Kiššová, Jana, poslankyňa NR SR (2017-11-29):
Ďakujem veľmi pekne za slovo. Vážená pani ministerka, vážené dámy, vážení páni, rada by som sa vyjadrila a reagovala na predložený návrh zákona o ochrane osobných údajov, pretože ho vnímam ako dosť problematický. Vrátim sa ale ešte na začiatok novembra. Začiatkom novembra, po desiatich rokoch vlády strany SMER, zorganizoval podpredseda vlády Slovenskej republiky pre investície a informatizáciu Peter Pellegrini spolu s pánom ministrom hospodárstva Petrom Žigom podľa vlastných slov veľmi zásadnú tlačovú besedu, na ktorej vyhlásili vojnu byrokratizácii a ohlásili sadu opatrení na debyrokratizáciu a nielen pre podnikateľské prostredie, ale aj pre iné oblasti. Podľa ministra Žigu sa vláda musí vážne zaoberať prijímaním európskej legislatívy, ktorú Slovensko podľa jeho vlastných slov preberá častokrát komplikovanejšie, ako nám to káže Brusel, a priznal, že takéto konanie spôsobuje vážne problémy nielen pre podnikateľov. O pár dní neskôr sa pán Pellegrini v televíznej diskusii k mojim apelom doslovne vyjadril, že sme majstrami v prijímaní európskej legislatívy vysoko nad rámec povinnosti a zavádzame pravidlá, ktoré od nás Európska únia ani nechce, a preto je potrebné zobrať nožík, vykostiť tie zákony ako rybu a to nadbytočné, čo sme prijali, dať zo zákonov von. Bola som veľmi rada, že toto povedal po tom, ako na to strana SaS dlhodobo poukazuje a dlhodobo žiada, aby sa európska legislatíva prijímala do našej slovenskej legislatívy len v rámci týchto možností a aby sme nešli ďaleko nad jej rámec a aby sme nepridávali byrokraciu a povinnosti či už našim podnikateľom, alebo občanom. Úplne explicitne sme v tejto televíznej diskusii hovorili aj o tomto zákone, ktorý je možno historicky príkladom, ako sa u nás zvykne ísť veľmi, veľmi nad rámec zákona a pridávajú sa rôzne povinnosti. Prešlo iba pár týždňov a môžeme vidieť výsledok úprimnej snahy vlády uľahčiť život občanom, ako aj výsledok predsavzatia, ako striktne sa bude u nás prijímať európska legislatíva tak, aby sa potom následne nemusela vykosťovať. Nový zákon o ochrane osobných údajov vychádza z európskeho nariadenia o ochrane fyzických osôb pri spracúvaní osobných údajov s názvom General Data Protection Regulation, tzv. GDPR, aj pod takýmto názvom sa o tomto nariadení hovorí, ktorý sa 25. mája 2018 stane priamo aplikovateľným aj pre slovenské subjekty a nie je potrebné ho do právneho poriadku transponovať formou zákona. To je uvedené aj v závere tohto nariadenia po článku 99. Tu si dovoľujem zdôrazniť, že Slovenská republika je jediným členským štátom, ktorý toto nariadenie preberá takýmto spôsobom. Slovenská republika mala transponovať iba tzv. policajnú smernicu, jej celý názov je Smernica o ochrane fyzických osôb pri spracovaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov, ktorú navrhovateľ do návrhu zahrnul, a zároveň krátkym návrhom navrhnúť implementáciu potrebných ustanovení nariadenia. Napriek tomu sa do tohto celého zakomponovali aj celé state GDPR, čo nielen nebolo potrebné, ale bolo to dokonca nadbytočné. Takéto konanie nie je len zbytočné a poťažne nadbytočné, ale môže byť aj nebezpečné a to z toho dôvodu, že v prípade, ak sa náš zákon bude čo i len trošku líšiť od európskeho nariadenia, bude v tej časti prakticky neplatný, ale občania to možno nebudú vedieť, pretože budú v tom, že naša legislatívna úprava platí, ale budú v omyle, pretože platí nariadenie a v prípade vzniknutých súdnych sporov, samozrejme, bude platiť nariadenie. Úrad pre ochranu osobných údajov pripravil návrh zákona, ktorý transponuje takzvanú policajnú smernicu o dátach spracúvaných políciou a justičnými orgánmi v súvislosti s trestnými konaniami, respektíve na ich predchádzanie. Tú, samozrejme, bolo potrebné transponovať. Ďalej implementuje tie časti nariadenia, ktoré je potrebné, napríklad zriadenie Úradu na ochranu osobných údajov, ukladanie pokút a certifikáciu, avšak doslovne prepisuje celé články, resp. časti nariadenia. Táto časť budúceho slovenského zákona sa bude vzťahovať aj na tie oblasti, ktoré GDPR nepokrýva, čím ide slovenský navrhovateľ nad rámec GDPR. A to vyplýva z rozsahu pôsobnosti návrhu, ktorý je širší ako GDPR. Nadbytočné sú oblasti, ktoré nespadajú pod právo Európskej únie či spoločnú zahraničnú a bezpečnostnú politiku. Výsledkom bude to, že spoločnosti budú musieť sledovať to, či je ich činnosť v súlade s GDPR, a navyše aj to, či je v súlade so slovenským zákonom. A tu môžu nastať komplikácie. Návrh zákona je zmätočný a spoločnosti mu nerozumejú. O tom svedčí množstvo kritiky a pripomienok. O celkovej nálade a postoji aj odbornej verejnosti k tomuto návrhu svedčí aj fakt, že v rámci pripomienkového rozporového konania s predkladateľom bolo podaných viac než tisíc pripomienok. Dámy a páni, tisíc pripomienok, z čoho bolo viac ako 200 zásadných. A toto číslo je aj pre vládu Roberta Fica zrejme rekordné. Odborná verejnosť nerozumie, prečo Slovensko potrebuje popri nariadení ešte aj ďalší zákon, ktorý je takto postavený, ako ho máme dnes v ruke. Návrh zákona navyše obsahuje aj gramatické chyby, zduplikované ustanovenia, pracuje s odlišnými pojmami ako nariadenie. Ja spomeniem len niekoľko príkladov. V návrhu je zbytočne uvedená definícia pojmu „kódex správania“ ako „súbor pravidiel ochrany osobných údajov dotknutej osoby, ktorý sa prevádzkovateľ alebo sprostredkovateľ zaviazal dodržiavať“. V nariadení sa pracuje s pojmom „kódex správania“, avšak nariadenie neponúka jeho definíciu, pretože vyplýva priamo z tohto nariadenia. V zmysle návrhu zákona sa až na výnimky zakazuje spracúvanie osobitných kategórií osobných údajov, medzi ktoré podľa zákona patria biometrické údaje, pričom tá policajná smernica, ako aj nariadenie pre účel zákazu spracúvania osobitných kategórií osobných údajov nepracuje s pojmom „biometrické údaje“, ale „biometrické údaje na účely individuálnej identifikácie fyzickej osoby“. Teda inými slovami, pre upresnenie, nariadenie pracuje s pojmom „biometrický údaj“, ale nie v súvislosti so zákazom spracovania osobitných kategórií osobných údajov. Biometrické údaje sa preto môžu spracúvať, ale nie pokiaľ umožnia individuálnu identifikáciu fyzických osôb. Podľa návrhu zákona sa spracovanie osobných údajov sprostredkovateľom riadi zmluvou alebo iným právnym úkonom, pričom v zmluve alebo v inom právnom úkone sa musí najmä ustanoviť, že „sprostredkovateľ je povinný spracúvať osobné údaje len na základe písomných pokynov prevádzkovateľa“, a policajná smernica uvádza len „pokyny prevádzkovateľa“ a nariadenie pracuje s pojmom „zdokumentované pokyny prevádzkovateľa“. Toto je tiež disproporcia. Ďalej, smernica aj nariadenie pracujú s pojmom „archivácia vo verejnom záujme“ a návrh zákona v týchto, v tých istých statiach pracuje raz s pojmom „archivácia vo verejnom záujme“, inokedy iba s pojmom „archivácia“. Ďalej, podľa návrhu zákona osobitné kategórie osobných údajov môže príslušný orgán spracúvať len vtedy, ak je ich spracúvanie „nevyhnutné na ochranu života, zdravia alebo majetku dotknutej osoby alebo inej fyzickej osoby“. Smernica i nariadenie používajú pojem „ochrana životne dôležitých záujmov dotknutej osoby“ a nie „ochrana života, zdravia alebo majetku“. Podľa dostupných informácií by sa v prípade životne dôležitých záujmov malo jednať o otázky života a smrti, teda majetok by sem patriť nemal. Ďalej návrh zákona uvádza, že každý je povinný poskytnúť úradu potrebnú súčinnosť pri výkone jeho úloh a právomocí. A smernica a nariadenie túto povinnosť vyžaduje len od prevádzkovateľa a sprostredkovateľa. Toto je zásadný rozdiel a tu rozhodne bude, v prípade, že k tomu dôjde, čo vykosťovať. Ďalej, v nariadení sú okrem iného uvedené záruky a odchýlky týkajúce sa spracúvania na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu alebo na štatistické účely napriek tomu, že priamo uplatniteľné nariadenie uvádza, že pseudonymizácia je len jednou z možných záruk len v niektorých prípadoch, a to pokiaľ sa týmto môže dosiahnuť účel uvedený v danej časti nariadenia, navrhovateľ navrhol pseudonymizáciu využiť ako plošnú záruku pri každom spracúvaní osobných údajov na daný účel. V tomto ideme opäť nad rámec nariadenia, respektíve možno aj do rozporu s ním. V návrhu zákona je ďalej zavedená povinnosť mlčanlivosti pre prevádzkovateľa a sprostredkovateľa. Nariadenie členským štátom dáva iba možnosť prijať tieto pravidlá v osobitných prípadoch, ale nie povinnosť ich zaviesť. Toto je nad rámec. Ďalej, v zmysle návrhu zákona žiadateľ k žiadosti o schválenie kódexu správania musí priložiť návrh kódexu správania, návrh zmeny schváleného kódexu správania alebo návrh rozšírenia schváleného kódexu správania, a to aj v anglickom jazyku, ak sa týka spracovateľských činností vo viacerých členských štátoch. Nariadenie takúto požiadavku neobsahuje, opäť je to nad jeho rámec. Ďalej, v zmysle návrhu zákona žiadateľ k žiadosti o schválenie kódexu správania musí priložiť potvrdenie o zaplatení správneho poplatku. Správny poplatok vo výške 1 000 eur, čo nie je malá suma, opäť z nariadenia nevyplýva. Žiadateľ k žiadosti o schválenie certifikátu musí priložiť potvrdenie o zaplatení správneho poplatku, čiže aj v prípade certifikácie takýto poplatok zavedený máme, opäť je vo výške 1 000 eur a tiež ho nariadenie neukladá zavádzať. Spomeniem ešte niekoľko príkladov gramatických chýb. Rozumiem tomu, že sú nie podstatné oproti iným výhradám, no tiež niečo hovoria o profesionalite a pripravenosti prijať tento návrh zákona. Napríklad § 88 ods. 5 zákona, „žiadateľ k žiadosti podľa ods. 4 musí, priloží“. Tak buď priloží, alebo musí priložiť. Alebo zo súdka nepresností: Poznámka pod čiarou k odkazu 17i) znie: „§ 5 ods. 1 písm. f) zákona č. /2017 o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.“ Tu je chyba, § 5 zákona nemá odseky, má iba písmená. Ďalej návrh zákona uvádza, že úrad je pri plnení svojich úloh oprávnený „odporučiť“ prevádzkovateľovi alebo sprostredkovateľovi opatrenia na zabezpečenie ochrany osobných údajov v informačných systémoch. Nariadenie hovorí, že úrad je pri plnení svojich úloh oprávnený „nariadiť“ prevádzkovateľovi alebo sprostredkovateľovi opatrenia na zabezpečenie ochrany osobných údajov v informačných systémoch. Tu je opäť zjavná chyba. Ďalej, § 34 zákona ods. 3 písm. g) a h) sú významovo totožné, ale sú inak napísané. To isté platí pre § 88 ods. 5 písm. d) a e). Tiež sú významovo totožné, ale inak napísané. Ďalej, poverený útvar vymaže z databázy údaj o osobe, „o odsúdenej osobe, o osobe, proti ktorej je trestné stíhanie neprípustné, o osobe, proti ktorej bolo trestné stíhanie zastavené z dôvodu, že obvinený nebol v čase činu pre nepríčetnosť trestne zodpovedný, a o osobe, ktorá bola oslobodená spod obžaloby z dôvodu, že obžalovaný nie je pre nepríčetnosť trestne zodpovedný, po uplynutí 100 rokov od jej narodenia." Narážam na tých 100 rokov od jej narodenia. Neviem, ako táto stovka vznikla. Ale v každom prípade oporu v policajnej smernici nemá. Napriek tomu, že tieto zmeny, a to bolo len niekoľko príkladov, pretože tá smernica je rozsiahla a keby som chcela všetky, všetky spomenúť, asi by to trvalo ďaleko viac ako vymedzený čas. V každom prípade len tieto príklady boli príkladmi, ktoré možno vyzerajú na prvý pohľad neškodne, my dnes ale nevieme s istotou povedať, že raz nebudú predmetom súdnych sporov a, samozrejme, potom aj predmetom obrovských pokút. A navyše niektoré sankcie v prípade tohto zbytočného zdvojenia ustanovení nariadenia a zákona a v nadväznosti na to, že zákon má širší rozsah ako návrh zákona, vôbec nemusia v budúcnosti vyplývať z nariadenia, ale len zo slovenského zákona. V takomto stave, v akom tento návrh zákona je, napriek tomu, že je k nemu množstvo pripomienok, mňa len utvrdzuje v tom, že rozumiem tomu, prečo podnikatelia majú toľko pripomienok, rozumiem tomu, prečo sa objavila taká sprcha kritiky. Myslím si, že pokiaľ by tomu aj malí a strední podnikatelia už v tejto fáze viac rozumeli, bolo by tej kritiky a pripomienok asi ešte viac, no v každom prípade už aj dnes v tejto fáze tých pripomienok a kritiky je mimoriadne veľa. A chcem len teda vyjadriť solidaritu s tými podnikateľmi, ktorí toto budú musieť dodržiavať a v prvom priblížení, v prvom rade sa v tom budú musieť hlavne zorientovať. Podľa viacerých medzinárodných advokátskych kancelárií pôsobiacich na Slovensku nebolo rozumné miešať toľko oblastí do jedného zákona, nakoľko to do budúcnosti spôsobí práve tým, ktorých sa to týka, iba zmätok a problémy, pričom je potrebné zdôrazniť, že nesplnenie zákonných povinností pri spracovaní osobných údajov môže mať vážne následky vo forme pokút až do výšky 20 mil. eur alebo 4 % celosvetového ročného obratu. Vážené dámy, vážení páni, tento návrh zákona, som presvedčená, v takej podobe, v akej je, nikomu nepomôže. Som presvedčená, že ani neplní svoj účel a je priam zázrak, že sa v takejto podobe – vďaka našej koalícii – dostal až do druhého čítania. Ďakujem veľmi pekne za slovo.