Posredovanje preslikave osebnega dokumenta v Rusijo - IPRS

Posredovanje preslikave osebnega dokumenta v Rusijo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 16.04.2021 Številka: 07121-1/2021/751 Kategorije:Delovna razmerja, Posredovanje OP med upravljavci, Pravne podlage, Prenos osebnih podatkov v tretje države ali mednarodne organizacije --> Kategorije: Delovna razmerja, Posredovanje OP med upravljavci, Pravne podlage, Prenos osebnih podatkov v tretje države ali mednarodne organizacije Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaš dopis, v katerem pojasnjujete, da bosta dva delavca iz vašega podjetja odšla v Rusijo k vašemu poslovnemu partnerju. Sedaj od vas zahtevajo, da posredujete preslikavo potnih listov teh dveh delavcev. Skrbi vas glede varnosti posredovanih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP v okviru neobvezujočega mnenja ne more podati konkretne ocene glede zakonitosti določene obdelave osebnih podatkov, temveč se lahko konkretno opredeli šele v postopku inšpekcijskega nadzora. IP vas glede kopiranja potnih listov napotuje na Zakon o potnih listinah (Uradni list RS, št. 29/11 – UPB; v nadaljevanju: ZPLD-1). Iz zakonskih določb ZPLD-1 izhajajo stroge omejitve uporabe potnih listov. Prvenstveno je za namen ugotavljanja istovetnosti predviden le vpogled (oziroma po potrebi tudi prepis), kopiranje pa le ob strožjih pogojih, pri čemer je izrecno prepovedano nadaljnje kopiranje kopije potnega lista in tudi hramba njegove kopije v elektronski obliki. IP vas v zvezi s tem napotuje na že objavljeno mnenje na to temo, kjer je ureditev podrobneje predstavljena: Kopiranje osebnih dokumentov, št. 07121-1/2020/362, z dne 17.03.2020: https://www.ip-rs.si/mnenja-gdpr/6048a4879e79a. Iz vašega dopisa ne izhaja, čemu in kdo točno zahteva preslikavo osebnih dokumentov, npr. ali to zahtevajo državni organi za namen pridobitve vizuma ali vaš poslovni partner ipd. Posledično vam težko enoznačno odgovorimo na vaše vprašanje. Svetujemo vam, da svoja vprašanja naslovite na svojega poslovnega partnerja oz. tistega, ki zahteva podatke (torej glede pravne podlage za obdelavo podatkov, namenov obdelave podatkov, itd.). Kakor je že omenjeno, je takšna zahteva lahko povezana s pridobitvijo vizuma, ki predstavlja pogoj za vstop v državo. IP ugotavlja, da bi v primeru, ko podjetje posreduje osebne podatke svojih delavcev upravljavcu ali obdelovalcu v tretjo državo, lahko šlo za prenos podatkov v tretjo državo. Za zakonito posredovanje osebnih podatkov upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi ali mednarodni organizaciji morata biti izpolnjena dva pogoja, in sicer: Za posredovanje oz. dajanje osebnih podatkov na razpolago upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi mora obstajati katera izmed pravnih podlag, ki so določene v
8. oziroma
9. členu Splošne uredbe o varstvu podatkov, za javni sektor pa dodatno še v
10. členu ZVOP-
11. Obdelovalcu (pravni ali fizični osebi, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) se lahko osebni podatki posredujejo pod pogoji, določenimi v členu 28 Splošne uredbe o varstvu podatkov. Ob izpolnjenem prvem pogoju je prenos osebnih podatkov upravljavcu ali pogodbenemu obdelovalcu v tretji državi ali mednarodni organizaciji dopusten pod pogoji, ki jih ureja V. Poglavje Splošne uredbe o varstvu podatkov, in sicer: če Evropska komisija odloči, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se podatki prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov (člen 45 Splošne uredbe o varstvu podatkov); če izvoznik podatkov zagotovi ustrezne zaščitne ukrepe ter posameznikom zagotovi izvršljive pravice in učinkovita pravna sredstva na podlagi členov 46 in 47 Splošne uredbe o varstvu podatkov; če gre za posebne primere, ki so določeni v členu 49 Splošne uredbe o varstvu podatkov, v katerih so mogoča odstopanja. V danem primeru bi pravno podlago za prenos lahko predstavljal tudi člen 49 oz. točka c iz prejšnjega odstavka, kar pa je odvisno od konkretnih okoliščin v zvezi s prenosom podatkov (glej str. 17 smernic o prenosu podatkov v tretje države). Napotujemo vas na smernice na to temo: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_glede_prenosa_OP_v_tretje_drzave_in_mednarodne_organizacije_po_Splosni_uredbi.pdf. IP nadalje pojasnjuje, da se v skladu s členom 3 Splošne uredbe o varstvu podatkov ta uporablja za obdelavo osebnih podatkov v okviru dejavnosti ustanovitve upravljavca ali obdelovalca v EU, ne glede na to, ali obdelava poteka v EU ali ne. V primeru obdelave podatkov s strani upravljavca v tretji državi (ko ta nima ustanovitve v EU in ne gre za primere iz člena 3