Razmerje med družbama - IPRS

Razmerje med družbama + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 01.03.2021 Številka: 07121-1/2021/393 Kategorije:Pogodbena obdelava podatkov, Skupni upravljavci --> Kategorije: Skupni upravljavci, Pogodbena obdelava podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede narave vašega poslovnega razmerja z družbo, ki bi posredovala pri sklepanju bančnih storitev. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da v okviru mnenja ne more presojati ustreznosti določene programske rešitve, niti ne more vnaprej potrjevati posameznih rešitev z vidika skladnosti s Splošno uredbo o varstvu podatkov. Presojo o ustreznosti namreč lahko izvede le v okviru konkretnega inšpekcijskega postopka. IP tako v okviru mnenja ne more dokončno odgovoriti, ali gre v konkretnem primeru za skupne upravljavce, samostojne upravljavce ali za pogodbeno obdelavo med upravljavcem in (pod)obdelovalcem osebnih podatkov. IP vam zato v nadaljevanju podaja splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov. IP pojasnjuje, da v skladu s
8. členom Splošne uredbe o varstvu podatkov pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice. Glede na navedeno je torej upravljavec lahko le vsaka gospodarska družba ali posameznik posebej, ne dopušča pa Splošna uredba o varstvu podatkov torej možnosti, da bi kot isti upravljavec osebnih podatkov veljale povezane družbe, temveč določa, da je vsaka gospodarska družba, ne glede na kapitalski delež drugih družb, samostojen upravljavec osebnih podatkov (lahko pa gre v določenih primerih za skupne upravljavce). Ker bi v vašem opisanem primeru tudi druge oziroma druga povezana družba obdelovale osebne podatke strank (in torej ne le krovna družba), je za takšno obdelavo osebnih podatkov potrebno zagotoviti ustrezno pravno podlago iz
9. člena Splošne uredbe o varstvu podatkov. IP nadalje pojasnjuje, da pojem »obdelovalec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Pogodbeni obdelovalci so tako tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov. IP poudarja, da je bistvenega pomena dejstvo, da lahko obdelovalec osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. V vlogi obdelovalca bo tako nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala izključno v imenu in za račun upravljavca osebnih podatkov, bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca. Za razlikovanje med upravljavcem in obdelovalcem osebnih podatkov je tako ključno, da je obdelovalec samostojna, od upravljavca ločena pravna entiteta, in da osebne podatke vselej obdeluje le v imenu in za račun upravljavca. Gre torej za primere, ko upravljavec, ki bi posamezne aktivnosti v zvezi z osebnimi podatki lahko izvedel sam, sprejme odločitev, da jih bo iz različnih razlogov zaupal obdelovalcu. Ker slednji dela v imenu in za račun upravljavca, je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja obdelovalec. Splošna uredba o varstvu podatkov v
10. členu določa, da obdelavo s strani obdelovalca ureja pogodba ali drug pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. V
11. členu je določen minimalni obseg vsebin, ki jih mora vsebovati pravni akt, lahko pa seveda vsebuje tudi dodatne elemente v zvezi z obdelavo podatkov. Te vsebine se vključujejo glede na konkretne obdelave osebnih podatkov, ki se izvajajo v posameznem primeru, ter njihove specifike. Določila konkretnega akta, ki ureja razmerje med strankama, so zavezujoča in v tem delu ni zahteve po dodatnih soglasjih posameznih upravljavcev, saj so določila predpisov s področja varstva osebnih podatkov jasna in zavezujoča sama po sebi. Nadalje Splošna uredba o varstvu podatkov v
12. členu določa, da so skupni upravljavci tisti, ki skupaj določijo namene in načine obdelave. Med seboj z medsebojnim dogovorom (oblika tega dogovora ni posebej določena) na pregleden način določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu z uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Dogovor odraža vlogo vsakega od skupnih upravljavcev in njegovo razmerje do posameznikov, na katere se nanašajo osebni podatki. Dogovor odraža vlogo vsakega od skupnih upravljavcev in njegovo razmerje do posameznikov, na katere se nanašajo osebni podatki. Bistveno vsebino dogovora se da na voljo posamezniku, na katerega se nanašajo osebni podatki. Posameznik, na katerega se nanašajo osebni podatki, lahko (kot navajate tudi v vašem zaprosilu za mnenje) ne glede na pogoje dogovora uresničuje svoje pravice v skladu z uredbo glede vsakega od upravljavcev in proti vsakemu od njih. Posamezniki torej lahko uveljavljajo svoje pravice proti vsakemu posameznemu skupnemu upravljavcu. Skupni upravljavci se v praksi pojavljajo zlasti v primerih skupnih akcij, nagradnih iger, promocijskih aktivnosti in podobnih dejavnostih. Za določitev medsebojnih razmerij so torej bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Skupni upravljavci so si v tem medsebojno enakovredni, vsi vključeni subjekti so upravljavci in skupaj določijo namene in načine (sredstva) obdelave. Nameni in sredstva obdelave niso nujni vedno skupni oziroma enaki, morajo pa biti skupno določeni. Bistven je torej dejanski vpliv posameznega udeleženega subjekta na določanje namenov in načinov obdelave. Ali gre v konkretnem primeru za skupne upravljavce, je treba oceniti na podlagi analize dejanskega (ne formalnega) vpliva na določanje namenov in načinov obdelave. Dejstvo, da pri isti obdelavi sodeluje več subjektov, namreč samo po sebi še ne pomeni, da ti nujno delujejo kot skupni upravljavci. Vsako partnerstvo ali sodelovanje namreč še ne pomeni obstoja skupnih upravljavcev; le, če takšno sodelovanje vključuje skupno določitev namenov na eni strani in skupno določitev sredstev na drugi strani, gre za skupne upravljavce. Posamezni skupni upravljavci pa so lahko vključeni v različne stopnje konkretne obdelave osebnih podatkov in v različnem obsegu. Iz vašega zaprosila za mnenje sicer po mnenju IP verjetno ne izhaja, da bi vaša družba s družbo v katerikoli fazi obdelave podatkov skupaj določale namene in načine obdelave. Ker pa IP ne pozna konkretnih dogovorov med družbami in drugih okoliščin konkretnega primera, vam dokončnega odgovora ne more podati. Ob tem izpostavljamo, da je presoja, ali gre v določenem primeru za skupne upravljavce, primarna naloga in odgovornost upravljavcev samih. V kolikor upravljavci ne delujejo enotno in ne obdelujejo podatkov za skupno določene namene in na skupno določene načine, ne gre za skupne, ampak za ločene, samostojne upravljavce. Ob tem IP opozarja, da morajo vsi upravljavci samostojno zagotoviti vse ustrezne ukrepe za zagotavljanje varnosti obdelav osebnih podatkov ter zagotavljati in izkazovati skladnost s temeljnimi načeli varstva osebnih podatkov. IP sklepno ponavlja, da v okviru nezavezujočega mnenja ne more presojati narave razmerja med vašo družbo in drugo družbo oziroma družbami, ki ga opisujete v vašem zaprosilu za mnenje. IP poudarja, da je ta presoja in odgovornost zanjo na vas, zato priporoča, da medsebojno razmerje družb temeljito preučite v smislu pojasnil, ki jih IP podaja v tem mnenju. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026