Varstvo osebnih podatkov - informacije in obrazci

Pripravljeni so sledeči dokumenti

• Pravilnik o zavarovanju osebnih podatkov skupaj s prilogami;
• Pogodba o obdelovanju osebnih podatkov skupaj s prilogo – v povezavi s pogodbo izpostavljamo, da ne gre za obvezen akt izvajalca, jo je pa treba skleniti, kadar ima izvajalec z drugim izvajalcem sklenjeno pogodbo o izvajanju storitev;
• Pravilnik o določanju rokov hrambe;
• Oceno učinka v zvezi z varstvom podatkov;
  

ki so usklajeni s Splošno uredbo in ZVOP-2.

Gre za posodobljene verzije prej objavljenih dokumentov, ki upoštevajo ZVOP-2. Zlasti je pomembno, da izvajalci sprejmejo nov, posodobljen Pravilnik o varovanju osebnih podatkov in objavijo Informacije po 13. in 14. členu Splošne uredbe (Priloga 9 v Pravilniku).

Pri ostalih treh dokumentih ni bistvenih sprememb, ker se po vsebini nanašajo na konkretne tehnične in organizacijske ukrepe pri varovanju osebnih podatkov, glede katerih ima ZVOP-2 zelo malo določil in je bolj uporabljiva Splošna uredba. Teh aktov ni treba sprejemati na novo in so veljavni akti iz leta 2018, če jih izvajalec ima.

Akte je treba na novo sprejeti tudi, če so bile izvedene kakšne spremembe v procesu obdelave, zlasti pa pri izvajalcih, ki izvajajo videonadzor ali uporabljajo biometrične podatke.

Po določbi prvega odstavka 45. člena ZVOP-2 določijo pooblaščeno osebo upravljavci in obdelovalci v skladu s prvim odstavkom 37. člena Splošne uredbe in vsi upravljavci in obdelovalci v javnem sektorju ter upravljavci in obdelovalci, ki obdelujejo osebne podatke iz 1. do 4. točke prvega odstavka 23. člena ZVOP-2.

Splošna uredba v 37. členu določa obveznost imenovanja pooblaščene osebe kadar:

1. obdelavo opravlja javni organ ali telo, razen sodišča, kadar delujejo kot sodni organ;
2. temeljne dejavnosti upravljavca ali obdelovalca zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike, na katere se nanašajo osebni podatki, redno in sistematično obsežno spremljati, ali
3. temeljne dejavnosti upravljavca ali obdelovalca zajemajo obsežno obdelavo posebnih vrst podatkov v skladu s členom 9 in osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški iz člena 10.

Po določbah 1. do 4. točke prvega odstavka 23. člena ZVOP-2 gre za informacijske sisteme, v katerih:

1. se izvajajo obdelave osebnih podatkov, določenih v zakonih, ki urejajo področja upravnih notranjih zadev, finančne uprave, državljanstva, Slovenske obveščevalno varnostne agencije, obrambe, zdravstvenega varstva, obveznega zdravstvenega zavarovanja, uveljavljanja pravic iz javnih sredstev ter kazenskih in prekrškovnih evidenc, ali
2. se obdelujejo osebni podatki več kot 100.000 posameznikov na podlagi zakona, razen obdelav osebnih podatkov iz 3. poglavja 2. dela tega zakona (videonadzor), ali
3. upravljavec ali obdelovalec kot svojo temeljno dejavnost izvaja obsežne obdelave posebnih vrst osebnih podatkov, ali
4. se obdeluje posebne vrste osebnih podatkov več kot 10.000 posameznikov.

Iz spletne strani Informacijskega pooblaščenca glede Pooblaščene osebe za varstvo podatkov po Splošni uredbi in ZVOP-2 sicer glede ureditve iz 37. člena Splošne uredbe izhaja sledeče:

Splošna uredba v 37. členu določa, da morajo pooblaščeno osebo imenovati:

1. Javni organi in telesa, pri čemer ZVOP-2 v 3. točki drugega odstavka 5. člena določa, da so »javni sektor« državni organi, samoupravne lokalne skupnosti, nosilci javnih pooblastil v delu, kjer izvršujejo javna pooblastila, javne agencije, javni skladi, javni zavodi, univerze, samostojni visokošolski zavodi, zasebni vrtci in zasebne osnovne ter srednje šole, ki izvajajo javno veljavne vzgojno-izobraževalne programe, samoupravne narodne skupnosti, Svet romske skupnosti Republike Slovenije in druge osebe javnega prava, ustanovljene z zakonom;
2. Podjetja, katerih temeljne dejavnosti zajemajo dejanja obdelave, pri katerih je treba zaradi njihove narave, obsega in/ali namenov posameznike redno in sistematično obsežno spremljati. Sem sodijo, npr. banke, zavarovalnice, operaterji elektronskih komunikacij, trgovci s klubi zvestobe. Prav tako bi sem sodile kadrovske agencije, številne spletne trgovine in IT podjetja, ki vzdržujejo rešitve za obdelavo osebnih podatkov posameznikov, npr. sistemi za upravljanje podatkov kupcev in njihovo profiliranje (upravljanje odnosov s strankami, angl. CRM), zdravstveni IT sistemi. Proizvodna podjetja in druga podjetja, katerih temeljne storitve niso namenjene posameznikom, temveč drugim podjetjem in ki ne vključujejo obsežne obdelave osebnih podatkov, niso dolžna imenovati pooblaščene osebe.
3. Tista podjetja in institucije, ki izvajajo obsežno obdelavo zdravstvenih in drugih občutljivih podatkov, ki sodijo med t.i. posebne vrste podatkov, npr. bolnišnice in klinike, zdravstveni in socialno-varstveni zavodi, ponudniki zdravstvenih informacijskih sistemov in storitev. Posamezen zasebni zdravnik, zobozdravnik ali odvetnik ni dolžan imenovati pooblaščene osebe.

Na spletni strani informacijskega pooblaščenca pa lahko pridobite več informacij v zvezi s samim imenovanjem DPO in pogoji, ki jih mora ta izpolnjevati.

ZVOP-2 vzpostavlja možnost nadzornega organa, tj. Informacijskega pooblaščenca, da izreka globe, določene s Splošno uredbo. Ta določbe o upravnih globah, ki se zaradi kršitev obveznosti iz Splošne uredbe lahko izrečejo pravnim osebam, vsebuje v 83. členu. ZVOP-2 dodatno določa še globe, ki se lahko zaradi teh istih kršitev izrečejo odgovornim osebam teh pravnih oseb.

Poleg tega ZVOP-2 predpisuje še globe za kršitev določenih obveznosti iz samega ZVOP-2.