Uničenje dokumentov
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 27.01.2008Številka: 0712-36/2008/2
Kategorije: Pogodbena obdelava OP Spoštovani,
Informacijski pooblaščenec (v nadaljevanju: Pooblaščenec) je prejel vaše elektronsko sporočilo, v katerem navajate, da ste uvoznik blagovne znamke ... v Sloveniji. Radi bi se znebili starejših kopij garancijskih zahtevkov iz leta 2004. Ti zahtevki vsebujejo delovne naloge ter garancijske zahtevke, poslane s strani vaše pooblaščene servisne mreže in vsebujejo, poleg podatkov o samem popravilu in vozilu, tudi podatke o lastnikih vozil (ime, priimek, naslov ter pošta). Sprašujete, ali lahko predate te papirje po ustaljeni poti (karton, papir...) DINOS-u ali je treba postopati drugače, npr. komisijsko uničenje. Navajate še, da gre nekako za slab kubični meter papirja.
Način uničenja kopij garancijskih zahtevkov iz leta 2004 je prepuščen svobodni odločitvi vsakega upravljavca osebnih podatkov, torej vaši odločitvi.
O b r a z l o ž i t e v:
Pooblaščenec je z vidika pristojnosti, ki jih ima po 2. členu Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – odl. US), preučil vaše vprašanje in vam, na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo; v nadaljevanju: ZVOP-1-UPB1), posreduje odgovor kot neobvezno mnenje.
Rok hrambe ZVOP-1-UPB1 določa v 21. členu. Po določbi prvega odstavka 21. člena ZVOP-1-UPB1 se osebni podatki lahko shranjujejo le toliko časa, dokler je to potrebno za dosego namena, zaradi katerega so se zbirali ali nadalje obdelovali. Po izpolnitvi namena obdelave se osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače (drugi odstavek 21. člena ZVOP-1-UPB1).
Iz vašega elektronskega sporočila je sklepati, da je namen hrambe kopij garancijskih zahtevkov iz leta 2004 že dosežen in je treba te kopije, v skladu z določbo drugega odstavka 21. člena ZVOP-1-UPB1, uničiti. Določbe ZVOP-1-UPB1 pa samega načina oziroma postopka uničenja osebnih podatkov ne določajo, zato je načina uničenja prepuščen svobodni odločitvi vsakega upravljavca osebnih podatkov, torej vaši odločitvi.
Kopije garancijskih zahtevkov iz leta 2004 lahko uničite, kot navajate v elektronskem sporočilu, po ustaljeni poti (karton, papir...). Ker pa niste podrobneje navedli, na kakšen način bodo kopije garancijskih zahtevkov iz leta 2004 prinesene DINOS-u v uničenje (Pooblaščenec sklepa, da jih boste vložili v kartonske škatle in te bodisi sami bodisi preko druge osebe pripeljali na DINOS), vas opozarjamo na določbo 11. člena ZVOP-1-UPB1, ki jo boste morali spoštovati za primer prenosa garancijskih zahtevkov iz leta 2004 preko druge osebe na DINOS. Namreč v tem primeru bo vaša gospodarska družba, kot upravljavec zbirke osebnih podatkov primarno odgovarjala za zavarovanje osebnih podatkov vse do trenutka njihovega uničenja.
Besedilo 11. člena ZVOP-1-UPB1 se glasi: »Upravljavec osebnih podatkov lahko posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena tega zakona (prvi odstavek). Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena ZVOP-1-UPB1. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena ZVOP-1-UPB1 (drugi odstavek). V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon (tretji odstavek). V primeru prenehanja pogodbenega obdelovalca se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov (četrti odstavek).«.
Po citirani določbi lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena tega zakona (prvi odstavek). Ta določba torej upravljavcu osebnih podatkov omogoča, da posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo poveri drugi pravni osebi ali zasebniku, ki osebne podatke obdeluje v imenu in za račun upravljavca, pri čemer pa morajo biti izpolnjeni določeni pogoji. Ti pogoji so:
1. pogodbeni obdelovalec mora biti registriran za opravljanje takšne dejavnosti, to je registriran na primer za obdelavo podatkov (dejavnost pod šifro 72.300 iz uredbe, ki ureja uvedbo in uporabo standardne kvalifikacije dejavnosti).
2. pogodbeni obdelovalec mora zagotavljati ustrezne postopke in ukrepe iz 24. člena ZVOP-1-UPB1 (gre za organizacijske, tehnične in logično-tehnične postopke ter ukrepe za zavarovanje osebnih podatkov);
3. medsebojne pravice in obveznosti morajo biti urejene v pogodbi, ki mora biti obvezno sklenjena v pisni obliki in mora obvezno vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, upravljavec osebnih podatkov pa mora izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov tudi nadzorovati. Če pogodba ni sklenjena v pisni obliki ali pa v pogodbi pogoji in ukrepi za zagotovitev varstva osebnih podatkov in njihovega zavarovanja niso določeni, kakor tudi če v pogodbi ni določb o nadzoru nad pogodbenim obdelovalcem, bi to pomenilo prekršek po 2. točki prvega odstavka 91. člena ZVOP-1-UPB1, državni nadzornik za varstvo osebnih podatkov pa lahko v takšnem primeru na podlagi 2. točke prvega odstavka 54. člena ZVOP-1-UPB1 z odločbo prepove nadaljnjo obdelavo osebnih podatkov. Poleg tega lahko v primeru, ko pogodba nima predpisane oblike, pride v poštev tudi določba 55. člena Obligacijskega zakonika (Uradni list RS, št. 81/01), ki določa, da je pogodba, ki ni sklenjena v predpisani obliki, nična, če iz namena predpisa, s katerim je določena oblika, ne izhaja kaj drugega.
Iz navedenega je zaključiti, da je vse do uničenja garancijskih zahtevkov bistveno, da so osebni podatki na teh zahtevkih ustrezno zavarovani (24. člen ZVOP-1-UPB1).
Kršitev določbe 21. člena je ustrezno sankcionirana v 9. točki prvega odstavka 91. člena ZVOP-1-UPB1.
Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka