← Slovenija

Podružnice kot upravljavec - IPRS

Podružnice kot upravljavec + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.07.2021 Številka: 07121-1/2021/1191 Kategorije:Pogodbena obdelava podatkov, Posredovanje OP med upravljavci, Zdravstveni osebni podatki --> Kategorije: Posredovanje OP med upravljavci, Zdravstveni osebni podatki, Pogodbena obdelava podatkov Informacijski pooblaščenec RS (v nadaljevanju IP) prejel vaše zaprosilo za mnenje, kdo šteje za upravljavca osebnih podatkov v primeru podružnice tujega podjetja (tuje zavarovalnice) in v povezavi s tem, kdo naj bo imenovan za pooblaščeno osebo varovanja osebnih podatkov (»DPO«)? Pojasnjujete, da skladno s predpisi, ki urejajo gospodarske družbe, podružnica nima lastne pravne subjektivitete, sme pa opravljati vse posle, ki jih sicer lahko opravlja matična družba. Podružnica nastopa v imenu in za račun tujega podjetja (
  3. in
  4. člen Zakona o gospodarskih družbah). Navajate, da se v konkretnem primeru osebni podatki podružnice vodijo v informacijskem sistemu podružnice (»IT sistem«). Podružnica ima lasten IT sistem, torej ne gre za IT sistem matične družbe. IT sistem uporabljajo samo zaposleni v slovenski podružnici, fizično pa je IT sistem shranjen na strežniku v prostorih matičnega podjetja znotraj EU. IT sistem vzdržuje slovenski poslovni partner podružnice, matična družba vzdržuje strežnik, na katerem je shranjen IT sistem. Matična družba za podružnico izvaja tudi poslovne analize. Za potrebe izdelave teh analiz, se matični družbi iz IT sistema podružnice posredujejo osebni podatki, npr. ime in priimek v primeru odprtih terjatev ali spremljanja obsega prodaje zavarovalnih polic. Navajate tudi, da namene in sredstva obdelave določa podružnica, ki tudi izvršuje pravice uporabnikov. Osebni podatki se namreč obdelujejo za namen prodaje zavarovanj in za namen reševanja škod, kar oboje izvaja podružnica – torej tako prodaja in reševanje škod, kot tudi ostali posli administracije zavarovanj se izvajajo v podružnici. Glede na zgoraj navedeno prosite zlasti za odgovor na naslednji vprašanji: Ali kot upravljavec osebnih podatkov v omenjenem primeru nastopa podružnica ali matična družba, ali morda skupno nastopata obe? Ali je ustrezneje, da je za DPO imenovana oseba iz podružnice ali iz matične družbe (znotraj EU)? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
  5. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  6. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
  7. točko prvega odstavka
  8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
  9. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Glede pojma »upravljavec« Po členu 4

(7)Splošne uredbe »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice. Natančnejše pogoje za opredelitev pojma upravljavec vsebujejo Smernice EDPB 07/2020[1], dostopne: https://edpb.europa.eu/our-work-tools/documents/public-consultations/2020/guidelines-072020-concepts-controller-and_en. Smernice EDPB so zaradi enotne razlage Splošne uredbe kot razlagalni instrument zavezujoče za nadzorne organe. Iz splošno sprejetega stališča odbora pri pripravi in usklajevanju navedenih smernic, izhaja, da samostojna pravna subjektiviteta ni bistveni kriterij za opredelitev pojma »upravljavec«. V prvi vrsti je treba upoštevati, kdo »določa sredstva in namene obdelave osebnih podatkov«. Moč oziroma vpliv za določanje lahko izvira bodisi iz zakonskih pristojnosti upravljavca bodisi iz dejanskega vpliva (slednje je lahko razvidno iz pogodb med matično družbo in podružnico). IP v okviru mnenja ne more dokončno ugotoviti, ali podružnica v konkretnem primeru nastopa kot samostojni upravljavec. Slednje je lahko predmet konkretnega inšpekcijskega postopka oziroma je odgovornost upravljavca (člen 5
(2)in 24 Splošne uredbe). Pojasnimo pa lahko, da ureditev po Splošni uredbi ne nasprotuje možnosti, da bi se podružnico štelo za samostojnega upravljavca osebnih podatkov, v delu, ko samostojno določa namene in sredstva obdelave osebnih podatkov. Glede obdelav osebnih podatkov v konkretnem primeru Navajate, da matična družba zagotavlja vzdrževanje strežnika, na katerem so shranjeni osebni podatki. Osebni podatki se obdelujejo z »IT sistemom«, ki ga vzdržuje pooblaščeno slovensko podjetje (zunanji izvajalec), prek tega sistema pa podružnica obdeluje osebne podatke. Matično podjetje pa na shranjenih podatkih izvaja tudi »poslovne analize«. IP v okviru mnenja ne more dokončno ugotoviti, v kakšni vlogi nastopa posamezni deležnik glede obdelave osebnih podatkov. IP lahko zgolj hipotetično pojasni, da kolikor drži, da sredstva in namene samostojno določa podružnica kot upravljavec osebnih podatkov (v skladu z opredeljenim v prejšnji točki), potem zunanje slovensko podjetje, ki vzdržuje IT sistem, lahko nastopa kot obdelovalec osebnih podatkov v razmerju do upravljavca (podružnice); matična družba pa glede vzdrževanja strežnika v razmerju do upravljavca (podružnice), tudi lahko nastopa kot obdelovalec osebnih podatkov. Ali gre v konkretnem primeru dejansko za takšno razmerje je treba ugotoviti upoštevaje vse okoliščine primera. Pomagate si lahko s smernicami IP o pogodbeni obdelavi osebnih podatkov (https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi). Glede priprave poslovnih analiz, ki jih izvaja matična družba pa velja opozoriti na uvodno določbo 48 Splošne uredbe, ki določa, da upravljavci, ki so del povezane družbe ali institucij, povezanih z osrednjim telesom, lahko imajo zakoniti interes za posredovanje osebnih podatkov znotraj povezane družbe v notranje upravne namene, vključno z obdelavo osebnih podatkov strank ali zaposlenih. To ne vpliva na splošna načela znotraj povezane družbe glede prenosa osebnih podatkov družbi v tretji državi. Kolikor gre torej za izvajanje poslovnih analiz na osebnih podatkih, za katere je kot upravljavec odgovorna podružnica, poslovne analize pa se izvajajo s sredstvi in za namene, ki jih določi matična družba, potem lahko matična družba nastopa bodisi kot »skupni upravljavec« (člen 26 Splošne uredbe) ali pa kot »uporabnik« osebnih podatkov, ki podatke obdeluje na podlagi zakonitih interesov (člen 6
(1)(f) Splošne uredbe). Matična družba je v tem delu obdelav osebnih podatkov odgovorna bodisi kot skupni ali kot samostojen upravljavec osebnih podatkov, zato mora v skladu z dogovorom iz člena 26
(1)ali kot samostojni upravljavec zagotoviti tudi vse pogoje za skladno obdelavo osebnih podatkov – zlasti tudi za informiranje posameznikov v skladu s členom 13 in 14 Splošne uredbe, vključno s posebnim obvestilom glede pravice do ugovora po členu 21 Splošne uredbe, kot to zahteva člen 21
(4)Splošne uredbe. Glede vprašanja pooblaščene osebe Glede na člen 37
(1)Splošne uredbe, morata v določenih primerih pooblaščeno osebo za varstvo osebnih podatkov imenovati upravljavec in obdelovalec. Po členu 37
(2)lahko povezana družba imenuje eno pooblaščeno osebo za varstvo podatkov, če je ta pooblaščena oseba za varstvo podatkov lahko dostopna iz vsake enote. Če podružnica deluje kot samostojni upravljavec, glede na člen 37
(1), ni ovire, da ne bi podružnica imenovala svoje pooblaščene osebe za varstvo osebnih podatkov. V primeru, ko podružnica deluje kot samostojen upravljavec, je po mnenju IP mogoče matično družbo in podružnico razumeti tudi v smislu »povezane družbe« in je zato teoretično možno, da je imenovana ena pooblaščena oseba, pod pogojem, da je »lahko dostopna« tudi iz podružnice. Ker pa pooblaščena oseba za varstvo osebnih podatkov deluje v vlogi kontaktne točke za posameznike in za nadzorni organ, mora biti komunikacija s pooblaščeno osebo zagotovljena v slovenskem jeziku (to izhaja tako iz zahteve po lahki dostopnosti za posameznike, kot tudi zaradi obvezne uporabe slovenskega jezika v uradnih postopkih pred slovenskimi državnimi organi). Upravljavec pa je v konkretnem primeru odgovoren za zagotovitev skladnosti s Splošno uredbo in slovensko zakonodajo. Lep pozdrav, Pripravil: Anže Novak, univ. dipl. prav. Svetovalec pooblaščenca za preventivo Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.