Právo odvolať súhlas

V prípadoch, keď sú osobné údaje spracúvané na základe súhlasu, má dotknutá osoba podľa čl. 7 ods. 3 GDPR právo tento súhlas kedykoľvek odvolať. Súhlas je možné odvolať elektronicky, na adrese prevádzkovateľa, písomne oznámením o odvolaní súhlasu alebo osobne. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania založeného na súhlase pred jeho odvolaním. Odvolanie súhlasu musí byť rovnako jednoduché ako jeho poskytnutie.

Právo na prístup

Dotknutá osoba má podľa čl. 15 GDPR právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak áno, má právo získať prístup k týmto údajom a informáciám o účeloch spracúvania, kategóriách osobných údajov, príjemcoch alebo kategóriách príjemcov, predpokladanej dobe uchovávania alebo kritériách na jej určenie, svojich právach, práve podať sťažnosť dozornému orgánu, zdroji údajov, ak neboli získané od dotknutej osoby, a o existencii automatizovaného rozhodovania vrátane profilovania, ak sa vykonáva. Ak sa osobné údaje prenášajú do tretej krajiny alebo medzinárodnej organizácii, má právo byť informovaná o primeraných zárukách podľa čl. 46 GDPR. Prevádzkovateľ poskytne kópiu spracúvaných osobných údajov. Za ďalšie kópie, o ktoré dotknutá osoba požiada, môže účtovať primeraný poplatok zodpovedajúci administratívnym nákladom. Právo získať kópiu nesmie mať nepriaznivé dôsledky na práva a slobody iných.

Právo na opravu

Dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa jej týkajú. V závislosti od účelu spracúvania osobných údajov má dotknutá osoba právo na doplnenie neúplných osobných údajov.

Právo na výmaz (na zabudnutie)

Dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu vymazal osobné údaje, ktoré sa jej týkajú.

Ak dotknutá osoba požiada prevádzkovateľa o vymazanie osobných údajov, prevádzkovateľ je povinný ich vymazať v týchto prípadoch:

• osobné údaje už nie sú potrebné na účel, na ktorý sa získali alebo inak spracúvali,
• v prípade odvolania súhlasu dotknutej osoby, na základe ktorého prevádzkovateľ osobné údaje spracúval a neexistuje iný právny základ pre spracúvanie osobných údajov,
• v prípade, ak bude dotknutá osoba namietať spracúvanie osobných údajov a neprevažujú žiadne oprávnené dôvody na spracúvanie osobných údajov alebo ak bude dotknutá osoba namietať spracúvanie osobných údajov na účel priameho marketingu vrátane profilovania v rozsahu v akom súvisí s priamym marketingom,
• osobné údaje sa spracúvajú nezákonne,
• osobné údaje musia byť vymazané, aby sa splnila zákonná povinnosť podľa práva Európskej únie alebo práva členského štátu, ktorému prevádzkovateľ podlieha,
• osobné údaje sa získavali v súvislosti s ponukou služieb informačnej spoločnosti podľa čl. 8 ods. 1 GDPR.

Prevádzkovateľ nemá povinnosť zmazať osobné údaje dotknutej osoby, ak sú potrebné:

• na uplatnenie práva na slobodu prejavu alebo práva na informácie,
• na splnenie zákonnej povinnosti, ktorá si vyžaduje spracúvanie podľa práva Európskej únie alebo práva členského štátu, ktorému prevádzkovateľ podlieha, alebo na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi,
• z dôvodov verejného záujmu v oblasti verejného zdravia v súlade s čl. 9 ods. 2 písm. h) a i) a čl. 9 ods. 3 GDPR,
• na účely archivácie vo verejnom záujme, vedeckého alebo historického výskumu alebo na štatistické účely podľa čl. 89 ods. 1 GDPR, ak je pravdepodobné, že vymazanie znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takého spracúvania, alebo na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.

Právo na obmedzenie spracúvania

Dotknutá osoba má právo na to, aby prevádzkovateľ obmedzil spracúvanie jej osobných údajov, ak:

• namieta správnosť jej osobných údajov; prevádzkovateľ obmedzí spracúvanie osobných údajov na dobu overenia ich správnosti,
• spracúvanie osobných údajov dotknutej osoby je nezákonné a namiesto vymazania dotknutá osoba požiada o obmedzenie ich použitia,
• prevádzkovateľ už nepotrebuje osobné údaje na účely spracúvania, ale potrebuje ich dotknutá osoba na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, alebo
• dotknutá osoba namietala voči spracúvaniu podľa čl. 21 ods. 1 GDPR; prevádzkovateľ obmedzí spracúvanie až do overenia, či oprávnené dôvody na strane prevádzkovateľa prevažujú nad oprávnenými dôvodmi dotknutej osoby.

Ak sa spracúvanie osobných údajov obmedzilo, okrem uchovávania môže prevádzkovateľ osobné údaje spracúvať len so súhlasom dotknutej osoby alebo na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, na ochranu práv inej fyzickej alebo právnickej osoby alebo z dôvodov dôležitého verejného záujmu Európskej únie alebo členského štátu.

Prevádzkovateľ je povinný dotknutú osobu, ktorá dosiahla obmedzenie spracúvania, informovať pred tým, ako bude obmedzenie spracúvania zrušené.

Právo na prenosnosť údajov

Dotknutá osoba má právo získať osobné údaje, ktoré sa jej týkajú a ktoré poskytla prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a má právo preniesť tieto údaje ďalšiemu prevádzkovateľovi bez toho, aby jej prevádzkovateľ bránil, ak sa spracúvanie vykonáva automatizovanými prostriedkami a je založené na:

• súhlase podľa čl. 6 ods. 1 písm. a) alebo čl. 9 ods. 2 písm. a) GDPR,
• zmluve podľa čl. 6 ods. 1 písm. b) GDPR.

Pri uplatňovaní práva na prenosnosť má dotknutá osoba právo na prenos osobných údajov priamo od jedného prevádzkovateľa druhému, pokiaľ je to technicky možné. Toto právo nesmie mať nepriaznivé dôsledky na práva a slobody iných. Uplatnením práva na prenosnosť nie je dotknuté právo na výmaz osobných údajov.

Právo na prenosnosť sa nevzťahuje na spracúvanie osobných údajov nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi.

Právo namietať

Dotknutá osoba má podľa čl. 21 ods. 1 GDPR právo kedykoľvek namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa jej týka, vrátane profilovania založeného na týchto ustanoveniach, ak sa spracúvanie vykonáva na týchto právnych základoch:

• spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi podľa čl. 6 ods. 1 písm. e) GDPR,
• spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana podľa čl. 6 ods. 1 písm. f) GDPR.

Prevádzkovateľ nesmie osobné údaje ďalej spracúvať, pokiaľ nepreukáže nevyhnutné oprávnené dôvody na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami dotknutej osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov. Ak sa osobné údaje spracúvajú na účely priameho marketingu, dotknutá osoba má právo kedykoľvek namietať proti spracúvaniu osobných údajov na tieto účely vrátane profilovania v rozsahu, v akom súvisí s priamym marketingom. Ak dotknutá osoba namieta voči spracúvaniu na účely priameho marketingu, osobné údaje sa už na také účely nesmú spracúvať.

Ak sa osobné údaje spracúvajú na účely vedeckého alebo historického výskumu alebo na štatistické účely podľa čl. 89 ods. 1 GDPR, dotknutá osoba má právo namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa jej týka, s výnimkou prípadov, keď je spracúvanie nevyhnutné na plnenie úlohy z dôvodov verejného záujmu.

Právo na ochranu pred automatizovaným individuálnym rozhodovaním vrátane profilovania

Dotknutá osoba má podľa čl. 22 GDPR právo na to, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní vrátane profilovania, ktoré má právne účinky, ktoré sa jej týkajú, alebo ju podobne významne ovplyvňuje. Toto právo sa neuplatní, ak je rozhodnutie nevyhnutné na uzavretie alebo plnenie zmluvy medzi dotknutou osobou a prevádzkovateľom, je povolené právom Európskej únie alebo právom členského štátu, ktorému prevádzkovateľ podlieha, a zároveň sú stanovené vhodné opatrenia na ochranu práv, slobôd a oprávnených záujmov dotknutej osoby, alebo je založené na výslovnom súhlase dotknutej osoby. V prípadoch podľa čl. 22 ods. 2 písm. a) a c) GDPR má dotknutá osoba najmenej právo na ľudský zásah zo strany prevádzkovateľa, právo vyjadriť svoje stanovisko a právo napadnúť rozhodnutie.

Právo podať sťažnosť dozornému orgánu a návrh na začatie konania o ochrane osobných údajov

Dotknutá osoba má podľa čl. 77 GDPR právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, mieste výkonu práce alebo v mieste údajného porušenia, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s GDPR. V Slovenskej republike môže dotknutá osoba podľa § 100 zákona č. 18/2018 Z. z. podať Úradu na ochranu osobných údajov Slovenskej republiky návrh na začatie konania o ochrane osobných údajov. Účelom konania podľa § 99 zákona č. 18/2018 Z. z. je zistiť, či došlo k porušeniu práv fyzických osôb pri spracúvaní ich osobných údajov alebo k porušeniu zákona č. 18/2018 Z. z. alebo GDPR v oblasti ochrany osobných údajov a v prípade zistenia nedostatkov, ak je to dôvodné a účelné, uložiť opatrenia na nápravu, prípadne pokutu.

Vzor návrhu zverejňuje Úrad na svojom webovom sídle. Návrh musí podľa § 100 ods. 3 zákona č. 18/2018 Z. z. obsahovať meno, priezvisko, korešpondenčnú adresu a podpis navrhovateľa; označenie toho, proti komu návrh smeruje s uvedením mena, priezviska, trvalého pobytu alebo názvu, sídla a identifikačného čísla, ak bolo pridelené; predmet návrhu s označením práv, ktoré mali byť pri spracúvaní osobných údajov porušené; dôkazy na podporu tvrdení uvedených v návrhu; a ak návrh podala dotknutá osoba, aj kópiu listiny alebo iný dôkaz preukazujúci uplatnenie príslušného práva podľa GDPR alebo zákona č. 18/2018 Z. z., ak si takéto právo uplatnila, alebo uvedenie dôvodov hodných osobitného zreteľa o neuplatnení predmetného práva.