Source: https://www.slov-lex.sk/pravne-predpisy/SK/ZZ/2018/158/
Timestamp: 2020-02-25 15:38:21+00:00

Document:
158/2018 Z.z. - Vyhláška Úradu na ochranu osobných ... - SLOV-LEX
158/2018 Z.z.
opis plánovaného spracúvania,
posúdenie nevyhnutnosti a primeranosti v spojení s opatreniami na preukázanie súladu so zákonom,
posúdenie rizika pre práva fyzickej osoby v spojení s opatreniami na riešenie rizík,
dokumentáciu podľa § 6,
monitorovanie a preskúmanie.
Opis plánovaného spracúvania je systematickým opisom spracovateľských operácií zameraných na povahu, rozsah, kontext a účely spracúvania osobných údajov, ktorý obsahuje najmä
ak sú osobné údaje spracúvané na základe § 13 ods. 1 písm. f) zákona, opis spracovateľských operácií obsahuje aj konkrétnu charakteristiku oprávneného záujmu prevádzkovateľa alebo tretej strany vrátane
opisu posúdenia oprávnenosti záujmu prevádzkovateľa alebo tretej strany,
opisu vzťahu prevádzkovateľa a dotknutých osôb,
podmienok, na ktorých základe dotknutá osoba môže primerane očakávať spracovateľské operácie s osobnými údajmi, ktoré sa jej týkajú,
posúdenia primeranosti spracovateľských operácií a odôvodnenia prevahy záujmu prevádzkovateľa alebo tretej strany nad právami fyzickej osoby,
zoznam alebo rozsah osobných údajov, ktoré sú predmetom spracúvania,
zoznam alebo okruh príjemcov, ktorým sú osobné údaje poskytnuté,
vymedzenie obdobia uchovávania osobných údajov.
Ak sa na spracúvanie osobných údajov vzťahuje schválený kódex správania podľa § 85 zákona, súčasťou opisu spracovateľských operácií sú odkazy na tie časti kódexu správania, ktoré prevádzkovateľ pri posudzovaní vplyvu na ochranu osobných údajov zohľadnil.
Ak sa na spracúvanie osobných údajov vzťahuje platný certifikát vydaný podľa § 86 zákona, súčasťou opisu spracovateľských operácií sú odkazy na tie časti žiadosti o vydanie certifikátu a jej príloh, ktoré preukazujú súlad spracúvania osobných údajov so zákonom a existenciu primeraných záruk ochrany osobných údajov.
Na zabezpečenie súladu so zákonom musí byť spracovateľská operácia vo vzťahu k účelu spracúvania osobných údajov nevyhnutná a primeraná. Nevyhnutnosť spracovateľskej operácie sa preukazuje jej posúdením vo vzťahu k požadovanému účelu spracúvania osobných údajov. Primeranosť spracovateľskej operácie sa preukazuje posúdením jej povahy, rozsahu a kontextu, ktorý musí zodpovedať účelu spracúvania osobných údajov.
Pri posúdení nevyhnutnosti a primeranosti spracovateľskej operácie sa zohľadní a odôvodní každé opatrenie prijaté na dosiahnutie súladu so zákonom, najmä
uplatnenie zásady zákonnosti podľa § 6 zákona,
uplatnenie zásady obmedzenia účelu podľa § 7 zákona,
uplatnenie zásady minimalizácie osobných údajov podľa § 8 zákona,
uplatnenie zásady správnosti podľa § 9 zákona,
uplatnenie zásady minimalizácie uchovávania podľa § 10 zákona,
uplatnenie zásady integrity a dôvernosti podľa § 11 zákona,
dodržiavanie postupov na uplatňovanie práv dotknutých osôb podľa § 19 až 28 zákona,
dodržiavanie postupov na zabezpečenie zákonného spracúvania osobných údajov sprostredkovateľom podľa § 34 zákona,
primerané záruky súvisiace s prenosom osobných údajov do tretej krajiny alebo medzinárodnej organizácii podľa § 47 až 51 zákona,
primerané technické a organizačné opatrenia podľa § 32 zákona,
názory dotknutých osôb alebo organizácií zastupujúcich záujmy dotknutých osôb na spracúvanie osobných údajov získané podľa § 42 ods. 6 zákona.
Prevádzkovateľ pri posúdení rizika pre práva fyzickej osoby zohľadní najmä
opis plánovaného spracúvania podľa § 3,
nevyhnutnosť a primeranosť spracovateľskej operácie podľa § 4,
opis podmienok spracúvania osobných údajov podľa § 39 ods. 1 zákona vrátane existujúcich bezpečnostných opatrení prijatých podľa § 39 zákona.
Posúdenie rizika pre práva fyzickej osoby prevádzkovateľ vykonáva z pohľadu dopadov na fyzickú osobu, pričom zohľadňuje najmä riziko súvisiace s náhodným alebo nezákonným poškodením, zničením, stratou, zmenou, neoprávneným prístupom a poskytnutím alebo zverejnením osobných údajov, ako aj s akýmkoľvek iným neprípustným spôsobom spracúvania, pričom identifikuje
hrozby a pravdepodobnosť ich výskytu,
zraniteľnosti zneužiteľné hrozbami,
riziká a pravdepodobnosť ich výskytu a závažnosť,
a zhodnotí mieru dopadu na práva fyzickej osoby v dôsledku straty integrity, dôvernosti a dostupnosti údajov,
vysoké riziko pre práva fyzickej osoby, ak neprijme opatrenia na zmiernenie rizika.
Prevádzkovateľ pri posúdení rizík spracovateľských operácií môže postupovať aj podľa medzinárodných noriem.1)
Prevádzkovateľ prijme primerané opatrenia na zmiernenie rizík vrátane záruk, bezpečnostných opatrení a mechanizmov na zabezpečenie ochrany osobných údajov a na preukázanie súladu so zákonom.
Prevádzkovateľ prijme primerané opatrenia na zabezpečenie pravidelného monitorovania všetkých podmienok spracúvania osobných údajov, ktoré zohľadnil pri posudzovaní rizika pre práva fyzickej osoby podľa § 2 písm. a) až d), vrátane kontroly zavedených postupov. Prevádzkovateľ môže postupovať aj podľa medzinárodných noriem.2)
Prevádzkovateľ pri prijímaní opatrení na zmiernenie rizík pre práva fyzickej osoby postupuje v primeranom rozsahu podľa prílohy.
Na preukazovanie súladu so zákonom podľa § 31 ods. 1 zákona, prevádzkovateľ zdokumentuje posúdenie vplyvu v rozsahu podľa § 2 písm. a) až c) a e).
Dokumentáciou pri posúdení vplyvu podľa § 2 sa rozumie aj dokumentácia podľa osobitného predpisu,3) ak sa v nej preukazuje účel podľa odseku 1 spôsobom podľa tejto vyhlášky.
k vyhláške č. 158/2018 Z. z.
Zabezpečenie chráneného priestoru jeho oddelením od ostatných častí objektu (napr. steny, mreže alebo presklenia).
Pravidlá prístupu do verejne prístupnej počítačovej siete, opatrenia na zamedzenie pripojenia k určitým adresám, pravidlá používania sieťových protokolov.
vymedzenie osobných údajov, ku ktorým má mať konkrétna osoba prístup na plnenie jej povinností alebo úloh,
Opatrenia na vrátenie aktív (napr. prostriedkov spracúvania osobných údajov) patriacich prevádzkovateľovi po ukončení pracovného pomeru, po vypršaní uzatvorenej dohody alebo zmluvy, pri zmene pracovného miesta alebo pracovného zaradenia a pod.
Postup identifikácie a riešenia jednotlivých typov porušení ochrany osobných údajov.
Postup odstraňovania následkov porušení ochrany osobných údajov.
Informovanie osôb o kontrolnom mechanizme,4) ak ho prevádzkovateľ alebo sprostredkovateľ má zavedený (rozsah kontroly a spôsoby jej uskutočňovania).
Postupy monitorovania súladu spracúvania osobných údajov podľa § 42 ods. 7 zákona.
Napríklad ISO/IEC 29134 Information technology - Security techniques - Guidelines for privacy impact assessment (ISO/IEC 29134:2017), Medzinárodná organizácia pre normalizáciu (ISO); LINDDUN (privacy threat analysis methodology), STRIDE (Threat Model).
Napríklad STN ISO/IEC 27005 Informačné technológie. Bezpečnostné metódy. Riadenie rizík informačnej bezpečnosti (ISO/IEC 27005:2011).
Napríklad § 20 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov.
Čl. 11 a § 13 Zákonníka práce; čl. 9 a § 5 zákona č. 55/2017 Z. z. o štátnej službe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.
Číslo: 158/2018 Z. z.
Názov: Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky o postupe pri posudzovaní vplyvu na ochranu osobných údajov
Dátum schválenia: 29.05.2018

References: § 6
 § 13
 § 85
 § 86
 § 6
 § 7
 § 8
 § 9
 § 10
 § 11
 § 19
 § 34
 § 47
 § 32
 § 42
 § 3
 § 4
 § 39
 § 39
 § 2
 § 31
 § 2
 § 2
 § 42
 § 20

Čl. 11
 § 13
 čl. 9
 § 5