Razpršena zbirka osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.06.2007 Številka: 0712-484/2007/2 Kategorije:Zbirke osebnih podatkov --> Kategorije: Zbirke osebnih podatkov Spoštovani, prejeli smo vaše elektronsko vprašanje. Zanima vas, ali so lahko osebni podatki iste vrste razpršeni (npr. v različnih datotekah v računalniku oz. različnih mapah v arhivu) ali morajo biti striktno shranjeni na istem mestu. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člen ZVOP-1 ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje. Osebni podatek je v skladu s
- tč.
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Zbirka osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Upravljavec osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Iz zgornje definicije zbire osebnih podatkov sledi, da je določeno zbirko podatkov treba šteti za zbirko osebnih podatkov, če so izpolnjeni naslednji pogoji: - gre za osebne podatke, - gre za strukturiran niz teh podatkov, - je ta dostopen v skladu s posebnimi merili. Da lahko govorimo o strukturiranem nizu podatkov, morata biti izpolnjena dva predpogoja: - struktura niza je vnaprej določena; - določitev meril, ki omogočajo uporabo ali združevanje podatkov, ne predstavlja nesorazmernega napora. Prvi predpogoj, da lahko govorimo o strukturiranem nizu podatkov, je, da je bila struktura niza določena vnaprej. To je vsekakor potrebni pogoj pri oblikovanju, upravljanju in delu z zbirkami podatkov, ki so računalniško podprte, prav tako pa je treba vnaprej določiti strukturo tudi pri vsaki ročno vodeni zbirki podatkov, sicer bi bila takšna zbirka neuporabna. To je skladno z razlago namena zakonodajalca, da gre pri zbirki podatkov predvsem za evidence, registre in baze podatkov. Drugi predpogoj, da lahko govorimo o strukturiranem nizu podatkov, je, da določitev meril, ki omogočajo uporabo ali združevanje podatkov, ne predstavlja nesorazmernega napora. Določitev meril, ki omogočajo uporabo ali združevanje podatkov, gre gledati predvsem z vidika, ali bi določitev meril predstavljala nesorazmeren napor z vidika porabljenega časa in sredstev. Pri strukturiranem nizu podatkov je mogoče na podatkih neposredno ali ob minimalnih prilagoditvah izvajati operacije, ki omogočajo pravilno umestitev podatkov v bazo oziroma zbirko podatkov, pri nestrukturiranem nizu podatkov pa zahtevajo takšna dejanja občutno večje vložke. Odgovor na vaše vprašanje je torej odvisen od tega, ali računalniške datoteke in ročno vodeni arhiv, o katerih govorite, predstavljata strukturiran niz osebnih podatkov, ki je dostopen na podlagi posebnih meril. Če torej sistem vodenja vaših zbirk omogoča dostopanje do osebnih podatkov posameznika na podlagi njegovega imena in priimka ali drugih njegovih identifikacijskih znakov (npr. EMŠO, številka delovne knjižice, datum sklenitve delovnega razmerja, če gre za osebne podatke zaposlenih, itd.), gre pri tem za zbirko osebnih podatkov v smislu
- tč.
- člena ZVOP-
- Računalniške datoteke, v katerih se nahajajo osebni podatki, načeloma vedno predstavljajo zbirke osebnih podatkov saj sodobni računalniški programi omogočajo dostopanje do osebnih podatkov posameznika na podlagi njegovih identifikacijskih znakov, tudi če se ti nahajajo v različnih datotekah. Glede ročno vodenega arhiva, pa je Informacijski pooblaščenec mnenja, da tak arhiv predstavlja zbirko osebnih podatkov oziroma je sestavljen iz več zbirk osebnih podatkov, če lahko na podlagi določenih meril dostopate do osebnih podatkov določenega posameznika oziroma s pomočjo takih meril posameznika določite. Če pa, na drugi strani, neposredna dostopnost oziroma iskanje osebnih podatkov posameznikov, ki se nahajajo v vašem arhivu, ni mogoča, in se njihovi osebni podatki zgolj slučajno, nesistematizirano pojavljajo v arhivu kot zbirki (npr. tehničnih) podatkov, pa tak arhiv ne predstavlja zbirke osebnih podatkov v smislu ZVOP-
- Ob povedanem pa Informacijski pooblaščenec dodaja, da dejstvo, da se isti osebni podatki posameznika nahajajo v različnih zbirkah osebnih podatkov hkrati, ali pa so različni osebni podatki posameznika razpršeni po različnih zbirkah osebnih podatkov, kot navajate v vašem vprašanju, na obstoj zbirke osebnih podatkov ne vpliva. Bistveno vprašanje, ki ga morate razrešiti v vašem primeru, je torej, ali ste upravljavec osebnih podatkov t.j. ali imate vzpostavljene zbirke osebnih podatkov, od česar je odvisen tudi odgovor na vprašanje, ali vas zavezuje ZVOP-1 ali ne. Sami pa morate presoditi, ali želite imeti zaradi razpršenosti odgovornost za več zbirk osebnih podatkov in za vsako posebej seveda zagotavljati zavarovanje, izdelavo kataloga zbirk osebnih podatkov, vpis v Register zbirk osebnih podatkov, ki ga vodi Informacijski pooblaščenec itd. Pomembno je tudi poznati zakonodajo z vašega področja (iz vprašanja ga ne znamo razbrati). Ta lahko določa obvezne sestavine kakšne zbirke (recimo evidence s področja dela…), ali pa vaša zbirka lahko nastaja na podlagi osebne privolitve posameznika in se potem sami odločate, ali boste iz tako zbranih podatkov ustvarili eno ali več zbirk. Informacijski pooblaščenec z vidika zavarovanja zbirk priporoča manjše število zbirk. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026