Kdo je upravljavec OP pri franšizni pogodbi + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.08.2015 Številka: 0712-1/2015/2015 Kategorije:Neposredno trženje, nagradne igre, Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP, Neporedno trženje, nagradne igre Informacijski pooblaščenec je prejel vaše elektronsko sporočilo, v katerem pojasnjujete, da imate z nizozemskim podjetjem sklenjeno franšizno pogodbo in ponujate njihovo internetno aplikacijo na slovenskem trgu. Upravljavec osebnih podatkov, ki se zbirajo preko te internetne aplikacije, je nizozemsko podjetje in deluje v skladu z Dutch Personal Data Protection Act (Wet bescherming persoonsgegevens) in ima pri Dutch Data Protection Authority tudi registrirano hranjenje in uporabo osebnih podatkov, ki jih pridobivajo preko te aplikacije. Zanima vas, ali ste kot lastnik franšize podvrženi ZVOP-1?Pojasnjujete tudi, da nizozemsko podjetje (upravljavec osebnih podatkov) posreduje osebne podatke, ki jih je zbral v okviru zakonitega opravljanja dejavnosti (ime, priimek, elektronski naslov končnih uporabnikov aplikacije), strankam (v našem primeru naročnikom aplikacije) za namene neposrednega trženja, o čemer je končni uporabnik (ki uporablja to internetno aplikacijo) seznanjen že pred samim zagonom aplikacije in se s tem, ko jo zažene, tudi strinja oziroma jo potrdi. Pogodba, ki jo podpišete s stranko, vsebuje tudi zavezo, da stranka, ki se odloči zbrane podatke uporabljati za neposredno trženje, posameznika ob izvajanju neposrednega trženja obvesti o njegovih pravicah iz
- člena ZVOP-
- Zanima vas, ali je to glede na ZVOP-1 sporno – ali nizozemsko podjetje strankam lahko posreduje zbrane osebne podatke za namen neposrednega trženja, pri čemer morajo stranke upoštevati ZVOP-1 v svojih neposrednih trženjih, saj tako one postanejo upravljavec osebnih podatkov, ki je ustanovljen, ima sedež ali je registriran v Republiki Sloveniji ali če je podružnica upravljavca osebnih podatkov registrirana v Republiki Sloveniji? Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Vaše dolžnosti glede spoštovanja določb ZVOP-1 so predvsem vezane na vprašanje, ali lahko tudi vas razumemo kot upravljavca v primeru aplikacije z bazo osebnih podatkov, ki jo (sicer na podlagi pogodbe) ponujate na slovenskem trgu. Ker niste pojasnili vaše vloge pri pridobivanju podatkov, izvrševanju pravice do vpogleda oz. brisanja osebnih podatkov posameznikov, vprašanju kateri podatki so zajeti v aplikaciji, določanju namenov in sredstev obdelave, se ne moremo natančneje opredeliti do vprašanja, ali dejansko ste, skupaj z nizozemskim upravljavcem, tudi vi upravljavec te zbirke osebnih podatkov, ali pa vaš odnos sodi v okvire pogodbene obdelave osebnih podatkov, kjer izvajate le naloge v okviru pooblastila nizozemske družbe in podatkov ne obdelujete za noben svoj namen, pač pa le promovirate aplikacijo na slovenskem trgu in nimate dejanskega dostopa do baze osebnih podatkov, ki se obdelujejo. Tu velja opozorilo, da določitev vlog v pogodbi (v vašem primeru franšizni) v smislu določanja upravljavca ni bistvena; vedno je potrebno gledati na dejansko stanje glede namenov in sredstev za obdelavo osebnih podatkov, torej tudi, ali obdelujete osebne podatke za svoj namen ali izključno za namene in po navodilu nizozemske družbe.Upravljavci osebnih podatkov, ki jih zavezuje ZVOP-1 in so torej ustanovljeni v Sloveniji ali imajo podružnico v Sloveniji, morajo pri neposrednem trženju spoštovati določila ZVOP-1, kamor spada tudi zahteva
- člena ZVOP-1, da posameznike obvestijo o njihovih pravicah. Pravilo velja ne glede na to, na kakšen način je upravljavec pridobil bazo osebnih podatkov posameznikov, namenjeno trženju, torej tudi če je baze osebnih podatkov pridobil od tretjih oseb – npr. od ponudnika iz Nizozemske.Obrazložitev:
- Vprašanje upravljavca pri franšizni pogodbiGlede na opis situacije, je v vašem primeru ključno vprašanje, kdo je upravljavec osebnih podatkov, ki se zbirajo in obdelujejo v okviru aplikacije. Ker niste podrobneje pojasnili, za kakšno vrsto aplikacije oz. storitve gre, vam odgovarjamo s splošnimi pojasnili glede koncepta upravljavca.Glede na določbo
- točke
- člena ZVOP-1 je upravljavec osebnih podatkov fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave.V zvezi s konceptom upravljavca osebnih podatkov Delovna skupina iz člena 29 Direktive 95/46/ES (v kateri so združeni vsi nadzorni organi za varstvo osebnih podatkov iz EU) v svojem mnenju št. 1/2010 pojasnjuje, da je vloga upravljavca predvsem v tem, da določa, kdo je odgovoren za spoštovanje pravil varstva osebnih podatkov in kako lahko posamezniki v praksi uveljavljajo svoje pravice (do vpogleda, do izbrisa, itd.). Tak položaj upravljavca je posledica dejstva, da se je odločil obdelovati osebne podatke za svoj namen. Določanje namenov in sredstev obdelave pomeni določanje namenov in ciljev obdelave osebnih podatkov, nabora osebnih podatkov, načinov obdelave, kdaj bodo podatki izbrisani in kdo so osebe, ki naj imajo dostop do osebnih podatkov. Kadar o namenih in sredstvih obdelave odloča več entitet lahko govorimo tudi o več upravljavcih oziroma o skupnem upravljavcu. Nasprotje vloge upravljavca osebnih podatkov je vloga pogodbenega obdelovalca, ki jo ZVOP-1 definira v
- členu. Pogodbeni obdelovalec osebne podatke obdeluje le v okviru pooblastil upravljavca. Upravljavec in pogodbeni obdelovalec morata skleniti pisno pogodbo, s katero se pogodbeni obdelovalec zaveže k upoštevanju ukrepov za zavarovanje osebnih podatkov. Pogodbeni obdelovalec osebnih podatkov ne sme obdelovati za svoje namene in jih mora po koncu pogodbene obdelave vrniti upravljavcu oz. jih izbrisati. V tem primeru vse dolžnosti glede uveljavljanja pravic posameznikov in skladnosti z zakonodajo še vedno nosi upravljavec, pogodbeni obdelovalec pa je predvsem dolžan spoštovani zahteve ZVOP-1 po zavarovanju osebnih podatkov.Vaše dolžnosti glede spoštovanja določb ZVOP-1 so tako predvsem vezane na vprašanje, ali lahko tudi vas razumemo kot upravljavca v primeru aplikacije z bazo osebnih podatkov, ki jo (sicer na podlagi pogodbe) ponujate na slovenskem trgu. Ker niste pojasnili vaše vloge pri pridobivanju podatkov, izvrševanju pravic do vpogleda, brisanja posameznikov, katerih podatki so zajeti v aplikaciji, določanju namenov in sredstev obdelave, se ne moremo natančneje opredeliti do vprašanja, ali dejansko ste, skupaj z nizozemskim upravljavcem, tudi vi upravljavec te zbirke osebnih podatkov, ali pa vaše odnos sodi v okvire pogodbene obdelave osebnih podatkov, kjer izvajate le naloge v okviru pooblastila nizozemske družbe in podatkov ne obdelujete za noben svoj namen, pač pa le promovirate aplikacijo na slovenskem trgu in nimate dejanskega dostopa do baze osebnih podatkov, ki se obdelujejo. Tu velja opozorilo, da določitev vlog v pogodbi (v vašem primeru franšizni) v smislu določanja upravljavca ni bistvena; vedno je potrebno gledati na dejansko stanje glede namenov in sredstev za obdelavo osebnih podatkov, torej, ali obdelujete osebne podatke za svoj namen ali izključno za namene in po navodilu nizozemske družbe.
- Dolžnosti glede neposrednega trženja, ki jih imajo upravljavci, ki jih zavezuje ZVOP-1Upravljavci osebnih podatkov, ki jih zavezuje ZVOP-1 in so torej ustanovljeni v Sloveniji ali imajo podružnico v Sloveniji, morajo pri neposrednem trženju spoštovati določila ZVOP-1, kamor spada tudi zahteva
- člena ZVOP-1, da posameznike obvestijo o njihovih pravicah. Pravilo velja ne glede na to, na kakšen način je upravljavec pridobil bazo osebnih podatkov posameznikov, namenjeno trženju, torej tudi če je baze osebnih podatkov pridobil od tretjih oseb – npr. od ponudnika iz Nizozemske.Prijazen pozdrav. Pripravila: Jelena Burnik, državna nadzornica za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026