Módosítva:

Tt. 221/2019., hatályos 2019. szeptember 1-től

Tt. 373/2021., hatályos 2021. november 1-től

Tt. 92/2022., hatályos 2022. március 30-tól

Tt. 7/2024., hatályos 2024. február 1-től

Tt. 109/2024., hatályos 2024. július 1-től

A Szlovák Köztársaság Nemzeti Tanácsa a következő törvényt fogadta el:

A jelen törvény szabályozza

a) a természetes személyek jogainak védelmét személyes adataik feldolgozása során, a magánéletükbe történő jogosulatlan beavatkozás ellen,

b) a természetes személyek személyes adatainak feldolgozása során gyakorolt jogokat, kötelezettségeket és felelősséget,

c) a Szlovák Köztársaság Személyes Adatokat Védő Hivatalának (a továbbiakban csak „hivatal“) jogállását, hatáskörét és szervezeti felépítését.

A személyes adatok azok az adatok, amelyek egy meghatározott vagy közvetve, illetve közvetlenül meghatározható természetes személyre vonatkoznak, elsősorban az általánosan használható azonosító jele alapján, vagy más azonosítója, elsősorban az utó- és családi neve, személyi száma, helymeghatározó adatai¹⁾ vagy online azonosítója, esetleg egy vagy több jellemzője vagy jegye alapján, amelyek az ő fizikai, fiziológiai, genetikai, szellemi, mentális, gazdasági, kulturális vagy szociális azonosságát képezik.

(1) A jelen törvény vonatkozik minden, részben vagy egészében automatizált eszközökkel elvégzett adatfeldolgozásra és a személyes adatok nem automatizált eszközökkel végzett feldolgozására, ha olyan személyes adatok feldolgozásáról van szó, amelyek információs rendszerek részét képezik vagy arra szolgálnak, hogy információs rendszerek alkotóelemét képezzék. 

(2) A jelen törvény, a 2. §, 5. §, a törvény második és harmadik része kivételével, vonatkozik azoknak az adatoknak a feldolgozására, amelyekre külön személyes adatvédelmi jogszabály vonatkozik, a természetes személyek adatainak védelme és az ilyen adatok szabad mozgása vonatkozásában.²⁾

(3) A jelen törvény vonatkozik a személyes adatok Rendőri Testület, Katonai Rendészet, az igazságügyi rendészet és börtönőrség, a Pénzügyi Igazgatóság, az ügyészség és bíróság (a továbbiakban csak „illetékes hatóság) általi kezelésére a bűnmegelőző és -feltáró, bűncselekmény elkövetőinek kilétét megállapító, bűncselekményeket megtorló eljárásban, vagy a büntetőeljárásban meghozott döntések végrehajtása céljából folyó eljárásokra, beleértve a közrend veszélyeztetése elleni védelmet és az ilyen veszély megelőzését (a továbbiakban csak „bünteőeljárási célú feladatok teljesítése”); a jelen törvény második részéből az előbbi mondat szerinti személyes adatok feldolgozására csak az 52., 59., 67. és 73. §-ba foglalt rendelkezések vonatkoznak. 

(4) A jelen törvény vonatkozik a személyes adatok kezelésére

a) a szolgáltató üzemeltetői vagy közvetítői tevékenysége keretében, ha a székhelye, vállalkozási helyszíne, szervezeti egysége, részlege vagy állandó lakhelye a Szlovák Köztársaság területén van, tekintet nélkül arra, hogy az adatkezelést a Szlovák Köztársaság területén vagy a Szlovák Köztársaság területén kívül végzi,

b) a szolgáltató üzemeltetői vagy közvetítői tevékenysége keretében, ha a székhelye, vállalkozási helyszíne, szervezeti egysége, részlege vagy állandó lakhelye nem a Szlovák Köztársaság területén, hanem külföldön található, olyan helyen, ahol a nemzetközi közjog alapján a Szlovák Köztársaság jogrendje elsőbbséget élvezve érvényesül,

c) amikor az érintett személy, mely a Szlovák Köztársaság területén található, üzemeltető vagy közvetítő, melynek székhelye, vállalkozási helye, szervezeti egysége, részlege vagy állandó lakhelye nem tagállamban van, miközben a személyes adatkezelése

1. az érintett személynek a Szlovák Köztársaság területén folyó árukínálattal vagy szolgáltatás felkínálásával áll összefüggésben, tekintet nélkül arra, hogy az érintett személytől igényel-e vagy nem igényel térítést, vagy

2. a Szlovák Köztársaság területén való viselkedésének megfigyelésével kapcsolatos.

(5) A jelen törvény nem vonatkozik azon személyes adatok kezelésére, 

a) amelyeket a természetes személy dolgoz fel, kizárólag személyes vagy otthoni tevékenységei során,

b) amelyeket a Szlovák Információs Szolgálat³⁾ vagy a Katonai Hírszerzés⁴⁾ dolgoz fel,

c) amelyeket a Nemzetbiztonsági Hivatal dolgoz fel biztonsági ellenőrzések céljából és a Szlovák Köztársaság Bírói Tanácsa részére a bírói alkalmasság⁵⁾ feltételei teljesülésének eldöntése céljából,

d) amelyek elhunyt személyhez fűződnek.

A személyes adatok szabad mozgása a Szlovák Köztársaság és a tagállamok között biztosítva van; a Szlovák Köztársaság nem korlátozza és nem akadályozza a személyes adatok átvitelét a természetes személyek alapvető jogainak védelme jogcímén, főként a magánélet védelméhez való joguk érvényesítése végett a személyes adatok kezelésével összefüggésben.

A jelen törvény céljaira

a) az érintett személy beleegyezése bármilyen komoly, szabadon kifejezett, konkrét, érthető és egyértelmű akaratnyilvánítás, amellyel az érintett személy nyilatkozatban vagy egyértelmű megerősítő cselekedettel kifejezi egyetértését személyes adatainak feldolgozásával,

b) a genetikai adat egy természetes személy örökölt vagy szerzett genetikai jellemzőire vonatkozó személyes adat, amely az adott személy fiziológiájára vagy egészségi állapotára vonatkozó egyedi információkat hordoz, és amely elsősorban az említett természetes személyből vett biológiai minta elemzéséből ered,

c) a biometrikus adat személyes adat, mely egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat,

d) egészségügyi személyes adat egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi ellátásra vagy szolgáltatásokra vonatkozó olyan adatot is, amely információt árul el a természetes személy egészségi állapotáról,

e) adatkezelés a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés, tekintet nélkül arra, hogy automatizált eszközökkel vagy nem automatizált eszközökkel történik;

f) a személyes adatok kezelésének korlátozása a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából,

g) profilalkotás a személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők és személyiségi jegyek alapján értékelésére, különösen az érintett szmély jegyeinek és jellemzőinek elemzésére és előrejelzésére használják ki a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódóan,

h) álnevesítés a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve, hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni,

i) naplófájl a felhasználó automatizált információs rendszerben végzett tevékenységi folyamatának rögzítése,

j) kódolás a személyes adatok átalakítása oly módon, melynek következtében az ismételt adatkezelés csak az olyan megválasztott paraméter megadása után lehetséges, amilyen a rejtjelkulcs vagy a jelszó,

k) online azonosító az alkalmazás, az eszköz vagy protokoll által hozzárendelt azonosító, főként IP-cím, cookie-k, az információs rendszer belépési adata, rádiófrekvenciás azonosító, mely nyomokat hagyhat, melyek elsősorban az egyedi azonosítókkal vagy más információkkal társítva az érintett személy profiljának

létrehozására vagy azonosítására szolgálhatnak,

l) információs rendszer a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető rendszer,

m) a személyes adatok védelmének megsértése a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi,

n) érintett személy minden olyan természetes személy, akinek a személyes adatait kezelik,

o) adatkezelő mindenki, aki önállóan vagy másokkal együttműködve a személyes adatok kezelésének céljait és eszközeit a saját nevében meghatározza; az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó szempontokat külön jogszabály vagy a Szlovák Köztársaságra kötelező érvénnyel bíró nemzetközi szerződés határozhatja meg, ha az adatkezelés céljait és eszközeit az ilyen előírás vagy a ilyen szerződés határozza meg,

p) adatfeldolgozó az a személy, amely az adatkezelő nevében személyes adatokat kezel,

q) címzett mindenki, akinek a személyes adatot a rendelkezésére bocsátják, függetlenül attól, hogy harmadik fél-e; azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében a külön jogszabállyal vagy a Szlovák Köztársaságra kötelező érvénnyel bíró nemzetközi szerződéssel összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek, az említett adatokat e közhatalmi szervek az adatkezelés céljainak megfelelően és az alkalmazandó adatvédelmi szabályoknak megfelelően kezelik,

r) harmadik fél mindenki, aki nem érintett személy, aki vagy amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy más személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak,

s) adatvédelmi tisztviselő az adatkezelő vagy adatfeldolgozó által kijelölt személy, aki a jelen törvény szerinti feladatokat teljesíti,

t) képviselő az a tagállam tevékenységi hellyel, szervezeti egységgel, részleggel vagy lakóhellyel rendelkező és az adatkezelő vagy adatfeldolgozó által a 35. § alapján írásban megbízott természetes vagy jogi személy, aki vagy amely az adatkezelőt vagy adatfeldolgozót képviseli,

u) vállalkozás a gazdasági tevékenységet folytató természetes személy- vállalkozó vagy a jogi személy, függetlenül a jogi formájától, ideértve a rendszeres gazdasági tevékenységet folytató személyegyesítő társaságokat és egyesületeket is, melyek rendszeres gazdasági tevékenységet folytatnak,

v) vállalkozáscsoport az ellenőrző vállalkozás és az általa ellenőrzött vállalkozások,

w) tevékenységi központ

1. az Európai Unión belüli központi ügyvitel helye az egynél több tagállamban tevékenységi hellyel rendelkező adatkezelő esetében, ha azonban a személyes adatok kezelésének céljaira és eszközeire vonatkozó döntéseket az adatkezelő egy Európai Unión belüli másik tevékenységi helyén hozzák meg, és az utóbbi tevékenységi hely rendelkezik hatáskörrel az ilyen döntések végrehajtatására, az említett döntéseket meghozó tevékenységi helyet kell tevékenységi központnak tekinteni,

2. az Európai Unión belüli központi ügyvitelének helye az egynél több tagállamban tevékenységi hellyel rendelkező adatfeldolgozó esetében, vagy ha az adatfeldolgozó az Európai Unióban nem rendelkezik központi ügyviteli hellyel, akkor az adatfeldolgozónak az az Európai Unión belüli tevékenységi helye, ahol az adatfeldolgozó tevékenységi helyén folytatott tevékenységekkel összefüggésben végzett fő adatkezelési tevékenységek zajlanak, mégpedig olyan mértékben, amekkorára az adatfeldolgozóra a jelen törvény szerint meghatározott kötelezettségek vonatkoznak,

x) belső vállalati szabályok a személyes adatok védelmére vonatkozó szabályzat, amelyet a Szlovák Köztársaság területén székhellyel, tevékenységi hellyel, szervezeti egységgel, részleggel vagy állandó lakhellyel rendelkező adatkezelő vagy adatfeldolgozó a harmadik országbeli adatkezelő vagy adatfeldolgozó részére történő továbbítása vagy ilyen továbbítások sorozata tekintetében követ,

y) magatartási kódex az érintett személy személyes adatainak védelmére vonatkozó magatartási szabályrendszer, melynek betartására az adatkezelő vagy adatfeldolgozó kötelezte magát,

z) nemzetközi szervezet a szervezet és annak ellenőrzött egységei, melyek a nemzetközi közjognak alávetve működnek, vagy bármilyen más jogalany, mely két vagy több állam szerződésével jött létre, vagy egy ilyen szerődés alapján, 

aa) tagállam az az állam, mely tagja az Európai Uniónak vagy szerződéses fele az Európai Gazdasági Térségről szóló szerződésnek,

ab) harmadik ország az az ország, amely nem tagállam,

ac) a hivatal alalmazottja a szerződéses vagy külön jogszabály⁶⁾ szerinti szerződéseshez hasonló munkaviszonyú alkalmazott vagy az állami alkalmazott, aki állami szolgálatot tölt be külön jogszabály⁷⁾ szerinti állami alkalmazotti munkaviszonyban.

Személyes adatok csak törvényes módon kezelhetők és úgy, hogy az érintett személy alapvető jogai ne sérüljenek.

Személyes adatok csak konkrétan meghatározott, kimondottan közzétett és törvényes célból gyűjthetők, és nem kerülhetnek további kezelésre olyan módon, amely ezzel a céllal nem egyeztethető össze; a személyes adat további kezelése archiválás céljából, tudományos célra, történelmi kutatás céljából vagy statisztikai célból, ha az összhangban áll a külön jogszabállyal⁸⁾ és ha az érintett személy jogai arányos védelmének elve érvényesül a 78. § 7. bek. értelmében, nem tekinthető az eredeti céllal összegyeztethetetlennek.

A kezelt személyes adatoknak az adatkezelés céljai szempontjából arányosnak, relevánsak és a szükséges mennyiségre korlátozottnak kell lenniük.

A kezelt személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük; észszerű és hatékony intézkedéseket kell tenni annak biztosítása érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék.

A személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására akkor kerülhet sor, ha kezelésükre archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor külön jogszabály⁸⁾ értelmében, és ha az érintett személy jogai arányos védelmének elve garantáltan érvényesül a 78. § 7. bek. értelmében.

A személyes adatok kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, a személyes adatok jogosulatlan vagy jogellenes kezelésével, a személyes adatok véletlen elvesztésével, törlésével vagy károsodásával szembeni védelmet is ideértve.

Az adatkezelő felelős a személyes adatok alapvető kezelési eleveinek való megfelelésért, a személyes adatok feldolgozási módjának összhangjáért a személyes adatkezelés elveivel, és köteles ezen összhang meglétét a hatóság felkérésére megfelelően igazolni.

(1) A személyes adatok kezelése kizárólag akkor jogszerű, amennyiben legalább az alábbi jogi alapelvek egyike teljesül:

a) az érintett személy hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez,

b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett személy az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő intézkedések megtételéhez szükséges,

c) a személyes adatok kezelése az adatkezelőre vonatkozó külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés teljesítéséhez szükséges,

d) a személyes adatok kezelése az érintett vagy egy másik természetes személy életének védelme, egészségének védelme vagy vagyonának védelme érdekében szükséges,

e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges,

f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai, amelyek személyes adatainak a védelmét teszik szükségessé, különösen, ha az érintett gyermek; ez a jogalap nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésére.

(2) A személyes adatok kezelésére vonatkozó 1. bekezdés c) és e) pontjába foglalt jogalapot a jelen törvényben, külön jogszabályban vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződésben kell megalapozni; külön jogszabályban kell rendelkezni a személyes adatok kezelésének céljáról, az érintett személyek kategóriájáról és a kezelt személyes adatok jegyzékéről vagy a kezelt személyes adatok terjedelméről. A kezelt személyes adatok külön jogszabály alapján az információs rendszerekből csak akkor nyújthatók, átvihetők vagy közzétehetők, ha külön jogszabály határozza meg az adatszolgáltatás vagy közzététel célját, vagy a feldolgozott személyes adatok terjedelmét, melyek kiadhatók vagy nyilvánosságra hozhatók, illetve a címzetteket, melyeknek a személyes adatok kiadhatók.

(3) Ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy külön jogszabály rendelkezésén alapul, az adatkezelő annak eldöntésére, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, többek között figyelembe veszi

a) a személyes adatok gyűjtésének céljai és a tervezett további személyes adatkezelés céljai közötti esetleges kapcsolatokat,

b) a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintett személy és az adatkezelő közötti kapcsolatokra,

c) a személyes adatok jellegét, különösen pedig azt, hogy a 16. § szerinti különleges kategóriájú személyes adatok kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekmény vagy szabálysértés megállapítására vonatkozó adatoknak a 17. § szerinti kezeléséről van-e szó,

d) azt, hogy az érintettek személyre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése,

e) megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is.

(1) A személyes adatok kezelésének jogalapja az érintett személy egyetértése, az adatkezelőnek kötelezően képesnek kell lennie annak igazolására, hogy az érintett személy hozzájárulását adta személyes adatai kezeléséhez.

(2) Ha az adatkezelő az érintett személy hozzájárulását kéri személyes adatai kezeléséhez, ennek a hozzájárulásnak el kell különülnie egyéb más tényektől, és egyértelműen világos módon, illetve érthető és könnyen hozzáférhető formában kell azt kifejeznie.

(3) Az érintett személy jogosult arra, hogy a személyes adatai kezelésére vonatkozó hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét; a hozzájárulás megadása előtt az érintett személyt erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan módon kell lehetővé tenni, mint annak megadását.

(4) Annak megállapítása során, hogy a hozzájárulás szabad akaratból adták-e meg, a lehető legnagyobb mértékben figyelembe kell venni egyebek mellett azt a tényt, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták-e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek a szerződés teljesítéséhez.

(1) Az adatkezelő a digitális társadalom szolgáltatásainak kínálatával⁹⁾ kapcsolatosan akkor kezeli törvényesen az érintett személy személyes adatait annak hozzájárulása alapján, ha ez érintett személy betöltötte 16. életévét. Ha az érintett személy 16 éven aluli, az ilyen adatkezelés csak akkor és olyan mértékben törvényes, amekkora mértékben ahhoz a törvényes képviselője¹⁰⁾ a hozzájárulását vagy engedélyét megadta.

(2) Az adatkezelő köteles megfelelő igyekezet kifejteni annak érdekében, hogy meggyőződjön róla, hogy az érintett személy törvényes képviselője hozzájulását vagy egyetértését a személyes adatok 1. bekezdés szerinti módon megadta, szem előtt tartva az elérhető technológiát.

(1) A személyes adatok különleges kategóriáinak kezelése tilos. Különleges kategóriájú személyes adatok azok az adatok, amelyek feltárják a természetes személy faji vagy etnikai származását, politikai véleményét, vallási vagy világnézeti meggyőződését, tagságát a szakszervezetben, valamint a természetes személyek genetikai és biometrikus adatait, az egészségi állapotára vagy a természetes személy szexuális életére vagy szexuális irányultságára vonatkozó adatokat.

(2) A személyes adatok különleges kategóriái kezelésének tilalma nem érvényes, ha:

a) az érintett személy kifejezett hozzájárulását adta az említett személyes adatok legalább egy konkrét célból történő kezeléséhez; a hozzájárulás érvénytelen, ha annak nyújtását külön jogszabály kizárja,

b) az adatkezelés az adatkezelőnek vagy az érintett személynek külön jogszabályokból fakadó, a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet vagy egészségbiztosítást szabályozó külön jogszabályokból,¹¹⁾ a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződésből fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, vagy a kollektív szerződésből kifolyólag, ha az az érintett személynek arányos alapvető jogokat és érdekeket védő garanciákat nyújt,

c) az adatkezelés az érintett személy vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes a hozzájárulását megadni;

d) az adatkezelés valamely egyesület, alapítvány, vagy közhasznú szolgáltatást nyújtó nonprofit szervezet, politikai párt vagy politikai mozgalom, szakszervezet, államilag elismert egyház vagy vallási közösség megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, és ez az adatkezelés kizárólag az ilyen szervezet tagjaira, vagy olyan természetes személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, a személyes adatok kizárólag belső célokat szolgálnak, és a személyes adatokat nem teszik hozzáférhetővé más címzetteknek az érintett személyek írásos vagy más hiteles módon bizonyítható hozzájárulása nélkül,

e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett személy kifejezetten nyilvánosságra hozott,

f) az adatkezelés jogigények¹²⁾ érvényesítéséhez vagy a bíróságok igazságszolgáltatási feladatkörének végrehajtásához kell,

g) az adatkezelés a jelen törvény, külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés szerinti közérdek miatt szükséges, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett személy alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő,

h) az adatkezelés a megelőző munkahelyi egészségügyi célokból, egészségügyi ellátás és egészségügyi ellátással kapcsolatos szolgáltatás nyújtása céljából vagy egészségügyi általános biztosítás nyújtása céljából szükséges, ha az ilyen adatokat az egészségügyi ellátás nyújtója, az egészségbiztosító, az egészségügyi szolgáltatás nyújtásához kapcsolódó tevékenységeket végző személy vagy az egészségügyi ellátás felügyeletét gyakorló személy végzi, vagy nevében a szakmailag alkalmas jogosult személy, akit titoktartási kötelesség köt a tudomására jutott tényekre vonatkozóan, melyekről tevékenysége végzése közben megismert, és köteles a szakmai etikai alapelvek betartására,

i) az adatkezelés nélkülözhetetlen a rendőrök és katonák szociális biztosításához és szociális ellátás-nyújtásához, állami szociális járadékok folyósításához, az egészségileg súlyosan károsult természetes személy társadalmi beilleszkedésének támogatásához,¹³⁾ szociális szolgáltatások nyújtásához, gyermekvédelmi és szociális gyámsági intézkedések végrehajtásához vagy segítségnyújtáshoz anyagi szükséghelyzetben, vagy az adatkezelés szükséges a munkajogi területet érintő és munkaügyi szolgáltatásokat érintő adatok kezelőjének, ha erre külön jogszabály¹⁴⁾ vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés jogosítja fel,

j) az adatkezelés a népegészségügy területét érintő olyan közérdekből szükséges, mint a határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem vagy a magas szintű és biztonságos egészségügyi ellátás, gyógyszerek, dietetikai élelmiszerek és gyógyászati segédeszközök biztosítása, és ha az a jelen törvény, külön jogszabály vagy a a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés alapján történik, amely megfelelő és konkrét intézkedésekről rendelkezik az érintett személy jogait védő garanciákra, különösen a titoktartási kötelezettségre vonatkozóan,¹⁵⁾

k) az adatkezelés archiválás céljából, tudományos célból, történelmi kutatási célból vagy statisztikai célból szükséges a jelen törvény, külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés alapján, tiszteletben tartva a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett személy alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő.

A külön jogszabály szerinti¹⁶⁾ büntetésnyilvántartásban személyes adatokat csak állami hatóság kezelhet. Elismert bűncselekmény vagy szabálysértés elkövetésével kapcsolatos személyes adatokat vagy a kapcsolódó biztonsági intézkedésekre vonatkozó személyes adatok kezelését végezni kizárólag külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés alapján, melyek az érintett személy alapvető jogainak védelmében megfelelő garanciát nyújtanak.

(1) Ha azok a célok, amelyek érdekében az adatkezelő a személyes adatokat kezeli, megkövetelik vagy megkövetelték az adatkezelőtől, hogy azonosítsa az érintett személyt, az adatkezelő nem köteles utólagos kiegészítő információkat megőrizni, beszerezni vagy kezelni csak annak érdekében, hogy azonosítsa az érintett személyt, és megfeleljen a jelen törvénynek.

(2) Ha az 1. bekezdésében említett esetekben az adatkezelő bizonyítani tudja, hogy nincs abban a helyzetben, hogy azonosítsa az érintett személyt, ha ez lehetséges, erről őt megfelelő módon tájékoztatja. Ilyen esetekben a 21–26. § nem alkalmazandó, kivéve, ha az érintett abból a célból, hogy az említett rendelkezések szerinti jogait gyakorolja, az azonosítását lehetővé tevő kiegészítő információkat nyújt.

(1) Ha az érintett személytől a személyére vonatkozó adatokat szereznek be, az adatkezelő köteles az adatbeszerzés nyomán rendelkezésre bocsátani

a) az adatkezelő és megbízott képviselője azonosító adatait és elérhetőségeit,

b) az adatvédelmi tisztviselő elérhetőségeit, ha ilyen személy kijelölésre került,

c) a személyes adatok kezelésének céljait, melyekre a személyes adatok szolgálnak, valamint a személyes adatok kezelésének jogalapját is,

d) az adatkezelő vagy harmadik fél jogos érdekeit, ha a személyes adatokat a 13. § 1. bek. f) pontja szerint kezelik,

e) a címzett azonosító adatait vagy a címzett kategóriáját, ha ilyen létezik,

f) a tájákoztatást arra vonatkozóan, hogy az adatkezelőnek szándékában áll a személyes adatokat harmadik országba vagy nemzetközi szervezethet továbbítani, a harmadik ország vagy nemzetközi szervezet azonosító adatait, valamint a tájékoztatást, hogy az Európai Bizottságnak (a továbbiakban csak „Bizottság”) létezik vagy nem létezik határozata az arányossági elvekről vagy megfelelő garanciákról, vagy a másolatok megszerzésére vonakozó arányossági elvről vagy megfelelő garanciáról, illetve a tájékoztatást arról, hol lettek elérhetővé téve, ha a kezelőnek a 48. § 2. bek., 49. § vagy 51. § 1 és 2. bek. szerinti adatátvitel áll a szándékában.

(2) Az 1. bekezdés szerinti tájékoztatáson kívül az adatkezelő köteles a személyes adatok megszerzése idején az érintett személyt felvilágosítani

a) a személyes adatok tárolásának időtartamáról; ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól,

b) az érintett személy azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, jogosult kérni azok helyesbítését, személyes adatainak törlését vagy kezelésének korlátozását, és kifogást emelhet az ilyen személyes adatok kezelése ellen, ugyanúgy az adattovábbításhoz való jog ellen,

c) a hozzájárulás bármely időpontban történő visszavonásához való jogáról, 

d) a 100. § szerinti eljárás kezdeményezésének a jogáról,

e) arról, hogy a személyes adatok nyújtása törvényben előírt kötelesség, szerződésből fakadó kötelesség vagy olyan követelmény, melyhez szerződéskötés szükségeltetik, valamint arról, hogy az érintett személy köteles-e személyes adatait rendelkezésre bocsátani, illetve a személyes adatok rendelkezésre bocsátásának megtagadásával járó következményekről,

f) az automatizált individuális döntéshozatal fennállásának tényéről, ideértve a 28. § 1. és 4. bek. szerinti profilalkotást; ezekben az esetekben az adatkezelő tájékoztatja az érintett személyt az alkalmazott eljárásokról, azok jelentőségéről és az ilyen adatkezelés érintettre nézve várható következményeiről.

(3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően köteles tájékoztatni az érintett személyt erről az eltérő célról és a 2. bekezdésben említett minden releváns kiegészítő információról, amennyiben az adatkezelő fenntartja szándékát a személyes adatok további kezelésére a gyűjtésük céljától eltérő célból.

(4) Az 1–3. bekezdés nem alkalmazandó abban a mértékben, amilyenben az érintett személynek már rendelkezésére bocsátották az információkat az adatfeldolgozás előtt.

(1) Ha a személyes adatokat nem az érintet személytől szerezték meg, az adatkezelő köteles az érintett személy rendelkezésére bocsátani a következő információkat:

a) az adatkezelőnek és – ha van ilyen megbízott – az adatkezelő képviselőjének az azonosító adatait és elérhetőségeit,

b) a adatvédelmi tisztviselő elérhetőségeit, ha van ilyen,

c) a személyes adatok tervezett kezelésének céljat, valamint az adatkezelés jogalapját,

d) a kezelt személyes adatok kategóriáit,

e) a személyes adatok címzettjeit vagy a címzettek kategóriáit, ha van ilyen,

f) adott esetben annak tényét, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, a harmadik ország vagy nemzetközi szervezet azonosító adatait, továbbá a Bizottság megfelelőségi határozatának létét vagy annak hiányát, vagy adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölését, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozásat, ha az adatkezelőnek a 48. § 2. bek., 49. § vagy 51. § 1 és 2. bek. szerinti adatátvitel áll a szándékában.

(2) Az 1. bekezdésben említett információk mellett az adatkezelő az érintett személy rendelkezésére bocsátja a következő kiegészítő információkat:

a) a személyes adatok tárolásának időtartama; ha ez nem lehetséges, ezen időtartam meghatározásának szempontjait,

b) ha az adatkezelés a 13. § 1. bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről,

c) az érintett személy azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, az adatai helyesbítését, törlését vagy kezelésének korlátozását, és kifogást emelhet a személyes adatai kezelése ellen, valamint az érintett adattovábbításhoz való jogáról,

d) a hozzájárulás bármely időpontban való visszavonásához való jogáról,

e) a 100. § szerinti eljárás kezdeményézasének jogáról, f) a személyes adatok forrásáról, melyből a személyes adatok származnak, esetleg arról, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e,

g) az automatizált individuális döntéshozatal fennállásának tényéről, ideértve a 28. § 1. és 4. bek. szerinti profilalkotást; ezekben az esetekben az adatkezelő tájékoztatja az érintett személyt az alkalmazott eljárásokról, azok jelentőségéről és az ilyen adatkezelés érintettre nézve várható következményeiről.

(3) Az adatkezelő az 1. és 2. bekezdés szerinti tájékoztatást az alábbiak szerint köteles megadni:

a) a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül;

b) ha a személyes adatokat az érintett személlyel való kapcsolattartás céljára használják, legalább az érintett személlyel való első kapcsolatfelvétel alkalmával, vagy

c) ha várhatóan más címzettel is közlik a személyes adatokat, legkésőbb a személyes adatok más címzettel való első alkalommal történő közlésekor.

(4) Ha az adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően köteles tájékoztatni az érintett személyt erről az eltérő célról és a 2. bekezdésben említett minden releváns kiegészítő információról, amennyiben az adatkezelőnek továbbra is szándékában áll a személyes adatokat a megszerzés céljától eltérő célok érdekében kezelni.

(5) Az 1–4. bekezdést nem kell alkalmazni:

a) olyan mértékben, amilyen mértékben az érintett már rendelkezik az információkkal,

b) amilyen mértékben a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a 78. § 7. bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az 1. bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését; ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett személy jogainak és jogos érdekeinek védelme érdekében.

c) olyan mértékben, amilyenben az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó külön jogszabály, amely az érintett személy jogainak és jogos érdekeinek védelmét szolgáló megfelelő garanciákról rendelkezik, vagy

d) ha a személyes adatokat bizalmasan kell kezelni külön jogszabályban előírt szakmai titoktartási kötelezettség alapján.¹⁵⁾

(1) Az érintett személy jogosult arra, hogy az adatkezelőtől igazolást kapjon arra vonatkozóan, hogy a rá vonatkozó személyes adatok kezelése folyamatban van-e. Ha az adatkezelő ilyen személyes adatokat kezel, az érintett személy jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

a) az adatkezelés céljai,

b) a kezelt személyes adatok kategóriái,

c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket, ha ez lehetséges,

d) a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai,

e) az érintett személy azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és kifogást emelhet az ilyen személyes adatok kezelése ellen,

f) eljárás kezdeményezésémek joga a 100. § szerint,

g) ha az adatokat nem az érintett személytől gyűjtötték, a forrásukra vonatkozó minden elérhető információ,

h) a 28. § 1. és 4. bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is; ezekben az esetekben az adatkezelő köteles az érintett személyt az alkalmazott eljárásra és arra vonatkozó érthető információkkal ellátni, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintett személyre nézve milyen várható következményekkel jár,

(2) Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a 48. § 2–4. bekezdése szerinti megfelelő garanciákról,

(3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Az adatkezelő az érintett személynek a személyes adatokat olyan formában köteles kiadni, amilyenben az érintett kéri.

(4) A 3. bekezdésben említett személyes adatok igénylésére vonatkozó jog nem érintheti hátrányosan más természetes személyek jogait.

Az érintett személy jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett személy jogosult arra, hogy kérje a hiányos személyes adatok kiegészítését.

(1) Az érintett személy jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat.

(2) Az adatkezelő köteles arra, hogy a személyes adatokat indokolatlan késedelem nélkül törölje, ha az érintett személy érvényesíti 1. bekezdés szerinti töröltetési jogát, ha

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték,

b) az érintett személy visszavonja a 13. § 1. bekezdésének a) pontja vagy a 16. § 2. bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és aszemélyes adatok kezelésének nincs más jogalapja,

c) az érintett személy a 27. § 1. bekezdése alapján kifogást emel adatai kezelése ellen, és nincs semmilyen jogszerű ok az adatkezelésre, vagy az érintett a 27. § 2. bekezdése alapján kifogást emel az adatkezelés ellen,

d) a személyes adatokat jogellenesen kezelték,

e) a személyes adatokat az adatkezelőre alkalmazandó ezen törvény, külön jogszabály vagy nemzetközi szerződés által előírt jogi kötelezettség teljesítéséhez törölni kell,

f) a személyes adatok gyűjtésére a 15. § 1. bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

(3) Ha az adatkezelő nyilvánosságra hozta a személyes adatot és az 1. bekezdés értelmében azt törölni köteles, párhuzamos arányos biztonsági intézkedés megtételére köteles, beleértve az elérhető technológia intézkedéseket és tekintettel a megvalósítás költségeire megteszi az elvárható lépéseket annak érdekében, hogy tájékoztassa az adatokat kezelő más adatkezelőket, hogy az érintett személy kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

(4) Az 1. és 2. bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából,

b) a személyes adatok kezelését előíró, az adatkezelőre vonatkozó ezen törvény, külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés szerinti kötelezettség teljesítése során, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából,

c) a 16. § 2. bekezdése h)–j) pontjának megfelelően a közegészségügy területét érintő közérdek alapján,

d) a 78. § 7. bekezdésével összhangban közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az 1. bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést, vagy

e) jogi igények előterjesztéséhez, érvényesítéséhez.

(1) Az érintett személy jogosult arra, hogy az adatkezelő korlátozza a személyes adatainak kezelést, ha:

a) az érintett személy kifogásolja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát,

b) az adatkezelés jogellenes, és az érintett kifogást emel az adatok törlése ellen, helyette kéri azok felhasználásának korlátozását,

c) az adatkezelőnek már nincs szüksége a személyes adatokra az adatkezelés céljából, de az érintett személy igényli azokat jogi igények érvényesítéséhez, vagy

d) az érintett személy a 27. § 1. bekezdése szerint kifogást emelt az adatkezelés ellen, arra az időtartamra vonatkozóan, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.

(2) Ha az adatkezelés az 1. bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, a személyiség védelméhez, vagy közérdek fennállása esetén lehet kezelni.

(3) Az adatkezelő az érintett személyt, akinél az 1. bekezdés alapján korlátozták az adatkezelést, az adatkezelő köteles adatkezelés korlátozásának feloldásáról előzetesen tájékoztatni.

(1) Az adatkezelő köteles tájékoztatni a címzettet a 22. §, a 23. § 1. bekezdése, vagy a 24. § szerinti valamennyi helyesbítésről, törlésről vagy adatkezelés-korlátozásról, ha ez lehetetlennek nem bizonyul, vagy nem igényel aránytalanul nagy erőfeszítést. 

(2) Az érintett személyt, annak kérésére az adatkezelő tájékoztatja az 1. bekezdés szerinti címzettekről.

(1) Az érintett személy jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, általánosan használt és géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, ha az műszakilag lehetséges és ha:

a) az adatkezelés a 13. § 1. bekezdésének a) pontja, a 16. § 2. bekezdésének a) pontja vagy a 13. § 1. bekezdésének b) pontja szerint valósul meg, és

b) az adatkezelés automatizált módon történik.

(2) Az 1. bekezdés szerinti jog gyakorlása nem érinti az érintett személy 23. §-ban rögzített jogait. A továbbításhoz való jog nem alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges.

(3) Az 1. bekezdésben említett jog nem érintheti hátrányosan más személyek jogait.

(1) Az érintett személy jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor kifogást emeljen személyes adatainak a 13. § 1. bekezdésének e) vagy f) pontján alapuló kezelésével szemben, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel vagy jogaival szemben, vagy amelyeket jogi igények érvényesítése indokol.

(2) Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében, beleértve a profilalkotást is, történik, az érintett személy jogosult arra, hogy bármikor kifogást emeljen a rá vonatkozó személyes adatok e célból történő kezelésével szemben abban a terjedelemben, amelyben az a közvetlen üzletszerzéshez kapcsolódik. Ha az érintett személy ellenvetéssel él személyes adatai közvetlen üzletszerzés céljából történő kezelése ellen, az adatkezelő a személyes adatait közvetlen üzletszerzés céljaira tovább nem kezelheti.

(3) Az 1. és 2. bekezdésben említett jogra az adatkezelőnek legkésőbb az érintett személlyel való első kapcsolatfelvétel során kifejezetten fel kell hívnia figyelmet, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjelenítenie.

(4) Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan az érintett személynek jogában áll kifogást emelni a műszaki előírásokon alapuló automatizált eszközök útján is. 

(5) Az érintett személy jogosult arra, hogy a saját helyzetével kapcsolatos okokból kifogást emeljen a rá vonatkozó személyes adatok kezelésével szemben, kivéve azokat az eseteket, amikor az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség és ha a személyes adatok kezelésére a 78. § 7. bekezdésének megfelelően tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor.

(1) Az érintett személy jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.

(2) Az 1. bekezdés nem alkalmazandó abban az esetben, ha a döntés:

a) az érintett személy és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges,

b) meghozatalát az adatkezelőre alkalmazandó olyan külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés teszi lehetővé, amely az érintett személy jogainak és jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít, vagy

c) az érintett kifejezett hozzájárulásán alapul.

(3) A 2. bekezdés a) és c) pontjában említett esetekben az adatkezelő köteles megfelelő intézkedéseket tenni az érintett személy jogainak és jogos érdekeinek védelme érdekében, ideértve az érintettnek főként azt a jogát, hogy a nem automatizált módon meghozott döntést az adatkezelő felülvizsgálja, az álláspontját kifejezhesse, és a döntést megtámadhassa.

(4) A 2. bekezdésben említett döntések nem alapulhatnak a személyes adatoknak a 16. § 1. bekezdésében említett különleges kategóriáin, kivéve, ha a 16. § 2. bekezdésének a) vagy g) pontja alkalmazandó, és az érintett személy jogainak és jogos érdekeinek védelme érdekében megfelelő intézkedések megtételére került sor.

(1) Az adatkezelő köteles megfelelő intézkedéseket meghozni és az érintett személynek a 19. és 20. § értelmében tájékoztatást adni a 21–28. és 41. § szerint a személyes adatai kezelésére vonatkozóan, tömör, átlátható, közérthető és könnyen elérhető formában, világos megfogalmazásban, főként a gyermekeknek szóló tájékoztatások esetében. A tájékoztatást köteles papír alapú írásos formában vagy elektronikus formájú írásban nyújtani, rendszerint olyan formában, amilyenben a kérvény benyújtásra került. Ha az érintett személy azt kimondottan kéri, az adatkezelő szóban is tájékoztathatja, amennyiben az érintett személy a személyazonosságát más módon igazolja.

(2) Az adatkezelő együttműködik az érintett személlyel a 21–28. § szerinti jogainak érvényesítése során. A 18. § 2. bek. szerinti esetekben az adatkezelő nem utasíthatja el az érintett személy kérése szerinti eljárást a 21–28. § szerinti jogainak érvényesítése során, ha nem bizonyítja, hogy az érintett személyt nem lehet azonosítani.

(3) Az adatkezelő a kérvény kézbesítésétől számított 30 napon belül köteles tájékoztatni az érintett személyt azokról az intézkedésekről, amelyeket a 21–28. § szerint benyújtott kérvénye alapján foganatosítottak. A feltüntetett határidőt indokolt esetben, a kérvények komplexitására és számára való tekintettel további két hónappal meghosszabbíthatja, mégpedig ismételten is. Az adatkezelő a kérvény kézbesítésétől számított egy hónapon belül köteles minden ilyen határidő-hosszabbításról tájékoztatni az érintett személyt, feltüntetve a határidő-hosszabbítás okait. Ha az érintett személy elektronikus formában nyújtotta be kérvényét, az adatkezelő elektronikus formában tájékoztatm amennyiben az érintett személy nem más formában kért tájékoztatást.

(4) Ha az adatkezelő nem hoz intézkedéseket az érintett személy kérvénye értelmében, köteles a kérvény kézbesítésétől számított egy hónapon belül tájékoztatni az érintett személyt tétlensége indokairól és arról a lehetőségről, hogy indítványt nyújthat be a 100. § szerint a hivatalnál.

(5) A 19. és 20. § szerinti tájékoztatás és a 21–28. § szerint elfogadott intézkedésekről szóló jelentés térítésmentes. Ha az érintett személy kérvénye nyilvánvalóan idokolatlan vagy aránytalan főleg ismétlődő jellege miatt, az adatkezelő jogosult

a) arányos térítést kérni, mely figyelembe veszi az információnyújtás adminisztrációs költségeit vagy vagy a jelentés adminisztrációs költségeit, illetve arányos térítést kérni a követelt intézkedések megvalósításának adminisztrációs költségeihez, vagy

b) elutasítani a kérvény szerint való eljárást. 

(6) A kérvény nyilvánvaló indokolatlanságát vagy a kérvény aránytalanságát az adatkezelőnek kell bizonyítani.

(7) Az adatkezelő az érintett személy kilétének megállapításához szükséges kiegészítő tájékoztató adatok megadását kérheti, ha megalapozott kétségei támadnak a 21–27. § szerint kérvényt benyújtó természetes személy kilétét illetően; a 18. § rendelkezéseit ez nem befolyásolja.

(8) A tájékoztatást, melyet az érintett személynek a 19–21. § értelmében nyújtanak, megadhatják standardizált ikonok kombinációjában is a célból, hogy jól látható, világos és érthető áttekintést adjanak a személyes adatok tervezett kezeléséről. A standardizált ikonoknak géppel olvashatónak kell lenniük, ha elektronikus formában használják azokat.

(9) A tudnivalóknak, melyeket a standardizált ikonoknak tartalmazniuk kell és a standardizált ikonok meghatározásának menetét általános érvényű rendeletben szabályozzák, melyet a hivatal bocsát ki.

(1) Az adatkezelő vgy adatfeldolgozó külön jogszabályban vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés értelmében jogosult korlátozni a 19–29. §-ban és a 41. §-ban taglalt kötelességek és jogok körét, valamint a 6–12. § szerinti alapelveket, ha azok a 19–29. § szerinti jogokat és kötelességeket érintik, amennyiben az ilyen korlátozás elrendelésének célja, hogy biztosítsa

a) a Szlovák Köztársaság biztonságát,

b) a Szlovák Köztársaság védelmét,

c) a közrendet,

d) a büntetőeljárási célzatú feladatok végrehajtását,

e) más, az Európai Unió vagy a Szlovák Köztársaság általánosan közérdekű céljait, elsősorban az Európai Unió vagy a Szlovák Köztársaság fontos gazdasági vagy fontos pénzügyi érdekét, beleértve a monetáris, költségvetési és adóügyeket, közegészségügyet vagy szociális biztonságot,

f) a bíróságok és bírósági eljárások függetlenségének védelmét,

g) a szabályozás alá eső foglalkozások vagy szabályozás alá vont szaktevékenységek etikai elvei megsértésének megelőzését,

h) a megfigyelő tevékenységet, az ellenőrző tevékenységet vagy a közhatalom gyakorlásával kapcsolatos szabályozó szerepet az a)–e) és g) pont szerinti esetekben,

i) az érintett személy vagy más személy jogainak védelmét,

j) a jogigény érvényesíthetőségét,

k) a gazdasági mobilitást.

(2) Az adatkezelő vagy adatfeldolgozó csak akkor járhat el az 1. bekezdés értelmében, ha arról a külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés rendelkezik legalább 

a) a személyes adatok kezelésének céljáról vagy a személyes adatok kategóriáinak céljáról,

b) a személyes adatok kategóriájáról,

c) az alkalmazható korlátozás mértékéről,

d) a garanciákról a személyes adatokkal való visszaélés ellen, vagy törvényellen hozzáférés vagy törvényellenes adatátvitel ellen,

e) az adatkezelő vagy az adatkezelők kategóriáinak meghatározásáról,

f) a kezelt személyes adatok és érvényesíthető garanciák megőrzési határidejéről, tekintettel a személyes adatok jellegére, mennyiségére vagy a kezelt személyes adatok kategóriájára,

g) az érintett személyre vonatkozó kockázatokra és

h) az érintett személy jogára, hogy a korlátozásról tájékoztatást kapjon, amennyiben az nem veszélyezteti a korlátozás célját.

(1) Az adatkezelő a személyesadat-kezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e törvénnyel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi.

(2) Ha az az adatkezelési tevékenység vonatkozásában arányos, az 1. bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz.

(3) A 85. § szerinti jóváhagyott magatartási kódexekhez vagy a 86. § szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozás felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti 1. bekezdés szerinti kötelezettségeit.

(4) Az adatkezelő köteles rendszeres időközönként felülvizsgálni a személyes adatok kezelése céljainak fennállását és azokk teljesülése után felesleges halogatás nélkül biztosítani a személyes adatok törlését; ez nem érvényes, ha a személyes adatok levéltári adattár¹⁷⁾ részét képezik.

(5) Az adatkezelő külön jogszabály értelmében¹⁸⁾ biztosítja azon levéltári adattár kivonását a forgalomból, amely személyes adatokat tartalmaz.

(1) Az adatkezelő a személyes adatok kezelésének megkezdése előtt köteles különlegesen megtervezett adatvédelmi szabályokat foganatosítani, melynek lényege olyan megfelelő technikai és szervezési intézkedések – főként álnevesítés – végrehajtása, amelyek célja az adatvédelmi alapelvek megvalósítása és a 6–12. §-ba foglalt alapelvek betartása. 

(2) Az adatkezelő köteles az 1. bekezdés szerinti különleges adatvédelmi elvek megtervezése során figyelembe venni a személyes adatok védelmével kapcsolatos legújabb ismereteket, az 1. bekezdés szerinti intézkedések végrehajtásának költségeit, a gyűjtött személyes adatok jellegét, mennyiségét, kontextusait és a személyes adatok gyűjtésének célját és a személyes adatok kezelésének változó valószínűségű és súlyosságú kockázatait, melyeket az érintett személy jogaira nézve az adatkezelés jelent.

(3) Az adatkezelő megfelelő általános adatvédelmi elveket bevezetni, melynek lényege a megfelelő technikai és szervezési intézkedések végrehajtása annak biztosítására, hogy kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek, minimalizálnia a gyűjtött személyes adatok mennyiségét, kezelésük mértékét, tárolásuk időtartamát és hozzáférhetőségüket. Az adatkezelő köteles biztosítani, hogy a személyes adatok a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.

(4) Az 1–3. bekezdésében előírt követelmények teljesítését az adatkezelő a 86. § szerinti tanúsítvannyal felhasználásával bizonyíthatja.

(1) Közös adatkezelőknek minősül a személyesadat-kezelés céljait és eszközeit megállapodásban közösen meghatározó két vagy több adatkezelő. A közös adatkezelők kötelesk átlátható módon meghatározni mindegyikük felelősségét a jelen törvény szerinti kötelességek és feladatok teljesítésében, különösen az érintett személy jogainak gyakorlásával és a 19. és a 20. §-ban említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal összefüggő felelősségük megoszlását, amennyiben az adatkezelőkre vonatkozó felelősség megoszlását nem határozza meg külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényú nemzetközi egyezmény. A megállapodásban az érintett személyek számára kapcsolattartó helyet kell kijelölni.

(2) Az 1. bekezdésben említett megállapodás alapelveit az adatkezelő köteles az érintett személy rendelkezésére bocsátani, elsősorban a szerződő felek azonosítását, a szerződés tárgyát, a szerződés érvényességének időtartamát, az érintett személy jogérvényesítését szabályozó rendelkezéseket, az adatkezelők tájékoztatásnyújtási kötelességét a 19. és 20. § értelmében, valamint az érintett személy kapcsolattartási helyét.

(3) Az érintett személy az 1. bekezdésben említett megállapodás feltételeitől függetlenül mindegyik adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja a jogait.

(1) Ha a személyes adatok kezelését az adatkezelő nevében más végzi, az adatkezelő kizárólag olyan adatfeldolgozót vehet igénybe, aki vagy amely megfelelő garanciákat nyújt megfelelő technikai és szervezési intézkedések végrehajtására úgy, hogy a személyes adatok kezelése megfeleljen a jelen törvény követelményeinek és biztosítsa az érintett személy jogainak védelmét. Az adatkezelő személyes adatok feldolgozására való előző mondat szerinti megbízásához nem szükséges az érintett személy hozzájárulása.

(2) Az adatfeldolgozó az adatkezelő előzetesen írásban tett eseti vagy általános felhatalmazása nélkül további adatfeldolgozót nem vehet igénybe. Általános írásbeli felhatalmazás birtokában az adatfeldolgozó köteles előre tájékoztatni az adatkezelőt további adatfeldolgozó igénybevételéről.

(3) Az adatfeldolgozó által végzett adatkezelést szerződés vagy más jogi aktus szabályozza, mely köti az adatfeldolgozót az adatkezelővel szemben, és amelyben le van fektetve az adatkezelés tárgya, időtartama, jellege és célja, a személyes adatok jegyzéke vagy mennyisége, az érintett személyek kategóriái, valamint az adatkezelő kötelezettségei és jogai. A szerződés vagy más jogi aktus különösen előírja, hogy az adatfeldolgozó:

a) a személyes adatokat kizárólag az adatkezelő írásbeli utasításai alapján kezeli, beleértve a személyes adatoknak valamely harmadik ország vagy nemzetközi szervezet számára való továbbítását is, kivéve, ha az adatkezelést az adatfeldolgozóra alkalmazandó külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi egyezmény írja elő; ebben az esetben erről a külön jogszabályról vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi egyezményről az adatfeldolgozó az adatkezelőt a személyesadat-kezelést megelőzően értesíti, kivéve, ha az adatkezelő értesítését a külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi egyezmény fontos közérdekből tiltja,

b) biztosítja azt, hogy a személyes adatok kezelésére feljogosított személyek a megismert adatokra vonatkozóan titoktartási kötelezettséget vállalnak, ha nem állnak külön jogszabályon¹⁵⁾ alapuló megfelelő titoktartási kötelezettség alatt,

c) meghozza a 39. §-ban előírt intézkedéseket,

d) tiszteletben tartja a további adatfeldolgozó igénybevételére vonatkozóan a 2. és 5. bekezdésben említett feltételeket,

e) a személyesadat-kezelés jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel a lehetséges mértékben segíti az adatkezelőt abban, hogy teljesíteni tudja kötelezettségét az érintett személy második rész második fejezete szerinti jogainak gyakorlásához kapcsolódó kérelmek megválaszolása tekintetében,

f) segíti az adatkezelőt a 39–43. § szerinti kötelezettségek teljesítésében, figyelembe véve az személyesadat-kezelés jellegét és az adatfeldolgozó rendelkezésére álló információkat,

g) a személyesadat-kezelési szolgáltatás nyújtásának befejezését követően az adatkezelő döntése alapján minden személyes adatot töröl vagy visszajuttat az adatkezelőnek, és törli a személyes adatokat tartalmazó meglévő másolatokat, kivéve, ha külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi egyezmény a személyes adatok megőrzését írja elő,

h) a személyesadat-kezelési szolgáltatás nyújtásának befejezését követően az adatkezelő döntése alapján minden személyes adatot töröl vagy visszajuttat az adatkezelőnek, és törli a személyes adatokat tartalmazó meglévő másolatokat, ha külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi egyezmény a személyes adatok megőrzését írja elő,

i) az adatkezelő rendelkezésére bocsát minden olyan információt, amely a kötelezettségek teljesítésének igazolásához szükséges, és elősegíti az adatkezelő által vagy az általa megbízott más ellenőr által végzett személyesadat-védelmi auditokat.

(4) Az adatfeldolgozó haladéktalanul tájékoztatja az adatkezelőt, ha úgy véli, hogy annak valamely utasítása sérti ezen törvény vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi egyezmény adatvédelmi rendelkezéseit.

(5) Ha az adatfeldolgozó bizonyos, az adatkezelő nevében végzett különleges adatkezelési tevékenységekhez további adatfeldolgozó szolgáltatásait is igénybe veszi, erre a további adatfeldolgozóra szerződésben vagy más jogi aktusban ugyanolyan az adatvédelmi kötelezettségeket kell telepíteni a személyes adatok védelme vonatkozásában, mint amilyenek az adatkezelő és az adatfeldolgozó között a 3. bekezdés szerint létrejött szerződésben vagy egyéb jogi aktusban szerepelnek, különösen úgy, hogy a további adatfeldolgozónak megfelelő garanciákat kell nyújtania a megfelelő technikai és szervezési intézkedések végrehajtására, és ezáltal biztosítania kell, hogy a személyes adatok kezelése megfeleljen a jelen törvény követelményeinek. Ha a további adatfeldolgozó nem teljesíti személyesadat-védelmi kötelezettségeit, az őt megbízó adatfeldolgozó teljes felelősséggel tartozik az adatkezelő felé a további adatfeldolgozó kötelezettségeinek a teljesítéséért.

(6) A 85. § szerint jóváhagyott magatartási kódexekhez vagy a 86. § szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozással az adatfeldolgozó bizonyíthatja, hogy teljesíti az 1. és 5. bekezdésben említett személyesadat-védelmi garanciákat.

(7) A 3. és 5. bekezdésben említett szerződést vagy más jogi aktust írásban vagy elektronikus formátumban kell megkötni.

(8) Az adatfeldolgozót, aki vagy amely e törvényt megsértve maga határozza meg az adatkezelés céljait és eszközeit, akkor őt az adott személysadat-kezelés tekintetében adatkezelőnek kell tekinteni; a 38., és a 104–106. § rendelkezései nem sérülnek.

(1) Az adatkezelő vagy adatfeldolgozó, aki vagy amely nem rendelkezik tagállami székhellyel, szervezeti egységgel, részleggel vagy állandó lakhellyel, köteles írásban tagállami területi képviselőt megbízni, ha a Szlovák Köztársaság területén található érintett személy személyes adatait kezeli, miközben adatkezelői tevékenysége

a) az érintett személynek a Szlovák Köztársaság területén megvalósuló áru- vagy szolgáltatáskínálattal kapcsolatos tekintet nélkül arra, hogy az érintett személytől kérnek-e térítési díjat vagy nem, vagy

b) a Szlovák Köztársaság területén tapasztalt viselkedésével függ össze.

(2) Az 1. bekezdésébe foglalt kötelezettséget nem kell alkalmazni:

a) az alkalmi jellegű adatkezelésre, amely nem terjed ki sem a személyes adatoknak a 16. § 1. bekezdésében említett különleges kategóriáira, sem a 17. §-ban említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és szabálysértésekre vonatkozó személyes adatok nagy számban történő kezelésére, és amely – figyelembe véve az adatkezelés jellegét, körülményeit, hatókörét és céljait – valószínűsíthetően nem jelent kockázatot a természetes személyek jogaira nézve, vagy

b) közhatalmi vagy egyéb, közfeladatot ellátó szervekre.

(3) A hivatal vagy az érintett személy tájékoztatást kérhet a személyesadat-kezeléssel összefüggő minden ügyben, az e törvénynek való megfelelés biztosítása érdekében, s ezt az adatkezelő vagy az adatfeldolgozó mellett az adatkezelő vagy az adatfeldolgozó képviselőtől is kérheti.

(4) Az a tény, hogy az adatkezelő vagy az adatfeldolgozó képviselőt jelöl ki, nem érinti az érintett személy 100. § szerinti vagy más külön jogszabály szerinti,¹⁹⁾ adatkezelővel vagy az adatfeldolgozóval szembeni keresetindításhoz való jogát.

Az adatfeldolgozó és bármely, az adatkezelő vagy az adatfeldolgozó nevében eljáró, a személyes adatokhoz hozzáféréssel rendelkező személy ezeket az adatokat csak az adatkezelő utasításának megfelelően vagy külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi egyezmény alapján kezelheti.

(1) Minden adatkezelő és – ha van ilyen – az adatkezelő képviselője a felelősségébe tartozóan végzett adatkezelési tevékenységekről nyilvántartást vezet. E nyilvántartás a következő információkat tartalmazza:

a) az adatkezelő azonosító adatai és elérhetősége, valamint – ha van ilyen – a közös adatkezelőnek, az adatkezelő képviselőjének és az adatvédelmi tisztviselőnek az azonosító adatai és elérhetősége,

b) a személyes adatok kezelésének céljai,

c) az érintettszemélyek kategóriáinak, valamint a személyes adatok kategóriáinak ismertetése,

d) olyan címzettek kategóriái, akikkel a személyes adatokat közlik vagy közölni fogják, ideértve a harmadik országbeli címzetteket vagy nemzetközi szervezeteket,

e) a harmadik ország vagy a nemzetközi szervezet azonosítása,ha az adatkezelő a személyes adatokat harmadik országba vagy nemzetközi szervezet részére továbbítja, valamint az 51. § 1. ás 2. bekezdése szerinti továbbítás esetében a megfelelő garanciák leírása,

f) a különböző személyesadat-kategóriák törlésére előirányzott határidők,

g) a 39. § 1. bekezdésében említett technikai és szervezési intézkedések általános leírása.

(2) Minden adatfeldolgozó és az adatfeldolgozó képviselője nyilvántartást vezet az adatkezelő nevében végzett adatkezelési tevékenységek minden kategóriájáról. A nyilvántartás a következő információkat tartalmazza:

a) az adatfeldolgozó vagy adatkezelők azonosító adatai és elérhetőségei, és minden olyan adatkezelő azonosító adata és elérhetőségei, amelynek vagy akinek a nevében az adatfeldolgozó eljár, továbbá – ha van ilyen – az adatkezelő vagy az adatfeldolgozó képviselőjének, valamint az adatvédelmi tisztviselőnek az azonosító adatai és elérhetőségei,

b) az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriái,

c) a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása esetében a harmadik ország vagy a nemzetközi szervezet azonosítása, valamint az 51. § 1. bekezdése szerinti továbbítás esetében a megfelelő garanciák leírása,

d) a 39. § 1. bekezdésében említett technikai és szervezési intézkedések általános leírása.

(3) Az 1. és 2. bekezdésben említett nyilvántartást írásban vagy az elektronikus formátumban kell vezetni.

(4) Az adatkezelő vagy az adatfeldolgozó, valamint – ha van ilyen – az adatkezelő vagy az adatfeldolgozó képviselője megkeresés alapján a hivatal részére rendelkezésére bocsátja az adatkezelési tevékenységek nyilvántartását.

(5) Az 1. és 2. bekezdésbe foglalt kötelezettségek nem vonatkoznak a 250 főnél kevesebb személyt foglalkoztató vállalkozásra, kivéve, ha az általa végzett személyesadat-kezelés az érintett személyek jogainak védelmére nézve valószínűsíthetően kockázattal jár, ha az adatkezelés alkalmi jellegű, vagy ha az adatkezelés nem terjed ki a személyes adatok 16. § 1. bekezdésében említett különleges személyesadat-kategóriáira vagy a 17. §-ban említett, büntetőjogi felelősség megállapítására és szabálysértésekre vonatkozó határozatokra vonatkozó személyes adatoknak a kezelésére.

(6) Az adatkezelési tevékenységek nyilvántartásának mintját a hivatal a honlapján közzéteszi. 

(1) Minden személy, akit anyagi kár ér vagy nem anyagi kár ér a jelen törvény megszegése miatt, kártalanításra jogosult²⁰⁾ az adatkezelőtől vagy adatfeldolgozótól.

(2) Az adatkezelő, aki vagy amely személyes adatok kezelésében vett részt, felelős a törvénysértő adatkezelési tevékenységgel okozott kárért. Az adatfeldolgozó a személyes adatok kezelésével okozott kárért csak akkor felelős, ha nem teljesítette 34–39. §, 40. § 3. bek., 45. §, 51. § 3. bek. szerinti kötelességeit, vagy ha az adatkezelő törvénnyel összhangban álló utasításításait túllépte vagy azokkal ellentétesen cselekedett.

(3) Az adatkezelő vagy az adatfeldolgozó akkor szabadul fel a 2. bekezdés szerinti felelőssége alól, ha bizonyítja, hogy a kárt nem ő okozta.

(4) Ha ugyanazon személyes adatok kezelésében egynél több adatkezelő vagy adatfeldolgozó vett részt, vagy az adatkezelő és adatfeldolgozó közösen végezte azt és a 2. és 3. bekezdés értelmében felelősek a személyes adatok kezelésével okozott károkért, a károkozásért közösen és egyenlő mértékben viselik a felelősséget. 

(5) Ha az adatkezelő vagy adatfeldolgozó a 4. bekezdéssel összhangban teljes összegben kifizette a kártalanítási összegét, joga van a többi, ugyanazon személyes adatok kezelésében részt vevő adatkezelőtől vagy adatfeldolgozótól a 2. bekezdésben lefektetett szabályok szerint általuk viselt kértérítési felelősséggel arányos a kártérítési összegrész megtérítését kérni.

(1) Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá a személyesadat-kezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, főleg az alaábbi intézkedésekkel:

a) a személyes adatok álnevesítése és titkosítása,

b) a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítása, integritása, rendelkezésre állása és ellenálló képessége,

c) fizikai vagy műszaki incidens esetén az arra való képesség, hogy a személyes adatokhoz való hozzáférés és az adatok rendelkezésre állása kellő időben visszaállítható,

d) a személyesadat-kezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárás.

(2) A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni a személyesadat-kezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.

(3) Az adatkezelő, illetve az adatfeldolgozó 85. § szerinti jóváhagyott magatartási kódexekhez vagy a 86. § szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozását felhasználhatja annak bizonyítására, hogy az 1. bekezdésében meghatározott követelményeket teljesíti.

(4) Az adatkezelő és az adatfeldolgozó köteles biztosítani, hogy az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személy kizárólag az adatkezelő utasításának megfelelően vagy külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés alapján kezelhesse az említett adatokat.

(1) A személyesadat-védelmi incidenst az adatkezelő 72 órán belül azt követően, hogy az adatvédelmi incidens a tudomására jutott, bejelenti felügyeleti hivatalnak; ez nem érvényes, ha valószínűsíthető, hogy az adatvédelmi incidens nem jár kockázattal a természetes személyek jogaira nézve. 

(2) Ha az adatkezelő a bejelentési kötelességét nem teljesíti az 1. bekezdésnek megfelelően, a késedelem indokait igazolnia kell.

(3) Az adatfeldolgozó az adatvédelmi incidenst, az arról való tudomásszerzését követően indokolatlan késedelem nélkül bejelenti az adatkezelőnek.

(4) Az 1. bekezdésben említett bejelentésben legalább:

a) ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintett személyek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát,

b) közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó hely nevét és elérhetőségeit,

c) ismertetni kell az adatvédelmi incidens valószínűsíthető következményeit,

d) ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket, ha arra szükség van.

(5) Az adatkezelő köteles a 4. bekezdés szerint tájékoztatást nyújtani olyan mértékben, amilyenben az 1. bekezdés szerinti tájékoztató kiadása idején a rendelkezésére állnak a tények; ha az 1. bekezdés szerinti tájékoztatás idején az adatkezelő nem ismer minden, a 4. bekezdés szerinti információt, amint tudomást szerez róluk, indokolatlan késedelem nélkül közli azokat.

(6) Az adatkezelő köteles nyilvántartani minden, az 1. bekezdés szerinti adatvédelmi incidenst, beleértve az adatvédelmi incidenshez kapcsolódó tényeket, azok következményeit és az orvoslásukra tett intézkedéseket. 

(1) Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintett személyt az adatvédelmi incidensről.

(2) Az 1. bekezdésben említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell 40. § 4. bekezdésének b)–d) pontjában említett információkat és intézkedéseket. 

(3) Nem kell az 1. bekezdésben említettek szerint tájékoztatni, ha 

a) az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett személyes adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás vagy más intézkedés alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat, 

b) az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják az érintett jogaira jelentett, az 1. bekezdésben említett magas kockázat kizárását,

c) a tájékoztatás aránytalan erőfeszítést tenne szükségessé; az adatkezelő köteles az érintett személyeket nyilvánosan közzétett információk útján tájékoztatni, vagy más intézkedést meghozni, amely biztosítja az érintett személyek hasonlóan hatékony tájékoztatását.

(4) Ha az adatkezelő még nem értesítette az érintett személyt az adatvédelmi incidensről, a felügyeleti hatóság, miután mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az érintett személyek tájékoztatását, vagy megállapíthatja a 3. bekezdésben említett feltételek valamelyikének teljesülését.

(1) Ha a személyesadat-kezelés valamely – különösen új technológiákat alkalmazó – típusa, tekintettel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira nézve, akkor az adatkezelő az adatkezelést megelőzően kötelezően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik. Egymáshoz hasonló típusú adatkezelési műveletek, amelyek egymáshoz hasonló magas kockázatokat jelentenek, egyetlen hatásvizsgálat keretei között is értékelhetőek.

(2) Ha van kijelölt adatvédelmi tisztviselő, az adatkezelő az adatvédelmi hatásvizsgálat elvégzésekor az adatvédelmi tisztviselő szakmai tanácsát köteles kikérni.

(3) Az adatvédelmi hatásvizsgálatot különösen az alábbi esetekben kell elvégezni:

a) természetes személyekre vonatkozó egyes személyes jellemzők olyan módszeres és kiterjedt értékelése, amely automatizált adatkezelésen – ideértve a profilalkotást is –alapul, és amelyre az érintett természetes személy tekintetében joghatással bíró vagy a természetes személyt hasonlóképpen jelentős mértékben érintő döntések épülnek,

b) a 16. § 1. bekezdésében említett személyes adatok különleges kategóriái, vagy a 17. §-ban említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatok nagy számban történő kezelése, vagy

c) nyilvános helyek nagymértékű, módszeres megfigyelése.

(4) Az adatvédelmi hatásvizsgálat mindenképpen kiterjed

a) a tervezett adatkezelési műveletek módszeres leírására és az adatkezelés céljainak ismertetésére, beleértve adott esetben az adatkezelő által érvényesíteni kívánt jogos érdeket,

b) az adatkezelés céljaira figyelemmel az adatkezelési műveletek szükségességi és arányossági vizsgálatára,

c) az érintett személy jogait érintő kockázatok vizsgálatára, és

d) a kockázatok minimalizálását célzó intézkedések bemutatására, ideértve a személyes adatok védelmét és az e törvénnyel való összhang igazolását szolgáló, az érintettek és más személyek jogait és jogos érdekeit figyelembe vevő garanciákat, biztonsági intézkedéseket és mechanizmusokat.

(5) Az adatkezelő vagy adatfeldolgozó által végrehajtott adatkezelési műveletek hatásvizsgalálatakor a felügyeleti hatóság figyelembe veszi, hogy az adatkezelő vagy adatfeldolgozó a 85. § értelmében jóváhagyott magatartási kódexszel vagy a 86. § szerint jóváhagyott tanúsítvánnyal összhangban jár-e el, különösképpen annak személyesadat-védelmi vonatkozásait illetően.

(6) Az adatkezelő jogosult kikérni az érintett személy vagy az érdekeit képviselő szervezet véleményét a tervezett adatkezelésről; az üzleti érdekek vagy a közérdek védelme, vagy az adatkezelési műveletek biztonsága nem sérülhet.

(7) Az adatkezelő köteles elbírálni, hogy a személyes adatok kezelése az adatvédelmi hatásvizsgálatnak megfelelően történik-e, leginkább akkor, ha az adatkezelési műveletek által jelentett kockázat megváltozik.

(1) Ha a 42. §-ban előírt adatvédelmi hatásvizsgálat világosan megállapítja, hogy az adatkezelés valószínűsíthetően magas kockázattal jár a természetes személyre nézve, a személyes adatok kezelését megelőzően az adatkezelő konzultál a felügyeleti hatósággal.

(2) Ha a felügyeleti hatóság véleménye szerint az 1. bekezdés szerint tervezett adatkezelés megsértené e törvényt – különösen, ha az adatkezelő a kockázatot nem elégséges módon azonosította vagy csökkentette –, a felügyeleti hatóság az adatkezelőnek és adott esetben az adatfeldolgozónak nyolc héten belül írásban tanácsot ad. Ezt a határidőt – a tervezett adatkezelés összetettségétől függően – a hivatal hat héttel meghosszabbíthatja; a felügyeleti hatóság a megkeresés kézhezvételétől számított egy hónapon belül tájékoztatja az adatkezelőt vagy adott esetben az adatfeldolgozót a meghosszabbításról és a késedelem okairól. Az említett időtartamok felfüggeszthetők arra az időtartamra, amíg a felügyeleti hatóság nem jut hozzá azokhoz az információkhoz, amelyeket a konzultáció céljából kért.

(3) Az adatkezelő a felügyeleti hatósággal folytatott, 1. bekezdés szerinti konzultáció során a felügyeleti hatóságot tájékoztatja:

a) a személyesadat-kezelésben részt vevő, 1. bekezdés szerinti előzetes konzultáció kötelessége alá eső adatkezelő, közös adatkezelők és adatfeldolgozók feladatköreiről, különösen vállalkozáscsoporton belüli adatkezelés esetén,

b) a tervezett adatkezelés céljairól és végrehajtásuk eszközeiről,

c) az érintett személyek e törvény értelmében fennálló jogainak védelmében hozott intézkedésekről és garanciákról,

d) az adatvédelmi tisztviselő elérhetőségeiről, ha ilyet kijelöltek,

e) a 42. § szerinti adatvédelmi hatásvizsgálatról, és

f) a felügyeleti hatóság által kért minden egyéb információról.

(1) Az adatkezelő és az adatfeldolgozó adatvédelmi tisztviselőt jelöl ki minden olyan esetben, amikor:

a) az adatkezelést közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek végzik, kivéve az igazságszolgáltatási feladatkörükben eljáró bíróságokat,

b) az adatkezelő vagy az adatfeldolgozó fő tevékenységei olyan adatkezelési műveleteket foglalnak magukban, amelyek jellegüknél, hatókörüknél vagy céljaiknál fogva az érintettszemélyek rendszeres és szisztematikus, nagymértékű megfigyelését teszik szükségessé, vagy

c) az adatkezelő vagy az adatfeldolgozó fő tevékenységei a személyes adatok 16. § szerinti különleges kategóriáinak nagy számban történő kezelését vagy a 17. §-ban említett, büntetőjogi felelősség megállapítására vonatkozó bűncselekményekre és szabálysértésekre vonatkozó adatok nagy számban történő kezelését foglalják magukba.

(2) A vállalkozáscsoport közös felelős adatvédelmi tisztviselőt is kijelölhet, ha az a személy képes a vállalkozáscsoport minden vállalkozásánál ellátni 46. § szerinti feladatait.

(3) Ha az adatkezelő vagy az adatfeldolgozó közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv, közös felelős adatvédelmi tisztviselő jelölhető ki több ilyen szerv vagy intézmény számára, az adott szervek szervezeti felépítésének és méretének figyelembe vételével.

(4) Az 1. bekezdésbe foglaltaktól eltérő esetekben az adatkezelő vagy az adatfeldolgozó, illetve az adatkezelők vagy adatfeldolgozók kategóriáit képviselő egyesületek és egyéb szervezetek felelős adatvédelmi tisztviselőt jelölhetnek ki. Az adatkezelőket vagy adatfeldolgozókat képviselő ilyen egyesületek és egyéb jogalanyok nevében a felelős adatvédelmi tisztviselő eljárhat.

(5) Az 1. bekezdésbe foglaltaktól eltérő esetekben az adatkezelő vagy az adatfeldolgozó, illetve az adatkezelők vagy adatfeldolgozók kategóriáit képviselő egyesületek és egyéb szervezetek kötelesek felelős adatvédelmi tisztviselőt kijelölni, ha azt külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés előírja. Az adatkezelőket vagy adatfeldolgozókat képviselő ilyen egyesületek és egyéb jogalanyok nevében a felelős adatvédelmi tisztviselő eljárhat. 

(6) A felelős adatvédelmi tisztviselőt szakmai rátermettség és különösen az adatvédelmi jog és gyakorlati eljárás szakértői szintű ismerete, valamint a 46. §-ban említett feladatok ellátására való alkalmasság alapján kell kijelölni.

(7) A felelős adatvédelmi tisztviselő az adatkezelő vagy az adatfeldolgozó alkalmazottja lehet, vagy szerződés keretében láthatja el a feladatait.

(8) Az adatkezelő vagy az adatfeldolgozó köteles honlapján közzétenni a kijelölt felelős adatvédelmi tisztviselő elérhetőségeit, és azokat közölni a felügyeleti hatósággal.

(1) Az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a személyes adatok védelmével kapcsolatos összes tevékenységét megfelelő módon és időben végezhesse.

(2) Az adatkezelő és az adatfeldolgozó köteles együttműködni a felelős adatvédelmi tisztviselővel a 46. §-ban említett feladatai ellátásában főleg azáltal, hogy biztosítja számára azokat az forrásokat, amelyek e feladatok végrehajtásához, a személyes adatokhoz és az adatkezelési műveletekhez való hozzáféréshez, valamint a szakértői szintű ismereteinek fenntartásához szükségesek.

(3) Az adatkezelő és az adatfeldolgozó köteles biztosítani, hogy a felelős adatvédelmi tisztviselő a 46. §-ban említett feladatai ellátásával kapcsolatban utasításokat senkitől ne fogadjon el. Az adatkezelő vagy az adatfeldolgozó a felelős adatvédelmi tisztviselőt 46. §-ban említett feladatai ellátásával összefüggésben nem válthatja le és szankcióval nem sújthatja. A felelős adatvédelmi tisztviselő közvetlenül az adatkezelő vagy az adatfeldolgozó törvényes képviselőjének tartozik felelősséggel.

(4) Az érintett személy a személyes adatai kezeléséhez és az adatkezeléssel kapcsolatos jogai gyakorlásához kapcsolódó valamennyi kérdésben a felelős adatvédelmi tisztviselőhöz fordulhat.

(5) A felelős adatvédelmi tisztviselőt feladatai teljesítésével kapcsolatban a jelen törvényben vagy külön jogszabályban¹⁵⁾ meghatározott titoktartási kötelezettség köti.

(6) A felelős adatvédelmi tisztviselő a 46. §-ban meghatározottól eltérő más feladatokat és kötelezettségeket is elláthat. Az adatkezelő vagy az adatfeldolgozó biztosítja, hogy e feladatokból ne fakadjon összeférhetetlenség.

(1) Az adatvédelmi tisztviselő főként a következő feladatokat látja el:

a) tájékoztat és szakmai tanácsot ad az adatkezelő vagy az adatfeldolgozó, továbbá az adatkezelést végző alkalmazottak részére a jelen törvény, külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés szerinti kötelezettségeikkel kapcsolatban,

b) ellenőrzi a jelen törvénynek, valamint külön jogszabálynak vagy a Szlovák Köztársaságra nézve kötelező érvényű, adatvédelemre vonatkozó nemzetközi szerződésnek, továbbá az adatkezelő vagy az adatfeldolgozó személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben részt vevő személyzet tudatosság-növelését és képzését, valamint a kapcsolódó auditokat is,

c) kérésre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi a hatásvizsgálat 42. § szerinti elvégzését,

d) feladatai végzése során együttműködik a felügyeleti hatósággal, és

e) az adatkezeléssel összefüggő ügyekben – ideértve a 43. §-ban említett előzetes konzultációt és szükség esetén más konzultációt is – kapcsolattartó pontként szolgál a felügyeleti hatóság felé.

(2) A felelős adatvédelmi tisztviselő feladatait az adatkezelési műveletekhez fűződő kockázat megfelelő figyelembevételével, az adatkezelés jellegére, hatókörére, körülményére és céljára is tekintettel végzi.

Személyes adatok továbbítására – ideértve a személyes adatok harmadik országból vagy nemzetközi szervezettől egy további harmadik országba vagy további nemzetközi szervezet részére történő újbóli továbbítását is –, melyeket harmadik országba vagy nemzetközi szervezet részére történő továbbításukat követően adatkezelésnek vetnek alá vagy szándékoznak alávetni, csak abban az esetben kerülhet sor, ha az adatkezelő és az adatfeldolgozó teljesíti a rögzített feltételeket.

(1) Személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására akkor kerülhet sor, ha a Bizottság megállapította, hogy a harmadik ország, a harmadik ország valamely területe, vagy egy vagy több meghatározott ágazata, vagy a szóban forgó nemzetközi szervezet megfelelő védelmi szintet biztosít. Az ilyen adattovábbításhoz nem szükséges külön engedély.

(2) Ha a Bizottság nem hozott határozatot az 1. bekezdés értelmében, személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására akkor kerülhet sor, ha megfelelő védelmi garanciákat nyújtanak.

(3) A 2. bekezdés szerinti védelmi garanciák anélkül is meghatározhatók, hogy a hatóságtól külön engedélyt kérnének, a következő tényezők figyelembe vételével:

a) a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés,

b) vállalkozások 49. § szerinti belső szabályzatai,

c) a Bizottság által jóváhagyott általános adatvédelmi kikötések,

d) a felügyeleti hatóság által jóváhagyott adatvédelmi kikötések,

e) a 85. § szerint jóváhagyott magatartási kódex együttesen a harmadik ország beli adatkezelő vagy adatfeldolgozó kötelezettségvállalásával megfelelő garanciák nyújtására, kimondottan az érintett személy jogainak védelme céljából, vagy

f) a 86. § szerinti tanúsítvány együttesen a harmadik orszá beli adatkezelő vagy adatfeldolgozó kötelezettségvállalásával megfelelő garanciák nyújtására, kimondottan az érintett személy jogainak védelme céljából.

(4) Megfelelő védelmi garanciák nyújtása a 2. bekezdés értelmében biztosítható a felügyeleti hatóság engedélye alapján is, főként

a) szerződésben lefektetett kikötésekkel az adatkezelő vagy adatfeldolgozó és a harmadik országbeli adatkezelő vagy adatfeldolgozó vagy a nemzetközi szervezet között, vagy

b) közhatalmi vagy egyéb, közfeladatot ellátó szervek között létrejött, közigazgatási megállapodásba beillesztett rendelkezésekkel, melyek hatákony eszközöket tartalmaznak az érintett személyek tényleges jogavédelméhez 100. § szerinti indítvány benyújtására és más jogvédelemhez külön jogszabály¹⁹⁾ alapján..

(1) A felügyeleti hatóság jóváhagyja a belső vállalati szabályokat, ha az:

a) a vállalkozáscsoport vagy a közös gazdasági tevékenységet folytató vállalkozások csoportja minden érintett tagjára, beleértve az alkalmazottakat is, jogilag kötelező erejű, alkalmazandó és általuk érvényesített,

b) kifejezetten rendelkezik az érintetteknek a személyes adataik kezelése tekintetében kikényszeríthető jogairól, és

c) megfelel a 2. bekezdés szerinti követelményeknek.

(2) A belső vállalati szabályok tartalmazzák legalább:

a) a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportja minden egyes tagjának szervezeti felépítését és az elérhetőségét,

b) az adattovábbításokat vagy a továbbítások sorozatát, beleértve a személyes adatok kategóriáit, az adatkezelés fajtáját és céljait, az érintett személyek fajtáit és a szóban forgó harmadik ország vagy országok azonosítását,

c) a szabályzat jogilag kötelező jellegét az adatkezelőre és adatfeldolgozóra nézve,

d) az általános adatvédelmi elvek alkalmazását, különösen a célhoz kötöttséget, az adattakarékosságot, a korlátozott tárolási időtartamokat, az adatminőséget, a speciálisan megtervezett és alapértelmezett adatvédelmet, az adatkezelés jogalapját, a személyes adatok különleges kategóriáinak kezelése jogalapját, az adatbiztonságot garantáló intézkedéseket, valamint az olyan szervezeteknek történő újbóli továbbítás feltételeit, amelyekre nézve nem kötelezőek a kötelező erejű a belső vállalati szabály,

e) az érintett személyek személyes adataik kezelése tekintetében fennálló jogait és e jogok gyakorlásának módjait, beleértve a kizárólag automatizált adatkezelésen – ideértve a 28. § szerinti profilalkotást is – alapuló döntések alóli mentesülés jogát, az érintett 100. §-ban meghatározott jogát, hogy eljárást indíthat, továbbá más, külön jogszabály szerinti¹⁹⁾ jogorvoslathoz való jogát, valamint a belső vállalati szabályok megsértése esetén a kártérítéshez való jogát,

f) a Szlovák Köztársaságban tevékenységi hellyel, szervezeti egységgel, részleggel vagy állandó lakhellyel rendelkező adatkezelő vagy adatfeldolgozó nyilatkozatát, melyben elsismeri felelősségét abban az esetben, ha a belső vállalati szabályokat a csoportnak a tagállamok valamelyikében tevékenységi hellyel, szervezeti egységgel, részleggel vagy állandó lakhellyel nem rendelkező bármely érintett tagja megsérti; az adatkezelő vagy adatfeldolgozó részben vagy egészben csak akkor mentesül e felelőség alól, ha bizonyítja, hogy tagja nem felelős a kár előidézésében,

g) azt, hogy a 19. és a 20. §-ban említetten kívül miként biztosítják az érintett személyeknek a belső vállalati szabályokra, különösen az e bekezdés d)–f) pontja szerinti rendelkezésekre vonatkozó információkat,

h) az adatvédelmi tisztviselő vagy más személy vagy jogalany feladatait, vagy a belső vállalati szabályoknak való megfelelés betartását, valamint a képzés és a panaszkezelés nyomon követési folyamatát,

i) a panasztételi eljárásokat,

j) a belső vállalati szabályoknak való megfelelés ellenőrzésének biztosítására szolgáló, a vállalkozáscsoporton vagy közös gazdasági tevékenységet folytató vállalkozások csoportján belüli mechanizmusokat melyek tartalmazzák az adatvédelmi auditokat és az érintett személyek jogainak védelmét szolgáló korrekciós intézkedéseket biztosító mechanizmusokat; az ilyen eredményeit közölni kell a h) pontban említett adatvédelmi tisztviselővel vagy szervezettel, valamint a vállalkozáscsoportot vagy a közös gazdasági tevékenységet folytató vállalkozások csoportját ellenőrző vállalkozás törvényes képviselőjével, és kérésre az illetékes felügyeleti hatóság rendelkezésére kell bocsátani őket,

k) a belső vállalati szabályok változásainak bejelentésére és rögzítésére, valamint e változásoknak a felügyeleti hatóság számára történő bejelentésére szolgáló mechanizmusokat,

l) a belső vállalati szabályoknak a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportjának tagjai általi betartásának biztosítása érdekében a felügyeleti hatósággal folytatott együttműködési mechanizmust, beleértve különösen azt, hogy a felügyeleti hatóság számára elérhetővé teszik az intézkedések e bekezdés j) pontja szerinti ellenőrzésének eredményeit,

m) arra vonatkozó mechanizmusokat, hogy hogyan kell jelenteni az illetékes felügyeleti hatóság számára a vállalkozáscsoport vagy közös gazdasági tevékenységet folytató vállalkozások csoportjának tagjára valamely harmadik országban vonatkozó azon jogszabályokat, amelyek valószínűsíthetően jelentős mértékben hátrányosan érintenék a belső vállalati szabályokban előírt garanciákat, valamint

n) a személyes adatokba állandó jelleggel vagy rendszeresen betekintő természetes személyeknek nyújtandó megfelelő adatvédelmi képzést.

Valamely harmadik ország bíróságának, törvényszékének vagy közigazgatási hatóságának olyan ítélete, amely valamely adatkezelő vagy adatfeldolgozó számára személyes adatok továbbítását vagy közlését írja elő, kizárólag akkor ismerhető el vagy hajtható végre, ha az a Szlovák Köztársaságra vagy az Európai Unióra nézve kötelező érvényű, az adatok megismerését igénylő harmadik országgal megkötött nemzetközi megállapodáson alapul.

(1) A 48. § 1. bekezdése szerinti megfelelőségi határozat, illetve a 48. § 2–4. bekezdése szerinti megfelelő garanciák hiányában – beleértve a belső vállalati szabályokat is –, a személyes adatok harmadik ország vagy nemzetközi szervezet részére történő továbbítására, vagy többszöri továbbítására csak az alábbi feltételek legalább egyikének teljesülése esetén kerülhet sor:

a) az érintett személy kifejezetten hozzájárulását adta a tervezett továbbításhoz azt követően, hogy tájékoztatták az adattovábbításból eredő – a megfelelőségi határozat és a megfelelő garanciák hiányából fakadó – esetleges kockázatokról,

b) az adattovábbítás az érintett személy és az adatkezelő közötti szerződés teljesítéséhez, vagy az érintett személy kérésére meghozott, szerződést megelőző intézkedések végrehajtásához szükséges,

c) az adattovábbítás az adatkezelő és valamely más természetes vagy jogi személy közötti, az érintett érdekét szolgáló szerződés megkötéséhez vagy teljesítéséhez szükséges,

d) az adattovábbítás külön jogszabály szerinti vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződésen alapuló fontos közérdekből szükséges,

e) az adattovábbítás az éritt személy jogi igényének előterjesztése, érvényesítése és védelme miatt szükséges,

f) az adattovábbítás az érintett vagy valamely más személy életének, egészségének vagy vagyonának védelme miatt szükséges, ha az érintett személy fizikailag vagy jogilag képtelen a hozzájárulás megadására, vagy

g) a továbbított adatok olyan nyilvántartásból származnak, amely a különleges jog vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés értelmében a nyilvánosság tájékoztatását szolgálja, és amely a nyilvánosság számára betekintés céljából hozzáférhető, de csak ha külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés által megállapított feltételek teljesülnek.

(2) Ha az adattovábbítás nem alapulhat a 48. § rendelkezésein, és az 1. bekezdésben említett egyedi helyzetekre vonatkozó eltérések egyike sem alkalmazandó, harmadik országok és nemzetközi szervezetek részére történő adattovábbítás csak akkor történhet, ha 

a) az adattovábbítás nem ismétlődő jellegű,

b) csak korlátozott számú érintett személyre vonatkozik, 

c) az adatkezelés az adatkezelő olyan kényszerítő erejű jogos érdekében szükséges, amely érdekhez képest nem élveznek elsőbbséget az érintett személyek jogai és érdekei, és

d) az adatkezelő az adattovábbítás minden körülményét megvizsgálta, és e vizsgálat alapján megfelelő garanciákat nyújtott a személyes adatok védelme tekintetében. 

(3) Az adatkezelőnek előzetesen tájékoztatnia kell a felügyeleti hatóságot a 2. bekezdés szerinti adattovábbításról. Az adatkezelő a 19. és a 20. §-ban említett információk nyújtásán kívül az érintett személyt tájékoztatja a 2. bekezdés szerinti adattovábbításról, valamint az adatkezelő kényszerítő erejű jogos érdekéről a 19. §-ban megszabott határidőn belül.

(4) Az 1. bekezdés g) pontja szerinti adattovábbítás nem érintheti a nyilvántartásban szereplő személyes adatok vagy személyes adatok kategóriáinak összességét. Ha a nyilvántartásba kizárólag olyan személyek tekinthetnek be, akiknek ehhez jogos érdeke fűződik, az adattovábbításra kizárólag e személyek kérelmére kerülhet sor, illetve abban az esetben, ha ők a címzettek.

(5) Az 1. bekezdés a)–c) pontjai, valamint a 2. bekezdése nem alkalmazandó a közhatalmi szervek által közhatalmi jogosítványaik gyakorlása során végzett tevékenységekre.

A büntetőjogi felelősség megállapítására vonatkozó személyes adatoknak a kezelésével kapcsolatok feladatokra egyaránt vonatkoznak a 6. §, a 8. §, a 9. §, a 11. §, 12. és 13. § 2. bekezdésének rendelkezései.

Személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azok nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon; ugyanazon illetékes hatóság vagy más illetékes hatóság jogosult a személyes adatok kezelésére archiválás céljából, tudományos célból, történelmi kutatási célból vagy statisztikai célból büntetőjogi felelősség megállapítására vonatkozó feladatokkal kapcsolatosan, ha megfelelő adatvédelmi garanciákat léptetnek életbe.

A személyes adatokat olyan formában kell tárolni, amely az érintett személy azonosítását legfeljebb addig teszi lehetővé, amíg azt az adatkezelés célja szükségessé teszi.

(1) Az illetékes hatóság jogosult személyes adatok kezelésére büntetőjogi felelősség megállapítására vonatkozó feladatokkal kapcsolatosan a jelen törvénnyel összhangban, külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényú nemzetközi szerződés értelmében.

(2) Személyes adatokat kezelni büntetőjogi felelősség megállapítására vonatkozó feladatokkal kapcsolatosan, ha azok más célból kerültek kezelésre, akkor lehetséges, ha a személyes adatok büntetőjogi felelősség megállapítására vonatkozó feladatokkal kapcsolatos kezelése szükségszerű és arányos mértékű.

(3) Az illetékes hatóság jogosult személyes adatok más célból való kezelésére, mint a büntetőjogi eljárással kapcsolatosan, ha az összeegyeztethető a kezelés eredeti céljával és ha az az ezen más cél szempontjából szükségszerű és arányos mértékű. A személyes adatok más célból való kezelésére külön jogszabály²⁾ vonatkozik, ha személyes adatok olyan tevékenységekkel kapcsolatos kezeléséről van szó, amely az Európai Unió jogrendjének hatálya alá esik; ha személyes adatok olyan tevékenységekkel kapcsolatos kezeléséről van szó, amely nem tartozik az Európai Unió jogrendjének hatálya alá, a személyes adatok más célú kezelésére a jelen törvény rendelkezései vonatkoznak, kivéve a törvény ezen részét.

(4) Ha az illetékes hatóság más tevékenységet végez, mint a büntetőjogi eljárásokkal kapcsolatos feladatok ellátása, a személyes adatok más tevékenységekkel kapcsolatos kezelésére külön jogszabály²⁾ vonatkozik, amennyiben az Európai Unió jogrendjének alávetett tevékenységekről van szó; ha személyes adatok kezelése amely nem tartozik az Európai Unió jogrendjének alávetett tevékenységhez, a személyes adatok más célú kezelésére a jelen törvény rendelkezései vonatkoznak, kivéve a törvény ezen részét.

(1) Különleges személyes adatokat az illetékes hatóság csak akkor kezelhet, ha

a) azt bizonyíthatóan az érintett személy bocsátotta a rendelkezésére,

b) a kezelésük elengedhetetlen külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés szerint, vagy

c) a kezelésük elengedhetetlen az érintett személy vagy más természetes személy életének, egészségének és vagyonának védelme érdekében.

(2) Az illetékes hatóság köteles a személyes adatok kezelése során megfelelő garanciákat foganatosítani az érintett személy jogainak védelme érdekében.

Az illetékes hatóság, amennyiben az lehetséges, köteles különbséget tenni az érintett személyek különböző kategóriáinak személyes adatai között, főként akik:

a) olyan személyek, akik esetében megalapozottan valószínűsíthető, hogy bűncselekmény követtek el vagy fognak elkövetni,

b) bűncselekmény elkövetéséért elítélt személyek,

c) bűncselekmény áldozatai vagy olyan személyek, akik esetében bizonyos tények alapján megalapozottan valószínűsíthető, hogy bűncselekmény áldozatai vagy áldozattá válhatnak,

d) más, bűncselekménnyel kapcsolatos harmadik személyek, mégpedig olyan személyek, akik felszólíthatók, hogy büntetőeljárásban tanúskodjanak, személyek, akik bűncselekmény elkövetéséről információt nyújthatnak, vagy az a) vagy b) pontban említett személy kapcsolattartói vagy társai.

(1) Amennyiben az lehetséges, az illetékes hatóság megkülönbözteti a tényeken alapuló személyes adatokat és a szubjektív értékelésekből származó személyes adatokat. 

(2) Az illetékes hatóság az adatátvitel megvalósítása előtt ellenőrzi a személyes adatok helyességét, teljességét és időszerűségét, ha az lehetséges, és intézkedéseket hoz annak biztosítása érdekében, hogy nem nyújtson vagy adjon át olyan személyes adatokat, amelyek hibásak, hiányosak vagy elavultak.

(3) Az illetékes adatokhoz átadás vagy átvitel esetén hozzáférhető információkat csatol, amelyek a fogadó illetések hatóságnak lehetővé teszik a kapott adatok helyessége, teljessége és időszerűsége mértékének elbírálását, amennyiben azt a körülmények engedik. A helytelen személyes adatokat az illetékes hatóság nem adhatja tovább vagy viheti át; a nem hiteles személyes adatokat adatátvitel vagy adatszolgáltatás esetén az illetékes hatóság köteles megjelölni és köteles feltűnteni a megbízhatóságuk mértékét. Ha az illetékes hatóság adatátvitel vagy adatszolgáltatás esetén jogosulatlanul jár el vagy helytelen személyes adatokat nyújt, köteles felesleges halogatás nélkül tájékoztatni róla a fogadó felet és felkérni az adatkezelés címzettjeit, akiknek ilyen adatokat közvetített, hogy haladéktalanul javítsák ki, egészítsék ki, töröljék azokat, vagy korlátozzák az ilyen személyes adatok kezelését.

Az illetékes hatóságok büntetőeljárási célú adatkezelési feladatainak eljárására teljes mértékben vonatkoznak a 29. § rendelkezései.

(1) Az illetékes hatóság honlapján mindenképpen nyilvánosságra hozza:

a) azonosító adatait és elérhetőségeit,

b) az adatvédelmi tisztviselő elérhetőségeit,

c) az adatkezelés célját, melyre a személyes adatok szolgálnak,

d) a hatóság elérhetőségeit,

e) a tájékoztatást a 100. § szerinti eljárás indításának lehetőségéről,

f) a tájékoztatást, hogy az érintett személy kérheti az illetékes hatóságtól a személyes adataihoz való hozzáférést, a személyes adatai javítását, törlését vagy kezelésük korlátozását.

(2) Az érintett személy kérésére az illetékes hatóság különleges esetben köteles az érintett személyt tájékoztatni

a) a személyes adatok kezelésének jogalapjáról,

b) a személyes adatok tárolásának időtartamárók; ha ez nem lehetséges, a tájékoztatást a meghatározásának feltételeiről,

c) a személyes adatok címzettjeiről, beleértve a harmadik országbeli címzetteket és nemzetközi szervezeteket,

d) más tényekről, különösen akkor, ha a személyes adatokat az érintett személy tudta nélkül kezelik.

Az érintett személynek joga van az illetékes hatóságtól igazolást kérni arról, hogy kezelnek-e rá vonatkozó személyes adatokat, és ha igen, joga van hozzáférést kapni ezekhez a személyes adatokhoz és tájékoztatást kapni arról, hogy

a) milyen céllal kezelik személyes adatait és mi az adatai kezelésének törvényes alapja,

b) személyes adatai mely kategóriáit kezelik,

c) a címzettekről vagy címzettek kategóriáiról, melyeknek a személyes adatait átadták vagy át fogják adni, elsősorban a harmadik országbeli címzettekről vagy nemzetközi szervezetekről,

d) a személyes adatok tárolásának időtartamáról; ha ez lehetetlen, az időtartam meghatározásának szempontjairól,

e) joga van az illetékes hatóságnál kérni személyes adatai kijavítását vagy törlését, vagy a személyes adatok kezelésének korlátozását, vagy kifogással élhet személyes adatai kezelésével szemben,

f) a hivatal elérhetőségének adatairól, 

g) joga van eljárást indítani a 100. § rendelkezései értelmében,

h) a személyes adatok milyen forrásból származnak, ha ilyenek hozzáférhetőek.

(1) Az érintett személynek joga van ahhoz, hogy az illetékes hatóság felesleges halogatás nélkül kijavítsa hibás személyes adatait, melyek rá vonatkoznak. A személyes adatok kezelésének céljára való tekinettel az érintett személynek joga van hiányos személyes adatainak kiegészítéséhez.

(2) Az érintett személynek joga van ahhoz, hogy az illetékes hatóság felesleges halogatás nélkül törölje a rá vonatkozó személyes adatokat, és az illetékes hatóság köteles felesleges halogatás nélkül törölni a személyes adatokat, ha

a) a személyes adatok kezelése a személyesadat-kezelésre vonatkozó, 52–55. §-ban lefektetett elvekbe ütközik,

b) a személyes adatok kezelése az 56. § elveibe ütközik, vagy

c) a személyes adatok törlése elengedhetetlen a jelen törvény szerinti, külön jogszabályból vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződésből fakadó kötelességek teljesítése végett.

(3) Törlés helyett az illetékes hatóság korlátozza a személyes adatok kezelését, ha

a) az érintett személy megtámadta személyes adatai helyességét és azok helyességét vagy helytelenségét nem lehet eldönteni, vagy

b) a személyes adatokat bizonyítás céljából meg kell őrizni.

(4) Ha a személyes adatok kezelése a 3. bekezdés a) pontja szerint korlátozásra kerül, az illetékes hatóság köteles a személyesadat-kezelés korlátozásának feloldása előtt e tényről tájékoztatni az érintett személyt.

(5) Az illetékes hatóság köteles az érintett személyt írásban tájékoztatni az 1. bekezdésben lefektetett adatjavításhoz való joga, a 2. bekezdés szerinti adattörléshez való joga vagy a 3. bekezdés szerinti adatkezelés-korlátozási joga elutasításáról és az elutasítás indokairól.

(1) Az illetékes hatóság elnapolhatja a tájékoztást, korlátozhatja a tájékoztatást vagy elhagyhatja a 60. § 2. bekezdése szerinti tájékoztatást, teljes egészében vagy részlegesen korlátozhatja a 61. § szerinti hozzáféréshez való jogot vagy teljes egészében vagy részlegesen korlátozhatja a 65. § 5. bekezdése szerinti tájékoztatási kötelességét, ha

a) az a hatósági eljárás vagy bírósági eljárás vagy nyomozás befolyásolását vagy meghiúsulását vonhatná maga után,

b) veszélyeztethetné a büntetőeljárás céljait szolgáló feladatok teljesítését,

c) az szükséges a közrend vagy az állambiztonság védelmének biztosítása érdekében, vagy

d) az szükséges más személyek jogainak védelme érdekében.

(2) Külön jogszabály meghatározhatja a személyes adatok azon kategóriáit, amelyekre az 1. bekezdés rendelkezései vonatkoznak.

(3) Az illetékes hatóság köteles az érintett személyt írásban tájékoztatni a 61. §-ban lefektetett adathozzáférési joga elutasításáról vagy hozzáférési joga korlátozásáról, és az elutasítás vagy korlátozás indokairól; ez nem érvényes, ha az ilyen tájékoztatással veszélybe sodorná az 1. bekezdés szerinti célokat.

(4) Az illetékes hatóság köteles dokumentálni a tényekból fakadó indokokat vagy a jogi indokokat, melyek alapján a 61. § szerinti hozzáférési jogot korlátozta, ezt kérésre fel kell mutatnia a felügyeleti hivatalnak.

(5) Ha az illetékes hatóság korlátozza a tájékoztatásnyújtást vagy korlátozza az érintett személy jogait az 1. bekezdés értelmében, köteles az érintett személyt írásban tájékoztatni azon jogáról, hogy a 100. § szerint értelmében eljárást kezdeményezhet, beleértve a jogát az illetékes hatóság 1. és 3. bekezdés szerinti eljárása törvényességének felügyeleti hatóság általi felülvizsgálatát, valamint az érintett személy jogai védelmének egyéb fajtáit.¹⁹⁾

Az illetékes hatóság köteles értesítést kiadni a helytelen személyes adatok kijavítását az illetékes hatóságnak, melytől a helytelen személyes adatokat megkapta. Ha az illetékes hatóság a helytelen személyes adatokat kijavítja, törli vagy kezelésüket korlátozza a 62. § 1–3. bekezdése értelmében, tájékoztatja róla a címzettet, aki vagy amely szintén köteles az ilyen személyes adatokat kijavítani, törölni vagy kezelésüket korlátozni.

A 61–64. § rendelkezései nem érvényesek, ha olyan személyes adatokról van szó, amelyek nyomozati iratok vagy bírósági periratok részét képezik büntetőjogi eljárás keretében; a jelen rendelkezésekben feltüntetett jogok külön jogszabály²¹⁾ szerint érvényesíthetők.

(1) Az érintett személy jogosult arra, hogy az illetékes hatóság rá nézve kedvezőtlen joghatással járó döntése ne alapulhasson kizárólag automatizált adatkezelésen – ideértve a profilalkotást is –, ha külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés másként nem rendelkezik. A külön jogszabálynak vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződésnek elegendő garanciát kell tartalmaznia az érintett személy jogainak védelmére nézve, főként arra, hogy meggyőződhessen róla, hogy az illetékes hatóság nem automatizált adatkezeléssel hozta meg a döntését.

(2) Az 1. bekezdés szerinti döntés nem alapulhat személyi adatok különleges kategóriáin, ha nem érvényesülhetnek megfelelő az érintett személy jogait és törvényből fakadó érdekeit biztosító intézkedések.

(3) A profilalkotás, mely a személyes adatok különleges kategóriái alapján személyek diszkriminációjához vezet, tilos.

Az illetékes hatóság büntetőeljárás céljait szolgáló személyesadat-kezelésére egyenlő mértékben vonatkoznak a 31. §, a 32. §, a 33. § 1. és 3. bek., a 34. §, a 36. §, a 37. §, a 39–41. §, a 42. § 1–5. és 7. bek. és a 44–46. § rendelkezései.

(1) Az illetékes hatóság háromévente egyszer felülvizsgálja, hogy a kezelt személyes adatok továbbra is szükségeke-e a büntetőeljárás céljait szolgáló feladatok teljesítéséhez, ha külön jogszabály másként nem rendelkezik.

(2) Az illetékes hatóság feljegyzést vezet azokról az adatkezelési tevékenységekről, amelyekért felelős. Az adatkezelési tevékenységről szóló feljegyzésnek a 37. §-ban szereplő adatok mellett tartalmaznia kell a tájékoztatást, hogy

a) profilalkotást használt, ha az illetékes hatóság szándéka a profilalkotás, 

b) az adatkezelési művelet jogi alapjáról, beleértve az adatátvitelt is, melyre a személyes adatokat szánja.

(1) Az illetékes hatóság a személyes adatok megszerzésében, letöltésében, átadásában – beleértve a továbbítást az automatikus adatkezelési folyamatokban – megőrzi a naplófájlokat. A letöltési és továbbadási naplófájlból egyértelműen meg kell tudni határozni a letöltés vagy továbbadás okát, dátumát és időpontját, valamint a személyes adatokat letöltő vagy továbbadó személy azonosító adatait, illetve a címzettek kilétét.

(2) Az illetékes hatóság kizárólag a személyes adatok kezelése törvényességének ellenőrzése és követése céljából használja fel és tárolja a naplófájlokat, a személyes adatok integritása és biztonsága érdekében és büntető eljárási célokból.

(3) Az illetékes hatóság és az adatfeldolgozója kérésre a hivatal rendelkezésére bocsátja a naplófájlokat, ha azok elérhetők.

 

(1) Az illetékes hatóság előzetes konzultációt valósít meg a felügyeleti hatósággal azon személyes adatok kezelése előtt, amelyek az új információs rendszer fogják képezni, ha a 42. § szerinti adatvédelmi hatásvizsgálatból egyértelmű, hogy az ilyen adatkezelés nagyfokú kockázatot hordoz a természetes személyekre nézve, amennyiben az illetékes hatóság nem léptet életbe e kockázatot csökkentő intézkedéseket vagy a kezelés típusával, főként az új technológiákkal, mechanizmusokkal és eljárásmódokkal kapcsolatos intézkedéseket, ha azokhoz az érintett személy jogai megsértésének nagyfokú kockázata társul.

(2) Az illetékes hatóság az előzetes konzultációval együtt az általa elvégzett, 42. § szerinti adatvédelmi hatásvizsgálatot is a hivatal részére bocsátja, valamint a hivatal kérésére minden további adatot, amelyek lehetővé teszik a hivatal részére megítélni a személyes adatok kezelésének összhangját a jelen törvénnyel és főként az érintett személyt fenyegető veszélyt az adatvédelem és az összefüggő biztosítékok szempontjából.

(3) Ha a hivatal úgy véli, hogy az 1. bekezdés szerinti adatkezelés törvénysértő lehetne, főleg, ha az illetékes hatóság nem megfelelő mértékben azonosította be a kockázatot vagy alábecsülte a kockázatot, a hivatal az előzetes konzultációt kérő kérvény beérkezésétől számított hat héten belül az illetékes hatóságnak vagy az adatkezelőjének is írásbeli tanácsadást nyújt. A hivatal a tervezett személyesadat-kezelés bonyolultságára való tekintettel az előző mondat szerinti határidőt egy hónappal meghosszabbíthatja; a határidő meghosszabbításáról és annak okairól a hivatal értesíti az adatkezelőt, esetleg az adatfeldolgozót is, a konzultációs kérelem kézhez vételétől számított egy hónapon belül. A hivatal tanácsadói határidejének múlása szünetel mindaddig, míg a hivatal nem kapja meg azokat az információkat, amelyeket az előzetes konzultáció céljaira bekért.

(4) A további adatkezelési műveleteket, melyekre vonatkozóan előzetes konzultációs kötelezettséget írnak elő az illetékes hatóságnak az 1. bekezdés értelmében, általános érvényű jogszabály határozza meg, melyet a felügyeleti hivatal ad ki.

Az illetékes hatóság vagy az illetékes hatóság adatfeldolgozója az automatizált adatkezelési eljárásban a kockázatok kiértékelése után intézkedést hoz

a) a berendezésekhez való hozzáférés ellenőrzéséről, hogy megakadályozza illektéktelenek hozzáférését a személyes adatok kezelését szolgáló azon berendezésekhez, melyeket a személyesadat-feldolgozásra használnak,

b) a személyes adatokat tartalmazó adathordozók ellenőrzéséről, hogy elejét vegye a személyes adatokat tartalmazó adathordozók olvasásának, a személyes adatokat tartalmazó adathordozók másolásának, a személyes adatokat tartalmazó adathordozók módosításának vagy a személyes adatokat tartalmazó adathordozók törlésének,

c) a személyes adatok tárolásának ellenőrzéséről, hogy elejét vegye személyes adatok illetéktelen elhelyezésének az információs rendszerekben és a személyes adatok illetéktelen letöltésének az információs rendszerekből, személyes adatok módosításának az információs rendszerekben vagy személyes adatok törlésének az információs rendszerekből,

d) az információs rendszerhez való hozzáférés ellenőrzését, hogy megakadályozza az automatizált adatkezelési rendszerek arra illetéktelenek általi használatát az adatátvitelre szolgáló berendezések segítségével, 

e) a személyes adatokhoz való hozzáférés ellenőrzését annak biztosítása érdekében, hogy az automatizált adatkezelési rendszer használatára jogosult személyek csak azokhoz a személyes adatokhoz jussanak hozzá, amelykre a hozzáférési jogosítványuk vonatkozik,

f) az adatátvitel ellenőrzését annak biztosítása érdekében, hogy ellenőrizze és azonosítsa azon jogalanyokat, akik vagy amelyek a személyes adatokat megkapták vagy akiknek vagy amelyeknek továbbítva lettek, vagy ellenőrizze és azonosítsa azokat a jogalanyokat, akik vagy amelyek a személyes adatokat megkaphatják vagy akiknek vagy amelyeknek továbbítva lehetnek adatátvitelre szolgáló berendezések közvetítésével,

g) az adatok információs rendszerekbe történő elhelyezését annak biztosítása érdekében, hogy ellenőrizhető és megállapítható lesz, mely személyek helyezték el a személyes adatokat az automatizált adatkezelési rendszerben, hogy mikor és ki helyezte el azokat,

h) az adatforgalom ellenőrzését, hogy elejét vegyék a személyes adatok illetéktelenek általi olvasásának, a személyes adatok másolásának, a személyes adatok módosításának vagy a személyes adatok törlésének adatátvitel alatt vagy a személyesadat-hordozók szállítása alatt,

i) a személyes adatok megújítását annak biztosítása érdekében, hogy az istallált rendszerek felújíthatók, ha üzemzavar áll be rajtuk,

j) az információs rendszer megbízhatóságának biztosítását annak érdekében, hogy e rendszer funkciói működnek, és jelzik a hibákat a funkciókon belül,

k) az információs rendszer integritásának biztosítását, hogy a tárolt személyes adatok nem sérülhetnek meg, ha a rendszerben üzemzavar lép fel.

(1) Az illetékes hatóság köteles indokolatlan késedelem nélkül bejelenteni a 40. § 4. bek. szerinti adatokat a büntetőeljáráshoz kapcsolódó feladatok teljesítésére jogosult tagállam illetékes hatóságának, ha a személyes adatok védelmének sérelme olyan személyes adatokat tartalmaz, melyek átvitelét olyan tagállam illetékes hatósága hajtotta végre, amely büntetőeljáráshoz kapcsolódó feladatok teljesítésére jogosult, vagy az adatokat címzettje ilyen hatóság volt.

(2) Az illetékes hatóság a 41. § szerint előírt bejelentést elnapolhatja az adatvédelmi incidensről, korlátozhatja az adatvédelmi incidensről szóló bejelentést vagy eltekinthet az adatvédelmi incidens bejelentésétől az érintett személy vonatkozásában, ha 

a) azzal befolyásolhatná vagy meghiúsíthatná a hatósági eljárást, vagy a bírósági eljárást vagy viszgálatot,

b) veszélyeztethetné a büntetőjogi eljárással kapcsolatos feladatok teljesítését,

c) az szükséges a közrend védelmének biztosítása, az állambiztonság érdekében, vagy

d) az szükséges más személyek jogainak védelme érdekében.

 

(1) Az illetékes hatóság büntetőeljárás céljait szolgáló személyesadat-kezelési feladatellátására egyenlő mértékben vonatkoznak a 48. § 1. bek. és az 50. §-ban lefektetett rendelkezések.

(2) A büntetőeljárási feladatokat ellátó illetékes hatóságok és a büntetőeljárási feladatokat ellátó illetékes tagállami hatóságok közötti adatátvitel garantált, ha az ilyen adatátvitelt külön jogszabály szerint vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés megköveteli.

(1) Azon személyes adatok átvitelét, amelyeket harmadik országba történő vagy nemzetközi szervezethez való átvitel céljából kezelnek vagy átvitelt követő kezelésre szánnak, beleértve a személyes adat későbbi újabb átvitelét más harmadik országba vagy más nemzetközi szervezethez, az illetékes hatóság csak akkor hajthatja végre, ha

a) az adatátvitel büntetőeljárás feladatainak teljesítése céljából szükséges,

b) a személyes adatokat harmadik országbeli üzemeltetőnek vagy nemzetközi szervezetnek továbbítják, amely büntetőeljárás feladatainak teljesítésére jogosult hatóság, amennyiben a 77. § 1. bekezdése másként nem rendelkezik,

c) a tagállam belső jogrendjével összhangban engedélyt adtott az adatátvitelre még az adatátvitel megvalósulása előtt, amennyiben más tagállamból származó személyes adatok átviteléről vagy átadásáról van szó,

d) a Bizottság határozatot hozott az arányosságról a 48. § 1. bek. értelmében, vagy megfelelő garanciákat nyújtottak vagy megfelelő garanciák léteznek a 75. § értelmében, vagy különleges esetekre vonatkozóan érvényesek a 76. § szerinti kivételek,

e) későbbi újabb adatátvitel esetén más harmadik országba vagy más nemzetközi szervezethez, az illetékes hatóság, amely az eredeti adatátvitelt végrehajtotta, vagy a Szlovák Köztársaság más illetékes hatósága engedélyt ad ki a további adatátvitelre, mégpedig a releváns tények alapos mérlegelésével, beleértve a bűncselekmény súlyosságát, a célt, mely érdekében a személyes adatok átvitelére eredetileg sor került, valamint a személyes adatok védelmének színvonalát a harmadik országban vagy a nemzetközi szervezetnél, ahová vagy amelyhez a személyes adatok további átvitele történik.

(2) Személyes adat későbbi újabb átvitelét más harmadik országba vagy más nemzetközi szervezethez az 1. bekezdés c) pontja szerinti tagállami engedély nélkül csak akkor lehet megvalósítani, ha az adatátvitel elengedhetetlenül szükséges a tagállam vagy harmadik ország közvetelen és komoly közbiztonsági fenyegetettségének vagy alapvető érdekei veszélyeztetésének végett, és az előzetes engedélyezés megszerzésre nincs idő;az előzetes engedély kiadására jogosult hatóságot e zényről haladéktalanul tájékoztatni kell.

(3) Ha az illetékes hatóság olyan személyesadat-továbbítást hajt végre, amelynek a kezelésére külön jogszabály szerinti külön kezelési feltételek vonatkoznak, e feltételekről és a feltételek betartásának kötelességéről tájékoztatnia kell a címzettet. Személyes adatok más tagállam beli címzettnek vagy ügynökségnek, hatóságnak vagy az Európai Unió szervének történő továbbítása esetén az illetékes hatóság nem alkalmazhat más feltételeket, csak olyanokat, amilyenek a személyes adatok átvitelére a Szlovák Köztársaságban vonatkoznak.

(1) Ha nem létezik Bizottság által meghozott megfelelőségi határozat a 48. § 1. bekezdése szerint, az illetékes hatóság csak abban az esetben továbbíthat személyes adatokat harmadik országba vagy nemzetközi szervezet részére, ha

a) külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező erejű nemzetközi szerződés megfelelő garanciákat biztosít a személyes adatok védelmére, vagy 

b) az illetékes hatóság elbírálta a személyes adatok átvitelének körülményeit és arra a következtetésre jutott, hogy megfelelő garanciák állnak fenn a személyes adatok védelmére.

(2) Az illetékes hatóság tájékoztatja a felügyeleti hivatalt az 1. bekezdés b) pontja szerinti adatátviteli kategóriákról. 

(3) Ha az illetékes hatóság 1. bekezdés b) pontja szerinti adatátvitelt hajt végre, az adatátvitelt dokumentálnia kell; a dokumentációt kérésre bemutatja a felügyeleti hivatalnak. A dokumentációban fel kell tünteni az adatátvitel dátumát és időpontját, a címzett illetékes hatóságról szóló tájékoztatást, a személyes adatok átvitelének indoklását és a továbbított személyes adatokat.

(4) A Bizottság által meghozott döntéssel a 48. § 1. bekezdése szerinti megfelelőségi határozat megszüntetéséről, módosításáról vagy felfüggesztéséről, nem változik az 1. bekezdés és a 76. § zerinti adatátvitel feltételrendszere.

(1) Ha nem létezik Bizottság által meghozott megfelelőségi határozat a 48. § 1. bekezdése vagy a 75. § szerint, az illetékes hatóság csak abban az esetben továbbíthat személyes adatokat harmadik országba vagy nemzetközi szervezet részére, ha az adatátvitel szükségszerű

a) az érintett személy vagy más személy életének, egészségének vagy vagyonának védelme érdekében,

b) az érintett személy jogos érdekeinek védelme érdekében, ha külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés úgy rendelkezik,

c) a tagállam vagy harmadik ország közbiztonsága komoly és közvetlen veszélyeztetésének megelőzése végett,

d) egyedi esetekben büntetőeljárási feladatok teljesítése céljából, vagy

e) egyedi esetben jogigények érvényesítéséhez büntetőeljárási feladatok teljesítésével összefüggésben.

(2) Az 1. bekezdés szerinti adatátvitel nem valósítható meg, ha az illetékes hatóság, amely az adatátvitelt végrehajtja, úgy dönt, hogy az érintett személy jogai felülírják az 1. bekezdés d) és e) pontja szerinti adatátvitelhez fűződő közérdeket.

(3) Ha az adatátvitel az 1. bekezdés szerint valósul meg, az adatátvitelt dokumentálnia kell; a dokumentációt kérésre bemutatja a felügyeleti hivatalnak. A dokumentációban fel kell tünteni az adatátvitel dátumát és időpontját, a címzett illetékes hatóságról szóló tájékoztatást, a személyes adatok átvitelének indoklását és az átadott személyes adatokat.

(1) Az illetékes hatóság egyedi esetekben személyesadat-átvitelt hajthat végre harmadik országban székhellyel, vállalkozási hellyel, szervezeti egységgel, üzemrészleggel vagy állandó lakhellyel bíró címzettnek, ha az adatátvitel más, jelen törvényben meghatározott feltételei mellett

a) az adatátvitel az azt megvalósító illetékes hatóság büntetőeljárási feladatainak teljesítése céljából szükséges,

b) az adatátvitelt megvalósító illetékes hatóság eldönti, hogy az érintett személy jogai nem írják felül az adatátvitelhez fűződő közérdeket, melyből az adatátvitel szükségszerűsége fakad,

c) az adatátvitelt megvalósító illetékes hatóság úgy véli, hogy az adatátvitel annak a hatóságnak, mely a harmadik országban a büntetőeljárási feladatok teljesítésére hivatott, nem hatékony vagy alkalmatlan, főként azért, mert az adatátvitel megfelelő időhorizontban nem hajtható végre,

d) az adatátvitelt megvalósító harmadik országbeli illetékes hatóságot, mely a büntetőeljárási feladatok teljesítésére hivatott, felesleges késedelem nélkül tájékoztatni kell, kivéve azon eseteket, amikor az ilyen intézkedés hatástalan vagy alkalmatlan lenne, és

e) az adatátvitelt megvalósító illetékes hatóság tájékoztatja a címzettet a konkrét célról vagy célokról, melyekre a címzett a továbbított adatokat kezelheti, ha az ilyen kezelés elengedhetetlen.

(2) Az 1. bekezdés szerinti harmadik országbeli címzettnek történő adatátvitellel nem sérül a Szlovák Köztársaságra nézvé kötelező joghatályú büntetőjogi igazságügyi és rendőri együttműködési nemzetközi szerződés.

(3) Az illetékes hatóságnak, mely adatátvitelt hajt végre az 1. bekezdés szerint, erről tájékoztatnia kell a felügyeleti hivatalt.

(4) Ha az illetékes hatóság adatátvitelt valósít meg az 1. bekezdés értelmében, azt dokumentálnia kell.

(1) Az adatkezelő az érintett személy beleegyezése nélkül kezelhet személyes adatokat akkor is, ha a személyes adatok kezelése feltétlenül szükséges tudományos, művészeti vagy irodalmi célokból; ez nem érvényes, ha a személyes adatok ilyen célú kezelésével az adatkezelő megsérti az érintett személy személyiségvédelmi jogait vagy magánélete védelméhez fűződő jogait, vagy az ilyen, az érintett személy beleegyezése nélküli adatkezelést külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés kizárja.

(2) Az adatkezelő az érintett személy beleegyezése nélkül kezelhet személyes adatokat akkor is, ha a személyes adatok kezelése feltétlenül szükséges tömegtájékoztatási eszközökön keresztüli tájékoztatás céljából és ha a személyes adatokat olyan adatkezelő kezeli, amelynek az a vállalkozói tevékenysége tárgyából ered; ez nem érvényes, ha a személyes adatok ilyen kezelésével sérül az érintett személy személyiségvédelemhez fűződő joga, vagy az ilyen, az érintett személy beleegyezése nélküli adatkezelést külön jogszabály vagy magánélete védelméhez fűződő joga, vagy ha azt külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés kizárja.

(3) Az adatkezelő, mely az érintett személy munkáltatója, jogosult a személyes adatai továbbítására vagy a személyes adatai közzétételére a tudományos címe, családi és utóneve, munkabeosztása, szolgálati beosztása, tisztsége, alkalmazotti személyi száma vagy alkalmazotti nyilvántartási száma, szakalakulata, munkavégzési helye, telefonszáma, fax-száma, munkahelyi elektronikus levélcíme és munkáltatója azonosító adatai mértékében, ha ez munkafeladatai, szolgálati feladatai vagy a tisztségével kapcsolatos feladatok teljesítése végett szükséges. A személyes adatok kiadása vagy továbbítása nem sértheti az érintett személy komolyságát, méltóságát és biztonságát.

(4) A személyes adatok kezelése során a természetes személy azonosításának céljaira csak akkor használható fel az általánosan alkalmazott, külön jogszabály szerinti azonosító,²²⁾ ha annak használata feltétlenül szükséges az adatkezelés adott céljának eléréséhez. Az egyetértést az általánosan alkalmazott azonosító használatával kimondottan meg kell adni és nem nem zárhatja ki ezt külön jogszabály sem, ha az érintett személy hozzájárulásán nyugvó jogalap teremti meg a feltételt az adatkezelésre. Az általánosan alkalmazott azonosítót nyilvánosságra hozni tilos; ez nem érvényes, ha az általánosan alkalmazott azonosítót maga az érintett személy teszi közzé.

(5) Az adatkezelő genetikai adatokat, biometrikus adatokat és egészségügyi adatokat törvényből eredő vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződésből fakadó felhatalmazással is kezelhet. 

(6) Az érintett személyről más személytől származó személyes adatokat gyűjteni és kezelni információs rendszerben csak az érintett személy előzetes írásbeli hozzájárulásával lehet; ez nem érvényes, ha az érintett személy személyes adatainak információs rendszerbe történő átadásával a másik természetes személy a saját jogait vagy jogos érdekeit védve olyan tényeket jelent be, amelyek indokolják az érintett személy törvényes felelősségét, vagy a személyes adatok kezelése a külön jogszabály 13. § 1. bek. c) és e) pontja alapján történik. Annak, aki az ilyen személyes adatokat kezeli, képesnek kell lennie a felügyeleti hivatal kérésére igazolni, hogy az adatokat a jelen törvénnyel összhangban szerezte meg.

(7) Az archiválási, tudományos kutatási, történelmi kutatási vagy statisztikai célból végzett személyesadat-kezelés során az adatkezelő vagy adatfeldolgozó köteles megfelelő garanciákat biztosítani az érintett személy jogainak védelme érdekében. Ezek a garanciák tartalmazzák a megfelelő és hatékony technikai és szervezési intézkedéseket, főként az adatminimalizálás és álnevesítés elvei betartásának biztosítása terén.

(8) Ha tudományos kutatási, történelmi kutatási vagy statisztikai célból végzett személyesadat-kezelés történik, az érintett személy jogait a 21. §, a 22. §, a 24. § és 27. § vagy külön jogszabály²⁴⁾ vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés alapján korlátozni lehet, amennyiben megfelelő garanciákat és feltételeket biztosítanak a 6. bekezdés értelmében arra, hogy ha az érintett személy ezen jogai valószínűsíthetően lehetlenné tennék vagy megnehezítenék e célok elérését, és az érintett személy jogainak ilyen korlátozása szükségszerű a célok elérése érdekében.

(9) Ha archiválási célból végzett személyesadat-kezelés történik, az érintett személy jogait a 21. §, a 22. §, a 24. § és 27. § vagy külön jogszabály²⁵⁾ vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés alapján korlátozni lehet, amennyiben megfelelő garanciákat és feltételeket biztosítanak a 6. bekezdés értelmében arra, hogy ha az érintett személy ezen jogai valószínűsíthetően lehetlenné tennék vagy megnehezítenék e célok elérését, és az érintett személy jogainak ilyen korlátozása szükségszerű a célok elérése érdekében.

(10) Az adatkezelő és az adatfeldolgozó a biztonsági intézkedések meghozatalakor és az adatvédelmi hatásvizsgálat során megfelelő módon jár el, összhangban a nemzetközi szabványokkal is biztonsági előírásokkal.

(1) Az adatkezelő és az adatfeldolgozó köteles a titoktartásra az általa kezelt személyes adatokkal kapcsolatosan. A titoktartási kötelesség az adatkezelés megszűnése után is fennáll.

(2) Az adatkezelő és az adatfeldolgozó köteles a személyes adatokkal kapcsolatosan titoktartásra kötelezni azokat a természetes személyeket, akik a személyes adatokhoz az adatkezelőnél és az adatfeldolgozónál hozzáférnek. Az előbbi mondat szerinti titoktartási kötelesség a természetes személy munkaviszonya, állami alkalmazotti jogviszonya, szolgálati jogviszonya vagy ezekhez hasonló jogviszonya megszűnése után is fennáll.

(3) Az 1. és 2. bekezdés szerinti titoktartási kötelesség megtartása nem érvényes, amennyiben az szükséges bíróságok vagy bűnüldöző szervek külön jogszabály szerinti feladatainak ellátásához; ez nem befolyásolja a külön jogszabály szerinti titoktartási rendelkezéseit.²⁶⁾

(4) Az 1. és 2. bekezdés, a 45. § 5. bek. szerinti titoktartási rendelkezéseket nem alkalmazzák a felügyeleti hivatallal szembeni feladatok jelen törvény vagy különleges törvény²⁾ szerinti teljesítése során.

(1) A hivatal országos hatáskörű államigazgatási hatóság, mely természetes személyek alapvető jogainak védelmében vesz részt a személyes adataik kezelésének területén, és felügyeletet gyakorol a személyes adatok védelme felett, beleértve az illetékes hatóságok által büntetőeljárási feladatok ellátása során végzett adatkezelést is, amennyiben a 81. § 7. és 8. bekezdése másként nem rendelkezik.

(2) A hivatal székhelye Pozsony.

(3) A hivatal a személyes adatok védelmét ellátó felügyeleti hatóságként székhelyén kívüli kihelyezett részlegeket hozhat létre és szüntethet meg, és meghatározhatja azok területi illetékességét.

(4) A hivatal hatásköre gyakorlása során függetlenül jár el, és az alkotmányhoz, az alkotmányos törvényekhez, a törvényekhez, egyéb általános érvényű jogszabályokhoz és a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződésekhez igazodva jár el.

(5) A hivatal költségvetési szervezet.²⁷⁾ A költségvetése tervét a hivatal a költségvetés Általános kincstári igazgatás fejezetének részeként terjeszti elő. A hivatal jóváhagyott költségvetését a naptári év folyamán csak a Szlovák Köztársaság Nemzeti Tanácsa csökkentheti.

(6) A hivatal szervezeti felépítésének részleteit a hivatal szervezeti rendje tartalmazza, melyet a hivatal elnöke bocsát ki.

(1) A hivatal a jelen törvény vagy külön jogszabály²⁸⁾ szerinti felügyeleti hatóság, olyan feladatokat teljesít és jogköröket gyakorol, amelyeket a jelen törvény vagy külön jogszabály²⁹⁾ ráruház.

(2) A hivatal

a) nyomon követi a jelen törvény érvényesülését,

b) véleményt mond a törvényjavaslatokról és általános érvényű jogszabályokról, melyek az adatkezelést érintik,

c) adatvédelmi kérdésekben konzultációt nyújt,

d) módszertanilag irányítja az adatkezelőket és adatfeldolgozókat a személyes adatok kezelését illetően,

e) növeli a népesség tudatosságát a személyes adataik kezeléséből fakadó kockázatok és a személyes adataik kezelésével kapcsolatos jogaik terén,

f) növeli az adatkezelők és adatfeldolgozók tudatosságát jelen törvényből fakadó kötelességeik terén,

g) kérésre tájékoztatja az érintett személyt a jelen törvény szerinti jogai érvényesítésének módjairól és e célból együttműködik a tagállamok felügyeleti hatóságaival,³⁰⁾

h) a személyes adatok védelme felett gyakorolt felügyelet során ellenőrzi az illetékes hatóság személyesadat-kezelésének törvényességét az érintett személy 63. § 5. bek. szerinti jogai gyakorlása esetén és tájékoztatja az érintett személyt a felülvizsgálat eredményéről 30 napon belül attól a naptól számítva, amikor a felülvizsgálati kérvényt benyújtották, vagy azokról az okokról, amelyek miatt a felülvizsgálatra nem került sor, valamint az érintett személy jogáról, hogy keresetet nyújthat be a 100. § szerint és másfajta, külön jogszabály¹⁹⁾ szerinti jogvédelemről,

i) figyeli főként az információs és kommunikációs technológiák és az üzleti praktikák fejlődését, ha azok kihatnak a személyes adatok védelmére,

j) együttműködik az Európai Adatvédelmi Testülettel a személyes adatok védelme területén,³¹⁾

k) legalább évente egy alkalommal jelentést terjeszt a Szlovák Köztársaság Nemzeti Tanácsa elé a személyesadat-védelem állapotáról; a személyesadat-védelem állapotáról szóló jelentést közzéteszi saját honlapján és az Európai Adatvédelmi Testület és a Bizottság rendelkezésére bocsátja,

l) együttműködik más tagállamok felügyeleti hatóságaival, beleértve az adatcserét, és kölcsönösségi alapon segítséget nyújt a közös fellépésben a személyes adatok jelen törvény vagy külön jogszabály³²⁾ szerinti védelmének biztosítása során,

m) együttműködik a Szlovák Köztársaság Igazságügyi Minisztériumával és a Szlovák Köztársaság Belügyminisztériumával a személyes adatok védelmével kapcsolatos állami politika koordinálásának és megalkotásának biztosításában.^32a)

(3) A hivatal feladatai teljesítése során jogosult

a) elrendelni az adatkezelőnek és adatfeldolgozónak, esetleg az adatkezelő vagy adatfeldolgozó képviselőjének, ha ilyen kijelölésre került, hogy bocsásson rendelkezésére olyan adatokat, amelyek feladatai teljesítéséhez nélkülözhetetlenek,

b) hozzáférést kapni az adatkezelő vagy adatfeldolgozó személyes adataihoz és információihoz, amelyek feladatai teljesítéséhez nélkülözhetetlenek; a külön jogszabály²⁶⁾ által előírt titoktartási rendelkezések érvényben maradnak,

c) belépni az adatkezelő vagy adatfeldolgozó helyiségeibe, valamint bármilyen, a személyes adatok kezelésére szolgáló berendezésébe és eszközébe, mégpedig a feladata teljesítéséhez elengedhetetlenül szükséges mértékben, amennyiben ehhez nincs szükség külön jogszabályban³³⁾ előírt engedélyre,

d) figyelmeztetni az adatkezelőt vagy adatfeldolgozót arra, hogy a tervezett adatkezelési műveletek valószínűleg megsértik a jelen törvény vagy külön jogszabály²⁾ rendelkezéseit,

e) intézkedést jóvátételi elrendelni, bírságot kiróni a 104. § szerint vagy közigazgatási bírságot kivetni a 105. § szerint, ha az adatkezelő, adatfeldolgozó, a megfigyelést végző jogalany vagy a tanúsító jogalany megsérti a jelen törvény vagy külön jogszabály²⁾ rendelkezéseit,

f) elrendelni, hogy az adatkezelő vagy adatfeldolgozó tegyen eleget az érintett személy kérésének, mellyel jelen törvény vagy külön jogszabály²⁾ szerinti jogait érvényesíti,

g) elrendelni, hogy az adatkezelő vagy adatfeldolgozó adatkezelési műveleteit szükség szerint és meghatározott módon, záros határidőn belül összehangolja a jelen törvény vagy külön jogszabály²⁾ rendelkezéseivel,

h) elrendelni, hogy az adatkezelő vagy adatfeldolgozó az adatvédelmi incidensről tájékoztassa az érintett személyt,

i) elrendelni az adatkezelés átmeneti korlátozását vagy az adatkezelés tartós korlátozását,

j) berendelni az adatkezelőt vagy adatfeldolgozót magyarázatkérés végett, ha a jelen törvény, külön jogszabály vagy a Szlovák Köztársaságra nézve kötelező érvényű nemzetközi szerződés által előírt kötelesség megsértésének gyanúja merül fel,

k) intézkedéseket ajánlani az adatkezelőnek vagy adatfeldolgozónak az információs rendszerében tárolt személyes adatok védelme érdekében,

l) elrendelni az adatátvitel leállítását harmadik országbeli címzettnek vagy nemzetközi szervezetnek.

(4) Az 1. és 2. bekezdés szerinti feladatok teljesítésén kívül a hivatal

a) teljesíti bejelentési kötelezettségét a Bizottság irányában a személyes adatok védelme területén,

b) intézkedéseket hoz a Bizottság személyes adatok védelmére vonatkozóan kiadott döntéseinek végrehajtása érdekében,

c) az adatvédelmi felügyelet ellátása során együttműködik más tagállamok felügyelő testületeivel és a hasonló felügyeleti hatóságokkal a tagállamok területén kívüli helyeken.

(5) Nem képezik adatvédelmi felügyeleti tevékenység tárgyát az adatkezelő vagy adatfeldolgozó szerződéses kapcsolataiból fakadó viták, vagy az adatkezelő vagy adatfeldolgozó érintett személlyel vagy más személlyel megkötött előszerződésből fakadó vitái, melyek letárgyalására és elbírálására a bíróságok vagy más, külön jogszabály szerinti hatóságok hivatottak.

(6) A hivatal az adminisztrációs költségeinek megfelelő arányos térítési díjat számlázhat ki vagy elutasíthatja a kérvény alapján történő eljárást, ha a kérvény nyilvánvalóan megalapozatlan vagy eltúlzott, különösképpen az ismétlődő jellege miatt. A nyilvánvaló megalapozatlanságot vagy eltúlzottségot a hivatal bizonyítja.

(7) Ha a személyes adatokat bíróság kezeli bírósági jogköreinek gyakorlása során, a 90–98. § szerinti felügyeleti hatásköröket a Szlovák Köztársaság Igazságügyi Minisztériuma látja el.

(8) Ha a személyes adatokat a Nemzetbiztonsági Hivatal kezeli külön jogszabály⁵⁾ alapján, a 90–98. § szerinti adatvédelmi hatásköröket a Szlovák Köztársaság Nemzeti Tanácsa látja el külön jogszabály³⁴⁾ szerint.

(1) A hivatal élén az elnök áll, akit a Szlovák Köztársaság Nemzeti Tanácsa választ meg és hív vissza a Szlovák Köztársaság Kormányának javaslata alapján.

(2) A hivatal elnökének megbízatási ideje öt év, és legfeljebb két egymást követő megbízatási időszakra választható meg ugyanaz a személy. A hivatal elnöke megbízatási ideje letelte után hivatalában marad mindaddig, míg a Szlovák Köztársaság Nemzeti Tanácsa meg nem választja az új elnököt.

(3) A hivatal elnökévé az a személy választható meg, aki a Szlovák Köztársaság állampolgára, aki megválasztható a Szlovák Köztársaság Nemzeti Tanácsába, felsőszintű mesterfokú végzettsége van, legalább kétéves tapasztalattal bír adatvédelem területén, valamint feddhetetlen.

(4) Feddhetetlen a jelen törvény céljaira az a személy, akit jogerősen nem ítéltek el szándékos bűncselekmény miatt vagy bűncselekmény miatt, mely esetében a szabadságvesztés-büntetést nem függesztették fel ideiglenesen, ha a bíróság ítélete vagy törvényi rendelkezés alapján nem tekintenek rá úgy, mintha nem lett volna elítélve vagy minha a büntetése alól nem mentesülést volna.

(5) A hivatal elnöke tisztsége gyakorlása során függetlenül jár el, jelen törvény szerinti feladatainak ellátása, illetve hatásköreinek gyakorlása során nem állhat külső befolyásolás alatt, legyen az közvetlen vagy közvetett, és senkitől nem fogadhat el vagy követelhet utasításokat.

(6) A hivatal elnöke köteles tartózkodni minden olyan tevékenységtől, amely a jelen törvény vagy külön jogszabály³⁵⁾ értelmében összeegyeztethetetlen a kötelességeivel.

(7) A hivatal elnöke állami alkalmazott külön jogszabály⁷⁾ szerint. A hivatal elnökének a Szlovák Köztársaság nemzetgazdasági alkalmazott előző naptári évi – egész euróra felkerekített – átlagos nominális bére négyszeres összegében megállapított fizetés jár. A hivatal elnökének bérezési és egyéb feltételeit a Szlovák Köztársaság Kormánya határozza meg.

(8) A hivatal elnökének tisztsége a megbízatási ideje lejártával vagy megbízatási idejét követően az új elnök 2. bekezdés szerinti megválasztásával szűnik meg.

(9) A megbízatási idő lejrárta előtt a tisztség betöltése megszűnik

a) a tisztségről való lemondással,

b) a Szlovák Köztársaság Nemzeti Tanácsába történő megválaszthatóság megszűnésével,

c) ítélet jogerőre emelkedésével, melyben szándékos bűncselekmény miatt elítélik őt, vagy melyben bűncselekmény miatt elítélik és szabságvesztés-büntetésének letöltését feltételesen nem halasztják el,

d) olyan tevékenység végzésével, mely összeegyeztethetetlen a 6. bekezdés szerinti kötelességeivel, vagy

e) elhalálozással vagy a hivatal elnökének holttá nyilvánításával jogerős bírósági határozatban.

(10) A hivatal elnöke tisztségéből visszahívható, ha

a) egészségi állapota hosszú távon, legkevesebb azonban egy éven á tnem teszi lehetővé, hogy tisztségéből fakadó kötelességeit rendesen ellássa, 

b) megszegte az 5. bekezdés szerinti függetlenség kötelességét, vagy

c) megsértette a titoktartási kötelességét olyan tények esetében, melyeket tisztsége gyakorlása során ismert meg a 84. § értelmében.

(1) A hivatal alelnöke helyettesíti a hivatal elnökét, tisztségébe a hivatal elnökének javaslatára a Szlovák Köztársaság Kormánya nevezi ki vagy hívja onnan vissza. A hivatal alelnöke állami alkalmazott külön jogszabály⁷⁾ szerint.

(2) A hivatal alelnökének megbízatási ideje öt év, és legfeljebb két egymást követő megbízatási időszakra nevezhető ki ugyanaz a személy. A hivatal alelnöke megbízatási ideje letelte után hivatalában marad mindaddig, míg a Szlovák Köztársaság Kormánya ki nem nevezi az új alelnököt.

(3) A hivatal alelnöki tisztségének gyakorlására egyenlő mértékben vonatkoznak a 82. § 3–6. bekezdésének és 8–10. bekezdésének rendelkezései.

(1) A hivatal elnöke, a hivatal alelnöke és a hivatal alkalmazottja köteles betartani titoktartási kötelességét azon tényekkel kapcsolatosan, amelyeket a jelen törvény vagy külön jogszabály²⁾ szerinti feladatai teljesítése során megismert, s ez a kötelessége tisztsége, állami alkalmazitti jogviszonya, munkaviszonya vagy ehhez hasonló munkajogviszonya megszűnése után is fennmarad.

(2) Az 1. bekezdés szerinti titoktartási kötelesség nem érvényes, amennyiben az szükséges bíróságok vagy bűnüldöző szervek külön jogszabály³⁶⁾ szerinti feladatainak ellátásához; ez nem befolyásolja a külön jogszabály szerinti titoktartási rendelkezéseket.³⁷⁾

(3) Az 1. bekezdés szerinti titoktartási kötelesség alól a hivatal alelnökét és a hivatal alkalmazottait a hivatal elnöke mentheti fel. Az 1. bekezdés szerinti titoktartási kötelesség alól a hivatal elnökét konkrét esetre vonatkozóan a Szlovák Köztársaság Nemzeti Tanácsa mentheti fel.

(1) Az adatkezelők és adatfeldolgozók kategóriáit képviselő szövetség, vagy más, az adatkezelők és adatfeldolgozók kategóriáit képviselő jogalany magatartási kódexet fogadhat el, elsősorban a jelen törvény vagy a külön jogszabály²⁾ alkalmazásának pontosítása céljából a külön jogszabály³⁸⁾ szerinti magatartási kódex tárgyával kapcsolatosan.

(2) A magatartási kódex felügyeleti hivatal általi jóváhagyása nem mentesíti az adatkezelőt vagy adatfeldolgozót a jelen törvény vagy külön jogszabály²⁾ éltal előírt kötelességei betartása alól.

(3) A magatartási kódextervezet jóváhagyásának kérvényét, a jóváhagyott magatartási kódex módosítási kérelmét vagy a jóváhagyott magatartási kódex kiterjesztésének javaslatát a felügyeleti hivatalnak az 1. bekezdés szerinti szövetség vagy más jogalany nyújtja be (a továbbiakban csak „kérvényező”).

(4) A magatartási kódex jóváhagyási kérvényének tartalmaznia kell

a) a kérvényező azonosító adatait,

b) a kérvényező nevében eljárni jogosult törvényes képviselő vagy személy családi és utónevét,

c) a jelzést, hogy magatartásikódex-javaslatról, jóváhagyott magatartási kódex módosításáról vagy jóváhagyott magatartási kódex kiterjesztéséről van-e szó,

d) a szövetség eljárását, mellyel a szövetség tagja kötelezi magát a jóváhagyott magatartási kódex betartására,

e) az adatkezelő vagy adatfeldolgozó kötelezettségvállalását, hogy aláveti magát a jóváhagyott magatartási kódex betartása megfigyelésének, összhangban a magatartási kódex betartását követő monitorozási eljárásokkal és szabályokkal,

f) az adatkezelő vagy adatfeldolgozó jogainak leírását a jóváhagyott magatartási kódex betartásának megfigyelése során,

g) annak a tárgynak a feltüntetését, melyre a magatartásikódex-javaslat, a jóváhagyott magatartási kódex módosítása vagy a jóváhagyott magatartási kódex kiterjesztése vonatkozik,

h) a személyes adatok kezelésének célja, melyre a személyes adatok szolgálnak, valamint a személyes adatok kezelésének jogi alapjai,

i) a személyes adatok kategóriái,

j) az érintett személyek kategóriái,

k) a személyes adatok címzettjének vagy címzettjeinek kategóriái, ha ilyenek léteznek,

l) az adatkezelő tevékenységek leírása, tájékoztatás, hogy van-e automatikus egyéni döntéshozatal, tájékoztatás, hogy létezik-e profilalkotás,

m) a kérvényező eljárásának leírása az érintett személy jogérvényesítési eljárásáról,

n) a tájékoztatást, hogy a magatartási kódex tervezete az adatkezelési tevékenységekre több tagállamban vonatkozik,

o) a harmadik ország vagy nemzetközi szervezet azonosítóit személyes adatok átvitele esetén és a tájékoztatást a megfelelő garanciákról az ilyen adatátvitel esetében,

p) a magatartási kódex betartása ellenőrzésének elfogadott szabályait és eljárásrendjét.

(5) A 4. bekezdés szerint magatartásikódex-javaslat jóváhagyását kérvényezőnek mellékelnie kell

a) a magatartásikódex-javaslatot, a jóváhagyott magatartási kódex módosító javaslatát vagy a jóváhagyott magatartási kódex kiterjesztésének javaslatát, mégpedig angol nyelven is, ha az több tagállamban végzett adatkezelési tevékenységre vonatkozik,

b) az igazolást a közigazgatási illeték befizetéséről,

c) egyéb információkat és alapanyagokat, melyek feltétlenül szükségesek annak eldöntéséhez, hogy a magatartásikódex-javaslat összhangban áll a jelen törvénnyel vagy a külön jogszabállyal.²⁾

(6) Ha a magatartásikódex-javaslat nem felel meg a 4. és 5. bekezdésben támasztott követelményeknek, vagy ha a magatartási kódex jóváhagyási folyamatában kétségek merülnek fel a jelen törvénnyel vagy különleges jogszabállyal²⁾ való összhangja vonatkozásában, a hivatal felszólítja a kérvényezőt az adatok kiegészítésére záros határidőn belül, mely nem lehet 15 napnál rövidebb; ez alatt az idő alatt a magatartási kódex jóváhagyási határideje szünetel.

(7) A magatartási kódex jóváhagyási eljárásának résztvevője a kérvényező, aki a 4. bekezdés szerinti kérvényt benyújtotta.

(8) Ha a magatartási kódex jóváhagyási folyamata során a hivatal megállapította, hogy az nem áll összhangban a jelen törvénnyel vagy külön jogszabállyal,²⁾ felszólítja a kérvényezőt a megállapított ellentmondás kiküszöbölésére záros határidőn belül, mely nem lehet 30 napnál rövidebb; az ellentmondás kiküszöbölésére adott határidő idején a magatartási kódex jóváhagyási határidejének múlása szünetel. A kérelmező megalapozott kérelmére a megadott határidő legfeljebb 60 nappal meghosszabítható.

(9) A hivatal leállítja a magatartási kódex jóváhagyási eljárását, ha a kérvényező

a) nem küszöböli ki a kérvény hiányosságait a 6. bekezdés szerinti határidőn belül,

b) nem küszöböli ki a hivatal által megállapított hiányosságokat a 8. bekezdés szerint megszabott határidőben.

(10) A hivatal a magatartási kódex jóváhagyásáról, a jóváhagyott magatartási kódex módosításáról vagy a jóváhagyott magatartási kódex bővítéséről az eljárás megkezdésétől számított 90 napon belül dönt.

(11) Ha a magatartásikódex-, a jóváhagyott magatartási kódex módosításáról vagy a jóváhagyott magatartási kódex bővítéséről szóló javaslatot külön jogszabály³⁹⁾ szerint az Európai Adatvédelmi Testület elé kell beterjeszteni, a 10. bekezdés szerinti határidő nem telik a magatartásikódex-, a jóváhagyott magatartási kódex módosításáról vagy a jóváhagyott magatartási kódex bővítéséről szóló javaslat Európai Adatvédelmi Tanács elé terjesztésének napjától addig a napig, amíg az Európai Adatvédelmi Tanács külön jogszabály szerinti⁴⁰⁾ állásfoglalása a hivatalnak kézbesítésre nem kerül.

(12) A hivatal a magatartási kódex 4. és 5. bekezdés szerinti jóváhagyási kérvényének és a csatolt dokumentumoknak az átvizsgálását követően határozatot ad ki a magatartási kódex, a jóváhagyott magatartási kódex módosításának vagy a jóváhagyott magatartási kódex bővítésének jóváhagyásáról, ha a magatartásikódex-, a jóváhagyott magatartási kódex módosításáról vagy a jóváhagyott magatartási kódex bővítéséről szóló javaslat a jelen törvénnyel vagy külön jogszabállyal²⁾ összhangban áll és megfelelő adatvédelmi garanciákat biztosít.

(13) A magatartási kódex, a jóváhagyott magatartási kódex módosításának vagy a jóváhagyott magatartási kódex bővítésének jóváhagyását kimondó határozat ellen kifogás nem emelhető.

(14) A magatartási kódex, a jóváhagyott magatartási kódex módosításának vagy a jóváhagyott magatartási kódex bővítésének jóváhagyását elutasító határozat ellen kifogás emelhető, melyet a hivatal elnöke bírál el.

(15) Az adatkezelők vagy adatfeldolgozüók kategóriáját képviselő szövetség vagy más, az adatkezelők vagy adatfeldolgozüók kategóriáját képviselő jogalany, melynek a magatartási kódexét, a jóváhagyott magatartási kódexének a módosítását vagy a jóváhagyott magatartási kódexének bővítését a hivatal jóváhagyta, köteles legkésőbb a megállapítástól számított 15 napon belül jelenteni a hivatalnak a 4. bekezdés a) és d) pontja szerinti változásokat.

(1) A tanúsítvány kiadását, a tanúsítvány megújítását vagy a tanúsítvány elvételét olyan jogalany végzi, amely arra akkreditációt szerzett a 88. § értelmében a jelen törvénnyel összhangban (a továbbiakban „tanúsító jogalany), vagy a hivatal.

(2) Az adatkezelő vagy adatfeldolgozó az adatkezelés jelen törvénnyel vagy külön jogszabállyal²⁾ való összhangjának és az adatvédelem megfelelő garanciáinak igazolása céljából tanúsítvány kiadását vagy tanúsítvány megújítását kérheti a hivataltól vagy a tanúsító jogalanytól. A tanúsítványt legfeljebb három év időtartamra adják ki vagy újítják meg.

(3) A hivatal vagy a tanúsító jogalany elbírálja a 2. bekezdés szerinti adatkezelő vagy adatfeldolgozó adatkezelésének és a megfelelő adatvédelmi garanciáinak összhangját a jelen törvénnyel, az ezen törvényben előírt tanúsítási követelmények szerint. A tanúsítvány kiadása nem mentesíti az adatkezelőt vagy adatfeldolgozót a jelen törvénnyel vagy külön jogszabállyal²⁾ előírt felelőssége alól, sem a hivatal e törvény szerinti jogkörei nem változnak.

(4) A tanúsítvány közokirat.

(5) A hivatal honlapján teszi közzé a tanúsítványokat.

(6) A tanúsítvány kiadását vagy a tanúsítvány megújítását kérő kérvénynek tartalmaznia kell

a) a kérvényző azonosító adatait,

b) a kérvényező törvényes képviselőjének vagy a kérvényező nevében eljárni jogosult személynek a családi és utónevét,

c) az adatvédelmi tisztviselő elérhetőségeit, ha ilyet kijelöltek,

d) a tanúsítás tárgyát, melyre a tanúsítást kiadták,

e) a személyes adatok kezelésének célját,

f) a személyes adatok kezelésének jogalapját,

g) az érintett személyek kategóriáit,

h) a személyes adatok kategóriáit,

i) a személyes adatok címzettjeinek vagy címzettjei kategóriáinak azonosító adatait, ha ilyenek léteznek,

j) az adatkezelési tevékenységek leírását, beleértve a tájékoztatást, hogy fennáll-e az automatikus egyedi döntéshozatal, beleértve a profilalkotást,

k) a kérvényező eljárásának leírását az érintett személy jogérvényesítése során,

l) adatátvitel esetén a harmadik országok vagy nemzetközi szervezetek azonosító adatai.

(7) A kérvényező a 6. bekezdés szerinti kérvényhez csatolja

a) a tanúsítvány kiadásához szükséges műszaki és biztonsági dokumentációt,

b) hat hónapnál nem régebbi adatvédelmi audit eredményét,

c) a tanúsítási feltételek teljesülését igazoló iratokat,

d) az adatátviteli garanciák leírását harmadik országokba vagy nemzetközi szervezethez történő adatátvitel esetére,

e) az igazolást a közigazgatási illeték befizetéséről,

f) egyéb információkat és alapanyagokat, melyek szükségesek a jelen törvénnyel vagy külön jogszabállyal²⁾ való összhang megítélése és a tanúsítási eljárás betartása végett.

(8)) Ha a tanúsítvány kiadási kérvénye vagy a tanúsítvány megújítási kérvénye nem felel meg a 6. és 7. bekezdésben támasztott követelményeknek, vagy ha a tanúsítványkiadás vagy tanúsítványmegújítás jóváhagyási folyamatában kétségek merülnek fel a tanúsítási követelmények teljesülésével kapcsolatosan, a hivatal felszólítja a kérvényezőt az alapanyagok kiegészítésére záros határidőn belül, mely nem lehet 15 napnál rövidebb; ez alatt az idő alatt a tanúsításkiadás vagy tanúsításmegújítás jóváhagyási határideje szünetel.

(9) Ha a hivatal a tanúsítványkiadási vagy tanúsítványmegújítási eljárás során a jelen törvénnyel vagy külön jogszabállyal²⁾ való ellentmondást állapít meg, felszólítja a kérvényezőt a feltárt ellentmondás kiküszöbölésére záros határidőn belül, mely nem lehet rövidebb 30 napnál; ez alatt az idő alatt a tanúsításkiadás vagy tanúsításmegújítás jóváhagyási határideje szünetel. A kérvényző idokokkal alátámasztott kérése esetén a kiszabott határidőt a hivatal legfeljebb 60 napra meghosszabbíthatja.

(10) A hivatal a tanúsításkiadási vagy tanúsításmegújítási eljárást leállítja, ha a kérvényező a határidőn belül nem küszöböli ki

a) a kérvény hiányosságait és a felmerül kétségeket a 8. bekezdésben megadott határidőben,

b) a hivatal által feltárt hiányosságokat a 9. bekezdésben megadott határidőben.

(11) A hivatal a tanúsítás kiadásáról vagy a tanúsítás megújításáról az eljárás megkezdésétől számított 90 napon belül dönt.

(12) A hivatal a tanúsításkiadási vagy tanúsításmegújítási kérvény és a csatolt dokumentumok átvizsgálását követően határozatot ad ki a tanúsítvány jóváhagyásáról, ha a kérvényező teljesíti a tanúsítási feltételeket, a tanúsítási eljárás feltételeit és ha adatkezelési eljárásai a jelen törvénnyel vagy külön jogszabállyal²⁾ összhangban állnak, és az általa foganatosított megfelelő adatvédelmi garanciák megfelelő biztosítékot nyújtanak a jelen törvénnyel vagy külön jogszabállyal²⁾ összhangban.

(13) A hivatal a tanúsításkiadási vagy tanúsításmegújítási kérvény jóváhagyást kimondó határozat alapján három évre szóló tanúsítványt ad ki a kérvényezőnek, mely tartalmazza

a) a hivatal azonosító adatait,

b) a kérvényező azonosító adatait,

c) a tanúsítvány tárgyát,

d) a tanúsított feltételeket, melyek alapján a tanúsítás kiadásra került,

e) a tanúsítvány számát,

f) a tanúsítvány kiadásának dátumát; ha tanúsításmegújításról van szó, a korábbi tanúsítvány kiadásának dátumát is,

g) a tanúsítvány érvényességének idejét,

h) a hivatal bélyegzőjének lenyomatát és a hivatal nevében eljárásra jogosult személy aláírását, családi és utóneve, valamint tisztsége feltüntetését.

(14) A tanúsítvány kiadásáról és tanúsításmegújításról kiadott határozat ellen kifogás nem emelhető.

(15) A tanúsítványkiadást és a tanúsításmegújítást elutasító határozat ellen kifogás emelhető, melyet a hivatal elnöke bírál el.

(16) Az adatkezelő vagy adatfeldolgozó, akinek tanúsítást adtak ki vagy a tanúsítványát megújították (a továbbiakban csak „tanúsított személy”) továbbra is teljesíti a tanúsítvány kiadásának jelen törvény szerinti követelményeit és feltételeit, a hivatal a tanúsított személy – a korábbi tanúsítvány vagy megújított tanúsítvány lejárta előtt legkésőbb hat hónappal benyújtott – kérvénye alapján dönt a tanúsítvány további három évre szóló meghosszabbításáról. A tanúsítványmegújítási eljárásra megfelelő mértékben vonatkoznak a tanúsítványkiadási követelmények.

(17) Ha a tanúsított személy tanúsítvány-megújítási kérvényt nyújt be kevesebb mint hat hónappal a tanúsítvány lejárta előtt, az ilyen kérvényt a hivatal figyelmen kívül hagyja. Ez nem érinti az ilyen tanúsított személy jogát, hogy tanúsítvány kiadása iránti kérvényt nyújtson be a 6. és 7. bekezdés szerint.

(18) A tanúsított személy a tanúsítvány érvényességének ideje alatt köteles

a) teljesíteni a jelen törvényben meghatározott kötelességeket és a tanúsítvány kiadására előírt követelményeket, összhangban a tanúsítvány megadását kimondó határozattal,

b) a változás létrejöttét követően legkésőbb 15 belül a változás beálltának napjától számítva írásban bejelenteni a hivatalnak a tanúsítvány megadását kimondó határozatot érintő bármilyen változást,

c) lehetővé tenni a hivatalnak a jelen törvény szerinti felügyelet végrehajtását,

d) archiválni a külön jogszabály szerinti⁴¹⁾ tanúsítási eljárás végrehajtásával kapcsolatos dokumentumokat.

(19) A tanúsítási követelményeket, a tanúsítási eljárás feltételeit, a műszaki és biztonsági dokumentáció tartalmi kellékeit és az adatvédelmi audit végrehajtásának feltételeit, beleértve az adatvédelmi átvilágítást végző auditor szakismereteire vonatkozókat is, a hivatal az általa kiadott általános érvényű rendeletben határozza meg.

(1) A személyes adatok jelen törvény vagy külön jogszabály²⁾ kezelésének összhangját a magatartási kódexszel olyan jogalany követi nyomon, amely megfelel a jelen törvény vagy külön jogszabály²⁾ által előírt akkraditációs követelményeknek és feltételeknek és a hivataltól akkreditációt kapott a jelen törvénnyel összhangban (a továbbiakban csak „monitorozó jogalany”).

(2) A hivatal által a közhatalmi szervek és közintézmények részére jóváhagyott magatartási kódexek nem esnek a jelen törvény szerinti monitorozó jogalany tevékenysége alá; ez nincs hatással a hivatal felügyelő tevékenységének jelen törvény szerinti gyakorlására.

(3) A monitorozó jogalany lehet jogi személy vagy természetes személy-vállalkozó, mely megfelelő műszaki és szervezeti adottságokkal rendelkezik a magatartási kódex nyomonkövetésének végzéséhez és amely erre megkapta az akkreditációt.

(4) A monitorozó jogalany jogosult

a) nyomon követni a személyes adatok jelen törvény vagy külön jogszabály²⁾ szerinti, olyan adatkezelő vagy adatfeldolgozó általi kezelésének összhangját, aki tagja a szövetségnek, mely kötelezte magát a jóváhagyott magatartási kódex betartására,

b) arányos intézkedéseket hozni a magatartási kódex adatkezelő vagy adatfeldolgozó általi megsértése esetén,

c) ideiglenesen leállítani a jóváhagyott magatartási kódex kötelező jellegét az adatkezelő vagy adatfeldolgozó esetében, mely kötelezte magát a magatartási kódex betartására,

d) megszüntetni a jóváhagyott magatartási kódex kötelező voltát az adatkezelő vagy adatfeldolgozó esetében, mely kötelezte magát a magatartási kódex betartására.

(5) A 4. bekezdés szerinti intézkedésekről és azok okairól a monitorozó jogalany az intézkedések elfogadásától számított 15 napon belül köteles írásban tájékoztatni a hivatalt. Ez nem befolyásolja a magatartásikódex-nyomonkövetése alá eső adatkezelő vagy adatfeldolgozó kötelességét, hogy a jelen törvény vagy külön jogszabály²⁾ rendelkezéseit betartsa.

(6) Az akkreditációs kérvénynek tartalmaznia kell

a) a kérvényző azonosító adatait,

b) a kérvényező törvényes képviselőjének vagy a kérvényező nevében eljárni jogosult személynek a családi és utónevét,

c) a magatartási kódex tárgyát.³⁸⁾

(7) A 6. bekezdés szerinti kérvényhez a kérvényező csatolja

a) a magatartási kódex nyomonkövetéséhez elengedhetetlenül szükséges műszaki és biztonsági dokumentációt,

b) a kérvényező függetlenségét igazoló dokumentumokat,

c) a kérvényező és a monitorozásnak alávetett jogalany közti érdekütközések rendezésének eljárását és módját, mely sérthetné a magatartási kódex nyomonkövetésének objektivitását vagy a transzparencia elvét az érintett személy és a nyilvánosság számára; az érdekütközés főleg olyan helyzeteket ölel fel , amikor a kérvényező, aki befolyásolhatja a magatartási kódex nyomonkövetésének eredményét vagy lefolyását, közvetlen pénzügyi érdekkel vagy közvetett pénzügyi érdekkel, gazdasági érdekkel vagy más személyes érdekkel kapcsolódik össze, mely a magatartási kódex monitorozásával kapcsolatosan a függetlenség veszélyeztetésének minősíthető,

d) kérvényező magatartásikódex-monitorozást végző személyeinek szakképzettségi követelményeire vonatkozó dokumentumokat,

e) a tevékenységzés végzésének szabályait és eljárását, főként az adatkezelő és adatfeldolgozó magatartásikódex-betartásának nyomonkövetési folyamatát, a magatartási kódex adatkezelő és adatfeldolgozó általi végrehajtásának kimutatását, az adatkezelő és adatfeldolgozó adatkezelési tevékenységei összhangjának kimutatását a magatartási kódex tárgyával, az összhang nyomonkövetésének gyakoriságát,

f) a dokumentumentumokat, melyek alátámasztják, hogy a magatartásikódex-ellenőrző tevékenység szabályai és eljárásrendjei átláthatók az érintett személy és a nyilvánosság számára,

g) a magatartásikódex-monitoring auditjának eredményét,

h) az közigazgatási illeték befizetéséről szóló igazolás,

i) további információkat és alapanyagokat, melyek feltétlenül szükségesek annak megítéléséhez, hogy fennáll az összhang a jelen törvény vagy külön jogszabály²⁾ értelmében, valamint az akkreditációs kérvény elbírálásához.

(8) Ha az akkreditációs kérvény nem teljesíti a 6. vagy 7. bekezdés szerinti kellékeket, vagy ha az akkreditációs eljárás során kétségek merülnek a követelmények és feltételek teljesítésének igazolása vonatkozásában, a hivatal felszólítja a kérvényezőt a hiányosságok kiküszöbölésére záros határidőben, mely nem lehet rövidebb 15 napnál; ez alatt az időszak alatt az akkreditáció megadásának határideje nem telik.

(9) Ha a hivatal a 11. bekezdés szerinti eljárás során megállapítja, hogy sérül az összhang a jelen törvénnyel vagy a külön jogszabállyal,²⁾ felszólítja a kérvényezőt a hiányosságok kiküszöbölésére záros határidőben, mely nem lehet rövidebb 30 napnál; ez alatt az időszak alatt a 11. bekezdés szerinti határidő nem telik. A kérvényező indokolt kéremle alapján a hivatal ezt a határidő 60 nappal meghosszabbíthatja.

(10) A hivatal a 11. bekezdés szerinti eljárást leállítja, ha a kérvényező nem küszöböli ki

a) a kérvény hiányosságait és a felmerül kétségeket a 8. bekezdésben megadott határidőben,

b) a hivatal által feltárt hiányosságokat a 9. bekezdésben megadott határidőben.

(11) A hivatal az akkreditáció megadásáról az eljárás megkezdésétől számított 90 napon belül dönt.

(12) A hivatal a 6. és 7. bekezdés szerinti akkreditációs kérvény és a csatolt dokumentumok átvizsgálását követően határozatot ad ki az akkreditáció megadásáról, ha a kérvényező teljesíti a feltételeket, megfelelő szakismerettel bír a magatartási kódex tárgya vonatkozásában és teljesíti az akkreditáció megadásának követelményeit és feltételet a jelen törvénnyel összhangban.

(13) A hivatal az akkreditáció megadásáról szóló határozat alapján a monitorozó jogalanynak tanúsítványt ad ki az akkreditáció megadásáról, mely tartalmazza

a) a hivatal azonosító adatait,

b) a kérvényező azonosító adatait,

c) az akkreditáció tárgyát,

d) az akkreditációs tanúsítvány számát,

e) az akkreditációs tanúsítvány kiadásának dátumát,

f) a hivatal bélyegzőjének lenyomatát és a hivatal nevében eljárásra jogosult személy aláírását, családi és utóneve, valamint tisztsége feltüntetését.

(14) Az akkreditációs tanúsítvány közokirat.

(15) Az akkreditációt megadó határozat ellen jogorvoslatnak helye nincs.

(16) Az akkreditációt elutasító határozat ellen jogorvoslattal lehet élni, melyről a hivatal elnöke dönt.

(17) A hivatal közzéteszi a webhelyén az akkreditáció megadásáról szóló határozatokat.

(18) Ha bebizonyosodik, hogy a monitozó jogalany magatartásikódex-monitorozást folytat a jelen törvénybe vagy külön jogszabályba,²⁾ a jó erkölcsökbe, az akkreditációs tanúsítványba ütköző módon, vagy a továbbiakban már nem teljesíti az akkreditáció elnyerésének feltételeit, a hivatal három hónapra felfüggeszti az akkreditációját és lehetővé teszi, hogy jóvátélei intézkedéseket hajtson végre. Ha az akkreditált szubjektum a megadott határidőn belül a megadott intézkedéseket nem valósítja meg, a hivatal határozatban megsemmisíti az akkreditációját. A monitorozó jogalany, akinek akkreditációját megszüntették, újra akkreditációs kérvényt nyújthat be.

(19) A monitorozó személy köteles

a) teljesíteni a jelen törvényben meghatározott kötelességeket és akkreditációs követelményeket az akkreditációs határozatban előírtakkal összhangban,

b) a létrejöttét követően legkésőbb 15 napon belül a változás beálltának napjától számítva írásban bejelenteni a hivatalnak bármilyen változást,

c) tájékoztatbi az érintett adatkezelőt vagy adatfeldolgozót a magatartási kódexe monitorozásának jogosságáról és a monitorozás tárgyáról, részletesen és érthetően tájékoztatni a biztonsági intézkedésekről, szabályokról és a magatartási kódex monitorozási eljárásáról, valamint tájékoztatni a magatartási kódex tárgyának betartása monitorozást követő lehetséges jogi következményeiről a jóváhagyott magatartási kódex monitorozásának végrehajtása előtt,

d) haladéktalanul tájékoztatni az érintett adatkezelőt vagy adatfeldolgozót az elfogadott intézkedésekről, ha a 4. bekezdés szerint a magatartási kódex megsértését állapították meg az érintett adatkezelőnél vagy adatfeldolgozónál,

e) betartani a függetlenség elvét,

f) archiválni a külön jogszabály szerinti⁴²⁾ magatartásikódex-monitorozási eljárás végrehajtásával kapcsolatos dokumentumokat.

(20) Az akkreditáció kiadásának követelményeit, az akkreditációs eljárás feltételeit, a műszaki és biztonsági dokumentáció tartalmi kellékeit és a magatartásikódex-monitorozási audit végrehajtásának feltételeit, beleértve az átvilágítást végző auditor szakismereteire vonatkozókat is, a hivatal az általa kiadott általános érvényű rendeletben határozza meg.

(1) A tanúsítás kiadását, megújítását vagy visszavonását tanúsító jogalany végzi, mely teljesíti a tanúskiadásra jogosító követelményeket és feltételeket a jelen törvény vagy külön jogszabály⁴³⁾ értelmében, és a hivataltól erre a jelen törvénnyel összhangban akkreditációt kapott.

(2) Tanúsító jogalany lehet jogi személy vagy természetes személy-vállalkozó, melynek megfelelő szintű szakismeretei vannak adatvédelem területén és rendelkezik tanúsítási eljáráshoz szükséges műszaki és szervezési feltételekkel, valamint e tevékenységre akkreditációt kapott.

(3) A tanúsító jogalany felelős az adatkezelő vagy adatfeldolgozó esetében az adatkezelés és megfelelő adatvédelmi biztonságok meglétének és a jelen törvénnyel vagy külön jogszabállyal²⁾ való összhangjának elbírálásáért, melynek alapján tanúsítványt ad ki, tanúsítványt újít meg vagy tanúsítványt von vissza.

(4) Az akkreditációs kérvénynek tartalmaznia kell

a) a kérvényző azonosító adatait,

b) a kérvényező törvényes képviselőjének vagy a kérvényező nevében eljárni jogosult személynek a családi és utónevét,

c) a tanúsítási követelmények tárgyát.

(5) A kérvényező a 4. bekezdés szerinti kérvényhez csatolja

a) a tanúsítási eljáráshoz elengedhetetlenül szükséges műszaki és biztonsági dokumentációt,

b) a kérvényező és a tanúsítványt kérő vagy tanúsítvány megújítását kérő adatkezelő vagy adatfeldolgozó közti érdekütközések rendezésének eljárását és módját, mely sérthetné vagy korlátozhatná a tanúsítvány kiadásának vagy tanúsítvány megújításának objektivitását, vagy sérthetné a transzparencia elvét az érintett személy és a nyilvánosság számára; az érdekütközés főleg olyan helyzeteket ölel fel, amikor a kérvényező, aki befolyásolhatja tanúsítványkiadás vagy tanúsítványmegújítás a eredményét vagy lefolyását, közvetlen pénzügyi érdekkel vagy közvetett pénzügyi érdekkel, gazdasági érdekkel vagy más személyes érdekkel kapcsolódik össze, mely a tanúsítványkiadással vagy tanúsítványmegújítással kapcsolatosan a függetlensége veszélyeztetésének minősíthető,

c) a kérvényező tanúsítási eljárást végző személyeinek szakképzettségi követelményeire vonatkozó dokumentumokat,

d) a tanúsítási tevékenységzés végzésének szabályait és eljárását, főként az tanúsítványkiadási, rendszeres tanúsítványellenőrzési, tanúsítványmegújítási és tanúsítvány-visszavonási eljárásokat

e) a nyilatkozatot a tanúsítási eljárás tanúsítási követelményeinek betartására vonatkozóan,

f) a dokumentumentumokat, melyek igazolják a kiadott tanúsítvány megsértésével kapcsolatos panaszok intézésének eljárásmódját és szabályait, vagy annak a módját, ahogyan az érintett adatkezelő vagy adatfeldolgozó által a tanúsítványba foglalt jogosultságokat végrehajtják,

g) a dokumentumentumokat, melyek igazolják a kiadott tanúsítvány megsértésével kapcsolatos panaszok intézésének szabályai és eljárásrendjei átláthatók az érintett személy és a nyilvánosság számára,

h) a tanúsítási eljárás auditjának eredményét,

i) a bizonylatot a közigazgatási illeték befizetéséről,

j) további információkat és alapanyagokat, melyek feltétlenül szükségesek annak megítéléséhez, hogy fennáll az összhang a jelen törvény vagy külön jogszabály²⁾ értelmében, valamint az akkreditációs kérvény elbírálásához.

(6) Ha az akkreditációs kérvény nem teljesíti a 4. vagy 5. bekezdés szerinti kellékeket, vagy ha a 9. bekezdés szerinti akkreditációs eljárás során kétségek merülnek fel a követelmények és feltételek teljesítésének igazolása vonatkozásában, a hivatal felszólítja a kérvényezőt a hiányosságok kiküszöbölésére záros határidőben, mely nem lehet rövidebb 15 napnál; ez alatt az időszak alatt az akkreditáció megadásának 9. bekezdés szerinti határideje nem telik.

(7) Ha a hivatal a 9. bekezdés szerinti eljárás során megállapítja, hogy sérül az összhang a jelen törvénnyel vagy a külön jogszabállyal,²⁾ felszólítja a kérvényezőt a hiányosságok kiküszöbölésére záros határidőben, mely nem lehet rövidebb 30 napnál; ez alatt az időszak alatt a határidő nem telik. A kérvényező indokolt kéremle alapján a hivatal ezt a határidő 60 nappal meghosszabbíthatja.

(8) A hivatal az akkreditációs eljárást leállítja, ha a kérvényező nem küszöböli ki

a) a kérvény hiányosságait és a felmerül kétségeket a 6. bekezdésben megadott határidőben,

b) a hivatal által feltárt hiányosságokat a 7. bekezdésben megadott határidőben.

(9) A hivatal az akkreditáció megadásáról az eljárás megkezdésétől számított 90 napon belül dönt.

(10) A hivatal a 4. és 5. bekezdés szerinti akkreditációs kérvény és a csatolt dokumentumok átvizsgálását követően határozatot ad ki az akkreditáció megadásáról, ha a kérvényező teljesíti a feltételeket, hogy megfelelő szakismerettel bír az adatvédelem vonatkozásában és teljesíti az akkreditáció megadásának követelményeit és feltételet a jelen törvénnyel összhangban.

(11) A hivatal az akkreditáció megadásáról szóló határozat alapján a tanúsító jogalanynak tanúsítványt ad ki az akkreditáció megadásáról, mely tartalmazza

a) a hivatal azonosító adatait,

b) a kérvényező azonosító adatait,

c) az akkreditáció tárgyát,

d) az akkreditációs tanúsítvány számát,

e) az akkreditációs tanúsítvány kiadásának dátumát; ha tanúsítványmegújításról van szó, a korábbi akkreditációs kiadásának dátumát is,

f) az akkreditációs bizonylat érvényességi idejét,

g) a hivatal bélyegzőjének lenyomatát és a hivatal nevében eljárásra jogosult személy aláírását, családi és utóneve, valamint tisztsége feltüntetését.

(12) Az akkreditációs tanúsítvány közokirat.

(13) Az akkreditációt megadó határozat ellen jogorvoslatnak helye nincs.

(14) Az akkreditációt elutasító határozat ellen jogorvoslattal lehet élni, melyről a hivatal elnöke dönt.

(15) A hivatal közzéteszi a webhelyén tanúsító jogalanyok jegyzékét és a jóváhagyott tanúsítási követelményeket.

(16) Ha a tanúsító jogalany megfelelő szinten teljesíti az adatvédelmi szakmai ismeretekre vonatkozó követelményeket, teljesíti a követelményeket a jelen törvény szerinti akkreditáció kiadására, a hivatal az akkreditáció-megújítási tanúsító jogalany – a korábbi tanúsítvány vagy megújított tanúsítvány lejárta előtt legkésőbb hat hónappal benyújtott – kérvénye alapján dönt a tanúsítvány további öt évre szóló meghosszabbításáról. Az akkreditáció-megújítási eljárásra megfelelő mértékben vonatkoznak az akkreditációkiadási követelmények.

(17) Ha a tanúsító jogalany az akkreditáció-megújítási kérvényt nyújt be kevesebb mint hat hónappal az akkreditáció érvényességének lejárta előtt, az ilyen kérvényt a hivatal figyelmen kívül hagyja. Ez nem érinti az ilyen szervezet jogát, hogy kérvényt nyújtson be a 4. és 5. bekezdés szerint.

(18) Ha bebizonyosodik, hogy a tanúsító jogalany tanúsítási eljárást – beleértve a tanúsítványkiadást és -visszavonást – folytat a jelen törvénybe vagy külön jogszabályba,²⁾ a jó erkölcsökbe, az akkreditációs tanúsítványba ütköző módon, vagy a továbbiakban már nem teljesíti az akkreditáció elnyerésének feltételeit, a hivatal három hónapra felfüggeszti az akkreditációját és elrendeli, hogy a tanúsított személy jóvátélei intézkedéseket hajtson végre. Ha a tanúsító jogalany a megadott határidőn belül az intézkedéseket nem valósítja meg, a hivatal határozatban megsemmisíti az akkreditációját. A szervezet, akinek akkreditációját megszüntették, újra akkreditációs kérvényt nyújthat be.

(19) Az akkreditáció kiadásának követelményeit, az akkreditációs eljárás feltételeit, a műszaki és biztonsági dokumentáció tartalmi kellékeit és a tanúsítási eljárás auditja végrehajtásának feltételeit, beleértve az átvilágítást végző auditor szakismereteire vonatkozókat is, a hivatal az általa kiadott általános érvényű rendeletben határozza meg.

(1) A tanúsító jogalany jogosult az akkreditációs tanúsítványa szerinti mértékben adatakezelői vagy adatfeldolgozói tanúsítványokat kiadni, vagy tanúsítványokat megújítani hároméves időtartamra.

(2) A tanúsító jogalany a tanúsítvány kiadása vagy megújítása előtt a hivatalnak bejelenti

a) annak azonosító adatait,

b) a kiadott tanúsítvány számát, 

c) az adatkezelő vagy adatfeldolgozó azonosító adatait, mely tanúsítvány kiadását kéri vagy a tanúsított személy azonosító adatait, mely tanúsítmegújítást kér,

d) a tanúsítvány tárgyát,

e) a tanúsítási követelmények kijelölését,

f) a tanúsítvány kiadásának vagy ki nem adásának indokat.

(3) Ha az értesítés nem teljesíti a 2. bekezdés szerinti kellékeket, a hivatal felszólítja a tanúsító jogalanyt a hiányosságok kiküszöbölésére záros határidőben, mely nem lehet rövidebb 15 napnál; ez alatt az időszak alatt a 4. bekezdés szerinti határideje nem telik.

(4) A hivatal a tanúsítvány megadásának vagy a tanúsítvány megújításának engedélyezéséről az eljárás megkezdésétől számított 60 napon belül dönt.

(5) A 4. bekezdés szerinti eljárásban a hivatal nem vizsgálja a tanúsítási követelményeket vagy a tanúsításmegújítás követelményeit.

(6) A hivatal a tanúsító jogalany általi tanúsítványkiadásának vagy tanúsítványmegújításának engedélyezésével nem mentesíti az adatkezelőt vagy adatfeldolgozót a jelen törvény és külön jogszabály²⁾ szerinti felelőssége betartása alól.

(7) Ha a hivatal a tanúsító jogalany általi tanúsítványkiadás vagy tanúsítványmegújítás engedélyezési eljárásának során megállapítja, hogy sérül az összhang a jelen törvénnyel vagy a külön jogszabállyal,²⁾ nem engedélyezi a tanúsító jogalanynak a tanúsítvány kiadását vagy megújítását és erről határozatot ad ki. 

(8) A hivatal tanúsító jogalany általi tanúsítványkiadást vagy tanúsítványmegújítást engedélyező határozata ellen jogorvoslatnak helye nincs.

(9) A hivatal tanúsító jogalany általi tanúsítványkiadást vagy tanúsítványmegújítást elutasító határozata ellen jogorvoslattal lehet élni, melyről a hivatal elnöke dönt.

(10) A tanúsító jogalany a tanúsítvány megadásától vagy megújításától vagy elvételétől számított 15 napon belül bejelenti a hivatalnak: 

a) az érintett azonosító adatait,

b) a neki kiadott tanúsítvány számát,

c) az érintetett adatkezelő vagy adatfeldolgozó azonosító adatait,

d) a tanúsítvány tárgyát,

e) a tanúsítvány számát,

f) a tanúsítvány kiadásának, megőjításának vagy visszavonásának okait. 

(11) A tanúsító jogalany által kiadott tanúsítvány tartalmazza

a) a tanúsító jogalany azonosító adatait, beleértve az akkreditációs tanúsítványa számát,

b) a kérvényező azonosító adatait,

c) a tanúsítvány tárgyát,

d) a tanúsítási követelmények megjelölését, mely alapján a tanúsítvány kiadásra került,

e) a tanúsítvány számát,

f) a tanúsítvány kiadásának dátumát; ha tanúsítványmegújításról van szó, a korábbi tanúsítvány kiadásának dátumát is,

g) a tanúsító jogalany bélyegzőjének lenyomatát és a nevében eljárásra jogosult személy aláírását, családi és utóneve feltüntetését.

(12) A tanúsító jogalany köteles

a) teljesíteni a jelen törvényben megszabott követelményeket és az akkreditációs határozattal összhangban álló akkreditációs feltételeket,

b) legkésőbb 15 napon belül jelenteni a hivatalnak a kiadott akkreditációjában bekövetkezett változásokat,

c) lehetővé tenni a hivatalnak a jelen törvény szerinti felügyelet gyakorlását,

d) betartani a függetlenség elvét,

e) archiválni a tanúsítási eljárásaival kapcsolatos dokumentumokat külön jogszabály⁴¹⁾ szerint.

(1) A személyes adatok kezelésének, a hivatal által a 85. § értelmében jóváhagyott magatartási kódex betartásának, a személyesadat-kezelés és a 86. § szerint kiadott tanúsítvány összhangjának, valamint a 87. és 88. § szerint kiadott akkreditált tanúsítványkiadási bizonylat betartásának ellenőrzését (a továbbiakban csak „ellenőrzés”) a hivatal végzi az alkalmazottaiból összeállított ellenőrző szerve (a továbbiakban csak „ellenőrző szerv”) útján.

(2) Az ellenőrző szerv mindenegyes tagja a vezető alkalmazott írásbeli megbízása elepján végzi az ellenőrzést; ha a vezető alkalmazott az ellenőrző szerv tagja, az ellenőrző szerv tagjai az ellenőrzést a hivatal elnökének írásbeli megbízása alapján végzik.

(3) Az ellenőrző szerv tagjának a hivatal alkalmazottjának kell lennie, aki feddhetetlen, megfelelő szakképesítése és szakmai gyakorlata van a hivatal felügyeleti tevékenységei területén.

(4) Az ellenőrzés végrehajtását elrendelő írásbeli megbízásnak tartalmaznia kell

a) a hivatal azonosító adatait,

b) az ellenőrzött személy azonosító adatait,

c) az ellenőrző szerv ellenőrzést végző tagjának családi és utónevét, tudományos címét,

d) a hivatal hivatalos bélyegzőjének lenyomatát és az aláírást.

(5) Az ellenőrzésvégzés megbízólevelének mintáját a hivatal a honlapján közzéteszi.

(6) Az ellenőrzés az ellenőrzésről szóló értesítés adatkezelő vagy adatfeldolgozó, – és ha ilyen van – az adatkezelő vagy adatfeldolgozó képviselője általi kézhezvételének napjával kezdődik, vagy azon a napon, amikor a 87. § szerinti monitorozó jogalanynak vagy a 88. § szerinti tanúsító jogalanynak kézbesítésre került (a továbbiakban csak „ellenőrzött személy”).

(7) Az ellenőrző szerv ellenőrzési terv alapján végzi az ellenőrzést, vagy akkor, ha felmerül a gyanú, hogy kötelességszegésre került sor a jelen törvény vagy külön jogszabály²⁾ szerinti adatkezelés során, vagy adatvédelmi eljárás keretében.

(8) Az ellenőrzés végzése során az ellenőrző szerv köteles úgy eljárni, hogy az ellenőrzött személy jogai és jogos érdekei ne sérüljenek.

(1) Az ellenőrző szerv tagja, aki tudomást szerzett olyan tényekről, melyek alapos gyanút vetnek fel az elfogulatlanság vagy az ellenőrző szerv egy másik tagjának elfogulatlanságát illetően, köteles ezeket a tényeket felesleges halogatás nélkül írásban bejelenteni annak, aki őt a 90. § 2. bek. értelmében megbízta.

(2) Ha az ellenőrzött személynek kétségei vannak az ellenőrző szerv vagy annak tagja elfogulatlanságát illetően, tekintettel viszonyára az érintett ellenőrzéshez vagy az ellenőrzött személyhez, jogosult az indokait feltüntető írásbeli ellenvetéssel élni 15 napon belül attól a naptól számítva, amikor erről a tényről tudomást szerzett. Az ellenvetés benyújtásának halasztó hatálya nincs; az ellenőrző szerv az első mondat értelmében az ellenőrzés során csak olyan feladatokat hajthat végre, amelyek nem tűrnek halasztást.

(3) Az ellenőrzött személy elfogultsági ellenvetéséről és az ellenőrző szerv tagja elleni elfogultsági bejelentésről az dönt, akit az ellenőrző szerv a 80. § 2. bek. értelmében megbízott, mégpedig 10 napon belül az ellenvetés érvényesítésétől számítva, és az írásbeli határozatot kézbesíti annak, aki az ellenvetést érvényesítette. Az elfogultsági ellenvetésről szóló határozat és az ellenőrző szerv tagja elleni elfogultsági bejelentésről szóló határozat ellen jogorvoslatnak helye nincs.

Az ellenőrző szerv köteles

a) az ellenőrzött személyt előre, írásban tájékoztatni az ellenőrzés tárgyáról; ha az ellenőrzés előzetes bejelentése meghíúsíthatná az ellenőrzés célját vagy lényegesen nehezítené az ellenőrzés lefolytatását, az ellenőrzés tárgya közvetlenül az ellenőrzés megkezdése előtt is bejelenthető az ellenőrzött személynek,

b) írásban értesíteni az ellenőrzés dátumáról és időpontjáról legalább az ellenőrzés megkezdése előtt tíz nappal; ha az ellenőrzés előzetes bejelentése meghíúsíthatná az ellenőrzés célját vagy lényegesen nehezítené az ellenőrzés lefolytatását, az ellenőrzés megkezdése közvetlenül az ellenőrzés megkezdése előtt is bejelenthető,

c) az ellenőrzés megkezdése előtt és az ellenőrzött személy kérésére bármikor az ellenőrzés végrahajtására való felhatalmazással és a szolgálati igazolvánnyal igazolni magát,

d) jegyzőkönyvet kidolgozni az ellenőrzés lefolytatásáról,

e) jelentést kidolgozni az ellenőrzésről, melyben fel vannak tüntetve az ellenőrzés megállapításai (a továbbiakban csak „protokoll”), vagy feljegyzést készíteni az ellenőrzésről,

f) feltüntetni az ellenőrzött személy észrevételeit a 95. § 2. bek. a) pontja szerint a protokollban vagy ellenőrzési feljegyzésben,

g) jegyzőkönyvet kidolgozni a 93. § j) pontja és a 94. § a) pontja szerinti magyarázatnyújtásról,

h) átadni az ellenőrzött személynek az ellenőrzés lefolytatásáról készített jegyzőkönyv, a magyarázatnyújtási jegyzőkönyv, a protokoll vagy ellenőrzési feljegyzés egy példányát,

i) írásban igazolni az ellenőrzött személynek dokumentumok eredetiének vagy dokumentumok másolatainak, írásos dokumentumoknak, adathordozó egységek másolatainak, egyáb anyagoknak és bizonyítékoknak az átvételét, valamint biztosítani ezek védelmét az elvesztésük, megsemmisülésük, megkárosításuk vagy a velük való visszaélés ellen,

j) elbírálni az ellenőrzés protokollba foglalt megállapítása elleni ellenvetések megalapozottságát, és a protokollhoz csatolt záradékba belefoglalni a megalapozottságot és tájékoztatni erről az ellenőrzött személyt,

k) megtárgyalni a protokollt az ellenőrzött személlyel és jegyzőkönyvet készíteni a tárgyalás lefolytatásáról.

Az ellenőrző szerv jogosult

a) belépni az ellenőrzött jogalany létesítményeibe és területére, ha erre külön jogszabály³³⁾ alapján nem szükséges engedély,

b) a szabad hozzáférésre az eszközökhöz és berendezésekhez, melyek az ellenőrzött jogalany általi személyesadat-kezelésre szolgálnak vagy szolgálhatnak, vagy erre kellene szolgálniuk,

c) hozzáférni az automatikus adatkezelő eszközökön kezelt adatokhoz a rendszergazda hozzáférésének megfelelő szinten, beleértve az ellenőrzés végrehajtásáhot szükséges mértéket is,

d) ellenőrizni az ellenőrzött személy nevében eljáró vagy az ellenőrző szervvel együttműködő természetes személyek kilétét,

e) megkövetelni az ellenőrzött személytől, hogy a megadott határidőn belül adja át az ellenőrző szervnek iratai eredetijét vagy másolatát, egyéb iratokat, nyilatkozatokat és tájékoztatásokat, az adathordozó eszközökön tárolt személyes adatokat, beleértve a műszaki adathordozókat, a programok kivonatait és forráskódjait, ha ilyenekkel rendelkezik vagy azok a rendelkezésére állnak a beszerzésük feltételeivel összhangban, valamint egyéb, az ellenőrzés lefolytatásához szükséges anyagokat vagy alapanyagokat, és indokolt esetbentegye lehetővé az eredeti iratok vagy iratmásolatok az ellenőrzött személy létesítményén kívülre vinni,

f) megfelelő határidő megadásával az ellenőrzött személytől teljes és valós, szóbeli és írásbeli tájékoztatást, állásfoglalást és magyarázatot kérni az ellenőrzött tényekkel és az ellenőrzéssel összefüggő tényekkel kapcsolatosan,

g) dokumentálni az ellenőrzéssel összefüggő bizonyítékokat fotódokumentáció készítésével, hangfelvétellel, videofelvétellelvagy audiovizuális felvétellel, akár az érintett személy beleegyézése nélkül is,

h) megkövetelni az ellenőrzött személy együttműködését az ellenőrzés tárgyának mértékében,

i) megkövetelni az együttműködést az ellenőrzés helyszínén más, nem ellenőrzött személytől is, elsősorban az ellenőrzött személy adatfeldolgozójától és annak alkalmazottaitól, vagy más személyektől, ha megalapozottan feltételezhető, hogy a tevékenysüg összefügg az ellenőrzés tárgyával, vagy ha az szükséges az ellenőrzés tárgyával összefüggő tények tisztázása érdekében,

j) berendelni adott időpontban és adott helyszínre az ellenőrzött személyt és az ellenőrzött személytől eltérő személyt is az ellenőrzés tárgyát érintő magyarázat megadása céljából,

k) közös műveleteket végrehajtani más tagállamok felügyelőhatóságaival külön jogszabály⁴⁴⁾ értelmében.

Az ellenőrzött személy köteles

a) eltűrni az ellenőrzés végrehajtását és az ellenőrző szervnek megfelelő körülményeket teremteni az ellenőrzés végrehajtásához az ellenőrzés során megállapított adatok feldolgozásához,

b) megadni a szükséges együttműködést az ellenőrző szervnek az ellenőrzés rendes lefolytatásához, főként a megfelelő biztonsági színvonal dokumentálásakor, tekintettel a kockázatokra, melyeket a személyes adatok kezelése hordoz az adatkezelőnél és adatfeldolgozónál, 

c) az ellenőrzés ideje alatt biztosítani az ellenőrző szervnek a szabad és biztonságos hozzáférést a berendezésekhez, eszközökhöz és információs rendszerekhez,

d) az ellenőrző szervvel együttműködni annak kérése szerint, összhangban a 93. § szerinti jogosultságaival és tartózkodni olyan cselekményektől, melyekkel az ellenőrzés végrehajtását meghiúsíthatná,

e) az ellenőrző szerv beidézésére megjelenni, az ellenőrzés tárgyához kapcsolódó magyarázatnyújtás céljából,

f) a megadott határidőn belül átadni az ellenőrző szervnek az okiratok eredetijét vagy másolatát, más iratokat, állásfoglalásokat és információkat, az adathordozókon kezelt személyes adatokat, beleértve a személyes adatok műszaki adathordozót, a programok kivonatait és forráskódjait, ha ilyenekkel rendelkezik, valamint egyéb, az ellenőrzés lefolytatásához szükséges anyagokat vagy alapanyagokat, és indokolt esetben lehetővé tenni az eredeti iratok vagy iratmásolatok átvételét az ellenőrzött személy létesítményén kívüli helyen,

g) az ellenőrzött személynek teljes és valós, szóbeli és írásbeli tájékoztatást, állásfoglalást és magyarázatot adni az ellenőrzött tényekkel és az ellenőrzéssel összefüggő tényekkel kapcsolatosan,

h) az ellenőrző szerv kérésére megjelenni a protokoll megvitatásán.

Az ellenőrzött személy jogosult

a) folyamatosan véleményt mondani az ellenőrzés során feltárt tényekről,

b) megismerni a protokoll tartalmát és írásbeli kifogást emelni az ellenőrzés belefoglalt megállapításaival kapcsolatosan,

c) kérni az ellenőrző szervtől a 92. § b) és c) pontja szerinti tények igazolását,

d) kérni a kirendelt személytől a hivatal elnökének 96. § 2. bek. szerinti írásbeli megbízólevelének bemutatását,

e) kérni az ellenőrző szervtől a 93. § e) pontja szerint átvett eredeti okiratok vagy másolatok átvételének bizonylatát.

(1) Az ellenőrző szerv az ellenőrzés végrehajtásához kirendelt természetes személyt vagy felügyelő hatósági tagot hívhat meg más tagállamból (a továbbiakban összegezve csak „kirendelt személy”), ha azt az ellenőrzés különleges jellege indokolja. A kirendelt személy részvétele az ellenőrzés során más közérdekű feladatellátásnak tenintendő.

(2) A kirendelt személy a hivatal elnökének írásbeli megbízása alapján vesz részt az ellenőrzésben; a kirendelésről az ellenőrző szerv értesíti az ellenőrzött személyt a 92. § a) pontja szerint.

(3) A kirendelt személy legkésőbb az ellenőrzés megkezdésekor írásbeli megbízással igazolja jogosultságát az ellenőrzött személynél való ellenőrzés végzésére a 90. § 2. bek. és a 92. § c) pontja szerint.

(4) A kirendelt személy titoktartási kötelem alatt áll azon tények vonatkozásában, melyeket az ellenőrzés végzése során megismer, s ez fennmarad az ellenőrzés lezárulta után is. A titoktartási kötelem alól a kirendelt személyt a hivatal elnöke mentheti fel. A más tagállambeli felügyelő hatóság képviselőjére mint kirendelt személyre a titoktartási kötelem nem terjed ki a más tagállambeli kiküldő felügyeleti hatóság viszonylatában, az ellenőrzésben való részvételével kapcsolatos feladataellátásához szükséges mértékben.

(5) A kirendelt személy nem hajthat végre jelen törvény vagy külön jogszabály²⁾ szerinti feladatokat, ha – tekintettel az ellenőrzés tárgyához vagy az ellenőrzött személyhez fúződő viszonyára – kétség merülhet fel elfogulatlanságát illetően. A kirendelt személy, aki olyan tényeket ismer, amelyek elfogultságát megalapozhatják, felesleges halogatás nélkül jelenti ezeket a tényeket a hivatal elnőkének.

(6) Az ellenőrzött személy írásban nyújthat be megalapozott elfogultsági kifogást a kirendelt személlyel szemben. A kirendelt személy az elfogultsági kifogásokról való döntés meghozataláig csak olyan feladatokat láthat el az ellenőrzésben, amelyek nem tűrnek halasztást.

(7) A kirendelt személy által az 5. bek szerint benyújtott elfogultsági bejelentésről és az ellenőrzött személy által a 6. bek. szerint benyújtott elfogultsági kifogásról a hivatal elnöke a kézbesítéstől számított tíz napon belül dönt. A hivatal elnökének döntése ellen jogorvoslatnak helye nincs.

(1) Az ellenőrzés eredménye a protokoll vagy az ellenőrzési jegyzőkönyv.

(2) Ha az ellenőrzés személyesadat-kezelési hiányosságokat tárt fel, az ellenőrző szerv protokollt dolgoz ki, mely tartalmazza

a) a hivatal azonosító adatait,

b) az ellenőrzött személy azonosító adatait,

c) az ellenőrzés megkezdésének dátumát,

d) az ellenőrzés tárgyát,

e) a kimutatott ellenőrzési megállapításokat és indoklásukat,

f) az ellenőrző szerv ellenőrzést lefolytató tagjának családi és utónevét és akadémiai címét,

g) a protokoll kidolgázásának dátumát,

h) a hivatal hivatalos bélyegzőjének lenyomatát és az ellenőrző szerv tagjainak aláírását.

(3) Ha a 2. bekezdés szerinti protokoll az ellenőrzés megállapításaira vonatkozó mellékleteket tartalmaz, azok a protokoll részét képezik.

(4) Az ellenőrzött személy azt követően, hogy megismerte a protokollba foglalt ellenőrzési megállapításokat, jogosult a protokoll kézbesítésének napjától számított 21 napon belül írásbeli ellenvetéseket benyújtani. A később benyújtott ellenvetéseket az ellenőrző szerv nem veszi figyelembe.

(5) Ha az ellenőrzési megállapítások ellen ellenvetéseket nyújtanak be a 4. bek. értelmében, vagy ha a z ellenőrzés tárgyát érintő új tények derültek ki, az ellenőrző szerv megítéli azok tartalmának megalapozottságát és záradékot dolgoz ki róluk, mely a protokoll oszthatlan részét képezik. Ha az ellenőrző szerv nem veszi figyelembe az ellenőrzött személy kifogásait, kötelest azt a záradékban megindokolni; a kidolgozás során a 2. bekezdésnek megfelelően kell eljárni.

(6) Az ellenőrző szerv írásban tájékoztatja az ellenőrzött személyt a kifogások megvizsgálásának eredményéről a kifogások kézbesítési napjától számított 15 napon belül.

(7) Az ellenőrző szerv írásban szólítja fel az ellenőrzött személyt a protokoll megvitatására a kifogások megvizsgálásának eredményének 6. bekezdés szerinti kézbesítését követően, vagy a 4. bek. szerinti kifogásemelési határidő lejártát követően; az ellenőrző szerv a protokoll megvitatásáról jegyzőkönyvet készít, mely a protokoll részévé válik.

(8) Ha az ellenőrzés nem tár fel jelen törvény vagy külön jogszabály²⁾ szerinti jogsértéseket, az ellenőrző szerv jegyzőkönyvet dolgoz kia z ellenőrzésről. A kidolgozás során arányos mértékben a 2. és 3. bekezdés szerint jár el.

(9) Az ellenőrzés lezárul

a) a protokoll megvitatásáról szóló jegyzőkönyv aláírásával,

b) a protokoll megvitatásáról szóló jegyzőkönyv aláírását elutasító napon, amiről az ellenőrző szerv a protokoll megvitatásáról szóló jegyzőkönyvben feljegyzést készít,

c) azon a napon, amikor a protokoll megvitatásáról szóló 7. bekezdés szerint írásbeli felszólításra nem jelenik meg az ellenőrzött személy, amiről az ellenőrző szerv feljegyzést készít a protokoll megvitatásáról szóló jegyzőkönyvben, vagy

d) a 8. bekezdés szerinti, az ellenőrzésről készült jegyzőkönyv kézbesítésének napján.

Az ellenőrzés lefolytatásra nem vonatkozik a külön jogszabály.⁴⁵⁾

(1) A személyesadat-védelmi eljárás (a továbbiakban csak „eljárás”) célja annak megállapítása, hogy sor került-e a természetes személyek jogainak megsértésére adataik kezelése során, vagy sérült-e a jelen törvény vagy külön jogszabály²⁾ az adatvédelem terén, valamint hiányosságok esetén, ha az indokolt és célszerű, jóvátételi intézkedéseket elrendelése, esetleg adatvédelmi bírság kiszabása a jelen törvény vagy külön jogszabály²⁾ megsértése miatt.

(2) Az eljárás nem nyilvános.

(3) Az eljárás résztvevője lehet

a) az érintett személy, aki eljárás megindítását kezdeményezte a 100. § szerint,

b) az adatkezelő,

c) az adatfeldolgozó,

d) a tanúsító jogalany,

e) a megfigyelő jogalany.

(4) Ha az érintett személy 100. § szerint benyújtott kezdeményezése olyan adatkezelőt vagy adatfeldolgozót érinti, melynél az adatkezelő vagy adatfeldolgozó fő részlegének az illetékes felügyelő szerve működik, vagy amely az adatkezelő vagy adatfeldolgozó egyetlen üzeme, vagy határokon átnyúló adatkezelést végző, külön jogszabály⁴⁶⁾ szerinti adatkezelő vagy adatfeldolgozó egyetlen üzeme (a továbbiakban csak „vezető felügyelő szerv”), a hivatal külön előírások⁴⁷⁾ szerint jár el.

(5) A hivatal értesíti az érintett személyt a vezető felügyelő szerv döntéséről. Ha a vezető felügyelő szerv az indítványt elutasítja vagy annak nem tesz eleget, vagy úgy dönt, hogy külön jogszabály értelmében⁴⁷⁾ azzal nem kíván foglalkozni, a hivatal eljárást indít a 100. § szerint.

(6) Ha a 4. bekezdés szerinti adatkezelés olyan adatkezelőt vagy adatfeldolgozót érint, mely a 13. § 1. bek. c) vagy e) pontja szerinti jogalapon kezel személyes adatokat, a tárgyban illetékesnek a hivatalt tekintik és a 4. bekezdés szerinti eljárás nem indul meg.

(1) Az eljárás az érintett személy javaslatára kezdődik meg, vagy olyan személyére, aki azt állítja, hogy közvetlenül érintett a jelen törvénybe foglalt jogai miatt (a továbbiakban csak „indítványozó”), vagy javaslat nélkül indul meg.

(2) A hivatal javaslat nélkül is eljárást indít, ha a jelen törvény vagy külön jogszabály²⁾ szerinti kötelességbetartás feletti felügyeleti jogköre gyakorlása közben ilyen megállapításra jut.

(3) Az 1. bekezdés szerinti eljáráskezdő indítványának (a továbbiakban csak „indítvány”) tartalmaznia kell

a) az indítványozó családi és utónevét, levélcímét és aláírását,

b) annak megjelölését, aki ellen az indítvány irányul, a családi és utóneve, állandó lakcíme, vagy megnevezése, székhelye és – ha ilyennel rendelkezik – statisztikai azonosító száma megadásával,

c) az indítvány tárgyát azon jogok megjelölésével, amelyeket az adatkezelés során megsérthettek,

d) az indítvány állításait alátámasztó bizonyítékokat,

e) az irat másolatát vagy egyéb bizonyítékot, mely igazolja a jelen törvény második részének második cikkelye szinti jogok vagy külön jogszabály²⁾ szerinti jogok érvényesítését, ha az érintett személy ilyen jogát érvényesítette, vagy amennyiben az említett jogot nem érvényesítte a különleges méltánylást érdemlő indokok feltüntetése, ha az indítványt az érintett személy nyújtotta be.

(4) Az indítvány mintáját a hivatal közzéteszi a honlapján.

(5) A hivatal az indítványt végleg félreteszi, ha

a) ha az indítvány nyilvánvalóan indokolatlan,

b) az ügy, melyet az idítvány érint, bírósági eljárás tárgya vagy azt a bűnüldöző hatóság vizsgálja,

c) az indítványozó a hivatal kérésére sem volt hajlandó az együttműködésre, miközben az ő aktív részvétele nélkül az ügyet nem lehet elintézni; a hivatal az indítványozót értesíti a félretétel lehetőségéről,

d) az eseménytől, melyet az indítvány érint, a kézhezvétel napjáig három évnél hosszabb idő telt el.

(6) Ha az indítvány nem tartalmazza az indítványozó kiléte eltitkolásának kérelmét, a hivatal az indítványt a benne feltüntetett személyes adatok titkosítása nélkül intézi. Ha az indítvány tartalmazza az indítványozó kiléte eltitkolásának kérelmét, de az indítvány jellegéből adódóan az ügy nem intézhető az indítványt benyújtó személy egyes személyes adatainak feltüntetése nélkül, a hivatal ennek megállapítását követően e tényről tájékoztatja az indítványozót, egyben arra is figyelmezteti, hogy az indítványról csak akkor folytatja az eljárást, ha az indíványozó a kijelölt határidőn belül beleegyezését adja a javaslata intézéséhez szükséges személyes adat vagy adatai feltüntetéséhez.

(7) Ha az indítványt a hivatalnak nem az érintett, hanem más személy nyújtja be, az indítványt eljáráskezdeményezésnek tekintik ( a továbbiakban csak „kezdeményezés”) indítvány nélkül.

(8) A hivatal a kezdeményezésről a kézbesítéstől számított 30 napon belül állást foglal, és ha a kezdeményezést nem teszi félre az 5. bek. szerint, megindítja az eljárást és a 102. § szerint döntést hoz az ügyben.

(9) A hivatal a 8. bekezdés szerinti kezdeményezés intézésének módjáról a kézbesítéstől számított 30 napon belül értesíti a benyújtót.

(1) A hivatal az eljárás megkezdésétől számított 90 napon belül döntés hoz. Indokolt esetben a hivatal ezt a határidőt arányos mértékben meghosszabbítja, legfeljebb azonban csak 180 napra. A határidő meghosszabbításáról a hivatal értesíti az eljárás résztvevőit. 

(2) Ha az eljárás során ellenőrzést kell lefolytatni, az 1. bekezdés szerinti határidő múlása szünetel az ellenőrzés megkezdésének napjától az ellenőrzés lezárásának napjáig.

(3) Ha az eljárás során a hivatal megállapítja, hogy teljesültek a feltételek az eljárás külön jogszabály⁴⁸⁾ szerinti megszakítására, a hivatal az eljárást megszakítja, amiről tájékoztatja az eljárás résztvevőt.

(1) Ha a hivatal megállapítja az érintett személy jogainak megsértését vagy a jelen törvény vagy külön jogszabály²⁾ által előírt adatvédelmi kötelességek elmulasztását az eljárás résztvevője által, határozatában 

a) jóvátételi intézkedéseket írhat elő és határidőt szabhat ki az elrendelt intézkedés végrehajtására a 3. bek. értelmében, amennyiben az indokolt és célszerű,

b) megszüntetheti a jóváhagyott magatartási kódex kötelező jellegét az adatkezelő és adatfeldolgozó vonatkozásában, ha az kötelezte magát a jóváhagyott magatartási kódex betartására,

c) visszavonhatja a minősítést,

d) elrendelheti a tanúsító jogalanynak a minősítés visszavonását,

e) visszavonhatja az akkreditáció kiadásáról szóló bizonylatot,

f) bírságot szabhat ki a 104. § szerint.

(2) Ha a hivatal az 1. bekezdés szerinti eljárásban nem hoz döntést, mivel az eljárásban nem igazolódik be az érintett személy jogainak megsértése, vagy ha a jelen törvény vagy külön jogszabály²⁾ által előírt adatvédelmi kötelességek elmulasztása az eljárás résztvevője által, a hivatal az eljárást leállítja.

(3) A hivatal jogosult kötelességeket megszabni az adatkezelőnek vagy adatfeldolgozónak, főként elrendelni

a) a megállapított hiányosságok és keletkezésük okainak kiküszöbölését a hivatal által megszabott határidőben,

b) műszaki és szervezési intézkedések elfogadását a természetes személyek jogbiztonságának kockázataival arányos mértékű szintje biztosítása céljából,

c) az adatkezelési műveletek személyes adatok védelmére gyakorolt hatásainak átvilágítását összhagban a jelen törvénnyel vagy külön jogszabállyal.²⁾

(4) Ha az érintett személy jogainak sérelme vagy az adatkezeléssel kapcsolatos kötelesség megsértése nem tűri a halasztást, a hivatal azonnali intézkedést hoz.

(5) Az adatkezelő vagy adatfeldolgozó köteles a hivatalt írásban tájékoztatni a kiszabott intézkedések teljesítéséről a hivatl által megadott határidőn belül.

(1) A 102. § szerinti határozat ellen kifogás nyújtható be, melyről a hivatal elnöke dönt.

(2) A kifogás benyújtója a benyújtott kifogást bővítheti vagy kiegészítheti további javaslattal vagy további pontokkal, de csak a kifogás benyújtására megadott határidőn belül.

(1) A hivatal 10 000 000 eurós bírságot szabhat ki, vagy ha vállalkozásról van szó, az előző évi könyvviteli zárása szerinti teljes világpiaci forgalma 2 %-át kitevő összegben attól függően, hogy melyik összeg nagyobb,

a) az adatkezelőre, beleértve a közhatalmi szervet vagy közintézményt, ha nem teljesíti vagy megsérti valamely, a 15. §, 18. §, 31–35. §, 37. §, 39–45. §, 79. § és 109. § által előírt kötelességét, vagy az Európai Parlament és Tanács (RU) 2016/679. sz., 2016. április 27-én kelt, a természetes személyek személyes adatainak – kezelésük közbeni – védelméről és az ilyen adatok szabad mozgásáról szóló rendeletének – mely megszünteti a 95/46/EK irányelvet (általános adatvédelmi rendelet) – (HL L 119., 2016. 5. 4., a továbbiakban csak „2016/679 (EU) rendelet) 8., 11., 25–39., 42. és 43. cikkét,

b) az illetékes hatóságra, ha nem teljesíti vagy megsérti a 67–72. § szerinti valamely kötelességét,

c) az adatfeldolgozóra, beleértve az adatfeldolgozói szerepet ellátó közhatalmi szervet és a közintézményt, ha nem teljesíti valamely a 34–37. §, 39. §, a 40. § 3. bek., a 44. §, a 45. §, a 69. § 3. bek., a 71. §, a 79. § és a 109. § által, vagy a 2016/679 (EU) rendelet 27–33., 37–39., 42. és 43. cikke által előírt kötelességét,

d) a tanúsító jogalanyra, ha nem teljesíti vagy megszegi valamely, a 88. és 89. § által, vagy a 2016/679 (EU) rendelet 42. és 43. cikke által előírt kötelességét,

e) a megfigyelő jogalanyra, ha nem teljesíti vagy megszegi valamely, a 87. § 5. és 19. bekezdése által, vagy a 2016/679 (EU) rendelet 41. cikkének 4. bek. által előírt kötelességét.

(2) A hivatal 20 000 000 eurós bírságot szabhat ki, vagy ha vállalkozásról van szó, az előző évi könyvviteli zárása szerinti teljes világpiaci forgalma 4 %-át kitevő összegben attól függően, hogy melyik összeg nagyobb, arra, aki

a) nem teljesítette vagy megsértette a személyesadat-kezelés alapelveinek valamelyikét, beleértve a hozzájárulás feltételeit a 6–14. §, a 16. § és az 52–58. § értelmében, vagy a 2016/679. (EU) rendelet 5–7. cikkét,

b) nem teljesítette vagy megsértette az érintett személy valamely, 19–29. § és 59–66. § szerinti jogát vagy a 2016/679. (EU) rendelet 12–22. cikke szerinti jogát,

c) nem teljesítette vagy megsértette valamely, a 49–51. § és a 73–77. § szerinti vagy a 2016/679. (EU) rendelet 44–49. cikke szerinti kötelességét a harmadik országbeli címzetthez vagy nemzetközi szervezethez történő adatátvitel során,

d) nem teljesítette vagy megsértette a 78. § szerinti személyesadat-kezelés törvényes kötelességeinek valamelyikét,

e) nem teljesítette az utasítást vagy nem tartotta be az átmeneti vagy tartós adatkezelés-korlátozást, vagy a hivatal által a 81. § 3. bek. értelmében vagy a 2016/679. (EU) rendelet 58. cikke szerinti adatátviteli tilalmat, vagy a 2016/679. (EU) rendelet 58. cikkének 1. bekezdésével ellentétesen nem engedélyezte a hozzáférést.

(3) Arra, aki nem teljesíti a hivatal által elrendelt 102. § 1. bek. a) pontja szerinti vagy a 2016/679. (EU) rendelet 58. cikkének 2. bekezdése szerint elrendelt intézkedéseket, a hivatal 20 000 000 eurós bírságot szabhat ki, vagy ha vállalkozásról van szó, az előző pénzügyi éve szerinti teljes világpiaci forgalma 4 %-át kitevő összegben attól függően, hogy melyik összeg nagyobb.

(1) A hivatal 2 000 eurós rendbírságot szabhat ki arra a személyre, aki vagy amely nem adatkezelő vagy adatfeldolgozó, ha nem működik együtt a kért mértékben a hivatallal 109. § vagy külön jogszabály²⁾ szerinti felügyeleti tevékenységének végzése során.

(2) A hivatal rendbírságot szabhat ki az adatkezelőre vagy az adatfeldolgozóra, esetleg az adatkezelő vagy adatfeldolgozó képviselőjére

a) 20 000 euróig terjedő összegben, ha nem biztosít megfelelő körülményeket a 94. § a) pontja szerinti ellenőrzés lefolytatásához,

b) 10 000 euróig terjedő összegben, ha meghiúsítja a 94. § b –h) pontja szerinti ellenőrzés lefolytatását.

(1) A hivatal a közigazgatási bírságot és rendbírságot az egyes esetek körülményeinek függvényében állapítja meg. A bírság kiszabásáról való döntés során és nagyságának 104. § szerinti megállapításakor figyelembe veszi

a) a szabálysértés jellegét, súlyosságát és fennállásának időtartamát, a személyes adatok kezelésének célját és mértékét, valamint a hatások által érintett személyek számát, és – ha keletkezett – a kár nagyságát,

b) a személyesadat-védelem megsértésének esetleges okozását,

c) az intézkedéseket, melyeket az adatkezelő vagy adatfeldolgozó az érintett személyeket ért károk mérséklése érdekében elfogadott,

d) az adatkezelő vagy adatfeldolgozó felelősségének mértékét, tekintettel a műszaki és szervezési intézkedésekre, melyeket a 32., a 39. és a 42. § értelmében foganatosított,

e) az adatkezelő vagy adatfeldolgozó által okozott korábbi személyesadat-védelmi incidenseket,

f) a hivatallal való együttműködési hajlandóság mértékét személyesadat-védelmi sérelmek jóvátétele és a személyesadat-védelmi sérelmek negatív következményeinek csökkentése érdekében,

g) a személyesadat-kategóriákat, melyeket személyesadat-védelmi sérelem érint,

h) annak módját, ahogyan a hivatal a személyesadat-védelmi sérelemről tudomást szerzett, legfőképpen azt, hogy az adatkezelő vagy adatfeldolgozó a személyesadat-védelmi sérelmet bejelentette-e, és ha igen, mennyire részletesen,

i) az intézkedések teljesítését, ha az adatkezelőnél vagy adatfeldolgozónál korábbi eljárás során a 102. § 1. bek. szerint személyesadat-védelmi eljárásban ilyeneket elrendeltek,

j) a 85. § szerinti jóváhagyott magatartási kódexek, vagy a 86. § szerint kiadott tanúsítványok betartását,

k) a súlyosbító vagy enyhítő körülményeket, elsősorban a pénzügyi előnyöket vagy veszteségeket, melyeket megakadályoztak, közvetve vagy közvetlenül a személyesadat-védelmi sérelemmel összafüggésben.

(2) Ha az adatkezelő vagy adatfeldolgozó szándékosan vagy hanyagságból ugyanazokkal az adatkezelési műveletekkel vagy kapcsolódó adatkezelési műveletekkel a jelen törvény vagy külön jogszabály²⁾ több rendelkezését megsérti, a bírság együttes összege nem haladhatja meg a legsúlyosabb személyesadat-védelmi sérelemért a 104. § szerint kiszabható bírság nagyságát.

(3) A 104. § szerinti bírság attól a naptól számított két éven belül szabható ki, amikor a hivatal a kötelességszegést megállapította, legkésőbb azonban öt éven belül attól a naptól számítva, amikor a kötelességszegésre sor került.

(4) A 105. § szerinti rendbírságot a hivatal ismételten kiveti, ha a kötelességet a megadott határidőn belül nem teljesítik.

(5) A 105. § szerinti rendbírság 6 hónapon belül szabható ki attól a naptól számítva, amikor a kötelességszegésre sor került.

(6) A közigazgatási bírságok és a rendbírságok az állami költségvetés bevételei.

(1) A jelen törvény szerinti eljárásokra a közigazgatási eljárásrend vonatkozik, ha a 2. bekezdés másként nem rendelkezik.

(2) A közigazgatási eljárásrendet nem alkalmazzák az ellenőrző szerv 91. § szerinti elfogultsági döntéshozatalában, a kirendelt személlyel kapcsolatos 96. § 5–7. bek. szerinti elfogultsági döntéshozatalban, valamint az ötödik rész harmadik cikkelye szerinti ellenőrzés végrehajtására, kivéve az ellenőrzéssel kapcsolatos iratok kézbesítését.

(3) A feddhetetlenség 82. § 4. bek. és 83. § 3. bek. szerinti bizonyításának céljából a természetes személy rendelkezésre bocsátja a bűnügyi nyilvántartó⁴⁹⁾ kivonatának beszerzéséhez szükséges személyes adatait. Az első mondat szerinti adatokat a Szlovák Köztársaság Nemzeti Tanácsának Hivatala és a hivatal haladéktalanul, elektronikus formában és elektronikus kommunikáció útján továbbítja a Szlovák Köztársaság Főügyészségének a bűnügyi nyilvántartói kivonat kiadása végett.

(1) A hivatal általános érvényű rendeletet ad ki a 29. § 9. bek, a 70. § 4. bek., a 86. § 19. bek., a 87. § 20. bek. és a 88. § 19. bek. végrehajtásához.

(2) A további adatkezelési műveletek eseteit, melyek adatvédelmi hatásvizsgálatok alá esnek, és a jelen törvény szerinti adatvédelmi hatásvizsgálati eljárásokat általános érvényű jogszabály szabályozza, melyet a hivatal ad ki.

Mindenki köteles a hivatallal megfelelő mértékben együttműködni annak feladatteljesítése és hatáskörgyakorlása során, valamint lehetővé tenni a hivatalnak a jelen törvény vagy külön jogszabály²⁾ szerinti kötelességek és a jelen törvény szerint kiadott határozatok betartására irányuló felügyeleti tevékenységének végzését. Mindez nem befolyásolja a 81. § 7 –8. bekezdésének rendelkezéseit.

(1) A korábban hatályos törvény szerinti Szlovák Köztársaság Adatvédelmi Hivatala a jelen törvény szerinti hivatal és külön jogszabály²⁾ értelmében felügyeleti hatóság.

(2) A Szlovák Köztársaság Adatvédelmi Hivatalának az eddig hatályos törvény értelmében megválasztott elnöke az hivatal enöke a jelen törvény szerint is; mindez nem befolyásolja a megbízatási idejének múlását.

(3) A Szlovák Köztársaság Adatvédelmi Hivatal eddig hatályos törvény szerint kinevezett alelnöke a hivatal alelnöke a jelen törvény értelmében is; mindez nem befolyásolja a megbízatási idejének múlását.

(4) A hivatal eddig hatályos törvény alapján tisztségébe kinevezett főellenőrének a megbízatási ideje a jelen törvény hatályba lépésének napján lejár.

(5) Ha a főellenőr, akinek megbízatási ideje a 4. bek. értelmében lejárt, a hivatal alkalmazottja volt külön jogszabály⁷⁾ szerinti állandó állami alkalmazotti jogviszonyban, a jelen törvény hatályba lépésének napjától külön jogszabály⁷⁾ szerinti állandó állami alkalmazotti jogviszonyban lévő állami alkalmazott. Ha a főellenőr, akinek megbízatási ideje a 4. bek. értelmében lejárt, a hivatal alkalmazottja volt külön jogszabály⁷⁾ szerinti ideiglenes állami alkalmazotti jogviszonyban, a jelen törvény hatályba lépésének napjától az állami alkalmazotti jogviszonya megszűnik.

(6) A hivatal ellenőrének tisztsége, akit az eddig hatályos törvény szerint neveztek ki, a jelen törvény hatályba lépésének napjával megszűnik.

(7) A hivatal ellenőre, akinek tisztsége a 6. bekezdés szerint megszűnt, a jelen törvény hatályba lépésének napjától külön jogszabály⁷⁾ szerinti állami alkalmazottnak tekintendő.

(8) Az eddig hatályos törvény szerint megkezdett ellenőrzést az eddig hatályos törvény szerint kell befejezni.

(9) Az eddig hatályos törvény szerint megkezdett adatvédelmi eljárást és az eddig hatályos törvény szerint elindított bírságolási eljárást, mely jogerősen nem zárult le 2018. május 24-éig, az eddig hatályos törvény szerint kell lezárni.

(10) Az illetékes hatóság köteles biztosítani a 69. § szerinti naplófájlok vezetését az eddigi törvény szerint létrehozott személyes adatok információs rendszereiben 2023. május 6-ától; ha ez komoly problémát okozna az adott személyesadat-kezelő információs rendszer működése szempontjából, az illetékes hatóság köteles a 69. § szerinti naplófájlok vezetését legkésőbb 2026. május 6-áig biztosítani.

(11) A személyes adatok kezeléséhez a korábbi törvény szerint megadott hozzájárulás, mely összhangban áll a jelen törvénnyel vagy külön jogszabállyal,²⁾ a 2018. május 25-étől hatályos törvény szerinti adatkezelési haozzájárulásnak tekintendő.

(12) Az eddig törvény szerint megbízott adatvédelmi tisztviselő, aki megfelel a jelen törvény vagy külön jogszabály²⁾ által támasztott követelményeknek, adatvédelmi tisztviselőnek tekintendő a 2018. május 25-étől hatályos törvény szerint.

Az Ukrajna területén folyó fegyveres konfliktus miatti rendkívüli állapot fennállása idején, melyet a Szlovák Köztársaságba tömegesen beáramló külföldiek miatt rendeltek el, az üzemeltető adatokat szolgáltathat külföldi állam diplomáciai képviseletének vagy konzuli hivatalának az állampolgáraikról és hozzátartozóikról, mégpedig azok személyneve és családi neve, születésének dátuma, állampolgársága és telefonszáma terjedelmében, és ezt az érintett beleegyezése nélkül is megteheti, ha vélelmezés alapján indokolt a konzuli tevékenység vele szemben.⁵⁰⁾

 

A jelen törvénnyel az Európai Unió mellékletben felsorolt kötelező érvényű jogi aktusai a jogrendbe illeszkednek.

Megszűnnek az alábbi jogszabályok:

1. A Tt. 122/2013. sz., a személyes adatok védelméről és egyes más törvényi változásokról és kiegészításekről szóló törvénye a Tt. 84/2014. sz. törvénye megfogalmazásában,

2. a Szlovák Köztársaság Adatvédelmi Hivatala Tt. 164/2013. sz. rendelete a biztonsági intézkedések dokumentációjának részletességéről a Tt. 117/2017. sz. rendelet megfogalmazásában,

3. a Szlovák Köztársaság Adatvédelmi Hivatala Tt. 165/2013. sz. rendelete, mely meghatározza a felelős személy tisztségéhez szükséges vizsga részleteit a természetes személyek számára.

A jelen törvény 2018. május 25-én lép hatályba.

1) A Tt. 351/2011. sz., az elektronikus kommukációról szóló törvénye a későbbi módosítások szerint, 57. § 2. bek.

2) Az európai Parlament és Tanács (EU) 2016/679. sz., 2016. április 27-én kelt rendelete a természetes személyek védelméről személyes adataik kezelése során és az ilyen adatok szabad mozgásáról, mely megszünteti a 95/46/EK irányelvet (általános adatvédelmi rendelet) (HL L 119., 2016. 5. 4.)

3) A Szlovák Köztársaság Nemzeti Tanácsának Tt. 46/1993. sz. a Szlovák Információs Szolgálatról szóló törvénye a Tt. 192/2011. sz. törvényének megfogalmazásában, 17. § 9. bek.

4) A Szlovák Köztársaság Nemzeti Tanácsának Tt. 198/1994. sz. a Katonai elhárításról szóló törvénye a Tt. 444/2015. sz. törvényének megfogalmazásában, 17. § 6. bek.

A Tt. 218/2015. sz., a hivatásos katonák állami szolgálatáról és más törvénymódosításokról szóló törvénye, 14. § 7. bek.

5) A Tt. 215/2004. sz., titokvédelmi törvénye és más törvénymódosítások és kiegészítések a kásőbbi módosítások szerint

6) A Tt. 552/2003. sz., a közérdekű munkavégzésről szóló törvénye a későbbi módosítások szerint

7) A Tt. 55/2017. sz., az állami szolgálatról és más törvények kiegészítéséről szóló törvénye

8) Pl. a Szlovák Köztársaság Nemzeti Tanácsának Tt. 171/1993. sz., a Rendőri Testületről szóló törvénye a későbbi módosítások szerint, a Tt. 540/2001. sz., az állami statisztikákról szóló törvénye a későbbi módosítások szerint, a Tt. 395/2002. sz. a levéltárakról és nyilvántartókról szóló törvénye a későbbi módosítások szerint, vagy a Tt. 553/2002. sz. az irathozzárésről és az 1939-1945 közti állambiztonsági testületek tevékenységének dokumentumairól, valamint a Nemzeti Emlékezet Intézete létrehozásáról és egyes törvényi változásokról (a nemzeti emlékezet törvénye) szóló törvénye a későbbi módosítások szerint

9) A Tt. 22/2004. sz., az elektronikus kereskedelemről és a Tt. 128/2002. sz., a belpiac fogyasztóvédelmi célú állami ellenőrzéséről szóló törvénye és más törvénymódosítások a Tt. 284/2002. sz. törvénye megfogalmazásában

10) A Tt. 36/2005. sz. családjogi törvénye és más törvénymódosítások a későbbi módosítások szerint

11) Pl. a Munka Törvénykönyve a későbbi módosítások szerint, a Tt. 461/2003. sz., a szociális biztosításról szóló törvénye a későbbi módosítások szerint, vagy a Tt. 2/2004. sz., a foglalkoztatási szolgáltatásokról szóló törvénye a későbbi módosítások szerint

12) Pl. a Polgári Törvénykönyv, a Kereskedelmi Törvénykönyv, a Tt. 250/2007. sz. fogyasztóvédelmi törvénye és a Szlovák Köztársaság Nemzeti Tanácsa Tt. 372/1990. sz. szabálysértési törvénye a későbbi módosítások szerint, a Tt. 90/2016. sz., a lakáshitelekről szóló törvénye és msá törvénymódosítások a későbbi módosítások szerint

13) A Tt. 447/2008. sz., a súlyos egészségkárosodás pénzügyi kompenzálásáról és más törvényi változásokról szóló törvénye a későbbi módosítások szerint

14) A Tt. 328/2002. sz., a rendőrök és katonák szociális biztosításáról szóló törvénye és egyéb törvényi kiegészítések a későbbi módosítások szerint

15) Pl. a Tt. 576/2004. sz., az egészségügyi ellátásról, az egészségügyi ellátással összefüggő szolgáltatásoknyújtásáról szóló törvénye és egyes törvények kiegészítése, a későbbi módosítások szerint

16) A Tt. 330/2007. sz. büntetésnyilvántartásról szóló törvénye és egyes törvények kiegészítése, a későbbi módosítások szerint

17) A Tt. 395/2002. sz. törvénye 2. §-ának 15. bek. a későbbi módosítások szerint 

18) A Tt. 395/2002. sz. törvényének 20. §-a a későbbi módosítások szerint

19) Pl. a Polgári peres eljárásrend, a Közigazgatás peres eljárásrend

20) A Polgári peres eljárásrend

21) A Tt. 757/2004. sz., a bíróságokról szóló törvénye és egyes törvények kiegészítése a későbbi módosítások szerint

Büntetőperes eljárás

22) A Szlovák Köztársaság Nemzeti Tanácsának 301/1995. sz., a személyi számról szóló törvénye a Tt. 515/2003. sz. törvénye megfogalmazásában

24) A 2016/679. számú (EU) rendelet 15., 16., 18. és 21. cikke

25) A 2016/679. számú (EU) rendelet 15., 16., 18–21. cikke

26) Pl. a Szlovák Köztársaság Nemzeti Tanácsának 566/1992. sz. törvénye a Szlovák Nemzeti Bankról a későbbi előírások szerint, a Szlovák Köztársaság Nemzeti Tanácsának Tt. 46/1993. sz. törvénye a későbbi előírások szerint, a Szlovák Köztársaság Nemzeti Tanácsának Tt. 171/1993. sz. törvénye a későbbi előírások szerint, a Tt. 215/2004. sz törvénye a későbbi előírások szerint, a Tt. 563/2009. sz., a gépjárműadóról szóló törvénye és egyéb törvénymódosítások a későbbi előírások szerint, a Tt. 307/2014. sz. törvénye a társadalomellenes tevékenység bejelentésével összefüggő egyes intézkedésekről és egyes törvények változásairól szóló törvénye a későbbi előírások szerint

27) A Tt. 523/2004. sz., a közigazgatási költségvetési szabályokról szóló törvénye és más törvényi változások 21. § 1. és 5. bek. a) pontja, a későbbi előírások szerint

28) A 2016/679. számú (EU) rendelet 51. cikke

29) A 2016/679. számú (EU) rendelet 57. cikkének 1. bek. és 58. cikkének 1–3. bek.

30) Pl. a 2016/679. számú (EU) rendelet 56., 60–62. cikke

31) A 2016/679. számú (EU) rendelet 68. cikke

32) A 2016/679. számú (EU) rendelet 56., 60. cikke és 61. cikke 1–8. bekezdése.

32a) A Tt. 575/2001. sz., a kormány tevékenységéről és a központi államigazgatási szervek felépítéséről szóló törvénye 13. §-ának 10. bek. a későbbi módosítások szerint.

33) Pl. a Tt. 215/2004. sz. törvénye a későbbi módosítások szerint

34) A Szlovák Köztársaság Nemzeti Tanácsának Tt. 350/1996. sz., a Szlovák Köztársaság Nemzeti Tanácsának eljárási rendjéről szóló törvénye a Tt. 215/2004. sz. törvényének megfogalmazásában

35) A Tt. 357/2004. sz. alkotmánytörvénye a közérdek érvényeselüséről a köztisztséget betöltő személyek tevékenysége során, a Tt. 545/2005. sz. törvényének megfogalmazásában

A Tt. 55/2017. sz. törvényének 112. §-a

36) Pl. A Büntető perrendtartás, a Közigazgatási perrendtartás

37) A Tt. 215/2004. sz. törvénye 38. és 40. §-a a későbbi módosítások szerint

38) A 2016/679. számú (EU) rendelet 40. cikkének 2. bek.

39) A 2016/679. számú (EU) rendelet 40. cikkének 7. bek.

40) A 2016/679. számú (EU) rendelet 64. cikkének 1. bek. b) pontja

41) A Tt. 395/2002. sz. törvénye a későbbi módosítások szerint

42) A Tt. 395/2002. sz. törvénye a későbbi módosítások szerint

A 2016/679. számú (EU) rendelet 41. cikke

43) A 2016/679. számú (EU) rendelet 43. cikkének 2. és 3. bekezdése

44) A 2016/679. számú (EU) rendelet 62. cikke

45) A Szlovák Köztársaság Nemzeti Tanácsának Tt. 10/1996. sz., az államigazgatás ellenőrzéséről szóló törvénye a későbbi módosítások szerint

46) A 2016/679. számú (EU) rendelet 56. cikkének 1. bek.

47) A 2016/679. számú (EU) rendelet 56. cikke

48) A Tt. 71/1967. sz., a közigazgatási eljárásról (közigazgatási rendtartás) szóló törvénye a későbbi módosítások szerint

49) A Tt. 330/2007. sz. törvénye 10. §-ának 4. bek. a Tt. 91/2016. sz. törvényének megfogalmazásában

50) A Tt. 151/2010. sz., a külügyi szolgálatról és egyéb törvények módosításáról szóló, többször módosított törvénye.

Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27.) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről (HL L 119., 2016.5.4.).