← Slovenija

Posredovanje OP med pravnimi osebami - IPRS

Posredovanje OP med pravnimi osebami + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.01.2015 Številka: 0712-1/2015/170 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Informacijski pooblaščenec je po elektronski pošti prejel vaš dopis v katerem sprašujete kako ustrezno urediti pravna razmerja med pravnimi osebami, ki so del iste poslovne skupine, imajo isto kadrovsko službo in tudi sicer delijo informacijski sistem v obsegu, ki se nanaša na hranjenje kadrovskih podatkov. Dodajate še, da je na ravni poslovne skupine natančno določeno kdo ima dostop do katerih podatkov in v kakšnem obsegu. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  3. točke
  4. odstavka
  5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
  6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.ZVOP-1 glede obdelave osebnih podatkov s strani pravnih oseb loči tri kategorije subjektov: upravljavce osebnih podatkov, pogodbene obdelovalce in uporabnike osebnih podatkov. Status izhaja iz namena obdelave konkretnih osebnih podatkov. Je pa pomemben zato, ker določa, katere osebne podatke lahko kdo obdeluje, za kakšen namen in komu je pri tem podrejen.Ne glede na to morajo biti pravna razmerja med posameznimi pravnimi osebami pri obdelavi osebnih podatkov ustrezno urejena s pogodbami, zagotovljena mora biti pravna podlaga za obdelavo, v pravilnikih mora biti določeno kdo lahko dostopa do katerih podatkov, prav tako morajo biti predpisani in uvedeni ustrezni tehnični in organizacijski ukrepi za varovanje osebnih podatkov.Obrazložitev:I. Osnovni pojmi ZVOP-1Najprej je potrebno (do)ločiti osnovne pojme, ki jih uporablja ZVOP-1 pri urejanju obdelave osebnih podatkov.
  7. člen zakona med drugim določa: Obdelava osebnih podatkov – pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).Upravljavec osebnih podatkov – je fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave.Pogodbeni obdelovalec – je fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov.Uporabnik osebnih podatkov – je fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki.II. Pravna podlaga za obdelavo osebnih podatkovZVOP-1 v
  8. členu določa kdaj je dopustna obdelava osebnih podatkov v zasebnem sektorju. To je bistven pogoj, ki mora biti v vsakem primeru izpolnjen.1) Osebni podatki v zasebnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika.

(2)Ne glede na prejšnji odstavek se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.
(3)Ne glede na prvi odstavek tega člena se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki.Zgoraj citirani določbi drugega in tretjega odstavka
  1. člena ZVOP-1 se v primeru, da so izpolnjeni pogoji, ki jih ti dve določbi vsebujeta, štejeta kot neposredna zakonska podlaga za obdelavo osebnih podatkov v zasebnem sektorju. V primeru obdelave osebnih podatkov zaposlenih je pri presoji pravne podlage za obdelavo osebnih podatkov potrebno izhajati iz določb
  2. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13 in 78/13, v nadaljevanju ZDR-1), kjer je v prvem odstavku določeno, da lahko delodajalec zbira in obdeluje le tiste osebne podatke delavca, ki so določeni s tem ali z drugim zakonom, ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Drugi odstavek nadalje še določa, da osebne podatke delavcev lahko zbira, obdeluje, uporablja in posreduje tretjim osebam samo delodajalec ali delavec, ki ga delodajalec za to posebej pooblasti.Obdelavo osebnih podatkov ter vrsto in vsebino evidenc na področju dela, podrobneje ureja Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06, v nadaljevanju ZEPDSV), kjer so evidence, ki jih vodijo delodajalci, določene v III. delu.III. Kaj storiti v vašem konkretnem primeruGlede na to, da Pooblaščenec ne pozna vseh okoliščin vašega primera, odgovor ne more biti v celoti konkreten. Kljub temu je potrebno upoštevati naslednje zahteve ZVOP-1:
  3. in
  4. člen določata zavarovanje osebnih podatkov, ki obsega logične in tehnične ukrepe s katerimi se osebni podatki zavarujejo pred nepooblaščenim dostopanjem in obdelavo, hkrati pa se omogoči ugotavljanje kdaj so bili ti podatki spremenjeni. V vašem primeru je torej potrebno ustrezno zavarovati strežnik, na katerem se obdelujejo zbirke osebnih podatkov (požarni zidovi, posodobitve programske opreme, zaščita pred škodljivo kodo), omejiti pravice dostopa (kdo lahko dostopa do katerega nivoja), zagotoviti sledljivost (npr. s konfiguracijo t.i. »logov«, ki naj omogočajo ugotavljanje kdo je dostopal do strežnika in katere podatke je spreminjal), vse naštete ukrepe pa je seveda potrebno vsaj v splošnem predpisati v notranjih pravilnikih.. Tam naj bodo določene tudi odgovorne osebe. Na podlagi vašega dopisa je mogoče sklepati, da je to že urejeno. K temu je treba opozoriti, da je zbirke osebnih podatkov, ki se vodijo na istem strežniku, njihovi izvorni upravljavci pa so različen pravne osebe, potrebno voditi ločeno in jih brez ustrezne pravne podlage ni dopustno združevati ali povezovati.Ker se bodo podatki nahajali znotraj Republike Slovenije, ni potrebno upoštevati določb ZVOP-1 o iznosu osebnih podatkov v tretje države. Enako bi veljalo, če bi se podatki prenašali znotraj držav članic EU. Za t.i. tretje države (izven EU) pa veljajo dodatne (strožje) zahteve. Vendar, kot zapisano, v vašem primeru to ne pride v poštev.Pravno podlago za obdelavo osebnih podatkov zaposlenih in namen uporabe njihovih osebnih podatkov primarno določa
  5. člen ZDR-1, kar pomeni, da se osebni podatki zaposlenih lahko obdelujejo le za namene uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem in druge v zakonu določene namene. Zaradi tega morate zagotoviti, da se bodo osebni podatki, ki jih vodite v zbirkah podatkov, uporabljali le za te namene. Iz dopisa izhaja, da namen ostaja enak, se bo pa te podatke uporabljalo znotraj različnih pravnih oseb v isti poslovni skupini. Na tem mestu morate sami analizirati kdo je izvorna točka zajema osebnih podatkov (npr. podjetje A), t.j. delodajalec kot pravni subjekt, ki je podatke izvorno pridobil od posameznikov. Če želi podjetje B, ki je (po evidencah AJPES) samostojna pravna oseba, te podatke obdelovati, to lahko stori na dva načina: ali jih na podlagi pogodbe obdeluje za namene in v imenu podjetja A, ali pa jih izjemoma obdeluje samostojno za svoje namene oz. potrebe, ki so lahko identični ali pa različni od namenov podjetja A, vendar le pod pogojem, da ima za takšno obdelavo ustrezno pravno podlago (v smislu določb
  6. člena ZVOP-1). V prvem primeru postane podjetje B pogodbeni obdelovalec podjetja A. Med obema podjetjema mora biti sklenjena pisna pogodba, kot le to določa
  7. člen ZVOP-
  8. V takšni pogodbi, s katero podjetji uredita medsebojne pravice in obveznosti, mora biti jasno določeno, katera opravila v zvezi z obdelavo osebnih podatkov je podjetje A kot upravljavec osebnih podatkov zaupalo pogodbenemu upravljavcu (podjetju B), poleg tega pa mora pogodba vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov. Podjetje B lahko kot pogodbeni obdelovalec dobljene osebne podatke obdeluje le v okviru s pogodbo določenih pooblastil podjetja A in dobljenih osebnih podatkov ne sme uporabljati za noben drug namen. V drugem primeru pa gre za dva različna upravljavca osebnih podatkov. Če podjetje A pridobi podatke od zaposlenih in jih hrani kot kadrovske evidence, potem lahko podjetju B takšne osebne podatke posreduje z namenom, da jih podjetje B vključi v svoje zbirke ali jih uporablja za svoje lastne potrebe le pod pogojem, da ima za takšno obdelavo ustrezno pravno podlago. Kot pravna podlaga, ki bi podjetje B pooblaščala za uporabo osebnih podatkov zaposlenih v podjetju A za svoje lastne potrebe, bi se z vidika določb
  9. člena ZVOP-1 lahko štela:· določba
  10. člena ZDR-1, vendar le pod pogojem, da je obdelava osebnih podatkov posameznika potrebna in primerna za namene uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem;· osebna privolitev posameznika, ki pa je lahko veljavna le pod pogojem, da je dana povsem prostovoljno (privolitev v nobenem primeru ne sme biti izsiljena), ter da so bile posamezniku pred podajo osebne privolitve dane vse informacije iz prvega in drugega odstavka
  11. člena ZVOP-1;· določba drugega odstavka
  12. člena ZVOP-1, vendar le pod pogojem, da je obdelava osebnih podatkov posameznika potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe;· določba tretjega odstavka
  13. člena ZVOP-1, vendar le pod pogojem, da je obdelava osebnih podatkov posameznika nujno potrebna zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti očitno prevladajo nad interesi posameznika, na katerega se nanašajo osebni podatki.Celotna shema se nekoliko zaplete, če imamo podjetje A, ki je delniška družba, lastniki te družbe pa so podjetja B, C in D. V tem primeru še vedno gre za ločene pravne osebe, ki so funkcionalno, finančno in kadrovsko pogosto zelo prepletene, vendar pa je tudi v takšnih primerih pravno podlago v zvezi z obdelavo osebnih podatkov potrebno iskati v okviru zgoraj navedenih pravnih podlag za obdelavo osebnih podatkov.Najbolj varna pozicija izvornega upravljavca (torej podjetja, ki neposredno zajame podatke od posameznikov) je, da natančno določi ne le namen uporabe, pač pa tudi obseg uporabe, t.j. ali bo te podatke obdelovalo samo ali pa bodo podatke obdelovale tudi lastniško povezane družbe. Praviloma velja, da brez ustrezne pravne podlage niti lastniško povezane družbe osebnih podatkov ne smejo obdelovati, razen kot pogodbeni obdelovalci za namen »izvornega« upravljavca.Prijazen pozdrav,Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.