Evidenca posredovanja osebnih podatkov tretjim osebam - IPRS

Evidenca posredovanja osebnih podatkov tretjim osebam + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.05.2007 Številka: 0712-429/2007/2 Kategorije:Posredovanje OP med upravljavci --> Kategorije: Posredovanje OP med upravljavci Spoštovani,prejeli smo vašo elektronsko pošto z dne 19.04.2007.Spraševali ste nas:Ob posredovanju osebnih podatkov o zaposlenem npr. tretji osebi - organizatorju konference, zapišemo to v evidenco posredovanj podatkov (kdo je komu poslal, katere podatke, na podlagi česa, za kak namen, itd.).Zanima vas, ali se morajo pri tem shranjevati kopije vseh poslanih e-mail ali pisem, itd. omenjenim tretjim osebam .... da bo lahko nekdo pogledal npr. čez 2 leti kaj je bilo nekomu poslano (če je ali je predpisano mesto shranjevanja teh) oziroma ali je dovolj samo vpis poslanih podatkov v evidenco posredovanj, katero se vodi?Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
5. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.Spraševali ste nas, kako morate urediti evidentiranje posredovanja osebnih podatkov. ZVOP-1 v
6. odst.
7. člena določa, da mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti možnost kasnejšega ugotavljanja, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Skrajni rok za hranjenje evidence o posredovanih osebnih podatkih je praviloma 5 let od nastanka škode, kar je splošni zastaralni rok, ki ga določa Obligacijski zakonik v
8. členu, daljše ali krajše roke seveda lahko določa zakon.Zavarovanje osebnih podatkov z organizacijskimi, tehničnimi in logično-tehničnimi postopki ter ukrepi na način, da je omogočeno poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov, nalagata upravljavcu in pogodbenemu upravljavcu osebnih podatkov tudi
9. in
10. člen zakona.Določba
11. odstavka
12. člena ZVOP-1 zagotavlja tako imenovano načelo sledljivosti vpogledov v zbirke osebnih podatkov, kadar gre za posredovanje podatkov osebam zunaj upravljavca, ne pa za evidenco vpogledov zaposlenih pooblaščenih oseb pri upravljavcu. Sledljivost slednjih določa
13. točka prvega odstavka
14. člena.Vodenje evidence posredovanja osebnih podatkov uporabnikom osebnih podatkov je potrebno zaradi varstva pravic posameznika, ki mu je upravljavec zbirke osebnih podatkov, skladno z določbami
15. in
16. člena ZVOP-1, v roku 30 dni od dneva prejema zahteve dolžan posredovati seznam uporabnikov, ki so jim bili posredovani njegovi osebni podatki, ter mu hkrati sporočiti, kdaj, na kakšni podlagi in za kakšen namen je podatke posredoval. Glede na povedano je Pooblaščenec mnenja, da ste dolžni voditi evidenco posredovanja osebnih podatkov tretjim osebam na način, ki bo zagotavljal, da bo za vsako tako posredovanje osebnih podatkov možno kasneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi. Zato lahko v taki evidenci posredovanja osebnih podatkov tudi na splošno določite, da se določeni osebni podatki posredujejo določeni tretji osebi. Pri tem morate našteti vse osebne podatke (t.j. kategorije osebnih podatkov), ki jih posredujete posamezni tretji osebi, razvidno pa mora biti tudi, v kateri zbirki osebnih podatkov upravljavca se posredovani podatki nahajajo, navesti pa morate tudi pravno podlago za tako posredovanje osebnih podatkov. Ker predvidevamo, da gre v vašem primeru za upravljavca osebnih podatkov iz zasebnega sektorja, morate glede pravne podlage upoštevati določila
17. člena ZVOP-1, ki določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na to določbo se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.
18. odstavek
19. člena dalje določa, da se ne glede na prvi odstavek
20. člena lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki.Tudi na podlagi zgoraj omenjenega splošnega določila o posredovanju osebnih podatkov je namreč mogoče za vsako posamezno posredovanje osebnih podatkov kasneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, zato v takem primeru ni potrebno evidentiranje vsakokratnega posredovanja osebnih podatkov posebej ali shranjevanje posebnih kopij. S kopiranjem, ki ne izvira iz varnostnih, arhivskih ali drugih potreb, se namreč ustvarjajo podvojene zbirke osebnih podatkov, kar je sporno z vidika
21. člena ZVOP-1, ki določa načelo sorazmernosti pri obdelavi osebnih podatkov. Glede na navedeno je Pooblaščenec mnenja, da vam ni potrebno shranjevati kopij vseh poslanih elektronskih sporočila ali pisem. Določilom ZVOP-1 glede posredovanja osebnih podatkov boste zadostili, če boste vodili evidenco posredovanj osebnih podatkov na zgoraj opisan način.Glede vprašanja o mestu shranjevanja evidence posredovanj osebnih podatkov Pooblaščenec odgovarja, da posebno mesto v ZVOP-1 ni predpisano, vendar pa obenem opozarja, da lahko evidenca posredovanj osebnih podatkov v nekaterih primerih predstavlja ločeno zbirko osebnih podatkov. V evidenci posredovanj osebnih podatkov naj bi se sicer praviloma nahajale samo kategorije osebnih podatkov (npr. ime in priimek, EMŠO ipd.), ne pa posamezni, konkretni osebni podatki, vendar pa se ti lahko pojavijo na mestu prejemnika osebnih podatkov, če gre za fizično osebo, katere osebni podatki so zabeleženi v evidenci posredovanj osebnih podatkov. V takem in podobnih primerih, mora tudi za evidenco posredovanj osebnih podatkov upravljavec zagotoviti zavarovanje osebnih podatkov v skladu z določbami
22. in
23. člena ZVOP-1, obenem pa tudi za to zbirko osebnih podatkov veljajo tudi ostale določbe ZVOP-
24. Priporočamo vam, da si ogledate tudi druga mnenja s področja varstva osebnih podatkov, ki so objavljena na spletni strani 0712-429/2007/2, po kateri lahko iščete s pomočjo naprednega iskalnika.Prijazen pozdrav,Informacijski pooblaščenecNataša Pirc Musar, univ.dipl.prav.,pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026