Pogodbena obdelava osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.05.2021 Številka: 07121-1/2021/877 Kategorije:Pogodbena obdelava podatkov --> Kategorije: Pogodbena obdelava podatkov Informacijski pooblaščenec RS (v nadaljevanju IP) prejel vaše zaprosilo za mnenje. Navajate, da vaša stranka dobavlja delovna oblačila svojemu naročniku. Na oblačila je treba namestiti nalepko z oznako nosilca, ki vsebuje ime in priimek delavca, kateremu je namenjeno oblačilo, velikost oblačila ter naziv delodajalca. Vaša stranka bi namestitev nalepke na oblačilo prepustila v izvedbo svojemu dobavitelju oblačil. V ta namen bi svojemu dobavitelju izročila nalepke z že natisnjenimi podatki nosilcev, ki bi jih ta nato pred dobavo oblačil namestil na oblačila. Zanima vas, ali tako nameščanje nalepk predstavlja pogodbeno obdelavo osebnih podatkov za katero je skladno s Splošno uredbo treba skleniti ustrezno pogodbo? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanjem. Člen 3
(1)Splošne uredbe določa, da se ta uredba uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi. Po definicijah iz člena 4 Splošne uredbe: „obdelava“ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje; „upravljavec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice; „obdelovalec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca; Člena 28
(1)Splošne uredbe določa, da kadar se obdelava izvaja v imenu upravljavca, ta sodeluje zgolj z obdelovalci, ki zagotovijo zadostna jamstva za izvedbo ustreznih tehničnih in organizacijskih ukrepov na tak način, da obdelava izpolnjuje zahteve iz te uredbe in zagotavlja varstvo pravic posameznika, na katerega se nanašajo osebni podatki. Glede na navedbe v vašem dopisu IP razume, da so naročniki vaše stranke delodajalci, ki naročijo delovna oblačila za svoje zaposlene. Za ta namen prejme vaša stranka seznam konfekcijskih številk z imeni in priimki zaposlenih in nazivom delodajalca. Nadalje sklepamo, da navedeno zbirko (seznam) skupaj z izdelanimi nalepkami (verjetno tudi za več naročnikov - delodajalcev), vaša stranka posreduje svojemu dobavitelju oblačil, ki nalepke namesti na ustrezno oblačilo in jih dobavi. Glede na opisane okoliščine, IP meni, da gre v primeru izdelave oblačil z imeni zaposlenih in navedbo njihovih delodajalcev za pogodbeno obdelavo osebnih podatkov – podobno, kot na primer velja za izdelavo imenskih izkaznic za zaposlene (tako mnenje IP: Izdelava izkaznic pri zunanjem izvajalcu št. 0712-3/2018/2714, z dne 07.01.2019). Iz navedenega sledi, da če vaša stranka dobavlja delovna oblačila za naročnike (delodajalci), potem že vaša stranka v razmerju do naročnikov verjetno nastopa v vlogi obdelovalca osebnih podatkov (zaposlenih). V tem primeru mora že vaša stranka v razmerju do svojih naročnikov zagotoviti pogoje glede pogodbene obdelave osebnih podatkov; zlasti pisna pogodba v skladu s členom 28 Splošne uredbe, ki vsebuje vse bistvene sestavine določene v odstavku
(3). Če želi obdelovalec osebnih podatkov (npr. vaša stranka) posredovati osebne podatke naprej v »podobdelavo«, to lahko stori le pod pogoji iz člena 28
(2)Splošne uredbe, ki določa, da obdelovalec ne zaposli drugega obdelovalca brez predhodnega posebnega ali splošnega pisnega dovoljenja upravljavca. V primeru splošnega pisnega dovoljenja obdelovalec upravljavca obvesti o vseh nameravanih spremembah glede zaposlitve dodatnih obdelovalcev ali njihove zamenjave, s čimer se upravljavcu omogoči, da nasprotuje tem spremembam. Za lažjo predstavo razmerij in obveznosti upravljavec – obdelovalec – podobdelovalec je IP izdelal infografiko: GDPR na kratko (dostopna na: https://www.ip-rs.si/publikacije/infografike). Več informacij zvezi s pogodbeno obdelavo osebnih podatkov vsebujejo Smernice o pogodbeni obdelavi osebnih podatkov. Odgovornost za dokončno presojo, v kakšni vlogi nastopa vaša stranka in zunanji dobavitelj v konkretnem primeru, je na vaši stranki in na upravljavcu, saj IP konkretnih obdelav osebnih podatkov izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more presojati. Bistveno za to oceno pa je, ali izvajalec obdeluje osebne podatke za svoj namen ali izključno za namene in po navodilu upravljavca. Opozarjamo tudi, da kolikor je dobavitelj vaše stranke iz tretje države (podatki se bodo posredovali v tretje države), potem je treba za posredovanje osebnih podatkov zagotoviti tudi pogoje za zakonit prenos osebnih podatkov v tretje države (več o tem: infografika – Prenos osebnih podatkov po Splošni uredbi v tretje države in mednarodne organizacije v dveh korakih; smernice o prenosu osebnih podatkov v tretje države). Lep pozdrav, Pripravil: Anže Novak, univ. dipl. prav. Svetovalec Pooblaščenca za preventivo Informacijski pooblaščenec: Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026