Dolžnosti vodenja evidence dejavnosti obdelave podatkov po GDPR - IPRS

Dolžnosti vodenja evidence dejavnosti obdelave podatkov po GDPR + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 18.01.2018 Številka: 0712-3/2018/18 Kategorije:Razno, Register zbirk osebnih podatkov --> Kategorije: Register zbirk osebnih podatkov, Razno Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem prosite za pojasnilo glede izjem od obveznosti vodenja evidence dejavnosti obdelave po petem odstavku
3. člena GDPR. Sprašujete, v katerih primerih bi lahko obdelava podatkov predstavljala tveganja za pravice in svoboščine posameznikov ter kako se razlaga pogoj občasne obdelave in ali se ta pogoj gleda alternativno ali kumulativno s prvim. Uvodoma je treba pojasniti, da se Splošna uredba o varstvu podatkov (EU) 2016/679 prične uporabljati
5. 2018, s čimer stopijo v veljavo tudi pristojnosti IP glede izdajanja nezavezujočih mnenj na podlagi določb Uredbe, zato vam IP v tem trenutku še ne more podati uradnega mnenja glede razlage konkretnih določb Uredbe. Vaše vprašanje se nanaša na obveznosti iz
6. člena Uredbe, ki v
7. odstavku določa, da se obveznosti glede vodenja evidence dejavnosti obdelave osebnih podatkov ne uporabljajo, če gre za družbe, ki zaposlujejo manj kot 250 oseb, »razen če je verjetno, da obdelava, ki jo izvaja, predstavlja tveganje za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, in ni občasna, ali obdelava vključuje posebne vrste podatkov…«. V zvezi s predmetno določbo je treba najprej izpostaviti, da se slovenski prevod Uredbe v tem delu nekoliko razlikuje od angleške različice, ki določa: »unless the processing it carries out is likely to result in a risk to the rights and freedoms of data subjects, the processing is not occasional, or the processing includes special categories of data…«. Iz slovenskega prevoda različice namreč izhaja dvom v to, ali gre pri naštetih pogojih za tri alternativne pogoje, ali pa gre le za dva pogoja, pri čemer morata biti pri prvem skupaj izpolnjena pogoja tveganosti in občasnosti. V skladu z duhom Uredbe in izhajajoč iz izvirnega angleškega teksta Uredbe je IP mnenja, da gre dejansko za tri alternativne pogoje, torej da so tudi majhne in srednje velike družbe (z manj kot 250 zaposlenimi) dolžne vzpostaviti evidenco dejavnosti obdelave v vsakem od naslednjih treh primerov: če obdelava predstavlja tveganje za pravice in svoboščine posameznikov, na katere se podatki nanašajo, ali če obdelava ni zgolj ni občasna, ali če obdelava vključuje posebne vrste podatkov. Dikcijo »obdelava, ki predstavlja tveganje za pravice in svoboščine posameznikov« je treba razumeti skladno s recitalom št. 75 k Uredbi ter skladno s smernicami, ki jih že pripravila delovna skupina, ki združuje vse evropske nadzorne organe za varstvo osebnih podatkov (Article 29 Working Party) (gl. Smernice o oceni učinka na varstvo podatkov: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp248_rev.01_sl.pdf). Interpretacija pogoja »občasna obdelava« pa trenutno še ni bila dorečena, se pa pričakuje, da bo omenjena delovna skupina v bližnji prihodnosti glede določbe petega odstavka
8. člena Uredbe izdala Position paper, ki naj bi izpostavil tudi razumevanje tega termina. V zvezi s slovenskim prevodom Uredbe vas še seznanjamo, da se s strani EU pripravlja prenovljen prevod, ki naj bi bil dostopen že konec januarja. IP je potrebo po popravki zgoraj navedene netočnosti v prevodu
9. odstavka
10. člena Uredbe že sporočil pristojnim institucijam. Lep pozdrav. Pripravila: mag. Eva Kalan Logar, Mojca Prelesnik, univ.dipl.prav., državna nadzornica informacijska pooblaščenka za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026