Pogodbena obdelava + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.06.2015 Številka: 0712-1/2015/1726 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Informacijski pooblaščenec je prejel vaše elektronsko sporočilo, v katerem navajate, da ste družba, ki nudi obračun plač za stranke. Ena vaših strank je nizozemska družba, ki vam posreduje stranke, za katere nudite obračun plače. Z nizozemsko družbo imate sklenjeno pogodbeno razmerje, v okviru katerega je urejeno varstvo osebnih podatkov in ukrepi in postopki za zavarovanje osebnih podatkov. Nizozemska družba ima s strankami, katerim nudite obračun plače, prav tako sklenjena pogodbena razmerja, v okviru katerih je urejeno varstvo osebnih podatkov in ukrepi in postopki za zavarovanje osebnih podatkov. Ena stranka (stranka A), kateri nudite obračun plače, je družba iz Velike Britanije, ki ima v Sloveniji podružnico. Obračun plače nudite za zaposlene pri slovenski podružnici. Podatke za obračun plač zaposlenih pri slovenski podružnici vam posredujejo kontaktne osebe družbe Velike Britanije, ki imajo podružnico tudi v Turčiji (torej turški kontakti) preko serverja nizozemske družbe, ki ga uporabljate za nalaganje vseh podatkov za plače in narejenih datotek za plače za vse stranke, ki vam jih zagotavlja nizozemska družba. Server, preko katerega poteka prenos vseh podatkov za obračun plače in z vaše strani pripravljenih datotek za plače, je v Franciji. Druga stranka (stranka B) je družba Združenih držav Amerike (ZDA), ki ima prav tako v Sloveniji podružnico in obračun plače nudite za zaposlene pri slovenski podružnici. V tem primeru dobite podatke za obračun plač od kontaktnih oseb stranke, ki ima podružnico tudi na Slovaškem (slovaški kontakti), prav tako preko serverja nizozemske družbe, ki je v Franciji.
- Zanima vas, kakšna je pravilna ureditev pogodbenih razmerij v smislu varstva osebnih podatkov. Ali zadošča, da je varstvo osebnih podatkov zaposlenih pri stranki urejeno v pogodbi, ki jo imate sklenjeno z nizozemsko družbo, nizozemska družba pa ima s stranko varstvo osebnih podatkov urejeno v pogodbi s stranko?
- Glede mnenja IP št. 0712-71/2010 vas zanima, ali je potrebno skleniti pogodbo o obdelavi osebnih podatkov med upravljavcem in pogodbenim podobdelovalcem, če je upravljavec v RS. Ali to velja tudi za primer, ko je upravljavec zunaj RS (npr. v drugi državi EU, kot je Nemčija ali Avstrija), vi pa kot podobdelovalec pa v RS? Ali je tedaj treba upoštevati, kako je področje pogodbene ureditve razmerij s strankami v zvezi z varstvom osebnih podatkov urejeno z zakonodajo te druge države, v kateri je upravljavec? Enako vas zanima za razmerja, kjer je upravljavec zunaj RS (npr. v drugi državi EU, kot je Nemčija ali Avstrija), vi kot pogodbeni obdelovalec pa v RS, ali je potrebno skleniti pogodbo o obdelavi osebnih podatkov skladno z našo zakonodajo (zakonodaja pogodbenega obdelovalca) ali bi bilo treba delovati skladno z zakonodajo upravljavca s področja varstva osebnih podatkov?Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Dolžnost glede ustreznega urejanja pogodbene obdelave osebnih podatkov je primarno na strani upravljavcev osebnih podatkov in ne na vaši strani pogodbenega obdelovalca. Upravljavci osebnih podatkov morajo pri tem slediti svoji nacionalni zakonodaji, ki jim predpisuje pravila glede posredovanja osebnih podatkov. Vaša dolžnost pa je upoštevanje pogodbenih določil (da npr. osebnih podatkov ne obdelujete izven pooblastil naročnika, itd.) ter zavarovanje osebnih podatkov skladno z ZVOP-1.Glede mnenja številka IP, št. 0712-71/2010 pojasnjujemo, da se navezuje na situacijo, kjer je upravljavec ustanovljen v Sloveniji, pogodbeni obdelovalec pa v Sloveniji ali drugi članici EU. Ker ZVOP-1 ureja le pogodbeno obdelavo osebnih podatkov, ne opredeljuje pa pod-pogodbene obdelave, je v takem primeru potrebno skleniti pogodbo o pogodbeni obdelavi osebnih podatkov tudi neposredno s pod-pogodbenim izvajalcem, saj je upravljavec zavezan določbam ZVOP-
- Zakonodaje drugih držav morda pod-obdelavo na tak način dopuščajo, in neposredno sklepanje pogodb ni potrebno.Obrazložitev:Iz vašega dopisa razumemo, da vaša družba deluje kot pogodbeni obdelovalec oziroma pod-obdelovalec osebnih podatkov in ne kot upravljavec osebnih podatkov. Osebne podatke vam posreduje družba iz Nizozemske, ki je tudi sama pogodbeni obdelovalec upravljavcem iz Velike Britanije, in ZDA.Uvodoma pojasnjujemo, da je zakonodaja s področja varstva osebnih podatkov v Evropi osredotočena na obveznosti, ki jih ima pri ravnanju z osebnimi podatki upravljavec osebnih podatkov. Ta mora glede posredovanja osebnih podatkov v pogodbeno obdelavo (oz. pod-pogodbeno obdelavo) primarno upoštevati svojo nacionalno zakonodajo. Upravljavec v Sloveniji torej Zakon o varstvu osebnih podatkov, npr. upravljavec v Veliki Britaniji pa zakonodajo Velike Britanije. Skladno s svojo domačo zakonodajo mora pripraviti pogodbena določila za pogodbeno oz. pod-pogodbeno obdelavo za vse pogodbene partnerje, katerim posreduje osebne podatke, pa naj bodo to npr. izvajalci računovodskih storitev, storitev strežniške hrambe, drugih storitev informacijske družbe. Prav tako morajo imeti upravljavci urejene pogodbene odnose s svojimi morebitnimi podružnicami oz. materinskimi družbami, če jim posredujejo v pogodbeno obdelavo osebne podatke, katerih upravljavci so (npr. podatke zaposlenih).Pogodbeni obdelovalec je na drugi strani pri ravnanju z osebnimi podatki glede na evropsko zakonodajo primarno zavezan s pogodbenimi določili v pogodbi o obdelavi osebnih podatkov, ki jo sklene z upravljavcem. Pod-pogodbeni obdelovalec pa mora upoštevati pogodbena določila, ki jih sklene s pogodbenim obdelovalcev (ki naj bi zagotavljala enak standard varstva osebnih podatkov, kot ga je dolžan zagotavljati pogodbeni obdelovalec). Poleg tega mora pogodbeni obdelovalec, ki je ustanovljen v državi članici EU, upoštevati nacionalno zakonodajo glede zavarovanja osebnih podatkov. Pogodbeni obdelovalec, ustanovljen v Sloveniji mora torej z osebnimi podatki, ki jih obdeluje, ravnati v skladu s pogodbo o pogodbeni obdelavi ter osebne podatke varovati v skladu s
- in
- členom Zakona o varstvu osebnih podatkov. Podrobneje zahteve pojasnjujemo v mnenju, ki je objavljeno na tej povezavi:https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/?tx_jzvopdecisions_pi1[showUid]=948&tx_jzvopdecisions_pi1[highlightWord]=0712-582%2F2007%2F2&cHash=f1d5ac256aec94883384ee39278c929d.V vašem primeru je dolžnost glede ustreznega urejanja pogodbene obdelave osebnih podatkov primarno na strani upravljavcev osebnih podatkov in ne na vaši strani pogodbenega obdelovalca. Upravljavci osebnih podatkov morajo pri tem slediti svoji nacionalni zakonodaji, ki jim predpisuje pravila glede posredovanja osebnih podatkov. Vaša dolžnost je upoštevanje pogodbenih določil (da npr. osebnih podatkov ne obdelujete izven pooblastil naročnika, itd.) ter zavarovanje osebnih podatkov skladno z ZVOP-
- Glede mnenja številka IP, št. 0712-71/2010 pa pojasnjujemo, da se navezuje na situacijo, kjer je upravljavec ustanovljen v Sloveniji, pogodbeni obdelovalec pa v Sloveniji ali drugi članici EU. Ker ZVOP-1 ureja le pogodbeno obdelavo osebnih podatkov, ne opredeljuje pa pod-pogodbene obdelave, je v takem primeru potrebno skleniti pogodbo o pogodbeni obdelavi osebnih podatkov tudi neposredno s podizvajalcem, saj je upravljavec zavezan ZVOP-
- Zakonodaje drugih držav morda pod-obdelavo na tak način dopuščajo, in neposredno sklepanje pogodb ni potrebno. Kot rečeno pa odgovornost za primerno pogodbeno ureditev odnosov vedno leži pri upravljavcu osebnih podatkov. Pogodbeni obdelovalec pa mora upoštevati domačo zakonodajo glede zavarovanja osebnih podatkov in sklenjeno pogodbo.Prijazen pozdrav.Informacijski pooblaščenec:Mojca Prelesnik, univ.dipl.prav.,pooblaščenkaPripravil:Jelena Burnik državna nadzornica za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026