Pogodbena ureditev razmerij med upravljavcem, obdelovalcem in podobdelovalci + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 31.05.2021 Številka: 07121-1/2021/1001 Kategorije:Pogodbena obdelava podatkov --> Kategorije: Pogodbena obdelava podatkov Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem pojasnjujete, da je bil v vašem podjetju v okviru postopka javnega naročila izbran ponudnik, ki ima podizvajalce na Hrvaškem. Zanima vas, ali morate skleniti pogodbo o obdelavi z glavnim izvajalcem ali tudi z podizvajalci na Hrvaškem. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP vas že uvodoma napotuje na smernice o (pogodbeni) obdelavi osebnih podatkov, ki podrobneje pojasnjujejo razmerje med upravljavcem in obdelovalcem, njune vloge in dolžnost: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf. Kakor IP razume iz vašega dopis, v danem primeru vaše podjetje nastopa kot upravljavec osebnih podatkov, kar pomeni, da določa namene in sredstva obdelave osebnih podatkov. Podjetje, ki je bilo izbrano v postopku javnega naročila, pa nastopa kot obdelovalec podatkov, saj podatke obdeluje v imenu upravljavca. Obdelovalec podatkov pa za namene obdelave podatkov najema druge obdelovalce oziroma podobdelovalce. Ker se podobdelovalec v konkretnem primeru nahaja na Hrvaškem (torej znotraj EU) zanj v celoti velja Splošna uredba o varstvu podatkov in ne gre za prenos podatkov v tretjo državo. V skladu s členom 28
(3)Splošne uredbe o varstvu podatkov morata upravljavec in obdelovalec svoje razmerje pogodbeno urediti. Kaj naj ureja takšna pogodba, vas napotujemo, da si preberete v smernicah na strani 12 in naprej. Obdelovalec lahko zaposli podobdelovalca le pod pogojem, da je prej pridobil posebno ali splošno pisno dovoljenje upravljavca in da zagotovi, da veljajo med obdelovalcem in podobdelovalcem enake obveznosti kot med upravljavcem in obdelovalcem in da je med njima sklenjena pisna pogodba. V skladu z določbo 28
(2)Splošne uredbe o varstvu podatkov obdelovalci ne smejo samostojno najemati podizvajalcev, ki bodo za njih izvajali določene obdelave osebnih podatkov, ki so jih prejeli s strani upravljavca. Temveč morajo obdelovalci za to bodisi pridobiti predhodno posebno ali splošno pisno pooblastilo upravljavca, da lahko posamezna opravila obdelave osebnih podatkov prenesejo na podobdelovalca in z njim sklenejo ustrezno pogodbo, bodisi skleniti ustrezno tripartitno pogodbo med upravljavcem, obdelovalcem in pod-obdelovalcem. Ureditev pogodbene obdelave osebnih podatkov, kot jo določa Splošna uredba o varstvu podatkov, je primarno namenjena temu, da ima (in ohrani) upravljavec nadzor nad obdelavo osebnih podatkov, tj. komu bo zaupal osebne podatke v zunanje izvajanje. S tega vidika mora biti v vsakem primeru vnaprej seznanjen in se strinjati s tem, katere podizvajalce najemajo njegovi obdelovalci, pa tudi s tem, kako posamezni podizvajalci zagotavljajo ustrezno varnost osebnih podatkov ter na kakšen način bo upravljavec izvajal nadzor nad izvajanjem postopkov in ukrepov za zagotavljanje varnosti osebnih podatkov. Posebej mora biti zagotovljena ustrezna varnost osebnih podatkov, in sicer tako, da je podizvajalec zavezan enakim ukrepom, kot jih mora upoštevati obdelovalec. Pomembno je, da so jasno opredeljene tudi odgovornosti obdelovalcev in njihovih morebitnih podizvajalcev, npr. kdo bo odgovarjal v primeru neustrezne varnosti podatkov s strani podizvajalca. IP je v pomoč upravljavcem in obdelovalcem pripravil standardna pogodbena določila za ureditev pogodbenega razmerja med upravljavci in obdelovalci podatkov, ki jih je potrdil Evropski odbor za varstvo osebnih podatkov. Vzorec pogodbe lahko najdete na spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/pogodbena-obdelava#c1938. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026