Mnenje glede prenosa osebnih podatkov v tretje države - IPRS

Mnenje glede prenosa osebnih podatkov v tretje države + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.12.2020 Številka: 07121-1/2020/2216 Kategorije:Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Upravljanje gospodarskih družb --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Upravljanje gospodarskih družb Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem navajate, da v podjetju vodite podatke o zaposlenih, in sicer ali na podlagi ZDR-1 ali na podlagi soglasja. Ker je podjetje multi-nacionalno s turškim lastništvom se bodo ob razširitvi sistema SAP z modulom SAP HR predvidoma v letu 2021 v Turčiji obdelovali osebni podatkih vaših zaposlenih. Podatki se bodo s SAP centralizirali, vneseni pa bodo samo podatki, potrebni za izvajanje pogodbe o zaposlitvi (zasebne tel. št. in e-pošta ne bodo vključeni v evidenco). Menite, da gre za pravno podlago, ko je ob centraliziranem sistemu vodenja HR podatkov posredovanje nujno potrebno za izpolnitev pogodbe o delovnem razmerju in da je to v korist vaših zaposlenih. Če bi bilo potrebno, bi v skrajnem primeru od zaposlenih pridobili tudi soglasje za prenos podatkov v tretjo državo, ker pa bi to pomenilo veliko kadrovske administracije in papirnih dokumentov, bi pravno podlago prej iskali v izpolnitvi pogodbe o delovnem razmerju. Razmerje bi uredili skladno z zavezujočimi poslovnimi pravili, vzorec bi vzeli s povezave, objavljene na spletni strani IP. Sprašujete, če morate izpolnjen obrazec poslati IP v odobritev. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. * * * Za zakonito posredovanje osebnih podatkov upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi ali mednarodni organizaciji morata biti izpolnjena dva pogoja, in sicer: Za posredovanje oz. dajanje osebnih podatkov na razpolago upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi mora obstajati katera izmed pravnih podlag, ki so določene v
8. oziroma
9. členu Splošne uredbe o varstvu podatkov, za javni sektor pa dodatno še v
10. členu ZVOP-
11. Obdelovalcu (pravni ali fizični osebi, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) se lahko osebni podatki posredujejo pod pogoji, določenimi v členu 28 Splošne uredbe o varstvu podatkov. Ob izpolnjenem prvem pogoju je prenos osebnih podatkov upravljavcu ali pogodbenemu obdelovalcu v tretji državi ali mednarodni organizaciji dopusten pod pogoji, ki jih ureja V. Poglavje Splošne uredbe o varstvu podatkov, in sicer: če Evropska komisija izda odločbo, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov (člen 45 Splošne uredbe o varstvu podatkov); če izvoznik podatkov zagotovi ustrezne zaščitne ukrepe ter posameznikom zagotovi izvršljive pravice in učinkovita pravna sredstva na podlagi členov 46 in 47 Splošne uredbe o varstvu podatkov; če gre za posebne primere, ki so določeni v členu 49 Splošne uredbe o varstvu podatkov, v katerih so mogoča odstopanja. V prvi fazi mora torej upravljavec zagotoviti ustrezno pravno podlago za posredovanje osebnih podatkov drugemu upravljavcu, v konkretnem primeru svoji matični družbi, ki predstavlja drugega upravljavca. Pravne podlage za posredovanje osebnih podatkov drugemu upravljavcu so določene v členu 6 Splošne uredbe o varstvu osebnih podatkov (oziroma v členu 9, če gre za posebne vrste osebnih podatkov). V konkretnem primeru bi lahko pravno podlago za posredovanje osebnih podatkov o človeških virih matični družbi predstavljal člen 6