„Spravovať takéto dáta manuálne by bola extrémne náročná práca,“ hovorí Veronika Dely, SAP senior konzultantka spoločnosti Atos. „Znamenalo by to otvoriť si každý jeden záznam, preskúmať všetky transakcie, vyhodnotiť, ktoré z nich spĺňajú presne dané podmienky a pri každej z nich spraviť rozhodnutie, či ju uchovať v produkčnom systéme, archivovať alebo zmazať,“ vysvetľuje.

Jednoduchý súlad s nariadeniami

Poriadok do správy dát môže vniesť automatizované riešenie SAP Information Lifecycle Management. To pomáha riadiť zaobchádzanie s dátami počas celého ich životného cyklu – od získania a používania až po ich blokáciu, archiváciu či úplné vymazanie zo systému. „Toto riešenie na základe vopred stanovených pravidiel prechádza automaticky celou databázou a kontroluje všetky položky a rozhoduje, čo sa s nimi ďalej stane,“ vysvetľuje SAP senior konzultantka spoločnosti Atos. „Riešenie sme nasadili napríklad do HR modulu vzdelávacej inštitúcie s tisíckami záznamov. Jedným z pravidiel bolo zmazanie dát všetkých zamestnancov, ktorí dovŕšili 70 rokov veku a zároveň ubehlo najmenej desať rokov od ich poslednej interakcie s inštitúciou. Podarilo sa nám tak výrazne prečistiť a zjednodušiť databázu a zároveň vyhovieť požiadavkám na ochranu osobných údajov,“ dodáva.

Riešenie je určené pre všetkých používateľov SAP systémov bez ohľadu na veľkosť. „Výhodou je zosúladenie dát so všetkými reguláciami a predpismi. Či už ide o ochranu osobných údajov, právo na zabudnutie v rámci GDPR alebo o dodržanie lehoty povinnej archivácie, všetko je len otázkou nastavenia správnych kritérií,“ hovorí Veronika Dely. Používateľ si môže určiť časové rámce, počas ktorých chce uchovávať dáta vo svojom produkčnom systéme, či v archíve. Môže dáta zablokovať, takže v systéme akoby neexistujú a bežný používateľ sa k nim nijako nedostane, no zároveň ich možno v prípade súdneho sporu po zásahu administrátora stále dohľadať.

Upratané dáta šetria

Poriadok v dátach so sebou však prináša aj konkrétne úspory. Optimalizované dátové toky a „čisté“ databázy znižujú náklady na IT. Organizáciám správny manažment životného cyklu údajov umožňuje zjednodušiť celú dátovú infraštruktúru. Dáta sú navyše v prípade potreby rýchlejšie pripravené na migráciu, prípadne omnoho jednoduchšiu aktualizáciu systému.

Nasadenie samotného riešenia je pomerne jednoduché a časovo nenáročné.  „Prvým krokom je stretnutie, na ktorom si prejdeme s akými dátami budeme pracovať, aké sú procesy a identifikujeme záťaž systému,“ hovorí SAP senior konzultantka spoločnosti Atos. Samotná dĺžka implementácie závisí v prvom rade od náročnosti dátového prostredia. Spolupráca zo strany zákazníka ju však dokáže výrazne urýchliť. „Reálne však vieme manažment životného cyklu dát spustiť do mesiaca,“ hovorí Veronika Dely.

Atos je jednou z mála spoločností, ktoré toto riešenie na slovenskom trhu ponúka. Jeho služby využívajú napríklad banky, či viaceré slovenské univerzity. „Máme za sebou reálne projekty, máme skúsenosti z praxe, vieme, s akými špecifickými problémami sa slovenské spoločnosti napríklad v súvislosti s GDPR stretávajú. Vieme im tak poradiť overené a najlepšie postupy,“ uzatvára SAP senior konzultantka spoločnosti Atos.

Webinár

Ak vás téma zaujala, prihláste sa na webinár Správa životného cyklu informácií SAP. Na podujatí, ktoré sa uskutoční 27. apríla 2023 o 10:00 hodine, sa dozviete, ako môžete optimalizovať svoje procesy a zlepšiť svoje výsledky v oblasti správy dát. Okrem toho sa naučíte využívať nástroje SAP na riadenie a správu dôležitých podnikových údajov počas ich celého životného cyklu.

Zdroj: Atos / úprava redakcia

Príspevok GDPR vás nemusí strašiť. V dátach sa už nestratíte, alebo ako môžete optimalizovať svoje procesy a zlepšiť svoje výsledky v oblasti správy dát. je zobrazený ako prvý na Podnikateľské centrum.

Nie je nevyhnutné pripomínať, že nesprávne zvolený postup zamestnávateľa v roku 2023 môže v konečnom dôsledku stáť zamestnávateľa nielen nemalé finančné prostriedky, ale aj reputáciu a dobrú povesť. Zamestnávateľ môže napríklad pri skončení pracovného pomeru spraviť „na oko zanedbateľnú“ chybu, ktorá ho však v konečnom dôsledku môže stáť prehru v súdnom spore a náhradu mzdy zamestnancovi za 36 mesiacov. V prípade nedodržania výpovednej doby zo strany zamestnanca môže zamestnávateľ žiadať náhradu škody, ktorá mu tým vznikla (napr. výrobná linka kvôli absencii v práci „stála“ a pod.). 

Na zmeny v zákonoch je potrebné reagovať

V legislatíve tiež nastali zmeny v ochrannej dobe a zákaze výpovede, práce v zahraničí a podobne. Vzhľadom na všetky tieto zmeny, musia zamestnávatelia v roku 2023 zohľadniť najmä týchto 5 krokov:

1. krok – uzatvárať pracovnú zmluvu s novými náležitosťami pre rok 2023

2. krok – uzatvárať dohody s „dohodármi“ s novými náležitosťami pre rok 2023

3. krok – zakomponovať do pracovného pomeru nové pracovné podmienky a podmienky zamestnávania pre rok 2023 

4. krok – pri skončení pracovného pomeru zohľadniť novú úpravu ochrannej doby a zákazu výpovede

5. krok – pri elektronickom doručovaní dokumentov splniť všetky podmienky podľa novej právnej úpravy pre rok 2023

Školenie pre každodennú prax

Vzhľadom na vyššie uvedené zmeny sme pre Vás pripravili školenie, na ktorom si prejdeme správne postupy, s ktorými sa zamestnávatelia denne stretávajú v pracovných vzťahoch so zameraním na aktuálnu právnu úpravu a prax. Účastníci školenia dostanú aj všetky nevyhnutné aktualizované vzory, ktoré môžu okamžite uplatňovať v každodennej praxi. Školenie je možné absolvovať online alebo prezenčne. Viac informácií o obsahu, termíne a cene môžete nájsť TU.

Vzory, ktoré dostanete ku školeniu:

Pracovná zmluva v zmysle novelizovaného Zákonníka práce

Dohoda o pracovnej činnosti v zmysle novelizovaného Zákonníka práce

Dohoda o hmotnej zodpovednosti

Dohoda o spôsobe náhrady škody

Dohoda o zrážkach zo mzdy

Dohoda o zmene pracovných podmienok

Upozornenie na porušenie pracovnej disciplíny

Okamžité skončenie zo strany zamestnávateľa

Rozhodnutie zamestnávateľa o organizačnej zmene

Výpoveď

Potvrdenie o prevzatí vecí na výkon pracovnej činnosti

Vzor vyjadrenia pri štátnych kontrolách (inšpektorát práce, Úrad na ochranu osobných údajov)

GDPR dokumentácia 

Smernica o cestovných náhradách

Smernica o trestnej zodpovednosti právnickej osoby

Vnútorný predpis o monitorovaní zamestnancov

Kurzarbeit – Dohoda medzi zamestnávateľom a zamestnancom/zástupcami zamestnancov

Príspevok Školenie 9.3.2023: Ako zamestnávať v roku 2023 – postupy, ktoré musí vedieť každý zamestnávateľ a k tomu vzory nevyhnutnej dokumentácie je zobrazený ako prvý na Podnikateľské centrum.

Či už podnikáte ako SZČO, alebo máte založenú spoločnosť kde ste konateľom, prípadne máte zvolenú inú formu podnikania (v ďalej ako podnikateľ / ka), nezaobídete sa bez základných právnych zručností, ak si chcete udržať podnikanie dlhodobo. Nie je možné si na každú rizikovú otázku v oblasti podnikania hľadať advokáta a to najmä s ohľadom na časové a finančné hľadisko.

REGISTRÁCIA

Na školení ,,Ako zamestnávať v roku 2023″ budú vysvetlené správne postupy a poskytnuté vzory ako správne uložiť upozornenie na porušovanie pracovnej disciplíny, skončiť pracovný pomer, vymôcť náhradu škody, požiadať o finančnú podporu, mať základnú povinnú dokumentáciu a pod. tak, aby ste predišli zbytočným súdnym sporom a pokutám od štátnych orgánov.

Nevyhnutná dokumentácia potrebná pre pracovnoprávne vzťahy je ku kurzu ZADARMO. V účastníckom poplatku online školenia je zahrnuté: online vysielanie školenia, možnosť zadávať online otázky lektorovi, vzory s návodmi, videozáznam. Ak sa online prenosu nezúčastníte v celom rozsahu, školenie si možno neskôr pozrieť zo záznamu.

REGISTRÁCIA

Chcete sa školení zúčastniť osobne v Trenčíne? Kontaktujte nás!

REGISTRÁCIA

Príspevok Povinné školenia pre podnikateľov je zobrazený ako prvý na Podnikateľské centrum.

Všeobecné nariadenie o ochrane údajov (známe pod skratkou GDPR) bolo prijaté už v roku 2016, ale začalo sa v celej EÚ aplikovať až od 25. mája 2018. Za 3 roky aplikácie GDPR je na Slovensku najvyššou udelenou pokutou sankcia Sociálnej poisťovni vo výške 50 tisíc eur. Pre porovnanie, dve najvyššie pokuty udelil Francúzsky úrad (CNIL)  spoločnosti Google a to vo výškach 100 miliónov a 50 miliónov EUR. Britský dozorný úrad (ICO) dokonca uvažoval o pokute 200 miliónov eur pre British Airways, ale najvyššiu britskú pokutu nakoniec znížil (aj kvôli pandémii) na 22 miliónov. 

Investície do zabezpečenia súladu s GDPR prevyšujú úroveň pokút 

V roku 2020 udelil Úrad na ochranu osobných údajov celkovo 54 pokút vo výške 103 tisíc eur. Najvyššia pokuta vo výške 20 tisíc eur bola udelená Dopravnému podniku Bratislava, priemerná pokuta dosiahla úroveň 1,913 eur. Začatých bolo 219 konaní. Najviac pokút dostali mestá a obce, najmä kvôli zverejneniu údajov zo zmlúv a rokovaní na webe, druhé v poradí boli školské zariadenia. Aj keď pokuty podľa GDPR pre slovenské firmy stále predstavujú akéhosi univerzálneho „strašiaka“, je otázne či sú obavy oprávnené.

„Slovensko patrí vo výške pokút, ale aj vo výklade a vymáhaní pravidiel podľa GDPR na úplný chvost Európy. Problém však nie je GDPR, ale zákony o ochrane osobných údajov a prax, ktorú sme tu mali dávno pred GDPR. Tento historický a nesprávny prístup nám bráni venovať sa zmysluplným a novým témam. Témy ako rodné čísla, povinne zverejňované zmluvy, kamerové systémy alebo nástenky obcí – na ktoré sa Úrad svojou praxou zameriava – podľa mňa nie sú to, čomu by sme sa mali v dnešnej dobe venovať,“ myslí si odborník na ochranu osobných údajov Jakub Berthoty z advokátskej kancelárie DAGITAL Legal.

Článok pokračuje pod reklamou

„Klientom otvorene hovoríme, že skutočné investície do zabezpečenia súladu s GDPR mnohonásobne prevyšujú úroveň aktuálne udeľovaných pokút. Porovnávať tieto čísla na Slovensku nemá žiadny zmysel. Hľadáme preto iné dôvody a motiváciu pre tieto investície. Zatiaľ ich nachádzame skôr s klientami z vysoko regulovaného prostredia a s technologickými spoločnosťami, ktoré majú cezhraničný presah. Takmer vôbec túto agendu neriešime u typických malých podnikateľov, ktorí v tejto téme dodnes vidia skôr prekážku. Myslím si však, že ide o prirodzený jav a vývoj.“ dodáva Jakub Berthoty.

Obávate sa GDPR? Ešte ste nečítali nové ePrivacy nariadenie

Aj keď v roku 2018 sme zaznamenali masový ošiaľ, akúsi „GDPR vlnu“, podľa odborníkov na paniku nebol dôvod. Zmeny, ktoré GDPR v skutočnosti prinieslo neboli až tak výrazné, ako sa mohlo na prvý pohľad zdať. Pribudli nové povinnosti, avšak charakter regulácie ochrany osobných údajov zostal rovnaký a astronomických pokút sme sa na Slovensku stále nedočkali. 

„Žijeme v dobe, kedy sa nezmysly internetom šíria evidentne rýchlejšie ako pravdivé údaje. Stačí sa pozrieť, kto strašil s likvidačnými pokutami podľa GDPR v roku 2018 a ako vyzerá realita po 3 rokoch. Mnoho z týchto poradcov a poskytovateľov GDPR riešení na kľúč dnes už ani neexistuje alebo sa venujú ďalšej inej horúcej téme. Pritom GDPR nikdy nehovorilo, na čo je konkrétne potrebný súhlas a na čo nie. Presne toto však hovorí ePrivacy legislatíva už od roku 2002. To, že na Slovensku sa tejto téme takmer nikto nevenuje a verejnosť o nej prakticky ani netuší je len dôkazom o úrovni odbornej debaty, ktorá sa tu vedie,“ kritizuje advokát Jakub Berthoty. 

Nové ePrivacy nariadenie nebude úplne nové, podobne ako pred tromi rokmi nebolo nové ani GDPR. Nariadenie existuje už dnes v podobe ePrivacy smernice z roku 2002 a zákona o elektronických komunikáciách z roku 2011, ktorý smernicu do slovenskej legislatívy implementuje. Tieto predpisy vyžadujú napr. súhlas s používaním cookies, sledovaním lokalizačných údajov alebo súhlas na marketingové elektronické oslovovanie. Výnimky z týchto súhlasov sú už dnes pomerne prísne a tieto súhlasy musia spĺňať prísne požiadavky podľa GDPR.   

„V západnej Európe je súhlas na používanie analytických a marketingových cookies, pixelov, skriptov, či prakticky takmer všetkých platených kampaní na sociálnych sieťach, ale aj súhlas na mnohé operácie bežne vykonávané mobilnými aplikáciami, horúcou témou. Na Slovensku tieto súhlasy prakticky nikto nezbiera a téma ani len nerezonuje vo verejnej debate a už vôbec nie v činnosti regulátorov. Nikto nerieši stav, kedy väčšina cookies okien a mobilných aplikácií na internete absolútne nespĺňa základné požiadavky. Ide podľa mňa o alarmujúci stav,“ upozorňuje advokát Jakub Berthoty z Dagital Legal.

GDPR vs. ePrivacy

Verejnosť má problém rozumieť rozdielom medzi ePrivacy legislatívou a GDPR. Častokrát dochádza k zámene týchto rozdielnych predpisov, ktoré, ako sa zdá, treba chápať a aplikovať spoločne, na mnohé dnes už bežne používané technológie. Jasné však nie sú ani národné predpisy, ktoré sa snažia implementovať túto legislatívu EÚ a ani postavenie rôznych regulátorov. 

„História sa opakuje. Len 3 roky po ošiali s GDPR budú mnohí ľudia opäť zhrození z ePrivacy nariadenia. Pritom by mali byť zhrození už teraz, pretože obdobné pravidlá platia už niekoľko rokov. Je to podobné ako s prechodom na GDPR. Ak sme dodnes nemali v zákone ani pokutu za porušenie cookies pravidiel a nemali sme absolútne žiadny enforcement týchto pravidiel, ako chceme od verejnosti očakávať, že zvládne prechod na ePrivacy nariadenie? Na Slovensku sa ePrivacy vôbec nedodržiava a nekontroluje. Je primárne zodpovednosťou štátu správne implementovať a vynucovať právo EÚ. Som zvedavý, ako chce štát zo dňa na deň s týmto enforcementom začať,“ upozorňuje advokát a odborník na ochranu osobných údajov Jakub Berthoty.

• GDPR vás nemusí strašiť. V dátach sa už nestratíte, alebo ako môžete optimalizovať svoje procesy a zlepšiť svoje výsledky v oblasti správy dát.
• Školenie 9.3.2023: Ako zamestnávať v roku 2023 – postupy, ktoré musí vedieť každý zamestnávateľ a k tomu vzory nevyhnutnej dokumentácie
• Povinné školenia pre podnikateľov

Príspevok Jakub Berthoty: Ošiaľ okolo GDPR zmizol rovnako rýchlo ako tí, ktorí ho vyvolávali je zobrazený ako prvý na Podnikateľské centrum.

Od 1. januára 2021 je účinný set dohôd medzi EÚ a Spojeným kráľovstvom, a venuje sa aj úprave osobných údajov. O tom či a ako možno ďalej prenášať osobné údaje do Spojeného kráľovstva, či k tomu je potrebná ďalšia dokumentácia, a čo sa môže zmeniť od júna 2021 v tejto oblasti, sa dozviete v nasledovnom článku.

PRECHOD K BREXITU

Už od roku 2016, kedy sa v Spojenom kráľovstve konalo referendum o vystúpení z Európskej únie, ľudovo, o Brexite, otázky vzájomnej spolupráce so Spojeným kráľovstvom sa stali jednou z ústredných tém európskeho podnikateľského prostredia. Pritom nutne so zmenou pravidiel pre obchod so Spojeným kráľovstvom súviseli okrem obťažnejších tokov tovarov, služieb a ľudí do/zo Spojeného kráľovstva, aj toky osobných údajov a ich ochrana.

TRI DOHODY AKO RÁMEC FUNGOVANIA PO BREXITE

Od 1. 1. 2021 sa Spojené kráľovstvo stalo treťou krajinou, avšak s dočasným špeciálnym režimom. Tento špeciálny režim bol zabezpečený prijatím troch dohôd o regulácii vzťahov medzi EÚ a Spojeným kráľovstvom z decembra 2020 v post-Brexitovom období. Išlo o :

• Dohodu o obchode a spolupráci („Obchodná dohoda“),
• Dohodu o bezpečnostných postupoch pri výmene a ochrane utajovaných skutočností,
• Dohodu o spolupráci pri bežnom a mierovom využívaní jadrovej energie.

KRÁTKODOBÉ RIEŠENIE S NÁZVOM OBCHODNÁ DOHODA

Z uvedených práve Obchodná dohoda určila smerovanie a pravidlá vzájomného obchodného styku, ako aj prenosu osobných údajov po Brexite. Teda aspoň ich načrtla. Obchodná dohoda na základe ustanovení článku DIGIT 6, 7 a LAW. GEN. 4 umožnila nepretržitý tok osobných údajov do Spojeného kráľovstva z EÚ s tým, že Spojené kráľovstvo z hľadiska prenosu osobných údajov nie je dočasne fakticky považované za tretiu krajinu.

Avšak, tento stav prenosu údajov môže podľa Obchodnej dohody trvať maximálne do konca júna 2021. Presnejšie toto obdobie trvá štyri mesiace (od 1. 1. 2021) a predĺži sa o ďalšie dva mesiace, pokiaľ Spojené kráľovstvo alebo Európska komisia nevznesie námietku.

Okrem námietky môže toto prechodné obdobie skrátiť aj rozhodnutie Európskej komisie o primeranosti. Pod uvedeným rozhodnutím si možno predstaviť posúdenie legislatívy spracovania a ochrany osobných údajov v Spojenom kráľovstve Európskou komisiou, na základe ktorého môže súčasný režim „voľného“ prenosu osobných údajov pokračovať podľa podmienok stanovených v takomto rozhodnutí. Rozhodnutie o primeranosti je v súčasnosti základom prenosu údajov napríklad do Japonska, ale najznámejšie bolo donedávna ešte platné rozhodnutie o primeranosti pre prenos údajov do USA pod názvom Privacy Shield.

Aby sme to zhrnuli v jednej vete, do júna 2021 sa z hľadiska prenosu osobných údajov do Spojeného kráľovstva z pohľadu slovenského či českého podnikateľa, veľmi pravdepodobne nič nemení.

Ochrana osobných údajov po júni 2021 Na mieste je otázka, za akých okolností budú môcť po tomto termíne spracovať osobné údaje napríklad obchodné spoločnosti so sídlom alebo s miestom uloženia serverov v Spojenom kráľovstve. Rovnako, je otázkou pre dotknuté osoby, ako im bude zabezpečené, že po prenose ich údajov do Spojeného kráľovstva, budú tieto údaje dostatočne chránené podľa úniových štandardov ochrany údajov.

Na základe súčasne nastavenej legislatívy a predpokladaného vývoja do úvahy prichádzajú najmä dva varianty: s vydaním rozhodnutia o primeranosti Európskou komisiou alebo bez neho.

PRENOS ÚDAJOV PO VYDANÍ ROZHODNUTIA O PRIMERANOSTI

Spojené kráľovstvo v plnej miere zdieľa reguláciu ochrany osobných údajov platnú v Európskej únii, ako sa členskému štátu patrí. Z tohto hľadiska britská verzia GDPR, známa ako UK GDPR, by spolu s ďalšími prijatými predpismi mala postačovať, ako zodpovedajúci regulačný základ ochrany osobných údajov. V rámci vzájomných obchodných vzťahov možno predpokladať, že prijatie rozhodnutia o primeranosti Európskou komisiou je aj cieľom súčasného britského politického vedenia.

V prípade, že Európska komisia príjme rozhodnutie o primeranosti, bude potvrdené, že osobné údaje môžu voľne plynúť z EÚ do Spojeného kráľovstva aj naďalej, a teda sa vo veľkej miere zachová súčasný režim.

Tento variant sa javí ako pravdepodobný, keďže 19. 2. 2021 Európska komisia zverejnila návrh dvoch rozhodnutí o primeranosti. Návrhy však majú pred sebou ešte dlhú cestu. Najskôr sa k nim vyjadrí Európsky výbor pre ochranu osobných údajov, potom je potrebné ich schválenie zástupcami jednotlivých členských štátov a až následne môžu byť návrhy riadne prijaté Európskou komisiou, ako rozhodnutia o primeranosti.

… AK EURÓPSKA KOMISIA NEPIJME ROZHODNUTIE

Druhým východiskom situácie je, ak náhodou vyššie uvedený proces nedôjde do zdarného konca, že Európska komisia neprijme rozhodnutie o primeranosti do konca júna 2021. V takom prípade by sa od 1. 7. 2021

Spojené kráľovstvo dostalo do režimu bežných tretích krajín v zmysle GDPR.

Pretavené do praxe, aj naďalej bude možné prenášať údaje z EÚ do Spojeného kráľovstva, avšak takémuto prenosu bude musieť predchádzať posúdenie bezpečnosti prenosu a ochrany osobných údajov v Spojenom kráľovstve obchodnou spoločnosťou, ktorá takýto prenos plánuje vykonávať. V takomto prípade sú najčastejším základom prenosu tzv. štandardné zmluvné doložky.

Štandardné zmluvné doložky musia byť súčasťou zmlúv, na základe ktorých sú osobné údaje prenášané do tretích krajín a tam spracúvané ďalším subjektom. Práve uvedené ustanovenia zmlúv majú predstavovať záruky, že osobné údaje v tretích krajinách budú spracúvané v súlade s princípmi európskej regulácie ochrany osobných údajov.

Skrátene, ak Európska komisia neprijme rozhodnutie o primeranosti v súvislosti s ochranou osobných údajov v Spojenom kráľovstve, na ďalší prenos údajov bude potrebné mať uzatvorené zmluvy obsahujúce štandardné zmluvné doložky. Len zaradenie zmienených ustanovení do už existujúcich zmlúv, však, samo o sebe postačovať nebude, je potrebné ich doplniť ďalšími nástrojmi, ktoré prinieslo rozhodnutie Súdneho dvora EÚ vo veci Schrems II, a samozrejme, vynaložiť aspoň primeranú snahu o vynucovanie povinnosti stanovených týmito ustanoveniami.

PÁR SLOV NA ZÁVER

Podmienky prenosu osobných údajov do Spojeného kráľovstva budú závisieť od rozhodnutia Európskej komisie. Dovtedy sa je potrebné pripraviť na oba varianty, keďže podobne ako v prípade Obchodnej dohody, môže prísť (alebo neprísť) finálne riešenie až v poslednej chvíli. Každý vývozca osobných údajov do Spojeného kráľovstva by mal zvážiť, ako pristúpi k riešeniu takto nastavenej situácie, a to aj napriek alebo práve kvôli neistote, ktorá je s ňou spojená. Jedným z riešení je spoľahnúť sa na to, že Európska komisia príjme už existujúce návrhy rozhodnutí o primeranosti a Spojené kráľovstvo sa nestane tretou krajinou. V takomto prípade nie je potrebné robiť nič.

Ak však vývozca chce mať istotu, že jeho obchodná činnosť nebude negatívne ovplyvnená nepredvídateľnosťou politických procesov a rozhodnutí, je potrebné zvážiť prijatie zodpovedajúcich opatrení, aby mohol vo svojej činnosti bezpečne pokračovať aj v prípade, že Európska komisia rozhodnutie o primeranosti neprijme. Najvhodnejším riešením bude uzatvorenie štandardných zmluvných doložiek alebo ich začlenenie do už existujúcich zmlúv. S týmto, ako aj s problematikou ochrany osobných údajov sme Vám pripravení pomôcť a poskytnúť naše služby, na ktoré sa môžete spoľahnúť.

autori článku: Štěpán Štarha – Partner, Richard Otevřel – Counsel, advokátska kancelária HAVEL & PARTNERS

• GDPR vás nemusí strašiť. V dátach sa už nestratíte, alebo ako môžete optimalizovať svoje procesy a zlepšiť svoje výsledky v oblasti správy dát.
• Školenie 9.3.2023: Ako zamestnávať v roku 2023 – postupy, ktoré musí vedieť každý zamestnávateľ a k tomu vzory nevyhnutnej dokumentácie
• Povinné školenia pre podnikateľov

Príspevok Ako prenášať OSOBNÉ ÚDAJE do SPOJENÉHO KRÁĽOVSTVA po BREXITE? je zobrazený ako prvý na Podnikateľské centrum.

Prechodné obdobie

Ochranu osobných údajov rieši TCA v článku 10A. Dohoda oddialila možné obmedzenia prenosu osobných údajov pre krajiny EÚ, vrátane krajín v EHS do Veľkej Británie. 

Až do apríla je možné do Veľkej Británie prenášať osobné údaje „po starom“. Toto obdobie môže byť predĺžené až do júna. Označuje sa ako „vymedzené obdobie“. Vymedzené obdobie môže byť aj skrátené, ak Veľká Británia bez súhlasu vykoná niektoré z právomocí, ktoré sú špecifikované v TCA, napríklad schváli nové zmluvné doložky alebo záväzné vnútropodnikové pravidlá.

Zároveň Veľká Británia očakáva od Európskej únie rozhodnutie o primeranosti v zmysle článku 45 GDPR. 

To má byť vydané v prípade, ak Veľká Británia nezmení legislatívu v oblasti ochrany osobných údajov. Veľká Británia totiž prijala vlastný zákon o ochrane osobných údajov, ktorý je založený na princípoch GDPR a je obdobný. 

Vo vzťahu k Veľkej Británii je stále možné, že rozhodnutie o primeranosti nebude prijaté. V tom prípade sa bude na Veľkú Britániu nahliadať ako na tretiu krajinu. 

Subjekty, ktoré prenášajú do Veľkej Británie, alebo ktoré sú v pôsobnosti GDPR, budú musieť v tom prípade riešiť prenos iným spôsobom – cez výnimky, štandardné zmluvné doložky alebo ďalšími možnými spôsobmi v súlade GDPR a zároveň Britskou legislatívou.

Článok pokračuje pod reklamou

Prenos osobných údajov z EÚ do Veľkej Británie

Prenos osobných údajov medzi EÚ a Veľkou Britániou by tak až do apríla, resp. júna mal byť neobmedzený.

Po uplynutí vymedzeného obdobia môžu nastať 2 situácie:

• bude prijaté rozhodnutie o primeranosti a vzťahy k prenosu osobných údajov do Veľkej Británie budú bezpečné,

• nebude prijaté rozhodnutie o primeranosti a bude potrebné riešiť alternatívne spôsoby prenosu osobných údajov do Veľkej Británie v súlade s článkami 46 a nasl. GDPR.

Zároveň, ak mali spoločnosti prijaté záväzné vnútropodnikové pravidlá mimo Veľkej Británie, bude potrebné ich upraviť tak, aby spĺňali požiadavky ochrany osobných údajov v Británii aj v rámci GDPR. 

Určite odporúčame už teraz „rozdeliť“ osobné údaje na tie, ktoré boli získané a spracúvané pred 31.12.2020 a tie, ktoré sú získané a spracúvané od 01.01.2021. Tiež odporúčame pripraviť sa na prípadné osobitosti ochrany osobných údajov vo Veľkej Británii – teda zoznámiť sa s právnou úpravou a pracovať na „compliance“.

^[1] Trade and Cooperation Agreement between the European union and The European Atomic Energy Community, of the one part, and The United Kingdom of Great Britain and Northern Ireland, of the other part

• GDPR vás nemusí strašiť. V dátach sa už nestratíte, alebo ako môžete optimalizovať svoje procesy a zlepšiť svoje výsledky v oblasti správy dát.
• Školenie 9.3.2023: Ako zamestnávať v roku 2023 – postupy, ktoré musí vedieť každý zamestnávateľ a k tomu vzory nevyhnutnej dokumentácie
• Povinné školenia pre podnikateľov

Príspevok Ako sa vysporiadať s BREXITom z pohľadu GDPR? je zobrazený ako prvý na Podnikateľské centrum.

Správa poukazuje jednak na nedostatky v aktuálnom legislatívnom procese a v činnosti Úradu pre ochranu osobných údajov, no zároveň vyzdvihuje, na základe konkrétnych rozhodnutí v tejto oblasti, rozhodovaciu prax slovenských súdov.

Zverejnená Správa o ochrane osobných údajov za rok 2020 je jedinečný sumár v slovenských reáliách, keďže v oblasti ochrany osobných údajov boli doteraz dostupné len výročné správy Úradu pre ochranu osobných údajov SR („Úrad“). Tie sa ale zameriavali skôr na štatistiky o činnosti samotného Úradu a nevenovali sa dostatočne problematike samotnej.

Komplexný dokument, ktorý pripravili advokáti z DAGITAL Legal mapuje relevantné legislatívne udalosti, činnosť a pokuty uložené Úradom a rozhodnutia súdov v skúmanej oblasti, ktoré doteraz neboli verejne dostupné.

Článok pokračuje pod reklamou

Legislatívne udalosti ovplyvnila pandémia

Pandémia a jej dôsledky priniesli veľký verejný a mediálny tlak na kvalitu právnych predpisov aj vo vzťahu k ochrane osobných údajov a súkromia. V priebehu roka 2020 bol na základe uznesenia Ústavného súdu SR zúžený rozsah údajov, ktoré telekomunikační operátori poskytovali Úradu verejného zdravotníctva SR, viackrát bol novelizovaný Zákon o ochrane verejného zdravia (napríklad kvôli využívaniu aplikácií na sledovanie dodržiavania karantény) a prezidentka odmietla podpísať novelu zákona o elektronických komunikáciách. Témou týchto udalostí bola aj ochrana súkromia a osobných údajov.

„Pri každom strete GDPR, zákona o ochrane verejného zdravia a zákona o elektronických komunikáciách bolo v roku 2020 viac ako kedykoľvek predtým cítiť absenciu nezávislého orgánu, ktorý by dokázal poskytnúť metodickú a analytickú podporu pre zodpovedné osoby štátu. Táto agenda je riešená ad hoc, neriadene a bez rozpočtu, čo, ostatne potvrdil aj NKÚ vo svojej správe. Aj na úrovni EÚ máme dva samostatné orgány – výbor a dozorného úradníka,“ upozorňuje odborník na ochranu osobných údajov Jakub Berthoty.

„Základné otázky týkajúce charakteru a fungovania právnych základov zákonnej povinnosti, verejného a oprávneného záujmu mali byť pritom v našom právnom poriadku dávno vyjasnené, no evidentne nie sú a absencia niekoho, ako je dozorný úradník spôsobuje v kombinácii s aktuálnym prístupom Úradu problémy,“ zdôrazňuje Jakub Berthoty.

Zaostávame za európskymi štandardmi

Veľká časť verejných a mediálnych vyjadrení Úradu sa v roku 2020 venovala témam spojeným s pandémiou. Úrad sa vyjadroval k projektu inteligentnej karantény, aplikáciám, či celoštátnemu testovaniu. Niektoré stanoviská Úradu súvisiace s plošným testovaním pritom považuje odborná verejnosť za problematické a vyslúžili si vlnu kritiky.

Správa Úradu pre ochranu osobných údajov vyčíta aj niekoľko ďalších pochybení: „Hodnotiť pozitívne činnosť nášho regulátora, celkové riadenie tejto oblasti z pohľadu štátu a z pohľadu legislatívneho procesu by bolo klamanie seba samého. Existujú síce členské štáty ako Estónsko, kde dodnes neexistuje ani jediná pokuta udelená podľa GDPR. Ak sa však pozrieme na západné európske krajiny, zistíme, že Slovensko síce vykazuje určitú administratívnu činnosť, ale v skutočnosti sme na úplnom začiatku v budovaní tejto oblasti.“

V zahraničí boli témou roka cezhraničné prenosy do USA a Spojeného kráľovstva, v dôsledku zrušenia EU-US Privacy Shield a Brexitu. Zahraničné dozorné orgány sa venovali posúdeniu používania produktov ako Microsoft 365 Office, Google Analytics, cieleniu reklamy cez sociálne siete a spracúvaniu cookies v kontexte pripravovaného nového ePrivacy nariadenia.

• Náš TIP: Francúzsky regulačný úrad udelil miliónové pokuty pre Google aj Amazon

Tieto nástroje používajú takmer všetci prevádzkovatelia aj na Slovensku a citlivosť týchto spracovateľských operácii je neporovnateľná s agendou COVID-19, kamerovými systémami, rodnými číslami, zverejňovaním zmlúv a podobnými témami, ktorým sa už tradične venuje náš Úrad. Ide však o nepochybne komplexnejšie témy, ktoré vyžadujú oveľa náročnejší výklad, ku ktorému sa prax Úradu ešte nedostala.

Nedostatky v činnosti regulátora

Správa tiež kritizuje Úrad za to, že od mája 2018 neprijal vyhlášky, s ktorými počíta zákon o ochrane osobných údajov od 25. mája 2018.

„Úrad už viac ako dva a pol roka čaká na napísanie listu Výboru, v ktorom by si nechal potvrdiť akreditačné a certifikačné kritéria. Pritom návrh týchto kritérií, ako aj samotnú vyhlášku sme Úradu pripravili. Viaceré sektory, vrátane advokátov, bánk a poisťovní, majú kódexy správania, ale nemôžu pristúpiť k ich uplatňovaniu v praxi. Tieto kódexy sú pritom prospešné pre všetkých, keďže častokrát naprávajú výkladové medzery a nezrovnalosti v právnych predpisoch.“ dodáva k správe advokát Jakub Berthoty z DAGITAL Legal.

Alarmujúca je podľa správy aj neexistencia tzv. legislatívneho posúdenia vplyvu na ochranu osobných údajov, napriek viac ako 4 rokom na jeho prípravu. Na Slovensku stále neexistuje ustálený postup, v rámci ktorého by legislatívci hodnotili dopady legislatívy na základné práva a slobody fyzických osôb pri spracúvaní osobných údajov.

Postup, ktorý odporúča na posúdenie vplyvu samotný Úrad, je podľa advokáta Berthotyho nepoužiteľný na legislatívny proces: „Vyhláška 158/2018 sa nedá použiť v legislatívnom procese z jednoduchého dôvodu. Písal ju totiž niekto, kto nevie ako má posúdenie vplyvu vyzerať. Má ísť o ľudsko-právnu dopadovú analýzu; stačí sa pozrieť ako vyzerajú zverejnené posúdenia vplyvu vládnych inštitúcii v zahraničí. Nemá to nič spoločné s obsahom tejto vyhlášky, ktorá sa navyše ani neaplikuje na režim GDPR.“  

Článok pokračuje pod reklamou

Absencia právnych zástupcov pri kontrolách zo strany Úradu

Väčšina z rozhodnutí, ktoré Úrad vydal v roku 2020, sa týka spracúvania osobných údajov v režime podľa GDPR po 25. máji 2018.

Najčastejšie pokutované subjekty zo strany Úradu boli v uplynulom roku mestá a obce, pričom najvyššia známa pokuta udelená mestu bola vo výške 10,000 eur a týkala sa informačných povinností pri obecnom kamerovom systéme (ešte v roku 2019).

Najčastejšie porušenia zo strany miest a obcí v roku 2020 sa týkali problematického zverejnenia osobných údajov, či už v rámci povinne zverejňovaných zmlúv, obecných magazínov alebo informačných portálov a násteniek. Obce častokrát nesprávne zverejňujú informácie o jubilantoch, narodených deťoch alebo zosnulých osobách. GDPR zverejňovanie týchto informácií explicitne nezakazuje, no obce mávajú problém zabezpečiť súlad s platnou legislatívou.

Okrem obcí boli pokutované aj obchodné reťazce, finančný sprostredkovateľ, dopravný podnik, ale aj ďalšie subjekty. „Z rozhodnutí Úradu vyplýva, že mnoho prevádzkovateľov nevyužíva pri kontrolách a konaniach o ochrane osobných údajov právnych zástupcov. Vo viacerých prípadoch absentovala kvalitná právna argumentácia, ktorá by sťažila Úradu prijatie rozhodnutia,“ konštatujte advokát Jakub Berthoty z DAGITAL Legal. 

• Článok k téme: VIDEO: Ako sa zmení slovenský reklamný trh bez možnosti sledovania „COOKIES“ tretích strán?

Vyzdvihnutie práce súdov Správa však hodnotí pozitívne rozhodovaciu prax slovenských súdov.

„Na rozdiel od Úradu si súdy nevedia vybrať agendu tým, že začnú konanie z vlastnej iniciatívy. Judikatúra v tejto oblasti trpí tým, že je málo žalobcov. Avšak, v rozhodovacej praxi súdov neexistuje výslovne nesprávne, kontroverzné alebo niečím vyčnievajúce rozhodnutie v oblasti ochrany osobných údajov. Naopak, badať stopy po ustálení judikatúry v opakujúcich sa veciach, ako je stret s info-zákonom. Zároveň treba oceniť aj prvé pokusy o odvážnejšie výklady definície osobných údajov ale aj prípady, kde súdy namiesto zbytočného teoretizovania jednoducho zachovali zdravý rozum,“ uvádza Správa o ochrane osobných údajov od advokátskej kancelárie DAGITAL Legal, ktorá sa dlhodobo venuje problematike.

• GDPR vás nemusí strašiť. V dátach sa už nestratíte, alebo ako môžete optimalizovať svoje procesy a zlepšiť svoje výsledky v oblasti správy dát.
• Školenie 9.3.2023: Ako zamestnávať v roku 2023 – postupy, ktoré musí vedieť každý zamestnávateľ a k tomu vzory nevyhnutnej dokumentácie
• Povinné školenia pre podnikateľov

Príspevok Správa o ochrane osobných údajov za rok 2020 upozorňuje na nedostatky v činnosti regulátora a v legislatívnom procese je zobrazený ako prvý na Podnikateľské centrum.

Až v júli 2020 rozhodol Súdny dvor EÚ, ako najvyšší európsky súd, o rozpore certifikačného mechanizmu so smernicou na ochranu osobných údajov (dnes už GDPR) a „EU-US Privacy Shield“ zrušil. Napriek tomu sa ale tok dát z EÚ do USA úplne nezastavil.

Veľký brat zo zámoria

Dôvodom rozhodnutia Súdneho dvora EÚ o zrušení mechanizmu „EU-US Privacy Shield“ bola a je existencia amerických federálnych predpisov ako napríklad FISA (Foreign Intelligence Surveillance Act), ktoré umožňujú prístup amerických orgánov (CIA, NSA a ďalšie) k údajom amerických poskytovateľov elektronických služieb a to vrátane metadát aj obsahu elektronickej komunikácie Európanov. Tieto prístupy sú podľa Súdneho dvora EÚ príliš všeobecné, plošné a neproporcionálne a to tak z pohľadu GDPR, ako aj z pohľadu základných ľudských práv a slobôd. 

Facebook a Google ročne odovzdávajú kompletnú históriu údajov a komunikácie konkrétneho účtu

„EU-US Privacy Shield“ pritom využívali takmer všetky americké spoločnosti, vrátane gigantov Google, Microsoft a Facebook. Google a Facebook zároveň pravidelne zverejňujú tzv. „transparency reports,“ podľa ktorých ročne vyhovejú desiatkam až stovkám tisíc žiadostí o prístup k údajom. Ide aj o prípady, kedy je odovzdaná kompletná história vrátane komunikácie konkrétneho účtu. Užívateľ tak vôbec nemusí vedieť o tom, že históriu jeho komunikácie cez Facebook majú k dispozícii tajné zložky USA, ktoré môžu jej obsah použiť proti danej osobe, napríklad pri vstupe na územie USA.

Po zrušení „EU-US Privacy Shield“ prešla väčšina európskych spoločností na tzv. štandardné zmluvné doložky

Ak je takáto vzorová zmluva, schválená Európskou komisiou, uzatvorená, je možné vykonať prenos aj do neadekvátnej tretej krajiny. Takúto zmluvu má napríklad uzatvorenú americká spoločnosť Facebook, Inc. so sídlom v Kalifornii, s írskou spoločnosťou Facebook Limited, ktorá poskytuje služby Facebooku v Európe. 

„Súdny dvor síce nezrušil doložky ale povedal, že samotné doložky nemusia stačiť, ak je zrejmé, že sa ich obsah v tretej nedodržiava plošne. Zmluvné doložky síce obsahujú veľmi prísne povinnosti a obmedzenia vo vzťahu k ďalším prenosom (napríklad k orgánom v tretej krajine) no tieto ustanovenia nie sú, a v prípade predpisov, ako je FISA, ani nemôžu byť v praxi dodržiavané,“ upozorňuje odborník na ochranu osobných údajov Jakub Berthoty z advokátskej kancelárie DAGITAL Legal. „Samozrejme, európske spoločnosti by, po správnosti, nemali tieto prenosy vôbec umožňovať, ani využívať dané služby, ak vedia, že doložky v tretej krajine nie sú dodržiavané. Prakticky však často nemajú inú možnosť,“ dodáva Jakub Berthoty.

Členské štáty začali proti únikom dát podnikať kroky

Pretrvávajúce obdobie právnej neistoty si riešia členské štáty EÚ po svojom. Niektoré národné dozorné orgány už začali presadzovať závery plynúce z rozhodnutia Súdneho dvora do praxe. Ešte v septembri priniesol Wall Street Journal informáciu o tom, že írsky dozorný orgán predbežne zakázal Facebooku prenášať osobné údaje do USA. V tejto súvislosti dokonca Facebook pohrozil, že zvažuje ukončenie poskytovania služieb v Európe. Podobné hrozby však zaznievajú často a k ich realizácii nie je ekonomický dôvod. 

Nemecké dozorné orgány v októbri konštatovali, že zmluva o spracúvaní údajov Microsoftom, ktorú má uzatvorenú každý firemný používateľ balíka služieb 365 Office, nespĺňa náležitosti podľa čl. 28 GDPR. Vo Francúzsku zas dozorný orgán (CNIL) žiadal súd pozastaviť používanie „Azure Cloud“, využívaného na uchovávanie citlivých dát v rámci národného „Health Data Hub“ a to aj napriek skutočnosti, že cloud bol centralizovaný v Holandsku. Na rovnakej službe pritom operuje aj verejná časť slovenského vládneho cloudu. Francúzsky najvyšší správny súd rozhodol, že dáta môžu zostať v Microsofte, ak spoločnosť zmluvne garantuje, že nebudú prenesené do USA.

Neochota ustúpiť a prispôsobiť sa legislatíve EÚ 

V súčasnej situácii sa komplexné riešenie hľadá len veľmi ťažko, keďže dostupné alternatívy znamenajú buď zmeny v legislatíve USA na federálnej úrovni, alebo výrazné obmedzenia ziskov amerických firiem. 

„Ideálne by bolo, aby Spojené štáty získali status adekvátnosti, zavedením niečoho ako GDPR na federálnej úrovni, čo ale nepovažujem v blízkej budúcnosti za reálne. Alternatívou je oddelenie serverov a držanie dát spadajúcich pod GDPR v Európskom hospodárskom priestore. To však znamená náklady na implementáciu, nižšie zisky, menej dát a tým pádom aj menej presné služby, cielenie a analytiky. Otázka ale je či to americkým firmám nestojí za väčšiu dôveru európskych užívateľov. Iné možnosti aktuálne na stole nie sú,“ sumarizuje advokát Jakub Berthoty z DAGITAL Legal.

Slová podpredsedníčky Margrethe Vestager ale naznačujú, že Európska komisia pripravuje nové riešenie, ktoré by mohlo byť známe ešte do konca roka 2020. „Moji kolegovia Vera Jourová a Didiers Reynders pracujú veľmi tvrdo na tom, aby existovali štandardné zmluvné doložky, aspoň ako dočasné riešenie. Sú veľmi ambiciózni a dúfajú, že vedia byť prijaté pred Vianocami, pretože aktuálna situácia je neudržateľná,“ uviedla koncom septembra Vestager. 

Odborník na GDPR, Jakub Berthoty je však skeptický: „Na nové doložky v režime GDPR čakáme márne od mája 2018. To znamená, že Komisia mešká už viac ako 2, respektíve 4 roky, ak zoberieme do úvahy, že GDPR bolo prijaté ešte v roku 2016. Aj keď sú nové doložky potrebné, neviem si predstaviť, ako vyriešia problém prenosov do USA. Určite nepôjde o dlhodobé riešenie. Tým by bolo zmluvne prinútiť americké spoločnosti nedodržiavať problematické predpisy v USA a príslušné orgány v ich domovskej krajine odkázať na bilaterálne dohody o právnej pomoci. To je cesta, ako sa zákonne dostať k dátam Európanov.“

O spoločnosti:

DAGITAL Legal je prvý právny butik na Slovensku výlučne zameraný na ochranu súkromia a technológií. Autorom a realizátorom myšlienky advokátskej kancelárie, úzko špecializovanej na oblasť súkromia a technológií, je Jakub Berthoty, ktorý je v odborných kruhoch považovaný za veľkú autoritu. Advokátska kancelária má vďaka hĺbkovým znalostiam, prvotriednym skúsenostiam a vlastnému know-how v portfóliu široké spektrum klientov, od začínajúcich startupov až po etablované a regulované inštitúcie. 

Príspevok Osobné údaje Slovákov tečú do USA je zobrazený ako prvý na Podnikateľské centrum.

My sa pri riešení danej problematiky zameriame na podnikateľov, ktorí sa rozhodli zaviesť kontrolu telesnej teploty osobám vstupujúcim do ich prevádzok len na báze odporúčania ÚVZ

Mnohí z vás sa rozhodli meranie teploty osobám vstupujúcim do priestorov vyriešiť prostredníctvom určitého zamestnanca alebo pracovníka SBS služby. Ten má k dispozícii “ručný” digitálny teplomer, a pri každom vstupe novej osoby do prevádzky, k nemu jednoducho pristúpi a skontroluje jeho telesnú teplotu, či sa nevyniká hodnotám normy.

Trh však prináša aj nové a modernejšie riešenia, najmä termálne kamery alebo termálne skenery, kde prítomnosť zamestnanca alebo SBS pracovníka nie je potrebná. Špeciálne vyvinutý softvér, dokáže naraz zmerať telesnú teplotu aj viacerým vstupujúcim osobám.

Je ale zavedenie takýchto technológií v súlade s predpismi o ochrane osobných údajov? 

Nie každé nakladanie s osobným údajom je aj spracúvaním.

Je nepochybné, že pokiaľ na základe určitej nameranej telesnej teploty, možno priamo alebo nepriamo identifikovať konkrétnu fyzickú osobu, pôjde o osobný údaj, dokonca o osobný údaj týkajúci sa zdravia fyzickej osoby. Pôjde však o spracúvanie tohto osobného údaja? Je potrebné povedať, že nie každé nakladanie s osobným údajom je aj spracúvaním.

Napríklad meranie teploty “ručným” digitálnym teplomerom pri vstupe osoby do priestorov, nie je spracúvaním osobných údajov. Prečo? Pretože nameraná hodnota sa nikam nezaznamenáva, neuchováva a ani sa s ňou ďalej nijak nemanipuluje. Takéto stanovisko predložil aj Európsky výbor pre ochranu údajov (ďalej len ako “EDPB“).

Čo sa však týka termálnych kamier a termálnych skenerov, jeho stanovisko už bolo značne odlišné. Pri meraní teploty termálnymi kamerami alebo skenermi dochádza k spracúvaniu osobných údajov automatizovanými prostriedkami, a z toho dôvodu sa naň budú vzťahovať všetky príslušné ustanovenia GDPR. 

Spracúvanie citlivých osobných údajov možno výlučne len na základe taxatívne vymedzených podmienok

Každé spracúvanie citlivých osobných údajov, ktorým, ako sme už spomenuli vyššie, je aj hodnota telesnej teploty, požíva zo strany GDPR zvýšenú mieru ochrany. Spracúvať ich možno výlučne len na základe taxatívne vymedzených podmienok. Inak povedané, musí existovať jeden z výslovne určených právnych základov na to, aby k ich spracúvaniu vôbec mohlo dôjsť. Týmito právnymi základmi sú: 

• dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;
• spracúvanie je nevyhnutné na účely plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany, pokiaľ je to povolené právom Únie alebo právom členského štátu alebo kolektívnou zmluvou podľa práva členského štátu poskytujúcimi primerané záruky ochrany základných práv a záujmov dotknutej osoby; 
• spracúvanie je nevyhnutné na ochranu  životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby v prípade, že dotknutá osoba nie je fyzicky alebo právne spôsobilá vyjadriť svoj súhlas;
• spracúvanie vykonáva v rámci oprávnenej činnosti občianske združenie, nadácia alebo nezisková organizácia poskytujúca všeobecne prospešné služby, politická strana alebo politické hnutie, odborová organizácia, štátom uznaná cirkev alebo náboženská spoločnosť a toto spracúvanie sa týka iba ich členov alebo tých fyzických osôb, ktoré sú s nimi vzhľadom na ich ciele v pravidelnom styku, osobné údaje slúžia výlučne pre ich vnútornú potrebu a nebudú poskytnuté príjemcovi bez písomného alebo inak hodnoverne preukázateľného súhlasu dotknutej osoby;
• spracúvajú sa osobné údaje, ktoré dotknutá osoba zverejnila;
• spracúvanie je nevyhnutné na uplatnenie právneho nároku alebo pri výkone súdnej právomoci;
• spracúvanie je nevyhnutné z dôvodu verejného záujmu na základe tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ktoré sú primerané vzhľadom na sledovaný cieľ, rešpektujú podstatu práva na ochranu osobných údajov a ustanovujú vhodné a konkrétne opatrenia na zabezpečenie základných práv a záujmov dotknutej osoby;
• spracúvanie je nevyhnutné na účel preventívneho pracovného lekárstva, poskytovania zdravotnej starostlivosti a služieb súvisiacich s poskytovaním zdravotnej starostlivosti alebo na účel vykonávania verejného zdravotného poistenia, ak tieto údaje spracúva poskytovateľ zdravotnej starostlivosti, zdravotná poisťovňa, osoba vykonávajúca služby súvisiace s poskytovaním zdravotnej starostlivosti alebo osoba vykonávajúca dohľad nad zdravotnou starostlivosťou a v jej mene odborne spôsobilá oprávnená osoba, ktorá je viazaná povinnosťou mlčanlivosti o skutočnostiach, o ktorých sa dozvedela pri výkone svojej činnosti, a povinnosťou dodržiavať zásady profesijnej etiky;
• spracúvanie je nevyhnutné na účel sociálneho poistenia, sociálneho zabezpečenia policajtov a vojakov, poskytovania štátnych sociálnych dávok, podpory sociálneho začlenenia fyzickej osoby s ťažkým zdravotným postihnutím do spoločnosti, poskytovania sociálnych služieb, vykonávania opatrení sociálnoprávnej ochrany detí a sociálnej kurately alebo na účel poskytovania pomoci v hmotnej núdzi, alebo je spracúvanie nevyhnutné na účel plnenia povinností alebo uplatnenia práv prevádzkovateľa zodpovedného za spracúvanie v oblasti pracovného práva a v oblasti služieb zamestnanosti, ak to prevádzkovateľovi vyplýva z osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná;
• spracúvanie je nevyhnutné z dôvodu verejného záujmu v oblasti verejného zdravia, ako je ochrana proti závažným cezhraničným ohrozeniam zdravia alebo zabezpečenie vysokej úrovne kvality a bezpečnosti zdravotnej starostlivosti, liekov, dietetických potravín alebo zdravotníckych pomôcok, na základe tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ktorými sa ustanovujú vhodné a konkrétne opatrenia na ochranu práv dotknutej osoby, najmä povinnosť mlčanlivosti,;
• spracúvanie je nevyhnutné na účel archivácie, vedeckého a historického výskumu alebo na štatistický účel. 

Pokiaľ by teda neexistoval niektorý z vyššie uvedených právnych základov, k spracúvaniu hodnôt telesnej teploty nemôže dochádzať. EDPB sa k problematike vyjadril, že v súčasnosti možno z menovaných právnych základov využiť len a výlučne súhlas dotknutej osoby so pracúvaním týchto údajov. 

Položme si otázku

Koľko podnikateľov si od svojich zákazníkov alebo iných osôb vstupujúcich do jeho prevádzky žiada súhlas na to, aby sa podrobili meraniu teploty prostredníctvom termálnej kamery alebo termálneho skenera?

Z uvedeného vyplýva teda aj to, že sa osoba vstupujúca do priestorov podnikateľa nemá povinnosť podrobiť takejto kontrole teploty a pokiaľ sa jej nepodrobí, nemožno ju z priestorov vyviesť prípadne nevpustiť, ani voči nej nijak inak vyvodzovať zodpovednosť. Naopak zodpovednosť za nedodržanie ustanovení GDPR budete niesť vy. 

Pri spracúvaní osobných údajov sa na prevádzkovateľa, t.j. osobu spracúvajúca osobné údaje fyzických osôb, vzťahuje množstvo povinností, napríklad informovať dotknuté osoby o podmienkach spracúvania ich osobných údajov, viesť záznamy o spracúvateľských činnostiach či zaviazať svojich zamestnancov mlčanlivosťou. Pokiaľ máte v ustanoveniach GDPR chaos a neviete aké povinnosti sa na vás vzťahujú, odporúčame prečítať si knihu GDPR v praxi, prípadne sa obrátiť na špecialistov v oblasti GDPR. 

Príspevok GDPR a zavádzanie termálnych kamier a skenerov do prevádzok. Čo hovorí zákon? je zobrazený ako prvý na Podnikateľské centrum.

Pokiaľ ide o spracúvanie informácie o negatívnom výsledku testu, teda o spracúvanie osobitnej kategórie osobného údaja zamestnanca, je potrebné, aby zamestnávateľ disponoval právnym základom podľa čl. 6 ods. 1 nariadenia a zároveň, aby tento spĺňal aspoň jednu výnimku zo zákazu spracúvania údajov týkajúcich sa zdravia podľa čl. 9 ods. 2 všeobecného nariadenia o ochrane osobných údajov.

Momentálne v rámci relevantných právnych predpisov týkajúcich sa pracovnoprávnych vzťahov, pre spracúvanie negatívneho výsledku testovania (a prípadne aj certifikátu MZ SR) úradu nie je známy primeraný právny základ, nakoľko Zákonník práce ustanovuje ako povinnosť v súvislosti so zdravotným stavom zamestnanca len nahlásenie jeho práceneschopnosti, alebo inej prekážky v práci, ktorá u neho nastala.

V súvislosti s tým, že je vládou SR vyhlásený núdzový stav na základe čl. 5 zákona č. 227/2002 Z. z., môže vláda v nevyhnutnom rozsahu a na nevyhnutný čas podľa závažnosti ohrozenia obmedziť základné práva a slobody a uložiť povinnosti na postihnutom alebo na bezprostredne ohrozenom území, a to najviac v tomto rozsahu: obmedziť slobodu pohybu a pobytu zákazom vychádzania v určenom čase a zákazom vstupu na postihnuté alebo bezprostredne ohrozené územie.

K tomuto kroku vláda aj pristúpila a vydala uznesenie č. 678 z 22/10/2020, a tiež uznesenie č. 693 z 28/10/2020, ktorým obmedzila slobodu pohybu a pobytu a tiež ním nariadila ľuďom  v niektorých vybraných prípadoch povinnosť preukazovať sa nešpecifikovanej skupine oprávnených osôb negatívnym výsledkom testu PCR, alebo antigénového testu z plošného testovania alebo certifikátom vydaným MZ SR.

Uznesenie vlády č. 678, aj 693, z pohľadu ochrany osobných údajov, nepovažujeme k dnešnému dňu za dostatočný právny základ na spracúvanie tohto údaja. Avšak vzhľadom k bodu C.1 uznesenia vlády č. 693/2020 vnímame odporúčanie vlády, pre spresnenie povinnosti preukazovania sa negatívnym výsledkom alebo certifikátom vyhláškou, pozitívne. 

Vydanie uvedenej vyhlášky je nevyhnutné, a to s ohľadom na spresnenie povinnosti preukazovania sa negatívnym testom / certifikátom uloženej uznesením vlády. Vyhláška musí ustanovovať z pohľadu spracovateľských operácií s osobnými údajmi osoby, ktoré majú preukazovanie požadovať (s ohľadom na zásadu nevyhnutnosti), osoby, ktoré sú ho povinné voči nim plniť, dokedy a na aký účel bude toto preukazovanie vykonávané.

zdroj: UOOU

Príspevok Predbežné stanovisko Úradu na ochranu osobných údajov k preukazovaniu sa negatívnym výsledkom testu / certifikátom z plošného testovania je zobrazený ako prvý na Podnikateľské centrum.