FAQ – Varstvo osebnih podatkov

Osebni podatek je vsaka informacija, ki se nanaša na določenega ali določljivega posameznika. To niso le ime, priimek, naslov, EMŠO in davčna številka, ampak tudi e-poštni naslov, telefonska številka, fotografija, posnetek videonadzora, IP-naslov, registrska številka vozila, podatki o lokaciji in spletni identifikatorji, kot so piškotki.

Ključno ni, kako podatek poimenujemo, temveč ali je posameznika mogoče prepoznati – neposredno ali s kombiniranjem več podatkov. Podatki pravnih oseb in resnično anonimizirani podatki niso osebni podatki, psevdonimizirani podatki pa to še vedno so.

Posebne vrste osebnih podatkov po 9. členu GDPR so podatki o rasnem ali etničnem poreklu, političnem mnenju, verskem ali filozofskem prepričanju, članstvu v sindikatu, genetski in biometrični podatki za enolično identifikacijo, podatki o zdravstvenem stanju ter podatki o spolnem življenju ali spolni usmerjenosti.

Njihova obdelava je načeloma prepovedana, dovoljena je le ob eni od izjem iz drugega odstavka 9. člena GDPR (na primer izrecna privolitev, obveznosti na področju delovnega prava, zdravstvena oskrba). Podatki o kazenskih obsodbah in prekrških niso posebna vrsta, zanje velja poseben režim po 10. členu GDPR in ZVOP-2.

GDPR (Splošna uredba o varstvu podatkov, Uredba (EU) 2016/679) je evropska uredba, ki se neposredno uporablja v vseh državah članicah od 25. maja 2018. ZVOP-2 je slovenski zakon, ki GDPR ne nadomešča, temveč ga dopolnjuje na področjih, kjer uredba državam članicam dopušča lastno ureditev.

ZVOP-2 tako podrobneje ureja videonadzor, biometrijo, obdelavo podatkov o kazenskih evidencah, povezovanje zbirk, evidence vstopov in izstopov, pooblaščeno osebo za varstvo podatkov ter postopke pred Informacijskim pooblaščencem. V praksi je treba pri vsaki obdelavi preveriti oboje: GDPR kot temelj in ZVOP-2 kot slovensko nadgradnjo.

ZVOP-2 je bil objavljen v Uradnem listu RS, št. 163/22, uporabljati pa se je začel 26. januarja 2023, ko je nadomestil ZVOP-1. Slovenija je bila s tem zadnja država članica EU, ki je sprejela nacionalni izvedbeni zakon h GDPR.

Med glavnimi novostmi so ukinitev registra zbirk osebnih podatkov pri Informacijskem pooblaščencu, podrobnejša pravila o videonadzoru in biometriji, širši krog zavezancev za imenovanje pooblaščene osebe, obvezni dnevniki obdelave za določene obdelave in možnost neposrednega sodnega varstva posameznikov.

Upravljavec je tisti, ki določa namene in sredstva obdelave – na primer podjetje, ki vodi kadrovsko evidenco ali evidenco strank. Obdelovalec pa osebne podatke obdeluje v imenu upravljavca in po njegovih navodilih; to so tipično računovodski servis, ponudnik gostovanja ali oblačne storitve, ponudnik kadrovske programske opreme, agencija za trženje ali zunanji vzdrževalec IT.

Razmerje mora biti urejeno s pisno pogodbo o obdelavi osebnih podatkov po 28. členu GDPR. Odgovornost se s tem ne prenese: upravljavec ostaja odgovoren za izbiro obdelovalca, ki zagotavlja zadostna jamstva.

GDPR v 6. členu določa šest pravnih podlag: privolitev posameznika, izvajanje pogodbe ali ukrepov pred sklenitvijo pogodbe, izpolnitev zakonske obveznosti, zaščita življenjskih interesov, izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti ter zakoniti interes upravljavca.

Pravna podlaga mora biti določena vnaprej, za vsak namen posebej, in je med obdelavo ni mogoče poljubno zamenjati. Javni sektor se na zakoniti interes praviloma ne more sklicevati – za obdelave v okviru javnih nalog potrebuje zakonsko podlago.

Privolitev je potrebna takrat, kadar za obdelavo ni druge ustrezne pravne podlage – tipično pri neposrednem trženju novim strankam, pri objavi fotografij zaposlenih na spletni strani, pri nenujnih piškotkih in pri obdelavi posebnih vrst podatkov brez druge izjeme.

Pogosta napaka je pridobivanje privolitve tam, kjer obdelava temelji na pogodbi ali zakonu. Za izplačilo plače, izdajo računa ali vodenje kadrovske evidence privolitev ni ustrezna podlaga, saj posameznik obdelave v resnici ne more zavrniti.

Privolitev mora biti prostovoljna, konkretna, informirana in nedvoumna ter izražena z jasnim pritrdilnim dejanjem. Vnaprej označena polja, molk ali nadaljnja uporaba spletne strani ne pomenijo veljavne privolitve, prav tako ne privolitev, ki je pogojena z opravljanjem storitve, ki je zanjo ne potrebujemo.

Upravljavec mora znati dokazati, da je bila privolitev dana (6. in 7. člen GDPR), zato je smiselno hraniti zapis o času, obsegu in besedilu privolitve. Posameznik lahko privolitev kadar koli prekliče, in sicer enako preprosto, kot jo je dal; preklic ne vpliva na zakonitost obdelave pred preklicem. Pri pripravi besedil pomaga obrazec za privolitev po GDPR.

V Sloveniji je privolitev otroka za storitve informacijske družbe (spletne storitve, aplikacije, družbena omrežja, spletne igre) veljavna, če je otrok star 15 let ali več. To določa 8. člen ZVOP-2, ki izkorišča možnost iz 8. člena GDPR, da država članica starostno mejo določi med 13. in 16. letom.

Za mlajšega otroka mora privolitev dati ali odobriti nosilec starševske odgovornosti, ponudnik pa se mora z razumnimi ukrepi prepričati, da je bila privolitev res dana. Od otroka prav tako ni dovoljeno zahtevati več osebnih podatkov, kot jih storitev dejansko potrebuje.

Zakoniti interes (člen 6(1)(f) GDPR) dovoljuje obdelavo, kadar je ta nujna za legitimne interese upravljavca ali tretje osebe in nad njimi ne prevladajo interesi ter temeljne pravice posameznika. Tipični primeri so varovanje premoženja, preprečevanje zlorab in goljufij, zagotavljanje informacijske varnosti omrežij ter trženje obstoječim strankam.

Sklicevanje na zakoniti interes je treba vnaprej dokumentirati z oceno zakonitega interesa (LIA), v kateri opredelimo interes, nujnost obdelave in tehtanje s pravicami posameznika. Posameznik ima v teh primerih pravico do ugovora, pri neposrednem trženju pa brezpogojno. Pri pripravi vam lahko pomagamo z izdelavo ocen DPIA in LIA.

Vsak upravljavec in obdelovalec mora voditi evidenco dejavnosti obdelave po 30. členu GDPR. V njej so navedeni nameni obdelave, vrste posameznikov in osebnih podatkov, uporabniki podatkov, morebitni prenosi v tretje države, predvideni roki hrambe in splošen opis varnostnih ukrepov.

Organizacije z manj kot 250 zaposlenimi so izjeme deležne le pogojno – evidenco morajo voditi, če obdelava ni občasna, če lahko pomeni tveganje za pravice posameznikov ali če vključuje posebne vrste podatkov oziroma podatke o kazenskih obsodbah. V praksi to pomeni, da evidenco potrebuje skoraj vsako podjetje z zaposlenimi. ZVOP-2 za nekatere obdelave dodatno zahteva vodenje dnevnikov obdelave. Več o tem na strani Evidence ZVOP-2.

Ocena učinka (DPIA) je obvezna, kadar je verjetno, da bo vrsta obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov (35. člen GDPR). GDPR izrecno navaja sistematično in obsežno avtomatizirano ocenjevanje posameznikov s pravnimi učinki, obsežno obdelavo posebnih vrst podatkov in sistematično obsežno spremljanje javno dostopnega območja.

Informacijski pooblaščenec je objavil seznam vrst obdelav, pri katerih je DPIA obvezna – med drugim obsežna uporaba biometrije, obsežen videonadzor in obdelave z novimi tehnologijami. Če DPIA pokaže veliko preostalo tveganje, ki ga ni mogoče omiliti, je treba pred začetkom obdelave opraviti predhodno posvetovanje z Informacijskim pooblaščencem.

GDPR ne predpisuje točnega seznama dokumentov, zahteva pa, da zna organizacija dokazati skladnost (načelo odgovornosti iz 5. člena). V praksi to pomeni pravilnik o varstvu osebnih podatkov, pravilnik o zavarovanju osebnih podatkov in informacijski varnosti, postopek za obravnavo zahtev posameznikov, postopek ob kršitvi varnosti, politiko hrambe in izbrisa ter pravila o uporabi IT-opreme.

Dodatno so potrebni obvestila o obdelavi (13. in 14. člen GDPR), izjave o zaupnosti za zaposlene, pogodbe o obdelavi z obdelovalci, pravilnik o videonadzoru s sklepom o uvedbi ter politika piškotkov. Pri pripravi vam lahko pomagamo s storitvijo priprave pravilnikov za GDPR in ZVOP-2.

Osebne podatke je dovoljeno hraniti le toliko časa, kolikor je nujno potrebno za dosego namena, zaradi katerega so bili zbrani. ZVOP-2 v 43. členu določa, da je rok hrambe omejen na najkrajše možno obdobje, upravljavec pa mora roke hrambe redno preverjati; po izpolnitvi namena je podatke treba izbrisati, uničiti ali anonimizirati.

Kadar rok določa poseben zakon, velja ta – na primer davčni in računovodski predpisi za izdane račune ali predpisi s področja delovnih razmerij za kadrovsko dokumentacijo. Za obdelave na podlagi privolitve ali zakonitega interesa mora rok določiti upravljavec sam in ga zapisati v evidenco dejavnosti obdelave.

Pogodbo o obdelavi po 28. členu GDPR potrebujemo vedno, kadar osebne podatke v našem imenu obdeluje nekdo drug: računovodski servis, ponudnik gostovanja ali oblačne storitve, ponudnik poslovne programske opreme, zunanji IT-vzdrževalec, agencija za trženje, varnostna služba ali ponudnik uničevanja dokumentacije.

Pogodba mora biti v pisni ali elektronski obliki in določati predmet, trajanje, naravo in namen obdelave, vrste podatkov, obveznost zaupnosti, varnostne ukrepe, pravila o podobdelovalcih, pomoč upravljavcu, ravnanje po koncu storitve ter pravico do revizije. Pogodba brez teh elementov zahtev GDPR ne izpolnjuje.

GDPR v 32. členu zahteva ukrepe, ki ustrezajo tveganju, in navaja psevdonimizacijo in šifriranje, zagotavljanje zaupnosti, celovitosti, dostopnosti in odpornosti sistemov, sposobnost pravočasne ponovne vzpostavitve dostopa po incidentu ter redno testiranje in vrednotenje učinkovitosti ukrepov.

V praksi to pomeni upravljanje dostopnih pravic po načelu najmanjših privilegijev, večfaktorsko avtentikacijo, redno nameščanje popravkov, varnostne kopije in preizkuse obnovitve, šifriranje prenosnih naprav, dnevniške zapise ter redno izobraževanje zaposlenih. ZVOP-2 za nekatere obdelave dodatno zahteva vodenje dnevnikov obdelave.

Kršitev varnosti osebnih podatkov je vsaka kršitev, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov. Sem sodijo izsiljevalski virus, vdor v e-pošto, izgubljen prenosnik ali USB-ključ, pomotoma poslano e-sporočilo z vidnimi naslovi vseh prejemnikov, napačno odložena dokumentacija in nepooblaščen vpogled zaposlenega.

Upravljavec mora kršitev prijaviti Informacijskemu pooblaščencu brez nepotrebnega odlašanja, najpozneje pa v 72 urah od trenutka, ko je zanjo izvedel – razen če ni verjetno, da bi kršitev povzročila tveganje za pravice posameznikov (33. člen GDPR). Prijava po roku je mogoča, a jo je treba obrazložiti. Vse kršitve, tudi neprijavljene, je treba evidentirati v internem registru kršitev.

Posameznike je treba obvestiti takrat, kadar je verjetno, da bo kršitev povzročila veliko tveganje za njihove pravice in svoboščine (34. člen GDPR) – na primer ob razkritju zdravstvenih ali finančnih podatkov, gesel, kopij osebnih dokumentov ali podatkov, ki omogočajo krajo identitete.

Obvestilo mora biti v jasnem in preprostem jeziku ter mora opisati naravo kršitve, kontakt pooblaščene osebe, verjetne posledice in sprejete ukrepe. Obvestilo ni potrebno, če so bili podatki ustrezno šifrirani, če je upravljavec naknadno z ukrepi odpravil veliko tveganje ali če bi obveščanje zahtevalo nesorazmeren napor – v tem primeru zadošča javna objava.

Nadzorni organ v Sloveniji je Informacijski pooblaščenec (IP), ki lahko izdaja opozorila in opomine, odredi uskladitev obdelave, omeji ali prepove obdelavo, odredi izbris podatkov in izreče globo. ZVOP-2 je od leta 2023 vzpostavil pravno podlago, da IP globe za kršitve GDPR v Sloveniji tudi dejansko izreka.

GDPR v 83. členu pozna dva razreda: do 10 milijonov evrov ali 2 % svetovnega letnega prometa za kršitve obveznosti upravljavca in obdelovalca ter do 20 milijonov evrov ali 4 % svetovnega letnega prometa za kršitve načel, pravnih podlag, pravic posameznikov in pravil o prenosih – vedno velja višji od obeh zneskov. Za kršitve, ki jih določa ZVOP-2 sam (na primer nepravilen videonadzor), so predpisane globe po slovenskem prekrškovnem pravu, poleg pravne osebe pa je lahko kaznovana tudi odgovorna oseba. Pri inšpekcijskem postopku vam lahko pomagamo s storitvijo pomoč pri nadzoru.

Vnos osebnih podatkov v orodja umetne inteligence je obdelava osebnih podatkov in zanjo veljajo enaka pravila kot za vse druge obdelave: potrebujete pravno podlago, namen, rok hrambe, obvestilo posameznikom in vpis v evidenco dejavnosti obdelave. Ponudnik orodja je praviloma obdelovalec, zato je potrebna pogodba o obdelavi po 28. členu GDPR in preverba, kje se podatki obdelujejo in ali se uporabljajo za učenje modela.

Brez urejene podlage in ustreznih nastavitev v javna orodja ne sodijo podatki strank in zaposlenih, zdravstveni in finančni podatki, poslovne skrivnosti ter vsebine iz pogodb in kadrovskih map. Priporočljivo je sprejeti interno politiko uporabe umetne inteligence, uporabljati poslovne različice z izključenim učenjem na vnesenih podatkih, podatke pred vnosom psevdonimizirati in zaposlene o pravilih izobraziti. Pri obsežnih ali tveganih obdelavah je treba izvesti tudi oceno učinka (DPIA).

Pooblaščeno osebo morajo po 45. členu ZVOP-2 imenovati vsi upravljavci in obdelovalci, ki jih k temu zavezuje že 37. člen GDPR, vsi upravljavci in obdelovalci v javnem sektorju ter dodatno tisti, ki jim to nalaga ZVOP-2.

Med slednjimi so subjekti, ki na podlagi zakona obdelujejo osebne podatke več kot 100.000 posameznikov (brez videonadzora), tisti, katerih temeljna dejavnost je obsežna obdelava posebnih vrst osebnih podatkov, in tisti, ki posebne vrste podatkov obdelujejo za več kot 10.000 posameznikov. Tudi kadar imenovanje ni obvezno, je pooblaščena oseba pogosto priporočljiva, saj olajša dokazovanje skladnosti. Ponujamo storitve pooblaščene osebe za varstvo podatkov.

Da. GDPR in ZVOP-2 izrecno dopuščata, da je pooblaščena oseba zaposlena pri upravljavcu ali pa naloge opravlja na podlagi pogodbe o storitvah, torej kot zunanji izvajalec. Zunanja pooblaščena oseba je pogosta rešitev v manjših organizacijah, kjer notranjega kadra z ustreznim znanjem ni, ali kadar želi organizacija zagotoviti neodvisnost vloge. Za državne organe velja dodatna omejitev, da mora biti pooblaščena oseba zaposlena v javnem sektorju.

ZVOP-2 v 46. členu določa pogoje: poslovna sposobnost, znanje ali praktične izkušnje s področja varstva osebnih podatkov ter neobstoj pravnomočne obsodbe za ustrezna kazniva dejanja. Vloge ne sme opravljati oseba v nasprotju interesov – praviloma direktor, vodja kadrovske ali IT-službe, skrbnik informacijskega sistema ali vodja informacijske varnosti, torej kdor sam odloča o namenih in sredstvih obdelave.

Naloge pooblaščene osebe so svetovanje upravljavcu in zaposlenim, spremljanje skladnosti z GDPR in ZVOP-2, svetovanje pri ocenah učinka (DPIA), ozaveščanje in usposabljanje zaposlenih, sodelovanje z Informacijskim pooblaščencem ter delovanje kot kontaktna točka za posameznike in nadzorni organ. Pooblaščena oseba mora poročati najvišjemu vodstvu in pri svojem delu ne sme prejemati navodil.

Kontaktne podatke pooblaščene osebe mora organizacija v osmih dneh od imenovanja vpisati v evidenco dejavnosti obdelave, jih objaviti (praviloma na spletni strani) in jih sporočiti Informacijskemu pooblaščencu. Sporočiti je treba ime, delovno mesto, naziv upravljavca, telefon in e-naslov, enako velja za morebitnega namestnika.

Posameznik ima pravico do obveščenosti, dostopa do svojih podatkov in kopije podatkov, popravka netočnih podatkov, izbrisa (»pravica do pozabe«), omejitve obdelave, prenosljivosti podatkov, ugovora zoper obdelavo ter pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov.

Pravice niso absolutne: izbris na primer ni mogoč, kadar zakon predpisuje hrambo, pravica do prenosljivosti pa velja le za podatke, ki jih je posameznik sam posredoval in se obdelujejo avtomatizirano na podlagi privolitve ali pogodbe. Pri neposrednem trženju je ugovor brezpogojen in ga je treba vedno upoštevati. Posameznik lahko vloži prijavo pri Informacijskem pooblaščencu, po 11. členu ZVOP-2 pa ima tudi možnost neposrednega sodnega varstva.

Na zahtevo posameznika je treba odgovoriti brez nepotrebnega odlašanja, najpozneje pa v enem mesecu od njenega prejema. Rok je mogoče podaljšati za največ dva dodatna meseca, če je zahteva zapletena ali če jih je več, vendar je treba posameznika o podaljšanju in razlogih obvestiti v prvem mesecu (12. člen GDPR).

Odgovor in ukrepi so praviloma brezplačni. Pri očitno neutemeljenih ali pretiranih zahtevah, zlasti če se ponavljajo, lahko upravljavec zaračuna razumno plačilo ali zahtevo zavrne, vendar mora to utemeljiti. Pred odgovorom je treba na sorazmeren način preveriti istovetnost vlagatelja, zavrnitev pa mora vsebovati pouk o pravnem sredstvu.

Videonadzor mora imeti pravno podlago po 6. členu GDPR, podrobnejša pravila pa določa ZVOP-2 v 76. do 80. členu. Odgovorna oseba mora sprejeti pisni sklep o uvedbi videonadzora z obrazložitvijo razlogov, obvestilo o videonadzoru pa mora biti vidno nameščeno tako, da se posameznik z njim seznani, preden vstopi v nadzorovano območje.

Obvestilo mora vsebovati navedbo, da se izvaja videonadzor, namene, podatke o upravljavcu in kontakt za uveljavljanje pravic, kontakt pooblaščene osebe ter informacije o morebitnih posebnih učinkih obdelave (na primer prenos v tretjo državo ali sprotno spremljanje posnetkov); del informacij je mogoče objaviti na spletni strani, navedeni na obvestilu. Posnetki se praviloma lahko hranijo največ eno leto po nastanku, pri videonadzoru javnih površin največ šest mesecev, v javnem potniškem prometu pa jih je treba uničiti v sedmih dneh.

Videonadzor znotraj delovnih prostorov je po 78. členu ZVOP-2 dopusten le izjemoma – kadar je nujno potreben za varnost ljudi ali premoženja, za varovanje tajnih podatkov ali poslovnih skrivnosti oziroma v zakonsko določenih primerih, in le če teh ciljev ni mogoče doseči z milejšimi sredstvi. Snemanje delovnih mest, kjer zaposleni običajno delajo, je praviloma prepovedano, prav tako je prepovedan videonadzor v garderobah, sanitarijah in prostorih za počitek.

Pred uvedbo se mora delodajalec posvetovati z reprezentativnim sindikatom oziroma svetom delavcev ali delavskim zaupnikom; posvetovanje traja najmanj 30 dni, kadar bi bila snemana delovna mesta, pa najmanj 60 dni. Zaposlene je treba o videonadzoru predhodno pisno obvestiti, izvedbo pa dokumentirati s sklepom, obvestili in evidenco dostopov do posnetkov.

Da. Uporabo piškotkov in podobnih sledilnih tehnologij v Sloveniji ureja 225. člen Zakona o elektronskih komunikacijah (ZEKom-2): shranjevanje podatkov v terminalski opremi uporabnika ali dostop do njih je dovoljen le, če je uporabnik v to privolil po tem, ko je bil jasno in izčrpno obveščen o upravljavcu in namenih obdelave.

Privolitev ni potrebna za piškotke, ki so nujni zgolj za prenos sporočila po omrežju, in za tiste, ki so nujno potrebni za izvedbo storitve, ki jo je uporabnik izrecno zahteval (na primer prijava v uporabniški račun ali vsebina nakupovalne košarice). Za analitične, oglaševalske in družbenoomrežne piškotke je privolitev obvezna, zavrnitev mora biti enako preprosta kot privolitev, uporaba spletne strani pa ne sme biti pogojena s soglasjem; vnaprej označena polja niso veljavna privolitev.

Neposredno trženje z elektronsko pošto, SMS/MMS sporočili, samodejnimi klicnimi sistemi in faksom je po 226. členu ZEKom-2 dovoljeno le na podlagi predhodne privolitve naročnika ali uporabnika. Nadzor nad tem členom izvaja AKOS (Agencija za komunikacijska omrežja in storitve), ne Informacijski pooblaščenec.

Obstaja izjema za obstoječe stranke: če ste e-naslov pridobili ob prodaji svojega izdelka ali storitve, ga smete uporabiti za trženje lastnih podobnih izdelkov ali storitev, vendar le, če ste stranki že ob zbiranju naslova jasno in brezplačno ponudili možnost zavrnitve in ji enako možnost ponudite v vsakem posameznem sporočilu. Prepovedano je pošiljanje sporočil s prikrito identiteto pošiljatelja ali brez veljavnega naslova za odjavo. Posameznik lahko na podlagi 15. člena GDPR zahteva informacijo, od kod ima pošiljatelj njegove podatke.

Prenos osebnih podatkov izven Evropskega gospodarskega prostora je dopusten le ob enem od pogojev iz V. poglavja GDPR: na podlagi odločitve Evropske komisije o ustreznosti, z ustreznimi zaščitnimi ukrepi (najpogosteje standardne pogodbene klavzule ali zavezujoča poslovna pravila) ali izjemoma na podlagi odstopanj iz 49. člena GDPR.

Za Združene države od julija 2023 velja odločitev o ustreznosti za okvir EU-ZDA za zasebnost podatkov (Data Privacy Framework), vendar le za ameriške organizacije, ki so vpisane na seznam DPF – vpis je treba preveriti pri vsakem posameznem ponudniku. Splošno sodišče EU je 3. septembra 2025 tožbo zoper ta okvir zavrnilo, zato odločitev ostaja v veljavi, pravna negotovost zaradi možnih pritožb in sprememb v ZDA pa ostaja. Če ponudnik ni vpisan v DPF, so potrebne standardne pogodbene klavzule in ocena učinka prenosa (TIA), smiselno pa je preveriti tudi, kje se podatki dejansko shranjujejo.