N á v r h 

 Z Á K O N
   z ............... 2011,

	 ktorým sa mení a dopĺňa zákon č. 428/2002 Z. z. o ochrane osobných údajov v znení neskorších predpisov.

Národná rada Slovenskej  republiky sa uzniesla na tomto zákone:

Čl. I

Zákon č. 428/2002  Z. z. o ochrane osobných údajov v znení zákona č. 602/2003 Z. z., zákona č. 576/2004 Z. z.,  zákona č. 90/2005 Z. z. a zákona č. 583/2008 Z. z. sa mení a dopĺňa takto:

1.	V § 1 ods. 1 písmeno a) znie:
„a) ochranu práv fyzických osôb pri spracúvaní údajov a informácií týkajúcich sa ich osoby a súkromia v súlade s právne záväznými aktmi Európskej únie1) a medzinárodnými zmluvami1a), ktorými je Slovenská republika viazaná (ďalej len „medzinárodná zmluva“),“. 
Poznámky pod čiarou k odkazom 1 a 1a znejú:
„1) Napríklad čl. 6 a 39 Zmluvy o Európskej únii v platnom znení a čl. 16 Zmluvy o fungovaní Európskej únie v platnom znení. 
1a) Napríklad Dohovor o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov (Oznámenie Ministerstva zahraničných vecí Slovenskej republiky č. 49/2001 Z. z.) a Dodatkový protokol k Dohovoru o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov týkajúci sa orgánov dozoru a cezhraničných tokov údajov (Oznámenie Ministerstva zahraničných vecí Slovenskej republiky č. 20/2005 Z. z.).“.

2.	V § 1 odsek 2 znie:
„(2) Ak ďalej nie je ustanovené inak, tento zákon sa vzťahuje na každého, kto 
a)	pripravuje spracúvanie osobných údajov, 
b)	spracúva osobné údaje alebo 
c)	poskytuje osobné údaje na spracúvanie.“.  

3.	V § 2 odsek 1 znie:
„(1) Ustanovenia § 5 ods. 5, 9 a 10, § 6 ods. 1 až 4, § 10 ods. 1 a 2, § 14, § 20 ods. 1 a ods. 4 písm. b), § 21, 31 a 32 sa nepoužijú na spracúvanie osobných údajov na vnútroštátnej úrovni potrebných na zabezpečenie verejného záujmu na základe zákona, ak takéto obmedzenie povinností a práv prevádzkovateľa je opatrením nevyhnutným na zaistenie 
a)	bezpečnosti Slovenskej republiky vrátane jej ústavného zriadenia,
b)	obrany Slovenskej republiky,
c)	verejného poriadku a bezpečnosti,
d)	predchádzania, zamedzovania, odhaľovania a dokumentovania trestnej činnosti a zisťovania jej páchateľov, vyšetrovania a stíhania páchateľov trestných činov,
e)	odhaľovania porušení etického kódexu v regulovaných povolaniach1b),
f)	významného hospodárskeho alebo finančného záujmu Slovenskej republiky alebo zmluvnej strany Dohody o založení Európskeho hospodárskeho priestoru vrátane menových, rozpočtových a daňových vecí,
g)	výkonu štátnej kontroly, dohľadu, dozoru alebo regulácie spojenej s uplatňovaním výkonu verejnej moci vo veciach uvedených v písmenách c), d), e) a f), 
h)	ochrany dotknutej osoby alebo práv a slobôd iných osôb.“.

Poznámka pod čiarou k odkazu 1b znie:
„1b) § 2 písm. b) zákona č. 293/2007 Z. z. o uznávaní odborných kvalifikácií v znení zákona č. 560/2008 Z. z.“.
Doterajší odkaz 1 sa označuje ako odkaz 1c.

4.	Za § 2a sa vkladá § 2b, ktorý znie:
„§ 2b
	Ochranu osobných údajov pri spracúvaní v informačných systémoch spravodajských služieb upravujú osobitné zákony1d).“.

„1d) Zákon Národnej rady Slovenskej republiky č. 46/1993 Z. z. o Slovenskej informačnej službe v znení neskorších predpisov, zákon Národnej rady Slovenskej republiky č. 198/1994 Z. z. o Vojenskom spravodajstve v znení neskorších predpisov.“.

5.	§ 3 vrátane nadpisu znie:
„§ 3
Osobné údaje

(1) Osobnými údajmi sú akékoľvek údaje alebo informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby, a to bez ohľadu na to, či túto fyzickú osobu identifikujú priamo alebo nepriamo.  
      (2) Fyzická osoba je identifikovaná, ak sú k dispozícii také údaje alebo informácie, ktoré vylučujú možnosť jej zámeny s inou fyzickou osobou. Fyzická osoba je identifikovateľná, ak sú k dispozícii také údaje alebo informácie, na základe ktorých nie je identifikovaná, ale ju možno identifikovať bez vynaloženia zvýšeného úsilia s pomocou ľahko dostupných prostriedkov alebo informácií, ktoré môžu byť na jej identifikáciu legálne využité.
	(3) Osobnými údajmi podľa odseku 1 sú napríklad všeobecne použiteľný identifikátor, údaje o totožnosti fyzickej osoby, kontaktné údaje, ako aj údaje o správaní alebo konaní fyzickej osoby, biometrické údaje, informácie o osobných vlastnostiach, pomeroch alebo o iných špecifických znakoch, ktoré charakterizujú alebo odhaľujú fyzickú, fyziologickú, psychickú, ekonomickú, kultúrnu alebo sociálnu identitu identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len „dotknutá osoba“).“.  

6.	V § 4 ods. 1 písmená b) a c) znejú:
„b) poskytovaním osobných údajov odovzdávanie osobných údajov tretej strane ako príjemcovi na spracúvanie,  
 c) sprístupňovaním osobných údajov oznámenie osobných údajov alebo umožnenie prístupu k nim príjemcovi, ktorý ich ďalej nespracúva,“. 

7.	V § 4 ods. 1 písm. g) sa slová „jeden alebo viac osobných údajov“ nahrádzajú slovami „osobné údaje alebo určená na ich zhromažďovanie“.

8.	V § 4 ods. 1 písmeno j) znie:
„j) cezhraničným tokom osobných údajov prenos osobných údajov mimo územia Slovenskej republiky a na územie Slovenskej republiky,“.

9.	V § 4 ods. 1 písmená o) a p) znejú:
„o) priestorom prístupným verejnosti priestor, ktorého povaha nevylučuje prítomnosť širokej verejnosti,  do ktorého možno voľne vstupovať a v ktorom sa možno voľne zdržiavať bez časového obmedzenia alebo vo vymedzenom čase, pričom iné obmedzenia, ak existujú a sú osobou splnené, nemajú vplyv na vstup a voľný pohyb osoby v tomto priestore, alebo je to priestor, ktorý takto označuje osobitný predpis, 
 p) treťou krajinou krajina, ktorá nie je členským štátom Európskej únie alebo zmluvnou stranou Dohody o založení Európskeho hospodárskeho priestoru,“.
10.	V § 4 odseky 2 až 8 znejú:

„(2) Prevádzkovateľom je každý, kto sám alebo spoločne s inými vymedzí účel, určí podmienky spracúvania osobných údajov a spracúva osobné údaje vo vlastnom mene. Ak účel, prípadne aj podmienky spracúvania osobných údajov ustanovuje zákon, prevádzkovateľom je ten, koho na plnenie účelu spracúvania zákon ustanovuje alebo kto spĺňa zákonom ustanovené podmienky. To platí aj vtedy, ak tak ustanovuje priamo vykonateľný právne záväzný akt Európskej únie, alebo medzinárodná zmluva.
(3) Sprostredkovateľom je každý, kto spracúva osobné údaje v mene a na zodpovednosť prevádzkovateľa a na svoju zodpovednosť v rozsahu písomnej zmluvy uzatvorenej s prevádzkovateľom a v súlade so zákonom.
(4) Oprávnenou osobou je každá fyzická osoba, ktorá dovŕšila vek najmenej 16 rokov, má spôsobilosť na právne úkony, prevádzkovateľ alebo sprostredkovateľ si ju vybral a poučil v súlade s týmto zákonom a vedie ju v registri svojich oprávnených osôb, ak tento zákon neustanovuje inak.
(5)  Dotknutou osobou je každá fyzická osoba, ktorej sa osobné údaje týkajú. 
(6) Zástupcom prevádzkovateľa je každý, kto na území Slovenskej republiky zastupuje prevádzkovateľa so sídlom alebo s trvalým pobytom v tretej krajine.  
(7) Treťou stranou je každý, kto nie je dotknutou osobou, prevádzkovateľom poskytujúcim osobné údaje, jeho sprostredkovateľom, ani oprávnenou osobou prevádzkovateľa alebo sprostredkovateľa. 
(8) Príjemcom je každý, komu sa údaje poskytnú alebo sprístupnia bez ohľadu na to, či ide o tretiu stranu alebo nie. Za príjemcu sa nepovažuje
a) 	dotknutá osoba,
b) 	prevádzkovateľ spracúvajúci osobné údaje, jeho sprostredkovateľ, ani oprávnená osoba prevádzkovateľa alebo sprostredkovateľa,
c) 	prevádzkovateľ vykonávajúci štátnu kontrolu, dohľad, dozor alebo reguláciu spojenú s 	uplatňovaním výkonu verejnej moci a
d) 	úrad.“.

11.	 Za § 4 sa vkladá § 4a, ktorý vrátane nadpisu znie:

 „§ 4a
Základné ustanovenia

      (1)  Spracúvať osobné údaje možno len postupmi podľa tohto zákona a len v jeho medziach. 
	(2)  Nikto nesmie spracúvať osobné údaje bez právneho dôvodu.
	(3)  Prevádzkovateľ smie spracúvať vo vlastnom mene osobné údaje v informačnom systéme, ak 
a)	je informačný systém registrovaný na úrade, alebo
b)	vedie evidenciu informačného systému, na ktorý sa nevzťahuje povinnosť registrácie.
	(4) Osobné údaje vymedzené v tomto zákone ako osobitné kategórie osobných údajov prevádzkovateľ smie spracúvať len pri dodržaní postupov a podmienok podľa § 8 a 9. 
	(5)  Každý prevádzkovateľ a sprostredkovateľ je povinný vypracovať bezpečnostnú smernicu.
	(6) Prevádzkovateľ smie spracúvať vo vlastnom mene osobitné kategórie osobných údajov v informačnom systéme prevádzkovanom v počítačovej sieti, ak má vypracovaný bezpečnostný projekt. 
      (7) Každý je povinný umožniť úradu vykonať dozor nad dodržiavaním povinností podľa tohto zákona a rozhodnutí vydaných na jeho základe s výnimkou spravodajských služieb. 
(8) Ak ďalej nie je ustanovené inak, ustanovenia tohto zákona o prevádzkovateľovi sa vzťahujú aj na sprostredkovateľa.
(9) Ustanovenia tohto zákona o prevádzkovateľovi sa vzťahujú aj na zástupcu prevádzkovateľa.“.

12.	§ 5 vrátane nadpisu znie:

„§ 5
Prevádzkovateľ
(1)	Spracúvať osobné údaje vo vlastnom mene smie len prevádzkovateľ na základe právneho dôvodu, ktorý sa na spracúvanie osobných údajov vzťahuje, spôsobom, ktorý sa neprieči dobrým mravom, a to len na ustanovený účel, alebo na účel, ktorý vymedzí sám alebo spoločne s inými. 
(2)	Pri spracúvaní osobných údajov je prevádzkovateľ povinný postupovať vo vzťahu k dotknutým osobám spôsobom podľa tohto zákona. Zároveň musí dbať, aby nedošlo k porušeniu základných práv a slobôd dotknutých osôb, najmä k porušeniu ich práva na zachovanie ľudskej dôstojnosti alebo k iným neoprávneným zásahom do ich práva na ochranu súkromia.  
(3)	Pri spracúvaní osobných údajov je prevádzkovateľ povinný zabezpečiť ochranu spracúvaných osobných údajov podľa tohto zákona.
(4)	Ak prevádzkovateľ určuje podmienky spracúvania osobných údajov, musí ich určiť tak, aby
a)	sa nepriečili dobrým mravom a boli v súlade so zákonom,
b)	bezdôvodne neobmedzil alebo neodoprel právo dotknutej osobe ustanovené zákonom,
c)	spracúval osobné údaje len vo forme alebo spôsobom, ktorý je nevyhnutný na dosiahnutie účelu spracúvania,
d)	spracúval len osobné údaje nevyhnutné na dosiahnutie účelu spracúvania,
e)	nedošlo k použitiu prostriedkov spracúvania najmä programového vybavenia, ktoré by spôsobilo spracúvanie osobných údajov v rozpore s týmto zákonom.
(5)	Prevádzkovateľ nesmie použiť podmienky spracúvania osobných údajov, ktoré sú v rozpore s odsekom 4.
(6)	Prevádzkovateľ smie spracúvať osobné údaje a zabezpečovať ochranu spracúvaných osobných údajov len prostredníctvom svojich oprávnených osôb a sprostredkovateľov, s ktorými uzatvoril zmluvu (§ 6a ods. 4). Na tento účel je povinný viesť register svojich oprávnených osôb. 
(7)	Prevádzkovateľ je povinný vybrať fyzické osoby, ktoré budú spracúvať osobné údaje a zabezpečovať ich ochranu, pred začatím práce musí fyzické osoby poučiť alebo zabezpečiť ich poučenie v rozsahu podľa § 17 a po poučení ich zapísať do registra oprávnených osôb. Za riadne plnenie povinností vyplývajúcich z poučenia oprávnená osoba zodpovedá prevádzkovateľovi; tým nie je dotknutá jej zodpovednosť podľa osobitného zákona.
(8)	Úrad môže vykonať kontrolu plnenia a dodržiavania povinností aj u osoby, ktorá prestane mať postavenie oprávnenej osoby, a to v rozsahu povinností, ktoré jej vyplývali zo zákona a z poučenia v čase, keď bola oprávnenou osobou.
(9)	Ak prevádzkovateľ poveril spracúvaním osobných údajov sprostredkovateľa až po získaní osobných údajov, prevádzkovateľ je povinný oznámiť dotknutej osobe informáciu o poverení sprostredkovateľa pri najbližšom kontakte s ňou, najneskôr však do troch mesiacov od poverenia sprostredkovateľa a informáciu bezodkladne zverejniť na svojom webovom sídle, ak má prevádzkovateľ webové sídlo zriadené. Prevádzkovateľ nemusí dotknutej osobe informáciu o poverení sprostredkovateľa oznamovať, ak sa v rovnakej lehote postupovalo podľa § 6b ods. 6.   
(10)	Ak prevádzkovateľ zanikne alebo sa zmení a spracúvanie osobných údajov prevezme právny nástupca, ten je povinný ako nový prevádzkovateľ oznámiť zmenu prevádzkovateľa dotknutej osobe pri najbližšom kontakte s ňou, najneskôr však do troch mesiacov odo dňa prevzatia spracúvania osobných údajov a zmenu bezodkladne zverejniť na svojom webovom sídle, ak má nový prevádzkovateľ webové sídlo zriadené.“.

13.	V § 6 odseky 3 a 4 znejú:
„(3)  Počas trvania pôvodne určeného účelu spracúvania osobných údajov ako aj po jeho skončení je prípustné zhromaždené osobné údaje ďalej spracúvať v nevyhnutnom rozsahu na historický výskum, vedecký výskum a vývoj alebo na účely štátnej štatistiky, čo sa nepovažuje za nezlučiteľné s pôvodným účelom spracúvania. Takto spracúvané osobné údaje prevádzkovateľ nesmie použiť na podporu opatrení alebo rozhodnutí prijatých proti dotknutej osobe a nesmie ich využiť proti záujmom dotknutej osoby na obmedzenie alebo potlačenie jej základných práv a slobôd. Počas spracúvania na účely podľa prvej vety je prevádzkovateľ povinný osobné údaje takto označiť, anonymizovať ich, ak možno dosiahnuť účel spracúvania a zlikvidovať ich ihneď ako sa stanú nepotrebnými.         
	(4)  Zhromaždené osobné údaje na pôvodne určený účel prevádzkovateľ nesmie spracúvať na iný účel, ktorý je nezlučiteľný s pôvodným účelom spracúvania.“.
 
14.	Za § 6 sa vkladajú § 6a a 6b, ktoré vrátane nadpisov znejú:

„§ 6a 
					      Sprostredkovateľ 
(1)	Prevádzkovateľ môže poveriť sprostredkovateľa, aby spracúval osobné údaje v jeho mene a na jeho zodpovednosť a na zodpovednosť sprostredkovateľa v rozsahu uzatvorenej písomnej zmluvy o spracúvaní osobných údajov a v súlade so zákonom.
(2)	Prevádzkovateľ dbá pri výbere sprostredkovateľa na jeho technickú, organizačnú a personálnu spôsobilosť zabezpečiť spracúvanie osobných údajov na daný účel určeným alebo ustanoveným spôsobom a na jeho schopnosť zaručiť bezpečnosť spracúvaných osobných údajov opatreniami podľa § 15 ods. 1. 
(3)	Prevádzkovateľ smie poveriť spracúvaním osobných údajov podľa odseku 1 len osobu, ktorá 
a)	je spôsobilá a schopná zaručiť spracúvanie osobných údajov podľa odseku 2, 
b)	počas trvania zmluvného vzťahu umožní prevádzkovateľovi v súlade s týmto zákonom u sprostredkovateľa preverovať 
1.	dodržiavanie zmluvných podmienok a
2.	stav bezpečnosti spracúvaných osobných údajov, 
c)	zaručuje, že osobné údaje nebudú využité proti záujmom dotknutej osoby a ani účasťou tejto osoby na spracúvaní nebudú ohrozené práva dotknutej osoby a
d)	zaručuje, že osobné údaje budú spracúvané v súlade so zákonom.
(4)	Prevádzkovateľ je povinný uzatvoriť so sprostredkovateľom písomnú zmluvu o spracúvaní osobných údajov pred začatím spracúvania osobných údajov. 
(5)	Ak tento zákon neustanovuje inak, zmluva podľa odseku 4 musí obsahovať 
a)	údaje o zmluvných stranách (ďalej len „identifikačné údaje“)
1.	 meno, priezvisko, titul, ak ho má, dátum narodenia a adresu trvalého pobytu, ak ide o fyzickú  
 osobu,
2.	 názov, právnu formu, adresu sídla a identifikačné číslo organizácie, ak ide o právnickú osobu;    
 spoločnosť založená podľa zákonov iného členského štátu Európskej únie môže namiesto 
 adresy sídla uviesť adresu ústredia alebo adresu hlavného miesta podnikania,
3.	 obchodné meno, adresu miesta podnikania a identifikačné číslo organizácie, ak ide o fyzickú   
 osobu – podnikateľa; spoločnosť založená podľa zákonov iného členského štátu Európskej  
 únie môže namiesto adresy miesta podnikania uviesť adresu sídla alebo adresu ústredia,
b)	deň začatia spracúvania osobných údajov sprostredkovateľom,
c)	účel spracúvania osobných údajov, 
d)	názov informačného systému,
e)	zoznam osobných údajov, ktoré sú predmetom spracúvania; možno ho nahradiť rozsahom  
 osobných údajov, ak vzhľadom na účel spracúvania nemožno vopred presne určiť jednotlivé  
 osobné údaje,
f)	okruh dotknutých osôb, ktorých osobné údaje sa spracúvajú,
g)	podmienky spracúvania osobných údajov,
h)	opis opatrení, ktoré sprostredkovateľ preukázal prevádzkovateľovi podľa odseku 2,
i)	vyhlásenie sprostredkovateľa o tom, že spracúvanie osobných údajov vykoná osobne, inak do  
 zmluvy uvedie identifikačné údaje osoby, prostredníctvom ktorej spracúvanie osobných údajov  
 vykoná (ďalej len „subdodávateľ“),
j)	trvanie zmluvy a spôsob ukončenia zmluvy,
k)	dátum vyhotovenia zmluvy a podpisy zmluvných strán. 
(6)	Ustanovenia odsekov 2 a 3 a § 6b ods. 1 sa primerane vzťahujú aj na subdodávateľa. Subdodávateľ spracúva osobné údaje a zabezpečuje ich ochranu na zodpovednosť sprostredkovateľa. 
(7)	Na osobu, ktorá nezákonne spracúva osobné údaje v mene prevádzkovateľa bez uzatvorenej zmluvy podľa odseku 4, úrad nahliada z hľadiska oprávnenosti a následkov jej konania ako na sprostredkovateľa. 
(8)	Na subdodávateľa úrad nahliada z hľadiska oprávnenosti a následkov jeho konania ako na sprostredkovateľa.  

§ 6b
Základné povinnosti sprostredkovateľa
 
(1)	Sprostredkovateľ je povinný spracúvať osobné údaje len v rozsahu, za podmienok a na účel dohodnutý v zmluve s prevádzkovateľom a spôsobom podľa tohto zákona.
(2)	Sprostredkovateľ smie spracúvať osobné údaje a zabezpečovať ochranu spracúvaných osobných údajov len prostredníctvom svojich oprávnených osôb a subdodávateľov uvedených v zmluve uzatvorenej podľa § 6a ods. 4. Na tento účel je povinný viesť register svojich oprávnených osôb. 
(3)	Sprostredkovateľ je povinný vybrať fyzické osoby, ktoré budú spracúvať osobné údaje a zabezpečovať ich ochranu, pred začatím práce musí fyzické osoby poučiť alebo zabezpečiť ich poučenie v rozsahu podľa § 17 a po poučení ich zapísať do registra oprávnených osôb. Za riadne plnenie povinností vyplývajúcich z poučenia oprávnená osoba zodpovedá sprostredkovateľovi; tým nie je dotknutá jej zodpovednosť podľa osobitného zákona.
(4)	Subdodávateľ vyberie fyzické osoby, ktoré budú spracúvať osobné údaje a zabezpečovať ich ochranu a nahlási ich sprostredkovateľovi. Sprostredkovateľ je povinný pred začatím práce fyzické osoby poučiť alebo zabezpečiť ich poučenie v rozsahu podľa § 17 a po poučení ich zapísať do registra oprávnených osôb. Za riadne plnenie povinností vyplývajúcich z poučenia oprávnená osoba zodpovedá sprostredkovateľovi; tým nie je dotknutá jej zodpovednosť podľa osobitného zákona.
(5)	Sprostredkovateľ je povinný zabezpečiť, že subdodávateľ prijme a vykoná rovnaké opatrenia, aké prijal a vykonal on podľa § 6a ods. 2. Na tento účel smie subdodávateľ primerane použiť bezpečnostnú smernicu vypracovanú sprostredkovateľom, alebo subdodávateľ vypracuje vlastnú bezpečnostnú smernicu (§ 15 ods. 2 a 3). Sprostredkovateľ sa tým nezbavuje zodpovednosti za spracúvanie osobných údajov a zabezpečenie ich ochrany podľa tohto zákona. 
(6)	Ak ďalej nie je ustanovené inak, sprostredkovateľ je povinný pri každom kontakte s dotknutou osobou oznámiť jej svoje identifikačné údaje, výslovne ozrejmiť dotknutej osobe, že jej osobné údaje spracúva ako sprostredkovateľ v mene prevádzkovateľa a identifikačné údaje prevádzkovateľa. 
(7)	Ak sprostredkovateľ zistí, že prevádzkovateľ porušil povinnosť ustanovenú týmto zákonom, je povinný prevádzkovateľa na to písomne upozorniť a bezodkladne ukončiť spracúvanie osobných údajov. Ak si túto povinnosť nesplní, zodpovedá za porušenie povinnosti a za škodu spôsobenú porušením tejto povinnosti spoločne a nerozdielne spolu s prevádzkovateľom. Tým nie je dotknutá zodpovednosť sprostredkovateľa podľa tohto alebo iného zákona.
(8)	Úrad môže vykonať kontrolu plnenia a dodržiavania povinností aj u osoby, ktorá prestane mať postavenie sprostredkovateľa, a to v rozsahu povinností, ktoré jej vyplývali zo zákona a zo zmluvy uzatvorenej s prevádzkovateľom v čase, keď bola sprostredkovateľom. Právomoc úradu podľa prvej vety sa primerane vzťahuje aj na subdodávateľa.
(9)	 Povinnosť prevádzkovateľa ustanovenú v § 10, 13, 14, 21 a 22 môže vykonať sprostredkovateľ, ak sa tak výslovne dohodne v zmluve uzatvorenej podľa 6a ods. 4. Prevádzkovateľ sa tým nezbavuje zodpovednosti za splnenie ustanovenej povinnosti podľa tohto zákona.
(10)	Na sprostredkovateľa sa nevzťahujú ustanovenia § 1 ods. 3, § 2, § 4 ods. 2, § 5 ods. 1, 4, 6, 7, 9 a 10, § 6 ods. 1 písm. a) a b), § 6a ods. 1 až 4, § 14, § 15 ods. 4 až 7, § 18 až 32 a § 49 ods. 1, 3 a 6 o prevádzkovateľovi.

15.	V § 7 nadpis znie: 
„Kategorizácia právnych dôvodov spracúvania osobných údajov“.

16.	V § 7 odseky 1 až 3 znejú:
„(1) Prevádzkovateľ smie uskutočniť len také spracúvanie osobných údajov, na ktoré má právny dôvod 
a) ustanovený týmto zákonom, alebo
b) ustanovený osobitným zákonom, alebo
c) ustanovený priamo vykonateľným právne záväzným aktom Európskej únie, alebo
d) ustanovený medzinárodnou  zmluvou, alebo
e) daný súhlasom dotknutej osoby.
	(2) Ak účel spracúvania osobných údajov ustanovuje tento zákon, priamo vykonateľný právne záväzný akt Európskej únie, alebo medzinárodná zmluva a uplatnenie práva alebo uloženie povinnosti nemožno dosiahnuť bez spracúvania osobných údajov, prevádzkovateľ smie požadovať od dotknutej osoby a spracúvať jej osobné údaje len v takom rozsahu a spôsobom, v akom tento zákon, priamo vykonateľný právne záväzný akt Európskej únie, alebo medzinárodná zmluva ustanovuje zoznam alebo rozsah osobných údajov, spôsob ich spracúvania a okruh dotknutých osôb. Ak právny dôvod podľa prvej vety neustanovuje zoznam alebo rozsah osobných údajov alebo spôsob ich spracúvania, prevádzkovateľ smie požadovať od dotknutej osoby osobné údaje len v takom rozsahu a spôsobom ako je nevyhnutné na dosiahnutie ustanoveného účelu spracúvania pri dodržaní povinností  podľa § 6 ods. 1 písm. c) až f) a i).
	(3) Ak účel spracúvania osobných údajov ustanovuje osobitný zákon a uplatnenie práva alebo uloženie povinnosti ustanovenej zákonom nemožno dosiahnuť bez spracúvania osobných údajov, prevádzkovateľ smie požadovať od dotknutej osoby a spracúvať jej osobné údaje len v takom rozsahu a spôsobom, v akom osobitný zákon ustanovuje zoznam osobných údajov, spôsob ich spracúvania a okruh dotknutých osôb. Takáto osobitná úprava však nesmie byť v rozpore s ustanoveniami tohto zákona. Osobné údaje dotknutej osoby spracúvané na základe osobitného zákona prevádzkovateľ smie poskytnúť, sprístupniť alebo zverejniť len v takom rozsahu, v akom osobitný zákon ustanovuje účel ich poskytovania, sprístupňovania alebo zverejňovania, zoznam osobných údajov, ktoré prevádzkovateľ smie poskytnúť, sprístupniť alebo zverejniť, ako aj tretie strany ako príjemcov, ktorým sa osobné údaje poskytujú, prípadne okruh príjemcov, ktorým sa osobné údaje sprístupňujú, ak tento zákon neustanovuje inak.“.
Poznámka pod čiarou k odkazu 4 sa vypúšťa.

17.	V § 7 ods. 4 uvádzacia veta znie: „Ak sa ďalej v tomto zákone neustanovuje inak, právny dôvod spracúvania osobných údajov ustanovený týmto zákonom je, ak“.

18.	V § 7 ods. 4 písm. d) časť vety za bodkočiarkou znie: „toto ustanovenie nemožno použiť, ak je zámerom prevádzkovateľa spolu s týmito údajmi spracúvať aj ďalšie osobné údaje dotknutej osoby, alebo ak prevádzkovateľ tieto osobné údaje už spracúva na základe iného právneho dôvodu, na iný účel alebo v inom informačnom systéme, alebo ak prevádzkovateľ neposkytne dotknutej osobe informácie podľa § 10b ods. 3 už pri prvom kontakte s ňou,“.

19.	V § 7 ods. 4 písmeno g) znie:
„g) spracúvanie osobných údajov je nevyhnutné na uskutočnenie neodkladného zámeru, na ktorom má prevádzkovateľ alebo tretia strana, ktorej sú osobné údaje poskytované, naliehavý právny záujem, ktorý vie preukázať dotknutej osobe i úradu, pričom nesmie uprednostniť ani nadradiť svoj záujem na spracúvaní osobných údajov nad záujem dotknutej osoby, a to ani z dôvodu dosiahnutia účelu spracúvania a ani inak nesmie svojim konaním obmedziť alebo potláčať jej základné práva a slobody. Toto ustanovenie nemožno použiť, ak prevádzkovateľ vopred neposkytne dotknutej osobe informácie podľa § 10b ods. 4.“.

20.	 V § 7 odsek 5 znie:
	„(5) Fyzická osoba smie poskytnúť na spracúvanie do informačného systému osobné údaje o dotknutej osobe len na základe jej písomného splnomocnenia. V splnomocnení musí byť uvedené, komu, na aký účel a ktoré osobné údaje možno poskytnúť do informačného systému, ak ich rozsah nie je zrejmý zo zákona alebo z povahy veci. Prevádzkovateľ smie spracúvať osobné údaje dotknutej osoby len v rozsahu splnomocnenia. Bez splnomocnenia môže fyzická osoba poskytnúť osobné údaje o dotknutej osobe do informačného systému, ak ich poskytuje na základe osobitného zákona, alebo ak poskytnutím osobných údajov koná fyzická osoba zjavne v prospech dotknutej osoby, alebo ak oznamuje skutočnosti odôvodňujúce uplatnenie právnej zodpovednosti dotknutej osoby, alebo ak fyzická osoba uplatňuje alebo chráni svoje právo. Prevádzkovateľ je povinný bezodkladne dodatočne informovať dotknutú osobu podľa § 10b ods. 1 písm. a) a b), ak ďalej nie je ustanovené inak.“.

21.	V § 7 ods. 6 prvej vete a druhej vete sa vypúšťajú slová „a § 9 ods. 1 písm. a)“. 

22.	V § 7 odseky 10 až 12 znejú:
	„(10) Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov na základe súhlasu dotknutej osoby, je povinný vopred určiť čas platnosti súhlasu dotknutej osoby. Čas platnosti súhlasu musí byť obmedzený a primeraný účelu spracúvania. Pred získavaním osobných údajov od dotknutej osoby je prevádzkovateľ povinný postupovať podľa § 10a ods. 4 a ak nezískal jej osobné údaje priamo od nej, musí postupovať podľa § 10b ods. 1. Prevádzkovateľ si nesmie súhlas dotknutej osoby vynucovať. Ak na strane dotknutej osoby pominul dôvod spracúvať jej osobné údaje, dotknutá osoba môže udelený súhlas odvolať pred uplynutím určeného času jeho platnosti a žiadať blokovanie spracúvaných osobných údajov. Ak si dotknutá osoba uplatnila právo podľa § 20 ods. 1 písm. f), prevádzkovateľ je povinný spracúvané osobné údaje bez zbytočného odkladu zablokovať a následne zlikvidovať podľa § 13 ods. 2. Ak prevádzkovateľ spracúva osobné údaje na základe súhlasu dotknutej osoby súčasne na viac účelov, musí mať súhlas dotknutej osoby na každý z nich. 
	(11) Ak je právny dôvod spracúvania osobných údajov daný súhlasom dotknutej osoby a vzniknú pochybnosti o udelení súhlasu dotknutou osobou, prevádzkovateľ je povinný úradu preukázať, že mu dotknutá osoba súhlas udelila. Súhlas dotknutej osoby prevádzkovateľ preukazuje zvukovým záznamom, zvukovo-obrazovým záznamom alebo čestným vyhlásením toho, kto poskytol osobné údaje do informačného systému, prípadne iným hodnoverným spôsobom. Písomný súhlas preukazuje prevádzkovateľ úradu listinou, ktorá potvrdzuje udelenie súhlasu. Dôkaz o súhlase obsahuje najmä údaje o tom, kto súhlas poskytol, komu sa tento súhlas dáva, na aký účel, zoznam alebo rozsah osobných údajov a čas platnosti súhlasu. Súhlas daný v písomnej forme je bez vlastnoručného podpisu toho, kto súhlas udeľuje, neplatný. Ak prevádzkovateľ nevie úradu preukázať, že mu dotknutá osoba udelila súhlas na spracúvanie osobných údajov, prevádzkovateľ spracúva osobné údaje bez právneho dôvodu. 
	(12) Ak účel spracúvania osobných údajov vymedzí prevádzkovateľ, ten smie požadovať od dotknutej osoby osobné údaje len v takom rozsahu a spôsobom ako je nevyhnutné na dosiahnutie vymedzeného účelu spracúvania pri dodržaní povinností podľa § 6 ods. 1 písm. c) až f) a i).“.
 
23.	V § 9 ods. 1 písmeno a) znie:
„a) právny dôvod spracúvania osobných údajov je ustanovený podľa § 7 ods. 1 písm. b) c), alebo písm. d), alebo“.
 
24.	V § 9 ods. 1 písm. e) sa za slovo „poisťovňa“ vkladá čiarka a slová „ alebo Úrad pre dohľad nad zdravotnou starostlivosťou alebo“ sa nahrádzajú slovami „osoba vykonávajúca služby súvisiace s poskytovaním zdravotnej starostlivosti alebo osoba vykonávajúca dohľad nad zdravotnou starostlivosťou a v jej mene odborne spôsobilá oprávnená osoba, ktorá je viazaná povinnosťou mlčanlivosti o skutočnostiach tvoriacich profesionálne tajomstvo a povinnosťou dodržiavať zásady profesijnej etiky, alebo“.

25.	V § 9 sa odsek 1 dopĺňa písmenom g), ktoré znie:
	„g) ide o spracúvanie na účel tvorby a odpočtu vládnych politík a opatrení na predchádzanie diskriminácie.“.

26.	V § 10 odseky 1 až 4 znejú:
	„(1) Ak ďalej nie je ustanovené inak, prevádzkovateľ smie získavať osobné údaje od dotknutej osoby až potom, čo jej poskytne informácie podľa § 10a.
      (2) Ak ďalej nie je ustanovené inak, prevádzkovateľ smie ďalej spracúvať zhromaždené osobné údaje dotknutej osoby, ktoré nezískal priamo od nej až potom, čo jej poskytne informácie podľa § 10b.
      (3) Prevádzkovateľ smie získavať a spracúvať osobné údaje dotknutej osoby na účel podpory marketingu výlučne na základe súhlasu dotknutej osoby pri dodržaní povinností podľa § 6 ods. 1 písm. c) až f) a i).
	(4) Prevádzkovateľ je pri jednorazovom vstupe fyzickej osoby do jeho priestorov oprávnený z dôvodu jej identifikácie vyzvať fyzickú osobu, aby preukázala svoju totožnosť, nahliadnuť do jej dokladu totožnosti a odpísať si jej titul, meno, priezvisko a evidenčné číslo dokladu totožnosti a názov orgánu, ktorý vydal doklad totožnosti, a ak ide o cudzinca, aj jeho štátneho občianstva. Ak sa fyzická osoba preukáže podľa osobitného zákona16), prevádzkovateľ je oprávnený od nej požadovať názov orgánu, ktorý doklad vydal a evidenčné číslo služobného preukazu.“.
Poznámky pod čiarou k odkazom 14 a 15 sa vypúšťajú.
Poznámka pod čiarou k odkazu 16 znie:
„16) Napríklad § 8 zákona Národnej rady Slovenskej republiky č. 46/1993 Z. z., § 8 zákona Národnej rady Slovenskej republiky č. 198/1994 Z. z., § 14 ods. 1 zákona Národnej rady Slovenskej republiky č. 171/1993 Z. z. o Policajnom zbore v znení zákona č. 155/2003 Z. z., § 9 zákona č. 124/1992 Zb. o Vojenskej polícii v znení zákona č. 393/2008 Z. z., § 70 ods. 6 zákona č. 215/2004 Z. z. o ochrane utajovaných skutočností a o zmene a doplnení niektorých zákonov.“.
  
27.	V § 10 odseky 8 a 9 znejú:
	  „(8) Ak predmetom činnosti prevádzkovateľa je priamy marketing, prevádzkovateľ je oprávnený získavať a spracúvať v osobitnom informačnom systéme osobné údaje titul, meno, priezvisko a adresa bez súhlasu dotknutej osoby. Zhromaždené osobné údaje nesmie prevádzkovateľ spracúvať a využívať na iný účel, ako na účel priameho marketingu. V poštovom styku s dotknutou osobou ich môže využívať dovtedy, kým dotknutá osoba písomne neuplatní námietku podľa § 20 ods. 3 písm. b). Získavať a priraďovať ďalšie osobné údaje k osobným údajom dotknutej osoby v rozsahu podľa prvej vety prevádzkovateľ smie len so súhlasom dotknutej osoby pri dodržaní povinností podľa § 6 ods. 1 písm. c) až f) a i). Prevádzkovateľ nesmie spracúvané osobné údaje dotknutej osoby sprístupňovať a zverejňovať.
	(9) Prevádzkovateľ, ktorého predmet činnosti je priamy marketing, je oprávnený získané osobné údaje titul, meno priezvisko a adresa poskytnúť len tretej strane, ktorej predmet činnosti je priamy marketing, a to len vtedy, ak dotknutá osoba pri získavaní osobných údajov neuplatní námietku proti ich poskytovaniu tretej strane; ak dotknutá osoba pri získavaní osobných údajov námietku neuplatní, poskytovať ich smie dovtedy, kým dotknutá osoba písomne neuplatní námietku podľa § 20 ods. 3 písm. c). Na tento účel je prevádzkovateľ povinný viesť zoznam tretích strán, ktorým osobné údaje poskytuje. Zoznam obsahuje identifikačné údaje tretej strany, osobné údaje dotknutej osoby meno, priezvisko, titul, ak ho má a adresa a dátum poskytnutia osobných údajov tretej strane. Ak dotknutá osoba uplatní námietku podľa § 20 ods. 3 písm. b), prevádzkovateľ je povinný bezodkladne požiadať tretiu stranu o blokovanie osobných údajov dotknutej osoby, ktoré jej poskytol a v zozname uviesť dátum blokovania osobných údajov treťou stranou.“. 
	 
28.	§ 10 sa dopĺňa odsekmi 10 a 11, ktoré znejú:
„10) Tretia strana, ktorej boli osobné údaje poskytnuté podľa odseku 9, ich nesmie ďalej poskytovať, nesmie ich sprístupňovať ani zverejňovať a nesmie ich využívať na iný účel, ako na účel priameho marketingu. Na tento účel je tretia strana povinná viesť zoznam prevádzkovateľov, od ktorých získala osobné údaje na účel priameho marketingu. Zoznam obsahuje identifikačné údaje prevádzkovateľa, osobné údaje dotknutej osoby v rozsahu meno, priezvisko, titul, ak ho má a adresa, dátum získania osobných údajov od prevádzkovateľa a dátum ich zablokovania, ak ju prevádzkovateľ na blokovanie vyzval.
	(11) Úradný doklad zaznamenaný na nosič dát podľa odseku 6 je prevádzkovateľ povinný okamžite po jeho získaní alebo po vyhotovení jeho kópie označiť textom „Fotokópia súhlasí s originálom“, dátumom a odtlačkom prezentačnej pečiatky alebo svojimi identifikačnými údajmi tak, aby nebolo možné vyhotoviť jeho kópiu bez týchto údajov. Úradný doklad zaznamenaný na nosič dát v elektronickej forme je prevádzkovateľ povinný pred jeho uložením označiť spôsobom a doplniť údajmi podľa prvej vety tak, aby nebolo možné vyhotoviť jeho kópiu bez týchto údajov.“.

29.	Za § 10 sa vkladajú § 10a až 10c, ktoré znejú:
„Informačná povinnosť
§ 10a
(1) Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov dotknutej osoby, je povinný  pred ich získavaním dotknutej osobe vopred oznámiť 
a)	identifikačné údaje prevádzkovateľa, a ak je ustanovený, aj zástupcu prevádzkovateľa, 
b)	identifikačné údaje sprostredkovateľa, ak osobné údaje získava sprostredkovateľ; v takomto 
      prípade je povinný oznámiť dotknutej osobe informácie podľa tohto paragrafu sprostredkovateľ,
c)	účel spracúvania osobných údajov,
d)	právny dôvod spracúvania osobných údajov; ak je právny dôvod ustanovený podľa § 7 ods. 1 
      písm. a) až d), oznámi presné označenie, názov a príslušné ustanovenie právneho predpisu,        
e)	poučenie o práve dotknutej osoby na prístup k informáciám podľa § 20 ods. 1 písm. a), o práve 
na opravu osobných údajov podľa § 20 ods. 1 písm. d), ako aj o ďalších právach dotknutej osoby, ktoré súvisia so spracúvaním osobných údajov,
f)	poučenie o tom, či poskytnutie osobných údajov je dobrovoľné, alebo povinné s upozornením na následky odopretia poskytnúť povinné osobné údaje, 
g)	 ďalšie doplňujúce informácie, najmä
1.	zoznam osobných údajov, alebo rozsah osobných údajov podľa § 7 ods. 6 prvej vety, 
2.	identifikačné údaje tretích strán, alebo okruh tretích strán podľa § 7 ods. 6 druhej vety, ak prevádzkovateľ osobné údaje tretím stranám ako príjemcom poskytuje a dôvod ich poskytovania,     
3.	okruh príjemcov, ak prevádzkovateľ osobné údaje príjemcom sprístupňuje a dôvod ich sprístupnenia,
4.	spôsob zverejnenia, ak prevádzkovateľ osobné údaje zverejňuje a dôvod ich zverejnenia,
5.	zoznam krajín, ak prevádzkovateľ uskutočňuje cezhraničný tok osobných údajov a dôvod ich 
            cezhraničného toku; ak ide o tretiu krajinu, ktorá nezaručuje primeranú úroveň ochrany 
            osobných údajov, prevádzkovateľ je povinný o tom dotknutú osobu informovať,
6.	špecifické podmienky spracúvania osobných údajov.
	(2) Doplňujúce informácie podľa odseku 1 písm. g) je prevádzkovateľ povinný oznámiť dotknutej osobe v takom rozsahu, aby bola pravdivo a úplne informovaná o všetkých dôležitých skutočnostiach súvisiacich so spracúvaním s dôrazom na špecifické podmienky spracúvania jej osobných údajov.
(3) Ak prevádzkovateľ nevykonáva činnosť podľa odseku 1 písm. g) druhého až piateho bodu, je povinný o tom informovať dotknutú osobu.
(4) Ak prevádzkovateľ spracúva osobné údaje na základe súhlasu dotknutej osoby podľa § 7 ods. 1 písm. e), je povinný dotknutej osobe okrem informácií podľa odsekov 1 až 3 oznámiť aj požadovaný čas platnosti súhlasu s náležitým odôvodnením a upovedomiť ju o práve udelený súhlas odvolať pred uplynutím času jeho platnosti podľa  § 20 ods. 1 písm. f).
      (5) Ak prevádzkovateľ spracúva osobné údaje z dôvodu prípravy uzatvorenia zmluvy s dotknutou osobou, je povinný dotknutej osobe okrem informácií podľa odsekov 1 až 3 oznámiť aj informáciu o čase trvania prípravy uzatvorenia zmluvy a informáciu o tom, že ak nedôjde k uzatvoreniu zmluvy v dohodnutom čase alebo ak dotknutá osoba uplatní právo podľa § 20 ods. 1 písm. g), spracúvané osobné údaje bez zbytočného odkladu zablokuje a následne zlikviduje podľa § 13 ods. 2. Ak dotknutá osoba v rámci prípravy uzatvorenia zmluvy sama poskytne osobné údaje prevádzkovateľovi bez jeho vyžiadania, informácie podľa tohto odseku prevádzkovateľ oznámi dotknutej osobe pri najbližšom kontakte s ňou alebo získané osobné údaje bez zbytočného odkladu zablokuje a následne zlikviduje podľa § 13 ods. 2.
	(6) Ak prevádzkovateľ poskytol dotknutej osobe informácie podľa odsekov 1 až 5 v súlade s týmto zákonom, nemusí jej ich opätovne oznámiť z dôvodov podľa odsekov 1 až 5.
(7) Prevádzkovateľ, ktorý na účel priameho marketingu získava od dotknutej osoby osobné údaje titul, meno, priezvisko a adresa, je povinný dotknutej osobe vopred oznámiť informácie podľa odsekov 1 až 3, poučiť ju o práve vzniesť námietku proti poskytovaniu osobných údajov tretej strane a o právach, ktoré má podľa § 20 ods. 3 písm. b) a c).
(8) Prevádzkovateľ, ktorý na účel podľa odseku 7 získava od dotknutej osoby okrem osobných údajov podľa odseku 7 aj ďalšie jej osobné údaje, alebo získava a priraďuje k už zhromaždeným osobným údajom podľa odseku 7 ďalšie jej osobné údaje, je povinný požiadať dotknutú osobu o súhlas a včas jej oznámiť informácie podľa odsekov 1 až 4 s poučením o právach, ktoré má podľa § 20 ods. 3.
	(9) Prevádzkovateľ je povinný 
a)	informácie podľa odsekov 1 až 8 uviesť v tej časti žiadosti alebo iného dokumentu, v ktorej dotknutá osoba udeľuje súhlas na spracúvanie jej osobných údajov, podpisuje žiadosť, zmluvu alebo iný dokument, alebo v poučení, ktoré je súčasťou uzatváranej zmluvy alebo iného dokumentu; ak prevádzkovateľ komunikuje s dotknutou osobou telefonicky, oznámi jej informácie verbálne, alebo
b)  informácie  podľa  odsekov  1 až 8  uviesť  vo  svojich  všeobecných obchodných podmienkach, 
      ktoré musia byť dotknutej osobe sprístupnené pri udelení súhlasu, pri podpise zmluvy, žiadosti 
      alebo iného dokumentu; o tom, že všeobecné podmienky obsahujú informácie o podmienkach 
      spracúvania osobných údajov musí byť dotknutá osoba upozornená pred podpisom, 
c)	vysvetliť dotknutej osobe podstatné okolnosti spracúvania jej osobných údajov, ktorými sa ozrejmí 	postup prevádzkovateľa pri konkrétnej operácii s osobnými údajmi a to aj pri postupoch podľa 	písmena a) alebo písmena b), a
d) 	odpovedať na otázky dotknutej osoby týkajúce sa spracúvania jej osobných údajov podľa odsekov 1 až 8; to nenahrádza splnenie jeho povinností podľa písmena a) alebo písmena b).
(10)  Priestor prístupný verejnosti podľa § 10 ods. 7 je prevádzkovateľ povinný zreteľne označiť bez ohľadu na to, či sa obraz alebo zvuk zaznamenáva na nosič dát. Označenie monitorovaného priestoru môže mať formu piktogramu, symbolu alebo nápisu, z ktorého musí byť zrejmé, že označený priestor je monitorovaný, a musí byť umiestnené tak, aby bolo dobre viditeľné a čitateľné voľným okom, a to aj vtedy, keď do monitorovaného priestoru je možný vstup z viacerých strán. Registračné číslo pridelené informačnému systému úradom musí byť súčasťou označenia monitorovaného priestoru.
(11) Dotknutá osoba má právo požiadať osobu, ktorá od nej osobne žiada osobné údaje mimo vyhradených alebo označených obchodných alebo úradných priestorov prevádzkovateľa, aby sa preukázala dokladom totožnosti a aby poverením alebo iným dokladom preukázala, že je oprávnenou osobou; inak dotknutá osoba môže odoprieť poskytnúť jej svoje osobné údaje.  

§ 10b
  
      (1) Ak prevádzkovateľ nezískal osobné údaje dotknutej osoby priamo od nej, je povinný bez zbytočného odkladu po ich získaní, ale najneskôr pred ich prvým poskytnutím tretej strane, ak sa takéto poskytovanie predpokladá už pri získavaní osobných údajov, písomne oznámiť dotknutej osobe
a)	informácie podľa § 10a ods. 1 písm. a) až e), g) a ods. 3,
b) 	presné informácie o zdroji, z ktorého získal osobné údaje na spracúvanie a
c) 	čas platnosti súhlasu dotknutej osoby, ak sa osobné údaje spracúvajú na základe súhlasu dotknutej osoby, spolu s poučením o možnosti udelený súhlas odvolať pred uplynutím času jeho platnosti, o možnosti odmietnuť ich ďalšie spracúvanie, a taktiež o ich likvidácii, ak dotknutá osoba do 60 dní odo dňa doručenia oznámenia neudelí prevádzkovateľovi súhlas na spracúvanie osobných údajov.
      (2) Prevádzkovateľ nemusí dotknutej osobe oznámiť informácie podľa odseku 1, ak
a)   jej boli už predtým poskytnuté, 
b)   spracúva osobné údaje na základe § 7 ods. 1 písm. b), c), alebo písm. d), 
c)	spracúva osobné údaje na účel uvedený v § 7 ods. 4 písm. a), na historický výskum alebo vedecký výskum a vývoj alebo na účely štátnej štatistiky a poskytnutie informácií podľa odseku 1 je objektívne nemožné, alebo by bolo možné len s vyvinutím neprimeraného úsilia, 
d)	spracúva osobné údaje podľa § 7 ods. 4 písm. e), alebo 
e)   spracúva osobné údaje na základe splnomocnenia dotknutej osoby podľa § 7 ods. 5.
(3) Prevádzkovateľ, ktorý spracúva osobné údaje dotknutej osoby v rozsahu poštovej adresy podľa § 7 ods. 4 písm. d) a využije ich v poštovom styku s dotknutou osobou, je povinný dotknutej osobe pri prvom kontakte oznámiť informácie podľa § 10a ods. 1 písm. a) až e), presné informácie o zdroji, z ktorého získal osobné údaje, a poučiť ju o práve žiadať blokovanie spracúvaných osobných údajov podľa § 20 ods. 1 písm. h).
	(4) Prevádzkovateľ, ktorý spracúva osobné údaje dotknutej osoby na základe § 7 ods. 4 písm. g), je povinný dotknutej osobe vopred oznámiť informácie podľa odseku 1 písm. a) a b), pravdivo jej ozrejmiť dôvod spracúvania osobných údajov na uvedený účel a poučiť ju o práve namietať takéto spracúvanie podľa § 20 ods. 4 písm. a).
(5) Prevádzkovateľ, ktorý bez súhlasu dotknutej osoby získa na účel priameho marketingu osobné údaje dotknutej osoby titul, meno priezvisko a adresa, je povinný pri prvom kontakte s dotknutou osobou oznámiť jej informácie podľa odseku 1 písm. a) a b) a poučiť ju o právach, ktoré má podľa § 20 ods. 3 písm. b) a c).
§ 10c

(1) Informácie, ktoré prevádzkovateľ poskytuje dotknutým osobám alebo oznamuje verejnosti, je im povinný poskytnúť v štátnom jazyku; tým nie je dotknuté právo poskytnúť ich súčasne aj v inom jazyku.
(2) Veľkosť, farba a typ použitého písma informácií určených dotknutým osobám alebo verejnosti musí umožňovať ich dobrú viditeľnosť a čitateľnosť voľným okom. Písmo textu musí zodpovedať minimálne parametrom písma typu Arial s obyčajným rezom písma a s veľkosťou písma aspoň 9 b vytlačeného na laserovej tlačiarni v čiernej farbe.“. 
30.	V § 13 odseky 1 až 4 znejú:
	„(1) Ak tento zákon neustanovuje inak, uplynutím lehoty uloženia registratúrneho záznamu18), ktorý obsahuje osobné údaje dotknutej osoby, zaniká právny dôvod ich spracúvania a prevádzkovateľ ako pôvodca registratúry19) je povinný postupovať podľa odseku 2.
	(2) Po uplynutí lehoty uloženia registratúrneho záznamu je prevádzkovateľ povinný osobné údaje zablokovať, ak predtým k ich blokovaniu nedošlo a bezodkladne vykonať úkony smerujúce k vyradeniu registratúrnych záznamov, ktoré tieto osobné údaje obsahujú vrátane ich elektronických kópií ako aj elektronických registratúrnych záznamov, v súlade s osobitným predpisom20). Vyradené registratúrne záznamy obsahujúce osobné údaje bez trvalej dokumentárnej hodnoty je prevádzkovateľ povinný bezodkladne zlikvidovať.
(3)  Lehota uloženia registratúrneho záznamu, ktorý obsahuje osobné údaje, je
a)	štvrť roka, ak sa osobné údaje spracúvajú na základe súhlasu dotknutej osoby, alebo podľa § 7 	ods. 4 písm. d); túto lehotu nemožno predĺžiť,
b)	štvrť roka, ak sa osobné údaje spracúvajú z dôvodu prípravy uzatvorenia zmluvy podľa § 7 ods. 4 	písm. b) a nedošlo k uzatvoreniu zmluvy, alebo podľa § 10 ods. 4; túto lehotu možno primerane 	predĺžiť o čas nevyhnutný na uchovanie dôkazu o protiprávnom čine, 
c)	počet rokov ustanovených zákonom, priamo vykonateľným právne záväzným aktom Európskej 
      únie, alebo medzinárodnou zmluvou, alebo
d)	počet rokov určených prevádzkovateľom v registratúrnom pláne; tento počet nesmie byť dlhší než 	je nevyhnutné na jeho činnosť, vrátane lehôt potrebných na vymáhanie práv a plnenie povinností 	ustanovených zákonom21).
	(4) Ak dotknutá osoba uplatní námietku podľa § 20 ods. 3 písm. a), prevádzkovateľ je povinný spracúvané osobné údaje bezodkladne zablokovať a následne zlikvidovať podľa odseku 2 v lehote podľa odseku 3 písm. a) okrem osobných údajov titul, meno, priezvisko a adresa dotknutej osoby. Prevádzkovateľ súčasne skončí využívanie osobných údajov titul, meno, priezvisko a adresa dotknutej osoby v poštovom styku.“. 
Poznámky pod čiarou k odkazom 18 až 20 znejú:
„18) § 2 ods. 15 a 18 zákona č. 395/2002 Z. z. o archívoch a registratúrach a o doplnení niektorých 
        zákonov. 
19)   § 2 ods. 16 zákona č. 395/2002 Z. z.
20)   § 20 zákona č. 395/2002 Z. z.  v znení zákona č. 216/2007 Z. z., vyhláška Ministerstva vnútra 
        Slovenskej republiky č. 628/2002 Z. z., ktorou sa vykonávajú niektoré ustanovenia zákona o 
        archívoch a registratúrach a o doplnení niektorých zákonov v znení neskorších predpisov.“.
 
31.	§ 14 a 15 vrátane nadpisov znejú:
„§ 14
Oznamovanie zmien tretím stranám

(1) Ak prevádzkovateľa upozorní dotknutá osoba alebo si uplatní u prevádzkovateľa svoje právo, alebo ak prevádzkovateľ sám zistí, že poskytol tretej strane nesprávne, neúplné alebo neaktuálne osobné údaje alebo že ich poskytol bez právneho dôvodu, je povinný bez zbytočného odkladu oznámiť to každému, komu ich poskytol. Prevádzkovateľ v oznámení uvedie, aké opatrenia vykonal, najmä či osobné údaje zablokoval, doplnil, opravil, aktualizoval alebo zlikvidoval, a aké opatrenia žiada prijať od tretej strany.
(2) Tretia strana je povinná na základe oznámenia podľa odseku 1 vykonať požadované opatrenia, najmä zablokovať osobné údaje v informačnom systéme a bez zbytočného odkladu ich doplniť, opraviť, aktualizovať alebo zlikvidovať.
(3) Od oznámenia podľa odseku 1 možno upustiť len vtedy, ak oznámenie je objektívne nemožné, alebo je možné len s vyvinutím neprimeraného úsilia a ujma, ktorá neoznámením dotknutej osobe vznikne, je zanedbateľná.
(4) Prevádzkovateľ, ktorý upustí od oznámenia podľa odseku 1 z dôvodu podľa odseku 3, je povinný na vyzvanie úradu preukázať, že upustenie od oznámenia je dôvodné. 

§ 15
Bezpečnosť spracúvaných osobných údajov

	(1) Prevádzkovateľ je povinný chrániť spracúvané osobné údaje pred ich poškodením, stratou, neoprávneným zničením, zmenou, prístupom a sprístupnením, poskytnutím alebo zverejnením ako aj pred rôznymi inými neprípustnými spôsobmi spracúvania. Na tento účel je povinný prijať primerané technické, organizačné a personálne opatrenia zodpovedajúce spôsobu spracúvania, pričom vezme do úvahy najmä použiteľné technické prostriedky, dôvernosť a dôležitosť spracúvaných osobných údajov ako aj rozsah možných nebezpečenstiev, ktoré môžu narušiť bezpečnosť alebo funkčnosť informačného systému. 
	(2) Ak prevádzkovateľ spracúva osobné údaje automatizovanými prostriedkami spracúvania, je povinný vypracovať bezpečnostnú smernicu, v ktorej upraví opatrenia podľa odseku 1 minimálne v rozsahu a spôsobom podľa tohto odseku a súčasne je povinný prijaté opatrenia vykonať nasledovným spôsobom: 
a)	nesmie umožniť neoprávnenej osobe manipulovať s technickými zariadeniami a systémami  
	   určenými na spracúvanie osobných údajov alebo na ich ochranu,
b)	nesmie umožniť neoprávnenej osobe vstupovať do informačných systémov s osobnými údajmi 	prostredníctvom technických zariadení alebo systémov určených na prenášanie údajov, 
c)	nesmie umožniť neoprávnenej osobe čítať, upravovať, kopírovať, rozmnožovať, využívať a 
      likvidovať nosiče dát obsahujúce osobné údaje,
d)	nesmie umožniť neoprávnenej osobe vykonávať operáciu alebo súbor operácií s osobnými 	údajmi, ktoré sú súčasťou informačného systému alebo sú určené na spracúvanie v informačnom 	systéme,
e) musí zaznamenať každý vstup do informačného systému, ak to umožňujú automatizované 
      prostriedky spracúvania, a zaručiť, aby neskôr, aspoň počas obdobia troch rokov, bolo možné 	overovať kedy a kto doň vstúpil a ku ktorým osobným údajom mal prístup,  
f)	musí zaručiť, aby oprávnenej osobe boli pridelené prístupové práva len do tých informačných 
      systémov a k tým osobným údajom, ktoré sú potrebné na splnenie pokynu prevádzkovateľa v 
      rozsahu jej poučenia podľa § 17,  
g)  musí zaručiť, aby oprávnená osoba mala prístup do informačného systému minimálne na základe 	prístupového hesla, ktoré musí mať najmenej osem znakov aspoň v kombinácii písmen a číslic a 
      podlieha pravidelnej obmene, 
h)	musí zabezpečiť ochranu programových častí systému proti napadnutiu vírusom a inými 	škodlivými programami, ako aj proti ich nežiaducej modifikácii,
i)	nesmie umožniť neoprávnenej osobe, aby počas premiestňovania, sprístupňovania, 	poskytovania alebo prenosu osobných údajov technickými zariadeniami mohla osobné údaje bez 	povolenia čítať, upravovať, kopírovať, rozmnožovať, využívať a vymazávať,
j)	nesmie umožniť neoprávnenej osobe, aby počas prepravy nosičov dát obsahujúcich 
      osobné údaje mohla osobné údaje bez povolenia čítať, upravovať, kopírovať, rozmnožovať, 
      využívať a  vymazávať,
k)	nesmie zlikvidovať osobné údaje bez vyhotovenia písomného záznamu, ktorý obsahuje údaje o 	nosiči dát, na ktorom boli uložené, čase a spôsobe ich likvidácie a o osobách, ktoré likvidáciu 	vykonali,
l)	musí zabezpečiť pravidelné zálohovanie spracúvaných osobných údajov a zaručiť bezpečnosť 
      nosičov dát so zálohovanými osobnými údajmi tak, aby tieto nosiče dát boli uložené 
      na chránenom mieste inom ako miesto, kde sa ukladajú originálne nosiče dát.
	(3) Opatrenia podľa odseku 2 písm. c) až f), j) a k) sa vzťahujú aj na spracúvanie osobných údajov inými ako automatizovanými prostriedkami spracúvania.
	(4) Ak prevádzkovateľ spracúva osobné údaje osobitnej kategórie podľa § 8 v informačnom systéme, ktorý je prevádzkovaný v počítačovej sieti, prevádzkovateľ je povinný vypracovať bezpečnostný projekt, v ktorom upraví opatrenia podľa odseku 1 v rozsahu a spôsobom podľa odseku 2 a § 16 a súčasne je povinný prijaté opatrenia vykonať; ak sa na informačný systém prevádzkovateľa vzťahujú obmedzenia povinností a práv podľa § 2 ods. 1, prevádzkovateľ môže vypracovať bezpečnostný projekt podľa osobitného predpisu21a).
	(5) Prevádzkovateľ, ktorý poverí spracúvaním osobných údajov sprostredkovateľa je povinný v bezpečnostnom projekte upraviť aj zaistenie dodržania bezpečnostných požiadaviek na vstup sprostredkovateľa do počítačovej siete a informačného systému prevádzkovateľa. Prevádzkovateľ oboznámi sprostredkovateľa s obsahom technických, organizačných a personálnych opatrení, ktoré sa ho týkajú a ten je povinný ich dodržiavať. Sprostredkovateľ poučí svoje oprávnené osoby o povinnostiach vyplývajúcich z bezpečnostného projektu.      
	(6) Odsek 2 písm. a) až d) sa nepoužije, ak prevádzkovateľ musí pri haváriách, poruchách a iných mimoriadnych situáciách zabezpečiť jednorazovo opravu alebo servis technických zariadení alebo systémov určených na spracúvanie osobných údajov alebo ich ochranu.  
		(7) Osoba, ktorá vykonáva pravidelnú údržbu technických zariadení alebo systémov určených na spracúvanie osobných údajov alebo na ich ochranu u iného prevádzkovateľa, smie túto činnosť pre neho vykonávať len ako sprostredkovateľ.
		(8) Prevádzkovateľ je oprávnený odoprieť poskytnutie alebo sprístupnenie obsahu bezpečnostnej smernice podľa odsekov 2 a 3 a bezpečnostného projektu podľa odseku 4 a ich jednotlivých údajov, ktoré obsahujú; to neplatí, ak je žiadateľom úrad, alebo iný orgán, ktorému takéto oprávnenie vyplýva z osobitného predpisu.“.
Poznámka pod čiarou k odkazu 21a znie:
„21a) „Zákon č. 215/2004 Z. z.“.

32.	§ 17 vrátane nadpisu znie:
„§ 17
Poučenie oprávnenej osoby
 (1) Fyzická osoba sa stáva oprávnenou osobou dňom jej poučenia. Od tohto dňa je oprávnená spracúvať osobné údaje a zabezpečovať ochranu spracúvaných osobných údajov.
(2) Prevádzkovateľ je povinný poučiť vybrané fyzické osoby o ich právach a povinnostiach podľa tohto zákona a o zodpovednosti za porušenie ich povinností ešte pred uskutočnením prvej operácie s osobnými údajmi. V poučení je povinný uviesť najmä
a)  podmienky spracúvania osobných údajov,
b) práva a povinnosti oprávnenej osoby vyplývajúce prevádzkovateľovi z právneho dôvodu, ktorý 
  ho oprávňuje spracúvať osobné údaje, 
c) povinnosti oprávnenej osoby, ktoré sa týkajú poskytovania  informácií  dotknutým osobám v  
  súvislosti so získavaním ich osobných údajov a s uplatňovaním ich práv, 
d)  identifikačné označenie informačného systému, do ktorého má oprávnená osoba prístup.
	      (3) Prevádzkovateľ je povinný o poučení oprávnenej osoby vyhotoviť písomný záznam. Záznam o poučení obsahuje
a)  titul, meno, priezvisko, dátum narodenia, pracovné zaradenie alebo funkciu a podpis oprávnenej  
      osoby,   
b)		titul, meno, priezvisko, pracovné zaradenie alebo funkciu a podpis toho, kto vykonal poučenie,
c)   informácie v rozsahu odseku 2,
d)		deň poučenia, a
e)		deň, odkedy osoba prestala byť oprávnenou osobou; tento údaj doplní prevádzkovateľ po 
 ukončení jej činnosti ako oprávnenej osoby.
	 (4) Záznam o poučení oprávnenej osoby je prevádzkovateľ povinný uchovávať
a)		v osobnom spise oprávnenej osoby,
b)		so zmluvou, ak oprávnená osoba nie je zamestnancom, alebo
c)		s poverením, ak oprávnená osoba je aj zodpovednou osobou (§ 19 ods. 2).
	(5) Prevádzkovateľ je povinný opätovne poučiť svoju oprávnenú osobu, ak došlo k podstatnej zmene jej pracovného zaradenia alebo funkcie, a tým sa významne zmenili jej pracovné povinnosti, alebo sa podstatne zmenili podmienky spracúvania osobných údajov alebo rozsah spracúvaných osobných údajov v rámci jej pracovného zaradenia alebo výkonu funkcie.
(6) Prevádzkovateľ je povinný aktualizovať register svojich oprávnených osôb do 10. dňa v kalendárnom mesiaci za obdobie predchádzajúceho kalendárneho mesiaca a údaje v ňom uchovávať najmenej päť rokov po uplynutí kalendárneho roka, v ktorom boli do registra zapísané. Register oprávnených osôb obsahuje 
a) 	titul, meno, priezvisko, dátum narodenia a pracovné zaradenie alebo funkciu oprávnenej osoby,
b) 	identifikačné označenie informačného systému, do ktorého má oprávnená osoba prístup,
c) 	deň poučenia, 
d) 	deň, odkedy osoba prestala byť oprávnenou osobou podľa odseku 3 písm. e).“. 

33.	V § 19 odsek 2 znie:
	„(2) Ak prevádzkovateľ spracúva osobné údaje a zabezpečuje ochranu spracúvaných osobných údajov prostredníctvom najmenej piatich oprávnených osôb, je povinný výkonom dohľadu podľa odseku 1 poveriť zodpovednú osobu alebo viaceré zodpovedné osoby. Poverenie je časovo neobmedzené. Tým nie je dotknutá zodpovednosť prevádzkovateľa podľa odseku 1. Poverenie sa vyhotovuje písomne v takom počte vyhotovení, aby najmenej dve vyhotovenia zostali prevádzkovateľovi, jedno vyhotovenie prevádzkovateľ odovzdá zodpovednej osobe a jedno odovzdá úradu. Poverenie obsahuje 
a)	identifikačné údaje prevádzkovateľa a poverenej zodpovednej osoby, 
b)	dátum začiatku platnosti poverenia, 
c)	vyhlásenie prevádzkovateľa o tom, že poverená osoba spĺňa predpoklady podľa tohto zákona,
d)	poznámku „poverenie prijímam“ doplnenú podpisom poverenej osoby,
e)	odtlačok pečiatky prevádzkovateľa, ak ju má,
f)	podpis štatutárneho orgánu prevádzkovateľa alebo inej osoby oprávnenej konať v mene prevádzkovateľa, 
g)	dátum vyhotovenia a 
h)	prílohu, ktorou je záznam o poučení podľa § 17 ods. 4.“. 

34.	V § 19 odseky 5 a 6 znejú:
„(5) Prevádzkovateľ je povinný doručiť úradu písomné poverenie zodpovednej osoby bezodkladne  po jej poverení, najneskôr do 30 dní odo dňa poverenia zodpovednej osoby doporučenou zásielkou.  
	 (6) Ak počas výkonu činnosti zodpovednej osoby dôjde k zmene v identifikačných údajoch uvedených v písomnom poverení podľa odseku 2 písm. a), prevádzkovateľ je povinný vyhotoviť nové písomné poverenie zodpovednej osoby s poznámkou „Aktualizované“ a bezodkladne ho doručiť úradu doporučenou zásielkou.“.

35.	V § 19 ods. 7 písmená f) a g) znejú:
„f) vypracovanie bezpečnostnej smernice, bezpečnostného projektu a dohliada na vykonanie technických, organizačných a personálnych opatrení v súlade s týmto zákonom,
 g) dohľad nad výberom sprostredkovateľa a prípravou zmluvy s ním v súlade s týmto zákonom; počas trvania zmluvného vzťahu preveruje dodržiavanie zmluvných podmienok a stav bezpečnosti spracúvaných osobných údajov v informačných systémoch sprostredkovateľa a subdodávateľa,“.

36.	V § 19 odseky 8 a 9 znejú:
	„(8) Ak prevádzkovateľ spracúva osobné údaje a zabezpečuje ochranu spracúvaných osobných údajov prostredníctvom menej ako piatich oprávnených osôb smie výkonom dohľadu podľa odseku 1 poveriť zodpovednú osobu.
	(9) Zodpovedná osoba má postavenie oprávnenej osoby prevádzkovateľa s právom prístupu do informačných systémov prevádzkovateľa a sprostredkovateľa v rozsahu potrebnom na plnenie úloh podľa odseku 7.“.

37.	V § 19 odsek 12 znie: 
	„(12) Zodpovednou osobou smie byť len fyzická osoba, ktorá má spôsobilosť na právne úkony v plnom rozsahu a spĺňa podmienku bezúhonnosti podľa § 35 ods. 4. Výpis z registra trestov doloží fyzická osoba prevádzkovateľovi najneskôr v deň vystavenia poverenia podľa odseku 2 a ten ho uchováva spolu s poverením počas výkonu činnosti zodpovednej osoby; táto povinnosť sa nevzťahuje na fyzickú osobu, ktorá preukazuje prevádzkovateľovi bezúhonnosť odpisom z registra trestov z dôvodu funkčného, pracovného alebo služobného zaradenia. Zodpovednou osobou nesmie byť štatutárny orgán ani iná osoba oprávnená konať v mene prevádzkovateľa, oprávnená osoba ani iný zamestnanec sprostredkovateľa.“. 

38.	§ 19 sa dopĺňa odsekmi 13 až 19, ktoré znejú:
	„(13) Zodpovedná osoba, ktorá prestane spĺňať predpoklady podľa odseku 12, je povinná bezodkladne oznámiť túto skutočnosť prevádzkovateľovi.  
	 (14) Prevádzkovateľ je oprávnený kedykoľvek zrušiť poverenie zodpovednej osoby. Prevádzkovateľ je povinný bezodkladne zrušiť poverenie zodpovednej osoby, ak prestane spĺňať predpoklady podľa odseku 12. 
       (15) Prevádzkovateľ je povinný zrušenie poverenia zodpovednej osoby urobiť písomne v troch vyhotoveniach, pričom jedno vyhotovenie 
a)   odovzdá zodpovednej osobe, ktorej zrušil poverenie,
b)   ponechá v registratúre a 
c)   odovzdá úradu. 
		  (16) Písomné vyhotovenie zrušenia poverenia zodpovednej osoby obsahuje 
a)  	identifikačné údaje prevádzkovateľa a zodpovednej osoby, ktorej bolo zrušené poverenie,
b) 	dátum ukončenia platnosti poverenia, 
c)	odtlačok pečiatky prevádzkovateľa, ak ju má,  
d) 	podpis štatutárneho orgánu prevádzkovateľa alebo inej osoby oprávnenej konať v mene 
      prevádzkovateľa, 
e)	dátum vyhotovenia a
f)		dôvod zrušenia poverenia.
	(17) Poverenie zodpovednej osoby zaniká 
a)   smrťou zodpovednej osoby,
b) dňom skončenia štátnozamestnaneckého pomeru, pracovnoprávneho vzťahu, obdobného pracovného vzťahu alebo služobného pomeru zodpovednej osoby, ak je zamestnancom prevádzkovateľa, 
c)   dňom zániku prevádzkovateľa,  
d)  30. dňom nasledujúcim po dni, v ktorom prevádzkovateľ prevzal písomnú žiadosť zodpovednej osoby o zrušenie jej poverenia zodpovednej osoby, ak nedošlo k inej dohode o lehote zániku. 
	(18) Ak prevádzkovateľ nahradí zodpovednú osobu inou zodpovednou osobou, prevádzkovateľ je povinný postupovať podľa odseku 5 a k oznámeniu doložiť zrušenie poverenia doterajšej zodpovednej osoby alebo namiesto neho v oznámení uviesť dôvod a deň zániku poverenia podľa odseku 2. 
	(19) Ak prevádzkovateľ zruší poverenie zodpovednej osoby, alebo dôjde k zániku jej poverenia a nepostupuje podľa odseku 18, je povinný bez zbytočného odkladu túto skutočnosť oznámiť úradu. Prevádzkovateľ je povinný k oznámeniu doložiť poverenie zodpovednej osoby, a zrušenie poverenia zodpovednej osoby alebo namiesto neho v oznámení uviesť dôvod a deň zániku poverenia podľa odseku 2.“. 

39.	V § 20 ods. 1 písmená e) a f) znejú:
„e)  likvidáciu jej osobných údajov, ktoré spracúva bez právneho dôvodu alebo ich spracúva po zániku právneho dôvodu v rozpore s § 13 ods. 1,  
  f) blokovanie jej osobných údajov, ktoré spracúva na základe súhlasu dotknutej osoby z dôvodu odvolania súhlasu pred uplynutím času jeho platnosti,“.

40.	V § 20 sa odsek 1 dopĺňa písmenami g) až j), ktoré znejú:
„g)  blokovanie jej osobných údajov, ktoré spracúva z dôvodu prípravy uzatvorenia zmluvy na základe § 7 ods. 4 písm. b), ak nedošlo k uzatvoreniu zmluvy, 
  h)  blokovanie jej osobných údajov, ktoré spracúva na základe § 7 ods. 4 písm. d),
  i)  uchovanie jej osobných údajov v stave, v akom sa práve nachádzajú, ak sa tým má zabrániť ich pozmeneniu alebo likvidácii z dôvodu zachovania dôkazu; prevádzkovateľ na tento účel vytvorí v informačnom systéme osobitný súbor s kópiami požadovaných osobných údajov a dokumentov, zablokuje ich a na vyžiadanie dotknutej osoby jej ich sprístupní v rozsahu podľa písmena j), 
  j)  nazretie do tej časti informačného systému, v ktorej sú spracúvané jej osobné údaje, a získať z nej výpisy, odpisy alebo kópie z originálnych nosičov dát s údajmi v papierovej forme alebo v elektronickej forme, pričom prevádzkovateľ urobí opatrenia, aby nazretím neoprávnene neohrozil tajomstvo chránené osobitným zákonom alebo neoprávnene nesprístupnil osobné údaje inej dotknutej osoby; ak nazretie do tej časti informačného systému, v ktorej sú spracúvané osobné údaje dotknutej osoby automatizovanými prostriedkami spracúvania prevádzkovateľ preukázateľne nevie zabezpečiť tak, aby neohrozil bezpečnosť spracúvaných údajov v informačnom systéme, je povinný obsah príslušnej časti informačného systému vytlačiť v papierovej forme a v takejto podobe sprístupniť časť informačného systému s údajmi dotknutej osobe.“.

41.	V § 20 odsek 5 znie:
	„(5) Ak dotknutá osoba uplatní svoje právo
a) 	písomne a z obsahu jej žiadosti vyplýva, že uplatňuje svoje právo, žiadosť sa považuje za podanú podľa tohto zákona; prevádzkovateľ je povinný vybaviť ju podľa tohto zákona,
b)	 osobne ústne do zápisnice; zo zápisnice musí byť zrejmé, kto právo uplatnil, čoho sa domáha a
 kedy a kto vyhotovil zápisnicu, jeho podpis a podpis dotknutej osoby; kópiu zápisnice musí  
 prevádzkovateľ odovzdať dotknutej osobe, 
c)  u sprostredkovateľa podľa písmena a) alebo písmena b), je ten povinný túto žiadosť alebo 
       zápisnicu odovzdať prevádzkovateľovi bez zbytočného odkladu.“.

42.	V § 21 ods. 1 sa slovo „f)“ nahrádza slovom „i)“.

43.	V § 21 ods. 2 sa slová „b) a c)“ nahrádzajú slovami „b), c) a j)“.

44.	Doterajší text § 22 sa označuje ako odsek 1 a dopĺňa sa odsekom 2, ktorý znie:
	„(2) Ak prevádzkovateľ nevyhovie námietke dotknutej osoby uplatnenej podľa § 20 ods. 4 písm. a), alebo ak prevádzkovateľ nevyhovie žiadosti dotknutej osoby o preskúmanie rozhodnutia podľa § 20 ods. 4 písm. b), je povinný to dotknutej osobe oznámiť bez zbytočného odkladu a súčasne predložiť úradu kópie úplnej korešpondencie medzi prevádzkovateľom a dotknutou osobou vo veci, s písomným odôvodnením zamietnutia námietky.“.
            
45.	§ 23 vrátane nadpisu znie:

„§ 23
 Prenos osobných údajov do tretích  krajín

	(1) Prenos osobných údajov do tretej  krajiny, ktorá zaručuje primeranú úroveň ochrany osobných údajov, možno uskutočniť, ak prevádzkovateľ dotknutej osobe predtým poskytol informácie podľa § 10a ods. 1 až 3, alebo podľa § 10b ods. 1. Týmto nie je dotknuté ustanovenie odseku 11. Rozhodnutie o primeranej úrovni ochrany osobných údajov vydáva Európska komisia. 26a)
	(2) Prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, možno uskutočniť, ak  
a)	dotknutá osoba dala naň súhlas písomne alebo iným hodnoverným spôsobom s vedomím, že tretia krajina nezaručuje primeranú  úroveň ochrany, alebo
b)	je plnením zmluvy medzi dotknutou osobou a prevádzkovateľom alebo ide o prenos osobných údajov na žiadosť dotknutej osoby, alebo
c)	je nevyhnutný na uzavretie zmluvy alebo na plnenie zmluvy, ktorú prevádzkovateľ uzavrel v záujme dotknutej osoby s treťou osobou, alebo
d)   je nevyhnutný alebo požadovaný na základe zákona z dôvodu zabezpečenia dôležitého verejného záujmu, alebo je nevyhnutný na výkon medzinárodnej zmluvy alebo pri preukazovaní, uplatňovaní alebo obhajovaní právnych nárokov vyplývajúcich zo zákona alebo z medzinárodnej zmluvy, alebo 
e)	je nevyhnutný na ochranu života, zdravia alebo majetku dotknutej osoby, ktorá trvale alebo dočasne nemá spôsobilosť na právne úkony, ak nemožno získať súhlas jej zákonného zástupcu, alebo
f)	sa týka osobných údajov, ktoré sú súčasťou zoznamov, registrov alebo operátov  vedených podľa osobitných zákonov verejne prístupných alebo sprístupnených tým, ktorí preukážu právny dôvod na ich sprístupnenie pri splnení zákonom ustanovených podmienok, alebo
g) 	prevádzkovateľ uvedie primerané záruky ochrany súkromia a základných práv a slobôd jednotlivcov a výkonu príslušných práv; takéto záruky pochádzajú predovšetkým  zo štandardných zmluvných doložiek podľa príslušného rozhodnutia Európskej komisie alebo  záväzných vnútropodnikových pravidiel prevádzkovateľa schválených príslušným orgánom dozoru v oblasti ochrany osobných údajov.
	(3) Ak ide o prenos osobných údajov o osobách v pracovnoprávnom pomere alebo v obdobnom pracovnom vzťahu, prevádzkovateľ je povinný prijať primerané záruky ochrany súkromia a ochrany osobných údajov podľa odseku 2 písm. g).
	(4) Ak prevádzkovateľ so sídlom, miestom podnikania alebo trvalým pobytom v Slovenskej republike poverí spracúvaním osobných údajov sprostredkovateľa so sídlom v tretej krajine, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, ktorý ich bude spracúvať v mene prevádzkovateľa a podľa jeho pokynov, je povinný s ním uzavrieť písomnú zmluvu, ktorá bude upravovať prenos osobných údajov do príslušnej krajiny. Zmluva musí obsahovať jednoznačne a zreteľne vymedzený účel spracúvania osobných údajov a primerané záruky ochrany osobných údajov, ktorými sú štandardné zmluvné doložky určené na prenos osobných údajov sprostredkovateľom v tretej krajine. 26b)
	(5) Na prenos osobných údajov podľa odseku 4 sa vyžaduje súhlas úradu. Žiadosť prevádzkovateľa úrad hodnotí na základe zákona a  okolností prenosu, s ktorými bol oboznámený. Prevádzkovateľ je povinný vo svojej písomnej žiadosti uviesť
a)  identifikačné údaje zmluvných strán, 
b)  účel prenosu osobných údajov,
c)  predpokladané spracovateľské operácie v tretej krajine,
d)  zoznam prenášaných osobných údajov, 
e)  okruh dotknutých osôb a
f)   dobu uchovávania osobných údajov.
	(6) Prílohou žiadosti podľa odseku 5 je zmluva o prenose osobných údajov v slovenskom jazyku alebo jej úradný preklad do slovenského jazyka.
	(7) Úrad o žiadosti podľa odseku 5 rozhodne do 30  dní odo dňa doručenia všetkých dokumentov potrebných na vydanie rozhodnutia. Ak úradu nebudú doručené všetky dokumenty ustanovené v odsekoch 5 a 6 alebo ak neobsahujú všetky skutočnosti podľa odseku 5, úrad je oprávnený dobu posudzovania žiadosti primerane predĺžiť. Zároveň vyzve prevádzkovateľa na ich dodanie alebo doplnenie.  
	(8) Ak prevádzkovateľ so sídlom, miestom podnikania alebo trvalým pobytom v Slovenskej republike zamýšľa prenášať osobné údaje inému prevádzkovateľovi v tretej krajine, ktorá nezaručuje primeranú úroveň ochrany osobných údajov, je povinný s ním uzavrieť zmluvu, upravujúcu takýto prenos. Zmluva musí obsahovať jednoznačne a zreteľne vymedzený účel spracúvania osobných údajov a primerané záruky ochrany osobných údajov. Takéto záruky vyplývajú predovšetkým zo štandardných zmluvných doložiek určených na prenos osobných údajov prevádzkovateľom. 26c)
	(9) Zmluva o prenose osobných údajov obsahuje najmä náležitosti podľa odseku 5 písm. a) až f), aj keď prevádzkovateľ alebo sprostredkovateľ so sídlom, miestom podnikania alebo trvalým pobytom v Spojených štátoch amerických pristúpil k Zásadám bezpečného prístavu.26d)
	(10) Na prenos osobných údajov podľa odsekov 8 a 9 sa nevyžaduje súhlas úradu. 
	(11) Ak osobitný zákon neustanovuje inak, prevádzkovateľ je oprávnený uskutočniť prenos osobitných kategórií osobných údajov príjemcovi so sídlom v tretej krajine iba s písomným súhlasom dotknutej osoby.
	(12) Ten, kto uskutočňuje prenos osobných údajov, musí zaručiť ich bezpečnosť aj počas tohto prenosu.
	(13) Ochrana osobných údajov, prenesených na územie Slovenskej republiky od  vývozcu so sídlom, miestom podnikania alebo s trvalým pobytom v tretej krajine sa vykonáva v súlade s týmto zákonom.
	(14) Ak sú pochybnosti o tom, či možno vykonať prenos osobných údajov, rozhodne úrad. Rozhodnutie úradu je záväzné.“. 

Poznámky pod čiarou k odkazom 26a až 26d znejú:
„26a) Napríklad Rozhodnutie komisie z 26. júla 2000 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov poskytovaných vo Švajčiarsku (2000/518/ES) (Ú. v. ES L 215, 25.8.2000).
26b) Rozhodnutie komisie z 5. februára 2010 o štandardných zmluvných doložkách pre prenos osobných údajov spracovateľom usadeným v tretích krajinách podľa smernice Európskeho parlamentu a Rady 95/46/ES (2010/87/EÚ) (Ú. v. EÚ L 39,12.02.2010).
26c) Napríklad Rozhodnutie komisie z 27. decembra 2004 ktorým sa mení a dopĺňa rozhodnutie 2001/497/ES o zavedení alternatívneho súboru o štandardných zmluvných doložkách na prenos osobných údajov do tretích krajín (20047/915/ES) (Ú. v. EU L 385, 29.12.2004).
26d) Rozhodnutie komisie z 26. júna 2000 v súlade so smernicou Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej zásadami „bezpečného prístavu“ a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu USA (2000/520/ES) (Ú. v. ES L 215, 25.08.2000).“.

46.	V § 23a odseky 2 a 3 znejú:
	„(2) Prevádzkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom na území Slovenskej republiky, ktorý zároveň spracúva osobné údaje prostredníctvom sprostredkovateľov na území jedného alebo viacerých členských štátov Európskej únie je povinný zabezpečiť, aby konali podľa jeho pokynov a v súlade s právnym poriadkom uplatňovaným v Slovenskej republike; to neplatí pre technické a organizačné bezpečnostné opatrenia prijaté sprostredkovateľom na ochranu osobných údajov.   
	(3) Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov podľa § 1 ods. 3 písm. b) je povinný pred začatím spracúvania vymenovať svojho zástupcu so sídlom, miestom podnikania alebo trvalým pobytom na území Slovenskej republiky. Tým nie je dotknuté právo úradu podnikať právne kroky proti prevádzkovateľovi, ktorý zástupcu vymenoval. Originál dokladu vymenovania za zástupcu prevádzkovateľa musí byť overený orgánom  príslušným na jeho overenie v príslušnej krajine a súčasne opatrený odtlačkom pečiatky zastupiteľského úradu Slovenskej republiky v tejto krajine.“. 
47.	§ 23a sa dopĺňa odsekom 4, ktorý znie:
	„(4) Prevádzkovateľ so sídlom, miestom podnikania alebo s trvalým pobytom na území Slovenskej republiky pri prenose osobných údajov prevádzkovateľovi v inom členskom štáte Európskej únie je povinný prijať primerané záruky zachovania práv a právom chránených záujmov dotknutých osôb.“.

48.	V § 26 odsek 3 znie:
	„(3) Pri registrácii informačného systému je prevádzkovateľ povinný uviesť úradu tieto údaje:  
a)	identifikačné údaje prevádzkovateľa,  
b)	meno a priezvisko štatutárneho orgánu prevádzkovateľa alebo inej osoby oprávnenej konať v mene prevádzkovateľa,
c)	 identifikačné údaje zástupcu prevádzkovateľa, ak je ustanovený,  
d)	 meno a priezvisko štatutárneho orgánu zástupcu prevádzkovateľa alebo inej osoby oprávnenej konať v mene zástupcu prevádzkovateľa, 
e)	názov informačného systému,  
f)	účel spracúvania osobných údajov, 
g)	 právny dôvod spracúvania osobných údajov; ak je právny dôvod ustanovený podľa § 7 ods. 1 
písm. a) až d), oznámi presné označenie, názov a príslušné ustanovenie právneho predpisu,         
h)	okruh dotknutých osôb,
i)	zoznam osobných údajov, alebo rozsah osobných údajov podľa § 7 ods. 6 prvej vety, 
j)	identifikačné údaje tretích strán, alebo okruh tretích strán podľa § 7 ods. 6 druhej vety, ak  prevádzkovateľ osobné údaje tretím stranám ako príjemcom poskytuje a dôvod ich poskytovania, 
k)	okruh príjemcov, ak prevádzkovateľ osobné údaje príjemcom sprístupňuje a dôvod ich 
sprístupnenia, 
l)	spôsob zverejnenia, ak prevádzkovateľ osobné údaje zverejňuje a dôvod ich zverejnenia, 
m)	zoznam krajín, ak prevádzkovateľ uskutočňuje cezhraničný tok osobných údajov a dôvod ich cezhraničného toku, 
n)	prostriedky a spôsob spracúvania osobných údajov,
o)	opatrenia prijaté na zabezpečenie ochrany osobných údajov; uvedie sa bezpečnostná 
smernica alebo bezpečnostný projekt, 
p)	deň, kedy sa začnú spracúvať osobné údaje v informačnom systéme; ak sa prihlasuje fungujúci 
informačný systém, uvedie sa skutočný deň začatia spracúvania osobných údajov.“.

49.	V § 27 odsek 2 znie:
	„(2) Osobitná registrácia je potrebná na informačný systém, v ktorom prevádzkovateľ spracúva
a)	aspoň jeden z osobných údajov uvedených v § 8 ods. 1 a zároveň sa požaduje prenos osobných údajov do tretej krajiny, ktorá nezaručuje primeranú úroveň ochrany osobných údajov,
b)	osobné údaje na základe § 7 ods. 4 písm. g),
c)	osobné údaje na základe § 9 ods. 3,
d)	osobné údaje na základe § 10 ods. 7.“.

50.	§ 27 sa dopĺňa odsekom 10, ktorý znie:
	„(10) Úrad zruší osobitnú registráciu informačného systému a zakáže ďalšie spracúvania osobných údajov, ak prevádzkovateľ alebo tretia strana spracúva osobné údaje v rozpore so zákonom alebo dobrými mravmi. Prevádzkovateľ je povinný bez zbytočného odkladu osobné údaje spracúvané v informačnom systéme zablokovať a následne aj zlikvidovať v úradom určenej lehote; táto povinnosť sa vzťahuje aj na tretiu stranu. Prevádzkovateľ, ktorý poskytol osobné údaje z informačného systému, ich zablokovanie a zlikvidovanie oznámi podľa § 14.“. 

51.	V § 29 odsek 2 znie:
	„(2) Prevádzkovateľ je povinný viesť a aktualizovať evidenciu podľa odseku 1 až do dňa ukončenia spracúvania osobných údajov v informačnom systéme.“.
 
52.	V § 33 sa za odsek 3 vkladá nový odsek 4, ktorý znie:
     „(4) Ak osobné údaje spracúva Národný bezpečnostný úrad, kontrolu spracúvania osobných údajov v jeho informačných systémoch (§ 38 ods. 1 písm. h)) vykonáva Národná rada Slovenskej republiky podľa osobitného zákona.27)“.
Doterajšie odseky 4 až 6 sa označujú ako odseky 5 až 7.
Poznámka pod čiarou k odkazu 27 znie:
„27) § 60 zákona Národnej rady Slovenskej republiky č. 350/1996 Z. z. o rokovacom poriadku Národnej rady Slovenskej republiky v znení zákona č. 215/2004 Z. z.“.

53.	V § 35 ods. 8 sa slová „podľa osobitného predpisu“ nahrádzajú slovami „za podmienok ustanovených osobitným zákonom.30)“.
Poznámka pod čiarou k odkazu 30 znie:
„30) Zákon č. 215/2004 Z. z.“.

54.	§ 38 sa dopĺňa odsekom 4, ktorý znie:
	„(4) Zamestnanci úradu sú pri výkone dozoru nad ochranou osobných údajov podľa odseku 1 oprávnení oboznamovať sa s utajovanými skutočnosťami za podmienok ustanovených osobitným zákonom30) a so skutočnosťami, na ktoré sa vzťahuje povinnosť mlčanlivosti.“.

55.	V § 39 ods. 2 písm. a) sa čiarka nahrádza bodkočiarkou a pripájajú sa tieto slová: „ak to nie je možné z dôvodu obavy zo zmarenia účelu kontroly alebo podstatného sťaženia dokazovania, urobí tak po vykonaní úkonov nevyhnutných na zabezpečenie kontrolných zistení,“.
 
56.	V § 46 ods. 1 písm. b) šiestom bode sa slová „zrušiť písomné poverenie alebo písomnú“ nahrádzajú slovom „vypovedať“.

57.	§ 49 vrátane nadpisu znie:
 „§ 49
   Správne delikty 
(1)	Úrad môže uložiť pokutu od 330 eur do 33 000 eur prevádzkovateľovi, ak
a)	neoznámil dotknutej osobe informáciu o poverení sprostredkovateľa podľa § 5 ods. 9,
b)	neoznámil dotknutej osobe ako nový prevádzkovateľ zmenu prevádzkovateľa podľa § 5 ods. 10,  
c)	uzatvoril so sprostredkovateľom zmluvu podľa § 6a ods. 4, ktorá nemá náležitosti podľa § 6a ods. 
      5,
d)	neoznámil zistené nedostatky tretím stranám podľa § 14 ods. 1, alebo nevie pri kontrole preukázať úradu, že upustenie od oznámenia podľa § 14 bolo dôvodné,
e)	prijal oznámenie ako tretia strana podľa § 14 ods. 1 a nevykonal opatrenia v rozsahu a spôsobom podľa § 14 ods. 2,  
f)	vystavil zodpovednej osobe písomné poverenie, ktoré nemá náležitosti podľa § 19 ods. 2,
g)	nezabezpečil vyškolenie zodpovednej osoby podľa § 19 ods. 3,
h)	neinformoval úrad o poverení zodpovednej osoby podľa § 19 ods. 5, alebo nesplnil povinnosť podľa § 19 ods. 6, 
i)	neinformoval úrad o výmene zodpovednej osoby podľa § 19 ods. 18,
j)	neumožnil, rušil, maril alebo inak sťažoval zodpovednej osobe plnenie jej povinností podľa § 19 ods. 7, alebo konal v rozpore s § 19 ods. 9, 10 alebo ods. 17 písm. d),
k)	nezrušil poverenie zodpovednej osoby, keď prestala spĺňať predpoklady podľa § 19 ods. 12,  alebo nezrušil poverenie zodpovednej osoby podľa § 19 ods. 15 a 16, alebo neinformoval úrad o zrušení poverenia zodpovednej osoby podľa § 19 ods. 19.
(2) Úrad môže uložiť pokutu od 330 eur do 33 000 eur prevádzkovateľovi alebo sprostredkovateľovi, ak  
a)	spracúva osobné údaje na účel identifikácie fyzickej osoby pri jej jednorazovom vstupe do priestorov prevádzkovateľa v rozpore s § 10 ods. 4, 
b)	poskytol osobné údaje spracúvané na účel priameho marketingu v rozpore s § 10 ods. 9, alebo nevedie zoznam poskytnutých osobných údajov na účel priameho marketingu v rozsahu alebo spôsobom podľa § 10 ods. 9, alebo pri spracúvaní osobných údajov nepostupuje spôsobom podľa § 10 ods. 9,
c)	neoznačil monitorovaný priestor v rozsahu alebo spôsobom podľa § 10a ods. 10,
d)	určil lehotu uloženia registratúrneho záznamu v rozsahu, ktorý je v rozpore s podmienkami ustanovenými v § 13 ods. 4 písm. d), alebo nevie úradu zdôvodniť určený počet rokov uloženia registratúrneho záznamu pri použití podmienok ustanovených v § 13 ods. 4 písm. d),
e)	nevyhotovil písomný záznam o poučení podľa § 17 ods. 3, 
f)	spracúva osobné údaje alebo zabezpečuje ich ochranu prostredníctvom osôb, ktoré nemajú alebo nemôžu mať postavenie oprávnených osôb podľa tohto zákona, 
g)	neposkytol úradu pomoc alebo súčinnosť v postavení tretej osoby podľa § 44 ods. 1, 
h)	neumožnil úradu vykonať dozor nad dodržiavaním povinností podľa tohto zákona alebo rozhodnutí vydaných na jeho základe podľa § 4a ods. 7.
	(3) Úrad môže uložiť pokutu od 1 000 eur do 100 000 eur prevádzkovateľovi, ak 
a)	nepoučil oprávnenú osobu v rozsahu alebo spôsobom podľa § 5 ods. 7, alebo nepoučil opätovne svoju oprávnenú osobu, ak boli splnené podmienky ustanovené v § 17 ods. 5,
b)	nesplnil povinnosť ustanovenú v § 19 ods. 2 poveriť zodpovednú osobu výkonom dohľadu,
c)	nedodržal povinnosť, ktorú podľa tohto zákona zabezpečuje zodpovedná osoba podľa § 19 ods. 7,
d)	poveril výkonom dohľadu fyzickú osobu, ktorá nespĺňa predpoklady podľa § 19 ods. 12, 
e)	neposkytol dotknutej osobe požadované informácie v rozsahu alebo zákonom ustanoveným spôsobom podľa § 20 ods. 1, alebo ods. 2,
f)	nevyhovel námietke dotknutej osoby uplatnenej podľa § 20 ods. 3 v rozsahu alebo spôsobom podľa tohto zákona, 
g)	nepreskúmal námietku dotknutej osoby uplatnenú podľa § 20 ods. 4 písm. a) v rozsahu alebo spôsobom podľa tohto zákona, alebo postupoval v rozpore s § 20 ods. 4 písm. a), 
h)	nepreskúmal vydané rozhodnutie v rozsahu alebo spôsobom podľa § 20 ods. 4 písm. b), alebo postupoval v rozpore s § 20 ods. 4 písm. b),
i)	bezdôvodne obmedzil alebo odoprel uplatnené právo dotknutej osobe podľa tohto zákona,
j)	nesplnil požiadavky dotknutej osoby v rozsahu alebo spôsobom podľa § 21 ods. 1 a 2, 
k)	nevyhovel požiadavkám dotknutej osoby uplatneným podľa § 20 spôsobom alebo v lehote podľa § 21 ods. 3,
l)	neoznámil obmedzenie práva dotknutej osoby podľa § 22,
m)	uskutočnil cezhraničný tok osobných údajov, hoci na ich prenos nebol dôvod podľa § 23,
n)	nesplnil povinnosť registrácie informačného systému podľa tohto zákona, alebo nesplnil niektorú povinnosť súvisiacu s registráciou informačného systému podľa § 28,
o)	nesplnil povinnosť osobitnej registrácie informačného systému podľa tohto zákona, alebo nesplnil niektorú povinnosť súvisiacu s osobitnou registráciou informačného systému podľa § 27, 
p)	spracúva osobné údaje v informačnom systéme prihlásenom na osobitnú registráciu v rozpore s dobrými mravmi alebo v rozpore so zákonom, 
q)	nesplnil povinnosť vedenia evidencie informačného systému podľa tohto zákona, alebo nesplnil niektorú povinnosť súvisiacu s evidenciou informačného systému podľa § 29 alebo § 30, 
r)	nesprístupnil údaje z evidencie podľa § 32.
	(4) Úrad môže uložiť pokutu od 1 000 eur do 100 000 eur prevádzkovateľovi alebo sprostredkovateľovi, ak
a)	spracúva osobné údaje spôsobom, ktorý sa prieči dobrým mravom, alebo pri spracúvaní osobných údajov postupuje voči dotknutým osobám spôsobom, ktorý sa prieči dobrým mravom,
b)	si vynucuje súhlas dotknutej osoby alebo inak koná v rozpore s § 6 ods. 1 písm. i),
c)	nedodržal informačnú povinnosť podľa § 10 ods. 1, alebo ods. 2, alebo neposkytol dotknutej osobe informácie v rozsahu alebo spôsobom podľa § 10a, 10b alebo § 10c,
d)	spracúva osobné údaje na účel podpory marketingu v rozpore s § 10 ods. 3,
e)	spracúva úradný doklad obsahujúci osobné údaje alebo jeho kópiu zaznamenanú na nosič dát bez písomného súhlasu dotknutej osoby v rozpore s § 10 ods. 6, alebo spracúva na zákonom ustanovený účel úradný doklad obsahujúci osobné údaje alebo jeho kópiu zaznamenanú na nosič dát, ktorú zákon prevádzkovateľovi neustanovuje spracúvať, alebo spracúva úradný doklad obsahujúci osobné údaje alebo jeho kópiu zaznamenanú na nosič dát, ktorá obsahuje osobné údaje, ktoré nie sú nevyhnutné na dosiahnutie účelu spracúvania alebo nesúvisia s účelom spracúvania,
f)	nezabezpečil diskrétnosť pri spracúvaní osobných údajov v priestoroch prístupných verejnosti podľa § 10 ods. 5 tak, aby ujma dotknutej osoby na jej právach na ochranu osobných údajov bola zanedbateľná,
g)	monitoruje priestor prístupný verejnosti v rozsahu alebo spôsobom, ktorý je rozpore s týmto zákonom, alebo poskytol, sprístupnil alebo zverejnil záznam vyhotovený monitorovaním priestoru podľa § 10 ods. 7 bez právneho dôvodu alebo v rozpore s týmto zákonom,
h)	spracúva osobné údaje na účel priameho marketingu v rozpore s týmto zákonom, alebo pri spracúvaní osobných údajov na účel priameho marketingu nepostupuje v rozsahu alebo spôsobom podľa § 10 ods. 8,
i)	spracúva poskytnuté osobné údaje ako tretia strana na účel priameho marketingu v rozpore s týmto zákonom alebo nevedie zoznam poskytnutých osobných údajov na účel priameho marketingu v rozsahu alebo spôsobom podľa § 10 ods. 10,  
j)	nezlikvidoval záznam vyhotovený monitorovaním priestoru prístupného verejnosti podľa § 10 ods. 7 v lehote podľa § 13 ods. 7, alebo záznam vyhotovený podľa § 10 ods. 7 nezlikvidoval v lehote, ktorú mu ustanovuje osobitný zákon,
k)	nezlikvidoval osobné údaje spracúvané na účel priameho marketingu v rozsahu alebo spôsobom podľa § 13 ods. 4, alebo pri spracúvaní osobných údajov na účel priameho marketingu nepostupoval v rozsahu alebo spôsobom podľa § 13 ods. 4, 5, alebo ods. 6,
l)	nevedie register svojich oprávnených osôb v rozsahu alebo spôsobom podľa § 17 ods. 6, alebo nezapísal do registra svojich oprávnených osôb fyzickú osobu, prostredníctvom ktorej spracúva osobné údaje a zabezpečuje ich ochranu,
m)	falšoval alebo zmenil pôvodné údaje alebo informácie na listine, doklade alebo na inom nosiči dát, alebo falšovanú alebo zmenenú listinu, doklad alebo iný nosič dát predložil úradu alebo inak neoprávnene použil; toto ustanovenie sa prevádzkovateľa a sprostredkovateľa týka aj vtedy, ak pri predkladaní takejto listiny alebo iného nosiča dát úradu, alebo pri neoprávnenom použití, koná v postavení tretej osoby.
	(5) Úrad môže uložiť pokutu od 1 000 eur do 100 000 eur sprostredkovateľovi, ak 
a) 	spracúva osobné údaje v mene prevádzkovateľa bez uzatvorenej alebo platnej zmluvy podľa § 6a ods. 4 alebo bez vedomia prevádzkovateľa,
b)   nedodržal, obchádzal alebo porušil povinnosti podľa § 6b ods. 1,
c)  nepoučil oprávnenú osobu v rozsahu alebo spôsobom podľa § 6b ods. 3 alebo ods. 4, alebo 	nepoučil opätovne svoju 	oprávnenú osobu, ak boli splnené podmienky ustanovené v § 17 ods. 5,
d)	nezabezpečil prijatie a vykonanie opatrení podľa § 6a ods. 2 v rozsahu alebo spôsobom podľa § 	6b ods. 5,  
e)	neoznámil dotknutej osobe údaje v rozsahu alebo spôsobom podľa § 6b ods. 6.
	(6) Úrad môže uložiť pokutu od 1 650 eur do 165 000 eur prevádzkovateľovi, ktorý 
a)	neurčil podmienky spracúvania osobných údajov v rozsahu alebo spôsobom podľa § 5 ods. 4,
b)	spracúva osobné údaje vo vlastnom mene, hoci nevymedzil účel spracúvania osobných údajov podľa § 6 ods. 1 písm. a) alebo neurčil podmienky spracúvania osobných údajov podľa § 6 ods. 1 písm. b),
c)	neuzatvoril zmluvu podľa § 6a ods. 4 s osobou, ktorá spracúva osobné údaje v jeho mene,
d)	nevypracoval bezpečnostný projekt v rozsahu alebo spôsobom podľa tohto zákona, alebo nevykonal opatrenia, ktoré bol povinný prijať podľa tohto zákona v bezpečnostnom projekte, alebo nevykonal opatrenia, ktoré prijal v bezpečnostnom projekte,
e)	nedodržal povinnosti ustanovené týmto zákonom pri cezhraničnom toku osobných údajov podľa § 23, alebo podľa § 23a.
(7) Úrad môže uložiť pokutu od 1 650 eur do 165 000 eur prevádzkovateľovi alebo sprostredkovateľovi, ak 
a)	použil podmienky spracúvania osobných údajov, ktoré sú v rozpore s § 5 ods. 4,
b)	spracúva osobné údaje v rozpore s vymedzeným alebo ustanoveným účelom spracúvania,
c)	spracúva osobné údaje, ktoré nie sú nevyhnutné na dosiahnutie účelu ich spracúvania,
d)	nespracúva osobitne osobné údaje zhromaždené na rozdielne účely alebo ich združuje,
e)	spracúva osobné údaje vo forme alebo spôsobom, na ktorý nemá dôvod alebo ktorý nie je  
nevyhnutný na dosiahnutie účelu spracúvania,
f)	spracúva nesprávne, neúplné alebo neaktuálne osobné údaje, alebo nepostupoval podľa § 6 ods. 1 písm. f),
g)	spracúva osobné údaje v rozpore s  podmienkami ustanovenými v § 6 ods. 3, 
h)	spracúva zhromaždené osobné údaje na iný účel, ktorý je nezlučiteľný s pôvodným účelom spracúvania, v rozpore s § 6 ods. 4,
i)	spracúva osobné údaje bez právneho dôvodu alebo v rozpore s ním,
j)	spracúva na účel ustanovený zákonom osobné údaje vo väčšom rozsahu, než ustanovuje osobitný zákon alebo ním ustanovený zoznam osobných údajov, alebo spracúva osobné údaje o dotknutých osobách, ktoré nepatria do okruhu dotknutých osôb ustanoveného zákonom,
k)	spracúva na účel ustanovený priamo vykonateľným právne záväzným aktom Európskej únie, alebo medzinárodnou zmluvou, osobné údaje vo väčšom rozsahu, než ustanovuje, 
l)	spracúva osobné údaje vo forme alebo spôsobom, ktorý zákon, priamo vykonateľný právne záväzný akt Európskej únie, alebo medzinárodná zmluva, neustanovuje alebo neumožňuje,
m)	spracúva osobné údaje na základe súhlasu dotknutej osoby v rozpore s týmto zákonom, alebo nepostupuje pri spracúvaní osobných údajov na základe súhlasu dotknutej osoby podľa § 7 ods. 10,
n)	spracúva osobné údaje dotknutej osoby získané od inej fyzickej osoby v rozpore s § 7 ods. 5,
o)	spracúva osobitné kategórie osobných údajov v rozsahu alebo spôsobom, ktorý je v rozpore s § 8, alebo § 9,
p)	obmedzil práva alebo narušil súkromie dotknutých osôb alebo iných osôb monitorovaním priestoru alebo použitím záznamu vyhotoveného monitorovaním priestoru,
q)	nepostupoval pri vyraďovaní registratúrneho záznamu obsahujúceho osobné údaje podľa § 13 ods. 2 alebo ods. 3, alebo nezlikvidoval vyradené registratúrne záznamy obsahujúce osobné údaje bez trvalej dokumentárnej hodnoty v lehote alebo spôsobom podľa § 13 ods. 2 alebo ods. 3,
r)	nevypracoval bezpečnostnú smernicu v rozsahu alebo spôsobom podľa tohto zákona, alebo nevykonal opatrenia, ktoré bol povinný prijať podľa tohto zákona v bezpečnostnej smernici, alebo nevykonal opatrenia, ktoré prijal v bezpečnostnej smernici,
s)	zapríčinil alebo nezabránil poškodeniu, zničeniu, strate, zmene alebo úniku osobných údajov, alebo umožnil neoprávneným osobám nedovolený prístup k osobným údajom alebo inak ohrozil bezpečnosť spracúvaných osobných údajov, 
t)	zneužil alebo neoprávnene použil spracúvané osobné údaje.
	(8) Úrad môže uložiť pokutu od 1 650 eur do 330 000 eur prevádzkovateľovi, ak  
a) 	porušil súbežne tri alebo viaceré ustanovenia tohto zákona alebo iných zákonov, za ktoré mu možno uložiť pokutu podľa odseku 4, 6 alebo odseku 7,
b)	ohrozil viac než 10 % z počtu dotknutých osôb, o ktorých spracúva osobné údaje v informačnom systéme na ich právach alebo neoprávnene zasiahol do ich súkromného alebo rodinného života konaním, za ktoré mu možno uložiť pokutu podľa odseku 6 alebo odseku 7,
c)	sa dopustil konania podľa odseku 6 alebo odseku 7 a pritom porušil povinnosť pri spracúvaní osobitných kategórií osobných údajov.
	(9)  Konanie o uloženie pokuty možno začať do jedného roka odo dňa, keď sa úrad o správnom delikte dozvie, najneskôr do troch rokov odo dňa, keď k správnemu deliktu došlo. Ak ide o trvajúcu činnosť alebo opomenutie, lehota začne plynúť posledným dňom skončenia trvajúcej činnosti alebo opomenutia, ktorá je správnym deliktom.
	(10) Pri určení výšky pokuty sa prihliada na okolnosti, za ktorých k správnemu deliktu došlo, najmä na závažnosť následkov a ich škodlivosť, na trvanie protiprávneho stavu a opakovanie takéhoto správania. Škodlivosť následkov sa posudzuje podľa toho, či ide o následky hroziace alebo už vzniknuté. Osobitne sa prihliada na zásah do práv dotknutej osoby, mieru ohrozenia jej súkromného a rodinného života a počet dotknutých osôb; to neplatí pri porušení procesných ustanovení.
      (11) Pokuty a opatrenia na nápravu možno ukladať súbežne a opakovane. Ak sa tá istá osoba dopustí toho istého správneho deliktu opakovane do dvoch rokov od právoplatnosti rozhodnutia, môže jej úrad uložiť pokutu až do výšky dvojnásobku sadzby.
      (12) Proti rozhodnutiu o uložení pokuty možno podať rozklad do 15 dní odo dňa jeho doručenia. O rozklade rozhodne predseda úradu do 60 dní odo dňa jeho prijatia.
      (13)  Pokuta je splatná do 30 dní odo dňa nadobudnutia právoplatnosti rozhodnutia o jej uložení. 
      (14)  Výnosy z pokút sú príjmom štátneho rozpočtu.“.

58.	Za § 49 sa vkladá § 49a, ktorý vrátane nadpisu znie:

„§ 49a
Priestupky
(1)	Priestupku sa dopustí ten, kto 
a) 	poskytol na spracúvanie do informačného systému osobné údaje o dotknutej osobe v rozpore s § 7 ods. 5,
b) 	poskytol na spracúvanie do informačného systému nepravdivé osobné údaje v rozpore s § 11,
c) 	poskytol úradu nepravdivé, neúplné alebo zavádzajúce údaje alebo informácie,
d)	sa vydáva pri spracúvaní osobných údajov za oprávnenú osobu alebo za inú osobu oprávnenú spracúvať osobné údaje.
(2)	Za priestupky podľa odseku 1 možno uložiť pokutu do 3 300 eur.
	(3)	Priestupku sa dopustí ten, kto ako oprávnená osoba
a)	konal pri spracúvaní osobných údajov spôsobom, ktorý sa prieči dobrým mravom,
b)	porušil, obchádzal alebo nevykonal prijaté technické, organizačné alebo personálne opatrenia na zabezpečenie ochrany osobných údajov podľa § 15,
c)   spracúva osobné údaje v rozpore s poučením vykonaným podľa § 17, 
d)	porušil povinnosť zachovávať mlčanlivosť podľa § 18, 	
e)	porušil povinnosť zachovávať mlčanlivosť o skutočnostiach tvoriacich profesionálne tajomstvo, alebo porušil zásady profesijnej etiky,
f)	poverená ako zodpovedná osoba písomne neupozornil prevádzkovateľa podľa § 19 ods. 4. 
	(4)	Za priestupky podľa odseku 3 možno uložiť pokutu do 3 300 eur. 
      (5) Priestupky podľa tohto zákona prejednáva úrad.
	(6) Ak sa tá istá osoba dopustí toho istého priestupku opakovane, do dvoch rokov od právoplatnosti rozhodnutia, môže jej úrad uložiť pokutu až do výšky dvojnásobku sadzby.
      (7) Proti rozhodnutiu o uložení pokuty možno podať rozklad do 15 dní odo dňa jeho doručenia. O rozklade rozhodne predseda úradu do 60 dní odo dňa jeho prijatia.
      (8)  Pokuta je splatná do 30 dní odo dňa nadobudnutia právoplatnosti rozhodnutia o jej uložení. 
      (9)  Výnosy z pokút sú príjmom štátneho rozpočtu.
  	(10)  Na priestupky a ich prejednávanie sa vzťahuje všeobecný predpis o priestupkoch, ak tento zákon neustanovuje inak.“.

59.	V § 50 ods. 1 písm. a) sa suma „50 000 Sk“ nahrádza sumou „1 650 eur“.

60.	V § 50 ods. 1 písm. b) sa suma „500 000 Sk“ nahrádza sumou „16 500 eur“.

61.	V § 50 ods. 1 písm. c) sa suma „1 000 000 Sk“ nahrádza sumou „33 000 eur“.

62.	V § 50 ods. 1 písm. d) sa suma „2 000 000 Sk“ nahrádza sumou „66 000 eur“.

63.	V § 51 odseky 2 a 3 znejú:
	„(2) Všeobecný predpis o správnom konaní sa nevzťahuje 
a)	na vydávanie záväzných stanovísk podľa § 6 ods. 5, § 23 ods. 14 a § 25 ods. 4,
b)	na rozhodovanie o prenose osobných údajov podľa § 23,
c)	na konanie o registrácii a evidencii informačných systémov podľa § 24 až 32,
d)	na konanie o kontrolnej činnosti podľa § 39 až 43,
e)	na prešetrovanie oznámení podľa § 45,
f)	na konanie o opatreniach podľa § 46,
g)	na zverejnenie porušenia zákona podľa § 48.
	(3) Správu o stave ochrany osobných údajov zverejní úrad na svojom webovom sídle do 30 dní po jej prerokovaní v Národnej rade Slovenskej republiky.“.

64.	Za § 55 sa vkladá § 55a, ktorý vrátane nadpisu znie:

 „§ 55a
Prechodné ustanovenia k úpravám účinným od 1. októbra 2011
	(1) Písomné poverenie zodpovednej osoby vydané podľa doterajších predpisov zostáva v platnosti do 31. marca 2012. Písomné poverenie zodpovednej osoby vydané po 30. septembri 2011 musí byť vydané podľa tohto zákona. Odborné vyškolenie zodpovednej osoby vykonané do 30. septembra 2011 zostáva v platnosti do 30. septembra 2012. 
	(2) Poučenie oprávnených osôb v súlade s týmto zákonom je prevádzkovateľ a sprostredkovateľ povinný vykonať do 31. decembra 2011 a register oprávnených osôb je povinný začať viesť od 10. januára 2012. 
      (3) Osobitná registrácia informačného systému vykonaná podľa doterajších predpisov na základe § 27 ods. 2 písm. b) zostáva v platnosti do 31. decembra 2011, pričom výkon činnosti prevádzkovateľa sa dovtedy spravuje zákonom v znení účinnom do 30. septembra 2011. Najneskôr 31. decembra 2011 je prevádzkovateľ povinný osobné údaje spracúvané v informačnom systéme zablokovať a následne zlikvidovať v lehote do 31. marca 2012, alebo v rovnakej lehote uviesť ich spracúvanie do súladu s týmto zákonom.  
	(4) Prevádzkovateľ fungujúceho monitorovacieho informačného systému je povinný tento systém prihlásiť na osobitnú registráciu podľa § 27 ods. 4 najneskôr do 31. januára 2012, inak právo na spracúvanie osobných údajov v tomto informačnom systéme zanikne. Monitorovaciemu informačnému systému prihlásenému na osobitnú registráciu do 31. januára 2012 úrad len pridelí registračné číslo a vydá potvrdenie o jeho registrácii. 
	(5) Prevádzkovateľ je povinný zmluvný vzťah so sprostredkovateľom dať do súladu s týmto zákonom do 31. marca 2012. Spracúvanie osobných údajov sprostredkovateľom sa do 31. marca 2012 spravuje týmto zákonom v znení účinnom do 30. septembra 2011.	
      (6) Porušenia povinností, ktoré nastali do 30. septembra 2011, sa posudzujú podľa právneho stavu v čase ich vzniku.
      (7)  Lehoty, ktoré začali plynúť pred 1. októbrom 2011, plynú až do ich skončenia. 
	(8) Prevádzkovateľ fungujúceho informačného systému je povinný prijať a vykonať technické, organizačné a personálne opatrenia podľa tohto zákona a uviesť spracúvanie osobných údajov vo svojom informačnom systéme do súladu s týmto zákonom do 31. marca 2012. Týmto nie sú dotknuté odseky 1 až 4.“.

65.	V § 56a sa slová „právny akt Európskych spoločenstiev a“ nahrádzajú slovami „právne záväzný akt“.

66.	V prílohe sa slová „právnych aktov Európskych spoločenstiev a“ nahrádzajú slovami „právne záväzných aktov“.

Čl. II

	Predseda Národnej rady Slovenskej republiky sa splnomocňuje, aby v Zbierke zákonov Slovenskej republiky vyhlásil úplné znenie zákona č. 428/2002 Z. z. o ochrane osobných údajov, ako vyplýva zo zmien a doplnení vykonaných zákonom  č. 602/2003  Z. z., zákonom č. 574/2004 Z. z., zákonom č. 90/2005 Z. z., zákonom č. 583/2008 Z. z. a týmto zákonom.

Čl. III

    	Tento zákon nadobúda účinnosť 1. októbra 2011.