Seznanitev z osebnimi podatki iz Centralne kadrovske evidence državne uprave - IPRS

Seznanitev z osebnimi podatki iz Centralne kadrovske evidence državne uprave + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.02.2019 Številka: 0712-1/2019/240 Kategorije:Pogodbena obdelava podatkov, Pravne podlage, Zbirke osebnih podatkov --> Kategorije: Pravne podlage, Pogodbena obdelava podatkov, Zbirke osebnih podatkov Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem ste med drugim navedli: - Centralna kadrovska evidenca državne uprave (v nadaljevanju CKEDU) je bila vzpostavljena z Zakonom o javnih uslužbencih (Uradni list RS, št. 56/2002,). Namen CKEDU je izvajanje politike upravljanja s kadrovskimi viri v organih državne uprave, za obračun plač in izvajanje drugih obveznosti delodajalca ter za odločanje o pravicah in obveznostih iz delovnih razmerij. - Ministrstvo za javno upravo (v nadaljevanju MJU) je v skladu z drugim odstavkom
3. člena Zakona o javnih uslužbencih (Uradni list RS, št. 63/2007-UPB3, s spr., v nadaljevanju ZJU) upravljavec CKEDU, ki se vodi kot informatizirana baza podatkov (tretji odstavek
4. člena ZJU) v sistemu MFERAC, enotnem računovodskem sistemu Ministrstva za finance. - Osebni podatki javnega uslužbenca se zbirajo neposredno od organa državne uprave, v katerem posameznik dela oziroma v organu, ki vodi kadrovsko evidenco za ta organ. V skladu s prvim odstavkom
5. člena ZJU mora predstojnik posredovati podatke za vpis v CKEDU najkasneje v osmih dneh od nastopa okoliščin, o katerih se vpisujejo podatki. Podatki se posredujejo tako, da se vnesejo v sistem MFERAC. Podatki, ki se zbirajo o posamezniku so določeni v prvem odstavku
6. člena ZJU. - Zakon o državni upravi (Uradni list RS, št. 113/2005-UP, s spr, v nadaljevanju ZDU-1) v prvem odstavku 74.a člena določa, da je MJU v državni upravi pristojno za upravljanje informacijsko komunikacijske infrastrukture, razvoj skupnih informacijskih rešitev ter njihovo tehnološko, procesno in organizacijsko skladnost s centralnim informacijsko komunikacijskim sistemom, izvajanje enotne informacijske varnostne politike ter načrtovanje in upravljanje vseh proračunskih virov na teh področjih. Ta določba ne velja za informacijsko komunikacijske sisteme, namenjene področju obrambe, varstva pred naravnimi in drugimi nesrečami, policije, obveščevalno-varnostne dejavnosti, zunanjih zadev, preprečevanja in odkrivanja pranja denarja in financiranja terorizma ter opravljanja plačilnega prometa za proračunske uporabnike. - Glede na navedeno se CKEDU vodi na način, da se osebni podatki vodijo na več ločenih strežnikih za vse javne uslužbence, zaposlene v ministrstvih, organih v sestavi ministrstev, vladnih službah in upravnih enotah tj., ki imajo aktivno delovno razmerje (sklenjeno pogodbo o zaposlitvi). MJU ne dostopa ter nima vpogleda do podatkov, ki so na navedenih ločenih strežnikih, ampak mora za te podatke narediti poizvedbo na pri posameznem organu, ki sam naredi izpis podatkov, ki se vodijo za javnega uslužbenca. Tudi Ministrstvo za finance (v nadaljevanju MF) ne dostopa do podatkov na navedenih strežnikih. - Ker je MJU določeno kot upravljavec CKEDU, vas zanima, ali je v delu, ki se nanaša na obdelavo osebnih podatkov za javne uslužbence, ki imajo sklenjeno delovno razmerje z organi, ki vodijo ločene strežnike, in katerih podatki iz prvega odstavka
7. člena ZJU se vodijo na njihovih ločenih strežnikih, upravljavec ali le obdelovalec osebnih podatkov. Prav tako vas zanima status MF, ki je skrbnik sistema MFERAC. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s
8. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
9. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba),
10. točko prvega odstavka
11. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007-UPB1, v nadaljevanju ZVOP-1) ter
12. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007–ZUstS-A) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. _____ IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka ne more presojati konkretnih obdelav osebnih podatkov. V mnenju lahko zato poda zgolj splošna pojasnila, ne more pa presojati ustreznosti konkretnega ravnanja posameznih upravljavcev in obdelovalcev. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Izven posameznega inšpekcijskega ali drugega upravnega postopka IP torej ne sme preverjati primernosti opisane ureditve vodenja CKEDU in ugotavljati statusa posameznih subjektov. IP na podlagi zgoraj navedenega pojasnjuje: - MJU je po
13. členu ZJU upravljavec CKEDU, ki mu morajo državni organi skladno s prvim odstavkom
14. člena ZJU posredovati podatke o javnih uslužbencih, ki jih določa prvi odstavek
15. člena ZJU. ZJU ne določa nobenih izjem med državnimi organi, kar pomeni, da bi tudi organi, ki hranijo osebne podatke na svojih, ločenih strežnikih na podlagi določbe 74.a člena ZDU-1, MJU morali redno posredovati oziroma zagotavljati zakonsko določene podatke o svojih zaposlenih. - CKEDU se vodi v informacijskem sistemu MFERAC, za katerega skrbi MF. Ker lahko MF v okviru vzdrževanja MFERAC dostopa tudi do osebnih podatkov, katerih upravljavec je MJU, se šteje za (pogodbenega) obdelovalca osebnih podatkov. Zato bi MJU in MF za namen vzdrževanja MFERAC morala skleniti pogodbo oziroma dogovor ali bi to moral urejati drug pravni akt v skladu s členom 28