Smernica pre vybavovanie žiadostí dotknutých osôb uplatňujúcich si svoje práva podľa všeobecného nariadenia o ochrane údajov

Použité skratky: GDPR General Data Protection Regulation EÚ Európska únia Zákon Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov

Čl. I Účel

1. Účelom tejto smernice je upraviť spôsob a postup pri vybavovaní žiadostí dotknutých osôb, ktorými si tieto uplatnia svoje práva v súlade s čl. 15 až čl. 22 GDPR. Smernica sa vzťahuje na všetky oprávnené osoby, ktoré spracúvajú osobné údaje dotknutých osôb v rámci spracúvania osobných údajov v informačných systémoch prevádzkovateľa.
2. Táto smernica je vydaná v zmysle aktuálne platnej legislatívy na úseku ochrany osobných údajov.

Čl. II Základné pojmy

1. Osobné údaje – osobnými údajmi sú údaje týkajúce sa identifikovanej fyzickej osoby alebo identifikovateľnej fyzickej osoby, ktorú možno identifikovať priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora, iného identifikátora, ako je napríklad meno, priezvisko, identifikačné číslo, lokalizačné údaje, alebo online identifikátor, alebo na základe jednej alebo viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú identitu, fyziologickú identitu, genetickú identitu, psychickú identitu, mentálnu identitu, ekonomickú identitu, kultúrnu identitu alebo sociálnu identitu.
2. Informačný systém osobných údajov – je akýkoľvek usporiadaný súbor osobných údajov, ktoré sú prístupné podľa určených kritérií, bez ohľadu na to, či ide o systém centralizovaný, decentralizovaný alebo distribuovaný na funkčnom alebo geografickom základe.
3. Súhlas dotknutej osoby – súhlasom dotknutej osoby je akýkoľvek vážny a slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle vo forme vyhlásenia alebo jednoznačného potvrdzujúceho.
4. Spracúvanie osobných údajov – spracúvaním osobných údajov sa rozumie spracovateľská operácia alebo súbor spracovateľských operácií s osobnými údajmi alebo so súbormi osobných údajov, najmä získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie, bez ohľadu na to, či sa vykonáva automatizovanými prostriedkami alebo neautomatizovanými prostriedkami.
5. Dotknutá osoba – dotknutou osobou je každá fyzická osoba, ktorej osobné údaje sa spracúvajú.
6. Prevádzkovateľ – prevádzkovateľom je každý, kto sám alebo spoločne s inými vymedzí účel a prostriedky spracúvania osobných údajov a spracúva osobné údaje vo vlastnom mene; prevádzkovateľ alebo konkrétne požiadavky na jeho určenie môžu byť ustanovené v osobitnom predpise alebo medzinárodnej zmluve, ktorou je Slovenská republika viazaná, ak takýto predpis alebo táto zmluva ustanovuje účel a prostriedky spracúvania osobných údajov.
7. Sprostredkovateľ – sprostredkovateľom je každý, kto spracúva osobné údaje v mene prevádzkovateľa.
8. Oprávnená osoba – fyzická osoba, ktorá má prístup k osobný údajom prevádzkovateľa a spracúva ich na základe jeho pokynu.
9. Práva dotknutej osoby – práva dotknutej osoby garantované v čl. 13 až čl. 22 nariadenia Európskeho parlamentu a Rady EÚ 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane osobných údajov). Na účely tejto smernice je to najmä právo na prístup k osobným údajom, právo na opravu osobných údajov, právo na vymazanie osobných údajov (právo na zabudnutie), právo na obmedzenie spracúvania, právo na prenosnosť osobných údajov, právo namietať proti spracúvaniu vrátane namietania proti profilovaniu (ak sa vykonáva), právo odvolať súhlas so spracúvaním osobných údajov.
10. Účel spracúvanie osobných údajov – je vopred jednoznačne vymedzený alebo ustanovený zámer spracúvania osobných údajov, ktorý sa viaže na určitú činnosť.
11. Žiadateľ – fyzická osoba, ktorá je dotknutou osobou a ktorá si uplatňuje svoje práva v súlade s nariadením Európskeho parlamentu a Rady EÚ 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane osobných údajov).
12. Žiadosť dotknutej osoby – forma uplatnenia práv dotknutej osoby podľa čl. 15 až čl. 22 nariadenia Európskeho parlamentu a Rady EÚ 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane osobných údajov).

Čl. III Prijímanie žiadostí dotknutých osôb

1. Žiadosti dotknutých osôb, ktorými si tieto uplatňujú svoje práva v zmysle čl. 15 až 22 GDPR, môže prevádzkovateľ prijať:
   1. poštou v súlade s informáciou uvedenou na webovom sídle prevádzkovateľa, ako aj na intranete pre zamestnancov;
   2. elektronickou poštou adresovanou na e-mailovú schránku zodpovednej osoby alebo v súlade s informáciou uvedenou na webovom sídle prevádzkovateľa.
   Ak je žiadosť doručená poštou, po prijatí sa žiadosť potvrdí prijímacou pečiatkou s uvedením dňa prijatia žiadosti, čísla konania a žiadosť sa zapíše do došlej pošty. Následne sa žiadosť zaeviduje do osobitnej evidencie vybavovania žiadostí dotknutých osôb, ktorú je potrebné viesť v súlade s registratúrnym poriadkom prevádzkovateľa. Po zaevidovaní do došlej pošty sa vyhotoví kópia žiadosti (fotokópia, sken), ktorá bude bezodkladne postúpená zodpovednej osobe alebo kontaktnej osobe na vybavovanie žiadostí dotknutých osôb. V prípade, ak sa žiadosť posiela e-mailom prostredníctvom internetu, je nevyhnutné dokument ochrániť heslom. Originál žiadosti sa zakladá do osobitného zakladača určeného na vybavovanie žiadostí dotknutých osôb podľa GDPR.
2. Ak je žiadosť doručená elektronickou poštou, po prijatí sa žiadosť vytlačí, potvrdí pečiatkou došlej pošty a zapíše do došlej pošty. Výtlačok žiadosti sa zakladá do osobitného zakladača určeného na vybavovanie žiadostí dotknutých osôb podľa GDPR. Po zaevidovaní do došlej pošty sa žiadosť bezodkladne poskytne zodpovednej osobe alebo kontaktnej osobe na vybavovanie žiadostí dotknutých osôb.

Čl. IV Evidencia žiadostí dotknutých osôb

1. O prijatí žiadosti dotknutej osoby sa vedie osobitná evidencia. Evidenčný list tvoria tieto osobné údaje: meno, priezvisko, dátum narodenia, adresa bydliska, telefónne číslo, e-mailová adresa.
2. Ďalšími údajmi uvedenými v evidencii je označenie typu žiadosti v nadväznosti na čl. 15 až čl. 22 GDPR.
3. Prijímanie žiadostí a ich evidenciu zabezpečuje zodpovedná osoba alebo kontaktná osoba. Evidenčný záznam sa vedie v elektronickej aj v tlačenej forme. Tieto záznamy vedené v elektronickej forme budú ukladané na intranete v adresári s názvom Žiadosti dotknutých osôb, ktorý bude prístupný len pre zodpovednú osobu alebo kontaktnú osobu.

Čl. V Vybavovanie žiadostí dotknutých osôb

1. Každá žiadosť musí obsahovať nasledovné náležitosti: titul, meno, priezvisko, adresa trvalého pobytu žiadateľa, e-mailová adresa žiadateľa. V žiadosti žiadateľ vyznačí svoj status k prevádzkovateľovi.
2. Po prijatí a zaevidovaní žiadosti dotknutej osoby je potrebné o prijatí žiadosti žiadateľa informovať. Potvrdenie prijatia sa realizuje formou, ktorú dotknutá osoba zvolila vo svojej žiadosti. V prípade, ak žiadateľ nepotvrdil žiadnu formu, ale žiadosť obsahuje dostatočný zoznam osobných údajov na identifikáciu dotknutej osoby, korešpondencia so žiadateľom sa realizuje poštou.
3. Ak žiadosť neobsahuje všetky náležitosti žiadosti, a teda je neúplná, t. j. neobsahuje všetky identifikačné osobné údaje žiadateľa potrebné na to, aby osoba mohla byť jednoznačne identifikovaná, v potvrdení o prijatí žiadosti sa uvedené informácie dožiadajú s upozornením na následky nedoplnenia žiadosti. Formulácia tohto zdôvodnenia môže byť nasledovná: „V prípade, ak svoju žiadosť nedoplníte svojimi identifikačnými údajmi, prevádzkovateľ nebude môcť žiadosť vybaviť, pretože Vás nedokáže jednoznačne identifikovať.“
4. Po jednoznačnej identifikácii žiadateľa a v súlade s jeho požiadavkou sa preverí predmet žiadosti v spolupráci s oprávnenými osobami. V odpovedi sa uvedie, či bola požiadavka akceptovaná alebo obmedzená z dôvodov legislatívnych ustanovení v osobitných zákonoch.

Čl. VI Právo na prístup k osobným údajom

1. Ak si žiadateľ uplatní svoje právo na prístup k osobným údajom, vydá sa mu potvrdenie o spracúvaní jeho osobných údajov. Potvrdenie obsahuje:
   1. účely spracúvania;
   2. kategórie dotknutých osobných údajov;
   3. príjemcovia alebo kategórie príjemcov, ktorým boli alebo budú osobné údaje poskytnuté, najmä príjemcovia v tretích krajinách alebo medzinárodné organizácie;
   4. ak je to možné, predpokladaná doba uchovávania osobných údajov, alebo ak to nie je možné, kritériá na jej určenie;
   5. existencia práva požadovať od prevádzkovateľa opravu osobných údajov týkajúcich sa žiadateľa alebo ich vymazanie alebo obmedzenie spracúvania, alebo práva namietať proti takému spracúvaniu;
   6. právo podať sťažnosť dozornému orgánu;
   7. ak sa osobné údaje nezískali od dotknutej osoby, akékoľvek dostupné informácie, pokiaľ ide o ich zdroj;
   8. existencia automatizovaného rozhodovania vrátane profilovania uvedeného v článku 22 ods. 1 a 4 GDPR a v týchto prípadoch aspoň zmysluplné informácie o použitom postupe, ako aj význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu.
2. Za akékoľvek ďalšie kópie, o ktoré žiadateľ požiada, môžeme účtovať primeraný poplatok zodpovedajúci administratívnym nákladom. Ak žiadateľ podal žiadosť elektronickými prostriedkami, informácie sa poskytnú v bežne používanej elektronickej podobe.

Čl. VII Právo na opravu osobných údajov

1. Ak žiadateľ požiada o opravu alebo doplnenie osobných údajov, ktoré sú nepresné alebo neúplné, bez zbytočného odkladu sa tieto údaje opravia alebo doplnia. Žiadateľovi sa poskytne doplnkové vyhlásenie o vykonaní opravy.

Čl. VIII Právo na výmaz osobných údajov

1. Ak žiadateľ požiada o výmaz svojich osobných údajov, bez zbytočného odkladu sa vymažú jeho osobné údaje, ak je splnený niektorý z týchto dôvodov:
   1. osobné údaje už nie sú potrebné na účely, na ktoré sa získavali alebo inak spracúvali;
   2. žiadateľ odvolá súhlas, na základe ktorého sa spracúvanie vykonáva, ak neexistuje iný právny základ pre spracúvanie;
   3. žiadateľ namieta voči spracúvaniu podľa článku 21 ods. 1 GDPR a neprevažujú žiadne oprávnené dôvody na spracúvanie alebo žiadateľ namieta voči spracúvaniu podľa článku 21 ods. 2 GDPR;
   4. osobné údaje sa spracúvali nezákonne;
   5. osobné údaje musia byť vymazané, aby sa splnila zákonná povinnosť;
   6. osobné údaje sa získavali v súvislosti s ponukou služieb informačnej spoločnosti podľa článku 8 ods. 1 GDPR.
2. Osobné údaje sa nevymažú, ak je spracúvanie potrebné:
   1. na uplatnenie práva na slobodu prejavu a na informácie;
   2. na splnenie zákonnej povinnosti alebo na splnenie úlohy realizovanej vo verejnom záujme, alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
   3. z dôvodov verejného záujmu v oblasti verejného zdravia v súlade s článkom 9 ods. 2 písm. h) a i), ako aj článkom 9 ods. 3 GDPR;
   4. na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či na štatistické účely podľa článku 89 ods. 1, pokiaľ je pravdepodobné, výmaz znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takéhoto spracúvania, alebo
   5. na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.

Čl. IX Právo na obmedzenie spracúvania osobných údajov

1. Žiadateľ môže žiadať, aby prevádzkovateľ obmedzil spracúvanie, pokiaľ ide o jeden z týchto prípadov:
   1. žiadateľ napadne správnosť osobných údajov, a to počas obdobia umožňujúceho prevádzkovateľovi overiť správnosť osobných údajov;
   2. spracúvanie je protizákonné a žiadateľ namieta proti vymazaniu osobných údajov a žiada namiesto toho obmedzenie ich použitia;
   3. prevádzkovateľ už nepotrebuje osobné údaje na účely spracúvania, ale potrebuje ich žiadateľ na preukázanie, uplatňovanie alebo obhajovanie právnych nárokov;
   4. žiadateľ namietal voči spracúvaniu podľa článku 21 ods. 1 GDPR, a to až do overenia, či oprávnené dôvody na strane prevádzkovateľa prevažujú nad oprávnenými dôvodmi žiadateľa.
2. Ak sa spracúvanie obmedzilo, takéto osobné údaje sa s výnimkou uchovávania spracúvajú len so súhlasom žiadateľa alebo na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, alebo na ochranu práv inej fyzickej alebo právnickej osoby, alebo z dôvodov dôležitého verejného záujmu Únie alebo členského štátu.
3. Žiadateľ, ktorý dosiahol obmedzenie spracúvania, sa informuje pred tým, ako bude obmedzenie spracúvania zrušené.

Čl. X Právo na prenosnosť údajov

1. Žiadateľ môže žiadosťou získať osobné údaje, ktoré sa jej týkajú a ktoré poskytol prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte. Ak je to technicky možné, môže požiadať, aby sa tieto údaje preniesli ďalšiemu prevádzkovateľovi bez toho, aby mu prevádzkovateľ, ktorému sa tieto osobné údaje poskytli, bránil, ak:
   1. sa spracúvanie zakladá na súhlase alebo na zmluvnom základe, a
   2. ak sa spracúvanie vykonáva automatizovanými prostriedkami.
2. Uvedené právo sa nevzťahuje na spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Žiadosti nevyhovieme, ak by prenos údajov mal nepriaznivé dôsledky na práva a slobody iných.

Čl. XI Právo namietať

1. Žiadateľ má právo kedykoľvek namietať z dôvodov týkajúcich sa jeho konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa ho týkajú a ktoré je vykonávané na základe článku 6 ods. 1 písm. e) alebo f) GDPR vrátane namietania proti profilovaniu založenému na uvedených ustanoveniach. V takomto prípade sa osobné údaje ďalej nesmú spracúvať, pokiaľ sa nepreukážu nevyhnutné oprávnené dôvody na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami žiadateľa osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.
2. Ak žiadateľ namieta voči spracúvaniu na účely priameho marketingu, osobné údaje sa už na také účely nesmú ďalej spracúvať.
3. Ak sa osobné údaje spracúvajú na účely vedeckého alebo historického výskumu či na štatistické účely, žiadateľ má právo namietať z dôvodov týkajúcich sa jeho konkrétnej situácie proti spracúvaniu osobných údajov. Takémuto namietaniu však nevyhovieme, ak je spracúvanie nevyhnutné na plnenie úlohy z dôvodov verejného záujmu.
4. Žiadateľ môže namietať, aby sa naňho nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, vrátane profilovania, a ktoré má právne účinky, ktoré sa ho týkajú alebo ho podobne významne ovplyvňujú. Takejto žiadosti sa nevyhovie, ak je rozhodnutie:
   1. nevyhnutné na uzavretie alebo plnenie zmluvy medzi žiadateľom a prevádzkovateľom,
   2. povolené právom Únie alebo právom členského štátu, ktorému prevádzkovateľ podlieha a ktorým sa zároveň stanovujú aj vhodné opatrenia zaručujúce ochranu práv a slobôd a oprávnených záujmov žiadateľa, alebo
   3. založené na výslovnom súhlase žiadateľa.

Čl. XII Lehota na vybavenie žiadosti

1. Prevádzkovateľ je povinný vybaviť žiadosť v lehote 30 dní od doručenia.
2. V odôvodnených prípadoch je možné túto lehotu predĺžiť najviac o ďalšie dva mesiace. Odôvodneným prípadom je napríklad komplexnosť žiadosti alebo veľký počet žiadostí. V prípade predĺženia lehoty je prevádzkovateľ povinný informovať žiadateľa o tejto skutočnosti pred uplynutím lehoty na vybavenie žiadosti a zdôvodniť predĺženie lehoty.
3. Lehota je dodržaná, ak prevádzkovateľ oznámenie o predĺžení lehoty spolu s jej zdôvodnením podá na poštovú prepravu najneskôr 30. deň od prevzatia žiadosti.

Revízia 1: Dátum: Podpis: Por. č. vydania

Revízia 2: Dátum: Podpis: Dátum platnosti

Revízia 3: Dátum: Podpis:

Revízia 4: Dátum: Podpis:

Revízia 5: Dátum: Podpis:

Poznámka (základný popis, dôvod zmeny, nového vydania) nového vydania

Žiadosť dotknutej osoby na uplatnenie jej práv v zmysle článku 15 až 22 všeobecného nariadenia o ochrane údajov (GDPR)

Adresát (prevádzkovateľ): COLD s.r.o., Kasárenská 2050, 911 05 Trenčín

Žiadateľ (dotknutá osoba):
Titul, meno priezvisko: ............................................................................................................. a Adresa: .......................................................................................................................... ..........................
E-mailová adresa: ......................................................................................................................

Status dotknutej osoby voči prevádzkovateľovi (vyznačiť):
☐ zamestnanec ☐ bývalý zamestnanec ☐ zákazník ☐ uchádzač o zamestnanie ☐ iná fyzická osoba: .....................................................

1. Právo, ktoré si v zmysle nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 (ďalej len „nariadenie GDPR“) dotknutá osoba svojou žiadosťou uplatňuje (vyznačiť aj viac možností):
☐ odvolanie súhlasu v prípade, že sa osobné údaje spracúvajú na základe súhlasu dotknutej osoby (čl. 7 nariadenia GDPR)

2. (odvolanie súhlasu nemá vplyv na zákonnosť spracúvania osobných údajov, ktoré boli na jeho základe spracúvané do jeho odvolania), ☐ prístup k osobným údajom; potvrdenie o spracúvaní osobných údajov; kópia osobných údajov (čl. 15 nariadenia GDPR) (prístup nesmie mať nepriaznivé dôsledky na práva iných fyzických osôb), ☐ oprava a doplnenie osobných údajov (čl. 16 nariadenia GDPR), ☐ výmaz osobných údajov (právo „na zabudnutie“) (čl. 17 nariadenia GDPR) (nepotrebných, spracúvaných nezákonne, pri odvolaní súhlasu na spracovanie, ak neexistuje iný právny základ spracúvania; neuplatňuje sa pri údajoch spracúvaných pri výkone verejnej moci zverenej prevádzkovateľovi, spracúvaných na účel archivácie, vedecký alebo štatistický účel, historický výskum, na uplatnenie práva na slobodu prejavu a práva na informácie, na preukazovanie a uplatňovanie právnych nárokov), ☐ obmedzenie spracúvania osobných údajov (čl. 18 nariadenia GDPR) (do vykonania opravy nesprávnych údajov; do overenia, či oprávnené záujmy Úradu pre reguláciu hazardných hier neprevažujú záujmy dotknutej osoby; ak dotknutá osoba namieta výmaz údajov a požaduje ho nahradiť obmedzením spracúvania; ak už prevádzkovateľ údaje nepotrebuje, ale potrebuje ich dotknutá osoba na uplatnenie právneho nároku), ☐ prenesenie osobných údajov spracúvaných automatizovanými prostriedkami (čl. 20 nariadenia GDPR), ☐ namietanie spracúvania osobných údajov (čl. 21 nariadenia GDPR) (pri spracovaní na základe verejného záujmu alebo výkonu verejnej moci zverejnenej prevádzkovateľovi alebo na základe oprávnených záujmov prevádzkovateľa), ☐ uplatnenie práva, aby sa na dotknutú osobu nevzťahovalo automatizované individuálne rozhodovanie vrátane profilovania (čl. 22 nariadenia GDPR).

Upresnenie údajov k uplatňovanému právu a žiadosti:

3. Spôsob, ktorým si želám dostať informáciu o vybavení mojej žiadosti: ☐ listinná forma ☐ elektronická forma (e-mail) ☐ elektronická schránka (slovensko.sk)

4. 5. V .......................................... dňa ..........................................

....................................................... vlastnoručný podpis dotknutej osoby