Obveznosti društva po GDPR
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 26.10.2021Številka: 07121-1/2021/2133
Kategorije: Društva, Informiranje posameznika
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede določenih obveznosti s področja varstva osebnih podatkov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
IP pojasnjuje, da v okviru nezavezujpčega mnenja ne more konkretno opredeliti, kaj vse mora vaše društvo zagotoviti za skladnost s Splošno uredbo o varstvu podatkov in drugimi predpisi s področja varstva podatkov.
IP vas zato uvodoma splošno usmerja na nekaj ključnih povezav, smernic in drugih informacij, ki vam bodo v pomoč pri zagotavljanju skladnosti s pravili varstva osebnih podatkov:
- spletna stran, namenjena za pomoč majhnim in srednje velikim podjetjem, ki jo je pripravil IP:
- spletna stran, ki opredeljuje in pojasnjuje ključna področja Splošne uredbe o varstvu podatkov:
- Priročniki in smernice IP, kjer boste našli podrobnejše napotke po posameznih področjih. Glede na navedbe v vašem zaprosilu za mnenje priporočamo zlasti: »Društva in varstvo osebnih podatkov«:
ter »Organizacija dogodkov in varstvo osebnih podatkov«:
- Mnenja o posameznih vprašanjih, na katera je IP že odgovarjal, najdete na spletni strani IP:
IP obenem še splošno pojasnjuje, da izredno pomemben in žal pogosto zapostavljen vidik vsake obdelave osebnih podatkov predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. Že uvodna določba št. 39 Splošne uredbe o varstvu podatkov med drugim določa, da načelo preglednosti zahteva, da so vse informacije in sporočila, ki se nanašajo na obdelavo osebnih podatkov, lahko dostopni in razumljivi ter izraženi v jasnem in preprostem jeziku. To načelo pa zadeva zlasti informacije za posameznike, na katere se nanašajo osebni podatki, o identiteti upravljavca in namenih obdelave ter dodatne informacije za zagotovitev poštene in pregledne obdelave glede zadevnih posameznikov in njihove pravice do pridobitve potrditve in sporočila o obdelavi osebnih podatkov v zvezi z njimi.
IP pojasnjuje, da so informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, z vidika varstva osebnih podatkov na splošno urejene v členih 13 in 14 Splošne uredbe o varstvu podatkov.
Skladno z določbo 13. člena Splošne uredbe o varstvu podatkov je dolžan upravljavec v primeru, kadar so bili osebni podatki pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije:
- identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;
- kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja;
- namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
- kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;
- uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo;
- kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo;
- tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena.
Dodatno drugi odstavek 13. člena Splošne uredbe o varstvu podatkov zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu. Podobno 14. člen Splošne uredbe o varstvu podatkov določa informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, kadar osebni podatki niso bili pridobljeni od njega.
Informacije se v vsakem primeru posamezniku dajo na način, določen v 12. členu Splošne uredbe o varstvu podatkov. Informacije morajo biti torej podane na lahko dostopen način in predstavljene v jasnem in razumljivem jeziku, ki je prilagojen glede na tipičnega uporabnika vaših storitev oziroma člana vašega društva.
Posameznike je torej treba seznaniti z vsemi informacijami v zvezi z obdelavo njihovih osebnih podatkov, ki jih predpisujeta člena 13 oziroma 14 Splošne uredbe o varstvu podatkov. Med informacije, s katerimi je treba seznaniti uporabnike, štejejo tudi obvestila o pravicah, ki gredo posameznikom po Splošni uredbi o varstvu podatkov in o roku hrambe osebnih podatkov. IP je za pomoč upravljavcem pri seznanjanju svojih uporabnikov/strank glede obdelave osebnih podatkov pripravil tudi vzorca obvestil, ki sta dostopna na spletni strani IP:
Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe)
S spoštovanjem.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca
za varstvo osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.,
Informacijska pooblaščenka