Pog. obd. kadrovskih evidenc s strani mat. - IPRS

Pog. obd. kadrovskih evidenc s strani mat. + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.09.2007 Številka: 0712-839/2007/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
4. 2007 prejel vaše e-sporočilo, v katerem navajate, da ste se v vašem podjetju lotili izdelave pravilnika o postopkih in ukrepih za zavarovanje osebnih podatkov, pri čemer ste kot multinacionalka naleteli na problem, na katerega vaše izbrano podjetje, katero se s tem profesionalno ukvarja, nima odgovora. Ste hčerinsko podjetje, katerega matica je v Švici, z njihovim predstavništvom pa ste v isti zgradbi. V tem podjetju so zaposleni vsi managerji, vključno s kadrovskim, kateri ima vpogled v vse osebne podatke vašega podjetja. Skleniti bi morali pogodbo o varovanju osebnih podatkov, vendar pa povezano podjetje ni registrirano za dejavnosti, v okviru katerih bi lahko obdelovalo osebne podatke. Postopek registracije dejavnosti ni ravno ustrezna in hitra rešitev, najeto podjetje pa ne najde rešitve, ki naj bi vam bila prilagojena. V vašem Pravilniku piše, da morajo vsi, ki v povezanem podjetju te podatke nabirajo, hranijo in obdelujejo, podpisati izjavo. V zvezi s opisanim primerom vas zanima: Ali se ne da sestaviti nekega Dogovora med vašima podjetjema, po katerem bi prevzeli enake odgovornosti, kot bi bili vaši zaposleni, ne da bi vsakič, ko bi hoteli obdelovati vaše osebne podatke, potrebovali podpisano izjavo? V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05 - ZInfP, 51/07 – ZUstS-A in 67/07, v nadaljevanju ZVOP-1) ter
7. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem:
8. Pooblaščenec pojasnjuje, da se bistvo pogodbene obdelave osebnih podatkov kaže v tem, da upravljavec osebnih podatkov namesto tega, da bi vsa opravila v zvezi z obdelavo osebnih podatkov opravil sam, posamezna takšna opravila s pogodbo zaupa pogodbenemu obdelovalcu. Pogodbeni obdelovalec zaupana opravila v okviru naročnikovih pooblastil opravlja v imenu in na račun upravljavca osebnih podatkov in osebnih podatkov ne sme obdelovati za noben drug namen. Pogodbeni obdelovalec mora biti skladno s
9. odstavkom
10. člena ZVOP-1 registriran za opravljanje takšne dejavnosti in mora zagotavljati ustrezne postopke in ukrepe za zavarovanje osebnih podatkov. Poleg prej navedenega pogoja je potrebno medsebojne pravice in obveznosti urediti v pogodbi, ki mora biti obvezno sklenjena v pisni obliki in mora poleg jasno določenih naročnikovih pooblastil v zvezi z obdelavo osebnih podatkov vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
11. člena ZVOP-
13. V primeru, ko namerava povezano podjetje osebne podatke iz zbirk vašega podjetja obdelovati za svoje lastne potrebe, mu osebnih podatkov ne smete posredovati ali razkriti oz. dati na razpolago na podlagi pogodbe iz
14. člena ZVOP-1 ali kakršnega koli drugega dogovora, pač pa je takšno posredovanje ali razkritje oz. dajanje osebnih podatkov na razpolago dopustno le v primeru, če za takšno posredovanje ali razkritje oz. dajanje osebnih podatkov na razpolago obstaja katera izmed pravnih podlag, ki so za zasebni sektor določene v
15. členu ZVOP-
16. O b r a z l o ž i t e v:
17. Splošno o pravnih podlagah za obdelavo osebnih podatkov ZVOP-1 kot temeljni in sistemski zakon s področja varstva osebnih podatkov v
18. odstavku
19. člena določa, da se osebni podatki lahko obdelujejo (zbirajo, pridobivajo, shranjujejo, združujejo, posredujejo, sporočajo, razkrivajo, uporabljajo, ipd.) le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon, ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V drugem odstavku
20. člena je nadalje še določeno, da mora biti namen obdelave določen v zakonu, v primeru obdelave na podalgi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravne podlage za obdelavo osebnih podatkov v javnem sektorju so podrobneje določene v
21. členu ZVOP-1, pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju pa podrobneje določa
22. člen. Iz zgoraj navedenega izhaja, da ZVOP-1 kot splošen zakon na sistemski ravni ureja varstvo osebnih podatkov, vendar dopušča, da se varstvo osebnih podatkov ureja za posamezna (ožja) pravna področja tudi s področnimi zakoni. Kadar obdelava osebnih podatkov ni urejena v področnih zakonih, je obdelava osebnih podatkov dopustna, če se osebni podatki obdelujejo na podlagi osebne privolitve posameznika ali pod pogoji in na način, določen v 2.,
23. in
24. odstavku
25. člena,
26. in
27. odstavku
28. člena ter VI. delu ZVOP-1 (Področne ureditve; členi 72 do 90).
29. Pogodbena obdelava osebnih podatkov Po določbah
30. odstavka
31. člena ZVOP-1 lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
32. člena tega zakona. Skladno s citirano določbo lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov poveri le tisti pravni ali fizični osebi, ki je registrirana za opravljanje takšne dejavnost in zagotavlja ustrezne postopke in ukrepe iz
33. člena tega zakona. Pogodbeni obdelovalec, ki je v
34. točki
35. člena ZVOP-1 definiran kot fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in za račun upravljavca osebnih podatkov, mora biti torej obvezno registriran za opravljanje dejavnosti, ki mu jih upravljavec osebnih podatkov poveri s pogodbo. Registriran mora biti npr. za obdelavo podatkov, to je za dejavnost pod šifro 72.300 iz Uredbe o uvedbi in uporabi standardne kvalifikacije dejavnosti (Uradni list RS, št. 2/02). V posameznih specifičnih primerih, ko se pogodbenemu obdelovalcu poveri npr. samo vodenje računovodstva, obračun plač, izbira kadrov, sklepanje življenjskih zavarovanj, ipd., je dovolj, da je pogodbeni obdelovalec v odvisnosti od tega, kakšna opravila bo za upravljavca osebnih podatkov opravljal, registriran npr. za računovodske, knjigovodske in revizijske dejavnosti, davčno svetovanje (šifra 74.120), dejavnost posredovanja in zaposlovanja delovne sile (šifra 74.500), življenjsko zavarovanje (šifra 66.010), ipd. Pogodbeni obdelovalec sme skladno z
36. odstavkom
37. člena ZVOP-1 opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
38. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
39. člena tega zakona. V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem, je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon (
40. odstavek
41. člena ZVOP-1). V
42. odstavku
43. člena ZVOP-1 je nadalje še določeno, da se tudi v primeru prenehanja pogodbenega obdelovalca osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov. V praksi so najpogostejši primeri, ko upravljavci osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov poverijo pogodbenim obdelovalcem, primeri, ko se npr. zbirke osebnih podatkov vodijo na informacijskem sistemu, ki je last druge pravne ali fizične osebe, ko manjši delodajalci obračun plač ter druge računovodske storitve poverijo računovodskemu servisu, ko operaterji mobilne telefonije ali zavarovalnice za sklepanje naročniških oziroma zavarovalnih pogodb pooblastijo druge pravne ali fizične osebe, ipd. Prav tako se določbe
44. člena ZVOP-1 morajo uporabiti tudi v primerih, ko upravljavec osebnih podatkov vzdrževanje strojne, sistemske in aplikativne opreme, ki služi za obdelavo osebnih podatkov, poveri drugi pravni ali fizični osebi ter v primerih, ko upravljavec osebnih podatkov drugo pravno ali fizično osebo pooblasti, da zanj izvede kakšno zgodovinsko, statistično ali drugo znanstveno raziskavo, za izvedbo katere je potrebna tudi obdelava zbranih osebnih podatkov. Iz določb
45. člena ZVOP-1 izhaja, da je pogodbeni obdelovalec dejansko le nekakšna podaljšana roka upravljavca osebnih podatkov. Upravljavec lahko namreč vsa opravila v zvezi z obdelavo osebnih podatkov (npr. zbiranje, vpisovanje, urejanje, shranjevanje, prilagajanje, povezovanje, dajanje na razpolago, blokiranje, anonimiziranje, brisanje, ipd.) opravi sam, lahko pa namesto tega posamezna takšna opravila s pogodbo zaupa pogodbenemu obdelovalcu. Pogodbeni obdelovalec lahko v času trajanja pogodbe v okviru naročnikovih pooblastil opravlja le posamezna opravila v zvezi z obdelavo osebnih podatkov in osebnih podatkov ne sme obdelovati za noben drug namen, zaradi česar morajo biti pooblastila pogodbenemu obdelovalcu v pogodbi jasno določena. V primeru prekinitve pogodbe, v primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem ter v primeru prenehanja pogodbenega obdelovalca, mora pogodbeni obdelovalec osebne podatke, ki jih je pogodbeno obdeloval, na podlagi zahteve upravljavca nemudoma vrniti upravljavcu, morebitne kopije teh podatkov pa mora takoj uničiti ali pa jih posredovati pristojnemu državnemu organu.
46. Posredovanje ter razkrivanje oziroma dajanje osebnih podatkov na razpolago drugim pravnim ali fizičnim osebam za njihove lastne potrebe Pooblaščenec v zvezi s predstavljenim stanjem v vašem podjetju opozarja, da je potrebno ločevati med pogodbeno obdelavo osebnih podatkov ter med sporočanjem, širjenjem oziroma dajanjem osebnih podatkov na razpolago drugim pravnim ali oziroma fizičnim osebam za njihove lastne potrebe. Po določbah
47. odstavka
48. člena ZVOP-1 sme pogodbeni obdelovalec opravljati samo posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Iz citirane določbe izhaja, da pogodbeni obdelovalec dobljenih osebnih podatkov ne sme uporabljati za lastne potrebe ter jih seveda tudi ne sme integrirati v svoje zbirke osebnih podatkov. V primeru, ko želi pravna oziroma fizična oseba pridobiti osebne podatke za lastne potrebe oziroma v primeru, ko upravljavec osebnih podatkov posreduje osebne podatke iz svojih zbirk drugi pravni ali fizični osebi z namenom, da bi ta druga oseba dobljene osebne podatke nadalje obdelovala za svoje lastne potrebe, takšnega ravnanja ne moremo definirati kot pogodbeno obdelavo osebnih podatkov oz. kot posredovanje osebnih podatkov pogodbenemu obdelovalcu. Pravna oz. fizična ali druga oseba, kateri se osebni podatki posredujejo ali razkrijejo za njene lastne potrebe, se ne šteje za pogodbenega obdelovalca, pač pa ZVOP-1 v
49. točki
50. člena takšno osebo definira kot uporabnika osebnih podatkov. Sporočanja, širjenja oz. dajanja osebnih podatkov na razpolago uporabnikom osebnih podatkov ni dopustno opraviti na podlagi pogodbe iz
51. člena ZVOP-1 ali kakršnega koli drugega dogovora, pač pa je takšno ravnanje oz. obdelava osebnih podatkov dopustno le v primeru, če za takšno sporočanje, širjenje oz. dajanje osebnih podatkov na razpolago obstaja katera izmed pravnih podlag, ki so za javni sektor določene v
52. členu ZVOP-1, za zasebni sektor pa v
53. členu ZVOP-
54. Kadar se osebni podatki sporočajo, širijo oz. dajejo na razpolago uporabnikom osebnih podatkov, z vidika določb ZVOP-1 ni nujno, da bi se med upravljavcem in uporabnikom osebnih podatkov sklenil kakšen poseben dogovor. Pri posredovanju ali razkrivanju osebnih podatkov uporabnikom osebnih podatkov je pomembno predvsem to, da se zagotovi varnost prenosa podatkov ter da za takšno posredovanje ali razkrivanje osebnih podatkov obstaja ustrezna pravna podlaga v smislu določb
55. ter
56. oz.
57. člena ZVOP-
58. Poleg tega mora upravljavec osebnih podatkov skladno z določbami
59. odstavka
60. člena ZVOP-1 za vsako takšno posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Pooblaščenec še pripominja, da je potrebno pri povezanih družbah v zvezi z posredovanjem ali razkrivanjem osebnih podatkov med povezanimi družbami upoštevati tudi določbe Zakona o gospodarskih družbah (Uradni list RS, št. 42/06 s spremembami, v nadaljevanju ZGD-1). V skladu s
61. členom ZGD-1 se družbe v večinski lasti in družbe z večinskim deležem, odvisne in obvladujoče družbe, koncernske družbe, družbi, ki sta vzajemno kapitalsko povezani ter družbe, ki so povezane s podjetniškimi pogodbami, štejejo med t. i. povezane družbe. V
62. členu ZGD je tudi določeno, da so takšne družbe pravno samostojne družbe, zaradi česar se takšne povezane družbe z vidika določb
63. točke
64. člena ZVOP-1 štejejo kot samostojni upravljavci osebnih podatkov. Če se osebni podatki eni od povezanih družb razkrijejo oziroma dajo na razpolago za njene lastne namene, se družba, ki je prejela osebne podatke, v skladu s
65. točko
66. člena ZVOP-1 šteje kot uporabnik osebnih podatkov. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026