Podrobný vzor dokumentu s návodom na vypracovanie

Posúdenie spracúvania osobných údajov a prijatie záruk, opatrení a mechanizmov

Vyskúšajte si bezplatný vzor s návodom TU

BEZPLATNÉ členstvo

v skupine Zodpovedný podnikateľ

ZADARMO

K bezplatnému stiahnutiu tohto vzoru s návodmi sa stačí zaregistrovať

Bezplatná registrácia Podrobné informácie o členstve

alebo

BIZNIS členstvo

v skupine Zodpovedný podnikateľ

150€ bez DPH / 12 mesiacov

Výhody BIZNIS členstva:

garancia vždy aktualizovaných vzorov s návodmi

garantovaný prístup k podnikateľským školeniam

osobitné notifikácie o zmenách pravidiel a zákonov

Podrobné informácie o členstve

Word dokument

Posúdenie spracúvania osobných údajov a prijatie záruk, opatrení a mechanizmov
 
 
 
 
 
 
Prevádzkovateľ:             
 
Obchodné meno:           ....................................
Miesto podnikania:         ....................................
IČO:                             ....................................
Právna forma:               ....................................
Zapísaný:              ....................................
Zastúpený:               ....................................
 
 
 
 
Dňa  25.05.2018               
 
Schválil: ...................................– konateľ  .......................................................
                                podpis
 
 
 
 
OBSAH
 
                Preambula______________________________________________________________________3
 
Skratky, pojmy a ich výklad________________________________________________________4
<div>1. Prevádzkovateľ________________________________________________________________6</div>
1.1 Zoznam informačných systémov.......................................................................................6
1.2 Zoznam osobných údajov................................................................................................7
<div>2. Spracovateľské operácie ________________________________________________________8</div>
2.1 Zoznam plánovaných spracovateľských operácií a ich systematický opis.................................8
<div>3. Účel spracúvania osobných údajov _______________________________________________10</div>
3.1 Posúdenie nutnosti a primeranosti spracovateľských operácií vo vzťahu k účelu.....................11
<div>4. Posúdenie splnenia základných zásad ...............................................................................12</div>
<div> </div>
<div>5. Posúdenie rizika pre práva dotknutej osoby ________________________________________19</div>
5.1 Práva dotknutej osoby...................................................................................................19
5.2 Uplatnenie práv dotknutej osoby.....................................................................................20
5.3 Riziká pre práva dotknutej osoby....................................................................................22
<div>6. Opatrenia prevádzkovateľa _____________________________________________________23</div>
6.1 Základné bezpečnostné ciele a minimálne požadované bezpečnostné opatrenia.....................23
6.2 Opatrenia  na  elimináciu  rizík  vrátane  záruk,  bezpečnostných   opatrení  a  mechanizmov  na
zabezpečenie ochrany osobných úd......................................................................................30
6.3 Opatrenia  na  preukázanie  súladu  so  zákonom  č.  18/2018  Z. z. o ochrane osobných údajov a o zmene a  doplnení  niektorých  zákonov s prihliadnutím na práva a oprávnené záujmy dotknutej
a ďalších fyzických osôb, ktorých sa to týka ..........................................................................38
<div>7. Záverečné ustanovenia_________________________________________________________39</div>
 
 
 
 
Preambula
 
Prevádzkovateľvykonáva posúdenie spracúvania osobných údajov a jeho súlad s Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 z 27.apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „Nariadenie GDPR“) a § zákonom č.  18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v platnom znení (ďalej len ako „Zákon o OOU“).
 
Prevádzkovateľ na základe tohto posúdenia navrhne a prijmezáruky, bezpečnostné (technické, organizačné a personálne) opatrenia a mechanizmy na zabezpečenie ochrany osobných údajov dotknutých osôb.
 
Pri posúdení spracúvania osobných údajov sa Prevádzkovateľ riadil okrem Nariadenia GDPR, zákona o OOU aj týmito usmerneniami Úradu na ochranu osobných údajov SR a usmerneniami prijatými pracovnou skupinou WP 29 a to najmä:
 
- Metodické usmernenie Úradu na ochranu osobných údajov č. 2/2018 - Zákonnosť spracúvania
 
- Povinnosti prevádzkovateľa e-shopu z pohľadu ochrany osobných údajov
 
- Postavenie  právnických osôb a  fyzických osôb – podnikateľov z pohľadu ochrany osobných údajov
 
- Usmernenie o spracúvaní osobných údajov prostredníctvom kamerových zariadení
 
- Oprávnená osoba a poučenieoprávnenej osobypodľa novej právnej úpravy
 
- Usmernenie o súhlase podľa všeobecného nariadenia o ochrane údajov
 
- Usmernenie k 6 ods. 1 písm. b) Nariadenie GDPR - spracúvanie osobných údajov na základe zmluvy pri poskytovaní online služieb
 
 
 
<div> </div>
<div>1. Prevádzkovateľ</div>
 
Prevádzkovateľ v rámci svojej podnikateľskej činnosti zabezpečuje najmä ...................
 
Prevádzka prevádzkovateľa je na adrese ..................
 
Prevádzkovateľ užíva predmetnú prevádzku na základe ...................
 
Prevádzkovateľ spracúva osobné údaje v ...................
 
 
1.1 Zoznam informačných systémov
 
Prevádzkovateľ priradil spracúvané osobné údaje do nasledovných informačných systémov:
 
a) názov informačného systému            skratka používaná pre účely tohto posúdenia
Informačný systém Mzdový a personálny systém      IS MaP
 
b) názov informačného systému            skratka používaná pre účely tohto posúdenia
Informačný systém Účtovné doklady                IS ÚD
 
c) názov informačného systému            skratka používaná pre účely tohto posúdenia
Informačný systém Zákazníci                   IS Zákazníci
 
d) názov informačného systému            skratka používaná pre účely tohto posúdenia
...................                           ...................
 
 
1.2 Zoznam osobných údajov
 
Prevádzkovateľ spracúva nasledovné osobné údaje:
<div> </div>
<div>a) v IS MaP:</div>
- meno, priezvisko, a titul,
- adresa
- rodné číslo,
- dátum narodenia,
-...................
 
<div>b) v IS ÚD:</div>
-...................
 
<div>c) v IS ........:</div>
<div> </div>
<div> </div>
<div> </div>
<div> </div>
<div>2. Spracovateľské operácie</div>
 
Spracovateľská operácia
Vychádzajúc z § 5 písm. e) zákona o OOÚ sa spracovateľskou operáciou  s osobnými údajmi rozumienajmä získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie, bez ohľadu na to, či sa vykonáva automatizovanými prostriedkami alebo neautomatizovanými prostriedkami.
 
 
2.1 Zoznam plánovaných spracovateľských operácií a ich systematický opis
 
I. Prevádzkovateľ vykonáva nasledovné spracovateľské operácie s IS MaP:
<div> </div>
<div>a) získavanie osobných údajov</div>
 
Prijatie zamestnanca - uchádzači zasielajú osobné údaje v životopise, motivačnom liste, žiadosti o prijatie do zamestnania mailom, prípadne inou písomnou formou, v prípadoch keď ...................
 
...................
<div> </div>
<div>b) uchovávanie osobných údajov</div>
 
Osobné údaje zamestnancovuchováva externý účtovník na základe zmluvy ....................
<div> </div>
<div>c) poskytovanie osobných údajov</div>
 
Prevádzkovateľ poskytuje osobné údaje zamestnancov.................... , za účelom ....................
<div> </div>
<div>d) vymazanie osobných údajov</div>
 
...................
<div> </div>
<div>e) ...................</div>
 
<div>II. Prevádzkovateľ vykonáva nasledovné spracovateľské operácie s IS Zákazníci:</div>
<div> </div>
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">a) získavanie osobných údajov</div>
 
Zákazník vyplní formulár so záujmom o kúpu tovaru, pričom v rámci objednávkového formulára vyplní svoje osobné údaje a prevádzkovateľ ich ....................
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">b) uchovávanie osobných údajov</div>
 
Osobné údaje zákazníkov sú po zaevidovaní uchovávané v databáze programu ............................
<div> </div>
<div>c) poskytovanie osobných údajov</div>
 
Prevádzkovateľ poskytuje osobné údaje zákazníkov.................... , za účelom ....................
<div> </div>
<div>d) vymazanie osobných údajov</div>
 
...................
<div> </div>
<div>e) ...................</div>
 
III. Prevádzkovateľ vykonáva nasledovné spracovateľské operácie s IS .................. :
 
 
3. Účel spracúvania osobných údajov
 
Účel spracúvania osobných údajov
Podľa dôvodovej správy k zákonu o OOÚ je účel základným obmedzujúcim faktorom najmä vo vzťahu k zoznamu alebo rozsahu spracúvaných osobných údajov a vo vzťahu k dobe spracúvania, ako aj uchovávania spracúvaných osobných údajov. Účel má byť vymedzený dostatočne jasne a určito, aby z neho bolo jasné, aké spracovateľské operácie na základe neho budú a nebudú prebiehať, alebo aké spracovateľské operácie dotknutá osoba môže očakávať, že s jej osobnými údajmi na základe jeho vymedzenia môžu prebiehať.
 
Spracúvať osobné údaje na iný účel, než na ktorý boli získané je zakázané, ibaže by tento iný účel úzko súvisel s pôvodným účelom spracúvania, bol s ním zlučiteľný. Spracúvanie osobných údajov získaných na stanovený účel nevylučuje, aby takto získané osobné údaje nemohli byť spracúvané na tzv. privilegované účely, a to účely archivácie, na účely vedeckého alebo historického výskumu a na štatistické účely v súlade s týmto zákonom a vo vzťahu k primeraným zárukám pre práva dotknutej osoby. Tieto záruky obsahujú zavedenie primeraných a účinných technických a organizačných opatrení najmä s cieľom zabezpečiť dodržiavanie zásady minimalizácie údajov, pseudonymizácie, pokiaľ sa týmto opatrením môžu dosiahnuť uvedené účely. Ďalšie spracúvanie na účely archivácie, na účely vedeckého či historického výskumu alebo štatistické účely sa považuje za zlučiteľné so zákonnými spracovateľskými operáciami.
 
Účelom spracúvania osobných údajov prevádzkovateľom v jednotlivých informačných systémoch  je:
 
IS MaP
- plnenie povinností zamestnávateľa súvisiacich s pracovným pomerom alebo obdobným vzťahom vrátane predzmluvných vzťahov
 
IS ÚD
- spracovanie účtovných dokladov vrátane plnenia zákonných povinností podľa osobitných predpisov z toho vyplývajúcich
 
IS Zákazníci
- uzatvorenie kúpnej zmluvya predzmluvné vzťahy, oprávnený záujem prevádzkovateľa
 
IS ..................
- ..................
 
 
3.1 Posúdenie nutnosti a primeranosti spracovateľských operácií vo vzťahu k účelu
 
Prevádzkovateľ vykonal posúdenie nutnosti a primeranosti spracovateľskej operácie vo vzťahu k nižšie uvedeným účelom:
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">a) získavanie osobných údajov</div>
 
Prevádzkovateľ spracúva osobné údaje dotknutej osoby v nevyhnutne potrebnom rozsahu, aby mohol uzavrieť a plniť pracovnú zmluvu,kúpnu zmluvu a pod.Osobné údaje sú pre plnenie zmluvy nevyhnutné.
 
Účelom získavania osobných údajov sú predzmluvné vzťahy a uzavretie zmluvy.
 
Prevádzkovateľ spracúva osobné údaje dotknutej osoby v nevyhnutne potrebnom rozsahu, aby mohol splniť zákonnú povinnosť (napr. prihlásenie zamestnanca do Sociálnej poisťovne, odovzdanie daňových dokladov s osobnými údajmi dotknutých osôb daňovému úradu a pod.). Osobné údaje sú pre splnenie zákonnej povinnosti nevyhnutné.
 
Účelom získavania osobných údajov je splnenie zákonnej povinnosti.
 
Spracovateľská operácia „získavanie osobných údajov“ je teda vo vzťahu k účelu nutná a primeraná.
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">b) uchovávanie osobných údajov</div>
 
Prevádzkovateľ uchováva osobné údaje dotknutej osoby len počas nevyhnutnej doby a to v zabezpečených priestoroch ...................
 
Účelom uchovávania osobných údajov je plnenie zmluvy a zákonnej povinnosti.
 
Spracovateľská operácia „uchovávanie osobných údajov“ je teda vo vzťahu k účelu nutná a primeraná.
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">c) poskytovanie osobných údajov</div>
 
...................
<div style="text-align: justify;"> </div>
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">d) ...................</div>
 
<div> </div>
<div>4. Posúdenie splnenia základných zásad</div>
 
Podľa Článku 5 Nariadenia GDPR a ustanovení § 6 až § 12 zákona o OOÚ, medzi základné zásady patrí:
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">I. Zásada zákonnosti, spravodlivosti a transparentnosti</div>
 
Osobné údaje možno spracúvať len zákonným spôsobom, spravodlivo a transparentne a tak, aby nedošlo k porušeniu základných práv dotknutej osoby.
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">II. Zásada obmedzenia účelu</div>
 
Osobné údaje sa môžu získavať len na konkrétne určený, výslovne uvedený a oprávnený účel a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmto účelom; ďalšie spracúvanie osobných údajov na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel, ak je v súlade s osobitným predpisom a ak sú dodržané primerané záruky ochrany práv dotknutej osoby podľa § 78 ods. 8 zákona o OOÚ, sa nepovažuje za nezlučiteľné s pôvodným účelom.
 
III. Zásada minimalizácie osobných údajov
 
Spracúvané osobné údaje musia byť primerané, relevantné a obmedzené na nevyhnutný rozsah daný účelom, na ktorý sa spracúvajú.
<div> </div>
<div>IV. Zásada správnosti</div>
 
Spracúvané osobné údaje musia byť správne a podľa potreby aktualizované; musia sa prijať primerané a účinné opatrenia na zabezpečenie toho, aby sa osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, bez zbytočného odkladu vymazali alebo opravili.
<div> </div>
<div>V. Zásada minimalizácie uchovávania</div>
 
Osobné údaje musia byť uchovávané vo forme, ktorá umožňuje identifikáciu dotknutej  osoby najneskôr dovtedy, kým je to potrebné na účel, na ktorý sa osobné údaje spracúvajú; osobné údaje sa môžu uchovávať dlhšie, ak sa majú spracúvať výlučne na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel na základe osobitného predpisu, a ak sú dodržané primerané záruky ochrany práv dotknutej  osoby podľa  § 78 ods. 8 zákona o OOÚ.
<div> </div>
<div>VI. Zásada integrity a dôvernosti</div>
 
Osobné údaje musia byť spracúvané spôsobom, ktorý prostredníctvom primeraných technických a organizačných opatrení zaručuje primeranú bezpečnosť osobných údajov vrátane ochrany pred neoprávneným spracúvaním osobných údajov, nezákonným spracúvaním osobných údajov, náhodnou stratou osobných údajov, výmazom osobných údajov alebo poškodením osobných údajov.
 
VII. Zásada zodpovednosti
 
Prevádzkovateľ je zodpovedný za dodržiavanie základných zásad spracúvania osobných údajov, za súlad spracúvania osobných údajov so zásadami spracúvania osobných údajov a je povinný tento súlad so zásadami spracúvania osobných údajov na požiadanie úradu preukázať.
 
Predmetom preskúmania a posúdenia zásad sú nižšie uvedené osobné údaje zoskupené v informačných systémoch. Rozsah osobných údajov posudzujeme v zmysle všetkých zásad podľa Článku 5 Nariadenia GDPR a ustanovení § 6 až § 12 zákona o OOÚ.
 
Prevádzkovateľ spracúva osobné údajevymenovanév bode 1.2, v časti s názvom Zoznam osobných údajov.
 
Prevádzkovateľ posúdil základné zásady vo vzťahu k spracúvaným osobným údajom a účelom nasledovne:
 
<div>I. Zásada zákonnosti</div>
 
Prevádzkovateľ rešpektuje a dodržiava zásadu zákonnosti, spravodlivosti a transparentnosti.Každé spracúvanie osobných údajov prevádzkovateľom je zákonné, založené na legálnom právnom základe podľa § 13 zákona o ochrane osobných údajov. Spracúvanie prevádzkovateľom nie je protiprávne, ani neprebieha na nelegálnom právnom základe a samotný účel spracúvania nie je nelegitímny.
 
Právnym základom spracúvania osobných údajov v IS MaP je: 
- § 13 ods. 1 písm. b) zákona o ochrane osobných údajov: spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo na vykonanie opatrenia pred uzatvorením zmluvy na základe žiadosti dotknutej osoby - prevádzkovateľ uzatvára so zamestnancami pracovné zmluvy a dohody o prácach mimo pracovného pomeru a vstupuje s nimi do predzmluvných vzťahov pri rokovaní o obsahu zmluvy resp. dohody.
 
- § 13 ods. 1 písm. c) zákona o ochrane osobných údajov: spracúvanie osobných údajov je nevyhnutné podľa osobitného predpisu; osobitnými predpismi sú najmä
 
zákon č. 311/2001 Z. z. Zákonník práce v znení neskorších predpisov
zákon č. 461/2003 Z. z. o sociálnom poistení v znení neskorších predpisov
zákon č. 595/2003 Z. z. o dani z príjmov v znení neskorších predpisov
zákon č. 43/2004 Z. z. o starobnom dôchodkovom sporení v znení neskorších predpisov
zákon č. 650/2004 Z. z. o doplnkovom dôchodkovom sporení a o zmene a doplnení niektorých zákonov v znení neskorších predpisov
zákon č. 5/2004 Z. z. o službách zamestnanosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov
zákon č. 462/2003 Z. z. o náhrade príjmu pri dočasnej pracovnej neschopnosti zamestnanca a o zmene a doplnení niektorých zákonov v znení neskorších predpisov
zákon č. 152/1994 Z. z. o sociálnom fonde
zákon č. 355/2007 Z. z. o ochrane, podpore a rozvoji verejného zdravia a o zmene a doplnení niektorých zákonov v znení neskorších predpisov
zákon č. 124/2006 Z. z. o bezpečnosti a ochrane zdravia pri práce a o zmene a doplnení niektorých zákonov v znení neskorších predpisov
zákon č. 283/2002 Z.z. Zákon o cestovných náhradách
zákon č. 233/1995 Z. z. o súdnych exekútoroch aexekučnej činnosti (Exekučný poriadok ) a o zmene  a doplnení niektorých zákonov v znení neskorších predpisov
...................
 
Osobný údaj                                                             Právny základ
Meno                                                                        pracovná zmluva, osobitný predpis
Priezvisko                                                                 pracovná zmluva, osobitný predpis
Dátum narodenia                                                       pracovná zmluva, osobitný predpis
.................                                                               .....................
 
Prevádzkovateľ môže spracúvať aj osobitnú kategóriu osobných údajov stanovenú osobitnými zákonmi, napr. doklad o posúdení pracovnej spôsobilosti zamestnanca, doklad o zdravotnom stave zamestnanca na preukázanie pracovnej neschopnosti zamestnanca a pod. V tomto prípade sa spracúvanie tejto osobitnej kategórie osobných údajov nezakazuje (v zmysle čl. 9 ods. 2 písm. h/ nariadenia GDPR). 
 
Právnym základom spracúvania osobných údajov v IS ÚD je: 
 
- § 13 ods. 1 písm. c) zákona o ochrane osobných údajov: spracúvanie osobných údajov je nevyhnutné podľa osobitného predpisu; osobitnými predpismi sú najmä
 
zákon č. 431/2002 Z. z. o účtovníctve v znení neskorších predpisov
zákon č. 222/2004 Z. z. o dani z pridanej hodnoty v znení neskorších predpisov
zákon o dani z príjmov č. 595/2003 Z. z. v znení neskorších predpisov
zákon č. 145/1995 Z. z. o správnych poplatkoch v znení neskorších predpisov
zákon č. 40/1964 Zb. Občiansky zákonník v znení neskorších predpisov
zákon č. 513/1991 Zb. Obchodný zákonník v znení neskorších predpisov
zákon č. 152/1994 Z. z. o sociálnom fonde
zákon č. 311/2001 Z. z. Zákonník práce v znení neskorších predpisov
zákon č. 283/2002 Z. z. Zákon o cestovných náhradách
...................
 
Osobný údaj                                           Právny základ
Meno                                                       osobitný predpis
Priezvisko                                                osobitný predpis
Dátum narodenia                                      osobitný predpis
..................                                            ...................
 
Právnym základom spracúvania osobných údajov v IS Zákazníci je: 
 
- § 13 ods. 1 písm. b) zákona o ochrane osobných údajov: spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo na vykonanie opatrenia pred uzatvorením zmluvy na základe žiadosti dotknutej osoby - prevádzkovateľ uzatvára s dotknutými osobami kúpnu zmluvu na základe:
 
zákon č. 40/1964 Zb. Občiansky zákonník v znení neskorších predpisov
zákon č. 513/1991 Zb. Obchodný zákonník v znení neskorších predpisov
...................
 
Osobný údaj                                           Právny základ
Meno                                                       kúpna zmluva
Priezvisko                                                kúpna zmluva
Dátum narodenia                                      kúpna zmluva
..................                                            ....................
 
Právnym základom spracúvania osobných údajov v IS ................... je: 
 
<div>II. Zásada obmedzenia účelu</div>
 
Prevádzkovateľ rešpektuje a dodržiava zásadu obmedzenia účelu. Prevádzkovateľ získava osobné údaje len na konkrétne určený, výslovne uvedený a oprávnený účel. Účelom spracúvania osobných údajov je:
 
IS MaP
- plnenie povinností zamestnávateľa súvisiacich s pracovným pomerom alebo obdobným vzťahom vrátane predzmluvných vzťahov
 
IS ÚD
- spracovanie účtovných dokladovvrátane plnenia zákonných povinností podľa osobitných predpisov z toho vyplývajúcich
 
IS Zákazníci
- uzatvorenie kúpnej zmluvy a predzmluvné vzťahy, oprávnený záujem
 
IS ..................
- ..................
 
III. Zásada minimalizácie osobných údajov
 
Prevádzkovateľ rešpektuje a dodržiava zásadu minimalizácie osobných údajov. Prevádzkovateľ spracúva lenprimerané a relevantné osobné údaje v IS MaP, IS ÚD, IS Zákazníci, IS ..................v nevyhnutnom rozsahu na účel, na ktorý sa spracúvajú.
 
Vysvetlivky k nevyhnutnosti spracúvania nižšie uvedených osobných údajov:
 
Telefónne číslo - na účely predzmluvných a zmluvných vzťahov s kupujúcim, nakoľko prevádzkovateľ uzatvára s kupujúcim kúpnu zmluvu na základe zákona č. 102/2014 Z. z. o ochrane spotrebiteľa pri predaji tovaru alebo poskytovaní služieb na základe zmluvy uzavretej na diaľku alebo zmluvy uzavretej mimo prevádzkových priestorov predávajúceho a o zmene a doplnení niektorých zákonova kupujúci kontaktujte prevádzkovateľa prostriedkami diaľkovej komunikácie
 
Emailová adresa - na účely predzmluvných a zmluvných vzťahov s kupujúcim, nakoľko prevádzkovateľ uzatvára s kupujúcim kúpnu zmluvu na základe zákona č. 102/2014 Z. z. o ochrane spotrebiteľa pri predaji tovaru alebo poskytovaní služieb na základe zmluvy uzavretej na diaľku alebo zmluvy uzavretej mimo prevádzkových priestorov predávajúceho a o zmene a doplnení niektorých zákonov. Prevádzkovateľ je na základe § 6 ods. 1 zákona č. 102/2014 Z. z. povinný bezodkladne po uzavretí zmluvy uzavretej na diaľku, najneskôr spolu s dodaním tovaru, poskytnúť spotrebiteľovi potvrdenie o uzavretí zmluvy na trvanlivom nosiči – uvedenú povinnosť prevádzkovateľ plní zaslaním potvrdenia na emailovú adresu kupujúceho.
 
..................
 
<div>IV. Zásada správnosti</div>
 
Prevádzkovateľ rešpektuje a dodržiava zásadu správnosti. Spracúvané osobné údaje sú správne a na základe žiadosti dotknutej osoby aj aktualizované.Prevádzkovateľ sa zaviazal, že ak nesprávny osobný údaj odhalí, má povinnosť ho opraviť, ak je to možné, ak nie, má povinnosť ho zlikvidovať. V prípade ak dotknutá osoba kontaktuje prevádzkovateľa a požaduje opravu nesprávneho osobného údaja alebo jeho likvidáciu podľanariadenia GDPR alebo zákona o OOÚ, ak sa nesprávnosť údaju potvrdí, prevádzkovateľ požiadavke  dotknutej osoby na opravu bezodkladne vyhovie. Prevádzkovateľ spracúvané osobné údaje pravidelne kontroluje a aktualizuje(...... krát za 12 kalendárnych mesiacov v zmysle bezpečnostného opatrenia č. 9 s názvom „Spôsob, forma a periodicita výkonu kontrolných činností zameraných na dodržiavanie bezpečnostných opatrení“), a to aj po obsahovej stránke, nielen gramatickej. Prevádzkovateľ preveruje správnosť osobných údajov aj v prípade, ak dotknutá osoba sama poskytne prevádzkovateľovi nesprávne osobné údaje.
 
<div>V. Zásada minimalizácie uchovávania</div>
 
Prevádzkovateľ rešpektuje a dodržiava zásaduminimalizácie uchovávania.Osobné údaje uchováva vo forme, ktorá umožňuje identifikáciu dotknutej  osoby najneskôr dovtedy, kým je to potrebné na účel, na ktorý sa osobné údaje spracúvajú; najneskôr však po dobu stanovenú osobitným zákonom na účel archivácie.Prevádzkovateľ uchováva osobné údaje v ................... Ostatné údaje uchováva v archíve, zvlášť miestnosti zabezpečenej bezpečnostnými dverami, od ktorých majú kľúče len ................... Zálohu je na ...................
 
Prevádzkovateľ uchováva osobne údaje v informačných systémoch nižšie uvedeným spôsobom:
 
IS MaP
- prevádzkovateľ uchováva osobné údaje v tomto informačnom systéme po dobu trvania pracovného pomeru resp. právneho vzťahu založeného na základe dohody uzavretej mimo pracovného pomeru a to na dosiahnutie sledovaného účelu spracúvania. Prevádzkovateľ zlikviduje osobné údaje z tohto informačného systému po tom ako pominul vyššie uvedený účel, na ktorý sa osobné údaje spracúvajút.j. do času skončenia pracovnoprávneho vzťahu; osobné údaje sa môžu uchovávať dlhšie, ak sa majú spracúvať výlučne na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel na základe osobitného predpisu (napr. podľa § 36 ods. 2 v nadväznosti na § 35 ods. 3 písm. c/ zákona č. 431/2002 Zb. o účtovníctve: mzdové listy, daňové doklady alebo inú dokumentáciu vyplývajúcu z osobitných predpisov počas desiatich rokov nasledujúcich po roku, v ktorom sa naposledy použili).
 
Osobné údaje zamestnancov zlikviduje prevádzkovateľ osobne, alebo prostredníctvom externého účtovníka resp.................... na základe zmluvy podľa ustanovení  § 34 a nasl. zákona č.  18/2018 Z. z. v zmysle dohodnutých zmluvných podmienok spracúvania osobných údajov.
 
IS ÚD
- prevádzkovateľ uchováva osobné údaje zamestnancov v tomto informačnom systéme po dobu trvania pracovného pomeru resp. právneho vzťahu založeného na základe dohody uzavretej mimo pracovného pomeru a to na dosiahnutie sledovaného účelu spracúvania. Prevádzkovateľ zlikviduje osobné údaje z tohto informačného systému po tom ako pominul vyššie uvedený účel, na ktorý sa osobné údaje spracúvajút.j. do času skončenia pracovnoprávneho vzťahu resp. uplatnenia práv z reklamačného konania zákazníkov; osobné údaje sa môžu uchovávať dlhšie, ak sa majú spracúvať výlučne na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel na základe osobitného predpisu (napr. podľa § 35 ods. 3 písm. b/ zákona č. 431/2002 Zb. o účtovníctve: účtovné doklady, účtovné knihy, zoznamy účtovných kníh, zoznamy číselných znakov alebo iných symbolov a skratiek použitých v účtovníctve, odpisový plán, inventúrne súpisy, inventarizačné zápisy, účtový rozvrh počas desiatich rokov nasledujúcich po roku, ktorého sa týkajú).
 
Osobné údaje zamestnancov zlikviduje prevádzkovateľ osobne, alebo prostredníctvom externého účtovníka resp. ................... na základe zmluvy podľa ustanovení  § 34 a nasl. zákona č.  18/2018 Z. z. v zmysle dohodnutých zmluvných podmienok spracúvania osobných údajov.
 
IS ............
- ....................................
 
IS Zákazníci
- prevádzkovateľ uchováva osobné údaje zákazníkov v tomto informačnom systéme po dobu trvania 36 mesiacov od doručenia tovaru, ktorý je predmetom uzatvorenej kúpnej zmluvy, keďže podľa § 101 Občianskeho zákonníka je premlčacia doba na uplatnenie práva a povinností trojročná. V prípade ak v rámci reklamačnej doby bolo reklamačnému konaniu v zmysle spotrebiteľského práva vyhovené, táto lehota sa môže predĺžiť o ďalších 24 mesiacov (resp. takú dobu, ktorú výrobca tovaru garantuje kupujúcemu na uplatnenie reklamácie), počas ktorých si kupujúci môže uplatniť ďalšiu záručnú opravu. Ak by prevádzkovateľ ako predávajúci zlikvidoval osobné údaje skôr, bolo by mu znemožnené v zmysle Občianskeho zákonníka uplatňovať svoje práva vyplývajúce zo zmluvného vzťahu. Prevádzkovateľ môže uchovávať osobné údaje dlhšie, ak sa majú spracúvať výlučne na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel na základe osobitného predpisu(napr. podľa § 35 ods. 3 písm. b/ zákona č. 431/2002 Zb. o účtovníctve: účtovné doklady, účtovné knihy, zoznamy účtovných kníh, zoznamy číselných znakov alebo iných symbolov a skratiek použitých v účtovníctve, odpisový plán, inventúrne súpisy, inventarizačné zápisy, účtový rozvrh počas desiatich rokov nasledujúcich po roku, ktorého sa týkajú).
 
Osobné údaje zamestnancov zlikviduje prevádzkovateľ osobne, alebo prostredníctvom externého účtovníka resp. ................... na základe zmluvy podľa ustanovení  § 34 a nasl. zákona č.  18/2018 Z. z. v zmysle dohodnutých zmluvných podmienok spracúvania osobných údajov.
 
IS ............
- ....................................
 
<div>VI. Zásada integrity a dôvernosti</div>
 
Prevádzkovateľ rešpektuje a dodržiava zásaduintegrity a dôvernosti v zmysle Nariadenia GDPR a zákona o OOÚ. Osobné údaje spracúva spôsobom, ktorý prostredníctvom primeraných technických a organizačných opatrení zaručuje primeranú bezpečnosť osobných údajov vrátane ochrany pred neoprávneným spracúvaním osobných údajov, nezákonným spracúvaním osobných údajov, náhodnou stratou osobných údajov, výmazom osobných údajov alebo poškodením osobných údajov.
 
Prevádzkovateľ v zmysle predchádzajúcich odsekov prijal nasledovné technické a organizačné opatrenia:
 
Bezpečnostné opatrenia č. 1 - Povinnosti prevádzkovateľa pri uplatňovaní práv dotknutej osoby
Bezpečnostné opatrenia č. 2 - Spracúvanie, uschovávanie a likvidácia osobných údajov z informačných systémov
Bezpečnostné opatrenia č. 3 - Popis povolených spracovateľských činností a podmienky spracúvania osobných údajov
Bezpečnostné opatrenia č. 4 - Rozmnožovanie písomností obsahujúcich osobné údaje
Bezpečnostné opatrenia č. 5 - Rozsah zodpovednosti poverených a zodpovedných osôb
Bezpečnostné opatrenia č. 6 - Kľúčový režim prevádzkovateľa a povinnosti držiteľov kľúčov
Bezpečnostné opatrenia č. 7 - Povinnosti prevádzkovateľa pri práci s automatizovanými IS
Bezpečnostné opatrenia č. 8 - Zálohovanie údajov v počítačovom systéme
Bezpečnostné opatrenia č. 9 - Spôsob, forma a periodicita výkonu kontrolných činností zameraných na dodržiavanie bezpečnostných opatrení
Bezpečnostné opatrenia č. 10 - Postupy pri haváriách, poruchách a iných mimoriadnych situáciách vrátane preventívnych opatrení
Bezpečnostné opatrenia č. 11 - Opatrenia o používaní kamerového systému
.................................... 
 
VII. Zásada zodpovednosti
 
Prevádzkovateľ rešpektuje a dodržiava zásaduzodpovednosti podľa zákona o OOÚ. Prevádzkovateľ si je vedomý, že je zodpovedný za dodržiavanie základných zásad spracúvania osobných údajov, za súlad spracúvania osobných údajov so zásadami spracúvania osobných údajov a je povinný tento súlad so zásadami spracúvania osobných údajov na požiadanie úradu preukázať.
 
Na základe vyššie uvedeného posúdenia základných zásad vo vzťahu k rozsahu spracúvaných osobných údajov prevádzkovateľom teda možno dospieť k záveru, že spracúvanie osobných údajov je v súlade a nariadením GDPR a zákonom o OOÚ.
 
<div> </div>
<div>5. Posúdenie rizika pre práva dotknutej osoby</div>
 
 
5.1   Práva dotknutej osoby
 
Podľa § 21 až § 28 zákona o OOÚ, medzi základné práva dotknutej osoby patrí:
<div> </div>
<div>I. Právo na prístup k osobným údajom (§ 21 zákona o OOÚ)</div>
 
Dotknutá osoba  má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú. Ak prevádzkovateľ takéto osobné údaje spracúva, dotknutá osoba má právo získať prístup k týmto osobným údajom a informácie o
a) účele spracúvania osobných údajov,
b) kategórii spracúvaných osobných údajov,
c) identifikácii príjemcu alebo o kategórii príjemcu, ktorému boli alebo majú byť osobné údaje poskytnuté, najmä o príjemcovi v tretej krajine alebo o medzinárodnej organizácii, ak je to možné,
d) dobe uchovávania osobných údajov; ak to nie je možné, informáciu o kritériách jej určenia,
e) práve požadovať od prevádzkovateľa opravu osobných údajov týkajúcich sa dotknutej osoby, ich vymazanie alebo obmedzenie ich spracúvania, alebo o práve namietať spracúvanie osobných údajov,
f) práve podať návrh na začatie konania podľa § 100,
g) zdroji osobných údajov, ak sa osobné údaje nezískali od dotknutej osoby,
h) existencii automatizovaného individuálneho rozhodovania vrátane profilovania podľa § 28 ods. 1 a 4; v týchto prípadoch poskytne prevádzkovateľ dotknutej informácie najmä o použitom postupe, ako aj o význame a predpokladaných dôsledkoch takéhoto spracúvania osobných údajov pre dotknutú osobu.
<div> </div>
<div> </div>
<div>II. Právo na opravu osobných údajov (§ 22 zákona o OOÚ)</div>
 
Dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa jej týkajú. So zreteľom na účel spracúvania osobných údajov má dotknutá osoba právo na doplnenie neúplných osobných údajov.
 
III. Právo na výmaz osobných údajov (§ 23 zákona o OOÚ)
 
Dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu vymazal osobné údaje, ktoré sa jej týkajú.
<div> </div>
<div> </div>
<div>IV. Právo na obmedzenie spracúvania osobných údajov (§ 24 zákona o OOÚ)</div>
 
Dotknutá osoba má právo na to, aby prevádzkovateľ obmedzil spracúvanie osobných údajov, ak
a) dotknutá osoba namieta správnosť osobných údajov, a to počas obdobia umožňujúceho prevádzkovateľovi overiť správnosť osobných údajov,
b) spracúvanie osobných údajov je nezákonné a dotknutá osoba namieta vymazanie osobných údajov a žiada namiesto toho obmedzenie ich použitia,
c) prevádzkovateľ už nepotrebuje osobné údaje na účel spracúvania osobných údajov, ale potrebuje ich dotknutá osoba na uplatnenie právneho nároku, alebo
d) dotknutá osoba namieta spracúvanie osobných údajov podľa § 27 ods. 1, a to až do overenia, či oprávnené dôvody na strane prevádzkovateľa prevažujú nad oprávnenými dôvodmi dotknutej osoby.
<div> </div>
<div> </div>
<div>V. Právo na prenosnosť osobných údajov (§ 26 zákona o OOÚ)</div>
 
Dotknutá osoba má právo získať osobné údaje, ktoré sa jej týkajú a ktoré poskytla prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a má právo preniesť tieto osobné údaje ďalšiemu prevádzkovateľovi, ak je to technicky možné a ak
a) sa osobné údaje spracúvajú podľa § 13 ods. 1 písm. a), § 16 ods. 2 písm. a) alebo § 13 ods. 1 písm. b) a
b) spracúvanie osobných údajov sa vykonáva automatizovanými prostriedkami.
<div> </div>
<div> </div>
<div>VI. Právo namietať spracúvanie osobných údajov (§ 27 zákona o OOÚ)</div>
 
Dotknutá osoba má právo namietať spracúvanie jej osobných údajov z dôvodu týkajúceho sa jej konkrétnej situácie vykonávané podľa § 13 ods. 1 písm. e) alebo písm. f) vrátane  profilovania založeného na týchto ustanoveniach. Prevádzkovateľ nesmie ďalej spracúvať osobné údaje, ak nepreukáže nevyhnutné oprávnené záujmy na spracúvanie osobných údajov, ktoré prevažujú nad právami alebo záujmami dotknutej osoby, alebo dôvody na uplatnenie právneho nároku.
 
VII. Automatizované individuálne rozhodovanie vrátane profilovania (§ 28 zákona o OOÚ)
 
Dotknutá osoba má právo na to, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní osobných údajov vrátane profilovania a ktoré má právne účinky, ktoré sa jej týkajú alebo ju obdobne významne ovplyvňujú.
 
 
5.2  Uplatnenie práv dotknutej osoby
 
Prevádzkovateľ sa zaviazal, že oznámi príjemcovi opravu osobných údajov, vymazanie osobných údajov alebo obmedzenie spracúvania osobných údajov uskutočnené podľa § 22, § 23 ods. 1 alebo § 24 zákona o OOÚ, ak sa to neukáže ako nemožné alebo si to nevyžaduje neprimerané úsilie.Prevádzkovateľ o príjemcoch podľa predchádzajúcej vety informuje dotknutú osobu, ak to dotknutá osoba požaduje.
 
Prevádzkovateľ prijal vhodné opatrenia a zaviazal sa poskytnúť dotknutej osobe informácie podľa § 19 a 20 a oznámenia podľa § 21 až 28 a 41 zákona o OOÚ, ktoré sa týkajú spracúvania jej osobných údajov, v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne, a to najmä pri informáciách určených osobitne dieťaťu.
 
Prevádzkovateľ sa zaviazal poskytnúť informácie v listinnej podobe alebo elektronickej podobe, spravidla v rovnakej podobe, v akej bola podaná žiadosť. Ak o to požiada dotknutá osoba, informácie môže prevádzkovateľ poskytnúť aj ústne, ak dotknutá osoba preukáže svoju totožnosť iným spôsobom.
 
Prevádzkovateľ sa zaviazal poskytnúť súčinnosť dotknutej osobe pri uplatňovaní jej právpodľa § 21 až 28 zákona o OOÚ. V prípadoch uvedených v § 18 ods. 2 nemôže prevádzkovateľ odmietnuť konať na základe žiadosti dotknutej osoby pri výkone jej práv podľa § 21 až 28, ak nepreukáže, že dotknutú osobu nie je schopný identifikovať.
 
Prevádzkovateľ sa zaviazal, že poskytne dotknutej osobe informácie o opatreniach, ktoré sa prijali na základe jej žiadosti podľa § 21 až 28 zákona o OOÚ, do jedného mesiaca od doručenia žiadosti. Uvedenú lehotu môže prevádzkovateľ v odôvodnených prípadoch s ohľadom na komplexnosť a počet žiadostí predĺžiť o ďalšie dva mesiace, a to aj opakovane. Prevádzkovateľ je povinný informovať o každom takomto predĺžení dotknutú osobu do jedného mesiaca od doručenia žiadosti spolu s dôvodmi predĺženia lehoty. Ak dotknutá osoba podala žiadosť v elektronickej podobe, prevádzkovateľ poskytne informácie v elektronickej podobe, ak dotknutá osoba nepožiadala o poskytnutie informácie iným spôsobom.Ak prevádzkovateľ neprijme opatrenia na základe žiadosti dotknutej osoby, je povinný do jedného mesiaca od doručenia žiadosti, informovať dotknutú osobu o dôvodoch nekonania a o možnosti podať návrh podľa § 100 zákona o OOÚna Úrad na ochranu osobných údajov.
 
Prevádzkovateľ poskytuje informácie podľa § 19 a 20 a oznámenia a opatrenia prijaté podľa § 21 až 28 a 41  bezodplatne. Ak je žiadosť dotknutej osoby zjavne neopodstatnená alebo neprimeraná, najmä pre jej opakujúcu sa povahu, prevádzkovateľ môže
a) požadovať primeraný poplatok zohľadňujúci administratívne náklady na poskytnutie informácií alebo primeraný poplatok zohľadňujúci administratívne náklady na oznámenie alebo primeraný poplatok zohľadňujúci administratívne náklady na uskutočnenie požadovaného opatrenia, alebo
b) odmietnuť konať na základe žiadosti.
 
Zjavnú neopodstatnenosť žiadosti alebo neprimeranosť žiadosti preukazuje prevádzkovateľ.Prevádzkovateľ môže požiadať o poskytnutie dodatočných informácií potrebných na potvrdenie totožnosti dotknutej osoby, ak má oprávnené pochybnosti o totožnosti fyzickej osoby, ktorá podáva žiadosť podľa § 21 až 27; ustanovenie § 18 tým nie je dotknuté.Informácie, ktoré má prevádzkovateľ  poskytnúť dotknutej osobe podľa § 19 a 20, možno podať v kombinácii so štandardizovanými ikonami s cieľom poskytnúť dobre viditeľný, jasný a zrozumiteľný prehľad zamýšľaného spracúvania osobných údajov. Štandardizované ikony musia byť strojovo čitateľné, ak sú použité v elektronickej podobe.
 
Za účelom splnenia povinností prevádzkovateľa podľa časti 5. tohto posúdenia, prevádzkovateľ prijal bezpečnostné opatrenia č. 1 - Povinnosti prevádzkovateľa pri uplatňovaní práv dotknutej osoby.
 
Prevádzkovateľ taktiež vypracoval dokument s názvom „Oznámenie porušenia ochrany osobných údajov Úradu na ochranu osobných údajov“ na základe, ktorého oznámi Úradu na ochranu osobných údajov zistené porušenia ochrany osobných údajov.
 
 
5.3  Riziká pre práva dotknutej osoby
 
Prevádzkovateľ posúdil a definoval nižšie uvedené riziká pre práva dotknutej osoby. Riziká sú ohraničené nepredvídateľnými udalosťami  alebo činnosťami,  ktoré sa nedajú ovplyvniť.  Zostatkové riziká môžu mať za následok čiastočne narušenie IS, alebo úplné narušenie aktív so znefunkčnením IS MaP, IS ÚD, IS Zákazníci, IS ...................
 
<div>a) Zoznam rizík v objektovej bezpečnosti</div>
 
<ul style="text-align: justify;">
<li>strata alebo odcudzenie kľúčov od priestorov prevádzkovateľa</li>
<li>prekonanie mechanických zábranných prostriedkov</li>
<li>...................</li>
</ul>
<div> </div>
<div> </div>
<div>b) Zoznam rizík prieniku osobných údajov k nepovolaným osobám</div>
 
<ul style="text-align: justify;">
<li>prienik nepoverených osôb k počítačovým staniciam resp. zariadeniam, a to aj v prípadekrátkodobého zrakového kontaktu s obrazovkou počítača</li>
<li>odcudzenie počítačovejstanice resp. zariadeniu</li>
<li>sprístupnenie pevného disku alebo údajových štruktúr z vonkajšieho prostredia neoprávnenými osobami z lokálnej počítačovej siete</li>
<li>sprístupnenie pevného disku alebo údajových štruktúr z vonkajšieho prostredia osobami, ktoré sú pripojené na internet</li>
<li>................... </li>
</ul>
 
c) Zoznam rizík strát osobných údajov a narušenia integrity
 
<ul style="text-align: justify;">
<li>narušenie objektovej bezpečnosti prienikom nepoverených osôb do priestorov prevádzkovateľa s informačnými systémami</li>
<li>zničenie počítačovej stanice alebo jej kľúčových komponentov vplyvom živelnej pohromy, požiaru alebo povodne</li>
<li>zmocnenie, resp. odcudzenie počítačového systému</li>
<li>poškodenie pevného disku počítačovej stanice pri mechanickej závade</li>
<li>poškodenie pevného disku počítača alebo údajových štruktúr vplyvom počítačových vírusov</li>
<li>poškodenie pevného disku počítača alebo údajových štruktúr z vonkajšieho prostredia neoprávneným prístupom iných používateľov lokálnej počítačovej siete</li>
<li>...................</li>
</ul>
<div> </div>
<div> </div>
<div>d) Zoznam rizík pri strate dostupnosti osobných údajov</div>
 
<ul style="text-align: justify;">
<li>narušenie integrity, dostupnosti, dôvernosti programovým vybavením, ktoré môže mať chyby, ktoré môžu spôsobiť poškodenie spracúvaných osobných údajov</li>
<li>chyba programového vybavenia môže umožniť sprístupnenie prostriedkov automatizovaných informačných systémov nepovereným osobám a následne zničenie, odcudzenie, nežiaduce rozširovanie alebo neoprávnený prístup k osobným údajom</li>
<li>...................</li>
</ul>
<div> </div>
<div> </div>
<div>e) Zoznam rizík v dokumentárnych informačných systémoch</div>
 
<ol style="text-align: justify;">
<li>strata alebo odcudzenie listinných dokumentov poverenou alebo zastupujúcou osobou</li>
<li>strata dokumentov uložených v informačných systémoch pri prenose poverenou osobou</li>
<li>nepovolené šírenie informácií personálom prevádzkovateľa</li>
<li>nepovolené šírenie informácií nezlikvidovanými a nepotrebnými písomnosťami</li>
<li>cielené získanie informácií o osobných údajoch cudzou osobou</li>
<li>strata alebo odcudzenie dokumentov s osobnými údajmi poverenými alebo nepoverenýmiosobami</li>
<li>odcudzenie dokumentov s osobnými údajmi poverenými alebo nepoverenými osobami</li>
<li>...................</li>
</ol>
 
Za účelom eliminácie zistených rizík pre práva dotknutej osoby, prevádzkovateľ prijal záruky, bezpečnostné opatrenia a mechanizmy uvedené v časti 6 tohto posúdenia.
 
<div> </div>
<div>6. Opatrenia prevádzkovateľa</div>
 
 
6.1 Základné bezpečnostné ciele a minimálne požadované bezpečnostné opatrenia
 
Pri stanovovaní základných bezpečnostných cieľov, minimálnych požadovaných bezpečnostných opatrení a štandardov ochrany vzhľadom na vyššie uvedené posúdenie spracúvania osobných údajov u prevádzkovateľa, postupoval prevádzkovateľ v prvom rade na základe poznania prostredia s prihliadnutím na dobrú prax riešení a štandardov pri ochrane utajovaných skutočností a ochrane informačných systémov vo verejnej správe. Pri špecifikácii základných bezpečnostných cieľov a minimálnych požadovaných bezpečnostných opatrení prevádzkovateľ použil zákony, vyhlášky a medzinárodné normy.
 
Bezpečnostnými cieľmi  prevádzkovateľa sú najmä:
<div>a) zamedziť vstupu nepovereným osobám do priestorov prevádzkovateľa</div>
<div> </div>
<div>b) minimalizovať riziká vzniku a šírenia požiaru, alebo zničenia údajov vplyvom živelnej pohromy</div>
<div> </div>
<div>c) chrániť osobné údaje pred spracúvaním a manipuláciou nepoverenými osobami</div>
<div> </div>
<div style="text-align: justify;">d) vytvoriť systém spracovania osobných údajov, ktorý zamedzí neprehľadnému a nekontrolovanému používaniu osobných údajov, strate, odcudzeniu alebo zničeniu počas práce s</div>
<div style="text-align: justify;">IS MaP, IS ÚD, IS Zákazníci, IS ............</div>
<div> </div>
<div style="text-align: justify;">e) zabezpečiť ochranu osobných údajov pred neoprávneným šírením, odcudzením, stratou,poškodením, neoprávnenýmprístupom, zmenou a rozširovaním, alebo zneužitím na iný účel, ako boli spracúvané</div>
<div> </div>
<div>f) analyzovať možnostinapadnutia</div>
<div> </div>
<div>g) stanoviť úrovnebezpečnosti</div>
 
 
Špecifikácia technických, organizačných a personálnych opatrení jednotlivých IS
 
Základnými bezpečnostnými opatreniami prevádzkovateľaje súhrn:
a) technických
b) organizačných
c) personálnych
opatrení, ktorézabezpečujú ochranu osobných údajov v informačných systémoch prevádzkovateľa:
IS MaP, IS ÚD, IS Zákazníci, IS ............
 
Ad a)Špecifikácia technickýchvopatrení a spôsobvichvvyužitia:
 
Technické opatrenia predstavujú a zahŕňajú všetky určené technické prostriedky určené pre spracúvanie,  manipuláciu,  archiváciu  askartáciu  osobných  údajov IS MaP, IS ÚD, IS Zákazníci, IS ...........a všetky prostriedky a metódy ochrany určených technických prostriedkov. Používanie technických prostriedkov pre spracúvanie osobných údajov je povolené iba osobám poverenými oboznamovať sa s osobnými informáciami a spracúvať ich. Technické prostriedky sú využívané zásadne poverenými osobami, ktorí majú tieto prostriedky pridelené. Osobu zodpovednú za výpočtovú techniku určí prevádzkovateľ.
 
Technickými prostriedkami na účely zákona o ochrane osobných údajovsú najmä:
 
- Výpočtová technika, ktorou sa zabezpečuje vytváranie, spracovávanie, tlač a uchovávanie dáta
informácii. Výpočtovú techniku tvorí komplex zariadení (technické a programové vybavenie,
periférne zariadenia, a podobne) a ich vzájomné prepojenie telekomunikačnými systémami a
počítačovými sieťami a dátové nosiče (USB kľúče, DVD, CD, apod.)
- Zariadeniena vyhotovenie písaného textu – tlačiarne pri osobných počítačoch a serveroch,
rozmnožovacie stroje
- Zabezpečenie uvedených technických prostriedkov- je vykonávané programovými, mechanickými,
režimovými a technickými prostriedkami ochrany
- ...........
 
Programová metóda
 
1)  antivírová ochrana
- na každom užívateľskom počítači, v ktorom sa nachádza IS MaP, IS ÚD, IS Zákazníci, IS ...........
musí byť inštalovaná antivírová ochrana
- priebežne musí byť zabezpečená kontrola aktualizácie antivírových knižníc
 
2) ochrana PC pred nepovolaným prístupom  a vstupné a prihlasovacie heslá
- zabezpečiť, aby nepoverené osoby nemohli nazerať na chránené údaje zobrazované na obrazovke
počítača prípadne položené na pracovných stoloch a pod.
- použitie ochranných programov alebo zariadení proti prieniku nepovolaných osôb z iných sietí, tzv.
FireWall, ktorý napr. ochraňuje počítačový systém počas pripojenia do internetu proti cieleným a
náhodným prístupom z prostredia internetu
- každý užívateľ počítača musí mať pridelené heslo, ktorým sa autentifikuje, a toto uchováva v
tajnosti
- vhodne zvolená doba životnosti a dĺžka a zloženie (zložitosť) hesla, dostatočne zabraňuje
úspešným útokom zameraným na uhádnutie hesla
- heslá prístupu k programom sa pravidelne menia
- tie isté opatrenia platia aj pre prístup k aplikáciám
- v prípade, že sa údaje zhromažďujú v súboroch (napr. pdf, txt, doc) tieto musia byť zaheslované
- ...........
 
3) používanie programov
- smú byť používané iba autorizované resp. certifikované programy
- kontrola integrity získaného softvérového balíka pred jeho inštaláciou
- je zakázaná inštalácia z prostredia internetu
 
4) zálohovanie a ukladanie dát
- pravidelne vytvárať zálohy databáz
- aplikačný softvér zálohovať pred aktualizáciou
- chránené údaje sa neukladajú na pamäťové nosiče prístupné zo siete, bez ďalšieho zabezpečenia,
disky nesmú byť zdieľané v sieti pre pripojenie na Internet, bez ďalšieho zabezpečenia
 
Zakazuje sa (okrempoverených osôb) :
- meniť a nastavovať konfiguráciu PC, v ktorom sa nachádza IS MaP, IS ÚD, IS Zákazníci, IS ...........
- vyraďovať ochranné prvky z činnosti
- inštalovať programy
- umožniť prístup na PC neoprávneným osobám k IS MaP, IS ÚD, IS Zákazníci, IS ...........
- ukladať dáta s osobnými údajmi mimo miest na to určených
 
Čo chránime        Pred čím                     Ako                  Kto
Počítačová stanica       prístup nepoverenej osoby        miestnosť sa zamyká       poverená osoba
Počítačová stanica       softwarový útok                     inštaláciou a údržbou     poverená osoba
                            firewallu
Používateľské účty       vzájomnou výmenou hesiel       informovaním užívateľov   poverená osoba
            medzi   poverenými, ale  aj   o nebezpečnosti prezra -
            nepoverenými osobami      denia hesla a možnosti
                             jeho zneužitia
 
Mechanická metóda
- vybavenie určených pracovísk plnými dverami a mechanickými zábrannými prostriedkami na
ochranu okien
- skrine, resp. priestory s nosičmi údajov sa uzamykajú
- miestnosti so skriňami sa uzamykajú bezpečnostným zámkom a osoby, ktorým boli vydané kľúče
sú evidované
- komisionálna fyzická likvidácia nosičov osobných údajov skartovaním, spálením alebo bezpečným
zmazaním pamäťových nosičov
 
Režimová metóda
- v organizačnom poriadku určiť režim vstupu na pracovisko, zákaz zdržovať sa na pracovisku po
pracovnej dobe bez vedomia nadriadeného, určenie zodpovedných osôb za bezpečnosť, určiť
podmienky vstupu na pracovisko a spôsob opustenia pracoviska
- heslá a administratívne prístupy musia byť zdokumentované a uložené v zapečatenej obálke v
uzamykateľnej skrini, pokyn na ich otvorenie môže vydať len prevádzkovateľ prostredníctvom
poverenej osoby – otvorenie musí byť zdokumentované
 
Technická metóda
- zabezpečenie internetovej siete pomocou technických zariadení pred nepovolaným prístupom z
internetu
- aplikácie a hlavne databázy zálohovať buď na záložnom PC, alebo na CD nosičoch
- pravidelne vykonávať revízie elektriky a požiarne revízie, revízie komínov
 
Ad b) Špecifikácia organizačných opatrení a spôsob ich využitia:
 
Určenie pracovných a bezpečnostných postupov
- spracovať, zhromažďovať a likvidovať osobné údajeIS MaP, IS ÚD, IS Zákazníci, IS ........... smú len poverené osoby na to určené. Spracovanie údajov musí byť v súlade s nariadením GDPR a so zákonom o OOÚ. Poverené osoby sa musia riadiť všetkými prijatými opatreniami a nariadeniami vydanými prevádzkovateľom.
 
Požiadavky na organizačnéopatrenia
Zabezpečenie  bezpečnostných  opatrení  pri  ochrane  osobných  údajov IS MaP, IS ÚD, IS Zákazníci, IS ........... pomocou organizačných  opatrení,  ktorými  sú  organizované  pracovné  činnosti  apostupy  pri zabezpečovaní celkovej,informačneja počítačovej bezpečnosti.
 
Organizačné opatrenia
- po pracovnej dobe je zakázané zdržiavať sa na pracovisku
- na pracovisku sa osoby môžu zdržiavať len so súhlasom prevádzkovateľa
 
Rozdelenie kompetencií
- v prípade mimoriadnej situácie, kedy dôjde k narušeniu bezpečnosti, činnosť koordinuje a riadi
poverená osoba
- pri narušení PC bezpečnosti, bezpečnosti v oblasti IS a siete koordinuje činnosť poverená osoba
- pri narušení informačnej bezpečnosti v oblasti dokumentov, telefónnych liniek a mobilných sietí
koordinuje činnosť poverená osoba
 
Nakladanie s nosičmi údajov
- akékoľvek materiálne nosiče údajov musia byť zabezpečené pred prístupom nepoverených osôb
 
Miesto uloženia nosičov živých údajov
- údaje z IS MaP, IS ÚD, IS Zákazníci, IS ........... sú v listinnej formev uzamykateľných ........... a 
v elektronickej forme v PC v ............
- chránené   údaje   v   elektronickej  forme   sa   ukladajú   na  prenosné nosiče, a tie sú uložené v
uzamykateľných priestoroch. Údaje, ktoré sú uložené v PC sa chránia nasledovne:
PC musia byť chránené antivírovým programom s pravidelnou aktualizáciou databáz vírusov konkrétne programy musia byť zaheslované, pre vstup do programov používa každý užívateľ vlastné heslo. PC sa nachádzajú v uzamykateľných priestoroch.Poverené osoby spracovávajú údaje na mieste a spôsobom znemožňujúcim odcudzenie údajov. Poverené osoby zabezpečia, aby nosiče údajov pri prenášaní medzi miestom uloženia a miestom spracovania nemohli byť sprístupnené nepovereným osobám.
 
Ad c) Špecifikácia personálnych opatrení a spôsob ich využitia:
 
Používanie technických prostriedkov pre spracovanie informácií je povolené iba osobám povereným oboznamovať sa s osobnými informáciamiIS MaP, IS ÚD, IS Zákazníci, IS ............ Technické prostriedky, sú využívane zásadne osobami, ktorí majú tieto prostriedky pridelené. Každá poverená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými príde do styku; tie nesmie využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmie zverejniť a nikomu poskytnúť ani sprístupniť, mimo situácií vymedzených zákonom. Povinnosť mlčanlivosti platí aj iné fyzické osoby, ktoré v rámci svojej činnosti (napr. údržba a servis technických prostriedkov) prídu do styku s osobnými údajmi. Povinnosť mlčanlivosti trvá aj po zániku funkcie poverenej osoby, alebo po skončení jej pracovného pomeru. Zamestnanci, ktorí majú pridelené technické prostriedky, sú zodpovední za ich správny chod a musia dodržiavať všetky zásady práce s nimi.
 
Požiadavky na personálne opatrenia - kvalifikačné predpoklady
- spracovávať osobné údaje v IS MaP, IS ÚD, IS Zákazníci, IS ........... majú len poverené osoby:
    - znalé práci na PC
    - vyškolené pre prácu s aplikačným programom
- ostatné poverené osoby smú spracovávať osobné údaje len dokumentačne
 
Personálne zabezpečenie procesov
- proces zadávania údajov zabezpečujú poverené osoby
- proces archivácie zabezpečuje poverená osoba
               
Personálna bezpečnosť
- poverené osoby musia byť poučené
- každá poverená osoba je povinná zachovávať mlčanlivosť
 
Zabezpečenie zastupiteľnosti
- najdôležitejšie   procesy   pri   ochrane   osobných   údajov   v   IS   MaP,  IS ÚD, IS Zákazníci, IS
........... musia byť zabezpečené zastupiteľnosťou
 
Zabezpečenie dodržiavania bezpečnostných opatrení:
- poverené osoby musia byť preukázateľne oboznámené s bezpečnostnými opatreniami
- pri prijímaní zamestnanca do zamestnania musí byť zamestnanec riadne poučený 
 
Písomné poučenie poverených osôb pred uskutočnením prvej spracovateľskej operácie s  osobnými  údajmi
Každá poverená osoba musí byť pred uskutočnením prvej spracovateľskej operácie s osobnými  údajmi poučená. Prevádzkovateľ je povinný poučiť osobu o jej právach a povinnostiach pri spracúvaní osobných údajov; poučenie obsahuje najmä vymedzenie rozsahu jej oprávnení, povolených činností a podmienok spracúvania osobných údajov
 
Poučenie o právach a povinnostiach vyplývajúcich zo zákona a zodpovednosti za ich porušenie
- vykoná sa poučenie poverených a zodpovedných osôb o právach a povinnostiach vyplývajúcich zo zákona a zodpovednosti za ich porušenie. O poučení sa vyhotoví záznam o poučení poverenej osoby. Spracúvané osobné údaje treba chrániť pred ich poškodením, zničením, stratou, zmenou, neoprávneným prístupom a sprístupnením, poskytnutím alebo zverejnením, ako aj pred akýmikoľvek inými neprípustnými spôsobmi spracúvania
 
Vymedzenie zakázaných postupov alebo operácií s osobnými údajmi
- zakázané postupy alebo operácie s osobnými údajmiIS MaP, IS ÚD, IS Zákazníci, IS ........... sú :
<ul>
<li style="text-align: justify;">zakazuje sa zber a spracovanie osobných údajov od iných dotknutých osôb ako určí prevádzkovateľ</li>
<li style="text-align: justify;">zakazuje sa zber a spracovanie osobných údajov nad rozsah nevyhnutný na zabezpečenie účelu</li>
<li style="text-align: justify;">zakazuje sa využívať a združovať získané osobné údaje na iné resp. rozdielne účely ako určil prevádzkovateľ</li>
<li style="text-align: justify;">zakazuje sa používanie kopírovaných alebo tlačených zmlúv, faktúr resp. iných dokumentov na iné účely ako určil prevádzkovateľ</li>
<li style="text-align: justify;">zakazuje sa neuchovávanie osobných údajov spôsobmi uvedenými v týchto opatreniach</li>
<li style="text-align: justify;">zakazuje sa zhromažďovať osobné údaje v takej forme, ktoré neumožňujú identifikáciu dotknutých osôb</li>
<li style="text-align: justify;">zakazuje sa používanie osobných údajov, ktorých účel spracúvania sa skončil</li>
<li style="text-align: justify;">zakazuje sa využívanie osobných údajov na osobnú potrebu, ich zverejnenie alebo poskytnutie a sprístupnenie iným osobám</li>
<li style="text-align: justify;">zakazuje sa použiť spracúvané osobné údaje v rozpore s oprávnenými záujmami dotknutej osoby</li>
<li style="text-align: justify;">zakazuje sa také konanie, ktoré ohrozuje a poškodzuje práva a právom chránené záujmy a neoprávnene zasahuje do práva na ochranu osobnosti a súkromia dotknutých osôb</li>
<li style="text-align: justify;">zakazuje sa umožnenie prístupu k získaným osobným údajom iným ako oprávneným osobám</li>
<li style="text-align: justify;">zakazuje sa spracúvanie osobných údajov spôsobom, ktorý nie je v súlade s dobrými mravmi a so spôsobom, ktorý odporuje zákonu, alebo iným všeobecne záväzným právnym predpisom alebo ich obchádza</li>
<li style="text-align: justify;">.................</li>
</ul>
 
Vymedzenie zodpovednosti za porušenie zákona
- prevádzkovateľ   poučí   osoby   o   zodpovednosti   za  porušenie zákona o čom vyhotoví písomný
záznam
 
Poučenie poverených osôb o postupoch spojených s automatizovanými prostriedkami spracúvania a
súvisiacich právach a povinnostiach v priestoroch prevádzkovateľa a mimo týchto priestorov
- prevádzkovateľ vykoná poučenie poverených osôb o postupoch spojených s automatizovanými
prostriedkami spracúvania a súvisiacich právach a povinnostiach v priestoroch prevádzkovateľa a
mimo týchto priestorov. O tomto poučení sa vyhotoví záznam o poučení poverenej osoby
 
Oboznámenie poverených osôb s bezpečnostnými opatreniami
- prevádzkovateľ oboznámi poverené osoby s bezpečnostnými opatreniami informačných systémov
 
Postup pri ukončení pracovného alebo obdobného pomeru poverenej osoby
- pri ukončení pracovného alebo obdobného pomeru poverenej osoby je poverená osoba povinná
odovzdať pridelené aktíva a prevádzkovateľ je povinný ich prevziať. Prevádzkovateľ zabezpečí
zrušenie prístupových práv a poučí poverenú osobu o následkoch porušenia zákonnej alebo
zmluvnej povinnosti mlčanlivosti
 
Administratívna bezpečnosť
 
- stanoviť   a   uviesť   do   praxe  pravidlá  obehu  dokladov obsahujúcich osobné údaje tak, aby sa
minimalizovali možnosti straty, odcudzenia a šírenia informácií
- vybaviť priestory prevádzkovateľa kancelárskymi pomôckami, používanie ktorých zvýši bezpečnosť
manipulácie s písomnosťami
- definovať a používať evidencie chránených dokumentov
- stanoviť organizáciu rozmnožovania písomností obsahujúcich osobné údaje
- stanoviť pravidlá vypožičiavania, prenášania a prepravy písomností obsahujúcich osobné údaje
- organizačne  zabezpečiť  spracovanie  dokumentov tak, aby za bežných okolností bol znemožnený
prístup cudzích osôb k dokumentácii
- vytvoriť  podmienky  na  skartovanie  nepotrebných dokumentov s osobnými údajmi v priestoroch
prevádzkovateľa
- ...........
 
Vymedzenie okolia informačných systémovIS MaP, IS ÚD, IS Zákazníci, IS ............
               
Vymedzenie okolia informačných systémov a ich vzťah k možnému narušeniu bezpečnosti
 
Okolie IS MaP, IS ÚD, IS Zákazníci, IS ........... tvoria:
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">i. poverené osoby prevádzkovateľa, ktoré môžu narušiť bezpečnosť IS či už z nedbanlivosti, alebo cielene. Tieto osoby musia byť poučené a musia ši byť vedomé disciplinárneho a právneho postihu v prípade porušovania predpisov.</div>
<div style="text-align: justify;"> </div>
<div style="text-align: justify;">ii. zákazníci, ktorí z nedbanlivosti poverených osôb môžu mať prístup k IS a môžu ich poškodiť, alebo odcudziť jeho časť.</div>
iii. servisní pracovníci zabezpečujúci údržbu a opravu techniky IS a zariadení na úschovu dokumentov
iv. osoby, ktoré zabezpečujú servis iných priestorov prevádzkovateľa (servisní technici, zástupcovia a díleri firiem, obslužný personál budov). Tieto osoby sa nesmú zdržiavať v blízkosti IS v neprítomnosti poverených osôb
v. nepoverené osoby, ktoré môžu preniknúť k IS prostredníctvom vlámania sa do priestorov prevádzkovateľa alebo prostredníctvom internetu
vi. sprostredkovatelia, ktorí pre prevádzkovateľa spracúvajú niektoré agendy (napr. spracovanie mzdovej agendy)
vii. ...........
 
 
6.2 Opatrenia na elimináciu rizík vrátane záruk, bezpečnostných opatrení a mechanizmov na zabezpečenie ochrany osobných údajov
 
Automatizované informačné systémy IS MaP, IS ÚD, IS Zákazníci, IS ...........
 
Prevádzkovateľ berie na vedomie, že treba rozlišovať medzi krajinami EÚ, tretími krajinami považovanými EÚ za bezpečné a tretími krajinami, ktoré nezaručujú dostatočný stupeň bezpečnosti.
 
Zoznam využívaných automatizovaných informačných systémov
<div> </div>
<div>1. informačný systém Mzdový a personálny systém</div>
<div>2. informačný systém Účtovné doklady</div>
<div>3. informačný systém Zákazníci</div>
<div>4. ...........</div>
 
Prístupové heslá poverených osôb k počítačom, resp. k vyššie uvedeným informačným systémom sú dostatočné, počítač je zaheslovaný 8 znakmi. Bez zadania správneho prístupového hesla sa poverená osoba nedostane k informačným systémom.
 
Prevádzkovateľ berie na vedomie, že prístupové heslo by malo obsahovať minimálne 8 znakov vrátane špeciálnych znakov a veľkých aj malých písmen.
 
Počet a názvy pracovných staníc, operačné systémy, antivírusových programov, serverov, multifunkčných zariadení a tlačiarní, operačných systémov, pripojenie atď. sú zaznamenané v prílohe bezpečnostných opatrení s názvom  „Zoznam aktív a všetkých miest prepojenia sietí“, ktorá je ich neoddeliteľnou súčasťou.
 
Prevádzkovateľ berie na vedomie, že inštalácia antivírusového programu a pravidelné (denné) udržiavanie jeho aktualizácie pomáha chrániť počítač pred vírusmi. Antivírusové programy vyhľadávajú škodlivé kódy, ktoré sa snažia napadnúť operačný systém alebo nainštalované programy.
 
Prevádzkovateľ berie na vedomie, že FireWall je ochranný softvér, ktorý kontroluje odchádzajúcu a prichádzajúcu komunikáciu počítača. Na základe pravidiel povoľuje, zakazuje, prípadne obmedzuje komunikáciu.
 
Prevádzkovateľ spracúva osobné údaje v informačných systémoch v listinnej forme. Zoznam využívaných neautomatizovaných informačných systémov – dokumentárne spracované informačné systémy:
1. informačný systém Mzdový a personálny systém
2. informačný systém Účtovné doklady
3. informačný systém Zákazníci
4. ...........
 
Vyššie uvedené informačné systémy sú v listinnej forme umiestnené v uzamykateľnej miestnosti v
............
 
Prevádzkovateľ vedie pre potreby svojej evidencie dokumentáciu v tlačenej alebo písanej podobe.
 
Prevádzkovateľ berie na vedomie, že informačné systémy možno poradovo očíslovať. Takéto očíslovanie zvyšuje prehľad a účinnosť hľadania tlačenej dokumentácie.
 
Prevádzkovateľ zabezpečuje likvidáciu nepotrebných dokumentov s osobnými údajmi.
 
Prevádzkovateľ berie na vedomie, že nezlikvidovanie tlačených dokumentov je vážne narušenie bezpečnosti, lebo čitateľné dokumenty odhodené do odpadu môžu byť zdrojom citlivých a zneužiteľných informácií.
 
Opatrenia na elimináciu rizík vrátane záruk, bezpečnostných opatrení a mechanizmov na zabezpečenie ochrany osobných údajov:
<div> </div>
<div>a) Zoznam rizík v objektovej bezpečnosti</div>
<div> </div>
<ul>
<li>strata alebo odcudzenie kľúčov od priestorov prevádzkovateľa</li>
</ul>
opatrenia:
- uzamykanie vstupných dverí kľúčmi, s ktorými disponujú len poverené osoby a vlastník priestorov
- zabezpečenie servisnej služby na operatívnu výmenu uzamykania
 
<ul>
<li style="text-align: justify;">neuzamknutie vstupných dverí do chránených priestorov prevádzkovateľa po odchode z týchto chránených priestorov</li>
</ul>
opatrenie:
- vždy po   opustení  chránených  priestorov  prevádzkovateľa, kde  sa nenachádza žiadna poverená
osoba tieto priestory uzamknúť
 
<ul>
<li>prekonanie mechanických zábranných prostriedkov</li>
</ul>
opatrenia:
- zálohovanie údajov IS MaP, IS ÚD, IS Zákazníci, IS ............
 
<ul>
<li>...........</li>
</ul>
 
Riziká a záruky, bezpečnostné opatrenia, mechanizmy na eliminovanie rizík:
Riziká sú eliminované
<div> </div>
<div> </div>
<div>b) Automatizované informačné systémy - IS MaP, IS ÚD, IS Zákazníci, IS ............</div>
 
Zoznam rizík prieniku osobných údajov k nepovolaným osobám
 
<ul>
<li style="text-align: justify;">prienik nepoverených osôb k počítačovým systémom, a to aj v prípade, že nepoverená osoba má krátkodobý zrakový kontakt s obrazovkou počítača alebo pracovným stolom prevádzkovateľa</li>
</ul>
opatrenia:
- zabezpečenie objektovej bezpečnosti
- zamedzenie prístupu nepovereným osobám
- zamedzenie prístupu nepoverenýmosobám
- umiestnenie obrazovky počítača mimo zorného poľa zákazníkov a nepoverených osôb
 
<ul>
<li>odcudzenie počítačového systému</li>
</ul>
opatrenia:
- zabezpečenie objektovej bezpečnosti
- monitorovací systém
- uzamknutie zálohového zariadenia v uzamykateľnej skrini, alebo na to určeného priestoru
 
<ul style="text-align: justify;">
<li style="text-align: justify;">strata,   alebo   odcudzenie   dátových   nosičov   pri  prenose domov, resp. na iné pracovisko</li>
</ul>
opatrenia:
- bezpečné uloženie pamäťových nosičov
- používanie doporučených zásielok
 
<ul>
<li>sprístupnenie pevného disku alebo údajových štruktúr z vonkajšieho prostredia nepoverenými osobami z lokálnej počítačovej siete</li>
</ul>
opatrenia:
- definovanie prístupových práv a hesiel do aplikácií
- definovanie prístupových práv a hesiel do sieťových adresárov
 
<ul>
<li>sprístupnenie   pevného  disku   alebo   údajových  štruktúr z vonkajšieho prostredia osobami, ktoré sú pripojené na internet</li>
</ul>
opatrenia:
- konfigurácia prehliadača na vyšší bezpečnostný stupeň
- použitie antivírových programov
- použitie ochranných programov alebo zariadení (FireWall)
 
<ul>
<li>....................</li>
</ul>
 
Riziká a záruky, bezpečnostné opatrenia, mechanizmy na eliminovanie rizík:
Riziká sú eliminované
 
Zoznam rizík strát osobných údajov a narušenia integrity
 
<ul>
<li style="text-align: justify;">narušenie objektovej bezpečnosti prienikom nepoverených osôb do priestorov prevádzkovateľa s informačnými systémami</li>
</ul>
opatrenia:
- zvýšenie objektovej bezpečnosti
- záloha na prenosnom médiu, ktorá je uložená mimo priestoru s IS
 
<ul>
<li style="text-align: justify;">zničenie PC alebo jeho kľúčových komponentov vplyvom živelnej pohromy, požiaru alebo povodne</li>
</ul>
opatrenie:
- záloha na prenosnom médiu, ktorá je uložená mimo priestoru s IS
 
<ul>
<li>zmocnenie, resp. odcudzenie počítačového systému</li>
</ul>
opatrenia:
- zvýšenie objektovej bezpečnosti
- záloha na prenosnom médiu, ktorá je uložená mimo priestoru s IS
 
<ul>
<li>poškodenie pevného disku PC pri mechanickej závade</li>
</ul>
opatrenie:
- pravidelná kontrola disku skenovaním
 
<ul>
<li>poškodenie pevného disku počítača alebo údajových štruktúr vplyvom počítačových vírusov</li>
</ul>
opatrenia:
- použitie antivírových programov
- opatrná manipulácia s podozrivými médiami
 
<ul>
<li style="text-align: justify;">poškodenie pevného disku počítača alebo údajových štruktúr z vonkajšieho prostredia neoprávneným prístupom iných používateľov lokálnej počítačovej siete</li>
</ul>
opatrenia:
- definovanie prístupových práv a hesiel do aplikácií
- definovanie prístupových práv a hesiel do sieťových adresárov
 
<ul>
<li style="text-align: justify;">poškodenie pevného disku počítača alebo údajových štruktúr z vonkajšieho prostredia neoprávneným prístupom iných používateľov internetu</li>
</ul>
opatrenia:
- konfigurácia prehliadača na vyšší bezpečnostný stupeň
- použitie ochranných programov alebo zariadení (FireWall)
- použitie antivírových programov
 
<ul>
<li>...............</li>
</ul>
 
Riziká a záruky, bezpečnostné opatrenia, mechanizmy na eliminovanie rizík:
Riziká sú eliminované
<div> </div>
<div> </div>
<div>c) Zoznam rizík pri strate dostupnosti osobných údajov IS MaP, IS ÚD, IS Zákazníci, IS</div>
<div>............</div>
 
<ul style="text-align: justify;">
<li>narušenie integrity, dostupnosti, dôvernosti programovým vybavením, ktoré môže mať chyby, ktoré môžu spôsobiť poškodenie spracúvaných osobných údajov</li>
</ul>
opatrenie:
- používať len zákonným spôsobom nadobudnutý softvér
 
<ul style="text-align: justify;">
<li>chyba programového vybavenia môže umožniť sprístupnenie prostriedkov automatizovaných informačných systémov nepovereným osobám a následne zničenie, odcudzenie, nežiaduce rozširovanie alebo neoprávnený prístup k osobným údajom</li>
</ul>
opatrenie:
- používať len zákonným spôsobom nadobudnutý softvér
 
<ul>
<li>..............</li>
</ul>
 
Riziká a záruky, bezpečnostné opatrenia, mechanizmy na eliminovanie rizík:
Riziká sú eliminované
<div> </div>
<div> </div>
<div style="text-align: justify;">d) Zoznam rizík v dokumentárnych informačných systémoch - IS MaP, IS ÚD, IS Zákazníci, IS ...........</div>
 
<ul>
<li>strata alebo odcudzenie listinných dokumentov zastupujúcou alebo poverenou osobou</li>
</ul>
opatrenie:
- poverená osoba vykoná po skončení zastupovania overenie (inventarizáciu) úplnosti a prevzatie dokumentov s osobnými údajmi použitej v priebehu zastupovania
 
<ul style="text-align: justify;">
<li>strata dokumentov uložených v informačných systémoch pri prenose poverenou osobou</li>
</ul>
opatrenia:
- prenášajúcou osobou je iba poverená osoba
- prenos písomností v zalepenej obálke
- kontrola písomností pri vrátení
 
<ul>
<li>šírenie informácií personálom prevádzkovateľa</li>
</ul>
opatrenia:
- záväzok mlčanlivosti
- zákaz používania dokumentov nepoverenými osobami
- obmedzenie príležitostí samostatne manipulovať s údajmi a písomnosťami
- kontrola písomností pri vrátení
 
<ul>
<li>šírenie informácií nezlikvidovanými a nepotrebnými písomnosťami</li>
</ul>
opatrenia:
- zničenie alebo znehodnotenie dokumentov pod dohľadom poverenej osoby
- vybavenie prevádzkovateľa skartovacím zariadením
 
<ul>
<li>cielené získanie informácií o osobných údajoch cudzou osobou</li>
</ul>
opatrenie:
- výber poverených osôb podľa spoľahlivosti
 
<ul>
<li>strata alebo odcudzenie dokumentov s osobnými údajmi poverenými osobami</li>
</ul>
opatrenia:
-  poradové číslovanie dokumentov s osobnými údajmi
- písomnosti sú v informačných systémoch pevne pripojené k obalu
 
<ul>
<li>odcudzenie dokumentov s osobnými údajmi nepoverenými osobami</li>
</ul>
opatrenia:
- uzamykanie písomností v uzamykateľnej miestnosti v ...............
- upratovanie priestorov kde sa nachádzajú osobné údaje pod dohľadom poverenej osoby
 
<ul>
<li>.............</li>
</ul>
 
Riziká a záruky, bezpečnostné opatrenia, mechanizmy na eliminovanie rizík:
Riziká sú eliminované
 
Použitie bezpečnostných štandardov a požiadaviek ochrany osobných údajov v IS MaP, IS ÚD, IS Zákazníci, IS ............
 
ŠTANDARDNÉ POŽIADAVKY NA OBJEKTOVÚ BEZPEČNOSŤ
 
Pre stanovenie štandardov a požiadaviek je východiskom:
- vyhláška Národného bezpečnostného úradu č. 336/2004 Z.z. o fyzickej bezpečnosti a objektovej bezpečnosti
- stanoviská a usmernia Pracovnej skupiny WP29 k nariadeniu GDPR
- zákony, vyhlášky a medzinárodné normy
 
Objekt prevádzkovateľa je zabezpečený kombináciou opatrení fyzickej a objektovej bezpečnosti. Bezpečnostné štandardy prevádzkovateľa sú čiastočne odvodené od štandardov určených vyhláškou pre objekt kategórie „Vyhradené" a od zásad, ktoré používa verejná správa pri posudzovaní priestorov:
1) vstup do priestorov prevádzkovateľa a pohyb osôb v ňom v pracovnom a mimopracovnom čase určuje prevádzkovateľ, resp. vlastník budovy
2) určiť spôsob a formy výkonu fyzickej ochrany priestorov prevádzkovateľa je v právomoci prevádzkovateľa
3) montáž mreže, alebo fólie je na zvážení prevádzkovateľa, aby posúdil nebezpečenstvo preniknutia do objektu vzhľadom na okolie priestorov prevádzkovateľa a faktory, ktoré môžu znížiť riziko
4) dodržanie zásady, že pri snahe o násilné vniknutie do priestorov s IS MaP, IS ÚD, IS Zákazníci, IS ...........by mal potenciálny narušiteľ prekonať minimálne dve prekážky.
Napríklad:
- prekonať uzamknuté dvere budovy, v ktorej sú umiestnené priestory prevádzkovateľa, a potom prekonať uzamknuté dvere priestoru, kde sa nachádzajú informačné systémy IS MaP, IS ÚD, IS Zákazníci, IS ............
5) uzamykateľné priestoryna úschovu písomností obsahujúcich osobné údaje. Úschovne objekty nemusia byť uzamykateľné v prípade stálej fyzickej ochrany priestore strážnou službou, alebo ak vstupné dvere do miestnosti sú uzamykané bezpečnostným zámkom s bezpečnostným kovaním
6) prideľovanie, používanie, úschova a evidencia kľúčov do zámkov a uzamykateľných priestorov stanovuje prevádzkovateľ, resp. vlastník budovy.
7) .................
 
ŠTANDARDNÉ POŽIADAVKY NA BEZPEČNOSŤ IS MaP, IS ÚD, IS Zákazníci, IS ............
 
Pre stanovenie štandardov a požiadaviek spracovania písomností je tiež:
- vyhláška Národného bezpečnostného úradu č. 48/2019 Z.z., ktorou sa ustanovujú podrobnosti o administratívnej bezpečnosti utajovaných skutočností
<div> </div>
<div>a) Štandardy personálnej bezpečnosti</div>
 
1) poverené osoby boli poučené o zodpovednosti spracúvania osobných údajov o čom bol vyhotovený záznam o poučení poverenej osoby
2) súčasťou výberu zamestnancov je posúdenie ich bezúhonnosti a spoľahlivosti pri dodržiavaní bezpečnostných pravidiel
3) osoby prichádzajúci do kontaktu s osobnými údajmi sú poučené o povinnosti zachovávať mlčanlivosť
 
Nadštandardná personálna bezpečnosť
 
- určená poverená osoba vykonáva pravidelne kontrolnú činnosť zameranú na dodržiavanie opatrení pri spracúvaní osobných údajov 
 
.............
<div> </div>
<div>b) Štandardy administratívnej bezpečnosti</div>
 
Nové písomnosti, aktualizácia a ich používanie
 
1) evidovanie osobných údajov vykonávajú výlučne poverené osoby s písomným potvrdením poučenia a rozsahu poverenia, ktorým túto kompetenciu ukladajú pracovné povinnosti. Pracovné povinnosti stanovujú presne, ktoré osobné údaje má poverená osoba právo zisťovať a evidovať
2) zmeny v písomnostiach s osobnými údajmi majú právo vykonávať iba poverené osoby s písomným potvrdením poučenia a rozsahu poverenia
3) jednotlivé písomnosti v informačných systémoch sú upevnené k obalu tak, aby sa zabránilo ich vypadávaniu pri bežnej práci s nimi
 
Úschova písomností
 
1) písomnosti obsahujúce osobné údaje sa ukladajú do uzamykateľnej miestnostiv ................Požiadavka na uzamykateľnosť zariadení na úschovu písomností nie je záväzná v prípade stálej fyzickej ochrany priestorov strážnou službou, alebo uzamknutím vstupných dverí zámkom s bezpečnostnou vložkou a bezpečnostným kovaním.
 
Prenášanie písomností obsahujúcich osobné údaje
 
1) písomnosti s osobnými údajmi je možné prenášať výhradne v zalepenej obálke alebo uzavretom obale, s otvorom prelepeným lepiacou páskou
2) písomnosti s osobnými údajmi prenášajú iba na to určené poverené osoby
3) ak prevádzkovateľ obdrží zásielku v poškodenom obale, preverí dôvod poškodenia u doručujúcej osoby a odsúhlasí obsah zásielky s odosielateľom
4) odovzdanie písomnosti na prenos musí byť zaznamenané v príslušnej evidencii
 
Preprava písomností
 
1) písomnosti obsahujúce osobné údaje sa prepravujú osobne, doporučenou poštovou zásielkou, alebo kuriérom
2) písomnosti, odovzdané na prepravu sú vedené v evidencii
 
Rozmnožovanie a kopírovanie písomností
 
1) rozmnožovaním sa rozumie opakovaná tlač dokumentov z automatizovaného systému, vyhotovovanie fotokópií, odpisov a výpisov písomností
2) rozmnožovať písomnosti môže len poverená osoba
 
Skartácia písomností
 
1) písomnosti s osobnými údajmi sa likvidujú skartovacím zariadením, vymazaním z počítača, resp. dátového nosiča alebo spálením pod komisionálnym dohľadom osôb zodpovedných za spracovanie údajov zaznamenaných na médiách
 
Zistenia neoprávnenej manipulácie s písomnosťou
 
1) poverená osoba zodpovedná za ochranu osobných údajov vykonáva najmenej 1 x za ........ mesiacov kontrolu dodržiavania prijatých technických, organizačných a personálnych opatrení
 
Nadštandardná administratívna bezpečnosť
 
- na prácu s písomnosťami obsahujúcimi osobné údaje sú vyhradené priestory, mimo dosahu nepovolaných a neoprávnených osôb
- písomnosti obsahujúce osobné údaje sú uschovávané v uzamykateľnej skrini resp. priestore určenom výhradne na tento účel
- práca s osobnými údajmi sa riadi pracovným poriadkom, ktorý stanovuje pravidlá na používanie, odkladanie, úschovu, archiváciu askartáciu písomností
- ................
 
 
ŠTANDARDNÉ POŽIADAVKY NA BEZPEČNOSŤ IS MaP, IS ÚD, IS Zákazníci, IS ............
 
Pre stanovenie štandardov a požiadaviek hardvérovej (HW) a softvérovej (SW) bezpečnosti IS MaP, IS ÚD, IS Zákaznícisú východiskom tiež:
- vyhláška Národného bezpečnostného úradu č. 339/2004 Z.z. o bezpečnosti technických prostriedkov
- stanoviská a usmernia Pracovnej skupiny WP29 k nariadeniu GDPR
- zákony, vyhlášky a medzinárodné normy
 
Na   základe   vyššie   uvedených   zákonov,   vyhlášok   a   medzinárodnýc   noriem  sme  stanovili nasledovné bezpečnostné štandardy:
 
1) použitie operačných systémov na báze WINDOWS 
2) použitie antivírového, antispywareového, antispamového programu a aktivácia a správne nastavenie brány FireWall
3) ochranou počítačového systému je prístup do počítačového programu zadaním prístupového hesla. Heslo by malo obsahovať minimálne 8 znakov a malo by obsahovať čísla a aj písmená (malé aj veľké) alebo špeciálne znaky (*,„,& a pod.). Pri nebezpečenstve prezradenia hesla, by sa malo toto v pravidelných intervaloch meniť.
4) v prípade počítačovej siete treba pomocou používateľských mien, hesiel a prístupových práv konfigurovať systém tak, aby prístup k osobným údajom mali iba poverené osoby
5) na zamedzenie straty, alebo integrity databázových údajov v počítačových systémoch je nevyhnutné pravidelné zálohovanie údajov na prenosné médiá. Tieto médiá je potrebné uchovávať v uzamykateľných priestoroch prevádzkovateľa.
6) v súvislosti s dlhodobým skladovaním databázových údajov je potrebné minimálne l x za ...... mesiacov zálohovať všetky databázy počítačových informačných systémov a zálohy uložiť na zapisovateľný veľkokapacitný nosič (napr. CD R, CD RW, DVD R, DVD RW, externý HDD a pod.).
7) .........
 
Nadštandardná HW a SW bezpečnosť
 
- vyšším stupňom ochrany je zadefinovanie hesla do počítača
- .............
 
 
6.3 Opatrenia na preukázanie súladu s nariadením GDPR a zákonom OOÚ s prihliadnutím na práva a oprávnené záujmy dotknutej a ďalších fyzických osôb, ktorých sa to týka
 
Prevádzkovateľ za účelom zabezpečiť súlad spracúvania osobných údajov so zásadami spracúvania osobných údajov a s nariadením GDPR aso zákonom o OOÚ, prijal záruky, bezpečnostné opatrenia, mechanizmy na eliminovanie rizík uvedené v tomto dokumente a aj nasledovné technické a organizačné opatrenia:
 
Bezpečnostné opatrenia č. 1 - Povinnosti prevádzkovateľa pri uplatňovaní práv dotknutej osoby
Bezpečnostné opatrenia č. 2 - Spracúvanie, uschovávanie a likvidácia osobných údajov z informačných systémov
Bezpečnostné opatrenia č. 3 - Popis povolených spracovateľských činností a podmienky spracúvania osobných údajov
Bezpečnostné opatrenia č. 4 - Rozmnožovanie písomností obsahujúcich osobné údaje
Bezpečnostné opatrenia č. 5 - Rozsah zodpovednosti poverených a zodpovedných osôb
Bezpečnostné opatrenia č. 6 - Kľúčový režim prevádzkovateľa a povinnosti držiteľov kľúčov
Bezpečnostné opatrenia č. 7 - Povinnosti prevádzkovateľa pri práci s automatizovanými IS
Bezpečnostné opatrenia č. 8 - Zálohovanie údajov v počítačovom systéme
Bezpečnostné opatrenia č. 9 - Spôsob, forma a periodicita výkonu kontrolných činností zameraných na dodržiavanie bezpečnostných opatrení
Bezpečnostné opatrenia č. 10 - Postupy pri haváriách, poruchách a iných mimoriadnych situáciách vrátane preventívnych opatrení
Bezpečnostné opatrenia č. 11 - Opatrenia o používaní kamerového systému
.................................... 
 
Okrem vyššie uvedených opatrení, prevádzkovateľ sa zaväzuje, že
 
- pred tým ako od dotknutej osoby získa osobné údaje, ktoré sa jej týkajú, poskytne dotknutej osobe pri ich získavaní všetky informácie podľa § 19 a § 20 zákona č. 18/2018 Z. z.
 
- v prípade ak je právnym základom súhlas dotknutej osoby podľa § 13 ods. 1 písm. a) zákona č. 18/2018 Z. z., preukázateľným zákonným  spôsobom tento súhlas od dotknutej osoby získa
 
- v prípade ak je právnym základom  oprávnený záujem prevádzkovateľa podľa § 13 ods. 1 písm. f) zákona č. 18/2018 Z. z., tento oprávnený záujem prevádzkovateľ náležitým spôsobom preukáže
 
- v prípade ak osobné údaje bude spracúvať sprostredkovateľ, prevádzkovateľ uzavrie pred začatím spracúvania osobných údajov so sprostredkovateľom zmluvu o poverení spracúvania osobných údajov podľa § 34 zákona č. 18/2018 Z. z.
 
- vedie písomné záznamy o spracovateľských činnostiach podľa § 37 zákona č. 18/2018 Z. z.
 
- zamestnancov písomne poverí o pokynoch pri spracúvaní osobných údajov podľa zákona č. 18/2018 Z. z.
 
- ...........
 
Prevádzkovateľ sa v bode 5.2 tohto posúdenia zaviazal a popísal, akým spôsobom bude uplatňovať práva dotknutej osoby.
 
<div> </div>
<div>7. Záverečné ustanovenia</div>
 
Na základe tohto posúdenia spracúvania osobných údajov, prevádzkovateľ prijal záruky, bezpečnostné (technické, organizačné a personálne) opatrenia a mechanizmy na zabezpečenie ochrany osobných údajov dotknutých osôb.
 
Záruky, bezpečnostné (technické, organizačné a personálne) opatrenia a mechanizmy na zabezpečenie ochrany osobných údajov dotknutých osôb, uvedené v tomto dokumente,nadobúdajú platnosť a účinnosť dňom podpisu štatutárneho orgánu prevádzkovateľa.
 
 
V Bratislave, dňa: 20.9.2020
 
Štatutárny orgán prevádzkovateľa/poverená osoba: ....................
 
 
                .......................................................
                        podpis

Návod k vyplneniu vzorového dokumentu

Posúdenie spracúvania osobných údajov a prijatie záruk, opatrení a mechanizmov

Tento dokument je analýzou a posúdením spracúvania osobných údajov u prevádzkovateľa. Doplnením a vypracovaním tohto dokumentu na základe vzoru bude prevádzkovateľ schopný preukázať Úradu na ochranu osobných údajov, že bola vykonaná analýza v súvislosti so spracúvaním osobných údajov, pričom na základe takéhoto posúdenia bolo zistené, že spracúvanie osobných údajov danou spoločnosťou je v súlade so všetkými základnými zásadami právnej úpravy v oblasti ochrany osobných údajov (Nariadenie GDPR, zákon o ochrane osobných údajova pod.), ku každému osobnému údaju je právny základ a pod. Uvedený dokument obsahuje aj záruky, opatrenia a mechanizmy, ktoré sú poverené osoby a prevádzkovateľ povinní dodržiavať.

V častiach označených žltým podfarbením je potrebné doplniť informácie podľa konkrétnych a špecifických podmienok prevádzkovateľa, napr.

- na strane 1 doplniť identifikačné údaje prevádzkovateľa,

- na strane6 doplniť údaje o prevádzke a pod.,

- na strane 7 doplniť osobné údaje, ktoré prevádzkovateľ spracúva resp. chce spracúvať,

- na strane 8 a nasl. vymenovať všetky operácie, ktoré prevádzkovateľ s osobnými údajmi vykonáva resp. plánuje vykonávať

- atď.

Na základe takto doplnených informácii a údajov, prevádzkovateľ potom zhodnotí a príjme bezpečnostné ciele a minimálne požadované bezpečnostné opatrenia tak, aby vedel spracúvané osobné údaje ochrániť proti nežiadúcim vplyvom.

Ako používať portál zdpovednypodnikatel.sk

Podrobný vzor dokumentu s návodom na vypracovanie

Posúdenie spracúvania osobných údajov a prijatie záruk, opatrení a mechanizmov

Vyskúšajte si bezplatný vzor s návodom TU

Word dokument

Návod k vyplneniu vzorového dokumentu

Posúdenie spracúvania osobných údajov a prijatie záruk, opatrení a mechanizmov

Odborný garant

Individuálna konzultácia

JUDr. Jozef Lukajka, PhD.