Návrh

ZÁKON

z .......... 2012

o ochrane osobných údajov a o zmene a doplnení niektorých zákonov

Národná rada Slovenskej republiky sa uzniesla na tomto zákone:

Čl. I

PRVÁ ČASŤ

ZÁKLADNÉ USTANOVENIA

§ 1

Predmet úpravy

Tento zákon upravuje 
a)	ochranu práv fyzických osôb pri spracúvaní ich osobných údajov, 
b)	zásady spracúvania osobných údajov, 
c)	bezpečnosť osobných údajov, 
d)	ochranu práv dotknutých osôb, 
e)	cezhraničný tok osobných údajov, 
f)	registráciu, osobitnú registráciu a evidenciu informačných systémov, 
g)	postavenie,  organizáciu a pôsobnosť Úradu na ochranu osobných údajov Slovenskej republiky (ďalej len „úrad“). 

Pôsobnosť zákona

§ 2

	(1) Tento zákon sa vzťahuje na každého, kto spracúva osobné údaje, určuje účel a prostriedky spracúvania alebo poskytuje osobné údaje na spracúvanie. 

	(2) Tento zákon sa vzťahuje aj na prevádzkovateľov, ktorí nemajú sídlo alebo trvalý pobyt na území 
a)	Slovenskej republiky, ale sú umiestnení v zahraničí na mieste, kde sa uplatňuje právny poriadok Slovenskej republiky prednostne na základe medzinárodného práva verejného, 
b)	členského štátu Európskej únie, ak na účely spracúvania osobných údajov využívajú úplne alebo čiastočne automatizované alebo iné ako automatizované prostriedky spracúvania Pripomienka: Navrhujeme vypustiť „úplne alebo čiastočne automatizované alebo iné ako automatizované“, nakoľko ide o akékoľvek (všetky) prostriedky spracúvania. umiestnené na území Slovenskej republiky, pričom tieto prostriedky spracúvania nie sú využívané výlučne len na prenos osobných údajov cez územie členských štátov Európskej únie; v takomto prípade prevádzkovateľ postupuje podľa § 7. 

§ 3

	(1) Tento zákon sa vzťahuje na osobné údaje systematicky spracúvané úplne alebo čiastočne automatizovanými prostriedkami spracúvania alebo inými ako automatizovanými prostriedkami spracúvania, ktoré sú súčasťou informačného systému alebo sú určené na spracúvanie v informačnom systéme. Pripomienka: Navrhujeme vypustiť „úplne alebo čiastočne automatizovanými prostriedkami spracúvania alebo inými ako automatizovanými“. V tomto ustanovení nie je zrejmé či spojenie „ktoré sú súčasťou informačného systému sa vzťahuje na prostriedky spracúvania alebo na osobné údaje. V prípade, že na osobné údaje navrhujeme vypustiť aj „prostriedkami spracúvania“.

(2) Tento zákon sa nevzťahuje na osobné údaje, ktoré 
a)	fyzická osoba spracúva pre vlastnú potrebu v rámci výlučne osobných alebo domácich činností, ako je vedenie osobného adresára alebo korešpondencia, 
b)	boli získané náhodne bez predchádzajúceho určenia účelu a prostriedkov spracúvania, bez zámeru ich ďalšieho spracúvania v usporiadanom systéme podľa osobitných kritérií a nie sú ďalej systematicky spracúvané. Týmto nie sú dotknuté ustanovenia osobitného predpisu.) 

	(3) Ustanovenia § 6 ods. 2 až 5, § 8 ods. 5, § 15 ods. 1, 2 a 8, § 27 ods. 1 a § 43 sa nevzťahujú na spracúvanie osobných údajov nevyhnutných na zabezpečenie verejného záujmu, ak prevádzkovateľ plní povinnosti výslovne ustanovené osobitným zákonom určené na zaistenie 
a)	bezpečnosti Slovenskej republiky, 
b)	obrany Slovenskej republiky, 
c)	verejného poriadku a bezpečnosti, 
d)	predchádzania, zamedzovania, odhaľovania a dokumentovania trestnej činnosti, zisťovania jej páchateľov, vyšetrovania a stíhania páchateľov trestných činov, 
e)	odhaľovania porušení etického kódexu v regulovaných povolaniach),
f)	významného ekonomického alebo finančného záujmu Slovenskej republiky alebo Európskej únie vrátane menových, rozpočtových a daňových záležitostí, 
g)	výkonu kontroly, dohľadu, dozoru alebo uplatňovania regulácie v súvislosti s výkonom verejnej moci vo veciach uvedených v písmenách c), d) e) a f), alebo 
h)	ochrany dotknutej osoby alebo práv a slobôd iných osôb. 
 
§ 4

Vymedzenie niektorých pojmov

	(1) Osobnými údajmi sú údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, pričom takou osobou je osoba, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu. 

(2) Dotknutou osobou je každá fyzická osoba, ktorej sa osobné údaje týkajú.

(3) Prevádzkovateľom je každý, kto sám alebo spoločne s inými vymedzí účel spracúvania osobných údajov, určí podmienky ich spracúvania a spracúva osobné údaje vo vlastnom mene. Ak účel, prípadne aj podmienky spracúvania osobných údajov ustanovuje zákon, prevádzkovateľom je ten, koho na plnenie účelu spracúvania ustanovuje zákon alebo kto spĺňa zákonom ustanovené podmienky. To platí aj vtedy, ak tak ustanovuje priamo vykonateľný právne záväzný akt Európskej únie, alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná. 

(4) Zástupcom prevádzkovateľa je každý, kto na území Slovenskej republiky zastupuje prevádzkovateľa so sídlom alebo s trvalým pobytom v tretej krajine.

	(5) Sprostredkovateľom je každý, kto spracúva osobné údaje v mene prevádzkovateľa v rozsahu a za podmienok dojednaných s prevádzkovateľom v písomnej zmluve podľa § 8 a v súlade s týmto zákonom. 
Pripomienka: Navrhujeme zrušiť ustanovenie o písomnej zmluve alebo navrhujeme doplniť alternatívu „poverenia na spracúvanie osobných údajov.
Odôvodnenie: viď odôvodnenie v úvode § 8 tohto návrhu zákona.

	(6) Oprávnenou osobou je každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovnoprávneho vzťahu, štátnozamestnaneckého pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania alebo v rámci výkonu verejnej funkcie, ktorá môže osobné údaje spracúvať len na základe pokynu prevádzkovateľa, zástupcu prevádzkovateľa alebo sprostredkovateľa, ak zákon neustanovuje inak; fyzická osoba nadobúda postavenie oprávnenej osoby dňom poučenia podľa § 21 ods. 1. 

	(7) Treťou stranou je každý, kto nie je dotknutou osobou, prevádzkovateľom poskytujúcim osobné údaje, jeho zástupcom, sprostredkovateľom alebo oprávnenou osobou. 
 
	(8) Príjemcom je každý, komu sú osobné údaje poskytnuté alebo sprístupnené, či už sa jedná o tretiu stranu alebo nie; prevádzkovateľ, ktorý spracúva osobné údaje na základe § 3 ods. 3 písm. g) a úrad, ktorý plní úlohy ustanovené týmto zákonom, sa nepovažujú za príjemcu.

	(9) Spracúvaním osobných údajov je vykonávanie akýchkoľvek operácií alebo súboru operácií  s osobnými údajmi; spracúvaním osobných údajov sa rozumie napríklad ich získavanie, zhromažďovanie, zaznamenávanie, usporadúvanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, preskupovanie, kombinovanie, premiestňovanie, využívanie, uchovávanie, likvidácia, ich prenos, poskytovanie, sprístupňovanie alebo zverejňovanie. Na účely tohto zákona sa jednotlivými operáciami s osobnými údajmi ďalej rozumie
a)	poskytovaním osobných údajov odovzdávanie osobných údajov tretej strane, ktorá ich ďalej spracúva,
b)	sprístupňovaním osobných údajov oznámenie osobných údajov alebo umožnenie prístupu k nim príjemcovi, ktorý ich ďalej nespracúva,
c)	zverejňovaním osobných údajov publikovanie, uverejnenie alebo vystavenie osobných údajov na verejnosti prostredníctvom masovokomunikačných prostriedkov, verejne prístupných počítačových sietí, verejným vykonaním alebo vystavením diela), verejným vyhlásením, uvedením vo verejnom zozname, v registri alebo v operáte), ich umiestnením na úradnej tabuli alebo na inom verejne prístupnom mieste,
d)	cezhraničným tokom osobných údajov prenos osobných údajov mimo územia Slovenskej republiky a na územie Slovenskej republiky,
e)	likvidáciou osobných údajov zrušenie osobných údajov rozložením, vymazaním alebo fyzickým zničením hmotných nosičov tak, aby sa z nich osobné údaje nedali reprodukovať,
f)	blokovaním osobných údajov dočasné alebo trvalé pozastavenie spracúvania osobných údajov, počas ktorého možno vykonávať len tie operácie s osobnými údajmi, ktoré sú nevyhnutné na splnenie povinnosti uloženej týmto zákonom. 

(10) Informačným systémom je akýkoľvek usporiadaný súbor, sústava alebo databáza obsahujúca osobné údaje alebo určená na ich zhromažďovanie, ktoré sú systematicky spracúvané na potreby dosiahnutia účelu podľa osobitných kritérií a podmienok s použitím automatizovaných, čiastočne automatizovaných alebo iných ako automatizovaných prostriedkov spracúvania bez ohľadu na to, či ide o systém centralizovaný, decentralizovaný alebo distribuovaný na funkčnom alebo geografickom základe, napríklad kartotéka, zoznam, register, operát, záznam alebo sústava obsahujúca spisy, doklady, zmluvy, potvrdenia, posudky, hodnotenia, testy. Pripomienka: V záujme zjednodušenia definície informačného systému navrhujeme vypustiť „s použitím automatizovaných, čiastočne automatizovaných alebo iných ako automatizovaných prostriedkov“ a odporúčame zvážiť aj vypustenie „bez ohľadu na to, či ide o systém centralizovaný, decentralizovaný alebo distribuovaný na funkčnom alebo geografickom základe“.

	(11) Na účely tohto zákona sa ďalej rozumie 
a)	účelom spracúvania osobných údajov vopred jednoznačne vymedzený alebo ustanovený zámer spracúvania osobných údajov, ktorý sa viaže na určitú činnosť, 
b)	súhlasom dotknutej osoby akýkoľvek slobodne daný výslovný a zrozumiteľný prejav vôle, ktorým dotknutá osoba na základe poskytnutých informácií vedome vyjadruje súhlas so spracúvaním svojich osobných údajov, 
c)	podmienkami spracúvania osobných údajov prostriedky a spôsob spracúvania osobných údajov, ako aj ďalšie požiadavky, kritériá alebo pokyny súvisiace so spracúvaním osobných údajov alebo vykonanie úkonov, ktoré slúžia na dosiahnutie účelu spracúvania či už pred začatím spracúvania osobných údajov, alebo v priebehu ich spracúvania,
d)	biometrickým údajom osobný údaj fyzickej osoby, na základe ktorého je jednoznačne a nezameniteľne určiteľná; biometrickým údajom je napríklad odtlačok prsta, odtlačok dlane, analýza deoxyribonukleovej kyseliny, 
e)	všeobecne použiteľným identifikátorom trvalý identifikačný osobný údaj dotknutej osoby, ktorý zabezpečuje jej jednoznačnosť v informačných systémoch,
f)	adresou súbor údajov o pobyte fyzickej osoby, do ktorého patria názov ulice, orientačné, prípadne súpisné číslo domu, názov obce, prípadne názov časti obce, poštové smerovacie číslo, názov okresu, názov štátu,
g)	anonymizovaným údajom osobný údaj upravený do takej podoby, v ktorej ho nemožno priradiť dotknutej osobe, ktorej sa týka,
h)	priestorom prístupným verejnosti priestor, do ktorého možno voľne vstupovať a v ktorom sa možno voľne zdržiavať bez časového obmedzenia alebo vo vymedzenom čase, pričom iné obmedzenia, ak existujú a sú osobou splnené, nemajú vplyv na vstup a voľný pohyb osoby v tomto priestore, alebo je to priestor, ktorý tak označuje osobitný predpis,
i)	treťou krajinou krajina, ktorá nie je členským štátom Európskej únie alebo zmluvnou stranou Dohody o založení Európskeho hospodárskeho priestoru, 
j)	verejným záujmom dôležitý záujem štátu realizovaný pri výkone verejnej moci, ktorý prevažuje nad oprávneným záujmom fyzickej osoby alebo viacerých fyzických osôb, prináša majetkový prospech alebo iný prospech ostatným fyzickým osobám alebo mnohým z nich a bez jeho realizácie by mohli vzniknúť rozsiahle alebo nenahraditeľné škody.

DRUHÁ ČASŤ 

PRÁVA, POVINNOSTI A ZODPOVEDNOSŤ PRI SPRACÚVANÍ OSOBNÝCH ÚDAJOV 

PRVÁ HLAVA 

ZÁSADY SPRACÚVANIA OSOBNÝCH ÚDAJOV 

§ 5 

	(1) Osobné údaje možno spracúvať len spôsobom ustanoveným týmto zákonom a v jeho medziach tak, aby nedošlo k porušeniu základných práv a slobôd dotknutých osôb, najmä k porušeniu ich práva na zachovanie ľudskej dôstojnosti alebo k iným neoprávneným zásahom do ich práva na ochranu súkromia. 

(2) Osobné údaje môže spracúvať iba prevádzkovateľ a sprostredkovateľ. 
Zásadná pripomienka
V § 5 ods. 2 navrhujeme úpravu v zmysle ktorej bude osobné údaje oprávnená spracúvať aj osoba - v rozsahu a za podmienok dojednaných so sprotredkovateľom, v súlade s doteraz platnou právnou úpravou.
Odôvodnenie:
V zmysle uvedeného ustanovenia „osobné údaje môže spracúvať iba prevádzkovateľ a sprostredkovateľ“.
V nadväznosti na znenie § 4 ods. 5 návrhu zákona a súvisiacich ustanovení, sprostredkovateľom je osoba, ktorá uzatvorila s prevádzkovateľom zmluvu, t.j. je v priamom zmluvnom vzťahu s prevádzkovateľom.
Uvedené znamená, že v rámci výkonu finančného sprostredkovania, nemôže osobné údaje spracúvať taká osoba, ktorá nemá zmluvný vzťah s finančnou inštitúciou ako prevádzkovateľom. 
Uvedená úprava je v konflikte so zákonom č. 186/2009 Z.z. o finančnom sprostredkovaní a finančnom poradenstve (ďalej len „zákon o FS“). V zmysle cit. zákona,  sa za finančného agenta považuje zároveň „podriadený finančný agent“, t.j. osoba, ktorá vykonáva finančné sprostredkovanie na základe písomnej zmluvy so samostatným finančným agentom (sprostredkovateľom). V zmysle zákona FS nie je možné, aby podriadený finančný agent vykonával finančné sprostredkovanie na základe zmluvy s finančnou inštitúciou ako prevádzkovateľom, t.j. postavenie podriadeného finančného agenta v procese finančného sprostredkovania je zadefinované zákonom o FS.
Finančné sprostredkovanie, resp. činnosti definované pod pojmom finančné sprostredkovanie,  ktoré je v zmysle zákona o FS oprávnený vykonávať zároveň podriadený finančný agent sú nerozlučne spojené so spracúvaním osobných údajov dotknutých osôb - klientov poisťovne. Uvedené podporujú ustanovenia v zmysle § 31 zákona o FS, ktorý obsahuje úpravu oprávnenia finančného agenta (vrátane podriadeného finančného agenta) získavať a inak spracúvať osobné údaje a iné informácie od klienta a od zástupcu klienta (!). 

Záverom, v zmysle  § 2 ods. 5 zákona o FS je činnosť finančného sprostredkovania (kt. vykonáva aj podriadený finančný agent) definovaná ako „podnikanie“. Z uvedeného vyplýva, že na vzťah samostatný finančný agent (ako sprostredkovateľ) a podriadený fin. agent nemožno aplikovať ustanovenia návrhu zákona o oprávnenej osobe (§ 4 ods. 6).

	(3) Prevádzkovateľom registra o osobách právoplatne odsúdených súdom v trestnom konaní, ako aj o osobách, proti ktorým bolo právoplatne rozhodnuté o podmienečnom zastavení trestného stíhania alebo o schválení zmieru, môže byť len štátny orgán ustanovený zákonom.) 

§ 6

Prevádzkovateľ

	(1) Spracúvať osobné údaje vo vlastnom mene môže len prevádzkovateľ v súlade s § 9, spôsobom, ktorý sa neprieči dobrým mravom, a to len na ustanovený účel alebo na účel, ktorý vymedzí sám alebo spoločne s inými.

	(2) Prevádzkovateľ je povinný 
a)	pred začatím spracúvania osobných údajov vymedziť účel spracúvania osobných údajov; účel spracúvania musí byť zákonný, jasný a vymedzený jednoznačne a konkrétne, 
b)	určiť podmienky spracúvania osobných údajov tak, aby neobmedzil právo dotknutej osoby ustanovené zákonom, 
c)	získavať osobné údaje výlučne na vymedzený alebo ustanovený účel; je neprípustné získavať osobné údaje pod zámienkou iného účelu spracúvania alebo inej činnosti, 
d)	zabezpečiť, aby sa spracúvali len také osobné údaje, ktoré svojím rozsahom a obsahom zodpovedajú účelu ich spracúvania a sú nevyhnutné na jeho dosiahnutie, 
e)	získavať osobné údaje na rozdielne účely osobitne a zabezpečiť, aby sa osobné údaje spracúvali a využívali výlučne spôsobom, ktorý zodpovedá účelu, na ktorý boli zhromaždené; je neprípustné združovať osobné údaje, ktoré boli získané na rozdielne účely, 
f)	spracúvať len správne, úplné a podľa potreby aktualizované osobné údaje vo vzťahu k účelu spracúvania; nesprávne a neúplné osobné údaje je prevádzkovateľ povinný blokovať a bez zbytočného odkladu opraviť alebo doplniť; nesprávne a neúplné osobné údaje, ktoré nemožno opraviť alebo doplniť tak, aby boli správne a úplné, prevádzkovateľ zreteľne označí a bezodkladne zlikviduje, 
g)	zabezpečiť, aby zhromaždené osobné údaje boli spracúvané vo forme umožňujúcej identifikáciu dotknutých osôb počas doby nie dlhšej, ako je nevyhnutné na dosiahnutie účelu spracúvania, 
h)	zlikvidovať tie osobné údaje, ktorých účel spracúvania sa skončil; po skončení účelu spracúvania možno osobné údaje ďalej spracúvať len za podmienok ustanovených v odseku 4, 
i)	spracúvať osobné údaje v súlade s dobrými mravmi a konať spôsobom, ktorý neodporuje tomuto zákonu ani inému zákonu. 
 
	(3) Prevádzkovateľ nemá povinnosť podľa odseku 2 písm. a) len vtedy, ak účel spracúvania osobných údajov ustanovuje osobitný zákon v súlade s podmienkami uvedenými v odseku 2 písm. a). Prevádzkovateľ nemá povinnosť určiť podmienky spracúvania osobných údajov podľa odseku 2 písm. b) len vtedy, ak ich ustanovuje všeobecne záväzný právny predpis. Ostatné povinnosti podľa odseku 2 písm. c) až i), je prevádzkovateľ povinný dodržiavať aj počas spracúvania osobných údajov na základe osobitného zákona; týmto nie je dotknuté ustanovenie § 10 ods. 4 prvej vety vrátane jej časti za bodkočiarkou. 
 
	(4) Počas trvania pôvodne určeného účelu spracúvania osobných údajov ako aj po skončení je prípustné zhromaždené osobné údaje spracúvať v nevyhnutnom rozsahu na historický výskum, vedecký výskum a vývoj alebo na účely štátnej štatistiky, čo sa nepovažuje za nezlučiteľné s pôvodným účelom spracúvania. Takto spracúvané osobné údaje prevádzkovateľ nemôže použiť na podporu opatrení alebo rozhodnutí prijatých proti dotknutej osobe a nemôže ich využiť proti záujmom dotknutej osoby na obmedzenie alebo potlačenie jej základných práv a slobôd. Počas spracúvania na účely podľa prvej vety je prevádzkovateľ povinný osobné údaje takto označiť, anonymizovať ich, ak možno dosiahnuť účel spracúvania a zlikvidovať ich ihneď ako sa stanú nepotrebnými.
 
	(5) Zhromaždené osobné údaje na pôvodne určený účel prevádzkovateľ nemôže spracúvať na iný účel, ktorý je nezlučiteľný s pôvodným účelom spracúvania. 

§ 7

Zástupca prevádzkovateľa

(1) Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov podľa § 2 ods. 2 písm. b) je povinný pred začatím spracúvania vymenovať svojho zástupcu so sídlom, miestom podnikania alebo trvalým pobytom na území Slovenskej republiky 

(2) Zástupca prevádzkovateľa je povinný disponovať originálom dokladu svojho vymenovania za zástupcu prevádzkovateľa a tento preukázať úradu kedykoľvek na jeho žiadosť. Originál dokladu vymenovania za zástupcu prevádzkovateľa musí byť overený orgánom príslušným na jeho overenie v príslušnej krajine a súčasne opatrený odtlačkom pečiatky zastupiteľského úradu Slovenskej republiky v tejto krajine. 

(3) Ustanovenia tohto zákona o prevádzkovateľovi sa v rovnakom rozsahu vzťahujú aj na zástupcu prevádzkovateľa.

§ 8

Sprostredkovateľ
Zásadná pripomienka
V § 8 navrhujeme celý ods. 1, 3, 4 doplniť o rovnocennú alternatívu „poverenia na spracúvanie osobných údajov“, t.j. spôsobom v zmysle dnes platnej legislatívy. 
Odôvodnenie:
Uvedenú alternatívna (úprava) je zároveň obsiahnutá v samotnej smernici 95/46/ES o ochrane jednotlivcov pri spracovávaní osobných údajov a voľnom pohybe týchto údajov, na ktorej dôslednú transpozíciu sa ÚnOOÚ v dôvodovej správe k návrhu zákona odvoláva. V zmysle čl. 17, ods. 3, 4 smernice 95/46/ES:
„3. Realizácia spracovania cez sprostredkovateľa musí byť upravené zmluvou alebo právnym aktom záväzným pre sprostredkovateľa, v ktorom bude najmä stanovené, že: 
- sprostredkovateľ bude konať len na základe pokynov prevádzkovateľa, 
- povinnosti uvedené v odstavci 1 a vymedzené právnou úpravou členského štátu, v ktorom je sprostredkovateľ zriadený, budú záväzné aj pre sprostredkovateľa.

4. Na doloženie ich existencie, budú časti zmluvy alebo právneho aktu týkajúce sa ochrany a požiadaviek na opatrenia uvedené v odstavci 1, vyhotovené v písomnej podobe alebo v nejakej inej ekvivalentnej podobe.“

Podľa doteraz platnej právnej úpravy, prevádzkovateľ buď poveril sprostredkovateľa spracúvaním os. údajov alebo s ním uzatvoril zmluvu. V prípade úpravy zmluvnej povinnosti (bez alternatívy poverenia na spracúvanie osobných údajov) by si riadne plnenie uvedenej povinnosti s ohľadom na náležitosti zmluvy (§ 8 ods. 4, bod i)) vyžadovalo individuálne spracovanie zmluvy s každým jedným sprostredkovateľom bez možnosti používania jednotných rámcových zmlúv spracovaných pre daný účel. V rámci fungovania finančného trhu na báze finančných agentov je takáto úprava neprijateľná, resp. neaplikovateľná aj z dôvodu, že procesy náborovania a zazmluvňovania fin. agentov sú realizované formou rámcových zmlúv.

	(1) Prevádzkovateľ je oprávnený na základe písomnej zmluvy poveriť spracúvaním osobných údajov sprostredkovateľa. 

(2) Prevádzkovateľ je pri výbere sprostredkovateľa povinný dbať na jeho odbornú, technickú, organizačnú a personálnu spôsobilosť a jeho schopnosť zaručiť bezpečnosť spracúvaných osobných údajov opatreniami podľa § 19 ods. 1. Prevádzkovateľ nemôže zveriť spracúvanie osobných údajov sprostredkovateľovi, ak by tým mohli byť ohrozené práva a právom chránené záujmy dotknutých osôb. 

	(3) Prevádzkovateľ je povinný uzatvoriť so sprostredkovateľom zmluvu podľa odseku 1 pred začatím spracúvania osobných údajov. Sprostredkovateľ je oprávnený spracúvať osobné údaje v rozsahu, za podmienok a na účel dojednaný s prevádzkovateľom v zmluve alebo v poverení a spôsobom podľa tohto zákona, alebo so súhlasom prevádzkovateľa v rozsahu, za podmienok a na účel dojednaný so sprostredkovateľom v zmluve alebo v poverení. 
Zásadná pripomienka: Navrhujeme vypustiť prvú vetu tohto odseku (viď odôvodnenie nižšie); doplnenie v zmysle platnej legislatívy.

	(4) Zmluva podľa odseku 3 musí obsahovať 
a)	údaje o zmluvných stranách; 
1.	titul, meno, priezvisko, dátum narodenia a adresu trvalého pobytu, ak ide o fyzickú osobu,
2.	názov, právnu formu, adresu sídla a identifikačné číslo, ak ide o právnickú osobu, 
3.	obchodné meno, adresu miesta podnikania a identifikačné číslo, ak ide o fyzickú osobu – podnikateľa (ďalej len „identifikačné údaje“), 
b)	deň začatia spracúvania osobných údajov sprostredkovateľom,
c)	účel spracúvania osobných údajov, 
d)	názov informačného systému,
e)	zoznam osobných údajov, ktoré sa budú spracúvať; zoznam osobných údajov možno nahradiť rozsahom osobných údajov podľa § 10 ods. 4,
f)	okruh dotknutých osôb,
g)	podmienky spracúvania osobných údajov vrátane súpisu povolených operácií s osobnými údajmi,
h)	číslo potvrdenia o absolvovaní skúšky zodpovednej osoby a dátum vyhotovenia potvrdenia, ak je sprostredkovateľ povinný mať zodpovednú osobu, 
Pripomienka: navrhujeme vypustiť písm. h)
Odôvodnenie:
Povinnosť ustanoviť zodpovednú osobu je naviazaná na splnenie podmienok, a to spracúvanie os. údajov prostredníctvom 20 a viac oprávnených osôb.
S ohľadom na skutočnosť, že prevádzkovateľ nedisponuje hodnovernou informáciu o presnom počte oprávnených osôb sprostredkovaetľa, resp. tento počet sa môže v priebehu času meniť, nie je možné zo strany prevádzkovateľa posúdiť, či sa táto povinnosť na sprostredkovateľa vzťahuje, t.j. či má trvať na predložení podkladov a údajov za účelom zapracovania ich v zmluve (okrem iného nie je zrejmé ako by mal prevádzkovateľ postupovať vo vzťahu k uztavorenej zmluve, v prípade, ak v čase jej uzatvorenia sprostredkovateľ zodpovednú osobu mať nemusel, ale s odstupom času mu táto povinnosť z dôvodu zvýšenia počtu oprávnených osôb vznikla).
Inak povedané, pri uzatváraní zmluvy nevie prevádzkovateľ posúdiť, či takýto údaj má alebo nemá byť v zmluve obsiahnutý, resp. či má alebo nemá trvať na doložení príslušných dokladov.
Máme za to, že nakoľko ide o povinnosť sprostredovateľa, jej splnenie je na strane sprostredkovateľa bez potreby zapracovania príslušných údajov do zmluvy, najmä ak sa otázka vzniku povinnosti môže v priebehu trvania zmluvy zmeniť.
Zároveň opakovane uvádzame argument, že proces zazmluvňovania fin. agentov je realizovaný formou rámcových zmlúv.
i)	opis opatrení, ktoré sprostredkovateľ preukázal prevádzkovateľovi podľa odseku 2, Zásadná pripomienka: navrhujeme vypustiť bod i)

j)	údaj o dobe, na ktorú sa zmluva uzatvára,
k)	dátum vyhotovenia zmluvy a podpisy zmluvných strán. 

Odôvodnenie zásadných pripomienok k § 8 ods. 3 a 4 tohto návrhu zákona:
- v zmysle ods. 1 návrhu zákona, prevádzkovateľ je oprávnený na základe písomnej zmluvy poveriť spracúvaním osobných údajov sprostredkovateľa. Uvedené znamená, že poverenie na spracúvanie osobných údajov má byť obsiahnuté v zmluve. 
-  v zmysle ods. 3 návrhu zákona, prevádzkovateľ je povinný uzatvoriť so sprostredkovateľom zmluvu podľa ods. 1) pred začatím spracúvania osobných údajov.
- v zmysle ods. 4 písm. i) návrhu zákona, zmluva podľa ods. 3 musí obsahovať opis opatrení, ktoré sprostredkovateľ preukázal prevádzkovateľovi podľa ods. 2. 
Z uvedených ustanovení návrhu zákona vyplýva, že postupnosť krokov sprostredkovateľa, resp. prevádzkovateľa pred začatím spracúvania osobných údajov sprostredkovateľom je nasledovný: (a) sprostredkovateľ zrealizuje opatrenia podľa ods. 2 (b) sprostredkovateľ preukáže prevádzkovateľovi opatrenia podľa ods. 2 (c) v zmluve, v zmysle ktorej prevádzkovateľ poverí sprostredkovateľa spracúvaním os. údajov zapracuje opis opatrení, ktoré preukázal príslušný sprostredkovateľ prevádzkovateľovi.
Uvádzame, že začatie spracúvania osobných údajov korenšponduje, resp. je nerozlučne spojené so začatím výkonu finančného sprostredkovania. Sprostredkovateľ je opravnený začať vykonávať finančné sprostredkovanie dňom nadobudnutia účinnosti zmluvy pre výkon finančného sprostredkovania uzatvorenej s finančnou inštitúciou ako prevádzkovateľom. V prípade, ak má prevádzkovateľ uzatvoriť so sprostredkovateľom zmluvu „pred začatím spracúvania osobných údajov“, je potrebné ju uzatvoriť v časovo skoršom termíne ako nadobudne zmluva pre výkon  finančného sprostredkovania účinnosť. V takomto prípade by sa zmluva (ods. 4) uzatvárala medzi prevádzkovateľom a osobou, ktorá v príslušnom okamihu ešte nie je v  účinnom zmluvnom vzťahu s prevádzkovateľom na základe zmluvy pre výkon finančného sprostredkovania. Za daného stavu je osoba - sprostredkovateľ, povinný zrealizovať opatrenia podla ods. 2 a  preukázať ich prevádzkovateľovi (finančnej inštitúcii) v čase, ked nemá vo vzťahu k budúcemu prevádzkovateľovi „žiadne postavenie“ v zmysle účinnej zmluvy pre výkon finančného sprostredkovania. Zároveň, v uvedenom čase, t.j. pred nadobudnutím účinnosti zmluvy pre výkon finančného sprostredkovania má prevádzkovateľ poveriť sprostredkovateľa spracúvaním osobných údajov, t.j. poveriť osobu, s ktorou nemá žiadny (účinný) zmluvný vzťah.
V prípade viazaného finančného agenta zmluva pre výkon finančného sprostredkovania nadobúda účinnosť dňom registrácie sprostredkovateľa (viazaného finančného agenta) v registri vedenom zo strany NBS. Nie je vylúčený stav, kedy NBS osobu do registra z dôvodov v zmysle zákona o FS nezaregistruje. 
Takáto úprava celej zmluvnej povinnosti medzi prevádzkovateľom a sprostredkovateľom na účely cit. zákona nenaväzuje a nekorenšponduje s osobitnou právnou úpravou finančného sprostredkovania a finančného poradenstva platnej pre sektory poistenia, zaistenia, kapitálového trhu, príjimania vkladov, poskytovania úverov a doplnkového dôchodkového sporenia.
 Povinnosť na uzatvorenie zmluvy medzi prevádzkovateľom a sprostredkovateľom v zmysle ods. 1, 3, 4 je skutočnosťou, ktorá bude mať negatívny vyplyv na celý proces náborovania a zazmluvňovania nových finančných agentov (výhradných aj nevýhradných) a postupnosť krokov v rámci procesu náborovania a zazmluvňovania.

	(5) Ak prevádzkovateľ poveril spracúvaním osobných údajov sprostredkovateľa až po získaní osobných údajov, je povinný zabezpečiť oznámenie tejto skutočnosti dotknutým osobám pri najbližšom kontakte s nimi, najneskôr však do troch mesiacov od poverenia sprostredkovateľa a informáciu bezodkladne zverejniť na svojom webovom sídle, ak ho má prevádzkovateľ zriadené. To platí aj vtedy, ak spracúvanie osobných údajov prevezme právny nástupca prevádzkovateľa podľa osobitného zákona.) Prevádzkovateľ nemusí dotknutej osobe informáciu podľa prvej vety oznamovať, ak sa v rovnakej lehote postupovalo podľa odseku 6. 
Pripomienka: Navrhujeme zrušiť povinnosť zverejnenia informácie na webovom sídle prevádzkovateľa.
Odôvodnenie:
V zmysle návrhu zákona:
„(5) Ak prevádzkovateľ poveril spracúvaním osobných údajov sprostredkovateľa až po získaní osobných údajov, je povinný zabezpečiť oznámenie tejto skutočnosti dotknutým osobám pri najbližšom kontakte s nimi, najneskôr však do troch mesiacov od poverenia sprostredkovateľa a informáciu bezodkladne zverejniť na svojom webovom sídle, ak ho má prevádzkovateľ zriadené“.
Finančné sprostredkovanie je v rámci celého finančného sektoru vykonávané predovšetkým zo strany finančných agentov s čím súvisí zároveň  spracúvanie os. údajov.
S ohľadom na počty klientov finančných inštitúcii a príslušných finančných agentov ako sprostredkovateľov sa povinnosť prevádzkovateľa zverejňovania informácie o poverení na spracúvanie os. údajov na web stránke prevádzkovateľa javí ako neprimeraná agenda veľkého rozsahu bez zjavného významu pre klienta ako dotknutú osobu.

	(6) Sprostredkovateľ je povinný pri prvom kontakte s dotknutou osobou oznámiť, že spracúva jej osobné údaje v mene prevádzkovateľa na vymedzený alebo ustanovený účel, ak tento zákon neustanovuje inak

	(7) Ak sprostredkovateľ zistí, že prevádzkovateľ porušil povinnosť ustanovenú týmto zákonom, je povinný ho na to písomne upozorniť a bezodkladne pozastaviť spracúvanie osobných údajov až do vykonania nápravy. Prevádzkovateľ je povinný bezodkladne vykonať nápravu podľa prvej vety, najneskôr však v lehote jedného mesiaca odo dňa doručenia písomného upozornenia; inak je sprostredkovateľ povinný o tom bezodkladne informovať úrad.

(8) Ak si sprostredkovateľ nesplní povinnosť podľa odseku 7, zodpovedá za porušenie povinnosti a za škodu spôsobenú porušením tejto povinnosti spoločne a nerozdielne spolu s prevádzkovateľom. Tým nie je dotknutá zodpovednosť sprostredkovateľa podľa tohto alebo osobitného zákona.

(9) Sprostredkovateľ je povinný dodržiavať povinnosti ustanovené prevádzkovateľovi v § 5 ods. 1, § 6 ods. 2 písm. c) až i), § 6 ods. 4, § 8 ods. 3, 4, 6 až 8, § 9 až 14, § 19 až 25, ak tento zákon neustanovuje inak. 

(10) Povinnosť prevádzkovateľa ustanovenú v § 8 ods. 5, § 15 až 18 a § 27 až 31 môže vykonať sprostredkovateľ, ak sa tak výslovne dohodne v zmluve uzatvorenej s prevádzkovateľom podľa odseku 1. Pripomienka: Navrhujeme doplniť ustanovenie o možnosť preniesť povinnosti na ďalšieho sprostredkovateľa na základe zmluvy alebo poverenia s primárnym sprostredkovateľom, so súhlasom prevádkovateľa. 

(11) Sprostredkovateľ zodpovedá za plnenie povinností podľa odseku 10 v rozsahu zmluvy uzatvorenej s prevádzkovateľom podľa odseku 1.
Pripomienka: V tomto § návrhu zákona navrhujeme zrušiť ustanovenie o písomnej zmluve alebo navrhujeme doplniť alternatívu „poverenia na spracúvanie osobných údajov“. Zároveň navrhujeme doplniť ustanovenie obdobne ako navrhujeme v predchádzajúcej pripomienke.
Odôvodnenie: viď odôvodnenie v úvode § 8 tohto návrhu zákona.

Právny základ spracúvania osobných údajov

§ 9

	Prevádzkovateľ môže spracúvať osobné údaje len na základe priamo vykonateľného právne záväzného aktu Európskej únie, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, ustanovení tohto zákona alebo osobitného zákona, alebo na základe súhlasu dotknutej osoby. 
 
§ 10

Spracúvanie osobných údajov bez súhlasu dotknutých osôb

	(1) Prevádzkovateľ spracúva osobné údaje bez súhlasu dotknutej osoby, ak účel spracúvania osobných údajov, okruh dotknutých osôb a zoznam osobných údajov alebo ich rozsah podľa odseku 4 ustanovuje priamo vykonateľný právne záväzný akt Európskej únie, medzinárodná zmluva, ktorou je Slovenská republika viazaná alebo tento zákon. Ak zoznam alebo rozsah osobných údajov nie je ustanovený, prevádzkovateľ môže spracúvať osobné údaje len v rozsahu a spôsobom, ktorý je nevyhnutný na dosiahnutie ustanoveného účelu spracúvania pri dodržaní povinností podľa § 6 ods. 2 písm. c) až f) a i).

(2) Prevádzkovateľ ďalej spracúva osobné údaje bez súhlasu dotknutej osoby, ak účel spracúvania osobných údajov, okruh dotknutých osôb a zoznam osobných údajov ustanovuje osobitný zákon.) Prevádzkovateľ spracúva osobné údaje len v rozsahu a spôsobom, ktorý ustanovuje tento osobitný zákon. Spracúvané osobné údaje možno z informačného systému poskytnúť, sprístupniť alebo zverejniť len vtedy, ak osobitný zákon ustanovuje účel poskytovania, sprístupňovania alebo zverejňovania, zoznam osobných údajov, ktoré možno poskytnúť, sprístupniť alebo zverejniť, ako aj tretie strany, ktorým sa osobné údaje poskytujú, prípadne okruh príjemcov, ktorým sa osobné údaje sprístupňujú, ak tento zákon neustanovuje inak. 
 
	(3) Okrem odsekov 1 a 2 prevádzkovateľ spracúva osobné údaje bez súhlasu dotknutej osoby aj vtedy, ak 
a)	spracúvanie osobných údajov je nevyhnutné na účely tvorby umeleckých alebo literárnych diel, pre potreby informovania verejnosti masovokomunikačnými prostriedkami a ak osobné údaje spracúva prevádzkovateľ, ktorému to vyplýva z predmetu jeho činnosti; to neplatí, ak spracúvaním osobných údajov na takýto účel prevádzkovateľ porušuje právo dotknutej osoby na ochranu jej osobnosti a súkromia alebo takéto spracúvanie osobných údajov bez súhlasu dotknutej osoby vylučuje osobitný zákon alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, alebo
b)	spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy, v ktorej vystupuje dotknutá osoba ako jedna zo zmluvných strán, alebo na zavedenie predzmluvných vzťahov alebo dojednania zmeny zmluvy, ktoré sa uskutočňujú na žiadosť dotknutej osoby, alebo
c)	spracúvanie osobných údajov je nevyhnutné na ochranu života, zdravia alebo majetku dotknutej osoby alebo inej fyzickej osoby, ktorá nemá spôsobilosť na právne úkony alebo je fyzicky nespôsobilá na vydanie súhlasu, a ak nemožno získať súhlas jej zákonného zástupcu, alebo
d)	predmetom spracúvania sú výlučne titul, meno, priezvisko a adresa dotknutej osoby bez možnosti priradiť k nim ďalšie jej osobné údaje a ich využitie je určené výhradne pre potreby prevádzkovateľa v poštovom styku s dotknutou osobou a evidencie týchto údajov; ak je predmetom činnosti prevádzkovateľa priamy marketing, uvedené osobné údaje môže poskytovať, bez možnosti ich sprístupňovania a zverejňovania, len vtedy, ak sú poskytované inému prevádzkovateľovi, ktorý má rovnaký predmet činnosti výhradne na účely priameho marketingu, a dotknutá osoba písomne neuplatnila námietku podľa § 27 ods. 3 písm. c), alebo
e)	sa spracúvajú už zákonne zverejnené osobné údaje a prevádzkovateľ ich náležite označil ako zverejnené; ten, kto tvrdí, že spracúva zverejnené osobné údaje, na požiadanie preukáže úradu, že spracúvané osobné údaje boli už zákonne zverejnené, alebo
f)	spracúvanie osobných údajov je nevyhnutné na splnenie dôležitej úlohy realizovanej vo verejnom záujme, alebo 
g)	spracúvanie osobných údajov je nevyhnutné na ochranu zákonných práv a právom chránených záujmov prevádzkovateľa alebo tretej strany; to neplatí ak pri takomto spracúvaní osobných údajov prevažujú základné práva a slobody dotknutej osoby, ktoré podliehajú ochrane podľa tohto zákona.
 
(4) Ak sa vzhľadom na účel spracúvania osobných údajov ustanovený v priamo vykonateľne právne záväznom akte Európskej únie, medzinárodnej zmluve, ktorou je Slovenská republika viazaná, tomto zákone a osobitnom zákone nedajú vopred konkrétne určiť jednotlivé osobné údaje, ktoré majú byť predmetom spracúvania, zoznam osobných údajov podľa odseku 1 a 2 možno nahradiť rozsahom osobných údajov; prevádzkovateľ je povinný pri takomto spracúvaní osobných údajov postupovať podľa § 6 ods. 2 písm. d) s výnimkou tých prevádzkovateľov, ktorí spracúvajú osobné údaje na účely súdneho konania a v súvislosti s ním. Zoznam tretích strán podľa odseku 2 možno nahradiť určením okruhu tretích strán len vtedy, ak vzhľadom na povahu veci nemožno vopred určiť jednotlivé tretie strany, ktorým sa osobné údaje poskytujú, alebo ak tretie strany tvoria skupinu subjektov s rovnakým predmetom činnosti a vykonávajú spracúvanie osobných údajov na rovnaký alebo rovnaké účely, prípadne ak zloženie takejto skupiny podlieha neustálej zmene.

§ 11

Súhlas dotknutej osoby

	(1) Ak sa na spracúvanie osobných údajov neuplatňuje § 10, prevádzkovateľ je oprávnený spracúvať osobné údaje len so súhlasom dotknutej osoby. 
 
	(2) Ak prevádzkovateľ spracúva osobné údaje podľa odseku 1 a vzniknú pochybnosti o jeho udelení, prevádzkovateľ je povinný úradu hodnoverne preukázať, že mu dotknutá osoba súhlas poskytla. 

	(3) Súhlas dotknutej osoby si prevádzkovateľ nemôže vynucovať a ani podmieňovať hrozbou odmietnutia zmluvného vzťahu, služby, tovaru alebo povinnosti ustanovenej prevádzkovateľovi právne záväzným aktom Európskej únie, medzinárodnou zmluvou, ktorou je Slovenská republika viazaná alebo zákonom.

(4) Súhlas sa preukazuje zvukovým alebo zvukovo-obrazovým záznamom alebo čestným vyhlásením toho, kto poskytol osobné údaje do informačného systému, alebo iným hodnoverným spôsobom. Písomný súhlas sa preukazuje dokladom, ktorý potvrdzuje poskytnutie súhlasu. Dôkaz o súhlase obsahuje najmä údaj o tom, kto súhlas poskytol, komu sa tento súhlas dáva, na aký účel, zoznam alebo rozsah osobných údajov a čas platnosti súhlasu. Súhlas daný v písomnej forme je bez vlastnoručného podpisu toho, kto súhlas dáva, neplatný.  

§ 12

	(1) Osobné údaje o dotknutej osobe možno získať od inej fyzickej ? osoby Pripomienka: nie je zrejmé, prečo len od fyzickej osoby a spracúvať v informačnom systéme len s predchádzajúcim písomným súhlasom dotknutej osoby. To neplatí, ak poskytnutím osobných údajov o dotknutej osobe do informačného systému iná fyzická osoba chráni svoje zákonné práva alebo právom chránené záujmy, alebo oznamuje skutočnosti, ktoré odôvodňujú uplatnenie právnej zodpovednosti dotknutej osoby, alebo sa osobné údaje spracúvajú na základe osobitného zákona podľa § 10 ods. 2. Ten, kto takto osobné údaje spracúva, musí vedieť preukázať úradu kedykoľvek na jeho žiadosť, že ich získal v súlade s týmto zákonom. 
 
	(2) Osobné údaje dotknutej osoby možno poskytnúť z informačného systému inej právnickej osobe, fyzickej osobe, prípadne subjektu v cudzine len spolu s písomným dokladom o danom súhlase, ak tento zákon takýto súhlas vyžaduje; ten, kto osobné údaje takto poskytuje, môže písomný doklad o danom súhlase nahradiť písomným vyhlásením prevádzkovateľa o udelení súhlasu dotknutou osobou, ak prevádzkovateľ vie preukázať, že písomný súhlas dotknutej osoby bol daný.

	(3) Ak prevádzkovateľ je zamestnávateľom dotknutej osoby, je oprávnený sprístupniť alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, funkčné, pracovné alebo služobné zaradenie, odborný útvar, miesto výkonu práce, telefónny, faxový alebo elektronický kontakt na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením funkčných, pracovných alebo služobných povinností dotknutej osoby. Sprístupnenie alebo zverejnenie osobných údajov nesmie narušiť vážnosť a dôstojnosť dotknutej osoby. Toto ustanovenie nemožno použiť, ak prevádzkovateľ dotknutej osobe vopred neposkytol informácie podľa § 15. 

(4) Osobné údaje podľa § 10 ods. 3 písm. c) a podľa § 14 ods. 1 písm. c) možno spracúvať bez súhlasu dotknutej osoby len po dobu, kým nezaniknú dôvody, ktoré neumožňovali získať súhlas dotknutej osoby. Ak dôvody zanikli, ten kto osobné údaje spracúva, zabezpečí súhlas dotknutej osoby. 

	(5) Ten, kto mieni zverejniť osobné údaje dotknutej osoby, nesmie svojím konaním neoprávnene zasahovať do práva na ochranu jej osobnosti a súkromia; ich zverejnenie nemôže byť v rozpore s oprávnenými záujmami dotknutej osoby.1) 
 
	(6) Ak dotknutá osoba nemá spôsobilosť na právne úkony v plnom rozsahu,) súhlas vyžadovaný podľa tohto zákona môže poskytnúť jej zákonný zástupca.) 
 
	(7) Ak dotknutá osoba nežije, súhlas vyžadovaný podľa tohto zákona môže poskytnúť jej blízka osoba.) Súhlas nie je platný, ak čo len jedna blízka osoba písomne vyslovila nesúhlas. 

§ 13 

Osobitné kategórie osobných údajov 

	(1) Spracúvať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženskú vieru alebo svetonázor, členstvo v politických stranách alebo politických hnutiach, členstvo v odborových organizáciách a údaje týkajúce sa zdravia alebo pohlavného života, sa zakazuje. 
 
	(2) Pri spracúvaní osobných údajov možno využiť na účely určenia fyzickej osoby všeobecne použiteľný identifikátor ustanovený osobitným zákonom) len vtedy, ak jeho použitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Spracúvať iný identifikátor, ktorý v sebe skrýva charakteristiky dotknutej osoby, alebo zverejňovať všeobecne použiteľný identifikátor sa zakazuje. 
 
(3) Spracúvanie osobných údajov o psychickej identite fyzickej osoby alebo o jej psychickej pracovnej spôsobilosti môže vykonávať len psychológ alebo ten, komu to umožňuje osobitný zákon.)

	(4) Spracúvanie osobných údajov o porušení ustanovení predpisov trestného práva, priestupkového práva alebo občianskeho práva, ako aj o výkone právoplatných rozsudkov alebo rozhodnutí môže vykonávať len ten, komu to umožňuje osobitný zákon.) 
 
	(5) Prevádzkovateľ je oprávnený spracúvať biometrické údaje len vtedy, ak je to primerané účelu spracúvania a nevyhnutné na jeho dosiahnutie a ak 
a)	to prevádzkovateľovi vyplýva výslovne zo zákona, alebo 
b)	dotknutá osoba dala na spracúvanie písomný alebo inak hodnoverne preukázateľný súhlas, alebo
c)	spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy podľa § 10 ods. 3 písm. b), alebo
d)	spracúvanie osobných údajov je nevyhnutné na účely podľa § 10 ods. 3 písm. g).

(6) Primeranosť, nevyhnutnosť a právny základ spracúvania biometrických údajov podľa odseku 5 písm. b) až d) posudzuje úrad v konaní podľa § 36 až 38. 

§ 14 

Výnimky z obmedzení pri spracúvaní osobitných kategórií osobných údajov 

	(1) Zákaz spracúvania osobných údajov ustanovený v § 13 ods. 1 neplatí, ak
a)	dotknutá osoba dala písomný alebo inak hodnoverne preukázateľný súhlas na ich spracúvanie, alebo 
b)	právnym základom pre spracúvanie osobných údajov je osobitný zákon, právne záväzný akt Európskej únie alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, alebo 
c)	spracúvanie je nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby, ktorá nemá spôsobilosť na právne úkony alebo fyzicky nie je spôsobilá na vydanie písomného súhlasu, a ak nemožno získať písomný súhlas jej zákonného zástupcu, alebo 
d)	spracúvanie vykonáva v rámci oprávnenej činnosti občianske združenie, nadácia alebo nezisková organizácia poskytujúca všeobecne prospešné služby, politická strana alebo politické hnutie, odborová organizácia, štátom uznaná cirkev alebo náboženská spoločnosť a toto spracúvanie sa týka iba ich členov alebo tých fyzických osôb, ktoré sú s nimi vzhľadom na ich ciele v pravidelnom styku, osobné údaje slúžia výlučne pre ich vnútornú potrebu a nebudú poskytnuté tretej strane bez písomného alebo inak hodnoverne preukázateľného súhlasu dotknutej osoby, alebo 
e)	spracúvanie sa týka osobných údajov, ktoré dotknutá osoba sama zverejnila alebo sú nevyhnutné pri uplatňovaní jej právneho nároku, alebo 
f)	ide o spracúvanie na účely poskytovania zdravotnej starostlivosti a na účely vykonávania verejného zdravotného poistenia, ak tieto údaje spracúva poskytovateľ zdravotnej starostlivosti, zdravotná poisťovňa, osoba vykonávajúca služby súvisiace s poskytovaním zdravotnej starostlivosti alebo osoba vykonávajúca dohľad nad zdravotnou starostlivosťou a v jej mene odborne spôsobilá oprávnená osoba, ktorá je viazaná povinnosťou mlčanlivosti o skutočnostiach tvoriacich profesionálne tajomstvo a povinnosťou dodržiavať zásady profesijnej etiky, alebo 
g)	ide o spracúvanie v sociálnom poistení, v sociálnom zabezpečení policajtov a vojakov, na účely poskytovania sociálnej pomoci alebo pomoci v hmotnej núdzi, alebo je spracúvanie nevyhnutné na účely plnenia povinností alebo uplatnenie zákonných práv prevádzkovateľa zodpovedného za spracúvanie v oblasti pracovného práva a v službách zamestnanosti a ak to prevádzkovateľovi vyplýva z osobitného zákona.) 
 
(2) Súhlas dotknutej osoby daný podľa odseku 1 písm. a) je neplatný, ak jeho poskytnutie vylučuje osobitný zákon. 

§ 15

Získavanie osobných údajov 

	(1) Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov dotknutej osoby, je povinný pred ich získavaním dotknutej osobe vopred oznámiť 
a)	identifikačné údaje prevádzkovateľa a zástupcu prevádzkovateľa, ak bol ustanovený, 
b)	identifikačné údaje sprostredkovateľa, 
c)	účel spracúvania osobných údajov,
d)	zoznam osobných údajov alebo rozsah osobných údajov podľa § 10 ods. 4 prvá veta a 
e)	ďalšie doplňujúce informácie v takom rozsahu, v akom sú s ohľadom na všetky okolnosti spracúvania osobných údajov potrebné pre dotknutú osobu na zaručenie jej práv a právom chránených záujmov, najmä právo byť informovaná o podmienkach spracúvania svojich osobných údajov 
1.	preukázanie totožnosti oprávnenej osoby, ktorá získava osobné údaje alebo preukázanie príslušnosti oprávnenej osoby hodnoverným dokladom k tomu subjektu, v mene ktorého koná; oprávnená osoba je povinná takejto žiadosti dotknutej osoby bez zbytočného odkladu vyhovieť, 
2.	poučenie o dobrovoľnosti alebo povinnosti poskytnúť požadované osobné údaje; ak prevádzkovateľ získava osobné údaje dotknutej osoby na základe súhlasu dotknutej osobe podľa § 11, oznámi jej aj čas platnosti súhlasu a ak dotknutej osobe povinnosť poskytnúť osobné údaje vyplýva z priamo vykonateľného právne záväzného aktu Európskej únie, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná alebo zákona, prevádzkovateľ oznámi dotknutej osobe tento právny základ, ktorý jej túto povinnosť ukladá a upovedomí ju o následkoch odmietnutia poskytnúť osobné údaje, 
3.	tretie strany, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje poskytnuté, 
4.	okruh príjemcov, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje sprístupnené, 
5.	formu zverejnenia, ak majú byť osobné údaje zverejnené, 
6.	tretie krajiny, ak sa predpokladá alebo je zrejmé, že sa do týchto krajín uskutoční prenos osobných údajov, 
7.	poučenie o existencii práv dotknutej osoby. 
 
	(2) Ak osobné údaje o dotknutej osobe nezískal prevádzkovateľ priamo od tejto dotknutej osoby, je povinný bez zbytočného odkladu, najneskôr však v čase pred ich prvým poskytnutím tretej strane, ak sa takéto poskytovanie predpokladalo už pri získavaní osobných údajov, oznámiť dotknutej osobe informácie podľa odseku 1 písm. a) až c) a ďalšie doplňujúce informácie, pokiaľ sú potrebné s ohľadom na špecifické okolnosti, za ktorých sú osobné údaje získavané na zabezpečenie zákonného spracúvania, najmä 
a)	poučenie o možnosti rozhodnúť o spracúvaní získaných osobných údajov, 
b)	zoznam osobných údajov, 
c)	tretie strany, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje poskytnuté, 
d)	okruh príjemcov, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje sprístupnené, 
e)	formu zverejnenia, ak majú byť osobné údaje zverejnené, 
f)	tretie krajiny, ak sa predpokladá alebo je zrejmé, že sa do týchto krajín uskutoční prenos osobných údajov, 
g)	poučenie o existencii práv dotknutej osoby. 
 
	(3) Informácie podľa odseku 1 netreba dotknutej osobe oznamovať, ak prevádzkovateľ vie úradu kedykoľvek na jeho žiadosť preukázať, že jej boli už predtým poskytnuté. Informácie podľa odseku 2 netreba dotknutej osobe oznamovať, ak prevádzkovateľ 
a)	vie úradu kedykoľvek na jeho žiadosť preukázať, že jej boli už predtým poskytnuté,  
b)	spracúva osobné údaje podľa § 10 ods. 1 a 2, 
c)	spracúva osobné údaje na účel ustanovený v § 10 ods. 3 písm. a), na historický výskum alebo vedecký výskum a vývoj, alebo na účely štátnej štatistiky a poskytnutie takýchto informácií je objektívne nemožné alebo by bolo možné len s vyvinutím neprimeraného úsilia, alebo
d)	spracúva osobné údaje podľa § 10 ods. 3 písm. e). 
 
	(4) Prevádzkovateľ, ktorý získava osobné údaje na účely identifikácie fyzickej osoby pri jej jednorazovom vstupe do jeho priestorov, je oprávnený od nej požadovať titul, meno, priezvisko, a číslo občianskeho preukazu) alebo číslo cestovného dokladu,) štátnu príslušnosť a preukázanie pravdivosti poskytnutých osobných údajov predkladaným dokladom. Ak sa fyzická osoba preukáže podľa osobitného zákona,) je prevádzkovateľ oprávnený od nej požadovať len evidenčné číslo služobného preukazu a názov orgánu, ktorý služobný preukaz vydal. V týchto prípadoch sa odsek 1 nepoužije. 
 
	(5) Prevádzkovateľ, ktorý v priestoroch prístupných verejnosti získava, poskytuje alebo sprístupňuje osobné údaje, zabezpečí diskrétnosť pri ich spracúvaní. 
 
	(6) Získavať osobné údaje nevyhnutné na dosiahnutie účelu spracúvania kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií možno len vtedy, ak s tým dotknutá osoba písomne súhlasí alebo ak to osobitný zákon výslovne umožňuje bez súhlasu dotknutej osoby.) 
 
	(7) Priestor prístupný verejnosti možno monitorovať len na účely verejného poriadku a bezpečnosti, odhaľovania kriminality narušenia bezpečnosti štátu, ochrany majetku alebo zdravia, a to len vtedy, ak je priestor zreteľne označený ako monitorovaný; takýto priestor je prevádzkovateľ povinný zreteľne označiť bez ohľadu na to, či sa snímaný obraz alebo zvuk zaznamenáva na nosič informácií. Označenie monitorovaného priestoru sa nevyžaduje, ak tak ustanovuje osobitný zákon. Vyhotovený záznam možno využiť len na účely trestného konania alebo konania o priestupkoch, ak osobitný zákon neustanovuje inak. 
 
	(8) Prevádzkovateľ, ktorý získa osobné údaje uvedené v § 10 ods. 3 písm. d) bez vedomia dotknutej osoby alebo priamo od nej, poskytne jej pri prvom kontakte informácie podľa odseku 1 a ak sú spracúvané na účely priameho marketingu, oboznámi ju výslovne aj s právom písomne namietať proti ich poskytovaniu a využívaniu v poštovom styku. 
 
	(9) Prevádzkovateľ, ktorého predmetom činnosti je priamy marketing, vedie zoznam poskytnutých osobných údajov podľa § 10 ods. 3 písm. d) v rozsahu titul, meno, priezvisko a adresa dotknutej osoby, dátum ich poskytnutia, prípadne dátum, od ktorého platí zákaz ich ďalšieho poskytovania podľa § 17 ods. 6, a názov právnickej osoby alebo fyzickej osoby, ktorej boli uvedené osobné údaje poskytnuté. Zoznam v rovnakom rozsahu vedú aj právnické osoby a fyzické osoby, ktorým boli tieto osobné údaje poskytnuté. 
 
§ 16

Pravdivosť, správnosť a aktuálnosť osobných údajov 

	(1) Do informačného systému možno poskytnúť len pravdivé osobné údaje. Za nepravdivosť osobných údajov zodpovedá ten, kto ich do informačného systému poskytol. 

	(2) Správnosť a aktuálnosť osobných údajov zabezpečuje prevádzkovateľ. Za správny sa považuje taký osobný údaj, ktorý sa poskytol v súlade s odsekom 1. 
 
	(3) Osobný údaj sa považuje za správny, kým sa nepreukáže opak. 
 
§ 17 

Likvidácia osobných údajov 

	(1) Prevádzkovateľ je po splnení účelu spracúvania povinný bezodkladne zabezpečiť likvidáciu osobných údajov. 
 
	(2) Odsek 1 sa nepoužije, ak osobitný zákon ustanovuje lehotu,) ktorá neumožňuje osobné údaje bezodkladne zlikvidovať; prevádzkovateľ zabezpečí likvidáciu osobných údajov bezodkladne po uplynutí zákonom ustanovenej lehoty.
 
		(3) Prevádzkovateľ zabezpečí bezodkladne likvidáciu osobných údajov okrem osobných údajov uvedených v § 10 ods. 3 písm. d) aj vtedy, ak zanikli dôvody, ktoré neumožňovali získať súhlas dotknutej osoby podľa § 11 ods. 4, a súhlas nebol daný. 

	(4) Ak dotknutá osoba uplatní námietku podľa § 27 ods. 3 písm. a), prevádzkovateľ je povinný spracúvané osobné údaje bezodkladne zlikvidovať okrem osobných údajov uvedených v § 10 ods. 3 písm. d). Ďalej prevádzkovateľ postupuje podľa odseku 5. 

	(5) Ak dotknutá osoba uplatní námietku podľa § 27 ods. 3 písm. b), prevádzkovateľ je povinný bezodkladne skončiť využívanie osobných údajov uvedených v § 10 ods. 3 písm. d) v poštovom styku. 
 
	(6) Ak dotknutá osoba uplatní námietku podľa § 27 ods. 3 písm. c), prevádzkovateľ je povinný to bezodkladne písomne oznámiť každému, komu osobné údaje uvedené v § 10 ods. 3 písm. d) poskytol; zákaz ďalšieho poskytovania tu uvedených osobných údajov platí pre prevádzkovateľa a každého, komu ich prevádzkovateľ poskytol odo dňa nasledujúceho po dni doručenia námietky dotknutej osoby, prípadne doručenia písomného oznámenia prevádzkovateľa. 
 
	(7) Ak vyhotovený záznam podľa § 15 ods. 7 nie je využitý na účely trestného konania alebo konania o priestupkoch, je ten, kto ho vyhotovil, povinný ho zlikvidovať najneskôr v lehote 15 dní odo dňa nasledujúceho po dni, v ktorom bol záznam vyhotovený, ak osobitný zákon neustanovuje inak. 
 
§ 18 

Oznamovanie zmien tretím stranám

	(1) Ak prevádzkovateľa upozorní dotknutá osoba alebo si uplatní u prevádzkovateľa svoje právo, alebo ak prevádzkovateľ sám zistí, že poskytol tretej strane nesprávne, neúplné alebo neaktuálne osobné údaje, alebo že ich poskytol bez právneho základu, je povinný bez zbytočného odkladu písomne oznámiť to každému, komu ich poskytol. Prevádzkovateľ v oznámení uvedie, aké opatrenia vykonal, najmä či osobné údaje blokoval, doplnil, opravil, aktualizoval alebo zlikvidoval, a aké opatrenia žiada prijať od tretej strany.

		(2) Tretia strana je povinná na základe oznámenia podľa odseku 1 vykonať požadované opatrenia, najmä zablokovať osobné údaje v informačnom systéme a bez zbytočného odkladu ich doplniť, opraviť, aktualizovať alebo zlikvidovať.

		(3) Od oznámenia podľa odseku 1 možno upustiť len vtedy, ak oznámenie je objektívne nemožné, alebo je možné len s vyvinutím neprimeraného úsilia a ujma, ktorá neoznámením dotknutej osobe vznikne, je zanedbateľná.

(4) Prevádzkovateľ, ktorý upustí od oznámenia podľa odseku 1 z dôvodu podľa odseku 3, je povinný na vyzvanie úradu preukázať, že upustenie od oznámenia je dôvodné. 

DRUHÁ HLAVA 

BEZPEČNOSŤ OSOBNÝCH ÚDAJOV 

§ 19 

Zodpovednosť za bezpečnosť osobných údajov 

	(1) Za bezpečnosť osobných údajov zodpovedá prevádzkovateľ. Prevádzkovateľ je povinný chrániť spracúvané osobné údaje pred ich poškodením, zničením, stratou, zmenou, neoprávneným prístupom a sprístupnením, poskytnutím alebo zverejnením ako aj pred akýmikoľvek inými neprípustnými spôsobmi spracúvania. Na tento účel príjme primerané technické, organizačné a personálne opatrenia zodpovedajúce spôsobu spracúvania, pričom berie do úvahy najmä použiteľné technické prostriedky, dôvernosť a dôležitosť spracúvaných osobných údajov ako aj rozsah možných rizík, ktoré sú spôsobilé narušiť bezpečnosť alebo funkčnosť informačného systému. 

	(2) Opatrenia podľa odseku 1 prijme prevádzkovateľ vo forme bezpečnostného projektu informačného systému (ďalej len „bezpečnostný projekt“) a zabezpečí jeho vypracovanie, ak 
a)	spracúva osobitné kategórie osobných údajov podľa § 13 v informačnom systéme, ktorý je prevádzkovaný v počítačovej sieti Pripomienka: nezodpovedá legislatívnemu zámeru, ktorý je uvedený v osobitnej časti dôvodovej správy k § 19; ide o rozšírenie oproti platnej legislatíve, nakoľko počítačovou sieťou môže byť aj interná (lokálna) sieť počíatačov, ktorá nie je prepojená na internet (verejne prístupnú pčítačovú sieť), alebo 
b)	informačný systém slúži na zabezpečenie verejného záujmu podľa § 3 ods. 3; ustanovenie § 20 sa pri vypracúvaní bezpečnostného projektu nepoužije len vtedy, ak pre konkrétny prípad je tu súčasne povinnosť vypracovať bezpečnostný projekt podľa osobitného zákona. ) 
 
(3) Prevádzkovateľ je povinný bezodkladne zabezpečovať aktualizáciu opatrení prijatých podľa odseku 1 a 2 tak, aby zodpovedala prijatým zmenám pri spracúvaní osobných údajov, a to až do ukončenia spracúvania osobných údajov v informačnom systéme.

	(4) Na požiadanie úradu prevádzkovateľ preukáže rozsah a obsah prijatých technických, organizačných a personálnych opatrení podľa odseku 1 alebo 2. 

§ 20

Bezpečnostný projekt 

	(1) Bezpečnostný projekt vymedzuje rozsah a spôsob technických, organizačných a personálnych opatrení potrebných na eliminovanie a minimalizovanie hrozieb a rizík pôsobiacich na informačný systém z hľadiska narušenia jeho bezpečnosti, spoľahlivosti a funkčnosti. 
 
	(2) Bezpečnostný projekt sa spracúva v súlade so základnými pravidlami bezpečnosti informačného systému vydanými bezpečnostnými štandardmi, právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná. 
 
	(3) Podrobnosti o vypracovaní bezpečnostného projektu ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

§ 21 

Poučenie

	(1) Fyzická osoba sa stáva oprávnenou osobou dňom jej poučenia. 

	(2) Prevádzkovateľ je povinný poučiť osobu podľa odseku 1 o právach a povinnostiach ustanovených týmto zákonom a o zodpovednosti za ich porušenie pred uskutočnením prvej spracovateľskej operácie s osobnými údajmi. Poučenie obsahuje najmä rozsah oprávnení a popis povolených činností, podmienky spracúvania osobných údajov, spôsob identifikácie a autentizácie pri prístupe k informačnému systému. 

	(3) Prevádzkovateľ je povinný o poučení oprávnenej osoby vyhotoviť písomný záznam. Záznam o poučení obsahuje
a)	identifikačné údaje prevádzkovateľa, 
b)	titul, meno, priezvisko, dátum narodenia, pracovné zaradenie alebo funkciu a podpis oprávnenej osoby, 
c)	titul, meno, priezvisko, pracovné zaradenie alebo funkciu a podpis toho, kto vykonal poučenie Pripomienka.: nie je zrejmé, kto by mal vykonávať poučenie,
d)	informácie v rozsahu odseku 2,
e)	deň poučenia, a
f)	deň, odkedy osoba prestala byť oprávnenou osobou; tento údaj doplní prevádzkovateľ po ukončení jej činnosti ako oprávnenej osoby.

(4) Prevádzkovateľ je povinný opätovne poučiť svoju oprávnenú osobu, ak došlo k podstatnej zmene jej pracovného zaradenia alebo funkcie, a tým sa významne zmenili jej pracovné povinnosti, alebo sa podstatne zmenili podmienky spracúvania osobných údajov alebo rozsah spracúvaných osobných údajov v rámci jej pracovného zaradenia alebo výkonu funkcie.

§ 22

Povinnosť mlčanlivosti 

	(1) Prevádzkovateľ je povinný zachovávať mlčanlivosť o osobných údajoch, ktoré spracúva. Povinnosť mlčanlivosti trvá aj po ukončení spracúvania. Povinnosť mlčanlivosti nemá, ak je to podľa osobitného zákona nevyhnutné na plnenie úloh orgánov činných v trestnom konaní; tým nie sú dotknuté ustanovenia osobitného zákona. ) 
 
	(2) Oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými príde do styku; tie nemôže využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nemôže zverejniť a nikomu poskytnúť ani sprístupniť. 
 
	(3) Povinnosť mlčanlivosti podľa odseku 2 platí aj pre iné fyzické osoby, ktoré v rámci svojej činnosti (napríklad údržba a servis technických prostriedkov) prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa. 
 
	(4) Povinnosť mlčanlivosti podľa odseku 2 trvá aj po zániku funkcie oprávnenej osoby alebo po skončení jej pracovného pomeru alebo obdobného pracovného vzťahu, ako aj štátnozamestnaneckého pomeru alebo vzťahu podľa odseku 3. 
 
	(5) Odseky 1 až 4 a ustanovená povinnosť mlčanlivosti prevádzkovateľa, a oprávnenej osoby podľa osobitného predpisu) sa nepoužijú vo vzťahu k úradu pri plnení jeho úloh podľa tohto zákona. 

TRETIA HLAVA

DOHĽAD NAD OCHRANOU OSOBNÝCH ÚDAJOV

Zodpovedná osoba

§ 23 

Podmienky poverenia zodpovednej osoby 

	(1) Za výkon dohľadu nad ochranou osobných údajov spracúvaných podľa tohto zákona zodpovedá prevádzkovateľ. 
 
	(2) Ak prevádzkovateľ spracúva osobné údaje prostredníctvom  20 a viac oprávnených osôb, je povinný výkonom dohľadu písomne poveriť zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dozerajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov. Týmto nie je dotknutá zodpovednosť prevádzkovateľa podľa odseku 1. 

	(3) Ak prevádzkovateľ spracúva osobné údaje prostredníctvom menej ako 20 oprávnených osôb, je povinný prihlásiť na registráciu tie informačné systémy, ktoré podľa tohto zákona podliehajú registrácii podľa § 33. Povinnosť ustanovená prevádzkovateľovi podľa prvej vety sa nevzťahuje na sprostredkovateľa.  

	(4) Zodpovedná osoba má postavenie oprávnenej osoby prevádzkovateľa s právom prístupu do informačných systémov prevádzkovateľa v rozsahu potrebnom na plnenie úloh podľa § 26. 

(5) Zodpovednou osobou môže byť len fyzická osoba, ktorá má spôsobilosť na právne úkony v plnom rozsahu, potvrdenie úradu o absolvovaní skúšky zodpovednej osoby a spĺňa podmienku bezúhonnosti podľa § 46 ods. 4 prvej vety; výpis z registra trestov fyzická osoba doloží prevádzkovateľovi najneskôr v deň poverenia podľa odseku 2. Prevádzkovateľ je povinný ho uchovávať spolu s poverením počas celej doby výkonu funkcie zodpovednej osoby. Povinnosť preukazovania bezúhonnosti neplatí, ak fyzická osoba je povinná preukázať svoju bezúhonnosť na účely pracovného vzťahu, štátnozamestnaneckého vzťahu alebo obdobného pracovného vzťahu k prevádzkovateľovi podľa osobitného zákona. 

(6) Zodpovednou osobou nemôže byť fyzická osoba, ktorá je štatutárnym orgánom prevádzkovateľa a fyzická osoba, ktorá je oprávnená konať v mene štatutárneho orgánu prevádzkovateľa.

(7) Zodpovednou osobou nemôže byť osoba, ktorá opakovane porušila ustanovenia tohto zákona.

		(8) Poverenie podľa odseku 2 obsahuje 
a)	identifikačné údaje prevádzkovateľa, 
b)	titul, meno, priezvisko a dátum narodenia poverenej zodpovednej osoby, 
c)	dátum začiatku platnosti poverenia zodpovednej osoby, 
d)	vyhlásenie prevádzkovateľa o tom, že poverená osoba spĺňa predpoklady podľa tohto zákona,
e)	číslo potvrdenia o absolvovaní skúšky zodpovednej osoby a dátum jeho vyhotovenia,
f)	poznámku „poverenie prijímam“ doplnenú podpisom poverenej osoby,
g)	odtlačok pečiatky prevádzkovateľa, ak ju má,
h)	dátum vyhotovenia poverenia a
i)	podpis štatutárneho orgánu prevádzkovateľa alebo inej osoby oprávnenej konať v mene prevádzkovateľa. a

(9) Prílohou poverenia, ktorá tvorí jeho neoddeliteľnú súčasť, je záznam o poučení podľa § 21 ods. 3. 

(10) Žiadosť o absolvovanie skúšky obsahuje
a)	údaje o žiadateľovi v rozsahu titul, meno, priezvisko, rodné číslo, dátum narodenia, adresu trvalého pobytu a telefónne číslo, ak ide o fyzickú osobu,
b)	predmet žiadosti určený podľa odseku 14,
c)	dátum a podpis žiadateľa.

(11) Potvrdenie o absolvovaní skúšky zodpovednej osoby obsahuje
a)	identifikačné údaje úradu,
b)	identifikačné údaje žiadateľa v rozsahu titul, meno, priezvisko a dátum narodenia, 
c)	číslo potvrdenia,
d)	dátum vydania potvrdenia,
e)	titul, meno, priezvisko, funkciu a podpis zamestnanca úradu, a
f)	odtlačok úradnej pečiatky úradu.

(12) Potvrdenie o absolvovaní skúšky zodpovednej osoby sa vydáva na obdobie siedmych rokov. Po uplynutí tejto lehoty je zodpovedná osoba povinná podať žiadosť o vydanie nového potvrdenia.

(13) Ak je sprostredkovateľ zároveň v postavení prevádzkovateľa, a už má poverenú zodpovednú osobu, nevzťahuje sa na neho odsek 2 prvá veta. 

(14) Podrobnosti o vykonaní skúšky zodpovednej osoby ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

§ 24

Povinnosti prevádzkovateľa pri poverení zodpovednej osoby

 (1) Prevádzkovateľ je povinný umožniť zodpovednej osobe nezávislý výkon dohľadu nad ochranou osobných údajov a prijať jej oprávnené návrhy; upozornenie na nedostatky alebo vyslovenie požiadavky zodpovednou osobou v súvislosti s plnením jej povinností podľa § 26 ods. 2 sa nemôže stať podnetom ani dôvodom na konanie zo strany prevádzkovateľa, ktoré by zodpovednej osobe spôsobilo ujmu. 

	(2) Prevádzkovateľ, ktorý písomne poveril výkonom dohľadu nad ochranou osobných údajov zodpovednú osobu, je povinný o tom písomne informovať úrad bez zbytočného odkladu, najneskôr do 30 dní odo dňa poverenia zodpovednej osoby doporučenou zásielkou alebo v elektronickej podobe podpísaným zaručeným elektronickým podpisom podľa osobitného podpisu.) Prevádzkovateľ oznámi úradu tieto údaje
a)	identifikačné údaje prevádzkovateľa,
b)	titul, meno, priezvisko a dátum narodenia zodpovednej osoby,
c)	deň, kedy sa fyzická osoba stala zodpovednou osobou,
d)	vyhlásenie prevádzkovateľa o tom, že zodpovedná osoba spĺňa predpoklady podľa tohto zákona,
e)	číslo potvrdenia o absolvovaní skúšky zodpovednej osoby a dátum jeho vyhotovenia,
f)	odtlačok pečiatky prevádzkovateľa, ak ju má,
g)	dátum vyhotovenia oznámenia, a
h)	podpis štatutárneho orgánu prevádzkovateľa alebo inej osoby oprávnenej konať v mene prevádzkovateľa. 
	
	(3) Ak prevádzkovateľ výkonom dohľadu nad ochranou osobných údajov súčasne poveril viac zodpovedných osôb, je povinný podľa odseku 2 oznámiť úradu poverenie všetkých zodpovedných osôb. Pripomienka: oproti súčasnej legislatíve ide o vyššiu administratívnu záťaž

(4) Vzor oznámenia podľa odseku 2 ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad. 

§ 25

Ukončenie poverenia zodpovednej osoby

	(1) Prevádzkovateľ je oprávnený kedykoľvek bez udania dôvodu poverenie zodpovednej osoby písomne odvolať. Prevádzkovateľ je povinný bezodkladne poverenie zodpovednej osoby písomne odvolať, ak zodpovedná osoba prestane spĺňať podmienky podľa § 23 ods. 5 alebo 6. 

(2) Poverenie zodpovednej osoby zaniká 
a)	smrťou zodpovednej osoby,
b)	dňom zániku prevádzkovateľa,
c)	dňom, kedy zodpovedná osoba prestala spĺňať podmienky podľa § 23 ods. 5) a 6),
d)	uplynutím lehoty, na ktorú sa potvrdenie o absolvovaní skúšky vydáva,
e)	dňom skončenia štátnozamestnaneckého pomeru, pracovnoprávneho vzťahu, obdobného pracovného vzťahu alebo služobného pomeru zodpovednej osoby, ak je zamestnancom prevádzkovateľa a písomne sa nedohodnú na pokračovaní výkonu funkcie zodpovednej osoby podľa tohto zákona, alebo
f)	30. dňom nasledujúcim po dni, v ktorom prevádzkovateľ prevzal písomnú žiadosť zodpovednej osoby o zrušenie jej poverenia zodpovednej osoby, ak nedošlo k inej dohode o lehote zániku. 

(3) Ak prevádzkovateľ odvolá poverenie zodpovednej osoby podľa odseku 1, ktorú nahlásil na úrad, a písomne poverí novú zodpovednú osobu, je povinný postupovať podľa odseku § 24 ods. 2. 

(4) Ak prevádzkovateľ nepostupuje podľa odseku 3, je povinný bezodkladne oznámiť úradu odvolanie poverenia zodpovednej osoby podľa § 24 ods. 2.

(5) Ak počas výkonu funkcie zodpovednej osoby dôjde k zmene v údajoch oznamovaných podľa odseku § 24 ods. 2, prevádzkovateľ je povinný bezodkladne nahlásiť zmenu v týchto údajoch. 

	(6) Úrad je oprávnený uložiť prevádzkovateľovi povinnosť písomne poveriť dohľadom nad ochranou osobných údajov inú zodpovednú osobu, ak sa preukáže, že písomne poverená zodpovedná osoba neplnila alebo nedostatočne plnila povinnosti podľa § 26 ods. 2, alebo práva a povinnosti uložené prevádzkovateľovi týmto zákonom nesprávne posudzovala alebo ich nesprávne uplatňovala v praxi, alebo nespĺňa podmienky ustanovené v § 23 ods. 5 alebo 6. Prevádzkovateľ je povinný bez zbytočného odkladu úradu vyhovieť a dohľadom písomne poveriť inú zodpovednú osobu; ak tomu bránia dôvody hodné osobitného zreteľa, ktoré vie prevádzkovateľ úradu hodnoverne preukázať, úrad určí prevádzkovateľovi lehotu, dokedy je povinný vymeniť zodpovednú osobu, prípadne prihlásiť informačné systémy na registráciu.

§ 26

Povinnosti zodpovednej osoby

	(1) Zodpovedná osoba je povinná pred začatím spracúvania osobných údajov v informačnom systéme posúdiť, či ich spracúvaním nevzniká nebezpečenstvo narušenia práv a slobôd dotknutých osôb. Zistenie narušenia práv a slobôd dotknutých osôb pred začatím spracúvania alebo porušenia zákonných ustanovení v priebehu spracúvania osobných údajov je zodpovedná osoba povinná bezodkladne písomne oznámiť prevádzkovateľovi; ak prevádzkovateľ po upozornení bezodkladne nevykoná nápravu, oznámi to zodpovedná osoba úradu. 

	(2) Zodpovedná osoba je povinná zabezpečovať 
a)	potrebnú súčinnosť s úradom pri plnení úloh patriacich do jeho pôsobnosti; na požiadanie je zodpovedná osoba povinná úradu kedykoľvek predložiť svoje písomné poverenie, písomné oznámenia vystavené pre prevádzkovateľa podľa odseku 1, preukázať rozsah získaných vedomostí odborným školením Pripomienka: zrejme chyba, nakoľko zodpovedná osoba by sa mala v zmysle tohto návrhu podrobiť skúške; nemala by absolvovať školenie, ako je tomu v zmysle platnej legislatívy, 
b)	povinnosti podľa odseku 1, 
c)	dohľad nad plnením základných povinností prevádzkovateľa podľa § 6, 
d)	poučenie oprávnených osôb podľa § 21, 
e)	vybavovanie žiadostí dotknutých osôb podľa § 27 až 29, 
f)	realizáciu technických, organizačných a personálnych opatrení podľa § 19 ods. 1 a 2, dohliadať na ich aplikáciu v praxi a zabezpečovať ich aktualizáciu podľa § 19 ods. 3; ak je prevádzkovateľ povinný vypracovať bezpečnostný projekt v súlade s § 20 zabezpečuje ich vypracovanie, 
g)	dohľad nad výberom sprostredkovateľa, prípravu písomnej zmluvy a počas trvania zmluvného vzťahu preverovať dodržiavanie dohodnutých podmienok podľa § 8, 
h)	dohľad nad cezhraničným tokom osobných údajov podľa § 30 a 31, 
i)	registráciu, osobitnú registráciu alebo evidenciu informačných systémov podľa § 32 až 43. 

	(3) Zodpovedná osoba, ktorá prestane spĺňať podmienky podľa § 23 ods. 5 alebo 6 je povinná bezodkladne oznámiť túto skutočnosť prevádzkovateľovi. 

ŠTVRTÁ HLAVA 

OCHRANA PRÁV DOTKNUTÝCH OSÔB 

§ 27

Práva dotknutej osoby 

	(1) Dotknutá osoba má právo na základe písomnej žiadosti od prevádzkovateľa vyžadovať 
a)	vo všeobecne zrozumiteľnej forme informácie o stave spracúvania svojich osobných údajov v informačnom systéme v rozsahu podľa § 15 ods. 1 písm. a), b), c), d), e) bod 2 až 6; pri vydaní rozhodnutia podľa odseku 4 písm. b) je dotknutá osoba oprávnená oboznámiť sa s postupom spracúvania a vyhodnocovania operácií, 
b)	vo všeobecne zrozumiteľnej forme presné informácie o zdroji, z ktorého získal jej osobné údaje na spracúvanie, 
c)	vo všeobecne zrozumiteľnej forme odpis jej osobných údajov, ktoré sú predmetom spracúvania, 
d)	opravu jej nesprávnych, neúplných alebo neaktuálnych osobných údajov, ktoré sú predmetom spracúvania, 
e)	likvidáciu jej osobných údajov, ak bol splnený účel ich spracúvania podľa § 17 ods. 1; ak sú predmetom spracúvania úradné doklady obsahujúce osobné údaje, môže požiadať o ich vrátenie, 
f)	likvidáciu jej osobných údajov, ktoré sú predmetom spracúvania, ak došlo k porušeniu zákona,
g)	blokovanie jej osobných údajov z dôvodu odvolania súhlasu pred uplynutím času jeho platnosti, ak prevádzkovateľ spracúva osobné údaje na základe súhlasu dotknutej osoby.
 
	(2) Právo dotknutej osoby možno obmedziť len podľa odseku 1 písm. d) a e), ak takéto obmedzenie vyplýva z osobitného zákona alebo jeho uplatnením by bola porušená ochrana dotknutej osoby, alebo by boli porušené práva a slobody iných osôb. 
 
	(3) Dotknutá osoba na základe bezplatnej písomnej žiadosti má právo u prevádzkovateľa namietať voči 
a)	spracúvaniu jej osobných údajov, o ktorých predpokladá, že sú alebo budú spracúvané na účely priameho marketingu bez jej súhlasu a žiadať ich likvidáciu, 
b)	využívaniu osobných údajov uvedených v § 10 ods. 3 písm. d) na účely priameho marketingu v poštovom styku, alebo 
c)	poskytovaniu osobných údajov uvedených v § 10 ods. 3 písm. d) na účely priameho marketingu. 
 
	(4) Dotknutá osoba na základe bezplatnej písomnej žiadosti alebo osobne, ak vec neznesie odklad, má právo u prevádzkovateľa kedykoľvek namietať voči spracúvaniu osobných údajov v prípadoch podľa § 10 ods. 3 písm. a), e), f) alebo g) vyslovením oprávnených dôvodov alebo predložením dôkazov o neoprávnenom zasahovaní do jej práv a právom chránených záujmov, ktoré sú alebo môžu byť v konkrétnom prípade takýmto spracúvaním osobných údajov poškodené; ak tomu nebránia zákonné dôvody a preukáže sa, že námietka dotknutej osoby je oprávnená, prevádzkovateľ je povinný osobné údaje, ktorých spracúvanie dotknutá osoba namietala, bez zbytočného odkladu blokovať a zlikvidovať ihneď, ako to okolnosti dovolia, 

(5) Dotknutá osoba na základe bezplatnej písomnej žiadosti alebo osobne, ak vec neznesie odklad, ďalej má právo u prevádzkovateľa kedykoľvek namietať a nepodrobiť sa rozhodnutiu prevádzkovateľa, ktoré by malo pre ňu právne účinky alebo významný dosah, ak sa takéto rozhodnutie vydá výlučne na základe úkonov automatizovaného spracúvania jej osobných údajov. Dotknutá osoba má právo žiadať prevádzkovateľa o preskúmanie vydaného rozhodnutia metódou odlišnou od automatizovanej formy spracúvania, pričom prevádzkovateľ je povinný žiadosti dotknutej osoby vyhovieť, a to tak, že rozhodujúcu úlohu pri preskúmaní rozhodnutia bude mať oprávnená osoba; o spôsobe preskúmania a výsledku zistenia prevádzkovateľ informuje dotknutú osobu v lehote podľa § 28 ods. 3. Dotknutá osoba nemá toto právo iba v prípade, ak to ustanovuje osobitný zákon, v ktorom sú opatrenia na zabezpečenie oprávnených záujmov dotknutej osoby, alebo ak rozhodnutie bolo prijaté v priebehu uzatvárania alebo plnenia zmluvy uzatváranej medzi prevádzkovateľom a dotknutou osobou za predpokladu, že sa vyhovelo požiadavke dotknutej osoby, ktorá je obsahom zmluvy, alebo dotknutej osobe bolo na základe dohody udelené právo kedykoľvek počas platnosti zmluvy uplatniť svoj názor. 
 
		(6) Ak dotknutá osoba uplatní svoje právo
a)	písomne a z obsahu jej žiadosti vyplýva, že uplatňuje svoje právo, žiadosť sa považuje za podanú podľa tohto zákona; prevádzkovateľ je povinný vybaviť ju podľa tohto zákona,
b)	osobne ústnou formou do zápisnice z ktorej musí byť zrejmé, kto právo uplatnil, čoho sa domáha a kedy a kto vyhotovil zápisnicu, jeho podpis a podpis dotknutej osoby; kópiu zápisnice je prevádzkovateľ povinný odovzdať dotknutej osobe, 
c)	u sprostredkovateľa podľa písmena a) alebo písmena b), je ten povinný túto žiadosť alebo zápisnicu odovzdať prevádzkovateľovi bez zbytočného odkladu.

	(7) Dotknutá osoba pri podozrení, že jej osobné údaje sa neoprávnene spracúvajú, môže podať úradu návrh na začatie konania podľa § 61. 
 
	(8) Ak dotknutá osoba nemá spôsobilosť na právne úkony v plnom rozsahu,8) jej práva môže uplatniť zákonný zástupca.9) 
 
	(9) Ak dotknutá osoba nežije, jej práva, ktoré mala podľa tohto zákona, môže uplatniť blízka osoba.10) 
 
§ 28

Poskytnutie informácií dotknutej osobe 

	(1) Požiadavky dotknutej osoby podľa § 27 ods. 1 písm. a), d) až g) splní prevádzkovateľ bezplatne. 
 
	(2) Informácie podľa § 27 ods. 1 písm. b) a c) prevádzkovateľ poskytne dotknutej osobe bezplatne s výnimkou úhrady vo výške, ktorá nesmie prekročiť výšku účelne vynaložených vecných nákladov spojených so zhotovením kópií, so zadovážením technických nosičov a s odoslaním informácie dotknutej osobe, ak osobitný zákon neustanovuje inak.) 
 
	(3) Prevádzkovateľ vyhovie požiadavkám dotknutej osoby podľa § 27 a písomne ju informuje najneskoršie do 30 dní od ich prijatia. 
 
§ 29 

Oznámenie o obmedzení práv dotknutej osoby 

	Obmedzenie práv dotknutej osoby podľa § 27 ods. 1 písm. d) a e) prevádzkovateľ bezodkladne písomne oznámi dotknutej osobe a úradu. 

PIATA HLAVA

CEZHRANIČNÝ TOK OSOBNÝCH ÚDAJOV 

§ 30

Prenos osobných údajov do tretích krajín 

	(1) Prenos osobných údajov do tretej krajiny, ktorá zaručuje primeranú úroveň ochrany osobných údajov možno uskutočniť, ak prevádzkovateľ dotknutej osobe predtým poskytol informácie podľa § 15 ods. 1 alebo 2, alebo bola splnená niektorá z podmienok uvedených v § 15 ods. 3. Týmto nie je dotknutý odsek 10. 
 
	(2) O primeranosti úrovne ochrany osobných údajov podľa odseku 1 rozhoduje Európska komisia.)

	(3) Prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, možno uskutočniť, ak prevádzkovateľ prijme primerané záruky ochrany súkromia a základných práv a slobôd jednotlivcov a výkonu príslušných práv; takéto záruky pochádzajú predovšetkým zo štandardných zmluvných doložiek podľa príslušného rozhodnutia Európskej komisie) alebo záväzných vnútropodnikových pravidiel prevádzkovateľa schválených príslušným orgánom dozoru v oblasti ochrany osobných údajov. 
 
		(4) Ak prevádzkovateľ nepostupuje podľa odseku 3, prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, možno uskutočniť, iba ak  
a)	dotknutá osoba pred jeho uskutočnením poskytla písomný alebo inak hodnoverne preukázateľný súhlas s vedomím, že tretia krajina nezaručuje primeranú úroveň ochrany, alebo
b)	je nevyhnutné na plnenie zmluvy medzi dotknutou osobou a prevádzkovateľom, alebo na zavedenie predzmluvných vzťahov alebo dojednania zmeny zmluvy, ktoré sa uskutočňujú na žiadosť dotknutej osoby, alebo
c)	je nevyhnutný na uzavretie zmluvy alebo na plnenie zmluvy, ktorú prevádzkovateľ uzavrel v záujme dotknutej osoby s treťou stranou, alebo
d)	je nevyhnutný alebo požadovaný na základe zákona z dôvodu zabezpečenia dôležitého verejného záujmu, alebo pri preukazovaní, uplatňovaní alebo obhajovaní právnych nárokov vyplývajúcich zo zákona alebo z medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo 
e)	je nevyhnutný na ochranu života, zdravia alebo majetku dotknutej osoby, ktorá nemá spôsobilosť na právne úkony, ak nemožno získať súhlas jej zákonného zástupcu, alebo
f)	sa týka osobných údajov, ktoré sú súčasťou zoznamov, registrov alebo operátov vedených podľa osobitných zákonov verejne prístupných alebo sprístupnených tým, ktorí preukážu právny základ na ich sprístupnenie pri splnení zákonom ustanovených podmienok. 
 
	(5) Ak ide o prenos osobných údajov o osobách v pracovnoprávnom pomere alebo v obdobnom pracovnom vzťahu, prevádzkovateľ je povinný prijať primerané záruky ochrany súkromia a ochrany osobných údajov podľa odseku 3. 
 
	(6) Ak prevádzkovateľ alebo sprostredkovateľ so sídlom, miestom podnikania alebo trvalým pobytom v Spojených štátoch amerických pristúpil k zásadám bezpečného prístavu), zmluva o prenose osobných údajov musí obsahovať
a)	identifikačné údaje zmluvných strán, 
b)	účel prenosu osobných údajov,
c)	predpokladané spracovateľské operácie v tretej krajine,
d)	zoznam prenášaných osobných údajov, 
e)	okruh dotknutých osôb a
f)	dobu uchovávania osobných údajov.

		(7) Ak prevádzkovateľ použije v zmluve o prenose osobných údajov do tretej krajiny bez primeranej úrovne ochrany osobných údajov zmluvné doložky, ktoré sú odlišné od štandardných zmluvných doložiek podľa odseku 3 určených na prenos prevádzkovateľom alebo sprostredkovateľom alebo s nimi vykazujú zjavný nesúlad, je povinný pred začatím prenosu požiadať úrad o súhlas. 

			(8) Žiadosť podľa odseku 7 obsahuje
a)	identifikačné údaje zmluvných strán,
b)	účel prenosu osobných údajov,
c)	predpokladané spracovateľské operácie v tretej krajine,
d)	zoznam prenášaných osobných údajov, 
e)	okruh dotknutých osôb a
f)	dobu uchovávania osobných údajov.
 
	(9) Prílohou žiadosti podľa odseku 8 je zmluva o prenose osobných údajov v slovenskom jazyku alebo jej úradne overený preklad do slovenského jazyka.

	(10) Na prenos osobných údajov podľa odsekov 3, 4 a 6 sa súhlas úradu nevyžaduje.
 
	(11) Prevádzkovateľ je oprávnený uskutočniť prenos osobitnej kategórie osobných údajov tretej strane so sídlom v tretej krajine iba s predchádzajúcim písomným súhlasom dotknutej osoby, ak osobitný zákon neustanovuje inak. 
 
		(12) Ten, kto uskutočňuje prenos osobných údajov, musí zaručiť ich bezpečnosť aj počas tohto prenosu.

(13) Ochrana osobných údajov, ktoré prenáša prevádzkovateľ alebo sprostredkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom v tretej krajine na územie Slovenskej republiky, sa vykonáva v súlade s týmto zákonom. 

§ 31

Prenos osobných údajov v rámci členských štátov Európskej únie 

	(1) Voľný pohyb osobných údajov medzi Slovenskou republikou a členskými štátmi Európskej únie sa zaručuje; Slovenská republika neobmedzí ani nezakáže prenos osobných údajov z dôvodov ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním ich osobných údajov. 
 
	(2) Prevádzkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom na území Slovenskej republiky, ktorý zároveň spracúva osobné údaje prostredníctvom sprostredkovateľa na území jedného alebo viacerých členských štátov Európskej únie je povinný zabezpečiť, aby konali podľa jeho pokynov a v súlade s právnym poriadkom platným v Slovenskej republike; to neplatí pre prijatie technických, organizačných a personálnych bezpečnostných opatrení. 

(3) Prevádzkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom na území Slovenskej republiky pri prenose osobných údajov prevádzkovateľovi v inom členskom štáte Európskej únie je povinný prijať primerané záruky zachovania práv a právom chránených záujmov dotknutých osôb. 

(4) Prevádzkovateľ je povinný získať písomný alebo iným hodnoverným spôsobom preukázateľný súhlas dotknutých osôb pred každým poskytnutím osobných údajov prevádzkovateľovi so sídlom v inom členskom štáte Európskej únie, ak tento zákon alebo osobitný zákon neustanovuje inak. 

ŠIESTA HLAVA

REGISTRÁCIA, OSOBITNÁ REGISTRÁCIA 
A EVIDENCIA INFORMAČNÝCH SYSTÉMOV

§ 32

	Prevádzkovateľ je povinný požiadať o registráciu informačných systémov alebo viesť o nich evidenciu v rozsahu a za podmienok ustanovených týmto zákonom. 

Registrácia
 
§ 33

Podmienky registrácie 

	Povinnosť registrácie sa vzťahuje na všetky informačné systémy, v ktorých sa spracúvajú osobné údaje úplne alebo čiastočne automatizovanými prostriedkami spracúvania s výnimkou tých informačných systémov, ktoré 
a)	podliehajú osobitnej registrácii podľa § 36 ods. 2 Pripomienka: zrejme chyba, § 36 nemá odseky, 
b)	podliehajú dohľadu zodpovednej osoby, ktorú písomne poveril prevádzkovateľ podľa § 23 a ktorá vykonáva dohľad nad ochranou osobných údajov podľa tohto zákona, 
c)	obsahujú osobné údaje o členstve osôb v občianskom združení, nadácií, neziskovej organizácii poskytujúcej všeobecne prospešné služby alebo odborovej organizácii, ktoré sú jej členmi a ak tieto osobné údaje spracúvajú a využívajú výlučne pre svoju vnútornú potrebu, alebo obsahujú osobné údaje o náboženskej viere osôb združených v štátom uznanej cirkvi alebo náboženskej spoločnosti a ak tieto osobné údaje spracúva cirkev alebo náboženská spoločnosť a využíva ich výlučne pre svoju vnútornú potrebu, alebo obsahujú osobné údaje o členstve osôb v politickej strane alebo v politickom hnutí, ktoré sú ich členmi a ak tieto osobné údaje spracúva politická strana alebo politické hnutie a využíva ich výlučne pre svoju vnútornú potrebu, alebo 
d)	obsahujú osobné údaje potrebné na uplatňovanie práv alebo plnenie povinností vyplývajúcich z osobitného zákona alebo sú spracúvané na základe priamo vykonateľného právne záväzného aktu Európskej únie, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná alebo zákona. 
Pripomienka: V osobitnej časti dôvodovej správy nie je vysvetlený dôvod vypustenia § 25 ods. 2 písm. c) (obsahujú osobné údaje fyzických osôb spracúvané na účely plnenia predzmluvných vzťahov alebo uplatňovania práv a povinností vyplývajúcich pre prevádzkovateľa z existujúceho alebo ukončeného pracovnoprávneho vzťahu, služobného pomeru, štátnozamestnaneckého pomeru alebo členského pomeru s týmito fyzickými osobami vrátane osobných údajov ich blízkych osôb). Má to znamenať, že takéto informačné systémy budú podliehať povinnosti registrácie? V súčasnosti sa o nich vedú evidenčné listy, čo by znamenalo nielen zvýšenie administraívnej záťaže oproti aktuálnemu stave, ale aj zvýšenie nákladov (zavedenie poplatkovej povinnosti).
 
§34 

Prihlásenie na registráciu 

	(1) Prevádzkovateľ je povinný prihlásiť informačný systém na registráciu pred začatím spracúvania osobných údajov. Žiadosť, ktorou prevádzkovateľ prihlasuje informačný systém na registráciu, musí obsahovať
a)	identifikačné údaje prevádzkovateľa,  
b)	meno a priezvisko štatutárneho orgánu prevádzkovateľa alebo inej osoby oprávnenej konať v mene prevádzkovateľa,
c)	identifikačné údaje zástupcu prevádzkovateľa, ak je vymenovaný; ak prevádzkovateľ vymenoval svojho zástupcu, uvedie aj meno a priezvisko štatutárneho orgánu zástupcu prevádzkovateľa alebo inej osoby oprávnenej konať v mene zástupcu prevádzkovateľa,
d)	počet oprávnených osôb prevádzkovateľa,
e)	názov informačného systému,  
f)	účel spracúvania osobných údajov, 
g)	 právny základ spracúvania osobných údajov; ak je právny základ ustanovený podľa § 10 ods. 1 a 2, uvedie presné ustanovenie právneho predpisu, 
h)	okruh dotknutých osôb,
i)	zoznam osobných údajov, alebo rozsah osobných údajov podľa § 10 ods. 4 prvej vety, 
j)	tretie strany, prípadne okruh tretích strán, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje poskytnuté a právny základ ich poskytovania, 
k)	okruh príjemcov, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje sprístupnené a právny základ ich sprístupnenia, 
l)	spôsob zverejnenia, ak prevádzkovateľ osobné údaje zverejňuje a právny základ ich zverejnenia, 
m)	tretie krajiny, ak sa predpokladá alebo je zrejmé, že sa do týchto krajín uskutoční prenos osobných údajov a právny základ ich prenosu, 
n)	opatrenia prijaté na zabezpečenie ochrany osobných údajov podľa § 19 ods. 1 a 2, 
o)	deň, kedy sa začnú spracúvať osobné údaje v informačnom systéme. 

(2) Vzor žiadosti, ktorou prevádzkovateľ prihlasuje informačný systém na registráciu podľa odseku 1, ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad. 

	(3) Prílohou k žiadosti podľa odseku 2 je popis podmienok spracúvania osobných údajov.

	(4) Žiadosť podľa odseku 2 prevádzkovateľ predkladá úradu v listinnej podobe alebo elektronickej podobe podpísanej zaručeným elektronickým podpisom podľa osobitného zákona.)
 
§ 35

Postup pri registrácii

(1) Ak ide o informačný systém, ktorý podľa § 32 podlieha registrácii, úrad v lehote 30 dní odo dňa podania žiadosti, ktorá spĺňa náležitosti podľa § 34, zaregistruje informačný systém a pridelí mu registračné číslo. O registrácii vydá úrad potvrdenie, ktoré obsahuje
a)	identifikačné údaje úradu,
b)	identifikačné údaje prevádzkovateľa,
c)	názov informačného systému,
d)	pridelené registračné číslo,
e)	titul, meno, priezvisko, funkciu a podpis zamestnanca úradu, 
f)	dátum registrácie, a
g)	odtlačok úradnej pečiatky úradu.

(2) Vzor potvrdenia o registrácii ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

(3) Ak žiadosť nespĺňa náležitosti podľa § 34, úrad vyzve prevádzkovateľa na doplnenie v lehote, ktorá nesmie byť kratšia ako sedem dní; počas tejto lehoty, lehota podľa odseku 1 neplynie. Ak prevádzkovateľ požadované údaje v stanovenej lehote nedoplní, úrad registráciu informačného systému nevykoná a žiadosť prevádzkovateľa podľa § 34 ods. 1 odloží; o odložení žiadosti úrad bezodkladne informuje prevádzkovateľa. 

(4) Ak informačný systém podlieha registrácii a prevádzkovateľ podal úradu žiadosť, ktorá spĺňa náležitosti podľa § 34, je oprávnený začať so spracúvaním osobných údajov odo dňa podania žiadosti o registráciu. Prevádzkovateľ nie je za splnenia podmienok uvedených v prvej vete povinný počkať na potvrdenie o registrácii.

(5) Ak pri posudzovaní predložených údajov úrad zistí, že prihlásený informačný systém nepodlieha registrácii, oznámi to bez zbytočného odkladu prevádzkovateľovi.

(6) Proti registrácii podľa odseku 1 a oznámeniu podľa odseku 4 nie je prípustný opravný prostriedok.

(7) Ak informačný systém prevádzkovateľa po jeho zaregistrovaní začne spĺňať podmienky uvedené v § 33, prevádzkovateľ je povinný o tom bezodkladne informovať úrad. Ak úrad zistí túto skutočnosť pri plnení úloh podľa tohto zákona z vlastnej iniciatívy, registráciu informačného systému zruší, o čom bezodkladne informuje prevádzkovateľa. Proti rozhodnutiu o zrušení registrácie nie je prípustný opravný prostriedok.

	(8) Na registráciu sa nevzťahuje všeobecný predpis o správnom konaní.)

Osobitná registrácia

§ 36

Podmienky osobitnej registrácie 

	Osobitná registrácia sa vzťahuje na informačné systémy, v ktorých prevádzkovateľ spracúva 
a)	aspoň jeden z osobných údajov uvedených v § 13 ods. 1 a zároveň sa požaduje prenos týchto osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov,
b)	osobné údaje na základe § 10 ods. 3 písm. g), alebo 
c)	osobné údaje na základe § 13 ods. 5 písm. b), c) a d). 

§ 37

Prihlásenie na osobitnú registráciu

	(1) Prevádzkovateľ je povinný prihlásiť informačný systém na osobitnú registráciu na úrade pred začatím spracúvania osobných údajov. Žiadosť, ktorou prevádzkovateľ prihlasuje informačný systém na osobitnú registráciu, musí okrem náležitostí podľa § 34 ods. 1 obsahovať aj dôvod prihlasovania informačného systému na osobitnú registráciu podľa § 36. 

(2) Vzor žiadosti, ktorou prevádzkovateľ prihlasuje informačný systém na osobitnú registráciu, ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad. 
 
	(3) Prílohou k žiadosti podľa odseku 2 sú podklady nevyhnutné na posúdenie, či spracúvaním osobných údajov nevzniká nebezpečenstvo porušenia práv a slobôd dotknutých osôb. 

§ 38

Postup pri osobitnej registrácii

	(1) Úrad posúdi údaje podľa § 37 ods. 1 a 3. V prípade pochybností úrad vyzve prevádzkovateľa na doplnenie vysvetlenia alebo podkladov.
	
(2) Ak spracúvaním osobných údajov nevzniká nebezpečenstvo porušenia práv a slobôd dotknutých osôb, úrad zaregistruje informačný systém a pridelí mu registračné číslo. O osobitnej registrácii vydá úrad potvrdenie, ktoré obsahuje 
a)	identifikačné údaje úradu,
b)	identifikačné údaje prevádzkovateľa,
c)	názov informačného systému,
d)	pridelené registračné číslo,
e)	titul, meno, priezvisko, funkciu a podpis zamestnanca úradu, 
f)	dátum registrácie, a
g)	odtlačok úradnej pečiatky úradu.

(3) Vzor potvrdenia o osobitnej registrácii ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

(4) Prevádzkovateľ je oprávnený začať spracúvať osobné údaje v informačnom systéme prihlásenom na osobitnú registráciu až po doručení potvrdenia o osobitnej registrácii.

(5) Ak úrad spracúvanie osobných údajov v informačnom systéme prihlásenom na osobitnú registráciu posúdi ako rizikové, rozhodne o neudelení osobitnej registrácie prevádzkovateľovi na spracúvanie osobných údajov na daný účel. Prevádzkovateľ je povinný rešpektovať rozhodnutie úradu a bez zbytočného odkladu vykonať opatrenia, aby sa spracúvanie osobných údajov neuskutočnilo. 

(6) Ak pri posudzovaní predložených údajov úrad zistí, že prihlásený informačný systém nepodlieha osobitnej registrácii, oznámi to bez zbytočného odkladu prevádzkovateľovi a konanie zastaví. 

(7) Ak sa preukáže, že prevádzkovateľ spracúva osobné údaje v rozpore so zákonom alebo dobrými mravmi, úrad rozhodnutím zruší osobitnú registráciu informačného systému a rozhodne o ukončení spracúvania osobných údajov. 

§ 39

Oznámenie zmien a odhlásenie z registrácie a osobitnej registrácie

	(1) Prevádzkovateľ je povinný do 15 dní písomne oznámiť úradu akékoľvek zmeny údajov prihlásených na registráciu alebo osobitnú registráciu, ktoré nastanú v priebehu spracúvania. Vzor žiadosti o oznámení zmien ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad. 
 
	(2) Prevádzkovateľ je povinný do 15 dní odo dňa skončenia spracúvania osobných údajov písomne odhlásiť informačný systém z registrácie alebo osobitnej registrácie. Pri odhlásení informačného systému z registrácie alebo osobitnej registrácie je prevádzkovateľ povinný uviesť najmä svoje identifikačné údaje, názov odhlasovaného informačného systému, registračné číslo a dátum skončenia spracúvania osobných údajov. Vzor žiadosti na odhlásenie informačného systému z registrácie alebo osobitnej registrácie ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad. 

§ 40 

Spoločné ustanovenie k registrácii a osobitnej registrácii

	Za registráciu, osobitnú registráciu a zmenu registrovaných údajov sa vyberá správny poplatok podľa osobitného predpisu.) Úrad začne konanie o registrácii, osobitnej registrácii a zmene registrovaných údajov po zaplatení správneho poplatku. Ak prevádzkovateľ neuhradí správny poplatok ani za základe výzvy na jeho uhradenie, úrad žiadosť prevádzkovateľa odloží. 

§ 41

Sprístupnenie a zverejnenie stavu registrácie a osobitnej registrácie

	(1) Údaje z registrácie v rozsahu podľa § 34 ods. 1 a osobitnej registrácie v rozsahu podľa § 36 ods. 2 je úrad povinný sprístupniť bezplatne komukoľvek, kto o to požiada. 

	(2) Úrad prostredníctvom svojho webového sídla zverejňuje zoznam udelených registrácií a osobitných registrácií v rozsahu
a)	názov prevádzkovateľa informačného systému,
b)	identifikačné číslo prevádzkovateľa ? POZN.: nie je zrejmé, čo sa rozumie identifikačným číslom, ak je prevádzkovateľom fyzická osoba,
c)	označenie informačného systému, 
d)	registračné číslo informačného systému,
e)	účel spracúvania osobných údajov,
f)	právny základ spracúvania osobných údajov,
g)	zoznam spracúvaných osobných údajov, a
a)	informáciu, či prevádzkovateľ osobné údaje sprístupňuje, poskytuje, zverejňuje a vykonáva cezhraničný prenos.   

Evidencia
 
§ 42 

Podmienky evidencie 

	(1) O informačných systémoch, ktoré nepodliehajú registrácii, je prevádzkovateľ povinný viesť evidenciu, a to najneskôr odo dňa začatia spracúvania údajov v týchto informačných systémoch. Evidencia obsahuje údaje v rozsahu podľa § 34 ods. 1. Vzor evidencie ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad.

(2) Prevádzkovateľ je povinný viesť a aktualizovať evidenciu podľa odseku 1 až do dňa ukončenia spracúvania osobných údajov v informačnom systéme. 
 
§ 43

Sprístupnenie a zverejnenie evidencie 

	(1) Údaje z evidencie je prevádzkovateľ povinný sprístupniť bezplatne komukoľvek, kto o to požiada.

	(2) Prevádzkovateľ prostredníctvom svojho webového sídla, ak ho má zriadené, zverejňuje údaje z evidencie v rozsahu
a)	názov prevádzkovateľa informačného systému,
b)	identifikačné číslo prevádzkovateľa? POZN.: nie je zrejmé, čo sa rozumie identifikačným číslom, ak je prevádzkovateľom fyzická osoba,
c)	označenie informačného systému,
d)	účel spracúvania osobných údajov
e)	právny základ spracúvania osobných údajov, 
f)	zoznam spracúvaných osobných údajov, a
g)	informáciu, či osobné údaje sprístupňuje, poskytuje, zverejňuje a vykonáva cezhraničný prenos.
Pripomienka: Navrhujeme vypustiť odsek 2, nakoľko považujeme zverejňovanie evidenčných listov za neodôvodnené (napríklad zverejňovanie evidenčných listov o informačných systémoch, v ktorých sa spracúvajú osobné údaje zamestnancov na účely pracovnoprávnych vzťahov, ak takéto IS nepodliehajú registrácii podľa tohto návrhu zákona).

TRETIA ČASŤ 

ÚRAD

PRVÁ HLAVA 

POSTAVENIE, PÔSOBNOSŤ A ORGANIZÁCIA ÚRADU

§ 44

Postavenie úradu

	(1) Úrad je nezávislým štátnym orgánom Slovenskej republiky v postavení ústredného orgánu štátnej správy v rozsahu ustanovenom týmto zákonom, podľa ktorého vykonáva dozor nad ochranou osobných údajov a podieľa sa na ochrane základných práv a slobôd fyzických osôb pri spracúvaní ich osobných údajov. 
 
	(2) Sídlom úradu je Bratislava. 

(3) Pri plnení svojich úloh úrad postupuje nezávisle a riadi sa ústavou, ústavnými zákonmi, zákonmi a ostatnými všeobecne záväznými právnymi predpismi.

	(4) Do činnosti úradu možno zasahovať len na základe zákona.

(5) Úrad je rozpočtovou organizáciou, ktorý je svojimi príjmami a výdavkami napojený na štátny rozpočet.) Schválený rozpočet úradu môže znížiť v priebehu kalendárneho roku iba Národná rada Slovenskej republiky. 
 
(6) Podrobnosti o organizácii úradu upraví organizačný poriadok.

§ 45

Pôsobnosť úradu

(1) Úrad pri výkone dozoru nad ochranou osobných údajov plní tieto úlohy 
a)	vykonáva dozor nad dodržiavaním povinností ustanovených zákonom pri spracúvaní osobných údajov,
b)	priebežne sleduje stav ochrany osobných údajov, registráciu, osobitnú registráciu informačných systémov a vedenie evidencie o informačných systémoch,
c)	prijíma návrhy a podnety týkajúce sa podozrenia z porušovania povinností ustanovených zákonom pri spracúvaní osobných údajov alebo koná z vlastnej iniciatívy, 
d)	vykonáva kontrolu spracúvania osobných údajov v informačných systémoch,
e)	pri podozrení z porušenia povinností uložených týmto zákonom môže predvolať prevádzkovateľa alebo sprostredkovateľa s cieľom podať vysvetlenia,
f)	na odstránenie zistených nedostatkov rozhodnutím ukladá opatrenia na nápravu,
g)	ukladá sankcie pri zistení porušenia povinností uvedených v tomto zákone, 
h)	podáva oznámenie) orgánom činným v trestnom konaní pri podozrení, že ide o trestný čin,
i)	poskytuje odborné vyjadrenia podľa osobitného zákona,
j)	odporúča prevádzkovateľom opatrenia na zabezpečenie ochrany osobných údajov v informačných systémoch; na tento účel vydáva v rozsahu svojej pôsobnosti odporúčania pre prevádzkovateľov, 
k)	vykonáva registráciu a osobitnú registráciu informačných systémov a zabezpečuje zverejnenie stavu registrácie, 
l)	vedie register zodpovedných osôb,
m)	poskytuje konzultácie v oblasti ochrany osobných údajov,
n)	v rozsahu svojej pôsobnosti vydáva záväzné stanoviská,
o)	vykonáva skúšky zodpovedných osôb a vydáva potvrdenia o ich absolvovaní, 
p)	metodicky usmerňuje prevádzkovateľov a sprostredkovateľov pri spracúvaní osobných údajov,
q)	podieľa sa na príprave všeobecne záväzných právnych predpisov v oblasti ochrany osobných údajov,
r)	vyjadruje sa k návrhom zákonov a k návrhom ostatných všeobecne záväzných právnych predpisov, v ktorých sa upravuje spracúvanie osobných údajov,
s)	v rozsahu svojej pôsobnosti vydáva všeobecne záväzné právne predpisy,
t)	predkladá Národnej rade Slovenskej republiky správu o stave ochrany osobných údajov najmenej raz za dva roky. 
 
(2) Úrad v rozsahu vymedzenom týmto zákonom plní úlohy ústredného orgánu štátnej správy.

(3) Okrem odseku 1 a 2 úrad ďalej 
a)	plní oznamovaciu povinnosť voči Európskej komisii v oblasti ochrany osobných údajov,
b)	prijíma opatrenia na vykonanie rozhodnutí Európskej komisie vydaných v oblasti ochrany osobných údajov, a
c)	spolupracuje pri výkone dozoru nad ochranou osobných údajov s obdobnými orgánmi dozoru v zahraničí.

(4) Ak úrad zistí skutočnosti nasvedčujúce tomu, že zákon, iný všeobecne záväzný právny predpis alebo prevádzkovateľom vydaný vnútorný predpis porušuje základné práva a slobody fyzických osôb pri spracúvaní ich osobných údajov, predseda úradu môže podať podnet na jeho zmenu alebo zrušenie príslušnému orgánu. 

	(5) Predmetom dozoru nad ochranou osobných údajov nie sú spory zo zmluvných alebo predzmluvných vzťahov prevádzkovateľov alebo sprostredkovateľov a dotknutých osôb alebo iných fyzických osôb alebo právnických osôb, na ktorých prejednávanie a rozhodovanie sú príslušné súdy alebo iné orgány podľa osobitných predpisov. 

(6) Ak osobné údaje spracúvajú spravodajské služby, dozor nad ochranou osobných údajov vykonáva Národná rada Slovenskej republiky podľa osobitného zákona.)

Organizácia úradu

§ 46 

Predseda úradu 

	(1) Na čele úradu je predseda, ktorého volí a odvoláva Národná rada Slovenskej republiky na návrh vlády Slovenskej republiky.

(2) Funkčné obdobie predsedu úradu je päť rokov a možno ho zvoliť najviac na dve po sebe nasledujúce obdobia. Predseda úradu ostáva vo funkcii aj po uplynutí funkčného obdobia, kým Národná rada Slovenskej republiky nezvolí nového predsedu. 
 
	(3) Za predsedu úradu možno zvoliť občana Slovenskej republiky, ktorý má spôsobilosť na právne úkony v plnom rozsahu, je voliteľný za poslanca do Národnej rady Slovenskej republiky, je bezúhonný, má vysokoškolské vzdelanie a odbornú prax najmä v oblasti informatiky alebo práva. 
 
	(4) Za bezúhonného na účely tohto zákona sa nepovažuje ten, kto bol právoplatne odsúdený za úmyselný trestný čin, ak odsúdenie nebolo zahladené. Bezúhonnosť sa preukazuje doloženým výpisom z registra trestov nie starším ako tri mesiace. 
 
	(5) Funkcia predsedu úradu je nezlučiteľná s funkciou poslanca, sudcu, prokurátora alebo s výkonom funkcie v inom orgáne verejnej moci, s členstvom v politickej strane alebo politického hnutia, so štátnozamestnaneckým vzťahom, s pracovným vzťahom alebo s obdobným pracovným vzťahom, s podnikateľskou činnosťou, s členstvom v riadiacom alebo kontrolnom orgáne právnickej osoby, ktorá vykonáva podnikateľskú činnosť, ani s inou zárobkovou činnosťou okrem správy vlastného majetku, vedeckej, pedagogickej, literárnej alebo umeleckej činnosti. 

	(6) Predseda úradu je povinný zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedel počas výkonu svojej funkcie, a to aj po skončení výkonu svojej funkcie. Od povinnosti mlčanlivosti môže predsedu úradu pre konkrétny prípad oslobodiť Národná rada Slovenskej republiky. 

(7) Predseda úradu je počas výkonu svojej funkcie oprávnený oboznamovať sa s utajovanými skutočnosťami za podmienok ustanovených osobitným zákonom.20) 

	(8) Za svoju činnosť predseda úradu zodpovedá Národnej rade Slovenskej republiky. 
 
	(9) Predseda úradu má počas výkonu svojej funkcie postavenie vedúceho služobného úradu podľa osobitného zákona. 

	(10) Pred uplynutím funkčného obdobia výkon funkcie predsedu úradu zaniká 
a)	vzdaním sa funkcie, 
b)	stratou voliteľnosti za poslanca Národnej rady Slovenskej republiky, 
c)	nadobudnutím právoplatnosti rozsudku, ktorým bol odsúdený za úmyselný trestný čin alebo ktorým bol odsúdený za trestný čin a súd nerozhodol v jeho prípade o podmienečnom odložení výkonu trestu odňatia slobody, 
d)	výkonom činnosti, ktorá je nezlučiteľná s výkonom jeho funkcie, alebo 
e)	smrťou. 
 
	(11) Predseda úradu môže byť z funkcie odvolaný, ak
a)	mu zdravotný stav dlhodobo, najmenej však počas jedného roka, nedovoľuje riadne vykonávať povinnosti vyplývajúce z jeho funkcie, 
b)	porušil povinnosť zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedel v súvislosti s výkonom svojej funkcie. 
 
§ 47 

Podpredseda úradu 

	(1) Predsedu úradu zastupuje podpredseda úradu, ktorého vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu. 
 
	(2) Funkčné obdobie podpredsedu úradu je päť rokov a možno ho zvoliť najviac na dve po sebe nasledujúce obdobia. Podpredseda úradu ostáva vo funkcii aj po uplynutí funkčného obdobia, kým vláda Slovenskej republiky nevymenuje nového podpredsedu.

	(3) Na výkon funkcie podpredsedu úradu sa ustanovenia § 46 ods. 3 až 5, 7, 10 a 11 vzťahujú primerane. 
 
§ 48

Vrchný inšpektor a inšpektor úradu

	(1) Kontrolu spracúvania osobných údajov podľa tohto zákona vykonáva vrchný inšpektor a inšpektor úradu. 

	(2) Inšpektorov vymenúva a odvoláva predseda úradu. Za inšpektora možno vymenovať občana, ktorý má spôsobilosť na právne úkony v plnom rozsahu, je voliteľný za poslanca Národnej rady Slovenskej republiky, je bezúhonný, má vysokoškolské vzdelanie a najmenej trojročnú odbornú prax v oblasti informatiky alebo práva a dosiahol vek najmenej 30 rokov.

	(3) Na čele inšpektorov je vrchný inšpektor, ktorého vymenúva a odvoláva vláda Slovenskej republiky na návrh predsedu úradu. Za vrchného inšpektora možno vymenovať občana, ktorý má spôsobilosť na právne úkony v plnom rozsahu, je voliteľný za poslanca Národnej rady Slovenskej republiky, je bezúhonný, má vysokoškolské vzdelanie a najmenej päťročnú odbornú prax v oblasti informatiky alebo práva a dosiahol vek najmenej 35 rokov.

	(4) Funkčné obdobie vrchného inšpektora je päť rokov a do funkcie ho možno vymenovať najviac na dve po sebe nasledujúce obdobia. Vrchný inšpektor ostáva vo funkcii aj po uplynutí funkčného obdobia, kým vláda Slovenskej republiky nevymenuje nového vrchného inšpektora.

	(5) Na výkon funkcie vrchného inšpektora sa ustanovenia § 46 ods. 4, 5 a 7 vzťahujú primerane.

(6) Vrchného inšpektora možno z funkcie odvolať, ak
a)	mu zdravotný stav dlhodobo, najmenej však počas šiestich mesiacov nedovoľuje riadne vykonávať povinnosti vyplývajúce z jeho funkcie,
b)	porušil povinnosť zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedel v súvislosti s výkonom svojej funkcie,
c)	opakovane neplnení úlohy ustanovené v § 45 ods. 1 písm. d), f) a g) alebo porušuje pracovnú disciplínu a ak v posledných šiestich mesiacoch predseda úradu vrchného inšpektora opakovane písomne vyzval na odstránenie nedostatkov a vrchný inšpektor ich v primeranej lehote neodstránil, alebo 
d)	hrubo zanedbal povinnosti uložené týmto zákonom, ak nepreukáže, že zavinenie nespôsobil alebo mu nemohol zabrániť, alebo pre hrubé porušenie pracovnej disciplíny.

§ 49

Podpredseda úradu, vrchný inšpektor, inšpektor úradu a zamestnanec úradu sú povinní zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedeli počas plnenia úloh podľa tohto zákona, a to aj po skončení výkonu svojej funkcie, štátnozamestnaneckého pomeru alebo pracovného pomeru. Od povinnosti mlčanlivosti môže podpredsedu úradu, vrchného inšpektora, inšpektora a zamestnanca úradu pre konkrétny prípad oslobodiť predseda úradu. 

DRUHÁ HLAVA

KONTROLA

§ 50

Začatie kontroly

	(1) Kontrolu spracúvania osobných údajov podľa tohto zákona vykonáva vrchný inšpektor,  inšpektor úradu a členovia kontrolného orgánu, ktorí sú zamestnancami úradu (ďalej len „kontrolný orgán“). 

	(2) Kontrolný orgán vykoná kontrolu ako riadnu kontrolu na základe ročného plánu kontrol alebo ako mimoriadnu kontrolu na základe podozrenia z porušenia povinností pri spracúvaní osobných údajov ustanovených zákonom alebo v rámci konania podľa tretej hlavy. 

	(3) Inšpektor ako kontrolný orgán vykoná kontrolu na základe písomného poverenia vrchného inšpektora. Vrchný inšpektor ako kontrolný orgán vykonáva kontrolu na základe písomného poverenia predsedu úradu. Písomné poverenie na vykonanie kontroly obsahuje 
a)	identifikačné údaje úradu,
b)	identifikačné údaje kontrolovanej osoby,
c)	titul, meno a priezvisko kontrolného orgánu, 
d)	deň, miesto a čas kontroly,
e)	predmet kontroly,
f)	odtlačok pečiatky a podpis vrchného inšpektora, ak kontrolu vykoná inšpektor alebo predsedu úradu, ak kontrolu vykoná vrchný inšpektor.

(4) Kontrola je začatá dňom doručenia oznámenia o kontrole prevádzkovateľovi alebo sprostredkovateľovi (ďalej len „kontrolovaná osoba“). Ak by oznámenie pred začatím kontroly mohlo viesť k zmareniu účelu kontroly alebo podstatného sťaženia výkonu kontroly, oznámenie o kontrole možno vykonať pri začatí kontroly. Zásadná pripomienka: toto ustanovenie je v rozpore s § 53 písm. a)

§ 51

Pri výkone kontroly je kontrolný orgán povinný postupovať tak, aby neboli dotknuté práva a právom chránené záujmy kontrolovanej osoby. 

§ 52

Predpojatosť v kontrole

	(1) Kontrolný orgán, ktorý vie o skutočnostiach zakladajúcich pochybnosti o jeho nepredpojatosti, je povinný tieto skutočnosti písomne oznámiť úradu bez zbytočného odkladu.

	(2) Ak má kontrolovaná osoba pochybnosti o nepredpojatosti kontrolného orgánu so zreteľom na jeho vzťah k predmetu kontroly alebo ku kontrolovanej osobe, kontrolovaná osoba je oprávnená podať písomné námietky s uvedením dôvodu. Podanie námietok nemá odkladný účinok; kontrolný orgán je podľa prvej vety oprávnený vykonať pri kontrole len také úkony, ktoré nedovoľujú odklad. 

	(3) O námietkach zaujatosti a o oznámení predpojatosti rozhodne predseda úradu v lehote do piatich pracovných dní od ich uplatnenia a písomne oboznámi s rozhodnutím toho, kto námietku uplatnil. Proti rozhodnutiu predsedu úradu nie je možné podať opravný prostriedok. 

(4) Na rozhodovanie o nepredpojatosti sa nevzťahuje všeobecný predpis o správnom konaní.29) 

§ 53

Povinnosti kontrolného orgánu

	Kontrolný orgán je povinný
a)	vopred oznámiť kontrolovanej osobe predmet a účel kontroly, 
b)	pred začatím kontroly preukázať sa poverením na vykonanie kontroly a preukázať svoju príslušnosť k úradu,
c)	vypracovať protokol o vykonaní kontroly (ďalej len „protokol“) alebo záznam o kontrole,
d)	uvádzať do protokolu kontrolné zistenia,
e)	oboznámiť kontrolovanú osobu s kontrolnými zisteniami v protokole a vyžiadať si od nej v lehote určenej kontrolným orgánom písomné vyjadrenie ku kontrolným zisteniam uvedeným v protokole, 
f)	odovzdať kontrolovanej osobe jedno vyhotovenie protokolu alebo záznamu o kontrole alebo ich kópie,
g)	písomne potvrdiť kontrolovanej osobe prevzatie originálov alebo kópií dokladov, písomných dokumentov, kópií pamäťových médií a iných materiálov a zabezpečiť ich riadnu ochranu pred stratou, zničením, poškodením a zneužitím,
h)	preveriť opodstatnenosť námietok ku kontrolným zisteniam uvedeným v protokole a zohľadniť opodstatnenosť námietok v dodatku k protokolu a oboznámiť s ním kontrolovanú osobu,
i)	prerokovať protokol o výsledku kontroly s kontrolovanou osobou a vyhotoviť zápisnicu o jeho prerokovaní,
j)	zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedel pri výkone kontroly; o povinnosti mlčanlivosti môže kontrolný orgán pre konkrétny prípad oslobodiť predseda úradu. 

§ 54

Oprávnenia kontrolného orgánu

Kontrolný orgán je oprávnený 
a)	vstupovať na pozemky, do budov alebo miestností prevádzok a zariadení prevádzkovateľa a sprostredkovateľa,
b)	overovať totožnosť kontrolovanej osoby a fyzických osôb, ktoré v mene kontrolovanej osoby konajú,
c)	vyžadovať od kontrolovanej osoby, aby kontrolnému orgánu v určenej lehote poskytla doklady, iné písomnosti, vyjadrenia a informácie, údaje spracúvané na pamäťových médiách vrátane technických nosičov údajov, výpisy a zdrojové kódy programov, ak ich vlastní, a ďalšie materiály potrebné na výkon kontroly, originály alebo kópie a  v odôvodnených prípadoch im umožnili odoberať kópie aj mimo priestorov kontrolovanej osoby,
d)	požadovať v primeranej lehote od kontrolovanej osoby úplné a pravdivé ústne a písomné informácie, vyjadrenia a vysvetlenia ku kontrolovaným a súvisiacim skutočnostiam a  k zisteným nedostatkom, 
e)	vstupovať do informačných systémov do úrovne správcu systému v rozsahu potrebnom na vykonanie kontroly,
f)	informovať predsedu úradu a vrchného inšpektora o priebehu vykonávanej kontroly,
g)	vyžadovať súčinnosť kontrolovanej osoby. 
 
§ 55

Povinnosti kontrolovanej osoby

	Kontrolovaná osoba je povinná
a)	vytvoriť kontrolnému orgánu primerané podmienky na výkon kontroly a spracovanie kontrolných zistení,
b)	poskytovať kontrolnému orgánu potrebnú súčinnosť v súlade s oprávneniami podľa § 54  a zdržať sa konania, ktoré by mohlo mariť výkon kontroly,
c)	dostaviť sa predvolanie úradu s cieľom podať vysvetlenia v určenom čase na určené miesto,
d)	dostaviť sa v určenej lehote na oboznámenie sa s obsahom protokolu na miesto určené kontrolným orgánom,
e)	po oboznámení sa s kontrolnými zisteniami podpísať protokol. 

§ 56

Oprávnenia kontrolovanej osoby

	Kontrolovaná osoba je oprávnená 
a)	oboznamovať sa s kontrolnými zisteniami,  
b)	počas výkonu kontroly písomne sa vyjadrovať ku kontrolným zisteniam uvedeným v protokole v lehote určenej kontrolným orgánom,
c)	vyžadovať od kontrolného orgánu preukázanie skutočností podľa § 53 písm. b),
d)	vyžadovať od kontrolného orgánu potvrdenie o odobratí originálov alebo kópií dokumentov podľa § 54 písm. c),
e)	vyžadovať, aby výkonom kontroly neboli dotknuté jej práva a právom chránené záujmy; týmto nie sú dotknuté ustanovenia § 54 a § 55. 

§ 57

Prizvané osoby

(1) Ak je to odôvodnené osobitnou povahou kontroly, môže kontrolný orgán prizvať na vykonanie kontroly iné fyzické osoby. 

	(2) Prizvaná osoba je povinná zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedela počas výkonu kontroly, a to aj po jej ukončení. Od povinnosti mlčanlivosti môže prizvanú osobu oslobodiť predseda úradu.

(3) Prizvaná osoba nemôže vykonávať úlohy podľa tohto zákona, o ktorej so zreteľom na jej vzťah k predmetu veci možno mať pochybnosti o jej nezaujatosti. Prizvaná osoba, ktorá sama vie o skutočnostiach zakladajúcich pochybnosti o jej nepredpojatosti, oznámi tieto skutočnosti bez zbytočného odkladu úradu. 
 
	(4) Kontrolovaná osoba môže písomne vzniesť preukázateľné námietky o zaujatosti prizvanej osoby. Prizvaná osoba môže do rozhodnutia o námietkach zaujatosti vykonať pri kontrole len úkony, ktoré nedovoľujú odklad.
 
	(5) O námietkach zaujatosti a o oznámení predpojatosti rozhodne predseda úradu v lehote do troch pracovných dní od ich uplatnenia. Proti rozhodnutiu predsedu úradu nie je možné podať opravný prostriedok.

(6) Na rozhodovanie o nepredpojatosti sa nevzťahuje všeobecný predpis o správnom konaní.29)

§ 58

Ukončenie kontroly

	(1) Výsledkom kontroly je protokol alebo záznam o kontrole. 

(2) Ak boli kontrolou zistené nedostatky, kontrolný orgán vypracuje protokol, ktorý obsahuje
a)	identifikačné údaje úradu,
b)	identifikačné údaje kontrolovanej osoby,
c)	miesto a čas vykonania kontroly,
d)	predmet kontroly,
e)	preukázané kontrolné zistenia, 
f)	vyjadrenia kontrolovanej osoby ku kontrolným zisteniam, 
g)	titul, meno, priezvisko a funkciu alebo pracovné zaradenie kontrolného orgánu, ktorý kontrolu vykonal,
h)	dátum vypracovania protokolu, 
i)	pečiatku, vlastnoručné podpisy kontrolného orgánu a zodpovedných zamestnancov kontrolovanej osoby, ktorí boli s obsahom protokolu oboznámení, a
j)	dátum oboznámenia sa s protokolom a určenie lehoty na podanie námietok ku kontrolným zisteniam; ak sa kontrolovaná osoba odmietne oboznámiť s obsahom protokolu, vyjadriť sa ku kontrolným zisteniam alebo podpísať protokol, uvedie sa táto skutočnosť v protokole, 
k)	písomné potvrdenie o prevzatí protokolu kontrolovanou osobou. 

(3) Protokol podľa odseku 2 môže obsahovať prílohy; prílohy tvoria neoddeliteľnú súčasť protokolu. 

(4) Kontrolovaná osoba je po oboznámení sa s kontrolnými zisteniami uvádzanými v protokole oprávnená podať písomné námietky v lehote siedmych dní odo dňa podpísania protokolu; deň odmietnutia podpísať protokol podľa odseku 2 písm. j) za bodkočiarkou sa považuje za deň podpísania protokolu. Na neskôr predložené námietky úrad neprihliada. 

(5) Ak sú proti kontrolným zisteniam podané námietky podľa odseku 2, alebo vyšli najavo nové skutočnosti, ktoré v čase oboznamovania s protokolom neboli známe, kontrolný orgán posúdi ich obsah z hľadiska ich opodstatnenosti v lehote 15 dní odo dňa doručenia námietok a vypracuje k nim dodatok k protokolu, ktorý je jeho neoddeliteľnou súčasťou; ak kontrolný orgán neakceptuje námietky kontrolovaného subjektu, je povinný to v dodatku zdôvodniť Pri jeho vypracovaní sa postupuje primerane podľa odseku 3.

(6) Kontrolný orgán písomne informuje kontrolovanú osobu o výsledku námietok v lehote podľa odseku 4. 
 
(7) Ak sa kontrolou nezistí porušenie povinností ustanovených zákonom, kontrolný orgán vypracuje záznam o kontrole. Pri jeho vypracovaní sa postupuje primerane podľa odseku 2. 

	(8) Kontrola je skončená dňom podpísania zápisnice o prerokovaní protokolu alebo dňom podpísania záznamu o kontrole podľa odseku 6. Ak kontrolovaná osoba odmietne podpísať zápisnicu o prerokovaní protokolu, kontrolný orgán vyhotoví v zápisnici záznam a kontrola je skončená dňom odmietnutia podpísania.

§ 59

	(1) Protokol sa nesprístupňuje podľa osobitného predpisu. 

(2) Na výkon kontroly sa nevzťahuje osobitný predpis o kontrole v štátnej správe ) a všeobecný predpis o správnom konaní.29) 

TRETIA HLAVA

KONANIE O OCHRANE OSOBNÝCH ÚDAJOV

§ 60

(1) Účelom konania o ochrane osobných údajov je zistiť, či postupom prevádzkovateľa alebo sprostredkovateľa došlo k porušeniu práv fyzických osôb pri spracúvaní ich osobných údajov a v prípade zistenia nedostatkov, uložiť opatrenia na nápravu, prípadne sankciu za porušenie tohto zákona. 

	(2) Konanie je neverejné. Týmto nie je dotknuté ustanovenie § 69. 

§ 61
 
Začatie konania

	(1) Konanie sa začína na návrh dotknutej osoby alebo osoby, ktorá tvrdí, že je priamo dotknutá na svojich právach ustanovených týmto zákonom (ďalej len „navrhovateľ“) alebo bez návrhu. 

(2) Návrh na začatie konania podľa odseku 1 musí obsahovať 
a)	meno, priezvisko, adresu trvalého pobytu a podpis navrhovateľa,
b)	označenie toho, proti komu návrh smeruje; názov alebo meno a priezvisko, sídlo alebo trvalý pobyt, prípadne právnu formu a identifikačné číslo,
c)	predmet návrhu s označením, ktoré práva sa podľa tvrdenia navrhovateľa pri spracúvaní osobných údajov porušili, 
d)	dôkazy na podporu tvrdení uvedených v návrhu,
e)	kópiu listiny preukazujúcej uplatnenie práva podľa § 27, ak sa takéto právo mohlo uplatniť alebo uvedenie dôvodov hodných osobitného zreteľa. 

(3) Úrad môže návrh na začatie konania podľa odseku 1 odložiť a konanie zastaviť, ak
a)	návrh je zjavne neopodstatnený,
b)	vec, ktorej sa návrh týka, prejednáva orgán činný v trestnom konaní, 
c)	navrhovateľ neposkytol úradu na jeho žiadosť potrebnú súčinnosť, pričom bez jeho aktívnej účasti nie je možné vec vybaviť; navrhovateľ musí byť o možnosti odloženia jeho návrhu poučený,
d)	od udalosti, ktorých sa návrh týka, uplynul v deň jeho doručenia čas dlhší ako tri roky.

(4) V odôvodnených prípadoch, v ktorých by mohlo dôjsť k porušeniu práv a právom chránených záujmov dotknutej osoby, môže úrad na žiadosť navrhovateľa utajiť jeho totožnosť. 

(5) Ak návrh na začatie konania doručí úradu iná osoba ako navrhovateľ, návrh sa považuje za podnet na začatie konania bez návrhu (ďalej len „podnet“). 

a)		(6) Úrad môže podnet podľa odseku 5 odložiť a konanie zastaviť, ak podnet je zjavne neopodstatnený,
b)	vec, ktorej sa podnet týka, prejednáva orgán činný v trestnom konaní,
c)	od udalosti, ktorých sa podnet týka, uplynul v deň jeho doručenia čas dlhší ako tri roky. 

(7) Ak úrad podnet neodloží podľa odseku 6, začne konanie z vlastnej iniciatívy. Úrad začne konanie z vlastnej iniciatívy aj na základe výsledkov kontroly podľa § 58 ods. 5, ktorou boli zistené nedostatky. 

(8) Fyzická osoba alebo právnická osoba, ktorá podala podnet, nie je účastníkom konania. O spôsobe vybavenia jej podnetu podľa prvej vety ju úrad bezodkladne informuje. 

§ 62
 
Lehoty

	(1) Úrad vybaví návrh navrhovateľa v lehote do 60 dní odo dňa začatia konania. V odôvodnených prípadoch úrad túto lehotu primerane predĺži, najviac však o šesť mesiacov. O predĺžení lehoty úrad písomne informuje účastníkov konania. 

	(2) Úrad posúdi podnet fyzickej osoby alebo právnickej osoby podľa § 61 ods. 5 v lehote 15 dní odo dňa jeho doručenia. Ak úrad nepostupuje podľa § 61 ods. 6, podnet vybaví v lehote podľa odseku 1.

	(3) Ak je počas konania začatého na základe návrhu navrhovateľa alebo na základe vlastnej iniciatívy podľa § 61 ods. 7 potrebné vykonať kontrolu, lehota na vybavenie návrhu podľa odseku 1 neplynie odo dňa začatia kontroly až do dňa skončenia kontroly. Výsledok kontroly je podkladom pre rozhodnutie vo veci. 
 
§ 63

Rozhodnutie

	(1) Ak úrad zistí porušenie práv dotknutej osoby alebo nesplnenie povinností pri spracúvaní osobných údajov ustanovených zákonom, uloží rozhodnutím prevádzkovateľovi alebo sprostredkovateľovi, aby v určenej lehote vykonal opatrenia na odstránenie zistených nedostatkov a príčin ich vzniku; inak konanie o ochrane osobných údajov zastaví.

	(2) Okrem opatrení podľa odseku 1, úrad je oprávnený ďalej uložiť opatrenia prevádzkovateľovi alebo sprostredkovateľovi, ktorými
a)	zakáže spracúvanie tých osobných údajov, ktorých spracúvanie je v rozpore s ustanoveniami tohto zákona,
b)	zakáže spracúvanie, ktoré je v rozpore s ustanoveniami tohto zákona,
c)	nariadi odstránenie alebo likvidáciu osobných údajov v určenej lehote, ak sú alebo boli neoprávnene spracúvané,
d)	uloží povinnosť prijať technické, organizačné a personálne opatrenia zodpovedajúce spôsobu spracúvania,
e)	uloží povinnosť zabezpečiť vypracovanie alebo doplnenie dokumentácie alebo bezpečnostného projektu v súlade s týmto zákonom,
f)	uloží prevádzkovateľovi povinnosť vypovedať písomnú zmluvu so sprostredkovateľom v určenej lehote.

(3) Prevádzkovateľ alebo sprostredkovateľ je povinný informovať úrad o splnení uložených opatrení v úradom určenej lehote. 

§ 64

Odvolanie

	(1) Proti rozhodnutiu úradu podľa § 63 možno podať písomne odvolanie do siedmich dní odo dňa doručenia rozhodnutia. Odvolanie proti takémuto rozhodnutiu má odkladný účinok. 

(2) O odvolaní podanom podľa odseku 1 rozhodne predseda úradu do 60 dní odo dňa ich doručenia.

(3) Odvolanie proti predbežnému opatreniu možno podať písomne v lehote troch dní odo dňa doručenia predbežného opatrenia. 

(4) O odvolaní podanom podľa odseku 3 rozhodne predseda úradu do 15 dní odo dňa ich doručenia.

ŠTVRTÁ HLAVA

SANKCIE ZA PORUŠENIE ZÁKONA

§ 65

	Sankciami za porušenie tohto zákona sú
a)	pokuta,
b)	poriadková pokuta,
c)	zverejnenie porušenia zákona. 

§ 66

Pokuty

	(1) Úrad môže uložiť pokutu od 1 650 eur do 350 000 eur prevádzkovateľovi, ktorý
a)	nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti základných zásad spracúvania osobných údajov ustanovené v § 5, § 6 a § 7, 
b)	pri výbere a poverovaní sprostredkovateľa nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti podľa § 8 ods. 1 až 5 a ods. 7 druhá veta pred bodkočiarkou, alebo
c)	nesplnil povinnosť osobitnej registrácie informačného systému podľa § 36, § 37, § 38 ods. 4 a 5 druhá veta, alebo nesplnil niektorú z povinností alebo niektoré povinnosti podľa § 39.

(2) Úrad môže uložiť pokutu od 330 eur 33 000 eur prevádzkovateľovi, ktorý 
a)	nesplnil povinnosť registrácie informačného systému podľa § 34 a §35 ods. 7 prvá veta, alebo nesplnil niektorú z povinností alebo niektoré povinnosti podľa § 39, alebo
b)	povinnosť vedenia evidencie informačného systému podľa § 42, alebo nesprístupnil alebo nezverejnil údaje z evidencie podľa § 43. 

(3) Úrad môže uložiť pokutu od 1 650 eur do 350 000 eur prevádzkovateľovi alebo sprostredkovateľovi, ktorý 
a)	pri spracúvaní osobných údajov nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti základných zásad spracúvania osobných údajov ustanovené v  § 9, § 10, § 11, § 12, a § 15, alebo
b)	pri spracúvaní osobitnej kategórie osobných údajov nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti ustanovené v § 13 a § 14, alebo
c)	pri spracúvaní osobných nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti bezpečnosti spracúvania osobných údajov ustanovené v § 19 a 20.

(4) Úrad môže uložiť pokutu od 1 650 eur do 165 000 eur prevádzkovateľovi alebo sprostredkovateľovi, ktorý 
a)	nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti likvidácie osobných údajov ustanovené v § 17,
b)	pri spracúvaní osobných nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti upravujúce poučenie oprávnených osôb podľa § 21,  
c)	pri spracúvaní osobných nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti dohľadu nad ochranou osobných údajov podľa § 23 až 25, alebo
d)	vykonal prenos osobných údajov do tretích krajín v rozpore s § 30, alebo nesplnil alebo porušil niektorú z podmienok alebo niektoré podmienky ustanovené v § 30 a § 31 ods. 2, 3 a 4.

	(5) Úrad môže uložiť pokutu od 330 eur 33 000 eur prevádzkovateľovi alebo sprostredkovateľovi, ktorý 
a)	nezabezpečil správnosť a aktuálnosť osobných údajov podľa § 16 ods. 2,
b)	neoznámil zistené nedostatky tretím stranám podľa § 18 ods. 1, alebo nevie pri kontrole preukázať úradu, že upustenie od oznámenia podľa § 18 bolo dôvodné, alebo prijal oznámenie ako tretia strana podľa § 18 ods. 1 a nevykonal opatrenia v rozsahu a spôsobom podľa § 18 ods. 2, ,
c)	nesplnil oprávnené požiadavky dotknutej osoby alebo pri ich vybavovaní nepostupoval v súlade s týmto zákonom, alebo neposkytol dotknutej osobe informácie v zákonom stanovenej lehote, alebo neinformoval dotknutú osobu spôsobom, ktorý ustanovuje zákon podľa § 27 a § 28,
d)	nevykonal oznámenie o obmedzení práv dotknutej osoby podľa § 29.

(6) Úrad môže uložiť pokutu od 1 650 eur do 165 000 eur sprostredkovateľovi, ktorý 
a)	pri spracúvaní osobných údajov nepostupoval podľa základných zásad spracúvania osobných údajov ustanovených v § 5 ods. 1, § 6 ods. 2 písm. c) až i), § 6 ods. 4, alebo
b)	nesplnil alebo porušil niektorú z povinností alebo niektoré povinnosti ustanovené v § 8 ods. 3, 4, 6 až 8.

(7) Úrad môže uložiť pokutu do od 150 eur do 3 500 eur tomu, kto
a)	poskytne osobné údaje v rozpore s § 12 ods. 1; to neplatí pre prevádzkovateľa a sprostredkovateľa,
b)	poskytne nepravdivé osobné údaje  podľa § 16 ods. 1,
c)	nepostupoval v súlade s technickými, organizačnými alebo personálnymi opatreniami prijatými prevádzkovateľom alebo sprostredkovateľom podľa § 19 a 20,
d)	ako oprávnená osoba poruší niektorú zo svojich povinností uložených v poučení podľa § 21,
e)	poruší povinnosť mlčanlivosti o osobných údajoch  podľa § 22, 
f)	ako zodpovedná osoba neplní povinnosti podľa § 26, alebo
g)	neposkytol úradu požadovanú súčinnosť podľa tohto zákona. 
 POZN.: Ide o sprísnenie oproti súčasnému stavu, najmä pokiaľ ide o rozsah možnosti udeľovania pokút fyzickým osobám; navrhujeme zachovať „status quo“.
 
§ 67

Poriadkové pokuty

	Úrad môže uložiť prevádzkovateľovi alebo sprostredkovateľovi poriadkovú pokutu
a)	do 1 500 eur, ak nezabezpečí primerané podmienky na výkon kontroly podľa § 55 písm. a),
b)	do 15 000 eur ak marí výkon kontroly požadovaný podľa § 55 písm. b), 
c)	do 30 000 eur, ak oznam určený na zverejnenie podľa § 69 v hromadných informačných prostriedkoch nezverejnil vôbec, alebo nezverejnil včas, alebo nezverejnil v určenej forme alebo v určenom hromadnom informačnom prostriedku, alebo nedodržal určený obsah tohto oznamu, a to opakovane až do splnenia povinnosti,
d)	do 60 000 eur, ak neposkytol úradu súčinnosť podľa tohto zákona alebo nevykonal opatrenia uložení v rozhodnutí podľa § 63 ods. 1, 2 alebo úrad v určenej lehote včas neinformoval podľa § 63 ods. 3. 
 
§ 68

Spoločné ustanovenia

(1) Pokutu a poriadkovú pokutu môže úrad uložiť opakovane, ak povinnosť nebola splnená v určenej lehote.

(2) Pokutu podľa § 66 možno uložiť do jedného roka odo dňa, keď úrad porušenie povinnosti zistil, najneskôr však do troch rokov odo dňa, keď k porušeniu povinnosti došlo.

	(3) Pokutu podľa § 67 možno uložiť do jedného mesiaca odo dňa, keď k porušeniu povinnosti došlo.

(4) Pri ukladaní pokuty a určení jej výšky úrad prihliada najmä na závažnosť, čas trvania a následky protiprávneho konania, opakovanie takéhoto konania a mieru ohrozenia súkromného a rodinného života a počet dotknutých osôb. 
 
	(5) V prípade zistenia nesplnenia alebo porušenia viacerých povinností podľa tohto zákona, úrad môže uložiť súhrnnú pokutu. Ak sa tá istá osoba dopustí toho istého porušenia tohto zákona do dvoch rokov od právoplatnosti rozhodnutia, môže jej úrad uložiť pokutu až do výšky dvojnásobku sadzby. Pripomienka: prísne

	(6) Proti rozhodnutiu o uložení pokuty možno podať odvolanie do 15 dní odo dňa jeho doručenia. O odvolaní rozhodne predseda úradu do 60 dní odo dňa jeho doručenia.
 
	(7) V odôvodených prípadoch úrad môže rozhodnutím povoliť odklad platenia pokuty alebo poriadkovej pokuty, alebo povoliť platenie pokuty alebo poriadkovej pokuty v splátkach. 

	(8) Výnosy z pokút sú príjmom štátneho rozpočtu.
 
§ 69

Zverejnenie porušenia zákona

	(1) Ak úrad zistí porušenie povinností ustanovených týmto zákonom, môže rozhodnutím zverejniť obchodné meno alebo názov, sídlo alebo trvalý pobyt, identifikačné číslo, ak ho má pridelené a právnu formu toho, kto sa dopustil protiprávneho konania a
a)	výrok a odôvodnenie vykonateľného opatrenia alebo ich časti podľa § 63,
b)	výrok odôvodnenie vykonateľného rozhodnutia alebo ich časti podľa § 66 alebo § 67, alebo
c)	charakteristiku skutkového stavu porušenia ochrany osobných údajov.
 
	(2) Úrad môže uložiť prevádzkovateľovi alebo sprostredkovateľovi povinnosť zverejniť skutočnosti v rozsahu podľa odseku 1 písm. c) v hromadných informačných prostriedkoch.
 
	(3) Prevádzkovateľ alebo sprostredkovateľ je povinný splniť povinnosť uloženú úradom podľa odseku 2. Štatutárny orgán prevádzkovateľa je povinný zabezpečiť zverejnenie oznamu v hromadných informačných prostriedkoch v rozsahu podľa odseku 1 písm. c) na vlastné náklady prevádzkovateľa; obsah, formu, hromadný informačný prostriedok a najneskorší termín zverejnenia oznamu určí úrad.
 
	(4) Osobné údaje uvedené vo výroku alebo odôvodnení vykonateľného opatrenia alebo rozhodnutia podľa odseku 1 písm. a) a b) sa nezverejňujú.

ŠTVRTÁ ČASŤ

SPOLOČNÉ, PRECHODNÉ A ZÁVEREČNÉ USTANOVENIA

Spoločné ustanovenia

§ 70

Ak v § 30 až 40 a § 50 až 69 nie je ustanovené inak, na konanie podľa tohto zákona sa vzťahuje všeobecný predpis o správnom konaní.29) 

§ 71

Ustanoveniami tohto zákona nie je dotknuté právo na súdnu ochranu.) 

§ 72

Každý je povinný umožniť úradu vykonať dozor nad dodržiavaním povinností podľa tohto zákona a rozhodnutí vydaných na jeho základe. Týmto nie je dotknuté ustanovenie § 45 ods. 6.

§ 73

Súčinnosť

(1) Každý je povinný poskytnúť úradu potrebnú súčinnosť pri plnení jeho úloh podľa tohto zákona.
 
(2) Prevádzkovateľ a sprostredkovateľ sú povinní strpieť všetky úkony úradu smerujúce k zisteniu všetkých okolností potrebných na objektívne posúdenie veci.

§ 74

	Úrad prostredníctvom svojho webového sídla zverejňuje správu o stave ochrany osobných údajov po jej prerokovaní v Národnej rade Slovenskej republiky. 

Prechodné ustanovenia

§ 75

(1) Úrad na ochranu osobných údajov Slovenskej republiky zriadený podľa doterajšieho zákona je Úradom na ochranu osobných údajov Slovenskej republiky podľa tohto zákona. 

(2) Predseda úradu zvolený do funkcie podľa doterajšieho zákona je predsedom úradu podľa tohto zákona; týmto nie je dotknuté plynutie jeho funkčného obdobia. 

	(3) Podpredseda úradu vymenovaný do funkcie podľa doterajších predpisov je podpredsedom úradu podľa tohto zákona; týmto nie je dotknuté plynutie jeho funkčného obdobia. 

	(4) Vrchný inšpektor úradu vymenovaný do funkcie podľa doterajších predpisov je vrchným inšpektorom úradu podľa tohto zákona; týmto nie je dotknuté plynutie jeho funkčného obdobia. 

	(5) Inšpektor úradu vymenovaný do funkcie podľa doterajších predpisov je inšpektorom úradu podľa tohto zákona. 

§ 76

(1) Prevádzkovateľ fungujúcich informačných systémov ich uvedie do súladu s týmto zákonom do troch mesiacov odo dňa jeho účinnosti. 
Zásadná pripomienka: navrhujeme toto prechodné obdobie predlžiť

	(2) Prevádzkovateľ je povinný zmluvný vzťah so sprostredkovateľom dať do súladu s týmto zákonom do jedného roka odo dňa účinnosti tohto zákona. 
Zásadná pripomienka: navrhujeme toto prechodné obdobie predlžiť, min. o ďalších 6 - 9 mesiacov.
Odôvodnenie: viď odôvodnenie k čl. V tohto návrhu zákona.

	(3) Prevádzkovateľ a sprostredkovateľ sú povinní vykonať poučenie oprávnených osôb v súlade s týmto zákonom do troch mesiacov odo dňa účinnosti tohto zákona. 
Zásadná pripomienka: navrhujeme toto prechodné obdobie predlžiť

	(4) Oznámenia o poverení zodpovednej osoby podľa doterajšieho zákona sa účinnosťou tohto zákona zrušujú. Prevádzkovateľ a sprostredkovateľ sú povinní písomne poveriť zodpovednú osobu a jej poverenie oznámiť úradu v súlade s týmto zákonom do jedného roka odo dňa účinnosti tohto zákona.  

	(5) Registrácie udelené podľa doterajšieho zákona sa účinnosťou tohto zákona zrušujú. Prevádzkovateľ, je povinný nanovo prihlásiť svoj informačný systém, ak to zákon vyžaduje, na registráciu v súlade s týmto zákonom do troch mesiacov odo dňa účinnosti tohto zákona. 
Zásadná pripomienka: navrhujeme toto prechodné obdobie predlžiť

	(6) Osobitné registrácie udelené podľa doterajšieho zákona sa účinnosťou tohto zákona zrušujú. Prevádzkovateľ je povinný nanovo prihlásiť svoj informačný systém, ak to zákon vyžaduje, na osobitný registráciu v súlade s týmto zákonom do troch mesiacov odo dňa účinnosti tohto zákona.

§ 77

	Konania začaté do účinnosti tohto zákona sa dokončia podľa doterajších predpisov. Právne účinky úkonov, ktoré v konaní nastali pred nadobudnutím účinnosti tohto zákona, zostávajú zachované.

§ 78

Záverečné ustanovenia

Týmto zákonom sa preberá právne záväzný akt Európskej únie uvedený v prílohe.

§ 79

Zrušovacie ustanovenia

	Zrušuje sa zákon č. 428/2002 Z. z. o ochrane osobných údajov v znení zákona č. 602/2003 Z. z., zákona č. 576/2004 Z. z., zákona č. 90/2005 Z. z. a zákona č. 583/2008 Z. z.

Čl. II

Zákon Národnej rady Slovenskej republiky č. 145/1995 Z.z. o správnych poplatkoch v znení zákona Národnej rady Slovenskej republiky č. 123/1996 Z.z., zákona Národnej rady Slovenskej republiky č. 224/1996 Z.z., zákona č. 70/1997 Z.z., zákona č. 1/1998 Z.z., zákona č. 232/1999 Z.z., zákona č. 3/2000 Z.z., zákona č. 142/2000 Z.z., zákona č. 211/2000 Z.z., zákona č. 468/2000 Z.z., zákona č. 553/2001 Z.z., zákona č. 96/2002 Z.z., zákona č. 118/2002 Z.z., zákona č. 215/2002 Z.z., zákona č. 237/2002 Z.z., zákona č. 418/2002 Z.z., zákona č. 457/2002 Z.z., zákona č. 465/2002 Z.z., zákona č. 477/2002 Z.z., zákona č. 480/2002 Z.z., zákona č. 190/2003 Z.z., zákona č. 217/2003 Z.z., zákona č. 245/2003 Z.z., zákona č. 450/2003 Z.z., zákona č. 469/2003 Z.z., zákona č. 583/2003 Z.z., zákona č. 5/2004 Z.z., zákona č. 199/2004 Z.z., zákona č. 204/2004 Z.z., zákona č. 347/2004 Z.z., zákona č. 382/2004 Z.z., zákona č. 434/2004 Z.z., zákona č. 533/2004 Z.z., zákona č. 541/2004 Z.z., zákona č. 572/2004 Z.z., zákona č. 578/2004 Z.z., zákona č. 581/2004 Z.z., zákona č. 633/2004 Z.z., zákona č. 653/2004 Z.z., zákona č. 656/2004 Z.z., zákona č. 725/2004 Z.z., zákona č. 5/2005 Z.z., zákona č. 8/2005 Z.z., zákona č. 15/2005 Z.z., zákona č. 93/2005 Z.z., zákona č. 171/2005 Z.z., zákona č. 308/2005 Z.z., zákona č. 331/2005 Z.z., zákona č. 341/2005 Z.z., zákona č. 342/2005 Z.z., zákona č. 473/2005 Z.z., zákona č. 491/2005 Z.z., zákona č. 538/2005 Z.z., zákona č. 558/2005 Z.z., zákona č. 572/2005 Z.z., zákona č. 573/2005 Z.z., zákona č. 610/2005 Z.z., zákona č. 14/2006 Z.z., zákona č. 15/2006 Z.z., zákona č. 24/2006 Z.z., zákona č. 117/2006 Z.z., zákona č. 124/2006 Z.z., zákona č. 126/2006 Z.z., zákona č. 224/2006 Z.z., zákona č. 342/2006 Z.z., zákona č. 672/2006 Z.z., zákona č. 693/2006 Z.z., zákona č. 21/2007 Z.z., zákona č. 43/2007 Z.z., zákona č. 95/2007 Z.z., zákona č. 193/2007 Z.z., zákona č. 220/2007 Z.z., zákona č. 279/2007 Z.z., zákona č. 295/2007 Z.z., zákona č. 309/2007 Z.z., zákona č. 342/2007 Z.z., zákona č. 343/2007 Z.z., zákona č. 344/2007 Z.z., zákona č. 355/2007 Z.z., zákona č. 358/2007 Z.z., zákona č. 359/2007 Z.z., zákona č. 460/2007 Z.z., zákona č. 517/2007 Z.z., zákona č. 537/2007 Z.z., zákona č. 548/2007 Z.z., zákona č. 571/2007 Z.z., zákona č. 577/2007 Z.z., zákona č. 647/2007 Z.z., zákona č. 661/2007 Z.z., zákona č. 92/2008 Z.z., zákona č. 112/2008 Z.z., zákona č. 167/2008 Z.z., zákona č. 214/2008 Z.z., zákona č. 264/2008 Z.z., zákona č. 405/2008 Z.z., zákona č. 408/2008 Z.z., zákona č. 451/2008 Z.z., zákona č. 465/2008 Z.z., zákona č. 495/2008 Z.z., zákona č. 514/2008 Z.z., zákona č. 8/2009 Z.z., zákona č. 45/2009 Z.z., zákona č. 188/2009 Z.z., zákona č. 191/2009 Z.z., zákona č. 274/2009 Z.z., zákona č. 292/2009 Z.z., zákona č. 304/2009 Z.z., zákona č. 305/2009 Z.z., zákona č. 307/2009 Z.z., zákona č. 465/2009 Z.z., zákona č. 478/2009 Z.z., zákona č. 513/2009 Z.z., zákona č. 568/2009 Z.z., zákona č. 570/2009 Z.z., zákona č. 594/2009 Z.z., zákona č. 67/2010 Z.z., zákona č. 92/2010 Z.z., zákona č. 136/2010 Z.z., zákona č. 144/2010 Z.z., zákona č. 514/2010 Z.z., zákona č. 556/2010 Z.z., zákona č. 39/2011 Z.z., zákona č. 119/2011 Z.z., zákona č. 200/2011 Z.z., zákona č. 223/2011 Z.z., zákona č. 254/2011 Z.z., zákona č. 256/2011 Z.z., zákona č. 258/2011 Z.z., zákona č. 324/2011 Z.z., zákona č. 342/2011 Z.z., zákona č. 363/2011 Z.z., zákona č. 381/2011 Z.z., zákona č. 392/2011 Z.z., zákona č. 404/2011 Z.z., zákona č. 405/2011 Z.z., zákona č. 409/2011 Z.z., zákona č. 519/2011 Z.z., zákona č. 547/2011 Z.z., zákona č. 49/2012 Z. z. a zákona č. 96/2012 Z. z. sa dopĺňa takto:

V prílohe k sadzobníku správnych poplatkov sa dopĺňa XXII časť, ktorá znie:

„OCHRANA OSOBNÝCH ÚDAJOV
Položka 271
a)	Podanie žiadosti o registráciu informačného systému 	................................	20,- eur
b)	Podanie žiadosti o osobitnú registráciu informačného systému	....................	50,- eur
c)	Podanie žiadosti o zmenu registrácie informačného systému	....................	20,- eur
d)	Podanie žiadosti o zmenu osobitnej registrácie informačného systému	........	50,- eur

Poznámka
Poplatky podľa tejto položky vyberá Úrad na ochranu osobných údajov Slovenskej republiky.“ 

Čl. III

Zákon Národnej rady Slovenskej republiky č. 523/2004 Z. z. o rozpočtových pravidlách verejnej správy a o zmene a doplnení niektorých zákonov v znení zákona č. zákona č. 747/2004 Z.z., zákona č. 171/2005 Z.z., zákona č. 266/2005 Z.z., zákona č. 534/2005 Z.z., zákona č. 584/2005 Z.z., zákona č. 659/2005 Z.z., zákona č. 275/2006 Z.z., zákona č. 527/2006 Z.z., zákona č. 678/2006 Z.z., zákona č. 199/2007 Z.z., zákona č. 323/2007 Z.z., zákona č. 653/2007 Z.z., zákona č. 198/2007 Z.z., zákona č. 323/2007 Z.z., zákona č. 653/2007 Z.z., zákona č. 165/2008 Z.z., zákona č. 465/2008 Z.z., zákona č. 383/2008 Z.z., zákona č. 192/2009 Z.z., zákona č. 390/2009 Z.z., zákona č. 492/2009 Z.z., zákona č. 57/2010 Z.z., zákona č. 403/2010 Z.z., zákona č. 468/2010 Z.z., zákona č. 223/2011 Z.z., zákona 512/2011 Z.z., zákona č. 69/2012 Z.z. a zákona č. 223/2012 Z.z. sa dopĺňa takto:

V § 9 ods. 1 sa za písmeno k) vkladá nové písmeno l), ktoré znie:
„l) Úrad na ochranu osobných údajov Slovenskej republiky,“

Doterajšie písmeno l) sa označuje ako písmeno m). 

Čl. IV

Zákon č. 400/2009 Z.z. o štátnej službe a o zmene a doplnení niektorých zákonov v znení zákona č. 151/2010 Z.z., zákona č. 500/2010 Z.z., zákona č. 505/2010 Z.z., zákona č. 547/2010 Z.z., zákona č. 33/2011 Z.z., zákona č. 48/2011 Z.z., zákona č. 220/2011 Z.z., zákona č. 257/2011 Z.z., zákona č. 308/2011 Z.z. a zákona č. 503/2011 Z.z. sa mení takto:

V § 6 ods. 5 sa vypúšťajú slová „okrem inšpektora Úradu na ochranu osobných údajov Slovenskej republiky“. 

Čl. V

Účinnosť

Tento zákon nadobúda účinnosť 1. januára 2013.
Zásadná pripomienka: Účinnosti tohto zákona navrhujeme posunúť na neskorší dátum.
Odôvodnenie:  Návrh zákona obsahuje inštitúty, ktoré sú oproti súčasnej právnej úprave odlišné, pričom na analýzu a prípravu súvisiacich procesov potrebných na ich aplikáciu je nevyhnutne potrebný dlhší čas ako jeden - dva mesiace. Zároveň, v rámci prechodných ustanovení sa definuje povinnosť prevádzkovateľa zosúladiť zmluvný vzťah so sprostredkovateľom do jedného roka od účinnosti, čo sa s ohľadom na veľký počet sprostredkovateľov a existujúcu úpravu práv a povinnosti sprostredkovateľov javí ako neprimerane krátka doba.