Dostop zunanjih revizorjev do osebnih podatkov zaposlenih pri dobavitelju + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.10.2020 Številka: 07121-1/2020/1781 Kategorije:Davčni postopki, Informiranje posameznika, Ocene učinkov v zvezi z varstvom podatkov , Pravne podlage, Upravljanje gospodarskih družb, Zavarovanje osebnih podatkov --> Kategorije: Davčni postopki, Informiranje posameznika, Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Upravljanje gospodarskih družb, Zavarovanje osebnih podatkov Informacijski pooblaščenec RS (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede skladnosti posredovanja osebnih podatkov vaših zaposlenih zunanji revizijski družbi, ki jo je angažiral vaš globalni principal (z njim sodelujete kot dobavitelji). Glede na vaš dopis, ste skladno s pogodbo s principalom, dolžni omogočiti revizijo skladnosti izpolnjevanja obveznosti iz pogodbe v zvezi s projekti, ki jih je plačal vaš principal. Revizijo po vaših navedbah izvaja hčerinska družba principala. Navajate še, da revizijska komisija izpostavlja, da bodo tako zbrani osebni podatki lahko po potrebi distribuirani v katerokoli državo, kateremukoli oddelku principala ali instituciji, vendar bodo v vsakem primeru obravnavani kot zaupni podatki. V zvezi z opisanim prosite zlasti za naslednje odgovore: Ali izraženi interesi principala glede preverjanja delovanja dobavitelja lahko predstavljajo podlago za posredovanje osebnih podatkov v skladu s 6
(1)(f) Splošne uredbe o varstvu podatkov? Zanima vas, v kakšnem obsegu izražen zakoniti interes zagotavlja ustrezno pravno podlago za posredovanje osebnih podatkov? Zanima vas, ali je delodajalec upravičen, da delavca, ki je sodeloval na določenem projektu, zaprosi ali morda celo zahteva, da poda soglasje za posredovanje podatkov tretji osebi, pri čemer ti osebni podatki zaposlenega niso bili pogoj za sodelovanje v projektu? Ali bi bilo morda ustrezno, če bi delodajalec ta soglasja zahteval vnaprej (na zalogo)? Ob predpostavki, da obstaja ustrezna pravna podlaga za posredovanje osebnih podatkov, ali mora dobavitelj pridobiti kakršne koli varovalke oziroma izjave principala ob iznosu osebnih podatkov, še zlasti ker je bilo vnaprej sporočeno, da se lahko podatki obdelujejo v katerikoli državi, kjer posluje principal? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP v okviru mnenja ne more presojati skladnosti konkretnih pravnih razmerij s pravili varstva osebnih podatkov. Slednje lahko stori le v okviru konkretnega inšpekcijskega postopka, po preučitvi vseh okoliščin primera. Dokončna presoja vidikov, na katere opozarjate je naloga upravljavca. IP pogodbenega razmerja med vami in vašimi pogodbenimi partnerji v tem smislu ne more tolmačiti. UVODOMA V zvezi z vašimi vprašanji velja najprej pojasniti razmerje »upravljavec« in »obdelovalec« osebnih podatkov. V vašem primeru je namreč ključno, da razjasnite, v kakšnem razmerju ste glede na vašega pogodbenega partnerja. Po določbi 4
(7)Splošne uredbe „upravljavec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice; Po določbi 4
(8)Splošne uredbe „obdelovalec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Iz vašega dopisa izhaja, da se zunanja revizija poslovanja dobavitelja izvaja za namen principala (za izvajanje njegovih obveznosti v zvezi s pridruženostjo posebnemu kodeksu in v skladu s pogodbo med dobaviteljem (vašim podjetjem) in principalom). Navajate, da je dobavitelj dolžan posredovati dokumentacijo za namen izvedbe revizije (vključno z osebnimi podatki zaposlenih), zaradi izpolnjevanja svojih obveznosti po pogodbi med principalom in dobaviteljem. Osebne podatke svojih zaposlenih, dobavitelj vodi kot upravljavec, predvsem za namen izpolnjevanja delovno-pravnih obveznosti. Glede na predstavljene okoliščine je možno, da gre pri posredovanju osebnih podatkov dobaviteljevih zaposlenih principalu, za posredovanje osebnih podatkov med dvema samostojnima upravljavcema. Za opredelitev zakonitosti posredovanja osebnih podatkov v takšnem primeru, mora delodajalec: (1.) kjer je ustrezno ugotoviti, ali gre za obdelavo osebnih podatkov za »združljive namene« in posledično za posredovanje osebnih podatkov po določbi 6
(4)Splošne uredbe (osebni podatki zaposlenih so bili namreč, kot je razbrati, zbrani za drug namen) IN (2.) utemeljiti obstoj ustrezne pravne podlage za posredovanje osebnih podatkov svojih zaposlenih skladno z 48. členom Zakona o delovnih razmerjih (ZDR-1) oziroma 6
(1)ali 9
(2)Splošne uredbe. Prav tako je pomembno, da se posameznikom, na katere se osebni podatki nanašajo zagotovijo informacije iz
- oz.
- člena Splošne uredbe (v skladu z načelom transparentnosti). Pri tem je treba razlikovati informiranje posameznikov od pridobivanja privolitev. Vsaka obdelava osebnih podatkov, ki se izvaja na področju pristojnosti Splošne uredbe, mora slediti načelom varstva osebnih podatkov (poleg načela zakonitosti velja izpostaviti tudi načelo najmanjšega obsega podatkov in načelo omejitve namenov). Po navedenih načelih se smejo osebni podatki obdelovati le v najmanjšem možnem obsegu, ki še omogoča dosego cilja (torej le tisti podatki, ki so nujno potrebni npr. za izpolnitev obveznosti, izkaza zakonitosti poslovanja, ipd.) in le za tiste namene, ki so združljivi z namenom zbiranja. RELEVANTNE DOLOČBE ZAKONODAJE: Prvi odstavek
- člena ZDR-1 določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Določba 6
(1)Splošne uredbe določa, da je obdelava (osebnih podatkov) zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (
- a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
- b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
- c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
- d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
- e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
- f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Točka (
- f)prvega pododstavka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog. Po določbi 6
(4)Splošne uredbe, kadar obdelava podatkov za drug namen kot za tistega, za katerega so bili osebni podatki zbrani, ne temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, ali na pravu Unije ali pravu države članice, ki predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23
(1), upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva: (
- a)kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave; (
- b)okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem; (
- c)naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10; (
- d)morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki; (
- e)obstoj ustreznih zaščitnih ukrepov, ki lahko vključujejo šifriranje ali psevdonimizacijo. AD 1 Glede izpolnjenosti pogojev po določbi 6
(1)(f) Splošne uredbe, kot podlage za posredovanje osebnih podatkov zaposlenih pri dobavitelju – zunanjemu revizorju, IP pojasnjuje, da dokončnega odgovora v zvezi s tem ne more podati, saj je to odgovornost upravljavca. IP lahko zgolj pojasni, da kadar so izpolnjeni pogoji po točki f člena 6
(1)Splošne uredbe in se obdelava osebnih podatkov izvaja na tej podlagi, je obdelava v tem primeru zakonita (razen če gre za posebne vrste osebnih podatkov, ko veljajo strožji pogoji iz člena 9). Test zakonitih interesov (ki ga omenjate) lahko izkaže obstoj pogojev za posredovanje osebnih podatkov, vendar je odgovornost za pravilno izvedbo testa na upravljavcu osebnih podatkov (za posredovanje v tem primeru, na delodajalcu). Test je tro-stopenjski in se ukvarja z (1.) utemeljitvijo zakonitosti interesa, (2.) nujnostjo posega in (3.) sorazmernostjo posega v interese, temeljne pravice in svoboščine posameznikov. V zvezi s tem opozarjamo, da je v interese, temeljne pravice ali svoboščine posameznika, lahko neupravičeno poseženo tudi zaradi neskladnega ravnanja upravljavca v zvezi z drugimi obveznostmi po Splošni uredbi, npr: neustreznega informiranja, vključno z informiranjem o pravici do ugovora (13 in 21
(4)Splošne uredbe), nespoštovanja načela omejitve namena (5
(1)(b) in 6
(4)Splošne uredbe), nespoštovanja načela najmanjšega obsega podatkov (5
(1)(c) Splošne uredbe), nespoštovanja pravil glede prenosa osebnih podatkov v tretjo državo ali mednarodno organizacijo (členi 44-50 Splošne uredbe), nezagotavljanja ustrezne ravni varnosti osebnih podatkov (člen 32 Splošne uredbe), itd. Nespoštovanje navedenih in drugih pravnih obveznosti do zaposlenih lahko torej vpliva na obstoj pravne podlage po določbi 6
(1)(f) Splošne uredbe in za njeno utrditev ne zadostuje zgolj obstoj zakonitega interesa na strani upravljavca ali tretje osebe. Glede zakonitosti obdelav osebnih podatkov v delovnem razmerju velja dodati, da za posredovanje t.i. »posebnih vrst« osebnih podatkov (med njimi tudi podatki o članstvu v sindikatu), veljajo strožji pogoji. Njihova obdelava je dopustna pod pogoji iz 9
(2)Splošne uredbe. Utemeljitev pogojev iz 6
(1)(f) za obdelavo posebnih vrst osebnih podatkov torej ne zadostuje. Kot že navedeno, IP ne more ugotavljati zakonitosti konkretnih obdelav osebnih podatkov. Glede na načelo najmanjšega obsega podatkov po določbi 5
(1)(c) Splošne uredbe, pa morajo biti za posredovanje osebnih podatkov, ti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“). Utemeljitev obstoja pravne podlage po določbi 6
(1)(
- f)Splošne uredbe, pa mora praviloma že izpolnjevati pogoje najmanjšega obsega podatkov, sicer se lahko šteje, da obdelava neupravičeno posega v interese, temeljne pravice ali svoboščine posameznikov in zato niso izpolnjeni pogoji za to pravno podlago. AD 2 Glede ustreznosti privolitve po Splošni uredbi v obravnavanem primeru obdelave osebnih podatkov, IP pojasnjuje, da privolitev praviloma ni ustrezna pravna podlaga za obdelavo osebnih podatkov v delovnih razmerjih oz. je veljavna zgolj v primeru, da jo zaposleni lahko odkloni brez kakršnihkoli posledic za delovno razmerje. Upravljavec mora namreč izkazati prostovoljnost privolitve, sicer ta ni veljavna. Ker gre za obdelavo osebnih podatkov v delovnih razmerjih, kjer tipično obstaja nesorazmerje moči, IP predlaga, da dobavitelj preveri zakonitost posredovanja osebnih podatkov na drugi ustrezni pravni podlagi. AD 3 Glede skladnosti prenosa osebnih podatkov v tretjo državo ali mednarodno organizacijo, IP pojasnjuje, da je upravljavec dolžan zagotoviti ustrezne pogoje tudi za prenos osebnih podatkov, kadar podatke izvaža v tretjo državo. Osebni podatki se prenašajo v tretjo državo ali mednarodno organizacijo, ko se prenašajo izven teritorija držav EU in Evropskega gospodarskega prostora. Kot upravljavec osebnih podatkov svojih zaposlenih, se mora torej dobavitelj pred posredovanjem prepričati, o obstoju ustrezne ravni varstva osebnih podatkov po prenosu (prenos v države, ki zagotavljajo ustrezno raven varnosti / na podlagi ustreznih zaščitnih ukrepov (npr. standardne pogodbene klavzule, zavezujoča poslovna pravila) / na podlagi odstopanj v posebnih primerih). Več o pogojih za prenos si na kratko ogledate v infografiki: Prenos osebnih podatkov v dveh korakih ali v obširnejši razlagi v Smernicah glede prenosa osebnih podatkov v tretje države in mednarodne organizacije po Splošni uredbi o varstvu podatkov. SKLEPNO Za predvideno tvegano obdelavo osebnih podatkov je v nekaterih primerih obvezno (vselej pa priporočljivo) izvesti predhodno ceno učinka varstva osebnih podatkov. Ta upravljavcu omogoča, da na sistematičen način preveri skladnost svojih obdelav osebnih podatkov. Več o oceni učinka si lahko preberete na spletni strani IP: Ocena učinka v zvezi z varstvom podatkov. Podrobnejše informacije v zvezi z njeno izvedbo najdete v Smernicah o ocenah učinkov na varstvo podatkov. Na navedenih povezavah najdete tudi informacije o tem, kdaj je ocena učinkov obvezna. V pomoč za lažjo predstavo in pregled obveznosti upravljavcev in obdelovalcev po Splošni uredbi je IP pripravil tudi infografiko: GDPR na kratko. Lep pozdrav, Informacijski pooblaščenec Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka Pripravil: Anže Novak, univ. dipl. prav. Svetovalec Pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026