← Slovenija

Obveznosti upravljalca OP - IPRS

Obveznosti upravljalca OP + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.12.2007 Številka: 0712-1064/2007/2 Kategorije:Register zbirk osebnih podatkov, Zavarovalništvo --> Kategorije: Register zbirk osebnih podatkov, Zavarovalništvo Spoštovani! Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 30.11.2007 prejel zgoraj navedeno elektronsko pošto, v kateri navajate, da se nameravate v prihodnosti ukvarjati z iskanjem in zaposlovanjem kadrov ter drugimi postopki na področju sklepanja delovnih razmerij. V zvezi s tem nas sprašujete:
  3. Ali morate ravnanje z osebnimi podatki zaščititi s Pravilnikom in Katalogom osebnih podatkov?
  4. Ali potrebujete še kakšen drug dokument, akt v zvezi z zaščito osebnih podatkov?
  5. Ali morate imeti pravilnik izdelan pred začetkom opravljanja dejavnosti?
  6. Kako je s pridobivanjem osebnih podatkov za druga podjetja?
  7. Ali je podjetju s 45 zaposlenimi, ki se ukvarja s predelavo plastike, potrebno izdelati pravilnik in katalog zbirk osebnih podatkov? Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  8. točke prvega odstavka
  9. člena Zakona o varstvu osebnih podatkov (UPB-1 Uradni list RS, št. 94/07, v nadaljevanju ZVOP-1) ter
  10. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.
  11. Upravljavcem osebnih podatkov z manj kot 50 zaposlenimi ni potrebno vzpostaviti katalogov zbirk osebnih podatkov in jih posredovati Informacijskemu pooblaščencu ter sprejeti Pravilnika o zavarovanju osebnih podatkov, razen če upravljavec spada v katero od kategorij, navedenih v
  12. odst.
  13. člena ZVOP-1 (upravljavci osebnih podatkov iz javnega sektorja, notarji, odvetniki, detektivi, izvršitelji, izvajalci zasebnega varovanja, zasebni zdravstveni delavci, izvajalci zdravstvenih storitev ter za upravljavce osebnih podatkov, ki vodijo zbirke, ki vsebujejo občutljive osebne podatke in je obdelava občutljivih osebnih podatkov del njihove registrirane dejavnosti). V kolikor se uvrščate med slednje, ste dolžni vzpostaviti in posredovati kataloge zbirk ter sprejeti Pravilnik.
  14. V kolikor spadate v katerokoli kategorijo, navedeno v tč. 1, potrebujete pravilnik o zavarovanju osebnih podatkov, ki mora opredeliti organizacijske, tehnične in logično-tehnične postopke in ukrepe za zavarovanje osebnih podatkov, sicer ne. Ne glede na navedeno, pa mora vsak upravljavec zbirk osebnih podatkov poskrbeti, da se bodo ustrezni ukrepi zavarovanja v praksi dejansko izvajali.
  15. V kolikor spadate v katerokoli kategorijo, navedeno v tč. 1, morate pravilnik imeti izdelan in sprejet pred začetkom obdelave osebnih podatkov, prav tako morate 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov imeti vzpostavljen katalog zbirke in ga prijaviti Državnemu nadzornemu organu.
  16. ZVOP-1 v
  17. členu dovoljuje pogodbeno obdelavo osebnih podatkov. Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil (torej v njegovem imenu in za njegov račun), medsebojne pravice in obveznosti pa se uredijo s pisno pogodbo med upravljavcem in pogodbenim izvajalcem.
  18. Glej odgovor pod točko
  19. O b r a z l o ž i t e v: ZVOP-1 je sistemski zakon, ki ureja pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika oziroma posameznice pri obdelavi osebnih podatkov. Povedano pomeni, da ZVOP-1 poizkuša celostno sistemsko urediti področje varstva osebnih podatkov v navedenih primerih. Iz besedila omenjene določbe izhaja, da je varstvo osebnih podatkov del širšega področja varstva zasebnosti oziroma tako imenovane informacijske oziroma podatkovne zasebnosti, kar je drug naziv za varstvo osebnih podatkov. Osebni podatek po določbah ZVOP-1 pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. ZVOP-1 v prvem odstavku
  20. člena določa pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju. Tako določa, da se lahko osebni podatki v zasebnem sektorju obdelujejo le, če tako določa zakon ali je posameznik v to privolil, v drugem odstavku tega člena pa zakon vendarle dopušča obdelavo osebnih podatkov posameznikov v primeru, če so z zasebnim sektorjem sklenili pogodbo ali so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj, za sklenitev ali izpolnjevanje pogodbe. Tretji odstavek istega člena nadalje določa, da se ne glede na prvi odstavek tega člena lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno potrebno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. V
  21. členu pa ZVOP-1 opredeljuje obdelavo občutljivih osebnih podatkov. Občutljivi osebni podatki so podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške; občutljivi osebni podatki so tudi biometrične značilnosti, če je z njihovo uporabo mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin. Občutljivi osebni podatki se lahko med drugim obdelujejo, če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna, v javnem sektorju pa tudi določena z zakonom, in če je obdelava potrebna zaradi izpolnjevanja obveznosti in posebnih pravic upravljavca osebnih podatkov na področju zaposlovanja v skladu z zakonom, ki določa tudi ustrezna jamstva pravic posameznika.
  22. Novela ZVOP-1A je prinesla razbremenitev manjših upravljavcev osebnih podatkov v zasebnem sektorju, saj določba novega
  23. odst.
  24. člena ZVOP-1, ki določa, da upravljavcem osebnih podatkov z manj kot 50 zaposlenimi ni treba izpolniti obveznosti iz
  25. odst.
  26. člena ZVOP-1 in obveznosti iz
  27. in
  28. člena ZVOP-
  29. Tako obsežno oprostitev omejuje določba
  30. odst.
  31. člena ZVOP-1 (prav tako uvedena z novim ZVOP-1A), ki določa, ki določa da se izjeme iz prejšnjega odstavka ne uporabljajo za zbirke osebnih podatkov, ki jih vodijo: - upravljavci osebnih podatkov iz javnega sektorja, - notarji, - odvetniki, - detektivi, - izvršitelji, - izvajalci zasebnega varovanja, - zasebni zdravstveni delavci, - izvajalci zdravstvenih storitev ter - za upravljavce osebnih podatkov, ki vodijo zbirke, ki vsebujejo občutljive osebne podatke in je obdelava občutljivih osebnih podatkov del njihove registrirane dejavnosti. V skladu z navedeno spremembo so torej vsi upravljavci osebnih podatkov, ki imajo manj kot 50 zaposlenih delavcev, oproščeni vzpostavitve katalogov zbirk osebnih podatkov in posredovanja teh katalogov Informacijskemu pooblaščencu, prav tako pa jim ni treba sprejeti Pravilnika o zavarovanju osebnih podatkov. Taka oprostitev pa ne velja za upravljavce, ki spadajo v javni sektor, za upravljavce, ki opravljajo katerega od v
  32. odst.
  33. člena ZVOP-1 naštetih poklicev, pa tudi za vse upravljavce, ki vodijo zbirke v katerih se nahajajo tudi občutljivi osebni podatki. V vašem primeru boste kot obdelovalec podatkov, povezanih z zaposlovanjem, po vse verjetnosti obdelovali tudi občutljive osebne podatke, s čemer obveznost vzpostavitve in prijave katalogov zbirk in sprejem Pravilnika o zavarovanju osebnih podatkov velja tudi za vas.
  34. Akti za zavarovanje so pravilnik za zavarovanje osebnih podatkov in organizacijski predpisi, ki lahko še podrobneje določajo izvedbo varovanja posameznih podatkov. V notranjih aktih obdelovalcev osebnih podatkov predpisani organizacijski, tehnični in logično-tehnični postopki in ukrepi za zavarovanje osebnih podatkov morajo v prvi vrsti preprečiti nepooblaščeno obdelavo osebnih podatkov, poleg tega pa morajo preprečiti tudi slučajno ali namerno nepooblaščeno uničevanje podatkov ter njihovo spremembo ali izgubo. Da bi to dosegli, je potrebno v notranjih aktih predpisati, kako se: - varujejo prostori, oprema in sistemska programska oprema, vključno z vzhodno-izhodnimi enotami; - varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki; - preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih; - zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov; - omogoča poznejše ugotavljanje, kdaj so bili posamezni podatki vnešeni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. V zvezi z zgoraj navedenim je potrebno opozoriti, da ni dovolj, da se postopki in ukrepi za zavarovanje osebnih podatkov zgolj predpišejo v notranjih aktih upravljavcev osebnih podatkov, ampak je potrebno poleg tega tudi zagotoviti, da se bodo predpisani postopki in ukrepi tudi dejansko izvajali. Da bi to dosegli, je potrebno z akti, ki predpisujejo postopke in ukrepe za zavarovanje osebnih podatkov, seznaniti vse zaposlene, poleg tega pa morajo obdelovalci osebnih podatkov skladno z določbami
  35. člena ZVOP-1 določiti tudi osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki zaradi narave njihovega dela lahko obdelujejo določene osebne podatke. Navedeno pomeni, da morajo upravljavci osebnih podatkov poleg aktov, ki predpisujejo postopke in ukrepe za zavarovanje osebnih podatkov, voditi tudi ažuren seznam, iz katerega bo za vsako zbirko osebnih podatkov jasno razvidno, katera oseba je odgovorna za posamezno zbirko osebnih podatkov ter katere osebe lahko zaradi narave svojega dela obdelujejo osebne podatke, ki se nanašajo na posamezno zbirko osebnih podatkov. Primer pravilnika za zavarovanje osebnih podatkov najdete tudi na spletni strani Informacijskega pooblaščenca.
  36. ZVOP-1 ne predpisuje posebej, kdaj mora upravljavec osebnih podatkov sprejeti pravilnik o zavarovanju osebnih podatkov. V
  37. in
  38. členu ZVOP-1 predpisuje obveznosti upravljavca za zavarovanje osebnih podatkov, med katere sodi tudi sprejem aktov s predpisanimi postopki in ukrepi za zavarovanje osebnih podatkov. Omenjeni akti so osnova za zakonito obdelavo osebnih podatkov, zato morajo biti sprejeti pred začetkom obdelave osebnih podatkov. V nasprotju s tem pa glede kataloga zbirke osebnih podatkov ZVOP-1 v
  39. členu natančno določa, da mora upravljavec osebnih podatkov vzpostaviti katalog zbirke osebnih podatkov in državnemu nadzornemu organu posredovati zahtevane podatke (iz
  40. člena ZVOP-1) najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov.
  41. ZVOP-1 v
  42. členu določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
  43. člena tega zakona. Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
  44. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
  45. člena tega zakona. V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon. V primeru prenehanja pogodbenega obdelovalca se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov.
  46. Novela ZVOP-1A je prinesla razbremenitev manjših upravljavcev osebnih podatkov v zasebnem sektorju, saj določba novega
  47. odst.
  48. člena ZVOP-1, ki določa, da upravljavcem osebnih podatkov z manj kot 50 zaposlenimi ni treba izpolniti obveznosti iz
  49. odst.
  50. člena ZVOP-1 in obveznosti iz
  51. in
  52. člena ZVOP-
  53. Oprostitev ne velja za izjeme, navedene v
  54. odst.
  55. člena ZVOP-1 (navedene tudi v odgovoru na vaše prvo vprašanje). Zasebnemu podjetju s 45 zaposlenimi, ki se ukvarja s proizvodnjo plastike, tako ni potrebno vzpostaviti katalogov zbirk in sprejeti aktov za zavarovanje osebnih podatkov, če ne obdeluje občutljivih osebnih podatkov. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav. Pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.