Po sprejemu Splošne uredbe o varstvu podatkov (GDPR) je na vrsti sprejem novega Zakona o varstvu osebnih podatkov (ZVOP-2) – Uradni list RS, št. 163/22. Zakon je bil sprejet 15. decembra 2022 in začne veljati 26. januarja 2023. Poleg navedenega zakona, še vedno neposredno velja in se uporablja tudi Splošna uredba o varstvu podatkov (GDPR).
ZVOP-2 poleg GDPR med drugim ureja dodatne vidike na področju obdelave osebnih podatkov za raziskovalne namene, videonadzora, biometrije, pooblaščenih oseb za varstvo osebnih podatkov (DPO), glede varnosti osebnih podatkov in ocen učinka.
ZVOP-2 na področju varstva osebnih podatkov uvaja novosti ter podrobneje interpretira GDPR, hkrati pa na Informacijskega pooblaščenca kot inšpekcijski in prekrškovni organ prenaša pooblastila ter odgovornost, da za kršitve zakonodajnih predpisov izreka tudi precejšnje globe, skladno z GDPR.
POGLAVITNE NOVOSTI V ZAKONU
V nadaljevanju so navedene nekatere bistvene spremembe.
Pooblaščenec za varstvo osebnih podatkov, ki ga 44. člen ZVOP-2 opredeljuje kot osebo, ki upravljavcu ali obdelovalcu v skladu z 39. členom Splošne uredbe na neodvisen način svetuje pri zagotavljanju skladnosti obdelave s Splošno uredbo in z zakonom. 46. člen ZVOP-2 določa, da je za pooblaščeno osebo upravljalca ali obdelovalca in njenega namestnika, lahko določen posameznik, ki izpolnjuje naslednje pogoje:
- je poslovno sposoben,
- ima znanja oziroma praktične izkušnje s področja varstva osebnih podatkov in
- ni bil pravnomočno obsojen na kazen zapora najmanj šestih mesecev oziroma ni bil pravnomočno obsojen za kaznivo dejanje glede zlorabe osebnih podatkov.
Upravljavci ali obdelovalci iz zasebnega sektorja za pooblaščeno osebo določijo osebo, ki je zaposlena pri njih, ali pa s pogodbo v pisni obliki določijo drugega posameznika ali pravno osebo. Za pooblaščeno osebo ali njenega namestnika ne sme biti določena oseba, ki je v nasprotju interesov z upravljavcem in obdelovalcem ali je njeno delo pooblaščene osebe v nasprotju z njenimi drugimi nalogami ali s položajem pri upravljavcu in obdelovalcu.
Vodenje dnevnika obdelave (22. člen ZVOP-2) – NOVO. Upravljavci bodo morali voditi dnevnik obdelave, kadar se v avtomatiziranih sistemih obdelave osebnih podatkov izvajajo obsežne obdelave posebnih vrst osebnih podatkov, ali kadar gre za redno in sistematično spremljanje posameznikov, ali kadar je z oceno učinka ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati z vodenjem dnevnika obdelave, ali če tako določa zakon, o naslednjih dejanjih obdelave osebnih podatkov:
- zbiranje;
- spreminjanje;
- vpogled;
- razkritje, vključno s prenosi;
- izbris;
- druga dejanja obdelave, ki jih določa zakon.
Dnevnik obdelave mora za dejanja obdelave iz vsebovati vrsto dejanja obdelave, datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov, da je mogoče naknadno ugotoviti točno identiteto teh oseb. Vsebina dnevnika obdelave se hrani dve leti od zaključka koledarskega leta, v katerem so bila zabeležena dejanja obdelave.
Posebna ureditev videonadzora za poslovne prostore, delovno mesto in javni potniški promet. Drugi odstavek 76. člena ZVOP-2 določa, da odločitev o uvedbi videonadzora sprejme direktor ali pooblaščen posameznik. Glede poslovnih prostorov in delovnih prostorov na novo določa, da se morajo z videonadzorom strinjati lastniki, ki imajo v lasti več kot 70 % delež skupnih delov. Odločitev mora biti pisna in obrazložena ter mora o tem objaviti obvestilo v fizičnih prostorih ali na spletni strani. Glede delovnih prostorov, je določeno, da se lahko izvaja videonadzor, če je to nujno potrebno za varnost ljudi ali premoženja ali preprečevanje ali odkrivanje kršitev na področju iger na srečo ali za varovanje tajnih podatkov ali poslovnih skrivnosti, teh namenov pa ni mogoče doseči z milejšimi sredstvi. Dodatno je določena prepoved snemanja delavnega mesta kjer delavec običajno dela, razen če se varuje prej omenjene interese in milejši ukrep ni možen. Delodajalec se mora posvetovati z reprezentativnimi sindikati pri delodajalcu in svetom delavcev oziroma delavskim zaupnikom pred uvedbo videonadzora. Na novo se določa, da je neposredno spremljanje preko kamer možno, če so podani pogoji za uvedbo videonadzora ter dodaten pogoj, da videonadzor izvaja pooblaščena oseba upravljalca.
ZVOP-2 določa videonadzor v javnem potniškem prometu (79. člen). Videonadzor bi se lahko izvajal v prevoznih sredstvih, ampak samo v delih, ki so namenjeni potnikom. Namen določbe je varstvo potnikov in premoženja, če milejši ukrep ni mogoč. Posnetki se morajo uničiti najpozneje v 7 dneh po nastanku in se lahko uporabljajo v obrambi ali uveljavljanju pravnih zahtevkov ali naloge policije.
Biometrija se lahko uporabi, če je to nujno potrebno za opravljanje dejavnosti, za varnost ljudi, varnost premoženja, varovanje tajnih podatkov ali poslovnih skrivnosti. Oseba zasebnega sektorja lahko obdeluje biometrične osebne podatke zaradi varstva točnosti identitete svojih strank, če se sledi interesom tega zakona, to posebej določa pogodba ali so stranke izrecno privolile. Kadar se biometrični osebni podatki obdelujejo na podlagi pogodbe s potrošnikom, mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, omogočiti tudi način identifikacije brez obdelave biometričnih osebnih podatkov. V okviru trženja ali podobne druge poslovne dejavnosti se ne smejo zahtevati, pridobiti ali nadalje obdelovati biometrični osebni podatki v zamenjavo za določene storitve, četudi so te storitve za posameznika, na katerega se nanašajo osebni podatki, brezplačne.
O novostih in spremembah zakona ter vprašanjih, kakšne pravice ima posameznik (seznanitev, omejitev, izbris, prenosljivost) in kako jih izvajati v praksi in kako urediti pogodbeno razmerja z zunanjimi izvajalci bomo v kratkem organizirali seminar, na katerem bomo razjasnili ključne novosti novega zakona, ki jih morajo poznati praktično vsa podjetja in inštitucije.
Vir: Podjetniški portal
