Vsebina pravilnika o varovanju osebnih podatkov - IPRS

Vsebina pravilnika o varovanju osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.10.2006 Številka: 0712-243/2006/2 Kategorije:Razno --> Kategorije: Razno Spoštovani,Informacijski pooblaščenec je dne
4. 2006 prejel vaše e-sporočilo, v katerem nas sprašujete, ali je potrebno v pravilniku o varovanju osebnih podatkov natančno navesti katere osebne podatke oziroma zbirke osebnih podatkov obdelujete, ali pa lahko v pravilnik navedete le to, da zbirate vse podatke, ki so potrebni pri sklepanju (zavarovalnih) pogodb?Ker lahko avtentično razlago posameznih določb relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 - ZInfP; v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05; v nadaljevanju ZInfP) posredujemo neobvezno mnenje v zvezi z vašimi vprašanji.
8. ZVOP-1 v
9. členu ne določa natančne vsebine notranjega akta (pravilnika). Vendar lahko glede na zahtevo prvega odstavka, ki pravi, da upravljavci osebnih podatkov »predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke« in glede na uvrstitev
10. člena v poglavje z naslovom »zavarovanje osebnih podatkov« sklenemo, da je poudarek na organizacijskih, tehničnih in logično-tehničnih postopkih in ukrepih, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov. Torej natančna navedba osebnih podatkov, ki se obdelujejo ne predstavlja bistvene vsebine pravilnika. Zato praviloma zadostuje splošna navedba (splošen opis) vseh osebnih podatkov, ki so predmet zavarovanja s hkratnim sklicevanjem na katalog zbirke osebnih podatkov (gl.
11. točka).
12. Glede na to, da ZVOP-1 v
13. členu nalaga upravljavcu, da za vsako zbirko osebnih podatkov vzpostavi (ažuren!) katalog zbirke osebnih podatkov, ki mora med drugim vsebovati tudi vrste osebnih podatkov v posamezni zbirki osebnih podatkov, je pogosto dovolj, da se upravljavec v pravilniku zgolj sklicuje oziroma navezuje na tak katalog.
14. Po drugi strani pa, glede na določbo tretjega odstavka
15. člena ZVOP-1, da »morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo« in glede na dejstvo, da v posameznem primeru lahko obstaja potreba po določitvi različnega režima zavarovanja za različne vrste osebnih podatkov (oziroma njihovih zbirk), je v določenih primerih po naravi stvari potrebno, da se v pravilniku natančno določijo (razmejijo) osebni podatki, ki so predmet posameznih režimov zavarovanja.
16. V skladu z zgornjimi navedbami, lahko v vašem pravilniku npr. najprej naštejete osebne podatke (za katere ste gotovi, da se ne bodo pogosto spreminjali) in nato preostale osebne podatke opredelite z generalno klavzulo, ki se glasi npr. »…in druge osebne podatke, ki jih za potrebe izvajanja pogodbe o obdelavi osebnih podatkov naroči naročnik pogodbene obdelave« ali pa »…in druge osebne podatke, ki so potrebni za sklepanje in izvrševanje zavarovalnih pogodb« in hkrati napotite (navežete) še na lasten katalog zbirk osebnih podatkov. Lahko pa tudi vse osebne podatke opredelite zgolj z generalno klavzulo in hkrati napotite (navežete) na lasten katalog zbirk osebnih podatkov.Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026