Prenos v tretje države - IPRS

Prenos v tretje države + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.07.2019 Številka: 0712-1/2019/1772 Kategorije:Bančništvo, Prenos osebnih podatkov v tretje države ali mednarodne organizacije --> Kategorije: Bančništvo, Prenos osebnih podatkov v tretje države ali mednarodne organizacije Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem navajate, da banka za izvajanje plačilnega prometa s tujino uporablja storitve ponudnika xy,, ki je registriran in odobren izvajalec tovrstnih storitev s strani SWIFT in ima certifikat za upravljanje informacijske varnosti (ISO 27001). Družba xy ima svoj primarni operativni center lociran v Sloveniji (Ljubljana), rezervni center pa je lociran v tretji državi. Z omenjeno družbo ima banka sklenjeno pogodbo, katere predmet je posredovanje podatkov iz strežnikov banke v sistem SWIFT. Glede na to, da gre v navedenem primeru za iznos podatkov v tretje države, vas zanima, ali je pri tem potrebno pridobiti posebno dovoljenje za tovrsten prenos podatkov oz. zavzeti kakšne dodatne ukrepe. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri prenosu osebnih podatkov v tretjo državo na podlagi določbe točke c. drugega odstavka člena 46 Splošne uredbe o varstvu podatkov, na primer s sklenitvijo t.i. standardnih pogodbenih klavzul za prenos podatkov k obdelovalcu v tretji državi (skupaj z obema dodatkoma, posebno predhodno dovoljenje Informacijskega pooblaščenca ni potrebno. Informacijski pooblaščenec izven postopka inšpekcijskega nadzora ne more in ne sme komentirati sklenjenih pogodb, lahko pa vam podamo mnenje glede ustreznosti izvajanja prenosa osebnih podatkov v tretje države. Posredovanje osebnih podatkov upravljavcu ali obdelovalcu v tretji državi ali mednarodni organizaciji je dopustno pod pogoji, ki jih ureja V. poglavje Splošne uredbe o varstvu podatkov, in sicer: če Evropska komisija izda odločbo, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov (člen 45 Splošne uredbe o varstvu podatkov); če izvoznik podatkov zagotovi ustrezne zaščitne ukrepe ter posameznikom zagotovi izvršljive pravice in učinkovita pravna sredstva na podlagi členov 46 in 47 Splošne uredbe o varstvu podatkov; če gre za posebne primere, ki so določeni v členu 49 Splošne uredbe o varstvu podatkov, v katerih so mogoča odstopanja. Za Srbijo sklep o ustreznosti iz člena 45 Splošne uredbe o varstvu podatkov (še) ni bil izdan. V takem primeru se lahko osebni podatki posredujejo v tretjo državo, ki ne zagotavlja ustrezne ravni varstva osebnih podatkov, tudi, če upravljavec osebnih podatkov zagotovi ustrezne zaščitne ukrepe in pod pogojem, da imajo posamezniki, na katere se nanašajo osebni podatki, na voljo izvršljive pravice in učinkovita pravna sredstva. Navedenima pogojema lahko upravljavec zadosti npr. s sklenitvijo t.i. standardnih pogodbenih klavzul (SPK), pripravljenih s strani Evropske komisije (c. točka drugega odstavka člena 46 Splošne uredbe o varstvu podatkov). Takšen način prenosa podatkov v tretjo državo je hiter in enostaven in pri tem upravljavcu ni potrebno pridobiti predhodnega dovoljenja Informacijskega pooblaščenca. V SPK podpisnika določita pogoje zavarovanja, odgovornosti in obveznosti, ki veljajo za obdelavo osebnih podatkov. Ključno je, da podpisnika natančno določita ukrepe za zavarovanje osebnih podatkov in izpolnita oba dodatka SPK. Za zakonit prenos osebnih podatkov v tretjo državo mora biti zadoščeno tudi vsem ostalim pogojem za zakonito obdelavo osebnih podatkov po Splošni uredbi o varstvu podatkov. To med drugim pomeni, da v kolikor gre za prenos podatkov v tretjo državo od upravljavca k obdelovalcu, je potrebno poleg SPK v pogodbo vključiti tudi druge obvezne pogodbene sestavine, ki jih mora vsebovati pogodba med upravljavcem in obdelovalcem, kakor to določa člen 28 Splošne uredbe o varstvu podatkov, vendar te določbe ne smejo biti v nasprotju s SPK. S spoštovanjem, Pripravila: mag. Eva Kalan Logar, državna nadzornica za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026