Posredovanje OP strank drugemu upravljavcu - IPRS

Posredovanje OP strank drugemu upravljavcu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.03.2021 Številka: 07121-1/2021/470 Kategorije:Upravljanje gospodarskih družb --> Kategorije: Upravljanje gospodarskih družb Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje, v katerem navajate, da vaša stranka v okviru svojega poslovanja upravlja z osebnimi podatki kupcev. V ta namen od kupcev pridobiva le tiste osebne podatke, ki služijo za izpolnitev pogodbenih zavez, pozive na zaključek naročila, pozive na oceno kupljenega blaga in za potrebe direktnega marketinga (ime, priimek, naslov, elektronski naslov). Vaša stranka je v 100% lasti druge družbe, s katero se ima namen statusno pripojiti. Že sedaj ima vaša stranka pravico uporabljati blagovno znamko nove družbe, tako pri prodaji, kot pri marketingu. Zaradi tehnoloških razlogov pa bi že pred tem nova družba v celoti prevzela poslovanje vaše stranke. Vaša stranka bi tako statusno še vedno obstajala (do statusne pripojitve), a ne bi več poslovala, saj bi to prevzela nova družba. Vaša stranka bi vse pogodbene zaveze do kupcev izpolnila pred statusnim prenehanjem (pripojitvijo). Nova družba, ki bo pred statusno pripojitvijo že pričela s poslovanjem, bi želela nadaljevati z direktnim marketingom kupcem naše stranke (tudi s pozivi na zaključek naročila in pozivi na oceno kupljenega blaga). Ker vaša družba že uporablja blagovno znamko nove družbe, bi bil direktni marketing nove družbe povsem enak dosedanjemu marketingu. A je dejstvo, da nova družba od kupcev ni pridobila takšnega soglasja, temveč je to bila vaša stranka. Rešitev, ki jo imate v mislih, je naslednja. Vaša stranka in nova družba skleneta pogodbo o izvajanju storitev direktnega marketinga (tudi s pozivi na zaključek naročila in pozivi na oceno kupljenega blaga) in hkrati pogodbo o obdelavi osebnih podatkov. V njej bi se dogovorili, da bo nova družba za vašo stranko izvajala storitev direktnega marketinga preko nove družbe, ki bo enako zavezana varovati osebne podatke. Vljudno prosite za stališče do navedenega. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Uvodoma pojasnjujemo, da IP v okviru mnenja ne more presojati zakonitosti konkretne obdelave osebnih podatkov. Presojo o ustreznosti lahko IP izvede le v okviru inšpekcijskega postopka. Glede na navedeno v nadaljevanju podajamo zgolj splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov v opisani situaciji. Iz opisanega v vašem dopisu izhaja, da gre v konkretni situaciji najverjetneje za prenos dejavnosti obdelave osebnih podatkov od enega upravljavca k drugemu. Kot navajate se bosta družbi sicer v prihodnosti statusno pripojili, vendar pa gre do trenutka formalnopravne pripojitve, posamezni družbi obravnavati kot ločena upravljavca. Za prenos osebnih podatkov drugemu upravljavcu je treba zagotoviti ustrezno pravno podlago po členu 6 Splošne uredbe o varstvu podatkov, ki lahko izhaja tudi iz določb Zakona o gospodarskih družbah. V zvezi s prenosom podatkov drugemu upravljavcu pred samo statusno pripojitvijo in ob pogoju, da bi vaša stranka statusno še naprej obstajala, pa bi lahko bil ta izveden na podlagi pogodbe o obdelavi osebnih podatkov iz člena 28 Splošne uredbe o varstvu podatkov. V zvezi z navedeno rešitvijo opozarjamo, da se lahko skladno z določbo člena 5