V skladu s Splošno uredbo o varstvu podatkov obstajata načeloma dva glavna načina za prenos osebnih podatkov v državo zunaj EGP ali mednarodno organizacijo. Prenosi se lahko izvedejo na podlagi sklepa o ustreznosti ali če take odločitve ni, na podlagi ustreznih zaščitnih ukrepov, vključno z izvršljivimi pravicami in pravnimi sredstvi za posameznike.

Več informacij:

• Mednarodni prenosi

Da, obdelovalci (tj. posamezniki ali organi, ki obdelujejo podatke v imenu upravljavca) imajo obveznosti v skladu s Splošno uredbo o varstvu podatkov. Vendar obstajajo nekatere razlike med odgovornostmi upravljavcev in obdelovalcev.

Obdelovalci morajo upoštevati odgovornosti, ki so določene v pogodbi o pogodbeni obdelavi, v kateri so podrobno opredeljena dejanja obdelave in sredstva za obdelavo osebnih podatkov. Obdelovalec bo moral na primer postopke obdelave izvajati z ustreznimi tehničnimi in organizacijskimi ukrepi po navodilih upravljavca. Pri tem obdelovalec pomaga upravljavcu pri izpolnjevanju Splošne uredbe o varstvu podatkov.

Več informacij:

• Upravljavec ali obdelovalec

Pogodba o pogodbeni obdelavi mora določati, da obdelovalec:

• obdeluje osebne podatke samo po navodilih upravljavca, vključno v zvezi s prenosi osebnih podatkov v državo zunaj EGP;
• zagotavlja, da so se osebe, pooblaščene za obdelavo podatkov, zavezale k zaupnosti ali da zanje velja ustrezna zakonska obveznost zaupnosti;
• zagotavlja varnost obdelave;
• ne sme zaposliti drugega obdelovalca brez predhodnega posebnega ali splošnega pisnega dovoljenja upravljavca;
• pomaga upravljavcu pri izpolnjevanju obveznosti upravljavca, da odgovori na zahteve posameznika za uveljavljanje njegovih pravic;
• pomaga upravljavcu pri zavarovanju obdelave, obveščanju o kršitvah varstva podatkov in izvajanju ocene učinka v zvezi z varstvom podatkov;
• po izbiri upravljavca izbriše ali vrne vse osebne podatke upravljavcu po koncu opravljanja storitev;
• upravljavcu daje na voljo vse potrebne informacije za dokazovanje skladnosti z obveznostmi iz Splošne uredbe o varstvu podatkov;
• omogoča revizije, vključno s pregledi, ki jih izvaja upravljavec ali drug revizor, ki ga pooblasti upravljavec in pri njih sodeluje.

Poleg tega obdelovalec nemudoma obvesti upravljavca, če meni, da navodila kršijo Splošno uredbo o varstvu podatkov ali druge določbe EU ali nacionalne določbe o varstvu podatkov.

Več informacij:

• Upravljavec ali obdelovalec

Splošna uredba o varstvu podatkov posameznikom omogoča nadzor nad obdelavo njihovih osebnih podatkov. Pri tem je ključnega pomena preglednost. To pomeni, da morate posameznike, katerih podatke obdelujete, obvestiti o vaših postopkih obdelave in namenih. Z drugimi besedami, morate pojasniti, kdo obdeluje njihove podatke, pa tudi kako in zakaj. Le če je uporaba osebnih podatkov za vpletene „pregledna“, lahko ocenijo morebitna tveganja in sprejemajo odločitve o svojih osebnih podatkih.

V skladu s Splošno uredbo o varstvu podatkov ste dolžni deliti naslednje informacije s posamezniki:

• identiteto in kontaktne podatke upravljavca;
• namene obdelave;
• pravno podlago za obdelavo (če je zakoniti interes, posebne informacije o tem, kateri zakoniti interesi se nanašajo na določeno obdelavo in kateri subjekt zasleduje vsak zakoniti interes).
• kontaktne podatke upravljavca;
• kontaktne podatke pooblaščene osebe za varstvo podatkov (če je imenovana);
• prejemnike ali kategorije prejemnikov podatkov;
• Informacije o tem, ali bodo podatki preneseni zunaj Evropskega gospodarskega prostora (EGP) (kjer je ustrezno: obstoj ali neobstoj sklepa o ustreznosti ali sklicevanje na ustrezne zaščitne ukrepe in kako se lahko te informacije dajo na voljo posameznikom, na katere se nanašajo osebni podatki);
• vrste osebnih podatkov, ki se obdelujejo, kadar podatki niso pridobljeni od posameznika.

Poleg tega Splošna uredba o varstvu podatkov zahteva, da vaša organizacija zagotovi naslednje informacije za zagotovitev poštene in pregledne obdelave:

• obdobje hrambe ali, če to ni mogoče, merila, ki se uporabljajo za določitev tega obdobja;
• pravico zahtevati dostop, izbris, popravek, omejitev, ugovor in prenosljivost osebnih podatkov;
• pravico do vložitve pritožbe pri organu za varstvo podatkov;
• če je pravna podlaga za obdelavo privolitev: pravico, da kadar koli prekliče privolitev;
• v primeru avtomatiziranega odločanja ustrezne informacije o osnovni logiki in predvidenih posledicah obdelave za posameznika, na katerega se nanašajo osebni podatki;
• vir osebnih podatkov (če jih niste prejeli neposredno od zadevnega posameznika);
• ali je posameznik dolžan posredovati osebne podatke (ali je to zakonska ali pogodbena obveznost) in kakšne so posledice zavrnitve posredovanja podatkov.

Več informacij:

• Spoštujte pravice posameznikov

Obdelava osebnih podatkov je dovoljena, če za to obstaja pravna podlaga. Poleg svobodne, specifične, informirane in nedvoumne privolitve se lahko uporabijo tudi druge pravne podlage za obdelavo.

Z drugimi besedami, privolitev je potrebna, kadar se ne uporablja nobena od drugih pravnih podlag.

 

Več informacij:

• Obdelujte osebne podatke zakonito

Ne, ni treba, da ste certificirani, da postanete pooblaščena oseba za varstvo podatkov.

Vendar morajo biti pooblaščene osebe za varstvo podatkov sposobne dokazati, da imajo potrebne kvalifikacije, ki jih zahteva Splošna uredba o varstvu podatkov, kot je strokovno znanje o zakonodaji in praksah na področju varstva podatkov.

Več informacij:

• Pooblaščena oseba za varstvo podatkov

Ocena učinka v zvezi z varstvom podatkov je pisna ocena, ki jo mora vaša organizacija opraviti za presojo učinka načrtovanega postopka obdelave. Pomaga vam pri opredelitvi ustreznih ukrepov za obvladovanje tveganj in pri dokazovanju skladnosti.

Čeprav je vedno bolje predvideti učinek načrtovanih postopkov obdelave v vaši organizaciji z izvedbo ocene učinka, je ta obvezna, kadar je verjetno, da bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov.

To velja zlasti, kadar predvidena obdelava vključuje:

• obsežno obdelavo občutljivih osebnih podatkov ali podatkov, povezanih s kazenskimi obsodbami;  
• sistematično in obsežno vrednotenje posameznikovih osebnih vidikov na podlagi avtomatizirane obdelave, vključno z oblikovanjem profilov, in na katerih temeljijo odločitve, ki imajo pravne učinke za posameznika pri vprašanjih ali podobno pomembno vplivajo na posameznike;
• sistematično spremljanje javno dostopnega območja v velikem obsegu.

EOVP je pripravil smernice, v katerih so navedena merila, ki jih morate upoštevati pri ocenjevanju, ali je ocena učinka v zvezi z varstvom podatkov obvezna ali ne. Organi za varstvo podatkov so objavili tudi sezname postopkov obdelave, ki so predmet ocene učinka v zvezi z varstvom podatkov. Poleg tega je več organov za varstvo podatkov razvilo vodiče, programsko opremo ali orodja za samooceno, ki vam bodo v pomoč pri vaši oceni.

Več informacij:

• Bodite skladni s predpisi

Upravljavci lahko osebne podatke obdelujejo le v eni od naslednjih okoliščin:

• s privolitvijo zadevnih posameznikov;
• kadar je obdelava potrebna za izvajanje pogodbe (pogodba med vašo organizacijo in posameznikom);
• zaradi izpolnjevanja pravne obveznosti v skladu z zakonodajo EU ali nacionalno zakonodajo;
• kadar je obdelava potrebna za opravljanje naloge, ki se izvaja v javnem interesu v skladu z zakonodajo EU ali nacionalno zakonodajo;
• zaradi varovanja življenjskih interesov posameznika;
• za zakonite interese vaše organizacije, razen če nad njimi prevladajo pravice in svoboščine posameznikov.

Poleg tega Splošna uredba o varstvu podatkov določa dodatne pogoje za obdelavo občutljivih podatkov.

Več informacij:

• Obdelujte osebne podatke zakonito

Da, Splošna uredba o varstvu podatkov se uporablja, če so osebni podatki vsebovani ali naj bi bili vsebovani v zbirki podatkov. To pomeni, da se Splošna uredba o varstvu podatkov uporablja tudi za papirne zapise in ne samo za avtomatizirano obdelavo osebnih podatkov.

Več informacij:

• Osnove varstva podatkov

Privolitev bi dejansko lahko bila veljavna pravna podlaga za hrambo življenjepisov kandidatov za zaposlitev. Druga možna pravna podlaga bi lahko bil zakonit interes. V tem primeru bi morali opraviti test tehtanja, da dokažete, da zakoniti interesi vaše organizacije prevladajo nad pravicami kandidatov.

V vsakem primeru boste morali kandidate obvestiti, da nameravate shraniti njihove podatke in za katere namene.

Več informacij:

• Obdelujte osebne podatke zakonito