Sprememba upravljavca + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.06.2019 Številka: 0712-1/2019/1532 Kategorije:Pravne podlage, Upravljanje gospodarskih družb --> Kategorije: Pravne podlage, Upravljanje gospodarskih družb Obrnili ste se na Informacijskega pooblaščenca RS (v nadaljevanju IP) s svojim zaprosilom za mnenje. Pojasnjujete, da je komunalno podjetje odkupilo družbo za dimnikarske storitve, kamor namerava prenesti tudi izvajanje svoje dimnikarske dejavnosti, ki jo je komunalno podjetje doslej opravljalo na svojem območju. Zanima vas ali morate za spremembo upravljavca podatkov svojih dosedanjih strank dimnikarskih storitev pridobiti njihovo privolitev oziroma ali zadošča, da stranke o tem le obvestite. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Kadar se obdelava osebnih podatkov izvaja za namen izvajanja pogodbe sklenjene s posameznikom, potem je pravna podlaga za obdelavo osebnih podatkov vezana na veljavnost tega obligacijskega razmerja (pravna podlaga po členu 6
(1)(b) Splošne uredbe). Če bo torej skladno z obligacijskim pravom izveden prenos naročnikov dimnikarskih storitev, ki bodo pravno veljavno vstopili v pogodbeno razmerje z novim upravljavcem – odkupljeno družbo, potem bo za to zagotovljena tudi ustrezna pravna podlaga za obdelavo osebnih podatkov po členu 6
(1)(b) Splošne uredbe. Dodatno, pa mora novi upravljavec (odkupljena družba) izpolniti tudi obveznost obveščanja posameznikov skladno s 14. členom Splošne uredbe. O b r a z l o ž i t e v Glede na vaša pojasnila ugotavljamo, da gre najverjetneje za prenos dejavnosti obdelav osebnih podatkov od enega k drugemu upravljavcu (od komunalnega podjetja na odkupljeno družbo). Kot navajate, nameravate dejavnost izvajanja dimnikarskih storitev prenesti zaradi lastniškega prevzema podjetja, ki je doslej iste storitve opravljalo na območju dodeljene občine. Pri tem želite prenesti tudi stranke in s tem povezane dejavnosti obdelave osebnih podatkov. Po Splošni uredbi je obdelava osebnih podatkov lahko dopustna kadar je obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe (člen 6
(1)(b) Splošne uredbe). Člen 5
(1)(b) Splošne uredbe določa, da so podatki lahko zbrani le za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Iz uvodne določbe 50 tudi izhaja, da obdelava osebnih podatkov za druge namene kot tiste, za katere so bili osebni podatki prvotno zbrani, bi morala biti dovoljena le, kadar je združljiva z nameni, za katere so bili osebni podatki prvotno zbrani. V takšnem primeru ni potrebna ločena pravna podlaga od tiste, na podlagi katere so bili osebni podatki zbrani. Dalje, iz člena 6
(4)Splošna uredba izhaja, da se pri oceni združljivosti namenov z namenom zbiranja med drugim upošteva: (
- a)kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave; (
- b)okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem; (
- c)naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10; (
- d)morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki; (
- e)obstoj ustreznih zaščitnih ukrepov, ki lahko vključujejo šifriranje ali psevdonimizacijo. Če komunalno podjetje nastopa kot upravljavec zbirke strank svoje dimnikarske dejavnosti, ki jih obdeluje za izvajanje pogodbe – s tem je utrjena pravna podlaga po členu člen 6
(1)(b) Splošne uredbe. V takem primeru je pravna podlaga za obdelavo osebnih podatkov vezana na veljavno pogodbeno razmerje. Če bo dalje skladno z obligacijskim pravom izveden prenos naročnikov dimnikarskih storitev, ki bodo pravno veljavno vstopili v pogodbeno razmerje z novim izvajalcem – odkupljeno družbo, potem bo za obdelavo osebnih podatkov v zvezi s tem obstajala tudi ustrezna pravna podlaga po točki 6
(1)(b) Splošne uredbe. V nasprotnem primeru bi bilo treba zagotoviti ustrezno drugo pravno podlago. IP ni pristojen za presojo veljavnosti pogodbenih razmerij v konkretnem primeru, niti ne more dokončno potrjevati ustreznosti pravnih podlag izven konkretnega inšpekcijskega postopka. Ob tem zgolj pojasnjujemo, da skladno s 122. členom Obligacijskega zakonika (Uradni list RS, št. 97/07 – uradno prečiščeno besedilo, 64/16 – odl. US in 20/18 – OROZ631, v nadaljevanju: OZ) vsaka stranka v dvostranski pogodbi lahko prenese pogodbo nekomu tretjemu, ki postane s tem imetnik vseh njenih pravic in obveznosti iz te pogodbe, če v to privoli druga stranka. IP pojasnjuje, da privolitev, ki jo omenja OZ ne predstavlja privolitve v smislu pravne podlage po členu 6
(1)(a) Splošne uredbe. V primeru iz 122. člena OZ gre namreč za zahtevo obligacijskega prava, ki pogojuje veljavnost pogodbenega razmerja. Če so zagotovljeni pogoji za veljavno izvajanje pogodbenega razmerja, se po pravu varstva osebnih podatkov šteje, da so tovrstne obdelave lahko »potrebne za izvajanje pogodbe s posameznikom« oziroma so »združljive s prvotnim namenom zbiranja« - podlaga za obdelavo osebnih podatkov je torej podana v členu 6
(1)(b) Splošne uredbe. Privolitev kot podlaga za obdelavo osebnih podatkov v smislu člena 6
(1)(
- a)Splošne uredbe, pa ni niti potrebna niti ustrezna pravna podlaga za obdelavo osebnih podatkov v zvezi z izvajanjem pogodbenih obveznosti. IP ob tem dodaja, da je tudi v primeru, ko je zagotovljena pravna podlaga za obdelavo osebnih podatkov v zvezi z izvajanjem pogodbe (in ne s privolitvijo), treba posameznike o tem dejstvu ustrezno obvestiti. Pri spremembi upravljavca namreč posamezniki uveljavljajo vse svoje pravice po Splošni uredbi pri drugem upravljavcu (dostop, sprememba, izbris, ugovor, prenos, itd.), pri novem upravljavcu lahko velja drugačna politika zasebnosti (npr. glede neposrednega trženja, hrambe, varnosti obdelave, morebitnih prenosov tretje države, itd.), zato je treba posameznike o tem dejstvu ustrezno obvestiti. Obveznost obveščanja je samostojna obveznost po Splošni uredbi in ločena od zagotavljanja ustrezne pravne podlage. Posameznikom bo torej treba skladno s Splošno uredbo posredovati informacije o obdelavi, ki izhajajo iz 13. oziroma 14. člena Splošne uredbe. IP je pripravil tudi vzorca obvestil posameznikom, ki sta dostopna na spletni strani IP: Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe) Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 14 Splošne uredbe) V primeru, ki ga opisujete bo verjetno treba posameznike seznaniti skladno s členom 14 Splošne uredbe, ker novi upravljavec (odkupljena družba) podatkov ne bo pridobil od posameznikov, temveč mu jih bo posredoval stari upravljavec (komunalno podjetje). Lep pozdrav, Pripravil Anže Novak, univ. dipl. prav. Svetovalec Pooblaščenca za preventivo Mojca Prelesnik informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026