Evidenca dejavnosti obdelave - IPRS

Evidenca dejavnosti obdelave + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.07.2022 Številka: 07120-1/2022/240 Kategorije: --> Kategorije: Evidence dejavnosti obdelave Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vašo zaprosilo za mnenje, ki se nanaša na evidence dejavnosti obdelave osebnih podatkov. Pojasnjujete nam, da ste v praksi večkrat zaznala, da upravljavci in obdelovalci ta institut razumejo kot obveznost popisa vseh osebnih podatkov posameznikov iz določene zbirke osebnih podatkov, namesto le kot popis vrst osebnih podatkov, ki se v neki zbirki vodijo. V zvezi s tem vas tako zanima, ali je v evidencah dejavnosti obdelave zadosti, da se popišejo vrste osebnih podatkov ali je slučajno potrebno v evidencah voditi tudi konkretne osebne podatke posameznikov? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Vsak upravljavec ali obdelovalec osebnih podatkov mora za dokaz skladnosti s Splošno uredbo o varstvu podatkov, hraniti evidence o dejavnostih obdelave, za katere je odgovoren. Poleg vseh ostalih elementov iz
8. člena Splošne uredbe o varstvu osebnih podatkov pa mora evidenca dejavnosti obdelave vsebovati tudi informacijo o vrstah osebnih podatkov (npr. kontaktni podatki, finančni podatki, lokacijski podatki, IP naslov, datum rojstva itd.), kjer pa pri evidenci dejavnosti obdelave ne gre za popis konkretnih osebnih podatkov, ki se obdelujejo. O b r a z l o ž i t e v: IP uvodoma vašega vprašanja pojasnjuje, da Splošna uredba o varstvu podatkov v
9. členu predpisuje vsebino evidence dejavnosti obdelave, ki se mora voditi v pisni obliki (vključno z elektronsko obliko) ter mora biti dostopna nadzornemu organu na zahtevo. Evidenca dejavnosti obdelave pa vsebuje elemente iz prvega odstavka
10. člena Splošne uredbe o varstvu podatkov in sicer: naziv ali ime in kontaktne podatke upravljavca in, kadar obstajajo, skupnega upravljavca, predstavnika upravljavca in pooblaščene osebe za varstvo podatkov; namene obdelave; opis kategorij posameznikov, na katere se nanašajo osebni podatki, in vrst osebnih podatkov; kategorije uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki, vključno z uporabniki v tretjih državah ali mednarodnih organizacijah; kadar je ustrezno, informacije o prenosih osebnih podatkov v tretjo državo ali mednarodno organizacijo, vključno z navedbo te tretje države ali mednarodne organizacije, v primeru prenosov iz drugega pododstavka člena 49