Ochrana osobných údajov prešla v posledných rokoch revolučnou zmenou, ktorej hlavným iniciátorom bolo Všeobecné nariadenie o ochrane údajov, známe pod skratkou GDPR. Hoci je toto nariadenie priamo uplatniteľné vo všetkých členských štátoch Európskej únie, slovenský právny poriadok musel na túto zmenu reagovať prijatím nového vnútroštátneho predpisu. Tým sa stal zákon č. 18/2018 Z. z. o ochrane osobných údajov, ktorý nahradil predchádzajúcu legislatívu a priniesol špecifické pravidlá prispôsobené miestnym podmienkam. Vzťah medzi týmito dvoma normami nie je konkurenčný, ale komplementárny. Zatiaľ čo GDPR stanovuje všeobecné princípy a vysoký štandard ochrany v rámci EÚ, slovenský zákon využíva takzvané „otváracie doložky“, ktoré umožňujú národným vládam upraviť určité aspekty podľa vlastných potrieb. Cieľom tohto článku je podrobne analyzovať tieto styčné body a poukázať na dôležité slovenské špecifiká, ktoré musia prevádzkovatelia dodržiavať.

Súhra európskeho nariadenia a vnútroštátneho zákona

Základným kameňom pochopenia problematiky je uvedomenie si právnej sily oboch dokumentov. GDPR je nariadenie, čo znamená, že má priamy účinok a prednosť pred národnými zákonmi v prípade konfliktu. Avšak, európsky zákonodarca ponechal členským štátom priestor na špecifikáciu v oblastiach, kde je nevyhnutné zohľadniť lokálnu tradíciu, administratívne postupy alebo osobitné právne inštitúty.

Slovenský zákon č. 18/2018 Z. z. je rozdelený na viacero častí. Prvá časť kopíruje štruktúru GDPR, aby sa zabezpečila prehľadnosť pre subjekty, ktoré spracúvajú údaje mimo rozsahu pôsobnosti práva EÚ (napríklad v rámci aktivít čistého národného významu). Druhá časť sa zameriava na špecifické ustanovenia, ktoré nariadenie dovoľuje upraviť na národnej úrovni. Je dôležité zdôrazniť, že slovenský zákon nemôže znižovať štandard ochrany nastavený nariadením, môže ho však v určitých bodoch precizovať alebo dopĺňať o procesné pravidlá.

1. Veková hranica pre súhlas v online prostredí

Jedným z najvýraznejších príkladov národnej odchýlky je stanovenie vekovej hranice dieťaťa v súvislosti so službami informačnej spoločnosti. GDPR stanovuje túto hranicu na 16 rokov, ale zároveň dovoľuje členským štátom ju znížiť až na 13 rokov.

• Slovenská úprava: Slovenská republika sa rozhodla nevyužiť možnosť zníženia a ponechala hranicu na úrovni 16 rokov.
• Dôsledok: Ak prevádzkovateľ poskytuje služby (napr. sociálne siete, e-shopy so registráciou) dieťaťu mladšiemu ako 16 rokov na Slovensku, spracúvanie osobných údajov na základe súhlasu je zákonné len vtedy, ak tento súhlas vyjadril alebo schválil jeho zákonný zástupca.

Tento prístup odráža konzervatívnejšie nastavenie slovenskej legislatívy v otázke ochrany maloletých v digitálnom priestore a kladie vyššie nároky na prevádzkovateľov pri overovaní veku používateľov.

Špecifické spracúvanie rodného čísla

V rámci slovenskej právnej praxe zohráva rodné číslo kľúčovú úlohu ako univerzálny identifikátor fyzickej osoby. Hoci GDPR o rodnom čísle explicitne nehovorí (považuje ho za všeobecný osobný údaj, pokiaľ z neho nevyplývajú biometrické alebo genetické informácie), slovenský zákon mu venuje osobitnú pozornosť v rámci § 78.

Spracúvanie rodného čísla je na Slovensku povolené len vtedy, ak je to nevyhnutné na dosiahnutie účelu spracúvania a zákon to výslovne nezakazuje. Slovenská legislatíva striktne zakazuje zverejňovanie rodného čísla, pokiaľ to osobitný zákon nepovoľuje. Pre firmy to znamená, že nemôžu rodné číslo vyžadovať len tak pre marketingové účely alebo bez náležitého právneho základu (napr. pri uzatváraní zmluvy, kde je stotožnenie osoby nevyhnutné).

Poznámka: Pri spracúvaní rodného čísla musí prevádzkovateľ dbať na to, aby toto číslo nebolo zobrazené na verejne prístupných miestach alebo v dokumentoch, ktoré nie sú určené výhradne pre úradnú komunikáciu či zmluvné vzťahy.

2. Spracúvanie na vedecké, historické a štatistické účely

Ďalšou oblasťou, kde slovenský zákon dopĺňa európsky rámec, je spracúvanie údajov na účely archívnictva, vedeckého alebo historického výskumu a na štatistické účely. GDPR v článku 89 vyžaduje primerané záruky pre práva a slobody dotknutých osôb, ale detaily necháva na národné právo.

Slovenský zákon v tomto smere definuje výnimky z určitých práv dotknutých osôb. Ak by uplatnenie práv (napríklad právo na opravu alebo vymazanie) znemožnilo alebo vážne sťažilo dosiahnutie cieľov výskumu, zákon umožňuje ich obmedzenie. Musia však byť splnené prísne podmienky anonymizácie alebo pseudonymizácie údajov všade tam, kde je to možné. Tento prístup je dôležitý najmä pre akademickú obec a štátne štatistické úrady, ktorým umožňuje pracovať s dátami aj bez priameho súhlasu každej dotknutej osoby, ak je prítomný dôležitý verejný záujem.

Ochrana súkromia v pracovnoprávnych vzťahoch

Vzťah zamestnávateľa a zamestnanca je v slovenskom práve špecificky chránený nielen zákonom o ochrane osobných údajov, ale aj Zákonníkom práce (najmä § 13 ods. 4). GDPR umožňuje štátom prijať konkrétnejšie pravidlá v kontexte zamestnanosti.

Na Slovensku platí, že zamestnávateľ môže monitorovať zamestnanca (kamerovým systémom, kontrolou e-mailov či GPS v autách) len za veľmi prísnych podmienok:

• Musia existovať vážne dôvody spočívajúce v osobitnej povahe činností zamestnávateľa.
• Monitorovanie musí byť vopred prerokované so zástupcami zamestnancov (napr. odbormi alebo zamestnaneckou radou).
• Zamestnanci musia byť o monitorovaní vopred jasne informovaní (rozsah, spôsob a doba uchovávania záznamov).

Slovenský zákon o ochrane osobných údajov tiež upravuje povinnosť mlčanlivosti osôb, ktoré prichádzajú do styku s údajmi u zamestnávateľa, čo je dôležitý prvok vnútornej bezpečnosti každej firmy.

3. Sloboda prejavu a informačná povinnosť

GDPR vyžaduje súlad medzi právom na ochranu osobných údajov a právom na slobodu prejavu a informácií. Slovenský zákon č. 18/2018 Z. z. v § 78 ods. 2 poskytuje špecifickú ochranu pre žurnalistické účely a akademické, umelecké alebo literárne prejavy.

Ak sú osobné údaje spracúvané výhradne pre potreby informovania verejnosti masovokomunikačnými prostriedkami (novinári), prevádzkovateľ nemusí v určitých prípadoch plniť všetky prísne povinnosti GDPR (napríklad získavať súhlas na zverejnenie mena v reportáži, ak ide o verejný záujem). Táto výnimka je kľúčová pre fungovanie slobodnej tlače v demokratickej spoločnosti, no vždy sa musí vyvažovať s právom jednotlivca na ochranu súkromia.

Postavenie a právomoci Úradu na ochranu osobných údajov SR

Kým GDPR definuje úlohu dozorných orgánov všeobecne, slovenský zákon podrobne špecifikuje organizačnú štruktúru a procesné postupy Úradu na ochranu osobných údajov SR (ÚOOÚ SR). Zákon určuje, ako prebieha kontrola, aké sú lehoty na vyjadrenie a akým spôsobom sa ukladajú pokuty.

Slovenské špecifikum spočíva aj v možnosti udeliť pokutu nielen za porušenie GDPR, ale aj za porušenie národného zákona v oblastiach, ktoré nariadenie neupravuje (napr. porušenie povinností pri spracúvaní rodného čísla). Úrad má právomoc nariadiť prerušenie spracúvania údajov, čo môže byť pre mnohé firmy likvidačné, preto je dôležité sledovať nielen metodické usmernenia Európskeho výboru pre ochranu údajov (EDPB), ale aj rozhodovaciu prax a usmernenia slovenského úradu.

V rámci slovenskej legislatívy je tiež dôležitý inštitút zodpovednej osoby (DPO). Hoci kritériá na jej určenie vychádzajú z GDPR, slovenský zákon poskytuje rámec pre jej komunikáciu s úradom a ochranu pred prepustením zo strany zamestnávateľa v dôsledku výkonu jej úloh.

Záver

Vzťah medzi GDPR a slovenským zákonom č. 18/2018 Z. z. o ochrane osobných údajov je ukážkou moderného právneho dualizmu, kde nadnárodná regulácia tvorí pevný základ a vnútroštátny predpis dopĺňa nevyhnutné detaily. Pre slovenské subjekty je životne dôležité nespoliehať sa len na všeobecné znalosti európskeho nariadenia, ale dôkladne poznať aj národné špecifiká. Či už ide o striktné pravidlá pri narábaní s rodným číslom, nastavenie vekovej hranice digitálneho súhlasu na 16 rokov, alebo špecifické požiadavky Zákonníka práce pri monitorovaní zamestnancov, slovenské právo prináša nuansy, ktoré môžu pri zanedbaní viesť k vysokým sankciám.

Zhrnutím možno konštatovať, že slovenský zákon úspešne implementoval ducha GDPR, pričom zachoval kontinuitu v oblastiach, ktoré sú pre slovenskú právnu tradíciu kľúčové. Pre firmy a inštitúcie to znamená potrebu pravidelného auditu svojich procesov nielen z pohľadu európskej transparentnosti, ale aj lokálnej zákonnosti. Úspešná compliance stratégia musí vždy brať do úvahy oba tieto pramene práva súčasne. V konečnom dôsledku je cieľom oboch noriem to isté: posilnenie práv jednotlivca a zvýšenie zodpovednosti tých, ktorí s jeho identitou pracujú. V dobe digitalizácie a umelej inteligencie bude tento súlad medzi „bruselskými“ a „bratislavskými“ pravidlami čoraz dôležitejším pilierom bezpečného podnikateľského prostredia na Slovensku.