Pravilnik o varstvu osebnih podatkov

Ljubljana, 7. 5. 2018

Na podlagi 24. in 25. člena Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 86/2004, 113/2005, 67/2007), ZVOP-1-UPB1 (Uradni list RS, št. 94/2007) ter 24., 25. in 32. člena Uredbe EU, št. 2016/679, Evropskega parlamenta in Sveta z dne 27. 4. 2016 o varstvu posameznikov pri obdelavi osebnih podatkov (GDPR) izdaja direktor založbe Modrijan, Branimir Nešović,

PRAVILNIK O POSTOPKIH IN UKREPIH ZA ZAVAROVANJE OSEBNIH PODATKOV

I.SPLOŠNE DOLOČBE

1. člen

S tem pravilnikom se določajo organizacijski, tehnični ter logično-tehnični postopki in ukrepi varovanja osebnih podatkov v založbi Modrijan, Poljanska cesta 15, 1000 Ljubljana (v nadaljevanju: založba Modrijan), da se prepreči naključno ali namerno in nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba kakor tudi nepooblaščen dostop do podatkov, njihova obdelava, uporaba ali posredovanje tretjim osebam.

Vsi zaposleni v založbi Modrijan in zunanji sodelavci založbe, ki pri svojem delu uporabljajo osebne podatke iz podatkovnih baz založbe Modrijan, morajo biti seznanjeni z Zakonom o varovanju osebnih podatkov (ZVOP-1), evropsko uredbo GDPR (EU 2016/679), drugimi pozitivnimi predpisi in splošnimi akti, ki urejajo posamezno področje njihovega dela, in z vsebino tega pravilnika.

Osebni podatki, ki se obdelujejo, morajo biti ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo.

2. člen

V tem pravilniku uporabljeni izrazi imajo naslednji pomen:

ZVOP-1: Zakon o varstvu osebnih podatkov (Uradni list RS, št. 86/2004, 113/2005, 67/2007, 94/2007).

GDPR: Uredba EU 2016/679 Evropskega parlamenta in Sveta z dne 27. 4. 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku podatkov.

Osebni podatek: vsak podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.

Posameznik: določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; fizična oseba je določljiva, če se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali na več dejavnikov, ki so značilni za njegovo fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov ali ne zahteva veliko časa.

Obdelava osebnih podatkov: kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana.

Upravljavec osebnih podatkov: fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov, oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave.

Občutljivi osebni podatki: podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem, filozofskem prepričanju, članstvu v sindikatu ali politični stranki, zdravstvenem stanju, spolnem življenju, vpisu v kazensko evidenco ali prekrškovne evidence oz. izbrisu iz njih ter biometrične značilnosti.

Uporabnik osebnih podatkov: fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki.

Nosilci podatkov: vse vrste sredstev, na katerih so zapisani ali posneti podatki (listine, akti, gradiva, spisi, računalniška oprema, vključno z magnetnimi, optičnimi ali drugimi računalniškimi mediji, fotokopije, zvočno in slikovno gradivo, mikrofilmi, naprave za prenos podatkov, USB-ključi, kartice ipd.).

• Katalog zbirke osebnih podatkov

3. člen

Opis zbirk osebnih podatkov, katerih upravljavec je založba Modrijan, se vodi v katalogu zbirk osebnih podatkov (opisu zbirk osebnih podatkov) v skladu z določbami 26. člena ZVOP-1.

Katalog zbirke osebnih podatkov se za vsako zbirko osebnih podatkov zagotovi najkasneje 15 dni pred vzpostavitvijo zbirke osebnih podatkov.

Katalog zbirk osebnih podatkov se dopolnjuje ob vsaki spremembi vrste osebnih podatkov v posamezni zbirki.

• Zbiranje in obdelava osebnih podatkov

4. člen

Osebni podatki zaposlenih v založbi Modrijan in drugih oseb se lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju z nameni zbiranja, če zakon ne določa drugače.

Osebni podatki se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika.

Ne glede na prejšnji odstavek se lahko obdelujejo osebni podatki posameznikov, ki so z založbo Modrijan sklenili pogodbo ali so na podlagi pobude posameznika z založbo Modrijan v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogodbe ali za sklenitev pogodbe.

Ne glede na prvi odstavek tega člena se lahko obdelujejo osebni podatki zaposlenih ali drugih oseb, če je to nujno zaradi uresničevanja zakonitih interesov založbe Modrijan in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki.

Občutljivi osebni podatki se v založbi Modrijan zbirajo v primerih, ki jih določa zakon, ali kadar je podano pisno soglasje osebe ter znan namen zbiranja in obdelave.

• Odgovornost za zbiranje in obdelavo osebnih podatkov

5. člen

Zaposleni, vodje področij ter pooblaščene osebe v založbi Modrijan in zunanji sodelavci, ki obdelujejo osebne podatke, morajo biti seznanjeni s katalogom zbirk osebnih podatkov. Vpogled v katalog zbirk osebnih podatkov je treba omogočiti tudi vsakomur, ki to zahteva in izkaže zakonit interes.

V založbi Modrijan se vodi ažuren seznam, iz katerega je za vsako zbirko osebnih podatkov razvidno, katera oseba je odgovorna za posamezno zbirko osebnih podatkov in katere osebe lahko zaradi narave svojega dela obdelujejo osebne podatke, ki se nanašajo na posamezno zbirko osebnih podatkov.

V seznam se vpisujejo sledeči podatki: naziv zbirke osebnih podatkov, osebno ime in delovno mesto ali funkcija osebe, ki je odgovorna za zbirko osebnih podatkov, ter osebno ime in delovno mesto oziroma funkcija oseb, ki lahko zaradi narave svojega dela obdelujejo osebne podatke, ki se nanašajo na zbirko osebnih podatkov.

II. IZNOS OSEBNIH PODATKOV

6. člen

Posredovanje osebnih podatkov, ki se obdelujejo ali se bodo obdelovali šele po opravljenem posredovanju v tretjo državo, je dopustno v skladu z določilom 63. člena ZVOP-1 oziroma pod pogojem, da se pri pristojnem državnem nadzornem organu pridobi ustrezna odločba, ter da država, v katero se osebni podatki iznašajo, zagotavlja ustrezno raven varstva osebnih podatkov.

III. VAROVANJE PROSTOROV IN RAČUNALNIŠKE OPREME V ZALOŽBI MODRIJAN

7. člen

Prostori, v katerih se nahajajo nosilci osebnih podatkov, strojna in programska oprema (varovani prostori), morajo biti varovani z organizacijskimi ter fizičnimi ali tehničnimi ukrepi, ki nepooblaščenim osebam onemogočajo dostop do podatkov.

Ključi varovanih prostorov se uporabljajo in hranijo v skladu s hišnim redom. Ključi se ne puščajo v ključavnici v vratih od zunanje strani.

Varovani prostori ne smejo ostajati nenadzorovani oziroma se morajo zaklepati ob odsotnosti delavcev oziroma drugih oseb, ki jih nadzorujejo.

Nosilci osebnih podatkov ne smejo biti puščeni na mizah v prisotnosti oseb, ki nimajo pravice vpogleda vanje.

Nosilci osebnih podatkov, ki se nahajajo zunaj zavarovanih prostorov (hodniki, skupni prostori), morajo biti stalno zaklenjeni.

Občutljivi osebni podatki se ne smejo hraniti zunaj varovanih prostorov.

8. člen

V prostorih, ki so namenjeni poslovanju s strankami, morajo biti nosilci podatkov in računalniški prikazovalniki nameščeni tako, da stranke nimajo vpogleda vanje.

9. člen

Vzdrževanje in popravilo strojne računalniške in druge opreme je dovoljeno samo z vednostjo odgovorne osebe založbe Modrijan ali direktorja založbe, izvajajo pa ga lahko samo pooblaščeni servisi in vzdrževalci, ki imajo z založbo Modrijan sklenjeno ustrezno pogodbo.

10. člen

Vzdrževalci prostorov, strojne in programske opreme, stranke ali drugi obiskovalci in poslovni partnerji se smejo gibati v zavarovanih prostorih samo z vednostjo pooblaščene osebe.

Zaposleni v založbi Modrijan in druge osebe, kot so tehnično osebje, čistilke, varnostniki idr., se lahko zunaj delovnega časa gibljejo samo v tistih varovanih prostorih, kjer je onemogočen vpogled v osebne podatke (nosilci podatkov so shranjeni v zaklenjenih omarah in pisalnih mizah, računalniki in druga strojna oprema izklopljeni ali kako drugače fizično ali programsko zaklenjeni.

IV. VAROVANJE SISTEMSKE IN APLIKATIVNE PROGRAMSKE RAČUNALNIŠKE OPREME IN PODATKOV, KI SE OBDELUJEJO Z RAČUNALNIŠKO OPREMO

11. člen

Dostop do programske opreme mora biti varovan tako, da dovoljuje dostop samo za to vnaprej določenim zaposlenim v založbi Modrijan in pooblaščenim osebam, ki opravljajo dogovorjene storitve.

12. člen

Popravljanje, spreminjanje in dopolnjevanje sistemske in aplikativne programske opreme je dovoljeno samo na podlagi odobritve odgovorne osebe založbe Modrijan ali direktorja založbe, izvajajo pa ga lahko samo pooblaščeni servisi, organizacije in posamezniki, ki imajo z založbo Modrijan sklenjeno ustrezno pogodbo. Izvajalci morajo spremembe in dopolnitve sistemske in aplikativne programske opreme ustrezno dokumentirati.

13. člen

Za shranjevanje in varovanje aplikativne programske opreme veljajo enaka določila kot za druge podatke iz tega pravilnika.

14. člen

Vsebina diskov mrežnega strežnika in lokalnih delovnih postaj, kjer se nahajajo osebni podatki, se sprotno preverja glede na prisotnost računalniških virusov. Če se pojavi računalniški virus, ga ustrezna pooblaščena strokovna služba takoj strokovno odpravi, obenem pa se ugotovi vzrok pojava virusa v računalniškem informacijskem sistemu.

Vsi osebni podatki in programska oprema, ki so namenjeni uporabi v računalniškem informacijskem sistemu in prispejo v založbo Modrijan na medijih za prenos računalniških podatkov ali po telekomunikacijskih kanalih, morajo biti pred uporabo preverjeni glede na prisotnost računalniških virusov.

15. člen

Nameščanje programske opreme brez vednosti osebe, zadolžene za delovanje računalniškega informacijskega sistema, ni dovoljeno. Prav tako ni dovoljeno odnašanje programske opreme iz prostorov založbe Modrijan brez odobritve odgovorne osebe ali direktorja založbe in brez vednosti osebe, zadolžene za delovanje računalniškega informacijskega sistema.

16. člen

Pristop do podatkov prek aplikativne programske opreme se varuje s sistemom gesel za avtorizacijo in identifikacijo uporabnikov programov in podatkov, sistem gesel pa mora omogočati tudi možnost naknadnega ugotavljanja, kdaj so bili posamezni osebni podatki vneseni v zbirko podatkov, uporabljeni ali drugače obdelovani ter kdo je to storil.

Odgovorna oseba v založbi Modrijan določi režim dodeljevanja hranjenja in spreminjanja gesel.

V. STORITVE, KI JIH ZA ZALOŽBO MODRIJAN OPRAVLJAJO ZUNANJE PRAVNE ALI FIZIČNE OSEBE

17. člen

Zunanje pravne ali fizične osebe smejo opravljati storitve obdelave osebnih podatkov samo v okviru naročnikovih pooblastil. Podatkov ne smejo obdelovati ali drugače uporabljati za noben drug namen.

Pooblaščena pravna ali fizična oseba, ki za založbo Modrijan opravlja s pogodbo dogovorjene storitve zunaj prostorov založbe, mora imeti vsaj enako strog način varovanja osebnih podatkov, kakor ga predvideva ta pravilnik.

18. člen

Z vsako zunanjo pravno ali fizično osebo, za katero se opravljajo posamezna opravila v zvezi z zbiranjem, obdelovanjem, shranjevanjem ali posredovanjem osebnih podatkov, se sklene pisna pogodba. V taki pogodbi morajo biti obvezno predpisani tudi pogoji in ukrepi za zagotovitev varstva osebnih podatkov in njihovega zavarovanja.

Za zunanje pravne ali fizične osebe se smejo opravljati samo tiste storitve obdelave osebnih podatkov, ki so v okviru naročnikovih pogodbenih določil ter pooblastil. Podatki se ne smejo obdelovati ali drugače uporabljati za noben drug namen.

Založba Modrijan izda pisno izjavo o varovanju osebnih podatkov vsem poslovnim partnerjem, s katerimi je v pogodbenem odnosu in se pri opravljanju storitev zanje zbirajo in obdelujejo osebni podatki.

VI. EVIDENCA VSTOPOV IN IZSTOPOV V POSLOVNE PROSTORE IN DRUGE PROSTORE ZALOŽBE MODRIJAN

19. člen

V skladu z odločitvijo odgovornih oseb založbe Modrijan ali direktorja založbe lahko za namene zaščite in varovanja premoženja, osebnih in drugih poslovnih podatkov, življenja ali zdravja posameznikov ter reda v prostorih oziroma prostorih in mestih, kjer se opravlja dejavnost, od posameznika, ki namerava vstopiti v poslovne in druge prostore ali izstopiti iz njih, zahteva, da navede vse ali nekatere osebne podatke iz drugega odstavka tega člena ter razlog vstopa ali izstopa. Po potrebi lahko osebne podatke preveri tudi z vpogledom v osebni dokument posameznika.

V evidenci vstopov v prostore in izstopov iz njih se lahko o posamezniku vodijo samo naslednji osebni podatki: osebno ime, številka in vrsta osebnega dokumenta, naslov stalnega ali začasnega prebivališča ter datum, ura in razlog vstopa v prostore ali izstopa iz njih.

Osebni podatki iz evidence iz drugega odstavka tega člena se lahko hranijo največ tri leta od vpisa, nato se zbrišejo ali na drug način uničijo, če zakon ne določa drugače.

VII. SPREJEM IN POSREDOVANJE OSEBNIH PODATKOV

• Prejeta in poslana pošta

20. člen

Oseba, ki je v založbi Modrijan zadolžena za sprejem in evidenco pošte, mora izročiti poštno pošiljko z osebnimi podatki neposredno posamezniku ali odgovorni oziroma pooblaščeni osebi, na katero je pošiljka naslovljena.

Odpirajo in pregledujejo se vse poštne pošiljke in pošiljke, ki na drug način prispejo na naslov založbe Modrijan, razen pošiljk iz tretjega in četrtega odstavka tega člena.

Ne odpirajo se pošiljke, ki so naslovljene na drugo organizacijo ali posameznika in so pomotoma dostavljene, ter pošiljke, ki so označene kot osebni podatki ali za katere iz označb na ovojnici izhaja, da se nanašajo na natečaj ali razpis.

Ni dovoljeno odpiranje pošiljk, naslovljenih na ime zaposlenega delavca založbe Modrijan, pri katerih je na ovojnici navedeno, naj se vročijo osebno naslovniku, in pošiljk, na katerih je najprej navedeno osebno ime brez označbe njegove funkcije v založbi in šele nato naslov.

• Način obdelave in posredovanja osebnih podatkov

21. člen

Osebne podatke je dovoljeno prenašati z informacijskimi, telekomunikacijskimi in drugimi sredstvi le ob izvajanju postopkov in ukrepov, ki nepooblaščenim preprečujejo prilaščanje ali uničenje podatkov ter neupravičeno seznanjanje z njihovo vsebino.

Občutljivi podatki se pošiljajo naslovnikom v zaprtih ovojnicah ob podpisu v dostavni knjigi ali z vročilnico.

Osebni podatki se pošiljajo priporočeno.

Ovojnica, v kateri se posredujejo osebni podatki, ne sme omogočati, da bi bila ob normalni svetlobi ali osvetlitvi z običajno lučjo vidna vsebina ovojnice. Prav tako mora biti zagotovljeno, da ovojnice ni mogoče odpreti in se seznaniti z njeno vsebino brez vidnih sledi odpiranja ovojnice.

22. člen

Osebni podatki se posredujejo samo tistim uporabnikom, ki se izkažejo z ustrezno zakonsko podlago ali s pisno zahtevo oziroma privolitvijo posameznika, na katerega se podatki nanašajo.

Za vsako posredovanje osebnih podatkov mora upravičenec vložiti pisno vlogo, v kateri mora biti jasno navedena določba zakona, ki uporabnika pooblašča za pridobitev osebnih podatkov, ali pa mora biti vlogi priložena pisna zahteva oziroma privolitev posameznika, na katerega se podatki nanašajo.

Vsako posredovanje osebnih podatkov se vpisuje v evidenco posredovanja, iz katere mora biti razvidno, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi (22. člen ZVOP-1).

Nikoli se ne posredujejo izvirniki dokumentov, razen v primeru pisne odredbe sodišča. Originalni dokument je treba v času odsotnosti nadomestiti s kopijo.

VIII. BRISANJE PODATKOV

23. člen

Po preteku roka hranjenja se osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo, razen če zakon ali drug akt ne določa drugače.

Roki, po katerih se osebni podatkov izbrišejo iz zbirke podatkov, so razvidni iz kataloga zbirke osebnih podatkov.

24. člen

Za brisanje podatkov z računalniških medijev se uporabi taka metoda brisanja, ki onemogoča celotno ali delno restavracijo brisanih podatkov.

Podatki na klasičnih medijih (listine, kartoteke, register, seznam …) se uničijo na način, ki onemogoča branje vseh uničenih podatkov ali njihovega dela.

Na enak način se uničuje pomožno gradivo (matrice, izračuni in grafikoni, skice, poskusni oz. neuspešni izpisi ipd.).

Prepovedano je odmetavanje odpadnih nosilcev podatkov z osebnimi podatki v koše za smeti.

Ob prenosu nosilcev osebnih podatkov na mesto uničenja je treba zagotoviti ustrezno zavarovanje tudi v času prenosa.

IX. UKREPANJE OB SUMU NEPOOBLAŠČENEGA DOSTOPA DO OSEBNIH PODATKOV

25. člen

Zaposleni v založbi Modrijan so dolžni o aktivnostih, ki so povezane z odkrivanjem ali nepooblaščenim uničenjem zaupnih podatkov, o zlonamerni ali nepooblaščeni uporabi, prilaščanju, spreminjanju ali poškodovanju takoj obvestiti odgovorno osebo v založbi in direktorja založbe, sami pa poskušati takšno aktivnost preprečiti.

X. ODGOVORNOST ZA IZVAJANJE VARNOSTNIH UKREPOV IN POSTOPKOV

26. člen

Za izvajanje postopkov in ukrepov za zavarovanje osebnih podatkov so odgovorni odgovorne in pooblaščene osebe v založbi Modrijan ter direktor založbe.

Nadzor nad izvajanjem postopkov in ukrepov, določenih s tem pravilnikom, opravlja pooblaščena oseba.

27. člen

Vsakdo, ki v založbi Modrijan obdeluje osebne podatke, je dolžan izvajati predpisane postopke in ukrepe za zavarovanje podatkov in varovati podatke, za katere je izvedel oziroma je bil z njimi seznanjen pri opravljanju svojega dela.

Pred nastopom dela na delovnem mestu v založbi Modrijan ali prevzemom funkcije oziroma pooblastila, kjer se obdelujejo osebni podatki, morajo osebe podpisati posebno izjavo, ki jih zavezuje k varovanju osebnih podatkov.

Iz podpisane izjave mora biti razvidno, da je podpisnik seznanjen z določbami tega pravilnika ter določbami Zakona o varstvu osebnih podatkov, izjava pa mora vsebovati tudi pouk o posledicah kršitve.

28. člen

Za kršitev določil iz prejšnjega člena so zaposleni ter pooblaščene osebe v založbi Modrijan disciplinsko in kazensko odgovorni.

Druge civilne ali pravne osebe so odgovorne na temelju pogodbenih obveznosti.

XI. KONČNE DOLOČBE

29. člen

S tem pravilnikom se seznanijo vse zaposlene osebe v založbi Modrijan in z njo povezane osebe, ki so dolžne pri svojem delu spoštovati njegova določila ter se pri zbiranju, posredovanju in obdelavi osebnih podatkov po njih ravnati, kar potrdijo s podpisom posebne izjave o varovanju osebnih podatkov, ki se hrani pri pooblaščeni osebi za varovanje osebnih podatkov v založbi Modrijan in so sestavni del kataloga zbirk osebnih podatkov.

30. člen

Ta pravilnik začne veljati z dnem sprejema, uporablja pa se od 25. 5. 2018.

V Ljubljani, dne 7. 5. 2018

Za založbo Modrijan
direktor Branimir Nešović