VYHLÁŠKA 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov

§ 1

Táto vyhláška upravuje postup prevádzkovateľa pri posudzovaní vplyvu plánovaných spracovateľských

operácií na ochranu osobných údajov (ďalej len „posúdenie vplyvu“) podľa

§ 42 ods. 1

a

3 zákona

.

§ 2

Dokumentácia pri posúdení vplyvu obsahuje

a)

opis plánovaného spracúvania,

b)

posúdenie nevyhnutnosti a primeranosti v spojení s opatreniami na preukázanie súladu

so zákonom,

c)

posúdenie rizika pre práva fyzickej osoby v spojení s opatreniami na riešenie rizík,

d)

dokumentáciu podľa

§ 6

,

e)

monitorovanie a preskúmanie.

§ 3

(1)

Opis plánovaného spracúvania je systematickým opisom spracovateľských operácií zameraných

na povahu, rozsah, kontext a účely spracúvania osobných údajov, ktorý obsahuje najmä

a)

účely spracúvania osobných údajov,

b)

ak sú osobné údaje spracúvané na základe

§ 13 ods. 1 písm. f) zákona

, opis spracovateľských operácií obsahuje aj konkrétnu charakteristiku oprávneného

záujmu prevádzkovateľa alebo tretej strany vrátane

1.

opisu posúdenia oprávnenosti záujmu prevádzkovateľa alebo tretej strany,

2.

opisu vzťahu prevádzkovateľa a dotknutých osôb,

3.

podmienok, na ktorých základe dotknutá osoba môže primerane očakávať spracovateľské

operácie s osobnými údajmi, ktoré sa jej týkajú,

4.

posúdenia primeranosti spracovateľských operácií a odôvodnenia prevahy záujmu prevádzkovateľa

alebo tretej strany nad právami fyzickej osoby,

c)

zoznam alebo rozsah osobných údajov, ktoré sú predmetom spracúvania,

d)

zoznam alebo okruh príjemcov, ktorým sú osobné údaje poskytnuté,

e)

vymedzenie obdobia uchovávania osobných údajov.

(2)

Ak sa na spracúvanie osobných údajov vzťahuje schválený kódex správania podľa

§ 85 zákona

, súčasťou opisu spracovateľských operácií sú odkazy na tie časti kódexu správania,

ktoré prevádzkovateľ pri posudzovaní vplyvu na ochranu osobných údajov zohľadnil.

(3)

Ak sa na spracúvanie osobných údajov vzťahuje platný certifikát vydaný podľa

§ 86 zákona

, súčasťou opisu spracovateľských operácií sú odkazy na tie časti žiadosti o vydanie

certifikátu a jej príloh, ktoré preukazujú súlad spracúvania osobných údajov so zákonom

a existenciu primeraných záruk ochrany osobných údajov.

§ 4

(1)

Na zabezpečenie súladu so zákonom musí byť spracovateľská operácia vo vzťahu k účelu

spracúvania osobných údajov nevyhnutná a primeraná. Nevyhnutnosť spracovateľskej operácie

sa preukazuje jej posúdením vo vzťahu k požadovanému účelu spracúvania osobných údajov.

Primeranosť spracovateľskej operácie sa preukazuje posúdením jej povahy, rozsahu a

kontextu, ktorý musí zodpovedať účelu spracúvania osobných údajov.

(2)

Pri posúdení nevyhnutnosti a primeranosti spracovateľskej operácie sa zohľadní a

odôvodní každé opatrenie prijaté na dosiahnutie súladu so zákonom, najmä

a)

uplatnenie zásady zákonnosti podľa

§ 6 zákona

,

b)

uplatnenie zásady obmedzenia účelu podľa

§ 7 zákona

,

c)

uplatnenie zásady minimalizácie osobných údajov podľa

§ 8 zákona

,

d)

uplatnenie zásady správnosti podľa

§ 9 zákona

,

e)

uplatnenie zásady minimalizácie uchovávania podľa

§ 10 zákona

,

f)

uplatnenie zásady integrity a dôvernosti podľa

§ 11 zákona

,

g)

dodržiavanie postupov na uplatňovanie práv dotknutých osôb podľa

§ 19 až 28 zákona

,

h)

dodržiavanie postupov na zabezpečenie zákonného spracúvania osobných údajov sprostredkovateľom

podľa

§ 34 zákona

,

i)

primerané záruky súvisiace s prenosom osobných údajov do tretej krajiny alebo medzinárodnej

organizácii podľa

§ 47 až 51 zákona

,

j)

primerané technické a organizačné opatrenia podľa

§ 32 zákona

,

k)

názory dotknutých osôb alebo organizácií zastupujúcich záujmy dotknutých osôb na

spracúvanie osobných údajov získané podľa

§ 42 ods. 6 zákona

.

§ 5

(1)

Prevádzkovateľ pri posúdení rizika pre práva fyzickej osoby zohľadní najmä

a)

opis plánovaného spracúvania podľa

§ 3

,

b)

nevyhnutnosť a primeranosť spracovateľskej operácie podľa

§ 4

,

c)

opis podmienok spracúvania osobných údajov podľa

§ 39 ods. 1 zákona

vrátane existujúcich bezpečnostných opatrení prijatých podľa

§ 39 zákona

.

(2)

Posúdenie rizika pre práva fyzickej osoby prevádzkovateľ vykonáva z pohľadu dopadov

na fyzickú osobu, pričom zohľadňuje najmä riziko súvisiace s náhodným alebo nezákonným

poškodením, zničením, stratou, zmenou, neoprávneným prístupom a poskytnutím alebo

zverejnením osobných údajov, ako aj s akýmkoľvek iným neprípustným spôsobom spracúvania,

pričom identifikuje

a)

hrozby a pravdepodobnosť ich výskytu,

b)

zraniteľnosti zneužiteľné hrozbami,

c)

riziká a pravdepodobnosť ich výskytu a závažnosť,

d)

a zhodnotí mieru dopadu na práva fyzickej osoby v dôsledku straty integrity, dôvernosti

a dostupnosti údajov,

e)

vysoké riziko pre práva fyzickej osoby, ak neprijme opatrenia na zmiernenie rizika.

(3)

Prevádzkovateľ pri posúdení rizík spracovateľských operácií môže postupovať aj podľa

medzinárodných noriem.

1

)

(4)

Prevádzkovateľ prijme primerané opatrenia na zmiernenie rizík vrátane záruk, bezpečnostných

opatrení a mechanizmov na zabezpečenie ochrany osobných údajov a na preukázanie súladu

so zákonom.

(5)

Prevádzkovateľ prijme primerané opatrenia na zabezpečenie pravidelného monitorovania

všetkých podmienok spracúvania osobných údajov, ktoré zohľadnil pri posudzovaní rizika

pre práva fyzickej osoby podľa

§ 2 písm. a) až d)

, vrátane kontroly zavedených postupov. Prevádzkovateľ môže postupovať aj podľa medzinárodných

noriem.

2

)

(6)

Prevádzkovateľ pri prijímaní opatrení na zmiernenie rizík pre práva fyzickej osoby

postupuje v primeranom rozsahu podľa prílohy.

§ 6

(1)

Na preukazovanie súladu so zákonom podľa

§ 31 ods. 1 zákona

, prevádzkovateľ zdokumentuje posúdenie vplyvu v rozsahu podľa

§ 2 písm. a) až c)

a

e)

.

(2)

Dokumentáciou pri posúdení vplyvu podľa

§ 2

sa rozumie aj dokumentácia podľa osobitného predpisu,

3

)

ak sa v nej preukazuje účel podľa odseku 1 spôsobom podľa tejto vyhlášky.

§ 7

Táto vyhláška nadobúda účinnosť 15. júna 2018.