← Slovenija

Pogodbena obdelava osebnih podatkov za tujo pravno osebo - IPRS

Pogodbena obdelava osebnih podatkov za tujo pravno osebo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 26.11.2006 Številka: 0712-376/2006/2 Kategorije:Register zbirk osebnih podatkov --> Kategorije: Register zbirk osebnih podatkov Spoštovani,prejeli smo vašo elektronsko pošto z dne 20.11.2006.Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  3. točke prvega odstavka
  4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
  5. in
  6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Spraševali ste nas:Zanima vas ali gre v primeru, ko pravna oseba registrirana v Republiki Sloveniji, po pogodbi o opravljanju računovodskih storitev, za tujo pravno osebo opravlja omenjene storitve in pri tem neizbežno obdeluje tudi osebne podatke zaposlenih v tuji pravni osebi, za pogodbeno obdelavo in ali je potrebno glede te obdelave vzpostaviti katalog osebnih podatkov in ga posredovati informacijskemu pooblaščencu, v skladu z zakonom o varstvu osebnih podatkov? Zanima vas tudi, kdo je v takem primeru dolžan vzpostaviti zbirke osebnih podatkov in ali pogodba o opravljanju storitev za obdelavo osebnih podatkov zadostuje, ali morate za obdelavo osebnih podatkov skleniti novo pogodbo?Pooblaščenec uvodoma podaja nekaj splošnih povzetkov ZVOP-1 za izdelavo kataloga zbirk osebnih podatkov in vnos v register.Osebni podatek je v skladu s prvo točko
  7. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Zbirka osebnih podatkov je v skladu s peto točko
  8. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Katalog in register zbirk urejajo členi 26 do 28 ZVOP-
  9. Vsebina kataloga je določena v
  10. členu ZVOP-
  11. V skladu s prvim odstavkom
  12. člena ZVOP-1 mora upravljavec osebnih podatkov za vsako zbirko (torej tudi zbirko o vaših strankah, oz njihovih zaposlenih, če so te – vsaj del zbirke – fizične osebe) osebnih podatkov vzpostavi katalog zbirke osebnih podatkov, ki vsebuje:
  13. naziv zbirke osebnih podatkov;
  14. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko);
  15. pravno podlago za obdelavo osebnih podatkov;
  16. kategorije posameznikov, na katere se nanašajo osebni podatki;
  17. vrste osebnih podatkov v zbirki osebnih podatkov;
  18. namen obdelave;
  19. rok hrambe osebnih podatkov;
  20. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev;
  21. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov;
  22. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa;
  23. splošen opis zavarovanja osebnih podatkov;
  24. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig;
  25. podatke o zastopniku iz tretjega odstavka
  26. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).Drugi odstavek
  27. člena ZVOP-1 določa, da mora upravljavec osebnih podatkov skrbeti za točnost in ažurnost kataloga.Prvi odstavek
  28. člena določa, katere dele kataloga mora upravljavec osebnih podatkov sporočiti državnemu nadzornemu organu (Informacijskemu pooblaščencu). Zaradi boljše preglednosti so ti deli kataloga zgoraj poudarjeni. Te podatke mora upravljavec sporočiti najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Upravljavec mora Pooblaščencu v skladu z drugim odstavkom
  29. člena sporočiti tudi spremembe podatkov, in sicer najkasneje v osmih dneh od dneva spremembe.Edina izjema, ki jo določa ZVOP-1 glede sporočanja v register zbirk, je navedena v tretjem odstavku
  30. člena. V skladu s tem podatkov iz prvega odstavka tega člena ni potrebno posredovati tistemu upravljavcu osebnih podatkov, ki nima več kot 20 oseb zaposlenih za nedoločen čas, o tistih zbirkah osebnih podatkov, ki jih o svojih zaposlenih vodi v skladu z zakonom, ki določa zbirke osebnih podatkov na področju dela (zgolj te zbirke, poudaril Pooblaščenec). Vendar pa mora vseeno v tem primeru vsakomur zagotoviti informacije iz
  31. člena tega zakona. V skladu z vsem navedenim morate torej pred vzpostavitvijo zbirke osebnih podatkov – npr. evidence kupcev, evidence zaposlenih, evidence za potrebe pokojninskega in invalidskega zavarovanja, evidence prisotnosti na delu … – vzpostaviti katalog zbirk osebnih podatkov in podatke, ki jih zahteva
  32. člena ZVOP-1, pravočasno sporočiti Informacijskemu pooblaščencu. V svojem dopisu navajate, da ste računovodski servis in, da obdelujete osebne podatke zaposlenih svojega naročnika, ki je tuja pravna oseba, zato Pooblaščenec opozarja na razlikovanje med upravljavcem osebnih podatkov in pogodbenim obdelovalcem teh podatkov. ZVOP-1 v šesti točki
  33. člena določa, da je upravljavec osebnih podatkov fizična ali pravna oseba, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec osebnih podatkov pa je tista fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. Knjigovodski servis, ki ga vodite, je torej pogodbeni obdelovalec vseh tistih osebnih podatkov, ki jih obdeluje v imenu in na račun vaših naročnikov – podjetij, katerim nudite svoje storitve, ne glede na njihov sedež. Upravljavci teh osebnih podatkov in s tem zavezanci za vzpostavitev katalogov zbirk osebnih podatkov in njihovo posredovanje Pooblaščencu so torej v vašem primeru podjetja in samostojni podjetniki, katerim nudite svoje knjigovodske storitve in ne vi kot servis. Kot knjigovodski servis ste zavezani vzpostaviti kataloge zbirk osebnih podatkov in jih sporočiti Informacijskemu pooblaščencu le za tiste zbirke osebnih podatkov, pri katerih sami nastopate kot upravljavec osebnih podatkov, ko gre torej za »vaše« zbirke osebnih podatkov.V zvezi z vprašanjem, ali za obdelavo osebnih podatkov potrebujete novo pogodbo, je Pooblaščenec mnenja, da ta verjetno ni potrebna, kajti obstoječe pogodbeno razmerje med vami in vašim poslovnim partnerjem, ki je pravna oseba registrirana v tujini, bi moralo zadostovati, v kolikor predvideva obdelavo osebnih podatkov, postopke varovanja teh podatkov ter določilo o tem, kdo od zaposlenih pogodbenih obdelovalcev ima pravico dostopa do teh podatkov.Povedano pomeni, da vam, kot obdelovalcu osebnih podatkov ni potrebno prijavljati zbirk, ki jih obdelujete za tujega naročnika, prijavljati v register, ki ga vodi Pooblaščenec. Ste namreč pogodbeni obdelovalec, dolžnost sporočanja zbirk osebnih podatkov, pa se razteza zgolj na upravljavce, torej v konkretnem primeru tujo pravno osebo, za katero izvajate računovodske storitve. Kljub vsemu pa morate, v skladu z določbami
  34. člena ZVOP-1, sprejeti vse tiste ukrepe za zavarovanje osebnih podatkov, ki izhajajo iz
  35. člena navedenega zakona. Ob tem Pooblaščenec pripominja še, da ste dolžni ustvariti katalog zbirk osebnih podatkov in ga vpisati v register samo za osebne podatke, pri katerih ste upravljavec sami (na primer, če imate več kot 20 delavcev zaposlenih za nedoločen čas).Iz vašega vprašanja ni razvidno, ali pod nazivom tuji naročnik mislite na tujega v smislu iz tujine ali zgolj tujega v smislu drugega naročnika. Če gre za naročnika iz tujine, ki je vaš poslovni partner in za katerega izvajate računovodske storitve, je potrebno razlikovati med naročnikom iz Evropske unije in naročnikom iz t.i. tretjih držav, torej izven EU. Zato Pooblaščenec na tem mestu izpostavlja še
  36. člen ZVOP-1, ki v prvem odstavku določa, da ta zakon velja za obdelavo osebnih podatkov, če je upravljavec osebnih podatkov ustanovljen, ima sedež ali je registriran v Republiki Sloveniji ali če je podružnica upravljavca registrirana v Republiki Sloveniji. Drugi odstavek istega člena nadalje določa, da velja ta zakon tudi, če upravljavec osebnih podatkov ni ustanovljen, nima sedeža oziroma ni registriran v državi članici Evropske unije, oziroma ni del Evropskega gospodarskega prostora in za obdelavo osebnih podatkov uporablja avtomatsko in drugo opremo. Ki se nahaja v Republiki Sloveniji, razen, če se ta oprema uporablja samo za prenos osebnih podatkov preko ozemlja Republike Slovenije. Tretji odstavek istega člena pa določa, da mora upravljavec zbirk osebnih podatkov iz prejšnjega člena določiti fizično ali pravno osebo, ki ima sedež ali je registrirana v Republiki Sloveniji, ki ga zastopa glede obdelave osebnih podatkov v skladu s tem zakonom. Izpostavljene določbe prvega, drugega in tretjega odstavka
  37. člena ZVOP-1, poenostavljeno pomenijo, da če je sedež upravljavca v EU, mora osebne podatke, ki jih obdeluje v register prijaviti sam upravljavec v tej evropski državi in ne pogodbeni upravljavec v Republiki Sloveniji (prvi odstavek), določbe drugega in tretjega odstavka pa smiselno pomenijo, da v kolikor je sedež upravjavca izven EU, pogodbeni izvajalec pa pri nas, mora pogodbeni upravljavec zbirke osebnih podtakov s katerimi razpolaga, prijaviti pri nas.Pooblaščenec kljub povedanemu opozarja, da je že nekaj časa obvezen vnos v register preko spletnega obrazca na spletni strani Pooblaščenca http://www.ip-rs.si/index.php?id=450, kjer si lahko ogledate tudi vnose drugih zavezancev. Na tej strani boste našli tudi podrobna navodila, kako poteka vnos v register.Posebej pa Pooblaščenec opozarja še, da zakon vse zavezance že zavezuje za izdelavo katalogov zbirk osebnih podatkov in vnos v register. Pooblaščenec v okviru inšpekcijskih nadzorov že nadzira kataloge zbirk osebnih podatkov in tudi ustrezno ukrepa, če teh zavezanec nima. Tako od oktobra 2006 dalje ukrepa tudi pri vseh zavezancih, ki zahtevanih podatkov niso sporočili v register zbirk osebnih podatkov.Lep pozdrav,Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.