← Slovenija

Evidentiranje posredovanja osebnih podatkov DURS-u - IPRS

Evidentiranje posredovanja osebnih podatkov DURS-u + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.01.2007 Številka: 0712-9/2007/2 Kategorije:Davčni postopki, Zbirke osebnih podatkov --> Kategorije: Zbirke osebnih podatkov, Davčni postopki Spoštovani,Po elektronski pošti smo prejeli vaše vprašanje.
  3. V dopisu navajate, da ste slišali, da vam kot podjetju, ki nima več kot 20 zaposlenih za nedoločen čas, ni potrebno posredovati podatkov, določenih v
  4. odstavku
  5. člena ZVOP-1, morate pa posredovati ostale zbirke osebnih podatkov npr. evidenca študentskih napotnic, evidenca strank … Sprašujete nas ali navedeno drži.
  6. Zanima vas tudi, ali mora imeti podjetje evidenco o strankah, tudi če te niso fizične osebe ampak podjetja.
  7. Navajate še, da naj bi upravljavec osebnih podatkov vsako posredovanje osebnih podatkov evidentiral in nas v zvezi s tem sprašujete, ali je potrebno evidentirati tudi npr. mesečno pošiljanje list na Davčno upravo RS.Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  8. točke prvega odstavka
  9. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
  10. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje. Pooblaščenec uvodoma podaja nekaj splošnih povzetkov ZVOP-1 za izdelavo kataloga zbirk osebnih podatkov in vnos v register.Osebni podatek je v skladu z
  11. tč.
  12. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Zbirka osebnih podatkov je v skladu z
  13. tč.
  14. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Ad.1Katalog in register zbirk urejajo členi 26 do 28 ZVOP-
  15. Vsebina kataloga je določena v
  16. členu ZVOP-
  17. V skladu s
  18. odst.
  19. člena ZVOP-1 mora upravljavec osebnih podatkov za vsako zbirko (torej tudi zbirko o vaših strankah, če so te – vsaj del zbirke – fizične osebe) osebnih podatkov vzpostavi katalog zbirke osebnih podatkov, ki vsebuje:
  20. naziv zbirke osebnih podatkov;
  21. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko);
  22. pravno podlago za obdelavo osebnih podatkov;
  23. kategorije posameznikov, na katere se nanašajo osebni podatki;
  24. vrste osebnih podatkov v zbirki osebnih podatkov;
  25. namen obdelave;
  26. rok hrambe osebnih podatkov;
  27. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev;
  28. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov;
  29. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa;
  30. splošen opis zavarovanja osebnih podatkov;
  31. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig;
  32. podatke o zastopniku iz tretjega odstavka
  33. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).
  34. odst.
  35. člena ZVOP-1 določa, da mora upravljavec osebnih podatkov skrbeti za točnost in ažurnost kataloga.
  36. odst.
  37. člena določa, katere dele kataloga mora upravljavec osebnih podatkov sporočiti državnemu nadzornemu organu (Informacijskemu pooblaščencu). Zaradi boljše preglednosti so ti deli kataloga zgoraj poudarjeni. Te podatke mora upravljavec sporočiti najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Upravljavec mora Pooblaščencu v skladu z
  38. odst.
  39. člena sporočiti tudi spremembe podatkov in sicer najkasneje v osmih dneh od dneva spremembe.Edina izjema, ki jo določa ZVOP-1 glede sporočanja v register zbirk je navedena v
  40. odst.
  41. člena. V skladu s tem podatkov iz prvega odstavka tega člena ni potrebno posredovati tistemu upravljavcu osebnih podatkov, ki nima več kot 20 oseb zaposlenih za nedoločen čas, o tistih zbirkah osebnih podatkov, ki jih o svojih zaposlenih vodi v skladu z zakonom, ki določa zbirke osebnih podatkov na področju dela (zgolj te zbirke, poudaril Pooblaščenec). Vendar pa mora vseeno v tem primeru vsakomur zagotoviti informacije iz
  42. člena tega zakona. V skladu z vsem navedenim morate torej pred vzpostavitvijo zbirke osebnih podatkov – npr. evidence kupcev oz. strank, evidence zaposlenih, evidence za potrebe pokojninskega in invalidskega zavarovanja, evidence prisotnosti na delu, evidenca študentskih napotnic – vzpostaviti katalog zbirk osebnih podatkov in podatke, ki jih zahteva
  43. člena ZVOP-1, razen katalogov, ki jih izvzema
  44. odst.
  45. člena, pravočasno sporočiti Informacijskemu pooblaščencu. Pooblaščenec opozarja, da je že nekaj časa obvezen vnos v register preko spletnega obrazca na spletni strani Pooblaščenca http://www.ip-rs.si/index.php?id=450, kjer si lahko ogledate tudi vnose drugih zavezancev. Na tej strani boste našli tudi podrobna navodila, kako poteka vnos v register.Ad.2V zvezi z vašim vprašanjem, ali mora imeti podjetje evidenco o strankah tudi, če niso fizične osebe ampak podjetja oz. ali tudi v primeru, ko razpolagate s podatki o drugih podjetjih pri tem nastane zbirka osebnih podatkov, Pooblaščenec poudarja pomen razlage izraza »osebni podatek«. Izraz je v ZVOP-1 definiran kot katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Posameznik pa je v
  46. tč.
  47. člena ZVOP-1 definiran kot določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Iz povedanega sledi, da pri podatkih, ki se nanašajo na pravno osebo, ne gre za osebne podatke, zato tudi zbirka podatkov o podjetju ali katerikoli drugi pravni osebi, ni zbirka osebnih podatkov, za katero bi se uporabljale določbe ZVOP-
  48. Ad.3Spraševali ste nas tudi kako morate urediti evidentiranje posredovanja osebnih podatkov Davčni upravi RS. ZVOP-1 v
  49. odst.
  50. člena določa, da mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti možnost kasnejšega ugotavljanja, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Skrajni rok za hranjenje evidence o posredovanih osebnih podatkih je praviloma 5 let od nastanka škode, kar je splošni zastaralni rok, ki ga določa Obligacijski zakonik v
  51. členu, daljše ali krajše roke seveda lahko določa zakon. Zavarovanje osebnih podatkov z organizacijskimi, tehničnimi in logično-tehničnimi postopki ter ukrepi na način, da je omogočeno poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov, nalagata upravljavcu in pogodbenemu upravljavcu osebnih podatkov tudi
  52. in
  53. člen zakona.Določba 3.odst.
  54. člena ZVOP-1 zagotavlja tako imenovano načelo sledljivosti vpogledov v zbirke osebnih podatkov, kadar gre za posredovanje podatkov osebam zunaj upravljavca, ne pa za evidenco vpogledov zaposlenih pooblaščenih oseb pri upravljavcu. Sledljivost slednjih določa
  55. točka prvega odstavka
  56. člena. Vodenje evidence posredovanja osebnih podatkov uporabnikom osebnih podatkov je potrebno zaradi varstva pravic posameznika, ki mu je upravljavec zbirke osebnih podatkov, skladno z določbami
  57. in
  58. člena ZVOP-1, v roku 30 dni od dneva prejema zahteve dolžan posredovati seznam uporabnikov, ki so jim bili posredovani njegovi osebni podatki, ter mu hkrati sporočiti, kdaj, na kakšni podlagi in za kakšen namen je podatke posredoval. Glede na povedano je Pooblaščenec mnenja, da ste dolžni voditi evidenco posredovanja osebnih podatkov Davčni upravi Republike Slovenije na način, ki bo zagotavljal, da bo za vsako tako posredovanje osebnih podatkov možno kasneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi. Zato lahko v taki evidenci posredovanja osebnih podatkov tudi na splošno določite, da se določeni osebni podatki (našteti morate vse osebne podatke, ki jih posredujete Davčni upravi Republike Slovenije, razvidno pa mora biti tudi, v kateri zbirki osebnih podatkov upravljavca se posredovani podatki nahajajo) petnajsti dan vsakega meseca v letu posredujejo Davčni upravi Republike Slovenije, navesti pa morate tudi pravno podlago za tako posredovanje osebnih podatkov. Tudi na podlagi takega določila je namreč mogoče za vsako posamezno posredovanje osebnih podatkov kasneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, zato v takem primeru ni potrebno evidentiranje vsakokratnega posredovanja osebnih podatkov posebej. S spoštovanjem, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.