Ravnanje z zbirko osebnih podatkov

Vprašanje:

Smo člani Obrtne zbornice Slovenije in naročeni smo na revijo Podjetnik.  

Pripravljamo pravilnik in zbirko osebnih podatkov na osnovi Zakona o varstvu osebnih podatkov, zato vas prosimo za pojasnilo glede tega.  

Smo gradbeno podjetje s petimi zaposlenimi, o katerih imamo samo osebne podatke, ki so potrebni za sklenitev pogodbe o zaposlitvi in izplačilo plač. Drugih podatkov ali seznamov fizičnih oseb ne posredujemo. Kot gradbeno izvedbeno podjetje redko izvajamo dela neposredno za fizične osebe (dva do tri primere na leto).  

- Ali je treba za te fizične osebe (kupce) izdelati poseben seznam kupcev in ga hraniti kot osebne podatke?  
- Podatke za obračun plač imamo v enem računalniku in v eni pisarni. Na oknu je železna mreža, v prostorih pa alarmna naprava.  
- Ali opisano hranjenja in varovanja kadrovskih podatkov zadostuje samo za ta medij in za omenjeni prostor?  
- Ali zadostuje, da imamo razpoložljive podatke o zaposlenih v računalniku, ki se zaklepa, in kartoteke delavcev v železni blagajni? 
- V drugih pisarnah in na drugih računalnikih se ne obdelujejo in hranijo podatki o fizičnih osebah. 
- Ali je obvezno izdelati hišni red ključev pisarn in poslovnega prostora? 
- Za glavno knjigo imamo sklenjeno pogodbo z računovodskim servisom, ki skrbi tudi za vsakoletno nadgradnjo računovodskega programa. Ali lahko s tem servisom sklenemo pogodbo o vzdrževanju računalniške opreme ali mora to biti samo podjetje, ki dobavlja in namešča računalnike? 

Za odgovor se vam zahvaljujemo in vas lepo pozdravljamo.  


Odgovor:

Lepo pozdravljeni! 

V nadaljevanju vam posredujem odgovore glede varstva osebnih podatkov. 

Vprašanje o varstvu osebnih podatkov se za delodajalce začne z določbami Zakona o evidencah na področju dela in socialne varnosti (ZRPDSV) (Uradni list RS, št. 40/06), ki določa, katere evidence glede zaposlenih je delodajalec dolžan vzpostaviti in voditi. Na podlagi šestega, sedmega in dvanajstega člena tega zakona so to:
- evidenca o zaposlenih delavcih,
- evidenca o stroških dela,
- evidenca o izrabi delovnega časa in
- evidenca o oblikah razreševanja kolektivnih delovnih sporov pri delodajalcu. 

Gre torej za evidence (razen zadnje), ki smo jih delodajalci bili dolžni voditi tudi do zdaj, samo da zdajšnja ureditev zahteva večjo skrbnost in odgovornost pri tem. Struktura podatkov navedenih evidenc je določena v členih od 13 do 20 ZEPDSV-ja. 

Poleg navedenih evidenc mora delodajalec vzpostaviti in voditi evidenco oziroma zbirko osebnih podatkov kadarkoli zbira podatke, ki so z Zakonom o varstvu osebnih podatkov (ZVOP-1) (Uradni list RS, št. 86/04, 113/05) določeni kot osebni podatki. Na podlagi prve točke prvega odstavka šestega člena ZVOP-1 je osebni podatek katerikoli podatek, ki se nanaša na posameznika, in sicer ne glede na obliko, v kateri je izražen. 

Iz navedenega izhaja, da mora delodajalec vzpostaviti zbirko podatkov in oblikovati katalog te zbirke tudi za poslovne partnerje, ki so fizične osebe. 

Obliko hranjenja in zavarovanja osebnih podatkov določa ZVOP-1. 

Glede na opisano stanje menim, da je varstvo osebnih podatkov ustrezno urejeno, kar je treba v pravilniku o varstvu osebnih podatkov tudi opredeliti. 

Obvezna sestavina varstva osebnih podatkov je tudi določitev oseb, ki osebne podatke lahko zbirajo, obdelujejo in posredujejo tretjim osebam ter skrbijo za njihovo zavarovanje. 

Sklenitev pogodbe o vzdrževanju računalniške opreme z računovodskim servisom je glede osebnih podatkov zanimivo samo takrat, ko ima računovodski servis dostop do osebnih podatkov, katerih upravljavec ste. V tem primeru mora pogodba z računovodskim servisom vsebovati določbo, da se računovodski servis zavezuje varovati osebne podatke iz vaših evidenc in vam jih vrniti po prenehanju opravljanja dejavnosti za vas.  

Ta zahteva velja tudi v primeru, ko računovodski servis uporablja osebne podatke, katerih upravljavec ste, na primer pri obračunu plač zaposlenih ali pri izdaji računov fizičnim osebam.