ne glede na določbe prvega in drugega odstavka 19. člena predloga ZVOP-2 nadzor nad zakonitostjo posredovanja, razkritja ali omogočanja nepooblaščenega dostopa do osebnih podatkov iz zbirke za namene iz drugega odstavka 71. člena (nepooblaščeno razkritje) izvaja Informacijski pooblaščenec . Po četrtem odstavku pa se zapolnjuje morebitna pravna praznina in se v postopku z zahtevo in pritožbo po 41., 42., in 45. členu zakona, ki ureja pacientove pravice, smiselno uporabljajo določbe Splošne uredbe in ZVOP-2.

###### K 20 . členu

Po predlaganem 20. členu ZVOP -2 upravljavec ali obdelovalec lahko izjemoma zavrne zahtevek posameznika iz tega dela ZVOP- 2 ali dostop do posameznikove zdravstvene dokumentacije, ki je vložen prek zakonitega zastopnika, če so podane konkretne in objektivne okoliščine, zaradi katerih bi bilo utemeljeno sklepati, da bi bile zaradi seznanitve z določenimi osebnimi podatki neposredno ali posredno prizadete koristi, pravice ali upravičeni interesi mladoletnih oseb ali oseb z omejeno ali odvzeto poslovno sposobnos tjo ali drugih oseb, za katere tako določa zakon, in če te pravice in interesi pretehtajo nad interesi zakonitega zastopnika za seznanitev. V tem primeru z razlogi za zavrnitev seznani pristojnega zastopnika pacientovih pravic po zakonu, ki ureja pacientove pravice. Predlagana omejitev je povezana s tretjim odstavkom 38. člena Ustave Republike Slovenije v zvezi s prvim stavkom prvega odstavka 5. člena, 56. členom in tretjim odstavkom 15. člena Ustave Republike Slovenije.

###### K 21 . členu

Predlagani 21. člen ureja obveznost upravljavcev in obdelovalcev, da zavarujejo vsebino in obliko osebnih podatkov, ki so predmet zahteve vse od seznanitve z uvedbo postopka po tem zakonu. Osebni podatki, ki so predmet zahteve, dnevniki obdelav in drugi zahtevani podatki se ne smejo izbrisati ali spremeniti, ne glede na potek rokov hrambe, dokler o zadevi ni odločeno, saj v nasprotnem primeru glede njih ne bi bilo mogoče ugotavljati zakonitosti obdelave. Drugi odstavek nadalje določa, da lahko nadzorni organ v posameznem postopku glede na okoliščine posameznega primera določi tudi drugi način zavarovanja osebnih podatkov, ki so predmet zahteve oziroma odredi izdelavo kopije osebnih podatkov ali kopije post opkov obdelave. Namen določbe drugega odstavka je predvsem preprečevanje potrebe po posegih v obstoječe aplikacije, v katerih se obdelujejo osebni podatki in ki ne omogočajo zavarovanja osebnih podatkov znotraj same aplikacije. Predlagana določba tako ne p osega v nadaljnje opravljanje nalog upravljavca ali obdelovalca.

###### 3. poglavje - Varnost osebnih podatkov

Predlagano tretje poglavje ureja varnost osebnih podatkov in ukrepe za zagotavljanje varnosti. Določene so posebne zbirke osebnih podatkov, ki so zaradi svojih lastnosti posebej občutljive in zahtevajo poseben režim, prav tako pa je določena obveznost priprave ocene učinka obdelav.

###### K 22 . členu

Dnevniki obdelav je zapis, pogosto avtomatiziran, iz katerega je razvidno, da so se podatki obdelovali, kdaj so se obdelovali, kdo jih je obdeloval, kateri podatki so se obdelovali ter komu so bili posredovani (uporabnik). Gre za revizijsko sled, ki omogoča kasnejšo analizo v primeru ugotavljanja zakonitosti obdelave, nenazadnje pa tudi zagotavljanje celovitosti in varnosti podatkov ter za odpravljanje napak v delovanju informacijskega sistema. Tipično zahtevano funkcionalnost zagotavljajo sistemi sistemski h dnevnikov (npr. strežniški dnevniki ipd.) ali sistemi za zagotavljanje revizijske sledi. Drug zakon ali notranji akt lahko določa tudi druge sestavine dnevnika, ki so potrebni za doseganje namena, če to zahteva ocena učinka ali analiza tveganj v zvezi s konkretno obdelavo. Člen daje pravno podlago za vzpostavitev in hrambo dnevniških zapisov (dnevnik obdelave) in za njegovo uporabo. Dnevniške zapise je dovoljeno hraniti največ dve leti od konca leta v katerem so

77