Informacijski pooblaščenec Republika Slovenija
    SLO | ENG
dekorativna slika

Mnenja - VOP

+ -
Datum: 26.08.2009
Naslov: Notranja revizija v javnem zavodu, kdo jo lahko izvaja
Številka: 0712–398/2009/2
Vsebina: Pogodbena obdelava OP
Pravni akt: Mnenje

Spoštovani,

Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je 21. 8. 2009 prejel vaše elektronsko sporočilo, v katerem navajate, da ste imeli v javnem zavodu, v katerem ste zaposleni, v letih 2007 in 2008 reviziji, ki sta bili brez pripomb. Direktorica je sedaj naročila ponovno revizijo, ki jo izvaja revizorka, ki je v svaštvu z direktorico. Z revizorko ni sklenjena nobena pogodba. Direktorica pravi, da je revizorka v podjetju kot njena osebna svetovalka, ker direktorica vsega sama ne razume. Zanima vas, če lahko omenjena revizorka pregleduje vso finančno dokumentacijo in vse papirje, ki se tičejo javnega zavoda.  

Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka  49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo; ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 s spremembami in dopolnitvami; ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Pooblaščenec ugotavlja, da glede na določilo 9. člena ZVOP-1 revizorka, ki z javnim zavodom nima sklenjene pogodbe o izvedbi notranje revizije ter kot notranji revizor ni zaposlena v javnem zavodu ali pri ministrstvu, pristojnem za finance, nima zakonite podlage za obdelavo osebnih podatkov za namene izvedbe notranje revizije v skladu s 100. členom ZJF.

V kolikor gre v konkretnem primeru za obdelavo osebnih podatkov v druge namene in ne za namene notranje revizije, bi morala imeti omenjena revizorka z javnim zavodom sklenjeno pogodbo v skladu z 11. členom ZVOP-1.

O b r a z l o ž i t e v:

Pooblaščenec uvodoma pojasnjuje, da se njegovo mnenje, ki sledi v nadaljevanju, omejuje izključno le na področje posredovanja osebnih podatkov zaposlenih pri upravljavcu uporabniku oziroma pogodbenemu obdelovalcu in ne na posredovanje drugih finančnih podatkov javnega zavoda, saj v tem delu Informacijski pooblaščenec po določbah ZInfP, nima pristojnosti dajati mnenj.

ZVOP-1 določa pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov. V 6. točki 6. člena ZVOP-1 je določeno, da je upravljavec fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Iz 8. točke prvega odstavka 6. člena ZVOP-1 obenem izhaja, da je uporabnik osebnih podatkov fizična, pravna ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki. Takšna definicija dejansko pomeni, da se za uporabnika osebnih podatkov šteje katerakoli oseba, ki se ji posredujejo ali razkrivajo osebni podatki. Glede na vaš opis dejanskega stanja Pooblaščenec najprej pojasnjuje, da ste v konkretnem primeru upravljavec osebnih podatkov vi, uporabnik osebnih podatkov pa omenjena revizorka.

Glede vprašanja dopustnosti oziroma zakonitosti posredovanja osebnih podatkov uporabnikom s strani upravljavcev osebnih podatkov, je treba najprej upoštevati splošne določbe o pravnih podlagah za obdelavo osebnih podatkov iz 8., 9. in 10. člena ZVOP-1.

Osebni podatki v javnem sektorju, v katerega sodijo tudi javni zavodi, se v skladu s prvim odstavkom 9. člena ZVOP-1, lahko obdelujejo samo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Iz navedb v vašem vprašanju izhaja, da oseba, ki jo je v javni zavod pripeljala direktorica, opravlja nadzor nad finančnim poslovanjem javnega zavoda. Nadzor nad finančnim poslovanjem v javnih zavodih določata Zakon o računskem sodišču (Ur.l. RS, št. 11/2001 s spremembami in dopolnitvami; ZRacS-1) ter Zakon o javnih financah (Ur.l. RS 79/1999 s spremembami in dopolnitvami; ZJF).

Računsko sodišče Republike Slovenije je v skladu s 1. členom ZRacS najvišji revizijski organ za kontrolo državnih računov, državnega proračuna in celotne javne porabe v Republiki Sloveniji, ki opravlja revizije tudi v javnih zavodih. Iz navedb v vašem vprašanju izhaja, da v vašem primeru ne gre za tovrstno revizijo.

Ker iz vašega vprašanja ni natančno razvidno ali gre v konkretnem primeru za izvajanje notranje revizije ali morda za kakšno drugo vrsto obdelave osebnih podatkov s strani navedene revizorke, Pooblaščenec v nadaljevanju podaja mnenje za oba primera.

Za izvedbo notranjih revizij neposrednih in posrednih proračunskih uporabnikov ZJF v 100. členu določa, da je za vzpostavitev in delovanje ustreznega sistema finančnega poslovodenja in kontrol ter notranjega revidiranja odgovoren predstojnik neposrednega in posrednega uporabnika. Direktor javnega zavoda je v skladu z 31. členom Zakona o zavodih (Ur.l. RS, št. 12/1991 s spremembami in dopolnitvami; ZZ) tisti, ki organizira in vodi delo in poslovanje zavoda, predstavlja in zastopa zavod in je odgovoren za zakonitost dela zavoda, kar pomeni, da je njegov predstojnik v smislu določbe 100. člena ZJF. Nadalje isti člen ZJF določa, da notranje revidiranje izvajajo notranji revizorji. Pri opravljanju revizij mora imeti notranji revizor prost dostop do prostorov, dokumentov in oseb, povezanih z revizijo. Občine in ostali neposredni in posredni uporabniki državnega in občinskih proračunov, ki zaradi gospodarnosti poslovanja ne organizirajo notranje revizijske službe, lahko te naloge poverijo zunanjim izvajalcem, pooblaščenim za notranje revidiranje, ki morajo te naloge opravljati skladno s predpisanimi standardi, ali pa ministrstvu, pristojnemu za finance. Notranji revizorji so torej lahko zaposleni v javnem zavodu, ministrstvu, pristojnem za finance ali najeti zunanji strokovni izvajalci, ki imajo naziv državni notranji revizor ali preizkušeni državni notranji revizor. V kolikor gre za zunanje strokovne izvajalce, morajo ti imeti za zakonito izvedbo notranje revizije in s tem tudi za zakonito obdelavo osebnih podatkov, na podlagi določil ZJF sklenjeno pogodbo z javnim zavodom o izvedbi notranje revizije.

Kot rečeno iz vašega vprašanja ne izhaja, da omenjena revizorka v javnem zavodu opravlja naloge notranje revizije, zato Pooblaščenec opozarja tudi na določbo 11. člena ZVOP-1, ki ureja pogodbeno obdelavo osebnih podatkov. ZVOP-1 v prvem odstavku 11. člena določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena ZVOP-1. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena ZVOP-1. Pri tem je ključnega pomena, da lahko pogodbeni obdelovalci opravljajo storitve obdelave osebnih podatkov samo v okviru pooblastil, ki morajo biti s tovrstno pogodbo natančno določena in da podatkov ne smejo obdelovati ali drugače uporabljati za noben drug namen. Pogodbeni obdelovalec sme opravljati posamezna opravila v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Navedeno torej pomeni, da bi morala imeti omenjena revizorka v navedenem primeru sklenjeno pogodbo v skladu z 11. členom ZVOP-1, v nasprotnem primeru gre lahko za nezakonito obdelavo osebnih podatkov.

Pooblaščenec ob koncu zgolj pojasnjuje še, da so posamezniki, katerih osebni podatki bi se obdelovali v konkretnem primeru, javni uslužbenci, za katere velja 38. člen Zakona o sistemu plač v javnem sektorju (Ur.l. RS, št. 95/2007, v nadaljevanju ZSPJS), ki pravi, da so plače v javnem sektorju javne, pri čemer so javnosti dostopni podatki o delovnem mestu, nazivu ali funkciji, o osnovnih plačah, o dodatkih ter delu plače za delovno uspešnost, razen dodatka za delovno dobo. Ob navedenem velja opozoriti tudi na določbo tretjega odstavka 6. člena Zakona o dostopu do informacij javnega značaja (Ur.l. RS, št. 51/06- uradno prečiščeno besedilo in 117/06 – ZDavP2; ZDIJZ), iz katerega izhaja, da podatki o porabi javnih sredstev ali podatki, povezani z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, predstavljajo prosto dostopne informacije javnega značaja. V tem delu ima do navedenih informacij prost dostop vsakdo, tudi omenjena revizorka.

V upanju, da smo odgovorili na vaše vprašanje, vas lepo pozdravljamo,


Informacijski pooblaščenec:
Nataša Pirc Musar, univ.dipl.prav.,
pooblaščenka