Dôvodová správa

A. Všeobecná časť

             Návrh zákona o ochrane osobných údajov a o zmene a doplnení niektorých zákonov sa predkladá na základe Plánu legislatívnych úloh vlády Slovenskej republiky na II. polrok 2012. 
 
Návrh zákona si vyžiadala potreba dôslednej transpozície Smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane jednotlivcov pri spracúvaní osobných údajov a o voľnom pohybe týchto údajov (ďalej len „smernica 95/46/ES“) v kontexte konkrétnych pripomienok hodnotiacej misie Európskej komisie vyplývajúcich zo „Štruktúrovaného dialógu o ochrane osobných údajov“, záverov a odporúčaní hodnotenia správneho uplatňovania schengenského acquis v Slovenskej republike pre oblasť ochrany osobných údajov, ktoré sa uskutočnilo vo februári 2012 (tzv. schengenské hodnotenie),  úloh obsiahnutých v Schengenskom akčnom pláne Slovenskej republiky a výsledkov analýzy súčasne platného zákona z pohľadu aplikačnej praxe.
 
Cieľom predkladaného materiálu je zaviesť prehľadnú úpravu práv a povinností osôb začlenených do procesu spracúvania osobných údajov, upevniť nezávislé postavenie Úradu na ochranu osobných údajov Slovenskej republiky (ďalej len „úrad“) pri výkone dozoru nad ochranou osobných údajov a poskytnúť odchýlky potrebné v konaní podľa tohto zákona z dôvodu špecifického charakteru hmotnoprávnej úpravy v oblasti ochrany osobných údajov ako neoddeliteľnej súčasti základných práv a slobôd v právnom poriadku Slovenskej republiky. Návrh zákona prispeje k dosiahnutiu väčšej právnej istoty pre všetky zainteresované subjekty. 
 
Navrhovaná právna úprava nemení pôvodný zámer zákona č. 428/2002 Z. z., ktorý spočíva v poskytovaní ochrany práv fyzických osôb pri spracúvaní ich osobných údajov garantovaných Ústavou Slovenskej republiky a stanovení práv, povinností a zodpovednosti prevádzkovateľov a sprostredkovateľov pri spracúvaní osobných údajov a tiež v zadefinovaní časti osobitného procesu rozhodovania vo veciach kontroly spracúvania osobných údajov. Účelom predkladaných zmien je najmä sprehľadnenie právnej úpravy, zadefinovanie a precizovanie jednotlivých procesov. 
 
            Predkladaný návrh zákona okrem prepracovania viacerých ustanovení súčasne platného zákona, spresňuje niektoré definície pojmov, s ktorými zákon pracuje a s ktorými je potrebné sa oboznámiť ešte pred samotným začatím spracúvania osobných údajov. Návrh zákona odstraňuje nejasnosti niektorých základných ustanovení tohto zákona, ktoré v aplikačnej praxi spôsobovali potrebu ich častého objasňovania. Na viacerých miestach zákona sa preto napríklad vypúšťa slovné spojenie „orgány štátnej správy, orgány územnej samosprávy, iné orgány verejnej moci, ako aj ostatné právnické osoby a fyzické osoby“ a nahrádza sa slovom „každý“, ktoré ho plnohodnotne nahrádza, čím sa zjednodušuje právna úprava. Zároveň sa zavádza nový pojem „priestor prístupný verejnosti“, ktorý doposiaľ v tejto právnej úprave absentoval.
 
Návrh zákona ďalej zavádza prehľadnejšiu úpravu prevádzkovateľa a sprostredkovateľa a ich vzájomného vzťahu, ktorá reflektuje aktuálny spoločenský vývoj a požiadavky Európskej komisie, ktoré ukázali naliehavú potrebu konsolidovať úpravu ustanovení týkajúcich sa prevádzkovateľa a sprostredkovateľa dôsledným prebratím článku 17 odsek 2 až 4 smernice 95/46/ES. Najmä je potrebné jednoznačne ustanoviť, že spracúvať osobné údaje vo vlastnom mene môže len prevádzkovateľ. Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa, v rozsahu, za podmienok a na účel dohodnutý v zmluve s prevádzkovateľom a spôsobom podľa tohto zákona. Návrh zákona zároveň upravuje osobitné ustanovenie pre zástupcu prevádzkovateľa. Inštitút zástupcu prevádzkovateľa je potrebné aplikovať v prípade, že spracúvanie osobných údajov pripravuje prevádzkovateľ, ktorý nemá sídlo alebo trvalý pobyt na území členského štátu, ak na účely spracúvania osobných údajov využíva úplne alebo čiastočne automatizované alebo iné ako automatizované prostriedky spracúvania umiestnené na území Slovenskej republiky, pričom tieto prostriedky spracúvania nie sú využívané výlučne len na prenos osobných údajov cez územie členských štátov. 
 
            Jedným z najdôležitejších inštitútov pri spracúvaní osobných údajov je právny základ spracúvania osobných údajov. Návrh zákon v tejto súvislosti za účelom jednoznačnejšieho výkladu zákona zavádza nový spoločný názov „právny základ spracúvania osobných údajov“, ktorý predstavuje jednu zo základných zásad spracúvania osobných údajov. Právnym základom je vo všeobecnej rovine potrebné rozumieť oprávnenie prevádzkovateľa k spracúvaniu osobných údajov jednotlivých fyzických osôb (dotknutých osôb). Inými slovami, jedná sa o dôvod, ktorý umožňuje prevádzkovateľovi vykonávať akékoľvek operácie s osobnými údajmi dotknutých osôb v súlade s platnou legislatívou. Návrh zákona rozširuje spracúvanie osobných údajov bez súhlasu dotknutej osoby, a to v prípade, ak takéto spracúvanie je upravené v priamo vykonateľnom právne záväznom akte Európskej únie a medzinárodnej zmluve, ktorou je Slovenská republika viazaná. 
 
            Návrh zákona zohľadňuje aj technologický vývoj, ktorý výrazným spôsobom ovplyvnil spracúvanie osobných údajov, a to najmä pokiaľ ide o spracúvanie biometrických údajov. Návrh zákona nanovo upravuje podmienky spracúvania biometrických údajov, pričom tieto vychádzajú zo stanoviska č. 3 Pracovnej skupiny pre ochranu osobných údajov zriadenej podľa článku 29 smernice 95/46/ES, ktoré táto pracovná skupina prijala v roku 2012 k spracúvaniu biometrických údajov s ohľadom na vývoj biometrických technológií. Pracovná skupina je nezávislým európskym poradným orgánom pre ochranu osobných údajov a súkromia, ktorej úlohy sú definované v článku 30 smernice 95/46/ES a článku 15 smernice 2002/58/ES týkajúcej sa spracúvania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách). Hlavnou úlohou pracovnej skupiny a ňou vydaných stanovísk je zjednocovať postupy národných dozorných autorít pri uplatňovaní princípov ochrany osobných údajov zakotvených v smernici 95/46/ES. Slovenská republika je povinná rešpektovať vydané stanoviská a úrad je povinný ich aplikovať aj vzhľadom na ustanovenie § 33 odsek 5 súčasne platného zákona č. 428/2002 Z. z., ktoré je rovnakým spôsobom upravené aj v predkladanom návrhu zákona. 
 
Dopĺňa sa aj inštitút oprávnenej osoby o určenie, kedy sa fyzická osoba stáva oprávnenou osobou a o pravidlá, ktoré určujú povinnosti a postupy, ktoré musia prevádzkovateľ a sprostredkovateľ dodržať pri ich výbere a poučení.
 
Inštitút zodpovednej osoby vykonávajúcej dohľad nad ochranou osobných údajov v súlade s článkom 18 odsek 2 smernice 95/46/ES si z hľadiska aplikačnej praxe vyžaduje zvýšenie odbornosti v oblasti ochrany osobných údajov, pokiaľ sa má zaručiť jeho význam a plnohodnotné uplatňovanie. Návrh zákona zavádza novú úpravu podmienok na poverenie zodpovednej osoby, v rámci ktorých vyžaduje aj vykonanie skúšky zodpovednej osoby zo znalosti všeobecne záväzných právnych predpisov v oblasti ochrany osobných údajov. Táto požiadavka sa s ohľadom na doterajšiu prax javí ako nevyhnutná. Výkon skúšok zabezpečí úrad. Možno sa domnievať, že aj takýmto postupom úrad prispeje k zvýšeniu povedomia v oblasti ochrany osobných údajov, čím sa zabezpečí obozretnejší a dôslednejší prístup pri plnení povinností podľa tohto zákona a v konečnom dôsledku aj Ústavou Slovenskej republiky garantované právo na ochranu súkromia a osobných údajov. Tiež sa precizuje postavenie oprávnenej osoby a jej oprávnenia ako aj podmienky a spôsob zrušenia jej poverenia a zániku poverenia zodpovednej osoby. 
 
            Návrh zákona poskytuje novú právnu úpravu podmienok prenosu osobných údajov do tretích krajín s primeranou/bez primeranej úrovne ochrany osobných údajov. Stanovuje sa, že primeranosť úrovne ochrany osobných údajov v tretej krajine hodnotí Európska komisia, ktorá o tom vydá rozhodnutie. Hodnotenie Európskej komisie sa opiera o predchádzajúce stanovisko dozorných orgánov ochrany osobných údajov jednotlivých členských štátov združených v Pracovnej skupine zriadenej podľa článku 29 smernice 95/46/ES, a tiež o stanovisko Výboru 31 (článok 31 smernice 95/46/ES). Návrh zákona zohľadňuje aj tzv. štandardné zmluvné doložky a záväzné vnútropodnikové pravidlá, ktoré vytvárajú v rámci obchodnej spoločnosti spoločnú primeranú úroveň ochrany osobných údajov pre spoločnosti, ktoré v rámci danej korporácie sídlia mimo územia Európskej únie, pričom pre spoločnosti so sídlom v Európskej únii zostáva v platnosti Európska legislatíva. Taktiež sa navrhuje zmena podmienok súhlasu úradu s cezhraničným prenosom, ktorými sa zabezpečí nižšia administratívna záťaž. 
 
            Registrácia, osobitná registrácia a evidencia informačných systémov upravená v samostatnej hlave druhej časti návrhu zákona prešla menšími zmenami čo sa týka postupu a podmienok registrácie (či už obyčajnej alebo osobitnej), a to najmä pokiaľ ide o prihlasovanie informačného systému na registráciu na úrade a následné konanie o registrácii a osobitnej registrácii informačného systému. 
 
            Návrh zákona ďalej zavádza zmeny aj čo sa týka úradu a jeho činnosti. Návrh jednoznačne ustanovuje nezávislé postavenie úradu ako dozorného orgánu pri plnení jemu zverených úloh v oblasti ochrany osobných údajov. Táto požiadavka, ktorá vyplýva z medzinárodných dokumentov, bola premietnutá aj do Schengenského akčného plánu Slovenskej republiky za účelom prijatia primeranej právnej úpravy a jej zosúladenia s medzinárodnými dokumentmi a legislatívou Európskej únie. Jednou z nosných činností úradu v rámci dozoru nad ochranou osobných údajov je kontrola spracúvania osobných údajov. Táto si preto vyžaduje svoje pravidlá v postupe pri výkone kontroly, práva a povinnosti či už kontrolného orgánu alebo kontrolovanej osoby. V tomto smere nie je výnimkou ani stanovenie určitých potrebných špecifikácií v konaní podľa tohto návrhu zákona na návrh dotknutej osoby alebo osoby, ktorá tvrdí, že je priamo dotknutá vo svojich právach ustanovených týmto zákonom alebo z vlastnej iniciatívy úradu. Pokiaľ nie je v návrhu zákone ustanovené inak, subsidiárne sa aplikujú pravidlá vyplývajúce zo zákona č. 71/1967 Zb. o správnom konaní (Správny poriadok) v znení neskorších predpisov.
 
Navrhované zákonné opatrenia predstavujú základné a nevyhnutné kroky pre konsolidáciu slovenského právneho poriadku v oblasti ochrany osobných údajov. Navrhovanú úpravu je potrebné predložiť do legislatívneho procesu ako celok, keďže ide o komplex ustanovení, ktoré na seba navzájom nadväzujú a dopĺňajú sa. 
 
Predložený návrh zákona je v súlade s Ústavou Slovenskej republiky, ústavnými zákonmi a ostatnými všeobecne záväznými právnymi predpismi Slovenskej republiky, s medzinárodnými zmluvami, ktorými je Slovenská republika viazaná ako aj s právom Európskej únie.