Ochrana súkromia a osobných údajov predstavuje základný kameň dôvery medzi občanom a inštitúciami, ktoré jeho údaje spracúvajú. V súčasnom digitálnom veku, kde sa objemy spracúvaných informácií neustále zvyšujú, nadobúda táto problematika ešte väčší význam. Je nevyhnutné, aby akékoľvek spracovanie osobných údajov bolo nielen v súlade s platnou legislatívou, ale predovšetkým, aby rešpektovalo a chránilo základné práva a slobody zakotvené v Ústave Slovenskej republiky. Tento článok sa zameriava na komplexný pohľad na spracovanie osobných údajov s dôrazom na jeho ústavný súlad, pričom vychádza z najnovších právnych predpisov a princípov ochrany osobných údajov.
Ústavné základy ochrany osobných údajov
Ústava Slovenskej republiky vo svojich ustanoveniach garantuje právo na ochranu súkromia a osobných údajov. Tieto práva sú neoddeliteľne spojené s ľudskou dôstojnosťou a slobodným rozvojom osobnosti. Všeobecné nariadenie o ochrane údajov č. 2016/679 (GDPR), ktoré je priamo aplikovateľné v členských štátoch Európskej únie vrátane Slovenskej republiky, predstavuje kľúčový právny rámec pre spracovanie osobných údajov. GDPR nie je len súborom pravidiel, ale predovšetkým nástrojom na zabezpečenie toho, aby spracovanie osobných údajov bolo legitímne, transparentné a v súlade s právami občanov. Každý prevádzkovateľ alebo sprostredkovateľ, ktorý spracúva osobné údaje, musí zabezpečiť, aby jeho činnosti boli v súlade s týmito princípmi a aby nezasahovali do ústavne garantovaných práv.
Prevádzkovateľ a Sprostredkovateľ: Kľúčové subjekty pri spracovaní údajov
V kontexte spracovania osobných údajov zohrávajú kľúčovú úlohu dva subjekty: prevádzkovateľ a sprostredkovateľ. Prevádzkovateľ je ten, kto určuje účel a prostriedky spracúvania osobných údajov. Spoločnosť PARTNERS poisťovňa, a.s., so sídlom Aupark Tower, Einsteinova 3541/24 Bratislava, 851 01, IČO: 53 831 691, zapísaná v Obchodnom registri Okresného súdu Bratislava I, oddiel: Sa, vložka č. 7242/B, pôsobí ako prevádzkovateľ a dbá na svoje základné hodnoty, ktorými sú profesionalita, spoľahlivosť, kvalita a transparentnosť. Všetky osobné údaje, ktoré boli poskytnuté prevádzkovateľovi, sú spracúvané v súlade s platnými právnymi predpismi a najvyššími štandardmi.
Sprostredkovateľ je fyzická alebo právnická osoba, ktorá spracúva osobné údaje v mene prevádzkovateľa. Spoločnosť AVUS International spol. s r.o. je príkladom sprostredkovateľa. Vzťah medzi prevádzkovateľom a sprostredkovateľom je definovaný zmluvou, ktorá presne určuje rozsah a účel spracúvania. Prevádzkovateľ je pri výbere sprostredkovateľa povinný dbať na jeho odbornú, technickú, organizačnú a personálnu spôsobilosť a jeho schopnosť zaručiť bezpečnosť spracúvaných osobných údajov.
V špecifickom prípade poisťovacej činnosti, ako je životné poistenie, môže prevádzkovateľ využívať aj ďalších sprostredkovateľov. Napríklad, spoločnosť PARTNERS GROUP SK s.r.o. pôsobí ako samostatný finančný agent (SFA) a využíva sprostredkovateľov, ako sú podriadení finanční agenti (PFA). Títo PFA sú viazaní rovnakými povinnosťami týkajúcimi sa ochrany osobných údajov ako SFA, vrátane povinnosti mlčanlivosti.
Účely a právne základy spracúvania osobných údajov
Spracovanie osobných údajov musí mať vždy jasne definovaný účel a musí byť založené na platnom právnom základe. Medzi hlavné právne základy spracovania patria:
- Súhlas dotknutej osoby: Právnym základom spracovania osobných údajov je často súhlas dotknutej osoby, ktorý je založený na princípe dobrovoľnosti. Dotknutá osoba má právo kedykoľvek svoj súhlas odvolať. Odvolanie súhlasu však nemá vplyv na zákonnosť spracúvania pred jeho odvolaním.
- Plnenie zákonných povinností: Osobné údaje sa spracúvajú aj na účely vedenia evidencie ustanovenej právnym predpisom, napríklad účtovníctvo alebo povinná archivácia dokumentov. Právnym základom je v tomto prípade plnenie zákonných povinností prevádzkovateľa, vyplývajúcich z predpisov ako zákon o dani z pridanej hodnoty, zákon o účtovníctve, alebo zákon o ochrane pred legalizáciou príjmov z trestnej činnosti.
- Plnenie zmluvy: Spracovanie osobných údajov je nevyhnutné pre uzatvorenie a plnenie zmluvy. Ak dotknutá osoba neposkytne potrebné údaje, prevádzkovateľ jej nemusí byť schopný poskytnúť príslušnú službu.
- Oprávnený záujem prevádzkovateľa: GDPR umožňuje spracúvať osobné údaje aj bez súhlasu dotknutej osoby, ak je spracúvanie nevyhnutné na účely oprávnených záujmov prevádzkovateľa. Napríklad, poisťovňa môže mať oprávnený záujem na zasielaní informácií o svojich produktoch bývalým a aktuálnym klientom, ako aj na získavaní spätnej väzby.
Rozsah a doba uchovávania osobných údajov
Pri nakladaní s osobnými údajmi platí princíp minimalizácie, čo znamená, že osobné údaje sa uchovávajú len po dobu nevyhnutne potrebnú na splnenie účelu spracovania.
- Rozsah spracúvaných údajov: Osobné údaje sa spracúvajú vždy len v nevyhnutnom rozsahu. Tento rozsah je špecifikovaný v dokumentoch ako „Oznámenie poškodeného o škode na vozidle a inej vecnej škode“. Súčasťou spracúvania môžu byť aj ďalšie údaje (vrátane citlivých, napr. o zdravotnom stave), ktoré sú poskytnuté priamo dotknutou osobou alebo inými subjektmi.
- Doba uchovávania: Osobné údaje spracúvané na základe súhlasu sa uchovávajú po dobu jeho platnosti alebo do jeho odvolania. Údaje nevyhnutné na plnenie zákonných povinností sa uchovávajú po dobu stanovenú v príslušných právnych predpisoch (napr. účtovné doklady 10 rokov). Údaje na účely vymáhania právnych nárokov sa uchovávajú po dobu nevyhnutnú na uplatňovanie týchto nárokov, najkratšie po dobu premlčacej lehoty.
Práva dotknutých osôb
GDPR a súvisiace slovenské právne predpisy poskytujú dotknutým osobám široké spektrum práv, ktoré zabezpečujú kontrolu nad ich osobnými údajmi.
- Právo na prístup k osobným údajom: Dotknutá osoba má právo získať potvrdenie o tom, či sa jej osobné údaje spracúvajú, a ak áno, má právo získať prístup k týmto údajom a informácie o ich spracúvaní. Na žiadosť poskytne prevádzkovateľ kópiu spracúvaných osobných údajov.
- Právo na opravu: Ak dotknutá osoba zistí, že spracúvané údaje sú neaktuálne alebo nesprávne, má právo požiadať o ich opravu alebo doplnenie.
- Právo na vymazanie (právo byť zabudnutý): Dotknutá osoba má právo na vymazanie svojich osobných údajov, ak sú splnené podmienky stanovené v GDPR. Toto právo však nie je absolútne a nemusí byť uplatnené, ak je spracúvanie nevyhnutné na iné účely, napríklad na plnenie zákonných povinností.
- Právo na obmedzenie spracúvania: Dotknutá osoba má právo požiadať o obmedzenie spracúvania jej osobných údajov v prípadoch stanovených v GDPR.
- Právo namietať: Dotknutá osoba má právo kedykoľvek namietať proti spracúvaniu osobných údajov, ktoré je vykonávané na základe oprávneného záujmu, alebo ak sa údaje spracúvajú na účely priameho marketingu.
- Právo na prenosnosť údajov: Dotknutá osoba má právo získať svoje osobné údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a preniesť ich ďalšiemu prevádzkovateľovi.
- Právo nebyť predmetom automatizovaného rozhodovania: Dotknutá osoba má právo, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní, vrátane profilovania, ak takéto rozhodnutie má právne účinky alebo ju podobne významne ovplyvňuje.
Zabezpečenie ochrany osobných údajov
Prevádzkovateľ aj sprostredkovateľ sú povinní zabezpečiť ochranu osobných údajov v súlade s príslušnými právnymi predpismi. K osobným údajom má prístup len úzko vymedzený okruh oprávnených osôb, ktoré sú poučené a pravidelne preškoľované.
- Technické opatrenia: Digitálne údaje sú chránené pomocou firewallov, hesiel a šifrovania SSL.
- Organizačné opatrenia: Listinné dokumenty sa skladujú v uzamknutých priestoroch so zabezpečeným fyzickým prístupom. Zamestnanci sú pravidelne školení o povinnostiach pri spracúvaní osobných údajov.
Cezhraničný prenos osobných údajov
Osobné údaje sa spracúvajú primárne v rámci krajín Európskej únie alebo v krajinách s primeranou úrovňou ochrany osobných údajov. Prenos mimo týchto krajín je možný len za špecifických podmienok, napríklad ak sa poistná udalosť týka danej krajiny.
Spolupráca s Úradom na ochranu osobných údajov
V prípade podozrenia z neoprávneného spracovania osobných údajov má dotknutá osoba právo podať sťažnosť dozornému orgánu, ktorým je Úrad na ochranu osobných údajov Slovenskej republiky. Úrad následne rozhodne o návrhu navrhovateľa v stanovenej lehote.
Záverečné ustanovenia a aktualizácie
Tieto zásady spracúvania osobných údajov sú účinné od konkrétneho dátumu a ich znenie sa môže meniť v súvislosti s legislatívnymi zmenami alebo zmenami účelu a prostriedkov spracúvania. Dôležité je, že práva dotknutých osôb nebudú v žiadnom prípade obmedzené. V prípade nejasností je prevádzkovateľ pripravený poskytnúť dodatočné vysvetlenia.
Spoločnosť MAPAZU s. r. o. ako prevádzkovateľ zdôrazňuje, že spracúva osobné údaje v súlade so zákonom č. 18/2018 Z. z. a Nariadením GDPR. Pri spracúvaní postupuje transparentne a efektívne, pričom zhromažďuje len tie údaje, ktoré sú nevyhnutné na poskytovanie služieb. Spoločnosť tiež poveruje spracúvaním osobných údajov sprostredkovateľov, ktorí sú viazaní zmluvou a musia dodržiavať rovnaké štandardy ochrany. Štefan Paľa, štatutár spoločnosti, je určenou osobou zodpovednou za ochranu osobných údajov, pričom spoločnosť zabezpečuje pravidelné školenia zamestnancov zamerané na oblasť ochrany osobných údajov.