Ključne novosti Zakona o varstvu osebnih podatkov – ZVOP-2

Splošna uredba o varstvu podatkov (GDPR) je uredba Evropske unije, ki postavlja enotna pravila za varstvo osebnih podatkov v EU. S 26. 1. 2023 je v Sloveniji začel veljati novi Zakon o varstvu osebnih podatkov (ZVOP-2), ki bolj eksplicitno naslavlja Splošno uredbo o varstvu osebnih podatkov že z samo neposredno veljavnostjo pretežnega dela določb GDPR. Nov zakon pa prinaša tudi nekaj sprememb, v nadaljevanju izpostavljamo najpomembnejše.

ZVOP-2 deli pravne podlage na javni in zasebni sektor, tako da so ponekod določbe popolnoma ločene druge pa pokrivajo oba sektorja. Vsekakor je za razumevanje vsebine zakona pomemben 5. člen, ki določa vsebino izrazov, ki ji zakon uporablja in je ključen za pravilno razumevanje.

Z uveljavitvijo ZVOP-2 je prenehal veljati dosedanji ZVOP-1, zato ZVOP-2 v prehodnih določbah navaja različne roke za prilagoditev novosti, ki jih zakon prinaša.

Pomembna novost zakona je določba, da ima Informacijski pooblaščenec pooblastila in odgovornost, da ob kršitvah izreka globe.  ZVOP-2 namreč Informacijskega pooblaščenca definira kot prekrškovni organ in da je kot ta odgovoren za odločanje o prekrških v posebnem delu ZVOP-2. Določen je tudi način ocenjevanja višine glob, ki pa je določen po vzoru Uredbe GDPR.

Novost, ki jo zakon prinaša je tudi ukinitev Registra zbirk osebnih podatkov in dolžnosti notifikacije le-teh Informacijskemu pooblaščencu. Register v novem zakonu ZVOP-2 tako nadomešča evidenco dejavnosti obdelav za upravljalce in obdelovalce osebnih podatkov, ki pa jih hrani upravljalec.

ZVOP-2 tudi ločeno naslavlja vodenje evidenc vstopov in izstopov iz službenih prostorov, ki velja tako za javni, kot tudi za zasebni sektor.  Evidentiranje vstopov in izstopov lahko vsebujejo le naslednje osebne podatke: osebno ime, številka in vrsta uradnega identifikacijskega dokumenta, naslov prebivališča, zaposlitev, vrsta in registrska številka vozila ter datum, ura in razlog vstopa ali izstopa v prostore ali izstopa iz njih.

ZVOP-2 določa tudi definicijo povezovanja zbirk osebnih podatkov za javni sektor kjer je pomembno, da pred pričetkom povezovanja zbirk upravljalec oziroma obdelovalec izdela oceno učinka in se posvetovati z nadzornim organom (skladno s Splošno uredbo).

Zakon posega tudi v določbe o biometriji. Določbe na področju biometrije so ločene na javni in zasebni sektor. Zakon predvideva, da se osebni podatki ne smejo shranjevati na napravi, ki identificira posameznika in da se lahko biometrija uporablja le izključno z zakonom, saj je to nujno predvsem zaradi varstva ljudi ter premoženja.

Na področju videonadzora zakon uveljavlja pomembno spremembo o vsebini obvestila o videonadzoru, ki ga mora upravljalec nadgraditi. ZVOP-2 namreč predvideva, da je posameznik o videonadzoru ustrezno obveščen le če tovrstno obvestilo prebere, še predno se sam videonadzor izvede.

Novost predstavlja tudi način urejanja videonadzora na javnih površinah. Ta je dovoljen le, kadar je to potrebno zaradi obstoja resne in utemeljene nevarnosti za življenje, osebno svobodo, telo ali zdravje ljudi, varnost premoženja upravljavca ali varovanje tajnih podatkov upravljavca ali obdelovalca v prenosu in teh namenov ni mogoče doseči z drugimi sredstvi. Videonadzor na javnih površinah je dovoljen tudi za namene varovanja varovanih oseb ter posebnih objektov in okolišev objektov oziroma varovanja drugih prostorov, zgradb ali območij, ki jih je treba varovati na podlagi zakona, in sicer samo v obsegu in trajanju, potrebnem za doseganje namena. Vpogled, uporaba ali posredovanje posnetkov so dopustni le za te namene. Obdelava video posnetkov mora biti sledljiva.

Videonadzor na javnih površinah se lahko izvaja le glede tistih bližnjih ali povezanih delov javne površine in v obsegu, kjer je treba varovati zgoraj definirane interese.

Pri obdelavi osebnih podatkov zakon od upravljavca zahteva, da posamezniku, katerega osebne podatke obdeluje zagotovi jasne informacije glede načina in obsega obdelave, katera so tveganja in ukrepi, ki jih je sprejel, da se lahko podatke ustrezno zaščiti.

Tretje poglavje ZVOP-2 ureja varnost osebnih podatkov in ukrepe za njihovo zagotavljanje. Gre za skupek ravnanj, ki s pomočjo tehničnih in organizacijskih postopkov ter ukrepov preprečijo, da bi ostali podatki prišli v roke nepooblaščenim osebam, se nepooblaščeno uporabljali, brisali, spreminjali ali izgubili. Novost je vodenje dnevnika obdelave. Zakon določa kdo ga vodi, kaj mora vsebovati, za katere namene se uporablja in kako dolgo ga je potrebno hraniti.

V primeru kršitve varnosti osebnih podatkov zakon določa, da mora upravljavec o kršitvi obvestiti informacijskega pooblaščenca najkasneje v roku 72 ur po zaznani kršitvi.

Metka Kovačič, SPOT svetovanje Savinjska

Vir:

• http://www.pisrs.si/Pis.web/pregledPredpisa?id=ZAKO7959#
• https://www.ozs.si/novice/novi-zakon-o-varstvu-osebnih-podatkov-zvop-2-63d910fa216d47b87f9df421
• https://www.ip-rs.si/zakonodaja/zakon-o-varstvu-osebnih-podatkov/zvop-2

Projekt je sofinanciran s pomočjo Evropskega sklada za regionalni razvoj, Ministrstva za gospodarstvo, turizem in šport ter SPIRIT, Javna agencija.