Pravice pogodbenega obdelovalca pri obdelavi osebnih podatkov - IPRS

Pravice pogodbenega obdelovalca pri obdelavi osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.06.2015 Številka: 0712-1/2015/1639 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Informacijski pooblaščenec je prejel vaš dopis, v katerem opisujete dilemo, na katero ste naleteli kot pogodbeni obdelovalec za podjetje P. Pojasnjujete, da za podjetje P. upravljate bazo podatkov. Vzdrževanje baze in podpora uporabnikov naj bi vas vsak mesec stali 20.000 EUR, podjetje P. pa vam dolguje veliko vsoto denarja, zato ste na točki, ko resno razmišljate o ukinitvi baze oziroma dostopa do same baze na gostujočih strežnikih. Zaradi tega ker upravljavec osebnih podatkov, podjetje P., naj ne bi finančno kril stroškov, ki jih imate kot pogodbeni obdelovalec, vi pa si posledično ne morete več privoščiti vzdrževanja baze podatkov, resno razmišljate o ukinitvi te baze oz. se vam tak ukrep kaže kot neizbežen. Zanima vas, ali lahko kot vzdrževalec baze uporabnike te baze po elektronski pošti (e-naslovi so v bazi) obvestite o tem, da bo baza izbrisana in da imajo možnost narediti kopijo podatkov z izvozom v .xls datoteko. Glede na to, da naj bi podjetje P., ki nastopa kot upravljavec, svojih strank ne želelo obvestiti o tem, da bo baza ukinjena oziroma uporabnikom nedosegljiva, vas zanima, ali lahko kljub pravno formalnim omejitvam (niste namreč lastnik baze) ravnate v korist uporabnikom in jih obvestite o poteku dogodkov ter jim s tem ponudite možnost, da podatke iz baze pred dokončnim izbrisom izvozijo.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Iz vsebine dopisa je razvidno, da vi nastopate kot pogodbeni obdelovalec za podjetje P., ki je upravljavec osebnih podatkov. Pogodbeno obdelavo osebnih podatkov ureja
7. člen ZVOP-
8. Ta v
9. odstavku izrecno določa, da lahko pogodbeni obdelovalec osebne podatke obdeluje zgolj za tiste namene, ki jih določi upravljavec. Z drugimi besedami, če upravljavec ne določi, da lahko oziroma da morate obvestiti uporabnike baze o tem, da bo baza ukinjena, tega na lastno pest sami ne smete storiti, saj bi takšno dejanje predstavljalo kršitev
10. odstavka
11. člena ZVOP-
12. Kljub temu, da je vaš predlog zelo življenjski in bi najbrž koristil uporabnikom, bi se s samovoljnim ravnanjem lahko izpostavili potenacialni prekrškovni in odškodninski odgovornosti. Seveda pa to ne pomeni, da nimate možnosti, ki vam jih ponuja civilno oziroma obligacijsko pravo – npr. tudi odstop od pogodbe, prekinitev pogodbe, vzvodi za poplačilo dolga ali celo kazensko pravo – prijave oziroma ovadbe pri organih pregona v primeru sumov kaznivih dejanj.Za razumevanje opisanega razmerja in dileme, ki iz tega izhaja, je treba opredeliti osnovne koncepte varstva osebnih podatkov kakor jih razume ZVOP-1.Zakon v
13. odstavku
14. člena določa, da je osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.
15. odstavek istega člena še opredeljuje zbirko osebnih podatkov kot vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznikaIz zapisanega izhaja, da je baza podatkov, ki jo opisujete v dopisu in ki po vaših besedah vsebuje elektronske naslove uporabnikov, vsekakor zbirka osebnih podatkov. Uporaba teh podatkov torej predstavlja obdelavo osebnih podatkov, zato je pri tem potrebno upoštevati ustrezne zahteve določb ZVOP-1.Glede na to, da vi oziroma vaše podjetje nastopa kot pogodbeni obdelovalec v imenu in za račun podjetja P., ki nastopa kot upravljavec osebnih podatkov, je treba opredeliti tudi oba pojma, t.j. upravljavec in pogodbeni obdelovalec, prav tako pravice in dolžnosti, ki iz teh opredelitev izvirajo. ZVOP-1 v
16. odstavku
17. člena opredeljuje upravljavca osebnih podatkov kot fizično ali pravno osebo ali drugo osebo javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma osebo, določeno z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec pa je glede na opredelitev
18. odstavka fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov.Pravice in dolžnosti upravljavca in pogodbenega obdelovalca opredeljuje
19. člen ZVOP-1: