Nový zákon o ochrane osobných údajov v NR SR

Dňa 28. augusta 2026 vláda predložila do NR SR návrh nového zákona o ochrane osobných údajov z dielne Úradu na ochranu osobných údajov SR. Pôvodný návrh zákona bol ešte z júna 2025. Do MPK (LP/2025/305), ktoré prebehlo k pôvodnému návrhu zákona v lete 2025, sa zapojilo viacero subjektov vrátane Slovenskej advokátskej komory. Bolo vznesených viacero zásadných výhrad voči pôvodnému návrhu zákona, najmä k otázke právnych základov. V čom sa teda návrhy zákona z rokov 2025 a 2026 od seba odlišujú? A čo nové obsahuje aktuálny návrh?

Prečo neprebehlo druhé MPK?

Myslím si, že táto úvodná otázka je celkom na mieste, pretože MPK prebehlo v roku 2025 len k návrhu z roku 2025. Návrh z roku 2026 obsahuje viaceré nové ustanovenia, ktoré v návrhu z roku 2025 neboli. Konkrétne ide o:

• úplne novú druhú časť zákona (prakticky ide o výnimku z GDPR pre Ministerstvo obrany SR) - § 11 až § 14;

• presunutie agendy "cookies" z Úradu pre reguláciu pod Úrad na ochranu osobných údajov SR (ďalej len "Úrad") v § 15;

• požiadavku na notársky overené podpisy na splnomocnení pre zastupovanie pred Úradom v § 33 ods. 2 písm. f);

• rozšírenie povinnosti vymenovať zodpovednú osobu aj pre prevádzkovateľov, ktorí sledujú verejný záujem v § 5 ods. 1;

• pridanie povinnosti opätovne oznamovať zodpovednú osobu Úradu, aj keď už bola predtým oznámená, viď § 55 ods. 6;

• zrušenie všetkých schválených kódexov pred účinnosťou tohto zákona podľa § 55 ods. 8, pričom ide len o kódex správania Slovenskej advokátskej komory.

Keďže MPK sa týkalo len k návrhu z roku 2025, k vyššie uvedeným zmenám žiadne MPK neprešlo. Nejde ani o zmeny, ktoré by vyplývali z MPK alebo s ním súviseli. Je pravda, že viaceré problematické body z pôvodného návrhu sa aj v dôsledku MPK napokon do návrhu z roku 2026 nedostali. No vyššie uvedené predstavuje úplne nové ustanovenia, pričom niektoré z nich ani nie sú reflektované alebo vysvetlené v dôvodovej správe a súčasne ide o zásadné zmeny.

V pôvodnom MPK bolo vznesených 697 pripomienok z toho 170 zásadných. Až 518 pripomienok a z toho 139 zásadných pripomienok bolo podľa vyhodnotenia MPK akceptovaných. Jedna za najviac diskutovaných výhrad voči návrhu z roku 2025 sa týkala zákonnosti spracúvania a dodatočných podmienok na právne základy podľa čl. 6 ods. 3 GDPR. Viaceré zásadné výhrady voči týmto ustanoveniam boli v MPK akceptované. Prirodzené očakávanie preto je, že nový návrh by mal vychádzať k podstaty a obsahu akceptovaných pripomienok, najmä tých zásadných. Ak by tomu tak nebolo, opäť vyvstáva otázka, prečo neprebehlo samostatné MPK k návrhu z roku 2026?

Prečo chce Úrad obmedzovať právne základy podľa GDPR?

Presne to navrhoval Úrad v pôvodnom znení § 2 ods. 1 a ods. 2 a robí to ďalej aj v § 4 ods. 1 a 2 návrhu z tohto roka. Tieto ustanovenia zavádzajú dodatočné podmienky na akýkoľvek právny predpis (napr. zákon ale aj podzákonné normy), ktoré majú slúžiť ako základ pre spracúvanie podľa čl. 6 ods. 1 písm. c) a e) GDPR. Tieto požiadavky už máme pre oba právne základy úplne rovnako stanovené v čl. 6 ods. 3 GDPR, kde GDPR hovorí, že z právnych predpisov musí vyplývať aspoň účel spracúvania a ostatné z neho vyplývať "môže". Súdny dvor EÚ dokonca hovorí, že tieto dodatočné podmienky môžu vyplývať aj z výkladu právnej normy a judikatúry súdov. Tieto ustanovenia predstavovali najproblematickejšiu časť pôvodného návrhu a v MPK k nim boli akceptované viaceré zásadné výhrady.

Pôvodný návrh § 2 ods. 1 z roku 2025 znel nasledovne:

"(1) Právny základ na spracúvanie osobných údajov v osobitnom predpise, v medzinárodnej zmluve, ktorou je Slovenská republika viazaná alebo na plnenie úloh vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi musí ustanovovať účel spracúvania osobných údajov, kategóriu dotknutých osôb a zoznam spracúvaných osobných údajov alebo rozsah spracúvaných osobných údajov. Spracúvané osobné údaje na základe osobitného predpisu možno z informačného systému poskytnúť, preniesť alebo zverejniť len vtedy, ak osobitný predpis ustanovuje účel poskytovania, prenosu alebo účel zverejňovania, zoznam spracúvaných osobných údajov alebo rozsah spracúvaných osobných údajov, ktoré možno poskytnúť alebo zverejniť, prípadne príjemcov, ktorým sa osobné údaje poskytnú alebo prenesú."

S takto navrhovaným § 2 ods. 1 zásadne nesúhlasila a žiadala ho zo zákona vypustiť napr. Národná banka Slovenska a Republiková únia zamestnávateľov alebo aj Úrad pre normalizáciu, metrológiu a skúšobníctvo Slovenskej republiky. Všetky tieto zásadné pripomienky a výhrady boli v rámci MPK akceptované. Okrem toho aj mnoho ďalších subjektov vrátane Ministerstva vnútra, obrany alebo MIRRI žiadali výrazne prepracovať dané ustanovenie tak, aby obsahovalo len účel alebo aby tieto požiadavky boli výrazne znížené. Aj tieto pripomienky boli v rámci MPK akceptované.

Je preto v rozpore s týmito závermi MPK, ak návrh zákona bol do NR SR predložený v tomto znení (už ide o § 4 ods. 1 a 2):

"(1) Ak spracúvanie osobných údajov je vykonávané na základe osobitného predpisu, prevádzkovateľ spracúva osobné údaje len za účelom, v rozsahu a spôsobom, ktorý ustanovuje tento osobitný predpis. Osobné údaje na základe osobitného predpisu možno poskytnúť, preniesť mimo územia Slovenskej republiky alebo zverejniť len vtedy, ak osobitný predpis ustanovuje účel poskytovania, účel cezhraničného prenosu (ďalej len „prenos“) alebo účel zverejňovania, zoznam alebo rozsah spracúvaných osobných údajov, ktoré možno poskytnúť alebo zverejniť, príjemcu, ktorému sa osobné údaje poskytnú alebo prenesú. Osobitný predpis môže ustanoviť aj lehotu uchovávania osobných údajov.

(2) Ak spracúvanie osobných údajov je vykonávané za účelom plnenia úloh vo verejnom záujme podľa zákona alebo osobitného predpisu, tento zákon alebo osobitný predpis musí ustanovovať úlohu, z ktorej je možné odvodiť nevyhnutnosť spracúvania osobných údajov a definovať verejný záujem, v súvislosti s ktorým sa osobné údaje spracúvajú. Ak kategórie dotknutých osôb, zoznam alebo rozsah osobných údajov, poskytovanie, zverejňovanie a doba uchovávania nie sú ustanovené v osobitnom predpise, prevádzkovateľ môže spracúvať osobné údaje za účelom plnenia úloh vo verejnom záujme len v rozsahu a spôsobom, ktorý je nevyhnutný a proporcionálny na zabezpečenie účelu podľa prvej vety."

Na prvý pohľad môže ísť o zníženie požiadaviek na osobitné predpisy, ale:

• tieto požiadavky mali byť v zmysle MPK zo zákona úplne odstránené;

• tieto požiadavky nepotrebujeme vôbec duplicitne a nad rámec čl. 6 ods. 3 GDPR upravovať;

• členské štáty síce môžu zaviesť konkrétnejšie podmienky spracúvania osobných údajov podľa čl. 6 ods. 2 GDPR (čo nerobíme) ale nemôžu meniť požiadavky na právne predpisy podľa čl. 6 ods. 3 GDPR (čo robíme);

• ak GDPR obsahuje rovnaké požiadavky podľa čl. 6 ods. 3 pre oba právne základy podľa čl. 6 ods. 1 písm. c) a e) GDPR, my nemôžeme mať rôzne požiadavky pre každý z nich;

• žiadny predpis v Slovenskej republike tieto požiadavky nespĺňa;

• je v rozpore so zakladajúcimi zmluvami EÚ obmedzovať prenosy osobných údajov v rámci vnútorného trhu.

Najlepšie, čo by poslanci mohli spraviť, je jednoducho § 4 ods. 1 a 2 vypustiť.

Prečo chce Úrad rušiť kódex správania advokátom?

V § 55 ods. 8 sa navrhuje všetky doteraz schválené kódexy správania zrušiť. Jediným historicky schváleným kódexom správania podľa GDPR v Slovenskej republike je kódex správania SAK. Kódex správania SAK schválil Úrad rozhodnutím číslo 00676/2018-Os-9 zo 4. decembra 2018, ktoré nadobudlo právoplatnosť 10. decembra 2018. Zákonom rušiť právoplatné rozhodnutie Úradu je podľa môjho názoru neprípustné a so zrušením kódexov správania nepočíta ani GDPR. Ak je problémom chýbajúca akreditácia monitorujúcich subjektov podľa čl. 41 GDPR, tak je potrebné dodať, že jediným dôvodom, prečo táto akreditácia nebola od roku 2018 do dnešného dňa na Slovensku možná je ten, že Úrad od 25. mája 2018 neprijal vyhlášku na akreditačné kritéria podľa § 87 ods. 20 zákona č. 18/2018 Z. z., čím fakticky blokoval akékoľvek prijatie kódexov správania. Podľa môjho názoru nie je možné právoplatné rozhodnutie Úradu týmto spôsobom zrušiť a s takým postupom nepočíta ani GDPR.

Najlepšie, čo môžu poslanci spraviť, je § 55 ods. 8 vypustiť.

Prečo chce Úrad, aby sa mu všetky zodpovedné osoby oznamovali znova?

To nevieme, ale vzhľadom na to, že Úrad v niektorých prípadoch konštatuje neoznámenie zodpovednej osoby aj tam kde oznámená objektívne bola a klient disponuje potvrdením Úradu, je možné, že Úrad si jednoducho potrebuje aktualizovať svoje interné systémy. Iné objektívne alebo právne vysvetlenie neexistuje.

Najlepšie, čo môžu poslanci spraviť, § 55 ods. 6 vypustiť.

Prečo chce Úrad, aby dotknuté osoby a advokáti osvedčovali svoje podpisy na splnomocneniach?

Tiež nevieme, prečo majú dotknuté osoby overovať plné moci pre advokátov zastupujúcich ich pred Úradom, keď to nepotrebujú robiť pred súdmi pri podávaní správnych žalôb proti rozhodnutiam Úradu, ku ktorým dané konania smerujú.

Najlepšie, čo môžu poslanci spraviť, je § 33 ods. 2 písm. f) vypustiť.

Bude nový zákon reflektovať ešte neprijatú novelu existujúceho zákona?

Aktuálny zákon č. 18/2018 Z. z., o ochrane osobných údajov má byť novelizovaný návrhom zákona o štátnej správe v oblasti umelej inteligencie a európskej dátovej regulácie (parlamentná tlač č. 1444) z dielne MIRRI. Tento návrh zákona bol do NR SR predložený ten istý deň ako návrh zákona o ochrane osobných údajov (28. augusta 2028). Konkrétne podľa čl. V návrhu sa majú vložiť do existujúceho zákona o ochrane osobných údajov (18/2018 Z. z.) tri nové ustanovenia za aktuálny § 78 (§ 78a až § 78c) v tomto znení (uvádzame bez poznámok pod čiarou):

§ 78a Nasadzujúci subjekt25a) využívajúci systém AI25b) je pri posúdení vplyvu na ochranu osobných údajov povinný predkladať informácie spôsobom podľa osobitného predpisu.25c)

 § 78b Spracúvanie osobných údajov musí byť v súlade s podmienkami správy údajov na účel zabezpečenia odhaľovania a nápravy zaujatosti v súvislosti s vysokorizikovými systémami AI25d) a s podmienkami spracúvania osobných údajov na účely vývoja určitých systémov AI vo verejnom záujme v regulačných experimentálnych prostrediach pre AI.25e)

 § 78c Prevádzkovateľ, na ktorého sa vzťahuje povinnosť informovať o používaní vysokorizikového systému AI informuje dotknutú osobu, za podmienok podľa osobitného predpisu,25f) že sa na ňu vzťahuje používanie vysokorizikového systému AI."

Tým, že sa navrhuje aktuálny zákon č. 18/2018 Z. z. zrušiť a nahradiť novým zákonom o ochrane osobných údajov, táto novela sa môže v legislatívnom procese stratiť a preto je nevyhnutné ju obsahovo doplniť do nového zákona o ochrane osobných údajov a tomu prispôsobiť aj číslovanie § a poznámok pod čiarou.

Záver

Ak by z návrhu nového zákona boli odstránené vyššie uvedené problematické ustanovenia, zostal by z neho štíhly a skôr procesný predpis, ktorý by nijako nezasahoval do GDPR. Ak tieto ustanovenia v novom zákone zostanú, budeme ho musieť znova meniť a budeme mať v praxi ďalšie nové výkladové problémy len preto, ako je napísaný zákon o ochrane osobných údajov.

Mimochodom, taký bol doteraz osud takmer každého jedného zákona o ochrane osobných údajov pred ním - historický exkurz tu. Dôvodom väčšinou bolo to, že pripomienky odbornej verejnosti neboli zohľadnené.

Jakub Berthoty

Dagital Legal, s.r.o.