← Slovenija

OP, notranja revizija - IPRS

OP, notranja revizija + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 16.05.2017 Številka: 0712-1/2017/1043 Kategorije:Delovna razmerja, Pogodbena obdelava OP, Razno, Šolstvo --> Kategorije: Razno, Šolstvo, Pogodbena obdelava OP, Delovna razmerja Spoštovani! Informacijski pooblaščenec (v nadaljevanju: IP) je
  4. 2017 prejel vaše elektronsko sporočilo, iz katerega izhaja, da je občina izbrala izvajalca za izvedbo redne notranje revizije poslovanja javnega zavoda osnovne šole, katere ravnateljica ste. Predmet revizije zajema pregled ocenjevanja in napredovanja javnih uslužbencev ter varstvo osebnih podatkov. Revizijska hiša tako želi, da ji pošljete seznam in osebne podatke vseh zaposlenih po elektronski pošti in v ta namen so vam posredovali preglednico, ki zajema ime in priimek, datum zaposlitve, šifra in ime delovnega mesta, izhodiščni plačni razred, dosežen plačni razred, delež zaposlitve, ocena delovne uspešnosti za leto 2008 in 2009 in vse ocene do leta 2015, datum zadnjega napredovanja v plačni razred, invalid, krajši delovni čas in nadomeščanje na porodniškem dopustu. Revizijska hiša vam je tudi pisala, da bo treba pred njenim prihodom podpisati pogodbo o varovanju osebnih podatkov na podlagi
  5. člena ZVOP-1, ki naj bi jo po njihovih zahtevah pripravila šola. V zvezi z navedenim prosite za mnenje: - Kaj vse lahko notranji revizor zahteva od zavoda v skladu z metodologijo in pristojnostmi notranjih revizorjev? - Ali je ustvarjanje take baze podatkov za potrebe notranje revizije sploh potrebno glede na dejstvo, da ima šola bazo podatkov o zaposlenih, ki jo lahko za potrebe revizije pogledajo na sedežu šole? - Ali notranji revizor lahko odnese baze z osebnimi podatki izven sedeža organizacije o zaposlenih in pod kakšnimi pogoji; - Ali je to sploh upravičeno glede na namene notranje revizije?. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
  6. točke prvega odstavka
  7. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 - uradno prečiščeno besedilo; v nadaljevanju ZVOP-1) ter
  8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Zunanji izvajalec notranje revizije mora imeti za zakonito izvedbo notranje revizije in s tem tudi za zakonito obdelavo osebnih podatkov sklenjeno pogodbo z javnim zavodom o izvedbi notranje revizije. Osebni podatki se lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače (
  9. člen ZVOP-1). O obsegu podatkov, ki so potrebni za namene notranje revizije je treba odločati od primera do primera upoštevajoč obseg revizije. Pri komunikaciji preko elektronske pošte je zaradi možnosti zlorab in nepooblaščenega dostopa potrebna pri obdelavi osebnih podatkov posebna skrbnost, še posebej pri posredovanje občutljivih osebnih podatkov preko telekomunikacijskih omrežij, za katere je določeno v ZVOP-1 posebno varstvo. Konkretne presoje primera IP izven inšpekcijskega postopka v nobenem primeru ne more narediti.
  10. Splošno o podlagah za obdelavo osebnih podatkov Krovni zakon, ki določa pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov, je ZVOP-
  11. Na podlagi ZVOP-1 je osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. ZVOP-1 nadalje v prvem odstavku
  12. člena določa, da se lahko osebni podatki obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Namen obdelave osebnih podatkov mora biti na podlagi drugega odstavka
  13. člena ZVOP-1 določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravno podlago za obdelavo osebnih podatkov v javnem sektorju, kamor uvrščamo tudi javne zavode, ureja ZVOP-1 v določbah člena 9, ki določa: »

(1)Osebni podatki v javnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.
(2)Nosilci javnih pooblastil lahko obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil.
(3)Ne glede na prvi odstavek tega člena se lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.
(4)Ne glede na prvi odstavek tega člena se lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.«. Obdelavo občutljivih osebnih podatkov pa ureja ZVOP-1 v
  1. členu, nadalje v
  2. členu pa določa njihovo posebno varstvo. Občutljivi osebni podatki morajo biti pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih, razen v primeru iz
  3. točke
  4. člena tega zakona, pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij pa se šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Ob tem IP opozarja na načelo sorazmernosti iz
  5. člena ZVOP-1, ki pomeni, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti.
  6. Podlaga za obdelavo osebnih podatkov v obravnavanem primeru V obravnavanem primeru gre nedvomno za vprašanje obdelave osebnih podatkov, tudi občutljivih osebnih podatkov (npr. podatki o invalidnosti). Zakonsko podlago po prvem odstavku
  7. člena ZVOP-1 predstavlja v obravnavanem primeru Zakon o javnih financah (Uradni list RS, št. 11/11 – uradno prečiščeno besedilo, 14/13 – popr., 101/13, 55/15 – ZFisP in 96/15 – ZIPRS1617; v nadaljevanju: ZJU). Notranji nadzor javnih financ pri neposrednih in posrednih proračunskih uporabnikih ureja ZJU v členu
  8. Prvi odstavek
  9. člena ZJU tako določa, da je predstojnik neposrednega in posrednega uporabnika odgovoren za vzpostavitev in delovanje ustreznega sistema finančnega poslovodenja in kontrol ter notranjega revidiranja. Notranje revidiranje izvajajo notranji revizorji v skladu s kodeksom poklicne etike notranjih revizorjev ter s standardi notranjega revidiranja, ki jih izda minister, pristojen za finance na podlagi prehodnega mnenja računskega sodišča (četrti odstavek
  10. člena ZJU). Notranji revizor mora biti pri svojem delu samostojen in neodvisen, predvsem pri pripravi predlogov revizijskih načrtov, izbiri revizijskih metod, poročanju, dajanju priporočil ter spremljanju njihovega izvajanja, pri opravljanju revizij pa mora imeti notranji revizor prost dostop do prostorov, dokumentov in oseb, povezanih z revizijo (peti odstavek
  11. člena ZJU). Predlagatelji finančnih načrtov iz drugega odstavka
  12. člena tega zakona morajo organizirati skupne notranje revizijske službe za svoje potrebe in organe iz njihove pristojnosti, občine ter ostali neposredni in posredni uporabniki državnega in občinskih proračunov, ki zaradi gospodarnosti poslovanja ne organizirajo notranje revizijske službe, lahko te naloge poverijo zunanjim izvajalcem pooblaščenim za notranje revidiranje, ki morajo te naloge opravljati skladno s predpisanimi standardi, ali pa ministrstvu, pristojnemu za finance (sedmi odstavek
  13. člena ZJU). Kot izhaja iz vaših navedb, je za notranjo revizijo v obravnavanem primeru pristojna revizijska hiša, torej gre za zunanjega izvajalca, pooblaščenega za notranje revidiranje. V kolikor gre za zunanje strokovne izvajalce, morajo ti imeti za zakonito izvedbo notranje revizije in s tem tudi za zakonito obdelavo osebnih podatkov sklenjeno pogodbo z javnim zavodom o izvedbi notranje revizije. Medsebojne pravice in obveznosti se torej uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
  14. člena ZVOP-
  15. Pri tem je ključnega pomena, da lahko pogodbeni obdelovalci opravljajo storitve obdelave osebnih podatkov samo v okviru pooblastil, ki morajo biti s tovrstno pogodbo natančno določena in da podatkov ne smejo obdelovati ali drugače uporabljati za noben drug namen. V obravnavanem primeru je relevanten še Zakon o revidiranju (Uradni list RS, št. 65/08 in 63/13 – ZS-K), ki ureja dolžnost varovanja zaupnih podatkov v
  16. členu, in sicer v prvem odstavku določa, da mora revizijska hiša kot zaupne varovati vse podatke (tudi osebne podatke), dejstva in okoliščine, za katere je izvedela pri opravljanju revidiranja. Glede na to, da gre v obravnavanem primeru za vprašanje obdelave osebnih podatkov javnih uslužbencev, IP navaja še določbe
  17. alineje tretjega odstavka
  18. člena Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, 117/06 – ZDavP2, 23/14, 50/14, 19/15 – Odl. US in 102/15; v nadaljevanju: ZDIJZ) in
  19. člena Zakona o sistemu plač v javnem sektorju (Uradni list RS, št. 108/09 – uradno prečiščeno besedilo, 13/10, 59/10, 85/10, 107/10, 35/11 – ORZSPJS49a, 27/12 – Odl. US, 40/12 – ZUJF, 46/13, 25/14 – ZFU, 50/14, 95/14 – ZUPPJS15 in 82/15; v nadaljevanju: ZSPJS). V skladu z navedeno določbo ZDIJZ so podatki o porabi javnih sredstev ali podatki, povezani z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, absolutno javno dostopni, razen v primerih, ki jih določa ZDIJZ, ter v primerih, ko zakon, ki ureja javne finance, ali zakon, ki ureja javna določa, določata drugače. ZSPJS pa v prvem odstavku
  20. člena določa, da so plače v javnem sektorju javne, pri čemer so javnosti dostopni podatki o delovnem mestu, nazivu ali funkciji, o osnovnih plačah, o dodatkih ter delu plače za delovno uspešnost, razen dodatka za delovno dobo, kar v skladu s petim odstavkom istega člena ne velja za podatke o plačah javnih uslužbencev v obveščevalnih in varnostnih službah. Ne glede na določbo prvega odstavka predmetne določbe ZSPJS so javnosti po postopku, ki ga ureja ZDIJZ, dostopni individualni podatki o znesku celotne bruto plače vsakega javnega uslužbenca in vsakega funkcionarja brez zmanjšanja za morebitne odbitke iz naslova izvršbe, kreditov ali drugih osebnih obveznosti (drugi odstavek
  21. člena ZSPJS). Dostop do absolutno javnih podatkov ima tako vsakdo. Glede načina posredovanja osebnih podatkov IP pojasnjuje, da je pri posredovanju potrebno preprečiti nepooblaščeno obdelavo osebnih podatkov, pa tudi preprečiti slučajno ali namerno nepooblaščeno uničevanje podatkov ter njihovo spremembo ali izgubo. Razlika pri posredovanju je lahko že samo v tem, ali se osebni podatki obdelujejo ročno, ali pa s pomočjo sredstev za avtomatsko obdelavo podatkov. Postopki in ukrepi za zavarovanje podatkov so odvisni tudi od uporabljene strojne in programske opreme, pa od tega, komu in na kakšen način se podatki posredujejo. Na primer pri komunikaciji preko elektronske pošte je zaradi možnosti zlorab in nepooblaščenega dostopa, pri obdelavi osebnih podatkov potrebna posebna skrbnost, še posebej pri posredovanje občutljivih osebnih podatkov preko telekomunikacijskih omrežij, za katere je določeno v ZVOP-1 posebno varstvo. Pri posredovanju občutljivih osebnih podatkov mora tako delodajalec za zakonito posredovanje teh podatkov zadostiti pogojem iz drugega odstavka
  22. člena ZVOP-1, pri čemer mora biti dokument, ki se posreduje preko elektronske pošte, zavarovan tudi z geslom, ki se naslovniku sporoči po drugem mediju. Organizacijsko vprašanje, kako bo naročnik podatke dostavil izvajalcu notranje revizorje, pa je upoštevajoč zgoraj navedeno stvar dogovora med naročnikom in pogodbeno najetim notranjim revizorjem. IP je pri svojem delu že obravnaval primere glede obdelave osebnih podatkov v primeru notranje revizije. Predlagamo vam, da se z njimi seznanite. Priporočamo vam, da si v zvezi s tem preberete npr. mnenji št. 0712-398/2009/2 in 0712-2/2010/1097 [1] S spoštovanjem! Pripravila: Nataša Siter, univ.dipl.prav., svetovalka IP Informacijski pooblaščenec: Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [1] Dostopna preko našega spletnega iskalnika na povezavi: http://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/ O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.