Obdelava OP s strani zunanjega revizorja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.12.2020 Številka: 07121-1/2020/2226 Kategorije:Delovna razmerja, Pravne podlage --> Kategorije: Delovna razmerja, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov ob izvedbi revizijske kontrole poslovanja s strani zunanje revizijske družbe. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Presojo o ustreznosti obdelave lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. IP pojasnjuje, da mora za vsako obdelavo osebnih podatkov obstajati ustrezna pravna podlaga. Skladno s prvim odstavkom
- člena Splošne uredbe je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Iz navedb v vašem zaprosilu po mnenju IP izhaja, da vaš delodajalec letno najame zunanjo revizijsko družbo za izvedbo zunanje revizije v smislu Zakona o revidiranju (ZRev-2; Uradni list RS, št. 65/08, 63/13 – ZS-K, 84/18). Ta v prvem odstavku
- člena določa, da revizijo v smislu ZRev-2 lahko izvaja izključno revizijska družba. ZRev-2 sicer določa, da se revidiranje opravlja v primerih, določenih z zakonom, ali na podlagi naročila pravne osebe, vendar z vidika položaja revizijske družbe glede obdelav osebnih podatkov IP meni, da ločevanje glede na »prisilnost« oziroma »prostovoljnost« pri izvedbi zunanje revizije, ni na mestu. Tako v primerih, ko revizijo izvaja revizijska družba zaradi zakonske obveze revidiranca, kot tudi kadar se revizija izvaja na podlagi povsem prostovoljne odločitve pravne osebe, bosta položaja revizijske družbe pri izvedbi ene ali druge revizije povsem izenačena, saj bo morala revizijska družba v obeh primerih v celoti upoštevati zahteve ZRev-
- V obeh primerih pa je glede na položaj revizijske družbe to treba šteti kot upravljavca osebnih podatkov, ki jih pridobiva in nadalje obdeluje za namene izvedbe revizije. Revizijo sicer izvaja po naročilu pravne osebe (zakon ne predvideva izvajanja revizije po uradni dolžnosti), vendar v svojem imenu, v takšnem svojstvu pa tudi obdeluje osebne podatke za namene, ki jih določa ZRev-
- IP nadalje pojasnjuje, da ZRev-2 v prvem odstavku
- člena določa, da mora poslovodstvo pravne osebe, pri kateri poteka revidiranje, revizijski družbi posredovati vso zahtevano dokumentacijo in ji omogočiti vpogled v poslovne knjige, spise in računalniške zapise. Odločitev o tem, katera dokumentacija in s tem kateri osebni podatki bodo predmet revizije, je tako v pristojnosti revizijske družbe. Dostop do omenjene dokumentacije in s tem tudi do osebnih podatkov (tako zaposlenih kot tudi drugih oseb - v konkretnem primeru dolžnikov), omogoča nadaljnjo obdelavo, ki je potrebna za izvedbo revizijske storitve. Ob tem pa IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izpolnitev posamičnega zakonitega namena obdelave (v konkretnem primeru ustrezno izvedbo revizije poslovanja). IP ob tem dodaja, da ZRev-2 v prvem odstavku
- člena določa, da mora revizijska družba kot zaupne varovati vse podatke, dejstva in okoliščine, za katere je izvedela pri opravljanju revidiranja. Nadalje v prvem odstavku
- člena določa, da mora revizijska družba revidiranje v pravni osebi opravljati neodvisno, nepristransko ter v skladu s pravili revidiranja Na podlagi opisane ureditve izvajanja revizije po mnenju IP izhaja zadostna mera predvidljivosti, da je mogoče pravila za izvajanje revidiranja iz ZRev-2 razumeti kot ustrezno zakonsko podlago za obdelavo osebnih podatkov v smislu točke c) prvega odstavka
- člena Splošne uredbe o varstvu podatkov. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026