Vzorec dnevnika obdelave

Datum

04.03.2025

Številka

07121-1/2025/289

Kategorije

Delovna razmerja, Evidence dejavnosti obdelave

Pri Informacijskem pooblaščencu (IP) smo 27.2.2025 prejeli vaše zaprosilo za mnenje glede dnevnika obdelave. Zanima vas ali obstaja vzorec dnevnika obdelave po 22. členu ZVOP-2, saj vaša družba pri svojem delu obdeluje osebne podatke delavcev v okviru programov za obračun plač in kadrovskih evidenc.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. 22. člen ZVOP-2 določa obveznost vodenja dnevnika obdelave, njegovo vsebino, namen njegove uporabe in rok hrambe.

2. Dnevniki obdelave so namenjeni zagotavljanju t.i. sledljivosti (revizijski sledi) dejanj obdelave osebnih podatkov, zagotavljati pa morajo (najmanj) vrsto dejanja obdelave, datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov, da je mogoče naknadno ugotoviti točno identiteto teh oseb. Vsak posamezni upravljavec lahko ob upoštevanju ocene učinka določi dodatne vsebine dnevnika obdelave.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašimi vprašanji.

Vzorec dnevnika obdelave ni predpisan, niti IP ni pripravil obrazca, s katerim bi si upravljavci lahko pomagali, zato vam posredujemo samo splošne usmeritve.

Skladno s prvim odstavkom 22. člena ZVOP-2 upravljavci vodijo dnevnik obdelave, kadar se v avtomatiziranih sistemih obdelave osebnih podatkov izvajajo obsežne obdelave posebnih vrst osebnih podatkov, ali kadar gre za redno in sistematično spremljanje posameznikov, ali kadar je z oceno učinka ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati z vodenjem dnevnika obdelave, ali če tako določa zakon, o naslednjih dejanjih obdelave osebnih podatkov: zbiranje, spreminjanje, vpogled, razkritje, vključno s prenosi, izbris ter druga dejanja obdelave, ki jih določa zakon.

IP pojasnjuje, da določba 22. člena ZVOP-2 dejansko predstavlja beleženje dostopov do osebnih podatkov (sledljivost) in na podlagi navedene določbe meni, da se obveznost nanaša na posamezne obdelave osebnih podatkov, glede katerih je treba voditi dnevnik obdelave. Če presodite, da je izpolnjen kateri od pogojev – v avtomatiziranem sistemu obdelave se izvajajo obsežne obdelave posebnih vrst osebnih podatkov; gre za redno in sistematično spremljanje posameznikov; z vodenjem dnevnikom obdelave je mogoče učinkovito upravljati s tveganjem, ugotovljenim z oceno učinka, ali pa če tako določa zakon, potem je glede te konkretne obdelave treba voditi dnevnik obdelave. Pojma »redno in sistematično spremljanje posameznikov« Splošna uredba ne opredeljuje, lahko pa več pojasnil o tem preberete v Smernicah EDPB o pooblaščenih osebah za varstvo podatkov, na strani 9. Smernice so dostopne (tudi v slovenskem jeziku) na povezavi: https://ec.europa.eu/newsroom/article29/items/612048.

Več o dnevniku obdelave in o zavarovanju osebnih podatkov lahko preberete na: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/zavarovanje-oz-varnost-osebnih-podatkov.

Dnevniki obdelave so namenjeni zagotavljanju t.i. sledljivosti (revizijski sledi) dejanj obdelave osebnih podatkov, zagotavljati pa morajo (najmanj) vrsto dejanja obdelave, datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov, da je mogoče naknadno ugotoviti točno identiteto teh oseb. Vsak posamezni upravljavec pa lahko ob upoštevanju ocene učinka določi dodatne vsebine dnevnika obdelave.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik,

informacijska pooblaščenka