Zákon o ochrane osobných údajov a o zmene a doplnení niektorých zákonov

mechanizmus, ktorý má v rámci skupiny podnikov alebo zoskupenia podnikov zapojených do spoločnej hospodárskej činnosti zabezpečiť overovanie dodržiavania vnútropodnikových pravidiel a ktorý zahŕňa audity ochrany osobných údajov a metódy na zabezpečenie opatrení na nápravu s cieľom chrániť práva dotknutej osoby; výsledky overovania oznamujú zodpovednej osobe alebo subjektu uvedenému v písmene h) a štatutárnemu orgánu riadiaceho podniku skupiny podnikov alebo zoskupenia podnikov zapojených do spoločnej hospodárskej činnosti a na požiadanie poskytujú úradu,

k)

mechanizmus ohlasovania a zaznamenávania zmien pravidiel a ohlasovania týchto zmien úradu,

l)

mechanizmus spolupráce s úradom na zabezpečenie dodržiavania pravidiel, najmä poskytovania výsledkov overovania podľa písmena j) úradu,

m)

mechanizmus ohlasovania právnych požiadaviek, ktorým prevádzkovateľ alebo sprostredkovateľ podlieha v tretej krajine a ktoré pravdepodobne budú mať podstatné nepriaznivé následky na záruky poskytované vnútropodnikovými pravidlami úradu, a

n)

primeraná odborná príprava fyzických osôb, ktoré majú stály alebo pravidelný prístup k osobným údajom, v oblasti ochrany osobných údajov.

§ 50

Prenos alebo poskytnutie osobných údajov, ktoré právny poriadok v Slovenskej republike nepovoľuje

Rozhodnutie súdu, rozhodnutie tribunálu alebo rozhodnutie správneho orgánu tretej krajiny, ktoré od prevádzkovateľa alebo sprostredkovateľa vyžaduje preniesť osobné údaje alebo poskytnúť osobné údaje, môže byť uznané alebo vykonateľné len vtedy, ak je v súlade s medzinárodnou zmluvou uzavretou s treťou krajinou, ktorou je Slovenská republika alebo Európska únia viazaná.

§ 51

Výnimky pre osobitné situácie

(1)

Ak neexistuje rozhodnutie o primeranosti podľa § 48 ods. 1 ani primerané záruky podľa § 48 ods. 2 až 4 vrátane vnútropodnikových pravidiel, prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť len vtedy, ak

a)

dotknutá osoba vyjadrila výslovný súhlas s navrhovaným prenosom po tom, ako bola informovaná o možných rizikách takého prenosu z dôvodu neexistencie rozhodnutia o primeranosti a primeraných záruk,

b)

prenos je nevyhnutný na plnenie zmluvy medzi dotknutou osobou a prevádzkovateľom alebo na vykonanie predzmluvných opatrení prijatých na žiadosť dotknutej osoby,

c)

prenos je nevyhnutný na uzatvorenie zmluvy alebo plnenie zmluvy uzatvorenej v záujme dotknutej osoby medzi prevádzkovateľom a inou osobou,

d)

prenos je nevyhnutný z verejného záujmu podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná,

e)

prenos je nevyhnutný na uplatnenie právneho nároku dotknutej osoby,

f)

prenos je nevyhnutný na ochranu života, zdravia alebo majetku dotknutej osoby alebo inej fyzickej osoby, ak je dotknutá osoba fyzicky nespôsobilá alebo právne nespôsobilá vyjadriť súhlas, alebo

g)

prenos sa uskutočňuje z registra, ktorý je podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, určený na poskytovanie informácií verejnosti a do ktorého môže nahliadať verejnosť, pričom musia byť splnené podmienky nahliadania podľa tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

(2)

Ak prenos nemožno uskutočniť podľa § 48 a nemožno ani uplatniť žiadnu výnimku pre osobitnú situáciu podľa odseku 1, prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť len vtedy, ak

a)

prenos nie je opakujúcej sa povahy,

b)

prenos sa týka len obmedzeného počtu dotknutých osôb,

c)

prenos je nevyhnutný na účel závažných oprávnených záujmov prevádzkovateľa, nad ktorými neprevažujú práva alebo záujmy dotknutej osoby, a

d)

prevádzkovateľ posúdil okolnosti sprevádzajúce prenos osobných údajov a na základe tohto posúdenia poskytol vhodné záruky ochrany osobných údajov.

(3)

Prevádzkovateľ je povinný o prenose podľa odseku 2 vopred informovať úrad. Prevádzkovateľ je okrem poskytnutia informácií podľa § 19 a 20 povinný informovať dotknutú osobu o prenose podľa odseku 2 a o svojich oprávnených záujmoch v lehotách podľa § 19 a 20. Prevádzkovateľ alebo sprostredkovateľ zdokumentujú posúdenie, ako aj vhodné záruky v záznamoch o spracovateľských činnostiach podľa § 37.

(4)

Prenos podľa odseku 1 písm. g) nesmie zahŕňať osobné údaje alebo celé kategórie osobných údajov, ktoré obsahuje register. Ak je register určený na nahliadanie pre osoby s oprávneným záujmom, prenos sa môže uskutočniť iba na žiadosť týchto osôb alebo vtedy, keď majú byť tieto osoby príjemcami.

(5)

Odsek 1 písm. a) až c) a odsek 2 sa nevzťahujú na činnosti, ktoré vykonávajú orgány verejnej moci pri výkone verejnej moci.

PRVÁ HLAVA

ZÁSADY SPRACÚVANIA OSOBNÝCH ÚDAJOV

§ 52

Na postup príslušných orgánov pri spracúvaní osobných údajov na plnenie úloh na účely trestného konania sa vzťahujú § 6, § 8, § 9, § 11, § 12 a § 13 ods. 2 rovnako.

§ 53

Zásada obmedzenia účelu

Osobné údaje musia byť získavané na konkrétne určený, výslovne uvedený a oprávnený účel a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmto účelom; ten istý príslušný orgán alebo iný príslušný orgán je oprávnený spracúvať osobné údaje na archiváciu, na vedecký účel, na účel historického výskumu alebo na štatistický účel v súvislosti s plnením úloh na účely trestného konania, ak prijme primerané záruky ochrany práv dotknutej osoby.

§ 54

Zásada minimalizácie uchovávania

Osobné údaje musia byť uchovávané vo forme, ktorá umožňuje identifikáciu dotknutej osoby najneskôr dovtedy, kým je to potrebné na účel, na ktorý sa osobné údaje spracúvajú.

§ 55

Zákonnosť spracúvania

(1)

Príslušný orgán je oprávnený spracúvať osobné údaje na plnenie úloh na účely trestného konania podľa tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

(2)

Spracúvať osobné údaje na plnenie úloh na účely trestného konania, ktoré boli pôvodne získané na iný účel, je možné, ak spracúvanie osobných údajov je na účel trestného konania nevyhnutné a primerané.

(3)

Príslušný orgán je oprávnený osobné údaje spracúvať aj na iný účel, ako je plnenie úloh na účely trestného konania, ak to je zlučiteľné s účelom, na ktorý sa zhromaždili, a ak spracúvanie je na tento iný účel nevyhnutné a primerané. Na spracúvanie osobných údajov na iný účel sa vzťahuje osobitný predpis,2) ak ide o spracúvanie osobných údajov v rámci činnosti, ktorá patrí do pôsobnosti práva Európskej únie; ak nejde o spracúvanie v rámci činnosti, ktorá patrí do pôsobnosti práva Európskej únie, na spracúvanie osobných údajov na iný účel sa vzťahuje tento zákon okrem tejto časti.

(4)

Ak príslušný orgán vykonáva iné činnosti, ako je plnenie úloh na účely trestného konania, na spracúvanie osobných údajov na iné činnosti sa vzťahuje osobitný predpis,2) ak ide o spracúvanie osobných údajov v rámci činnosti, ktorá patrí do pôsobnosti práva Európskej únie; ak nejde o spracúvanie osobných údajov v rámci činnosti, ktorá patrí do pôsobnosti práva Európskej únie, na spracúvanie osobných údajov na iné činnosti sa vzťahuje tento zákon okrem tejto časti.

§ 56

Spracúvanie osobitných kategórií osobných údajov

(1)

Osobitné kategórie osobných údajov môže príslušný orgán spracúvať len vtedy, ak

a)

ich preukázateľne poskytla dotknutá osoba,

b)

je ich spracúvanie nevyhnutné podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo

c)

je ich spracúvanie nevyhnutné na ochranu života, zdravia alebo majetku dotknutej osoby alebo inej fyzickej osoby.

(2)

Príslušný orgán musí pri spracúvaní osobitných kategórií osobných údajov prijať primerané záruky na ochranu práv dotknutej osoby.

§ 57

Kategórie dotknutých osôb

Príslušný orgán je, ak je to možné, povinný rozlišovať medzi osobnými údajmi rôznych kategórií dotknutých osôb, ako sú najmä

a)

osoby, u ktorých sa možno odôvodnene domnievať, že spáchali alebo majú v úmysle spáchať trestný čin,

b)

osoby odsúdené za spáchanie trestného činu,

c)

obete trestného činu alebo osoby, u ktorých sú na základe určitých skutočností dôvody domnievať sa, že sú alebo by mohli byť obeťami trestného činu,

d)

iné tretie osoby v súvislosti s trestným činom, a to najmä osoby, ktoré môžu byť vyzvané, aby svedčili v rámci trestného konania, osoby, ktoré môžu poskytnúť informácie o trestných činoch, alebo kontaktné osoby alebo spoločníci niektorej z osôb podľa písmen a) a b).

§ 58

Pôvod a pravdivosť osobných údajov

(1)

Príslušný orgán označí, ak je to možné, osobné údaje založené na skutočnostiach a osobné údaje založené na osobných hodnoteniach.

(2)

Príslušný orgán pred poskytnutím osobných údajov alebo pred prenosom osobných údajov overí ich správnosť, úplnosť a aktuálnosť, ak je to možné, a prijme opatrenia na zabezpečenie toho, aby sa neposkytovali alebo neprenášali osobné údaje, ktoré sú nesprávne, neúplné alebo neaktuálne.

(3)

Príslušný orgán k poskytnutiu a prenosu osobných údajov pripojí dostupné informácie, ktoré umožnia prijímajúcemu príslušnému orgánu posúdiť ich mieru správnosti, úplnosti, aktuálnosti a spoľahlivosti, ak to okolnosti dovoľujú. Nesprávne osobné údaje príslušný orgán nemôže poskytovať a prenášať; neoverené osobné údaje príslušný orgán musí pri poskytovaní alebo prenose takto označiť a musí uviesť mieru ich spoľahlivosti. Ak príslušný orgán neoprávnene poskytne osobné údaje alebo neoprávnene prenesie osobné údaje alebo poskytne nesprávne osobné údaje alebo prenesie nesprávne osobné údaje, je povinný bez zbytočného odkladu informovať príjemcu a žiadať príjemcov osobných údajov, ktorým sa také osobné údaje poskytli, aby ich bez zbytočného odkladu opravili, doplnili, vymazali alebo aby obmedzili spracúvanie takých osobných údajov.

DRUHÁ HLAVA

PRÁVA DOTKNUTEJ OSOBY

§ 59

Na postup príslušných orgánov pri spracúvaní osobných údajov na plnenie úloh na účely trestného konania sa vzťahuje § 29 rovnako.

§ 60

Informácie, ktoré sa majú sprístupniť alebo poskytnúť dotknutej osobe

(1)

Príslušný orgán na svojom webovom sídle sprístupní najmä

a)

svoje identifikačné údaje a kontaktné údaje,

b)

kontaktné údaje zodpovednej osoby,

c)

informácie o účele spracúvania, na ktoré sú osobné údaje určené,

d)

kontaktné údaje úradu,

e)

informácie o práve podať návrh na začatie konania podľa § 100,

f)

informácie o práve žiadať od príslušného orgánu prístup k osobným údajom, ktoré sa dotknutej osoby týkajú, ich opravu, vymazanie alebo obmedzenie ich spracúvania.

(2)

Na žiadosť dotknutej osoby je príslušný orgán povinný poskytnúť v osobitných prípadoch dotknutej osobe informácie o

a)

právnom základe spracúvania osobných údajov,

b)

dobe uchovávania osobných údajov; ak to nie je možné, informáciu o kritériách jej určenia,

c)

kategóriách príjemcov osobných údajov, a to aj v tretej krajine a medzinárodnej organizácii,

d)

o iných skutočnostiach, najmä ak sa osobné údaje získali bez vedomia dotknutej osoby.

§ 61

Právo na prístup k osobným údajom

Dotknutá osoba má právo získať od príslušného orgánu potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak to tak je, má právo získať prístup k týmto osobným údajom a informácie o

a)

účele spracúvania osobných údajov a právnom základe spracúvania osobných údajov,

b)

kategórii spracúvaných osobných údajov,

c)

príjemcovi alebo kategórii príjemcov, ktorým boli alebo majú byť osobné údaje poskytnuté, najmä o príjemcovi v tretej krajine alebo o medzinárodnej organizácii,

d)

dobe uchovávania osobných údajov; ak to nie je možné, informáciu o kritériách jej určenia,

e)

práve žiadať od príslušného orgánu opravu osobných údajov týkajúcich sa dotknutej osoby alebo ich vymazanie alebo obmedzenie spracúvania osobných údajov alebo práve namietať spracúvanie osobných údajov,

f)

kontaktných údajoch úradu,

g)

práve podať návrh na začatie konania podľa § 100,

h)

zdroji osobných údajov, ak sú dostupné.

§ 62

Právo na opravu osobných údajov, právo na vymazanie osobných údajov a obmedzenie týchto práv

(1)

Dotknutá osoba má právo na to, aby príslušný orgán bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa jej týkajú. So zreteľom na účel spracúvania osobných údajov má dotknutá osoba právo na doplnenie neúplných osobných údajov.

(2)

Dotknutá osoba má právo na to, aby príslušný orgán bez zbytočného odkladu vymazal osobné údaje, ktoré sa jej týkajú, a príslušný orgán je povinný bez zbytočného odkladu vymazať osobné údaje, ak

a)

spracúvanie osobných údajov je v rozpore so zásadami spracúvania osobných údajov podľa § 52 až 55,

b)

spracúvanie osobných údajov je v rozpore s § 56, alebo

c)

výmaz osobných údajov je nevyhnutný na účel splnenia povinností podľa tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

(3)

Namiesto vymazania príslušný orgán obmedzí spracúvanie osobných údajov, ak

a)

dotknutá osoba napadla správnosť osobných údajov a ich správnosť alebo nesprávnosť nemožno určiť, alebo

b)

osobné údaje sa musia zachovať na účely dokazovania.

(4)

Ak je obmedzené spracúvanie osobných údajov podľa odseku 3 písm. a), príslušný orgán je povinný pred zrušením obmedzenia spracúvania osobných údajov o tom dotknutú osobu informovať.

(5)

Príslušný orgán je povinný písomne informovať dotknutú osobu o zamietnutí práva na opravu podľa odseku 1, práva na vymazanie podľa odseku 2 alebo obmedzenie spracúvania osobných údajov podľa odseku 3 a o dôvodoch zamietnutia.

§ 63

Obmedzenie poskytnutia informácií a práv dotknutej osoby

(1)

Príslušný orgán môže odložiť poskytnutie informácií, obmedziť poskytnutie informácií alebo upustiť od poskytnutia informácií podľa § 60 ods. 2, úplne alebo čiastočne obmedziť právo na prístup podľa § 61 alebo môže úplne alebo čiastočne obmedziť povinnosť informovať podľa § 62 ods. 5, ak

a)

by mohlo dôjsť k ovplyvňovaniu alebo mareniu úradného postupu alebo súdneho postupu alebo šetrenia,

b)

by mohlo dôjsť k ohrozeniu plnenia úloh na účely trestného konania,

c)

je to potrebné na zabezpečenie ochrany verejného poriadku alebo bezpečnosti štátu, alebo

d)

je to potrebné na ochranu práv iných osôb.

(2)

Osobitný predpis môže ustanoviť kategórie spracúvania osobných údajov, na ktoré sa vzťahuje odsek 1.

(3)

Príslušný orgán je povinný písomne informovať dotknutú osobu o zamietnutí práva na prístup alebo obmedzení práva na prístup podľa § 61 a o dôvodoch tohto zamietnutia alebo obmedzenia; to neplatí, ak by sa poskytnutím takej informácie ohrozil účel podľa odseku 1.

(4)

Príslušný orgán musí zdokumentovať skutkové dôvody alebo právne dôvody, na základe ktorých sa obmedzilo právo na prístup podľa § 61, a poskytnúť ich na požiadanie úradu.

(5)

Ak príslušný orgán obmedzí poskytnutie informácií alebo obmedzí právo dotknutej osoby podľa odseku 1, je povinný dotknutú osobu písomne informovať o možnosti podania návrhu na začatie konania podľa § 100 vrátane možnosti uplatnenia práva na preverenie zákonnosti postupov príslušného orgánu podľa odsekov 1 a 3 úradom a o možnosti uplatnenia práv dotknutej osoby na inú právnu ochranu.19)

§ 64

Oznámenie opravy, vymazania alebo obmedzenia spracúvania osobných údajov

Príslušný orgán je povinný oznámiť opravu nesprávnych osobných údajov príslušnému orgánu, od ktorého nesprávne osobné údaje získal. Ak príslušný orgán nesprávne osobné údaje opraví, vymaže nesprávne osobné údaje alebo obmedzí ich spracúvanie podľa § 62 ods. 1 až 3, informuje o tom príjemcu, ktorý je také osobné údaje povinný opraviť, vymazať alebo obmedziť ich spracúvanie.

§ 65

Ustanovenia § 61 až 64 sa neuplatňujú, ak ide o osobné údaje, ktoré sú súčasťou vyšetrovacieho spisu alebo súdneho spisu v rámci trestného konania; práva uvedené v týchto ustanoveniach sa vykonávajú podľa osobitného predpisu.21)

§ 66

Automatizované individuálne rozhodovanie

(1)

Rozhodnutie príslušného orgánu, ktoré má na dotknutú osobu nepriaznivé právne účinky, nesmie byť založené výlučne na automatizovanom spracúvaní osobných údajov vrátane profilovania, ak osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, neustanovuje inak. Osobitým predpisom alebo medzinárodnou zmluvou, ktorou je Slovenská republika viazaná, musia byť ustanovené primerané záruky ochrany práv dotknutej osoby, najmä právo na overenie rozhodnutia nie automatizovaným spôsobom zo strany príslušného orgánu.

(2)

Rozhodnutie podľa odseku 1 nesmie byť založené na osobitných kategóriách osobných údajov, ak sa neuplatňujú vhodné opatrenia na zaručenie práv a oprávnených záujmov dotknutej osoby.

(3)

Profilovanie, ktoré vedie k diskriminácii osôb na základe osobitných kategórií osobných údajov, sa zakazuje.

TRETIA HLAVA

PRÁVA A POVINNOSTI PRÍSLUŠNÉHO ORGÁNU A SPROSTREDKOVATEĽA

§ 67

Na postup príslušných orgánov pri spracúvaní osobných údajov na plnenie úloh na účely trestného konania sa vzťahujú § 31, § 32, § 33 ods. 1 a 3, § 34, § 36, § 37, § 39 až 41, § 42 ods. 1 až 5 a 7 a § 44 až 46 rovnako.

§ 68

(1)

Príslušný orgán raz za tri roky preverí, či sú spracúvané osobné údaje naďalej potrebné na plnenie úloh na účely trestného konania, ak osobitný predpis neustanovuje inak.

(2)

Príslušný orgán vedie záznamy o spracovateľských činnostiach, za ktoré je zodpovedný. Záznamy o spracovateľských činnostiach musia obsahovať okrem informácií podľa § 37 aj informácie o

a)

použití profilovania, ak príslušný orgán zamýšľa profilovanie,

b)

právnom základe pre spracovateľské operácie vrátane prenosu, pre ktorý sú osobné údaje určené.

§ 69

Vedenie logov

(1)

Príslušný orgán pri získavaní, zmene, prehliadaní, poskytovaní vrátane prenosu, kombinovaní a vymazaní osobných údajov v systéme automatizovaného spracúvania uchováva logy. Z logov o prehliadaní a poskytovaní musí byť možné určiť dôvod, dátum a čas prehliadania alebo poskytovania a identifikačné údaje osoby, ktorá tieto osobné údaje prehliadala alebo ich poskytovala, ako aj totožnosť príjemcov.

(2)

Príslušný orgán využíva a uchováva logy výlučne na účely overovania zákonnosti spracúvania osobných údajov, vlastného monitorovania, na účely zabezpečenia integrity a bezpečnosti osobných údajov a na účely trestného konania.

(3)

Príslušný orgán a sprostredkovateľ príslušného orgánu na požiadanie sprístupnia logy úradu, ak sú dostupné.

§ 70

Predchádzajúca konzultácia

(1)

Príslušný orgán uskutoční s úradom konzultáciu pred spracúvaním osobných údajov, ktoré má tvoriť súčasť nového informačného systému, ak je z posúdenia vplyvu na ochranu osobných údajov podľa § 42 zrejmé, že toto spracúvanie povedie k vysokému riziku pre práva fyzických osôb, ak príslušný orgán neprijme opatrenia na zmiernenie tohto rizika alebo sa s typom spracúvania, najmä s využitím nových technológií, mechanizmov alebo postupov, spája vysoké riziko porušenia práv dotknutej osoby.

(2)

Príslušný orgán spolu so žiadosťou o predchádzajúcu konzultáciu poskytne úradu aj posúdenie vplyvu na ochranu osobných údajov podľa § 42, ktoré vykonal, a na požiadanie úradu aj ďalšie informácie, ktoré úradu umožnia posúdiť súlad spracúvania osobných údajov s týmto zákonom a najmä riziká z hľadiska ochrany osobných údajov dotknutej osoby a súvisiacich záruk.

(3)

Ak sa úrad domnieva, že by zamýšľané spracúvanie osobných údajov podľa odseku 1 bolo nezákonné, najmä ak príslušný orgán nedostatočne identifikoval riziko alebo zmiernil riziko, úrad do šiestich týždňov od prijatia žiadosti o konzultáciu poskytne príslušnému orgánu, prípadne aj sprostredkovateľovi, písomné poradenstvo. Úrad môže s ohľadom na zložitosť zamýšľaného spracúvania osobných údajov predĺžiť lehotu podľa predchádzajúcej vety o jeden mesiac; predĺženie lehoty a dôvody predĺženia úrad oznámi prevádzkovateľovi, prípadne aj sprostredkovateľovi, do jedného mesiaca od prijatia žiadosti o konzultáciu. Lehota na poskytnutie poradenstva úradom neplynie dovtedy, kým úrad nezíska informácie, o ktoré požiadal na účely predchádzajúcej konzultácie.

(4)

Ďalšie spracovateľské operácie pre príslušný orgán, ktoré podliehajú povinnosti uskutočniť predchádzajúce konzultácie podľa odseku 1, ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

§ 71

Bezpečnosť spracúvania osobných údajov

Príslušný orgán alebo sprostredkovateľ príslušného orgánu pri automatizovanom spracúvaní osobných údajov prijme na základe vyhodnotenia rizík opatrenia na

a)

kontrolu prístupu k zariadeniam, aby sa zabránilo neoprávnenému prístupu k zariadeniam na spracúvanie osobných údajov, ktoré sa používajú na spracúvanie,

b)

kontrolu nosičov osobných údajov, aby sa zabránilo neoprávnenému čítaniu nosičov osobných údajov, kopírovaniu nosičov osobných údajov, pozmeňovaniu nosičov osobných údajov alebo odstráneniu nosičov osobných údajov,

c)

kontrolu uchovávania osobných údajov, aby sa zabránilo neoprávnenému vkladaniu osobných údajov do informačného systému a neoprávnenému prehliadaniu osobných údajov v informačnom systéme, pozmeňovaniu osobných údajov v informačnom systéme alebo vymazaniu osobných údajov z informačného systému,

d)

kontrolu užívateľa informačného systému, aby sa zabránilo použitiu systémov automatizovaného spracúvania neoprávnenými osobami pomocou zariadenia na prenos osobných údajov,

e)

kontrolu prístupu k osobným údajom, aby sa zabezpečilo, že osoby oprávnené používať systém automatizovaného spracúvania budú mať prístup iba k tým osobným údajom, na ktoré sa vzťahuje ich oprávnenie na prístup,

f)

kontrolu prenosu údajov, aby sa zabezpečila možnosť overiť a zistiť subjekty, ktorým sa preniesli osobné údaje alebo poskytli osobné údaje, alebo overiť a zistiť subjekty, ktorým sa môžu preniesť osobné údaje, alebo poskytnúť osobné údaje prostredníctvom zariadenia na prenos osobných údajov,

g)

kontrolu vkladania údajov do informačného systému, aby sa zabezpečilo, že bude možné overiť a zistiť, aké osobné údaje sa vložili do systému automatizovaného spracúvania, a kedy a kto ich tam vložil,

h)

kontrolu prepravy osobných údajov, aby sa zabránilo neoprávnenému čítaniu osobných údajov, kopírovaniu osobných údajov, pozmeňovaniu osobných údajov alebo vymazaniu osobných údajov počas ich prenosu alebo počas prepravy nosiča osobných údajov,

i)

obnovu osobných údajov, aby sa zabezpečilo, že sa inštalované systémy obnovia, ak dôjde k ich prerušeniu,

j)

zabezpečenie spoľahlivosti informačného systému, aby sa zabezpečilo, že funkcie tohto systému fungujú a hlási sa výskyt chýb v jeho funkciách,

k)

zabezpečenie integrity informačného systému, aby sa uchovávané osobné údaje nemohli poškodiť, ak nastane porucha tohto systému.

§ 72

Oznámenie porušenia ochrany osobných údajov

(1)

Príslušný orgán je povinný bez zbytočného odkladu oznámiť informácie podľa § 40 ods. 4 orgánu členského štátu príslušnému na plnenie úloh na účely trestného konania, ak porušenie ochrany osobných údajov zahŕňa osobné údaje, ktorých prenos vykonal orgán členského štátu príslušný na plnenie úloh na účely trestného konania alebo ktoré boli prenesené takému orgánu.

(2)

Príslušný orgán môže odložiť oznámenie o porušení ochrany osobných údajov, obmedziť oznámenie o porušení ochrany osobných údajov alebo upustiť od oznámenia porušenia ochrany osobných údajov dotknutej osobe podľa § 41, ak

a)

by mohlo dôjsť k ovplyvňovaniu alebo mareniu úradného postupu alebo súdneho postupu alebo šetrenia,

b)

by mohlo dôjsť k ohrozeniu plnenia úloh na účely trestného konania,

c)

je to potrebné na zabezpečenie ochrany verejného poriadku alebo bezpečnosti štátu, alebo

d)

je to potrebné na ochranu práv iných osôb.

ŠTVRTÁ HLAVA

PRENOS OSOBNÝCH ÚDAJOV DO TRETEJ KRAJINY ALEBO MEDZINÁRODNEJ ORGANIZÁCII

§ 73

(1)

Na postup príslušných orgánov pri spracúvaní osobných údajov na plnenie úloh na účely trestného konania sa vzťahujú § 48 ods. 1 a § 50 rovnako.

(2)

Prenos osobných údajov medzi príslušnými orgánmi a orgánmi členských štátov príslušnými na plnenie úloh na účely trestného konania sa zaručuje, ak sa taký prenos vyžaduje podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

§ 74

Všeobecné zásady prenosu osobných údajov

(1)

Prenos osobných údajov, ktoré sa spracúvajú alebo sú určené na spracúvanie po prenose do tretej krajiny alebo medzinárodnej organizácii, vrátane následného prenosu do ďalšej tretej krajiny či ďalšej medzinárodnej organizácii príslušný orgán môže uskutočniť len vtedy, ak

a)

je prenos potrebný na plnenie úloh na účely trestného konania,

b)

sa osobné údaje prenášajú prevádzkovateľovi v tretej krajine alebo medzinárodnej organizácii, ktorý je orgánom príslušným na plnenie úloh na účely trestného konania, ak nie je v § 77 ods. 1 ustanovené inak,

c)

členský štát vydal povolenie na prenos v súlade so svojím vnútroštátnym právom, ak sa prenesú osobné údaje alebo poskytnú osobné údaje z iného členského štátu, ešte pred uskutočnením prenosu,

d)

Komisia prijala rozhodnutie o primeranosti podľa § 48 ods. 1 alebo boli poskytnuté alebo existujú primerané záruky podľa § 75 alebo platia výnimky pre osobitné situácie podľa § 76,

e)

pri následnom prenose do ďalšej tretej krajiny alebo medzinárodnej organizácii príslušný orgán, ktorý uskutočnil pôvodný prenos, alebo iný príslušný orgán v Slovenskej republike vydá povolenie na následný prenos, a to po náležitom zohľadnení relevantných faktorov vrátane závažnosti trestného činu, účelu, na ktorý sa osobné údaje pôvodne preniesli, a úrovne ochrany osobných údajov v tretej krajine alebo medzinárodnej organizácii, do ktorej sa osobné údaje následne prenášajú.

(2)

Prenos bez predchádzajúceho povolenia členského štátu podľa odseku 1 písm. c) možno uskutočniť len vtedy, ak je prenos nevyhnutný na zabránenie bezprostrednému a vážnemu ohrozeniu verejnej bezpečnosti členského štátu alebo tretej krajiny, alebo základných záujmov členského štátu a predchádzajúce povolenie nie je možné získať včas; orgán zodpovedný za vydanie predchádzajúceho povolenia sa o tom musí informovať bez zbytočného odkladu.

(3)

Ak príslušný orgán uskutočňuje prenos osobných údajov, na ktorých spracúvanie sa podľa osobitného predpisu vzťahujú osobitné podmienky spracúvania, musí o podmienkach a požiadavke dodržiavať ich informovať príjemcu. Pri prenose osobných údajov príjemcovi v inom členskom štáte alebo agentúre, úradu alebo orgánu Európskej únie nemôže príslušný orgán uplatňovať iné podmienky, ako sa uplatňujú na prenos osobných údajov v rámci Slovenskej republiky.

§ 75

Primerané záruky

(1)

Ak neexistuje rozhodnutie Komisie o primeranosti podľa § 48 ods. 1, príslušný orgán môže uskutočniť prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii len vtedy, ak

a)

osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, poskytuje primerané záruky ochrany osobných údajov, alebo

b)

príslušný orgán posúdil okolnosti prenosu osobných údajov a dospel k záveru, že existujú primerané záruky ochrany osobných údajov.

(2)

Príslušný orgán informuje úrad o kategóriách prenosov podľa odseku 1 písm. b).

(3)

Ak príslušný orgán uskutočňuje prenos podľa odseku 1 písm. b), musí sa taký prenos zdokumentovať; dokumentácia sa na žiadosť poskytne úradu. V dokumentácii musí byť uvedený dátum a čas prenosu, informácie o prijímajúcom príslušnom orgáne, odôvodnenie prenosu osobných údajov a prenášané osobné údaje.

(4)

Rozhodnutím Komisie o zrušení, zmene alebo pozastavení svojho rozhodnutia o primeranosti podľa § 48 ods. 1 nie je dotknutý prenos osobných údajov podľa odseku 1 a § 76.

§ 76

Výnimky pre osobitné situácie

(1)

Ak neexistuje rozhodnutie Komisie o primeranosti podľa § 48 ods. 1 ani primerané záruky podľa § 75, prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii môže príslušný orgán uskutočniť len vtedy, ak je prenos nevyhnutný

a)

na ochranu života, zdravia alebo majetku dotknutej osoby, alebo inej fyzickej osoby,

b)

na zabezpečenie oprávnených záujmov dotknutej osoby, ak tak ustanovuje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná,

c)

na predídenie bezprostredného a vážneho ohrozenia verejnej bezpečnosti členského štátu alebo tretej krajiny,

d)

v osobitných prípadoch na plnenie úloh na účely trestného konania, alebo

e)

v osobitných prípadoch na uplatnenie právneho nároku súvisiaceho s plnením úloh na účely trestného konania.

(2)

Prenos osobných údajov podľa odseku 1 sa nesmie uskutočniť, ak príslušný orgán, ktorý prenos uskutočňuje, určí, že práva dotknutej osoby prevažujú nad verejným záujmom na prenose podľa odseku 1 písm. d) a e).

(3)

Ak sa prenos osobných údajov uskutočňuje podľa odseku 1, musí sa taký prenos zdokumentovať; dokumentácia sa na žiadosť poskytne úradu. V dokumentácii musí byť uvedený dátum a čas prenosu, informácie o prijímajúcom príslušnom orgáne, odôvodnenie prenosu osobných údajov a prenášané osobné údaje.

§ 77

Prenos osobných údajov príjemcovi z tretej krajiny

(1)

Príslušný orgán v osobitných prípadoch môže uskutočniť prenos osobných údajov príjemcovi so sídlom, miestom podnikania, organizačnou zložkou, prevádzkarňou alebo trvalým pobytom v tretej krajine, ak okrem iných podmienok prenosu osobných údajov ustanovených týmto zákonom

a)

je prenos nevyhnutný na plnenie úlohy na účely trestného konania príslušného orgánu, ktorý prenos uskutočňuje,

b)

príslušný orgán, ktorý prenos uskutočňuje, určí, že žiadne práva dotknutej osoby neprevažujú nad verejným záujmom, z ktorého v danom prípade vyplynula nevyhnutnosť prenosu,

c)

príslušný orgán, ktorý prenos uskutočňuje, sa domnieva, že prenos orgánu, ktorý je v tretej krajine príslušný na plnenie úloh na účely trestného konania, je neefektívny alebo nevhodný, najmä preto, že prenos nemožno dosiahnuť v primeranom čase,

d)

orgán, ktorý je v tretej krajine príslušný na plnenie úloh na účely trestného konania, je bez zbytočného odkladu informovaný, okrem prípadov, ak je také opatrenie neúčinné alebo nevhodné, a

e)

príslušný orgán, ktorý prenos uskutočňuje, informuje príjemcu o konkrétnom účele alebo účeloch, na ktoré má príjemca tieto osobné údaje výlučne spracúvať, ak je také spracúvanie nevyhnutné.

(2)

Prenosom príjemcovi z tretej krajiny podľa odseku 1 nie je dotknutá medzinárodná zmluva, ktorou je Slovenská republika viazaná v oblasti justičnej spolupráce v trestných veciach a policajnej spolupráce.

(3)

Príslušný orgán, ktorý uskutočňuje prenos podľa odseku 1, musí o tom informovať úrad.

(4)

Ak príslušný orgán uskutočňuje prenos podľa odseku 1, je povinný ho zdokumentovať.

§ 78

(1)

Prevádzkovateľ môže spracúvať osobné údaje bez súhlasu dotknutej osoby aj vtedy, ak spracúvanie osobných údajov je nevyhnutné na akademický účel, umelecký účel alebo literárny účel; to neplatí, ak spracúvaním osobných údajov na taký účel prevádzkovateľ porušuje právo dotknutej osoby na ochranu jej osobnosti alebo právo na ochranu súkromia alebo také spracúvanie osobných údajov bez súhlasu dotknutej osoby vylučuje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná.

(2)

Prevádzkovateľ môže spracúvať osobné údaje bez súhlasu dotknutej osoby aj vtedy, ak spracúvanie osobných údajov je nevyhnutné pre potreby informovania verejnosti masovokomunikačnými prostriedkami a ak osobné údaje spracúva prevádzkovateľ, ktorému to vyplýva z predmetu činnosti; to neplatí, ak spracúvaním osobných údajov na taký účel prevádzkovateľ porušuje právo dotknutej osoby na ochranu jej osobnosti alebo právo na ochranu súkromia alebo také spracúvanie osobných údajov bez súhlasu dotknutej osoby vylučuje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná.

(3)

Prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby, je oprávnený poskytovať jej osobné údaje alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, pracovné zaradenie, služobné zaradenie, funkčné zaradenie, osobné číslo zamestnanca alebo zamestnanecké číslo zamestnanca, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo, adresa elektronickej pošty na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných povinností, služobných povinností alebo funkčných povinností dotknutej osoby. Poskytovanie osobných údajov alebo zverejnenie osobných údajov nesmie narušiť vážnosť, dôstojnosť a bezpečnosť dotknutej osoby.

(4)

Pri spracúvaní osobných údajov možno využiť na účely identifikovania fyzickej osoby všeobecne použiteľný identifikátor podľa osobitného predpisu22) len vtedy, ak jeho využitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Súhlas so spracúvaním všeobecne použiteľného identifikátora musí byť výslovný a nesmie ho vylučovať osobitný predpis, ak ide o jeho spracúvanie na právnom základe súhlasu dotknutej osoby. Zverejňovať všeobecne použiteľný identifikátor sa zakazuje; to neplatí, ak všeobecne použiteľný identifikátor zverejní sama dotknutá osoba.

(5)

Prevádzkovateľ môže spracúvať genetické údaje, biometrické údaje a údaje týkajúce sa zdravia aj na právnom základe osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

(6)

Osobné údaje o dotknutej osobe možno získať od inej fyzickej osoby a spracúvať v informačnom systéme len s predchádzajúcim písomným súhlasom dotknutej osoby; to neplatí, ak poskytnutím osobných údajov o dotknutej osobe do informačného systému iná fyzická osoba chráni svoje práva alebo právom chránené záujmy, oznamuje skutočnosti, ktoré odôvodňujú uplatnenie právnej zodpovednosti dotknutej osoby, alebo sa osobné údaje spracúvajú na základe osobitného zákona podľa § 13 ods. 1 písm. c) a e). Ten, kto také osobné údaje spracúva, musí vedieť preukázať úradu na jeho žiadosť, že ich získal v súlade s týmto zákonom.

(7)

Ak dotknutá osoba nežije, súhlas vyžadovaný podľa tohto zákona alebo osobitného predpisu2) môže poskytnúť jej blízka osoba.23) Súhlas nie je platný, ak čo len jedna blízka osoba písomne vyslovila nesúhlas.

(8)

Pri spracúvaní osobných údajov na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel je prevádzkovateľ a sprostredkovateľ povinný prijať primerané záruky pre práva dotknutej osoby. Tieto záruky obsahujú zavedenie primeraných a účinných technických a organizačných opatrení najmä na zabezpečenie dodržiavania zásady minimalizácie údajov a pseudonymizácie.

(9)

Ak sa osobné údaje spracúvajú na vedecký účel, účel historického výskumu alebo na štatistický účel, môžu byť práva dotknutej osoby podľa § 21, § 22, § 24 a 27 alebo podľa osobitného predpisu24) obmedzené osobitným predpisom alebo medzinárodnou zmluvou, ktorou je Slovenská republika viazaná, ak sú prijaté primerané podmienky a záruky podľa odseku 6, ak by tieto práva dotknutej osoby pravdepodobne znemožnili alebo závažným spôsobom sťažili dosiahnutie týchto účelov a také obmedzenie práv dotknutej osoby je nevyhnutné na dosiahnutie týchto účelov.

(10)

Ak sa osobné údaje spracúvajú na účel archivácie, môžu byť práva dotknutej osoby podľa § 21, § 22 a § 24 až 27 alebo podľa osobitného predpisu25) obmedzené osobitným predpisom, ak sú prijaté primerané podmienky a záruky podľa odseku 6, ak by tieto práva dotknutej osoby pravdepodobne znemožnili alebo závažným spôsobom sťažili dosiahnutie týchto účelov a také obmedzenie práv dotknutej osoby je nevyhnutné na dosiahnutie týchto účelov.

(11)

Prevádzkovateľ a sprostredkovateľ pri prijímaní bezpečnostných opatrení a pri posudzovaní vplyvu na ochranu osobných údajov postupuje primerane podľa medzinárodných noriem a štandardov bezpečnosti.

§ 79

(1)

Prevádzkovateľ a sprostredkovateľ je povinný zachovávať mlčanlivosť o osobných údajoch, ktoré spracúva. Povinnosť mlčanlivosti trvá aj po ukončení spracúvania osobných údajov.

(2)

Prevádzkovateľ a sprostredkovateľ je povinný zaviazať mlčanlivosťou o osobných údajoch fyzické osoby, ktoré prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa. Povinnosť mlčanlivosti podľa prvej vety musí trvať aj po skončení pracovného pomeru, štátnozamestnaneckého pomeru, služobného pomeru alebo obdobného pracovného vzťahu tejto fyzickej osoby.

(3)

Povinnosť mlčanlivosti podľa odsekov 1 a 2 neplatí, ak je to nevyhnutné na plnenie úloh súdu a orgánov činných v trestnom konaní podľa osobitného zákona; tým nie sú dotknuté ustanovenia o mlčanlivosti podľa osobitných predpisov.26)

(4)

Ustanovenia o povinnosti mlčanlivosti podľa odsekov 1 a 2, § 45 ods. 5 sa nepoužijú vo vzťahu k úradu pri plnení jeho úloh podľa tohto zákona alebo osobitného predpisu.2)

PRVÁ HLAVA

POSTAVENIE, PÔSOBNOSŤ A ORGANIZÁCIA ÚRADU

§ 80

Postavenie úradu

(1)

Úrad je orgánom štátnej správy s celoslovenskou pôsobnosťou, ktorý sa podieľa na ochrane základných práv fyzických osôb pri spracúvaní osobných údajov a ktorý vykonáva dozor nad ochranou osobných údajov vrátane dozoru nad ochranou osobných údajov spracúvaných príslušnými orgánmi pri plnení úloh na účely trestného konania, ak nie je v § 81 ods. 7 a 8 ustanovené inak.

(2)

Sídlom úradu je Bratislava.

(3)

Úrad na plnenie úloh dozorného orgánu nad ochranou osobných údajov môže zriaďovať a zrušovať detašované pracoviská mimo svojho sídla a určovať územný obvod ich pôsobnosti.

(4)

Úrad pri výkone svojej pôsobnosti postupuje nezávisle a riadi sa ústavou, ústavnými zákonmi, zákonmi, ostatnými všeobecne záväznými právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná.

(5)

Úrad je rozpočtovou organizáciou.27) Návrh rozpočtu predkladá úrad ako súčasť kapitoly Všeobecná pokladničná správa. Schválený rozpočet úradu môže znížiť v priebehu kalendárneho roku iba Národná rada Slovenskej republiky.

(6)

Podrobnosti o organizácii úradu upraví organizačný poriadok úradu, ktorý vydá predseda úradu.

§ 81

Úlohy úradu

(1)

Úrad je dozorný orgán podľa tohto zákona alebo osobitného predpisu28) a plní úlohy a vykonáva právomoci, ktoré sú mu zverené podľa tohto zákona a podľa osobitného predpisu.29)

(2)

Úrad

a)

monitoruje uplatňovanie tohto zákona,

b)

vyjadruje sa k návrhom zákonov a k návrhom ostatných všeobecne záväzných právnych predpisov, v ktorých sa upravuje spracúvanie osobných údajov,

c)

poskytuje konzultácie v oblasti ochrany osobných údajov,

d)

metodicky usmerňuje prevádzkovateľov a sprostredkovateľov pri spracúvaní osobných údajov,

e)

zvyšuje povedomie verejnosti najmä v oblasti rizík a práv súvisiacich so spracúvaním osobných údajov,

f)

zvyšuje povedomie prevádzkovateľov a sprostredkovateľov o ich povinnostiach podľa tohto zákona,

g)

na požiadanie poskytuje informácie dotknutej osobe v súvislosti s uplatnením jej práv podľa tohto zákona a na tento účel spolupracuje s dozornými orgánmi iných členských štátov,30)

h)

pri výkone dozoru nad ochranou osobných údajov preveruje zákonnosť spracúvania osobných údajov príslušným orgánom pri výkone práva dotknutou osobou podľa § 63 ods. 5 a informuje dotknutú osobu o výsledku preverenia do 30 dní odo dňa podania žiadosti o preverenie alebo o dôvodoch, prečo k prevereniu nedošlo, a o možnosti uplatnenia práva dotknutej osoby na podanie návrhu na začatie konania podľa § 100 a na inú právnu ochranu podľa osobitného predpisu,19)

i)

monitoruje vývoj najmä informačných a komunikačných technológií a obchodných praktík, ak má dosah na ochranu osobných údajov,

j)

spolupracuje s Európskym výborom pre ochranu údajov v oblasti ochrany osobných údajov,31)

k)

predkladá Národnej rade Slovenskej republiky správu o stave ochrany osobných údajov najmenej raz za rok; správu o stave ochrany osobných údajov zverejňuje úrad na svojom webovom sídle a poskytuje ju Európskemu výboru pre ochranu údajov a Komisii,

l)

spolupracuje s dozornými orgánmi iných členských štátov vrátane výmeny informácií a poskytuje im vzájomnú pomoc s cieľom zabezpečiť spoločný postup pri ochrane osobných údajov podľa tohto zákona a osobitného predpisu.32)

(3)

Úrad je pri plnení svojich úloh oprávnený

a)

nariadiť prevádzkovateľovi a sprostredkovateľovi, prípadne aj zástupcovi prevádzkovateľa alebo sprostredkovateľa, ak bol poverený, aby poskytli informácie, ktoré sú nevyhnutné na plnenie jeho úloh,

b)

získať od prevádzkovateľa a sprostredkovateľa prístup k osobným údajom a informáciám, ktoré sú nevyhnutné na plnenie jeho úloh; tým nie sú dotknuté ustanovenia o mlčanlivosti podľa osobitných predpisov,26)

c)

vstupovať do priestorov prevádzkovateľa a sprostredkovateľa, ako aj k akémukoľvek zariadeniu a prostriedkom na spracúvanie osobných údajov, a to v rozsahu nevyhnutnom na plnenie jeho úloh, ak na to nie je potrebné povolenie podľa osobitného predpisu,33)

d)

upozorniť prevádzkovateľa alebo sprostredkovateľa na to, že plánované spracovateľské operácie pravdepodobne porušia ustanovenia tohto zákona alebo osobitného predpisu,2)

e)

uložiť opatrenia na nápravu, pokutu podľa § 104 alebo poriadkovú pokutu podľa § 105, ak prevádzkovateľ, sprostredkovateľ, monitorujúci subjekt alebo certifikačný subjekt porušili ustanovenia tohto zákona alebo osobitného predpisu,2)

f)

nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby vyhovel žiadosti dotknutej osoby o uplatnenie jej práv podľa tohto zákona alebo osobitného predpisu,2)

g)

nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby svoje spracovateľské operácie zosúladil podľa potreby určeným spôsobom a v rámci určenej lehoty s ustanoveniami tohto zákona alebo osobitného predpisu,2)

h)

nariadiť prevádzkovateľovi, aby porušenie ochrany osobných údajov oznámil dotknutej osobe,

i)

nariadiť dočasné obmedzenie spracúvania osobných údajov alebo trvalé obmedzenie spracúvania osobných údajov,

j)

predvolať prevádzkovateľa alebo sprostredkovateľa na účel podania vysvetlenia pri podozrení z porušenia povinností uložených týmto zákonom, osobitným predpisom alebo medzinárodnou zmluvou, ktorou je Slovenská republika viazaná,

k)

odporučiť prevádzkovateľovi alebo sprostredkovateľovi opatrenia na zabezpečenie ochrany osobných údajov v informačných systémoch,

l)

nariadiť pozastavenie prenosu osobných údajov príjemcovi v tretej krajine alebo medzinárodnej organizácii.

(4)

Okrem plnenia úloh podľa odseku 1 a 2 úrad ďalej

a)

plní oznamovaciu povinnosť voči Komisii v oblasti ochrany osobných údajov,

b)

prijíma opatrenia na vykonanie rozhodnutí Komisie vydaných v oblasti ochrany osobných údajov,

c)

spolupracuje pri výkone dozoru nad ochranou osobných údajov s dozornými orgánmi iných členských štátov a s obdobnými orgánmi dozoru mimo územia členských štátov.

(5)

Predmetom dozoru nad ochranou osobných údajov nie sú spory zo zmluvných vzťahov alebo predzmluvných vzťahov medzi prevádzkovateľom alebo sprostredkovateľom a dotknutou osobou alebo inými osobami, na ktorých prejednávanie a rozhodovanie sú príslušné súdy alebo iné orgány podľa osobitných predpisov.

(6)

Úrad môže účtovať primeraný poplatok zodpovedajúci administratívnym nákladom alebo môže odmietnuť konať na základe žiadosti, ak je žiadosť zjavne neopodstatnená alebo neprimeraná, najmä pre jej opakujúcu sa povahu. Zjavnú neopodstatnenosť alebo neprimeranosť žiadosti preukazuje úrad.

(7)

Ak osobné údaje spracúvajú súdy pri výkone ich súdnej právomoci, dozor podľa § 90 až 98 nad ochranou osobných údajov vykonáva Ministerstvo spravodlivosti Slovenskej republiky.

(8)

Ak osobné údaje spracúva Národný bezpečnostný úrad podľa osobitného predpisu,5) dozor podľa § 90 až 98 nad ochranou osobných údajov vykonáva Národná rada Slovenskej republiky podľa osobitného predpisu.34)

§ 82

Predseda úradu

(1)

Na čele úradu je predseda, ktorého volí a odvoláva Národná rada Slovenskej republiky na návrh vlády Slovenskej republiky.

(2)

Funkčné obdobie predsedu úradu je päť rokov a možno ho zvoliť najviac na dve po sebe nasledujúce funkčné obdobia. Predseda úradu zostáva vo funkcii aj po uplynutí funkčného obdobia, kým Národná rada Slovenskej republiky nezvolí nového predsedu.

(3)

Za predsedu úradu možno zvoliť občana Slovenskej republiky, ktorý je voliteľný do Národnej rady Slovenskej republiky, má vysokoškolské vzdelanie druhého stupňa, má najmenej dvojročné skúsenosti v oblasti ochrany osobných údajov a je bezúhonný.

(4)

Za bezúhonného sa na účely tohto zákona považuje ten, kto nebol právoplatne odsúdený za úmyselný trestný čin alebo za trestný čin, pri ktorom mu výkon trestu odňatia slobody nebol podmienečne odložený, ak sa podľa rozhodnutia súdu alebo na základe zákona nehľadí na neho, ako keby nebol odsúdený alebo odsúdenie mu nebolo zahladené. Bezúhonnosť sa preukazuje doloženým výpisom z registra trestov nie starším ako tri mesiace.

(5)

Predseda úradu musí byť pri výkone svojej funkcie nezávislý a nesmie byť pri plnení svojich úloh a výkone svojich právomocí podľa tohto zákona pod vonkajším vplyvom, či už priamym alebo nepriamym, a nesmie od nikoho požadovať ani prijímať pokyny.

(6)

Predseda úradu je povinný sa zdržať akéhokoľvek konania nezlučiteľného s jeho povinnosťami podľa tohto zákona a podľa osobitného predpisu.35)

(7)

Predseda úradu je štátnym zamestnancom podľa osobitného predpisu.7) Predsedovi úradu patrí plat vo výške štvornásobku priemernej nominálnej mesačnej mzdy zamestnanca v národnom hospodárstve Slovenskej republiky za predchádzajúci kalendárny rok zaokrúhlený na celé euro nahor. Platové a ďalšie náležitosti predsedu úradu určuje vláda Slovenskej republiky.

(8)

K zániku výkonu funkcie predsedu úradu dochádza uplynutím jeho funkčného obdobia alebo zvolením nového predsedu po uplynutí funkčného obdobia predsedu úradu podľa odseku 2.

(9)

Pred uplynutím funkčného obdobia výkon funkcie zaniká

a)

vzdaním sa funkcie,

b)

stratou voliteľnosti do Národnej rady Slovenskej republiky,

c)

nadobudnutím právoplatnosti rozsudku, ktorým bol odsúdený za úmyselný trestný čin alebo ktorým bol odsúdený za trestný čin a výkon trestu odňatia slobody mu nebol podmienečne odložený,

d)

výkonom činnosti, ktorá je nezlučiteľná s jeho povinnosťami podľa odseku 6, alebo

e)

smrťou alebo právoplatným rozhodnutím súdu o vyhlásení predsedu úradu za mŕtveho.

(10)

Predseda úradu môže byť z funkcie odvolaný, ak

a)

mu zdravotný stav dlhodobo, najmenej však počas jedného roka, nedovoľuje riadne vykonávať povinnosti vyplývajúce z jeho funkcie,

b)

porušil povinnosť nezávislosti podľa odseku 5, alebo

c)

porušil povinnosť mlčanlivosti o skutočnostiach, o ktorých sa dozvedel v súvislosti s výkonom svojej funkcie podľa § 84.

§ 83

Podpredseda úradu

(1)

Predsedu úradu zastupuje podpredseda úradu, ktorého vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu. Podpredseda úradu je štátnym zamestnancom podľa osobitného predpisu.7)

(2)

Funkčné obdobie podpredsedu úradu je päť rokov a možno ho vymenovať najviac na dve po sebe nasledujúce funkčné obdobia. Podpredseda úradu zostáva vo funkcii aj po uplynutí funkčného obdobia, kým vláda Slovenskej republiky nevymenuje nového podpredsedu.

(3)

Na výkon funkcie podpredsedu úradu sa § 82 ods. 3 až 6 a ods. 8 až 10 vzťahujú rovnako.

§ 84

Povinnosť mlčanlivosti

(1)

Predseda úradu, podpredseda úradu a zamestnanci úradu sú povinní zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedeli počas plnenia úloh podľa tohto zákona alebo osobitného predpisu,2) a to aj po skončení výkonu svojej funkcie, štátnozamestnaneckého pomeru, pracovného pomeru alebo obdobného pracovného vzťahu.

(2)

Povinnosť mlčanlivosti podľa odseku 1 neplatí, ak je to nevyhnutné na plnenie úloh súdu a orgánov činných v trestnom konaní podľa osobitného predpisu;36) tým nie sú dotknuté ustanovenia o mlčanlivosti podľa osobitného predpisu.37)

(3)

Od povinnosti mlčanlivosti podľa odseku 1 môže podpredsedu úradu a zamestnancov úradu oslobodiť predseda úradu. Od povinnosti mlčanlivosti podľa odseku 1 môže predsedu úradu v konkrétnom prípade oslobodiť Národná rada Slovenskej republiky.

DRUHÁ HLAVA

KÓDEX SPRÁVANIA, CERTIFIKÁT A AKREDITÁCIA

§ 85

Kódex správania

(1)

Združenie zastupujúce kategóriu prevádzkovateľov alebo sprostredkovateľov alebo iný subjekt zastupujúci kategóriu prevádzkovateľov alebo sprostredkovateľov môže prijať kódex správania, a to najmä na účely spresnenia uplatňovania tohto zákona alebo osobitného predpisu2) v súvislosti s predmetom kódexu správania podľa osobitného predpisu.38)

(2)

Schválením kódexu správania zo strany úradu nie je dotknutá zodpovednosť prevádzkovateľa alebo zodpovednosť sprostredkovateľa dodržiavať tento zákon alebo osobitný predpis.2)

(3)

Žiadosť o schválenie návrhu kódexu správania, návrhu zmeny schváleného kódexu správania alebo návrhu rozšírenia schváleného kódexu správania podáva úradu združenie alebo iný subjekt podľa odseku 1 (ďalej len „žiadateľ“).

(4)

Žiadosť o schválenie kódexu správania musí obsahovať

a)

identifikačné údaje žiadateľa,

b)

meno a priezvisko štatutárneho zástupcu alebo osoby oprávnenej konať v mene žiadateľa,

c)

označenie, či ide o návrh kódexu správania, návrh zmeny schváleného kódexu správania alebo návrh rozšírenia schváleného kódexu správania,

d)

postup združenia, ktorým sa člen združenia zaväzuje dodržiavať schválený kódex správania,

e)

záväzok prevádzkovateľa alebo sprostredkovateľa podrobiť sa monitorovaniu dodržiavania schváleného kódexu správania v súlade s pravidlami a postupmi na monitorovanie dodržiavania kódexu správania,

f)

opis práv a povinností prevádzkovateľa alebo sprostredkovateľa pri výkone monitorovania dodržiavania schváleného kódexu správania,

g)

uvedenie predmetu, na ktorý sa návrh kódexu správania, návrh zmeny schváleného kódexu správania alebo návrh rozšírenia schváleného kódexu správania vzťahuje,

h)

účel spracúvania osobných údajov, na ktorý sú osobné údaje určené, ako aj právny základ spracúvania osobných údajov,

i)

kategórie osobných údajov,

j)

kategórie dotknutých osôb,

k)

identifikáciu príjemcu alebo kategóriu príjemcu osobných údajov, ak existuje,

l)

opis spracovateľských činností, informácie o existencii automatizovaného individuálneho rozhodovania a informácie o existencii profilovania,

m)

opis postupu žiadateľa pri uplatnení práv dotknutou osobou,

n)

informáciu, či sa návrh kódexu správania týka spracovateľských činností vo viacerých členských štátoch,

o)

identifikáciu tretej krajiny alebo medzinárodnej organizácie pri prenose osobných údajov a informáciu o prijatých primeraných zárukách tohto prenosu,

p)

prijaté pravidlá a postupy na monitorovanie dodržiavania kódexu správania.

(5)

Žiadateľ k žiadosti o schválenie kódexu správania podľa odseku 4 musí priložiť

a)

návrh kódexu správania, návrh zmeny schváleného kódexu správania alebo návrh rozšírenia schváleného kódexu správania, a to aj v anglickom jazyku, ak sa týka spracovateľských činností vo viacerých členských štátoch,

b)

potvrdenie o zaplatení správneho poplatku,

c)

ďalšie informácie a podklady nevyhnutné na posúdenie súladu návrhu kódexu správania s týmto zákonom alebo osobitným predpisom.2)

(6)

Ak žiadosť o schválenie kódexu správania nespĺňa náležitosti podľa odsekov 4 a 5 alebo ak v konaní o schválenie kódexu správania vzniknú pochybnosti o preukázaní súladu s týmto zákonom alebo osobitným predpisom,2) úrad vyzve žiadateľa na doplnenie podkladov v lehote, ktorá nesmie byť kratšia ako 15 dní; počas tejto doby lehota v konaní o schválenie kódexu správania neplynie.

(7)

Účastníkom konania o schválení kódexu správania je žiadateľ, ktorý podal žiadosť podľa odseku 4.

(8)

Ak úrad počas konania o schválenie kódexu správania zistí nesúlad s týmto zákonom alebo osobitným predpisom,2) vyzve žiadateľa na odstránenie zisteného nesúladu v určenej lehote, ktorá nesmie byť kratšia ako 30 dní; počas plynutia lehoty na odstránenie zisteného nesúladu neplynie lehota v konaní o schválenie kódexu správania. Na odôvodnenú žiadosť žiadateľa úrad určenú lehotu môže predĺžiť najviac o 60 dní.

(9)

Úrad konanie o schválenie kódexu správania zastaví, ak žiadateľ

a)

neodstráni nedostatky žiadosti v lehote určenej podľa odseku 6,

b)

neodstráni úradom zistené nedostatky v lehote určenej podľa odseku 8.

(10)

Úrad rozhodne o schválení kódexu správania, o zmene schváleného kódexu správania alebo o rozšírení schváleného kódexu správania do 90 dní odo dňa začatia konania.

(11)

Ak je potrebné predložiť návrh kódexu správania, návrh zmeny schváleného kódexu správania alebo návrh rozšírenia schváleného kódexu Európskemu výboru pre ochranu údajov podľa osobitného predpisu,39) lehota podľa odseku 10 neplynie odo dňa predloženia návrhu kódexu správania, návrhu zmeny schváleného kódexu správania alebo návrhu rozšírenia schváleného kódexu správania Európskemu výboru pre ochranu údajov až do dňa doručenia stanoviska Európskeho výboru pre ochranu údajov podľa osobitného predpisu40) úradu.

(12)

Úrad po preskúmaní žiadosti o schválenie kódexu správania podľa odsekov 4 a 5 a súvisiacej dokumentácie vydá rozhodnutie o schválení kódexu správania, rozhodnutie o schválení zmeny schváleného kódexu správania alebo rozhodnutie o schválení rozšírenia schváleného kódexu správania, ak návrh kódexu správania, návrh zmeny schváleného kódexu správania alebo návrh rozšírenia schváleného kódexu správania je v súlade a poskytuje dostatočné primerané záruky ochrany osobných údajov podľa tohto zákona alebo osobitného predpisu.2)

(13)

Proti rozhodnutiu o schválení kódexu správania, rozhodnutiu o zmene schváleného kódexu správania alebo rozhodnutiu o rozšírení schváleného kódexu správania nie je prípustný rozklad.

(14)

Proti rozhodnutiu o neschválení kódexu správania, rozhodnutiu o neschválení zmeny schváleného kódexu správania alebo rozhodnutiu o neschválení rozšírenia schváleného kódexu správania je prípustný rozklad, o ktorom rozhodne predseda úradu.

(15)

Úrad zverejňuje zoznam schválených kódexov správania na svojom webovom sídle.

(16)

Združenie zastupujúce kategóriu prevádzkovateľov alebo sprostredkovateľov alebo iný subjekt zastupujúci kategóriu prevádzkovateľov alebo sprostredkovateľov, ktorému úrad schválil kódex správania, schválil návrh zmeny schváleného kódexu správania alebo schválil návrh rozšírenia schváleného kódexu správania, je povinný najneskôr do 15 dní odo dňa zistenia písomne oznámiť úradu zmeny podľa odseku 4 písm. a) a d).

§ 86

Certifikát

(1)

Vydanie certifikátu, obnovu certifikátu alebo odňatie certifikátu vykonáva subjekt, ktorému bola udelená akreditácia podľa § 88 v súlade s týmto zákonom (ďalej len „certifikačný subjekt“), alebo úrad.

(2)

Prevádzkovateľ alebo sprostredkovateľ na účely preukázania súladu spracúvania osobných údajov a existencie primeraných záruk ochrany osobných údajov podľa tohto zákona alebo osobitného predpisu2) môže požiadať úrad alebo certifikačný subjekt o vydanie certifikátu alebo obnovenie certifikátu. Certifikát sa vydá alebo obnoví najviac na obdobie troch rokov.

(3)

Úrad alebo certifikačný subjekt posudzuje súlad spracúvania osobných údajov a existenciu primeraných záruk ochrany osobných údajov prevádzkovateľa alebo sprostredkovateľa podľa odseku 2 na základe certifikačných kritérií v súlade s týmto zákonom. Vydaním certifikátu nie je dotknutá zodpovednosť prevádzkovateľa alebo zodpovednosť sprostredkovateľa za dodržiavanie tohto zákona a osobitného predpisu2) ani nie sú dotknuté právomoci úradu podľa tohto zákona.

(4)

Certifikát je verejnou listinou.

(5)

Úrad zverejňuje vydané certifikáty na svojom webovom sídle.

(6)

Žiadosť o vydanie certifikátu alebo žiadosť o obnovu certifikátu úradom musí obsahovať

a)

identifikačné údaje žiadateľa,

b)

meno a priezvisko štatutárneho orgánu žiadateľa alebo osoby oprávnenej konať v mene žiadateľa,

c)

kontaktné údaje zodpovednej osoby, ak je určená,

d)

predmet certifikátu, na ktorý sa má certifikát udeliť,

e)

účel spracúvania osobných údajov,

f)

právny základ spracúvania osobných údajov,

g)

kategórie dotknutých osôb,

h)

kategórie osobných údajov,

i)

identifikáciu príjemcu alebo kategóriu príjemcu osobných údajov, ak existuje,

j)

opis spracovateľských činností vrátane informácií o existencii automatizovaného individuálneho rozhodovania vrátane profilovania,

k)

opis postupu žiadateľa pri uplatnení práv dotknutou osobou,

l)

identifikáciu tretej krajiny alebo medzinárodnej organizácie pri prenose osobných údajov.

(7)

Žiadateľ k žiadosti podľa odseku 6 priloží

a)

technickú a bezpečnostnú dokumentáciu nevyhnutnú na vydanie certifikátu,

b)

výsledok auditu ochrany osobných údajov nie starší ako šesť mesiacov,

c)

dokumenty preukazujúce splnenie certifikačných kritérií,

d)

opis primeraných záruk pri prenose osobných údajov do tretej krajiny alebo medzinárodnej organizácii,

e)

potvrdenie o zaplatení správneho poplatku,

f)

ďalšie informácie a podklady nevyhnutné na posúdenie súladu s týmto zákonom alebo osobitným predpisom2) a dodržania certifikačného postupu.

(8)

Ak žiadosť o vydanie certifikátu alebo žiadosť o obnovu certifikátu nespĺňa náležitosti podľa odsekov 6 a 7 alebo ak v konaní o vydanie certifikátu alebo v konaní o obnovu certifikátu vzniknú pochybnosti o preukázaní splnenia certifikačných kritérií alebo podmienok na vydanie certifikátu, úrad vyzve žiadateľa na doplnenie podkladov v lehote, ktorá nesmie byť kratšia ako 15 dní; počas tejto doby lehota v konaní o vydanie certifikátu alebo v konaní o obnovu certifikátu neplynie.

(9)

Ak úrad počas konania o vydanie certifikátu alebo konania o obnovu certifikátu zistí nesúlad s týmto zákonom alebo osobitným predpisom,2) vyzve žiadateľa na odstránenie zisteného nesúladu v určenej lehote, ktorá nesmie byť kratšia ako 30 dní; počas tejto doby lehota v konaní o vydanie certifikátu alebo v konaní o obnovu certifikátu neplynie. Na odôvodnenú žiadosť žiadateľa úrad určenú lehotu predĺži najviac o 60 dní.

(10)

Úrad konanie o vydanie certifikátu alebo konanie o obnovu certifikátu zastaví, ak žiadateľ neodstráni

a)

nedostatky žiadosti a vzniknuté pochybnosti podľa odseku 8 v určenej lehote,

b)

úradom zistené nedostatky podľa odseku 9 v určenej lehote.

(11)

Úrad rozhodne o vydaní certifikátu alebo obnove certifikátu do 90 dní odo dňa začatia konania.

(12)

Úrad po preskúmaní žiadosti o vydanie certifikátu alebo žiadosti o obnovu certifikátu podľa odsekov 6 a 7 a súvisiacej dokumentácie vydá rozhodnutie o vydaní certifikátu, ak žiadateľ spĺňa certifikačné kritériá, spĺňa podmienky certifikačného postupu, ak jeho spracovateľské činnosti sú v súlade s týmto zákonom alebo osobitným predpisom2) a ak ním prijaté bezpečnostné opatrenia poskytujú dostatočné primerané záruky ochrany osobných údajov podľa tohto zákona alebo osobitného predpisu.2)

(13)

Na základe rozhodnutia o vydaní certifikátu alebo rozhodnutia o obnove certifikátu úrad vydá žiadateľovi certifikát na obdobie troch rokov, ktorý obsahuje

a)

identifikačné údaje úradu,

b)

identifikačné údaje žiadateľa,

c)

predmet certifikátu,

d)

označenie certifikačných kritérií, na ktorých základe sa vydáva certifikát,

e)

číslo certifikátu,

f)

dátum vydania certifikátu; ak ide o obnovu certifikátu, aj dátum skoršieho vydania certifikátu,

g)

dobu platnosti certifikátu,

h)

odtlačok pečiatky úradu a podpis osoby oprávnenej konať v mene úradu s uvedením jej mena, priezviska a funkcie.

(14)

Proti rozhodnutiu o vydaní certifikátu alebo rozhodnutiu o obnove certifikátu nie je prípustný rozklad.

(15)

Proti rozhodnutiu o nevydaní certifikátu alebo rozhodnutiu o neobnovení certifikátu je prípustný rozklad, o ktorom rozhodne predseda úradu.

(16)

Ak prevádzkovateľ alebo sprostredkovateľ, ktorému bol vydaný certifikát alebo obnovený certifikát (ďalej len „certifikovaná osoba“), naďalej spĺňa certifikačné kritériá a podmienky vydania certifikátu podľa tohto zákona, úrad na základe žiadosti certifikovanej osoby podanej najneskôr šesť mesiacov pred uplynutím platnosti certifikátu skôr vydaného alebo skôr obnoveného rozhodne o obnovení certifikátu na obdobie ďalších troch rokov. Na konanie o obnovenie certifikátu sa primerane použijú ustanovenia o vydaní certifikátu.

(17)

Ak certifikovaná osoba podá žiadosť o obnovenie certifikátu v lehote menej ako šesť mesiacov pred uplynutím platnosti certifikátu, úrad na takú žiadosť neprihliada. Tým nie je dotknuté oprávnenie tejto certifikovanej osoby na podanie žiadosti o vydanie certifikátu podľa odsekov 6 a 7.

(18)

Certifikovaná osoba je počas platnosti certifikátu povinná

a)

spĺňať požiadavky ustanovené týmto zákonom a požiadavky na vydanie certifikátu v súlade s rozhodnutím o vydaní certifikátu,

b)

najneskôr do 15 dní odo dňa vzniku zmeny písomne oznámiť úradu akékoľvek zmeny týkajúce sa rozhodnutia o vydaní certifikátu,

c)

umožniť úradu vykonanie dozoru podľa tohto zákona,

d)

archivovať dokumentáciu súvisiacu s výkonom certifikačného postupu podľa osobitného predpisu.41)

(19)

Certifikačné kritériá, podmienky certifikačného postupu, obsahové náležitosti technickej a bezpečnostnej dokumentácie a podmienky výkonu auditu ochrany osobných údajov vrátane podmienok odborných znalostí audítora vykonávajúceho audit ochrany osobných údajov ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

§ 87

Monitorujúci subjekt

(1)

Monitorovanie súladu spracúvania osobných údajov podľa tohto zákona alebo osobitného predpisu2) s kódexom správania vykonáva subjekt, ktorý spĺňa kritériá a podmienky na udelenie akreditácie podľa tohto zákona alebo osobitného predpisu2) a bola mu udelená akreditácia úradom v súlade s týmto zákonom (ďalej len „monitorujúci subjekt“).

(2)

Kódexy správania schválené úradom pre orgány verejnej moci a verejnoprávne inštitúcie nepodliehajú činnosti monitorovacieho subjektu podľa tohto zákona; tým nie je dotknutý výkon dozoru úradom podľa tohto zákona.

(3)

Monitorujúcim subjektom môže byť právnická osoba alebo fyzická osoba – podnikateľ, ktorý má vytvorené technické a organizačné podmienky na vykonávanie monitorovania kódexu správania a ktorému bola udelená akreditácia.

(4)

Monitorujúci subjekt je oprávnený

a)

monitorovať súlad spracúvania osobných údajov podľa tohto zákona alebo osobitného predpisu2) prevádzkovateľom alebo sprostredkovateľom, ktorý je členom združenia, ktorý sa zaviazal dodržiavať schválený kódex správania,

b)

prijať primerané opatrenia v prípadoch porušenia kódexu správania prevádzkovateľom alebo sprostredkovateľom,

c)

dočasne pozastaviť záväznosť schváleného kódexu správania pre prevádzkovateľa alebo sprostredkovateľa, ktorý sa zaviazal dodržiavať schválený kódex správania,

d)

zrušiť záväznosť schváleného kódexu správania pre prevádzkovateľa alebo sprostredkovateľa, ktorý sa zaviazal dodržiavať schválený kódex správania.

(5)

O opatreniach podľa odseku 4 vrátane dôvodov prijatia takých opatrení je monitorujúci subjekt povinný písomne informovať úrad do 15 dní od ich prijatia. Tým nie je dotknutá zodpovednosť prevádzkovateľa alebo sprostredkovateľa, ktorý podlieha monitorovaniu kódexu správania, dodržiavať tento zákon alebo osobitný predpis.2)

(6)

Žiadosť o udelenie akreditácie musí obsahovať

a)

identifikačné údaje žiadateľa,

b)

meno a priezvisko štatutárneho zástupcu žiadateľa alebo osoby oprávnenej konať v mene žiadateľa,

c)

uvedenie predmetu kódexu správania.38)

(7)

Žiadateľ k žiadosti podľa odseku 6 priloží

a)

technickú a bezpečnostnú dokumentáciu nevyhnutnú pre monitorovanie kódexu správania,

b)

dokumenty preukazujúce nezávislosť žiadateľa,

c)

postup a spôsob vysporiadania sa s konfliktom záujmu medzi žiadateľom a subjektom podliehajúcim monitorovaniu, ktorý by mohol narušiť objektivitu monitorovania kódexu správania alebo obmedziť objektivitu monitorovania kódexu správania alebo porušiť princíp transparentnosti pre dotknutú osobu a verejnosť; konflikt záujmov zahŕňa najmä situáciu, ak žiadateľ, ktorý môže ovplyvniť výsledok alebo priebeh monitorovania kódexu správania, má priamy finančný záujem alebo nepriamy finančný záujem, ekonomický záujem alebo iný osobný záujem, ktorý možno považovať za ohrozenie jeho nezávislosti v súvislosti s monitorovaním kódexu správania,

d)

dokumenty stanovujúce kvalifikačné požiadavky vo vzťahu k monitorovaniu kódexu správania osôb žiadateľa, ktoré budú vykonávať monitorovanie,

e)

pravidlá a postupy výkonu činností, najmä procesy monitorovania dodržiavania kódexu správania prevádzkovateľom alebo sprostredkovateľom, spôsob preukázania vykonávania kódexu správania prevádzkovateľom alebo sprostredkovateľom, spôsob preukázania súladu spracovateľských činností prevádzkovateľa a sprostredkovateľa vo vzťahu k predmetu kódexu správania, frekvenciu monitorovania súladu,

f)

dokumenty preukazujúce, že pravidlá a postupy na výkon monitorovania kódexu správania sú transparentné pre dotknutú osobu a verejnosť,

g)

výsledok auditu výkonu monitorovania kódexu správania,

h)

potvrdenie o zaplatení správneho poplatku,

i)

ďalšie informácie a podklady, ktoré sú nevyhnutné na posúdenie súladu s týmto zákonom alebo osobitným predpisom2) a na posúdenie žiadosti o udelenie akreditácie.

(8)

Ak žiadosť o udelenie akreditácie nespĺňa náležitosti podľa odsekov 6 a 7 alebo ak v konaní o udelenie akreditácie vzniknú pochybnosti o preukázaní splnenia kritérií alebo podmienok na udelenie akreditácie, úrad vyzve žiadateľa na odstránenie nedostatkov v lehote, ktorá nesmie byť kratšia ako 15 dní; počas tejto lehoty lehota v konaní o udelení akreditácie neplynie.

(9)

Ak úrad počas konania podľa odseku 11 zistí nesúlad s týmto zákonom alebo osobitným predpisom,2) vyzve žiadateľa na odstránenie zisteného nesúladu v určenej lehote, ktorá nesmie byť kratšia ako 30 dní; počas tejto doby lehota podľa odseku 11 neplynie. Na odôvodnenú žiadosť žiadateľa úrad určenú lehotu predĺži najviac o 60 dní.

(10)

Úrad konanie podľa odseku 11 zastaví, ak žiadateľ neodstráni

a)

nedostatky žiadosti a vzniknuté pochybnosti podľa odseku 8 v určenej lehote,

b)

úradom zistené nedostatky podľa odseku 9 v určenej lehote.

(11)

Úrad rozhodne o udelení akreditácie do 90 dní odo dňa začatia konania.

(12)

Úrad po preskúmaní žiadosti o udelenie akreditácie podľa odsekov 6 a 7 a súvisiacej dokumentácie vydá rozhodnutie o udelení akreditácie, ak žiadateľ spĺňa požiadavky, má primeranú úroveň odborných znalostí vo vzťahu k predmetu kódexu správania a spĺňa kritériá a podmienky na udelenie akreditácie podľa tohto zákona.

(13)

Na základe rozhodnutia o udelení akreditácie úrad vydá monitorujúcemu subjektu osvedčenie o udelení akreditácie, ktoré obsahuje

a)

identifikačné údaje úradu,

b)

identifikačné údaje žiadateľa,

c)

predmet akreditácie,

d)

číslo osvedčenia o udelení akreditácie,

e)

dátum vydania osvedčenia o udelení akreditácie,

f)

odtlačok pečiatky úradu a podpis osoby oprávnenej konať v mene úradu s uvedením jej mena, priezviska a funkcie.

(14)

Osvedčenie o udelení akreditácie je verejnou listinou.

(15)

Proti rozhodnutiu o udelení akreditácie nie je prípustný rozklad.

(16)

Proti rozhodnutiu o neudelení akreditácie je prípustný rozklad, o ktorom rozhodne predseda úradu.

(17)

Úrad zverejňuje vydané osvedčenia o udelení akreditácie na svojom webovom sídle.

(18)

Ak sa preukáže, že monitorujúci subjekt vykonáva monitorovanie kódexu správania v rozpore s týmto zákonom alebo osobitným predpisom,2) dobrými mravmi, osvedčením o udelení akreditácie alebo ďalej nespĺňa požiadavky na udelenie akreditácie, úrad pozastaví platnosť akreditácie na tri mesiace a zároveň uloží monitorujúcemu subjektu vykonanie opatrení na nápravu. Ak monitorujúci subjekt v určenej lehote uložené opatrenia neprijme, úrad jeho akreditáciu rozhodnutím zruší. Monitorujúci subjekt, ktorému bola akreditácia zrušená, môže znova požiadať o udelenie akreditácie.

(19)

Monitorujúci subjekt je povinný

a)

spĺňať požiadavky ustanovené týmto zákonom a akreditačné požiadavky v súlade s rozhodnutím o udelení akreditácie,

b)

písomne oznámiť úradu akékoľvek zmeny udelenej akreditácie do 15 dní odo dňa vzniku zmeny,

c)

informovať dotknutého prevádzkovateľa alebo sprostredkovateľa o oprávnenosti monitorovať dodržiavanie kódexu správania a o predmete monitorovaného kódexu správania, podrobne a zrozumiteľne informovať o bezpečnostných opatreniach, pravidlách a o postupoch monitorovania kódexu správania a informovať o možných právnych dôsledkoch monitorovania dodržiavania predmetu kódexu správania pred výkonom monitorovania schváleného kódexu správania,

d)

bez zbytočného odkladu informovať dotknutého prevádzkovateľa alebo sprostredkovateľa o prijatých opatreniach, ak bolo zistené porušenie dodržiavania kódexu správania dotknutého prevádzkovateľa alebo sprostredkovateľa podľa odseku 4,

e)

dodržiavať zásadu nezávislosti,

f)

archivovať dokumentáciu súvisiacu s monitorovaním kódexu správania podľa osobitného predpisu.42)

(20)

Kritériá na udelenie akreditácie, podmienky akreditačného postupu, obsahové náležitosti technickej a bezpečnostnej dokumentácie a podmienky výkonu auditu monitorovania kódexu správania vrátane podmienok odborných znalostí audítora ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

§ 88

Certifikačný subjekt

(1)

Vydanie certifikátu, obnovu certifikátu alebo odňatie certifikátu vykonáva certifikačný subjekt, ktorý spĺňa kritériá a podmienky na udelenie akreditácie podľa tohto zákona alebo osobitného predpisu43) a bola mu udelená akreditácia úradom v súlade s týmto zákonom.

(2)

Certifikačným subjektom môže byť právnická osoba alebo fyzická osoba – podnikateľ, ktorý má primeranú úroveň odborných znalostí vo vzťahu k ochrane osobných údajov a má vytvorené technické a organizačné podmienky na certifikačný postup a ktorému bola udelená akreditácia.

(3)

Certifikačný subjekt je zodpovedný za posúdenie súladu spracúvania osobných údajov a existencie primeraných záruk ochrany osobných údajov podľa tohto zákona alebo osobitného predpisu2) prevádzkovateľa alebo sprostredkovateľa, na ktorého základe udelí certifikát, obnoví certifikát alebo odníme certifikát.

(4)

Žiadosť o udelenie akreditácie musí obsahovať

a)

identifikačné údaje žiadateľa,

b)

meno a priezvisko štatutárneho orgánu žiadateľa alebo osoby oprávnenej konať v mene žiadateľa,

c)

uvedenie predmetu certifikačných kritérií.

(5)

Žiadateľ k žiadosti podľa odseku 4 musí priložiť

a)

technickú a bezpečnostnú dokumentáciu nevyhnutnú pre certifikačný postup,

b)

postup a spôsob vysporiadania sa s konfliktom záujmu medzi žiadateľom a prevádzkovateľom alebo sprostredkovateľom, ktorý požiadal o vydanie certifikátu alebo obnovu certifikátu, ktorý by mohol narušiť objektivitu vydania certifikátu alebo obnovy certifikátu alebo obmedziť objektivitu vydania certifikátu alebo obnovy certifikátu alebo porušiť princíp transparentnosti pre dotknutú osobu a verejnosť; konflikt záujmov zahŕňa najmä situáciu, ak žiadateľ, ktorý môže ovplyvniť výsledok alebo priebeh vydania alebo obnovy certifikátu, má priamy finančný záujem alebo nepriamy finančný záujem, ekonomický záujem alebo iný osobný záujem, ktorý možno považovať za ohrozenie jeho nezávislosti v súvislosti s vydaním alebo obnovením certifikátu,

c)

dokumenty určujúce kvalifikačné požiadavky vo vzťahu k certifikačnému postupu osôb žiadateľa, ktoré budú realizovať certifikačný postup,

d)

pravidlá a postupy výkonu certifikačného postupu vrátane postupu na vydanie certifikátu, pravidelné preskúmanie certifikátu, obnovu certifikátu a odňatie certifikátu,

e)

vyhlásenie o dodržiavaní certifikačných kritérií pre certifikačný postup,

f)

dokumenty preukazujúce postupy a pravidlá na vybavovanie sťažností týkajúcich sa porušení vydaného certifikátu alebo spôsobu, akým sú oprávnenia z certifikátu dotknutým prevádzkovateľom alebo sprostredkovateľom vykonávané,

g)

dokumenty preukazujúce, že pravidlá a postupy vybavovania sťažností v súvislosti s vydaným certifikátom sú transparentné pre verejnosť,

h)

výsledok auditu výkonu certifikačného postupu,

i)

potvrdenie o zaplatení správneho poplatku,

j)

ďalšie informácie a podklady, ktoré sú nevyhnutné na posúdenie súladu s týmto zákonom alebo osobitným predpisom2) na účely posúdenia žiadosti o udelenie akreditácie.

(6)

Ak žiadosť o udelenie akreditácie nespĺňa náležitosti podľa odsekov 4 a 5 alebo ak v konaní podľa odseku 9 vzniknú pochybnosti o preukázaní splnenia kritérií alebo podmienok na udelenie akreditácie, úrad vyzve žiadateľa na odstránenie nedostatkov žiadosti v lehote, ktorá nesmie byť kratšia ako 15 dní; počas tejto doby lehota podľa odseku 9 neplynie.

(7)

Ak úrad počas konania podľa odseku 9 zistí nesúlad s týmto zákonom alebo osobitným predpisom,2) vyzve žiadateľa na odstránenie zisteného nesúladu v určenej lehote, ktorá nesmie byť kratšia ako 30 dní; počas tejto doby lehota v konaní o udelenie akreditácie neplynie. Na odôvodnenú žiadosť žiadateľa úrad určenú lehotu predĺži najviac o 60 dní.

(8)

Úrad konanie o udelení akreditácie zastaví, ak žiadateľ neodstráni

a)

nedostatky žiadosti a vzniknuté pochybnosti podľa odseku 6 v určenej lehote,

b)

úradom zistené nedostatky podľa odseku 7 v určenej lehote.

(9)

Úrad rozhodne o udelení akreditácie do 90 dní odo dňa začatia konania.

(10)

Úrad po preskúmaní žiadosti o udelenie akreditácie podľa odsekov 4 a 5 a súvisiacej dokumentácie vydá rozhodnutie o udelení akreditácie a schváli certifikačné kritériá, ak žiadateľ spĺňa požiadavky na primeranú úroveň odborných znalostí vo vzťahu k ochrane údajov a spĺňa kritériá a podmienky na udelenie akreditácie podľa tohto zákona.

(11)

Na základe rozhodnutia o udelení akreditácie úrad vydá certifikačnému subjektu osvedčenie o udelení akreditácie na obdobie piatich rokov, ktoré obsahuje

a)

identifikačné údaje úradu,

b)

identifikačné údaje žiadateľa,

c)

predmet akreditácie,

d)

číslo osvedčenia o udelení akreditácie,

e)

dátum vydania osvedčenia o udelení akreditácie; ak ide o obnovu udelenia akreditácie, aj dátum skoršieho vydania udelenia akreditácie,

f)

dobu platnosti osvedčenia o udelení akreditácie,

g)

odtlačok pečiatky úradu a podpis osoby oprávnenej konať v mene úradu s uvedením jej mena, priezviska a funkcie.

(12)

Osvedčenie o udelení akreditácie je verejnou listinou.

(13)

Proti rozhodnutiu o udelení akreditácie nie je prípustný rozklad.

(14)

Proti rozhodnutiu o neudelení akreditácie je prípustný rozklad, o ktorom rozhodne predseda úradu.

(15)

Úrad zverejní zoznam certifikačných subjektov a schválené certifikačné kritériá na svojom webovom sídle.

(16)

Ak certifikačný subjekt spĺňa požiadavky na primeranú úroveň odborných znalostí vo vzťahu k ochrane osobných údajov, spĺňa kritériá a podmienky na udelenie akreditácie podľa tohto zákona, úrad na základe žiadosti certifikačného subjektu o obnovenie akreditácie podanej najneskôr šesť mesiacov pred uplynutím platnosti osvedčenia o udelení akreditácie rozhodne o obnovení akreditácie na obdobie ďalších piatich rokov. Na konanie o obnovenie akreditácie sa primerane použijú ustanovenia konania o udelenie akreditácie.

(17)

Ak certifikačný subjekt podá žiadosť o obnovenie akreditácie v lehote menej ako šesť mesiacov pred uplynutím platnosti osvedčenia o udelení akreditácie, úrad na takú žiadosť neprihliada. Tým nie je dotknuté oprávnenie tohto subjektu na podanie žiadosti podľa odsekov 4 a 5.

(18)

Ak sa preukáže, že certifikačný subjekt vykonáva certifikačný postup vrátane udeľovania certifikátu a odnímania certifikátu v rozpore s týmto zákonom alebo osobitným predpisom,2) dobrými mravmi, s vydaným osvedčením o udelení akreditácie alebo už nespĺňa požiadavky na udelenie akreditácie, úrad pozastaví platnosť akreditácie na tri mesiace a zároveň uloží certifikačnému subjektu vykonanie opatrení na nápravu. Ak certifikačný subjekt v určenej lehote uložené opatrenia neprijme, úrad jeho akreditáciu rozhodnutím zruší. Subjekt, ktorému bola akreditácia zrušená, môže znova požiadať o udelenie akreditácie.

(19)

Kritériá na udelenie akreditácie, podmienky certifikačného postupu, certifikačné kritériá, obsahové náležitosti technickej a bezpečnostnej dokumentácie a podmienky výkonu auditu certifikačného postupu vrátane podmienok odborných znalostí audítora ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

§ 89

Povinnosti certifikačného subjektu

(1)

Certifikačný subjekt je oprávnený v rozsahu osvedčenia o udelení akreditácie vydať certifikát alebo obnoviť certifikát prevádzkovateľovi alebo sprostredkovateľovi na obdobie troch rokov.

(2)

Certifikačný subjekt je povinný pred vydaním certifikátu alebo obnovením certifikátu oznámiť úradu

a)

jeho identifikačné údaje,

b)

číslo osvedčenia, ktoré mu bolo vydané,

c)

identifikačné údaje prevádzkovateľa alebo sprostredkovateľa, ktorý žiada o vydanie certifikátu, alebo certifikovanej osoby, ktorá žiada o obnovu certifikátu,

d)

predmet certifikátu,

e)

označenie certifikačných kritérií,

f)

dôvody vydania alebo obnovy certifikátu.

(3)

Ak oznámenie nespĺňa náležitosti podľa odseku 2, úrad vyzve certifikačný subjekt na odstránenie nedostatkov v lehote, ktorá nesmie byť kratšia ako 15 dní; počas tejto lehoty lehota podľa odseku 4 neplynie.

(4)

Úrad rozhodne o povolení vydania certifikátu alebo o povolení obnovy certifikátu certifikačným subjektom do 60 dní odo dňa začatia konania.

(5)

V konaní podľa odseku 4 úrad neposudzuje splnenie certifikačných kritérií, podmienok na vydanie certifikátu alebo obnovu certifikátu.

(6)

Povolením úradu na vydanie certifikátu alebo povolením úradu na obnovu certifikátu certifikačným subjektom nie je dotknutá zodpovednosť príslušného prevádzkovateľa alebo sprostredkovateľa za dodržiavanie tohto zákona a osobitného predpisu.2)

(7)

Ak úrad počas konania o povolení vydania certifikátu alebo počas konania o povolení obnovy certifikátu certifikačným subjektom zistí nesúlad s týmto zákonom alebo osobitným predpisom2) nepovolí certifikačnému subjektu vydanie certifikátu alebo obnovu certifikátu, o čom vydá rozhodnutie.

(8)

Proti rozhodnutiu o povolení vydania certifikátu alebo rozhodnutiu o povolení obnovy certifikátu certifikačným subjektom nie je prípustný rozklad.

(9)

Proti rozhodnutiu o nepovolení vydania certifikátu alebo rozhodnutiu o nepovolení obnovy certifikátu certifikačným subjektom je prípustný rozklad, o ktorom rozhodne predseda úradu.

(10)

Certifikačný subjekt je povinný do 15 dní od vydania certifikátu, obnovenia certifikátu alebo odňatia certifikátu oznámiť úradu:

a)

jeho identifikačné údaje,

b)

číslo osvedčenia, ktoré mu bolo vydané,

c)

identifikačné údaje dotknutého prevádzkovateľa alebo sprostredkovateľa,

d)

predmet certifikátu,

e)

číslo certifikátu,

f)

dôvody vydania, obnovy alebo odňatia certifikátu.

(11)

Certifikát vydaný certifikačným subjektom obsahuje najmä

a)

identifikačné údaje certifikačného subjektu vrátane čísla osvedčenia o udelení akreditácie,

b)

identifikačné údaje žiadateľa,

c)

predmet certifikátu,

d)

označenie certifikačných kritérií, na základe ktorých sa certifikát vydáva,

e)

číslo certifikátu,

f)

dátum vydania certifikátu; ak ide o obnovu certifikátu, aj dátum skoršieho vydania certifikátu,

g)

odtlačok pečiatky certifikačného subjektu a podpis osoby oprávnenej konať v mene certifikačného subjektu s uvedením jej mena, priezviska.

(12)

Certifikačný subjekt je povinný

a)

spĺňať požiadavky ustanovené týmto zákonom a akreditačné požiadavky v súlade s rozhodnutím o udelení akreditácie,

b)

najneskôr do 15 dní písomne oznámiť úradu akékoľvek zmeny udelenej akreditácie,

c)

umožniť úradu vykonanie dozoru podľa tohto zákona,

d)

dodržiavať zásadu nezávislosti,

e)

archivovať dokumentáciu súvisiacu s výkonom certifikačného postupu podľa osobitného predpisu.41)

TRETIA HLAVA

KONTROLA

§ 90

Začatie kontroly

(1)

Kontrolu spracúvania osobných údajov, kontrolu dodržiavania kódexu správania schváleného úradom podľa § 85, kontrolu súladu spracúvania osobných údajov s vydaným certifikátom podľa § 86 a kontrolu dodržiavania vydaného osvedčenia o udelení akreditácie podľa § 87 a § 88 (ďalej len „kontrola“) vykonáva úrad prostredníctvom kontrolného orgánu zloženého zo zamestnancov úradu (ďalej len „kontrolný orgán“).

(2)

Každý člen kontrolného orgánu vykonáva kontrolu na základe písomného poverenia vedúceho zamestnanca; ak je vedúci zamestnanec členom kontrolného orgánu, členovia kontrolného orgánu vykonávajú kontrolu na základe písomného poverenia predsedu úradu.

(3)

Člen kontrolného orgánu musí byť zamestnanec úradu, ktorý je bezúhonný, má príslušné odborné vzdelanie a prax v oblasti patriacej do dozornej činnosti úradu.

(4)

Písomné poverenie na vykonanie kontroly obsahuje

a)

identifikačné údaje úradu,

b)

identifikačné údaje kontrolovanej osoby,

c)

titul, meno a priezvisko člena kontrolného orgánu, ktorý má kontrolu vykonať,

d)

odtlačok úradnej pečiatky a podpis.

(5)

Vzor poverenia na vykonanie kontroly zverejní úrad na svojom webovom sídle.

(6)

Kontrola je začatá dňom doručenia oznámenia o kontrole prevádzkovateľovi alebo sprostredkovateľovi, zástupcovi prevádzkovateľa alebo zástupcovi sprostredkovateľa, ak bol poverený, alebo monitorujúcemu subjektu podľa § 87, alebo certifikačnému subjektu podľa § 88 (ďalej len „kontrolovaná osoba“).

(7)

Kontrolný orgán vykoná kontrolu na základe plánu kontrol alebo na základe podozrenia z porušenia povinností pri spracúvaní osobných údajov ustanovených týmto zákonom alebo osobitným predpisom2) alebo v rámci konania o ochrane osobných údajov.

(8)

Pri výkone kontroly je kontrolný orgán povinný postupovať tak, aby neboli dotknuté práva a právom chránené záujmy kontrolovanej osoby.

§ 91

Zaujatosť kontrolného orgánu

(1)

Člen kontrolného orgánu, ktorý sa dozvedel o skutočnostiach zakladajúcich pochybnosti o jeho nezaujatosti alebo pochybnosti o nezaujatosti iného člena kontrolného orgánu, je povinný tieto skutočnosti bez zbytočného odkladu písomne oznámiť tomu, kto ho poveril podľa § 90 ods. 2.

(2)

Ak má kontrolovaná osoba pochybnosti o nezaujatosti kontrolného orgánu alebo jeho člena so zreteľom na jeho vzťah k predmetu kontroly alebo ku kontrolovanej osobe, je oprávnená podať písomné námietky s uvedením dôvodu najneskôr do 15 dní odo dňa, keď sa o tejto skutočnosti dozvedela. Podanie námietok nemá odkladný účinok; kontrolný orgán je podľa prvej vety oprávnený vykonať pri kontrole len také úkony, ktoré neznesú odklad.

(3)

O námietkach zaujatosti kontrolovanej osoby a o oznámení zaujatosti člena kontrolného orgánu rozhodne ten, kto kontrolný orgán poveril podľa § 90 ods. 2 v lehote desiatich pracovných dní od ich uplatnenia a písomné vyhodnotenie rozhodnutia doručí tomu, kto námietku uplatnil. Proti rozhodnutiu o námietkach zaujatosti a proti rozhodnutiu o oznámení zaujatosti člena kontrolného orgánu nemožno podať rozklad.

§ 92

Povinnosti kontrolného orgánu

Kontrolný orgán je povinný

a)

vopred písomne oznámiť kontrolovanej osobe predmet kontroly; ak by oznámenie o kontrole pred začatím výkonu kontroly mohlo viesť k zmareniu účelu kontroly alebo podstatnému sťaženiu výkonu kontroly, môže predmet kontroly oznámiť bezprostredne pred výkonom kontroly,

b)

písomne oznámiť dátum a čas výkonu kontroly v lehote najmenej desiatich dní pred vykonaním kontroly; ak by oznámenie o začatí výkonu kontroly mohlo viesť k zmareniu účelu kontroly alebo podstatnému sťaženiu výkonu kontroly, môže začatie výkonu kontroly oznámiť bezprostredne pred výkonom kontroly,

c)

pred začatím výkonu kontroly a kedykoľvek na požiadanie kontrolovanej osoby, sa preukázať poverením na vykonanie kontroly a služobným preukazom,

d)

vypracovať zápisnicu o priebehu výkonu kontroly,

e)

vypracovať protokol o kontrole, v ktorom sú uvedené kontrolné zistenia (ďalej len „protokol“), alebo záznam o kontrole,

f)

uviesť vyjadrenia kontrolovanej osoby podľa § 95 písm. a) v protokole alebo zázname o kontrole,

g)

vypracovať zápisnicu o podaní vysvetlenia podľa § 93 písm. j) a § 94 písm. e),

h)

odovzdať kontrolovanej osobe jedno vyhotovenie zápisnice o priebehu výkonu kontroly, zápisnice o podaní vysvetlenia, protokolu alebo záznamu o kontrole,

i)

písomne potvrdiť kontrolovanej osobe prevzatie originálu dokladov alebo kópií dokladov, písomných dokumentov, kópií pamäťových médií a iných materiálov a dôkazov a zabezpečiť ich riadnu ochranu pred ich stratou, zničením, poškodením alebo ich zneužitím,

j)

posúdiť opodstatnenosť námietok ku kontrolným zisteniam uvedeným v protokole a zohľadniť opodstatnenosť námietok v dodatku k protokolu a oboznámiť s ním kontrolovanú osobu,

k)

prerokovať protokol s kontrolovanou osobou a vyhotoviť zápisnicu o jeho prerokovaní.

§ 93