základe iných právnych základov, posúďte, či je spracúvanie ešte nevyhnutné. Ak musíte údaje uchovávať z dôvodu zákonnej povinnosti (napríklad účtovníctvo), žiadateľovi údaje nevymažte úplne, ale obmedzte ich spracúvanie. V praxi to znamená, že ich prestanete používať na marketing, ale v účtovnom systéme ostanú „uzamknuté“ len pre potreby prípadnej daňovej kontroly.