Evidenca dejavnosti obdelave, DPIA in zaključek prehoda

Modul 9: Ljudje in pravila · Čas branja: 12 minut

Cilj lekcije: Po tej lekciji boste znali po prehodu posodobiti evidenco dejavnosti obdelave in izjavo o zasebnosti, presoditi, ali je potrebna DPIA, poskrbeti za urejeno odstranitev podatkov pri starem ponudniku in prehod uradno zaključiti z zaključno kontrolno vprašalnico.

Ključni pojmi: evidenca dejavnosti obdelave (člen 30), izjema za manj kot 250 zaposlenih, DPIA (člen 35), seznam DPIA nizozemskega nadzornega organa (AP), izjava o zasebnosti (člena 13 in 14), prejemniki, prenos podatkov, obveznost prijave kršitve varstva osebnih podatkov (člen 33), izbris pri starem ponudniku, potrdilo o izbrisu, evalvacija, zaključna kontrolna vprašalnica

Prehod je zaključen šele, ko so v redu tudi dokumenti

Epošta deluje, datoteke so na mestu, vsi delajo v novem okolju. Tehnično ste torej opravili. Za GDPR pa ostaja še delo: Vaša dokumentacija še vedno opisuje staro stanje. Ob vprašanju stranke, nadzoru ali kršitvi varstva osebnih podatkov boste morali pokazati, kako je zdaj. Ta lekcija zaokroži prehod.

To je pojasnilo, ne pravni nasvet.

Evidenca dejavnosti obdelave

Člen 30(1) GDPR nalaga upravljavcu obveznost vodenja evidence dejavnosti obdelave. V njej je za vsako obdelavo (na primer "naročila strank", "kadrovska evidenca", "novičnik") navedeno:

• ime in kontaktni podatki upravljavca (in po potrebi pooblaščene osebe za varstvo podatkov);
• nameni obdelave;
• kategorije posameznikov, na katere se nanašajo osebni podatki, in kategorije osebnih podatkov;
• prejemniki, vključno z obdelovalci;
• prenosi v države zunaj EGP, z navedbo zaščitnih ukrepov;
• roki hrambe, kjer je to mogoče;
• splošen opis varnostnih ukrepov, kjer je to mogoče.

Ali to velja tudi za majhno organizacijo?

Člen 30(5) vsebuje izjemo za organizacije z manj kot 250 zaposlenimi. Vendar ta izjema ne velja, če obdelava verjetno predstavlja tveganje, če obdelava ni občasna, ali če vključuje posebne vrste osebnih podatkov (na primer zdravstvene) ali podatke v zvezi s kazenskimi obsodbami. Nizozemski nadzorni organ (Autoriteit Persoonsgegevens) pojasnjuje, da obdelave v praksi le redko potekajo zgolj občasno: kakor hitro imate zaposlene ali stalne stranke, obdelujete podatke strukturno. Za pekarno Bakkerij De Korrel, ki vodi obračun plač, naročila strank in prijave bolniške odsotnosti, torej izjema ne velja.

Na evropski ravni obstaja predlog za olajšanje obveznosti vodenja evidence za manjše organizacije (tako imenovani sveženj Omnibus IV; junija 2026 sta Svet in Parlament dosegla začasni dogovor). Dokler ta ne začne veljati, velja sedanji člen 30. In tudi pozneje bo pregled koristen: potrebujete ga, da lahko izpolnjujete tudi druge obveznosti.

Kaj prilagodite po prehodu?

Preglejte vsako vrstico svoje evidence in jo prilagodite:

Prehod je odlična priložnost, da roke hrambe končno dejansko uredite. Za davčno dokumentacijo na Nizozemskem praviloma velja obveznost hrambe sedmih let; za podatke o kandidatih za zaposlitev nizozemski nadzorni organ (AP) načeloma priporoča štiri tedne po zaključku postopka. V Sloveniji lahko veljajo drugačni roki, zato preverite, kateri roki veljajo za Vašo dejavnost.

Ali morate izvesti DPIA?

DPIA (ocena učinka v zvezi z varstvom podatkov, angleško data protection impact assessment) je strukturirana predhodna analiza tveganj. Člen 35 nalaga izvedbo DPIA, kadar obdelava verjetno povzroča veliko tveganje za posameznike, zlasti pri uporabi nove tehnologije.

Kako ugotovite, ali je temu tako?

1. Seznam AP. Nizozemski nadzorni organ (Autoriteit Persoonsgegevens) je leta 2019 objavil seznam sedemnajstih vrst obdelav, za katere je DPIA vedno obvezna. Na njem so med drugim obsežna obdelava zdravstvenih podatkov, video nadzor, spremljanje zaposlenih, komunikacijski podatki, podatki o lokaciji, profiliranje in biometrija. Vsak evropski nadzorni organ ima svoj lastni seznam DPIA (člen 35(4)), zato velja preveriti tudi seznam, ki ga je objavil Informacijski pooblaščenec Republike Slovenije.
2. Evropska merila. Evropski nadzorni organi so določili devet meril (kot so občutljivi podatki, velik obseg, ranljivi posamezniki, sistematično spremljanje, nova tehnologija). Če obdelava izpolnjuje dve ali več meril, je DPIA praviloma potrebna.

Za pekarno, ki seli epošto in datoteke, DPIA večinoma ni obvezna. Za zdravniško ordinacijo, ki na nov sistem seli komunikacijo s pacienti, ali za šolo s podatki o učencih, pa je stvar drugačna. Tudi kadar DPIA ni obvezna, je lahko kratka analiza tveganja koristna. Presoja iz lekcije 1.5 je za to dobro izhodišče. Če za stari sistem že imate DPIA, jo posodobite.

Izjava o zasebnosti

V svoji izjavi o zasebnosti posameznikom (strankam, kandidatom za zaposlitev, obiskovalcem spletnega mesta) pojasnite, kako ravnate z njihovimi osebnimi podatki (čl. 13 in 14). V njej so med drugim navedeni prejemniki oziroma kategorije prejemnikov ter morebitni prenosi zunaj EGP. Če je pisalo "uporabljamo storitve podjetij v Združenih državah Amerike na podlagi Data Privacy Framework", to prilagodite. Ne spreminjajte ničesar, kar ne drži: navedite samo tisto, kar z gotovostjo veste na podlagi pogodbe o obdelavi osebnih podatkov in seznama podobdelovalcev.

Kršitve varstva osebnih podatkov: vedite, koga pokličete

Po prehodu se je Vaš ponudnik spremenil, s tem pa tudi pot ob morebitni kršitvi varstva osebnih podatkov. V svoj postopek vključite:

• kontaktni naslov novega ponudnika za varnostne incidente;
• rok, v katerem Vas ponudnik v skladu s pogodbo o obdelavi osebnih podatkov obvesti;
• kdo pri Vas odloča, ali je treba kršitev prijaviti, saj je treba prijavo nadzornemu organu vložiti v 72 urah po odkritju (člen 33);
• kje vodite evidenco kršitev varstva osebnih podatkov: tudi kršitve, ki Vam jih ni treba prijaviti, morate interno zabeležiti (člen 33(5)).

Zaključek pri starem ponudniku

Stari ponudnik naj preneha šele, ko vse nekaj tednov brezhibno deluje (lekcija 3.3). Nato:

1. Zadnje preverjanje: ali je vse preneseno? Ali obstajajo skupne mape, obrazci ali povezave, ki še vedno kažejo na starega ponudnika?
2. Izvozite zadnji arhiv za svojo lastno dokumentacijo, če ga želite hraniti (na primer epošto, za katero velja obveznost hrambe). Hranite ga šifriranega.
3. Izbrišite račune in podatke pri starem ponudniku ali naročite njihov izbris. Člen 28(3)(g) nalaga nekdanjemu obdelovalcu, da po zaključku podatke izbriše ali vrne, po Vaši izbiri. Zahtevajte potrdilo o izbrisu in ga hranite skupaj s svojo evidenco.
4. Odstranite povezave: povezave "prijava z" pri drugih storitvah, aplikacije z dostopom in overitvene zapise v Vašem DNS (lekcija 4.3).
5. Prilagodite svojo evidenco, izjavo o zasebnosti in postopek ob kršitvi varstva osebnih podatkov (glejte zgoraj).

Evalvacija

En mesec po prehodu organizirajte kratko evalvacijo z ambasadorji (lekcija 9.1). Kaj je šlo dobro, kaj ne, kaj boste naslednjič naredili drugače? Zabeležite tudi svoj izstopni načrt za novo storitev (lekcija 8.2) in v koledar vnesite datum za letno preverjanje.

V praksi: tako je videti pri ponudniku

Veliko ponudnikov ima funkcijo za prenos Vaših podatkov ali izbris Vašega računa. Pri WebOké je v navodilih WebOké opisano, kako prenesete svoje podatke ali naročite njihov izbris. Pri velikih ameriških storitvah se to običajno imenuje "izvoz podatkov" in "izbris računa", skrbnik organizacijskega računa pa ima lastne funkcije za izvoz. Vnaprej preverite, kako dolgo storitev po izbrisu podatke še hrani v varnostnih kopijah; to je pogosto navedeno v izjavi o zasebnosti ali v pogodbi o obdelavi osebnih podatkov.

Zaključna kontrolna vprašalnica

• [ ] Vsi deli iz popisa (lekcija 3.1) so v novem okolju in so bili preverjeni
• [ ] Pogodba(e) o obdelavi osebnih podatkov z novim(i) ponudnikom(i) sklenjena(e) in shranjena(e) (lekcija 9.2)
• [ ] Evidenca dejavnosti obdelave posodobljena: prejemniki, prenosi, varnost, roki hrambe
• [ ] Presojena potreba po DPIA (potrebna ali ne, in zapisan razlog)
• [ ] Izjava o zasebnosti prilagojena
• [ ] Postopek ob kršitvi varstva osebnih podatkov z novimi kontaktnimi podatki
• [ ] Stari ponudnik odpovedan, podatki izbrisani, potrdilo shranjeno
• [ ] Povezave in stari zapisi DNS odstranjeni
• [ ] Varnostno kopiranje novega okolja vzpostavljeno in testirano (lekcija 8.1)
• [ ] Izstopni načrt za novo storitev zabeležen (lekcija 8.2)
• [ ] Evalvacija opravljena

Povzetek

• Po prehodu posodobite evidenco dejavnosti obdelave: prejemniki, prenosi, varnost in roki hrambe.
• Izjema za manj kot 250 zaposlenih v praksi le redko velja; predlog za njeno olajšanje še ni začel veljati (stanje november 2026).
• DPIA je obvezna pri velikem tveganju (seznam Informacijskega pooblaščenca, evropska merila); za običajne pisarniške podatke večinoma ni.
• Prilagodite svojo izjavo o zasebnosti in postopek ob kršitvi varstva osebnih podatkov.
• Poskrbite, da stari ponudnik izbriše Vaše podatke, in zahtevajte potrdilo.

Kviz

Naloga

Naloga E9.3: Zaključite svoj prehod. Za tri obdelave iz svoje organizacije posodobite vrstice v evidenci dejavnosti obdelave (prejemniki, prenos, varnost, rok hrambe), s seznamom Informacijskega pooblaščenca in evropskimi merili presodite, ali je potrebna DPIA, ter izpolnite zaključno kontrolno vprašalnico.

Za nadaljnje branje

Koraki v teh prispevkih veljajo za storitve WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik WebOké 11.7: Zasebnost: prenos ali izbris Vaših podatkov
• Priročnik za Nextcloud 16.7: Znanec odhaja: varen prevzem datotek, koledarja in map v souporabi
• Priročnik za Nextcloud 15.13: Pogosta vprašanja o varnosti in zasebnosti
• Uredba (EU) 2016/679 (GDPR), členi 13, 14, 28, 30, 33 in 35, na EUR-Lex
• Sklep o seznamu vrst obdelav osebnih podatkov, za katere je DPIA obvezna (nizozemski nadzorni organ AP, Stcrt. 2019), na wetten.overheid.nl (BWBR0042812)
• Nizozemski nadzorni organ (Autoriteit Persoonsgegevens) (Autoriteit Persoonsgegevens), teme "Register van verwerkingsactiviteiten" in "DPIA": https://www.autoriteitpersoonsgegevens.nl