← Slovenija

Pravna podlaga za obdelavo osebnih podatkov in nastanek zbirke osebnih podatkov - IPRS

Pravna podlaga za obdelavo osebnih podatkov in nastanek zbirke osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 26.03.2007 Številka: 0712-134/2007/2 Kategorije:Register zbirk osebnih podatkov --> Kategorije: Register zbirk osebnih podatkov Spoštovani,prejeli smo vaše elektronsko vprašanje.
  3. Spraševali ste nas ali je pravna podlaga za obdelovanje osebnih podatkov, ki jo navede pri izdelavi kataloga kupcev prodajalec avtomobilov kupoprodajna pogodba med njima, ali pa mora prodajalec dati kupcu v podpis izjavo, s katero mu slednji dovoljuje uporabo njegovih osebnih podatkov.
  4. Zanima vas tudi pravna podlaga za obdelavo osebnih podatkov, če nekomu pošljete ponudbo za izdelavo omare ali mu izdate račun, pri čemer vam ta oseba posreduje svoje ime, priimek, telefonsko številko, elektronski naslov…
  5. Zanima vas ali lahko vse osebne podatke, ki jih zbirate o zaposlenih delavcih združite v en katalog ali morate izdelati več katalogov.
  6. Pravite, da imate dva študenta oziroma vajenca, ki pri vas občasno opravljata delo/prakso in, ki sta k vam napotena s strani študentskega servisa oziroma izobraževalne ustanove. Sprašujete nas ali morate tudi za njih imeti katalog študentov/vajencev.
  7. Zanima vas kako naj spoštujete zakonske določbe glede posredovanja katalogov zbirk osebnih podatkov, ki naj bi jih Informacijskemu pooblaščencu posredovali 15 dni pred vzpostavitvijo zbirke osebnih podatkov, če pa gre v glavnem za zbirke, ki jih imate vzpostavljene že dlje časa.
  8. Spraševali ste nas tudi, ali vam mora frizerka, če od nje zahtevate, da na račun napiše vaše ime in priimek dati v podpis tudi privolitev za tako zbiranje podatkov, saj po vaše druge pravne podlage nima. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  9. točke prvega odstavka
  10. člen ZVOP-1 ter
  11. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje. Splošni pojmi ZVOP-1Osebni podatek je v skladu z
  12. tč.
  13. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Zbirka osebnih podatkov je v skladu z
  14. tč.
  15. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Upravljavec osebnih podatkov je v skladu z
  16. tč.
  17. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Ad.1, 2, 6Splošna pravna podlaga za dopustno obdelavo osebnih podatkov je navedena v
  18. odstavku
  19. člena ZVOP-1 in določa, da se ti podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Naslednji odstavek istega člena določa, da mora biti namen obdelave določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju (kamor spadajo tudi upravljavci, ki jih navajate v vašem dopisu) so določene v
  20. čl. ZVOP-1, ki določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (
  21. odst.). Ne glede na prejšnji odstavek se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (
  22. odst.).Ob tem velja opozoriti tudi na
  23. člen ZVOP-1, ki ureja eno izmed temeljnih načel varstva osebnih podatkov t.j. načelo namembnosti ali načelo namenskosti in določa, da se osebni podatki lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače. V skladu s povedanim, je po mnenju Pooblaščenca v zvezi s pravno podlago za obdelavo osebnih podatkov, ki jih od kupcev avtomobilov zbira prodajalec zaradi izvajanja kupoprodajne pogodbe oziroma jih mizarju posredujejo stranke za namen izdelave ponudbe in izdajanja računov treba uporabiti
  24. odst.
  25. člena ZVOP-1, saj gre za obdelavo osebnih podatkov posameznikov, ki so z zasebnim sektorjem sklenili pogodbo oziroma so na podlagi lastne pobude z njim v fazi pogajanj za sklenitev pogodbe. Sklenjena pogodba oziroma dejstvo, da sta v fazi pogajanj s posameznikom torej dajeta prodajalcu avtomobilov in mizarju pravno podlago za obdelavo podatkov o kupcih avtomobilov oz. naročnikih mizarskih storitev, pri čemer pa mora biti taka obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Slednje pomeni, da pogodba oziroma predhodna faza pogajaj dajeta pravno podlago za obdelavo tistih osebnih podatkov, ki so potrebni, nujni in po obsegu primerni (torej ne pretirani oziroma čezmerni) za izpolnjevanje pogodbenih obveznosti ali za uveljavljanje pravic iz pogodbenega razmerja. Upravljavca lahko tako zbrane podatke tudi uporabljata izključno za izpolnjevanje pogodbenih obveznosti ali za uveljavljanje pravic iz pogodbenega razmerja.Povedano velja tudi za vašo frizerko, ki vam v opisanem primeru ni dolžna dajati v podpis privolitve za zbiranje vaših osebnih podatkov. Iz vašega dopisa namreč izhaja, da frizerka od vas sploh ni zahtevala nobenih osebnih podatkov, ampak ste sami od nje zahtevali naj na izdanem računu navede tudi vaše osebne podatke. V taki zahtevi je vsebovana tudi vaša privolitev v obdelavo osebnih podatkov s strani frizerke, seveda le za namen za katerega ste ji omenjene podatke posredovali.Ad.3Katalog in register zbirk urejajo členi
  26. do
  27. ZVOP-
  28. Vsebina kataloga je določena v
  29. členu ZVOP-
  30. V skladu s
  31. odst.
  32. člena ZVOP-1 mora upravljavec osebnih podatkov za vsako zbirko osebnih podatkov vzpostavi katalog zbirke osebnih podatkov, ki vsebuje:
  33. naziv zbirke osebnih podatkov;
  34. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko);
  35. pravno podlago za obdelavo osebnih podatkov;
  36. kategorije posameznikov, na katere se nanašajo osebni podatki;
  37. vrste osebnih podatkov v zbirki osebnih podatkov;
  38. namen obdelave;
  39. rok hrambe osebnih podatkov;
  40. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev;
  41. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov;
  42. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa;
  43. splošen opis zavarovanja osebnih podatkov;
  44. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig;
  45. podatke o zastopniku iz tretjega odstavka
  46. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).V skladu s citirano določbo morate torej kot upravljavec osebnih podatkov za vsako zbirko osebnih podatkov vzpostaviti katalog zbirke, zato ni možno vzpostaviti enega kataloga za več zbirk. V praksi to pomeni, da za vsako zbirko osebnih podatkov izpolnite obrazec, ki ga najdete na naši spletni strani http://www.ip-rs.si/index.php?id=450 , ga natisnete, ter ga podpisanega in žigosanega pošljete Pooblaščencu še po pošti.Ker ste nas spraševali, ali lahko osebne podatke, ki jih kot delodajalec vodite o delavcih združite v en katalog, Pooblaščenec opozarja, da zbirke osebnih podatkov, ki se vodijo na področju dela in socialne varnosti določa Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/2006, v nadaljevanju ZEPDSV) v
  47. členu. ZEPDSV v tretjem poglavju ureja evidence, ki jih vodijo delodajalci. V skladu z
  48. členom ZEPDSV delodajalci vodijo naslednje evidence: - evidenco o zaposlenih delavcih, - evidenco o stroških dela, - evidenco o izrabi delovnega časa, - evidenco o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu. Delodajalcu torej že ZEPDSV nalaga vodenje štirih zbirk osebnih podatkov o zaposlenih, določa pa tudi vsebino teh zbirk. Delodajalec mora za vsako od teh zbirk osebnih podatkov vzpostaviti katalog zbirke t.j. ustrezno opisati vsako zbirko osebnih podatkov katere upravljavec je, kar pomeni, da boste kot delodajalec vzpostavili katalog evidence o zaposlenih delavcih, katalog evidence o stroških dela, katalog evidence o izrabi delovnega časa in katalog evidence o oblikah reševanja kolektivnih delovnih sporov pri delodajalcu. Povedano velja tudi za vse druge zbirke osebnih podatkov, ki jih delodajalec vodi na podlagi področnih zakonov ali na kakšni drugi pravni podlagi, in za katere mora ravno tako vzpostaviti kataloge zbirk osebnih podatkov za vsako zbirko posebej.Ad. 4Ker pri obdelavi osebnih podatkov študentov, ki za vas opravljajo delo preko študentskega servisa in osebnih podatkov vajencev, ki pri vas opravljajo delovno prakso, nastane zbirka osebnih podatkov v smislu
  49. tč.
  50. člena ZVOP-1, morate tudi za ti dve zbirki vzpostaviti katalog zbirke osebnih podatkov in ju posredovati Informacijskemu pooblaščencu.Ad. 5Upravljavci osebnih podatkov so morali že na podlagi
  51. člena starega Zakona o varstvu osebnih podatkov (Uradni list RS, št. 59/99, v nadaljevanju ZVOP), ki je veljal do
  53. 2004, pristojnemu organu (takrat Ministrstvo za pravosodje) posredovati podatke iz 1., 2.,
  54. in
  55. točke svojih katalogov zbirk osebnih podatkov (glej zgoraj pri Ad. 3). Zaradi potrebe po uskladitvi področja varstva osebnih podatkov z določbami
  56. do
  57. člena Direktive 95/46/ES je ZVOP-1 v svojem
  58. členu določil, da morajo upravljavci osebnih podatkov nadzornemu organu za varstvo osebnih podatkov posredovati podatke iz 1., 2., 4., 5., 6., 9., 10., 11.,
  59. in
  60. točke katalogov zbirk osebnih podatkov. ZVOP-1 je zaradi takšne uskladitve v svojih prehodnih določbah določil rok, do katerega morajo tisti upravljavci osebnih podatkov, ki so pristojnemu organu že posredovali podatke iz 1., 2.,
  61. in
  62. točke svojih katalogov zbirk osebnih podatkov, pristojnemu nadzornemu organu posredovati vse podatke iz
  63. člena ZVOP-
  64. V
  65. členu ZVOP-1 je tako določeno, da morajo to storiti v enem letu po uveljavitvi podzakonskega predpisa – Pravilnika o metodologiji vodenja registra zbirk osebnih podatkov. Ta pravilnik je začel veljati
  67. 2005, kar pomeni, da so morali tisti upravljavci osebnih podatkov, ki so pristojnemu organu za namene vodenja registra zbirk osebnih podatkov že posredovali podatke iz 1., 2.,
  68. in
  69. točke svojih katalogov zbirk osebnih podatkov, do
  71. 2006 nadzornemu organu posredovati še podatke iz 6., 9., 10., 11.,
  72. in
  73. točke svojih katalogov zbirk osebnih podatkov. Rok
  75. 2006 je torej veljal le za tiste upravljavce osebnih podatkov, ki so za namene vodenja registra zbirk osebnih podatkov pristojnemu organu podatke posredovali še po starem zakonu, sicer pa velja, da je treba podatke iz kataloga zbirk osebnih podatkov posredovati nadzornemu organu 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Že v
  76. tč.
  77. odst.
  78. člena ZVOP je bilo neposredovanje podatkov za potrebe kataloga zbirk osebnih podatkov iz
  79. člena ZVOP s strani upravljavca določeno kot prekršek. ZVOP-1 pa v
  80. točki
  81. odstavka
  82. člena določa, da se z globo od 4172,93 EUR do 12.518,78 EUR kaznuje za prekršek pravna oseba ali samostojni podjetnik posameznik, če ne posreduje podatkov za potrebe registra zbirk osebnih podatkov, odgovorna oseba pravne osebe ali samostojnega podjetnika pa se v skladu z
  83. odst. istega člena za ta prekršek kaznuje z globo od 834,59 EUR do 2086,46 EUR. V skladu s povedanim Pooblaščenec poudarja, da ste bili kot upravljavec osebnih podatkov dolžni določene podatke o svojih zbirkah osebnih podatkov, ki so bile vzpostavljene po
  85. 1999, ko je začel veljati ZVOP, v skladu s
  86. členom takratnega zakona, posredovati nadzornemu organu, ter kasneje podatke ustrezno dopolniti v skladu z ZVOP-
  87. Glede podatkov o tistih zbirkah osebnih podatkov, ki ste jih vzpostavili pred dnevom uveljavitve ZVOP obveznost posredovanja seveda ni mogla nastati pred vzpostavitvijo takih zbirk kot to velja za zbirke vzpostavljene po uveljavitvi ZVOP, saj takrat zakona, ki bi upravljavcem nalagal tako obveznost še ni bilo. Ker zakon lahko ureja razmerja in nalaga obveznosti le za naprej, je treba določbo
  88. odst.
  89. člena ZVOP razumeti tako, da je obveznost posredovanja podatkov o zbirkah osebnih podatkov, ki so bile ob uveljavitvi zakona že vzpostavljene nastala z dnem začetka veljavnosti ZVOP. V skladu s povedanim morate Informacijskemu pooblaščencu nemudoma posredovati podatke iz
  90. odst.
  91. člena za vse zbirke osebnih podatkov, ki jih že imate vzpostavljene, saj ste sicer lahko kaznovani zaradi zgoraj omenjenega prekrška iz
  92. člena ZVOP-
  93. Za zbirke osebnih podatkov, ki pa jih boste morebiti še vzpostavili ter pri vnosu nove vrste osebnih podatkov v že obstoječe zbirke, pa morate omenjene podatke v skladu s
  94. odst.
  95. člena posredovati najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.