DEJAVNOST

Navodila za ravnanje z osebnimi podatki

Dolga leta so organizacije zbirale adreme, sezname naslovnikov, ki jim pošiljajo vabila in obvestila o dejavnostih. Leta 2003 pa so se adreme spremenile v "zbirke osebnih podatkov", ki jim moramo odslej namenjati posebno pozornost!

Uvod

S 1. januarjem 2005 je pričel veljati novi zakon o varstvu osebnih podatkov (ZVOP-1)(UL RS 86/2004 z dne 5. 8. 2004), ki se kar v nekaj pogledih razlikuje od prejšnjega in prinaša nekaj novosti, kako moramo ravnati, kadar imamo opravka s osebnimi podatki.

Kot osebni podatek se šteje katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen (npr: ime, priimek, naslov, kje je nekdo zaposlen, EMŠO, višina prihodkov in podobno). Ta posameznik je obvezno fizična oseba.

Že prejšnji zakon je zakonsko uredil in določil obveznosti za vsakogar, ki hrani razne sezname imen, priimkov, naslovov in podobne podatke od drugih oseb. Od takrat naprej je namreč potrebno te sezname urediti, jih shraniti v posebnem dokumentu z nekaj osnovnimi informacijami, del tega pa celo poslati državnim organom.

Zbiranje, obdelava in posredovanje

Primer:
V računalniku imamo seznam sodelavcev ali drugih ljudi (fizičnih oseb), ki jim občasno na dom pošljemo kakšno reklamno gradivo ali informacije o naših prireditvah. Tak seznam hranimo v navadnem dokumentu (npr. excel, word), kjer imamo vpisana vsa imena, priimke in naslove oseb, ki smo jih pridobili z leti.

Takšen seznam lahko pridobimo neposredno od posameznikov samih ali pa posredno. V vsakem primeru pa je potrebno tem posameznikom sporočiti najmanj podatke o upravljavcu (torej o fizični ali pravni osebi, ki s podatki upravlja - to je v našem primeru naša organizacija) in namen obdelave podatkov (posredovanje informacij).

Če tega nismo naredili, je to potrebno narediti čim prej. Zakon pravi, da je potrebno v primeru neposrednega zbiranja podatkov posameznike obvestiti o tem najkasneje ob vpisu podatkov v bazo podatkov.

Da lahko podatke sploh obdelujemo, potrebujemo najprej privolitev posameznikov, na katere se nanašajo. Novi zakon je privolitev nekoliko omilil, saj ni več potrebno obvezno pisno soglasje. Zadošča tudi ustna ali druga ustrezna privolitev (npr. preko e-maila ali s klikom na gumb na spletni strani), iz katere je mogoče nedvomno sklepati na posameznikovo privolitev.

Ko imamo podatke zbrane, jih lahko obdelujemo samo za namen, s katerim so bili zbrani. Če smo torej podatke zbrali za namene obvestil o prireditvah, jih ne smemo sedaj porabiti za objavo na spletni strani kot seznam referenc s kom vse sodelujemo, saj nam posamezniki uporabe podatkov za kaj takega niso dovolili. Ne glede na to pa lahko podatke obdelujemo za zgodovinske, statistične ali znanstveno-raziskovalne namene, če jim pred tem tako spremenimo obliko, da jih ni več mogoče povezati s posameznikom. Če nas torej zanima geografska porazdelitev naših strank, podatke preoblikujemo tako, da pobrišemo osebna imena in ulice, in nam ostanejo samo občine. Iz imena občine posameznika ni mogoče identificirati, torej jih lahko sedaj obdelamo za namene statistike in pogledamo, katerih občin imamo največ - tam je tudi največ naših strank.

Zavarovanje osebnih podatkov

Novi zakon od nas izrecno zahteva, da ustrezno poskrbimo tudi za zavarovanje osebnih podatkov. To lahko naredimo tako, da imamo seznam strank s podatki spravljen na varnem mestu, kot je računalnik, zaščiten z geslom ali v omari pod ključem, tako da ne more vsak obiskovalec v pisarni pogledati vanj.

Prav tako zakon uvaja dolžnost, da upravljavci osebnih podatkov v svojih notranjih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov, ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov. V praksi to pomeni, da bi bilo dobro sprejeti kakšen pravilnik o tem kaj bomo storili, da osebne podatke, ki jih imamo, primerno zaščitimo (ko končamo z delom se omare zaklepajo, kdo vse ima dostop do računalnika z osebnimi podatki in podobno).

Katalog

Tudi po novi zakonu je obvezno vzpostaviti kataloge osebnih podatkov. Najprej moramo ugotoviti, katere zbirke osebnih podatkov sploh imamo in za vsako od njih narediti katalog (npr. imamo zbirko osebnih podatkov o zaposlenih, o članih društva, o strankah, ki jih obveščamo o prireditvah, o preteklih kupcih naših izdelkov itd…).

Katalog lahko sestavimo sami in sicer tako, da v dokument napišemo sledeče podatke:
1. naziv zbirke
2. podatke o upravljavcu
3. pravno podlago obdelave
4. kategorije posameznikov, na katere se podatki nanašajo
5. vrste osebnih podatkov
6. namen obdelave
7. rok hrambe
8. omejitve pravic posameznikov glede osebnih podatkov
9. uporabnike ali kategorije uporabnikov (uporabnik je fizična ali pravna oseba, ki se ji podatki posredujejo ali razkrijejo)
10. dejstvo ali se osebni podatki iznašajo v tretjo državo
11. splošen opis zavarovanja
12. podatke o povezanih zbirkah iz uradnih evidenc ter javnih knjig
13. podatke o zastopniku v Sloveniji, če upravljavec nima sedeža v Sloveniji

Pri katalogih in posredovanju podatkov iz njih sta pomembni 2 izjemi in sicer:
- izdelava kataloga (in posredovanje podatkov) ni potrebna za osebne podatke, ki jih o svojih članih obdelujejo društva,
- posredovanje podatkov ni potrebno za zbirke o zaposlenih pri upravljavcu, če ima ta več kot 20 oseb zaposlenih za nedoločen čas.

Primer kataloga (rtf)
Podatke iz točk: 1, 2, 4, 5, 9, 10, 11, 12 in 13 je potrebno posredovati Državnemu nadzornemu organu za varstvo osebnih podatkov. Ker pa ta prične z delom šele s 1. januarjem 2006, njegove naloge do takrat opravlja Inšpektorat za varstvo osebnih podatkov, Tivolska 50, 1000 Ljubljana.

Pravice posameznikov

Na pisno ali ustno zahtevo posameznika, na katerega se nanašajo osebni podatki, ki jih imamo, mu moramo omogočiti:
- vpogled v katalog zbirke v 15 dneh,
- potrditev ali se podatki v zvezi z njim obdelujejo v 15 dneh,
- posredovati izpis osebnih podatkov, ki so vsebovani v zbirki in se nanašajo nanj v 30 dneh; te moramo izbrisati ali popraviti, če uporabnik dokaže da so nepopolni ali netočni
- posredovati seznam uporabnikov, ki so jim bili podatki posredovani v 30 dneh,
- dati informacije o namenu obdelave v 30 dneh.

Pravice upravljavca

Zakon o varstvu osebnih podatkov ureja tudi neposredno trženje (npr. pošiljanje ponudb o izdelkih ali storitvah) s pomočjo podatkov, ki jih sami zberemo iz javno dostopnih virov, kot so internet, telefonski imeniki in podobno. Za te namene lahko uporabimo sledeče podatke: osebno ime, bivališče, telefonsko številko in elektronsko pošto. Pri tem je pomembno, da upravljavec sam zbere podatke. Če jih namreč zberemo sami in posredujemo nekomu drugemu, potrebujemo za to že pisno privolitev posameznikov, na katere se podatki nanašajo.

Takšno trženje je dovoljeno le, če se ob samem trženju posameznike obvesti o tem, da lahko ta kadarkoli pisno ali na drug dogovorjen način (npr. preko elektronskega obrazca na spletni strani) prepove uporabo njegovih podatkov. V tem primeru moramo na lastne stroške uporabo teh podatkov preprečiti v 15 dneh ter o tem tudi obvestiti uporabnika.

Prispevek je nastal v sodelovanju s Pravno-informacijskim centrom nevladnih organizacij - PIC.