Predlog spremembe ZVOP-1 v zvezi z obveznostjo posredovanja katalogov zbirk osebnih podatkov - IPRS

Predlog spremembe ZVOP-1 v zvezi z obveznostjo posredovanja katalogov zbirk osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.01.2007 Številka: 0712-354/2006/2 Kategorije:Register zbirk osebnih podatkov --> Kategorije: Register zbirk osebnih podatkov Spoštovani,prejeli smo vaš elektronski dopis.V njem Informacijskemu pooblaščencu predlagate, naj predlaga dopolnitev ZVOP-1, s katero bi odpravili obvezno prijavljanje tistih katalogov zbirk osebnih podatkov, ki jih upravljavec mora imeti na podlagi zakona. Kot primer navajate zbirke o zaposlenih in o stroških dela. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člen ZVOP-1 ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje. Pooblaščenec uvodoma podaja nekaj splošnih povzetkov ZVOP-1 za izdelavo kataloga zbirk osebnih podatkov in vnos v register.Osebni podatek je v skladu z 1. tč. 6. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Zbirka osebnih podatkov je v skladu z 5. tč. 6. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Katalog in register zbirk urejajo členi 26 do 28 ZVOP-1. Vsebina kataloga je določena v 26. členu ZVOP-1. V skladu s 1. odst. 26. člena ZVOP-1 mora upravljavec osebnih podatkov za vsako zbirko (torej tudi zbirko o vaših strankah, če so te – vsaj del zbirke – fizične osebe) osebnih podatkov vzpostavi katalog zbirke osebnih podatkov, ki vsebuje: 1. naziv zbirke osebnih podatkov; 2. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko); 3. pravno podlago za obdelavo osebnih podatkov; 4. kategorije posameznikov, na katere se nanašajo osebni podatki; 5. vrste osebnih podatkov v zbirki osebnih podatkov; 6. namen obdelave; 7. rok hrambe osebnih podatkov; 8. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev; 9. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov; 10. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa; 11. splošen opis zavarovanja osebnih podatkov; 12. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig; 13. podatke o zastopniku iz tretjega odstavka 5. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).1. odst. 27. člena določa, katere dele kataloga mora upravljavec osebnih podatkov sporočiti državnemu nadzornemu organu (Informacijskemu pooblaščencu). Zaradi boljše preglednosti so ti deli kataloga zgoraj poudarjeni. Te podatke mora upravljavec sporočiti najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Upravljavec mora Pooblaščencu v skladu z 2. odst. 27. člena sporočiti tudi spremembe podatkov in sicer najkasneje v osmih dneh od dneva spremembe.Upravljavčeva obveznost sporočanja omenjenih delov kataloga Informacijskemu pooblaščencu iz 27. člena ZVOP-1 je posledica potrebe po uskladitvi področja varstva osebnih podatkov z določbami 18. do 21. člena Direktive 95/46/ES (v nadaljevanju: Direktiva). 18. člen Direktive, ki ureja obveznost uradnega obveščanja nadzornega organa, namreč obvezuje Republiko Slovenijo, da v svoji zakonodaji določi, da mora upravljavec uradno obvestiti nadzorni organ pred začetkom izvajanja popolnoma ali delno avtomatskega postopka obdelave. Vsebina uradnega obveščanja je predvidena v 19. členu Direktive, ki pravi, da države članice določijo informacije, ki morajo biti v uradnem obvestilu. To vključuje vsaj: (

1. a)osebno ime in naslov upravljavca in njegovega predstavnika, če ta obstaja; (
2. b)namen ali namene obdelave; (
3. c)opis kategorije ali kategorij posameznika, na katerega se osebni podatki nanašajo, in podatkov ali kategorij podatkov, ki se nanje nanašajo; (
4. d)prejemnike ali kategorije prejemnika, ki bi se jim podatki lahko posredovali; (
5. e)predlagane prenose podatkov v tretje države; (
6. f)splošni opis, ki omogoča oblikovanje predhodne ocene ustreznosti ukrepov, sprejetih v skladu s členom 17, da bi zagotovili varnost obdelave. Izjeme od uradnega obveščanja nadzornega organa lahko predvidijo posamezne države članice v svojih zakonih, samo v primerih in pod pogoji, ki so določeni v 2. odstavku 18. člena Direktive, nekatere izjeme, ki jih država članica lahko določi pa so predvidene še v 3. in 4. odstavku istega člena. Vendar pa, po mnenju Pooblaščenca, nobena od teh izjem Republiki Sloveniji ne omogoča, da bi v svoji zakonodaji predvidela, da uradno obveščanje nadzornega organa ni potrebno glede vseh tistih zbirk, ki jih upravljavec obdeluje na podlagi zakona. Po mnenju Informacijskega pooblaščenca bi bila taka ureditev tudi v nasprotju z namenom samega obveščanja nadzornega organa kot ga razumeta Direktiva in ZVOP-1. Podatki, ki jih iz svojih katalogov zbirk osebnih podatkov Informacijskemu pooblaščencu posredujejo posamezni upravljavci osebnih podatkov, se namreč na podlagi 28. člena ZVOP-1 objavijo v registru zbirk osebnih podatkov, ki ga vodi Informacijski pooblaščenec. Poglavitni namen registra zbirk osebnih podatkov pa je v tem, da se lahko ne le Informacijski pooblaščenec, kot nadzorni organ za varstvo osebnih podatkov, pač pa predvsem vsakdo z vpogledom vanj na enostaven način seznani s tem, katere zbirke osebnih podatkov vodijo posamezni upravljavci osebnih podatkov v Republiki Sloveniji, ter pridobi osnovne podatke o posamezni zbirki osebnih podatkov. S spremenjeno določbo zakona, ki bi, kot predlagate, dolžnost obveščanja omejila samo na tiste zbirke osebnih podatkov, ki jih upravljavci ne vodijo na podlagi zakona, ampak na drugi pravni podlagi, po mnenju Pooblaščenca ne bi bilo več možno dosegati zgoraj navedenega namena registra zbirk osebnih podatkov. Posamezniku bi bila namreč s tako spremembo onemogočena enostavna in celovita seznanitev z zbirkami osebnih podatkov, ki jih (o njem) vodijo upravljavci, saj bi se z vpogledom v register lahko seznanil le z manjšim delom zbirk, ki jih upravljavci ne vodijo na podlagi zakona. Z vpogledom v register se posameznik npr. ne bi mogel seznaniti s tem, katere podatke o njem v zvezi z izvrševanjem svojih nalog nosilca javnih pooblastil obdeluje katerikoli upravljavec v javnem sektorju, saj je pravna podlaga za tako obdelavo, kot to določa 9. člen ZVOP-1, lahko načeloma samo zakon, zbirke, obdelovane na podlagi zakona pa bi bile po vašem predlogu, izvzete iz dolžnosti poročanja Informacijskemu pooblaščencu. Na podlagi povedanega Pooblaščenec zaključuje, da ZVOP-1 ni mogoče spremeniti v z vaše strani predlagani smeri, ne da bi odločilno posegli v možnost enostavne in celovite seznanitve posameznika z zbirkami osebnih podatkov, ki jih vodijo posamezni upravljavci in s tem v temeljni namen registra zbirk osebnih podatkov. S spoštovanjem,Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
7. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026