Elektronsko poslovanje s pogodbenim partnerjim + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.05.2007 Številka: 0712-436/2007/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani,prejeli smo vašo elektronsko pošto z dne 20.4.2007.Spraševali ste nas:Ali lahko elektronsko poslujemo le na podlagi posebne pogodbe, podpisane s strani obeh partnerjev. Natančneje bi šlo za elektronski obračun napotnic študentskega servisa. To pomeni: po elektronski pošti bi prejeli napotnico od našega partnerja (s katerim imamo podpisano pogodbo o elektronskem obračunu napotnice), jo obračunali in v fizični obliki pripeli k fakturi, ki jo posredujemo nazaj partnerju. Sama pogodba bi natančno opisovala pravila tovrstnega poslovanja, določili bi tudi pooblaščene osebe, ki lahko posredujejo napotnice iz podjetij (poslovnih partnerjev), in osebe, ki imajo v našem servisu dostop do teh podatkov.To poslovanje bi bilo torej brez elektronskega podpisa ter brez fizičnega podpisa in žiga na napotnici. Ali posebna pogodba zadostuje za tovrstno poslovanje in kaj vse bi takšna pogodba po vašem mnenju morala vsebovati? Pozanimali smo se pri pristojnem organu za elektronsko poslovanje na Ministrstvu za gospodarstvo, kjer so nam zatrdili, da bi v našem primeru za poslovanje zadostovala obojestransko podpisana pogodba. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.Informacijski pooblaščenec uvodoma poudarja, da so pristojnosti Informacijskega pooblaščenca opredeljene v določbah ZInfP in ZVOP-1, iz katerih izhaja, da Informacijski pooblaščenec ni pristojen za podajo mnenj s področja elektronskega poslovanja, zato ste se pravilno obrnili na pristojni organ za elektronsko poslovanje, torej na Ministrstvu za gospodarstvo. Ne glede na navedeno, pa gre pri elektronski obdelavi študentskih napotnic tudi za obdelavo osebnih podatkov, zato vam podajamo naše neobvezno mnenje z vidika varstva osebnih podatkov, kot to ureja ZVOP-
- Izvajanje dejavnosti posredovanja začasnih in občasnih del dijakom in študentom, izvajanje promocijskih in drugih akcij ter ostale dejavnosti, ki jih praviloma izvajajo študentski servisi nedvomno vključujejo obdelavo osebnih podatkov svojih strank. Zbirke osebnih podatkov strank pogosto vključujejo naslednje kategorije osebnih podatkov: ime, priimek, datum rojstva, stalno prebivališče, začasno prebivališče, EMŠO, davčna številka, telefonska številka, mobilna številka, e-mail naslov, vrsta in številka osebnega dokumenta, številka indeksa, spol, podatek o statusu dijaka oziroma študenta, izobraževalna ustanova, ki jo obiskuje, letnik, ki ga obiskuje, dosežena izobrazba, podatek o opravljenem tečaju varstva pri delu, podatek o opravljenem tečaju HACCP, številka transakcijskega računa, naziv banke transakcijskega računa, podatek o statusu (ne)rezidenta, podatki o delu in zaslužkih in druge. Pri izvajanju poslovnih dejavnosti študentskih servisov gre torej za obdelavo osebnih podatkov, ki je opredeljena v
- točki
- člena ZVOP-1, pri čemer obdelava osebnih podatkov pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana.Vaše vprašanje se v pretežni meri dotika določb
- člena ZVOP-1 o pogodbeni obdelavi ter
- in
- člena ZVOP-1 glede zavarovanja zbirk osebnih podatkov in internih aktov za zavarovanje, zato vam v nadaljevanju podajamo podrobnejšo razlago teh določb, s katero odgovarjamo na vaša vprašanja. Pri tem je potrebno opozoriti, da sta tako upravljavec osebnih podatkov kot njegov pogodbeni obdelovalec v celoti zavezana k spoštovanju določb ZVOP-1 ter da so v nadaljevanju bolj podrobno predstavljene le tiste posamezne določbe, ki so najbolj relevantne glede na vaše konkretno vprašanje.
- odstavek
- člena ZVOP-1 določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
- člena ZVOP-
- Omenjeni člen ureja zavarovanje zbirk osebnih podatkov, in sicer gre za organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
- odstavek
- člena dalje določa, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.
- člen ZVOP- 1 ureja dolžnost zavarovanja osebnih podatkov in določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz
- člena tega zakona. Drugi odstavek istega člena dalje določa, da morajo upravljavci osebnih podatkov v svojih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov ter določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Drugi odstavek
- člena ZVOP-1 določa, da sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
- člena ZVOP-
- izvajanje postopkov in ukrepov iz
- člena ZVOP-1 nadzoruje upravljavec osebnih podatkov. Pri tem je ključnega pomena, da lahko pogodbeni obdelovalci opravljajo storitve obdelave osebnih podatkov samo v okviru pooblastil, ki morajo biti s tovrstno pogodbo natančno določena in da podatkov ne smejo obdelovati ali drugače uporabljati za noben drug namen. Poleg tega naj bi pogodbeni obdelovalci, ki za naročnika opravljajo pogodbeno dogovorjene storitve izven prostorov naročnika, imeli vsaj enako strog način varovanja osebnih podatkov, kakor ga predvideva pravilnik o zavarovanju osebnih podatkov naročnika. Tretji odstavek
- člena ZVOP-1 določa, da je v primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon. Upoštevati je potrebno še določbo
- odstavka
- člena ZVOP-1, ki določa, da se v primeru prenehanja pogodbenega obdelovalca osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov. Študentski servis mora kot upravljavec zbirk osebnih podatkov zadostiti tudi drugim zahtevam ZVOP-1, med katere spada predvsem dolžnost zavarovanja podatkov (
- in
- člen ZVOP-1), dolžnosti v zvezi z vodenjem kataloga zbirke osebnih podatkov in posredovanjem podatkov iz kataloga nadzornemu organu (
- in
- člen ZVOP-1), če izpostavimo samo nekatere, seveda pa je pri svojem poslovanju v celoti vezan na spoštovanje določb ZVOP-1.Informacijski pooblaščenec je glede na navedeno mnenja, da je primerno in potrebno, da v pogodbo o elektronskem obračunu, ki jo boste podpisali z vašim partnerjem, vključite določila, ki smiselno in vaši konkretni situaciji primerno upoštevajo zahteve ZVOP-1 glede pogodbene obdelave in zavarovanja osebnih podatkov, kot so predstavljene zgoraj. Priporočamo vam, da si ogledate tudi druga mnenja s področja varstva osebnih podatkov, ki so objavljena na spletni strani http://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/, po kateri lahko iščete s pomočjo naprednega iskalnika.Prijazen pozdrav,Informacijski pooblaščenecNataša Pirc Musar, univ.dipl.prav.,pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026