Izdelava izkaznic pri zunanjem izvajalcu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.01.2019 Številka: 0712-3/2018/2714 Kategorije:Pogodbena obdelava podatkov --> Kategorije: Pogodbena obdelava podatkov Informacijski pooblaščenec (v nadaljevanju IP) je ponovno prejel vaše zaprosilo za mnenje glede izdelave izkaznic z osebnimi podatki pri zunanjem pogodbenem izvajalcu. Poudarjate, da se vaše prejšnje zaprosilo za mnenje ni nanašalo na splošno vprašanje glede zakonske podlage za »izbrani način izdelave listin o usposobljenosti za upravljanje čolna pri zunanjemu pogodbenemu izvajalcu«, temveč na vprašanje, ali potrebujete za prepustitev personalizacije (tj. za izdelavo listin o usposobljenosti za upravljanje čolna s fotografijo in osebnimi podatki) pogodbenemu izvajalcu izrecno zakonsko podlago (kot je to npr. urejeno v
- členu Zakona o voznikih, v
- členu Zakona o osebni izkaznici in v
- členu Zakona o potnih listinah). Zanima vas torej, ali lahko že na podlagi veljavne zakonske podlage za obdelovanje osebnih podatkov (prvi odstavek
- člena in šesti odstavek
- b člena Pomorskega zakonika), prepustite obdelavo podatkov, konkretno izdelavo personaliziranih izkaznic, pogodbenemu obdelovalcu. Ob tem opozarjate, da navedene določbe Pomorskega zakonika ne vsebujejo določb o personalizaciji izkaznic pri zunanjih pogodbenih obdelovalcih osebnih podatkov. Pojasnjujete še, da zaprosilo za mnenje postavljate, ker ste v dvomu glede pravilne interpretacije določbe prvega odstavka
- člena v povezavi z
- členom ZVOP-
- Navajate, da je določbo možno razlagati širše, torej na način, da državni organ, ki ima zakonsko pooblastilo za obdelavo osebnih podatkov, lahko posamezna opravila (konkretno personalizacijo izkaznic) zaupa pogodbenemu upravljavcu osebnih podatkov; možna pa je tudi restriktivna interpretacija, da bi za tako obdelavo osebnih podatkov bila potrebna izrecna zakonska podlaga. Ker ste v dvomu glede pravilnega postopanja, prosite IP za mnenje in usmeritev. Informacijski pooblaščenec (v nadaljevanju IP) ponovno poudarja, da lahko skladno z
- členom Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007 – ZUstS-A; v nadaljevanju ZInfP) v zvezi z
- členom Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) daje neobvezna mnenja, pojasnila, stališča, navodila in priporočila le s področja varstva osebnih podatkov. Tako se lahko opredelimo zgolj do vprašanja možnosti pogodbene obdelave posameznih dejanj obdelave, za katere imate kot upravljavec ustrezno pravno podlago. Na pogodbenega obdelovalca namreč lahko upravljavec zakonito prenese zgolj izvedbo tistih dejanj obdelave, za katere ima sam ustrezno pravno podlago. IP se torej ne more opredeljevati do vprašanja ustreznosti opisane oblike izdajanja opisanih listin, ki pa je predpogoj za samo izdelavo listin o usposobljenosti za upravljanje čolna s fotografijo in osebnimi podatki, iz česar posledično tudi izhaja potrebna izrecna zakonska podlaga na strani upravljavca. Zgolj dejstvo, da je prepustitev izdelave ter personalizacije izkaznic izrecno zakonsko urejena z določbami Zakona o voznikih, Zakona o osebni izkaznici ter Zakona o potnih listinah, tudi nima nobenega vpliva na določbe o pogodbeni obdelavi iz člena 28 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba). Ne določb prej veljavnega
- člena ZVOP-1 niti sedaj veljavnega člena 28 Splošne uredbe po mnenju IP namreč ne gre razlagati tako restriktivno, da bi bila za obdelavo osebnih podatkov po obdelovalcu nujno potrebna izrecna zakonska podlaga. V kolikor pa bi bila izrecna zakonska ureditev načina izdelave listin o usposobljenosti za upravljanje čolna pri zunanjemu pogodbenemu izvajalcu potrebna iz kakšnih drugih razlogov, IP ni pristojen presojati. Zato vam priporočamo, da zadevno vprašanje naslovite na pristojno ministrstvo. Upoštevajoč navedeno vam IP z vidika varstva osebnih podatkov zgolj splošno pojasnjuje, da v primeru izdelave listin o usposobljenosti za upravljanje čolna s fotografijo in osebnimi podatki preko zunanjih izvajalcev, slednji najverjetneje predstavljajo obdelovalce v smislu točke 8) člena 4 Splošne uredbe. Skladno z navedeno določbo obdelovalec pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. V takšnem primeru, torej kadar obdelavo osebnih podatkov v imenu upravljavca izvaja obdelovalec (ZVOP-1 je uporabljal izraz »pogodbeni obdelovalec«), mora za to obstajati pisna pogodba ali drug ustrezen pravni akt v skladu s pravom EU ali nacionalnimi predpisi (in ne nujno izrecna zakonska podlaga). Določba člena 28 Splošne uredbe predpisuje tudi minimalni obseg sestavin pogodbe o pogodbeni obdelavi. Odgovornost za dokončno presojo, v kakšni vlogi nastopa zunanji izvajalec v konkretnem primeru, je na vas kot upravljavcu, saj IP konkretnih obdelav osebnih podatkov izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more presojati. Bistveno za to oceno pa je, ali zunanji izvajalec obdeluje osebne podatke za svoj namen ali izključno za namene in po navodilu upravljavca. Za lažje razumevanje pojmov upravljavca in obdelovalca vam priporočamo, da si preberete mnenje, ki so ga izdali evropski nadzorni organi (dostopno le v angleščini): http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_en.pdf. Mnenje bodo nadzorni organi v prihajajočih mesecih prenovili, zato vam priporočamo, da spremljate spletno stran IP, kjer redno objavljamo vse novosti s tega področja. Več o pogodbeni obdelavi po Splošni uredbi pa si lahko preberete tudi na povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pogodbena-obdelava/. Lep pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026