Varovanje osebnih podatkov pri vzpostavitvi digitalne platforme za prijave sumov nepravilnosti v organizacijah - IPRS

Varovanje osebnih podatkov pri vzpostavitvi digitalne platforme za prijave sumov nepravilnosti v organizacijah + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.11.2022 Številka: 07121-1/2022/1220 Kategorije: --> Kategorije: Moderne tehnologije, Ocene učinkov v zvezi z varstvom podatkov, Pooblaščene osebe za varstvo podatkov - DPO Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede varovanja osebnih podatkov pri vzpostavitvi digitalne platforme za prijave sumov nepravilnosti v organizacijah. Kot ste pojasnili bo z Zakonom o zaščiti prijaviteljev (predlog ZZPri) Republika Slovenija v svoj pravni red prenesla Direktivo EU o zaščiti žvižgačev.
3. člen predloga ZZPri predvideva vzpostavitev notranjih poti za prijave v številnih subjektih tako javnega kot zasebnega sektorja. Vzpostavljate digitalno platformo za prijave nepravilnosti v organizacijah, tako v subjektih javnega kot zasebnega sektorja, s pomočjo katere bodo organizacije lahko na preprost in varen način sprejemale prijave in z njimi upravljale; gre za repliko platforme, ki jo v Italiji trenutno uporablja več kot 1600 subjektov. Ugotavljate, da boste potrebovali naslednje dokumente oz. izjave: • za spletno stran - splošne informacije o varstvu osebnih podatkov in splošni pogoji uporabe spletnega mesta; • sporazum med upravljavcem OP in obdelovalcem OP (med organizacijo, ki bo ustanovila notranjo pot za prijavo), ki bo vseboval tudi določbe o imenovanju pod-obdelovalcev podatkov; • sporazume med obdelovalcem podatkov in pod-obdelovalci; • dokument o politiki zasebnosti upravljavca (organizacije, ki bo uporablja notranjo pot za prijavo, namenjen uporabnikom notranje poti za prijavo (prijavitelji); • dokument o politiki zasebnosti zunanjega obdelovalca OP; • pogodbo med vami in organizacijami, ki bodo uporabljale pot za prijavo, ki bo vključevala določbe o varovanju OP in opredelila obdelovalca in pod-obdelovalce OP. Enak nabor dokumentov uporablja sorodni italijanski projekta. Zanima vas, ali ocenjujemo, da bi bilo treba glede na normativni okvir Republike Slovenije temu naboru dodati še kakšen dokument. Dalje menite, da po vašem tolmačenju člena 37 Splošne uredbe o varstvu podatkov (GDPR) niste dolžni imenovati pooblaščene osebe za varstvo podatkov (DPO). Zanima vas, ali ocenjujemo, da bi ob izvajanju zadevnega projekta in statusu obdelovalca morali imenovati DPO? Glede tega pojasnjujete, da je trenutno nemogoče oceniti niti tega, koliko organizacij bo vpeljalo notranjo pot za prijave niti koliko prijav bi posamezne notranje poti prejele, zato vas zanima, ali se je v praksi izoblikovala kakšna meja glede količine osebnih podatkov, pri katerih je imenovanje DPO obvezno in ali so kakšni posebni pogoji za imenovanje zunanjega DPO? Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju skladno z
4. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
5. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
6. točko prvega odstavka
7. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
8. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP priporoča, da pred zagonom projekta izdelate oceno učinka glede varstva osebnih podatkov po členu 35 Splošne uredbe, na katero lahko pridobite tudi mnenje IP v postopku predhodnega posvetovanja. Poleg že identificiranih dokumentov vas opozarjamo še na dolžnost upoštevanje načela vgrajenega in privzetega varstva podatkov, dolžnost upoštevanja evidentiranja dejavnosti in pozornost pri morebitnem prenosu osebnih podatkov v tretje države. O b r a z l o ž i t e v: IP uvodoma pojasnjuje, da bi bilo pred tovrstnimi projekti, zlasti glede na relativno novo normativno ureditev tega področja in posledično relativno nove izvedbene rešitve, priporočljivo izdelati oceno učinka glede varstva osebnih podatkov po členu 35 Splošne uredbe. Vse informacije o ocenah učinka, vključno s smernicami na to temo najdete na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/ocena-u%C4%8Dinka-v-zvezi-z-varstvom-podatkov/. Na oceno učinka lahko pridobite mnenje IP v postopku predhodnega posvetovanja po členu 36 Splošne uredbe, vnaprej pa se izven inšpekcijskega postopka težko opredelimo, ali bi bila ocena učinka celo obvezna, vsekakor pa je zelo priporočljiva, da se učinkovito naslovijo vsa tveganja, vključno z identifikacijo potrebne dokumentacije za zagotovitev skladnost. Nabor dokumentov, ki so zahtevani v tovrstnem primeru, ste že dobro identificirali, opozorili bi vas še na: • Dolžnost upoštevanja načela vgrajenega in privzetega varstva podatkov (člen 35 Splošne uredbe) – dokumentacija, s katero izkazujete upoštevanje tega načela (npr. projektna in tehnična dokumentacije); • Dolžnost upoštevanja evidentiranja dejavnosti po členu 30 Splošne uredbe; • Pozornost pri morebitnem prenosu osebnih podatkov v tretje države – če bi šlo npr. za uporabo storitev ponudnikov (oblačnih ali podobnih) izven EU/EGS. Glede vaših vprašanj o DPO pojasnjujemo, da Splošna uredba ni določila izrecnih kvantitativnih meril, po katerih bi se presojalo, ali mora določena organizacija imenovati DPO ali ne, zato tudi v praksi ni mogoče govoriti o konkretnih številkah. Zavezancem so v pomoč smernice in informacije o DPO, ki so na voljo na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/poobla%C5%A1%C4%8Dena-oseba-za-varstvo-podatkov. V smernicah Evropskega odbora za varstvo podatkov (EDPB), je pojasnjeno, da Splošna uredba ne opredeljuje, kaj je obsežna obdelava. Vendar pa EDPB priporoča, da se pri določanju, ali je obdelava obsežna, upoštevajo zlasti naslednji dejavniki: • število zadevnih posameznikov, na katere se nanašajo osebni podatki – bodisi kot določeno število • ali delež ustrezne populacije; • količina podatkov in/ali razpon različnih podatkovnih postavk, ki se obdelujejo; • trajanje ali stalnost dejavnosti obdelave podatkov in • geografska razsežnost dejavnosti obdelave. Primeri obsežne obdelave vključujejo: • obdelavo podatkov o bolnikih s strani bolnišnice v okviru običajnega poslovanja; • obdelavo potovalnih podatkov posameznikov, ki uporabljajo sistem javnega mestnega prevoza (npr. sledenje prek vozovnic); • obdelavo podatkov o zemljepisnem položaju strank mednarodne verige hitre prehrane v realnem času za statistične namene s strani obdelovalca, specializiranega za te dejavnosti; • obdelavo podatkov o strankah s strani zavarovalnice ali banke v okviru običajnega poslovanja; • obdelavo osebnih podatkov za oglaševanje na podlagi vedenjskih vzorcev prek iskalnika in • obdelavo podatkov (vsebine, prometa, lokacije) s strani ponudnikov telefonskih ali internetnih storitev. Glede na to, da tudi sami menite, da je trenutno nemogoče oceniti, koliko organizacij bo vpeljalo notranjo pot za prijave niti koliko prijav bi posamezne notranje poti prejele, se je težko vnaprej opredeliti, ali je imenovanje DPO obvezno v konkretnem primeru – dodajamo, da se dolžnost imenovanja lahko izkaže (in s tem tudi nastopi) kasneje, ko je bolj jasno, za kakšen obseg obdelave osebnih podatkov gre. Pri tem velja upoštevati, da je imenovanje DPO lahko tudi prostovoljno, s čimer lahko organizacije izkazujejo odgovornost pri ravnanju z osebnimi podatki. V grobem pa lahko rečemo, da načeloma platforme za podajo prijavo o nepravilnostih po naravi stvari niso namenjene obsežni in sistematični obdelavi osebnih podatkov, tudi v primerjavi z zgoraj naštetimi primeri sistemov, ki pomenijo obsežno obdelavo osebnih podatkov, zato se nagibamo k temu, da ne terjajo obveznega imenovanja DPO, kot rečeno pa je prostovoljno imenovanje DPO lahko ne glede na obveznost imenovanja ali ne, pomemben element z vidika zagotovil, da ponudnik platforme k varstvu osebnih podatkov pristopa na odgovoren način. Zaključek o tem, ali je imenovanje pooblaščene osebe v konkretnem primeru obvezno ali ne lahko sicer IP sprejme le v okviru uradnega inšpekcijskega postopka. Glede imenovanja zunanjega DPO smernice EDPB pojasnjujejo, da kadar funkcijo pooblaščene osebe za varstvo podatkov opravlja zunanji ponudnik storitev, lahko ekipa posameznikov, ki delajo za ta subjekt, kot taka učinkovito izvaja naloge pooblaščene osebe za varstvo podatkov v okviru odgovornosti pooblaščene glavne kontaktne osebe in „pristojne osebe“ za stranko. V tem primeru je bistveno, da vsak član zunanje organizacije, ki izvaja funkcije pooblaščene osebe za varstvo podatkov, izpolnjuje vse veljavne zahteve iz Splošne uredbe. Zaradi pravne jasnosti in dobre organizacije ter preprečevanja nasprotij interesov med člani ekipe je v smernicah priporočeno, da se v pogodbi o storitvah jasno razdelijo naloge v ekipi zunanje pooblaščene osebe za varstvo podatkov in da se za glavno kontaktno točko in „pristojno“ osebo za stranko določi en posameznik. Zaključno vam priporočamo še informacije na naši spletni strani, in sicer: • glede ustreznega obveščanja posameznikov in politik zasebnosti: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov; • glede ustrezne ureditve pogodbene obdelave in pod-obdelave, vključno z vzorčno pogodbo in smernicami: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/pogodbena-obdelava; • glede evidentiranja dejavnosti obdelave: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/evidenca-dejavnosti-obdelave. S spoštovanjem, Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026