Podobdelava osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
(2010)593) (v nadaljevanju Odločba Komisije) je dejansko prvi dokument, ki je v pravu Evropske unije definiral izraz »podobdelovalec« osebnih podatkov ter eksplicitno predpisal pogoje za dopusten prenos osebnih podatkov s pogodbenega obdelovalca v tretji državi na podobdelovalca osebnih podatkov v tretji državi. Odločba Komisije v recitalu 23 namreč določa, da se ta odločba uporablja samo v primerih, ko obdelovalec podatkov s sedežem v tretji državi odda izvajanje storitev obdelave podobdelovalcu s sedežem v tretji državi in naj se ne uporablja v primeru, ko obdelovalec s sedežem v EU, ki obdeluje osebne podatke v imenu upravljavca s sedežem v EU, odda izvajanje postopkov obdelave podobdelovalcu s sedežem v tretji državi. V členu 2 Odločbe Komisije je še določeno, da ta sklep (odločba) zadeva le primernost varstva, ki ga zagotavljajo standardne pogodbene klavzule za prenos osebnih podatkov obdelovalcem iz Priloge in ne vpliva na uporabo drugih nacionalnih predpisov za izvajanje Direktive 95/46/ES, ki se nanašajo na obdelavo osebnih podatkov znotraj držav članic.Podobdelovalec osebnih podatkov je v klavzuli 1(
- d)definiran kot obdelovalec, ki ga zaposli uvoznik podatkov ali kateri koli drug podobdelovalec pri uvozniku podatkov in ki soglaša, da od uvoznika podatkov ali katerega koli drugega podobdelovalca pri uvozniku podatkov prejema osebne podatke, namenjene izključno za obdelavo v imenu izvoznika podatkov po prenosu v skladu z njegovimi navodili, pogoji klavzul in pogoji pisne podpogodbe, podobna definicija pa je navedena tudi v točki e člena 3 Sklepa Komisije. Standardne pogodbene klavzule iz Odločbe Komisije v klavzulah 4(i), 5(h), (
- i)in (
- j)ter zlasti v klavzuli 11 natančno predpisujejo obveznosti izvoznika in uvoznika podatkov v zvezi s podobdelavo. V klavzuli 11 je tako določeno:Klavzula 11 Podobdelava 1. Uvoznik podatkov brez predhodnega pisnega soglasja izvoznika podatkov podobdelovalcu ne sme oddati izvajanja postopkov obdelave, ki jih izvaja v imenu izvoznika podatkov na podlagi klavzul. Uvoznik podatkov lahko s soglasjem izvoznika podatkov odda izvajanje svojih obveznosti iz klavzul samo s pisnim sporazumom s podobdelovalcem, ki podobdelovalcu nalaga iste obveznosti, kot jih ima uvoznik podatkov po klavzulah. Če podobdelovalec ne izpolni svojih obveznosti glede varstva podatkov iz takega pisnega sporazuma, ostane uvoznik podatkov v razmerju do izvoznika podatkov v celoti odgovoren za izpolnitev obveznosti podobdelovalca iz sporazuma. 2. Predhodni pisni sporazum med uvoznikom podatkov in podobdelovalcem vsebuje tudi klavzulo v korist tretjega, kot je določena v klavzuli 3, za primere, ko posameznik, na katerega se nanašajo osebni podatki, ne more uveljavljati odškodninskega zahtevka iz odstavka 1 klavzule 6 zoper izvoznika podatkov ali uvoznika podatkov, ker sta dejansko izginila, pravno prenehala obstajati ali pa postala insolventna in noben pravni naslednik ni s pogodbo ali po zakonu prevzel pravnih obveznosti izvoznika ali uvoznika podatkov. Takšna odgovornost podobdelovalca je omejena na njegove postopke obdelave iz klavzul. 3. Za določbe o varstvu podatkov pri oddaji izvajanja postopkov obdelave podobdelovalcu v skladu z odstavkom 1 velja pravo države članice, v kateri je sedež izvoznika podatkov, in sicer ..4. Izvoznik podatkov vodi in vsaj enkrat letno posodablja seznam pogodb o podobdelavi, ki so sklenjene na podlagi klavzul in o katerih ga obvesti uvoznik podatkov v skladu s klavzulo 5(j). Seznam je na voljo nadzornemu organu izvoznika podatkov.Pogodbeno obdelavo osebnih podatkov v Republiki Sloveniji ureja 11. člen ZVOP-1. Po določbah prvega odstavka 11. člena ZVOP-1 lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena tega zakona. Skladno s citirano določbo lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov poveri le tistim pravnim ali fizičnim osebam, ki so registrirane za opravljanje takšne dejavnost in zagotavljajo ustrezne postopke in ukrepe za zavarovanje osebnih podatkov iz 24. člena tega zakona. Pogodbeni obdelovalec je v 7. točki 6. člena ZVOP-1 definiran kot fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in za račun upravljavca osebnih podatkov. Upravljavec osebnih podatkov pa je v 6. točki 6. člena ZVOP-1 definiran kot fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec sme skladno z drugim odstavkom 11. člena ZVOP-1 opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena tega zakona. Tretji in četrti odstavek nadalje določa še postopanje v primeru spora in prenehanja pogodbenega obdelovalca.Iz zgoraj citiranih določb prvega in drugega odstavka 11. člena ZVOP-1 izhaja, da je upravljavec osebnih podatkov tisti, ki lahko posamezna opravila obdelave osebnih podatkov s pogodbo zaupa pogodbenemu upravljavcu. ZVOP-1, kot že rečeno, ne pozna izraza »podobdelava« osebnih podatkov ter posredovanja osebnih podatkov od obdelovalca k podobdelovalcu sploh ne ureja. Poleg tega ZVOP-1 posebej ne ureja situacije, ko obdelovalcu oz. podobdelovalcu, ki je registriran v RS, osebne podatke v obdelavo posreduje bodisi upravljavec ali obdelovalec iz EU/EGS, bodisi upravljavec ali obdelovalec iz tretje države. Glede na to, da tudi podobdelovalec osebne podatke obdeluje v imenu in za račun upravljavca, se podobdelovalec z vidika določb ZVOP-1 šteje le kot eden od obdelovalcev osebnih podatkov in zato zanj veljajo enka pravila, kot veljajo za pogodbene obdelovalce.Temeljni namen določb 11. člena ZVOP-1 je predvsem ta, da se upravljavcem osebnih podatkov omogoči, da posamezna opravila v zvezi z uporabo osebnih podatkov pod določenimi pogoji lahko zaupajo v obdelavo pogodbenim obdelovalcem osebnih podatkov in se jim ob tem zagotovi, da ohranijo nadzor nad osebnimi podatki, ki jih dajejo v obdelavo (torej pri kom in pod kakšnimi pogoji se osebni podatki obdelujejo) ter da se k spoštovanju določb ZVOP-1 zaveže tudi pogodbene obdelovalce, ne glede na državo, v kateri le ti obdelujejo osebne podatke. Ob tem je treba še upoštevati, da so upravljavci in obdelovalci osebnih podatkov v državah članicah EU/EGS ali v tretjih državah, ki posredujejo osebne podatke v obdelavo obdelovalcem ali podobdelovalcem, ki so registrirani v RS, dolžni upoštevati tudi zakonodajo svojih držav, kjer je pogodbena obdelava in podobdelava lahko urejena drugače kot RS. Obdelovalci v RS, ki prejmejo osebne podatke v obdelavo od upravljavcev ali obdelovalcev iz EU/EGS ali iz tretjih držav, so k spoštovanju določb ZVOP-1 zavezani le v delu, ki se nanaša na zavarovanje osebnih podatkov, in v delu, ki obdelovalcem dopušča le obdelavo osebnih podatkov v okviru naročnikovih pooblastil in obdelovalce zavezuje k vrnitvi osebnih podatkov v primeru spora ali prenehanja obdelovalca. Za takšne obdelovalce se tako smiselno uporabljajo določbe drugega, tretjega in četrtega odstavka 11. člena ZVOP-1, poleg tega pa se neposredno uporablja tudi določba drugega odstavka 25. člena ZVOP-1, ki dolžnost zavarovanja osebnih podatkov v skladu s 24. členom ZVOP-1 nalaga tako upravljavcem osebnih podatkov kot tudi pogodbenim obdelovalcem, ter kazenske določbe 92. in 93. člena ZVOP-1 (kršitev določb o pogodbeni obdelavi in kršitev določb o zavarovanju osebnih podatkov).Ob upoštevanju zgoraj navedenih določb ZVOP-1, ki urejajo iznos osebnih podatkov ter pogodbeno obdelavo le teh, bi ob upoštevanju namena teh določb glede na Odločbo Komisije, ki obdelovalcu osebnih podatkov v tretji državi dovoljuje, da osebne podatke, ki jih je prejel od slovenskega upravljavca osebnih podatkov, pod točno določenimi pogoji odda v podobdelavo podobdelovalcu s sedežem v tretji državi, morala po mnenju IP ista logika veljati tudi v primeru, ko obdelovalec osebnih podatkov v tretji državi osebne podatke, ki jih je prejel v obdelavo od slovenskega obdelovalca, odda v podobdelavo nazaj v EU/EGS. Skladno z navedenim bi torej obdelovalec v tretji državi osebne podatke, ki jih je prejel od slovenskega upravljavca, lahko oddal v podobdelavo nazaj v RS in s slovenskim podobdelovalcem tudi sam sklenil pogodbo o obdelavi, vendar le pod pogojem, da bi bilo to v pogodbi med slovenskim upravljavcem in obdelovalcem v tretji državi jasno določeno, in sicer na podoben način kot je to določeno v zgoraj citirani klavzuli 11 Odločbe Komisije. V takšni pogodbi bi torej moralo biti dano jasno pooblastilo pogodbenemu obdelovalcu, da po predhodnem pisnem soglasju upravljavca osebne podatke lahko odda v podobdelavo podobdelovalcu v EU/EGS, pri čemer pa mora obdelovalec s podobdelovalcem predhodno skleniti pisno pogodbo, ki podobdelovalcu nalaga iste obveznosti, kot jih ima obdelovalec. Po mnenju IP lahko torej obdelovalec osebnih podatkov v tretji državi odda osebne podatke v podobdelavo nazaj v EU/EGS pod pogojem, da pisno pogodbo s takšnim podobdelovalcem sklene neposredno upravljavec, ali pa, da pod zgoraj navedenimi pogoji s takšnim podobdelovalcem pisno pogodbo neposredno sklene obdelovalec osebnih podatkov v tretji državi. 2. Posredovanje osebnih podatkov v podobdelavo od obdelovalca, ki je zavezan načelom Safe Harbor, k podobdelovalcu v tretji državi, ki k tem načelom ni zavezanIz zgoraj citiranih določb Odločbe Komisije izhaja, da kadar se osebni podatki iznašajo obdelovalcem v tretje države na podlagi standardnih pogodbenih klavzul, ki so predpisani s to odločbo, lahko obdelovalec osebnih podatkov v tretji državi (uvoznik podatkov) prejete osebne podatke pod pogoji in način, predpisan v klavzulah, odda v podobdelavo drugim obdelovalcem osebnih podatkov v tretji državi. V primeru, da za državo, v katero se osebni podatki iznašajo, nadzorni organ (IP) še ni ugotovil, da v celoti ali delno zagotavlja ustrezno raven varstva in države ni na seznamu iz 66. člena ZVOP-1, mora upravljavec osebnih podatkov pred iznosom oz. posredovanjem osebnih podatkov obdelovalcu v tretji državi, pridobiti posebno odločbo IP iz drugega odstavka 70. člena ZVOP-1, ki dovoljuje se iznos osebnih podatkov. Za ZDA se šteje, da zagotavljajo ustrezno raven varstva osebnih podatkov v delu, ko gre za iznos osebnih podatkov organizacijam, ki delujejo po načelih varnega pristana (Safe Harbor), uveljavljenih v skladu z najpogosteje zastavljenimi vprašanji – FAQ, ki jih je 21. julija 2000 izdalo Ministrstvo za trgovino ZDA, kar z vidika določb 63. člena ZVOP-1 pomeni, da v primeru iznosa osebnih podatkov k tem organizacijam posebna odločba IP ni potrebna. Ne glede na to, da v primeru iznosa osebnih podatkov k tem organizacijam posebna odločba ni potrebna, pa mora upravljavec osebnih podatkov s takšno organizacijo (obdelovalcem osebnih podatkov) skleniti pisno pogodbo o iz drugega odstavka 11. člena ZVOP-1, v kateri morajo biti jasno navedene medsebojne pravice in obveznosti v zvezi z obdelavo osebnih podatkov, poleg tega pa mora takšna pogodba vsebovati tudi dogovor po postopkih in ukrepih za zavarovanje osebnih podatkov iz 24. člena ZVOP-1. V primeru, ko slovenski upravljavec osebnih podatkov (izvoznik podatkov) in obdelovalec osebnih podatkov v ZDA (uvoznik podatkov), ki je zvezan načelom Safe Harbor, skleneta standardne pogodbene klavzule iz Odločbe Komisije 2010/87/EU (vključno z ustrezno izpolnjenima dodatkoma k tem klavzulam), se takšne standardne pogodbene klavzule štejejo kot ustrezna pisna pogodba med upravljavcem osebnih podatkov in pogodbenim obdelovalcem v smislu drugega odstavka 11. člena ZVOP-1.Obdelovalec osebnih podatkov v tretji državi, ki je s slovenskim upravljavcem sklenil standardne pogodbene klavzule iz Odločbe Komisije 2010/87/EU, na podlagi in v skladu s temi klavzulami osebne podatke lahko odda v podobdelavo tudi podobdelovalcu, ki ni zavezan načelom varnega pristana ali pa bo osebne podatke obdeloval v tretji državi, ki ne zagotavlja ustrezne ravni varstva osebnih podatkov. Kadar obdelovalec osebnih podatkov v tretji državi, ki je s slovenskim upravljavcem osebnih podatkov sklenil standardne pogodbene klavzule iz Odločbe Komisije 2010/87/E odda osebne podatke v podobdelavo podobdelovalcu v tretji državi, slovenski upravljavec osebnih podatkov za to ne potrebuje dovoljenja IP. Namen ureditve oddaje osebnih podatkov v podobdelavo v standardnih pogodbenih klavzulah je namreč ravno v tem, da se obdelovalce in podobdelovalce v tretjih državah s pogodbami zaveže, da zagotovijo ustrezne ukrepe zavarovanja osebnih podatkov ter temeljnih pravic in svoboščin posameznikov ter se v pogodbah hkrati uredijo tudi možnosti njihovega uresničevanja ali varstva, nadzorni organ (IP) pa ustreznost pogodbenih določil preverja le enkrat, in sicer pred iznosom osebnih podatkov od upravljavca v Slovenij k obdelovalcu v tretji državi, ki ni na seznamu IP.V primeru, ko upravljavec v RS iznese osebne podatke obdelovalcu v ZDA, ki je zavezan načelom Safe Harbor in zaradi tega pridobivanje dovoljenja IP ni potrebno, in sta upravljavec in obdelaovalec sklenila standardne pogodbene klavzule, lahko takšen obdelovalec preda osebne podatke v podobdelavo podobdelovalcu, ki k načelom Safe Harbor ni zavezan, pod pogoji, zajetimi v klavzuli 11 Odločbe Komisije 2010/87/EU. Obstajati mora torej jasno pooblastilo pogodbenemu obdelovalcu, da po predhodnem pisnem soglasju upravljavca osebne podatke lahko odda v podobdelavo podobdelovalcu, pri čemer pa mora obdelovalec s podobdelovalcem predhodno skleniti pisno pogodbo, ki podobdelovalcu nalaga iste obveznosti, kot jih ima obdelovalec.Prijazen pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenkaPripravil: Jelena Burnik, državna nadzornica za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026