Pravilnik o zavarovanju osebnih podatkov družbe matere in hčerinske družbe - IPRS

Pravilnik o zavarovanju osebnih podatkov družbe matere in hčerinske družbe + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 26.12.2006 Številka: 0712-503/2006/2 Kategorije:Razno, Register zbirk osebnih podatkov --> Kategorije: Register zbirk osebnih podatkov, Razno Spoštovani, prejeli smo vašo elektronsko pošto z dne 19.12.2006.Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (UL RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
5. člena Zakona o informacijskem pooblaščencu (UL RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Spraševali ste nas:Smo krovna delniška družba, ki ima še dve hčerinski družbi, organizirani kot družbi z omejeno odgovornostjo. Imamo izdelan Pravilnik o zavarovanju osebnih podatkov, ki pa velja tudi za hčerinski družbi. Zanima pa nas, ali bi moral biti Pravilnik o zavarovanju osebnih podatkov izdelan za vsako družbo posebej, ali pa je dovolj, če je pravilnik sprejet v delniški družbi in sočasno velja tudi za hčerinski družbi. Večino zbirk osebnih podatkov iz kataloga zbirk osebnih podatkov vodimo namreč kot krovna - delniška družba tudi za hčerinski družbi, ki sta organizirani kot družbi z omejeno odgovornostjo in torej ti dve družbi ne vodita nobenih evidenc po Zakonu o evidencah na področju dela, pač pa ena družba izmed obeh hčerinskih družb vodi samo evidenco videoposnetkov, in to na dveh različnih lokacijah, medtem ko druga hčerinska družba ne vodi nobenih evidenc osebnih podatkov.Za obravnavo konkretnega primera ni bistveno vprašanje ali in katere od vaših družb vodijo evidence po Zakonu o evidencah na področju dela. Pomembno je, da obdelujejo osebne podatke, kamor se nedvomno uvršča tudi vodenje evidence videoposnetkov. Obdelava osebnih podatkov, kot jo opredeljuje ZVOP-1, je namreč zelo širok pojem, določen v
6. tč.
7. člena kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).Zakon o gospodarskih družbah (UL RS, št. 42/2006, v nadaljevanju ZGD-1) v
8. členu odvisno družbo opredeljuje kot pravno samostojno družbo, ki jo neposredno ali posredno obvladuje druga družba (obvladujoča družba). Navedli ste tudi, da sta hčerinski družbi organizirani kot družbi z omejeno odgovornostjo (ZGD-1, členi
9. in nadaljnji).Šesta točka
10. člena ZVOP-1 določa, da je upravljavec osebnih podatkov fizična ali pravna oseba, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov. Glede na navedeno je zavezanec vsaka gospodarska družba ali posameznik. ZVOP-1 torej ne dopušča možnosti, da bi kot isti upravljavec osebnih podatkov veljali povezani družbi temveč določa, da je vsaka gospodarska družba, ne glede na kapitalski delež drugih družb, po
11. tč.
12. člena ZVOP-1 samostojen upravljavec osebnih podatkov. Delniška družba mati je v vašem primeru torej očitno pogodbeni obdelovalec za vodenje evidenc, zato morata družbi med seboj skleniti pogodbo v skladu z
13. členom ZVOP-1.Pooblaščenec na podlagi vaših podatkov ugotavlja, da je hčerinska družba organizirana kot družba z omejeno odgovornostjo, torej kot samostojna družba. Kot taka je upravljavec vseh tistih zbirk osebnih podatkov, ki jih vodi sama v smislu
14. tč.
15. odst. ZVOP-
16. V smislu ZVOP-1 gre torej za več različnih subjektov ter zato za več različnih upravljavcev osebnih podatkov. Iz tega izhaja, da morajo vse posamezne pravno samostojne pravne osebe pri obdelavi osebnih podatkov ravnati v skladu z drugim odstavkom
17. člena ZVOP-1, ki določa sprejetje internih aktov. Pravilnik oz. notranji akt iz
18. člena ZVOP-1 s katerim se predpisujejo postopki in ukrepi za zavarovanje osebnih podatkov, je tako dolžan sprejeti vsak upravljavec osebnih podatkov. V vašem primeru gre za hčerinsko podjetje, ki pa je samostojna pravna oseba zato mora tudi ta sprejeti svoj pravilnik. Enako velja tudi glede katalogov zbirk osebnih podatkov in posredovanja podatkov iz katalogov nadzornemu organu. Ni pa zadržka, da je takšen pravilnik identičen v hčerinskih družbah (če imajo seveda iste postopke varovanja, hranjenja ali drugega obdelovanja podatkov). Pravilnik delniške družbe matere pa nikakor ne more nadomestiti pravilnika hčerinske družbe. Ta kot samostojna pravna oseba odgovarja tudi za vse prekrške in ne družba mati.Prijazen pozdrav, Informacijski Pooblaščenec Nataša Pirc Musar, univ., dipl., prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026