Spremljanje vozil s strani pogodbenika + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 18.03.2008 Številka: 0712-259/2008/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani, prejeli smo vaše elektronsko sporočilo. V njem navajate, da ste v vašem podjetju s podjetjem ..., (v nadaljevanju: ponudnik) sklenili naročniško najemno pogodbo za uporabo storitve ..., ki vam kot naročniku omogoča centralni nadzor voznega parka in komunikacijo z vozili s pomočjo mobilnega omrežja, ki jo nudi ponudnik. Navajate, da se zavedate, da gre pri izvajanju omenjene storitve za obdelavo (tudi) osebnih podatkov, in da pri tem nastaja zbirka osebnih podatkov, katere upravljavec je vaše podjetje, zato ste tudi že izdelali katalog zbirke osebnih podatkov in ga posredovali Informacijskemu pooblaščencu. Ob tem se vam je zastavilo vprašanje, ali je ponudnik pogodbeni obdelovalec osebnih podatkov, kot ga definira
- tč.
- člena Zakona o varstvu osebnih podatkov in ali morate zato postopati v skladu z
- odst.
- člena istega zakona in s ponudnikom skleniti pogodbo, ki bo vsebovala tudi dogovor o postopkih in ukrepih iz
- člena Zakona o varstvu osebnih podatkov. Ob tem poudarjate, da ponudnik razpolaga le z registrsko številko in lokacijo vozila (stoječe ali gibajoče vozilo namreč spremlja montirani modul v kabini vozila, ki pošilja podatke ponudniku preko GPRS), to pa sta po vašem mnenju podatka, ki ne ustrezata definiciji osebnega podatka iz
- tč.
- člena Zakona o varstvu osebnih podatkov. Menite namreč, da ponudnik na podlagi registrske številke ne more neposredno določiti voznika službenega vozila, saj s temi podatki ne razpolaga. Nadzor nad temi podatki ima namreč le pooblaščeni delavec upravljavca osebnih podatkov. Na podlagi povedanega menite, da ponudnik ni pogodbeni obdelovalec v smislu Zakona o varstvu osebnih podatkov in vas zato ne zavezujejo niti določbe
- člena tega zakona. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS-A) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji: Obdelava lokacijskih osebnih podatkov s strani ponudnika storitev GPS, ki te podatke obdeluje v imenu in na račun vašega podjetja, predstavlja pogodbeno obdelavo osebnih podatkov, kljub temu, da ponudnik omenjenih storitev zgolj na podlagi teh podatkov posameznega uporabnika službenega vozila ne more določiti, tj. da ponudnik ne razpolaga z zbirko osebnih podatkov. Zato morate pri urejanju razmerij s ponudnikom GPS storitev v celoti spoštovati določbe
- člena ZVOP-
- Obrazložitev: Osebni podatek je v skladu s
- tč.
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Posameznik je v skladu z
- tč.
- člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; Zbirka osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Obdelava osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje. Upravljavec osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec osebnih podatkov je v skladu s
- tč.
- člena fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. Skladno z
- čl. ZVOP-1 se lahko osebni podatki obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Namen obdelave osebnih podatkov mora biti določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravna podlaga za obdelavo osebnih podatkov za zasebni sektor (kamor, v skladu s
- tč.
- odst. spada vaše javno podjetje) je podana v
- čl. ZVOP-1, ki določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Izjemi sta določeni še za osebne podatke posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe in pa za osebne podatke, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Upravljavec osebnih podatkov lahko v skladu z
- členom posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
- člena ZVOP-
- Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi odgovor o postopkih in ukrepih iz
- člena ZVOP-
- Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
- člena ZVOP-
- V skladu s povedanim Informacijski pooblaščenec poudarja, da pri izvajanju sledenja vozil z napravami GPS nastaja zbirka osebnih podatkov, v kateri se nahajajo osebni podatki uporabnikov službenih vozil vašega javnega podjetja. V vašem dopisu ste tudi sami navedli, da se zavedate, da pri omenjenem sledenju nastaja zbirka osebnih podatkov, zato ste tudi že vzpostavili katalog omenjene zbirke in ga tudi posredovali Informacijskemu pooblaščencu. Iz tega kataloga sledi, da se v obravnavani zbirki osebnih podatkov nahaja posnetek, ki prikazuje analizo poti (čas, hitrost, pot, lokacijo) vozila med delovnim časom. Čeprav sistem spremlja pot službenega vozila, hkrati spremlja tudi pot (gibanje) določenega ali na enostaven način določljivega uporabnika tega vozila. V tej zbirki osebnih podatkov se torej nahajajo lokacijski podatki uporabnika službenega vozila, tj. podatki, ki kažejo na zemljepisni položaj uporabnika službenega vozila v določenem trenutku. V vašem dopisu ste nas spraševali, ali gre za pogodbeno obdelavo osebnih podatkov, tudi v primeru, če ponudnik storitve sledenja z napravami GPS razpolaga samo z registrsko številko vozila in lokacijo vozila, nima pa na razpolago dovolj podatkov, na podlagi katerih bi lahko določil konkretnega uporabnika službenega vozila, ki ga sledi z napravami GPS. Informacijski pooblaščenec v zvezi s tem poudarja, da
- člen ne govori o posredovanju zbirke osebnih podatkov pogodbenemu obdelovalcu, ampak o zaupanju posameznih opravil v zvezi z obdelavo osebnih podatkov pogodbenemu obdelovalcu, kar pomeni, da za pogodbeno obdelavo ne gre samo v primeru, ko upravljavec pogodbenemu obdelovalcu posreduje celotno zbirko osebnih podatkov, ampak tudi v primeru, ko mu posreduje le posamezne osebne podatke iz te zbirke. Navedeno pomeni, da gre za pogodbeno obdelavo osebnih podatkov tudi v primeru, ko pogodbeni obdelovalec sicer sam ne razpolaga z dovolj osebnimi podatki, da bi lahko določil posameznika, za katerega osebne podatke gre, lahko pa ga določi sam upravljavec. V vašem primeru gre torej za primer, ko ponudnik storitev GPS obdeluje lokacijske osebne podatke uporabnikov službenih vozil, ki se nahajajo v zbirki osebnih podatkov, katerih upravljavec je vaše podjetje, pri čemer pa ponudnik ne razpolaga z dovolj podatki, da bi lahko določil posameznega uporabnika službenega vozila. Da gre za obdelavo osebnih podatkov s strani ponudnika storitev GPS, izhaja tudi iz zgoraj navedene definicije obdelave osebnih podatkov, ki določa, da se v primeru avtomatizirane obdelave osebnih podatkov za obdelavo v smislu ZVOP-1 šteje kakršnokoli delovanje ali niz delovanj, ki se izvaja z osebnimi podatki, pri čemer ni nujno, da so ti osebni podatki del zbirke osebnih podatkov. Na podlagi temeljnega načela varstva osebnih podatkov, ki zahteva, da mora za vsako obdelavo osebnih podatkov obstajati pravna podlaga in na podlagi dejstva, da ponudnik storitev GPS osebne podatke obdeluje v vašem imenu in na vaš račun, Informacijski pooblaščenec zaključuje, da gre tudi v opisanem primeru za pogodbeno obdelavo osebnih podatkov, in da mora zato vaše podjetje s ponudnikom storitev GPS skleniti pogodbo iz
- člena ZVOP-1 in tudi sicer spoštovati določbe tega člena, ki ureja pogodbeno obdelavo osebnih podatkov. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026