Pogodbena obdelava osebnih podatkov za uporabnike informacijskega sistema - IPRS

Pogodbena obdelava osebnih podatkov za uporabnike informacijskega sistema + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.02.2007 Številka: 0712-216/2007/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani,Dne 22.2.2007 je Informacijski pooblaščenec (v nadaljevanju: Pooblaščenec) prejel vaš dopis z vprašanjem v zvezi s prijavo zbirk osebnih podatkov, s katerimi se srečujete pri opravljanju svojih storitev. V dopisu navajate, da je _______ podjetje, ki zagotavlja informacijsko strukturo in informacijske sisteme za svoje naročnike, ki jih uporabljajo za potrebe svojega poslovanja. Bistven del vaših storitev se nanaša na vodenje zbirk različnih vrst podatkov, ki jih zbirajo vaši naročniki, hranijo in obdelujejo pa se preko vaše storitve, ki deluje na vašem informacijskem sistemu. Za boljšo ponazoritev podajate opis svojih produktov: - ______ je informacijski sistem, namenjen osnovnim šolam, ki ga uporabljajo za potrebe obveznega izobraževanja in za izvajanje z Zakonom o osnovni šoli določenih nalog. Informacijski sistem vsebuje tudi osebne podatke učencev in njihovih staršev in zaposlenih delavcev šole, v skladu z Zakonom o osnovni šoli; - ________ – Srednje šole je informacijski sistem, podoben ______, le da je namenjen za srednje šole; - ______ je informacijski sistem, ki je bil razvit za potrebe vodenja evidenc, obvladovanja dokumentov in načrtovanja usposabljanja in nabave opreme v prostovoljnih gasilskih organizacijah; - _______ je spletni informacijski sistem, ki je bil izdelan v sodelovanju v ______ zvezo Slovenije. Razvit je bil za potrebe vodenja evidenc, obvladovanja dokumentov, planiranja gospodarjenja z divjadjo; - _______ je informacijski sistem poročanja o intervencijah in nesrečah. Ki je bil razvit za potrebe Uprave RS __________. Izdelan je kot spletna aplikacija; - _________ je enotni informacijski sistem __________ in je namenjen vodenju evidenc članstva in izdelavi poročil o nesrečah, po katerih so posredovane enote _______.Navajate, da vse vaše storitve delujejo na način, pri katerih se podatki, ki jih vodijo vaši uporabniki (ti vsebujejo tudi osebne podatke), hranijo na vašem informacijskem sistemu, do katerega pa imajo dostop le njegovi uporabniki. Pooblaščenca sprašujete, kdo je zavezan prijaviti zbirke osebnih podatkov, ki se vodijo v okviru vaših storitev? Po vašem mnenju je ________ zgolj pogodbeni obdelovalec navedenih zbirk osebnih podatkov, ki jih na svojih informacijskih sistemih hrani v skladu s pogodbami, sklenjenimi z naročniki, ter v skladu z Zakonom o varstvu osebnih podatkov, Zakonom o varstvu dokumentarnega in arhivskega gradiva ter arhivih in drugimi veljavnimi predpisi. Na podlagi navedenega sklepate, da so za prijavo teh zbirk osebnih podatkov odgovorne tiste osebe, ki podatke zbirajo, torej vaši naročniki – osnovne šole, gasilske organizacije,…Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje.Pooblaščenec uvodoma podaja nekaj splošnih povzetkov ZVOP-1 za izdelavo kataloga zbirk osebnih podatkov in vnos v register.Osebni podatek je v skladu s
6. tč.
7. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Zbirka osebnih podatkov je v skladu s
8. tč.
9. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Katalog in register zbirk urejajo členi 26 do 28 ZVOP-
10. Vsebina kataloga je določena v
11. členu ZVOP-
12. V skladu s prvim odstavkom
13. člena ZVOP-1 mora upravljavec osebnih podatkov za vsako zbirko (torej tudi zbirko o vaših strankah, če so te – vsaj del zbirke – fizične osebe) osebnih podatkov vzpostaviti katalog zbirke osebnih podatkov, ki vsebuje:
14. naziv zbirke osebnih podatkov;
15. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko);
16. pravno podlago za obdelavo osebnih podatkov;
17. kategorije posameznikov, na katere se nanašajo osebni podatki;
18. vrste osebnih podatkov v zbirki osebnih podatkov;
19. namen obdelave;
20. rok hrambe osebnih podatkov;
21. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev;
22. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov;
23. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa;
24. splošen opis zavarovanja osebnih podatkov;
25. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig;
26. podatke o zastopniku iz tretjega odstavka
27. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).Drugi odstavek
28. člena ZVOP-1 določa, da mora upravljavec osebnih podatkov skrbeti za točnost in ažurnost kataloga.Prvi odstavek
29. člena določa, katere dele kataloga mora upravljavec osebnih podatkov sporočiti državnemu nadzornemu organu (Informacijskemu pooblaščencu). Zaradi boljše preglednosti so ti deli kataloga zgoraj poudarjeni. Te podatke mora upravljavec sporočiti najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Upravljavec mora Pooblaščencu v skladu z drugim odstavkom
30. člena sporočiti tudi spremembe podatkov, in sicer najkasneje v osmih dneh od dneva spremembe.Edina izjema, ki jo določa ZVOP-1 glede sporočanja v register zbirk, je navedena v tretjem odstavku
31. člena. V skladu s tem podatkov iz prvega odstavka tega člena ni potrebno posredovati tistemu upravljavcu osebnih podatkov, ki nima več kot 20 oseb zaposlenih za nedoločen čas, o tistih zbirkah osebnih podatkov, ki jih o svojih zaposlenih vodi v skladu z zakonom, ki določa zbirke osebnih podatkov na področju dela (zgolj te zbirke, poudaril Pooblaščenec). Vendar pa mora vseeno v tem primeru vsakomur zagotoviti informacije iz
32. člena tega zakona. V skladu z vsem navedenim mora torej upravljavec zbirke osebnih podatkov pred vzpostavitvijo zbirke osebnih podatkov – npr. evidence poslovnih partnerjev, evidence zaposlenih, evidence prisotnosti na delu … – vzpostaviti katalog zbirk osebnih podatkov in podatke, ki jih zahteva
33. člena ZVOP-1, pravočasno sporočiti Informacijskemu pooblaščencu. V vašem dopisu navajate, da ste podjetje, ki zagotavlja informacijsko strukturo in informacijske sisteme za svoje naročnike, ki jih uporabljajo za potrebe svojega poslovanja, kar pomeni, da na podlagi pogodbenega razmerja opravljate storitve za svoje stranke. V okviru teh storitev torej za vaše stranke, t.j. za druga podjetja obdelujete osebne podatke, zato Pooblaščenec opozarja na razlikovanje med upravljavcem osebnih podatkov in pogodbenim obdelovalcem teh podatkov. ZVOP-1 v
34. tč.
35. člena določa, da je upravljavec osebnih podatkov fizična ali pravna oseba, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec osebnih podatkov, pa je tista fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in za račun upravljavca osebnih podatkov (
36. tč.
37. člena ZVOP-1). Vaše podjetje je torej pogodbeni obdelovalec vseh tistih osebnih podatkov, ki jih obdeluje v imenu in na račun vaših strank – podjetij, katerim nudite svoje storitve. Upravljavci teh osebnih podatkov in s tem zavezanci za vzpostavitev katalogov zbirk osebnih podatkov in njihovo posredovanje Pooblaščencu so torej v vašem primeru podjetja in organizacije, katerim nudite svoje storitve, in ne vi. Vaše podjetje je zavezano vzpostaviti kataloge zbirk osebnih podatkov in jih sporočiti Pooblaščencu le za tiste zbirke osebnih podatkov, pri katerih sami nastopate kot upravljavec osebnih podatkov, ko gre torej za »vaše« zbirke osebnih podatkov.Povedano pomeni, da vam kot obdelovalcu osebnih podatkov ni potrebno prijavljati zbirk, ki jih obdelujete za svoje naročnike, v register, ki ga vodi Pooblaščenec. Ste namreč pogodbeni obdelovalec, dolžnost sporočanja zbirk osebnih podatkov, pa se razteza zgolj na upravljavce, torej v konkretnem primeru osnovne šole, srednje šole, gasilske organizacije, Zvezo_____, itd., za katere izvajate storitve. Kljub vsemu pa morate, v skladu z določbami
38. člena ZVOP-1, sprejeti vse tiste ukrepe za zavarovanje osebnih podatkov, ki izhajajo iz
39. člena navedenega zakona. Kar pomeni, da v pogodbi o pogodbeni obdelavi dorečete obdelavo osebnih podatkov, postopke varovanja teh podatkov ter določilo o tem, kdo od zaposlenih pogodbenih obdelovalcev ima pravico dostopa do teh podatkov.Kot pogodbenemu obdelovalcu vam tudi ni treba sprejeti pravilnika o zavarovanju osebnih podatkov, saj ZVOP-1 v drugem odstavku
40. člena k temu zavezuje le upravljavce osebnih podatkov (način zavarovanja osebnih podatkov je namreč potrebno doreči v pogodbi o pogodbeni obdelavi, ki naj zajema postopke in ukrepe iz
41. člena ZVOP-1). Kljub temu lahko, zaradi zagotovitve ustreznega zavarovanja osebnih podatkov, tudi kot njihov pogodbeni obdelovalec sprejmete tak pravilnik in v njem predpišete postopke in ukrepe za zavarovanje osebnih podatkov.S spoštovanjem,Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026