Prijava zbirk podatkov
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 07.07.2016Številka: 0712-1/2016/1443
Kategorije: Register zbirk osebnih podatkov, Moderne tehnologije, Delovna razmerja Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem nas prosite za mnenje, ali morate prijaviti zbirko osebnih podatkov zaposlenih v primeru, ko gre za fazo konfiguriranja in testiranja nove rešitve za upravljanje s kadri (HRM). Kot ste pojasnili, morajo določeni zaposleni za konfiguriranje in testiranje nove rešitve v sistem naložiti nekaj osebnih podatkov zaposlenih. Zanima vas, ali je treba Informacijskega pooblaščenca v tem primeru obvestiti že v tej fazi ali šele pred dejanskim operativnim zagonom nove rešitve. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Informacijski pooblaščenec uvodoma pojasnjuje, da bi morali imeti zbirke osebnih podatkov že prijavljene v registru zbirk osebnih podatkov, ki ga vodi pooblaščenec (https://www.ip-rs.si/varstvo-osebnih-podatkov/register-zbirk/), razen če je v vašem primeru podana katera od izjem glede dolžnosti prijave zbirk, ki jih določa 7. člen ZVOP-1. Če je takšna izjema podana, potem tudi pri novi rešitvi za upravljanje s kadri niste dolžni prijaviti zbirk v register zbirk osebnih podatkov. Glede na to, da vašega podjetja ne najdemo v registru, mogoče sploh niste dolžni prijaviti zbirk (npr. če imate manj kot 50 zaposlenih in obdelava občutljivih osebnih podatkov ni del vaše registrirane dejavnosti).Glede vašega vprašanja, ali je treba zbirke osebnih podatkov prijaviti že pred testiranjem rešitve ali šele v fazi operativnega delovanja rešitve pojasnjujemo, da je odgovor odvisen od podatkov, ki se bodo obdelovali v namene testiranja. Praviloma naj bi konfiguracija in testiranje potekalo na testnih podatkih (npr. izmišljenih ali anonimiziranih podatkih) in ne na dejanskih podatkih. Če je temu tako, potem v tej fazi ni treba prijaviti zbirk osebnih podatkov, temveč prijavite zbirke 15 dni pred vzpostavitvijo zbirke osebnih podatkov, t.j. 15 dni pred operativnim zagonom nove rešitve. Če pa bi vendarle morali testirati na dejanskih podatkih, potem je treba prijavo (če za vas ne veljajo izjeme iz 7. člena ZVOP-1), opraviti 15 dni pred samim nalaganjem osebnih podatkov za namene konfiguracije in testiranja delovanja nove rešitve.S prijaznimi pozdravi,Informacijski pooblaščenec:
Mojca Prelesnik, univ.dipl.prav.,
pooblaščenka
Pripravil:
mag. Andrej Tomšič, namestnik informacijske pooblaščenke