Preizkus ustreznosti pravilnika o varovanju osebnih podatkov in katalogov zbirk osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.01.2007 Številka: 0712-513/2006/2 Kategorije:Razno --> Kategorije: Razno Spoštovani,Informacijski pooblaščenec je dne
- 2006 prejel vaše e-sporočilo, v katerem nas sprašujete:
- Ali obstaja organ ali institucija, kateremu lahko v pregled posreduješ pravilnik in ostale dokumente, ki si jih npr. kot s.p. sestavil in ki ti jamči, da pri morebitnem inšpekcijskem nadzoru ne bo ugotovljenih nepravilnosti?
- Na kakšen način odgovarjaš subjektu, ki si mu sestavil dokumente za VOP, katere si sicer sestavil v skladu z zakonom, inšpektor pa je vseeno ugotovil nepravilnosti oziroma pomanjkljivosti? Je npr. dovolj, da v pogodbi napišeš rok 8 dni za reklamacijo in se s tem ekskulpiraš nadaljnje odgovornosti?Ker lahko avtentično razlago posameznih določb relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 - ZInfP; v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05; v nadaljevanju ZInfP) posredujemo neobvezno mnenje v zvezi z vašimi vprašanji. Ad 1:ZVOP-1 ali kakršen koli drug predpis predhodnega preverjanja notranjih aktov upravljavcev osebnih podatkov iz
- in 26 člena ZVOP-1 (pravilnik, katalog zbirk osebnih podatkov, morebitne izjave o seznanjenosti zaposlenih z vsebino pravilnika, akti s katerimi so določene odgovorne osebe) in pogodb o obdelavi osebnih podatkov po
- členu ZVOP-1, ne predvideva. Na podlagi
- točke prvega odstavka
- člena ZVOP-1, je Informacijski pooblaščenec pristojen za izdajo neobvezujočih mnenj o splošnih obveznostih upravljavca glede ukrepov in postopkov za zavarovanje osebnih podatkov. Gre torej za splošna pojasnila o posameznih vprašanjih s področja varstva osebnih podatkov oziroma razlago predpisov s področja varstva osebnih podatkov glede na konkretni primer. Tudi Zakon o inšpekcijskem nadzoru (Ur. l. RS, št. 56/02) v
- členu med preventivnimi ukrepi inšpekcij določa zgolj dolžnost odgovarjanja inšpektorjev na pisna vprašanja posameznikov, podjetij in institucij, ki se nanašajo na delovanje inšpekcije. ZVOP-1 v
- členu ne določa natančne vsebine notranjega akta (pravilnika). Vendar lahko glede na zahtevo prvega odstavka, ki določa, da upravljavci osebnih podatkov »predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke«, in glede na uvrstitev
- člena v poglavje z naslovom »zavarovanje osebnih podatkov«, sklenemo, da je poudarek na organizacijskih, tehničnih in logično-tehničnih postopkih in ukrepih, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov. Pri tem se je potrebno zavedati, da je vsebina npr. internega pravilnika o ukrepih in postopkih za zavarovanje osebnih podatkov odvisna od konkretnih okoliščin pri upravljavcu osebnih podatkov npr. vrsta in obseg osebnih podatkov oziroma njihovih zbirk, organizacija delovnega procesa, število zaposlenih, tehnični pogoji dela, lastnosti poslovnih oziroma uradnih prostorov, vrsta dejavnosti, pogostnost obdelave osebnih podatkov in podobno. Zaradi tega je pravzaprav upravljavec osebnih podatkov tisti, ki najbolje ve, kako je posamezne organizacijske, tehnične in logično-tehnične postopke in ukrepe za zavarovanje osebnih podatkov potrebno prilagoditi specifičnosti obdelave podatkov na svojem področju. Na potrebo po »individualizaciji« vsebine pravilnika kaže tudi določba tretjega odstavka
- člena ZVOP-1, da »morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo«. Nenazadnje se je potrebno zavedati tudi dejstva, da je praktično nemogoče, da bi Informacijski pooblaščenec predhodno preverjal vse za pravilnik relevantne okoliščine pri posameznih upravljavcih – zavezancih, ki jih je v Republiki Sloveniji več deset tisoč. Na podlagi povedanega lahko zaključimo, da Informacijski pooblaščenec v nobenem primeru ne more formalno potrjevati pravilnosti vsebine notranjih aktov in s tem vnaprej izključiti odgovornost zavezanca za njihovo vsebino.Ad 2:Informacijski pooblaščenec je samostojen in neodvisen državni organ, ki ima zakonske pristojnosti izključno na področju varstva osebnih podatkov ter na področju uresničevanja pravice posameznikov do dostopa do informacij javnega značaja. Zato ugotavljamo, da se vaše vprašanje iz druge točke nanaša na področje obligacijskega prava, ki je izven omenjene pristojnosti. Vprašanja odgovornosti za napake za izdelek podjemnika na podlagi pogodbe o delu, so urejena v Obligacijskem zakoniku.Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026