Pogodbena obdelava - IPRS

Pogodbena obdelava + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.02.2020 Številka: 0712-1/2019/3039 Kategorije:Pogodbena obdelava podatkov, Pravne podlage --> Kategorije: Pogodbena obdelava podatkov, Pravne podlage Obrnili ste se na Informacijskega pooblaščenca RS (v nadaljevanju IP) s svojim zaprosilom za mnenje. Pojasnjujete, da kot ponudnik storitev popravil osebnih vozil svojim strankam nudite tudi storitev nočitve z zajtrkom v hotelu (npr. zaradi oddaljenosti od prebivališča, itd.). Tako v lastni režiji za stranko organizirate bivanje v hotelu in račun za hotelske storitve (v dogovorjenem delu) poravnate neposredno s hotelom. Za ta namen hotelu posreduje tudi osebne podatke vaše stranke (ime, priimek, naslov). Zanima vas, ali gre v navedenem primeru za med vami, kot ponudnikom storitve popravila vozila in hotelom za razmerje pogodbene obdelave osebnih podatkov? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP uvodoma pojasnjuje, da kot organ, pristojen za nadzor nad izvajanjem predpisov s področja varstva osebnih podatkov v okviru mnenja ne more podati zavezujočih stališč glede konkretnih obdelav osebnih podatkov. Slednje lahko stori le v okviru konkretnega inšpekcijskega postopka na podlagi presoje vseh okoliščin primera. IP izpostavlja kriterije, po katerih je mogoče opredeliti, kdaj gre za razmerje upravljavec – obdelovalec: Ali subjekt lahko sam določa namen in sredstva obdelave osebnih podatkov? Ali je upravljavec zbirke osebnih podatkov subjektu poveril v izvajanje opravila obdelave, ki bi jih sicer lahko izvajal upravljavec sam? Kakšna je intenzivnost obdelave, vezanost na navodila in nadzor upravljavca nad dejanji subjekta? Ali ima subjekt zakonska pooblastila oziroma pravno podlago, ki bi ga deloma ali v celoti postavila za upravljavca v zvezi z osebnimi podatki upravljavca? Ali je primarni namen najema storitev subjekta katero od dejanj obdelave osebnih podatkov (npr. hramba) ali pa je obdelava osebnih podatkov zgolj posledica najetja storitve subjekta? Izhajajoč iz vašega dopisa IP sklepa, da hotel podatke vaše stranke (ime, priimek, naslov) prejme zgolj za namen identifikacije osebe, ki bo koristila hotelsko storitev. IP sklepa, da hotel nato, ko stranka pride v hotel, preveri točnost podatkov neposredno pri posamezniku in po potrebi zbere druge potrebne podatke za namen nudenja hotelske storitve. Nad obdelavo osebnih podatkov, ki jo izvaja hotel za nudenje hotelskih storitev, pa ponudnik storitve popravila vozila nima vpliva, saj hotel vodi in obdeluje osebne podatke za svoje namene, upoštevaje predpise in lastne pogoje poslovanja. Glede na navedeno IP meni, da se posredovanje osebnih podatkov, ko ponudnik storitve popravila vozila posreduje osebne podatke svoje stranke hotelu, da lahko hotel opravi svojo storitev, ne šteje za pogodbeno obdelavo osebnih podatkov. Ponudnik storitve popravila vozila in hotel v tem primeru nastopata kot samostojna upravljavca osebnih podatkov, ki osebne podatke obdelujeta za svoje namene, za kar morata izkazati tudi ustrezno pravno podlago v skladu s členom 6