Ochrana osobných údajov v zmluve o opatrovaní osôb

Ochrana osobných údajov je v súčasnosti veľmi aktuálna téma a v oblasti opatrovania osôb to platí dvojnásobne. Vzhľadom na citlivosť informácií, ktoré sa pri opatrovaní spracúvajú, je nevyhnutné venovať tejto problematike zvýšenú pozornosť. Tento článok sa zameriava na ochranu osobných údajov v kontexte zmluvy o opatrovaní osôb, pričom vychádza z platnej legislatívy a aktuálnych trendov v tejto oblasti.

Legislatívny rámec ochrany osobných údajov

Zásady ochrany osobných údajov sú vydané v zmysle článku 13 Nariadenia Európskeho parlamentu a Rady EÚ 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej „Nariadenie“) a zákona NR SR č. 18/2018 Z. z. Slovenská republika má implementované povinnosti prevádzkovateľa informačných systémov osobných údajov podľa Nariadenia Európskeho parlamentu a Rady (EÚ) č. 2016/679 zo dňa 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „GDPR“), ako aj zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „zákon o ochrane osobných údajov“). Tieto právne predpisy upravujú spracúvanie osobných údajov fyzických osôb a stanovujú pravidlá pre ich ochranu.

Od 25. mája 2018 prichádza k zmenám v oblasti ochrany osobných údajov z dôvodu, že sa zrušuje zákon č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 84/2014 Z. z. a Smernica Európskeho parlamentu a Rady 95/46/ES z 24. Uvedené predpisy nahradil nový zákon č. 18/2018 Z. z. o ochrane osobných údajov a NARIADENIE EURÓPSKEHO PAR­LA­MENTU A RADY (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), ktoré budú účinné práve od 25. 5. Prevádzkovateľ je v súvislosti s účinnosťou zákona č. 18/2018 Z. z. o ochrane osobných údajov povinný vypracovať novú dokumentáciu.

Kľúčové pojmy

Pre lepšie pochopenie problematiky je dôležité definovať niektoré základné pojmy:

• Osobný údaj: Akákoľvek informácia týkajúca sa identifikovanej alebo identifikovateľnej fyzickej osoby (dotknutej osoby).
• Dotknutá osoba: Fyzická osoba, ktorej sa osobné údaje týkajú. V kontexte opatrovania ide najmä o opatrovanú osobu a opatrovateľa.
• Prevádzkovateľ: Fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určuje účely a prostriedky spracúvania osobných údajov.
• Sprostredkovateľ: Fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa. Za sprostredkovateľa sa na účely ochrany osobných údajov považuje každý, kto spracúva osobné údaje v mene prevádzkovateľa. Ak sa má spracúvanie osobných údajov uskutočniť v mene prevádzkovateľa, prevádzkovateľ môže poveriť len sprostredkovateľa, ktorý poskytuje dostatočné záruky na prijatie primeraných technických a organizačných opatrení tak, aby spracúvanie osobných údajov spĺňalo požiadavky tohto zákona a aby sa zabezpečila ochrana práv dotknutej osoby.
• Spracúvanie osobných údajov: Akákoľvek operácia alebo súbor operácií s osobnými údajmi, napríklad získavanie, zaznamenávanie, usporadúvanie, uchovávanie, zmena, vyhľadávanie, prehliadanie, poskytovanie, sprístupňovanie, likvidácia.
• Súhlas dotknutej osoby: Slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým dáva súhlas na spracúvanie svojich osobných údajov. Ak je spracúvanie osobných údajov založené na súhlase dotknutej osoby, prevádzkovateľ je povinný kedykoľvek vedieť preukázať, že dotknutá osoba poskytla súhlas so spracúvaním svojich osobných údajov. GDPR nepredpisuje žiadnu formu pre súhlas so spracovaním osobných údajov. Dotknutá osoba má právo kedykoľvek odvolať súhlas so spracovaním osobných údajov, ktoré sa jej týkajú. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania osobných údajov založenom na súhlase pred jeho odvolaním; pred poskytnutím súhlasu musí byt' dotknutá osoba o tejto skutočnosti informovaná.

Zásady spracúvania osobných údajov

GDPR a zákon o ochrane osobných údajov stanovujú základné zásady, ktorými sa musí prevádzkovateľ pri spracúvaní osobných údajov riadiť:

• Zákonnosť: Osobné údaje musia byť spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe.
• Obmedzenie účelu: Osobné údaje sa môžu získavať len na konkrétne určený, výslovne uvedený a oprávnený účel a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlúčiteľný s týmto účelom; ďalšie spracúvanie osobných údajov na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel, ak je v súlade s osobitným predpisom a ak sú dodržané primerané záruky ochrany práv dotknutej osoby podľa §78 ods. Účelom spracúvania osobných údajov sú dôvody, pre ktoré sa spracúvajú osobné údaje dotknutých osôb (zamestnancov, prijímateľov sociálnych služieb, záujemcov a žiadateľov o poskytovanie sociálnej služby a pod.) v informačných systémoch „KREATÍV“ Zariadenie sociálnych služieb Klasov (ďalej „zariadenie“) na určených právnych základoch. Účely sú konkrétne určené, výslovne uvedené a oprávnené.
• Minimalizácia údajov: Spracované osobné údaje musia byť primerané. Z dôvodu dodržiavania zásady minimalizácie sú všetky osobné údaje poskytnuté dotknutou osobou, nevyhnutnou zákonnou alebo zmluvnou požiadavkou pre naplnenie účelu ich spracúvania.
• Presnosť: Osobné údaje musia byť presné a podľa potreby aktualizované.
• Obmedzenie uchovávania: Osobné údaje musia byt' uchovávané vo forme, ktorá umožňuje identifikáciu dotknutej osoby najneskôr dovtedy, kým je to potrebné na účel, na ktorý sa osobné údaje spracúvajú, osobné údaje sa môžu uchovávať dlhšie, ak sa majú spracúvať výlučne na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel na základe osobitného predpisu, 8) a ak sú dodržané primerané záruky ochrany práv dotknutej osoby podľa §78 ods. Napríklad osobný spis zamestnanca (platový dekrét, dohoda o hmotnej zodpovednosti, dohoda o zverení motorového vozidla, doklady o vzdelaní a zvyšovaní kvalifikácie) sa uchováva 70 rokov, zrážky zo mzdy, dohody o v. práce, stravovanie zam., BOZP, dohody o náhr.
• Integrita a dôvernosť: Osobné údaje musia byť spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a pred náhodnou stratou, zničením alebo poškodením.

Právny základ pre spracúvanie osobných údajov v zmluve o opatrovaní

Zmluva o opatrovaní osôb je právny dokument, ktorý upravuje vzťah medzi opatrovanou osobou a opatrovateľom. Najčastejšie sa využíva:

• Súhlas dotknutej osoby: Opatrovaná osoba (alebo jej zákonný zástupca) musí dať slobodný a informovaný súhlas so spracúvaním svojich osobných údajov.
• Plnenie zmluvy: Spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy o opatrovaní, napríklad na zabezpečenie zdravotnej starostlivosti, stravovania, hygieny.
• Plnenie zákonnej povinnosti: Spracúvanie osobných údajov je nevyhnutné na splnenie zákonnej povinnosti, napríklad pri ohlasovaní úrazu, infekčnej choroby, alebo pri vybavovaní peňažných príspevkov na kompenzáciu ťažkého zdravotného postihnutia podľa zákona č. 447/2008 Z. z. Právny základ pre spracúvanie osobných údajov podľa písmena c) a e) musí byť stanovený zákonom, osobitným predpisom alebo medzinárodnou zmluvou ktorou je Slovenská republika viazaná. Osobitný zákon musí ustanovovať účel spracovania osobných údajov, kategóriu dotknutých osôb a zoznam alebo rozsah spracúvaných osobných údajov.
• Oprávnený záujem: Spracúvanie osobných údajov je nevyhnutné na účely oprávnených záujmov prevádzkovateľa alebo tretej strany, napríklad na ochranu majetku, bezpečnosti.

Povinnosti prevádzkovateľa

Prevádzkovateľ (napríklad agentúra poskytujúca opatrovateľské služby, alebo priamy zamestnávateľ opatrovateľa) má vo vzťahu k spracúvaniu osobných údajov nasledujúce povinnosti:

• Informovať dotknutú osobu: Poskytnúť dotknutej osobe informácie o totožnosti a kontaktných údajoch prevádzkovateľa, účeloch spracúvania, právnom základe spracúvania, príjemcoch osobných údajov, dobe uchovávania osobných údajov, právach dotknutej osoby (právo na prístup k údajom, právo na opravu, právo na vymazanie, právo na obmedzenie spracúvania, právo na prenosnosť údajov, právo namietať).
• Získať súhlas: Ak je právnym základom spracúvania súhlas dotknutej osoby, prevádzkovateľ musí získať tento súhlas pred začatím spracúvania. Súhlas musí byť slobodný, informovaný a jednoznačný.
• Zabezpečiť bezpečnosť: Prevádzkovateľ je povinný pred spracúvaním osobných údajov zaviesť a počas spracúvania osobných údajov mať zavedenú špecificky navrhnutú ochranu osobných údajov, ktorá spočíva v prijatí primeraných technických a organizačných opatrení, najmä vo forme pseudonymizácie, na účinné zavedenie primeraných záruk ochrany osobných údajov a dodržiavanie základných zásad podľa § 6 až 12 zákona č. 18/2018 Z. Technické opatrenia zabezpečujú uloženie dát v elektronickej podobe najmä zabezpečením počítačov, webovej stránky, softvéru heslom, používaním anitvírového programu a pravidelnou údržbou.
• Viesť záznamy o spracovateľských činnostiach: Prevádzkovateľ je povinný viesť záznamy o všetkých spracovateľských činnostiach, ktoré vykonáva. Úrad na ochranu osobných údajov SR podľa § 37 ods. 6 zákona č. 18/2018 Z. z. o ochrane osobných údajov je povinný zverejniť vzor Záznamov o spracovateľských činnostiach. Tento vzor je len pre informáciu čo všetko má Záznam obsahovať a prevádzkovateľ má možnosť si ho vytvoriť podľa seba so všetkými zákonnými náležitosťami.
• Hlásenie bezpečnostných incidentov: V prípade narušenia bezpečnosti osobných údajov je prevádzkovateľ povinný nahlásiť túto skutočnosť Úradu na ochranu osobných údajov, a v niektorých prípadoch aj dotknutým osobám. Čl. 13 všeobecného nariadenia o ochrane údajov ustanovuje tzv. dokumentácia v prípade porušenia ochrany osobných údajov a ohlásenie Úradu o porušení ochrany osobných údajov podľa čl. 33 ods. tzv. 18/2018 Z. z.
• Dodržiavať práva dotknutých osôb: Prevádzkovateľ je povinný rešpektovať a zabezpečiť uplatňovanie práv dotknutých osôb. Zákon o ochrane osobných údajov taxatívne stanovuje prípady, kedy je prevádzkovateľ povinný rešpektovať právo dotknutej osoby a obmedziť spracúvanie jej osobných údajov na základe toho, že dotknutá osoba uplatnila právo podľa čl.

Práva dotknutej osoby

Dotknutá osoba má vo vzťahu k spracúvaniu jej osobných údajov nasledujúce práva:

• Právo na prístup k údajom: Právo získať potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak áno, má právo získať prístup k týmto osobným údajom a informácie o spracúvaní.
• Právo na opravu: Právo na opravu nesprávnych osobných údajov, ktoré sa jej týkajú.
• Právo na vymazanie: Právo na vymazanie osobných údajov, ak je splnený niektorý z dôvodov uvedených v GDPR (napríklad osobné údaje už nie sú potrebné na účely, na ktoré sa získavali, dotknutá osoba odvolá súhlas, dotknutá osoba namieta voči spracúvaniu).
• Právo na obmedzenie spracúvania: Právo na obmedzenie spracúvania osobných údajov, ak je splnený niektorý z dôvodov uvedených v GDPR (napríklad dotknutá osoba namieta presnosť osobných údajov, spracúvanie je protizákonné).
• Právo na prenosnosť údajov: Právo získať tie údaje, ktoré sa dotknutej osoby týkajú a preniesť ich bez obmedzení k ďalšiemu prevádzkovateľovi bez toho, aby jej v tom zariadenie nejakým spôsobom bránilo v prípade, ak sa spracúvanie vykonáva automatizovanými prostriedkami.
• Právo namietať: Dotknutá osoba má právo namietať spracúvanie jej osobných údajov z dôvodu týkajúceho sa jej konkrétnej situácie. Právo namietať voči spracúvaniu osobných údajov, ak sa spracúvanie vykonáva na základe oprávneného záujmu prevádzkovateľa alebo tretej strany.
• Právo podať sťažnosť: Právo podať sťažnosť na Úrad na ochranu osobných údajov, ak sa dotknutá osoba domnieva, že spracúvanie jej osobných údajov je v rozpore s GDPR.

Praktické odporúčania pre ochranu osobných údajov v zmluve o opatrovaní

Pre efektívnu ochranu osobných údajov v kontexte zmluvy o opatrovaní je dôležité dodržiavať nasledujúce odporúčania:

• Minimalizácia údajov: Zhromažďovať len tie osobné údaje, ktoré sú nevyhnutné na účely opatrovania.
• Zabezpečenie údajov: Používať silné heslá, šifrovanie, pravidelné zálohovanie údajov, obmedziť prístup k údajom len na nevyhnutné osoby.
• Transparentnosť: Jasne a zrozumiteľne informovať opatrovanú osobu o spracúvaní jej osobných údajov.
• Súhlas: Získať súhlas opatrovanej osoby so spracúvaním jej osobných údajov, ak je to potrebné.
• Zmluva: Uzatvoriť s opatrovateľom zmluvu o mlčanlivosti a o ochrane osobných údajov. Prijaté štandardné zmluvné doložky pre sprostredkovateľov predstavujú súbor záruk, ktoré sa majú použiť v tom znení, v akom boli prijaté, keďže ich cieľom je ochrana dotknutých osôb a zmiernenie špecifických rizík súvisiacich so základnými zásadami ochrany údajov. Tieto štandardné zmluvné doložky nie je možné použiť na prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii. Ide o nezáväzný vzor, ktorý môžu prevádzkovatelia a sprostredkovatelia používať, aby si splnili povinnosť uzavrieť sprostredkovateľskú zmluvu podľa čl.
• Školenie: Pravidelne školiť opatrovateľov o pravidlách ochrany osobných údajov.
• Likvidácia údajov: Po skončení opatrovania bezpečne zlikvidovať osobné údaje, ktoré už nie sú potrebné.
• Dodržiavanie práv: Rešpektovať a zabezpečiť uplatňovanie práv opatrovanej osoby.

Osobitné situácie

Opatrovanie detí

Pri opatrovaní detí je potrebné venovať zvýšenú pozornosť ochrane ich osobných údajov. Vzhľadom na ich citlivosť je dôležité uplatňovať ešte prísnejšie opatrenia a zabezpečiť súhlas zákonného zástupcu.

Peňažné príspevky na kompenzáciu ŤZP

V súvislosti so žiadosťami o peňažné príspevky na kompenzáciu ťažkého zdravotného postihnutia podľa zákona č. 447/2008 Z. z. úrady práce, sociálnych vecí a rodiny spracúvajú osobné údaje dotknutých osôb. Precizuje sa § 64 ods. 1 zákona tým spôsobom, že pri spracúvaní osobných údajov ustanovenie konkrétne odkazuje na taxatívne vymenovanie údajov ako aj okruh fyzických osôb, ktorých sa ochrana osobných údajov týka. Pri vymedzení účelu spracúvania osobných údajov, okruhu dotknutých osôb a zoznamu osobných údajov nie je ďalej potrebné priamo v zákone ustanovovať oprávnenie príslušného orgánu (Ministerstvo práce, sociálnych vecí a rodiny SR, Ústredie práce, sociálnych vecí a rodiny, úrady práce, sociálnych vecí a rodiny) spracúvať osobné údaje bez súhlasu dotknutej osoby. Uvedené oprávnenie vyplýva priamo z § 10 ods. 2 zákona č. 122/2013 Z. z. V súlade s § 15 ods. 6 zákona č. 122/2013 Z. z. sa rozširuje sa okruh subjektov, na ktoré sa ochrana osobných údajov vzťahuje o ďalšie fyzické osoby, ktoré sú označované v dôkazných prostriedkoch v konaní vo veciach peňažných príspevkov na kompenzáciu, preukazu a parkovacieho preukazu. Ide o osoby, ktorých osobné údaje príslušný orgán spracúva z dôvodu ich uvádzania v dôkazných prostriedkoch a ktoré nie sú účastníkmi konania.

tags: #ochrana #osobnych #udajov #zmluva #opatrovanie #osob