Podmienky spracúvania osobných údajov sú vymedzené v bezpečnostnej dokumentácii osobných údajov, s ktorými bola oprávnená osoba oboznámená pred začatím spracúvania osobných údajov a s ktorými je oprávnená osoba povinná sa priebežne oboznamovať v rozsahu potrebnom na plnenie jej úloh.
- Práva oprávnenej osoby
Oprávnená osoba má právo vykonávať spracovateľské operácie s osobnými údajmi spracúvanými v IS prevádzkovateľa výlučne v súlade s právnym základom, od ktorého prevádzkovateľ odvodzuje oprávnenie spracúvať osobné údaje, a to len v rozsahu a spôsobom, ktorý je nevyhnutný na dosiahnutie ustanoveného alebo vymedzeného účelu spracúvania a je v súlade so Zákonom, inými zákonmi, všeobecne záväznými právnymi predpismi a internými riadiacimi aktmi prevádzkovateľa.
Oprávnená osoba má právo najmä na
- pridelenie prístupových práv do určených informačných systémov osobných údajov prevádzkovateľa v rozsahu nevyhnutnom na plnenie jej úloh,
- opätovné poučenie, ak došlo k podstatnej zmene jej pracovného alebo funkčného zaradenia, a tým sa významne zmenil obsah náplne jej pracovných činností, alebo sa podstatne zmenili podmienky spracúvania osobných údajov alebo rozsah spracúvaných osobných údajov v rámci jej pracovného alebo funkčného zaradenia,
- porušenie povinnosti mlčanlivosti uloženej podľa § 22 ods. 2 Zákona, ak je to nevyhnutné na plnenie úloh súdov a orgánov činných v trestnom konaní podľa osobitného zákona alebo vo vzťahu k Úradu na ochranu osobných údajov Slovenskej republiky pri plnení jeho úloh podľa Zákona; ustanovenia o povinnosti mlčanlivosti podľa osobitných predpisov tým nie sú dotknuté,
- vykonávanie spracovateľských operácii s osobnými údajmi v mene prevádzkovateľa v rozsahu nevyhnutnom na plnenie pracovných úloh,
- odmietnutie vykonať pokyn k spracúvaniu osobných údajov, ktorý je v rozpore so všeobecne záväznými právnymi predpismi alebo dobrými mravmi.
- Povinnosti oprávnenej osoby
Oprávnená osoba je povinná v súvislosti so spracúvaním osobných údajov rešpektovať príslušné povinnosti formulované prevádzkovateľom najmä v bezpečnostnej dokumentácii informačných systémov osobných údajov.
Oprávnená osoba je ďalej povinná najmä
- získavať na základe svojho pracovného zaradenia pre prevádzkovateľa len nevyhnutné osobné údaje výlučne na zákonom ustanovený alebo vymedzený účel; je neprípustné, aby oprávnená osoba získavala osobné údaje pod zámienkou iného účelu spracúvania alebo inej činnosti,
- vykonávať povolené spracovateľské operácie podľa Záznamu o poučení len so správnymi, úplnými a podľa potreby aktualizovanými osobnými údajmi vo vzťahu k účelu spracúvania,
- nesprávne a neúplné osobné údaje bez zbytočného odkladu opraviť alebo doplniť,
- pred získavaním osobných údajov od dotknutej osoby ju oboznámiť s názvom a sídlom prevádzkovateľa, účelom spracúvania osobných údajov, rozsahom spracúvania osobných údajov, predpokladanom okruhu tretích strán pri poskytovaní osobných údajov alebo príjemcov pri sprístupňovaní osobných údajov, forme zverejnenia, ak sa osobné údaje zverejňujú a tretie krajiny, ak sa predpokladá, alebo je zrejmé, že sa do týchto krajín uskutoční cezhraničný prenos osobných údajov,
- poučiť dotknutú osobu o dobrovoľnosti, alebo povinnosti poskytnutia osobných údajov a o existencii jej práv,
- zabezpečiť preukázateľný súhlas na spracúvanie osobných údajov dotknutej osoby v informačnom systéme osobných údajov prevádzkovateľa, ak sa osobné údaje spracúvajú na základe súhlasu dotknutej osoby, alebo ak to vyžaduje Zákon alebo osobitný zákon,
- preukázať príslušnosť oprávnenej osoby k prevádzkovateľovi hodnoverným dokladom (napr. služobným preukazom),
- získavať osobné údaje nevyhnutné na dosiahnutie účelu spracúvania kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií len vtedy, ak to osobitný zákon výslovne umožňuje bez súhlasu dotknutej osoby alebo na základe písomného súhlasu dotknutej osoby, ak je to nevyhnutné na dosiahnutie účelu spracúvania, alebo bez súhlasu dotknutej osoby na účely personálno-mzdovej agendy,
- postupovať výlučne v súlade s technickými, organizačnými a personálnymi opatreniami prijatými prevádzkovateľom,
- vykonať likvidáciu osobných údajov, ktoré sú súčasťou už nepotrebných pracovných dokumentov (napr. rôzne pracovné súbory, pracovné verzie dokumentov v listinnej podobe) rozložením, vymazaním alebo fyzickým zničením hmotných nosičov tak, aby sa z nich osobné údaje nedali reprodukovať; to neplatí vo vzťahu k osobným údajom, ktoré sú súčasťou obsahu registratúrnych záznamov prevádzkovateľa,
- v prípade nejasností pri spracúvaní osobných údajov sa obrátiť na prevádzkovateľa,
- chrániť prijaté dokumenty a súbory pred stratou a poškodením a zneužitím, odcudzením, neoprávneným sprístupnením, poskytnutím alebo inými neprípustnými formami spracúvania,
- dodržiavať mlčanlivosť o osobných údajoch, s ktorými oprávnená osoba v rámci svojho pracovného pomeru prichádza do styku, a to aj po zániku jej statusu,
- v prípade pridelenia prenosných technických zariadení (notebook, mobil), v ktorých sú uložené osobné údaje dbať na to, aby nedošlo k ich odcudzeniu, strate, zničeniu, neoprávnenému prístupu ani náhodnému prezradeniu údajov pri prenose zariadenia.
- dodržiavať všetky povinnosti, o ktorých bola oprávnená osoba poučená.
Oprávnená osoba nesmie osobné údaje spracúvané prevádzkovateľom využiť pre osobnú potrebu, či potrebu inej osoby alebo na iné, než služobné účely podľa tohto záznamu.
- Podmienky spracúvania osobných údajov prostredníctvom neautomatizovaných prostriedkov spracúvania (listová forma spracúvania osobných údajov)
Pri spracúvaní osobných údajov neautomatizovaným spôsobom oprávnená osoba najmä
- zachováva obozretnosť pri podávaní chránených informácií, vrátane osobných údajov, pred návštevníkmi prevádzkovateľa alebo inými neoprávnenými osobami,
- neponecháva osobné údaje voľne dostupné na chodbách a v iných neuzamknutých miestnostiach alebo na iných miestach, vo verejne prístupných miestach, opustených dopravných prostriedkoch a pod.,
- odkladá spisy a iné listinné materiály na určené miesto a neponecháva ich po skončení pracovnej doby, resp. opustení pracoviska voľne dostupné (napr. na pracovnom stole),
- zaobchádza s tlačenými materiálmi obsahujúcimi osobné údaje podľa ich citlivosti; je potrebné aplikovať všetky relevantné opatrenia, ktoré zabezpečia ochranu vytlačených informácií obsahujúcich osobné údaje pred neoprávnenými osobami,
- pri skončení pracovného pomeru alebo obdobného vzťahu oprávnená osoba je povinná odovzdať prevádzkovateľovi pracovnú agendu vrátane spisov obsahujúcich osobné údaje,
- v prípade tlače dokumentov obsahujúcich osobné údaje zabezpečuje, aby sa počas tlačenia neoboznámila s nimi neoprávnená osoba; tlačené materiály obsahujúce osobné údaje musia byť ihneď po ich vytlačení odobraté oprávnenou osobou a uložené na zabezpečené miesto; to sa uplatňuje aj pri kopírovaní dokumentov – nadbytočné a chybné dokumenty oprávnená osoba bez zbytočného odkladu zlikviduje skartovaním,
- uzamyká kanceláriu pri každom opustení v prípade, že v miestnosti už nie je iná oprávnená osoba prevádzkovateľa.
- Podmienky spracúvania osobných údajov prostredníctvom úplne alebo čiastočne automatizovaných prostriedkov spracúvania
Pri spracúvaní osobných údajov prostredníctvom úplne alebo čiastočne automatizovaných prostriedkov spracúvania oprávnená osoba najmä
- využíva služby Internetu (povolené je využívanie iba verejných služieb WWW – worldwide web a FTP – file transfer protocol) za účelom plnenia pracovných úloh, pričom dodržiava bezpečnostné opatrenia prijaté prevádzkovateľom za účelom zabezpečenia ochrany osobných údajov,
- informačnú techniku (počítače, notebooky, USB kľúč, a pod.) umiestňuje iba v priestoroch na to určených; miestnosť, v ktorej sa nachádza informačná technika, musí byť pri každom odchode oprávnenej osoby uzamknutá a po skončení pracovnej doby je oprávnená osoba povinná vypnúť počítač,
- dbá na antivírusovú ochranu pracovných staníc sledovaním toho, či správne funguje primárne určený softvérový systém, ktorý je automaticky pravidelne aktualizovaný,
- berie do úvahy zákaz odinštalovania, zablokovania alebo zmenu konfigurácie antivírusovej ochrany,
- dôsledne dodržiava pravidlá ochrany prístupových práv.
Zodpovednosť za porušenie práv a povinností
Oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, ktoré spracúva a s ktorými príde do styku. Povinnosť mlčanlivosti trvá aj po ukončení spracúvania osobných údajov. Povinnosť mlčanlivosti neplatí, ak je to nevyhnutné na plnenie úloh súdu a orgánov činných v trestnom konaní podľa osobitného zákona, alebo vo vzťahu k Úradu na ochranu osobných údajov pri plnení jeho úloh podľa Zákona; ustanovenia o povinnosti mlčanlivosti podľa osobitných predpisov tým nie sú dotknuté.
Porušením povinností alebo zneužitím oprávnení pri spracúvaní osobných údajov môže oprávnená osoba naplniť skutkovú podstatu správnych deliktov podľa Zákona č. 18/2018 Z. z. o ochrane osobných údajov.
Oprávnená osoba môže v súvislosti s protiprávnym nakladaním s osobným údajmi čeliť aj trestnému stíhaniu za trestné činy podľa § 247 a § 374 zákona č. 300/2005 Z. z. Trestný zákon v znení neskorších predpisov alebo môže voči nej byť vedené disciplinárne konanie.
V prípade porušenia povinností vyplývajúcich z právnej úpravy ochrany osobných údajov môže vzniknúť dotknutej osobe nárok na náhradu škody, ktorú si dotknutá osoba môže uplatniť. Porušenie povinností vyplývajúcich z právnej úpravy ochrany osobných údajov môže znamenať aj porušenie povinností vyplývajúcich z pracovnej zmluvy Oprávnenej osoby.