Posredovanje OP predpogodbenemu obdelovalcu v Indijo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.04.2016 Številka: 0712-1/2016/815/908 Kategorije:Iznos osebnih podatkov v tretje države --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je
- 2016 prejel vaš dopis, v katerem prosite za mnenje glede posredovanja osebnih podatkov upravljavca s sedežem v EU s strani njegovega pogodbenega obdelovalca s sedežem v drugi državi EU, pogodbenemu podobdelovalcu s sedežem v tretji državi. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- tč.
- odst.
- čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Pooblaščenec meni, da morate v konkretnem primeru za namen prenosa osebnih podatkov, katerih upravljavec ste, s strani vašega pogodbenega obdelovalca s sedežem v EU, pogodbenemu pod-obdelovalcu s sedežem v tretji državi, skleniti ustrezno pogodbo (ali s pomočjo t.i. standardnih pogodbenih klavzul v obliki tripartitne pogodbe med vsemi tremi uporabniki osebnih podatkov ali pa s pomočjo modelnih pogodbenih klavzul, ki jih za primere, kot je vaš, priporoča Delovna skupina za varstvo osebnih podatkov iz
- člena Direktive 95/46/ES). S tem boste zadostili zahtevi po ustrezni pravni podlagi za samo obdelavo podatkov. Poleg tega pa morate zadostiti še zahtevi po pravni podlagi za prenos podatkov v tretjo državo, kar v konkretnem primeru pomeni, da morate pred samim začetkom izvajanja prenosa osebnih podatkov v tretjo državo dobiti dovoljenje (odločbo) IP za iznos osebnih podatkov.O b r a z l o ž i t e v:Iznos podatkov v tretje države (npr. Indija) je urejen v
- do
- členu ZVOP-1 in določa, da je iznos podatkov dovoljen, kadar je
(1)skladen s tem zakonom in kadar je
(2)pri iznosu zagotovljena ustrezna raven varstva osebnih podatkov. Glede prvega pogoja je v konkretnem primeru kot pravna podlaga relevanten
- člen ZVOP-1, ki določa pogoje za t.i. pogodbeno obdelavo osebnih podatkov. Kot že sami navajate v svojem dopisu, imate kot upravljavec osebnih podatkov s svojim pogodbenim obdelovalcem, ki ima sedež prav tako v EU, sklenjeno pogodbo o pogodbeni obdelavi osebnih podatkov (ta mora zadostiti kriterijem, ki jih določa
- člen ZVOP-1 – gl. smernice IP o pogodbeni obdelavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf). Ta pogodbeni obdelovalec pa ima namen del obdelave osebnih podatkov s pogodbo prenesti na pogodbenega pod-obdelovalca s sedežem v tretji državi. Glede na dejstvo, da se bodo osebni podatki, katerih upravljavec ste, na koncu obdelovali v tretji državi, morate zagotoviti, da boste kot upravljavec osebnih podatkov ves čas imeli (in ohranili) nadzor nad obdelavo osebnih podatkov. S tega vidika morate biti v vsakem primeru vnaprej seznanjeni (in se strinjati) s tem, katere podizvajalce najemajo vaši pogodbeni obdelovalci, pa tudi s tem, kako posamezni podizvajalci zagotavljajo ustrezno zavarovanje osebnih podatkov ter na kakšen način boste izvajali nadzor nad izvajanjem postopkov in ukrepov za zavarovanje osebnih podatkov. Vaš pogodbeni obdelovalec ne sme samostojno najemati podizvajalcev, ki bodo za njega izvajali določene obdelave osebnih podatkov, ki jih je prejel z vaše strani, ampak morajo za to bodisi pridobiti vaše predhodno pisno pooblastilo, da lahko posamezna opravila obdelave osebnih podatkov prenesejo na pod-obdelovalca in z njim sklenejo ustrezno pogodbo, ali pa morate vi, kot upravljavec, ter pogodbeni obdelovalec in pogodbeni pod-obdelovalec, skleniti ustrezno tripartitno pogodbo. Če se boste odločili za sklenitev tripartitne pogodbe, vam priporočamo, da v pogodbo v celoti vključite t.i. standardne pogodbene klavzule o prenosu osebnih podatkov od upravljavca k pogodbenemu obdelovalcu v tretji držav, ki jih je sprejela Evropska komisija: http://eur-lex.europa.eu/legal-content/SL/TXT/?uri=CELEX%3A32010D0087, saj te veljajo za takšne, da zagotavljajo primerne zaščitne ukrepe glede varstva zasebnosti ter temeljnih pravic in svoboščin posameznikov in glede uresničevanja ustreznih pravic, ter hkrati zadostijo tudi vsem zahtevam iz
- člena ZVOP-1, saj štejejo kot pisna pogodba med upravljavcem osebnih podatkov in pogodbenim obdelovalcem, iz katere so razvidne medsebojne pravice in obveznosti, poleg tega pa skupaj z obema dodatkoma vsebujejo tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
- člena ZVOP-
- Če pa se boste odločili razmerje s pogodbenim pod-obdelovalcem urediti na način, da bo na podlagi vaše privolitve vaš pogodbeni obdelovalec s pogodbenim pod-obdelovalcem sam sklenil pogodbo, pa vam svetujemo uporabo sledečih modelnih pogodbenih klavzul: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp214_en.pdf,. Te sicer zaenkrat še niso uradno potrjene s strani Evropske komisije, jih pa kot primerne priporoča Delovna skupina za varstvo osebnih podatkov iz člena 29 Direktive 95/46/ES, katere član je tudi IP. Kakšen tip pogodbe boste sklenili, je odvisno od vaše presoje in konkretnih razmer, v vsakem primeru pa mora ta pogodba zadostiti zahtevam, ki jih določa
- člen ZVOP-
- Sami navajate, da pravno podlago za iznos osebnih podatkov svojih strank, za katere opravljate storitve plačilnega prometa, torej posameznikov, katerih osebne podatke nameravate iznesti v tretjo državo, zagotavljajo pogodbe, ki jih imate sklenjene s temi strankami, saj te v okviru splošnih pogojev vsebujejo tudi privolitev v posredovanje podatkov sedanjim in prihodnjim odvisnim in obvladujočim družbam v skupini in pogodbenim obdelovalcem, ne glede na njihov sedež, ki imajo najmanj enak standard varovanja osebnih podatkov kot upravljavec, in sicer za namene izvrševanja medsebojnih pogodbenih obveznosti. Res je sicer, da ZVOP-1 v
- točki prvega odstavka
- člena ZVOP-1 iznos osebnih podatkov v tretje države dopušča tudi že zgolj na podlagi osebne privolitve posameznika, na katerega se osebnih podatki nanašajo (pri čemer mora biti posameznik seznanjen s posledicami takšnega posredovanja), in sicer brez zahteve po pridobitvi predhodnega dovoljenja IP, vendar pa je treba poudariti, da gre pri tej določbi za izjemo od določbe prvega odstavka
- člena ZVOP-1 in jo je kot tako treba interpretirati restriktivno. Kot je že večkrat poudarila tudi Delovna skupina za varstvo osebnih podatkov iz člena 29 Direktive 95/46/ES, lahko na izjemi od splošne zahteve po vnaprejšnji pridobitvi privolitve nadzornega organa za iznos osebnih podatkov v tretje države, temeljijo le enkratni, torej posamični prenosi osebnih podatkov, nikakor pa ne množični in ponavljajoči se, kot velja tudi v konkretnem primeru. IP torej meni, da morate, preden se bodo osebni podatki pričeli iznašati v tretjo državo, pridobiti dovoljenje IP. S spoštovanjem,Informacijski pooblaščenec:Mojca Prelesnik, univ. dipl. prav.,pooblaščenkaPripravila:Eva Kalan, državna nadzornica za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026