Pogodbena obdelava + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.09.2016 Številka: 0712-1/2016/1833 Kategorije:Pogodbena obdelava OP, Šolstvo --> Kategorije: Šolstvo, Pogodbena obdelava OP Informacijski pooblaščenec (v nadaljevanju IP) je dne 8. 9. 2016 po elektronski pošti prejel vašo vlogo, v kateri ste navedli, da bi radi na šolah začeli tržiti aplikacijo, ki bo staršem omogočala prijavo na govorilne ure. Odprli boste s.p. in ga registrirali za upravljanje z osebnimi podatki. Ti osebni podatki bodo ime in priimek starša, email naslov starša, ime in priimek otroka, razred, ki ga otrok obiskuje (razredniki, ostali učitelji) ter službeni email naslov učitelja. Podatki se bodo v aplikacijo vnašali na začetku šolskega leta, konec leta pa brisali. Kako urediti, da bo obdelava osebnih podatkov zakonita, ste že (dne 29. 3., 4. 4. in 18. 4.) spraševali IP in dobili vse relevantne informacije. Pozabili pa ste razjasniti še eno pomembno dejstvo in sicer, aplikacije ne boste izdelali (sprogramirali) sami, temveč študent, ki nima s.p.-ja in ne bo zaposlen pri vas. Z njim bi sklenili podjemno pogodbo. V zvezi z navedenim sprašujete, ali je možno, da študent naredi aplikacijo, vi vnesete vanjo osebne podatke, on pa potem aplikacijo vzdržuje in jo nadgrajuje?Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo; v nadaljevanju ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS; v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem: IP pripominja, da morate v pisni pogodbi o obdelavi osebnih podatkov vključiti določila, ki smiselno in vaši konkretni situaciji primerno upoštevajo zahteve ZVOP-1 glede pogodbene obdelave in zavarovanja osebnih podatkov. To pomeni, da se v pogodbi o obdelavi osebnih podatkov tudi določi, katere osebe bodo obdelovale osebne podatke in za kakšen namen (vzdrževanje in nadgradnja aplikacije).IP še dodaja, da ste dolžni v podjemni pogodbi ali drugem aktu, sklenjenim s študentom, ki bo opravljal vzdrževanje in nadgradnjo aplikacije (in pri tem obdeloval osebne podatke), opredeliti njegove pravice in dolžnosti glede obdelave osebnih podatkov in pridobiti njegovo podpisano izjavo o varstvu podatkov. Kot ste navedli, vas je IP glede pravne ureditve izvajanja storitve prijave na govorilno uro preko aplikacije z vidika varstva osebnih podatkov že dne 4. 4. 2016 in 18. 4. 2016 seznanil z določili pogodbene obdelave osebnih podatkov in pravnimi podlagami glede osebne privolitve staršev za naročilo na vašo storitev. IP vam je predlagal, da se seznanite z objavljenimi mnenji, predvsem z mnenji na temo e-asistent, E-šola in e-redovalnica. IP bo v nadaljevanju predstavil le tiste posamezne določbe, ki so najbolj relevantne glede na vaše konkretno vprašanje, hkrati pa opozarja, da sta tako upravljavec osebnih podatkov (šola) kot njegov pogodbeni obdelovalec (
- vi)v celoti zavezana k spoštovanju določb ZVOP-1.Prvi odstavek 11. člena ZVOP-1 določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena ZVOP-1. Omenjeni člen ureja zavarovanje zbirk osebnih podatkov, in sicer gre za organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:1. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;2. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;3. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;4. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;5. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.Tretji odstavek 24. člena dalje določa, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.25. člen ZVOP- 1 ureja dolžnost zavarovanja osebnih podatkov in določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz 24. člena tega zakona. Drugi odstavek istega člena dalje določa, da morajo upravljavci osebnih podatkov v svojih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov ter določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.Drugi odstavek 11. člena ZVOP-1 določa, da sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena ZVOP-1. Izvajanje postopkov in ukrepov iz 24. člena ZVOP-1 nadzoruje upravljavec osebnih podatkov. Pri tem je ključnega pomena, da lahko pogodbeni obdelovalci opravljajo storitve obdelave osebnih podatkov samo v okviru pooblastil, ki morajo biti s tovrstno pogodbo natančno določena in da podatkov ne smejo obdelovati ali drugače uporabljati za noben drug namen. Poleg tega naj bi pogodbeni obdelovalci, ki za upravljavca opravljajo pogodbeno dogovorjene storitve izven njegovih prostorov, imeli vsaj enako strog način varovanja osebnih podatkov, kakor ga predvideva pravilnik o zavarovanju osebnih podatkov upravljavca.IP je glede na navedeno mnenja, da je primerno in potrebno, da v pogodbo o pogodbeni obdelavi, ki jo sklenete z upravljavcem osebnih podatkov, vključite določila, ki smiselno in vaši konkretni situaciji primerno upoštevajo zahteve ZVOP-1 glede pogodbene obdelave in zavarovanja osebnih podatkov, kot so predstavljene zgoraj. To pomeni, da se v pogodbi o obdelavi osebnih podatkov tudi določi, katere osebe bodo obdelovale osebne podatke in za kakšen namen (vzdrževanje in nadgradnja aplikacije). Vprašanje, kako boste statusno pravno uredili razmerje s študentom (podjemna pogodba ali pogodba o delu, itd.), ni v pristojnosti IP. Ste pa kot pogodbeni obdelovalec zavezani izvajati postopke in ukrepe za varstvo in zavarovanje podatkov ter nepooblaščenim osebam onemogočiti dostop do podatkov in opreme. Navedeno pomeni, da ste v podjemni pogodbi ali drugem aktu, sklenjenim s študentom, ki bo opravljal vzdrževanje in nadgradnjo aplikacije (in pri tem obdeloval osebne podatke), dolžni opredeliti njegove pravice in dolžnosti glede obdelave osebnih podatkov in pridobiti njegovo podpisano izjavo o varstvu podatkov (je lahko del pogodbe).S spoštovanjem, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Monika Voga, univ.dipl.prav., svetovalka Informacijskega pooblaščenca O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026