Interni pravilnik o varovanju osebnih podatkov in obveščanje nadzornega organa - IPRS

Interni pravilnik o varovanju osebnih podatkov in obveščanje nadzornega organa + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.08.2006 Številka: 0712-104/2006/2 Kategorije:Register zbirk osebnih podatkov, Zbirke osebnih podatkov --> Kategorije: Register zbirk osebnih podatkov, Zbirke osebnih podatkov Spoštovani,prejeli smo vaše elektronsko sporočilo, v katerem nas sprašujete,• ali je upravnik poslovnih prostorov dolžan izdelati interni akt o varovanju osebnih podatkov?• ali je upravnik dolžan samo izdelati in voditi evidence / katalog zbirke osebnih podatkov, ne da bi sprejel interni pravilnik o varovanju osebnih podatkov?• ali upravniku, glede na to da ima manj kot 20 zaposlenih, ni treba vzpostaviti kataloga in o spremembah zbirk osebnih podatkov obvestiti Državni nadzorni organ?Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (ZVOP-1; Uradni list RS, št. 86/04 in 113/05) ter
5. in
6. člena Zakona o informacijskem pooblaščencu (ZInfP; Uradni list RS, št. 113/05) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ad. I
7. odst.
8. člena ZVOP-1 določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz
9. člena tega zakona (ta pa določa vsebino zavarovanja osebnih podatkov).
10. odst.
11. člena ZVOP-1 določa, da upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.Upravljavec je v skladu s
12. tč.
13. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave.Če torej upravljavec poseduje kakršnokoli zbirko osebnih podatkov, mora v skladu z
14. odst.
15. člena izdelati akt, v katerem predpiše postopke in ukrepe za zavarovanje osebnih podatkov in s katerim določi osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi njihovega dela obdelujejo določene osebne podatke.Če tega ne stori, se lahko pravna oseba ali samostojni podjetnik v skladu s
16. členom ZVOP-1 posameznik kaznuje z globo od 1.000.000 do 3.000.000 SIT, z globo od 200.00 do 300.000 SIT pa odgovorna oseba. Prav tako se lahko kaznuje posameznika, predpisana globa znaša za obravnavano kršitev od 50.000 do 200.000 SIT.Ad. IIZVOP-1 ne pozna izjeme, ko akta o zavarovanju ob vzpostavitvi zbirke osebnih podatkov ne bi bilo potrebno imeti. To pa pomeni, da mora upravljavec osebnih podatkov v skladu z zgoraj navedenim notranje akte vzpostaviti takoj, ko nastane zbirka osebnih podatkov. Če upravljavec ne zagotovi ustreznega varovanja osebnih podatkov, je odgovoren za zgoraj navedeni prekršek.Ad. III
17. odst.
18. člena ZVOP-1 določa, da podatkov iz prvega odstavka
19. člena ni potrebno posredovati tistemu upravljavcu osebnih podatkov, ki nima več kot 20 oseb zaposlenih za nedoločen čas, o tistih zbirkah osebnih podatkov, ki jih o svojih zaposlenih vodi v skladu z zakonom, ki določa zbirke osebnih podatkov na področju dela.Informacijski pooblaščenec posebej opozarja, da merilo 20 zaposlenih za nedoločen čas ne pomeni, da upravljavcu osebnih podatkov v register ni potrebno sporočiti nobene druge zbirke. Pomeni le, da upravljavcu ni potrebno sporočiti zgolj tistih zbirk osebnih podatkov, ki so nastale na podlagi zakona, ki določa zbirke osebnih podatkov na področju dela (npr. Zakon o delovnih razmerjih, Uradni list RS, št. 42/2002, v nadaljevanju ZDR), če ima manj kot 20 zaposlenih za nedoločen čas. To pa pomeni, da mora sporočiti vse druge zbirke, ki jih morebiti še vodi o zaposlenih, pa te niso nastale na podlagi zakona, ki določa zbirke osebnih podatkov na področju dela, npr. avtorske pogodbe, evidence invalidskega in pokojninskega zavarovanja ... četudi se te zbirke nanašajo na manj kot 20 zaposlenih za nedoločen čas. Upravljavec osebnih podatkov mora torej sporočiti vse zbirke osebnih podatkov, ki jih vodi, razen morebitnih zbirk, ki so opisane v prejšnjih dveh odstavkih.S spoštovanjem, Informacijski pooblaščenecNataša Pirc Musar, univ. dipl. prav.pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026