- 3. kadar upravljavec ali obdelovalec obdeluje predvsem posebne vrste osebnih podatkov, ali
- 4. kadar se v zbirki obdeluje posebne vrste osebnih podatkov več kot 10.000 posameznikov, ali
- 5. v zasebnem sektorju, kadar se obdelujejo osebni podatki več kot 200.000 posamezniko v,

veljajo posebni ukrepi iz tega člena, s katerimi se dodatno zagotavljata varnost in tajnost osebnih podatkov. (2) Osebne podatke iz zbirk iz prejšnjega odstavka se sme obdelovati le tako, da se sistemsko onemogoča razkritje nepoklicanim osebam in stalno preprečuje škodo varnosti , interesom Republike Slovenije ali človekovim pravicam in svoboščinam posameznikov, na katere se podatki nanašajo. (3) Za zbirke iz 1. do 4. točke prvega odstavka, ki jih obdelujejo državni organi in organi lokalnih skupnosti, javne agencije in javni zavodi in ki vsebujejo biometrične osebne podatke ali zdravstvene osebne podatke ali podatke iz kazenskih in prekrškovnih evidenc , je prepovedana takšna hramba zbirk izven ozemlja Republike Slovenije , ki bi onemogočala upravljavcu, da v najkrajšem možnem roku sam prevzame hrambo, skupaj z morebitnimi kopijami zbirke. (4) Podatke iz 1. do 4. točke prvega odstavka lahko obdelujejo obdelovalci, ki:

- 1. zagotavljajo, da bo dostop do osebnih podatkov dovoljen samo tistim osebam, ki morajo imeti dostop do njih zaradi opravljanja nalog ali del na podlagi navodil upravljavca in
- 2. so imenovali osebo, pristojno za nadzor in usmerjanje varnostnih ukrepov v zvezi z izvajanjem obdelave, usposabljanje oseb, ki imajo dostop do osebnih podatkov, poročanje pooblaščeni osebi za varstvo osebnih podatkov pri upravljavcu o izvajanju drugih ukrepov za varno obravnavanje in varnost osebnih podatkov.

###### 24. člen (ocena učinka glede obdelav osebnih podatkov)

(1) Kadar bi lahko obdelava osebnih podatkov, ki se v skladu z drugim odstavkom 7 . člena tega zakona določa z zakonom, zlasti pa kadar gre za uporabo novih tehnologij ali ob upoštevanju narave, obsega, okoliščin oziroma namena obdelave osebnih podatkov večjega števila posameznikov , na katere se nanašajo osebni podatki , ali povzročila veliko tveganje za človekove pravice in temeljne svoboščine posameznikov, mora upravljavec pred začetkom obdelave opraviti oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov v skladu s 35. členom Splošne uredbe. (2) Predlagatelj zakona mora pripraviti predhodno oceno učinka iz prejšnjega odstavka, še preden je predlog zakona dostopen javnosti in jo v seznanitev posreduje pooblaščeni osebi za varstvo podatkov in nadzornemu organu . V teh primerih predlagatelj izvede tudi predhodno posvetovanje iz 36. člena Splošne uredbe . (3) Pred obdelavo podatkov v zbirkah iz prvega odstavka prejšnjega člena upravljavec izdela oceno učinka obdelav osebnih podatkov, ki poleg sestavin, določenih v prvem odstavku vsebuje tudi možne škodljive posledice za varnost države, vključno z njenimi političn imi ali gospodarskimi koristm i, če bi bil i podatki iz zbirke razkriti nepooblaščenim osebam ter pripravi ustrezne ukrepe za zmanjšanje tveganja . O ceno učinka posreduje nadzornemu organu, pristojnemu organu za varovanje tajnih podatkov in pristojnemu nacionalnemu organu za informacijsko varnost. (4 ) Za izdelavo in posodobitev ocene učinka ter za izvajanje ukrepov za zmanjšanje tveganj iz prejšnjega odstavka je odgovoren predstojnik ali vodstveni organ upravljavca ali obdelovalca. (5) Na podlagi ocene učinka iz tretjega odstavka tega člena nadzorni organ izda mnenje glede obdelave osebnih podatkov, glede katerega se morata upravljalec oziroma obdelovalec opredeliti v roku, ki ga določi nadzorni organ in navesti rešitve, ki zagotavljajo varnost obdelave.

#### 4. poglavje Nadzori

27