Mnenje o pogodbeni obdelavi v Nemčiji - IPRS

Mnenje o pogodbeni obdelavi v Nemčiji + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 08.04.2008 Številka: 0712-473/2007/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vaš zgoraj navedeni dopis, v katerem navajate, da bodo podatki o vaših komitentih po novem hranjeni na strežnikih v Nemčiji. Ti podatki vsebujejo med drugim podatke o firmi, naslovu firme, kontaktni osebi v firmi (ime in priimek), njenem nazivu, telefonski številki, številki faxa, številki mobilnega telefona in e-poštnem naslovu (včasih tudi zasebnem). V zvezi s takšno situacijo Pooblaščenca sprašujete:
3. Ali morate prenos podatkov v Nemčijo na kakršen koli način komurkoli prijaviti in če da, kako in komu?
4. Ali morate pridobiti kakršno koli izjavo (ali podpisati pogodbo) v zvezi z varovanjem podatkov od firme, ki bo skrbela za strežnike, kjer bodo ti podatki shranjeni? V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) in
7. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji:
8. Firma, ki bo v Nemčiji na svojih strežnikih hranila osebne podatke vaših komitentov in bo skrbela za te strežnike, se po določbah
9. točke
10. člena ZVOP-1 šteje kot pogodbeni obdelovalec. Ker je Nemčija članica Evropske unije, prenosa osebnih podatkov k pogodbenemu obdelovalcu v Nemčijo ni potrebno nikomur prijaviti ter za takšen prenos tudi ni potrebno dobiti nobenega dovoljenja slovenskega nadzornega organa za varstvo osebnih podatkov.
11. Ker boste shranjevanje osebnih podatkov poverili pogodbenemu obdelovalcu, morate pravice in obveznosti med vami in pogodbenim obdelovalcem urediti s pogodbo iz
12. odstavka
13. člena ZVOP-1, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
14. člena ZVOP-
15. O b r a z l o ž i t e v: V
16. členu ZVOP-1 je določeno, da kadar se posredujejo osebni podatki upravljavcu osebnih podatkov, pogodbenemu obdelovalcu ali uporabniku osebnih podatkov, ki je ustanovljen, ima sedež ali je registriran v državi članici Evropske unije ali Evropskega gospodarskega prostora ali zanj kako drugače velja njen pravni red, se ne uporabljajo določbe tega zakona o iznosu osebnih podatkov v tretje države. Citirana določba pomeni, da za posredovanje osebnih podatkov pogodbenemu obdelovalcu v Nemčiji, veljajo enaki pogoji, kot veljajo za posredovanje osebnih podatkov pogodbenemu obdelovalcu v Republiki Sloveniji. Po določbah prvega odstavka
17. člena ZVOP-1 lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
18. člena tega zakona. Za pogodbenega obdelovalca se po določbah
19. točke
20. člena ZVOP-1 šteje fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in za račun upravljavca osebnih podatkov. V drugem odstavku
21. člena ZVOP-1 je določeno, da sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
22. člena ZVOP-
23. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
24. člena ZVOP-1 Iz zgoraj citiranih določb
25. člena ZVOP-1 torej izhaja, da ZVOP upravljavcem osebnih podatkov dovoljuje, da posamezna opravila v zvezi z obdelavo osebnih podatkov zaupajo enemu ali več pogodbenim obdelovalcem, pri čemer pa morajo biti izpolnjeni naslednji pogoji:
26. Pogodbeni obdelovalec mora biti registriran za opravljanje opravil oziroma dejavnosti, ki se mu poverijo s pogodbo. Za pogodbenega obdelovalca v Republiki Sloveniji to pomeni, da mora biti registriran npr. za dejavnost Obdelave podatkov in s tem povezane dejavnosti pod šifro 63.110 iz Uredbe o standardni kvalifikaciji dejavnosti (Uradni list RS, št. 69/07). Če je pogodbeni obdelovalec registriran in opravlja svojo dejavnost v tujini, mora biti registriran v skladu s predpisi, ki veljajo v državi, kjer opravlja svojo dejavnost.
27. Pooblastila pogodbenemu obdelovalcu glede opravljanja posameznih opravil v zvezi z obdelavo osebnih podatkov morajo biti v pogodbi jasno določena, saj sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov le v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen.
28. Pogodbeni obdelovalec mora zagotavljati ustrezne postopke in ukrepe iz
29. člena ZVOP-1, kar pomeni, da mora zagotavljati ustrezne organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba, ter nepooblaščeno obdelavo osebnih podatkov.
30. Pogodba, v kateri so navedena pooblastila pogodbenemu obdelovalcu ter medsebojne pravice in obveznosti, mora biti obvezno sklenjena v pisni obliki in mora obvezno vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, upravljavec osebnih podatkov pa mora izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov tudi nadzorovati. V primeru, da pogodba s pogodbenim obdelovalcem ni sklenjena v pisni obliki ali pa takšna pogodba ne vsebuje tudi dogovora o postopkih in ukrepih iz
31. člena ZVOP-1, bi to poleg kršitve določb
32. člena ZVOP-1 pomenilo, da pogodba nima predpisane oblike in bi lahko prišla v poštev tudi določba
33. člena Obligacijskega zakonika, kjer je določeno, da je pogodba, ki ni sklenjena v predpisani obliki, nična, če iz namena predpisa, s katerim je določena oblika, ne izhaja kaj drugega. Kar zadeva pisne pogodbe med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je potrebno opozoriti, da pogodbe, v katerih je določeno zgolj to, da bo izvajalec vse podatke, pridobljene s strani naročnika varoval v skladu z Zakonom o varstvu osebnih podatkov ali v skladu s kakšnim drugim predpisom oziroma jih bo varoval kot poslovno skrivnost, ne zadostijo zahtevam določb iz 11.,
34. in
35. člena ZVOP-
36. Upoštevajoč navedene določbe, mora biti namreč v pogodbah jasno določeno: s kakšnimi postopki in ukrepi mora pogodbeni obdelovalec varovati prostore, kjer se nahajajo nosilci osebnih podatkov; s kakšnimi postopki in ukrepi mora varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki; s kakšnimi postopki in ukrepi se preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih; s kakšnimi postopki in ukrepi se zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov ter s kakšnimi postopki in ukrepi se omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil. Če ima bodisi upravljavec osebnih podatkov, bodisi pogodbeni obdelovalec ustrezne organizacijske, tehnične in logično tehnične postopke in ukrepe za zavarovanje osebnih podatkov že predpisane v svojem notranjem aktu, se lahko namesto ponovnega opisovanja vseh postopkov in ukrepov, v pogodbi zgolj citira takšen akt in navede, da je ta akt sestavni del te pogodbe ter da mora pogodbeni obdelovalec zagotoviti zavarovanje osebnih podatkov v skladu z določbami takšnega akta, ki se ga mora v teh primerih seveda priložiti k pogodbi. V teh primerih je potrebno poskrbeti, da se s takšnim aktom seznanijo vsi tisti zaposleni pri upravljavcu osebnih podatkov ter pri pogodbenem obdelovalcu, ki odgovarjajo za izvajanje dogovorjenih postopkov in ukrepov ter tiste osebe, ki zaradi narave svojega dela pri upravljavcu osebnih podatkov oziroma pri pogodbenem obdelovalcu obdelujejo določene osebne podatke. Poleg določitve postopkov in ukrepov za zavarovanje osebnih podatkov, bo moralo biti v pogodbi ali aneksu k pogodbi določeno tudi, na kakšen način bo upravljavec osebnih podatkov pri pogodbenem obdelovalcu nadzoroval izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov, ter katere osebe, ki so zaposlene pri upravljavcu osebnih podatkov, bodo opravljale takšen nadzor. V pogodbi ali aneksu bo moralo biti tudi določeno, katere osebe, ki so zaposlene pri upravljavcu osebnih podatkov oziroma pri pogodbenem obdelovalcu, lahko opravljajo posamezna opravila v zvezi z obdelavo osebnih podatkov, kakšna so njihova pooblastila v zvezi s tem ter dolžnost varovanja zaupnosti podatkov. Določeno bi moralo biti tudi to, da lahko pogodbeni obdelovalec osebne podatke, ki jih je pridobil v okviru pogodbene obdelave, tretjim osebam posreduje le na podlagi izrecnega dovoljenja upravljavca osebnih podatkov, v primerih pogostega posredovanja osebnih podatkov točno določenim uporabnikom pa je dopustno, da se v pogodbi natančno določi, katerim uporabnikom osebnih podatkov lahko pogodbeni obdelovalec posreduje določene osebne podatke tudi brez posebnega dovoljenja upravljavca osebnih podatkov ter pod kakšnimi pogoji. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026