Zahteve 23. člena ZVOP-2

Datum

29.07.2024

Številka

07121-1/2024/877

Kategorije

Varnost osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zahtev 23. člena ZVOP-2.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec oziroma obdelovalec mora sam opraviti presojo, ali za posamezni informacijski sistem, v katerem obdeluje osebne podatke, veljajo obveznosti iz 23. člena ZVOP-2.

IP meni, da so določbe prvega odstavka, na katere se kasneje navezujejo tudi določbe preostalih odstavkov 23. člena ZVOP-2, primarno nanašajo na posebej pomembne zbirke osebnih podatkov na določenih področjih, ki so še posebej pomembna za državo. Vendar pa je treba v vsakem konkretnem primeru presoditi, ali gre dejansko za obdelave, ki sodijo pod 23. člen ZVOP-1.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov presojati konkretnih dejan obdelave osebnih podatkov oziroma v vašem primeru v okviru neobvezujočega mnenja ne more podati dokončnega odgovora na vaše konkretno vprašanje.

IP tako splošno pojasnjuje, da je zakonodajalec v 23. členu ZVOP-2 opredelil nekatere zbirke osebnih podatkov, ki zaradi narave podatkov, ki jih vsebujejo, velikosti zbirke ali drugih lastnosti zbirke ali vsebovanih podatkov predstavljajo posebej veliko tveganje za pravice in svoboščine posameznikov, zato jih je podredil posebnim varnostnim zahtevam. Kriteriji za določitev posebej tveganih zbirk so opredeljeni v prvem odstavku 23. člena.

IP posebej poudarja, da se zahteve prvega odstavka 23. člena ZVOP-2 (pretežno) ne nanašajo neposredno na upravljavce oziroma obdelovalce osebnih podatkov, kot je sicer primer pri večini ostalih določbah ZVOP-2, ki veljajo bodisi za ene bodisi za druge ali za oboje, temveč veljajo zahteve prvega odstavka 23. člena ZVOP-2 za informacijske sisteme, navedene v točkah 1. do 4. prvega odstavka 23. člena ZVOP-2. Za posamezne upravljavce oziroma obdelovalce je tako treba njihovo zavezanost po 23. členu ZVOP-2 preveriti predvsem z vidika njihovih lastnih informacijskih sistemov, s katerimi sami upravljajo. Glede na navedeno je pri kateremkoli od njih treba preveriti, ali gre pri njih za obstoj okoliščin oziroma kriterijev, ki so navedeni v točkah 1 do 4 prvega odstavka 23. člena ZVOP-2.

IP meni, da so določbe prvega odstavka, na katere se kasneje navezujejo tudi določbe preostalih odstavkov 23. člena ZVOP-2, primarno nanašajo na posebej pomembne zbirke osebnih podatkov na določenih področjih, ki so še posebej pomembna za državo, kot so recimo zdravstvo, obramba in notranje-upravne zadeve. Gre za določene zbirke, ki so zaradi svoje velikosti, podatkov, ki se v njej obdelujejo ali drugih lastnosti, posebej občutljive – zanje se določa poseben sistem varovanja. IP meni tudi, da se določbe 23. člena ZVOP-2 nanašajo na zbirke osebnih podatkov oziroma informacijske rešitve, ki jih opredeljujejo v 23. členu ZVOP-2 določeni zakoni in ne tudi na druge zbirke osebnih podatkov, ki jih sicer vodijo zavezanci (npr. kadrovske evidence, programske rešitve za nabavo opreme ipd.), vendar pa IP vnaprej in izven konkretnega nadzornega postopka ne more presojati, katere konkretne informacijske rešitve oziroma deli so to in katere ne, zlasti z vidika njihove morebitne integracije.

IP povzema, da je treba v vsakem konkretnem primeru presoditi, ali gre dejansko za obdelave, ki sodijo pod 23. člen ZVOP-1. Prav tako brez poznavanja konkretnih okoliščin obdelav osebnih podatkov pri posameznem upravljavcu oziroma obdelovalcu, t.j. podlage za obdelavo podatkov in števila zadevnih posameznikov, ni mogoče ugotoviti, ali je le-ta zavezanec po 2., 3. ali 4. točki prvega odstavka 23. člena ZVOP-2.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka