Pogodba o obdelavi osebnih podatkov - IPRS

Pogodba o obdelavi osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.03.2021 Številka: 07121-1/2021/542 Kategorije:Evidence dejavnosti obdelave , Pogodbena obdelava podatkov --> Kategorije: Pogodbena obdelava podatkov, Evidence dejavnosti obdelave Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ste gospodarska družba, ki se ukvarja z gradbeništvom in pojasnjujete, da bo področja, kot so urejanje dokumentacije delavcev (vize, pogodbe o zaposlitvi in ostale kadrovsko-pravne storitve), računovodstvo, računalniško programiranje in administrativna dela za nas urejala druga gospodarska družba, s katero ste sklenili pogodbo o poslovnem sodelovanju. V vaši družbi ste sprejeli Pravilnik o varstvu osebnih podatkov, identičen pravilnik pa je sprejela tudi gospodarska družba, s katero ste sklenili pogodbo o poslovnem sodelovanju. Glede na to, da pogodba o poslovnem sodelovanju ne vsebuje določb o varstvu osebnih podatkov, vas zanima, ali sta dovolj navedena pravilnika, ali pa morate zaradi varstva osebnih podatkov sprejeti še kak aneks? Drugo vprašanje se nanaša na evidence dejavnosti obdelave. Sprašujete, ali jih morata napraviti obe gospodarski družbi vsaka zase? Kot primer navajate napotitve na zdravniške preglede in sprašujete, ali morate v vaši evidenci podatkov o zdravstvenih pregledih kot upravljavca navesti drugo gospodarsko družbo, druga gospodarska družba pa vodi ime in priimek osebe, ki vodi evidenco? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi člena 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Uvodoma pojasnjujemo, da mora za zakonito obdelavo osebnih podatkov obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Za obdelavo osebnih podatkov posameznikov mora biti torej podana ustrezna pravna podlaga, v vašem primeru najverjetneje pogodba po (
7. b)točki prvega odstavka 6. člena Splošne uredbe. Ob tem pojasnjujemo tudi, da pomeni skladno s 4. členom Splošne uredbe »upravljavec« fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, »obdelovalec« pa fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. V primerih, kot ste jih navedli, in sicer urejanje dokumentacije delavcev, računovodstvo, računalniško programiranje, administrativna dela, gre običajno za najemanje storitev pogodbenih obdelovalcev, kar pomeni, da pogodbena stranka obdeluje osebne podatke v vašem imenu, za vaš račun in po vaših navodilih kot upravljavca osebnih podatkov. Gre torej za razmerje med upravljavcem in obdelovalcem osebnih podatkov, ki mora biti po Splošni uredbi urejeno s pogodbo oz. drugim pravnim aktom. V 28. členu je predpisan minimalni obseg sestavin pogodbe ali drugega pravnega akta, ki mora zlasti določati, da obdelovalec: - lahko osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca; - zagotovi, da so osebe, ki so pooblaščene za obdelavo osebnih podatkov, zavezane k zaupnosti ali jih k zaupnosti zavezuje ustrezen zakon; - sprejme vse ukrepe, potrebne za varnost osebnih podatkov (ukrepe opiše v internem pravilniku o varnosti osebnih podatkov); - zaposli drugega obdelovalca le, če je prej pridobil posebno ali splošno pisno dovoljenje upravljavca in da zagotovi, da veljajo med obdelovalcem in pod-obdelovalcem enake obveznosti kot med upravljavcem in obdelovalcem in da je med njima sklenjena pisna pogodba; - upravljavcu pomaga pri izpolnjevanju njegovih obveznosti, da odgovori na zahteve za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki; - upravljavcu pomaga pri zagotavljanju varnosti obdelave osebnih podatkov, uradnem obveščanju o kršitvah in oceni učinkov na varstvo osebnih podatkov; - po zaključku storitve obdelave izbriše ali vrne vse osebne podatke upravljavcu (razen kadar hrambo predpisuje zakon); - da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz 28. člena Splošne uredbe, ter upravljavcu ali drugemu revizorju, ki ga pooblasti upravljavec, omogoči izvajanje revizij, tudi pregledov, in pri njih sodeluje. Več informacij glede zahtevanih vsebin pogodbe o obdelavi si lahko preberete v Smernicah o pogodbeni obdelavi osebnih podatkov, ki so dosegljive na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf (zlasti na str. 15 in 16). Priporočamo vam, da razmerje z obdelovalcem osebnih podatkov ustrezno uredite skladno zgoraj navedenimi minimalnimi zahtevami, ki jih naj vsebuje pogodba o obdelavi osebnih podatkov. Pomagate si lahko tudi s standardnimi pogodbenimi določili, ki jih je pripravil IP in so dostopna na https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pogodbena-obdelava/. Pravilnika o varstvu osebnih podatkov tako predstavljata zgolj del vsebin, ki morajo biti določene s pogodbo o obdelavi osebnih podatkov (glej zgoraj – varnost osebnih podatkov). Upravljavec in obdelovalec pa morata voditi tudi evidence dejavnosti obdelave skladno s 30. členom Splošne uredbe. Evidenci morata voditi tako upravljavec (informacije po prvem odstavku 30. člena Splošne uredbe) kot tudi obdelovalec (informacije po drugem odstavku 30. člena Splošne uredbe). Pri tem si lahko pomagate z neobveznima vzorcema, ki ju je pripravil IP: Vzorec evidence dejavnosti obdelave za UPRAVLJAVCE (člen 30 Splošne uredbe) in Vzorec evidence dejavnosti obdelave za OBDELOVALCE (člen 30 Splošne uredbe), ki sta dosegljiva na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Glede na vaše vprašanje pojasnjujemo, da ste v primeru pogodbene obdelave še vedno vi upravljavec osebnih podatkov in morate voditi evidenco dejavnosti obdelave (glej vzorec). Določitev osebe, ki vodi evidenco, sicer ni med obveznimi informacijami skladno s 30. členom Splošne uredbe, lahko pa jo določite npr. zaradi zagotavljanja ažurnosti. Napotki glede evidentiranja dejavnosti obdelav pa so dostopni tudi na: https://upravljavec.si/pogosta-vprasanja/kako-popisati-evidence-obdelav/ in na https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/evidenca-dejavnosti-obdelave/. Lepo vas pozdravljamo, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., Svetovalka Pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
8. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026