← Slovenija

Iznos podatkov matičnih družbi in obdelava s strani povezanih družb - IPRS

Iznos podatkov matičnih družbi in obdelava s strani povezanih družb + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 03.02.2015 Številka: 0712-1/2015/295 Kategorije:Iznos osebnih podatkov v tretje države --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije Informacijski pooblaščenec je po elektronski pošti prejel vaš dopis v katerem pojasnjujete, da je družba SGS Slovenija d.o.o. del svetovne korporacije SGS, s sedežem v Švici, ki bo v letu 2015 pričela poslovati v novi kadrovski aplikaciji (Cloud – oblak varianta), ki bo enotna za celotno korporacijo SGS za vse države po vsem svetu. Glede zaposlenih v Republiki Sloveniji se bodo osebni podatki vnašali s strani odgovornih oseb v Republiki Sloveniji. Do teh podatkov, torej glede slovenskih zaposlenih, bodo dostopale osebe s posebnimi pooblastili za dostop do osebnih podatkov (dostopi bodo zelo omejeni), in sicer bo dostopala odgovorna oseba v Švici, Srbiji in Albaniji. Vse te osebe so zaposleni v SGS in NISO zunanji, pogodbeni sodelavci. Glede na navedeno vas zanima, ali je potrebno soglasje Informacijskega pooblaščenca za izvoz osebnih podatkov v Švico, Srbijo in Albanijo? Ali je potrebno izpeljati še kakšne formalnosti, da bo SGS Slovenija d.o.o. v zvezi z navedenim ravnala skladno z zakonom?Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  3. točke
  4. odstavka
  5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
  6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Upravljavec osebnih podatkov v Sloveniji sme posredovati osebne podatke sedežu v Švici, če:

(1)za to obstaja katera izmed pravnih podlag iz 10. člena ZVOP-1, oziroma
(2)če upravljavec v Sloveniji in sedež v Švici uredita svoje odnose s pogodbo o pogodbeni obdelavi osebnih podatkov.V prvem primeru pri nadaljnjem prenosu osebnih podatkov iz Švice v Srbijo in Albanijo (oziroma omogočanjem dostopa do podatkov uporabnikom iz Srbije in Albanije) slovenski upravljavec nima dodatnih obveznosti. Vse obveznosti z omogočanjem nadaljnjega posredovanja v Srbijo in Albanijo nosi upravljavec – sedež v Švici.V drugem primeru bi moral upravljavec iz Sloveniji s pogodbenim obdelovalcem iz Švice (sedežem) in pod-obdelovalci iz Albanije in Srbije skleniti večpartitno pogodbo, v kateri bi morala biti jasno določena pooblastila pogodbenemu obdelovalcu in pod-obdelovalcem, poleg tega pa bi morala takšna pogodba vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov. Ker gre za prenos osebnih podatkov v tretje države, bi moral upravljavec iz Slovenije za dovoljenje zaprositi Informacijskega pooblaščenca.Obrazložitev:Informacijski pooblaščenec uvodoma pojasnjuje, da je v vašem primeru potrebno odgovoriti na dve vprašanji:1. na kakšni pravni podlagi je mogoče posredovati podatke zaposlenih matični družbi v Švico (preko oblačne aplikacije), ter 2. na kakšni pravni podlagi se lahko ti podatki iz matične družbe v Švici posredujejo nadaljnjim uporabnikom iz družb v Srbiji in Albaniji (oz. ti do njih dostopajo). 1. Posredovanje osebnih podatkov zaposlenih matični družbiKadar podjetje A, ki je podatke izvorno pridobilo od svojih zaposlenih, želi te podatke posredovati matični družbi, se šteje, da je matična družba samostojen upravljavec osebnih podatkov in mora za tako posredovanje obstajati pravna podlaga. Če želi podjetje B (matična družba), te podatke obdelovati, to lahko stori na dva načina: ali jih na podlagi pogodbe obdeluje za namene in v imenu podjetja A, ali pa jih obdeluje samostojno za svoje namene oz. potrebe, ki so lahko identični ali pa različni od namenov podjetja A, vendar le pod pogojem, da ima za takšno obdelavo ustrezno pravno podlago (v smislu določb 10. člena ZVOP-1).
  1. a)V prvem primeru postane podjetje B pogodbeni obdelovalec podjetja A. Med obema podjetjema mora biti sklenjena pisna pogodba, kot le to določa 11. člen ZVOP-1. V takšni pogodbi, s katero podjetji uredita medsebojne pravice in obveznosti, mora biti jasno določeno, katera opravila v zvezi z obdelavo osebnih podatkov je podjetje A kot upravljavec osebnih podatkov zaupalo pogodbenemu upravljavcu (podjetju B), poleg tega pa mora pogodba vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov. Podjetje B lahko kot pogodbeni obdelovalec dobljene osebne podatke obdeluje le v okviru s pogodbo določenih pooblastil podjetja A in dobljenih osebnih podatkov ne sme uporabljati za noben drug namen.
  2. b)V drugem primeru pa gre za dva različna upravljavca osebnih podatkov. Če podjetje A pridobi podatke od zaposlenih in jih hrani kot kadrovske evidence, potem lahko podjetju B takšne osebne podatke posreduje z namenom, da jih podjetje B vključi v svoje zbirke ali jih uporablja za svoje lastne potrebe le pod pogojem, da ima za takšno obdelavo ustrezno pravno podlago. Kot pravna podlaga, ki bi podjetje B pooblaščala za uporabo osebnih podatkov zaposlenih v podjetju A za svoje lastne potrebe, bi se z vidika določb 10. člena ZVOP-1 lahko štela:· določba 58. člena ZDR-1, vendar le pod pogojem, da je obdelava osebnih podatkov posameznika potrebna in primerna za namene uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem;· osebna privolitev posameznika, ki pa je lahko veljavna le pod pogojem, da je dana povsem prostovoljno (privolitev v nobenem primeru ne sme biti izsiljena), ter da so bile posamezniku pred podajo osebne privolitve dane vse informacije iz prvega in drugega odstavka 19. člena ZVOP-1;· določba drugega odstavka 10. člena ZVOP-1, vendar le pod pogojem, da je obdelava osebnih podatkov posameznika potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe;· določba tretjega odstavka 10. člena ZVOP-1, vendar le pod pogojem, da je obdelava osebnih podatkov posameznika nujno potrebna zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti očitno prevladajo nad interesi posameznika, na katerega se nanašajo osebni podatki.Najbolj varna pozicija izvornega upravljavca (torej podjetja, ki neposredno zajame podatke od posameznikov) je, da natančno določi ne le namen uporabe, pač pa tudi obseg uporabe, t.j. ali bo te podatke obdelovalo samo ali pa bodo podatke obdelovale tudi lastniško povezane družbe. Praviloma velja, da brez ustrezne pravne podlage niti lastniško povezane družbe osebnih podatkov ne smejo obdelovati, razen kot pogodbeni obdelovalci za namen »izvornega« upravljavca.Iz vašega dopisa ni jasno razvidno, za kakšen namen se bodo osebni podatki preneseni v oblačno storitev na sedežu v Švici obdelovali, zato vam Informacijski pooblaščenec priporoča, da glede na namen in obseg obdelave razmislite, na kakšni podlagi se bodo osebni podatki prenesli: sedežu kot samostojnemu upravljavcu ali pa kot pogodbenemu obdelovalcu osebnih podatkov.2. Nadaljnje posredovanje osebnih podatkov obdelovalcem v Srbiji in AlbanijiOd pravne podlage, na kateri bodo preneseni osebni podatki iz Slovenije na sedež družbe v Švico pa so odvisne tudi nadaljnje obveznosti upravljavca osebnih podatkov iz Slovenije.
  3. a)Prenos podatkov k pogodbenemu obdelovalcuČe so osebni podatki od upravljavca v Sloveniji na sedež v Švici preneseni le za določen namen in se ti podatki s strani sedeža v Švici ne bodo obdelovali za noben drug namen, ter je med upravljavcem iz Slovenije in sedežem v Švici sklenjena pogodba o pogodbeni obdelavi osebnih podatkov, kot je opisana v 1. primeru 1. točke, potem ima slovenski upravljavec pri nadaljnjem prenosu podatkov v Srbijo in Albanijo določene obveznosti z vidika iznosa osebnih podatkov v tretje države, ki ne zagotavljajo ustreznega varstva osebnih podatkov.Ker gre v tem primeru za posredovanje podatkov pogodbenemu obdelovalcu znotraj EU/EGS (oz. v državo, za katero je Informacijski pooblaščenec že ugotovil, da ima ustrezno raven varovanja osebnih podatkov – t. j. Švico), ki pa ima pod-obdelovalce v tretjih državah, za katere Informacijski pooblaščenec še ni ugotovil, da zagotavljajo ustrezno raven varstva osebnih podatkov, bi moral upravljavec iz Slovenije s pogodbenim obdelovalcem iz Švice (sedežem) in pod-obdelovalci iz Albanije in Srbije skleniti večpartitno pogodbo, v kateri bi morala biti jasno določena pooblastila pogodbenemu obdelovalcu in pod-obdelovalcem, poleg tega pa bi morala takšna pogodba vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov. Podrobnejše mnenje Informacijskega pooblaščenca o tej situaciji je dostopno na tej povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/?tx_jzvopdecisions_pi1%5BshowUid%5D=1922&tx_jzvopdecisions_pi1%5BhighlightWord%5D=pod%20obdelava%20iznos&cHash=170b7f8f218037151d0779f8a08822bf. Upravljavec bi lahko v primeru takega prenosa uporabil standardne pogodbene klavzule, ki jih je za namen prenosa od upravljavca k pogodbenemu obdelovalcu v tretji državi v Odločbi Komisije z dne 5. februarja 2010 o standardnih pogodbenih klavzulah za prenos osebnih podatkov obdelovalcem s sedežem v tretjih državah v skladu z Direktivo 95/46/ES (notificirana pod dokumentarno številko C
(2010)593) (2010/87/ES) predpisala Evropska Komisija. Ker gre za iznos osebnih podatkov v tretje države, bi moral upravljavec iz Slovenije za dovoljenje zaprositi Informacijskega pooblaščenca in si pred iznosom pridobiti posebno odločbo iz drugega odstavka 70. člena ZVOP-1. Vloga za iznos osebnih podatkov ter standardne pogodbene klavzule so na voljo na tej povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/iznos-osebnih-podatkov-v-tretje-drzave/.
  1. b)Prenos podatkov k drugemu upravljavcu Če pa slovenski upravljavec in sedež v Švici nastopata kot dva samostojna upravljavca osebnih podatkov in so osebni podatki od upravljavca v Sloveniji na sedež v Švico preneseni na eni izmed pravnih podlag, navedenih v drugem primeru točke 1, potem pri nadaljnjem prenosu osebnih podatkov iz Švice v Srbijo in Albanijo (oziroma omogočanjem dostopa do podatkov uporabnikom iz Srbije in Albanije) slovenski upravljavec nima dodatnih obveznosti. Vse obveznosti z omogočanjem nadaljnjega posredovanja v Srbijo in Albanijo nosi upravljavec – sedež v Švici.Prijazen pozdrav, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
  2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.