Ali lahko izterjavo za javni sektor dela pogodbeni izterjevalec - IPRS

Ali lahko izterjavo za javni sektor dela pogodbeni izterjevalec + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.07.2007 Številka: 0712-667/2007/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
4. 2007 prejel vaše e-sporočilo, v katerem nas prosite za pojasnilo glede pogojev posredovanja in uporabe občutljivih podatkov. Gre za podatke mestnih inšpektoratov o prekrških zaradi napačnega parkiranja, ki naj bi se, preden se prepustijo državnemu organu pristojnemu za izterjavo davkov, v izterjavo pogodbeno predajali subjektu, specializiranemu za tovrstne storitve. Zanima vas, katere pogoje morata izpolnjevati obe pogodbeni stranki, da je takšen prenos podatkov in njihova uporaba v skladu z zakonodajo? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05 - ZInfP in 51/07-ZUstS; v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. 1 Splošno o pogodbeni obdelavi Prvi odstavek
8. člena ZVOP-1 določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo osebnih podatkov podana osebna privolitev posameznika. Podobno izhaja tudi iz
9. člena ZVOP-1, ki določa podlage za obdelavo občutljivih osebnih podatkov (v tem primeru podatke iz prekrškovnih evidenc). Po določbah prvega odstavka
10. člena ZVOP-1 lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe za zavarovanje osebnih podatkov iz
11. člena ZVOP-1 (pogodbena obdelava osebnih podatkov).
12. člen ZVOP-1 predstavlja posebno zakonsko podlago v smislu
13. člena ZVOP-1, ki pod določenimi pogoji omogoča obdelavo osebnih podatkov, kadar se ta izvaja s strani pogodbenih obdelovalcev in za to ni neke druge zakonske podlage ali privolitve posameznika. Omogoča torej posredovanje osebnih podatkov pogodbenemu obdelovalcu, obdelavo osebnih podatkov v ožjem smislu pri pogodbenem obdelovalcu in povratno posredovanje osebnih podatkov z dodano vrednostjo upravljavcu. 2 Obveznosti strank v zvezi s pogodbeno obdelavo osebnih podatkov Pogodbeni obdelovalec (ta je v skladu s sedmo točko
14. člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) sme, v skladu z drugim odstavkom
15. člena, opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
16. člena ZVOP-
17. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
18. člena tega zakona. Dogovor med strankama o postopkih in ukrepih iz
19. člena ZVOP-1 pomeni dogovor o organizacijskih, tehničnih in logično-tehničnih postopkih in ukrepih, s katerimi se varujejo osebni podatki, preprečuje nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter njihova nepooblaščena obdelava pri pogodbeni obdelavi teh podatkov. Zato morata upravljavec in pogodbeni obdelovalec v pogodbi jasno in natančno določiti postopke in ukrepe s katerimi mora pogodbeni obdelovalec: - varovati prostore, kjer se nahajajo nosilci osebnih podatkov, - varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki, - preprečevati nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih, - zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov - omogočati poznejše ugotavljanje, kdaj so bili posamezni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil (načelo sledljivosti). Splošne navedbe, v smislu: »pogodbeni obdelovalec se zavezuje, da bo pri obdelavi osebnih podatkov spoštoval zakonodajo s področja varstva osebnih podatkov«, z vidika
20. člena ZVOP-1 ne zadostujejo. Kot je pojasnjeno v nadaljevanju, je dopustno sklicevanje na Pravilnik o zavarovanju osebnih podatkov, ki ga je upravljavec sprejel za zavarovanje osebnih podatkov, oziroma vključitev takega Pravilnika v pogodbo, če seveda v Pravilniku predvideno zavarovanje osebnih podatkov ustreza zahtevam upravljavca osebnih podatkov. Ker morata stranki opisane postopke in ukrepe za zavarovanje osebnih podatkov urediti v pogodbi, pogodbenemu obdelovalcu tudi ni treba teh postopkov in ukrepov predpisovati v svojih aktih, kot je to v skladu z drugim odstavkom
21. člena ZVOP-1 dolžan storiti upravljavec osebnih podatkov. Če pa je pogodbeni obdelovalec že sprejel notranji akt (v praksi ponavadi Pravilnik o zavarovanju osebnih podatkov), v katerem je predpisal postopke in ukrepe iz
22. člena ZVOP-1 (npr. za zavarovanje tistih osebnih podatkov, kjer sam nastopa kot upravljavec), pa lahko stranki namesto ponovnega opisovanja vseh postopkov in ukrepov v pogodbi zgolj citirata takšen akt (če ta seveda ustreza zahtevam upravljavca), pogodbeni stranki navedeta, da je akt sestavni del pogodbe in da mora pogodbeni obdelovalec zagotoviti zavarovanje osebnih podatkov v skladu z določbami takšnega akta ter akt priložita pogodbi. Enako kot akt pogodbenega obdelovalca lahko stranki v pogodbo vključita tudi notranji akt upravljavca. Upravljavec in pogodbeni obdelovalec osebnih podatkov morata v pogodbi določiti tudi, katere osebe, zaposlene pri pogodbenem upravljavcu osebnih podatkov, lahko opravljajo posamezna opravila v zvezi z obdelavo osebnih podatkov, kakšna so v zvezi s tem njihova pooblastila ter uredita dolžnost varovanja zaupnosti podatkov. Pogodbeni obdelovalec mora poskrbeti tudi, da se z v pogodbi dogovorjenimi postopki in ukrepi iz
23. člena ZVOP-1 seznanijo vsi tisti zaposleni, ki pri njem odgovarjajo za izvajanje teh postopkov in ukrepov, ter osebe, ki zaradi narave svojega dela pri njem obdelujejo določene osebne podatke. Če sta pogodbenika v pogodbo vključila že obstoječi notranji akt o zavarovanju osebnih podatkov enega ali drugega, mora pogodbeni obdelovalec poskrbeti, da se omenjene osebe seznanijo s tem aktom. Potrebno je še dodati, da morata pogodbeni stranki pri določanju pogodbene vsebine in njenem izvrševanju upoštevati tudi, določbe
24. člena ZVOP-1, ki govori o zavarovanju občutljivih osebnih podatkov. 3 O dopustnosti pogodbene obdelave v zvezi s prisilno izterjavo neplačanih glob Ker v vašem sporočilu niste navedli, za katero občino gre in tudi niste navedli, na kateri pravni podlagi naj bi se izvajala pogodbena izterjava prekrškovnih glob mimo davčne uprave RS, vam glede dopustnosti takega ravnanja lahko podamo samo splošno pojasnilo. Prav tako se Pooblaščenec ne more spuščati v presojo skladnosti občinskih predpisov (ki morebiti določajo poseben način izterjave glob za prekrške) z Ustavo RS in Zakonom o prekrških (Uradni list RS, št. 3/07- UPB; ZP-1), kot sistemskim predpisom na področju prekrškovnega prava. ZP-1 v osmem odstavku
25. in prvem ter četrtem odstavku
26. člena določa, da se prisilna izterjava globe (in stroškov) izrečene za prekršek izvede preko organa, ki je pristojen za izterjavo davkov in sicer z dikcijama: »…se pošlje plačilni nalog v izvršitev organu, ki je pristojen za izterjavo davkov…” oziroma »…izvrši pristojni davčni organ po določbah zakona, ki ureja prisilno izterjavo davkov”. Navedeno velja ne glede na to, ali je globa izrečena s strani prekrškovnega organa ali sodišča in ne glede na to, ali je globa storilcu naložena s plačilnim nalogom, odločbo ali sodbo. Glede na to, da ZP-1 ne predvideva drugih oblik prisilne izterjave in so navedene določbe absolutno preskriptivne (zapovedne) narave, je logičen sklep, da druge oblike prisilne izterjave, pa čeprav samo kot vmesna faza, niso dopustne. Ob takem sklepu se seveda postavlja vprašanje, ali je pogodbena obdelava iz prejšnjih točk sploh dopustna, pa čeprav pogodbena obdelava sama po sebi predstavlja posebno in samostojno podlago za obdelavo osebnih podatkov. Pooblaščenec meni, da glede na določbo
27. člena ZVOP-1, ki določa, da se lahko osebni podatki zbirajo in nadalje obdelujejo le za določene in zakonite namene, pogodbena obdelava osebnih podatkov s strani »subjekta, ki je specializiran za tovrstne storitve«, v konkretnem primeru ni dopustna. Če nam sporočite lahko konkretne podatke, v kateri občini se to dogaja in katero podjetje ali fizična oseba izterjavo izvaja, bomo izvedli tudi inšpekcijski nadzor. Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026