Prevádzkovateľ v zmysle platnej právnej úpravy v oblasti ochrany osobných údajov (čl. 13 a 14 GDPR/ § 19 a 20 zákona č. 18/2018 Z. z. o ochrane osobných údajov) spracúva osobné údaje fyzických osôb jednotlivcov (t. j. pre účely ochrany osobných údajov „dotknutých osôb“), ktoré získava jednak priamo od nich alebo nepriamo od iných subjektov.

V prípade priameho získavania osobných údajov má prevádzkovateľ povinnosť informovať dotknutú osobu o spracúvaní jej osobných údajov najneskôr pri samotnom získavaní (preukázateľne, primeraným spôsobom, jednoducho, zrozumiteľne).

V druhom prípade postupuje podľa čl. 14, resp. § 20 zákona č. 18/2018 Z. z.

Takže pri realizácii úloh a povinností prevádzkovateľa tento získava osobné údaje dotknutých osôb priamo od nich, alebo ich získava od tretích strán (napr. od zamestnávateľa, u ktorého prevádzkovateľ vykonáva kontrolu, alebo od subjektov poskytujúcich súčinnosť a pod.).

Na spracúvanie osobných údajov dotknutých osôb, ktoré prevádzkovateľ získal pri plnení svojich úloh a povinností od tretích strán, sa pre plnenie povinnosti transparentne informovať dotknuté osoby vzťahujú výnimky podľa čl. 14 ods. 5 GDPR, resp. § 20 ods. 5 zákona č. 18/2018 Z. z. Ide najmä o spracúvanie osobných údajov dotknutých osôb pri vykonávaní kontrolnej činnosti prevádzkovateľa, tiež o spracúvanie v rámci plnenia povinností prevádzkovateľa ako zamestnávateľa, ak ide o dotknuté osoby, ktoré sú rodinnými príslušníkmi zamestnanca prevádzkovateľa alebo jemu blízkou osobou.

Osobné údaje dotknutých osôb prevádzkovateľ spracúva na základe osobitných právnych predpisov, ich neposkytnutie by mohlo mať za následok nemožnosť realizácie úloh a povinností.