Slo-Tech - Splošna uredba (GDPR) je zelo jasna v določbah, da podjetja ne smejo osebnih podatkov ljudi dlje, kot je to nujno potrebno. Zato se Googlu obeta preiskava, saj je žvižgač Mohamed Maslouh ugotovil, da je podjetj več kot desetletje hranilo osebne podatke kandidatov za delovna mesta, četudi jih kasneje niso zaposlili.

Maslouh je delal kot pogodbeni podizvajalec, ko je pri prijavi v Googlov interni kadrovski sistem gHire ugotovil, da so v njem dostopni osebni podatki več tisoč ljudi iz EU in Velike Britanije. Šlo je za imena, telefonske številke, osebne elektronske naslove, življenjepise in podobno. To je v nasprotju z GDPR, zato je početje prijavil britanskemu (ICO) in irskemu (DPC) informacijskemu pooblaščencu. Ta bosta sedaj verjetno preiskala - uradne potrditve še ni -, kaj se je dogajalo.

Google je v odzivu povedal, da so lani zagnali orodje, ki je globalno v celem gHire prečistilo vnose in poskrbelo za zasebnost kandidatov. Trdijo, da je Maslouh podatke videl pred tem. To morda...

Slo-Tech - Splošna uredba o varstvu podatkov (GDPR) je stopila v veljavo že leta 2016, dve leti kasneje se je začela izvajati v praksi. Predvidevala je, da posamezne članice EU sprejmejo nacionalne zakone, ki naj bi podrobneje uredili nekatere vidike varstva osebnih podatkov. Pisarna Informacijske pooblaščenke in Ministrstvo za pravosodje sta družno zagrizla v kislo jabolko. Tako smo imeli v zadnjih nekaj letih kar nekaj osnutkov zakona. Nekateri so celo doživeli svoj dan v državnem zboru. S četrtim predlogom nam je vendarle uspelo, decembra 2022 je parlament z večino glasov potrdil nov zakon. Po skoraj petih letih zamude je ZVOP-2 naposled ugledal luč sveta in se danes pričel uporabljati. V tem ne ravno kratkem obdobju nam je zaradi doslednega upoštevanja pravice do lastnega tempa uspelo razdražiti Evropsko komisijo, celo do te mere, da nam je kot zadnji državi članici EU, ki zakona še ni sprejela, zagrozila z globami. A naposled je porod, čeravno z nemalo zapleti, uspel.

Kaj novega torej...

Slo-Tech - Ker, kot pišemo že dve leti, pisarna informacijske pooblaščenke rešuje nove ugotovitve s področja varstva osebnih podatkov od primera do primera in nikoli ne pogleda milimetra levo ali desno, je ponovno čas za nov pregled dobrih praks s področja spoštovanja relevantne procesne zakonodaje (ZDavP, ZUP in GDPR v vsakokratnem agregatnem stanju).

Tokrat si za začetek oglejmo novo dognanje FURS, kjer so napredovali iz običajnega objavljanja davčnih številk in rojstnih datumov v kvalitetno zbirko vseh mogočih podatkov.


Da četrti odstavek 85. člena ZDavP določa: "Če je potrebno opraviti vročitev tako, da se dokument objavi na oglasni deski organa in na enotnem državnem portalu e-uprava, v skladu z zakonom, ki ureja splošni upravni postopek, se v primeru, če dokument vsebuje podatke, ki se štejejo za davčno tajnost, na oglasni deski organa in na enotnem državnem portalu e-uprava, namesto dokumenta objavi zgolj obvestilo o dokumentu, ki vsebuje osnovne podatke iz dokumenta, brez podatkov,...

Slo-Tech - Medtem, ko se pisarna Informacijske pooblaščenke že skoraj štirinajst dni trudi ugotoviti, kako točno bi morali na Slo-Techu predstaviti njihovo večletno inšpekcijsko prakso (glej sliko desno), pa slovenski državni aparat seveda ne spi (topla jesen preprečuje zimsko spanje) in zato navdušeno proizvaja nove primere, ki jih lahko analiziramo.


Tako so sedaj upravne enote ugotovile, da je za skladnost s slovensko zakonodajo s področja varovanja osebnih podatkov dovolj, da se na pravno podlago sklicuješ (branje ni potrebno).

Zakon o splošnem upravnem postopku namreč v svojem 96.a členu pravi, da v kolikor so izpolnjeni določeni pogoji, se objavijo nekateri podatki iz tretjega odstavka 96. člena ZUP. Ker branje seveda škodi in ker gre za pomembne podatke z razvoja prakse uporabe GDPR (ki bo v Sloveniji skorajda že dobila zobe -- morda celo letos) si poglejmo nekaj najboljših primerov:



Datum rojstva je v javni objavi seveda pomemben, ker kup podatkov iz 96. člena ZUP ne...

Slo-Tech - Po javni razpravi, ki je potekala maja (svoje pripombe je podal tudi Informacijski pooblaščenec), in sledečem medresorskem usklajevanju je novi Zakon o varstvu osebnih podatkov (ZVOP-2) naposled priromal na vlado.

Gre za izjemno pomemben zakon, ki bo zamenjal že precej zastareli ZVOP-1 in na sistemski ravni uredil določbe Splošne uredbe o varstvu podatkov (GDPR), ki je bila sprejeta že leta 2016 in se polno uporablja že tri leta. Čeprav imajo uredbe avtomatično veljavnost v državah članicah, je prenos v nacionalni pravni red vseeno pomemben, saj ureja določbe, ki jih uredba ne. Tak primer so na primer pogoji za videonadzor in biometriko, kar GDPR izrecno prepušča državam članicam, drugi pa kazenski del, saj je brez predpisanih glob GDPR v Sloveniji trenutno brezzobi tiger. Predlog zakona ureja postopek pred zavezanci, pritožbeni postopek pri Informacijskem pooblaščencu, njegovo nadzorstveno funkcijo, opredeljuje prekrške, ki niso že v sami GDPR, in določa globe za kršenje GDPR in...

Informacijski pooblaščenec - Dobri dve leti po začetku uporabe Splošne uredbe o varstvu osebnih podatkov (GDPR) je slovenski sodni sistem prišel do spoznanja, da Informacijska pooblaščenka ni pooblaščena, da bi sankcionirala njene kršitve, saj še ni bil sprejet zakon, ki bi ji takšno pooblastilo tudi dal.

Kaj se je zgodilo?

Afera Hrvaška parkirišča. Kot smo na veliko slišali v zadnjih tednih, na Hrvaškem vsako leto letuje veliko Slovencev. Ti tudi veliko parkirajo, včasih očitno tudi brez plačila parkirnine. Nekateri lastniki parkirišč so se odločili izterjati neplačano parkirnino. Da pa bi identificirali prekrškarje, so najeli slovenske odvetnike, ki so za njih pridobil podatke o imetnikih registrskih tablic, nakar so jim potem na dom pošiljali opomine. To seveda ni bilo povšeči prekrškarjem, ki so nadnje poslali pisarno Informacijske pooblaščenke. Ta je menila, da je bila celotna shema pridobivanja in izmenjave osebnih podatkov nezakonita, zato je eni taki odvetniški pisarni izrekla globo v višini 12.510...

Slo-Tech - O Informacijskem pooblaščencu (IP-ju) zadnje čase pišemo v zelo pozitivni luči, ker je postal bistveno bolj prijazen do domačih podjetij kot je bil prej. Kot že napisano, primer njihove trenutne najboljše prakse dovoljuje rabo spletnih piškotkov tudi brez predhodne privolitve obiskovalca oz. celo v primeru, da je uporabnik shranjevanje izrecno prepovedal. S to novo dobro prakso so razveselili številne upravljavce spletnih strani (tudi na primer Policijo, ki pa si je po naši objavi premislila in odločila za malo bolj konzervativno uporabo spletne analitike). Pravzaprav smo seznanjeni s še več drugimi državnimi organi in lokalnimi skupnostmi, ki piškotke že veselo uporabljajo na ta način, o čemer nameravamo pisati v kratkem. A to lahko še malo počaka, ker moramo...