Ali se št zaposlenih sešteva v povezanih družbah
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 08.08.2007Številka: 0712-729/2007/2
Kategorije: Register zbirk osebnih podatkov Spoštovani,
prejeli smo vaše elektronsko vprašanje z dne 08.08.2007.
1. V njem nas sprašujete, ali mora podjetje (d.o.o), ki zaposluje manj kot 50 zaposlenih in se ukvarja z davčnim in finančnim svetovanjem ter upravlja s skladi, sprejeti pravilnik o zavarovanju osebnih podatkov.
2. Zanima vas, ali mora podjetje, ki skupaj s povezanimi družbami presega 50 zaposlenih, prijaviti kataloge zbirk osebnih podatkov.
3. Sprašujete pa tudi, kateri so predpisani elementi za pripravo kataloga zbirke osebnih podatkov, ki jih je potrebno posredovati Informacijskemu pooblaščencu ter kdaj in na kakšen način mora podjetje posredovati podatke Informacijskemu pooblaščencu.
Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07 – ZUstS-A in 67/2007 – ZVOP-1A, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Na seji dne 12.7.2007 je bil v Državnem zboru Republike Slovenije sprejet Zakon o spremembah in dopolnitvah Zakona o varstvu osebnih podatkov (v nadaljevanju ZVOP-1A) in je začel veljati naslednji dan po objavi v Uradnem listu Republike Slovenije št. 67/2007 z dne 27.7.2007, z izjemo 3. člena ZVOP-1A, ki se bo začel uporabljati šestdeseti dan po objavi tega zakona.
Novost, ki jo prinaša ZVOP-1A, je predvsem razbremenitev obveznosti delodajalcev, ki imajo manj kot 50 zaposlenih, glede izdelave notranjega pravnega akta o postopkih in ukrepih za zavarovanje osebnih podatkov (t.j. pravilnika o zavarovanju zbirk osebnih podatkov), vzpostavitve kataloga zbirk osebnih podatkov ter posredovanja podatkov Državnemu nadzornemu organu za varstvo osebnih podatkov (informacijski pooblaščenec). Četrti odstavek 7. člena ZVOP-1 namreč določa, da upravljavcem zbirk osebnih podatkov z manj kot 50 zaposlenimi ni potrebno izpolniti obveznosti iz drugega odstavka 25. člena in obveznosti iz 26. ter 27. člena tega zakona.
Potrebno pa je opozoriti na določbo petega odstavka 7. člena ZVOP-1, ki predvideva odstopanje od izjeme, navedene v četrtem odstavku 7. člena ZVOP-1. Kategorije upravljavcev, za katere določbe o zmanjšanju obveznosti ne veljajo zaradi narave njihove dejavnosti, so: upravljavci osebnih podatkov iz javnega sektorja, notarji, odvetniki, detektivi, izvršitelji, izvajalci zasebnega varovanja, zasebni zdravstveni delavci in izvajalci zdravstvenih storitev ter upravljavci osebnih podatkov, ki vodijo zbirke, ki vsebujejo občutljive osebne podatke in je obdelava občutljivih osebnih podatkov del njihove registrirane dejavnosti.
Davčno in finančno svetovanje ter upravljanje s skladi, ki ga opravlja podjetje, za katerega sprašujete, tako ne sodi med dejavnosti, za katere velja peti odstavek 7. člena ZVOP-1, zato podjetje ni dolžno izpolniti obveznosti iz drugega odstavka 25. člena.
Glede povezanih družb po ZVOP-1 velja, da je vsaka gospodarska družba, ki je samostojna pravna oseba, samostojen upravljavec osebnih podatkov v smislu 6. točke 6. člena ZVOP-1. Le-ta določa, da je upravljavec osebnih podatkov fizična ali pravna oseba, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov. Iz tega izhaja, da se izjema iz četrtega odstavka 7. člena ZVOP-1 nanaša na vsako gospodarsko družbo kot samostojnega upravljavca osebnih podatkov posebej, število zaposlenih v obeh (oz. vseh) povezanih družbah pa se ne sešteva.
Zakon o varstvu osebnih podatkov v četrtem poglavju predpisuje obveznost obveščanja o zbirkah osebnih podatkov. Prvi odstavek 26. člena ZVOP-1 podrobneje določa vsebino kataloga zbirk osebnih podatkov, in sicer:
1. naziv zbirke osebnih podatkov;
2. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko);
3. pravno podlago za obdelavo osebnih podatkov;
4. kategorije posameznikov, na katere se nanašajo osebni podatki;
5. vrste osebnih podatkov v zbirki osebnih podatkov;
6. namen obdelave;
7. rok hrambe osebnih podatkov;
8. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev;
9. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov;
10. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa;
11. splošen opis zavarovanja osebnih podatkov;
12. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig;
13. podatke o zastopniku iz tretjega odstavka 5. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).
Z izjemo 3., 7. in 8. točke, ki so neobvezne kategorije, mora upravljavec podatke iz prvega odstavka 26. člena posredovati Pooblaščencu najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov.
Pravilnik o metodologiji vodenja registra zbirk osebnih podatkov (Uradni list RS, št. 28/2005), ki si ga lahko ogledate na naši spletni strani www.ip-rs.si in podrobneje določa način posredovanja podatkov Informacijskemu pooblaščencu. Pooblaščenec opozarja, da je že nekaj časa obvezen vnos v register preko spletnega obrazca na spletni strani http://www.ip-rs.si/http://www2.ip-rs.si/varstvo-osebnih-podatkov/register-zbirk/.
Prijeten pozdrav,
Informacijski pooblaščenec:
Nataša Pirc Musar, univ.dipl.prav.,
pooblaščenka