Varstvo osebnih podatkov (Splošna uredba o varstvu podatkov / GDPR)

21.05.2018

 

z dnem 25. 05. 2018 se bo pričela uporabljati Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov (v nadaljevanju: Splošna uredba o varstvu podatkov ali GDPR), ki postavlja enotna pravila za varstvo osebnih podatkov v EU, nekatera vsebinska in postopkovna vprašanja pa lahko posebej uredijo države članice. Čeprav novi Zakon o varovanju osebnih podatkov (ZVOP-2) v Sloveniji še ni sprejet, sta GDPR in trenutno še veljavni ZVOP-1 (v kolikor ni v nasprotju z GDPR) neposredno zavezujoča, pri čemer GDPR za kršitve predpisuje zelo visoke globe. Pojasnjujemo še, da v primeru, ko imate zunanje računovodstvo ste vi "Upravljalec" teh osebnih podatkov in neposredno odgovorni za njihovo zakonito obdelavo, medtem ko je vaš pogodbeni računovodski servis "Obdelovalec" tistih podatkov, katerih obdelavo ste prenesli k njim.

V nadaljevanju bi vas radi seznanili z nekaterimi bistvenimi pravili na področju varstva osebnih podatkov, ki v večini veljajo že sedaj, in sicer po posameznih sklopih osebnih podatkov:

• ZAPOSLENI DELAVCI: Pravno podlago za obdelavo osebnih podatkov Vaših delavcev že sedaj predstavljajo določbe Zakona o delovnih razmerjih (v nadaljevanju ZDR-1) in sorodna zakonodaja (npr.: Zakon o evidencah na področju dela in socialne varnosti (ZEPDSV)), zato njihova obdelava temelji na zakonu in ni potrebna posebna privolitev posameznika (delavca). Bi pa radi opozorili, da na primer kopiranje osebnih dokumentov delavcev in hramba teh kopij ni dovoljena, kar sicer določa področna zakonodaja.

Roki hrambe: 

-          vodenje evidenc o zaposlenih delavcih= trajna hramba;

-          vodenje evidenc o stroških dela = trajna hramba;

-          vodenje evidenc o izrabi delovnega časa = trajna hramba;

-          pogodba o zaposlitvi = trajna hramba;

-          akt o prenehanju delovnega razmerja = trajna hramba

Med trajno hrambo tako spadajo najmanj končni obračuni plač delavcev, izplačilne liste, podatki povezani s prispevki za pokojninsko in invalidsko zavarovanje (M-4) ter kontrolni podatki za dohodnino. Ostale osebne podatke v zvezi z zaposlitvijo pa je potrebno zbrisati ob prenehanju delovnega razmerja, ko poteče zakoniti namen za njihovo zbiranje.

• KANDIDATI ZA ZAPOSLITEV: Pri obdelavi njihovih osebnih podatkov je potrebno upoštevati njihov namen in zlasti trajanje pravice do obdelave, ki sicer načeloma preneha ob zaposlitvi enega izmed preostalih kandidatov. Smiselno je sicer hraniti prejete osebne podatke do poteka roka za sprožitev sodnega varstva s strani neizbranih kandidatov, vendar pa je najkasneje po preteku tega roka potrebno te osebne podatke uničiti ali pa jih vrniti kandidatom. Le na podlagi njihove posebne dodatne izrecne in jasne pisne privolitve se lahko ti podatki hranijo tudi dlje za potrebe morebitne prihodnje zaposlitve. 
• POSEBNA PRIVOLITEV: V kolikor pa za potrebe (neposrednega) trženja, opravljanja same dejavnosti, za potrebe analiziranja oziroma za vse druge namene, kjer ni zakonske podlage za obdelavo (npr.: profiliranje), obdelujete osebne podatke posameznikov, pa morate za to predhodno pridobiti njihovo jasno in izrecno pisno privolitev. V takih primerih Vam svetujemo, da se v zvezi s tem obrnete na vašo interno ali zunanjo pravno službo, saj so za kršitve predpisane zelo visoke globe.

Glede na navedeno je tako na področju obdelave osebnih podatkov bistvena njihova minimizacija preko čim manjše količine njihovega zbiranja, obsega obdelave, obdobja njihove hrambe in omejitev števila oseb, ki jih obdelujejo oziroma imajo do njih dostop. Zlasti pa je potrebno pri rokih hrambe upoštevati namen, za katerega se zbirajo in temu primerno določiti tudi sam rok hrambe (čim krajši). Po prenehanju namena je torej nujno potrebno takoj zbrisati osebne podatke in jih prenehati uporabljati.

Svetujemo vam, da v kolikor še nimate sprejetega Pravilnika o zavarovanju osebnih podatkov znotraj vaše družbe le-tega ustrezno sprejmete, saj je to dejansko predpisoval že obstoječi ZVOP-1, prav tako pa je to obveznost v skladu z GDPR in tudi po predlogu ZVOP-2.