Uničenje podatkov

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše vprašanje. Sprašujete, ali za uničenje osebnih podatkov, ki jih imate v hrambi 30 dni od javnega dogodka, zadošča uničevalnik papirja (shreder)?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. 

Upravljavec osebnih podatkov mora skladno s Splošno uredbo in ZVOP-1 sprejeti primerne tehnične in organizacijske ukrepe za zavarovanje osebnih podatkov (predvsem 24., 25. in 32. člen Splošne uredbe ter 24. in 25. člen ZVOP-1), v vašem primeru tudi glede uničenja osebnih podatkov, saj po Splošni uredbi tudi uničenje osebnih podatkov šteje kot »obdelava« osebnih podatkov. Tako 4. točka prvega odstavka 24. člena ZVOP-1 določa, da je treba sprejeti organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se zagotavlja učinkovit način blokiranja, uničena, izbrisa ali anonimiziranja osebnih podatkov. Konkretnega odgovora na vaše vprašanje vam v okviru mnenja žal ne smemo in ne moremo podati. Način uničenja osebnih podatkov je odločitev upravljavca, ki temelji na različnih dejavnikih (narava, obseg, okoliščine in nameni obdelave, pa tudi tveganja za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti). Z drugimi besedami, upravljavec naj izhaja predvsem iz varnostnih tveganj, ki obstajajo pri upravljavcu, v okviru katerih se presodi tudi ustreznost celotnega postopka uničenja podatkov na predvideni način. 

Glede uničenja osebnih podatkov si lahko preberete že izdani mnenji IP št. 712-1/2019/1387 z dne 3.6.2019 in št. 0712-1/2019/521 z dne 6.3.2019. Več informacij o zavarovanju osebnih podatkov je dostopnih v Smernicah IP glede zavarovanja osebnih podatkov:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf

Dodatne informacije glede zavarovanja osebnih podatkov po Splošni uredbi so dosegljive na:

https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/zavarovanje-oz-varnost-osebnih-podatkov/.

V upanju, da so vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                              

Barbara Pirš, univ.dipl.prav.,

Svetovalka Pooblaščenca za preventivo