← Slovenija

Iznos osebnih podatkov pogodbenim obdelovalcem - IPRS

Iznos osebnih podatkov pogodbenim obdelovalcem + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 31.05.2010 Številka: 0712-71/2010/ Kategorije:Iznos osebnih podatkov v tretje države --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije Spoštovani, Informacijski pooblaščenec (v nadaljevanju: Pooblaščenec) je prejel vaše zgoraj navedeno zaprosilo za mnenje, v katerem navajate, da je Evropska Komisija dne 05.02.2010 sprejela Sklep o standardnih pogodbenih klavzulah za prenos osebnih podatkov obdelovalcem s sedežem v tretjih državah (v nadaljevanju Sklep Komisije), ki bo stopil v veljavo 15.05.
  3. Standardne pogodbene klavzule, ki so sestavni del navedenega sklepa, predvidevajo možnost podobdelave osebnih podatkov, t.j. prenos določenih aktivnosti glede obdelave osebnih podatkov s pogodbenega obdelovalca na tretjega (podobdelovalca). Ker Zakon o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) podobdelave osebnih podatkov ne ureja, Pooblaščenca prosite za mnenje o dopustnosti podobdelave osebnih podatkov. Zanima vas, ali bo po uveljavitvi Sklepa Komisije (t.j. po 15.5.2010), po veljavni slovenski zakonodaji, podobdelava osebnih podatkov dopustna, in sicer v primeru, da: • pogodbeni obdelovalec s sedežem v Sloveniji oz. EU/EGP angažira podobdelovalca, ki nima sedeža v EU/EGP; oz. • pogodbeni obdelovalec s sedežem izven EU/EGP angažira podobdelovalca, ki nima sedeža v EU/EGP. (v obeh primerih pa ima upravljavec podatkov sedež v Sloveniji). V kolikor bo po 15.05.2010 po mnenju Pooblaščenca podobdelava osebnih podatkov dopustna, Pooblaščenca prosite tudi za mnenje: • ali je glede na veljavnost zgoraj navedenega sklepa Evropske komisije dopustno sklepati pogodbe o podobdelavi osebnih podatkov med pogodbenim obdelovalcem in podobdelovalcem (ob predpostavki, da upravljavec osebnih podatkov soglaša s takšno podobdelavo in so izpolnjeni tudi ostali pogoji iz zgoraj navedenega sklepa Evropske komisije) ali se, upoštevajoč
  4. člen ZVOP-1, zahteva, da je pogodba sklenjena neposredno med upravljavcem, pogodbenim obdelovalcem in podobdelovalcem osebnih podatkov. Ker avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  5. točke prvega odstavka
  6. člena ZVOP-1 in
  7. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje glede posredovanja osebnih podatkov pogodbenim obdelovalcem in podobdelovalcem znotraj in izven Evropske unije in Evropskega gospodarskega prostora. Pooblaščenec meni, da se lahko določbe Sklepa Komisije glede posredovanja osebnih podatkov podobdelovalcem neposredno uporabljajo le v primerih, ko gre za posredovanje od pogodbenega upravljavca osebnih podatkov v tretji državi, k podobdelovalcu v tretji državi. Pogodbeni obdelovalec osebnih podatkov v tretji državi lahko tako po uveljavitvi Sklepa Komisije posredujejo osebne podatke podobdelovalcu v tretji državi, pod sledečimi pogoji:
  8. Upravljavec osebnih podatkov, ki je ustanovljen, ima sedež ali je registriran v Republiki Sloveniji (izvoznik podatkov) mora pred iznosom oz. posredovanjem osebnih podatkov s pogodbenim obdelovalcem osebnih podatkov v tretji državi (uvoznik podatkov) skleniti pisno pogodbo, v katero mora v celoti vključiti standardne pogodbene klavzule iz Sklepa Komisije ter oba dodatka, ki sta sestavni del teh klavzul.
  9. Upravljavec oz. izvoznik osebnih podatkov mora po sklenitvi pogodbe še pred iznosom osebnih podatkov in posredovanjem le teh pogodbenemu obdelovalcu v tretji državi, pridobiti posebno odločbo Pooblaščenca iz drugega odstavka
  10. člena ZVOP-1, ki dovoljuje takšen iznos osebnih podatkov.
  11. Pogodbeni obdelovalec v tretji državi lahko za tem po prejemu osebnih podatkov od upravljavca oz. izvoznika podatkov odda izvajanje postopkov obdelave osebnih podatkov podobdelovalcu pod pogoji, ki jih določa klavzula
  12. Skladno z navedeno klavzulo mora pogodbeni obdelovalec pred oddajo izvajanja postopkov obdelave podobdelovalcu pridobiti predhodno pisno soglasje upravljavca (izvoznika) osebnih podatkov, poleg tega pa mora pogodbeni obdelovalec v tretji državi s podobdelovalcem še pred oddajo izvajanja postopkov obdelave, ki se bo izvajala v imenu izvoznika, s podobdelovalcem skleniti pisno pogodbo, ki podobdelovalcu nalaga enake obveznosti, kot jih ima uvoznik podatkov po sprejetih klavzulah. Tej zadevi je lahko zadoščeno, če podobdelovalec sopodpiše pogodbo, ki sta jo sklenila upravljavec in pogodbeni obdelovalec osebnih podatkov, oziroma se podobdelovalec v pisni pogodbi, ki jo sklene s pogodbenim obdelovalcem, zaveže, da bo izpolnjeval vse obveznosti, ki jih glede varstva osebnih podatkov vsebuje pogodba med upravljavcem in pogodbenim obdelovalcem.
  13. Pogodbeni upravljavec mora upravljavcu osebnih podatkov poslati izvod pogodbe o podobdelavi, upravljavec osebnih podatkov pa mora voditi seznam takšnih pogodb. Glede na to, da se Sklep Komisije uporablja samo v primerih, ko obdelovalec podatkov s sedežem v tretji državi odda izvajanje storitev obdelave podobdelovalcu s sedežem v tretji državi, Pooblaščenec meni, da pogodbeni obdelovalec osebnih podatkov, ki ima sedež v Republiki Sloveniji (RS) oz. v članici Evropske unije (EU) ali Evropskega gospodarskega prostora (EGS), s podobdelovalci osebnih podatkov v tretjih državah sam ne sme sklepati pogodb. Posredovanje osebnih podatkov podobdelovalcu v tretji državi, ki ne zagotavlja ustrezne ravni varstva osebnih podatkov, je namreč v primeru, da je upravljavec osebnih podatkov ustanovljen, ima sedež ali je registriran v RS, dopustno le pod pogoji, ki jih določata
  14. točka prvega odstavka ter drugi odstavek
  15. člena ZVOP-
  16. Posredovanje osebnih podatkov podobdelovalcu v tretji državi je tako dopustno pod pogojem, da upravljavec osebnih podatkov s podobdelovalcem v tretji državi sklene pogodbo, v katero mora v celoti vključiti standardne pogodbene klavzule iz Sklepa Komisije ter oba dodatka k tem klavzulam ter da upravljavec pred posredovanjem osebnih podatkov podobdelovalcu v tretji državi pridobi posebno odločbo Pooblaščenca, ki dovoljuje takšen iznos osebnih podatkov. Sklep Komisije ne vpliva na uporabo nacionalnih predpisov, ki se nanašajo na obdelavo osebnih podatkov znotraj držav članic. Zaradi tega morajo upravljavci osebnih podatkov iz RS pri posredovanju osebnih podatkov pogodbenim obdelovalcem oziroma podobdelovalcem znotraj RS in EU/EGS upoštevati določbe
  17. člena ZVOP-
  18. Po določbi prvega odstavka
  19. člena ZVOP-1 je le upravljavec osebnih podatkov tisti, ki lahko posamezna opravila obdelave osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu. Ker ZVOP-1 pogodbenemu obdelovalcu ne dopušča, da bi v imenu in za račun upravljavca osebnih podatkov posredoval osebne podatke v podobdelavo, oziroma ker ZVOP-1 področja podobdelave osebnih podatkov sploh ne ureja, lahko pogodbeni obdelovalec iz RS ali EU/EGS po mnenju Poblšačenca posreduje osebne podatke v podbobdelavo svojemu pogodbenemu partnerju le pod pogojem, da upravljavec osebnih podatkov pogodbo o pogodbeni obdelavi osebnih podatkov iz
  20. člena ZVOP-1 sklene tudi s podobdelovalcem oz. partnerjem pogodbenega obdelovalca. Pooblaščenec še pripominja, da je v primeru, ko se že vnaprej ve, da se bodo posamezna opravila obdelave osebnih podatkov prenesla na podobdelovalca najprimerneje, da upravljavec s pogodbenim upravljavcem in podobdelovalcem sklene tripartitno pogodbo, v kateri morajo biti jasno določena pooblastila pogodbenemu obdelovalcu in podobdelovalcu, poleg tega pa mora takšna pogodba seveda vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov. O b r a z l o ž i t e v: ZVOP-1 ne pozna izraza »podobdelava« osebnih podatkov ter posebej ne ureja tega področja. Sklep Komisije z dne
  21. februarja 2010 o standardnih pogodbenih klavzulah za prenos osebnih podatkov obdelovalcem s sedežem v tretjih državah v skladu z Direktivo Evropskega parlamenta in Sveta 95/46/ES (notificiran pod dokumentarno številko C

(2010)593) je dejansko prvi dokument, ki je v pravu Evropske unije definiral izraz »podobdelovalec« osebnih podatkov ter eksplicitno predpisal pogoje za dopusten prenos osebnih podatkov s pogodbenega obdelovalca v tretji državi na podobdelovalca osebnih podatkov v tretji državi. Sklep Komisije v recitalu 23 namreč določa, da se ta sklep uporablja samo v primerih, ko obdelovalec podatkov s sedežem v tretji državi odda izvajanje storitev obdelave podobdelovalcu s sedežem v tretji državi in naj se ne uporablja v primeru, ko obdelovalec s sedežem v EU, ki obdeluje osebne podatke v imenu upravljavca s sedežem v EU, odda izvajanje postopkov obdelave podobdelovalcu s sedežem v tretji državi. Podobdelovalec osebnih podatkov je v točki e člena 3 Sklepa Komisije definiran kot obdelovalec, ki ga zaposli uvoznik podatkov ali kateri koli drug podobdelovalec pri uvozniku podatkov in ki soglaša, da od uvoznika podatkov ali katerega koli drugega podobdelovalca pri uvozniku podatkov prejema osebne podatke, namenjene izključno za obdelavo v imenu izvoznika podatkov po prenosu v skladu z navodili izvoznika podatkov, standardnimi pogodbenimi klavzulami iz Priloge in pogoji pisne pogodbe o podobdelavi. Iznos osebnih podatkov v tretje države v RS ureja V. del ZVOP-1, kjer je
  1. točki prvega odstavka
  2. člena določeno, da se ne glede na določbe
  3. člena tega zakona, osebni podatki lahko iznesejo in posredujejo v tretjo državo, če upravljavec osebnih podatkov zagotovi ustrezne ukrepe zavarovanja osebnih podatkov ter temeljnih pravic in svoboščin posameznikov in navede možnosti njihovega uresničevanja ali varstva, predvsem v določbah pogodb ali v splošnih pogojih poslovanja. V primeru takšnega iznosa mora oseba, ki namerava iznesti osebne podatke, po določbah drugega odstavka
  4. člena ZVOP-1 pred iznosom pridobiti posebno odločbo državnega nadzornega organa (Pooblaščenec), ki dovoljuje iznos. Ko namerava upravljavec osebnih podatkov iz RS iznesti osebne podatke pogodbenemu obdelovalcu v tretjo državo, se z vidika določb
  5. točke
  6. člena ZVOP-1 šteje, da je kot upravljavec osebnih podatkov zagotovil ustrezne ukrepe zavarovanja osebnih podatkov ter temeljnih pravic in svoboščin posameznikov in navedel možnosti njihovega uresničevanja ali varstva, če je s pogodbenim obdelovalcem v tretji državi sklenil pisno pogodbo, v katero je v celoti vključiti standardne pogodbene klavzule iz priloge Sklepa Komisije ter oba dodatka, ki sta sestavni del teh klavzul (dodatek 1 vsebuje osnovne podatke v zvezi z iznosom, dodatek 2 pa vsebuje opis tehničnih in organizacijskih varnostnih ukrepov, ki jih mora izvajati uvoznik podatkov). Predpisane standardne pogodbene klavzule namreč po členu 1 navedenega Sklepa Komisije veljajo za takšne, ki zagotavljajo ustrezne ukrepe glede varstva zasebnosti ter temeljnih pravic in svoboščin posameznikov in glede ustreznega reševanja teh pravic. Pooblaščenec je pri odločanju o izdaji posebne odločbe iz drugega odstavka
  7. člena ZVOP-1 dolžan upoštevati Sklep Komisije in bo zato v primeru, ko bosta upravljavec osebnih podatkov v RS in pogodbeni obdelovalec v tretji državi sklenila pogodbo, v kateri bosta v celoti uporabila standardne pogodbene klavzule iz Sklepa Komisije in oba dodatka k tem klavzulam, dovolil iznos osebnih podatkov. Sklep Komisije se uporablja le za prenos osebnih podatkov s strani upravljavcev osebnih podatkov s sedežem v EU k prejemnikom s sedežem zunaj ozemlja EU, ki delujejo samo kot pogodbeni obdelovalci osebnih podatkov, torej kot osebe, ki obdelujejo osebne podatke v imenu in za račun upravljavca osebnih podatkov. V recitalu 23 navedenega sklepa je še izrecno določeno, da naj se ta sklep ne uporablja v primeru, ko obdelovalec s sedežem v EU, ki obdeluje osebne podatke v imenu upravljavca s sedežem v EU, odda izvajanje postopkov obdelave podobdelovalcu s sedežem v tretji državi (državi, ki ni članica EU ali EGS). Posredovanje osebnih podatkov podobdelovalcu v tretji državi, ki ne zagotavlja ustrezne ravni varstva osebnih podatkov, je v primeru, ko je upravljavec osebnih podatkov ustanovljen, ima sedež ali je registriran v RS, dopustno le pod pogoji, ki jih določata
  8. točka prvega odstavka ter drugi odstavek
  9. člena ZVOP-
  10. Skladno s temi pogoji pa je dolžnost zagotoviti ustrezne ukrepe zavarovanja osebnih podatkov ter temeljnih pravic in svoboščin posameznikov in navesti možnosti njihovega uresničevanja ali varstva, na strani upravljavca osebnih podatkov in ne na strani pogodbenega obdelovalca. Poleg tega mora v takšnem primeru po določbah drugega odstavka
  11. člena ZVOP-1 tisti, ki namerava iznesti osebne podatke, pred iznosom osebnih podatkov pridobiti še posebno odločbo Pooblaščenca, ki dovoljuje iznos osebnih podatkov. Pogodbeni obdelovalec s sedežem v RS oz. EU/EGP, ki obdeluje osebne podatke v imenu in za račun upravljavca iz RS, lahko po mnenju Pooblaščenca angažira podobdelovalca v tretji državi in mu posreduje osebne podatke le pod pogojem, da upravljavec osebnih podatkov s podobdelovalcem v tretji državi sam sklene pogodbo, v katero mora v celoti vključiti standardne pogodbene klavzule iz Sklepa Komisije ter oba dodatka k tem klavzulam ter da upravljavec pred posredovanjem osebnih podatkov podobdelovalcu v tretji državi pridobi posebno odločbo Pooblaščenca, ki dovoljuje takšen iznos osebnih podatkov. Pooblaščenec meni, da bi morala po izdaji Sklepa Komisije ista logika, ki velja za posredovanje osebnih podatkov od pogodbenega obdelovalca osebnih podatkov v tretji državi k podobdelovalcu v tretji državi, veljati tudi za posredovanje osebnih podatkov znotraj RS oziroma znotraj EU in EGS. Skladno s takšno logiko bi bilo posredovanje osebnih podatkov od pogodbenega upravljavca znotraj EU/EGS, ki obdeluje osebne podatke v imenu in za račun upravljavca iz RS, k podobdelovalcu znotraj EU/EGS dopustno v primeru, ko bi bili pogoji za posredovanje osebnih podatkov podobdelovalcu v RS ali EU/EGS jasno definirani v pogodbi, ki je sklenjena med upravljavcem in pogodbenim obdelovalcem osebnih podatkov. V takšni pogodbi bi moralo biti jasno zapisano, da lahko pogodbeni obdelovalec posreduje osebne podatke podobdelovalcu v EU/EGS le ob predhodnem pisnem soglasju upravljavca osebnih podatkov, da se mora podobdelovalec pred posredovanjem osebnih podatkov v pisni pogodbi s pogodbenim obdelovalcem zavezati, da bo izpolnjeval vse obveznosti, ki jih glede varstva in zavarovanja osebnih podatkov vsebuje pogodba med upravljavcem in pogodbenim obdelovalcem, ter da bo pogodbeni obdelovalec upravljavcu osebnih podatkov nemudoma poslal izvod pogodbe s podobdelovalcem. Z vidika določb ZVOP-1 je namreč pomembno predvsem to, da ima upravljavec osebnih podatkov popolno kontrolo nad obdelavo osebnih podatkov, katerih upravljavec je, ter da lahko nadzira obdelavo in izvajanje postopkov in ukrepov za zavarovanje osebnih podatkov tako pri pogodbenih obdelovalcih, kot tudi pri podobdelovalcih osebnih podatkov. Vendar pa je, kar zadeva posredovanje osebnih podatkov od pogodbenega obdelovalca v EU/EGS k podobdelovalcu v EU/EGS potrebno upoštevati, da po določbi prvega odstavka člena 2 Sklepa Komisije ta sklep ne vpliva na uporabo drugih nacionalnih predpisov za izvajanje Direktive 95/46/ES, ki se nanašajo na obdelavo osebnih podatkov znotraj držav članic. Zato morajo upravljavci iz RS pri posredovanju osebnih podatkov pogodbenim obdelovalcem znotraj EU upoštevati določbe ZVOP-
  12. ZVOP-1 pa v prvem odstavku
  13. člena določa, da upravljavec osebnih podatkov lahko posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, drugi odstavek navedenega člena pa nadalje določa, da morajo biti medsebojne pravice in obveznosti urejene v pogodbi, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
  14. člena ZVOP-
  15. Iz določb
  16. člena ZVOP-1 torej izhaja, da je le upravljavec osebnih podatkov tisti, ki lahko posamezna opravila obdelave osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu. Ker ZVOP-1 pogodbenemu obdelovalcu ne dopušča, da bi v imenu in za račun upravljavca osebnih podatkov posredoval osebne podatke v podobdelavo, lahko pogodbeni obdelovalec iz EU/EGS, ki obdeluje osebne podatke v imenu upravljavca iz RS, po mnenju Pooblaščenca posreduje osebne podatke v podbobdelavo svojemu pogodbenemu partnerju le pod pogojem, da upravljavec osebnih podatkov pogodbo o pogodbeni obdelavi osebnih podatkov iz
  17. člena ZVOP-1 sklene tudi s podobdelovalcem oz. partnerjem pogodbenega obdelovalca. Takšno tolmačenje zakona izhaja tudi iz dejstva, da ZVOP-1 področja podobdelave osebnih podatkov sploh ne ureja in tako za razliko od Sklepa Komisije, ne določa pogojev, pod katerimi pogodbeni obdelovalec osebne podatke lahko preda v podobdelavo. Glede na to, da pogoji, pod katerimi bi lahko pogodbeni obdelovalec osebne podatke predal v podobdelavo, v zakonu niso določeni, bi lahko v praksi prišlo do suituacij, ko bi se osebni podatki oddali v podobdelavo brez vednosti in soglasja upravljavca osebnih podatkov, ki bi s tem izgubil nadzor nad obdelavo osebnih podatkov, katerih upravljavec je. Pooblaščenec meni, da iz zgoraj navedenih razlogov sklepanje pogodb zgolj med pogodbemi obdelovalci in podobdelovalci znotraj EU/EGS v primeru, ko je upravljavec osebnih podatkov iz RS, ni dopustno. Posredovanje osebnih podatkov v podobdelavo obdelovalcu znotraj EU/EGS je zato v takšnih primerih dopustno le pod pogojem, da upravljavec osebnih podatkov sklene neposredno pogodbo tudi s podobdelovalcem osebnih podatkov, oziroma da v primeru, ko se že vnaprej ve, da se bodo posamezna opravila obdelave osebnih podatkov prenesla na podobdelovalca, upravljavec s pogodbenim upravljavcem in podobdelovalcem sklene tripartitno pogodbo, v kateri morajo biti jasno določena pooblastila pogodbenemu obdelovalcu in podobdelovalcu, poleg tega pa mora takšna pogodba seveda vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.