Obveznosti samostojnih podjetnikov in pravnih oseb po ZVOP-1 + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 13.11.2006 Številka: 0712-328/2006/2 Kategorije:Razno, Register zbirk osebnih podatkov --> Kategorije: Register zbirk osebnih podatkov, Razno Spoštovani,prejeli smo vaš dopis z dne 02.11.2006, v katerem navajate, da vaša zbornica (v nadaljevanju zbornica) združuje več kot 50.000 članov, ki so organizirani v različnih pravnih oblikah ter opravljajo najrazličnejše dejavnosti. Na zbornici ste v zadnjih dneh prejeli kar nekaj vprašanj, ki so povezana z varstvom osebnih podatkov, skladno z Zakonom o varstvu osebnih podatkov (Ur. l. RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1). Posebej zanimivi sta bili dve vprašanji. Prvo vprašanje se nanaša na podjetnike, ki delujejo v statusni obliki samostojnega podjetnika, ki nima nobenega zaposlenega delavca, vodijo pa evidence o svojih podatkih. Gre za subjekte, ki opravljajo razne obrtniške dejavnosti na trgu ter predstavljajo večino subjektov, ki so vaši člani. Samostojni podjetnik, ki je samozaposlen in nima drugih zaposlenih oseb, sicer vodi evidenco po Zakonu o evidencah na področju dela in socialne varnosti (Ur.l. RS, št. 40/2006, v nadaljevanju ZEPDSV). V okviru svoje dejavnosti pa ne vodi evidenc o fizičnih osebah, katerih osebni podatki so varovani z ZVOP-
- Taki subjekti so npr. vodo-inštalaterji, električarji, mehaniki, itd, ki na podlagi naročila opravijo enkratno storitev. Poraja se vam vprašanje, ali morajo imeti te pravne osebe prav tako urejen notranji akt o zavarovanju osebnih podatkov ali ne, ali je potrebno vzpostaviti zbirke osebnih podatkov (tiste, ki jih vodijo skladno z ZEPDSV) ter katalog. Za take subjekte pomeni dosledno izvajanje določil ZVOP-1 nesorazmerno visoke stroške, izrečena kazen pa lahko privede do finančnega zloma takega subjekta. Drugo vprašanje se nanaša na subjekte, ki poslujejo v statusnih oblikah, določenih v Zakonu o gospodarskih družbah (Ur. l. RS, št. 42/2006, ZGD-1) in imajo ali zaposlene, ali kot pomočnike svoje družinske člane, ali pa gre celo za enoosebne družbe. Sprašujete, ali morajo imeti te pravne osebe prav tako urejen notranji akt o zavarovanju osebnih podatkov ali ne. Ali morajo vzpostaviti zbirke osebnih podatkov (tiste, ki jih vodijo skladno z ZEPDSV) ter katalog, kljub temu da med zaposlenimi obstajajo sorodstvene vezi. Sprašujete se, ali je smiselno od takih subjektov zahtevati, da izpolnjujejo zahtevane obveznosti o varovanju osebnih podatkov zaposlenih, ne glede na opravljanje dejavnost, če med njimi obstajajo sorodstvene vezi. Ti subjekti pri svojem delu ne zbirajo drugih osebnih podatkov npr. od kupcev. Na tem mestu bi radi opozorili na dopolnjen predlog zakona o spremembah in dopolnitvah zakona o preprečevanju dela in zaposlovanju na črno, ki je v drugem branju. Navedeni predlog zakona namreč v
- a členu določa, da se za kratkotrajno delo šteje brezplačno opravljanje dela v mikro družbi, zasebnem zavodu ali pri podjetniku z največ 10 zaposlenimi, kadar jih opravlja zakonec podjetnika ali lastnika oziroma solastnika gospodarske družbe oziroma zasebnega zavoda ali oseba, s katero je v sorodu v ravni vrsti do prvega kolena, in traja največ 40 ur mesečno. Hkrati
- člen predloga določa, kaj se ne šteje za delo na črno. Sprašujete, kako bodo določila varstva osebnih podatkov vplivala na ta člen?Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena ZVOP-1 ter
- člena Zakona o informacijskem pooblaščencu (Ur. l. RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Pooblaščenec uvodoma podaja nekaj splošnih povzetkov ZVOP-1 za zavarovanje osebnih podatkov, o katalogu in vnosu v register.Osebni podatek je v skladu s
- tč.
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Zbirka osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Upravljavec osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. ZVOP-1 v tretjem poglavju ureja zavarovanje osebnih podatkov.
- člen ZVOP-1 določa vsebino zavarovanja osebnih podatkov:
(1)Zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
(2)V primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov.
(3)Postopki in ukrepi za zavarovanje osebnih podatkov morajo biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.
(4)Funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, so dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. Dolžnost zavarovanja osebnih podatkov pa ZVOP-1 ureja v
- členu, ki v prvem odstavku določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz zgoraj navedenega
- člena ZVOP-
- V drugem odstavku istega člena pa je določeno, da upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Na podlagi povedanega je Pooblaščenec mnenja, da morajo tudi samostojni podjetniki sprejeti interni akt v smislu drugega odstavka
- člena ZVOP-1, v kolikor so kot samostojni podjetniki upravljavci osebnih podatkov. Odgovor na vaše prvo vprašanje je torej odvisen od tega, ali so samostojni podjetniki upravljavci osebnih podatkov ali ne, česar pa Pooblaščenec na podlagi posredovanih informacij ne more razbrati. Glede na dosedanje izkušnje pa Pooblaščenec dodaja, da samostojni podjetniki, ki nimajo zaposlenih delavcev, najpogosteje upravljajo z osebnimi podatki kupcev (oz. strank), dobaviteljev in poslovnih partnerjev. Pri tem Pooblaščenec opozarja, da gre za osebne podatke zgolj v primeru, ko kot kupec (oz. stranka), dobavitelj ali poslovni partner nastopa fizična oseba. Samostojni podjetnik posameznik mora kot upravljavec osebnih podatkov vzpostaviti katalog osebnih podatkov in sporočiti podatke iz katalogov v register zbirk osebnih podatkov (
- člen ZVOP-1). Edina izjema, ki jo določa ZVOP-1 glede sporočanja v register zbirk, je navedena v
- odst.
- člena. V skladu s tem podatkov iz prvega odstavka tega člena ni potrebno posredovati tistemu upravljavcu osebnih podatkov, ki nima več kot 20 oseb zaposlenih za nedoločen čas, o tistih zbirkah osebnih podatkov, ki jih o svojih zaposlenih vodi v skladu z zakonom, ki določa zbirke osebnih podatkov na področju dela (zgolj te zbirke, poudaril Pooblaščenec). Vendar pa mora vseeno v tem primeru vsakomur zagotoviti informacije iz
- člena tega zakona.Smiselno enako velja tudi za t.i. družinska podjetja, ki jih omenjate v drugem vprašanju. Sorodstvene vezi ne izključujejo obveznosti, ki jih določa ZVOP-1 glede zavarovanje osebnih podatkov, vzpostavitve kataloga in vnosu v register zbirk osebnih podatkov. Če ima takšno podjetje več kot 20 zaposlenih za nedoločen čas, mora ne glede na sorodstvene vezi, te podatke posredovati v skladu s
- čl. ZVOP-1 (v skladu z zakonom, ki določa zbirke podatkov na področju dela – ZEPDSV), prav tako pa tudi vse ostale zbirke osebnih podatkov, ki jih vodijo v zvezi z opravljanjem svoje dejavnosti. Pooblaščenec še opozarja, da je vzorec Pravilnika o zavarovanju osebnih podatkov že nekaj časa dostopen tudi na spletni strani Pooblaščenca http://www.ip-rs.si/fileadmin/user_upload/doc/Vzorec_pravilnika_za_zavarovanje_OP.doc.Glede vprašanja kako bodo določila ZVOP-1 vplivala na zgoraj naveden
- a čl. dopolnjenega predloga Zakona o spremembah in dopolnitvah zakona o preprečevanju dela in zaposlovanju na črno, Pooblaščenec ugotavlja, da naveden
- a čl. nikakor ne posega v določbe ZVOP-1, saj definicija kratkotrajnega dela v ničemer ne posega v določbe ZVOP-
- Zato bodo z vidika zavarovanja osebnih podatkov, vzpostavitev katalogov in vnosa v register zbirk osebnih podatkov, obveznosti oz. dolžnosti pravnih subjektov, ki upravljajo z osebnimi podatki, v smislu določb ZVOP-1, ostale povsem iste. Še več koristnih informacij se nahaja tudi na naši spletni strani www.ip-rs.si.S spoštovanjem. Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026