IP: 5.320 EUR zaradi nepooblaščenega razkritja OP
Informacijski pooblaščenec je podjetju izrekel globo, ker pri uničenju papirnih dokumentov, ki so vsebovali osebne podatke zaposlenih, ni zagotovil ustreznih organizacijskih ukrepov.
Odločba je bila izdana julija 2026.
Pri odstranjevanju dokumentacije sta bila med zavrženo dokumentacijo pravne osebe odložena tudi dva dokumenta z osebnimi podatki zaposlenih. Dokumentacija za uničenje se je nahajala na lokaciji, kjer je bila povsem nezavarovana in dostopna vsakomur.
Prvi dokument je vseboval ime in priimek zaposlenega, številko zavarovane osebe, datum rojstva, naslov prebivališča, podatke o delodajalcu in spol. Poleg navedenih podatkov je vseboval tudi podatke o zdravju zaposlenega.
Drugi dokument je vseboval ime in priimek druge zaposlene, naziv njenega delodajalca ter podatek o datumu, navedenem v dokumentu.
Odločitev nadzornega organa
Informacijski pooblaščenec je ugotovil, da pravna oseba pri uničenju papirne dokumentacije ni zagotovila ustrezne varnosti obdelave osebnih podatkov, saj ni zagotovila izvajanja ustreznih organizacijskih ukrepov v skladu z 32. členom GDPR, s katerimi bi preprečila nepooblaščeno razkritje osebnih podatkov in dostop do njih. Posledica takšne opustitve je bila, da sta dokumenta z osebnimi podatki zaposlenih ostala med zavrženo dokumentacijo, ki je bila nezavarovana in prosto dostopna.
Takšno ravnanje je nadzorni organ opredelil tudi kot kršitev načela celovitosti in zaupnosti iz točke (f) prvega odstavka 5. člena GDPR, ki zahteva, da se osebni podatki obdelujejo na način, ki zagotavlja njihovo ustrezno varnost, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo, z ustreznimi tehničnimi ali organizacijskimi ukrepi.
Za prekršek po prvem odstavku 95. člena ZVOP-2 v povezavi s točko (a) petega odstavka 83. člena GDPR je Informacijski pooblaščenec pravni osebi izrekel globo v višini 5.320 evrov.
Odločitev opozarja predvsem na pomen ustreznega ravnanja z osebnimi podatki tudi ob uničevanju dokumentacije. Če se osebni podatki nahajajo na papirnih dokumentih, mora biti postopek njihovega odstranjevanja organiziran tako, da v času od odločitve za odstranitev do dejanskega uničenja ne pride do nepooblaščenega dostopa ali razkritja podatkov. To je še posebej pomembno pri dokumentaciji, ki vsebuje posebne vrste osebnih podatkov, kot so podatki o zdravju.
Odločitev nadzornega organa je dostopna tukaj.
Vir: ip-rs.si
Naslovna fotografija: Pexels
