Pogodbena obdelava osebnih podatkov za šole + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.01.2008 Številka: 0712-1092/2007/2 Kategorije:Šolstvo --> Kategorije: Šolstvo Spoštovani, prejeli smo vaše elektronsko sporočilo. V njem navajate, da prodajate program za šolski urnik. Šolam bi želeli izvesti tudi prve izračune na vaših prenosnikih, za kar bi morali od njih pridobiti imena in priimke ter razrede učencev, imena in priimke učiteljev ter predmete, ki jih učijo, ne pa tudi njihovih davčnih številk, EMŠO in telefonskih številk. Navajate, da trenutno šoli samo prodate program in jo naučite uporabe tega programa, pri čemer jim običajno na njihovih programih pomagate vnašati podatke. V bodoče pa nameravate omenjene osebne podatke vnašati kar v vašem podjetju, pri čemer bodo podatki pri vas samo začasno tj. do konca pravilnega vnosa, kasneje pa nameravate imeti te podatke tudi na vašem strežniku. V zvezi s tem vas zanima, ali morate za omenjeno obdelavo osebnih podatkov sprejeti kakšen dokument o varovanju teh podatkov. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji: Kot pogodbeni obdelovalec osebnih podatkov morate v pisno pogodbo s šolo (t.j. upravljavcem osebnih podatkov učencev in učiteljev), s katero določite medsebojne pravice in obveznosti v zvezi z obdelavo osebnih podatkov, vključiti tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
- člena ZVOP. Ker kot pogodbeni obdelovalec izvajate ali nameravate izvajati različne vrste obdelave osebnih podatkov, morate z upravljavcem skleniti dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, ki bo za vsako od posameznih vrst pogodbene obdelave določal postopke in ukrepe za zavarovanje teh osebnih podatkov. Ker sta torej upravljavec in pogodbeni obdelovalec osebnih podatkov dolžna take postopke in ukrepe v celoti določiti že v pogodbi, s katero se slednjemu poveri obdelava osebnih podatkov, sprejetje posebnega Pravilnika o zavarovanju teh podatkov s strani pogodbenega obdelovalca ni potrebno. O b r a z l o ž i t e v: Osebni podatek je v skladu z
- tč.
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Zbirka osebnih podatkov je v skladu z
- tč.
- člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Upravljavec osebnih podatkov je v skladu z
- tč.
- člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec je v skladu z
- tč.
- člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. Pogodbeno obdelavo osebnih podatkov ureja
- člen ZVOP-1, ki v
- odstavku določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje take dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
- člena ZVOP-
- Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
- člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
- člena tega zakona. V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon. V primeru prenehanja pogodbenega obdelovalca se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov. Iz povedanega sledi, da gre v vseh primerih obdelave osebnih podatkov, ki jih opisujete v svojem dopisu za pogodbeno obdelavo osebnih podatkov. Kot pogodbeni obdelovalec v vašem podjetju obdelujete osebne podatke že zdaj, ko šoli, v okviru usposabljanja stranke za uporabo prodanega programa, pomagate pri vnosu osebnih podatkov njihovih učencev in učiteljev. Prav tako bo šlo za pogodbeno obdelavo osebnih podatkov, ko boste v vašem podjetju sami vnašali osebne podatke v bazo podatkov, saj boste to počeli v imenu in na račun šole, pa tudi ko boste omenjeno bazo šoli zagotavljali na vašem strežniku. V zvezi z vašim vprašanjem, ali v vašem primeru osebne podatke učencev in učiteljev sploh varuje ZVOP-1, glede na to, da obdelujete le imena, priimke in razrede učencev in imena, priimke in predmete, ki jih učijo učiteljev, Informacijski pooblaščenec poudarja, da tudi našteti osebni podatki predstavljajo zbirki osebnih podatkov, kljub temu, da ne obdelujete njihovih EMŠO, davčne številke in telefonske številke, saj so posamezniki, na katere se podatki nanašajo, določljivi že na podlagi podatkov, ki jih obdelujete. Iz dejstva, da ste pogodbeni obdelovalec osebnih podatkov učiteljev in učencev, sledi, da morate s šolo, kot upravljavcem njihovih osebnih podatkov medsebojne pravice in obveznosti v zvezi z obdelavo teh podatkov urediti v pogodbi, ki mora biti sklenjena v pisni obliki in mora obvezno vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, šola pa mora izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov tudi nadzorovati. Poleg tega smete kot pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov le v okviru pooblastil šole in jih ne smete obdelovati v noben drug namen. Pogodbeni obdelovalec je namreč le nekakšna podaljšana roka upravljavca osebnih podatkov, s katerim je v pogodbenem razmerju, zaradi česar bi bila nedopustna vsakršna obdelava osebnih podatkov zunaj naročnikovega pooblastila. V zvezi z vašim vprašanjem, ali morate v zvezi z zavarovanjem obravnavanih podatkov sprejeti kakšen dokument o zavarovanju osebnih podatkov, Informacijski pooblaščenec poudarja, da
- odst.
- člena ZVOP-1 sprejetje akta, v katerem predpiše postopke in ukrepe za zavarovanje osebnih podatkov ter določi osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave svojega dela obdelujejo določene osebne podatke, nalaga le upravljavcem osebnih podatkov, ne pa tudi njihovim pogodbenim obdelovalcem. Slednjim torej za razliko od upravljavcev osebnih podatkov ni treba sprejeti Pravilnika o zavarovanju osebnih podatkov, ki jih obdelujejo kot pogodbeni obdelovalci. Razlog za to, da ZVOP-1 pogodbenim obdelovalcem ne nalaga sprejetja Pravilnika o zavarovanju osebnih podatkov pa je v tem, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov iz
- člena natančno urejeni že v pogodbi, s katero mu upravljavec zaupa osebne podatke v pogodbeno obdelavo, zato ni potrebno urejati že urejene materije v še dodatnem, notranjem aktu pogodbenega obdelovalca. V praksi pa je možna vključitev določb že obstoječega Pravilnika o zavarovanju osebnih podatkov upravljavca teh podatkov (t.j. šole) v pogodbo, s katero se vam poverja obdelava osebnih podatkov, vendar pa zgolj napotitev na tak pravilnik v pogodbi ne zadošča. Informacijski pooblaščenec na podlagi povedanega zaključuje, da morate s pogodbo oziroma pogodbami iz
- odst.
- člena s šolo kot upravljavcem osebnih podatkov učencev in učiteljev urediti medsebojne pravice in obveznosti, za vsako vrsto obdelave osebnih podatkov posebej. To pomeni, da se morate pri vsaki od naštetih vrst pogodbene obdelave s šolo dogovoriti o medsebojnih pravicah in obveznostih ter postopkih in ukrepih iz
- člena ZVOP-1, ki so različni in prilagojeni specifičnostim posamezne vrste pogodbene obdelave. Medsebojne pravice in obveznosti med vami in šolo in postopki in ukrepi za zavarovanje osebnih podatkov iz
- člena ZVOP-1 bodo namreč drugačni v primeru, ko šoli samo pomagate pri vnosu osebnih podatkov v bazo podatkov, od medsebojnih pravic in obveznosti ter postopkov in ukrepov v primeru, ko sami vnašate osebne podatke, ki vam jih posreduje šola in od tistih v primeru, ko se baze osebnih podatkov učencev in učiteljev obdelujejo na vašem strežniku. Zato morata z upravljavcem osebnih podatkov za vsako od treh vrst pogodbene obdelave, ki jo po vaših navedbah izvajate oziroma nameravate izvajati v vašem podjetju skleniti posebno pogodbo iz
- člena ZVOP-1, lahko pa tudi v enotni pogodbi uredita medsebojne pravice in obveznosti v zvezi z posamezno vrsto pogodbene obdelave osebnih podatkov in določita postopke in ukrepe za zavarovanje osebnih podatkov pri posamezni vrsti pogodbene obdelave teh podatkov. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026