Prijava prevar - IPRS

Prijava prevar + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.10.2011 Številka: 0712-1/2011/2746 Kategorije:Moderne tehnologije --> Kategorije: Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 7. 10. 2011 prejel vaš dopis, v katerem navajate, da implementirate aplikacijo, v katero bi preko spletne strani lahko tako zaposleni kot tudi vaše stranke prijavljali morebitne prevare. Obrazec bo imel možnost, da stranka odda prijavo anonimno ali pa ob prijavi navede svoje osebne podatke (ime, priimek ). Sistem (whistleblowing), preko katerega se bo vse odvijalo, bo upravljala družba iz tujine (članica EU). Družba iz tujine ne bo imela nikakršnega vpogleda v te podatke, celoten sistem pa je zaščiten skladno z mednarodnimi standardi. Zanima vas sledeče:1. Ali je potrebno, da ima sistem možnost, da oseba, ki oddaja prijavo prevare, soglaša z upravljanjem njenega imena in priimka? V kolikor bo oseba želela, da se jo o poteku postopka seznanja, se bo registrirala in dostopala do svojega računa z uporabniškim imenom in geslom in tam videla, v kateri fazi reševanja je njena prijava (ob registraciji ne bo potrebno oddati nobenih osebnih podatkov).2. Kako dolgo lahko hranite osebne podatke (če bo prijavitelj ob prijavi oddal ime in priimek) v tem sistemu?3. Ali obstajajo še kakršni koli drugi zakonski zadržki s področja varstva osebnih podatkov/zasebnosti, ki bi lahko kakor koli vplivali na implementacijo takšnega sistema.V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo; v nadaljevanju ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Pri izvajanju sistema je potrebno upoštevati določbe veljavne zakonodaje s področja varstva osebnih podatkov (določiti področja internega naznanjanja, določiti kršitve obveznosti pogodb o zaposlitvi, ki naj jih zaposleni in stranke naznanijo, upoštevati sorazmernost in morda določiti naznanjanje le za domnevne kršitve zaposlenih z večjimi pooblastili, prijaviti novo zbirko osebnih podatkov Informacijskemu pooblaščencu, skleniti pogodbo o pogodbeni obdelavi osebnih podatkov s partnerjem…). Ključno je, da je nujno na vseh ravneh takega sistema zagotavljati varstvo osebnih podatkov prijaviteljev ter tudi naznanjenih posameznikov. Pooblaščenec priporoča, da pri implementaciji upoštevate priporočila iz Mnenja 1/2006 Delovne skupine iz člena 29.Sistem prijavljanja kršitev mora biti zasnovan na privolitvi prijavitelja v obdelavo njegovih osebnih podatkov ter na seznanitvi naznanjenega, da se njegovi podatki obdelujejo.Podatki se lahko hranijo le dokler so potrebni za namen konkretnega postopka.Zahteve s področja varstva osebnih podatkov so podrobneje obrazložene v obrazložitvi.Obrazložitev: 1. UvodnoPooblaščenec uvodoma ugotavlja, da v Sloveniji (še) nimamo sprejetega zakona, ki bi opredeljeval področje notranjega naznanjanja nepravilnosti ali tako imenovanega »whistleblowinga«, zato je glede vprašanj, ki v zvezi s tem področjem zadevajo varstvo osebnih podatkov posameznika, potrebno upoštevati določbe ZVOP-1. Ker pa gre pri tem obenem za obdelavo osebnih podatkov zaposlenih, veljajo zanje tudi določbe Zakona o delovnih razmerjih (Uradni list RS, št. 42/02 – v nadaljevanju ZVOP-1), seveda pa tudi druga področna zakonodaja.Po določbah 8. člena ZVOP-1 se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Namen obdelave osebnih podatkov mora biti določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.46. člen ZDR glede varstva delavčevih osebnih podatkov določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Osebne podatke delavcev lahko zbira, obdeluje, uporablja in dostavlja tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti. Osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, se morajo takoj zbrisati in prenehati uporabljati. Določbe prejšnjih odstavkov se uporabljajo tudi za osebne podatke kandidatov.V skladu z navedenim bi bila obdelava osebnih podatkov za namen notranjega naznanjanja nepravilnosti dopustna le, v kolikor bi se podatki obdelovali zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Po mnenju Pooblaščenca bi moral upravljavec osebnih podatkov (podjetje) natančno opredeliti primere kršitev obveznosti iz pogodb o zaposlitvi, ki jih šteje za tako hude, da jih prek sistema notranjega nadzora sistematično spremlja/preganja (vsaka malenkostna kršitev obveznosti zaposlenega, kot npr. zamuda pri prihodu na delo, vrnitvi z malice, minimalna zamuda rokov za vodenje postopkov ipd. še ne predstavlja razloga za naznanitev in z njo povezano obdelavo osebnih podatkov). Zavedati se morate, da bo sistem, kot ste si ga zamislili, spodbujal naznanjanje domnevnih kršitev obveznosti iz pogodb o zaposlitvi, potencialno torej bo spodbujal tudi zmotne in nedobroverne interne naznanitve, vsaka od njih pa brez dvoma predstavlja poseg v zasebnost in osebnostne pravice zaposlenih. Primerno je torej že v izhodišču misliti na sorazmernost in interno naznanjanje predvideti za t.i. težje oblike kršitve pogodbe o zaposlitvi.Iz vašega dopisa ni razvidno za katere kršitve naj bi uvedli interni sistem naznanjanja, niti ni mogoče ugotoviti, katera področja bi želeli pokriti. Mnenje 1/2006 Delovne skupine za varstvo osebnih podatkov[1] kot področja naznanjanja nepravilnosti navaja računovodstvo, notranje računovodske kontrole, revizijo, preprečevanje korupcije, bančne in finančne malverzacije. Za navedena področja pa bi težko rekli, da je naznanjanje nepravilnosti vselej v neposredni povezavi z uresničevanjem pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. V primeru ugotovitve ali suma, da so bili na navedenih področjih storjeni prekrški ali kazniva dejanja, pa so za odkrivanje nepravilnosti in pregon tako ali tako zadolženi organi z ustreznimi pooblastili, katerim se takšno nepravilnost naznani, po končanem postopku z njihove strani pa ravna v skladu z ugotovitvami.2. Ali je potrebno, da ima sistem možnost, da oseba, ki oddaja prijavo prevare, soglaša z upravljanjem njenega imena in priimka?Uvodno pooblaščenec pojasnjuje, da z vidika ZVOP-1 lahko obdelujete osebne podatke tistih prijaviteljev, ki bodo za takšno obdelavo podali svojo osebno privolitev (ki pa mora biti odraz svobodno izražene volje in nikakor ne prisilitev). Privolitev mora temeljiti na jasnem obvestilu, kdo je upravljavec podatkov in za kakšen namen podatke obdeluje. Pojasniti morate tudi rok hrambe podatkov. Anonimno naznanjanje po mnenju Pooblaščenca ni v neskladju z ZVOP-1. Konec koncev takšni primeri tudi danes že obstajajo v praksi, v obliki anonimk in drugih tovrstnih zapisov, takšno početje pa zaradi njegove (anonimne) narave praktično nemogoče omejevati oziroma sankcionirati. Odločitev, kolikšno pozornost namenjati anonimnim prijavam, pa je v rokah organizacije.Pooblaščenec v zvezi z vašo navedbo, da bo prijavljanje omogočeno tako strankam kot tudi zaposlenim poudarja, da nabora oseb, ki lahko naznanjajo druge oz. so lahko naznanjene glede na določbe ZVOP-1 ni potrebno spreminjati, vendar morate presoditi, ali boste »spodbujali« naznanjanje domnevnih nepravilnosti vseh zaposlenih ali (

1. le)zaposlenih z večjimi pooblastili (vodij, direktorjev). V dopisu navajate, da v kolikor bo oseba želela, da se jo o poteku postopka seznanja, se bo registrirala in dostopala do svojega računa z uporabniškim imenom in geslom in tam videla, v kateri fazi reševanja je njena prijava (ob registraciji ne bo potrebno oddati nobenih osebnih podatkov). Pooblaščenec meni, da ta praksa z vidika ZVOP-1 ni sporna, v kolikor ob registraciji posameznik poda privolitev v tako obdelavo njegovih osebnih podatkov. Seveda mora biti seznanjen z namenom obdelave njegovih podatkov. Na tej točki Pooblaščenec še poudarja, da mora biti z ZVOP-1 skladna tudi obdelava osebnih podatkov tistega posameznika, ki je naznanjen, in sicer mora biti ta posameznik brez odlašanja seznanjen z obdelavo svojih osebnih podatkov. Prav tako ima tak naznanjeni posameznik pravico, da vpogleda v svoje osebne podatke, ki se vodijo v zbirki.3. Kako dolgo lahko hranite osebne podatke (če bo prijavitelj ob prijavi oddal ime in priimek) v tem sistemu?Glede na določbe 21. člena ZVOP-1 se lahko osebni podatki shranjujejo le toliko časa, dokler je to potrebno za dosego namena, zaradi katerega so se zbirali ali nadalje obdelovali. Po izpolnitvi namena obdelave se osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače. Osebne podatke prijaviteljev in naznanjenih lahko torej hranite le toliko časa, dokler so potrebni za izpeljavo določenega postopka in preiskave.Več priporočil o rokih hrambe ter o upoštevanju varstva osebnih podatkov pri notranjih shemah za prijavo kršitev je dostopnih v mnenju Delovne skupine iz člena 29 na tej povezavi http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2006/wp117_sl.pdf.4. Upravljanje sistema s strani partnerjaKer bo po vaših navedbah sistem upravljala družba izven Slovenije (EU), Pooblaščenec pojasnjuje, da obdelava osebnih podatkov predstavlja kakršno koli delovanje v zvezi z osebnimi podatki, tudi upravljanje sistema ali hrambo podatkov. Zato Pooblaščenec opozarja, da morate s pogodbenim partnerjem skleniti pogodbo o pogodbeni obdelavi osebnih podatkov, v kateri določite tudi ukrepe za zavarovanje osebnih podatkov.11. člen ZVOP-1 govori o pogodbeni obdelavi osebnih podatkov in določa, da upravljavec osebnih podatkov lahko posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena tega zakona. Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena tega zakona24. člen ZVOP-1 določa zavarovanje osebnih podatkov, ki obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:¾ varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;¾ varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;¾ preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;¾ zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;¾ omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. V primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov. Postopki in ukrepi za zavarovanje osebnih podatkov morajo biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. Funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, so dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. Vzorec pogodbe o pogodbeni obdelavi osebnih podatkov je dostopen na tej povezavi http://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov.5. Ali obstajajo še kakršni koli drugi zakonski zadržki s področja varstva osebnih podatkov/zasebnosti, ki bi lahko kakor koli vplivali na implementacijo takšnega sistema.Ker gre pri shemi kot jo opisujete za novo zbirko osebnih podatkov, je pred vzpostavitvijo te nove zbirke le-to v zakonskem roku potrebno prijaviti pri Informacijskem pooblaščencu.Pooblaščenec sklepno meni, da ob odsotnosti ustrezne zakonske podlage, pogoji za uvajanje shem notranjega naznanjanja nepravilnosti v Sloveniji še niso izpolnjeni. Pri izvajanju je tako potrebno upoštevati določbe veljavne zakonodaje (določiti področja internega naznanjanja, določiti kršitve obveznosti pogodb o zaposlitvi, ki naj jih zaposleni naznanijo, upoštevati sorazmernost in morda določiti interno naznanjanje le za domnevne kršitve zaposlenih z večjimi pooblastili, prijaviti novo zbirko osebnih podatkov Informacijskemu pooblaščencu, skleniti pogodbo o pogodbeni obdelavi osebnih podatkov s partnerjem…). Ključno je, da je nujno na vseh ravneh takega sistema zagotavljati varstvo osebnih podatkov prijaviteljev ter tudi naznanjenih posameznikov. Pooblaščenec še enkrat priporoča, da pri implementaciji upoštevate omenjena priporočila iz Mnenja 1/2006 Delovne skupine iz člena 29.S spoštovanjemInformacijski pooblaščenec:Nataša Pirc Musar, univ.dipl.prav., pooblaščenka [1] Dostopno preko: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2006/wp117_sl.pdf. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026