Prenos OP v tretje države + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.12.2020 Številka: Mnenje glede prenosa osebnih podatkov v tretje države Kategorije:Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Upravljanje gospodarskih družb --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Upravljanje gospodarskih družb Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem navajate, da vaša družba obdeluje podatke o poslovnih subjektih, kar pa pomeni, da so posledično del obdelave tudi nekateri osebni podatki posameznikov (zakoniti zastopniki, lastniki in ustanovitelji teh poslovnih subjektov). Ti podatki so del poslovnih rešitev, ki so namenjene poslovnim subjektom na trgu kot evidenca podatkov o lastniški strukturi ali povezanih osebah, ki je del baze o poslovnih subjektih na slovenskem ozemlju, evidence bonitetnih ocen ter finančnih in analitičnih podatkov. Ker ste organizirani na način, da se lahko poslovne rešitve slovenske družbe (družba mama) ponujajo tudi strankam v drugih povezanih družbah (družbe hčere), katere pa so izven EU, … , vas zanima, kakšno je mnenje IP glede omenjene obdelave podatkov in ali IP šteje obdelavo podatkov na tak način za iznos v tretje države. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Uvodoma pojasnjujemo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka zakonitosti konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da vam v nadaljevanju podajamo zgolj splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo (tudi prenos) osebnih podatkov. Osebni podatek pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom, določljiv posameznik pa je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika (člen 4
(1)Splošne uredbe o varstvu podatkov). Obdelava osebnih podatkov pa je vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje (člen 4
(2)Splošne uredbe o varstvu podatkov). O prenosu osebnih podatkov (terminologija iz ZVOP-1 je bila »iznos«) v tretje države govorimo takrat, ko upravljavec ali obdelovalec iz Slovenije ali druge države članice EU (to je lahko tudi podružnica) osebne podatke iz takega ali drugačnega razloga posreduje v države izven EU ali Evropskega gospodarskega prostora (EGP; sem sodijo poleg držav članic EU še Islandija, Norveška in Lihtenštajn) ali mednarodni organizaciji. O prenosu govorimo tudi takrat, ko je dostop do osebnih podatkov omogočen organizacijam, podjetjem, posameznikom ali drugim subjektom iz tretjih držav izven EGP, pa čeprav so podatki hranjeni znotraj EGP. Za zakonito posredovanje osebnih podatkov upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi morata biti izpolnjena dva pogoja, in sicer: Za posredovanje oz. dajanje osebnih podatkov na razpolago upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi mora obstajati katera izmed pravnih podlag, ki so določene v
- oz.
- členu Splošne uredbe o varstvu podatkov, za javni sektor pa dodatno še v
- členu ZVOP-
- Obdelovalcu (pravni ali fizični osebi, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) se lahko osebni podatki posredujejo pod pogoji, določenimi v
- členu Uredbe. Ob izpolnjenem prvem pogoju je prenos osebnih podatkov upravljavcu ali pogodbenemu obdelovalcu v tretji državi dopusten pod pogoji, ki jih ureja V. Poglavje Splošne uredbe o varstvu podatkov, in sicer: če Evropska komisija odloči, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se osebni podatki prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov (člen 45 Splošne uredbe o varstvu podatkov); če izvoznik podatkov zagotovi ustrezne zaščitne ukrepe ter posameznikom zagotovi izvršljive pravice in učinkovita pravna sredstva na podlagi členov 46 in 47 Splošne uredbe o varstvu podatkov; če gre za posebne primere, ki so določeni v členu 49 Splošne uredbe o varstvu podatkov, v katerih so mogoča odstopanja. Ker niti za Srbijo niti za Bosno in Hercegovino Evropska komisija še ni izdala sklepa o ustreznosti po členu 45 Splošne uredbe o varstvu podatkov, bi se lahko osebni podatki v navedeni dve državi prenašali na podlagi ustreznih zaščitnih ukrepov iz člena 46 Splošne uredbe o varstvu podatkov. Na podlagi zapisnega v vašem dopisu IP meni, da bi najprimernejšo pravno podlago za prenos osebnih podatkov v konkretnem primeru predstavljala sklenitev t.i. standardnih pogodbenih klavzul (SPK), pripravljenih s strani Evropske komisije (točka c. drugega odstavka člena 46 Splošne uredbe o varstvu podatkov). Takšen način prenosa podatkov v tretjo državo je hiter in enostaven in pri tem upravljavcu ni treba pridobiti predhodnega dovoljenja IP. S spoštovanjem. Pripravila: mag. Eva Kalan Logar, vodja državnih nadzornikov Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026