Katalog osebnih podatkov nečlanov društva - IPRS

Katalog osebnih podatkov nečlanov društva + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.04.2007 Številka: 0712-393/2007/2 Kategorije:Društva --> Kategorije: Društva Spoštovani,prejeli smo vaše vprašanje z dne
3. aprila 2007, v katerem nas sprašujete:ali mora imeti društvo, ki ga opisujete, v skladu z zakonom o varstvu osebnih podatkov za vzpostavitev navedenih seznamov imeti interni akt, obrazec s privolitvijo posameznika, katalog osebnih podatkov in ali mora obvestiti državni nadzorni organ oziroma ali tudi za vadeče velja enako kot za člane, torej
4. odstavek
5. člena ZVOP-1? Kot navajate, gre za manjše društvo, ustanovljeno po zakonu o društvih, ki šteje od 30 do 40 članov in neprofitno organizira športno vadbo. Na to vadbo hodijo ljudje, ki niso člani in plačujejo vadnino. Vadbo vodijo člani društva. Za potrebe statistike, obveščanja glede vadbe ter pobiranja vadnine bi potrebovali sezname teh vadečih. Seznami bi vsebovali naslednje podatke (ime, priimek, naslov, telefonsko številko, letnico rojstva). Društvo nima zaposlenih.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
6. točke
7. odstavka
8. člena Zakona o varstvu osebnih podatkov (Ur. l. RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
9. člena Zakona o informacijskem pooblaščencu (Ur. l. RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Na podlagi opisanega je mogoče razbrati, da društvo, ki ga opisujete poleg zbirke osebnih podatkov članov vodi tudi zbirko osebnih podatkov (ime, priimek, naslov, telefonsko številko, letnico rojstva) ljudi, ki niso člani in se udeležujejo vadbe, ki jo organizira omenjeno društvo. Kot tako je društvo upravljavec zbirk osebnih podatkov v smislu
10. točke
11. člena ZVOP-
12. Podlago za zbiranje osebnih podatkov za zasebni sektor (kamor sodijo društva) določa
13. člen ZVOP-
14. Ta določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ker pa je osebna privolitev lahko veljavno podana le, če je posamezniku posredovano tudi dovolj podatkov, da se lahko za obdelavo odloči, je ZVOP-1 v
15. členu predpisal, kateri podatki morajo biti posamezniku posredovani. Tako je določeno, da mora v primeru, ko se osebni podatki zbirajo neposredno od posameznika, na katerega se nanašajo, upravljavec osebnih podatkov posamezniku sporočiti podatke o upravljavcu osebnih podatkov in, kar je še pomembnejše, mu sporočiti tudi za kakšen namen se bodo zbrani osebni podatki uporabljali. Pri uporabi oziroma obdelavi osebnih podatkov je upravljavec (torej društvo) vezan na ta namen.Če torej zbirate osebne podatke na podlagi obrazca za včlanitev oziroma za pristop k vadbi, je priporočljivo, da kar na tem obrazcu ali na drug primeren način obvestite posameznika, za katere namene se bodo njegovi podatki uporabljali. Če je izključni namen obdelave le izvajanje obveznosti in pravic v zvezi s članstvom ali v zvezi z udeležbo na vadbi in statistično obdelavo, to navedite.Opozoriti vas želimo tudi na
16. člen ZVOP-1, ki določa, da se lahko obdeluje le tiste osebne podatke, ki so ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Zbirate in naprej obdelujete lahko torej le tiste osebne podatke, ki dejansko lahko služijo namenu in so hkrati tudi nujno potrebni za dosego namena. Navedli ste, da zbirate o vadečih: ime, priimek, naslov, telefonsko številko, letnico rojstva. Pooblaščenec ocenjuje, da so našteti podatki ustrezni in po obsegu primerni glede na namen, pod pogojem seveda, če je namen obdelave osebnih podatkov le udeležba na vadbi in statistična obdelava. Ker niste navedli, za kakšne vrste statistično obdelavo gre, Pooblaščenec opozarja, da morate, v kolikor gre za statistično obdelavo, ki presega zakonske obveznosti povezane z delovanje društva, o tem ob prijavi posameznika posebej obvestiti in to navesti v obrazcu za pristop k vadbi. Ne smete pa pridobljenih osebnih podatkov brez vnaprejšnje privolitve posameznika prosto uporabljati izven tega namena.Upravljavci osebnih podatkov so poleg tega, kot določa
17. člen ZVOP-1, dolžni zagotoviti tudi zavarovanje osebnih podatkov, ki obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov na način iz
18. člena ZVOP-
19. Upravljavci osebnih podatkov morajo nadalje v skladu z ZVOP-1 v svojih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov ter določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.Kot pravilno ugotavljate določa
20. člen ZVOP-1 določene izjeme glede obveznosti v zvezi z vzpostavitvijo kataloga zbirke osebnih podatkov, obveščanja državnega nadzornega organa za varstvo osebnih podatkov ter vključenosti v register osebnih podatkov, ki jih o svojih članih obdelujejo politične stranke, sindikati, društva ali verske skupnosti. Vendar pa to ne pomeni izjeme tudi glede zgoraj omenjenega
21. člena, torej vzpostavitve ustreznega načina zavarovanja osebnih podatkov in aktov, ki določajo te ukrepe in osebe odgovorne za obdelavo osebnih podatkov. Na podlagi podatkov, ki jih navajate, vam Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) zato svetuje, da pripravite ustrezen akt, kot je navedeno v
22. členu ZVOP-
23. Pri tem vam je lahko v pomoč vzorec pravilnika, objavljen na spletnih straneh Pooblaščenca: http://www.ip-rs.si/fileadmin/user_upload/doc/Vzorec_pravilnika_za_zavarovanje_OP.docZa zbirko vadečih pa ne veljajo izjeme, določene v
24. odstavku
25. člena ZVOP-1, glede obveznosti v zvezi z vzpostavitvijo kataloga zbirke osebnih podatkov, obveščanja državnega nadzornega organa za varstvo osebnih podatkov ter vključenosti v register osebnih podatkov, ker ne gre za člane društva.
26. člen ZVOP-1 tako določa, da mora upravljavec osebnih podatkov (v vašem primeru društvo) za vsako zbirko osebnih podatkov (razen omenjenih izjem glede zbirke članov društva) vzpostaviti katalog zbirke osebnih podatkov, ki vsebuje:
27. naziv zbirke osebnih podatkov;
28. podatke o upravljavcu osebnih podatkov (za pravno osebo, kar društvo je,: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko);
29. pravno podlago za obdelavo osebnih podatkov (v vašem primeru osebna privolitev ali ustrezen zakon);
30. kategorije posameznikov, na katere se nanašajo osebni podatki;
31. vrste osebnih podatkov v zbirki osebnih podatkov;
32. namen obdelave;
33. rok hrambe osebnih podatkov;
34. morebitno omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev;
35. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov;
36. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa;
37. splošen opis zavarovanja osebnih podatkov;
38. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig;
39. podatke o morebitnem zastopniku iz tretjega odstavka
40. člena ZVOP-1.Upravljavec osebnih podatkov mora skrbeti za točnost in ažurnost vsebine kataloga in v skladu s
41. členom ZVOP-1 podatke iz 1., 2., 4., 5., 6., 9., 10., 11.,
42. in
43. točke prvega odstavka
44. člena ZVOP-1 posredovati Pooblaščencu najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Upravljavec osebnih podatkov posreduje Pooblaščencu spremembe podatkov iz prejšnjega odstavka najkasneje v osmih dneh od dneva spremembe. To lahko storite na zelo preprost način preko spletne strani Pooblaščenca: http://www.ip-rs.si/index.php?id=529Na podlagi povedanega tako Pooblaščenec opozarja, da mora društvo v skladu z ZVOP-1 v vsakem primeru sprejeti ustrezen akt za varstvo osebnih podatkov v skladu s
45. členom ZVOP-1, ustrezno urediti obrazce za včlanitev oziroma za pristop k vadbi ter zbirko vadečih prijaviti v register. Hkrati pa mora zagotoviti tudi ustrezno zavarovanje zbirk osebnih podatkov, ki jih vodi, ter poskrbeti, da se osebnih podatkov iz zbirk ne uporablja izven vnaprej določenega namena, za katerega obstoji zakonska podlaga za obdelavo ali za katerega ste od posameznikov pridobili ustrezno osebno privolitev za obdelavo osebnih podatkov.Takšen je zakon danes. Novela zakona o varstvu osebnih podatkov, ki jo podpira tudi Informacijski pooblaščenec, pa bo prinesla pomembne novosti, predvsem pri razbremenitvi manjših upravljavcev zbirk osebnih podatkov, torej tudi vas. Prilagamo vam dopolnitev, ki vas bo zanimala:V Zakonu o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 – ZInfP) se za tretjim odstavkom
46. člena dodata nova četrti in peti odstavek, ki se glasita: