Dostop do evidence vpogledov (dnevnika sledljivosti) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 01.03.2022 Številka: 07120-1/2022/65 Kategorije: --> Kategorije: Delovna razmerja, Pravica do seznanitve z lastnimi osebnimi podatki Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste od upravljavca osebnih podatkov – vašega delodajalca želeli prejeti informacijo o tem kdo, kdaj in s kakšnim namenom je vpogledoval oz. dostopal do vaše personalne mape, v povezavi s tem ste želeli pridobiti evidenco vpogledov. Upravljavec vam je določene podatke posredoval, vendar z odgovorom iz več razlogov niste bili zadovoljni in ste mu pisali s ponovno prošnjo za manjkajoče podatke in informacije. Upravljavec vam na drugo, dopolnilno vlogo ne želi pisno odgovoriti. Zanima vas, ali se lahko pritožite, pa tudi, ali gre pri ravnanju upravljavca za morebitno kršitev določb zakonodaje s področja varstva osebnih podatkov. Zanima vas tudi, ali obstaja pravna podlaga, da kadrovniku ni potrebno voditi evidence, kadar sam vpogleduje v personalno mapo zaposlenega zaradi izvajanja njegovih delovnih nalog. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. IP ugotavlja, da ste v konkretnem primeru želeli pridobiti evidenco vpogledov v vašo kadrovsko mapo, gre za t.i. dnevnik sledljivosti. Glede na to, da bi o tej zadevi IP lahko presojal v morebitnem pritožbenem postopku, se konkretno do vaše pravice v obveznem mnenju ne bomo opredeljevali, lahko pa seveda podate pritožbo zoper ravnanje upravljavca in v takem primeru bomo o zadevi odločali po izvedenem ugotovitvenem postopku in v celoti po določbah ZUP in Splošne uredbe. Glede vprašanja, »kdo« znotraj upravljavca obdeluje osebne podatke posameznika pa vam lahko sporočimo, da je ustaljena praksa IP in naše načelno mnenje, da posameznik skladno z določbami Splošne uredbe ni upravičen do informacij o tem, kdo je znotraj ali za upravljavca vpogledoval v osebne podatke posameznika. Navedeno izvira iz obsega pravice posameznika do dostopa do lastnih osebnih podatkov in informacij o obdelavi osebnih podatkov, ki je opredeljena v
- členu Splošne uredbe. Posameznik ima tako skladno s prvim odstavkom
- člena namreč pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in med drugim naslednje informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr. Med navedene informacije ne sodi informacija o tem, kdo znotraj upravljavca je vpogledoval v osebne podatke posameznika, temveč le, katerim »uporabnikom« so bili ali jim bodo razkriti osebni podatki. Uporabnik pa je pojem, ki se nanaša na t.i. zunanje subjekte, ne na notranje. Po devetem odstavku
- člena Splošne uredbe je namreč uporabnik osebnih podatkov le fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. To so torej osebe izven organizacijske strukture upravljavca (zunanje fizične ali pravne osebe), ki imajo praviloma na voljo ustrezno pravno podlago, da se jim posredujejo osebni podatki za določen lastni namen (torej ne upravljavčev namen). Podatki o teh osebah so podatki v zvezi s t.i. zunanjo sledljivostjo obdelave podatkov, ki je lahko ena od zahtev (ali priporočil) pri zagotavljanju varnosti obdelave osebnih podatkov. Po drugi strani pa ima posameznik pravico do vrste drugih informacij po
- členu Splošne uredbe, med drugim informacijo o namenu obdelave (»zakaj« so se obdelovali osebni podatki), o uporabnikih ali kategorijah uporabnikov, ki so jim razkriti osebni podatki (torej »zunanji« uporabniki), obdobju hrambe, virih itd. Upravljavec osebnih podatkov mora posamezniku skladno s tretjim odstavkom
- člena Splošne uredbe informacije o ukrepih, sprejetih na zahtevo v skladu s členi 15 do 22, zagotoviti brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve. Vsekakor ni utemeljeno morebitno sklicevanje upravljavca, da bi priprava pisnih odgovorov »ogrozila delovanje institucije«, saj je izvrševanje pravic posameznikov po Splošni uredbi ena izmed zakonskih obveznosti upravljavca osebnih podatkov. Če vam upravljavec v roku enega meseca ne odgovori (pisno) na vašo dodatno oz. dopolnilno zahtevo z dne
- 2022, lahko vložite pritožbo zaradi molka upravljavca pri Informacijskem pooblaščencu. Glede na to, da vam je upravljavec že izdal delno zavrnilno obvestilo (e-pošta g. ……….. z dne
- 2022 se lahko šteje kot delno zavrnilno obvestilo v smislu četrtega odstavka
- člena Splošne uredbe), pa nam lahko sporočite, ali želite, da vaše elektronsko sporočilo Informacijskemu pooblaščencu z dne
- 2022 štejemo kot pritožbo zoper delno zavrnilno obvestilo upravljavca. V tem primeru bomo odprli pritožbeno zadevo, upravljavcu najprej odstopili zadevo v formalni preizkus in nato, če upravljavec svoje odločitve ne bo spremenil, vsebinsko obravnavali vašo pritožbo. Na koncu odgovarjamo še na vaše vprašanje glede obveznosti beleženja vpogledov kadrovnika v personalno mapo zaposlenega. Tudi na tem mestu vam podajamo le splošen odgovor, saj lahko IP zakonitost posameznih obdelav osebnih podatkov preverja le v inšpekcijskem postopku. Na splošno pa lahko navedemo, da zakonodaja s področja varstva osebnih podatkov (ne Splošna uredba ne prej ZVOP-1) ne določa izrecne obveznosti vodenja t.i. dnevnikov sledljivosti. oziroma dnevnikov obdelav osebnih podatkov. Ta obveznost lahko, glede na konkretne okoliščine, izhaja iz obveznosti iz
- člena Splošne uredbe, ki v prvem odstavku določa, da upravljavec ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, izvede ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava poteka v skladu s to uredbo. Upravljavec osebnih podatkov mora biti torej za vsako obdelavo posebej sposoben dokazati, da je potekala skladno z določbami Splošne uredbe in ena najzanesljivejših (ni pa nujno edina) metod je vodenje (pol)avtomatiziranega dnevnika obdelav. Pri izpolnjevanju zahtev Splošne uredbe glede varnosti podatkov je treba upoštevati tudi prvi odstavek
- člena Splošne uredbe, ki določa, da upravljavec in obdelovalec ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje. Beleženje dostopov do osebnih podatkov je lahko tudi eden od ukrepov za zagotavljanje varnosti osebnih podatkov, med drugim preprečevanja nepooblaščenih dostopov. Obveznost, vsebina, način vodenja in drugi parametri dnevnika obdelav oziroma evidenc vpogledov niso predpisani in bodo odvisni od »narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov« (gl.
- in
- člen Splošne uredbe). Zato v načelnem mnenju nikakor ne moremo soditi o tem, ali bi moral upravljavec voditi dnevnik obdelav in kako podroben bi ta moral biti in kaj bi moral zajemati. Kot že omenjeno, dnevnika obdelav Splošna uredba ne zapoveduje, zapoveduje pa zmožnost izkazati, da je bila posamezna obdelava zakonita. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026