Ochrana osobných údajov
Informačná povinnosť voči dotknutým osobám
Informácie poskytované pri získavaní osobných údajov od dotknutej osoby
Ak prevádzkovateľ získava osobné údaje priamo od dotknutej osoby alebo má v úmysle spracúvať tieto údaje na iný účel, než na ktorý boli pôvodne získané, je povinný dotknutej osobe poskytnúť nasledovné informácie:
- identifikačné a kontaktné údaje prevádzkovateľa;
- kontaktné údaje prípadnej zodpovednej osoby;
- účelspracúvania osobných údajov a príslušný právny základ spracúvania;
- v prípade spracúvania založeného na oprávnenom záujme aj opis oprávnených záujmov prevádzkovateľa alebo tretej strany;
- príjemcov osobných údajov alebo ich kategórie, ak sú známe;
- ak je to relevantné, informáciu o plánovanom prenose osobných údajov do tretej krajiny alebo medzinárodnej organizácie, vrátane informácie o existencii alebo neexistencii rozhodnutia Komisie o primeranosti, prípadne odkazu na primerané alebo vhodné záruky podľa čl. 46, 47 alebo čl. 49 ods. 1 druhého pododseku Nariadenia a spôsobu získania ich kópie;
- dobu uchovávania osobných údajov alebo kritériá používané na jej určenie;
- informáciu o právach dotknutej osoby, najmä o práve na prístup k osobným údajom, ich opravu, vymazanie, obmedzenie spracúvania, práve namietať proti spracúvaniu a práve na prenosnosť údajov;
- ak je spracúvanie založené na súhlase dotknutej osoby, informáciu o práve tento súhlas kedykoľvek odvolať bez vplyvu na zákonnosť spracúvania vykonaného pred jeho odvolaním;
- informáciu o práve podať sťažnosť dozornému orgánu (Úradu na ochranu osobných údajov SR);
- informáciu o tom, či je poskytnutie osobných údajov zákonnou alebo zmluvnou požiadavkou alebo podmienkou uzavretia zmluvy, ako aj o povinnosti ich poskytnutia a možných dôsledkoch ich neposkytnutia;
- informáciu o existencii automatizovaného rozhodovania vrátane profilovania, vrátane zrozumiteľného vysvetlenia použitého postupu, jeho významu a predpokladaných dôsledkov pre dotknutú osobu.
Informačná povinnosť sa neuplatní v tom rozsahu, v akom dotknutá osoba už týmito informáciami disponuje.
Informácie poskytované v prípade, ak osobné údaje neboli získané priamo od dotknutej osoby
Ak prevádzkovateľ nezískal osobné údaje priamo od dotknutej osoby alebo má v úmysle spracúvať osobné údaje na iný účel, než na ktorý boli pôvodne získané, je povinný dotknutej osobe poskytnúť nasledovné informácie:
- identifikačné a kontaktné údaje prevádzkovateľa;
- kontaktné údaje prípadnej zodpovednej osoby;
- účelspracúvania osobných údajov a príslušný právny základ spracúvania;
- kategórie spracúvaných osobných údajov;
- príjemcov osobných údajov alebo ich kategórie, ak existujú;
- ak je to relevantné, informáciu o plánovanom prenose osobných údajov do tretej krajiny alebo medzinárodnej organizácie vrátane informácie o existencii alebo neexistencii rozhodnutia Komisie o primeranosti, prípadne odkazu na primerané alebo vhodné záruky podľa článkov 46, 47 alebo čl. 49 ods. 1 druhého pododseku Nariadenia a o spôsobe získania ich kópie;
- dobu uchovávania osobných údajov alebo kritériá používané na jej určenie;
- v prípade spracúvania založeného na článku 6 ods. 1 písm. f) aj opis oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana;
- informáciu o právach dotknutej osoby, najmä o práve na prístup k osobným údajom, ich opravu, vymazanie, obmedzenie spracúvania, práve namietať proti spracúvaniu a práve na prenosnosť údajov;
- ak je spracúvanie založené na súhlase dotknutej osoby, informáciu o práve tento súhlas kedykoľvek odvolať bez vplyvu na zákonnosť spracúvania vykonaného pred jeho odvolaním;
- informáciu o práve podať sťažnosť dozornému orgánu (Úradu na ochranu osobných údajov SR);
- informáciu o zdroji,z ktorého osobné údaje pochádzajú, vrátane údaja o tom, či pochádzajú z verejne dostupných zdrojov;
- informáciu o existencii automatizovaného rozhodovania vrátane profilovania, spolu so zrozumiteľným vysvetlením použitého postupu, jeho významu a predpokladaných dôsledkov pre dotknutú osobu.
Prevádzkovateľ poskytne uvedené informácie:
- v primeranej lehote po získaní osobných údajov, najneskôr však do jedného mesiaca, s prihliadnutím na konkrétne okolnosti spracúvania;
- ak sa osobné údaje používajú na komunikáciu s dotknutou osobou, najneskôr pri prvej komunikácii s touto osobou; alebo
- ak sa predpokladá poskytnutie osobných údajov ďalšiemu príjemcovi, najneskôr v čase ich prvého poskytnutia.
Informačná povinnosť sa neuplatní v rozsahu, v akom:
- dotknutá osoba už danými informáciami disponuje;
- by poskytnutie informácií bolo nemožné alebo by si vyžadovalo neprimerané úsilie, najmä pri spracúvaní na archivačné účely vo verejnom záujme, na účely vedeckého alebo historického výskumu alebo štatistické účely, ak by tým bolo znemožnené alebo podstatne sťažené dosiahnutie cieľov spracúvania;
- sa získanie alebo sprístupnenie informácií výslovne ustanovuje právom Európskej únie alebo právom Slovenskej republiky; alebo
- osobné údaje musia zostať dôverné z dôvodu povinnosti zachovávania profesijného tajomstva.
V takýchto prípadoch je prevádzkovateľ povinný prijať primerané opatrenia na ochranu práv, slobôd a oprávnených záujmov dotknutej osoby, vrátane sprístupnenia týchto informácií verejnosti.
Informácia o spracúvaní osobných údajov na marketingové účely
Prevádzkovateľa jeho kontaktné údaje
PROMO Group s. r. o., Solivarská 14E 080 05 Prešov, IČO: 52928594
Účel spracúvania
Spracúvanie osobných údajov sa vykonáva na účely zasielania newslettera s aktuálnou ponukou nehnuteľností a realizácie prieskumu spokojnosti klientov.
Právny základ spracúvania
Spracúvanie osobných údajov je založené na súhlase dotknutej osoby v súlade s článkom 6 ods. 1 písm. a) Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov).
Príjemcovia
Príjemcami osobných údajov sú spoločnosti Google Ireland Limited, SurveyMonkey Inc. a The Rocket Science Group LLC d/b/a MailChimp.
Prenos osobných údajov do tretej krajiny
Osobné údaje môžu byť prenášané do Spojených štátov amerických, a to spoločnostiam SurveyMonkey Inc. a The Rocket Science Group LLC d/b/a MailChimp, ktoré sú certifikované v rámci mechanizmu EU – US Privacy Shield.
Rozhodnutie Komisie o primeranosti
Prenos osobných údajov sa uskutočňuje na základe Vykonávacieho rozhodnutia Komisie (EÚ) 2016/1250 z 12. júla 2016 o primeranosti ochrany poskytovanej štítom na ochranu osobných údajov medzi Európskou úniou a Spojenými štátmi americkými.
Doba uchovávania
Osobné údaje sa uchovávajú po dobu 7 rokov.
Požiadavka na poskytnutie osobných údajov a možné následky ich neposkytnutia
Poskytnutie osobných údajov nie je zákonnou ani zmluvnou povinnosťou, ani podmienkou na uzavretie zmluvy, pričom dotknutá osoba nie je povinná osobné údaje poskytnúť.
Automatizované rozhodovanie vrátane profilovania
Automatizované rozhodovanie ani profilovanie sa nevykonáva.
Práva dotknutej osoby
Dotknutá osoba má, bez ohľadu na právny základ spracúvania, právo na prístup k svojim osobným údajom, právo na ich opravu, vymazanie alebo obmedzenie spracúvania, právo na prenosnosť údajov, právo namietať proti spracúvaniu osobných údajov, právo, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní vrátane profilovania, právo podať sťažnosť dozornému orgánu (Úrad na ochranu osobných údajov SR) a právo kedykoľvek odvolať súhlas so spracúvaním osobných údajov, ak sa spracúvanie vykonáva na základe súhlasu.
Podrobné informácie o právach dotknutých osôb a o spôsobe ich uplatnenia sú dostupné na webovom sídle prevádzkovateľa www.promoreality.sk
Práva dotknutých osôb
Dotknutá osoba má, bez ohľadu na právny základ spracúvania osobných údajov, právo na prístup k svojim osobným údajom, právo na ich opravu, vymazanie alebo obmedzenie spracúvania, právo na prenosnosť údajov, právo namietať proti spracúvaniu osobných údajov, právo, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní vrátane profilovania, právo podať sťažnosť dozornému orgánu (Úrad na ochranu osobných údajov SR) a právo kedykoľvek odvolať súhlas so spracúvaním osobných údajov, ak sa spracúvanie vykonáva na základe súhlasu.
Práva dotknutých osôb podľa nariadenia
Právo dotknutej osoby na prístup k údajom (čl. 15 Nariadenia)
Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či spracúva osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo na prístup k týmto osobným údajom a na poskytnutie nasledujúcich informácií:
- účely spracúvania osobných údajov;
- kategórie spracúvaných osobných údajov;
- príjemcov osobných údajov alebo kategórie príjemcov, ktorým boli alebo budú osobné údaje sprístupnené, najmä ak ide o príjemcov v tretích krajinách alebo medzinárodné organizácie;
- ak je to možné, predpokladanú dobu uchovávania osobných údajov, prípadne kritériá používané na jej určenie;
- informáciu o existencii práva požadovať opravu osobných údajov, ich vymazanie alebo obmedzenie spracúvania, ako aj práva namietať proti takémuto spracúvaniu;
- informáciu o práve podať sťažnosť dozornému orgánu (Úradu na ochranu osobných údajov SR);
- ak osobné údaje neboli získané priamo od dotknutej osoby, dostupné informácie o ich zdroji;
- informáciu o existencii automatizovaného rozhodovania vrátane profilovania, spolu s informáciami o použitom postupe, jeho význame a predpokladaných dôsledkoch pre dotknutú osobu;
- v prípade prenosu osobných údajov do tretej krajiny alebo medzinárodnej organizácie informáciu o primeraných zárukách týkajúcich sa takéhoto prenosu.
Prevádzkovateľ poskytne dotknutej osobe kópiu spracúvaných osobných údajov. Za každú ďalšiu kópiu, o ktorú dotknutá osoba požiada, je prevádzkovateľ oprávnený účtovať primeraný poplatok zodpovedajúci administratívnym nákladom.
Ak dotknutá osoba podala žiadosť elektronickými prostriedkami, informácie sa poskytnú v bežne používanej elektronickej forme, pokiaľ dotknutá osoba nepožiada o iný spôsob ich poskytnutia. Právo získať kópiu spracúvaných osobných údajov nesmie mať nepriaznivý vplyv na práva a slobody iných osôb.
Právo na opravu (čl. 16 Nariadenia)
Dotknutá osoba má právo požadovať, aby prevádzkovateľ bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa jej týkajú.
Vzhľadom na účely spracúvania má dotknutá osoba zároveň právo na doplnenie neúplných osobných údajov, a to aj prostredníctvom poskytnutia doplňujúceho vyhlásenia.
Právo na vymazanie
(právo na „zabudnutie“, čl. 17 Nariadenia)**
Dotknutá osoba má právo požadovať vymazanie osobných údajov, ktoré sa jej týkajú, bez zbytočného odkladu, ak je splnený aspoň jeden z nasledujúcich dôvodov: osobné údaje už nie sú potrebné na účely, na ktoré bolizískané alebo inak spracúvané;
- dotknutá osoba odvolá súhlas, na základe ktorého sa osobné údaje spracúvali, a neexistuje iný právny základ na ich ďalšie spracúvanie;
- dotknutá osoba namieta proti spracúvaniu vykonávanému na základe verejného záujmu alebo oprávneného záujmu a neexistujú prevažujúce oprávnené dôvody na spracúvanie, alebo namieta proti spracúvaniu na účely priameho marketingu;
- osobné údaje bolispracúvané nezákonne;
- osobné údaje musia byť vymazané s cieľom splniť zákonnú povinnosť podľa práva Európskej únie alebo práva Slovenskej republiky; osobné údaje bolizískané v súvislosti s ponukou služieb informačnej spoločnosti na základe súhlasu dieťaťa mladšieho ako 16 rokov.
Ak prevádzkovateľ zverejnil osobné údaje a je povinný ich vymazať, je povinný s prihliadnutím na dostupnú technológiu a primerané náklady prijať vhodné opatrenia vrátane technických opatrení, aby informoval ostatných prevádzkovateľov spracúvajúcich osobné údaje, že dotknutá osoba žiada o vymazanie všetkých odkazov na tieto osobné údaje, ako aj ich kópií alebo replík.
Právo na vymazanie sa neuplatní, ak je spracúvanie osobných údajov nevyhnutné:
- na splnenie zákonnej povinnosti podľa práva Európskej únie alebo práva Slovenskej republiky alebo na plnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
- z dôvodov verejného záujmu v oblasti verejného zdravia;
- na účely archivácie vo verejnom záujme, vedeckého alebo historického výskumu alebo štatistické účely, ak by uplatnenie práva na vymazanie znemožnilo alebo podstatne sťažilo dosiahnutie cieľov takéhoto spracúvania;
- na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.
Právo na obmedzenie spracúvania (čl. 18 Nariadenia)
Dotknutá osoba má právo požadovať, aby prevádzkovateľ obmedzil spracúvanie osobných údajov v niektorom z nasledujúcich prípadov:
- ak dotknutá osoba spochybní správnosť osobných údajov, a to počas obdobia potrebného na overenie ich správnosti zo strany prevádzkovateľa;
- ak je spracúvanie osobných údajov nezákonné a dotknutá osoba namieta proti ich vymazaniu a namiesto toho žiada obmedzenie ich používania;
- ak prevádzkovateľ už osobné údaje nepotrebuje na účely spracúvania, avšak dotknutá osoba ich potrebuje na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov;
- ak dotknutá osoba namietala proti spracúvaniu vykonávanému na základe verejného záujmu alebo oprávneného záujmu, a to až do overenia, či oprávnené dôvody na strane prevádzkovateľa prevažujú nad oprávnenými dôvodmi dotknutej osoby.
Ak bolo spracúvanie osobných údajov obmedzené, tieto osobné údaje sa s výnimkou ich uchovávania spracúvajú len so súhlasom dotknutej osoby alebo na účely preukazovania, uplatňovania alebo obhajovania právnych nárokov, na ochranu práv inej fyzickej alebo právnickej osoby alebo z dôvodov dôležitého verejného záujmu Európskej únie alebo Slovenskej republiky.
Prevádzkovateľ je povinný informovať dotknutú osobu, ktorá dosiahla obmedzenie spracúvania, pred tým, ako dôjde k zrušeniu tohto obmedzenia.
Oznamovacia povinnosť v súvislostis opravou alebo vymazaním osobných údajov alebo obmedzením spracúvania (čl. 19 Nariadenia)
Prevádzkovateľ oznámi každému príjemcovi, ktorému boli osobné údaje sprístupnené, každú opravu alebo vymazanie osobných údajov alebo obmedzenie ich spracúvania, pokiaľ to nie je nemožné alebo by si to nevyžadovalo neprimerané úsilie.
Na požiadanie dotknutej osoby ju prevádzkovateľ informuje o týchto príjemcoch.
Právo na prenosnosť údajov (čl. 20 Nariadenia)
Dotknutá osoba má právo získať osobné údaje, ktoré sa jej týkajú a ktoré poskytla prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte, ako aj právo preniesť tieto údaje ďalšiemu prevádzkovateľovi bez toho, aby jej v tom pôvodný prevádzkovateľ bránil, ak:
- sa spracúvanie zakladá na súhlase dotknutej osoby alebo na plnení zmluvy;
- spracúvanie sa vykonáva automatizovanými prostriedkami.
Pri uplatňovaní práva na prenosnosť údajov má dotknutá osoba právo na priamy prenos osobných údajov od jedného prevádzkovateľa k druhému, pokiaľ je to technicky možné.
Toto právo sa neuplatňuje na spracúvanie osobných údajov nevyhnutné na plnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi.
Uplatnenie práva na prenosnosť údajov nesmie mať nepriaznivé dôsledky na práva a slobody iných osôb.
Právo namietať (čl. 21 Nariadenia)
Ak je spracúvanie osobných údajov založené na plnení úlohy vykonávanej vo verejnom záujme, pri výkone verejnej moci zverenej prevádzkovateľovi alebo na oprávnenom záujme, má dotknutá osoba právo kedykoľvek namietať proti spracúvaniu osobných údajov, ktoré sa jej týkajú, vrátane namietania proti profilovaniu. Prevádzkovateľ v takom prípade nesmie osobné údaje ďalej spracúvať, pokiaľ nepreukáže nevyhnutné oprávnené dôvody na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami dotknutej osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.
Ak sa osobné údaje spracúvajú na účely priameho marketingu, má dotknutá osoba právo kedykoľvek namietať proti spracúvaniu osobných údajov, ktoré sa jej týkajú, na účely takéhoto marketingu, vrátane profilovania v rozsahu, v akom s týmto priamym marketingom súvisí.
Ak dotknutá osoba uplatní námietku proti spracúvaniu osobných údajov na účely priameho marketingu, tieto osobné údaje sa už na takéto účely nesmú ďalej spracúvať.
Ak sa osobné údaje spracúvajú na účely vedeckého alebo historického výskumu alebo na štatistické účely, má dotknutá osoba právo namietať proti spracúvaniu osobných údajov, ktoré sa jej týkajú s výnimkou prípadov, keď je takéto spracúvanie nevyhnutné na plnenie úlohy vykonávanej z dôvodov verejného záujmu.
Automatizované individuálne rozhodovanie vrátane profilovania (čl. 22 Nariadenia)
Dotknutá osoba má právo, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní, vrátane profilovania, ktoré má právne účinky alebo ju inak významne ovplyvňuje.
Toto právo sa nevzťahuje, ak je rozhodnutie:
- nevyhnutné na uzavretie alebo plnenie zmluvy medzi dotknutou osobou a prevádzkovateľom;
- povolené právom EÚ alebo právom SR a súčasne obsahuje vhodné opatrenia na ochranu práv, slobôd a oprávnených záujmov dotknutej osoby;
- založené na výslovnom súhlase dotknutej osoby.
Právo na odvolanie súhlasu (čl. 7 Nariadenia)
Ak je spracúvanie osobných údajov založené na súhlase dotknutej osoby, môže dotknutá osoba svoj súhlas kedykoľvek odvolať. Odvolanie sa vykonáva rovnakým spôsobom, akým bol súhlas udelený.
Súhlas možno odvolať aj zaslaním písomnej žiadosti na adresu sídla prevádzkovateľa s označením „GDPR – odvolanie súhlasu“ na obálke.
Oznámenie porušenia ochrany osobných údajov dotknutej osobe (čl. 34 Nariadenia)
V prípade porušenia ochrany osobných údajov, ktoré pravdepodobne spôsobí vysoké riziko pre práva a slobody osôb, prevádzkovateľ bez zbytočného odkladu informuje dotknutú osobu.
Oznámenie obsahuje:
- jasný a jednoduchý opis povahy porušenia;
- meno a kontaktné údaje zodpovednej osoby alebo iného kontaktného miesta pre získanie ďalších informácií;
- opis pravdepodobných dôsledkov porušenia;
- opis opatrení prijatých alebo plánovaných na nápravu porušenia vrátane opatrení na zmiernenie jeho potenciálnych negatívnych dôsledkov.
Oznámenie nie je potrebné, ak:
- prevádzkovateľ uplatnil primerané technické a organizačné opatrenia, ktoré chránia osobné údaje, napr. šifrovaním;
- prijal následné opatrenia, ktoré pravdepodobne eliminujú vysoké riziko pre práva a slobody dotknutých osôb;
- by jeho poskytnutie vyžadovalo neprimerané úsilie; v takom prípade sa informuje verejnosť alebo sa prijme iné vhodné opatrenie, aby dotknuté osoby boli informované rovnako efektívne.
Ako uplatniť právo dotknutej osoby
Dotknutá osoba môže uplatniť svoje práva podľa čl. 15 – 22 Nariadenia podaním žiadosti:
- zaslaním písomnej žiadosti na adresu sídla prevádzkovateľa s označením „GDPR“ na obálke.
Prevádzkovateľ zabezpečuje uľahčenie výkonu práv dotknutej osoby v súlade s čl. 15 – 22 Nariadenia.
Ak má prevádzkovateľ oprávnené pochybnosti týkajúce sa totožnosti osoby podávajúcej žiadosť podľa čl. 15 – 21 Nariadenia, môže požiadať o dodatočné informácie na overenie totožnosti dotknutej osoby.
Ak sú žiadosti dotknutej osoby zjavne neopodstatnené alebo neprimerané, najmä ak sú opakujúce sa, môže prevádzkovateľ požadovať primeraný poplatok zohľadňujúci administratívne náklady na poskytnutie informácií alebo vykonanie požadovaného opatrenia, alebo žiadosť odmietnuť. Inak sa informácie podľa čl. 13 a 14 a oznámenia a opatrenia prijaté podľa čl. 15 – 22 a čl. 34 Nariadenia poskytujú bezplatne.
Prevádzkovateľ poskytne dotknutej osobe informácie o prijatých opatreniach na základe jej žiadosti bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia žiadosti. Táto lehota sa môže v prípade potreby predĺžiť o ďalšie dva mesiace, pričom sa zohľadnízložitosť žiadosti a počet podaných žiadostí. O akomkoľvek predĺžení lehoty bude dotknutá osoba informovaná do jedného mesiaca od doručenia žiadosti spolu s uvedením dôvodov zmeškania.
Ak bola žiadosť podaná elektronicky, informácie sa poskytnú podľa možnosti elektronickými prostriedkami, pokiaľ dotknutá osoba nepožiadala o iný spôsob doručenia.
Ak prevádzkovateľ neprijme opatrenia na základe žiadosti dotknutej osoby, bezodkladne, najneskôr do jedného mesiaca od doručenia žiadosti, informuje dotknutú osobu o dôvodoch nekonania a o možnosti podať sťažnosť dozornému orgánu alebo uplatniť súdny prostriedok nápravy.