Pogodbena obdelava po GDPR + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.05.2018 Številka: 0712-3/2018/359 Kategorije:Pogodbena obdelava OP, Razno --> Kategorije: Pogodbena obdelava OP, Razno Informacijski pooblaščenec (v nadaljevanju IP) je prejel vase vprašanje, glede nove evropske zakonodaje za varstvo osebnih podatkov s Splošno uredbo o varstvu podatkov (Splošna uredba, ang. GDPR), konkretno sprašujete v zvezi s sodelovanjem med upravljavcem in obdelovalcem naslednje: Ali je podjetje A, ki za svoje poslovanje uporablja programsko opremo nameščeno na strežnikih podjetja B, upravljavec, podjetje B pa obdelovalec? Ali mora biti podjetje A, ki uporablja programsko opremo nameščeno na strežnikih podjetja B, podjetje B pa ima svoje strežnike gostujoče pri podjetju C, pisno obveščeno o tem? Kje v zakonodaji je navedeno, da morajo biti pogodbe med upravljavcem in obdelovalcem podatkov pisne? Ali se kot pisno šteje tudi v elektronski obliki? Ali se kot pisno šteje tudi elektronska privolitev v splošne pogoje, če so ti v celoti usklajeni s Splošno uredbo in če so informacije o varovanju podatkov predstavljene na način, kot je omenjen v Splošni uredbi? V zvezi z vašimi vprašanji vam na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) najprej pojasnjujemo, da Informacijski pooblaščenec (v nadaljevanju: IP) dokončne odločitve o zakonitosti določene obdelave osebnih podatkov izven inšpekcijskega postopka ne more podati, zato lahko le podamo pojasnilo glede ureditve pogodbene obdelave, ki izhaja iz Splošne uredbe. Vsako podjetje pa bo moralo to pogodbeno samo urediti. V zvezi z objavo an naši spletni strani pa pojasnjujemo, da IP v kratkem ne načrtuje objave vzorcev pogodb o pogodbeni obdelavi usklajenih z zahtevami Splošne uredbe o varstvu podatkov. Prav tako ni znano, kdaj bodo na voljo standardna pogodbena določila, ki jih lahko sprejme Evropska komisija ali nadzorni organ na podlagi
- oz.
- odstavka
- člena Splošne uredbe o varstvu podatkov. Ta morajo biti pripravljena koordinirano na ravni Evropskega odbora za varstvo podatkov. Ko bo znanega kaj več, bodo informacije objavljene na podstrani o Splošni uredbi. K
- vprašanju Glede na opisano je vaše razumevanje točno, podjetje A, ki za svoje poslovanje uporablja programsko opremo nameščeno na strežnikih podjetja B, je upravljavec, podjetje B pa v tem primeru nastopa kot obdelovalec in zanju veljajo določbe
- člena Splošne uredbe. K
- vprašanju Tudi odgovor na vaše drugo vprašanje je pritrdilen. Podjetje A, ki uporablja programsko opremo nameščeno na strežnikih podjetja B, podjetje B pa ima svoje strežnike gostujoče pri podjetju C, mora biti pisno obveščeno o tem, da je pogodbeni obdelovalec (podjetje B) za izvedbo pogodbene obdelave najelo podjetje C. Prav tako pa mora kot določa
- odstavek
- člena Splošne uredbe podjetje pogodbeni obdelovalec pridobiti od upravljavca za zaposlitev drugega obdelovalca (torej podizvajalca) od upravljavca pisno dovoljenje. K
- vprašanju Obveznost sklepanja pisne pogodbe o pogodbeni obdelavi je določena v
- odstavku
- Člena Splošne uredbe, ki hkrati določa, da se kot pisna oblika šteje tudi elektronska oblika. K
- vprašanju Vprašanja pravnih podlag za obdelavo osebnih podatkov ureja v
- členu, pravnih podlag za obdelavo posebnih vrst (doslej imenovanih občutljivih) osebnih podatkov pa v
- členu. Splošna uredba v
- členu določa več vrst pravnih podlag poleg možnosti pridobitve osebne privolitve, ki mora po Splošni uredbi zadostiti nekoliko strožjim kriterijem kot po ZVOP-1 (več o tem v mnenju IP št. 0712-3/2018/143, ki je dostopno na naši spletni strani: https://www.ip-rs.si/vop/ponovno-pridobivanje-privolitev-za-uporabo-podatkov-za-obvescanje-po-e-posti-3104/ ter v smernicah, ki so jih na to temo pripravili nadzorni organi za varstvo osebnih podatkov: https://www.ip-rs.si/fileadmin/user_upload/Pdf/mnenja/Mednarodna_mnenja/mnenja_na_eu_ravni/20180416_WP259rev01_Article29WPGuidelinesonConsent.pdf . Glede veljavnosti privolitve v elektronski obliki pojasnjujemo, da bi v skladu z uvodno navedbo 32 Splošne uredbe privolitev morala biti dana z jasnim pritrdilnim dejanjem, ki pomeni, da je posameznik, na katerega se nanašajo osebni podatki, prostovoljno, specifično, ozaveščeno in nedvoumno izrazil soglasje k obdelavi osebnih podatkov v zvezi z njim, kot je s pisno, tudi z elektronskimi sredstvi, ali ustno izjavo. Elektronska oblika torej ni ovira pod pogojem, da zadosti drugim pogojem. Opozarjamo pa, da zgolj privolitev v splošne pogoje ne zadosti tem zahtevam po veljavnosti privolitve. V upanju, da ste dobili odgovore na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., Informacijska pooblaščenka Pripravila: Alenka Jerše, namestnica informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026