Zásady ochrany osobných údajov

Dohľad nad spracúvaním osobných údajov

Kontaktné údaje pre dohľad nad spracúvaním osobných údajov nájdete TU.

Hlásenie bezpečnostných incidentov

Kontaktné údaje pre hlásenie bezpečnostných incidentov nájdete TU.

Uplatnenie práv dotknutých osôb

Kontaktné údaje na uplatnenie práv dotknutých osôb nájdete TU.

Prevádzkovateľovi nevznikla podľa článku 37 ods. 1 Nariadenia GDPR povinnosť ustanoviť zodpovednú osobu.

Prevádzkovateľ zodpovedá za spracúvanie osobných údajov v súlade s Nariadením GDPR a so ZOOÚ.

Zásady spracúvania osobných údajov

Prevádzkovateľ je povinný dodržiavať zásady spracúvania osobných údajov podľa článku 5 Nariadenia GDPR, ktoré zahŕňajú najmä:

1. povinnosť spracúvať osobné údaje zákonne, korektne a transparentne,
2. povinnosť získavať osobné údaje iba na vymedzené, výslovne uvedené a legitímne účely a ďalej ich nespracúvať spôsobom nezlučiteľným s týmito účelmi,
3. povinnosť spracúvať osobné údaje iba v rozsahu primeranom, relevantnom a nevyhnutnom vzhľadom na účel spracúvania,
4. povinnosť zabezpečiť správnosť a podľa potreby aktualizáciu osobných údajov a prijať opatrenia na bezodkladnú opravu alebo výmaz nesprávnych údajov,
5. povinnosť uchovávať osobné údaje v podobe umožňujúcej identifikáciu dotknutých osôb najviac počas obdobia nevyhnutného na dosiahnutie účelu spracúvania,
6. povinnosť spracúvať osobné údaje spôsobom zabezpečujúcim ich primeranú ochranu vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním, stratou, zničením alebo poškodením,
7. povinnosť byť schopný preukázať súlad spracúvania osobných údajov s uvedenými zásadami.

Spracúvanie osobných údajov Prevádzkovateľom je zákonné len vtedy, ak sa vykonáva na základe niektorého z právnych základov ustanovených v Nariadení GDPR a v ZOOÚ. Právnymi základmi sú najmä:

1. Článok 6 ods. 1 písm. a) Nariadenia GDPR, resp. § 13 ods. 1 písm. a) ZOOÚ – súhlas dotknutej osoby so spracúvaním osobných údajov na jeden alebo viaceré konkrétne účely.
2. Článok 6 ods. 1 písm. b) Nariadenia GDPR, resp. § 13 ods. 1 písm. b) ZOOÚ – spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo na vykonanie opatrenia pred uzatvorením zmluvy na základe jej žiadosti.
3. Článok 6 ods. 1 písm. c) Nariadenia GDPR, resp. § 13 ods. 1 písm. c) ZOOÚ – spracúvanie osobných údajov je nevyhnutné na splnenie zákonnej povinnosti, ktorá sa na Prevádzkovateľa vzťahuje.
4. Článok 6 ods. 1 písm. f) Nariadenia GDPR, resp. § 13 ods. 1 písm. f) ZOOÚ – spracúvanie osobných údajov je nevyhnutné na účely oprávnených záujmov Prevádzkovateľa alebo tretej strany, okrem prípadov, keď nad týmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, najmä ak je ňou dieťa.

Ďalšie spracúvanie osobných údajov na účel archivácie vo verejnom záujme, na účel vedeckého alebo historického výskumu alebo na štatistický účel sa nepovažuje za nezlučiteľné s pôvodnými účelmi, ak sa vykonáva v súlade s článkom 5 ods. 1 písm. b) a článkom 89 ods. 1 Nariadenia GDPR, resp. s § 7 a § 78 ods. 8 ZOOÚ, a ak sú zavedené primerané záruky ochrany práv dotknutej osoby. Takéto ďalšie spracúvanie však samo osebe nepredstavuje samostatný právny základ podľa článku 6 ods. 1 Nariadenia GDPR.

Konkrétny zákonný dôvod sa určuje samostatne pre každý účel spracúvania osobných údajov a je uvedený v príslušnej informačnej povinnosti.

Vyhlasujeme, že ako Prevádzkovateľ osobných údajov plníme povinnosti vyplývajúce z Nariadenia GDPR, ZOOÚ a ďalších uplatniteľných právnych predpisov, a teda:

1. budeme spracúvať vaše osobné údaje iba na základe príslušného právneho základu uvedeného v týchto Zásadách alebo v príslušnej informačnej povinnosti,
2. budeme dodržiavať zásady spracúvania osobných údajov podľa článku 5 Nariadenia GDPR,
3. plníme si informačnú povinnosť podľa článku 13 alebo článku 14 Nariadenia GDPR a podľa § 19 alebo § 20 ZOOÚ, podľa toho, či boli osobné údaje získané priamo od dotknutej osoby alebo z iného zdroja,
4. budeme uľahčovať uplatňovanie vašich práv podľa Nariadenia GDPR a ZOOÚ.

Prevádzkovateľ si plní informačnú povinnosť voči dotknutým osobám podľa článku 13 a článku 14 Nariadenia GDPR a podľa § 19 a § 20 ZOOÚ, v závislosti od toho, či osobné údaje získal priamo od dotknutej osoby alebo z iného zdroja.

Prevádzkovateľ spracúva osobné údaje výlučne na konkrétne, výslovne určené a legitímne účely. Rozsah osobných údajov, kategórie dotknutých osôb, zákonné dôvody spracúvania, príjemcovia, doby uchovávania, zdroje údajov a ostatné informácie sú podrobne uvedené v samostatných informačných povinnostiach.

Prevádzkovateľ prijal primerané technické a organizačné opatrenia na ochranu osobných údajov pred neoprávneným alebo nezákonným spracúvaním, náhodnou stratou, zničením, poškodením alebo neoprávneným sprístupnením. Opatrenia zodpovedajú povahe, rozsahu, okolnostiam a účelom spracúvania, ako aj rizikám pre práva a slobody dotknutých osôb, a Prevádzkovateľ ich pravidelne preveruje a podľa potreby aktualizuje.

Prevádzkovateľ eviduje a posudzuje každý prípad porušenia ochrany osobných údajov vrátane jeho okolností, následkov a prijatých nápravných opatrení. Porušenie ochrany osobných údajov oznámi Úradu na ochranu osobných údajov Slovenskej republiky bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín od okamihu, keď sa o ňom dozvedel, okrem prípadu, keď nie je pravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb. Ak je pravdepodobné, že porušenie ochrany osobných údajov povedie k vysokému riziku pre práva a slobody fyzických osôb, Prevádzkovateľ ho bez zbytočného odkladu oznámi aj dotknutým osobám, ak sa neuplatní niektorá zo zákonných výnimiek.

Postup pri uplatnení práv dotknutých osôb

Spôsob a forma odpovede

Informácie a oznámenia týkajúce sa uplatnenia práv sa poskytujú v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, jasne formulované, spravidla v rovnakej forme, v akej bola žiadosť podaná. Ak bola žiadosť podaná elektronicky, informácie sa podľa možnosti poskytnú elektronicky, pokiaľ dotknutá osoba nepožiada o iný spôsob. Na žiadosť dotknutej osoby možno informácie poskytnúť aj ústne, ak bola jej totožnosť preukázaná iným spôsobom, podľa článku 12 ods. 1 a 3 Nariadenia GDPR a § 29 ods. 1 a 3 ZOOÚ.

Ak má Prevádzkovateľ oprávnené pochybnosti o totožnosti fyzickej osoby, ktorá žiadosť podáva, je oprávnený požiadať o poskytnutie dodatočných informácií potrebných na overenie jej totožnosti, a to výlučne v rozsahu nevyhnutnom na ochranu osobných údajov.

Prevádzkovateľ zvolí spôsob vybavenia žiadosti tak, aby primerane overil totožnosť žiadateľa a zabránil neoprávnenému sprístupneniu osobných údajov. Samotná skutočnosť, že žiadosť bola podaná elektronicky alebo iným diaľkovým spôsobom, nie je dôvodom na jej odmietnutie; použijú sa primerané bezpečnostné opatrenia podľa článku 12 ods. 2 a 6 a článku 32 Nariadenia GDPR.

Lehota na vybavenie žiadosti

Podľa článku 12 ods. 3 Nariadenia GDPR a § 29 ods. 3 ZOOÚ poskytne Prevádzkovateľ dotknutej osobe informáciu o opatreniach prijatých na základe žiadosti bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia žiadosti. V prípade potreby možno túto lehotu predĺžiť spolu najviac o ďalšie dva mesiace s prihliadnutím na komplexnosť žiadosti a počet žiadostí. Prevádzkovateľ oznámi dotknutej osobe každé takéto predĺženie a jeho dôvody do jedného mesiaca od doručenia žiadosti. Ak žiadosti nevyhovie, informuje dotknutú osobu bezodkladne, najneskôr do jedného mesiaca, o dôvodoch nekonania a o možnosti podať sťažnosť dozornému orgánu a uplatniť súdny prostriedok nápravy podľa článku 12 ods. 4 Nariadenia GDPR a § 29 ods. 4 ZOOÚ.

Bezplatnosť a prípadné poplatky

Informácie a úkony vykonané na základe žiadostí dotknutej osoby sa poskytujú bezodplatne. Ak sú žiadosti zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, Prevádzkovateľ môže podľa článku 12 ods. 5 Nariadenia GDPR a § 29 ods. 5 ZOOÚ požadovať primeraný poplatok zohľadňujúci administratívne náklady alebo odmietnuť konať na základe žiadosti. Zjavnú neopodstatnenosť alebo neprimeranosť žiadosti preukazuje Prevádzkovateľ. Za ďalšie kópie osobných údajov požadované dotknutou osobou môže Prevádzkovateľ účtovať primeraný poplatok zodpovedajúci administratívnym nákladom podľa článku 15 ods. 3 Nariadenia GDPR a § 21 ods. 4 ZOOÚ.

Uľahčenie výkonu práv dotknutej osoby

Prevádzkovateľ uľahčuje výkon práv dotknutej osoby a umožní podať a vybaviť žiadosť aj elektronicky, ak je to primerané okolnostiam spracúvania, podľa článku 12 ods. 2 Nariadenia GDPR a § 29 ods. 2 ZOOÚ.

Rozsah práv dotknutej osoby

Jednotlivé práva sa uplatňujú za podmienok ustanovených Nariadením GDPR a ZOOÚ. Ich rozsah závisí od konkrétneho účelu, právneho základu a okolností spracúvania.

Dotknutá osoba má v súvislosti so spracúvaním osobných údajov najmä tieto práva:

1. Právo na prístup

Dotknutá osoba má právo získať potvrdenie o tom, či Prevádzkovateľ spracúva osobné údaje, ktoré sa jej týkajú. Ak sa také údaje spracúvajú, má právo na prístup k osobným údajom, k súvisiacim informáciám a na poskytnutie ich kópie. Právo na získanie kópie nesmie nepriaznivo zasiahnuť do práv a slobôd iných osôb.

2. Právo na opravu

Dotknutá osoba má právo na to, aby Prevádzkovateľ bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa jej týkajú. So zreteľom na účely spracúvania má dotknutá osoba právo na doplnenie neúplných osobných údajov, a to aj prostredníctvom poskytnutia doplnkového vyhlásenia.

3. Právo na výmaz (právo byť zabudnutý)

Prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak je splnený niektorý z týchto dôvodov:

1. osobné údaje už nie sú potrebné na účel, na ktorý sa získali alebo inak spracúvali,
2. dotknutá osoba odvolá súhlas podľa článku 6 ods. 1 písm. a) alebo článku 9 ods. 2 písm. a) Nariadenia GDPR, resp. podľa § 13 ods. 1 písm. a) alebo § 16 ods. 2 písm. a) ZOOÚ, na základe ktorého sa spracúvanie vykonáva, a neexistuje iný právny základ pre spracúvanie osobných údajov,
3. dotknutá osoba namieta spracúvanie podľa článku 21 ods. 1 Nariadenia GDPR, resp. § 27 ods. 1 ZOOÚ, a neprevažujú žiadne oprávnené dôvody na spracúvanie, alebo namieta spracúvanie na účely priameho marketingu podľa článku 21 ods. 2 Nariadenia GDPR, resp. § 27 ods. 2 ZOOÚ,
4. osobné údaje sa spracúvajú nezákonne,
5. je dôvodom pre výmaz splnenie povinnosti podľa tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo
6. osobné údaje sa získavali v súvislosti s ponukou služieb informačnej spoločnosti podľa článku 8 ods. 1 Nariadenia GDPR, resp. § 15 ods. 1 ZOOÚ.

Prevádzkovateľ nie je povinný osobné údaje vymazať v rozsahu, v akom je ich spracúvanie potrebné:

1. na uplatnenie práva na slobodu prejavu alebo práva na informácie,
2. na splnenie povinnosti podľa tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej Prevádzkovateľovi,
3. z dôvodov verejného záujmu v oblasti verejného zdravia v súlade s § 16 ods. 2 písm. h) až j),
4. na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu alebo na štatistické účely podľa článku 89 ods. 1 Nariadenia GDPR, resp. § 78 ods. 8 ZOOÚ, pokiaľ je pravdepodobné, že právo na výmaz znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takéhoto spracúvania,
5. na uplatnenie právneho nároku.

4. Právo na obmedzenie spracúvania

Dotknutá osoba má právo na to, aby Prevádzkovateľ obmedzil spracúvanie, pokiaľ ide o jeden z týchto prípadov:

1. dotknutá osoba napadne správnosť osobných údajov, a to počas obdobia umožňujúceho Prevádzkovateľovi overiť správnosť osobných údajov;
2. spracúvanie je protizákonné a dotknutá osoba namieta proti vymazaniu osobných údajov a žiada namiesto toho obmedzenie ich použitia;
3. Prevádzkovateľ už nepotrebuje osobné údaje na účely spracúvania, ale potrebuje ich dotknutá osoba na preukázanie, uplatňovanie alebo obhajovanie právnych nárokov;
4. dotknutá osoba namietala voči spracúvaniu, a to až do overenia, či oprávnené dôvody na strane Prevádzkovateľa prevažujú nad oprávnenými dôvodmi dotknutej osoby.

5. Právo na prenosnosť

Dotknutá osoba má právo získať osobné údaje, ktoré sa jej týkajú a ktoré poskytla Prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a má právo preniesť tieto údaje inému prevádzkovateľovi, ak je spracúvanie založené na súhlase podľa článku 6 ods. 1 písm. a) alebo článku 9 ods. 2 písm. a) Nariadenia GDPR, alebo na zmluve podľa článku 6 ods. 1 písm. b) Nariadenia GDPR, a zároveň sa vykonáva automatizovanými prostriedkami; obdobne podľa § 26 ZOOÚ.

Pri uplatňovaní práva na prenosnosť má dotknutá osoba právo na prenos osobných údajov priamo od jedného prevádzkovateľa druhému prevádzkovateľovi, pokiaľ je to technicky možné. Toto právo sa neuplatňuje na spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej Prevádzkovateľovi.

Uplatnením práva na prenosnosť nie je dotknuté právo na výmaz podľa článku 17 Nariadenia GDPR a právo na prenosnosť nesmie mať nepriaznivé dôsledky na práva a slobody iných osôb.

6. Právo namietať spracúvanie osobných údajov

Dotknutá osoba má z dôvodov týkajúcich sa jej konkrétnej situácie právo kedykoľvek namietať proti spracúvaniu osobných údajov, ktoré sa jej týka a ktoré sa vykonáva na základe článku 6 ods. 1 písm. e) alebo f) Nariadenia GDPR, resp. § 13 ods. 1 písm. e) alebo f) ZOOÚ, vrátane profilovania založeného na týchto ustanoveniach.

Ak sa osobné údaje spracúvajú na účely priameho marketingu, dotknutá osoba má právo kedykoľvek namietať proti spracúvaniu osobných údajov, ktoré sa jej týka, na účely takéhoto marketingu, vrátane profilovania v rozsahu, v akom súvisí s takýmto priamym marketingom.

Prevádzkovateľ nesmie osobné údaje ďalej spracúvať, ak nepreukáže závažné oprávnené dôvody na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami dotknutej osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.

Ak dotknutá osoba namieta voči spracúvaniu na účely priameho marketingu, osobné údaje sa už na také účely nesmú spracúvať.

7. Právo týkajúce sa automatizovaného individuálneho rozhodovania vrátane profilovania

Dotknutá osoba má právo na to, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, vrátane profilovania, a ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú.

Uvedené právo sa neuplatňuje, ak je rozhodnutie:

1. nevyhnutné na uzavretie alebo plnenie zmluvy medzi dotknutou osobou a Prevádzkovateľom,
2. povolené právom Únie alebo právom členského štátu, ktorému Prevádzkovateľ podlieha a ktorým sa zároveň stanovujú aj vhodné opatrenia zaručujúce ochranu práv a slobôd a oprávnených záujmov dotknutej osoby, alebo
3. založené na výslovnom súhlase dotknutej osoby.

V prípadoch podľa písmen a) a c) Prevádzkovateľ zavedie vhodné opatrenia na ochranu práv, slobôd a oprávnených záujmov dotknutej osoby, najmenej právo na ľudský zásah zo strany Prevádzkovateľa, právo vyjadriť svoje stanovisko a právo napadnúť rozhodnutie podľa článku 22 ods. 3 Nariadenia GDPR a § 28 ods. 3 ZOOÚ. Takéto rozhodnutia sa nesmú zakladať na osobitných kategóriách osobných údajov, okrem zákonom dovolených prípadov podľa článku 22 ods. 4 Nariadenia GDPR a § 28 ods. 4 ZOOÚ.

8. Právo odvolať súhlas so spracúvaním osobných údajov

Ak je spracúvanie založené na súhlase, dotknutá osoba má právo svoj súhlas kedykoľvek odvolať. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania založeného na súhlase pred jeho odvolaním. Odvolanie súhlasu musí byť rovnako jednoduché ako jeho poskytnutie, podľa článku 7 ods. 3 Nariadenia GDPR a § 14 ods. 3 ZOOÚ. Ak sa osobné údaje spracúvajú na inom právnom základe, odvolanie súhlasu sa na takéto spracúvanie nevzťahuje.

9. Právo podať sťažnosť dozornému orgánu

Bez toho, aby boli dotknuté iné správne alebo súdne prostriedky nápravy, má dotknutá osoba podľa článku 77 Nariadenia GDPR právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, miesta výkonu práce alebo miesta údajného porušenia, ak sa domnieva, že spracúvanie jej osobných údajov je v rozpore s Nariadením GDPR. V Slovenskej republike môže podať návrh na začatie konania o ochrane osobných údajov podľa § 100 ZOOÚ na Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, Slovenská republika, tel.: +421 2 3231 3214, e-mail: statny.dozor@pdp.gov.sk, web: https://dataprotection.gov.sk.

Viac informácií k podaniu návrhu je dostupných na webovej stránke Úradu na ochranu osobných údajov Slovenskej republiky v časti Návrh na začatie konania o ochrane osobných údajov.

Prevádzkovateľ posúdi každú žiadosť individuálne podľa konkrétneho účelu, právneho základu a okolností spracúvania a informuje dotknutú osobu o výsledku jej vybavenia.

Podrobné priradenie konkrétnych práv k jednotlivým právnym základom spracúvania je uvedené v Matici právnych základov a práv dotknutých osôb, ktorá tvorí neoddeliteľnú súčasť týchto Zásad.

Svoje práva si môžete uplatniť u Prevádzkovateľa najmä písomne alebo elektronicky na kontaktných údajoch uvedených v týchto Zásadách, najmä na e-mailovej adrese hyla.sk@gmail.com alebo na korešpondenčnej adrese M. R. Štefánika 4724, 960 01 Zvolen, Slovenská republika. Žiadosť možno uplatniť aj iným spôsobom v súlade s Nariadením GDPR.

Prevádzkovateľ zabezpečuje, aby osoby oprávnené spracúvať osobné údaje konali len na jeho pokyn, pokiaľ spracúvanie nevyžaduje právo Únie alebo právo členského štátu, a aby boli viazané povinnosťou mlčanlivosti podľa článku 29 a článku 32 ods. 4 Nariadenia GDPR, § 79 ZOOÚ a podľa príslušných zmluvných vzťahov. Povinnosť mlčanlivosti trvá aj po skončení právneho alebo iného oprávneného vzťahu s Prevádzkovateľom. Osobné údaje môžu byť poskytnuté príjemcom alebo iným tretím stranám len na zákonnom právnom základe, v nevyhnutnom rozsahu a pri dodržaní podmienok Nariadenia GDPR a ZOOÚ; súhlas dotknutej osoby sa vyžaduje iba vtedy, ak je príslušným právnym základom spracúvania.