Posredovanje OP kupcev v Nemčijo in Vietnam - IPRS

Posredovanje OP kupcev v Nemčijo in Vietnam + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.08.2007 Številka: 0712-713/2007/2 Kategorije:Iznos osebnih podatkov v tretje države --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je po elektronski pošti prejel vaša zgoraj navedena dopisa, v katerih navajate, da se bo v hčerinski družbi (d.o.o.) za namene izdelave kartice ugodnosti zbiralo naslednje podatke: ime, priimek, naslov, e-mail naslov in številka telefona. Prav tako se bodo evidentirali datumi nakupov ter vsebina in višina nakupov. Zbrani osebni podatki bodo posredovani pogodbenemu obdelovalcu podatkov v Nemčijo (razen zneskov, datumov in vsebine nakupov, ki bodo posredovani le družbi materi v Nemčijo), le ta pa jih bo posredoval svoji samostojni enoti v Vietnamu. Iz Vietnama bodo nato podatki posredovani družbi materi nazaj v Nemčijo, kjer se bodo tudi hranili kot zbirka osebnih podatkov. V zvezi s takšno obdelavo osebnih podatkov vas zanima:
3. Ali je za izvoz podatkov v Vietnam potrebna izdaja odločbe slovenskega Pooblaščenca, čeprav gre izvoz osebnih podatkov v Vietnam preko Nemčije in ima družba mati pogodbo s pogodbenim obdelovalcem podatkov v Nemčiji ter pridobljeno tudi odločbo nemškega organa, da je v Vietnamu zagotovljeno zadostno varstvo podatkov?
4. V kolikor je takšna odločba potrebna vas zanima, na kakšni osnovi je izdana (ali je osnova pogodba med družbo materjo in družbo hčerko ter pogodbenim obdelovalcem v Nemčiji, ali mora biti stranka pogodbe tudi enota v Vietnamu) ter koliko časa ponavadi traja, da se takšna odločba izda?
5. Ali je s strani Pooblaščenca podana kakšna zahteva glede pogodbenega odnosa med družbo hčerko v Sloveniji, družbo materjo v Nemčiji ter pogodbenim obdelovalcem v Nemčiji? Družba mati ima že pogodbo s pogodbenim obdelovalcem v Nemčiji glede podatkov, ki se zbirajo v Nemčiji.
6. Ali je pravilno stališče, da mora hčerinska družba v Sloveniji, ki podatke le zbira, zbirka podatkov pa se nahaja pri materinski družbi v Nemčiji, sprejeti interni pravilnik o varstvu osebnih podatkov ter Pooblaščencu v skladu z Zakonom o varstvu osebnih podatkov prijaviti, kateri podatki in za kakšne namene se zbirajo? Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
7. točke prvega odstavka
8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07 in 67/07, v nadaljevanju ZVOP-1) ter
9. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje. Pooblaščenec v zvezi z zastavljenimi vprašanji uvodoma pojasnjuje, da je za odgovor na zastavljena vprašanja potrebno najprej ugotoviti, ali se obe, torej hčerinska družba v Sloveniji ter družba mati v Nemčiji, štejeta kot upravljavca osebnih podatkov osebnih podatkov oseb, ki bodo hčerinski družbi v Sloveniji za namene izdaje kartice ugodnosti posredovale svoje osebne podatke, ali pa se ena od navedenih družb šteje kot upravljavec osebnih podatkov, druga pa kot njen pogodbeni obdelovalec. Upravljavec osebnih podatkov je v
10. točki
11. člena ZVOP-1 definiran kot fizična, pravna ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določna z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec pa je v
12. točki
13. člena ZVOP-1 definiran kot fizična ali pravna oseba, ki obdelujejo osebne podatke v imenu in za račun upravljavca osebnih podatkov. V zvezi z definicijo izraza »obdelovalec osebnih podatkov« je potrebno opozoriti še na določbe
14. člena ZVOP-1, iz katerih izhaja, da mora biti posameznik, na katerega se osebni podatki nanašajo, seznanjen z informacijami o tem, kdo je upravljavec osebnih podatkov. V
15. odstavku
16. člena ZVOP-1 je določeno, da mora upravljavec osebnih podatkov ali njegov zastopnik posamezniku sporočiti naslednje informacije, če z njimi posameznik še ni seznanjen: – podatke o upravljavcu osebnih podatkov in njegovem morebitnem zastopniku (osebno ime, naziv oziroma firma in naslov oziroma sedež), – namen obdelave osebnih podatkov. Če je glede na posebne okoliščine zbiranja osebnih podatkov iz prejšnjega odstavka potrebno, da se zagotovi zakonita in poštena obdelava osebnih podatkov posameznika, mora oseba iz prejšnjega odstavka posamezniku skladno z določbami
17. odstavka
18. člena ZVOP-1 sporočiti tudi dodatne informacije, če posameznik z njimi še ni seznanjen, zlasti: – navedbo uporabnika ali vrste uporabnikov njegovih osebnih podatkov, – navedbo, ali je zbiranje osebnih podatkov obvezno ali prostovoljno, ter možne posledice, če ne bo prostovoljno podal podatkov, – informacijo o pravici do vpogleda, prepisa, kopiranja, dopolnitve, popravka, blokiranja in izbrisa osebnih podatkov, ki se nanašajo nanj. Kadar gre za povezane družbe, je potrebno pri določanju upravljavca osebnih podatkov upoštevati tudi določbe Zakona o gospodarskih družbah (Uradni list RS, št. 42/06 s spremembami, v nadaljevanju ZGD-1). V skladu s
19. členom ZGD-1 se družbe v večinski lasti in družbe z večinskim deležem, odvisne in obvladujoče družbe, koncernske družbe, družbi, ki sta vzajemno kapitalsko povezani ter družbe, ki so povezane s podjetniškimi pogodbami, štejejo med t. i. povezane družbe. V
20. členu ZGD je tudi določeno, da so takšne družbe pravno samostojne družbe, zaradi česar se takšne povezane družbe z vidika določb
21. točke
22. člena ZVOP-1 štejejo kot samostojni obdelovalci osebnih podatkov, z vidika določb
23. točke
24. člena ZVOP-1 pa se določene povezane družbe lahko šteje tudi kot pogodbeni obdelovalci. O tem, ali se posamezne povezane družbe štejejo kot samostojni upravljavci določenih zbirk osebnih podatkov ali pa le kot pogodbeni obdelovalci, je potrebno presojati tako z vidika samega načina obdelave osebnih podatkov ter dogovora v zvezi s tem med povezanimi družbami, kot tudi z vidika namena obdelave osebnih podatkov, pravne podlage za obdelavo osebnih podatkov (
25. in
26. člen ZVOP-1) ter informaciji, ki so skladno z določbami
27. člena dane posamezniku, na katerega se podatki nanašajo. Kot je razbrati iz vaših dopisov in pojasnil, bo slovenska hčerinska družba zbirala osebne podatke imetnikov kartice ugodnosti ter za tem njihove osebne podatke posredovala v Nemčijo in sicer tamkajšnjemu pogodbenemu obdelovalcu, podatke o nakupih pa bo posredovala družbi materi. Pogodbeni obdelovalec v Nemčiji bo za tem osebne podatke posredoval v obdelavo svoji samostojni enoti v Vietnam, od koder se bodo osebni podatki vrnili družbi materi v Nemčijo, kjer se bodo tudi hranili ter vodili kot zbirka podatkov ter uporabljali za marketinške namene. Iz opisanega ravnanja ter informacij je sicer mogoče sklepati, da se slovenska hčerinska družba šteje kot pogodbeni obdelovalec, družba mati v Nemčiji pa kot upravljavec osebnih podatkov imetnikov kartice ugodnosti, vendar pa tega ni mogoče z gotovostjo potrditi. Zaradi tega vam v nadaljevanju podrobneje pojasnjujemo, kdaj se v opisanem primeru posamezna družba šteje kot upravljavec osebnih podatkov in kdaj kot pogodbeni obdelovalec ter kako je potrebno ravnati v posameznem primeru. 1.) Kadar hčerinska družba v Sloveniji posreduje osebne podatke družbi materi v Nemčijo z namenom, da le ta v imenu in za račun hčerinske družbe zgolj opravi posamezna opravila v zvezi z obdelavo osebnih, se hčerinska družba v Sloveniji šteje kot upravljavec osebnih podatkov, družba mati v Nemčiji pa se šteje kot pogodbeni obdelovalec. Družba mati lahko v takšnem primeru kot pogodbeni obdelovalec skladno z določili
28. člena ZVOP-1 obdeluje osebne podatke le v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Poleg tega mora biti kot pogodbeni obdelovalec registrirana za opravljanje dejavnosti oz. za opravljanje opravil, ki ji zaupane s pogodbo in mora zagotavljati ustrezne postopke in ukrepe za zavarovanje osebnih podatkov iz
29. člena ZVOP-1, izvajanje teh postopkov in ukrepov pa nadzoruje upravljavec osebnih podatkov. Pogodba s pogodbenim obdelovalcem mora biti skladno z določbami
30. odstavka
31. člena ZVOP-1 obvezno sklenjena v pisni obliki in mora obvezno vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
32. člena ZVOP-
33. Poleg tega morajo biti v pogodbi jasno navedene tudi medsebojne pravice in obveznosti ter v tem okviru še zlasti pooblastila pogodbenemu obdelovalcu v zvezi z opravljanjem posameznih opravil obdelave osebnih podatkov. Iz določb
34. člena ZVOP-1 izhaja, da lahko na način in pod pogoji iz tega člena, posamezna opravila v zvezi z obdelavo osebnih podatkov pogodbenemu upravljavcu zaupa le upravljavec osebnih podatkov. To pomeni, da pogodbeni upravljavec, kateremu so s strani upravljavca osebnih podatkov zaupana posamezna opravila v zvezi z obdelavo osebnih podatkov, zaupanih opravil ne more s pogodbo zaupati drugemu pogodbenemu upravljavcu. V primeru, da se pokaže, da bo posamezna opravila, ki so s pogodbo zaupana pogodbenemu upravljavcu, bolje ali ceneje opravil pogodbeni partner pogodbenega obdelovalca, mora upravljavec osebnih podatkov tudi s takšnim partnerjem skleniti pogodbo iz
35. člena ZVOP-
36. V takšnem primeru obstaja tudi možnost, da upravljavec osebnih podatkov že na samem začetku sklene tripartitno pogodbo, ki mora biti seveda sklenjena v skladu z določili
37. člena ZVOP-
38. Iz zgoraj pojasnjenega izhaja, da mora v primeru, ko se za upravljavca osebnih podatkov šteje hčerinska družba v Sloveniji, le ta skleniti samostojne ali pa večpartitne pogodbe z vsemi pogodbenimi obdelovalci osebnih podatkov. V primeru, da bo kateri od pogodbenih obdelovalcev posamezna opravila v zvezi z obdelavo osebnih podatkov opravljal v tretji državi, za katero nadzorni organ države, v kateri je registriran oziroma ima sedež upravljavec osebnih podatkov, še ni ugotovil, da zagotavlja ustrezno raven varstva osebnih podatkov, mora upravljavec osebnih podatkov pred iznosom oziroma posredovanjem osebnih podatkov pogodbenemu obdelovalcu v tretji državi, pridobiti odločbo organa, ki je pristojen za varstvo osebnih podatkov. Če se torej kot upravljavec osebnih podatkov šteje slovenska hčerinska družba, mora le ta za iznos osebnih podatkov pridobiti odločbo slovenskega organa, to je Pooblaščenca. Pri tem ima možnost, da zaprosi za odločbo, ki jo Pooblaščenec izdaja na podlagi
39. člena ZVOP-1, ali pa da, zaprosi za odločbo, ki jo Pooblaščenec izdaja na podlagi
40. odstavka
41. člena ZVOP-
42. Glede na to, da se v postopku za izdajo odločbe iz
43. člena ugotavlja ustrezna raven varstva osebnih podatkov v tretji državi in obstaja možnost, da nadzorni organ ugotovi, da tretja država ne zagotavlja ustrezne ravni varstva osebnih podatkov, je v primeru posredovanja osebnih podatkov pogodbenemu upravljavcu v tretji državi lažje in hitreje dobiti posebno odločbo Pooblaščenca iz
44. odstavka
45. člena ZVOP-
46. Upravljavec osebnih podatkov, ki želi dobiti posebno odločbo Pooblaščenca iz
47. odstavka
48. člena ZVOP-1, mora v pogodbi oziroma aneksu k pogodbi s pogodbenim obdelovalcem v tretji državi v celoti uporabiti standardne pogodbene klavzule in oba dodatka iz Odločbe Komisije z dne
49. decembra 2001 o standardnih pogodbenih klavzulah za prenos osebnih podatkov obdelovalcem s sedežem v tretjih državah v skladu z Direktivo 95/46/ES (nostificirana pod dokumentarno številko C