Občutljivi osebni podatki so določeni v 6. členu ZVOP-1: podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske ali prekrškovne evidence; občutljivi osebni podatki so tudi biometrične značilnosti, če je z njihovo uporabo mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin. Se pa strinjamo, da bi moral zakonodajalec med občutljive osebne podatke uvrstiti tudi podatke o spletnih nakupih spodnjega perila za osebo, ki ni zakonski partner kupca :)

Glede prenosa osebnih podatkov pa velja, da le-teh ni mogoče prodajati ali "oddajati" (brezplačno) osebam, ki za to nimajo zakonske podlage, praviloma bo v primeru spletnih portalov taka podlaga osebna privolitev uporabnika. Če je torej maile in dovoljenje za pošiljanje e-sporočil od uporabnikov pridobilo podjetje A, potem mailing liste ne more odstopiti podjetju B, da bi podjetje B poslalo svoja lastna e-sporočila. Morebitna lastniška povezanost ali odnos med podjetjema A in B ne igra absolutno nobene vloge!

Lahko pa podjetje B nastopa kot t.i. pogodbeni obdelovalec osebnih podatkov za podjetje A (npr. kot marketinška agencija, ponudnik aplikacije za trženje po e-pošti, ...) in v imenu podjetja A pošlje e-sporočila uporabnikom. Podjetje B v tem primeru nastopa zgolj kot podaljšana roka podjetja A in lahko z osebnimi podatki dela le tisto, kar mu naroči podjetje A ni nič drugega. Obvezna je pisna pogodba med podjetjema, s katero se natančno opredelijo tudi vprašanja varovanja osebnih podatkov (zahteva, ki v praksi hudo šepa - podjetje A je lahko oglobljeno, če osebne podatke preda brez take pisne pogodbe). Skrb in odgovornost podjetja A za osebne podatke se s predajo podjetju B ne konča.

Dovoljeno pa je, da podjetje A svojim uporabnikom pošlje e-sporočilo, v katerem jim predstavi ponudbo ali neko drugo sporočilo podjetja B, vendar pod pogojem, da je podjetje A dobilo privolitev uporabnikov, da jim pošilja tudi taka sporočila. ZVOP-1 namreč zahteva, da se uporabniku, od katerega se pridobivajo osebni podatki, čim bolj natančno razkrijejo nameni, za katere se bodo ti podatki uporabljali. Zgolj določitev "za lastne potrebe" ali "za pošiljanje e-sporočil" po praksi Informacijskega pooblaščenca ni dovolj in je taka privolitev neveljavna (torej kot da je sploh ne bi dobili).

Vprašanje ostaja, kako je v primeru univerzalnega pravnega nasledstva, ko npr. podjetje B pripoji podjetje A - ali s tem podjetje B pridobi tudi pravico do uporabe OP, ki jih je zbralo (pridobilo zanje osebno privolitev) podjetje A? Glede na "svetost" varovanja OP domnevamo, da bi šla razlaga v smer, da mora podjetje B pridobiti nove osebne privolitve, sicer pa podatke izbrisati. Z argumentom, da uporabnik morda ne bi dal osebne privolitve, če bi jo moral že na začetku dati podjetju B (ki morda slučajno slovi kot ne ravno vzorno, kar se tiče varovanja OP in zasebnosti).

Nobenega dvoma pa ne more biti, ko denimo pride do nakupa zgolj (vseh) poslovnih deležev ali delnic nekega podjetja, podjetje torej še vedno obstaja. Novi "lastnik" nima do osebnih podatkov takega podjetja nobenih pravic.

Nobenih ovir pa ni, kot je bilo že omenjeno, da privolitev za obdelavo OP pridobi več podjetij, ne le eno.

Lep vikend!

Perunpro, zadostuje sicer tudi zgolj pisna zahteva Policije ISPju (za katero pa je precej pogojev - 149.b člen Zakona o kazenskem postopku), ampak tudi to še ne pomeni, da je identifikacija posameznika, ki se "skriva" za IP številko enostavna. Za navadnega državljana že ne. Zato lahko rečemo, da je IP številka v določenih primerih in pod določenimi pogoji lahko osebni podatek, na splošno pa smo še vedno na stališču, da IP števila ni osebni podatek.

Btw., zakaj naj bi naše mnenje bolj malo štelo? :)

had:

ali je IP naslov varovani osebni podatek - http://bit.ly/1eEhKP

O tem, ali je IP številka osebni podatek ali ne, potekajo tudi na ravni EU hude debate. Povsem možno je, da bo prevladal konsenz, da gre za osebni podatek.

Sami se bolj nagibamo k temu, da IP številka sama zase ni osebni podatek. Zakon o varstvu osebnih podatkov (ZVOP-1) namreč kot osebni podatek določa vsak podatek, ki se nanaša na določeno ali določljivofizično osebo. Glede določljivosti pa zakon pravi, da je oseba "določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa".

Če pustimo ob strani vprašanja, ali je IP številka, ki je vendarle številka računalnika in ne številka človeka, "značilna za fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto neke osebe", menimo, da IP številka ne izpolnjuje dodatnega pogoja, to je, da omogoča relativno hitro in enostavno identifikacijo posameznika (ker nismo internetmojstri dopuščamo možnost, da se motimo).

Po našem mnenju Informacijski pooblaščenec v linkanem mnenju prehitro in preveč pavšalno zaključi, da je "IP naslov podatek, ki se nanaša na posameznika in tega sorazmerno enostavno določi." Govorimo o goli IP številki, ne o IP številki v povezavi s še kakšnimi drugimi podatki. Razkritje identitete osebe, ki se "skriva" za IP številko, lahko po našem mnenju opravi samo ponudnik dostopa do omrežja, ki takega razkritja ne sme opraviti brez ustrezne pravne podlage.

Ne, ne gre za to stran, pa vseeno hvala za opozorilo. :)

Očitno prodajanje oglasov v recesiji ni ravno dream job ...

Iščemo tržnika oglasnega prostora na strani s pravno vsebino. Podrobnosti na ZS.

Dejanlesi govori o t.i. "popoldanskem" s.p.-ju, za katerega je res pogoj, da je obvezno zavarovan že na kakšni drugi podlagi (navadno na podlagi delovnega razmerja). Tak s.p. plača mesečno le pavšalni prispevek za pokojninsko (29,33 EUR) in zdravstveno (4,27 EUR) zavarovanje. In seveda dohodnino.

Kraji, sivolasi ima prav - ne glede na to, ali je objava na spletnem mestu nacionalne TV komercialna objava ali ne, so objavili vaše avtorsko delo v nasprotju s pogoji, ki ste jih kot avtor postavili sami in so s tem kršili vašo avtorsko pravico. Vprašanje ne-komercialnosti (vprašanje, koliko je RTV zaradi te slike zaslužila, bila obogatena) je lahko pomembno le pri določanju višine nadomestila oziroma odškodnine, ki vam za to pripada.

Sivolasi, s kopiranjem skoraj celotnega prispevka, objavljenega na strani http://www.ziva-legenda.com/blog/2007/09/20/se-o-avtorskih-pravicah/, ste se nevarno oddaljili od (sicer dovoljenega) citiranja tujega avtorskega dela in se približali nedovoljenemu posegu v tujo avtorsko pravico. Čeprav vidite, da je avtorica na take zadeve kar alergična. :))

Sivolasi, bravo, ste nas prisilili, da "prestavimo" na višji teoretični nivo. Avtor sicer res ima posebno moralno avtorsko pravico, ki se imenuje pravica skesanja. Gre za to, da lahko avtor prekliče materialno avtorsko pravico, ki jo je prenesel na imetnika. Za to mora imeti "resne moralne razloge" (slaba volja ne bo dovolj) in predhodno mora imetniku pravice povrniti škodo, ki mu bo s tem nastala.

Ampak po našem mnenju v primeru posta na forumu ne gre za tak primer, ker avtor sploh ni prenesel nobene materialne avtorske pravice na upravitelja foruma. Med njima ni nastala nobena pogodba. Upravitelj ne ve niti, za koga gre, niti da je bilo in kdaj je bilo neko avtorsko delo objavljeno, zato težko govorimo o sklenitvi pogodbe (čeprav je pogodba lahko sklenjena s konkludentnimi dejanji). Če hočete nekoliko drugače: avtor je delo izdal v samozaložbi, upravitelj pa mu je priskrbel papir za tiskanje.

Strinjamo se sicer, da je lahko pomembna ekonomska komponenta: forum ima zaradi objave dela večji obisk, proda več oglasov itd. A ne smemo zanemariti tudi druge plati: avtor je dobil zastonj možnost, da svoje delo in ideje predstavi javnosti (morda celo stotisočem ali milijonom) in se na ta način brezplačno promovira.

ZVOP-1 pogodbenega obdelovalca opredeljuje kot "fizično ali pravno osebo, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov." Glede na neverjetno široko opredelitev pojma "obdelava" (= karkoli, kar se z OP počne, pa tudi če se z njimi ne počne nič in jih imate zgolj nekje zbrane) je pogodbeni obdelovalec vsakdo, ki ima dostop do osebnih podatkov, ki so "last" (jih je zbrala, pridobila, jih uporablja) tretje osebe, naročnika.

Zakon zahteva pisno pogodbo med naročnikom in pogodbenim obdelovalcev, ki opredeljuje tudi vprašanja varstva OP. Tu se v praksi navadno zatakne. Če se za nek posel še sklene pisna pogodba, se ureditev varstva OP navadno zreducira na kak stavek v smislu "izvajalec je dolžan varovati OP, s katerimi se seznani pri naročniku". Premalo! Zakon (in praksa IP) namreč zahteva, da naročnik zagotavlja tako rekoč enako stopnjo zavarovanja OP, kot če bi jih obdeloval sam. To pomeni, da mu ne sme biti vseeno, kaj se s temi OP dogaja (češ, saj zanje ne skrbimo več mi), pač pa mora aktivno nadzirati izvajalca, kaj s temi OP počne in kako jih varuje. To pomeni denimo seznanitev izvajalca s pravili, ki pri naročniku veljajo glede zavarovanja OP lai preveritev in potrditev izvajalčevih pravil glede varovanja OP, ukrepanje v primeru kršitev, občasni pregledi pri izvajalcu, opredelitev dolžnosti vrnitve in izbrisa OP po prenehanju pogodbenega razmerja, ki je podlaga za pogodbeno obdelavo, in podobno.

Po ZVOP-1 je sklenitev pisne pogodbe sicer obveznost naročnika in ne izvajalca/pogodbenega obdelovalca, vendar pa je verjetno stvar poslovne solidnosti in ugleda, da izvajalec naročnika na takšno dolžnost opozori.

Po naših opažanjih pogodbe, ki bi vsebovale vse elemente glede varovanja OP, v praksi niso ravno pravilo, čeprav se zavedanje počasi dviguje tudi na tem področju.

All right, takole je. 1. odstavek 25. člena ZVOP-1 določa dolžnost zavarovanja osebnih podatkov na način, ki je določen v 24. členu. 1. odstavek 25. člena NI med izjemami, ki jih našteva 4. odstavek 7. člena, kar pomeni, da torej velja za vse zavezance ne glede na velikost in področje delovanja. To pomeni, da so vsi zavezanci dolžni sprejeti in izvajati "organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov".

Zgolj teoretično si lahko zamislimo neko podjetje, ki sprejme in izvaja te postopke in ukrepe, ne da bi jih pred tem zapisalo oziroma opredelilo v nekem pisnem dokumentu (pa magari, da se mu reče kako drugače kot pravilnik, lahko navodilo, obvestilo zaposlenim, ni pomembno). Če pride na obisk inšpektor in vpraša, katere so postopki in ukrepi, jih bo direktor začel naštevati na pamet ali bo raje pokazal pravilnik? Recimo, da pride do zlorabe osebnih podatkov s strani delavca in želi delodajalec uveljavljati njegovo disciplinsko in/ali odškodninsko odgovornost - nemogoče, ker dolžnosti in prepovedi za delavce niso bile nikjer opredeljene.

Vsako razumno podjetje bo torej sprejelo tak pravilnik. Z veseljem pa bomo prebrali nasprotne argumente.

(Po našem prepričanju je bilo črtanje formalne obveznosti sprejema pravilnika izključno posledica "debirokratizacijske" ihte ex ministra Viranta, ki se je zadeve lotil parcialno, politično in ne da bi poznal celotno logiko zakona.)