Právo zamestnanca byť zabudnutý

Počas trvania pracovného pomeru zamestnávateľ disponuje množstvom osobných údajov zamestnanca. Po skončení pracovného pomeru však právny vzťah zamestnanca a zamestnávateľa zaniká. V databázach a informačných systémoch zamestnávateľa však množstvo osobných údajov zamestnanca ostáva. Predkladaný príspevok sa zameriava na právo zamestnanca byť u svojho bývalého zamestnávateľa zabudnutý vo vzťahu k používaniu informačných technológií, konkrétne e-mailovej adresy a obsahu e-mailového konta. Príspevok dá odpovede na najčastejšie kladené otázky: či je zamestnávateľ povinný zrušiť pracovný e-mail zamestnanca po skončení pracovného pomeru; či ak zamestnávateľ nezruší pracovný e-mail bývalého zamestnanca, dochádza k porušeniu ochrany osobných údajov?Príspevok vysvetľuje ako sa môže bývalý zamestnanec domáhať porušenia ochrany osobných údajov, ak zamestnávateľ nezruší jeho pracovnú e-mailovú adresu po skončení pracovného pomeru?

Právna úprava 

Zamestnanci pri výkone práce vo verejnom záujme v obciach, mestách, školách a školských zariadeniach majú na výkon práce pridelenú pracovnú e-mailovú adresu. Štandardne e-mailová adresa obsahuje osobné údaje zamestnanca v rozsahu mena a priezviska, doplnené @ a web doménou organizácie (napríklad jan.skolny@zakladnaskola.sk). Pracovná e-mailová schránka slúži na účely súvisiace s plnením pracovných úloh a povinností (ďalej len „pracovný e-mail“).

Ochranu osobných údajov vrátane povinností zamestnávateľa ako prevádzkovateľaupravuje najmä:

• Ústava Slovenskej republiky č. 460/1992 Zb. v znení neskorších predpisov (ďalej len „Ústava SR“);
• Nariadenie Európskeho parlamentu a Rady EÚ č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len„Nariadenie“);
• zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „zákon o ochrane osobných údajov“).

Podľa § 2 zákona o ochrane osobných údajov: „Osobnými údajmi sú údaje týkajúce sa identifikovanej fyzickej osoby alebo identifikovateľnej fyzickej osoby, ktorú možno identifikovať priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora, iného identifikátora, ako je napríklad meno, priezvisko, identifikačné číslo, lokalizačné údaje, alebo online identifikátor, alebo na základe jednej alebo viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú identitu, fyziologickú identitu, genetickú identitu, psychickú identitu, mentálnu identitu, ekonomickú identitu, kultúrnu identitu alebo sociálnu identitu.“

Podľa § 5 písm. e) zákona o ochrane osobných údajov: „Na účely tohto zákona sa rozumie … spracúvaním osobných údajov spracovateľská operácia alebo súbor spracovateľských operácií s osobnými údajmi alebo so súbormi osobných údajov, najmä získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie, bez ohľadu na to, či sa vykonáva automatizovanými prostriedkami alebo neautomatizovanými prostriedkami,“

Podľa čl. 16 ods. 1 Ústavy SR: „Nedotknuteľnosť osoby a jej súkromia je zaručená. Obmedzená môže byť len v prípadoch ustanovených zákonom.“ Právo na ochranu osobných údajov je spojené s právom na ochranu súkromia, ktoré garantuje Ústava SR každému.Osobná identita jednotlivca ako meno a priezvisko tvoria súkromie osoby.

Podľa § 5 písm. n) zákona o ochrane osobných údajov sa dotknutou osobou rozumie:„každá fyzická osoba, ktorej osobné údaje sa spracúvajú,“

Podľa § 5 písm. o) zákona o ochrane osobných údajov sa prevádzkovateľom rozumie:„každý, kto sám alebo spoločne s inými vymedzí účel a prostriedky spracúvania osobných údajov a spracúva osobné údaje vo vlastnom mene; prevádzkovateľ alebo konkrétne požiadavky na jeho určenie môžu byť ustanovené v osobitnom predpise alebo medzinárodnej zmluve, ktorou je Slovenská republika viazaná, ak takýto predpis alebo táto zmluva ustanovuje účel a prostriedky spracúvania osobných údajov,“

Zamestnávateľ vystupuje v tomto vzťahu ako prevádzkovateľ a zamestnanec, resp. bývalý zamestnanec ako dotknutá osoba.

Prevádzkovateľ môže spracúvať osobné údaje dotknutej osoby iba na základe jej súhlasu. Podľa § 5 písm. a) zákona o ochrane osobných údajov: „Na účely tohto zákona sa rozumie … súhlasom dotknutej osoby akýkoľvek vážny a slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby vo forme vyhlásenia alebo jednoznačného potvrdzujúceho úkonu, ktorým dotknutá osoba vyjadruje súhlas so spracúvaním svojich osobných údajov,“

Podľa § 14 ods. 3 zákona o ochrane osobných údajov: „Dotknutá osoba má právo kedykoľvek odvolať súhlas so spracovaním osobných údajov, ktoré sa jej týkajú. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania osobných údajov založeného na súhlase pred jeho odvolaním; pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Dotknutá osoba môže súhlas odvolať rovnakým spôsobom, akým súhlas udelila.“

Zásady spracúvania osobných údajov upravuje Nariadenie v čl. 5 a zákon o ochrane osobných údajov v § 6 až § 13. Podľa § 12 zákona o ochrane osobných údajov: „Prevádzkovateľ je zodpovedný za dodržiavanie základných zásad spracúvania osobných údajov, za súlad spracúvania osobných údajov so zásadami spracúvania osobných údajov a je povinný tento súlad so zásadami spracúvania osobných údajov na požiadanie úradu preukázať.“

Podľa čl. 5 ods. 1 písm. a) a b) Nariadenia a § 6 až § 8 zákona o ochrane osobných údajov osobné údaje musia byť spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. Osobné údaje musia byť získavané iba na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi. Spracúvané osobné údaje musia byť primerané, relevantné a obmedzené na nevyhnutný rozsah daný účelom, na ktorý sa spracúvajú a ďalšie spracúvanie osobných údajov na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či štatistické účely sa nepovažuje za nezlučiteľné s pôvodnými účelmi.

Povinnosť zrušiť pracovný e-mail zamestnanca po skončení pracovného pomeru

Podľa § 6 zákona o ochrane osobných údajov: „Osobné údaje možno spracúvať len zákonným spôsobom a tak, aby nedošlo k porušeniu základných práv dotknutej osoby.“

Zamestnávateľ môže zákonným spôsobom spracúvať osobné údaje dotknutých osôb na základe relevantného právneho základu podľa čl. 6 ods. 1 Nariadenia a § 13 ods. 1 zákona o ochrane osobných údajov. Podľa § 13 ods. 1 zákona o ochrane osobných údajov: „Spracúvanie osobných údajov je zákonné, ak sa vykonáva na základe aspoň jedného z týchto právnych základov:

a)​ dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov aspoň na jeden konkrétny účel,

b)​ spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo na vykonanie opatrenia pred uzatvorením zmluvy na základe žiadosti dotknutej osoby,

c)​ spracúvanie osobných údajov je nevyhnutné podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná,

d)​ spracúvanie osobných údajov je nevyhnutné na ochranu života, zdravia alebo majetku dotknutej osoby alebo inej fyzickej osoby,

e) ​spracúvanie osobných údajov je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, alebo

f)​ spracúvanie osobných údajov je nevyhnutné na účel oprávnených záujmov prevádzkovateľa alebo tretej strany okrem prípadov, keď nad týmito záujmami prevažujú záujmy alebo práva dotknutej osoby vyžadujúce si ochranu osobných údajov, najmä ak je dotknutou osobou dieťa; tento právny základ sa nevzťahuje na spracúvanie osobných údajov orgánmi verejnej moci pri plnení ich úloh.“

Počas trvania pracovného pomeru zamestnávateľ spracúva osobné údaje svojich zamestnancov najmä na základe:

• súhlasu dotknutej osoby so spracovaním svojich osobných údajov na konkrétny účel,
• skutočnosti, že spracúvanie osobných údajov je nevyhnutné na splnenie zmluvy, ktorou je zmluvná strana dotknutá (zamestnanec ako dotknutá osoba),
• spracúvanie osobných údajov dotknutých osôb je nevyhnutné na splnenie určitej jednej alebo viacerých zákonných povinností prevádzkovateľa (zamestnávateľa) – zamestnávateľ napríklad spracúva osobné údaje zamestnancov na účely splnenia povinnosti vedenia mzdového listu podľa § 595/2003 Z. z. o dani z príjmov v znení neskorších predpisov.

Podľa čl. 11 zákona č. 311/2001 Z. z. Zákonník práce v znení neskorších predpisov (ďalej len „Zákonník práce“): „Zamestnávateľ môže o zamestnancovi zhromažďovať len osobné údaje súvisiace s kvalifikáciou a profesionálnymi skúsenosťami zamestnanca a údaje, ktoré môžu byť významné z hľadiska práce, ktorú zamestnanec má vykonávať, vykonáva alebo vykonával.“

Čl. 5 ods. 1 písm. c) Nariadenia a § 8 zákona o ochrane osobných údajov upravujú zásadu minimalizácie osobných údajov. Podľa uvedených ustanovení spracúvané osobné údaje musia byť primerané, relevantné a obmedzené na nevyhnutný rozsah daný účelom, na ktorý sa spracúvajú.

Účelom spracúvania osobných údajov je dôvod, pre ktorý prevádzkovateľ spracúva osobné údaje dotknutých osôb na konkrétne určených právnych základoch. Každé spracúvanie osobných údajov musí byť založené na konkrétnom právnom základe a za konkrétne určeným, oprávneným a výslovne uvedeným účelom.

Účel si určuje každý zamestnávateľ sám, alebo mu vyplýva z právneho predpisu. Účel musí byť zákonný, vopred určený, aby bolo zamestnancovi vopred jasné, s akým cieľom poskytuje zamestnávateľovi svoje osobné údaje. Prvotne ustanovený účel spracúvania osobných údajov je potrebné rešpektovať po celú dobu spracúvania. Vymedzenie účelu v praxi zodpovedá zásade minimalizácie osobných údajov.

V prípade zániku pracovného pomeru zamestnanca prichádzajú do úvahy nasledovné možnosti:

• okamžitý výmaz / likvidácia osobných údajov dotknutej osoby. Tento prípad nastáva v praxi väčšinou vtedy, ak odpadli všetky účely pre spracúvanie osobných údajov,
• existencia určitého účelu, na základe ktorého možno aj po ukončení pracovného pomeru uchovávať osobné údaje bývalého zamestnanca.

Ak zamestnanec používa pracovný e-mail, ktorý obsahuje aj jeho osobné údaje, na účely (určené zamestnávateľom) súvisiace s plnením jeho pracovných úloh a povinností, po zániku pracovného pomeru zaniká aj účel používania pracovného e-mailu tohto zamestnanca.

Zákon o ochrane osobných údajov ustanovuje v § 23 právo dotknutej osoby na výmaz osobných údajov. Podľa § 23 ods. 1 zákona o ochrane osobných údajov: „Dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu vymazal osobné údaje, ktoré sa jej týkajú.“ 

Právo na výmaz osobných údajov je však vzhľadom na svoju povahu a závažnosť obmedzené stanovením ďalších predpokladov, t. j. prevádzkovateľ bez zbytočného odkladu po uplatnení tohto práva dotknutou osobou vymaže osobné údaje, ak je splnený niektorý z predpokladov ustanovených v § 23 ods. 2 zákona o ochrane osobných údajov. Podľa § 23 ods. 2 zákona o ochrane osobných údajov: „Prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak dotknutá osoba uplatnila právo na výmaz podľa odseku 1, ak

a) ​osobné údaje už nie sú potrebné na účel, na ktorý sa získali alebo inak spracúvali,

b) ​dotknutá osoba odvolá súhlas podľa § 13 ods. 1 písm. a) alebo § 16 ods. 2 písm. a), na základe ktorého sa spracúvanie osobných údajov vykonáva, a neexistuje iný právny základ pre spracúvanie osobných údajov,

c)​ dotknutá osoba namieta spracúvanie osobných údajov podľa § 27 ods. 1 a neprevažujú žiadne oprávnené dôvody na spracúvanie osobných údajov alebo dotknutá osoba namieta spracúvanie osobných údajov podľa § 27 ods. 2,

d)​ osobné údaje sa spracúvajú nezákonne,

e)​ je dôvodom pre výmaz splnenie povinnosti podľa tohto zákona, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo

f)​ sa osobné údaje získavali v súvislosti s ponukou služieb informačnej spoločnosti podľa § 15 ods. 1.“

Pokiaľ zanikol účel, na základe ktorého bol zamestnávateľ oprávnený spracúvať osobné údaje zamestnanca, zamestnávateľ ich musí po zániku pracovného pomeru bezodkladne vymazať.

Ak existuje účel, pre ktorý je zamestnávateľ oprávnený alebo povinný spracúvať (uchovávať) osobné údaje zamestnanca aj po skončení jeho pracovného pomeru, môže ich spracúvať v rozsahu nevyhnutnom na tento účel, nie však širšom. Zamestnávateľ tak nie je oprávnený uchovávať napríklad osobnú zložku zamestnanca v celom rozsahu. Môže si ponechať len dokumenty nevyhnutné na plnenie konkrétneho účelu. V praxi sa najčastejšie jedná o informácie potrebné k mzdovej agende a daňovým povinnostiam bývalého zamestnanca.

Zamestnávateľ nie je oprávnený ponechať aktívny pracovný e-mail bývalého zamestnanca, používať ho v jeho mene a monitorovať jeho obsah.

Ak zamestnávateľ chce ďalej spracúvať osobné údaje bývalého zamestnanca, je povinný ustanoviť účel spracúvania jeho osobných údajov dohodou, t. j. ktoré osobné údaje budú ďalej spracúvané a na aký účel. Zamestnávateľ to musí urobiť takým spôsobom, aby bol schopný preukázať účel spracúvania osobných údajov dotknutej osoby (bývalého zamestnanca) pri kontrole zo strany Úradu na ochranu osobných údajov Slovenskej republiky (ďalej len „Úrad na ochranu osobných údajov SR“).

Zamestnávateľ nie je oprávnený osobné údaje v žiadnom prípade spracúvať len preto, „že by sa mu niekedy v budúcnosti mohli hodiť.“

Ak zamestnávateľ potrebuje zachovať aktívny pracovný e-mail a obsah z pracovnej e-mailovej pošty bývalého zamestnanca, je povinný sa s bývalým zamestnancom dohodnúť na účele spracúvania jeho osobných údajov a vyžiadať si jeho súhlas.

Zákon o ochrane osobných údajov vyžaduje, aby súhlas dotknutej osoby so spracovaním osobných údajov bol vždy vážny a slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby vo forme vyhlásenia alebo jednoznačného potvrdzujúceho úkonu, ktorým dotknutá osoba vyjadruje súhlas so spracúvaním svojich osobných údajov.

Dotknuté osoby sú oprávnené byť informované o spracúvaní osobných údajov. V tomto prípade sa vyžaduje iniciatívne konanie na strane zamestnávateľa, v rámci ktorého je povinný poskytnúť zamestnancom a bývalým zamestnancom informácie o získavaní a spracúvaní ich osobných údajov.

Nariadenie v čl. 17 ods. 3 a zákon o ochrane osobných údajov v § 23 ods. 4 ustanovujú výnimky z povinnosti prevádzkovateľa vymazať osobné údaje dotknutej osoby. Podľa uvedených ustanovení, prevádzkovateľ (zamestnávateľ) nie je povinný vymazať osobné údaje dotknutej osoby (zamestnanca alebo bývalého zamestnanca), „… ak je spracúvanie osobných údajov potrebné

a)​ na uplatnenie práva na slobodu prejavu alebo práva na informácie,

b)​na splnenie povinnosti podľa zákona o ochrane osobných údajov, osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi,

c)​ z dôvodov verejného záujmu v oblasti verejného zdravia 

d)​na účel archivácie, na vedecký účel, na účel historického výskumu alebo na štatistický účel, ak je pravdepodobné, že právo dotknutej osoby na výmaz jej osobných údajov znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takého spracúvania, alebo

e)​ na uplatnenie právneho nároku.“

Porušenie ochrany osobných údajov

Keďže pracovnú e-mailová adresa slúži zamestnancovi na účely súvisiace s plnením pracovných úloh a povinností, tak pri skončení pracovného pomeru, zaniká aj účel prístupu a používania pracovného e-mailu zamestnanca a účel spracúvania osobných údajovzamestnávateľom v tomto rozsahu.

Ak zamestnávateľ potrebuje zachovať obsah pracovného e-mailu alebo používať pracovný e-mail bývalého zamestnanca, ktorý obsahuje jeho osobné údaje, je povinný sa s bývalým zamestnancom dohodnúť na účele spracúvania osobných údajov a vyžiadať si od neho súhlasna spracúvanie osobných údajov na dohodnutý účel. Ak si zamestnávateľ túto povinnosť nesplní, porušuje ochranu osobných údajov zamestnanca. Ak pracovný e-mail zamestnanca nie je bezodkladne po skončení pracovného pomeru zamestnávateľom zrušený, jeho ďalším používaním inou osobou dochádza k porušeniu práv na ochranu osobných údajov dotknutého zamestnanca.

Pri monitorovaní komunikácie z pracovného e-mailu zamestnanca alebo bývalého zamestnanca môže dochádzať k zásahom do práva na ochranu súkromia zamestnancov. Tieto zásahy môžu byť oprávnené alebo neoprávnene. Európsky súd pre ľudské práva (ďalej len„ESĽP“) už vo veci Copland dospel k záveru, že komunikácia z pracovného e-mailu spadá pod ochranu práva na súkromie zamestnanca. ESĽP konštatoval, že nie je vylúčené, že používanie internetu a komunikácia z pracovného e-mailu môže mať aj súkromný charakter.

Základným právnym rámcom ochrany práva zamestnanca na súkromie je čl. 8 ods. 1 Dohovoru o ochrane ľudských práv a základných slobôd (ďalej len „Dohovor“), ktorý ustanovuje, že každý má právo na rešpektovanie svojho súkromného a rodinného života, obydlia a korešpondencie. Uvedená zásada je premietnutá aj v čl. 19. ods. 2 Ústavy SR.Ústava SR však nevylučuje akýkoľvek zber údajov o osobe. Protizákonným je iba neoprávnené zhromažďovanie, zverejňovanie alebo iné zneužívanie údajov. V pracovnoprávnych vzťahoch má ochrana osobnosti o niečo širší význam

Podľa judikatúry ESĽP a Ústavného súdu Slovenskej republiky (ďalej len „Ústavný súd SR“) sa zásahy do súkromia (na to, aby boli oprávnené) musia spravovať tromi základnými zásadami, a to:

• zásadou legality;
• zásadou legitimity;
• zásadou proporcionality.​

Zásada legality zásahu práva na súkromie v súlade s nálezom Ústavného súdu SR zo dňa 4.2.2009, sp. zn. I. ÚS 117/07 (ďalej len „Nález I. ÚS 117/07“) znamená, že štát môže zasiahnuť do práva na súkromie iba na základe zákona. V rámci legality zásahu sa skúma to, či k nemu došlo v súlade s platnými právnymi predpismi, pričom sa prihliada aj na to, či právny predpis bol verejne publikovaný, dostupný, a či jeho následky boli predvídateľné. Skúma sa teda aj kvalita zákonnej úpravy, ktorá je základom zásahu práva na súkromie.

Zásada legitimity podľa Nálezu I. ÚS 117/07 vyplýva z čl. 8 ods. 2 Dohovoru a znamená, že do práva na súkromie možno zasiahnuť len vtedy, keď je to v záujme štátu z dôvodov ochrany národnej bezpečnosti, predchádzania nepokojov a zločinnosti, v záujme spoločnosti z dôvodu ochrany zdravia a morálky, zabezpečenia hospodárskeho blahobytu krajiny a v záujme jednotlivcov z dôvodu ochrany ich práv a slobôd.

Zásada proporcionality zásahu znamená, že k zásahu možno prikročiť len vtedy, keď je to nevyhnutné, resp. vtedy, ak sledovaný cieľ nemožno dosiahnuť miernejšími prostriedkami.

Podľa § 13 ods. 4 Zákonníka práce: „Zamestnávateľ nesmie bez vážnych dôvodov spočívajúcich v osobitnej povahe činností zamestnávateľa narúšať súkromie zamestnanca na pracovisku a v spoločných priestoroch zamestnávateľa tým, že ho monitoruje, vykonáva záznam telefonických hovorov uskutočňovaných technickými pracovnými zariadeniami zamestnávateľa a kontroluje elektronickú poštu odoslanú z pracovnej elektronickej adresy a doručenú na túto adresu bez toho, aby ho na to vopred upozornil. Ak zamestnávateľ zavádza kontrolný mechanizmus, je povinný prerokovať so zástupcami zamestnancov rozsah kontroly, spôsob jej uskutočnenia, ako aj dobu jej trvania a informovať zamestnancov o rozsahu kontroly, spôsobe jej uskutočnenia, ako aj o dobe jej trvania.“

Základnou podmienkou výkonu kontroly je vopred prerokovať jej zamýšľaný výkon so zástupcami zamestnancov a zamestnancov informovať o výkone, rozsahu aj spôsobe monitorovania.

Pri dodržaní zásad legitimity, proporcionality a splní predpokladov podľa § 13 ods. 4 Zákonníka práce, ktorý je premietnutím zásady legality, však môže zamestnávateľ monitorovať (kontrolovať) komunikáciu z pracovnej e-mailovej adresy zamestnanca, resp. bývalého zamestnanca.

Zamestnávateľ je povinný vopred upozorniť zamestnanca, resp. bývalého zamestnanca na možnosť monitorovania obsahu (komunikácie) pracovného mailu. Zamestnávateľ nemôže monitorovať obsah pracovného e-mailu skryte, teda bez toho, aby zamestnanec alebo bývalý zamestnanec o tejto skutočnosti vedel. Ani zamestnávateľom vyjadrený zákaz používania pracovného e-mailu na súkromné účely, napríklad v smernici o ochrane osobných údajov, na zákonnosť kontroly komunikácie z pracovného e-mailu nestačí. K zákazu musí pristúpiť aj upozornenie o možnosti kontroly.

Po splnení týchto podmienok, sa na monitorovanie obsahu pracovného e-mailuzamestnanca alebo bývalého zamestnanca nevyžaduje jeho súhlas.

Ochrana zamestnanca pri porušení jeho práva byť zabudnutý 

Dotknutá osoba (zamestnanec alebo bývalý zamestnanec) má právo podať návrh na začatie konania Úradu na ochranu osobných údajov SR, pokiaľ sa domnieva, že boli porušené jej práva v oblasti ochrany osobných údajov.

Konanie o ochrane osobných údajov je upravené v štvrtej hlave zákona o ochrane osobných údajov.

Podľa § 104 ods. 2 zákona o ochrane osobných údajov, ak Úrad na ochranu osobných údajov SR zistí porušenie ochrany osobných údajov môže uložiť prevádzkovateľovi pokutudo výšky 20 000 000 eur, alebo ak ide o podnik do 4 % celkového svetového obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia.