Iznos osebnih podatkov na Hrvaško - IPRS

Iznos osebnih podatkov na Hrvaško + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.05.2007 Številka: 0712-508/2007/2 Kategorije:Iznos osebnih podatkov v tretje države --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije Spoštovani,Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je po elektronski pošti prejel vaš zgoraj navedeni dopis, v katerem navajate, da vaš klient (hrvaška pravna oseba), preko svoje spletne strani, ki je registrirana na domeni .si, zbira podatke uporabnikov, ki so seznanjeni z namenom zbiranja podatkov zaradi oglaševanja izdelkov, in svoje podatke dajo prostovoljno. Dodatno ste nam po telefonu še pojasnili, da ima ta hrvaška pravna oseba v Republiki Sloveniji registrirano svojo podružnico. Ker se bodo podatki verjetno obdelovali na sedežu v Republiki Hrvaški, vas zanima:
3. Ali je v zvezi z opisanim primerom v Republiki Sloveniji potrebno pridobiti kakšno dovoljenje za nameravan iznos podatkov?
4. Ali je Republika Hrvaška na listi »tretjih držav«, za katere je ugotovljeno, da zagotavljajo ustrezno raven varstva osebnih podatkov? Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
7. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje.Po določbah prvega odstavka
8. člena ZVOP-1 navedeni zakon velja tudi v primeru, če je podružnica upravljavca osebnih podatkov registrirana v Republiki Sloveniji. V
9. členu Zakona o gospodarskih družbah (Uradni list RS, št. 42/06 s spremembami, v nadaljevanju ZGD) je določeno, da podružnica tujega podjetja iz tretje države nastopa v imenu in za račun tujega podjetja, pri čemer mora uporabljati firmo matičnega podjetja, njegov sedež in svojo firmo. Podružnica tujega podjetja iz tretje države po določbah
10. člena ZGD torej nastopa v imenu in za račun tujega podjetja, vendar pa mora takšna podružnica glede na določbe prvega odstavka
11. člena ZVOP-1 pri obdelavi osebnih podatkov upoštevati tudi določbe ZVOP-
12. Podružnica hrvaške pravne osebe mora pri zbiranju osebnih podatkov posameznikom ob zbiranju osebnih podatkov posredovati informacije, ki jih določa
13. člen ZVOP-
14. Po določbah prvega odstavka
15. člena ZVOP-1 mora podružnica hrvaške pravne osebe posameznikom posredovati podatke o upravljavcu osebnih podatkov in njegovem morebitnem zastopniku (za podružnico tujega podjetja je to firma matičnega podjetja, njegov sedež in firma ter naslov podružnice), poleg tega pa mora posameznike seznaniti tudi z namenom obdelave osebnih podatkov. Podružnica hrvaške pravne osebe po določbah
16. člena ZGD sicer nastopa v imenu in za račun matičnega podjetja, vendar pa mora v primeru, ko namerava zbrane osebne podatke posredovati svojemu matičnemu podjetju v Republiki Hrvaški, pri tem upoštevati določbe V. dela ZVOP-1, ki urejajo iznos osebnih podatkov v tretje države. V
17. členu ZVOP-1 je določeno, da je posredovanje osebnih podatkov v tretjo državo dopustno pod pogojem, da slovenski državni nadzorni organ (Pooblaščenec) izda odločbo, da država, v katero se podatki iznašajo, zagotavlja ustrezno raven varstva osebnih podatkov. Takšna odločba ni potrebna v primeru, če je tretja država že na seznamu tistih držav iz
18. člena ZVOP-1, za katere je Pooblaščenec že ugotovil, da imajo v celoti ali delno zagotovljeno ustrezno raven varstva osebnih podatkov. V zvezi s seznamom držav iz
19. člena ZVOP-1, ki delno ali v celoti zagotovljeno ustrezno raven varstva osebnih podatkov Pooblaščenec pojasnjuje, da za Republiko Hrvaško do sedaj še ni vodil postopka ugotavljanja ustrezne ravni varstva osebnih podatkov, zaradi česar Republike Hrvaške ni na seznamu iz
20. člena ZVOP-
21. Pooblaščenec trenutno na seznamu iz
22. člena ZVOP-1 vodi le Švicarsko konfederacijo, za katero je bilo ugotovljeno, da v celoti zagotavlja ustrezno raven varstva osebnih podatkov. V zvezi z iznosom osebnih podatkov iz Republike Slovenije in njihovim posredovanjem matičnemu podjetju v Republiki Hrvaški je potrebno opozoriti še na določbe
23. člena ZVOP-1, ki dopuščajo iznos osebnih podatkov iz Republike Slovenije in njihovo posredovanje v tretjo državo tudi v primeru, ko Pooblaščenec še ni izdal odločbe, da država, v katero se iznašajo osebni podatki, zagotavlja ustrezno raven varstva osebnih podatkov. Iznos in posredovanje osebnih podatkov v tisto tretjo državo, za katero Pooblaščenec še ni izdal odločbe, da zagotavlja ustrezno raven varstva osebnih podatkov, je po določbah prvega odstavka
24. člena ZVOP-1 dopusten, če:
25. tako določa drug zakon ali obvezujoča mednarodna pogodba;
26. je podana osebna privolitev posameznika, na katerega se nanašajo osebni podatki in je seznanjen s posledicami takšnega posredovanja;
27. je iznos potreben za izpolnitev pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem osebnih podatkov ali za izvršitev predpogodbenih ukrepov, sprejetih kot odgovor na zahtevo posameznika, na katerega se nanašajo osebni podatki;
28. je iznos potreben za sklenitev ali izvršitev pogodbe, ki je v korist posameznika, na katerega se nanašajo osebni podatki, sklenjeno med upravljavcem osebnih podatkov in tretjo stranko;
29. je iznos potreben, da se pred hujšim ogrožanjem zavaruje življenje ali telo posameznika, na katerega se nanašajo osebni podatki;
30. se iznos opravi iz registrov, javnih knjig ali uradnih evidenc, ki so po zakonu namenjene zagotavljanju informacij javnosti in so na voljo za vpogled javnosti na splošno ali katerikoli osebi, ki lahko izkaže pravni interes, da so v posameznem primeru izpolnjeni pogoji, ki jih za vpogled določa zakon;
31. upravljavec osebnih podatkov zagotovi ustrezne ukrepe zavarovanja osebnih podatkov ter temeljnih pravic in svoboščin posameznikov in navede možnosti njihovega uresničevanja ali varstva, predvsem v določbah pogodb ali v splošnih pogojih poslovanja.V primeru iznosa osebnih podatkov po
32. točki prvega odstavka
33. člena ZVOP-1 mora oseba, ki namerava iznesti osebne podatke, pridobiti posebno odločbo Pooblaščenca, ki dovoljuje iznos osebnih podatkov. Iz zgoraj navedenih določb
34. in
35. člena ZVOP-1 izhaja, da lahko podružnica hrvaške pravne osebe, ki je registrirana v Republiki Sloveniji in je osebne podatke svojih uporabnikov zbrala zaradi oglaševanja svojih izdelkov, takšne osebne podatke iznese iz Republike Slovenije ter jih posreduje svojemu matičnemu podjetju v Republiki Hrvaški predvsem v dveh primerih in sicer:
36. če bi Pooblaščenec izdal odločbo, da Republika Hrvaška zagotavlja ustrezno raven varstva osebnih podatkov;
37. če posamezniki, na katere se podatki nanašajo, podajo svojo osebno privolitev in so seznanjeni s posledicami takšnega posredovanja.V prvem primeru mora podružnica hrvaške pravne osebe, ki je registrirana v Republiki Sloveniji, pred posredovanjem osebnih podatkov svojemu matičnemu podjetju v Republiko Hrvaško, na Pooblaščenca nasloviti predlog za uvedbo postopka ugotavljanja ustrezne ravni varstva osebnih podatkov v Republiki Hrvaški in v tem predlogu skladno z določbami prvega odstavka
38. člena ZVOP-1 izkazati pravni interes za izdajo takšne odločbe. Predlog za uvedbo postopka lahko poda tudi matično podjetje, to je hrvaška pravna oseba, za predlog in odločbo pa je potrebno plačati upravno takso v znesku 17,72 EUR.V drugem primeru lahko podružnica hrvaške pravne osebe, ki je registrirana v Republiki Sloveniji, osebne podatke svojih uporabnikov iznese iz Republike Slovenije ter jih posreduje svojemu matičnemu podjetju v Republiki Hrvaški tudi brez kakršne koli odločbe Pooblaščenca. Podlaga za takšen iznos je osebna privolitev posameznika, ki jo dopušča
39. točka prvega odstavka
40. člena ZVOP-
41. Osebna privolitev posameznika je v
42. točki
43. člena ZVOP-1 definirana kot prostovoljna izjava volje posameznika, de se lahko njegovi osebni podatki obdelujejo za določen namen in je dana na podlagi informacij, ki mu jih mora dati upravljavec po tem zakonu; osebna privolitev je lahko pisna, ustna ali druga ustrezna privolitev posameznika.Osebna privolitev posameznika za iznos osebnih podatkov se v konkretnem primeru glede na določbe 14., 15., in
44. točke
45. člena ZVOP-1 ter določbe prvega in drugega odstavka
46. člena in
47. točke prvega odstavka
48. člena ZVOP-1 šteje za veljavno, če so posameznikom pred pridobitvijo osebne privolitve posameznika za posredovanje osebnih podatkov dane jasne informacije o namenu obdelave njihovih osebnih podatkov ter so posamezniki poleg tega tudi jasno seznanjeni s tem, da se bodo njihovi osebni podatki posredovali matičnemu podjetju v Republiki Hrvaški ter s posledicami takšnega posredovanja. Seznanitev s posledicami posredovanja osebnih podatkov po mnenju Pooblaščenca pomeni, da je potrebno posameznika seznaniti z vsemi dejanskimi kakor tudi pravnimi posledicami, ki lahko nastanejo zaradi iznosa. Posameznike je tako potrebno seznaniti predvsem s tem, da za Republiko Hrvaško še ni bilo ugotovljeno, ali le ta zagotavlja ustrezno raven varstva osebnih podatkov, da bo moral posameznik svoje pravice v zvezi z obdelavo osebnih podatkov pri matičnem podjetju uveljavljati v skladu z zakonodajo, ki velja v Republiki Hrvaški, navesti bo potrebno zakon, ki v Republiki Hrvaški ureja varstvo osebnih podatkov ter navesti naziv in sedež hrvaškega nadzornega organa za varstvo osebnih podatkov. Poleg zgoraj opisanih dveh primerov bi bilo posredovanje osebnih podatkov matičnemu podjetju v Republiko Hrvaško brez kakršne koli odločbe Pooblaščenca dopustno tudi v primeru, če bi bil izpolnjen kateri koli izmed pogojev iz 1., 3., 4.,
49. ali
50. točke prvega odstavka
51. člena ZVOP-
52. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026