Законопроект о защите персональных данных в уголовной сфере: транспозиция Директивы ЕС 2016/680

N Á R O D N Á R A D A S L O V E N S K E J R E P U B L I K Y IX. volebné obdobie

1452

VLÁDNY NÁVRH

ZÁKON z ............... 2026 o ochrane osobných údajov v trestnej oblasti

Národná rada Slovenskej republiky sa uzniesla na tomto zákone:

§ 1

Predmet úpravy

(1) Tento zákon upravuje spracúvanie osobných údajov pri plnení úloh Policajného zboru, Vojenskej polície, Zboru väzenskej a justičnej stráže, finančnej správy, Ministerstva spravodlivosti Slovenskej republiky, Kancelárie prezidenta Slovenskej republiky, prokuratúry a súdov (ďalej len „príslušný orgán“) na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií, vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu.

(2) Ochrana fyzických osôb pri spracúvaní osobných údajov sa vzťahuje na osobné údaje spracúvané úplne alebo čiastočne automatizovanými prostriedkami spracúvania alebo inými ako automatizovanými prostriedkami spracúvania, ktoré sú súčasťou informačného systému alebo sú určené na spracúvanie v informačnom systéme.

(3) Tento zákon sa nevzťahuje na spracúvanie osobných údajov zosnulých osôb a osôb vyhlásených za mŕtve.

§ 2

Vymedzenie základných pojmov

(1) Osobnými údajmi sú údaje týkajúce sa identifikovanej fyzickej osoby alebo identifikovateľnej fyzickej osoby, ktorú možno identifikovať priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora, iného identifikátora, ako je napríklad meno, priezvisko, identifikačné číslo, lokalizačné údaje alebo online identifikátor, alebo na základe jednej alebo viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú identitu, fyziologickú identitu, genetickú identitu, mentálnu identitu, ekonomickú identitu, kultúrnu identitu alebo sociálnu identitu.

2

(2) Na účely tohto zákona sa rozumie

a) dotknutou osobou každá identifikovaná alebo identifikovateľná fyzická osoba, ktorej osobné údaje sa spracúvajú,

b) prevádzkovateľom príslušný orgán, ktorý sám alebo spoločne s inými vymedzí účel a prostriedky spracúvania osobných údajov a spracúva osobné údaje vo vlastnom mene; prevádzkovateľ alebo konkrétne požiadavky na jeho určenie môžu byť ustanovené v osobitnom predpise alebo medzinárodnej zmluve, ktorou je Slovenská republika viazaná, ak tento osobitný predpis alebo táto medzinárodná zmluva ustanovuje účel a prostriedky spracúvania osobných údajov,

c) sprostredkovateľom každý, kto spracúva osobné údaje v mene prevádzkovateľa,

d) príjemcom každý, komu sa osobné údaje poskytnú bez ohľadu na to, či je treťou stranou; za príjemcu sa nepovažuje orgán verejnej moci, ktorý spracúva osobné údaje v rámci konkrétneho zisťovania na základe osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, v súlade s pravidlami ochrany osobných údajov vzťahujúcimi sa na daný účel spracúvania osobných údajov.

(3) Na účely tohto zákona sa ďalej rozumie

a) spracúvaním osobných údajov spracovateľská operácia alebo súbor spracovateľských operácií s osobnými údajmi alebo súbormi osobných údajov, najmä získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými prostriedkami alebo neautomatizovanými prostriedkami,

b) poskytovaním osobných údajov odovzdávanie, oznámenie, sprístupnenie alebo umožnenie prístupu osobných údajov inej osobe ako je prevádzkovateľ,

c) obmedzením spracúvania osobných údajov označenie uchovávaných osobných údajov s cieľom obmedziť ich spracúvanie v budúcnosti,

d) profilovaním akákoľvek forma automatizovaného spracúvania osobných údajov spočívajúca v použití osobných údajov na vyhodnotenie určitých osobných znakov alebo charakteristík týkajúcich sa fyzickej osoby, najmä na analýzu alebo predvídanie znakov alebo charakteristík dotknutej osoby súvisiacich s jej výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom,

e) pseudonymizáciou spracúvanie osobných údajov spôsobom, že ich nie je možné priradiť ku konkrétnej dotknutej osobe bez použitia dodatočných informácií, ak sa takéto dodatočné informácie uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia s cieľom zabezpečiť, aby osobné údaje nebolo možné priradiť k identifikovanej fyzickej osobe alebo k identifikovateľnej fyzickej osobe,

f) genetickými údajmi osobné údaje týkajúce sa zdedených genetických charakteristických znakov fyzickej osoby alebo nadobudnutých genetických charakteristických znakov fyzickej osoby, ktoré poskytujú jedinečné informácie o fyziológii alebo zdraví tejto fyzickej osoby a ktoré vyplývajú najmä z analýzy biologickej vzorky danej fyzickej osoby,

g) biometrickými údajmi osobné údaje, ktoré sú výsledkom osobitného technického spracúvania osobných údajov, ktoré sa týka fyzických charakteristických znakov fyzickej osoby, fyziologických charakteristických znakov fyzickej osoby alebo behaviorálnych charakteristických znakov fyzickej osoby a ktoré umožňujú jedinečnú identifikáciu alebo potvrdzujú jedinečnú identifikáciu tejto fyzickej osoby, ako napríklad vyobrazenie tváre, hlas alebo daktyloskopické údaje, 3

h) údajmi týkajúcimi sa zdravia osobné údaje týkajúce sa fyzického zdravia alebo duševného zdravia fyzickej osoby vrátane údajov o poskytovaní zdravotnej starostlivosti alebo služieb súvisiacich s poskytovaním zdravotnej starostlivosti, ktorými sa odhaľujú informácie o jej zdravotnom stave,

i) informačným systémom akýkoľvek usporiadaný súbor osobných údajov, ktoré sú prístupné podľa určených kritérií, bez ohľadu na to, či ide o systém centralizovaný, decentralizovaný alebo distribuovaný na funkčnom základe alebo geografickom základe,

j) porušením ochrany osobných údajov porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene alebo k neoprávnenému poskytnutiu prenášaných, uchovávaných alebo inak spracúvaných osobných údajov, alebo neoprávnený prístup k nim,

k) logom záznam o priebehu činnosti v automatizovanom informačnom systéme,

l) online identifikátorom identifikátor poskytnutý aplikáciou, nástrojom alebo protokolom, najmä IP adresa, cookies, prihlasovacie údaje do online služieb, rádiofrekvenčné identifikátory, ktoré môžu zanechávať stopy, ktoré sa najmä v kombinácii s jedinečnými identifikátormi alebo inými informáciami môžu použiť na vytvorenie profilu dotknutej osoby a na jej identifikáciu,

m) členským štátom štát, ktorý je členským štátom Európskej únie alebo zmluvnou stranou Dohody o Európskom hospodárskom priestore,

n) treťou krajinou štát, ktorý nie je členským štátom,

o) medzinárodnou organizáciou organizácia a jej podriadené subjekty, ktoré sa riadia medzinárodným právom verejným, alebo akýkoľvek iný subjekt, ktorý bol zriadený dohodou medzi dvoma alebo viacerými štátmi alebo na základe takejto dohody.

§ 3

Príslušné orgány pri spracúvaní osobných údajov pri plnení úloh na účely podľa § 1 a) chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov, a b) zabezpečia, aby výmena osobných údajov medzi príslušnými orgánmi v rámci Európskej únie, ak sa takáto výmena vyžaduje podľa právne záväzných aktov Európskej únie, tohto zákona alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, nebola obmedzená ani zakázaná z dôvodov súvisiacich s ochranou fyzických osôb pri spracúvaní osobných údajov. § 4 Zásady spracúvania osobných údajov

(1) Osobné údaje sa musia získavať iba v nevyhnutnom rozsahu na konkrétne určený, výslovne uvedený a oprávnený účel a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmto účelom; ten istý príslušný orgán alebo iný príslušný orgán je oprávnený spracúvať osobné údaje na archiváciu vo verejnom záujme, na vedecký účel, na účel historického výskumu alebo na štatistický účel v súvislosti s plnením úloh na účely podľa § 1, ak prijme primerané záruky ochrany práv a slobôd dotknutej osoby. (2) Osobné údaje musia byť primerané, relevantné a úmerné vo vzťahu k účelu, na ktorý sa spracúvajú.

4

(3) Osobné údaje musia byť správne a podľa potreby aktualizované. Príslušné orgány musia prijať všetky potrebné opatrenia, aby sa zabezpečilo, že osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, sa bezodkladne vymažú alebo opravia.

(4) Osobné údaje sa musia uchovávať vo forme, ktorá umožňuje identifikáciu dotknutej osoby najneskôr dovtedy, kým je to nevyhnutné na účel, na ktorý sa osobné údaje spracúvajú.

(5) Spracúvať osobné údaje pri plnení úloh na účely podľa § 1, ktoré sa pôvodne získali na iný účel, je možné, ak ich spracúvanie je na účel podľa § 1 nevyhnutné a primerané.

(6) Spracúvať osobné údaje aj na iný účel, ako je plnenie úloh na účely podľa § 1, je možné, ak to je v súlade s týmto zákonom, osobitným predpisom alebo medzinárodnou zmluvou, ktorou je Slovenská republika viazaná, a ak spracúvanie je na tento iný účel nevyhnutné a primerané.

(7) Na spracúvanie osobných údajov na iný účel, ako je plnenie úloh na účely podľa § 1, sa vzťahuje osobitný predpis. 1 )

(8) Osobné údaje sa musia spracúvať spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, likvidáciou alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení.

§ 5 Zákonnosť spracúvania

(1) Príslušný orgán je oprávnený spracúvať osobné údaje na účely podľa § 1, ak tak ustanoví osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná. Spracúvanie osobných údajov podľa prvej vety je potrebné vykonávať zákonným spôsobom, spravodlivo a iba v nevyhnutnom rozsahu.

(2) Osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, ustanoví najmä účel spracúvania osobných údajov, cieľ spracúvania osobných údajov a zoznam alebo rozsah osobných údajov, ktoré sa majú spracúvať.

§ 6 Spracúvanie osobitných kategórií osobných údajov

(1) Príslušný orgán môže spracúvať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženstvo, filozofické presvedčenie, členstvo v odborových organizáciách, genetické údaje, biometrické údaje na účely individuálnej identifikácie, údaje týkajúce sa zdravia, údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby (ďalej len „osobitné kategórie osobných údajov“) len vtedy, ak a) ich preukázateľne poskytla dotknutá osoba, 1 ) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4. 5. 2016) v platnom znení. Zákon č. …/2026 Z. z. o zabezpečení ochrany fyzických osôb pri spracúvaní osobných údajov a o zmene a doplnení niektorých zákonov (zákon o ochrane osobných údajov).

5 b) je ich spracúvanie nevyhnutné podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo c) je ich spracúvanie nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby.

(2) Príslušný orgán musí pri spracúvaní osobitných kategórií osobných údajov podľa odseku 1 prijať primerané záruky na ochranu práv a slobôd dotknutej osoby; povinnosti podľa § 30 tým nie sú dotknuté.

§ 7

Spracúvanie osobných údajov týkajúcich sa uznania viny za spáchanie trestného činu alebo priestupku

Prevádzkovateľom na účel spracúvania osobných údajov v registri trestov môže byť len štátny orgán. Spracúvať osobné údaje týkajúce sa uznania viny za spáchanie trestného činu alebo priestupku alebo súvisiacich bezpečnostných opatrení možno len na základe osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ak poskytujú primerané záruky ochrany práv a slobôd dotknutej osoby.

§ 8

Kategórie dotknutých osôb

Príslušný orgán je povinný v jednotlivých prípadoch a v najväčšej možnej miere rozlišovať medzi osobnými údajmi rôznych kategórií dotknutých osôb, ako sú najmä

a) osoby, u ktorých sa možno odôvodnene domnievať, že spáchali alebo majú v úmysle spáchať trestný čin alebo iné protiprávne konanie ,

b) osoby odsúdené za spáchanie trestného činu a osoby, ktorým bolo právoplatne podmienečne zastavené trestné stíhanie alebo osoby, pri ktorých bol schválený zmier,

c) obete trestného činu alebo osoby, u ktorých sú na základe určitých skutočností dôvody domnievať sa, že sú alebo by mohli byť obeťami trestného činu alebo iného protiprávneho konania,

d) iné tretie osoby v súvislosti s trestným činom, a to najmä osoby, ktoré môžu byť vyzvané, aby svedčili v rámci trestného konania, osoby, ktoré môžu poskytnúť informácie o trestných činoch, alebo blízke osoby a spolupáchatelia.

§ 9

Pôvod a pravdivosť osobných údajov

(1) Príslušný orgán označí osobné údaje založené na skutočnostiach a osobné údaje založené na osobných hodnoteniach.

(2) Príslušný orgán pred poskytnutím osobných údajov alebo pred cezhraničným prenosom osobných údajov (ďalej len „prenos“) overí ich správnosť, úplnosť a aktuálnosť a prijme opatrenia na zabezpečenie toho, aby sa neposkytovali alebo neprenášali osobné údaje, ktoré sú nesprávne, neúplné alebo neaktuálne. Osobné údaje sa považujú za správne, úplné a aktuálne, ak sa nepreukáže opak.

(3) Príslušný orgán k poskytnutiu a prenosu osobných údajov pripojí dostupné informácie, ktoré umožnia prijímajúcemu príslušnému orgánu posúdiť mieru ich správnosti, 6 úplnosti, aktuálnosti a spoľahlivosti. Nesprávne osobné údaje príslušný orgán nemôže poskytovať a prenášať; neoverené osobné údaje príslušný orgán musí pri poskytovaní alebo prenose takto označiť a musí uviesť mieru ich spoľahlivosti. Ak príslušný orgán neoprávnene poskytne osobné údaje, neoprávnene prenesie osobné údaje, poskytne nesprávne osobné údaje alebo prenesie nesprávne osobné údaje, je povinný bezodkladne informovať a žiadať príjemcov osobných údajov, ktorým sa také osobné údaje poskytli, aby ich bez zbytočného odkladu opravili, doplnili, vymazali alebo aby obmedzili spracúvanie takých osobných údajov. Práva dotknutej osoby § 10

(1) Prevádzkovateľ je povinný prijať vhodné opatrenia a poskytnúť dotknutej osobe informácie podľa § 11 a 13 ods. 5 a oznámenia podľa § 15 a 3 1, ktoré sa týkajú spracúvania jej osobných údajov, v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne, a to najmä pri informáciách určených osobitne dieťaťu alebo osobe vyššieho veku. Informácie je povinný poskytnúť v písomnej forme, ak tretia veta neustanovuje inak, a to spravidla v rovnakej podobe, v akej bola podaná žiadosť. O poskytnutí informácií dotknutej osobe ústne vyhotoví prevádzkovateľ písomný záznam.

(2) Prevádzkovateľ poskytne súčinnosť dotknutej osobe pri uplatňovaní jej práv podľa § 12 až 17.

(3) Prevádzkovateľ môže požiadať o poskytnutie dodatočných informácií potrebných na potvrdenie totožnosti dotknutej osoby, ak má oprávnené pochybnosti o totožnosti fyzickej osoby, ktorá podáva žiadosť podľa § 12 až 14. (4) Prevádzkovateľ je povinný poskytnúť dotknutej osobe informácie o opatreniach, ktoré sa prijali na základe jej žiadosti podľa § 12 až 14 bezodkladne, najneskôr do jedného mesiaca od doručenia žiadosti. Uvedenú lehotu môže prevádzkovateľ v odôvodnených prípadoch, s ohľadom na komplexnosť a počet žiadostí, predĺžiť o dva mesiace, a to aj opakovane. Prevádzkovateľ je povinný o každom takom predĺžení informovať dotknutú osobu do jedného mesiaca od doručenia žiadosti alebo posledného predĺženia lehoty spolu s dôvodmi predĺženia lehoty. Ak dotknutá osoba podala žiadosť v elektronickej podobe, 2 ) prevádzkovateľ poskytne informácie v elektronickej podobe, ak dotknutá osoba nepožiadala o poskytnutie informácie iným spôsobom.

(5) Ak prevádzkovateľ neprijme opatrenia na základe žiadosti dotknutej osoby, je povinný bezodkladne, najneskôr do jedného mesiaca od doručenia žiadosti informovať dotknutú osobu o dôvodoch nekonania a o možnosti podať sťažnosť na Úrad na ochranu osobných údajov Slovenskej republiky (ďalej len „úrad“) podľa osobitného predpisu. 3 )

(6) Informácie podľa § 11 a 13 ods. 5 a oznámenia podľa § 15 a § 31 sa poskytujú bezodplatne. Ak je žiadosť dotknutej osoby zjavne neopodstatnená alebo neprimeraná najmä pre jej opakujúcu sa povahu, prevádzkovateľ môže

2 ) § 11 zákona č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) v znení neskorších predpisov. 3 ) § 33 zákona č. .../2026 Z. z.

7 a) požadovať primeraný poplatok zohľadňujúci administratívne náklady na poskytnutie informácií, primeraný poplatok zohľadňujúci administratívne náklady na oznámenie alebo primeraný poplatok zohľadňujúci administratívne náklady na uskutočnenie požadovaného opatrenia, alebo b) odmietnuť konať na základe žiadosti.

(7) Zjavnú neopodstatnenosť žiadosti alebo neprimeranosť žiadosti podľa odseku 6 preukazuje prevádzkovateľ. § 11 Informácie, ktoré sa majú poskytnúť dotknutej osobe

(1) Príslušný orgán poskytne dotknutej osobe najmä a) svoje identifikačné údaje a kontaktné údaje, b) kontaktné údaje zodpovednej osoby príslušného orgánu, c) informácie o účele spracúvania osobných údajov, d) informácie o práve podať sťažnosť na úrad podľa osobitného predpisu 3 ) a kontaktné údaje úradu, e) informácie o práve žiadať od príslušného orgánu prístup k osobným údajom, ktoré sa dotknutej osoby týkajú, ich opravu, vymazanie alebo obmedzenie ich spracúvania.

(2) Na žiadosť dotknutej osoby je príslušný orgán povinný poskytnúť v osobitných prípadoch dotknutej osobe informácie o a) právnom základe spracúvania osobných údajov, b) dobe uchovávania osobných údajov; ak to nie je možné, informáciu o kritériách jej určenia, c) príjemcoch alebo kategóriách príjemcov osobných údajov, ktorým sa osobné údaje poskytujú, a to aj o príjemcoch v tretej krajine a medzinárodnej organizácii, d) iných skutočnostiach, najmä ak sa osobné údaje získali bez vedomia dotknutej osoby. § 12 Právo na prístup k osobným údajom

Dotknutá osoba má právo získať od príslušného orgánu potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak to tak je, má právo získať prístup k týmto osobným údajom a informácie o

a) účele spracúvania osobných údajov,

b) právnom základe spracúvania osobných údajov,

c) kategóriách osobných údajov,

d) príjemcoch alebo kategóriách príjemcov, ktorým sa osobné údaje poskytujú, najmä o príjemcoch v tretej krajine a medzinárodnej organizácii,

e) dobe uchovávania osobných údajov; ak to nie je možné, informáciu o kritériách jej určenia,

f) práve žiadať od príslušného orgánu opravu osobných údajov týkajúcich sa dotknutej osoby alebo ich vymazanie alebo obmedzenie spracúvania osobných údajov,

g) zdroji osobných údajov, ak sú tieto informácie dostupné,

h) práve podať sťažnosť na úrad podľ a osobitného predpisu 3 ) a kontaktné údaje úradu.

8 § 13 Právo na opravu osobných údajov, právo na vymazanie osobných údajov a obmedzenie týchto práv (1) Dotknutá osoba má právo na to, aby príslušný orgán bezodkladne opravil nesprávne osobné údaje, ktoré sa jej týkajú. So zreteľom na účel spracúvania osobných údajov má dotknutá osoba právo na doplnenie neúplných osobných údajov.

(2) Dotknutá osoba má právo na to, aby príslušný orgán bezodkladne vymazal osobné údaje, ktoré sa jej týkajú. Príslušný orgán je povinný bezodkladne vymazať osobné údaje podľa prvej vety, ak a) spracúvanie osobných údajov je v rozpore so zásadami spracúvania osobných údajov podľa § 4 a zákonnosťou spracúvania podľa § 5, b) spracúvanie osobitných kategórií osobných údajov je v rozpore s § 6 , alebo c) výmaz osobných údajov je nevyhnutný na účel splnenia povinností podľa tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

(3) Namiesto vymazania príslušný orgán obmedzí spracúvanie osobných údajov, ak a) dotknutá osoba napadla správnosť osobných údajov a ich správnosť alebo nesprávnosť nemožno určiť, alebo b) osobné údaje sa musia zachovať pre potreby dokazovania vykonávaného na účely podľa § 1.

(4) Ak je obmedzené spracúvanie osobných údajov podľa odseku 3 písm. a), príslušný orgán je povinný pred zrušením obmedzenia spracúvania osobných údajov o tom dotknutú osobu informovať.

(5) Príslušný orgán je povinný písomne informovať dotknutú osobu o zamietnutí práva na opravu podľa odseku 1, práva na vymazanie podľa odseku 2 alebo o obmedzení spracúvania osobných údajov podľa odseku 3 a o dôvodoch zamietnutia. § 14 Obmedzenie poskytnutia informácií, práv a slobôd dotknutej osoby

(1) Príslušný orgán môže odložiť poskytnutie informácií, obmedziť poskytnutie informácií alebo upustiť od poskytnutia informácií podľa § 11 ods. 2, úplne alebo čiastočne obmedziť právo na prístup podľa § 12 alebo môže úplne alebo čiastočne obmedziť povinnosť informovať podľa § 13 ods. 5 v takom rozsahu a na tak dlho, ako toto opatrenie so zreteľom na základné práva a oprávnené záujmy dotknutej osoby predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti, ak

a) by mohlo dôjsť k ovplyvňovaniu alebo mareniu úradného postupu, súdneho postupu, vyšetrovania alebo konania,

b) by mohlo dôjsť k ohrozeniu plnenia úloh na účely podľa § 1,

c) je to potrebné na zabezpečenie ochrany verejného poriadku alebo národnej bezpečnosti, alebo

d) je to potrebné na ochranu práv a slobôd iných osôb.

(2) Spracúvanie osobných údajov, na ktoré sa vzťahuje odsek 1, môže ustanoviť osobitný predpis.

9 (3) Príslušný orgán je povinný bezodkladne písomne informovať dotknutú osobu o zamietnutí práva alebo obmedzení práva podľa § 13 a o dôvodoch tohto zamietnutia alebo obmedzenia; to neplatí, ak by sa poskytnutím takej informácie ohrozil účel podľa odseku 1.

(4) Príslušný orgán je povinný zdokumentovať vecné dôvody alebo právne dôvody, na základe ktorých sa obmedzilo právo na prístup podľa § 1 2, a poskytnúť ich na požiadanie úradu.

(5) Ak príslušný orgán obmedzí poskytnutie informácií alebo obmedzí právo dotknutej osoby podľa odseku 1, je povinný dotknutú osobu písomne informovať o možnosti uplatnenia práva na preverenie zákonnosti postupov príslušného orgánu podľa odsekov 1 a 3 a podať sťažnosť na úrad podľa osobitného predpisu. 3 ) (6) Úrad informuje dotknutú osobu o tom, že vykonal všetky nevyhnutné overenia alebo preskúmania. Úrad informuje dotknutú osobu aj o možnosti uplatnenia práv na inú právnu ochranu. 4 ) § 15 Oznámenie opravy, vymazania alebo obmedzenia spracúvania osobných údajov

Príslušný orgán je povinný oznámiť opravu nesprávnych osobných údajov príslušnému orgánu, od ktorého nesprávne osobné údaje získal. Ak príslušný orgán nesprávne osobné údaje opraví, vymaže alebo obmedzí ich spracúvanie podľa § 13 ods. 1 až 3, informuje o tom príjemcu, ktorý je také osobné údaje povinný opraviť, vymazať alebo obmedziť ich spracúvanie. § 16

(1) Ak ide o osobné údaje, ktoré sú súčasťou vyšetrovacieho spisu alebo súdneho spisu v rámci trestného konania, práva dotknutej osoby podľa § 11 až 13 sa vykonávajú podľa osobitných predpisov. 5 ) (2) Ak ide o osobné údaje, ktoré sú vedené Zborom väzenskej a justičnej stráže pri zabezpečovaní výkonu väzby a výkonu trestu odňatia slobody, práva dotknutej osoby podľa § 11 až 13 sa vykonávajú podľa osobitných predpisov. 6 ) § 17 Automatizované individuálne rozhodovanie

(1) Rozhodnutie príslušného orgánu, ktoré má na dotknutú osobu nepriaznivé právne účinky alebo iné významné dôsledky, nesmie byť založené výlučne na automatizovanom spracúvaní osobných údajov vrátane profilovania, ak osobitný predpis alebo medzinárodná

4 ) Správny súdny poriadok . 5 ) Trestný poriadok. Zákon č. 757/2004 Z. z. o súdoch a o zmene a doplnení niektorých zákonov v znení neskorších predpisov. 6 ) Zákon č. 4/2001 Z. z. o Zbore väzenskej a justičnej stráže v znení neskorších predpisov. Zákon č. 475/2005 Z. z. o výkone trestu odňatia slobody a o zmene a doplnení niektorých zákonov v znení neskorších predpisov. Zákon č. 221/2006 Z. z. o výkone väzby v znení neskorších predpisov.

10 zmluva, ktorou je Slovenská republika viazaná, neustanovuje inak. Osobitým predpisom alebo medzinárodnou zmluvou, ktorou je Slovenská republika viazaná, musia byť ustanovené primerané záruky ochrany práv a slobôd dotknutej osoby, najmä právo na overenie rozhodnutia ľudským zásahom zo strany príslušného orgánu. (2) Rozhodnutie podľa odseku 1 nesmie byť založené na osobitných kategóriách osobných údajov, ak sa neuplatňujú vhodné opatrenia na zaručenie práv a oprávnených záujmov dotknutej osoby.

(3) Profilovanie, ktoré vedie k diskriminácii osôb na základe osobitných kategórií osobných údajov, sa zakazuje. Práva a povinnosti prevádzkovateľa a sprostredkovateľa § 18 Zodpovednosť prevádzkovateľa

(1) Príslušný orgán je povinný so zreteľom na povahu, rozsah, kontext a účely spracúvania osobných údajov, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzickej osoby prijať vhodné technické a organizačné opatrenia na zabezpečenie a preukázanie toho, že spracúvanie osobných údajov sa vykonáva v súlade s týmto zákonom. Opatrenia podľa prvej vety je príslušný orgán povinný preskúmať a podľa potreby aktualizovať.

(2) Opatrenia podľa odseku 1 zahŕňajú zavedenie primeraných postupov ochrany osobných údajov zo strany príslušného orgánu, ak je to vzhľadom na spracovateľské činnosti primerané.

§ 19

Špecificky navrhnutá a štandardná ochrana osobných údajov

(1) Príslušný orgán je povinný so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou, ktoré spracúvanie predstavuje pre práva a slobody fyzických osôb, v čase určenia prostriedkov spracúvania aj v čase samotného spracúvania prijať primerané technické a organizačné opatrenia, najmä pseudonymizáciu, na účinné zavedenie zásad ochrany osobných údajov, ako je minimalizácia osobných údajov, začleniť do spracúvania nevyhnutné záruky s cieľom splniť požiadavky tohto zákona a chrániť práva dotknutých osôb.

(2) Príslušný orgán vykoná primerané technické a organizačné opatrenia na zabezpečenie toho, že sa spracúvajú len osobné údaje, ktoré sú nevyhnutné pre každý konkrétny účel spracúvania. To sa vzťahuje na množstvo získaných osobných údajov, rozsah ich spracúvania, dobu ich uchovávania a ich dostupnosť. Príslušný orgán je povinný zabezpečiť, aby osobné údaje neboli bez zásahu fyzickej osoby prístupné neobmedzenému počtu iných fyzických osôb.

11

§ 20 Spoloční prevádzkovatelia

(1) Spoločnými prevádzkovateľmi sú dva príslušné orgány alebo viaceré príslušné orgány, ktoré si dohodou určia účely a prostriedky spracúvania osobných údajov. Spoloční prevádzkovatelia sú povinní v dohode transparentne určiť svoje zodpovednosti za plnenie povinností podľa tohto zákona, najmä ak ide o ochranu práv dotknutej osoby a povinnosti poskytovať informácie podľa § 11 a 13 ods. 5, ak nie sú zodpovednosti príslušných orgánov určené osobitným predpisom alebo medzinárodnou zmluvou, ktorou je Slovenská republika viazaná. V dohode sa určí kontaktné miesto pre dotknuté osoby. V dohode sa určí tiež jednotné kontaktné miesto pre uplatnenie práv dotknutých osôb.

(2) Bez ohľadu na podmienky dohody podľa odseku 1, dotknutá osoba si môže uplatniť svoje práva podľa tohto zákona u každého príslušného orgánu a voči každému príslušnému orgánu.

§ 21

Sprostredkovateľ

(1) Ak spracúvanie osobných údajov uskutočňuje v mene príslušného orgánu sprostredkovateľ, príslušný orgán môže využívať len sprostredkovateľa poskytujúceho dostatočné záruky na prijatie primeraných technických a organizačných opatrení tak, aby spracúvanie osobných údajov spĺňalo požiadavky podľa tohto zákona a aby sa zabezpečila ochrana práv a slobôd dotknutých osôb.

(2) Sprostredkovateľ nesmie poveriť spracúvaním osobných údajov ďalšieho sprostredkovateľa bez predchádzajúceho osobitného písomného povolenia alebo všeobecného písomného povolenia príslušného orgánu. Sprostredkovateľ je povinný informovať príslušný orgán o akýchkoľvek zamýšľaných zmenách v súvislosti s pridaním alebo nahradením ďalších sprostredkovateľov, ak ide o všeobecné písomné povolenie.

(3) Spracúvanie osobných údajov sprostredkovateľom sa riadi zmluvou alebo iným právnym úkonom, ktorý zaväzuje sprostredkovateľa voči príslušnému orgánu a ktorým sa stanovuje predmet a doba spracúvania osobných údajov, povaha a účel spracúvania osobných údajov, typ osobných údajov, kategórie dotknutých osôb a povinnosti a práva príslušného orgánu. V zmluve alebo inom právnom akte sa najmä ustanoví, že sprostredkovateľ je povinný

a) konať len na základe pokynov príslušného orgánu,

b) zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali zachovať mlčanlivosť, ak nie sú viazané mlčanlivosťou podľa osobitného predpisu, 7 )

c) pomáhať príslušnému orgánu zabezpečiť súlad s požiadavkami týkajúcimi sa práv dotknutých osôb,

d) po ukončení poskytovania služieb týkajúcich sa spracúvania osobných údajov, na základe rozhodnutia príslušného orgánu, vymazať všetky osobné údaje alebo vrátiť všetky osobné údaje príslušnému orgánu a vymazať existujúce kópie, ak osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná nepožaduje od sprostredkovateľa uchovávanie týchto osobných údajov, o čom sprostredkovateľ bezodkladne informuje príslušný orgán, 7 ) Napríklad zákon č. 576/2004 Z. z. o zdravotnej starostlivosti, službách súvisiacich poskytovaním zdravotnej starostlivosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.

12

e) poskytnúť príslušnému orgánu všetky informácie potrebné na preukázanie súladu s týmto zákonom,

f) dodržiavať podmienky zapojenia ďalšieho sprostredkovateľa podľa odseku 2.

(4) Zmluva alebo iný právny úkon podľa odseku 3 sa uzatvára písomne vrátane elektronickej podoby.

(5) Ak sprostredkovateľ určí účel a prostriedky spracúvania osobných údajov v rozpore s týmto zákonom, považuje sa v súvislosti s takým spracúvaním osobných údajov za prevádzkovateľa podľa osobitného predpisu. 1 )

§ 22

Sprostredkovateľ a každá osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, nesmie spracúvať tieto osobné údaje bez pokynov príslušného orgánu; to neplatí, ak to vyžaduje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná.

§ 23

Určenie zodpovednej osoby

(1) Príslušný orgán je povinný určiť zodpovednú osobu; to neplatí, ak osobné údaje spracúvajú súdy pri výkone ich súdnej právomoci . Príslušný orgán je povinný zverejniť kontaktné údaje zodpovednej osoby na svojom webovom sídle.

(2) Príslušný orgán je povinný oznámiť úradu údaje o zodpovednej osobe podľa osobitného predpisu. 8 )

(3) Príslušný orgán určí zodpovednú osobu na základe jej odborných kvalít, a to najmä na základe jej odborných znalostí práva a postupov v oblasti ochrany osobných údajov a na základe spôsobilosti plniť úlohy zodpovednej osoby podľa § 25.

(4) Pre niekoľko príslušných orgánov možno určiť jednu zodpovednú osobu, pričom sa zohľadní ich organizačná štruktúra a ich veľkosť.

§ 24

Postavenie zodpovednej osoby

(1) Príslušný orgán je povinný zabezpečiť, aby bola zodpovedná osoba riadne a včas zapojená do všetkých záležitostí, ktoré súvisia s ochranou osobných údajov.

(2) Príslušný orgán je povinný poskytnúť zodpovednej osobe prostriedky na plnenie úloh zodpovednej osoby podľa § 25, prístup k osobným údajom a spracovateľským operáciám a zabezpečiť udržiavanie jej odborných znalostí.

8 ) § 5 ods. 3 a 4 zákona č. .../2026 Z. z.

13

§ 25 Úlohy zodpovednej osoby

Zodpovedná osoba na základe poverenia príslušného orgánu najmä

a) poskytuje informácie a poradenstvo príslušnému orgánu a jeho zamestnancom, ktorí spracúvajú osobné údaje, o ich povinnostiach týkajúcich sa ochrany osobných údajov,

b) monitoruje súlad úkonov príslušného orgánu s týmto zákonom, osobitnými predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná, ktoré sa týkajú ochrany osobných údajov a súlad s pravidlami príslušného orgánu súvisiacimi s ochranou osobných údajov vrátane rozdelenia povinností, zvyšovania povedomia a odbornej prípravy zamestnancov príslušného orgánu zapojených do spracovateľských operácií, a súvisiacich auditov ochrany osobných údajov,

c) poskytuje poradenstvo na požiadanie príslušného orgánu, ak ide o posúdenie vplyvu na ochranu osobných údajov a monitorovanie jeho vykonávania podľa § 28,

d) spolupracuje s úradom,

e) plní úlohy kontaktného miesta pre úrad v súvislosti s otázkami týkajúcimi sa spracúvania osobných údajov vrátane predchádzajúcej konzultácie podľa § 29 a podľa potreby aj konzultácie v iných veciach.

§ 26

Záznamy o spracovateľských činnostiach

(1) Príslušný orgán je povinný viesť záznamy o všetkých kategóriách spracovateľských činností, za ktoré je zodpovedný. Záznamy musia obsahovať

a) názov a kontaktné údaje príslušného orgánu alebo spoločného prevádzkovateľa a zodpovednej osoby,

b) účely spracúvania osobných údajov,

c) kategórie príjemcov, ktorým sa poskytujú osobné údaje, vrátane príjemcov v tretej krajine, v členskom štáte a medzinárodnej organizácii,

d) opis kategórií dotknutých osôb a kategórií osobných údajov,

e) použitie profilovania,

f) kategórie prenosov osobných údajov do tretej krajiny, členského štátu alebo medzinárodnej organizácie,

g) právny základ pre spracovateľské operácie vrátane prenosu, pre ktorý sú osobné údaje určené,

h) predpokladané lehoty na vymazanie rôznych kategórií osobných údajov,

i) všeobecný opis technických a organizačných bezpečnostných opatrení podľa § 30 ods. 2.

(2) Sprostredkovateľ je povinný viesť záznamy o všetkých kategóriách spracovateľských činností, ktoré vykonal v mene príslušného orgánu. Záznamy musia obsahovať

a) názov a kontaktné údaje sprostredkovateľa a príslušného orgánu, v mene ktorého sprostredkovateľ koná, a zodpovednej osoby,

b) kategórie spracúvania osobných údajov vykonávaného v mene každého príslušného orgánu,

c) prenosy osobných údajov do tretej krajiny, členského štátu alebo medzinárodnej organizácie vrátane označenia tretej krajiny alebo medzinárodnej organizácie, ak to príslušný orgán výslovne požadoval v pokynoch, 14 d) všeobecný opis technických a organizačných bezpečnostných opatrení podľa § 30 ods. 2. (3) Záznamy uvedené v odsekoch 1 a 2 sa vedú v listinnej podobe. Príslušný orgán a sprostredkovateľ sú povinní na požiadanie poskytnúť záznamy úradu.

§ 27 Vedenie logov

(1) Príslušný orgán pri získavaní, zmene, prehliadaní, poskytovaní vrátane prenosu, kombinovaní a vymazaní osobných údajov v systéme automatizovaného spracúvania uchováva logy. Z logov o prehliadaní a poskytovaní musí byť možné určiť dôvod, dátum a čas prehliadania alebo poskytovania a identifikačné údaje používateľa, ktorý tieto osobné údaje prehliadal alebo poskytoval, ako aj totožnosť príjemcov.

(2) Príslušný orgán využíva a uchováva logy výlučne na účely overovania zákonnosti spracúvania osobných údajov, vlastného monitorovania, na účely zabezpečenia integrity a bezpečnosti osobných údajov a na účely trestného konania.

(3) Príslušný orgán uchováva logy na účely podľa odseku 2 po celú dobu spracúvania osobných údajov a najmenej päť rokov po skončení spracúvania osobných údajov, ak osobitný predpis neustanovuje inak.

(4) Príslušný orgán a sprostredkovateľ príslušného orgánu na požiadanie poskytnú logy úradu, ak sú dostupné.

§ 28

Posúdenie vplyvu na ochranu osobných údajov

(1) Ak typ spracúvania osobných údajov, najmä s využitím nových technológií a s ohľadom na povahu, rozsah, kontext a účely spracúvania osobných údajov, môže viesť k vysokému riziku pre práva a slobody fyzických osôb, príslušný orgán je povinný pred spracúvaním osobných údajov vykonať posúdenie vplyvu plánovaných spracovateľských operácií na ochranu osobných údajov.

(2) Posúdenie podľa odseku 1 obsahuje s ohľadom na práva a oprávnené záujmy dotknutých osôb a prípadných ďalších osôb najmä

a) všeobecný opis plánovaných spracovateľských operácií,

b) hodnotenie rizík pre práva a slobody dotknutých osôb,

c) opatrenia na riešenie rizík, vrátane záruk, bezpečnostných opatrení a mechanizmov na zabezpečenie ochrany osobných údajov a na preukázanie súladu plánovaných spracovateľských operácií s týmto zákonom.

§ 29

Predchádzajúca konzultácia

(1) Príslušný orgán uskutoční s úradom konzultáciu pred spracúvaním osobných údajov, ktoré majú byť súčasťou nového informačného systému, ak je z posúdenia vplyvu na ochranu osobných údajov podľa § 28 zrejmé, že toto spracúvanie osobných údajov povedie k vysokému riziku pre práva fyzických osôb, ak príslušný orgán neprijme opatrenia na zmiernenie tohto

15 rizika alebo ak sa s typom spracúvania, najmä s využitím nových technológií, mechanizmov alebo postupov, spája vysoké riziko porušenia práv a slobôd dotknutej osoby. (2) Príslušný orgán spolu so žiadosťou o predchádzajúcu konzultáciu poskytne úradu aj posúdenie vplyvu na ochranu osobných údajov podľa § 28, ktoré vykonal a na požiadanie úradu aj ďalšie informácie, ktoré úradu umožnia posúdiť súlad spracúvania osobných údajov s týmto zákonom a najmä riziká z hľadiska ochrany osobných údajov dotknutej osoby a súvisiacich záruk.

(3) Ak sa úrad domnieva, že by zamýšľané spracúvanie osobných údajov podľa odseku 1 bolo nezákonné, najmä ak príslušný orgán nedostatočne identifikoval riziko alebo riziko nezmiernil, úrad do šiestich týždňov od prijatia žiadosti o konzultáciu poskytne príslušnému orgánu, prípadne aj sprostredkovateľovi, písomné poradenstvo. Úrad môže s ohľadom na zložitosť zamýšľaného spracúvania osobných údajov predĺžiť lehotu podľa prvej vety o jeden mesiac; predĺženie lehoty a dôvody predĺženia lehoty úrad oznámi príslušnému orgánu, prípadne aj sprostredkovateľovi, do jedného mesiaca od prijatia žiadosti o konzultáciu. Lehota na poskytnutie poradenstva úradom neplynie dovtedy, kým úrad nezíska informácie, o ktoré požiadal na účely predchádzajúcej konzultácie.

(4) Úrad je oprávnený vypracovať zoznam spracovateľských operácií, ktoré podliehajú povinnosti uskutočniť predchádzajúcu konzultáciu. Zoznam spracovateľských operácií podľa prvej vety zverejňuje úrad na svojom webovom sídle.

§ 30

Bezpečnosť spracúvania osobných údajov

(1) Príslušný orgán a sprostredkovateľ sú povinní prijať so zreteľom na najnovšie poznatky, náklady na vykonanie a na povahu, rozsah, kontext a účel spracúvania osobných údajov, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia na zaistenie úrovne bezpečnosti primeranej riziku, najmä ak ide o spracúvanie osobitných kategórií osobných údajov podľa § 6.

(2) Príslušný orgán alebo sprostredkovateľ príslušného orgánu pri automatizovanom spracúvaní osobných údajov prijme na základe vyhodnotenia rizík opatrenia na

a) kontrolu prístupu k zariadeniam, aby sa zabránilo neoprávnenému prístupu k zariadeniam používaným na spracúvanie osobných údajov,

b) kontrolu nosičov osobných údajov, aby sa zabránilo neoprávnenému čítaniu nosičov osobných údajov, kopírovaniu nosičov osobných údajov, pozmeňovaniu nosičov osobných údajov alebo odstráneniu nosičov osobných údajov,

c) kontrolu uchovávania osobných údajov, aby sa zabránilo neoprávnenému vkladaniu osobných údajov do informačného systému a neoprávnenému prehliadaniu osobných údajov v informačnom systéme, neoprávnenému pozmeňovaniu osobných údajov v informačnom systéme alebo neoprávnenému vymazaniu osobných údajov z informačného systému,

d) kontrolu používateľa informačného systému, aby sa zabránilo použitiu systémov automatizovaného spracúvania neoprávnenými osobami pomocou zariadenia na prenos osobných údajov,

e) kontrolu prístupu k osobným údajom, aby sa zabezpečilo, že osoby oprávnené používať systém automatizovaného spracúvania budú mať prístup iba k tým osobným údajom, na ktoré sa vzťahuje ich oprávnenie na prístup, 16

f) kontrolu prenosu osobných údajov, aby sa zabezpečila možnosť overiť a zistiť subjekty, ktorým sa preniesli osobné údaje alebo poskytli osobné údaje, alebo overiť a zistiť subjekty, ktorým sa môžu preniesť osobné údaje, alebo poskytnúť osobné údaje prostredníctvom zariadenia na prenos osobných údajov,

g) kontrolu vkladania osobných údajov do informačného systému, aby sa zabezpečila možnosť overenia a zistenia, aké osobné údaje sa vložili do systému automatizovaného spracúvania, a kedy a kto ich tam vložil,

h) kontrolu prepravy nosičov osobných údajov, aby sa zabránilo neoprávnenému čítaniu osobných údajov, kopírovaniu osobných údajov, pozmeňovaniu osobných údajov alebo vymazaniu osobných údajov počas ich prenosu alebo počas prepravy nosiča osobných údajov,

i) zálohovanie a obnovu osobných údajov, aby sa zabezpečilo, že sa inštalované systémy obnovia, ak dôjde k ich prerušeniu,

j) zabezpečenie spoľahlivosti informačného systému pravidelnou kontrolou jeho funkčnosti a zaznamenávaním zistených chýb,

k) zabezpečenie integrity a dostupnosti osobných údajov tak, aby pri poruche informačného systému nedošlo k ich strate, poškodeniu alebo neoprávnenej zmene a aby bolo možné osobné údaje obnoviť a spracúvať.

§ 31

Oznámenie porušenia ochrany osobných údajov úradu

(1) Príslušný orgán je povinný oznámiť úradu porušenie ochrany osobných údajov bezodkladne, najneskôr do 72 hodín po tom, ako sa o ňom dozvedel; to neplatí, ak nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb. Ak príslušný orgán neoznámil úradu porušenie ochrany osobných údajov do 72 hodín, musí omeškania zdôvodniť.

(2) Sprostredkovateľ je povinný oznámiť príslušnému orgánu porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvedel.

(3) Oznámenie podľa odseku 1 musí obsahovať najmä

a) opis povahy porušenia ochrany osobných údajov, vrátane kategórií a približného počtu dotknutých osôb, ktorých sa porušenie týka, a kategórií a približného počtu dotknutých záznamov o osobných údajoch,

b) meno alebo názov a kontaktné údaje zodpovednej osoby alebo iného kontaktného miesta, kde možno získať viac informácií,

c) opis pravdepodobných následkov porušenia ochrany osobných údajov,

d) opis opatrení prijatých alebo navrhovaných príslušným orgánom na nápravu porušenia ochrany osobných údajov vrátane opatrení na zmiernenie jeho potenciálnych nepriaznivých dôsledkov, ak sú potrebné.

(4) Príslušný orgán je povinný poskytovať informácie podľa odseku 3 v rozsahu, v akom sú mu známe v čase oznámenia podľa odseku 1; ak mu v čase oznámenia nie sú známe všetky informácie, príslušný orgán je povinný poskytnúť informácie bezodkladne po tom, čo sa o nich dozvie .

(5) Príslušný orgán je povinný zdokumentovať každý prípad porušenia ochrany osobných údajov vrátane skutočností spojených s porušením ochrany osobných údajov, jeho

17 následky a prijaté opatrenia na nápravu. Dokumentácia musí umožniť úradu overiť súlad postupu príslušného orgánu s týmto zákonom. (6) Príslušný orgán je povinný bezodkladne oznámiť informácie podľa odseku 3 prevádzkovateľovi z iného členského štátu, ak porušenie ochrany osobných údajov zahŕňa osobné údaje, prenos ktorých vykonal prevádzkovateľ iného členského štátu alebo ktoré boli prenesené takémuto prevádzkovateľovi.

§ 32

Oznámenie porušenia ochrany osobných údajov dotknutej osobe

(1) Príslušný orgán je povinný bezodkladne oznámiť dotknutej osobe porušenie ochrany osobných údajov, ak toto porušenie môže viesť k vysokému riziku pre práva a slobody fyzických osôb.

(2) Oznámenie podľa odseku 1 musí obsahovať jasne a jednoducho formulovaný opis povahy porušenia ochrany osobných údajov a informácie podľa § 31 ods. 3 písm. b), c) a d).

(3) Oznámenie podľa odseku 1 sa nevyžaduje, ak

a) príslušný orgán prijal primerané technické a organizačné bezpečnostné opatrenia a uplatnil ich na osobné údaje, ktorých sa porušenie ochrany osobných údajov týka, a to najmä šifrovanie alebo iné opatrenia, na základe ktorých sú osobné údaje nečitateľné pre všetky osoby, ktoré nie sú oprávnené mať k nim prístup,

b) príslušný orgán prijal následné opatrenia na zabezpečenie, že riziko už nebude mať dopady na práva a slobody dotknutej osoby,

c) by to vyžadovalo neprimerané úsilie; príslušný orgán je povinný v takom prípade informovať verejnosť alebo prijať podobné opatrenie, aby dotknutá osoba bola informovaná rovnako účinným spôsobom.

(4) Ak príslušný orgán porušenie ochrany osobných údajov neoznámil dotknutej osobe, úrad môže po zvážení pravdepodobnosti porušenia ochrany osobných údajov vedúceho k vysokému riziku požadovať, aby tak príslušný orgán urobil, alebo môže úrad rozhodnúť, že je splnená niektorá z podmienok podľa odseku 3.

(5) Oznámenie dotknutej osobe sa môže odložiť, obmedziť alebo sa od neho môže upustiť za podmienok alebo z dôvodov podľa § 14 ods. 1.

Prenos osobných údajov § 33

Ak príslušný orgán uskutočňuje prenos osobných údajov, na ktorých spracúvanie sa podľa osobitného predpisu vzťahujú osobitné podmienky spracúvania, musí o podmienkach a požiadavke dodržiavať ich informovať príjemcu. Pri prenose osobných údajov príjemcovi v inom členskom štáte, agentúre alebo orgánu Európskej únie nemôže príslušný orgán uplatňovať iné podmienky, ako sa uplatňujú na prenos osobných údajov v rámci Slovenskej republiky.

18 § 34 Všeobecné zásady prenosu osobných údajov

(1) Prenos osobných údajov, ktoré sa spracúvajú alebo sú určené na spracúvanie po prenose do tretej krajiny, členského štátu alebo medzinárodnej organizácii, vrátane následného prenosu osobných údajov do ďalšej tretej krajiny či ďalšej medzinárodnej organizácii príslušný orgán môže uskutočniť, len ak

a) je prenos osobných údajov potrebný na plnenie úloh na účely podľa § 1,

b) sa osobné údaje prenášajú prevádzkovateľovi v tretej krajine, v členskom štáte alebo medzinárodnej organizácii, ktorý je orgánom príslušným na plnenie úloh na účely podľa § 1, ak nie je v § 37 ods. 1 ustanovené inak,

c) iný členský štát vydal povolenie na prenos osobných údajov v súlade so svojím vnútroštátnym právom ešte pred uskutočnením prenosu, ak sa prenesú osobné údaje alebo poskytnú osobné údaje z iného členského štátu,

d) Európska komisia prijala rozhodnutie podľa odseku 3 alebo boli poskytnuté alebo existujú primerané záruky podľa §

35 alebo platia výnimky pre osobitné situácie podľa § 3 6

,

e) pri následnom prenose osobných údajov do ďalšej tretej krajiny alebo ďalšej medzinárodnej organizácie príslušný orgán, ktorý uskutočnil pôvodný prenos osobných údajov, alebo iný príslušný orgán v Slovenskej republike vydá povolenie na následný prenos osobných údajov, a to po náležitom zohľadnení relevantných faktorov vrátane závažnosti trestného činu, účelu, na ktorý sa osobné údaje pôvodne preniesli, a úrovne ochrany osobných údajov v tretej krajine alebo medzinárodnej organizácii, do ktorej sa osobné údaje následne prenášajú.

(2) Prenos osobných údajov bez predchádzajúceho povolenia iného členského štátu podľa odseku 1 písm. c) možno uskutočniť, len ak je prenos osobných údajov nevyhnutný na zabránenie bezprostrednému a vážnemu ohrozeniu verejnej bezpečnosti členského štátu alebo tretej krajiny, alebo základných záujmov členského štátu a predchádzajúce povolenie nie je možné získať včas; orgán zodpovedný za vydanie predchádzajúceho povolenia musí byť o tom bezodkladne informovaný.

(3) Prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácie sa môže uskutočniť, ak Európska komisia rozhodla, že tretia krajina, územie alebo jeden či viaceré určené sektory v tretej krajine alebo medzinárodná organizácia zaručujú primeranú úroveň ochrany osobných údajov. Takýto prenos osobných údajov nevyžaduje osobitné povolenie. (4) Prenos osobných údajov sa môže uskutočniť, ak sa neohrozí úroveň ochrany fyzických osôb zabezpečená týmto zákonom. § 35 Prenosy osobných údajov vyžadujúce primerané záruky

(1) Ak Európska komisia nevydala rozhodnutie podľa § 34 ods. 3, príslušný orgán môže uskutočniť prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácie, len ak a) osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, poskytuje primerané záruky ochrany osobných údajov, alebo b) príslušný orgán posúdil okolnosti prenosu osobných údajov a dospel k záveru, že existujú primerané záruky ochrany osobných údajov.

19 (2) Príslušný orgán informuje úrad o kategóriách prenosov osobných údajov podľa odseku 1 písm. b).

(3) Ak príslušný orgán uskutočňuje prenos osobných údajov podľa odseku 1 písm. b), musí sa taký prenos zdokumentovať; dokumentácia sa na žiadosť poskytne úradu. V dokumentácii musí byť uvedený dátum a čas prenosu osobných údajov, informácie o prijímajúcom príslušnom orgáne, odôvodnenie prenosu osobných údajov a prenášané osobné údaje.

(4) Rozhodnutím Európskej komisie o zrušení, zmene alebo pozastavení svojho rozhodnutia podľa § 34 ods. 3 nie je dotknutý prenos osobných údajov podľa odseku 1 a § 36. § 36 Výnimky pre osobitné situácie

(1) Ak Európska komisia nevydala rozhodnutie podľa § 34 ods. 3 a nie sú ani primerané záruky podľa § 35, prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácie môže príslušný orgán uskutočniť, len ak je prenos nevyhnutný

a) na ochranu životne dôležitých záujmov dotknutej osoby či inej osoby,

b) na zabezpečenie oprávnených záujmov dotknutej osoby, ak tak ustanovuje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná,

c) na predídenie bezprostredného a vážneho ohrozenia verejnej bezpečnosti členského štátu alebo tretej krajiny,

d) v osobitných prípadoch pri plnení úloh na účely podľa § 1, alebo

e) v osobitných prípadoch na uplatnenie právneho nároku súvisiaceho s plnením úloh na účely podľa § 1.

(2) Prenos osobných údajov podľa odseku 1 sa nesmie uskutočniť, ak príslušný orgán, ktorý prenos osobných údajov uskutočňuje, určí, že práva a slobody dotknutej osoby prevažujú nad záujmom na prenose podľa odseku 1 písm. d) a e).

(3) Ak sa prenos osobných údajov uskutočňuje podľa odseku 1, musí sa taký prenos zdokumentovať; dokumentácia sa na žiadosť poskytne úradu. V dokumentácii musí byť uvedený dátum a čas prenosu, informácie o prijímajúcom príslušnom orgáne, odôvodnenie prenosu osobných údajov a prenášané osobné údaje.

§ 37

Prenos osobných údajov príjemcovi z tretej krajiny

(1) Príslušný orgán odchylne od § 34 ods. 1 písm. b) môže uskutočniť prenos osobných údajov príjemcovi so sídlom, miestom podnikania, organizačnou zložkou, prevádzkarňou alebo trvalým pobytom v tretej krajine, ak okrem iných podmienok prenosu osobných údajov ustanovených týmto zákonom a) je prenos osobných údajov nevyhnutný na plnenie úloh na účely podľa § 1 príslušného orgánu, ktorý prenos osobných údajov uskutočňuje, b) príslušný orgán, ktorý prenos osobných údajov uskutočňuje, určí, že žiadne práva a slobody dotknutej osoby neprevažujú nad verejným záujmom, z ktorého vyplynula nevyhnutnosť prenosu osobných údajov, 20

c) príslušný orgán, ktorý prenos osobných údajov uskutočňuje, sa domnieva, že prenos osobných údajov orgánu, ktorý je v tretej krajine príslušný na plnenie úloh na účely podľa § 1, je neefektívny alebo nevhodný, najmä preto, že prenos osobných údajov nemožno dosiahnuť v primeranom čase,

d) orgán, ktorý je v tretej krajine príslušný na plnenie úloh na účely podľa § 1, je bez zbytočného odkladu informovaný, okrem prípadov, ak je také opatrenie neúčinné alebo nevhodné, a

e) príslušný orgán, ktorý prenos osobných údajov uskutočňuje, informuje príjemcu o konkrétnom účele, na ktorý má príjemca tieto osobné údaje výlučne spracúvať, ak je také spracúvanie nevyhnutné.

(2) Prenosom osobných údajov príjemcovi z tretej krajiny podľa odseku 1 nie je dotknutá medzinárodná zmluva, ktorou je Slovenská republika viazaná v oblasti justičnej spolupráce v trestných veciach a policajnej spolupráce.

(3) Príslušný orgán, ktorý uskutočňuje prenos osobných údajov podľa odseku 1, musí o tom informovať úrad.

(4) Ak príslušný orgán uskutočňuje prenos osobných údajov podľa odseku 1, je povinný ho zdokumentovať.

Dozor nad ochranou osobných údajov pri spracúvaní osobných údajov príslušnými orgánmi

§ 3 8

(1) Dozor nad ochranou osobných údajov spracúvaných podľa tohto zákona vykonáva úrad. 9 ) Ak osobné údaje spracúvajú súdy pri výkone ich súdnej právomoci, dozor nad ochranou osobných údajov podľa tohto zákona okrem § 39 a pôsobnosť úradu podľa tohto zákona vykonáva Ministerstvo spravodlivosti Slovenskej republiky. 10 )

(2) Na postavenie, pôsobnosť a organizáciu úradu, mlčanlivosť, kontrolu, konanie o ochrane osobných údajov a ukladanie pokút podľa tohto zákona sa vzťahuje osobitný predpis. 11 )

§ 39

(1) Úrad spolupracuje s dozornými orgánmi iných členských štátov, vrátane výmeny relevantných informácií, poskytovania vzájomnej pomoci a prijímaní opatrení v oblasti dozoru, 12 ) s cieľom zabezpečiť spoločný postup pri ochrane osobných údajov.

(2) Ak žiadosť od dozorného orgánu iného členského štátu podľa odseku 1 neobsahuje všetky informácie potrebné k jej vybaveniu, vrátane účelu a dôvodov žiadosti, úrad je povinný si ich od dožadujúceho dozorného orgánu členského štátu vyžiadať. Úrad vybaví žiadosť

9 ) § 17 ods. 1 až 8 zákona č. .../2026 Z. z. 10 ) § 17 ods. 9 zákona č. …/2026 Z. z. 11 ) § 16 až 36 a 51 zákona č. .../2026 Z. z. 12 ) § 17 a 21 až 54 zákona č. .../2026 Z. z.

21 bezodplatne a bez zbytočného odkladu, najneskôr však do jedného mesiaca odo dňa jej doručenia. (3) Úrad žiadosti podľa odseku 2 vyhovie a dozornému orgánu iného členského štátu poskytne informácie o výsledku dozoru alebo o pokroku dosiahnutom v tejto súvislosti. Úrad je povinný informovať dozorný orgán iného členského štátu o povinnosti použitia poskytnutých informácií len na účel, na ktorý boli vyžiadané.

(4) Úrad žiadosti podľa odseku 2 nevyhovie len, ak

a) nie je príslušný na vybavenie žiadosti, pokiaľ ide o predmet žiadosti alebo opatrenia, o vykonanie ktorých bol požiadaný alebo

b) vyhovenie žiadosti by bolo v rozpore s týmto zákonom alebo osobitným predpisom. 13 )

(5) Ak úrad odmietne vyhovieť žiadosti podľa odseku 4, v odpovedi pre dozorný orgán iného členského štátu uvedie dôvody odmietnutia.

(6) Informácie, ktoré úrad získa v rámci spolupráce od dozorných orgánov iných členských štátov, je oprávnený použiť len na účel, na ktorý boli získané.

(7) Poskytovanie informácií sa vykonáva spravidla elektronickými prostriedkami, pokiaľ sa úrad s dozorným orgánom iného členského štátu nedohodne inak. Úrad je povinný prijať opatrenia na ochranu poskytovaných informácií.

(8) Na postup podľa odsekov 1 až 7 sa nevzťahuje správny poriadok.

§ 40

Správne delikty

(1) Úrad môže uložiť pokutu do 1 000 000 eur

a) príslušnému orgánu za neplnenie alebo porušenie niektorej z povinností podľa § 18 až 31,

b) sprostredkovateľovi za neplnenie alebo porušenie niektorej z povinností podľa § 21, 22, 27 ods. 4 a 30.

(2) Úrad môže uložiť pokutu do 2 000 000 eur príslušnému orgánu, ktorý nesplnil alebo porušil a) niektorú zo základných zásad spracúvania osobných údajov podľa § 3 až 5, b) podmienky spracúvania osobných údajov podľa § 6 až 9, c) niektoré z práv dotknutej osoby podľa § 10 až 17, d) niektorú z povinností pri prenose osobných údajov príjemcovi v tretej krajine alebo medzinárodnej organizácii podľa § 36 až 37. Záverečné ustanovenia § 41 Transpozičné ustanovenie Týmto zákonom sa preberajú právne záväzné akty Európskej únie uvedené v prílohe.

13 ) Napríklad nariadenie (EÚ) 2016/679 v platnom znení, zákon č. .../2026 Z. z.

22 § 42 Účinnosť Tento zákon nadobúda účinnosť 1. januára 2027.

23 Príloha k zákonu č. .../2026 Z. z. ZOZNAM PREBERANÝCH PRÁVNE ZÁVÄZNÝCH AKTOV EURÓPSKEJ ÚNIE 1. Smernica Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 4. 5. 2016).