Čo vám nikto nepovie o vzťahu GDPR a slovenského zákona: 5 kritických rozdielov, ktoré vás môžu vyjsť poriadne draho

Mnohí podnikatelia a manažéri na Slovensku žijú v nebezpečnej ilúzii, že zavedením európskeho nariadenia GDPR sa ich povinnosti v oblasti ochrany súkromia končia. Realita je však omnoho komplexnejšia. Hoci je GDPR (General Data Protection Regulation) priamo uplatniteľné vo všetkých členských štátoch EÚ, európsky zákonodarca ponechal národným vládam pomerne široký priestor na úpravu špecifických oblastí prostredníctvom takzvaných „otváracích doložiek“. Na Slovensku túto úlohu plní Zákon č. 18/2018 Z. z. o ochrane osobných údajov. Tento národný predpis nie je len kópiou európskeho nariadenia; obsahuje unikátne ustanovenia, ktoré sprísňujú pravidlá spracúvania údajov v pracovnoprávnych vzťahoch, pri narábaní s rodnými číslami či pri určovaní vekovej hranice pre súhlas detí. Ignorovanie týchto slovenských špecifík môže viesť k vysokým pokutám od Úradu na ochranu osobných údajov SR, aj keď si myslíte, že ste „GDPR compliant“.

Prečo existuje slovenský zákon popri európskom GDPR?

Na prvý pohľad sa môže zdať zmätočné, prečo musíme sledovať dva dokumenty naraz. GDPR je nariadenie, čo znamená, že je nadradené národným zákonom a platí automaticky. Avšak články nariadenia priamo splnomocňujú členské štáty, aby v určitých sektoroch prijali vlastnú, podrobnejšiu úpravu. Ide najmä o oblasti verejnej správy, spracúvania genetických a biometrických údajov, údajov o zdraví, či o vzťahy medzi zamestnávateľom a zamestnancom.

Slovenský zákon o ochrane osobných údajov teda slúži ako dôležitý doplnok. Kým GDPR definuje všeobecné princípy (ako transparentnosť, minimalizácia údajov a zákonnosť), slovenský zákon č. 18/2018 Z. z. ide v mnohých bodoch do detailov, ktoré sú pre slovenské firmy záväzné. Ak by došlo k rozporu, v niektorých procesných otázkach má prednosť národná legislatíva, najmä ak ide o fungovanie dozorného orgánu alebo špecifické národné sankcie.

1. Spracúvanie rodného čísla: Slovenský unikát, ktorý GDPR nepozná

V európskom nariadení GDPR by ste pojem „rodné číslo“ hľadali márne. Nariadenie hovorí všeobecne o národných identifikačných číslach a ponecháva na štátoch, ako s nimi naložia. Slovenský zákon je v tomto smere mimoriadne striktný. Podľa paragrafu 78 zákona č. 18/2018 Z. z. je spracúvanie rodného čísla povolené len vtedy, ak je to nevyhnutné na dosiahnutie účelu a zákon to výslovne nezakazuje.

Kritické body pri rodnom čísle:

• Zákaz zverejňovania: Rodné číslo sa nesmie zverejňovať (okrem zákonom stanovených výnimiek).
• Podmienky súhlasu: Ak spracúvate rodné číslo na základe súhlasu, tento súhlas musí byť výslovný a nesmie sa podmieňovať inou službou.
• Vizuálna ochrana: Pri kopírovaní dokladov totožnosti (OP) je potrebné dbať na to, aby ste neuchovávali viac údajov, než potrebujete, pričom rodné číslo je považované za vysoko rizikový údaj.

Mnohé firmy robia chybu, že rodné číslo používajú ako variabilný symbol alebo identifikátor v zákazníckych databázach, čo je podľa slovenskej legislatívy v rozpore s princípom minimalizácie a bezpečnosti.

2. Monitorovanie zamestnancov a prepojenie so Zákonníkom práce

Toto je oblasť, kde sa GDPR stretáva s ďalším silným hráčom – slovenským Zákonníkom práce. Slovenský zákon o ochrane osobných údajov v paragrafe 78 ods. 3 jasne stanovuje, že zamestnávateľ môže spracúvať osobné údaje zamestnanca bez jeho súhlasu, ak je to nevyhnutné na plnenie povinností z pracovnoprávneho vzťahu.

Avšak pozor na článok 13 ods. 4 Zákonníka práce. Ten určuje prísne podmienky pre monitorovanie zamestnancov (kamerové systémy, kontrola e-mailov, GPS v autách). Zamestnávateľ nesmie bez vážnych dôvodov narúšať súkromie zamestnanca na pracovisku. Ak chce zaviesť kontrolný mechanizmus, musí to vopred prerokovať so zástupcami zamestnancov a zamestnancov o tom preukázateľne informovať. GDPR síce hovorí o „oprávnenom záujme“, ale slovenská prax vyžaduje splnenie týchto formálnych krokov podľa Zákonníka práce, inak je získaný dôkaz (napr. záznam o krádeži) na súde nepoužiteľný a firma riskuje pokutu.

3. Veková hranica dieťaťa pre súhlas v online službách

GDPR stanovilo základnú vekovú hranicu pre udelenie platného súhlasu dieťaťa so spracúvaním údajov v rámci služieb informačnej spoločnosti (napr. sociálne siete, e-shopy) na 16 rokov. Štáty však mali možnosť túto hranicu znížiť až na 13 rokov.

Slovenská republika sa rozhodla ponechať hranicu na úrovni 16 rokov. Čo to znamená v praxi?

• Ak váš e-shop cieli na mladistvých, musíte overiť ich vek.
• Ak má užívateľ menej ako 16 rokov, musíte získať súhlas od jeho zákonného zástupcu.
• V susednom Česku alebo Poľsku je táto hranica nižšia, čo môže viesť k chybám u firiem, ktoré pôsobia na viacerých trhoch a používajú jednotné obchodné podmienky.

Nesprávne vyhodnotenie veku a spracúvanie údajov dieťaťa bez súhlasu rodiča patrí k najzávažnejším porušeniam, ktoré dozorné orgány trestajú mimoriadne prísne.

4. Spracúvanie genetických, biometrických a zdravotných údajov

Slovenský zákon v paragrafe 16 rozširuje ochranu osobitných kategórií údajov. Slovensko využilo právo zaviesť ďalšie podmienky alebo obmedzenia, pokiaľ ide o spracúvanie genetických údajov, biometrických údajov a údajov o zdraví. V slovenskom kontexte je spracúvanie týchto údajov povolené len vtedy, ak to ustanovuje osobitný zákon (napr. zákon o zdravotnej starostlivosti) alebo ak na to subjekt udelil výslovný súhlas.

Zaujímavosťou je, že slovenská legislatíva je veľmi opatrná pri biometrickej identifikácii (napr. dochádzkové systémy na odtlačok prsta). Úrad na ochranu osobných údajov SR dlhodobo zastáva názor, že ak existuje iný, menej invazívny spôsob (napr. čipová karta), zamestnávateľ by nemal nútiť zamestnancov k odovzdávaniu biometrie, ani keby s tým súhlasili, pretože súhlas v zamestnaneckom vzťahu sa málokedy považuje za „slobodný“.

5. Postavenie zodpovednej osoby (DPO) a nahlasovacia povinnosť

Hoci inštitút zodpovednej osoby (Data Protection Officer) definuje GDPR, slovenský zákon č. 18/2018 Z. z. upravuje procesné detaily jej oznámenia úradu. Mnohé slovenské subjekty zabúdajú, že určenie zodpovednej osoby musia písomne alebo elektronicky oznámiť Úradu na ochranu osobných údajov SR do 30 dní od jej vymenovania.

Okrem toho, slovenský zákon presnejšie definuje mlčanlivosť zodpovednej osoby, ktorá trvá aj po skončení jej funkcie. Ak firma pôsobí v slovenskom verejnom sektore, povinnosť určiť DPO je prakticky absolútna. V súkromnom sektore sa táto povinnosť odvíja od povahy spracúvania (napr. rozsiahle monitorovanie alebo spracúvanie citlivých údajov), no slovenský úrad je pri kontrole týchto kritérií často prísnejší než jeho kolegovia v západnej Európe.

Pochopenie vzťahu medzi európskym nariadením GDPR a slovenským zákonom o ochrane osobných údajov je pre bezpečné podnikanie na Slovensku nevyhnutnosťou. Je dôležité si uvedomiť, že ochrana súkromia nie je statický stav, ale dynamický proces, ktorý vyžaduje neustálu pozornosť. Slovenská legislatíva prináša špecifiká, ktoré môžu byť pre firmy nevedome ignorujúce lokálne pravidlá osudné. Či už ide o prísnu ochranu rodných čísel, špecifické požiadavky Zákonníka práce pri monitorovaní zamestnancov, alebo vysokú vekovú hranicu pre digitálny súhlas detí, každý z týchto bodov predstavuje potenciálne riziko. Prevencia v podobe odborného právneho auditu a správne nastavených interných smerníc je vždy lacnejšia než riešenie následkov v podobe pokút, ktoré môžu dosiahnuť milióny eur, alebo nenapraviteľné poškodenie reputácie značky. Ako prevádzkovateľ musíte sledovať nielen Brusel, ale aj Bratislavu, pretože v detailoch národnej úpravy sa často skrýva rozdiel medzi zákonným spracúvaním a drahým omylom. Stabilný systém ochrany údajov postavený na súlade oboch týchto noriem vám poskytne nielen právnu istotu, ale aj konkurenčnú výhodu v očiach klientov, ktorí si svoje súkromie strážia čoraz viac.