(1) Prevádzkovateľ, ktorý pripravuje spracúvanie osobných údajov dotknutej osoby, je povinný pred ich získavaním dotknutej osobe vopred oznámiť tieto informácie:

a) identifikačné údaje prevádzkovateľa a zástupcu prevádzkovateľa, ak bol vymenovaný,

b) identifikačné údaje sprostredkovateľa; to neplatí, ak prevádzkovateľ pri získavaní osobných údajov nepostupuje podľa § 8,

c) účel spracúvania osobných údajov,

d) zoznam osobných údajov alebo rozsah osobných údajov podľa § 10 ods. 4 prvej vety a

e) doplňujúce informácie, ktoré sú s ohľadom na všetky okolnosti a podmienky spracúvania osobných údajov potrebné pre dotknutú osobu na zaručenie jej práv a právom chránených záujmov v rozsahu najmä

1. preukázanie totožnosti oprávnenej osoby, ktorá získava osobné údaje, alebo preukázanie príslušnosti oprávnenej osoby hodnoverným dokladom k tomu subjektu, v mene ktorého koná; oprávnená osoba je povinná takejto žiadosti dotknutej osoby bez zbytočného odkladu vyhovieť,

2. poučenie o dobrovoľnosti alebo povinnosti poskytnúť požadované osobné údaje; ak prevádzkovateľ získava osobné údaje dotknutej osoby na základe súhlasu dotknutej osoby podľa § 11, oznámi jej aj čas platnosti súhlasu, a ak dotknutej osobe povinnosť poskytnúť osobné údaje vyplýva z priamo vykonateľného právne záväzného aktu Európskej únie, medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, alebo zákona, prevádzkovateľ oznámi dotknutej osobe právny základ, ktorý jej túto povinnosť ukladá, a upovedomí ju o následkoch odmietnutia poskytnúť osobné údaje,

3. tretie strany, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje poskytnuté,

4. okruh príjemcov, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje sprístupnené,

5. formu zverejnenia, ak majú byť osobné údaje zverejnené,

6. tretie krajiny, ak sa predpokladá alebo je zrejmé, že sa do týchto krajín uskutoční prenos osobných údajov,

7. poučenie o právach dotknutej osoby.

(2) Ak osobné údaje o dotknutej osobe nezískal prevádzkovateľ priamo od tejto dotknutej osoby, je povinný bez zbytočného odkladu, najneskôr však v čase pred ich prvým poskytnutím tretej strane, ak sa takéto poskytovanie predpokladá, oznámiť dotknutej osobe informácie podľa odseku 1 písm. a) až c) a ďalšie doplňujúce informácie, pokiaľ sú potrebné s ohľadom na špecifické okolnosti, za ktorých sú osobné údaje získavané na zabezpečenie zákonného spracúvania, najmä

a) poučenie o možnosti rozhodnúť o spracúvaní získaných osobných údajov,

b) zoznam osobných údajov,

c) tretie strany, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje poskytnuté,

d) okruh príjemcov, ak sa predpokladá alebo je zrejmé, že im budú osobné údaje sprístupnené,

e) formu zverejnenia, ak majú byť osobné údaje zverejnené,

f) tretie krajiny, ak sa predpokladá alebo je zrejmé, že sa do týchto krajín uskutoční prenos osobných údajov,

g) poučenie o právach dotknutej osoby.

(3) Informácie podľa odseku 1 netreba dotknutej osobe oznamovať, ak prevádzkovateľ vie úradu kedykoľvek na jeho žiadosť preukázať, že jej boli už predtým poskytnuté alebo ak prevádzkovateľ spracúva osobné údaje podľa § 10 ods. 1 a 2. Informácie podľa odseku 2 netreba dotknutej osobe oznamovať, ak prevádzkovateľ

a) vie úradu kedykoľvek na jeho žiadosť preukázať, že jej boli už predtým poskytnuté,

b) spracúva osobné údaje podľa § 10 ods. 1 a 2,

c) spracúva osobné údaje na účel ustanovený v § 10 ods. 3 písm. a),

d) spracúva osobné údaje na historický výskum alebo vedecký výskum a vývoj, alebo na účely štatistiky a poskytnutie takýchto informácií je objektívne nemožné alebo by bolo možné len s vyvinutím neprimeraného úsilia, alebo

e) spracúva osobné údaje podľa § 10 ods. 3 písm. e).

(4) Prevádzkovateľ, ktorý získava osobné údaje na účely identifikácie fyzickej osoby pri jej jednorazovom vstupe do jeho priestorov, je oprávnený od nej požadovať titul, meno, priezvisko a číslo občianskeho preukazu,  číslo služobného preukazu alebo číslo cestovného dokladu, štátnu príslušnosť a preukázanie pravdivosti poskytnutých osobných údajov predkladaným dokladom. Ak sa fyzická osoba preukáže podľa osobitného zákona, je prevádzkovateľ oprávnený od nej požadovať len evidenčné číslo služobného preukazu a názov orgánu, ktorý služobný preukaz vydal. V oboch prípadoch sa odsek 1 nepoužije.

(5) Prevádzkovateľ, ktorý v priestoroch prístupných verejnosti získava, poskytuje alebo sprístupňuje osobné údaje, zabezpečí ich primeranú ochranu podľa § 19.

(6) Získavať osobné údaje nevyhnutné na dosiahnutie účelu spracúvania kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií možno len vtedy, ak s tým dotknutá osoba písomne súhlasí alebo ak to osobitný zákon výslovne umožňuje bez súhlasu dotknutej osoby. To neplatí, ak ide o získavanie osobných údajov na účely a v rozsahu údajov podľa odseku 4 ich zaznamenávaním z úradného dokladu automatizovanými prostriedkami spracúvania a o získavanie osobných údajov na účely uzatvorenia pracovnoprávneho alebo obdobného vzťahu.

(7) Priestor prístupný verejnosti možno monitorovať len na účely ochrany verejného poriadku a bezpečnosti, odhaľovania kriminality, narušenia bezpečnosti štátu, ochrany majetku alebo zdravia, a to len vtedy, ak je priestor zreteľne označený ako monitorovaný; monitorovaný priestor je prevádzkovateľ povinný zreteľne označiť bez ohľadu na to, či sa snímaný obraz alebo zvuk zaznamenáva na nosič informácií. Označenie monitorovaného priestoru sa nevyžaduje, ak tak ustanovuje osobitný zákon. Vyhotovený záznam možno využiť len na účely trestného konania alebo konania o priestupkoch, ak osobitný zákon neustanovuje inak.

(8) Prevádzkovateľ, ktorý získa osobné údaje uvedené v § 10 ods. 3 písm. d) bez vedomia dotknutej osoby alebo priamo od nej, poskytne jej pri prvom kontakte informácie podľa odseku 1, a ak sú spracúvané na účely priameho marketingu, oboznámi ju výslovne aj s právom písomne namietať proti ich poskytovaniu a využívaniu v poštovom styku.

(9) Prevádzkovateľ, ktorého predmetom činnosti je priamy marketing, vedie zoznam poskytnutých osobných údajov podľa § 10 ods. 3 písm. d) v rozsahu titul, meno, priezvisko a adresa dotknutej osoby, dátum ich poskytnutia, prípadne dátum, od ktorého platí zákaz ich ďalšieho poskytovania podľa § 17 ods. 6, a názov právnickej osoby alebo fyzickej osoby, ktorej boli uvedené osobné údaje poskytnuté. Zoznam v rovnakom rozsahu vedie aj právnická osoba a fyzická osoba, ktorej boli tieto osobné údaje poskytnuté.