← Slovenija

Sledljivost vpogledov v dokumente - IPRS

Sledljivost vpogledov v dokumente + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 15.04.2008 Številka: 0712-220/2008/2 Kategorije:Zavarovanje osebnih podatkov --> Kategorije: Zavarovanje osebnih podaktov Spoštovani, prejeli smo vaše elektronsko sporočilo. V njem navajate, da se vam je v zvezi z uresničevanjem določbe
  3. točke
  4. odstavka
  5. člena Zakona o varstvu osebnih podatkov postavilo vprašanje, v kolikšnem obsegu zagotoviti poznejše ugotavljanje, kdaj je določena (pooblaščena) oseba vpogledala v določen (listinski) spis in kateri podatek je pogledala. V zvezi s tem dodajate, da v velikih organizacijah razpolagate z velikim številom dokumentov in listin, ki vsebujejo osebne podatke, pri velikem obsegu poslov s strankami, reševanju primerov itd. pa je tudi rokovanje s takimi listinami pri reševanju posameznega primera zelo pogosto. Zato bi bilo poslovanje podjetja izredno oteženo (in s tem ogroženi drugi interesi posameznikov), če bi pooblaščena oseba npr. pri reševanju škodnega primera morala vsakič, ko odpre spis, nekje zabeležiti čas vpogleda in podatek, ki ga je pogledala. V zvezi s tem nas prosite za mnenje, ali je pravilna vaša interpretacija zgoraj navedenega določila, da bi bil v konkretnem primeru zadosten ukrep organizacije, če bi za določene spise določila pooblaščene osebe (poimensko) in obdobje njihovega pooblastila za vpogledovanje v te spise. Na tej podlagi bi se štelo, da so v danem obdobju te osebe vpogledovale v določene spise, morebitni vpogledi tretjih oseb pa bi bili posebej zabeleženi. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
  6. točke prvega odstavka
  7. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS-A in 67/07; ZVOP-1) ter
  8. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS-A) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji: Zaposlenemu, ki rešuje posamezno zadevo oziroma spis, ki predstavlja ročno vodeno zbirko osebnih podatkov, ni potrebno beležiti vsakega vpogleda v ta spis oziroma zbirko, pa se kljub temu šteje, da je zagotovljena ustrezna sledljivost obdelave osebnih podatkov, če so izpolnjeni naslednji pogoji: - oseba, ki rešuje posamezno zadevo, spada v krog oseb, ki so v internem aktu vašega podjetja določene kot osebe, ki zaradi narave svojega dela lahko obdelujejo v tej zbirki nahajajoče se osebne podatke, - oseba, ki je v podjetju odgovorna za to zbirko osebnih podatkov, tj. predstojnik, vodi evidenco o tem, kateri od zaposlenih rešuje posamezno zadevo, tj. obdeluje določene osebne podatke, - v internem aktu podjetja je določeno, da do spisa, ki predstavlja ročno vodeno zbirko osebnih podatkov, lahko dostopa le oseba, ki zadevo rešuje, in da se vpogled vsake druge osebe beleži. Obrazložitev: Pri odgovoru na vaše prvo vprašanje uvodoma opozarjamo na določila
  9. člena ZVOP-1, ki ureja zavarovanje osebnih podatkov, in sicer:

(1)Zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
  1. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
  2. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
  3. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
  4. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
  5. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
  6. odst. istega člena pa določa, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.
  7. člen ZVOP-1 upravljavcem osebnih podatkov nalaga tako dolžnost zagotavljanja zavarovanja osebnih podatkov na način iz
  8. člena ZVOP-1, kot tudi dolžnost, da v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave svojega dela obdelujejo določene osebne podatke. Uvodoma je potrebno pojasniti namen (ratio) določbe, ki narekuje, da mora biti zavarovanje urejeno tako, da omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Omenjena določba, ki opredeljuje t.i. sledljivost obdelave osebnih podatkov, je izjemnega pomena predvsem za odkrivanje nepooblaščenih vstopov v zbirke osebnih podatkov in posledično zlorabe tako pridobljenih osebnih podatkov (npr. javno razkritje ipd.). Informacijski pooblaščenec se zaveda, da je nemogoče stoodstotno preprečiti nepooblaščeno seznanitev in zlorabo osebnih podatkov, vendar pa je potrebno sprejeti vse razumne mere in ukrepe, ki lahko zlorabe preprečijo ali vsaj omogočijo naknadno ugotavljanje odgovornosti. Sledljivost je pomembna tudi s preventivnega vidika, zaradi česar je potrebno zaposlene seznaniti z dejstvom, da se izvaja sledljivost obdelave osebnih podatkov. V nekaterih primerih lahko že to dejstvo odvrne posameznika, da bi se odločil za neupravičen dostop do osebnih podatkov, saj se bo zavedal, da bodo njegova dejanja evidentirana. V zvezi z zagotavljanjem sledljivosti lahko ločimo:
  9. Sledljivost sprememb - nivo sledljivosti, ki omogoča naknadno ugotavljanje, kdo je vnesel, ažuriral ali drugače spremenil, izbrisal kateri podatek in kdaj.
  10. Sledljivost dostopa do podatkov – nivo sledljivosti, ki omogoča naknadno ugotavljanje, kdo je vnesel, spremenil ali izbrisal kakšen podatek in kdaj, poleg tega pa beleži tudi, kdo je do določenega podatka zgolj dostopil (vpogled, seznanitev), a podatka ni spremenil. Kot smo videli zgoraj, mora upravljavec osebnih podatkov v internem aktu med drugim določiti tudi osebe, ki so odgovorne za določene zbirke osebnih podatkov in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Vendar pa Informacijski pooblaščenec ob tem opozarja, da zgolj določitev kroga oseb, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke v internem aktu upravljavca, še ne zagotavlja sledljivosti obdelave osebnih podatkov. Krog oseb, ki v neki zavarovalnici rešujejo primere npr. premoženjskih zavarovanj in so v internem aktu tudi ustrezno pooblaščene za obdelavo osebnih podatkov, ki jih pri svojem delu obdelujejo, je lahko zelo širok, zato sledljivost obdelave osebnih podatkov zgolj s poimensko določitvijo oseb, ki pri svojem delu lahko obdelujejo osebne podatke, še ni zagotovljena. Ratio določbe
  11. tč.
  12. odst.
  13. člena ZVOP-1 je namreč zagotoviti možnost poznejšega ugotavljanja, kdaj so bili posamezni osebni podatki vneseni v konkretno zbirko osebnih podatkov, kdaj so bili nadalje obdelani in kdo je tako obdelavo izvedel. Zato mora oseba, ki je v skladu z internim aktom odgovorna za določeno zbirko osebnih podatkov, ves čas voditi evidenco, iz katere je razvidno, katera od v internem aktu pooblaščenih oseb obdeluje določeno zbirko osebnih podatkov. Navedeno pomeni, da mora predstojnik posameznega oddelka ves čas voditi evidenco o tem, pri kom se posamezen spis nahaja oziroma, kdo rešuje posamezno zadevo, ki predstavlja ročno vodeno zbirko osebnih podatkov. Taka evidenca omogoča poznejše ugotavljanje, kdo je v določenem obdobju reševal posamezno zadevo, torej obdeloval osebne podatke iz te zbirke. Poleg tega morate v svojem notranjem aktu za take ročno vodene zbirke določiti, da lahko vanje vpogleduje le oseba, ki rešuje konkreten primer, medtem ko se morajo vpogledi vseh drugih oseb beležiti. Informacijski pooblaščenec je na podlagi povedanega mnenja, da zaposlenemu, ki rešuje posamezno zadevo, ki predstavlja ročno vodeno zbirko osebnih podatkov, ni potrebno beležiti vsakega vpogleda v tako zbirko, in da se šteje, da je kljub temu zagotovljena ustrezna sledljivost obdelave osebnih podatkov, če: - oseba, ki rešuje posamezno zadevo spada v krog oseb, ki so v internem aktu vašega podjetja določene kot osebe, ki zaradi narave svojega dela lahko obdelujejo v tej zbirki nahajajoče se osebne podatke, - oseba, ki je odgovorna za to zbirko osebnih podatkov, tj. predstojnik, vodi evidenco o tem, kateri od zaposlenih rešuje posamezno zadevo tj. obdeluje določene osebne podatke, - interni akt določa, da do spisa, ki predstavlja ročno vodeno zbirko osebnih podatkov lahko dostopa le oseba, ki zadevo rešuje, in da se vpogled vsake druge osebe beleži. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.