Na podlagi 24 in 25. člena Zakona o varstvu osebnih podatkov – ZVOP-1 (Ur. list RS, št. 86/04, 113/05), 65. člena Zakona o lokalni samoupravi (Ur. list RS, št. 100/05 in 60/07) in 16. člena Statuta Občine Rače–Fram (MUV, 12/07) je Občinski svet Občine Rače–Fram na svoji 9 redni seji, dne 2. oktobra 2007 sprejel

P R A V I L N I K

o postopkih in ukrepih za zavarovanje osebnih podatkov

I. SPLOŠNE DOLOČBE

1. člen

S tem pravilnikom se določajo organizacijski, tehnični in logično- tehnični postopki in ukrepi za zavarovanje zbirk osebnih podatkov z namenom, da se prepreči slučajno ali namerno nepooblaščeno uničevanje podatkov, njihovo spremembo ali izgubo kakor tudi nepooblaščen dostop, obdelava ali posredovanje osebnih podatkov.

2. člen

Določbe tega pravilnika veljajo za vse (klasično ali računalniško) vodene zbirke osebnih podatkov.

3. člen

V tem pravilniku uporabljeni izrazi imajo naslednji pomen:

1. ZVOP-1 - Zakon o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05);

2. osebni podatek - je katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen;

3. posameznik - je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; fizična oseba je določljiva, če se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njegovo fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov ali ne zahteva veliko časa;

4. zbirka osebnih podatkov - je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika;

5. obdelava osebnih podatkov - pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave);

6. upravljavec osebnih podatkov - je fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave;

7. občutljivi osebni podatki - so podatki o rasnem narodnem ali narodnostnem poreklu, političnem, verskem filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali prekrškovne evidence ter biometrične značilnosti;

8. uporabnik osebnih podatkov - je fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki;

9. nosilec podatkov - so vse vrste sredstev, na katerih so zapisani ali posneti podatki (listine, akti, gradiva, spisi, računalniška oprema vključno s magnetni, optični ali drugi računalniški mediji, fotokopije, zvočno in slikovno gradivo, mikrofilmi, naprave za prenos podatkov, ipd.).

4. člen

Zaposleni in zunanji sodelavci, ki pri svojem delu uporabljajo osebne podatke, morajo biti seznanjeni z ZVOP-1, s področno zakonodajo, ki jim dovoljuje obdelavo osebnih podatkov, z vsebino teh pravil in z ostalimi predpisi za izvedbo postopkov in ukrepov zavarovanja zbirk osebnih podatkov ter z vsebino tega pravilnika.

5. člen

Za izvajanje postopkov in ukrepov za zavarovanje zbirk osebnih podatkov je odgovoren predstojnik oz. oseba, ki jo za ta namen predstojnik pooblasti (v nadaljevanju: pooblaščena oseba).

6. člen

Vsi dokumenti morajo biti obravnavani v skladu z Uredbo o upravnem poslovanju (Ur. list RS, št. 20/05, 106/05, 30/06, 86/06), Pravilnikom o izvrševanju uredbe o upravnem poslovanju (Ur. List RS, št. 75/05) in Navodilom za določanje rokov hranjenja dokumentarnega gradiva organov javne uprave (Ur. l. RS št. 81/05).

II. VAROVANJE PROSTOROV IN RAČUNALNIŠKE OPREME

7. člen

(1) Prostori, v katerih se nahajajo nosilci osebnih podatkov, strojna in programska oprema s katero je omogočen dostop do osebnih podatkov, morajo biti zavarovani z organizacijskimi in tehničnimi ukrepi, ki onemogočajo nepooblaščenim osebam dostop do osebnih podatkov.

(2) Varovani prostori ne smejo ostajati nenadzorovani, oziroma se morajo zaklepati ob odsotnosti delavcev, ki jih nadzorujejo.

8. člen

(1) Ključi prostorov, kjer se obdelujejo osebni podatki, se uporabljajo in so shranjeni v skladu z notranjim dogovorom uslužbencev Občinske uprave Občine Rače–Fram (v nadaljevanju: občina).

(2) Prepovedano je odnašanje nosilcev osebnih podatkov izven prostorov občine brez predhodnega dovoljenja pooblaščene osebe.

(3) Osebe, ki delajo z zbirkami osebnih podatkov, morajo ravnati z nosilci osebnih podatkov tako, da je onemogočen nepooblaščen vpogled vanje.

(4) Občutljivi osebni podatki se ne smejo hraniti izven varovanih prostorov.

9. člen

(1) Prostori za obdelavo osebnih podatkov ne smejo ostajati nenadzorovani, oziroma se morajo zaklepati ob odsotnosti zaposlenih.

Izven delovnega časa morajo biti mize pospravljene, dokumentarno gradivo z osebnimi podatki zaklenjeno, računalniki in druga strojna oprema izklopljeni ali programsko zaklenjeni.

(2) Nosilci osebnih podatkov, ki se nahajajo v skupnih prostorih (npr. skupni arhivi) morajo biti stalno zaklenjeni.

10. člen

Terminali in delovne postaje, ki se v prostorih, namenjenih stikom z zunanjimi obiskovalci, uporabljajo za obravnavanje osebnih podatkov, morajo imeti zaslone nameščene tako, da je nepoklicanim onemogočen pogled na prikaz podatkov in drugih informacij. Prav tako mora biti onemogočen vpogled od drugod (npr. skozi okna prostorov).

11. člen

(1) Uporabnik je odgovoren in mora zagotoviti, da:

• ob zapustitvi delovnega mesta, tudi za krajši čas (več kot pet minut), onemogoči vpogled na zaslon ali pa uporabo delovne postaje nepooblaščenim osebam, žigi morajo biti pospravljeni in zaklenjeni,

• ne pušča nosilcev osebnih podatkov na mizah, kadar sam fizično ni prisoten v prostoru,

• so izven delovnega časa omare in pisalne mize z nosilci osebnih podatkov zaklenjene, računalniki in druga strojna oprema pa izklopljeni in fizično ali programsko zaklenjeni.

(1) Uslužbenec zadolžen za delovanje računalniškega informacijskega sistema hrani seznam gesel, katere uporabljajo zaposleni pri vstopu do posamezne aplikacije.

(2) Zaposleni morajo dosledno izvajati postopek prijave oziroma odjave s svojim osebnim geslom na začetku in ob zaključku dostopa do osebnih podatkov, ki so shranjeni v evidencah informacijskega in telekomunikacijskega sistema.

12. člen

(1) Zunanji vzdrževalci strojne in programske opreme se lahko nahajajo v prostorih za obdelavo osebnih podatkov samo v prisotnosti pooblaščene osebe, ostali pa v skladu s pooblastili.

(2) Obiskovalci se smejo gibati v prostorih za obdelavo osebnih podatkov samo v prisotnosti pooblaščenih oseb.

(3) Čistilke in vzdrževalci se lahko gibljejo v prostorih za obdelavo osebnih podatkov samo ob prisotnosti zaposlenih, izven delovnega časa pa samo v tistih prostorih, kjer so nosilci osebnih podatkov zaklenjeni, računalniki in druga oprema pa izklopljeni ali programsko zaklenjeni.

III. VAROVANJE SISTEMSKE IN APLIKATIVNO PROGRAMSKE RAČUNALNIŠKE OPREME TER PODATKOV, KI SE OBDELUJEJO Z RAČUNALNIŠKO OPREMO

13. člen

Dostop do programske opreme mora biti varovan tako, da dovoljuje dostop samo za to v naprej določenim zaposlenim ali pravnim ali fizičnim osebam, ki v skladu s pogodbo opravljajo dogovorjene storitve.

14. člen

Popravljanje, spreminjanje in dopolnjevanje sistemske in aplikativne programske opreme je dovoljeno samo pooblaščeni osebi in na podlagi odobritve direktorja občinske uprave, izvajajo pa ga lahko poleg pooblaščene osebe samo pooblaščeni servisi in organizacije oziroma posamezniki, ki imajo z občino sklenjeno ustrezno pogodbo. Izvajalci morajo spremembe in dopolnitve sistemske in aplikativne programske opreme ustrezno dokumentirati.

15. člen

Za shranjevanje in varovanje aplikativne programske opreme veljajo enaka določila, kot za ostale podatke iz tega pravilnika.

16. člen

(1) Vsebina diskov mrežnega strežnika in lokalnih delovnih postaj, kjer se nahajajo osebni podatki, se sprotno preverja glede na prisotnost računalniških virusov. Ob pojavu računalniškega virusa se tega čim prej odpravi s pomočjo ustrezne strokovne službe oziroma uslužbenca, ki je zadolžen za delovanje računalniškega informacijskega sistema, obenem pa se ugotovi vzrok pojava virusa v računalniškem informacijskem sistemu.

(1) Vsi osebni podatki in programska oprema, ki so namenjeni uporabi v računalniškem informacijskem sistemu in prispejo na občino na medijih za prenos računalniških podatkov ali preko telekomunikacijskih kanalov, morajo biti pred uporabo preverjeni glede prisotnosti računalniških virusov.

17. člen

Zaposleni ne smejo inštalirati programske opreme brez vednosti osebe, zadolžene za delovanje računalniškega informacijskega sistema. Prav tako ne smejo odnašati programske opreme iz prostorov občine brez odobritve vodje oddelka in vednosti osebe, zadolžene za delovanje računalniškega informacijskega sistema.

18. člen

(1) Pristop do podatkov preko aplikativne programske opreme se varuje s sistemom gesel za avtorizacijo in identifikacijo uporabnikov programov in podatkov, sistem gesel pa mora omogočati tudi možnost naknadnega ugotavljanja, kdaj so bili posamezni osebni podatki vneseni v zbirko podatkov, uporabljeni ali drugače obdelovani ter kdo je to storil.

(2) Pooblaščeni uslužbenec (uslužbenec zadolžen za delovanje računalniškega informacijskega sistema) določi režim dodeljevanja hranjenja in spreminjanja gesel.

19. člen

Vsa gesla in postopki, ki se uporabljajo za vstop in administriranje mreže osebnih računalnikov (supervisorska oz. Nadzorna gesla), administriranje elektronske pošte in administriranje aplikativnih programov se hranijo v zapečatenih ovojnicah in se jih varuje pred dostopom nepooblaščenih oseb. Uporabi se jih samo v izrednih okoliščinah oziroma ob nujnih primerih. Vsaka uporaba vsebine zapečatenih ovojnic se dokumentira. Po vsaki takšni uporabi se določi nova vsebina gesel.

20. člen

(1) Za potrebe restavriranja računalniškega sistema ob okvarah in ob drugih izjemnih situacijah se zagotavlja redna izdelava kopij vsebine mrežnega strežnika in lokalnih postaj, če se podatki tam nahajajo.

(2) Te kopije se hranijo v zato določenih mestih, ki morajo biti ognjevarna, zavarovana proti poplavam in elektromagnetnim motnjam, v okviru predpisanih klimatskih pogojev ter zaklenjena.

IV. STORITVE, KI JIH OPRAVLJAJO ZUNANJE PRAVNE ALI FIZIČNE OSEBE

21. člen

(1) Z vsako zunanjo pravno ali fizično osebo, ki opravlja posamezna opravila v zvezi z zbiranjem, obdelovanjem, shranjevanjem ali posredovanjem osebnih podatkov in je registrirana za opravljanje takšne dejavnosti (pogodbeni obdelovalec), se sklene pisna pogodba, predvidena v drugem odstavku 11. člena ZVOP-1. V takšni pogodbi morajo biti obvezno predpisani tudi pogoji in ukrepi za zagotovitev varstva osebnih podatkov in njihovega zavarovanja.

Omenjeno velja tudi za zunanje osebe, ki vzdržujejo strojno in programsko opremo ter izdelujejo in instalirajo novo strojno ali programsko opremo.

(2) Zunanje pravne ali fizične osebe smejo opravljati samo storitve obdelave osebnih podatkov samo v okviru naročnikovih pooblastil in podatkov ne smejo obdelovati ali drugače uporabljati za noben drug namen.

(3) Pooblaščena pravna ali fizična oseba, ki za občino opravlja dogovorjene storitve izven prostorov upravljavca, mora imeti vsaj enako strog način varovanja osebnih podatkov, kakor ga predvideva ta pravilnik.

V. SPREJEM IN POSREDOVANJE OSEBNIH PODATKOV DRUGIM UPORABNIKOM

22. člen

Osebne podatke je dovoljeno prenašati z informacijskimi, telekomunikacijskimi in drugimi sredstvi le ob izvajanju postopkov in ukrepov, ki nepooblaščenim preprečujejo prilaščanje ali uničenje osebnih podatkov ter neupravičeno seznanjanje z njihovo vsebino.

23. člen

(1) Uslužbenec zadolžen za sprejem in evidenco pošte, morajo izročiti poštno pošiljko z osebnimi podatki direktno uslužbencu oziroma oddelku na katerega je ta pošiljka naslovljena.

(2) Uslužbenec, ki je zadolžen za sprejem in evidenco pošte, odpira in pregleduje vse poštne pošiljke in pošiljke, ki na drug način (prinesejo jih stranke ali kurirji, ipd.), razen pošiljk iz drugega in tretjega odstavka tega člena.

(3) Uslužbenec, ki je zadolžen za sprejem in evidenco pošte, ne odpira tistih pošiljk, ki so naslovljene na drug organ ali organizacijo in so pomotoma dostavljena ter pošiljk, ki so označene kot osebni podatki ali za katere iz označb na ovojnici izhaja, da se nanašajo na natečaj ali razpis.

(4) Uslužbenec, ki je zadolžen za sprejem in evidenco pošte, ne sme odpirati pošiljk, naslovljenih na uslužbenca, na katerih je na ovojnici navedeno, da se vročijo osebno naslovniku, ter pošiljk, na katerih je najprej navedeno osebno ime uslužbenca brez označbe njegovega uradnega položaja in šele nato naslov občine.

24. člen

(1) Osebni podatki se posredujejo samo tistim uporabnikom, ki se izkažejo z ustrezno zakonsko osnovo ali pisno privolitvijo posameznika, na katerega se podatki nanašajo.

(2) Za vsako posredovanje osebnih podatkov mora upravičenec vložiti pisno vlogo, na kateri mora biti navedena zakonska osnova za pridobitev osebnih podatkov, ali predložiti pisno privolitev posameznika.

(3) Vsako posredovanje osebnih podatkov se beleži v evidenco posredovanj, ki mora vsebovati pregled zahtevkov, kateri podatki so bili posredovani, komu in kdaj (22. člen ZVOP-1).

(4) V primeru pridobivanja in posredovanja osebnih podatkov med organi javne uprave, je potrebno upoštevati tudi določbe Uredbe o pridobivanju in posredovanju podatkov med organi javne uprave za potrebe upravnih postopkov (Ur. list RS, št. 38/02 in 129/03).

25. člen

(1) Občutljivi osebni podatki se pošiljajo naslovnikom v zaprtih ovojnicah proti podpisu v dostavni knjigi ali z vročilnico.

(2) Osebni podatki se pošiljajo priporočeno.

(3) Ovojnica, v kateri se posredujejo osebni podatki, mora biti izdelana na takšen način, da ovojnica ne omogoča, da bi bila ob normalni svetlobi ali pri osvetlitvi ovojnic z običajno lučjo vidna vsebina ovojnice. Prav tako mora ovojnica zagotoviti, da odprtja ovojnice in seznanitve z njeno vsebino ni mogoče opraviti brez vidne sledi odpiranja ovojnice.

26. člen

(1) Obdelava občutljivih osebnih podatkov mora biti posebej označena in zavarovana.

(2) Podatki iz prejšnjega odstavka se smejo posredovati preko telekomunikacijskih omrežij samo, če so posebej zavarovani s kriptografskimi metodami in elektronskim podpisom tako, da je zagotovljena nečitljivost podatkov med njihovim prenosom.

27. člen

(1) Pregledovanje in prepisovanje (kopiranje) upravnih spisov in dajanje obvestil o poteku postopka se opravlja v skladu z določbami 82. člena Zakona o splošnem upravnem postopku ter v skladu z notranjimi akti občine.

(2) Pregledovanje in prepisovanje upravnih spisov je ob prisotnosti uradne osebe dovoljeno le strankam v postopku in osebam, ki v svoji pisni vlogi verjetno izkažejo, da imajo od tega pravno korist. Pred pregledom oziroma prepisovanjem upravnega spisa je potrebno preveriti identiteto stranke oziroma upravičenca in sicer tako, da se vpogleda njegovo osebno izkaznico, potni list ali vozniško dovoljenje.

(3) Pri vsakem pregledovanju oziroma prepisovanju podatkov iz upravnega spisa se naredi uradni zaznamek, ki se vloži v spis.

Iz uradnega zaznamka, ki ga mora podpisati tudi upravičenec, mora biti razvidna številka spisa, datum in ura pregleda, osebno ime upravičenca, njegov naslov, številka in vrsta dokumenta, iz katerega je ugotovljena identiteta ter namen, zaradi katerega je bil opravljen pregled oziroma prepis. V primeru, da vsebuje upravni spis tudi osebne podatke je potrebno upravičenca opozoriti na dolžnost varovanja takšnih podatkov, kar mora biti razvidno tudi iz uradnega zaznamka.

VI. BRISANJE OSEBNIH PODATKOV IZ ZBIRKE IN RAVNANJE Z ODPADKI

28. člen

(1) Po izpolnitvi namena, zaradi katerega so bili zbrani, se osebni podatki, v skladu z zakonom brišejo iz zbirke.

(2) Po preteku roka hranjenja se osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo, razen če zakon ali drug akt ne določa drugače.

29. člen

(1) Za brisanje podatkov iz računalniških medijev se uporabi takšna metoda brisanja podatkov, da je nemogoča restavracija vseh ali dela brisanih podatkov.

(2) Podatki na klasičnih medijih (listine, kartoteke, register, seznam, ...) se uničijo na način, ki onemogoča branje vseh ali dela uničenih podatkov. Podatki se komisijsko uničijo, ali brišejo, o čemer se sestavi zapisnik.

30. člen

(1) Odpadni papirji in drugi nosilci podatkov se uničujejo na način, ki onemogoči branje vseh ali dela zbrisanih podatkov. Na enak način se uničuje pomožno gradivo (npr. matrice, izračune in grafikone, skice, poskusne oziroma neuspešne izpise ipd.). Prepovedano je odmetavati odpadne nosilce osebnih podatkov v koše za smeti.

(2) Pri prenosu nosilcev osebnih podatkov na mesto uničenja je potrebno zagotoviti ustrezno zavarovanje tudi v času prenosa.

(3) Prenos nosilcev podatkov na mesto uničenja ter uničevanje nosilcev osebnih podatkov nadzoruje posebna komisija, ki o uničenju sestavi tudi ustrezen zapisnik.

VII. UKREPANJE OB SUMU NEPOOBLAŠČENEGA DOSTOPA

31. člen

Zaposleni so dolžni o aktivnostih, ki so povezane z odkrivanjem ali nepooblaščenim uničenjem osebnih podatkov, zlonamerni ali nepooblaščeni uporabi, prilaščanju, spreminjanju ali poškodovanju osebnih podatkov takoj obvestiti pooblaščenega uslužbenca ali direktorja občinske uprave, sami pa poskušajo takšno aktivnost preprečiti.

VIII. ODGOVORNOST ZA IZVAJANJE VARNOSTNIH UKREPOV IN POSTOPKOV

32. člen

(1) Za izvajanje postopkov in ukrepov za zavarovanje osebnih podatkov so odgovorne pooblaščene osebe, ki jih imenuje župan.

(2) Nadzor nad izvajanjem postopkov in ukrepov, določenih s tem pravilnikom, opravlja direktor občinske uprave .

33. člen

Vsak, ki obdeluje osebne podatke, je dolžan izvajati predpisane postopke in ukrepe za zavarovanje osebnih podatkov in varovati osebne podatke, za katere je zvedel oziroma bil z njimi seznanjen pri opravljanju svojega dela. Obveza varovanja osebnih podatkov ne preneha s prenehanjem delovnega razmerja.

34. člen

Pred nastopom dela na delovno mesto, kjer se obdelujejo osebni podatki, mora zaposleni podpisati posebno izjavo, ki ga zavezuje k varovanju osebnih podatkov.

Iz podpisane izjave mora biti razvidno, da je podpisnik seznanjen z določbami tega pravilnika ter določbami ZVOP-1, izjava pa mora vsebovati tudi pouk o posledicah kršitve.

35. člen

Za kršitev določil prejšnjega člena so zaposleni disciplinsko odgovorni.

IX. KONČNE DOLOČBE

36. člen

S tem pravilnikom se seznani vse zaposlene v Občinski upravi Občine Rače–Fram in sicer tako, da vsak zaposleni uslužbenec prejme en izvod podpisanega in ožigosanega pravilnika.

37. člen

Ta pravilnik začne veljati 15 dni po objavi v Medobčinskem uradnem vestniku.

Številka: 034/9-106/2007

Datum: 9. oktober 2007

Župan Občine Rače–Fram

Branko Ledinek, s. r.