SISBON in pogodbena obdelava + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.10.2007 Številka: 0712-861/2007/2 Kategorije:Bančništvo --> Kategorije: Bančništvo Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 21.09.2007 prejel zgoraj navedeni dopis, v katerem navajate, da ste pri ... v zaključni fazi izbora zunanjega procesorja, ki bo zagotavljal operativno izvajanje sistema SISBON. Zunanji procesor bo zagotavljal pogoje za dosledno izvajanje določil ZVOP-1, ZBan-1 in morebitnih drugih predpisov. ZVOP-1 v drugem odstavku
- člena med drugim določa, da se medsebojne pravice in obveznosti (med upravljavcem osebnih podatkov in pogodbenim obdelovalcem) uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
- člena tega zakona. ZBan-1 pa v tretjem odstavku
- člena med drugim določa, da lahko ta sistem za banke organizira tudi bančno interesno združenje. Glede na navedeni določili se vam zastavlja vprašanje: Ali lahko na tej podlagi ...sklene z zunanjim procesorjem pogodbo v imenu in za račun bank in v njej uredi, kar se zahteva v
- členu ZVOP-1, ali pa je vseeno potrebno, da vsaka banka (ali pa vse skupaj) sklene pogodbo z zunanjim procesorjem? V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05 - ZInfP, 51/07 – ZUstS-A in 67/07, v nadaljevanju ZVOP-1) in
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem: Po določbah prvega odstavka
- člena ZVOP-1 lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
- člena ZVOP-
- Pooblaščenec pojasnjuje, da lahko poleg upravljavca osebnih podatkov pogodbo s pogodbenim obdelovalcem sklene tudi oseba, ki je s strani upravljavca osebnih podatkov pooblaščena, da v njegovem imenu in za njegov račun sklepa pogodbe s pogodbenimi obdelovalci. Skladno z navedenim Pooblaščenec meni, da ...ob uporabi tretjega odstavka
- člena ZBan-1 v imenu in za račun bank lahko samo sklene pogodbo z zunanjim procesorjem, ki bo zagotavljal operativno izvajanje sistema SISBON in v pogodbi uredi, kar zahteva ZVOP-1 v
- členu, vendar le v primeru, če so ga članice združenja pooblastile za sklepanje takšnih pogodb. O b r a z l o ž i t e v: Po določbah prvega odstavka
- člena ZVOP-1 lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
- člena tega zakona. Skladno s citirano določbo lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov poveri le tistim pravnim ali fizičnim osebam, ki so registrirane za opravljanje takšne dejavnost in zagotavljajo ustrezne postopke in ukrepe za zavarovanje osebnih podatkov iz
- člena tega zakona. Pogodbeni obdelovalec je v
- točki
- člena ZVOP-1 definiran kot fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in za račun upravljavca osebnih podatkov. Upravljavec osebnih podatkov pa je v
- točki
- člena ZVOP-1 definiran kot fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec sme skladno z drugim odstavkom
- člena ZVOP-1 opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
- člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
- člena tega zakona. V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem, je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon (tretji odstavek
- člena ZVOP-1). V četrtem odstavku
- člena ZVOP-1 je nadalje še določeno, da se tudi v primeru prenehanja pogodbenega obdelovalca osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov. Iz določb
- člena ZVOP-1 izhaja, da je pogodbeni obdelovalec dejansko le nekakšna podaljšana roka upravljavca osebnih podatkov. Upravljavec lahko namreč vsa opravila v zvezi z obdelavo osebnih podatkov (npr. zbiranje, vpisovanje, urejanje, shranjevanje, prilagajanje, povezovanje, dajanje na razpolago, blokiranje, anonimiziranje, brisanje, ipd.) opravi sam, lahko pa namesto tega posamezna takšna opravila s pogodbo zaupa pogodbenemu obdelovalcu. Po določbah tretjega odstavka 390 člena Zakona o bančništvu (ZBan-1; Uradni list RS, št. 131/06) morajo vse banke, ne glede na to, ali so članice bančnega interesnega združenja, organizirati sistem izmenjave informacij o boniteti strank, ki so fizične osebe, med bankami iz
- točke drugega odstavka
- člena tega zakona. Ta sistem lahko za banke organizira tudi bančno interesno združenje. V četrtem odstavku
- člena ZBan-1 je še določeno, da morajo banke v sistem iz tretjega odstavka tega člena posredovati informacije o boniteti svojih strank. Iz določb
- in
- člena ZBan-1 ter iz navedb v vašem zgoraj navedenem dopisu Pooblaščenec sklepa, da ...ni upravljavec osebnih podatkov, ki se bodo izmenjevale v okviru sistema za izmenjavo informacij o boniteti strank (SISBON), pač pa bo na podlagi tretjega odstavka
- člena ZBan-1 ter na podlagi dogovora med članicami le organiziralo sistem SISBON. V primeru, ko članice ... sprejmejo pisni dogovor o tem, da navedeno združenje zanje organizira sistem SISBON, lahko navedeno združenje po mnenju Pooblaščenca v imenu in za račun bank opravlja vse tiste naloge v zvezi z organizacijo sistema SISBON, ki so določene v dogovoru. To z vidika določil
- in
- odstavka
- člena ZVOP-1 pomeni, da lahko ...v imenu in za račun bank tudi samo sklene pogodbo z zunanjim procesorjem, ki bo zagotavljal operativno izvajanje sistema SISBON in v pogodbi uredi, kar zahteva ZVOP-1 v
- členu, vendar le v primeru, če takšno pooblastilo izhaja iz sklenjenega dogovora ali kakšnega drugega dokumenta, ki se z vidika določb Obligacijskega zakonika šteje kot pooblastilo za sklepanje takšnih pogodb. Po določbah prvega odstavka
- člena ZVOP-1 je namreč le upravljavec osebnih podatkov tisti, ki lahko posamezna opravila v zvezi z obdelavo osebnih podatkov poveri pogodbenem obdelovalcem, druge osebe pa lahko to storijo le v imenu in za račun upravljavca osebnih podatkov, pri čemer pa morajo biti seveda za sklepanje takšnih pogodb pooblaščene s strani upravljavca osebnih podatkov. V primeru, da iz pogodbe o ustanovitvi bančnega interesnega združenja ali iz dogovora o organizaciji sistema SISBON ali iz kakšnega drugega dokumenta oz. pooblastila ni razvidno pooblastilo ..., da lahko v imenu in za računa članic sklepa pogodbe s pogodbenimi obdelovalci osebnih podatkov, ki bodo zagotavljali izvajanje sistema SISBON, si lahko združenje takšno pooblastilo po mnenju Pooblaščenca od svojih članic še naknadno pridobi, druga možnost pa je ta, da pogodbo s pogodbenim obdelovalcem sklenejo vse banke skupaj. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., Pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026