Obdelava osebnih podatkov v okviru informacijskega sistema - IPRS

Obdelava osebnih podatkov v okviru informacijskega sistema + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.03.2021 Številka: 07120-1/2021/132 Kategorije:Upravne enote, Zavarovanje osebnih podatkov --> Kategorije: Upravne enote, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede obdelave podatkov v naslednjih konkretnih primerih: - Vsak zaposleni ob nastopu dela podpiše izjavo, s katero se zaveže varovati osebne, tajne, uradne in druge podatke, s katerimi se bo seznanil pri svojem delu, ki jo prilagate. Ali z vidika varovanja osebnih podatkov navedena izjava zadostuje za delo v informacijskem sistemu? - Ali z vidika varovanja osebnih podatkov posameznikov (strank) zaposleni za namen nadomeščanja sodelavcev v informacijskem sistemu lahko vpogledujejo v zadeve drugih zaposlenih in se na ta način seznanjajo z osebnimi podatki strank? Ali je v ta namen potrebno uslužbencu izdati pooblastilo? - Ali je z vidika varovanja osebnih podatkov dovoljeno podajati informacije (npr. v sprejemni pisarni) v zvezi s konkretnimi upravnimi postopki telefonsko (npr. ali je v določeni zadevi že rešeno, kdo vodi postopek)? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. To med drugim pomeni, da IP v okviru izdaje mnenja ne more potrjevati ustreznosti konkretnih izjav, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava osebnih podatkov zakonita. Zato vam IP v nadaljevanju podaja zgolj splošna pojasnila glede pravil s področja varstva osebnih podatkov. IP pojasnjuje, da kot delodajalec z izjavo, s katero se zaposleni zaveže varovati osebne, tajne, uradne in druge podatke, s katerimi se bo seznanil pri svojem delu, izpolnjujete predvsem svojo obveznost glede varne obdelave osebnih podatkov. Upravljavec je namreč dolžan sprejeti ustrezne tehnične in organizacijske ukrepe, s katerimi zagotovi ustrezno raven varnosti glede na tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani (obveznosti po členu 32 Splošne uredbe). V navedeni okvir sodi tudi sprejem ustreznih politik varstva osebnih podatkov (npr. pravilnik o varni obdelavi osebnih podatkov). Da bi delodajalec zagotovil varno obdelavo osebnih podatkov, je dolžan seznaniti zaposlene s pravili glede obdelave osebnih podatkov (zakonodajo in internimi pravili), kar se v praksi izkazuje tudi prek podpisanih izjav. O različnih izjavah, ki jih delodajalci dajejo v podpis zaposlenim, si lahko preberete tudi v mnenju IP št. 0712-1/2019/2922 z dne
9. 2019 (https://www.ip-rs.si/mnenja-gdpr/6048a4879b127). IP ob tem poudarja, da zavrnitev podpisa tovrstne izjave ne razbremenjuje upravljavca in oseb, ki delujejo po njegovim vodstvom, odgovornosti, da bi spoštovali pravila na področju varstva osebnih podatkov. Zaposlene namreč dolžnost spoštovanja predpisov veže ne glede na podpis izjave, vsekakor pa gre pri tem tudi za del delovnih obveznosti. Skladno s členom 29 Splošne uredbe obdelovalec in katera koli oseba, ki ukrepa pod vodstvom upravljavca ali obdelovalca in ima dostop do osebnih podatkov, teh podatkov ne sme obdelati brez navodil upravljavca, razen če to od njega zahteva pravo Unije ali pravo države članice. Tudi ureditev, kdo od zaposlenih znotraj upravljavca osebnih podatkov ter v kakšnih primerih je upravičen do določenih osebnih podatkov, je predmet notranje organizacije upravljavca. Od delovnega procesa samega upravljavca je namreč odvisno, kdo od zaposlenih mora zaradi narave dela, ki ga opravlja, vpogledati in drugače obdelovati določene osebne podatke (npr. nadomeščanje odsotnega zaposlenega). Glede podajanja določenih informacij v zvezi s konkretnimi upravnimi postopki po telefonu pa IP z vidika varstva osebnih podatkov pojasnjuje, da mora biti za vsako razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa do osebnih podatkov izven upravljavca podana ustrezna pravna podlaga iz člena 6