← Slovenija

Obdelava OP s strani družb za revidiranje - IPRS

Obdelava OP s strani družb za revidiranje + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.04.2013 Številka: 0712-1/2013/1106 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je 25.3.2013 prejel vaše elektronsko sporočilo, v katerem prosite za naše stališče glede morebitne dolžnosti revizijskih družb, da v pogodbe z naročniki revizijskih storitev vnašajo posebna določila o varovanju zaupnosti, povezana z obdelavo osebnih podatkov Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  3. tč.
  4. odst.
  5. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
  6. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pooblaščenec je vaše vprašanje razumel kot dilemo o tem, ali je revizijska družba, ko izvaja revizijo pri določenem naročniku, pogodbeni obdelovalec ali (samostojen) upravljavec osebnih podatkov. Pri pogodbeni obdelavi osebnih podatkov (
  7. člen ZVOP-1) gre za primere, ko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu. Ta sme obdelovati osebne podatke le v okviru naročnikovih pooblastil in ne za noben drug (svoj) namen. Zagotavljati mora ustrezne postopke in ukrepe za zavarovanje osebnih podatkov (iz
  8. člena ZVOP-1), v primeru spora z upravljavcem, pa mu je osebne podatke dolžan nemudoma vrniti, morebitne kopije pa uničiti. Če gre za razmerje med pogodbenim obdelovalcem in upravljavcem osebnih podatkov ZVOP-1 predpisuje obvezno pisno obliko pogodbe. To seveda ne pomeni, da morata pogodbena partnerja skleniti posebno pogodbo za področje obdelave osebnih podatkov. Določila o pogodbeni obdelavi lahko vključita tudi v pogodbo o opravljanju storitev (npr. o izgradnji in vzdrževanju določene računalniške aplikacije, vodenju računovodstva, obračuna plač…). Pri pisanju mnenja o statusu revizijskih družb z vidika varstva osebnih podatkov je Pooblaščenec izhajal iz mnenja Delovne skupine po členu 29 Direktive 46/95 o konceptu upravljavca in pogodbenega obdelovalca . Za razlikovanje med upravljavcem in pogodbenim obdelovalcem osebnih podatkov je ključno dvoje; da je obdelovalec samostojna, od upravljavca ločena pravna entiteta, in da osebne podatke vselej obdeluje le v imenu in za račun upravljavca. Gre torej za primere, ko upravljavec, ki bi posamezne aktivnosti v zvezi z osebnimi podatki lahko izvedel sam, sprejme odločitev, da jih bo raje (iz različnih razlogov) zaupal pogodbenemu obdelovalcu. Razlikovanje je pomembno predvsem zaradi porazdelitve odgovornosti za zakonito obdelavo osebnih podatkov; ta je tudi v primeru prenosa določenih aktivnosti v zvezi z obdelavo osebnih podatkov na pogodbenega obdelovalca primarno na strani upravljavca osebnih podatkov. Ker pogodbeni obdelovalec dela v imenu in za račun upravljavca je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja pogodbenik. Da bi ugotovil, kakšen je pravni položaj revizijske družbe (zunanjega revizorja) do revidenta, je Pooblaščenec pregledal relevantne določbe Zakona o revidiranju (Uradni list RS, št. 65/2008; ZRev-2). Revidiranje po ZRev-2 pomeni revidiranje računovodskih izkazov, druge posle dajanja zagotovil in posle opravljanja dogovorjenih postopkov, ki se izvajajo na podlagi pravil Mednarodne zveze računovodskih strokovnjakov s področij revidiranja, dajanja zagotovil in etike (
  9. člen,
  10. točka). Revidiranje mora potekati na način, določen z ZRev-2, Mednarodnimi revizijskimi standardi in drugimi pravili Mednarodne zveze računovodskih strokovnjakov, temeljnimi revizijskimi načeli in drugimi pravili revidiranja, ki jih sprejema inštitut, ter drugimi zakoni, ki urejajo revidiranje posameznih pravnih oseb oziroma druge oblike revizije, in predpisi, izdanimi na njihovi podlagi. Opravlja se v primerih, določenih z zakonom, ali na podlagi naročila pravne osebe (
  11. člen ZRev-2). Storitve revidiranja lahko opravlja samo revizijska družba (
  12. člen ZRev-2). Nadzor nad kakovostjo revidiranja opravljata Slovenski inštitut za revizijo in Agencija za javni nadzor nad revidiranjem v skladu s svojimi pristojnostmi po tem zakonu (
  13. člen ZRev-2). Iz povzetih določb ZRev-2 izhaja, da revizijska družba sicer izvaja svoje naloge po naročilu revidenta, vendar ne po njegovih navodilih, ampak samostojno, na podlagi pravil revidiranja. Naročnik ji za naročeno storitev (posledično tudi ne za obdelavo osebnih podatkov) ne daje navodil in je pri opravljanju dela ne nadzira. Naročnik pri delu revizijske družbe torej tudi nima vpliva na način obdelave in sredstva za obdelavo osebnih podatkov, ki jih bo ta uporabila za opravo revizije – določa jih revizijska družba sama (v skladu s pravili revidiranja). Prav zaradi njenega od naročnika (revidenta) neodvisnega položaja , saj je zavezana po pravilih revidiranja ugotavljati in se v svojem poročilu opredeliti do (ne)resničnosti in (ne)pravilnosti računovodskih izkazov naročnika , je revizijsko družbo po mnenju Pooblaščenca treba šteti za upravljavca (in ne pogodbenega obdelovalca) osebnih podatkov. Namen obdelave osebnih podatkov je določen že z ZRev-2 (revidiranje), sredstva obdelave osebnih podatkov pa določa revizijska družba sama , ki je tudi dolžna varovati podatke, dejstva in okoliščine, za katere je izvedela pri opravljanju revidiranja (38/I. člen ZRev-2). Poleg tega je revizijska družba kot upravljavec osebnih podatkov dolžna izpolniti tudi druge dolžnosti po ZVOP-1 (zavarovanje osebnih podatkov po
  14. členu ZVOP-1; katalog osebnih podatkov po
  15. členu ZVOP-1…). Za hitrejše informiranje o tem, katere so vse dolžnosti upravljavca in kakšne izjeme, povezane s številom zaposlenih pri upravljavcu, določa ZVOP-1, vam predlagamo, da si na spletni strani Pooblaščenca preberete Priročnik za upravljavce osebnih podatkov (dosegljiv tudi na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/brosure/brosura.pdf). Na koncu Pooblaščenec še dodaja, da bi bil, kolikor bi storitve obsegale le knjigovodstvo in/ali računovodstvo (in ne revidiranje) status izvajalca teh storitev drugačen. V teh primerih bi šlo za izvajanje računovodenja v imenu, za račun in po navodilih naročnika (upravljavca) – zato bi izvajalca šteli za pogodbenega obdelovalca. Potrebna bi bila pogodba o pogodbeni obdelavi osebnih podatkov v skladu z
  16. členom ZVOP-
  17. Prijazen pozdrav,Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., Pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.