Pravilnik o varstvu osebnih podatkov

1. člen — Namen pravilnika

Upravljavec ________________, ________________, matična številka ________________ (v nadaljnjem besedilu: upravljavec), deluje v ________________ in s tem pravilnikom določa tehnične in organizacijske ukrepe ter postopke, s katerimi pri obdelavi osebnih podatkov zagotavlja in dokazuje skladnost s Splošno uredbo o varstvu podatkov in Zakonom o varstvu osebnih podatkov.

Pravilnik zavezuje vse zaposlene pri upravljavcu in vse druge posameznike, ki po navodilih upravljavca obdelujejo osebne podatke.

Ta pravilnik ne ustvarja novih pravnih podlag za obdelavo osebnih podatkov in ne širi namenov obdelave; opisuje le, kako upravljavec izvaja obveznosti, ki jih nalagata navedena predpisa.

2. člen — Pomen izrazov

Izrazi, uporabljeni v tem pravilniku, imajo enak pomen kot v Splošni uredbi o varstvu podatkov, zlasti izrazi osebni podatek, obdelava, upravljavec, obdelovalec, zbirka in kršitev varstva osebnih podatkov.

Izrazi, zapisani v moški slovnični obliki, se uporabljajo kot nevtralni za ženski in moški spol.

3. člen — Načela obdelave

Upravljavec osebne podatke obdeluje zakonito, pošteno in na pregleden način ter jih zbira za določene, izrecne in zakonite namene; nadaljnja obdelava, ki s temi nameni ni združljiva, ni dopustna.

Osebni podatki morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene obdelave, ter točni in po potrebi posodobljeni; netočni osebni podatki se brez odlašanja izbrišejo ali popravijo.

Osebni podatki se hranijo v obliki, ki dopušča identifikacijo posameznikov, le toliko časa, kolikor je potrebno za namene obdelave, in se obdelujejo na način, ki zagotavlja ustrezno varnost.

4. člen — Pravne podlage za obdelavo

Upravljavec osebne podatke obdeluje le, kadar je podana ena od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe, posebne vrste osebnih podatkov pa le, kadar je podana ena od izjem iz 9. člena Splošne uredbe.

Kadar upravljavec osebne podatke obdeluje zaradi izvajanja zakonske obveznosti, v javnem interesu ali pri izvajanju javne oblasti, mora zakon določati obdelavo, vrste osebnih podatkov, kategorije posameznikov, namen obdelave in rok hrambe oziroma rok za redni pregled potrebe po hrambi.

Pravna podlaga za vsako posamezno obdelavo se navede v evidenci dejavnosti obdelave.

5. člen — Evidenca dejavnosti obdelave

Evidenco dejavnosti obdelave vodi ________________ in jo posodobi ob vzpostavitvi nove zbirke ter ob vsaki spremembi zbirke ali dejavnosti obdelave.

Evidenca za obdelave, pri katerih je upravljavec v vlogi upravljavca, vsebuje naziv in kontaktne podatke upravljavca ter pooblaščene osebe, namene obdelave, kategorije posameznikov in osebnih podatkov, kategorije uporabnikov, podatke o morebitnih prenosih v tretje države, predvidene roke za izbris in splošen opis tehničnih in organizacijskih varnostnih ukrepov.

Kadar upravljavec osebne podatke obdeluje v imenu drugega upravljavca, vodi evidenco kategorij dejavnosti obdelave z vsebino iz drugega odstavka 30. člena Splošne uredbe.

Obveznost vodenja evidence ne velja za upravljavca, ki zaposluje manj kot 250 oseb, razen če je verjetno, da obdelava pomeni tveganje za pravice in svoboščine posameznikov, če obdelava ni občasna ali če zajema posebne vrste osebnih podatkov oziroma podatke o kazenskih obsodbah in prekrških.

6. člen — Roki hrambe, brisanje in uničenje

Rok hrambe je omejen na najkrajše možno obdobje in traja le, dokler je hramba potrebna za dosego namena obdelave, razen če drug zakon za posamezno obdelavo določa daljši rok.

Upravljavec upoštevanje rokov hrambe preverja ________________, in sicer na dokumentiran način.

Po izpolnitvi namena obdelave se osebni podatki izbrišejo, uničijo ali anonimizirajo oziroma se izvede drug postopek, ki onemogoča identifikacijo posameznika. Dokumenti v fizični obliki se uničijo tako, da obnovitev besedila ni mogoča; odlaganje v koše za smeti ni dopustno.

7. člen — Obveščanje posameznikov

Kadar upravljavec osebne podatke pridobi neposredno od posameznika, mu ob pridobitvi zagotovi informacije o svoji identiteti in kontaktnih podatkih, o kontaktnih podatkih pooblaščene osebe, o namenih in pravni podlagi obdelave, o uporabnikih ali kategorijah uporabnikov, o obdobju hrambe, o njegovih pravicah in o pravici do pritožbe pri nadzornem organu.

Obvestilo se posamezniku zagotovi v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku.

8. člen — Uveljavljanje pravic posameznika

Zahtevo posameznika za dostop, popravek, izbris, omejitev obdelave, prenosljivost ali ugovor prevzame upravljavec in jo brez odlašanja posreduje pooblaščeni osebi oziroma osebi, pristojni za posamezno zbirko.

Upravljavec posameznika obvesti o ukrepih, sprejetih na njegovo zahtevo, brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve. Rok se sme ob upoštevanju kompleksnosti in števila zahtev podaljšati za največ dva dodatna meseca, pri čemer upravljavec posameznika o podaljšanju in razlogih zanj obvesti v enem mesecu po prejemu zahteve.

Odločitev mora vsebovati razloge in informacijo o pravici do pritožbe pri nadzornem organu v 15 dneh od seznanitve z odločitvijo.

9. člen — Varnost obdelave

Upravljavec ob upoštevanju najnovejšega tehnološkega razvoja, stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave in tveganj za pravice posameznikov zagotavlja raven varnosti, ki je ustrezna glede na tveganje.

Ukrepi obsegajo zlasti nadzorovan dostop do prostorov in informacijskih sistemov, dodeljevanje in odvzem uporabniških pravic po načelu najmanjšega potrebnega obsega, psevdonimizacijo in šifriranje, kadar je to primerno, zmožnost zagotavljanja stalne zaupnosti, celovitosti, dostopnosti in odpornosti sistemov ter zmožnost pravočasne obnovitve dostopa do osebnih podatkov po fizičnem ali tehničnem incidentu.

Upravljavec ima vzpostavljen postopek rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov.

Nosilci osebnih podatkov se zunaj prostorov upravljavca hranijo in prenašajo tako, da nepooblaščen dostop ni mogoč.

10. člen — Pooblastila in dolžnosti zaposlenih

Osebne podatke sme obdelovati le zaposleni, ki ga upravljavec za to pooblasti; v pooblastilu se določi obseg pravic obdelave, ki so vpogled, vnos, spreminjanje, omejitev obdelave, posredovanje ter izbris oziroma uničenje, in zbirke, na katere se pooblastilo nanaša.

Osebni podatki delavcev se smejo obdelovati le, če tako določa zakon ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja; osebni podatki, za katere pravna podlaga ne obstaja več, se morajo takoj izbrisati in prenehati uporabljati. Enako velja za osebne podatke kandidatov za zaposlitev.

Zaposleni je dolžan osebne podatke, s katerimi se seznani pri delu, varovati kot zaupne tudi po prenehanju delovnega razmerja, in jih ne sme uporabljati za noben namen zunaj svojih delovnih nalog.

Zaposleni, ki ugotovi, da so osebni podatki dostopni nepooblaščenim osebam ali da je prišlo do kršitve varstva osebnih podatkov, o tem nemudoma obvesti upravljavca.

11. člen — Pogodbena obdelava

Kadar posamezno dejanje obdelave za upravljavca izvaja zunanji izvajalec, se razmerje uredi s pogodbo ali drugim pravnim aktom, ki določa vsebino, trajanje, naravo in namen obdelave, vrsto osebnih podatkov, kategorije posameznikov ter obveznosti in pravice upravljavca.

Pogodba zlasti določa, da obdelovalec osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca, da so osebe, ki obdelujejo podatke, zavezane k zaupnosti, da obdelovalec izvaja ustrezne varnostne ukrepe ter da po koncu storitve podatke izbriše ali vrne.

Obdelovalec ne sme zaposliti drugega obdelovalca brez predhodnega posebnega ali splošnega pisnega dovoljenja upravljavca.

12. člen — Kršitev varstva osebnih podatkov

Ob seznanitvi s kršitvijo varstva osebnih podatkov upravljavec nemudoma ugotovi obseg kršitve, sprejme ukrepe za njeno omejitev in oceni tveganje za pravice in svoboščine posameznikov.

Kadar ni verjetno, da kršitev ne bi ogrožala pravic in svoboščin posameznikov, upravljavec o njej uradno obvesti nadzorni organ brez nepotrebnega odlašanja in najpozneje v 72 urah po seznanitvi. Če uradno obvestilo ni podano v tem roku, se mu priložijo razlogi za zamudo.

Uradno obvestilo vsebuje vsaj opis vrste kršitve s kategorijami in približnim številom prizadetih posameznikov in evidenc, ime in kontaktne podatke pooblaščene osebe ali druge kontaktne točke, opis verjetnih posledic kršitve in opis sprejetih ali predlaganih popravnih ukrepov.

Kadar je verjetno, da kršitev povzroči veliko tveganje za pravice in svoboščine posameznikov, upravljavec o njej brez nepotrebnega odlašanja obvesti tudi prizadete posameznike.

Upravljavec dokumentira vsako kršitev varstva osebnih podatkov, vključno z dejstvi o kršitvi, njenimi učinki in sprejetimi popravnimi ukrepi, tudi kadar je ni dolžan prijaviti.

13. člen — Ocena učinka in dnevnik obdelave

Kadar bi vrsta obdelave, zlasti z uporabo novih tehnologij, lahko povzročila veliko tveganje za pravice in svoboščine posameznikov, upravljavec pred začetkom obdelave opravi oceno učinka in za mnenje zaprosi pooblaščeno osebo, kadar je ta določena.

Upravljavec vodi dnevnik obdelave, kadar se v avtomatiziranih sistemih izvajajo obsežne obdelave posebnih vrst osebnih podatkov, kadar gre za redno in sistematično spremljanje posameznikov, kadar je tako tveganje ugotovljeno z oceno učinka ali kadar tako določa zakon.

Dnevnik obdelave za dejanja zbiranja, spreminjanja, vpogleda, razkritja in izbrisa vsebuje vrsto dejanja, datum in čas obdelave, identifikacijo osebe, ki je dejanje izvedla, in identifikacijo uporabnikov osebnih podatkov. Hrani se dve leti od zaključka koledarskega leta, v katerem so bila dejanja zabeležena.

14. člen — Nadzor nad izvajanjem pravilnika

Za izvajanje tega pravilnika je odgovoren zakoniti zastopnik upravljavca. Skladnost ravnanja z njim se preverja ob vsaki spremembi dejavnosti obdelave, sicer pa najmanj ob pregledu rokov hrambe iz 6. člena tega pravilnika.

Ukrepi iz tega pravilnika se pregledajo in dopolnijo, kadar je to potrebno zaradi spremembe obdelav, ugotovljenih tveganj ali sprememb predpisov.

Kršitev določb tega pravilnika je kršitev delovnih obveznosti.

15. člen — Končne določbe

Ta pravilnik sprejme zakoniti zastopnik upravljavca ________________ v ________________, dne ________________.

Pravilnik začne veljati ________________.

Z uveljavitvijo tega pravilnika prenehajo veljati prej sprejeti interni akti upravljavca, ki urejajo isto vsebino.

Pravilnik se objavi na način, ki je pri upravljavcu običajen za interne akte, in je dostopen vsem zaposlenim.