← Slovenija

Posredovanje zbirk osebnih podatkov Informacijskemu pooblaščencu, anonimiziranje baz, baza zdravnikov - IPRS

Posredovanje zbirk osebnih podatkov Informacijskemu pooblaščencu, anonimiziranje baz, baza zdravnikov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.09.2006 Številka: 0712-210/2006/2 Kategorije:Razno, Register zbirk osebnih podatkov --> Kategorije: Razno, Register zbirk osebnih podatkov Spoštovani,prejeli smo vaše elektronsko sporočilo, v katerem nas sprašujete:• ali je potrebno prijaviti zbirko, ki je sestavljena iz javno dostopnih telefonskih številk in ki jo uporabljate pri anketiranju? • ali prijaviti zbirko podatkov, ki vam jo za potrebe izvajanja projekta pošlje naročnik ankete? Kot navajate, ste vi uporabnik zbirke. • na kakšen način se baze anonimizirajo in za katere primere se to lahko uporablja? • ali je zdravnik fizična ali pravna oseba? • ali lahko uporabljate, prijavite in nadgrajujete bazo zdravnikov z njihovimi podatki?Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  3. točke prvega odstavka
  4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
  5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje.Osnovni pojmi ZVOP-1 Osebni podatek je v skladu s
  6. tč.
  7. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Posameznik je v skladu z
  8. tč.
  9. člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa.Obdelava osebnih podatkov v skladu s
  10. tč.
  11. člena ZVOP-1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).Upravljavec zbirk osebnih podatkov je v skladu s
  12. tč.
  13. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave.Uporabnik osebnih podatkov je v skladu z
  14. tč.
  15. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki.Pogodbeni obdelovalec je v skladu s
  16. tč.
  17. člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov.Načelo sorazmernosti je določeno v
  18. členu ZVOP-1 in določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo.Anonimiziranje je v skladu z
  19. tč.
  20. člena ZVOP-1 takšna sprememba oblike osebnih podatkov, da jih ni več mogoče povezati s posameznikom ali je to mogoče le z nesorazmerno velikimi napori, stroški ali porabo časa.Zbirka osebnih podatkov je v skladu s
  21. tč.
  22. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Katalog in register zbirk urejajo členi 26 do 28 ZVOP-
  23. Vsebina kataloga je določena v
  24. členu ZVOP-
  25. V skladu s
  26. odst.
  27. člena ZVOP-1 mora upravljavec osebnih podatkov za vsako zbirko (poudaril Pooblaščenec) osebnih podatkov vzpostavi katalog zbirke osebnih podatkov, ki vsebuje:
  28. naziv zbirke osebnih podatkov;
  29. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko);
  30. pravno podlago za obdelavo osebnih podatkov;
  31. kategorije posameznikov, na katere se nanašajo osebni podatki;
  32. vrste osebnih podatkov v zbirki osebnih podatkov;
  33. namen obdelave;
  34. rok hrambe osebnih podatkov;
  35. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev;
  36. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov;
  37. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa;
  38. splošen opis zavarovanja osebnih podatkov;
  39. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig;
  40. podatke o zastopniku iz tretjega odstavka
  41. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).
  42. odst.
  43. člena ZVOP-1 določa, da mora upravljavec osebnih podatkov skrbeti za točnost in ažurnost kataloga.
  44. odst.
  45. člena določa, katere dele kataloga mora upravljavec osebnih podatkov sporočiti državnemu nadzornemu organu (Informacijskemu pooblaščencu). Zaradi boljše preglednosti so ti deli kataloga zgoraj poudarjeni. Te podatke mora upravljavec sporočiti najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Upravljavec mora Pooblaščencu v skladu z
  46. odst.
  47. člena sporočiti tudi spremembe podatkov, in sicer najkasneje v osmih dneh od dneva spremembe.Ad I Pri odgovoru na to vprašanje je potrebno uvodoma poudariti, da zbirke, ustvarjene iz telefonskega imenika, še ni potrebno prijavljati Informacijskemu pooblaščencu, saj javno objavljenih zbirk ni potrebno posebej prijavljati. Tipični primer je tako tudi telefonski imenik. Možnost pridobivanja osebnih podatkov za potrebe anketiranja omogoča
  48. odst.
  49. člena ZVOP-1, ki med drugim določa, da lahko upravljavec osebnih podatkov za potrebe neposrednega trženja uporablja osebne podatke posameznikov, ki jih je zbral iz javno dostopnih virov. V trenutku, ko ta objavljeni osebni podatek vpišete na anketni list, kjer so navedeni tudi drugi osebni podatki (npr. odgovori na vaša vprašanja), pa to pomeni, da je nastala nova zbirka. Tako je takšna zbirka podatkov tudi zbirka osebnih podatkov v smislu ZVOP-1 in jo je potrebno prijaviti Informacijskemu pooblaščencu.Če boste v skladu z vsem navedenim ugotovili, da ste ustvarili novo zbirko osebnih podatkov, morate takšno zbirko prijaviti v register zbirk Informacijskemu pooblaščencu, posameznikom pa omogočiti vse pravice, ki jim pripadajo na podlagi ZVOP-1 (obveščanje posameznika o obdelavi osebnih podatkov –
  50. člen, druge pravice posameznika – členi 30 in dalje, odjava oz. prepoved uporabe osebnih podatkov za namene neposrednega trženja,
  51. člen ZVOP-1).Seveda pa zgoraj zapisano ne pomeni, da osebnih podatkov v telefonskem imeniku ne smete uporabljati za potrebe anketiranja. Telefonske številke, ki so objavljene v telefonskem imeniku, na podlagi zgoraj navedenega
  52. člena ZVOP-1 še vedno lahko pokličete, vendar morate nato od posameznika pridobiti njegovo osebno privolitev za vključitev njegovih osebnih podatkov (glej definicijo osebnega podatka) v (novo) zbirko, sicer lahko podatke uporabite zgolj v anonimizirani obliki (torej brez osebnih podatkov). Ad II Tudi v tej točki bo najverjetneje potrebno na novo opredeliti razmerje med vami in vašim naročnikom. Kot izhaja iz vašega primera, vaša družba za naročnika izvaja anketiranje. To pa v skladu s
  53. tč.
  54. člena ZVOP-1 pomeni obdelavo osebnih podatkov. Kot torej izhaja iz podatkov, ki ste nam jih poslali, izvajate anketiranje v imenu in za račun naročnika. Vse navedeno pa izkazuje elemente pogodbene obdelave v smislu
  55. člena ZVOP-
  56. Ta v
  57. odst. določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
  58. člena tega zakona.V skladu z navedenim je razmerje med vašo družbo in naročnikom težko šteti zgolj kot "uporabo" osebnih podatkov, ampak bolj kot pogodbeno obdelavo. Zato morate, če tega še niste storili, z naročnikom urediti pogodbeno razmerje, kot to določa
  59. člena ZVOP-1.Pooblaščenec je v okviru odgovora na vaše vprašanje ugotavljal tudi, kakšen je namen
  60. in
  61. člena ZVOP-
  62. Meni, da želita navedeni zakonski določbi predvsem omogočiti posameznikom vpogled in lažjo seznanitev z njihovimi osebnimi podatki. Zakon torej centralizira seznam zbirk osebnih podatkov na enem mestu, to je registru. Posameznik tako s pomočjo kataloga in registra lahko ugotovi, kdo vodi posamezne zbirke in proti upravljavcu zbirk uveljavlja svoje pravice do seznanitve. Upravljavec zbirke osebnih podatkov je v konkretnem primeru pogodbene obdelave naročnik ankete, zato je tudi naročnik tisti, ki mora podatke iz katalogov zbirk osebnih podatkov sporočiti v register pri Pooblaščencu.Ad III Kot izhaja iz zgoraj navedene definicije anonimiziranja, se morajo osebni podatki "predelati" na takšen način, da se iz njih ne da več razbrati posameznika, ali pa je to mogoče le z nesorazmerno velikimi napori, stroški ali porabo časa.Klasični primer anonimiziranja je prekrivanje imen in priimkov in nato fotokopiranje takšnega dokumenta. Zgolj prekrivanje (npr. birokorektura s čopičem, "edigs") še ne omogoča anonimiziranja, saj se da belilo odstraniti. V računalniških sistemih je najpogostejši način izbris določenih del baz podatkov in čiščenje t. i. cache pomnilnika. Če je nek podatek anonimiziran, v skladu z definicijo osebnega podatka, ni več osebni podatek, zato za takšen podatek tudi ne veljajo določila ZVOP-
  63. Takšna ureditev lahko traja do trenutka, ko se takšen podatek ne začne ponovno povezovati z drugim podatkom, kar pa znova lahko povzroči identifikacijo posameznika. V skladu z vsem navedenim Pooblaščenec svetuje previdnost pri anonimiziranju (osebnih) podatkov. Kakšen konkretni način anonimiziranja boste uporabili, pa je odvisno od vaših namenov, predvsem pa od vrste (osebnega) podatka.Ad IV Pooblaščenec uvodoma poudarja, da je razmejitev med fizično in pravno osebo v nadaljevanju izdelano izključno za potrebe tega mnenja in glede na določila ZVOP-
  64. Splošna definicija pravne osebe v slovenski zakonodaji za potrebe določil ZVOP-1 ne obstaja. Zato je potrebno odgovor poiskati v pravni praksi, kjer je izraz pravna oseba splošno znan termin. Pavčnik (Teorija prava, Ljubljana 1997, str. 101), cit.: »Družbene tvorbe, ki so pravni subjekti, so bodisi združenja ljudi, bodisi najrazličnejši stvarni substrati, ki služijo določenemu namenu, ali pa druge enote, ki zajemajo tako ljudi kot stvarni substrat, ki omogoča, da ljudje opravljajo najrazličnejše dejavnosti. Tovrstne družbene tvorbe se imenujejo pravne osebe; kot take so pravni subjekti in so zato sposobne, da so nosilke pravic in dolžnosti v pravnih razmerjih.«V skladu z navedeno definicijo zdravnik sam po sebi ni pravna oseba, pač pa fizična oseba, ki opravlja nek poklic.V smislu ZVOP-1 pa je potrebno opozoriti tudi na to, da je zdravnik (lahko) javni uslužbenec v skladu s
  65. členom Zakona o javnih uslužbencih Uradni list RS, št. 32/06, uradno prečiščeno besedilo 2, v nadaljevanju ZJU), ki določa, da je javni uslužbenec posameznik, ki sklene delovno razmerje v javnem sektorju. Če je torej zdravnik javni uslužbenec, njegovi osebni podatki, ki so v povezavi z njegovim delovnim razmerjem, niso varovani osebni podatki, saj v tem primeru velja
  66. odst.
  67. člena Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06, uradno prečiščeno besedilo 2, v nadaljevanju ZDIJZ), ki določa, da se ne glede na določbe prvega odstavka dostop do zahtevane informacije dovoli, če gre za podatke o porabi javnih sredstev ali podatke, povezane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, razen v primerih iz
  68. in
  69. do
  70. točke prvega odstavka ter v primerih, ko zakon, ki ureja javne finance ali zakon, ki ureja javna naročila, določata drugače. Vse druge osebne podatke o zdravnikih, ki niso povezani z njegovim opravljanjem javnega uslužbenskega razmerja, lahko v zbirko torej vnašate le z osebno privolitvijo zdravnika posameznika. Ad V Če ste ustvarili zbirko podatkov o zdravnikih kot javnih uslužbencih, potem za to zbirko velja vse zapisano v prejšnji točki. V nasprotnem primeru, torej če ste zbrali podatke o zdravnikih kot fizičnih osebah, pa morate od njih pridobiti osebno privolitev. Za več informacij o varstvu osebnih podatkov vas vabimo tudi na spletno stran Pooblaščenca www.ip-rs.si. S spoštovanjem,Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.