Prenos baz podatkov na drugo družbo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.07.2015 Številka: 0712-1/2015/1958 Kategorije: --> Kategorije: Informacijski pooblaščenec je prejel vaše elektronsko sporočilo, v katerem pojasnjujete, da se tri podjetja nameravajo pod okriljem enega od teh treh podjetij, ki s formalnopravnega vidika vodi določen projekt, pogodbeno združiti z željo, da zasnujejo nov marketinški model, ki naj bi se glede na uspešnost v roku pol leta spremenil v novo entiteto, z organizacijsko obliko d.o.o. V fazi projekta vse pravne osebe, vsaka za ostali dve, od fizičnih oseb pridobivajo soglasja za obdelavo osebnih podatkov, kar pomeni, da se soglasja za kontaktiranje v marketinške namene pobirajo za vse pravne osebe, torej je vsaka od pravnih oseb drugima dvema podjetjema pogodbeni obdelovalec osebnih podatkov. Zanima vas:1. Kako z vidika varstva osebnih podatkov urediti, da se lahko tako pridobljena soglasja za tri pravne osebe, za namene točno določenega projekta, lahko prenesejo naprej v novoustanovljeno pravno osebo? Ali lahko sklepate, da skladno z določili Zakona o gospodarskih družbah, novo pravno osebo, ki jo ustanovijo prej opisane pravne osebe, lahko štejete za univerzalnega naslednika, kjer je potem to novo podjetje glede določenega posla (izčlenitev določenega projekta) nosilec baze osebnih podatkov, s katero novoustanovljeno podjetje legalno nadaljuje poslovanje? 2. Kaj pa v primeru, da ena pravna oseba iz projekta izstopi ter v projekt vstopi kot družbenik nova pravna oseba ter potrem skupaj, s preostalima podjetjema, ki sta že bila pogodbeno vezana za namene določenega projekta, ustanovijo čisto novo pravno osebo, namen uporabe baze osebnih podatkov ostaja enak. Če slednje ni mogoče, kako sicer že v fazi projekta formulirati soglasje fizične osebe za marketinške namene, da bi se lahko bazo legalno uporabljalo za posel novoustanovljene pravne osebe.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec ni pristojen ugotavljati, ali je način združevanja oz. delitve družb, kot ga opisujete, skladen z Zakonom o gospodarskih družbah in ali prenos, kot ga opisujete, dejansko pomeni izčlenitev oz. bi bila nova entiteta dejansko univerzalni naslednik, kot ga določa ZGD-1. V primeru delitve ali združevanja družb, skladnega z ZGD-1, kjer lahko govorimo o univerzalnem nasledstvu, pa zakonsko pravno podlago za posredovanje osebnih podatkov novi družbi dejansko lahko predstavlja ZGD-1 in niso potrebna nova soglasja posameznikov. Pri tem opozarjamo na določbe 19. člena ZVOP-1, po katerem mora upravljavec osebnih podatkov (prevzemna družba) ki osebnih podatkov ni zbrala neposredno od posameznika, na katerega se nanašajo, posamezniku najpozneje ob vpisu ali posredovanju osebnih podatkov uporabniku osebnih podatkov sporočiti podatke o upravljavcu osebnih podatkov in njegovem morebitnem zastopniku, namenu obdelave osebnih podatkov, informacijo o vrsti zbranih podatkov, navedbo uporabnika ali vrste uporabnikov njegovih osebnih podatkov ter informacijo o pravici do vpogleda, prepisa, kopiranja, dopolnitve, popravka, blokiranja in izbrisa osebnih podatkov, ki se nanašajo nanj.Vnovično deljenje nove družbe in morebitni vstopi novih družbenikov morajo potekati skladno z ZGD-1, z vidika varstva osebnih podatkov pa je potrebno upoštevati, da mora za vsak prenos osebnih podatkov na novega upravljavca osebnih podatkov (na drugo pravno ali fizično osebo) obstajati pravna podlaga, bodisi v osebni privolitvi posameznikov, bodisi v zakonu. V primeru univerzalnega nasledstva pri združevanju in delitvah gospodarskih družb pravno podlago za obdelavo osebnih podatkov s strani nove družb lahko predstavlja ZGD, hkrati pa je posameznike potrebno o novem upravljavcu vedno obvestiti skladno z določbami tretjega in četrtega odstavka 19. člena ZVOP-1. V primeru, da pri združevanju ali delitvah ne gre za univerzalno nasledstvo, pa je potrebno iskati pravno podlago za posredovanje osebnih podatkov novi družbi v privolitvi posameznikov. Privolitev mora vedno temeljiti na jasnem obvestilu o tem, kdo je (oz. v prihodnosti
- bo)upravljavec osebnih podatkov, za kakšen namen osebne podatke obdeluje, priporočljivo pa je tudi obvestilo o tem, koliko časa se bodo podatki hranili.Obrazložitev:Pravna podlaga za obdelavo osebnih podatkov v zasebnem sektorju je v skladu z določbami 10. čl. ZVOP-1, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Kot pojasnjujete, tri družbe zbirajo in obdelujejo osebne podatke strank na podlagi njihove privolitve, hkrati pa vsaka za drugi dve predstavljata pogodbenega obdelovalca osebnih podatkov.1. Prenos osebnih podatkov treh družb na novo nastalo družboInformacijski pooblaščenec ni pristojen ugotavljati, ali je način združevanja oz. delitve družb, kot ga opisujete, skladen z Zakonom o gospodarskih družbah (Ur.l. RS, št. 65/09 uradno prečiščeno besedilo, s spremembami in dopolnitvami, v nadaljevanju ZGD-1) in ali prenos, kot ga opisujete, dejansko pomeni izčlenitev oz. bi bila nova entiteta dejansko univerzalni naslednik, kot ga določa ZGD-1. Pristojnost Informacijskega pooblaščenca je omejena le na področje varstva osebnih podatkov. Zakonsko pravno podlago v smislu zgoraj navedenega 10. člena ZVOP-1 v primeru, kot ga opisujete, lahko predstavlja ZGD-1, če bi šlo dejansko za prenos dela družb na način, kot ga opredeljuje ZGD-1 v 623. členu, ki določa, da je delitev družbe med drugim tudi t.i. izčlenitev (tudi oddelitev) s prevzemom, ki se opravi s prenosom vseh ali posameznih delov premoženja prenosne družbe, ki z izčlenitvijo (oddelitvijo) ne preneha, na prevzemne ali nove družbe. V takem primeru prevzemna ali nova družba kot univerzalni pravni naslednik vstopi v vsa pravna razmerja v zvezi s premoženjem, katerih subjekt je bila prenosna družba. Bistvena pravna posledica univerzalnega nasledstva je namreč v tem, da prevzemni (novi) pravni subjekt celostno vstopi v pravni položaj prenosnega pravnega subjekta in da je njegov pravni naslednik glede celote pravic obveznosti in pravnih razmerij. V tem je tudi razlog, da se za prenos obveznosti po poti univerzalnega pravnega nasledstva ne zahteva soglasje pogodbenih partnerjev prenosnega pravnega subjekta (seveda tudi ne z vidika obdelave osebnih podatkov). Glede na navedeno prevzemni družbi ni potrebno pridobivati novih soglasij strank za obdelavo njihovih osebnih podatkov, če so jih stranke že predhodno podale prevzetim družbam in jih bo prevzemna družba obdelovala za identičen namen, za katerega so bila soglasja podana. Na tej točki velja pa opozorilo, da prevzete družbe za obdelavo osebnih podatkov, ki so z izčlenitvnijo prešli na prevzemno družbo, nimajo več pravne podlage in torej ne sme nastati situacija, kjer bi baze osebnih podatkov, zbrane za namen projekta, obdelovale tri prevzete družbe, hkrati pa tudi novoustanovljena prevzemna družba. Po izčlenitvi se take baze osebnih podatkov lahko nahajajo le pri novoustanovljeni družbi. Pri tem pa opozarjamo tudi na določbe tretjega in četrtega odstavka 19. člena ZVOP-1, po katerih mora upravljavec osebnih podatkov (prevzemna družba) ali njegov zastopnik v primeru, da osebni podatki niso bili zbrani neposredno od posameznika, na katerega se nanašajo in je glede na posebne okoliščine zbiranja potrebno, da se zagotovi zakonita in poštena obdelava osebnih podatkov, posamezniku najpozneje ob vpisu ali posredovanju osebnih podatkov uporabniku osebnih podatkov sporočiti podatke o upravljavcu osebnih podatkov in njegovem morebitnem zastopniku (osebno ime, naziv oziroma firma in naslov oziroma sedež), namenu obdelave osebnih podatkov, informacijo o vrsti zbranih podatkov, navedbo uporabnika ali vrste uporabnikov njegovih osebnih podatkov ter informacijo o pravici do vpogleda, prepisa, kopiranja, dopolnitve, popravka, blokiranja in izbrisa osebnih podatkov, ki se nanašajo nanj. Slednje pa seveda velja le v kolikor ne gre za prodajo pravne osebe kot celote. V takšnem primeru namreč ne gre za spremembo upravljavca, saj je upravljavec baze še vedno ista pravna oseba, spremenil se je le njen lastnik, zato obveščanje posameznikov o spremembi upravljavca ni potrebno.2. Vstop novega družbenika v novoustanovljeno družboVstop novega družbenika v že obstoječo družbo samo po sebi nima nobenega vpliva na obdelavo osebnih podatkov. Upoštevati je namreč potrebno, da se kot upravljavec osebnih podatkov šteje obstoječa družba in ne njeni lastniki oz. družbeniki. Vprašanja delitve in združevanja gospodarskih družb ureja zakonodaja s področja gospodarskih družb. Vnovično deljenje nove družbe in morebitni vstopi novih družbenikov morajo tako potekati skladno z zakonodajo tega področja. Z vidika varstva osebnih podatkov pa je potrebno upoštevati, da mora za vsak prenos osebnih podatkov obstajati pravna podlaga, bodisi v osebni privolitvi posameznikov, bodisi v zakonu. V primeru univerzalnega nasledstva pri združevanju in delitvah gospodarskih družb pravno podlago za obdelavo osebnih podatkov s strani nove družb lahko predstavlja ZGD, kot v primeru zgoraj, hkrati pa je posameznike potrebno o novem upravljavcu vedno obvestiti skladno s tretjim in četrtim odstavkom 19. člena ZVOP-1. V primeru, da pri združevanju ali delitvah ne gre za univerzalno nasledstvo pa je potrebno iskati pravno podlago za posredovanje osebnih podatkov novi družbi v privolitvi posameznikov. Privolitev pa mora vedno temeljiti na jasnem obvestilu o tem, kdo je (oz. v prihodnosti
- bo)upravljavec osebnih podatkov, za kakšen namen osebne podatke obdeluje, priporočljivo pa je tudi obvestilo o tem, koliko časa se bodo podatki hranili.Prijazen pozdrav.Pripravila: Jelena Burnik, MSc državna nadzornica za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026