Príloha č. 4 Štandardné zmluvné doložky pre sprostredkovateľov

na účely článku 28 ods. 3 nariadenia 2016/679 (všeobecné nariadenie o ochrane údajov)

medzi

Názov:		Ministerstvo zdravotníctva Slovenskej republiky
Sídlo:		Limbová 2, 837 50 Bratislava
IČO:		00 165 565	
DIČ:		2020830141
Bankové spojenie:	Štátna pokladnica
Číslo účtu v tvare IBAN:	SK69 8180 0000 0070 0015 0115
Zastúpené:		MUDr. Marek Krajčí, minister

(prevádzkovateľ)

a

Názov:	 	
Sídlo: 		
IČO: 		
DIČ:		
Bankové spojenie:	
Číslo účtu v tvare IBAN:	
Zastúpený: 		

(sprostredkovateľ)

ďalej každý z nich označovaný ako „strana“, spoločne ako „strany“

SA DOHODLI na týchto zmluvných doložkách (ďalej len „doložky“) s cieľom splniť požiadavky všeobecného nariadenia o ochrane údajov a zabezpečiť ochranu práv dotknutej osoby.

1.	Obsah
2. Úvod
3. Práva a povinnosti prevádzkovateľa
4. Sprostredkovateľ koná na základe pokynov
5. Dôvernosť
6. Bezpečnosť spracúvania
7. Využívanie sub-sprostredkovateľov
8. Prenos údajov do tretích krajín alebo medzinárodným organizáciám
9. Poskytovanie pomoci prevádzkovateľovi
10. Oznámenie porušenia ochrany osobných údajov
11. Vymazanie a vrátenie údajov
12. Audit a kontrola
13. Dohoda strán o iných podmienkach
14. Začiatok a ukončenie
15. Kontaktné údaje/kontaktné miesta prevádzkovateľa a sprostredkovateľa
Príloha A	Informácie o spracúvaní
Príloha B	Povolení sub-sprostredkovatelia
Príloha C	Pokyny týkajúce sa používania osobných údajov
Príloha D	Podmienky dohody strán o iných témach

2.	Úvod

1.	V týchto zmluvných doložkách (ďalej ako „doložky“) sa stanovujú práva a povinnosti prevádzkovateľa a sprostredkovateľa pri spracúvaní osobných údajov v mene prevádzkovateľa.

2.	Tieto doložky boli navrhnuté tak, aby strany zabezpečili súlad s článkom 28 ods. 3 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „všeobecné nariadenie o ochrane údajov“).

3.	V súvislosti s poskytovaní, organizovaní, a sprostredkovaní zdravotnej pomoci formou vykonávania odberu vzoriek biologického materiálu a následnej diagnostiky infekčného respiračného ochorenia COVID-19, vyvolaného novým koronavírusom SARS-CoV-2, prostredníctvom antigénového testu (ďalej len „diagnostické vyšetrenie“) bude sprostredkovateľ spracúvať osobné údaje v mene prevádzkovateľa v súlade s doložkami.

4.	Doložky majú prednosť pred akýmikoľvek podobnými ustanoveniami obsiahnutými v iných dohodách medzi stranami.

5.	K doložkám sú pripojené štyri prílohy, ktoré tvoria neoddeliteľnú súčasť doložiek.

6.	Príloha A obsahuje podrobné informácie o spracúvaní osobných údajov vrátane účelu a povahy spracúvania, typu osobných údajov, kategórií dotknutej osoby a doby trvania spracúvania.

7.	Príloha B obsahuje podmienky prevádzkovateľa, na základe ktorých môže sprostredkovateľ využívať sub-sprostredkovateľov a zoznam sub-sprostredkovateľov, ktorých prevádzkovateľ povolil.

8.	Príloha C obsahuje pokyny prevádzkovateľa týkajúce sa spracúvania osobných údajov, minimálnych bezpečnostných opatrení, ktoré má sprostredkovateľ prijať a spôsobu vykonávania auditov u sprostredkovateľa a u sub-sprostredkovateľov.

9.	Príloha D obsahuje ustanovenia týkajúce sa iných činností, na ktoré sa doložky nevzťahujú.

10.	Obe strany musia doložky spolu s prílohami uchovávať v písomnej forme, vrátane elektronickej formy.

11.	Týmito doložkami sa sprostredkovateľ neoslobodzuje od povinností, ktoré sa na neho vzťahujú podľa všeobecného nariadenia o ochrane údajov alebo iných právnych predpisov.
3.	Práva a povinnosti prevádzkovateľa

1.	Prevádzkovateľ je zodpovedný za zabezpečenie toho, aby sa spracúvanie osobných údajov vykonávalo v súlade so všeobecným nariadením o ochrane údajov (pozri článok 24 všeobecného nariadenia o ochrane údajov), uplatniteľnými ustanoveniami EÚ alebo členského štátu o ochrane údajov a týmito doložkami.

2.	Prevádzkovateľ má právo a povinnosť prijímať rozhodnutia o účeloch a prostriedkoch spracúvania osobných údajov.

3.	Prevádzkovateľ je zodpovedný okrem iného za zabezpečenie toho, aby spracúvanie osobných údajov, ktoré má sprostredkovateľ podľa pokynov vykonávať, malo právny základ.
4.	Sprostredkovateľ koná na základe pokynov

1.	Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa, pokiaľ spracúvanie nie je povinné podľa práva Únie alebo práva členského štátu, ktorému sprostredkovateľ podlieha. Takéto pokyny sú uvedené v prílohách A a C. Dodatočné pokyny môže prevádzkovateľ poskytnúť počas celej doby trvania spracúvania osobných údajov, tieto pokyny však musia byť vždy zdokumentované a uchovávané v písomnej forme, vrátane elektronickej formy, v spojení s doložkami.

2.	Sprostredkovateľ bezodkladne informuje prevádzkovateľa, ak pokyny, ktoré poskytol prevádzkovateľ, sú podľa názoru sprostredkovateľa v rozpore so všeobecným nariadením o ochrane údajov alebo s uplatniteľnými ustanoveniami EÚ alebo členských štátov o ochrane údajov.
5.	Dôvernosť

1.	Sprostredkovateľ povolí prístup k osobným údajom, ktoré sa spracúvajú v mene prevádzkovateľa, len osobám konajúcim na základe poverenia sprostredkovateľa, ktoré sa zaviazali zachovávať mlčanlivosť alebo podliehajú primeranej zákonnej povinnosti zachovávať dôvernosť a len na základe opodstatnenej potreby informovanosti [need to know basis]. Zoznam osôb, ktorým bol udelený prístup, musí byť predmetom pravidelného preskúmania. Na základe tohto preskúmania môže takýto prístup k osobným údajom byť odvolaný, ak už nie je potrebný, a osobné údaje týmto osobám následne už nebudú prístupné.

2.	Sprostredkovateľ na žiadosť prevádzkovateľa preukáže, že príslušné osoby konajúce na základe poverenia sprostredkovateľa podliehajú uvedenej povinnosti zachovávať dôvernosť.
6.	Bezpečnosť spracúvania

1.	V článku 32 všeobecného nariadenia o ochrane údajov sa stanovuje, že prevádzkovateľ a sprostredkovateľ prijmú so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziko s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú tomuto riziku.

Prevádzkovateľ posúdi riziká pre práva a slobody fyzických osôb súvisiace so spracúvaním, a prijme opatrenia na zmiernenie týchto rizík. V závislosti od ich relevantnosti môžu tieto opatrenia zahŕňať:
a.	pseudonymizáciu a šifrovanie osobných údajov;

b.	schopnosť zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov a služieb spracúvania;

c.	schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu;

d.	proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania.

2.	Podľa článku 32 všeobecného nariadenia o ochrane údajov sprostredkovateľ – nezávisle od prevádzkovateľa – takisto posúdi riziká pre práva a slobody fyzických osôb súvisiace so spracúvaním, a prijme opatrenia na zmiernenie týchto rizík. Na tento účel prevádzkovateľ poskytne sprostredkovateľovi všetky informácie potrebné na identifikáciu a hodnotenie takýchto rizík.

3.	Sprostredkovateľ navyše pomáha prevádzkovateľovi pri zabezpečovaní dodržiavania povinností prevádzkovateľa podľa článku 32 všeobecného nariadenia o ochrane údajov, okrem iného tým, že prevádzkovateľovi poskytuje informácie o technických a organizačných opatreniach, ktoré už sprostredkovateľ prijal podľa článku 32 všeobecného nariadenia o ochrane údajov spolu so všetkými ostatnými informáciami, ktoré prevádzkovateľ potrebuje na splnenie povinnosti prevádzkovateľa podľa článku 32 všeobecného nariadenia o ochrane údajov.

Ak si následne – podľa posúdenia prevádzkovateľa – zmiernenie zistených rizík vyžaduje, aby sprostredkovateľ prijal ďalšie opatrenia, okrem tých, ktoré už prijal podľa článku 32 všeobecného nariadenia o ochrane údajov, prevádzkovateľ uvedie tieto dodatočné opatrenia, ktoré sa majú prijať, v prílohe C.
7.	Využívanie sub-sprostredkovateľov

1.	Sprostredkovateľ musí spĺňať požiadavky stanovené v článku 28 ods. 2 a ods. 4 všeobecného nariadenia o ochrane údajov, ak chce zapojiť ďalšieho sprostredkovateľa (sub-sprostredkovateľa).

2.	Sprostredkovateľ preto nezapojí ďalšieho sprostredkovateľa (sub-sprostredkovateľa) do plnenia týchto doložiek bez predchádzajúceho osobitného písomného povolenia prevádzkovateľa.

3.	Sprostredkovateľ zapojí sub-sprostredkovateľa výlučne s osobitným predchádzajúcim povolením od prevádzkovateľa. Sprostredkovateľ predloží žiadosť o osobitné povolenie aspoň 3dni pred zapojením dotknutého sub-sprostredkovateľa. Zoznam sub-sprostredkovateľov, ktorých už prevádzkovateľ povolil, možno nájsť v prílohe B.

4.	Ak sprostredkovateľ zapojí do vykonávania špecifických spracovateľských činností v mene prevádzkovateľa sub-sprostredkovateľa, tomuto sub-sprostredkovateľovi sa prostredníctvom zmluvy alebo iného právneho aktu podľa práva Únie alebo práva členského štátu uložia rovnaké povinnosti ochrany údajov, ako sa stanovujú v týchto doložkách, a to predovšetkým poskytnutie dostatočných záruk na vykonanie primeraných technických a organizačných opatrení takým spôsobom, aby spracúvanie spĺňalo požiadavky doložiek a všeobecného nariadenia o ochrane údajov.

Sprostredkovateľ je preto zodpovedný za to, že požaduje od sub-sprostredkovateľa, aby spĺňal aspoň povinnosti, ktorým sprostredkovateľ podlieha podľa týchto doložiek a všeobecného nariadenia o ochrane údajov.

5.	Kópia takejto dohody so sub-sprostredkovateľom a jej následné zmeny sa predložia prevádzkovateľovi na jeho žiadosť, čím sa prevádzkovateľovi poskytne príležitosť zaručiť že sa sub-sprostredkovateľovi uložili rovnaké povinnosti ochrany údajov, ako sú stanovené v týchto doložkách. Ustanovenia dohody so sub-sprostredkovateľom, ktoré sa týkajú obchodnej činnosti a nemajú vplyv na právny obsah týkajúci sa ochrany údajov, nie je prevádzkovateľovi potrebné predkladať.

6.	Sprostredkovateľ so sub-sprostredkovateľom dohodne doložku o oprávnenosti tretej strany, na základe ktorej sa v prípade konkurzu sprostredkovateľa prevádzkovateľ stáva oprávnenou treťou stranou dohody so sub-sprostredkovateľom a má právo presadzovať dohodu voči sub-sprostredkovateľovi, ktorého zapojil sprostredkovateľ. Prevádzkovateľovi sa tým napríklad umožní, aby dal sub-sprostredkovateľovi pokyn vymazať alebo vrátiť osobné údaje.

7.	Ak sub-sprostredkovateľ nesplní svoje povinnosti ochrany údajov, sprostredkovateľ zostáva voči prevádzkovateľovi plne zodpovedný za plnenie povinností sub-sprostredkovateľa. Týmto nie sú dotknuté práva dotknutých osôb podľa všeobecného nariadenia o ochrane údajov – najmä práva uvedené v článkoch 79 a 82 všeobecného nariadenia o ochrane údajov – voči prevádzkovateľovi a sprostredkovateľovi vrátane jeho sub-sprostredkovateľa.
8.	Prenos údajov do tretích krajín alebo medzinárodným organizáciám

1.	Každý prenos osobných údajov do tretích krajín alebo medzinárodným organizáciám zo strany sprostredkovateľa sa uskutočňuje len na základe zdokumentovaných pokynov od prevádzkovateľa a vždy v súlade s kapitolou V všeobecného nariadenia o ochrane údajov.

2.	Pokiaľ ide o prenos údajov do tretích krajín alebo medzinárodným organizáciám, pri ktorom sprostredkovateľ nedostal pokyn na jeho vykonanie od prevádzkovateľa, ale vyžaduje si ho právo Únie alebo právo členského štátu, ktorému sprostredkovateľ podlieha, v takom prípade sprostredkovateľ oznámi prevádzkovateľovi túto právnu požiadavku pred spracúvaním, pokiaľ dané právo takéto oznámenie nezakazuje zo závažných dôvodov verejného záujmu.

3.	Bez zdokumentovaných pokynov prevádzkovateľa nemôže preto sprostredkovateľ v rámci týchto doložiek:

a.	preniesť osobné údaje prevádzkovateľovi alebo sprostredkovateľovi v tretej krajine alebo medzinárodnej organizácii,

b.	previesť spracúvanie osobných údajov na sub-sprostredkovateľa v tretej krajine,

c.	nechať osobné údaje spracúvať sprostredkovateľom v tretej krajine.

4.	Pokyny prevádzkovateľa týkajúce sa prenosu osobných údajov do tretej krajiny vrátane prípadného nástroja na prenos podľa kapitoly V všeobecného nariadenia o ochrane údajov, z ktorej vychádzajú, sa uvádzajú v prílohe C.6.

5.	Tieto doložky sa nesmú zamieňať so štandardnými doložkami o ochrane údajov v zmysle článku 46 ods. 2 písm. c) a d) všeobecného nariadenia o ochrane údajov a strany sa na ne nemôžu odvolávať ako na nástroj na prenos podľa kapitoly V všeobecného nariadenia o ochrane údajov.
9.	Poskytovanie pomoci prevádzkovateľovi

1.	Sprostredkovateľ pri zohľadnení povahy spracúvania v čo najväčšej miere pomáha prevádzkovateľovi vhodnými technickými a organizačnými opatreniami pri plnení jeho povinnosti reagovať na žiadosti o výkon práv dotknutej osoby ustanovených v kapitole III všeobecného nariadenia o ochrane údajov.

To znamená, že sprostredkovateľ pomáha prevádzkovateľovi, pokiaľ je to možné, pri dodržiavaní:

a.	práva na informácie pri získavaní osobných údajov od dotknutej osoby,
b.	práva na informácie, ak osobné údaje neboli od dotknutej osoby získané,
c.	práva dotknutej osoby na prístup k údajom,
d.	práva na opravu,
e.	práva na vymazanie (práva „na zabudnutie“),
f.	práva na obmedzenie spracúvania,
g.	oznamovacej povinnosti v súvislosti s opravou alebo vymazaním osobných údajov alebo obmedzením spracúvania,
h.	práva na prenosnosť údajov,
i.	práva namietať,
j.	práva na to, aby sa na dotknutú osobu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, vrátane profilovania.

2.	Okrem povinnosti sprostredkovateľa pomáhať prevádzkovateľovi podľa doložky 6.4, sprostredkovateľ taktiež so zreteľom na povahu spracúvania a informácie, ktoré má k dispozícii, pomáha prevádzkovateľovi pri zabezpečovaní dodržiavania:

a.	povinnosti prevádzkovateľa bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámiť porušenie ochrany osobných údajov príslušnému dozornému orgánu, ktorým je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27; tel. číslo: +421 /2/ 3231 3214, mail: statny.dozor@pdp.gov.sk, https://dataprotection.gov.sk., s výnimkou prípadov, keď je nepravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb;

b.	povinnosti prevádzkovateľa bez zbytočného odkladu oznámiť porušenie ochrany osobných údajov dotknutej osobe, ak je pravdepodobné, že porušenie ochrany osobných údajov povedie k vysokému riziku pre práva a slobody fyzických osôb;

c.	povinnosti prevádzkovateľa vykonať posúdenie vplyvu plánovaných spracovateľských operácií na ochranu osobných údajov (posúdenie vplyvu na ochranu údajov);

d.	povinnosti prevádzkovateľa konzultovať s príslušným dozorným orgánom, ktorým je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27; tel. číslo: +421 /2/ 3231 3214; mail: statny.dozor@pdp.gov.sk, https://dataprotection.gov.sk pred spracúvaním, ak z posúdenia vplyvu na ochranu údajov vyplýva, že spracúvanie by viedlo k vysokému riziku v prípade, že by prevádzkovateľ neprijal opatrenia na zmiernenie rizika.

3.	Strany v prílohe vymedzia primerané technické a organizačné opatrenia, ktorými je sprostredkovateľ povinný pomáhať prevádzkovateľovi, ako aj pôsobnosť a rozsah požadovanej pomoci. Platí to pre povinnosti uvedené v doložke 9.1 a doložke 9.2.
10.	Oznámenie porušenia ochrany osobných údajov

1.	V prípade akéhokoľvek porušenia ochrany osobných údajov oznámi sprostredkovateľ túto skutočnosť prevádzkovateľovi bez zbytočného odkladu po tom, ako sa o nej dozvedel.

2.	Oznámenie sprostredkovateľa prevádzkovateľovi sa vykoná, ak je to možné, do 48 hodín po tom, ako sa sprostredkovateľ dozvedel o porušení ochrany osobných údajov s cieľom umožniť prevádzkovateľovi, aby splnil svoju povinnosť oznámiť porušenie ochrany osobných údajov príslušnému dozornému orgánu, pozri článok 33 všeobecného nariadenia o ochrane údajov.

3.	V súlade s doložkou 9 ods. 2 písm. a) sprostredkovateľ pomáha prevádzkovateľovi údajov pri oznámení porušenia ochrany osobných údajov príslušnému dozornému orgánu, čo znamená, že sprostredkovateľ je povinný pomáhať pri získavaní ďalej uvedených informácií, ktoré sa podľa článku 33 ods. 3 všeobecného nariadenia o ochrane údajov uvedú v oznámení prevádzkovateľa príslušnému dozornému orgánu:

a.	povaha osobných údajov, podľa možnosti vrátane kategórií a približného počtu dotknutých osôb, ktorých sa porušenie týka, a kategórií a približného počtu dotknutých záznamov s osobnými údajmi;

b.	pravdepodobné dôsledky porušenia ochrany osobných údajov;

c.	opatrenia prijaté alebo navrhované prevádzkovateľom s cieľom riešiť porušenie ochrany osobných údajov, prípadne vrátane opatrení na zmiernenie jeho potenciálnych nepriaznivých dôsledkov.

4.	Strany vymedzia v prílohe všetky prvky, ktoré má sprostredkovateľ poskytnúť, keď pomáha prevádzkovateľovi pri oznamovaní porušenia ochrany osobných údajov príslušnému dozornému orgánu.
11.	Vymazanie a vrátenie údajov

1.	Po ukončení poskytovania služieb spracúvania osobných údajov má sprostredkovateľ povinnosť vymazať všetky osobné údaje spracúvané v mene prevádzkovateľa a potvrdiť prevádzkovateľovi, že tak urobil, ak sa v práve Únie alebo v práve členského štátu nevyžaduje uchovávanie týchto osobných údajov.

2.	Sprostredkovateľ sa zaväzuje spracúvať osobné údaje výlučne na účely a po dobu stanovenú v tomto právnom predpise a za prísne uplatňovaných podmienok.
12.	Audit a kontrola

1.	Sprostredkovateľ poskytne prevádzkovateľovi všetky informácie potrebné na preukázanie splnenia povinností stanovených v článku 28 a v doložkách a umožní a prispieva k auditom, ako aj kontrolám vykonávaným prevádzkovateľom alebo iným audítorom, ktorého poveril prevádzkovateľ.

2.	Postupy uplatniteľné na prevádzkovateľom vykonané audity, vrátane kontrol sprostredkovateľa a sub-sprostredkovateľa sú uvedené v prílohách C.7 a C.8.

3.	Od sprostredkovateľa sa vyžaduje, aby dozorným orgánom, ktoré podľa platných právnych predpisov majú prístup k zariadeniam prevádzkovateľa a sprostredkovateľa alebo zástupcom konajúcim v mene týchto dozorných orgánov, poskytol prístup k fyzickým zariadeniam sprostredkovateľa na základe predloženia príslušnej identifikácie.
13.	Dohoda strán o iných podmienkach

1.	Strany sa môžu dohodnúť na ďalších doložkách týkajúcich sa poskytovania služby spracúvania osobných údajov, napr. pokiaľ ide o zodpovednosť, pokiaľ tieto nie sú priamo či nepriamo v rozpore s týmito doložkami alebo pokiaľ sa nedotýkajú základných práv alebo slobôd dotknutých osôb a ochrany, ktorú poskytuje všeobecné nariadenie o ochrane údajov.
14.	Začiatok a ukončenie

1.	Doložky nadobudnú účinnosť dňom podpisu oboma stranami

2.	Obidve strany sú oprávnené požadovať, aby sa o týchto doložkách opätovne rokovalo v prípade, že si to vyžadujú zmeny zákona alebo neúčelnosť týchto doložiek.

3.	Tieto doložky sa uplatňujú počas doby trvania poskytovania služieb spracúvania osobných údajov. Počas doby trvania poskytovania služieb spracúvania osobných údajov doložky nemožno vypovedať, pokiaľ sa strany nedohodnú na iných doložkách, ktorými sa poskytovanie služieb spracúvania osobných údajov bude riadiť.

4.	Ak sa poskytovanie služieb spracúvania osobných údajov ukončí a osobné údaje sa vymažú alebo sa vrátia prevádzkovateľovi podľa doložky 11.1 a prílohy C.4., môžu byť doložky vypovedané písomnou výpoveďou ktorejkoľvek zo strán.

5.	Podpis

V mene prevádzkovateľa

Meno	Mgr. Ivana Pukajová	
Funkcia	Zodpovedná osoba	
Dátum	16.11.2020	
Podpis		

V mene sprostredkovateľa

Meno		
Funkcia		
Dátum		
Podpis		

15.	Kontaktné údaje/kontaktné miesta prevádzkovateľa a sprostredkovateľa

1.	Strany sa môžu navzájom kontaktovať prostredníctvom týchto kontaktných údajov/kontaktných miest:

2.	Strany sú povinné priebežne sa navzájom informovať o zmenách kontaktných údajov/kontaktných miest.

Meno	Mgr. Ivana Pukajová	
Funkcia	Zodpovedná osoba	
Telefón	0908 948 299	
E-mail	dpo@health.gov.sk 	

Meno		
Funkcia		
Telefón		
E-mail		

Príloha A	Informácie o spracúvaní

A.1.	Účelom spracúvania osobných údajov sprostredkovateľom v mene prevádzkovateľa je:

Organizovanie, poskytovanie a sprostredkovanie zdravotnej pomoci formou vykonávania odberu vzoriek biologického materiálu a následnej diagnostiky infekčného respiračného ochorenia COVID-19, vyvolaného novým koronavírusom SARS-CoV-2, prostredníctvom antigénového testu (ďalej len „diagnostické vyšetrenie“)

A.2.	Spracúvanie osobných údajov sprostredkovateľom v mene prevádzkovateľa sa vzťahuje najmä na (povaha spracúvania):

a)	odobratie vzorky biologického materiálu sterom z nosohltanu,
b)	vyhodnocovanie odobratej vzorky prostredníctvom antigénového testu,  
c)	informovanie testovanej osobu o výsledku testu formou odovzdania certifikátu objednávateľa,
d)	informovanie miestne príslušného regionálneho úradu verejného zdravotníctva o každom pozitívnom výsledku diagnostického vyšetrenia, a to doručením predmetnej informácie na príslušný Regionálny úrad verejného zdravotníctva v zalepenej obálke,
e)	likvidácia, skartovanie osobných údajov
f)	hlásenie Národnému centru zdravotníckych informácií agregované dáta z každého vykonaného testu, a to za každý deň testovania

A.3.	Spracúvanie zahŕňa tieto druhy osobných údajov o dotknutých osobách:

Bežné osobné údaje: poradové číslo, meno a priezvisko, rodné číslo, bydlisko, telefónne číslo
Osobitná kategória OÚ: výsledok testu – pozitívny/negatívny

A.4.	Spracúvanie zahŕňa tieto kategórie dotknutých osôb:

Fyzické osoby, ktoré sa zúčastnia testovania

A.5.	Spracúvanie osobných údajov sprostredkovateľom v mene prevádzkovateľa sa môže vykonávať nadobudnutím platnosti doložiek. Spracúvanie má túto dobu trvania:

2 mesiace odo dňa nadobudnutia účinnosti hlavnej zmluvy

Príloha B	Povolení sub-sprostredkovatelia

Dodatok A	
B.1.	Schválení sub-sprostredkovatelia
Pri nadobudnutí platnosti doložiek prevádzkovateľ povolí zapojenie týchto sub-sprostredkovateľov:

NÁZOV	CVR	ADRESA	OPIS SPRACÚVANIA	

				

Prevádzkovateľ pri nadobudnutí účinnosti doložiek povolí využívanie vyššie uvedených sub-sprostredkovateľov pri spracúvaní opísanom pre túto stranu. Sprostredkovateľ bez výslovného písomného povolenia prevádzkovateľa nie je oprávnený zapojiť sub-sprostredkovateľa pri „inom“ spracúvaní, než je dohodnuté spracúvanie, ani umožniť, aby opísané spracúvanie vykonal iný sub-sprostredkovateľ.

Príloha C	Pokyny týkajúce sa používania osobných údajov

Dodatok B	
C.1.	Predmet spracúvania/pokyn na spracúvanie

Spracúvanie osobných údajov sprostredkovateľom v mene prevádzkovateľa vykoná sprostredkovateľ, ktorý vykonáva:

a)	odobratie vzorky biologického materiálu sterom z nosohltanu,
b)	vyhodnocovanie odobratej vzorky prostredníctvom antigénového testu,  
c)	informovanie testovanej osobu o výsledku testu formou odovzdania certifikátu objednávateľa,
d)	informovanie miestne príslušného regionálneho úradu verejného zdravotníctva o každom pozitívnom výsledku diagnostického vyšetrenia, a to doručením predmetnej informácie na príslušný Regionálny úrad verejného zdravotníctva v zalepenej obálke,
e)	likvidácia, skartovanie osobných údajov
f)	hlásenie Národnému centru zdravotníckych informácií agregované dáta z každého vykonaného testu, a to za každý deň testovania

C.2.	Bezpečnosť spracúvania
Úroveň bezpečnosti zohľadňuje:

1. Spracúvanie zahŕňa veľký objem osobných údajov, na ktoré sa vzťahuje článok 9 všeobecného nariadenia o ochrane údajov o ,osobitných kategóriách osobných údajov‘, a preto by sa mala stanoviť ,vysoká‘ úroveň bezpečnosti.
2. Sprostredkovateľ má ďalej právo a povinnosť prijímať rozhodnutia o technických a organizačných bezpečnostných opatreniach, ktoré sa majú uplatňovať s cieľom vytvoriť potrebnú (a dohodnutú) úroveň bezpečnosti údajov.
3. Sprostredkovateľ však musí v každom prípade vykonať aspoň tieto opatrenia, ktoré boli dohodnuté s prevádzkovateľom:

•	zabezpečenie trvalej dôvernosti, integrity, dostupnosti a odolnosti systémov a služieb spracúvania
•	zabezpečenie schopnosti včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu
•	zabezpečenie požiadaviek na ochranu údajov počas prenosu
•	zabezpečenie  požiadaviek na ochranu údajov počas uchovávania
•	zabezpečenie požiadaviek na fyzickú bezpečnosť miest, kde sa spracúvajú osobné údaje

C.3.	Poskytovanie pomoci prevádzkovateľovi

Sprostredkovateľ, pokiaľ je to možné – v rámci pôsobnosti a rozsahu nižšie uvedenej pomoci – pomáha prevádzkovateľovi v súlade s doložkou 9.1 a 9.2 tým, že vykonáva tieto technické a organizačné opatrenia:

[OPIS KONKRÉTNYCH TECHNICKÝCH A ORGANIZAČNÝCH OPATRENÍ, KTORÉ MÁ SPROSTREDKOVATEĽ PRIJAŤ NA POSKYTNUTIE POMOCI PREVÁDZKOVATEĽOVI]

C.4.	Doba uchovávania/postupy vymazávania

Osobné údaje sa uchovávajú najviac v lehote 24hod v prípade negatívnych výsledkov, po ktorej sprostredkovateľ osobné údaje automaticky vymaže, skartuje. A v prípade pozitívnych výsledkov v zmysle uchovávania podľa Zákona č. 355/2007 Z.z. o ochrane, podpore a rozvoji verejného zdravia a o zmene a doplnení niektorých zákonov v znení neskorších predpisov. 

Po ukončení poskytovania služieb spracúvania osobných údajov sprostredkovateľ buď vymaže osobné údaje v súlade s doložkou 11.1, pokiaľ prevádzkovateľ po podpísaní zmluvy nezmenil svoju pôvodnú voľbu. Takáto zmena sa zdokumentuje a uchováva v písomnej forme, vrátane elektronickej formy, v spojení s doložkami.

C.5.	Miesto spracúvania

Spracúvanie osobných údajov podľa doložiek nie je bez predchádzajúceho písomného súhlasu prevádzkovateľa možné vykonať na iných než uvedených miestach, ktoré sú v prílohe č.1 Hlavnej zmluvy.

C.6.	Pokyny k prenosu osobných údajov do tretích krajín

Prenos do tretích krajín sa neuskutočňuje.

C.7.	Postupy auditov, vrátane kontrol ktoré vykonáva prevádzkovateľ vo vzťahu k spracúvaniu osobných údajov, ktoré vykonáva sprostredkovateľ

Prevádzkovateľ alebo zástupca prevádzkovateľa môže vykonať fyzickú kontrolu miest, kde spracúvanie osobných údajov vykonáva sprostredkovateľ, vrátane fyzických zariadení, ako aj systémov používaných na spracúvanie a súvisiacich s týmto spracúvaním s cieľom uistiť sa, či sprostredkovateľ dodržiava všeobecné nariadenie o ochrane údajov, uplatniteľné ustanovenia EÚ alebo členských štátov o ochrane údajov a tieto doložky.

Okrem plánovanej kontroly môže prevádzkovateľ vykonať kontrolu sprostredkovateľa, ak to prevádzkovateľ považuje za potrebné.

Príloha D	Podmienky dohody strán o iných témach