Aplikacija za e-račune – razmerje med ponudnikom in trgovcem + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.05.2022 Številka: 07121-1/2022/486 Kategorije: --> Kategorije: Ocene učinkov v zvezi z varstvom podatkov, Pogodbena obdelava podatkov, Skupni upravljavci Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da stopate v odnos s ponudnikom aplikacije, ki omogoča storitev digitalizacije računov. Konkretni ponudnik vam je posredoval pogodbo, s katero naj bi se vi kot trgovec zavezali omogočiti dostop do podatkov o računih iz vaših blagajn (ime in priimek končnega kupca, vsebina nakupa, podatki, ki so na računu), ponudnik pa bi vam kot trgovcu omogočil uporabo aplikacije, da računa ne bi natisnili, če kupec tega ne bi izrecno zahteval. Kupec tako dobi elektronski račun v aplikacijo. Ponudnik aplikacije trdi, da so od vas popolnoma ločeni (torej samostojni upravljavci), saj je storitev hranjenja računa namenjena kupcem in ne trgovcu in ponudnik sprejme in hrani račun v imenu kupca (prejemnika računa) in ne trgovca. Zanima vas, kako bi bilo treba opredeliti razmerje med trgovcem in ponudnikom aplikacije (kot pogodbeno obdelavo, skupno upravljavstvo idr.). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Zaradi zagotavljanja skladnosti s Splošno uredbo je ključno, da trgovec in ponudnik storitve temeljito razčistita svoj medsebojni odnos in vloge v zvezi z varstvom osebnih podatkov posameznikov. V nasprotnem primeru sta lahko odgovorna za kršitev Splošne uredbe. IP v mnenju nudi izhodišča za razmejitev vlog, ki bodo pomagala pri odločitvi, ali gre za pogodbeno obdelavo, skupno upravljavstvo ali kakšen drug odnos. Glede na nujnost in kompleksnost razmejitve vlog pri uvedbi nove informacijske rešitve, predviden velik obseg obdelave osebnih podatkov ter potencialno vrednotenje osebnih vidikov v zvezi s posamezniki z oblikovanjem profilov vam svetujemo, da pred nameravano obdelavo osebnih podatkov opravite oceno učinka v zvezi z varstvom podatkov ali jo zahtevate od ponudnika aplikacije. Obrazložitev Okoliščine delovanja aplikacije za zagotavljanje e-računov IP ugotavlja, da gre v opisanem primeru za trikotniški odnos med trgovcem, ponudnikom aplikacije e-računov in kupcem (uporabnikom storitve). Da bi lažje odgovorili na vprašanje statusa trgovca in ponudnika aplikacije v smislu zakonodaje s področja varstva osebnih podatkov, v nadaljevanju najprej na abstraktnem, posplošenem primeru (torej ne za konkretno aplikacijo) začrtamo osnovne storitve in opravila, ki jih v zvezi z e-računi nudi ponudnik storitve na eni strani in trgovec na drugi strani, ter kakšna je vloga posameznika (kupca, uporabnika aplikacije). Delovanje ponudnika aplikacije Aplikacije za e-račune omogočajo prejemanje in shranjevanje računov in garancij pri vseh trgovcih, ki so pogodbeni partner ponudnika aplikacije. Račune ostalih trgovcev, ki niso pogodbeni partner, lahko kupec vnese ročno. Uporabnik aplikacije si aplikacijo naloži in se vanjo registrira z uporabniškim imenom in geslom. Uporabnik prejme kodo, s katero se identificirata pri trgovcu ob opravljenem nakupu z namenom, da prejme e-račun. Posameznik lahko svoj uporabniški račun prek kode poveže tudi s kartico ugodnosti posameznega trgovca. Ponudnik aplikacije organizira razne nagradne igre, osebne podatke kupcev (uporabnikov aplikacije) pa skladno s pridobljenim soglasjem uporabnika uporablja za profiliranje in ciljno trženje potrošnikov. Vloga trgovca Trgovec običajno omogoči ponudniku aplikacije dostop do osebnih podatkov (ime in priimek kupca, vsebina nakupa, podatki, ki so na računu), kar omogoči aplikaciji, da pripravi e-račun. Na zahtevo kupca mora trgovec pomagati povezati morebitno kartico zvestobe z aplikacijo. Prav tako se trgovec zaveže, da bo takšne (digitalne) račune sprejel kot ustrezne v primeru uveljavljanja garancij, menjave izdelkov, reklamacij ipd. s strani kupca. Posameznik Posameznik si naloži aplikacijo in sklene pogodbo (t.j. sprejme splošne pogoje aplikacije) s ponudnikom aplikacije. Ob nakupu pri trgovcu lahko kupec izjavi, da želi e-račun in trgovcu predloži unikatno kodo svoje aplikacije. Mnenje IP Uvodoma ugotavljamo, da iz predstavljenih informacij ni povsem jasno, na kakšni pravni podlagi trgovec obdeluje osebne podatke posameznika za namene priprave e-računa. Vsekakor je to temeljno vprašanje, ki mora biti povsem razčiščeno. Tudi če bi pravno podlago predstavljala sklenjena pogodba med vami in kupcem, nikakor ni jasno, ali bo kupec / posameznik pri tem prejel vse ustrezne informacije po
- členu Splošne uredbe in od koga. Na splošno je vprašanje izvrševanja pravice do informiranja (transparentne obdelave osebnih podatkov) ter pravic posameznikov do dostopa do osebnih podatkov, popravka, izbrisa itd. odvisno od razmerij in vlog posameznih akterjev, v konkretnem primeru trgovca in ponudnika aplikacije. Zaradi navedenega je bistveno, da se vloge in razmerja med trgovcem in ponudnikom aplikacije v smislu Splošne uredbe pred nameravano obdelavo osebnih podatkov povsem razčistijo. Pri tem pa poudarjamo, da vam IP konkretnega odgovora (na način, da bi dejansko razrešili te vloge namesto trgovca in ponudnika storitve) ne more podati. Natančno analizo odnosa morata opraviti oba subjekta, in sicer vsak zase in – glede na nameravano poslovno sodelovanje – oba skupaj. IP vam lahko pri tem poda določene napotke, ki izhajajo iz: Smernic IP o (pogodbeni) obdelavi osebnih podatkov (https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf); Smernic Evropskega odbora za varstvo podatkov (EDPB) št. 07/2020 o pojmih upravljavec in obdelovalec iz Splošne uredbe o varstvu podatkov; Priporočil Informacijskega pooblaščenca glede skupnih upravljavcev (https://www.ip-rs.si/fileadmin/user_upload/Pdf/Priporocila/Priporocila_Informacijskega_Pooblascenca_glede_skupnih_upravljavcev_21jan2019.pdf); Infografike IP o skupnem upravljanju (https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/skupni_upravljavci.pdf). Pri opredelitvi, ali gre za pogodbeno obdelavo, si je bistveno odgovoriti na naslednja vprašanja: Ali subjekt lahko sam določa namen in sredstva obdelave osebnih podatkov? Ali je upravljavec zbirke osebnih podatkov subjektu poveril v izvajanje opravila obdelave, ki bi jih sicer lahko izvajal upravljavec sam? Kakšna je intenzivnost obdelave, vezanost na navodila in nadzor upravljavca nad dejanji subjekta? Ali ima subjekt zakonska pooblastila oziroma pravno podlago, ki bi ga deloma ali v celoti postavila za upravljavca v zvezi z osebnimi podatki upravljavca? Ali je primarni namen najema storitev subjekta katero od dejanj obdelave osebnih podatkov (npr. hramba) ali pa je obdelava osebnih podatkov zgolj posledica najetja storitve subjekta? V vlogi obdelovalca bo nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala: izključno v imenu in za račun upravljavca osebnih podatkov, bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca. IP ne želi soditi o konkretnih procesih obdelave, ker za to nima dovolj informacij, prav tako pa neobvezno mnenje ni prava pot za presojo konkretnih (nameravanih) obdelav osebnih podatkov. Ne da bi se dejansko opredeljevali do tega, ali gre za pogodbeno obdelavo ali ne, pa na tem mestu izpostavljamo primer iz Smernic EDPB o pojmih upravljavec in obdelovalec iz Splošne uredbe o varstvu podatkov, ki vam lahko pomaga pri potrditvi, da gre za pogodbeno obdelavo, ali ugotovitvi, da ne gre za pogodbeno obdelavo. Primer: Standardizirana storitev shranjevanja v oblaku Velik ponudnik shranjevanja v oblaku strankam ponuja možnost shranjevanja velikih količin osebnih podatkov. Storitev je popolnoma standardizirana, stranke pa imajo malo ali nič možnosti za prilagoditev storitve. Ponudnik storitev v oblaku enostransko določi in zapiše pogoje pogodbe, ki jih stranki zagotavlja na osnovi „vzemi ali pusti“. Družba X se odloči, da bo uporabila ponudnika storitev v oblaku za shranjevanje osebnih podatkov, ki se nanašajo na njene kupce. Družba X se bo še vedno štela za upravljavca glede na svojo odločitev, da bo uporabila tega ponudnika storitev v oblaku za obdelavo osebnih podatkov za svoje namene. Če ponudnik storitev v oblaku osebnih podatkov ne obdela za lastne namene in shranjuje podatke le v imenu svojih strank ter v skladu z navodili, se bo ponudnik storitev štel za obdelovalca. Iz vašega primera izhaja, da kupci sami naložijo aplikacijo in sklenejo pogodbo s ponudnikom aplikacije. Iz tega bi se dalo sklepati, da ponudnik aplikacije podlage za obdelavo osebnih podatkov ne črpa iz upravičenj upravljavca, prav tako pa osebne podatke kupcev obdeluje za lastne namene in jih ne shranjuje le v vašem imenu. S tem so posamezniki seznanjeni in na nek način sami dajo navodila ponudniku aplikacije, saj za uporabo teh storitev morajo prenesti aplikacijo in se strinjati s splošnimi pogoji. Nadalje pa vam svetujemo (vam kot trgovcu ter ponudniku aplikacije), da temeljito preučite Splošno uredbo z vidika skupnega upravljavstva in vse zgoraj navedene vire, ki vam pri takšni opredelitvi lahko pomagajo. Iz Smernic EDPB o pojmih upravljavec in obdelovalec lahko glede skupnih namenov obdelave izpostavimo naslednje: »Skupno upravljanje obstaja, ko subjekti, vključeni v isto obdelavo, to izvajajo za skupaj opredeljene namene. To velja v primeru, ko vključeni subjekti obdelujejo podatke za enake ali skupne namene. Kadar poleg tega subjekti nimajo istega namena za obdelavo, je ob upoštevanju sodne prakse Sodišča EU skupno upravljanje mogoče vzpostaviti tudi, če vključeni subjekti sledijo namenom, ki so tesno povezani ali se dopolnjujejo. To velja na primer, kadar iz istega postopka obdelave izhaja vzajemna korist, če vsak od vključenih subjektov sodeluje pri določitvi namenov in sredstev zadevnega postopka obdelave. (…) Na primer v zadevi Fashion ID je Sodišče EU pojasnilo, da upravljavec spletnega mesta sodeluje pri določitvi namenov (in sredstev) obdelave tako, da na spletno mesto vstavi socialni vtičnik, da optimizira oglaševanje svojih izdelkov tako, da postanejo vidnejši na družabnem omrežju. Sodišče EU je menilo, da so bili zadevni postopki obdelave izvedeni v gospodarskem interesu tako upravljavca spletnega mesta kot tudi ponudnika socialnega vtičnika.« Glede določanja skupnih sredstev pa Smernice EDPB navajajo: Za skupno upravljanje je prav tako potrebno, da imata dva ali več subjektov vpliv na sredstva obdelave. To ne pomeni, da mora za obstoj skupnega upravljanja vsak vključeni subjekt v vseh primerih določiti vsa sredstva. Kot je namreč pojasnilo Sodišče EU, so lahko različni subjekti vključeni v različnih fazah te obdelave in v različnih stopnjah. Zato lahko različni skupni upravljavci opredelijo sredstva obdelave v različnem obsegu glede na to, kdo je dejansko sposoben to narediti. IP pa je v Priporočilih glede skupnih upravljavcev zapisal: »Dva ali več upravljavcev morajo skupaj določiti namene (razloge, obseg in cilje) in načine (sredstva in metode) obdelave osebnih podatkov. Udeležba skupnih upravljavcev pri določanju namenov in načinov konkretne obdelave je lahko zelo različna. Za določitev medsebojnih razmerij so bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Nikakor ni nujno, da ima vsak od upravljavcev pri tem enakovredno vlogo ter tudi ne pomeni nujno enakovredno porazdeljene odgovornosti. Tako so lahko posamezni skupni upravljavci vključeni v različne stopnje konkretne obdelave osebnih podatkov in v različnem obsegu. Ni namreč potrebno, da ima vsak upravljavec nadzor nad vsemi stopnjami konkretne obdelave. Tudi nameni in sredstva obdelave niso nujni vedno skupni oziroma enaki, morajo pa biti skupno določeni.« Toplo vam svetujemo, da pred vzpostavitvijo poslovnega sodelovanja s ponudnikom aplikacije jasno razčistite, ali gre za pogodbeno obdelavo ali za skupno upravljavstvo. Dejstvo namreč je, da gre za isti postopek obdelave (nakup in posledična izdaja e-računa), zato sta oba akterja medsebojno nedvomno tesno povezana. Če vloge ne bodo razčiščene, boste lahko eni, drugi ali oboji morebiti odgovorni za kršitev Splošne uredbe, najmanj zaradi zagotavljanja pravic posameznikov in transparentnosti obdelave osebnih podatkov. Glede na nujnost in kompleksnost razmejitve vlog pri uvedbi nove informacijske rešitve, predviden velik obseg obdelave osebnih podatkov ter potencialno vrednotenje osebnih vidikov v zvezi s posamezniki z oblikovanjem profilov vam svetujemo, da pred nameravano obdelavo osebnih podatkov opravite oceno učinka v zvezi z varstvom podatkov ali jo zahtevate od ponudnika aplikacije. Ocena učinka v zvezi z varstvom podatkov, ki je urejena v
- členu Splošne uredbe, vam lahko po izvedeni temeljiti analizi ponudi dragocene odgovore na temeljna vprašanja varstva osebnih podatkov (med drugim razmejitev vlog po popolni analizi nameravanih obdelav in pravnih podlag za obdelavo). Pri oceni učinka običajno sodeluje pooblaščena oseba za varstvo podatkov, kjer je imenovana. V zvezi s tem je IP izdal Smernice ocene učinkov na varstvo osebnih podatkov: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-ocene-u%C4%8Dinkov-na-varstvo-osebnih-podatkov. Za konec vam še svetujemo, da kot upravljavec osebnih podatkov velikega števila posameznikov ne pristanete na sistem »vzami ali pusti«, temveč z vsemi vzvodi, ki so vam na voljo in ki jih kot upravljavec osebnih podatkov nenazadnje morate uporabiti, temeljito zavarujete osebne podatke vaših strank. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026