GDPR.
Zakonito obdelujte osebne podatke, varujte pravice in sledljivo dokazujte izvajanje.
- Uredba (EU) 2016/679 · BDSG
- Avtor: Derya Altinay
- Stanje: 22. 10. 2026
- Čas branja: 8 min.
Kratek odgovor.
GDPR ureja obdelavo osebnih podatkov na evropskem področju uporabe. Podjetja potrebujejo ustrezne pravne podlage, pregledne informacije, postopke za pravice posameznikov in zaščitne ukrepe glede na tveganja. Po členu 5 GDPR velja za upravljavce načelo odgovornosti: dokazati morajo izpolnjevanje načel. Obdelovalci imajo lastne obveznosti in podpirajo upravljavca pri njihovem izpolnjevanju.
GDPR: varstvo podatkov presega varnost IT.
Splošna uredba o varstvu podatkov je neposredno uporabljivo pravo EU za varstvo posameznikov pri obdelavi njihovih osebnih podatkov. Uredba (EU) 2016/679 se uporablja od 25. maja 2018; GDPR je njena angleška kratica. V Nemčiji evropski okvir dopolnjujejo zlasti zvezni zakon o varstvu podatkov in področni predpisi.
GDPR najprej sprašuje, ali je obdelava dopustna in za kakšen namen. Varna podatkovna zbirka še ne odgovori, ali so zbrane informacije potrebne ali kako dolgo jih je dovoljeno hraniti. Člena 5 in 6 GDPR povezujeta načela in pravne podlage; člen 32 v tem okviru zadeva varnost obdelave.
Varstvo podatkov ostaja stalna naloga, ker se nameni, podatkovni tokovi in uporabljene storitve spreminjajo. Upravljavec mora po členu 24 GDPR sprejeti ustrezne ukrepe, preveriti njihovo primernost in jih po potrebi posodobiti. Enkrat izpolnjen dokument ne nadomešča tega stalnega ocenjevanja.
Za katera podjetja velja GDPR.
GDPR po členu 2 velja za tam zajeto obdelavo osebnih podatkov ne glede na velikost podjetja. Sem sodijo na primer podatki strank, prijave za zaposlitev ali vsebine podpore z osebnimi podatki. Tudi psevdonimizirani podatki ostajajo osebni, če je posameznika mogoče določiti z dodatnimi informacijami; dejansko anonimne informacije je treba razvrstiti drugače.
Ozemeljsko področje uporabe izhaja iz člena 3 GDPR. Poleg obdelav v okviru poslovne enote v EU so lahko zajete določene ponudbe osebam v EU ali spremljanje njihovega vedenja s strani podjetij zunaj EU. Sama lokacija strežnika ali dostopnost spletne strani o tem ne odločata.
Vloga se določi za konkretno dejavnost: upravljavci odločajo o namenih in sredstvih, obdelovalci pa obdelujejo podatke v njihovem imenu. Organizacija ima lahko glede na dejavnost različne vloge. Člena 26 in 28 GDPR pri skupnem upravljanju oziroma pogodbeni obdelavi zahtevata ustrezne ureditve; sam naslov pogodbe ne razjasni dejanske vloge.
Zahteve GDPR za podjetja.
Zahteve GDPR povezujejo pravne odločitve z dejanskim izvajanjem obdelave. Sedem delovnih področij ponuja orientacijo; katere posebne obveznosti se dodajo, je odvisno od vloge, podatkov, dejavnosti in tveganj za posameznike.
Določite načela in pravne podlage.
Člena 5 in 6 GDPR zahtevata zakonito, namensko omejeno in sledljivo obdelavo. Podatke in hrambo omejite na potrebno ter skrbite za točnost informacij. Privolitev je ena od možnih pravnih podlag; njenih pogojev ni dovoljeno preskočiti, enako kot pogojev drugih pravnih podlag.
Omogočite preglednost in pravice posameznikov.
Členi 12 do 22 GDPR zadevajo razumljive informacije in pravice, kot so dostop, popravek ali izbris. Pravice imajo različne pogoje in izjeme. Pristojnosti, iskanje podatkov, preverjanje identitete in varen odgovor morajo biti usklajeni; sama izjava o zasebnosti še ne obdela zahteve.
Uredite odgovornost in ponudnike storitev.
Členi 24 do 30 GDPR urejajo organizacijske obveznosti, vgrajeno varstvo podatkov, vloge in evidence. Obdelava po členu 28 poleg ustrezne pogodbene podlage zahteva zadostna jamstva ponudnika storitev. V oceno sodijo dejansko uporabljeni podobdelovalci in podatkovne poti, ne le splošni pogodbeni pogoji.
Člen 32 GDPR pretvorite v učinkovite tehnične in organizacijske ukrepe.
Tehnični in organizacijski ukrepi morajo zagotoviti raven varnosti, ustrezno tveganju. Člen 32 GDPR upošteva kontekst obdelave, stanje tehnike, stroške ter verjetnost in resnost možnih posledic za ljudi. Glede na tveganje sem sodijo zaščita dostopa, šifriranje, možnost obnovitve in redno preverjanje učinkovitosti; fiksen univerzalen seznam ne zadostuje.
Preverite posebna tveganja in svetovanje.
Ocena učinka v zvezi z varstvom podatkov po členu 35 GDPR je potrebna pred obdelavo, kadar bo ta verjetno povzročila veliko tveganje za pravice in svoboščine. Preverite tudi pogoje za pooblaščeno osebo za varstvo podatkov po členu 37 in dodatno po § 38 BDSG. Svetovalna funkcija ne nadomešča odgovornosti za obdelavo.
Ocenite kršitve varstva podatkov in poročajte o njih.
Člen 33 GDPR načeloma zahteva uradno obvestilo pristojnemu nadzornemu organu, razen če kršitev verjetno ne bo povzročila tveganja za pravice in svoboščine. Člen 34 ločeno ureja obveščanje posameznikov ob verjetno velikem tveganju. Obdelovalci upravljavca obvestijo brez nepotrebnega odlašanja; dokumentiranje incidenta ostaja samostojna obveznost.
Ločeno zaščitite prenose v tretje države.
Poglavje V GDPR določa dodatne zahteve za prenose v tretje države. Preverite dejanske prejemnike, dostope in ustrezen mehanizem prenosa. Dopusten prenos ne nadomešča pravne podlage obdelave ali drugih obveznosti varstva podatkov; tudi gostovanje v EU ne odgovori na vsako vprašanje o zunanjih dostopih.
Izvajanje GDPR kot stalen proces.
Opredelite obdelave in vloge.
Za praktičen začetek popišite namene, posameznike, podatke, sisteme in prejemnike konkretne dejavnosti ter razjasnite, kdo je odgovoren za katero odločitev.
Preverite dopustnost in obveščanje.
Ocenite pravne podlage, potrebnost in hrambo ter primerjajte dejansko obdelavo z informacijami za posameznike.
Ocenite tveganja in posebne obveznosti.
Pred uvedbo ali bistveno spremembo obdelave preverite tveganja za ljudi ter pogoje za oceno učinka, pooblaščeno osebo za varstvo podatkov, pogodbeno obdelavo in prenose v tretje države.
Izvedite in preverite ukrepe.
Povežite pravne in organizacijske odločitve z ustreznimi tehničnimi ukrepi ter preverite, ali na primer pravila dostopa, izbris in obnovitev delujejo v obravnavani storitvi.
Praktično pripravite pravice in incidente.
Preizkusite, kako se zahteve in kršitve varstva podatkov zaznavajo, stopnjujejo, ocenjujejo in pravočasno obravnavajo, vključno s predajami med podjetji in ponudniki storitev.
Ob spremembah posodabljajte dokumentacijo.
Ob spremenjenih namenih, prejemnikih ali tveganjih posodobite odločitve in dokazila ter določite, kdo spremlja odprte ukrepe in sproži naslednji pregled.
Dokazila GDPR in prostovoljno certificiranje.
Odgovornost po členu 5(2) GDPR pomeni sposobnost pojasniti in dokazati izpolnjevanje načel. Ustrezni dokumenti lahko vključujejo evidence dejavnosti obdelave, utemeljene pravne podlage, pogodbe, informacije o varstvu podatkov, ocene učinka in preverjanja zaščitnih ukrepov. Odločilno je, ali odražajo dejansko obdelavo in razkrivajo, katera odločitev je bila sprejeta na kateri podlagi.
Nadzorni organ za varstvo podatkov ima preiskovalna in popravljalna pooblastila po členu 58 GDPR. Dokumentacija naj bo zato dostopna, razumljiva in aktualna. Uredba ne uvaja splošne obveznosti certifikata, s katerim bi podjetje dokončno opravilo vse delo na področju varstva podatkov; odgovornost ostaja pri upravljavcu in drugih zavezanih udeležencih.
Certificiranje po členu 42 GDPR je prostovoljno in se nanaša na dejanja obdelave na podlagi odobrenih meril. Po odstavku 4 ne zmanjšuje zakonske odgovornosti; odstavek 7 omejuje veljavnost na največ tri leta z možnostjo podaljšanja. Certifikat informacijske varnosti ni samodejno takšno certificiranje varstva podatkov.
Odločitev o prijavi kršitve varstva podatkov je treba dokazati ločeno. Člen 33 predvideva uradno obvestilo brez nepotrebnega odlašanja in po možnosti v 72 urah po seznanitvi, če ne velja izjema glede tveganja. Dokumentacija po odstavku 5 zajema tudi neprijavljene kršitve; obveščanje po členu 34 sledi lastnemu pragu tveganja in tam določenim izjemam.
Preberite več na blogu.
- GDPR in varnostPovežite obdelave, pravno oceno in zaščitne ukrepe v delovanju.
- Preverjanje pogodbene obdelavePrimerjajte pogodbene zaveze z dejanskimi podatkovnimi potmi ponudnika storitev.
- Prijava kršitve varstva podatkovPodrobneje pripravite oceno incidenta, odločitev o prijavi in dokumentacijo.
- Obravnavanje zahtev za dostopOrganizirajte iskanje, preverjanje in varno posredovanje informacij.
GDPR in drugi okviri.
ISO 27001 podpira organizacijo informacijske varnosti, ne nadomešča pa preverjanja pravnih podlag in pravic posameznikov. NIS2 ima lastne naslovnike in obveznosti poročanja; incident lahko zahteva ločeni oceni po obeh pravnih okvirih. Akt EU o umetni inteligenci dopolnjuje zahteve za določene sisteme UI, ne da bi nadomestil preverjanje varstva podatkov pri obdelavi osebnih podatkov.
V Secani.
Secani ponuja profil varstva podatkov za vloge, kontekst obdelave in prenose ter uredniški katalog preverjanj GDPR. Profil beleži podatke podjetja in podpira strukturiran pregled stanja. Strokovna ocena dejanske obdelave in njene zakonitosti ostaja samostojna naloga; profil ni odobritev nadzornega organa ali samodejno pravno preverjanje.
Naslednji korak.
Začnite z jasno opredeljeno obdelavo, na primer obravnavo zahtev za podporo. Opišite namen, podatke, posameznike, sodelujoče storitve in prejemnike ter s pristojnimi strokovnjaki preverite ustrezno pravno podlago. Nato zabeležite, kateri zaščitni ukrepi in postopki za pravice ter incidente so za to dejansko potrebni.
Viri.
- Uredba (EU) 2016/679: splošna uredba o varstvu podatkov
- BfDI: GDPR – BDSG, Info 1, stanje marca 2026
- Evropska komisija: področje uporabe in vloge po GDPR
- Evropska komisija: načela obdelave
- Evropska komisija: obveznosti podjetij
- EDPB: varnost osebnih podatkov
- EDPB: kršitve varstva podatkov
- EDPB: pravice posameznikov
- § 38 BDSG: pooblaščene osebe za varstvo podatkov v nejavnih organizacijah
Pogosta vprašanja.
Ne. Člen 6 GDPR določa različne pravne podlage z lastnimi pogoji. Katera je ustrezna, je odvisno od konkretnega namena in dejstev; dodatne zahteve, na primer za posebne vrste podatkov, je treba preveriti ločeno.
Ne. Uradno obvestilo nadzornemu organu po členu 33 GDPR ni potrebno, če kršitev verjetno ne bo povzročila tveganja za pravice in svoboščine. Kršitev je kljub temu treba dokumentirati; obveščanje posameznikov po členu 34 je treba oceniti ločeno.
Ne. ISMS lahko podpre varnost obdelave, vendar ne odgovori samodejno na vprašanja pravne podlage, preglednosti ali pravic posameznikov. Njegov obseg in dejansko obdelavo je treba preveriti ločeno.
Da, če njihova obdelava spada na stvarno in ozemeljsko področje uporabe. Sama velikost podjetja ne ustvarja splošne izjeme; posamezne obveznosti so odvisne od dodatnih pogojev.
Sledljivo organizirajte varstvo podatkov.
Spoznajte profil varstva podatkov in uredniški katalog GDPR v Secani.
Ta stran ponuja splošno razlago in ne nadomešča pravnega preverjanja posameznega primera. Odločilni so veljavni predpisi in konkretna obdelava.