Uničevanje dokumentacije + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.01.2008 Številka: 0712-15/2008/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani, prejeli smo vaše elektronsko sporočilo. V njem navajate, da vaše podjetje ponuja storitve shranjevanja poslovne in ostale dokumentacije na CD in USB diske in varno uničevanje te dokumentacije. V zvezi s tem nas sprašujete, na kaj morate biti pri opravljanju svoje dejavnosti pozorni, s stališča varstva osebnih podatkov. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji: Vaše podjetje bo v primeru, ki ga opisujete, pogodbeni obdelovalec osebnih podatkov, saj boste v okviru shranjevanja in uničevanja dokumentacije obdelovali osebne podatke v imenu in na račun vaših strank - upravljavcev teh osebnih podatkov. Tudi shranjevanje in uničevanje osebnih podatkov je namreč ena od možnih oblik obdelave osebnih podatkov. Zato morate, v skladu z
- členom ZVOP-1, z vsakokratno stranko kot upravljavcem osebnih podatkov obvezno skleniti pisno pogodbo, v kateri boste uredili medsebojne pravice in obveznosti v zvezi s pogodbeno obdelavo osebnih podatkov, pogodba pa bo morala vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
- člena ZVOP-
- Pri opravljanju posameznih opravil v zvezi z obdelavo osebnih podatkov morate kot pogodbeni obdelovalec ostajati strogo v okviru naročnikovih pooblastil in osebnih podatkov ne smete obdelovati za noben drug namen. Informacijski pooblaščenec ob tem dodaja, da se določbe
- ZVOP-1, ki ureja pogodbeno obdelavo osebnih podatkov seveda uporabljajo le v primeru, ko dokumentacija, ki jo nameravate shranjevati in uničevati v imenu in na račun vaših strank, vsebuje (poleg drugih) tudi osebne podatke. Obrazložitev: Osebni podatek je v skladu s
- tč.
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Zbirka osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Upravljavec osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. Pogodbena obdelava osebnih podatkov je urejena v
- členu ZVOP-1, ki v
- odst. določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
- člena ZVOP-
- Pogodbeni obdelovalec sme, v skladu z
- odst. istega člena, opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
- člena ZVOP-
- Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
- člena tega zakona. Dogovor med strankama o postopkih in ukrepih iz
- člena ZVOP-1 pomeni dogovor o organizacijskih, tehničnih in logično-tehničnih postopkih in ukrepih, s katerimi se varujejo osebni podatki, preprečuje nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter njihova nepooblaščena obdelava pri pogodbeni obdelavi teh podatkov. Zato morata upravljavec in pogodbeni obdelovalec v pogodbi jasno in natančno določiti postopke in ukrepe s katerimi mora pogodbeni obdelovalec: - varovati prostore, kjer se nahajajo nosilci osebnih podatkov, - varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki, - preprečevati nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih, - zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov - omogočati poznejše ugotavljanje, kdaj so bili posamezni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil (načelo sledljivosti). Ker morata stranki opisane postopke in ukrepe za zavarovanje osebnih podatkov urediti v pogodbi, pogodbenemu obdelovalcu tudi ni treba teh postopkov in ukrepov predpisovati v svojih aktih, kot je to v skladu z
- odst.
- člena ZVOP-1 dolžan storiti upravljavec osebnih podatkov. Če pa je pogodbeni obdelovalec že sprejel notranji akt (v praksi ponavadi Pravilnik o zavarovanju osebnih podatkov), v katerem je predpisal postopke in ukrepe iz
- člena ZVOP-1 (npr. za zavarovanje tistih osebnih podatkov, kjer sam nastopa kot upravljavec), pa lahko stranki namesto ponovnega opisovanja vseh postopkov in ukrepov v pogodbi zgolj citirata takšen akt (če ta seveda ustreza zahtevam upravljavca), pogodbeni stranki navedeta, da je akt sestavni del pogodbe in da mora pogodbeni obdelovalec zagotoviti zavarovanje osebnih podatkov v skladu z določbami takšnega akta ter akt priložita pogodbi. Enako kot akt pogodbenega obdelovalca lahko stranki v pogodbo vključita tudi notranji akt upravljavca. Upravljavec in pogodbeni obdelovalec osebnih podatkov morata v pogodbi določiti tudi, katere osebe, zaposlene pri pogodbenem upravljavcu osebnih podatkov, lahko opravljajo posamezna opravila v zvezi z obdelavo osebnih podatkov, kakšna so v zvezi s tem njihova pooblastila ter urediti dolžnost varovanja zaupnosti podatkov. Pogodbeni obdelovalec mora poskrbeti tudi, da se z v pogodbi dogovorjenimi postopki in ukrepi iz
- člena ZVOP-1 seznanijo vsi tisti zaposleni, ki pri njem odgovarjajo za izvajanje teh postopkov in ukrepov, ter osebe, ki zaradi narave svojega dela pri njem obdelujejo določene osebne podatke. Če sta pogodbenika v pogodbo vključila že obstoječi notranji akt o zavarovanju osebnih podatkov enega ali drugega, mora pogodbeni obdelovalec poskrbeti, da se omenjene osebe seznanijo s tem aktom. V zvezi s pogodbeno obdelavo osebnih podatkov velja omeniti še določbe
- odst.
- člena ZVOP-1, ki določa, da je pogodbeni obdelovalec v primeru spora z upravljavcem dolžan osebne podatke, ki jih je pogodbeno obdeloval, na podlagi zahteve upravljavca temu nemudoma vrniti. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon. V primeru prenehanja pogodbenega obdelovalca se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov. V skladu s povedanim Informacijski pooblaščenec opozarja, da mora vaše podjetje preden začne izvajati storitve shranjevanja in uničevanja dokumentacije za posamezno stranko, s tako stranko skleniti pogodbo iz
- člena ZVOP-1, v vseh primerih, ko taka dokumentacija vsebuje poleg drugih tudi osebne podatke, saj v tem primeru osebne podatke obdelujete (shranjujete in uničujete) v imenu in na račun stranke, tj. kot pogodbeni obdelovalec. V tej pogodbi, ki mora biti obvezno pisna, s posamezno stranko, kot upravljavcem osebnih podatkov, uredite medsebojne pravice in obveznosti v zvezi s shranjevanjem in uničevanjem dokumentacije, dogovoriti pa se morate tudi o postopkih in ukrepih iz zgoraj navedenega
- člena ZVOP-1 (glej zgoraj). Pooblaščenec v zvezi s slednjim poudarja, da mora pogodba vsebovati natančen in jasen opis postopkov in ukrepov, s katerimi se varujejo osebni podatki, preprečuje nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter njihova nepooblaščena obdelava pri pogodbeni obdelavi teh podatkov. Splošne navedbe, v smislu: »pogodbeni obdelovalec se zavezuje, da bo pri obdelavi osebnih podatkov spoštoval zakonodajo s področja varstva osebnih podatkov«, z vidika
- člena ZVOP-1 namreč ne zadostujejo. Kot rečeno pa je dopustno sklicevanje na Pravilnik o zavarovanju osebnih podatkov, ki ste ga v podjetju sprejeli za zavarovanje osebnih podatkov, katerih upravljavec je vaše podjetje oziroma vključitev takega Pravilnika v pogodbo, če seveda v Pravilniku predvideno zavarovanje osebnih podatkov ustreza zahtevam druge pogodbene stranke, t.j. zahtevam upravljavca osebnih podatkov. Informacijski pooblaščenec povedanemu dodaja, da morate pri izvajanju pogodb paziti tudi, da pri opravljanju posameznih opravil v zvezi z obdelavo osebnih podatkov vseskozi ostajate v okviru naročnikovih pooblastil, in da osebnih podatkov ne obdelujete za noben drug namen, da upravljavcu omogočite nemoten nadzor izvajanja postopkov in ukrepov iz
- člena ZVOP-1, ter da mu jih v primeru spora, na njegovo zahtevo, nemudoma vrnete. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026