Obveščanje o spremembi pogodbenega obdelovalca + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.07.2021 Številka: 07121-1/2021/1298 Kategorije: --> Kategorije: Pogodbena obdelava podatkov, Prenos osebnih podatkov v tretje države ali mednarodne organizacije Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem sprašujete, ali mora upravljavec osebnih podatkov, ki izvaja storitev e-obveščanja z uporabo storitev Mailchimp, posebej obvestiti posameznike o menjavi storitev na Mailerlite. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da izven konkretnega inšpekcijskega ali drugega ustreznega postopka ne more presojati ali potrjevati skladnosti konkretnih izbranih informacijskih rešitev. IP ugotavlja, da se vaše vprašanje nanaša na uporabo storitev za množično posredovanje elektronske pošte, pri kateri ponudnik storitve obdela osebne podatke za namen in na način, ki ga določi upravljavec (podjetje, ki pošilja e-novice). Podjetje, ki pošilja e-novice nastopa v tem primeru v vlogi 'upravljavca' osebnih podatkov, ponudnik storitve za množično posredovanje elektronske pošte, pa v vlogi 'obdelovalca' osebnih podatkov. Med njima je razmerje pogodbene obdelave osebnih podatkov. Za ureditev tega razmerja morata upravljavec in obdelovalec skleniti ustrezno pogodbo o obdelavi osebnih podatkov, v skladu s členom 28 Splošne uredbe. Več o pogodbeni obdelavi, najdete na spletni strani ip-rs.si: Pogodbena obdelava. Dalje, če obdelovalec osebne podatke obdela v tretji državi (zunaj Evropskega gospodarskega prostora, kamor poleg držav EU sodijo tudi Norveška, Islandija in Lihtenštajn) – npr. strežnike ima v ZDA, na Kitajskem itd. – pride do prenosa osebnih podatkov v tretje države. Za zakonit prenos v tretje države mora obstajati ustrezna dodatna pravna podlaga, ki zagotavlja učinkovito in primerljivo varstvo osebnih podatkov, kot to zahteva Splošna uredba. Več o tem: Smernice glede prenosa osebnih podatkov v tretje države in mednarodne organizacije. Za lažje razumevanje omenjenih razmerij in sistema varstva osebnih podatkov, predlagamo, da si ogledate infografiko: GDPR na kratko - PDF. Obveznost upravljavca je med drugim tudi, da posameznike, na katere se nanašajo osebni podatki, seznani s potrebnimi informacijami glede obdelave v skladu s členi 13 in 14 Splošne uredbe. Na podlagi člena 13
(1)Splošne uredbe, kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, sporoči med drugim tudi: uporabnike ali kategorije uporabnikov osebnih podatkov, če obstajajo (točka e) – po definiciji med uporabnike sodijo tudi obdelovalci osebnih podatkov; kadar je ustrezno, dejstvo, da upravljavec namerava prenesti osebne podatke v tretjo državo ali mednarodno organizacijo, ter obstoj ali neobstoj sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49
(1)sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo (točka f). Iz smernic evropske delovne skupine po členu 29: Smernice o preglednosti na podlagi Uredbe (EU) 2016/679 (WP260 rev.01), ki so za nadzorne organe za varstvo osebnih podatkov zavezujoče zaradi enotne uporabe Splošne uredbe, izhaja, da je dolžan upravljavec obveščati o spremembah politike zasebnosti, če so te bistvene ali pomembne za posameznike. Iz smernic dalje izhaja: »Pri presoji, kaj je bistvena ali pomembna sprememba, bi morali upravljavci upoštevati dejavnike, kot so vpliv na posameznike, na katere se nanašajo osebni podatki (vključno z njihovo zmožnostjo uresničevanja svojih pravic), in to, kako nepričakovana/presenetljiva bi bila sprememba za posameznike, na katere se nanašajo osebni podatki. Spremembe izjave o varstvu osebnih podatkov, o katerih bi bilo vselej treba obvestiti posameznike, na katere se nanašajo osebni podatki, so med drugim: sprememba namena obdelave; sprememba identitete upravljavca ali sprememba načina, kako lahko posamezniki, na katere se nanašajo osebni podatki, uresničujejo svoje pravice v zvezi z obdelavo.« (tč. 29 smernic). IP na podlagi izpostavljenih določil Splošne uredbe in interpretacije iz smernic, pojasnjuje, da zgolj zamenjava obdelovalca (tudi če gre za obdelovalca iz tretje države) načeloma ne bi smela vplivati niti na namene obdelave niti na način uresničevanja pravic posameznikov, zaradi česar bi bilo treba posameznike ob spremembi posebej obveščati. Po definiciji iz Splošne uredbe, namene in sredstva obdelave določi upravljavec, ki je odgovoren tudi za uresničevanje pravic posameznikov. Obdelovalec mu je dolžan pri uresničevanju pravic pomagati, zato sprememba obdelovalca načeloma ne bi smela imeti vpliva na način uresničevanja pravic posameznikov. Kljub navedenemu velja opozoriti, da imajo v praksi veliki spletni ponudniki (npr. Mailchimp) sami predpripravljene pogodbe, v katerih so določeni tudi nameni obdelave, ki jih po pogodbi izvršujejo »za upravljavca«. Upravljavec pa je po Splošni uredbi odgovoren tudi za izbiro obdelovalca in mora izbrati zgolj tiste obdelovalce, ki zagotavljajo skladnost s Splošno uredbo. Upravljavec mora zato pred spremembo ponudnika preveriti, ali pogodba ustreza dejanskemu stanju glede namenov in ali za vse namene opredeljene v pogodbi zagotavlja ustrezno pravno podlago. V okviru svoje odgovornosti pa mora upravljavec preveriti tudi, ali so zagotovljeni ustrezni mehanizmi za zagotavljanje pravic, tudi če bi uresničevanje pravic vplivalo na obdelavo osebnih podatkov, ki jo izvaja obdelovalec v tretji državi (npr. dostop, izbris, popravek idr.). Če bi v konkretnem primeru zaradi pogodbe z novim obdelovalcem prišlo do sprememb v namenih ali načinu uresničevanja pravic posameznikov, pa morajo biti posamezniki o tem tudi obveščeni. S spoštovanjem, Pripravil: Anže Novak, Svetovalec pooblaščenca za preventivo Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026