Elektronsko posredovanje osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 21.05.2006 Številka: 060-1/2006/155 Kategorije:Telekomunikacije in pošta --> Kategorije: Telekomunikacije in pošta Spoštovani,Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (UL RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
- in
- člena Zakona o informacijskem pooblaščencu (UL RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.V dopisu z dne 06.03.2006, navajate, da načrtujete uvedbo elektronskega avtomatiziranega posredovanja osebnih podatkov iz uradne evidence zavarovanih oseb uporabnikom osebnih podatkov, ki imajo zakonsko podlago za obdelavo osebnih podatkov. Opisali ste tudi postopek posredovanja osebnih podatkov in v zvezi z navedenim spraševali ali navedeni postopek avtomatiziranega elektronskega posredovanja osebnih podatkov brez predhodnega ugotavljanja upravičenosti ustreza smislu in določilom ZVOP, ter ali je ustrezno, če dokazila o upravičenosti pridobite naknadno pri rednih kontrolah pravilne rabe sistema za naključni vzorec poizvedb. Zanima vas tudi ali je možen prenos odgovornosti za zlorabo osebnih podatkov (npr. neupravičeno poizvedovanje) na pogodbenega partnerja. V urgenci dopisa z dne 08.05.2006, vaš znak: 0100-14/2006-DI/3, pa opozarjate še na Zakon o evidencah na področju dela in socialne varnosti (UL RS, št. 40/2006, v nadaljevanju ZEPDSV). ZVOP-1 je celovit in sistemski zakon, ki določa pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost posameznika pri obdelavi osebnih podatkov. Posamezna področja oziroma dejavnosti pa so posebej normirana v področnih zakonih, ki so v razmerju do ZVOP-1 specialni zakoni. Na tem mestu je potrebno navesti nekaj osnovnih definicij ZVOP-
- Tako je po določilu
- točke,
- odstavka
- člena ZVOP-1 uporabnik osebnih podatkov fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki. Pogodbeni obdelovalec pa je fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov (
- točka,
- odstavka
- člena ZVOP-1).Kot že sami ugotavljate, gre v obravnavanem primeru za uporabnike osebnih podatkov (ne za pogodbene obdelovalce), ki jim posamezni področni zakoni omogočajo, da od vas pridobivajo osebne podatke, s katerimi razpolagate. V področnih zakonih, ki omogočajo dostop do osebnih podatkov, je vedno določen tudi namen obdelave osebnih podatkov, kar pomeni, da mora uporabnik v svoji vlogi citirati določbo zakona, ki ga pooblašča pridobivati zahtevane osebne podatke in navesti namen obdelave. Sami navajate, da ste pri dosedanjem sprotnem preverjanju upravičenosti zahtevka državnim organom in nosilcem javnih pooblastil omogočili dostop do osebnih podatkov že na podlagi sklicevanja na področni zakon, kar razumemo, da ste pri drugih uporabnikih obravnavali oz. zahtevali celotno dokumentacijo in torej samo sklicevanje na zakon ni bilo dovolj za posredovanje osebnih podatkov, kot na primer pri pridobivanju osebnih podatkov na podlagi
- in
- odstavka
- čl. Zakona o izvršbi in zavarovanju (UL RS, št. 44/2006, uradno prečiščeno besedilo, v nadaljevanju ZIZ – UPB2) in
- čl. Zakona o odvetništvu (UL RS, št. 18/1993, s spremembami in dopolnitvami, v nadaljevanju ZOdv), ko zakon izrecno zahteva, da mora uporabnik predložiti dokumentacijo, s katero izkaže upravičenost do zahtevanih podatkov. Da bi razbremenili svoje službe, bi radi uvedli elektronsko avtomatsko posredovanje osebnih podatkov, kar ZVOP-1 tudi omogoča, s tem ko v drugem odstavku
- čl. določa, da morajo v primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov (podčrtal Pooblaščenec). Obseg pooblastil za obdelavo osebnih podatkov pa uporabnikom določa področni zakon. Tudi novi ZEPDSV v
- odstavku,
- čl. predvideva možnost vzpostavitve neposredne računalniške povezave, preko katere se bodo posredovali podatki uporabnikom iz
- čl. istega zakona, s tem, ko za uporabo podatkov na takšen način zahteva pridobitev predhodnega soglasja ministra, pristojnega za delo, družino in socialne zadeve, ministra pristojnega za področje, v okviru katerega se vodi posamezna zbirka, ter Informacijskega pooblaščenca. Po mnenju Pooblaščenca, vas torej navedena določba zavezuje k pridobitvi navedenih soglasij. Poleg tega pa bi Pooblaščenec pri tem rad opozoril še, kje ima pomisleke oziroma na kaj je potrebno biti še posebej pozoren pri elektronskem avtomatiziranem posredovanju osebnih podatkov iz uradne evidence zavarovanih oseb.Da bi bila varnost pri posredovanju osebnih podatkov ohranjena tudi pri elektronskem avtomatiziranem posredovanju osebnih podatkov, Pooblaščenec meni, da med uporabniki, ki bi imeli avtomatski dostop do osebnih podatkov, ne bi smeli biti odvetniki, upniki in detektivi, ampak bi pri njih morali ohraniti sprotno preverjanje upravičenosti. Zelo pomembno pa je, da upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotavlja t.i. sledljivost. To mu nalaga
- odst.
- čl. ZVOP-
- Navedeno pomeni, da mora zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Če upravljavec osebnih podatkov ravna v nasprotju z določbo
- čl. ZVOP-1, je v prekršku in se ga lahko kaznuje z globo. Zaradi navedenega je seveda zelo pomembno, da upravljavec osebnih podatkov le te zavaruje v skladu z določbama
- in
- čl. ZVOP-1, ki predstavljata tehnični del zakona in obsegata organizacijske in logično – tehnične postopke in ukrepe, s katerimi se osebni podatki varujejo. Njihov namen je v preprečevanju slučajnega ali namernega nepooblaščenega uničevanja podatkov ali v preprečevanju sprememb, izgube ali nepooblaščene obdelave. Nekoliko drugače oziroma strožje pa ZVOP-1 ureja obdelavo in zavarovanje občutljivih osebnih podatkov. V Zakona o zdravstvenem varstvu in zdravstvenem zavarovanju (UL RS, št. 20/2004, uradno prečiščeno besedilo, v nadaljevanju ZZUZZ-UPB1) so v 79.b členu vsebovani podatki, ki jih v evidencah vodite o zavarovanih osebah. Med njimi so tudi občutljivi osebni podatki, in sicer: kategorija invalidnosti, podatki o zdravstvenih storitvah, podatki o poškodbah po tretji osebi, podatki o prejetih medicinsko-tehničnih pripomočkih, podatki o izdanih zdravilih na recept, podatki o poškodbah pri delu in poklicnih bolezni. ZVOP-1 v
- čl. taksativno določa, v katerih primerih se občutljivi osebni podatki sploh lahko obdelujejo, posebej pa Pooblaščenec opozarja na
- čl. ZVOP-1, ki obravnava zavarovanje občutljivih osebnih podatkov, zlasti na drugi odstavek navedenega člena, na podlagi katerega so podatki ustrezno zavarovani pri prenosu preko telekomunikacijskih omrežji le v primeru, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom.V kolikor zagotovite t.i. sledljivost in ustrezne organizacijske in logično – tehnične postopke in ukrepe, v skladu s
- in
- čl. ZVOP-1, zlasti omogočanje poznejšega ugotavljanja, kdaj so bili posamezni osebni podatki uporabljeni in kdo je to storil, pa za neupravičeno obdelavo osebnih podatkov s strani uporabnika ne odgovarjate, temveč je za to odgovoren in v prekršku uporabnik, ki je obdeloval osebne podatke izven pooblastil, ki mu jih daje področni zakon. Glede nadzora nad uporabniki, v smislu, da bi naključno zahtevali celotno dokumentacijo v zvezi z določenimi izvedenimi poizvedbami, menimo, da je smiseln, vendar morate v primeru, da ugotovite nezakonitosti, to prijaviti našemu organu, ki je sicer pristojen za nadzor nad izvajanjem določb ZVOP-1 in drugih predpisov, ki urejajo varstvo in obdelavo osebnih podatkov. Za avtomatizirano elektronsko posredovanje osebnih podatkov bi, navajate, z uporabniki sklenili pogodbo. ZVOP-1 izrecno zahteva sklenitev pisne pogodbe le takrat, ko gre za pogodbene obdelovalce, nič pa ni določeno glede urejanja razmerij z uporabniki, kar pomeni, da ni nič narobe, če se takšna pogodba sklene, vendar pa bi radi opozorili, da kršitev pogodbe, ki jo omenjate, sicer lahko pomeni prekinitev pogodbe v smislu avtomatskega dostopa do osebnih podatkov, nikakor pa ne morete uporabniku onemogočiti dostopa do osebnih podatkov, saj njegovo pooblastilo za dostop izhaja iz področnega zakona in ne iz pogodbe. S spoštovanjem.Informacijski pooblaščenec:Nataša Pirc Musar, univ. dipl. prav.,pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026