Univerzalna kartica - IPRS

Univerzalna kartica + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.04.2008 Številka: 0712-336/2008/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
4. 2008 prejel vaše e- sporočilo, v katerem navajate, da ste programersko podjetje ... d.o.o., ki je razvilo lojalnostni sistem, imenovan ... (v nadaljevanju sistem ...). Sestavljata ga računalniški program in univerzalna kartica zaupanja. Sistem ... boste ponudili različnim ponudnikom storitev in izdelkov, ki bodo vaši partnerji. Sistem ... ste razvili tako, da ga lahko vsak partner prilagodi lastnemu poslovanju in svojim željam (sistem nagrajevanja zvestobe kupcev, bonusne sheme). Kupci bodo dobili kartico, na kateri ni njihovih osebnih podatkov, je le EAN koda. Vaš parter bo lahko, če se bo tako odločil, zbiral osebne podatke svojih kupcev, seveda, če se bodo oni strinjali in to pisno potrdili na vpisnih prijavnicah. Osebni podatki se bodo vpisali v vašo bazo, se pravi, da bodo vaši partnerji po
5. členu ZVOP upravljavci osebnih podatkov svojih kupcev. Partner bo osebne podatke vpisoval preko dela vašega programa Client, ki je nameščen na partnerjevem računalniku; partner preko Client-a pošlje podatke v vašo bazo, ti podatki pa se pošiljajo nazaj na Client-a ob naslednjem obisku ali nakupu kupca. Podatki se pri vas shranjujejo in arhivirajo, kar pomeni, da bodo vsi osebni podatki v bazi na vašem strežniku in da boste tudi vi imeli vpogled v osebne podatke, vendar le kot vzdrževalec sistema, saj podatkov ne boste uporabljali. Imeli jih boste le za operativno delovanje in procesiranje ter shranjevanje in arhiviranje. Če bo prišlo do kakšne težave oz. napake, jo boste vi popravljali. S sistemom ... bi radi kupcem olajšali zbiranje ugodnosti. Zato bi bilo za kupca nepraktično, če bi moral dajati vedno znova osebne podatke vašim partnerjem, saj se podatki zabeležijo na en program (... Client), ko kupec da prvič svoje podatke partnerju sistema .... Zastavili ste nam naslednja vprašanja:
6. Ali ste tudi vi upravljavec osebnih podatkov, čeprav jih ne zbirate, jih pa hranite in popravljate?
7. Ali morate vi z vašimi partnerji skleniti pogodbo, ker boste imeli teoretično vpogled v te osebne podatke?
8. Kakšna naj bo pogodba glede na to, da bodo partnerji upravljavci podatkov, vi pa sistema?
9. Kako bi lahko uredili, da nekomu, ki enkrat pristane na posredovanje osebnih podatkov sistemu ..., ne bi bilo potrebno dajati osebnih podatkov pri vsakem partnerju posebej?
10. Kakšen obrazec morate narediti, da bi bil kupec primerno seznanjen z navedenim? V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
11. točke prvega odstavka
12. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007, uradno prečiščeno besedilo; v nadaljevanju ZVOP-1-UPB1) ter
13. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/2005 in 51/2007-ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji: O b r a z l o ž i t e v: Pooblaščenec vam zaradi lažjega razumevanja uvodoma pojasnjuje nekaj osnovnih pojmov iz ZVOP-1-UPB
14. Osebni podatek je v skladu s
15. točko
16. člena ZVOP-1-UPB1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Posameznik pa je v skladu z
17. točko
18. člena ZVOP-1-UPB1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Upravljavec osebnih podatkov je v skladu s
19. točko
20. člena ZVOP-1-UPB1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oz. oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec osebnih podatkov je v skladu s
21. točko
22. člena ZVOP-1-UPB1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. Uporabnik osebnih podatkov je v skladu z
23. točko
24. člena ZVOP-1-UPB1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki. Osebna privolitev posameznika je v skladu s
25. točko
26. člena ZVOP-1-UPB1 prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu; osebna privolitev posameznika je lahko pisna, ustna ali druga ustrezna privolitev posameznika. Zbiranje osebnih podatkov se v skladu s
27. točko
28. člena ZVOP-1-UPB1 šteje za obdelavo osebnih podatkov. Obdelava osebnih podatkov pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave). Splošna opredelitev obdelave osebnih podatkov je podana v
29. členu ZVOP-1-UPB
30. Ta v
31. odstavku določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika,
32. odstavek istega člena pa nadalje določa, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave osebnih podatkov na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov, ki mora biti ustavno in zakonsko dopusten, obdelovati pa se smejo le tisti osebni podatki, ki so primerni in nujno potrebni za uresničitev opredeljenega namena in ne pomenijo neupravičenega posega v zasebnost in dostojanstvo posameznika. Pri obdelavi osebnih podatkov je potrebno upoštevati načelo sorazmernosti, ki je kot temeljno načelo, opredeljeno v
33. členu ZVOP-1-UPB1, in določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni, glede na namene, za katere se zbirajo in nadalje obdelujejo. Pravno podlago za obdelavo osebnih podatkov v zasebnem sektorju navaja
34. člen ZVOP-1-UPB
35. Po določbi prvega odstavka
36. člena ZVOP-1-UPB1 se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na navedeno, se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (drugi odstavek
37. člena). Ne glede na prvi odstavek
38. člena ZVOP-1-UPB1 se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. • Odgovor na vprašanja 1, 2 in 3: Upravljavec osebnih podatkov lahko v skladu z
39. členom posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
40. člena ZVOP-1-UPB
41. Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi odgovor o postopkih in ukrepih iz
42. člena ZVOP-1-UPB
43. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
44. člena ZVOP-1-UPB
45. Kar zadeva pisne pogodbe med upravljavcem osebnih podatkov in pogodbenim obdelovalcem osebnih podatkov, je potrebno opozoriti, da pogodbe, v katerih je določeno zgolj to, da bo izvajalec vse podatke, pridobljene s strani naročnika varoval v skladu z Zakonom o varstvu osebnih podatkov ali v skladu s kakšnim drugim zakonom oz. jih bo varoval kot poslovno skrivnost, ne zadostijo zahtevam določb iz 11.,
46. in
47. člena ZVOP-1-UPB
48. Upoštevajoč navedene določbe mora biti v pogodbah jasno določeno, s kakšnimi postopki in ukrepi mora pogodbeni obdelovalec varovati prostore, kjer se nahajajo nosilci osebnih podatkov, s kakšnimi postopki in ukrepi mora varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki, s kakšnimi postopki in ukrepi se preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih, s kakšnimi postopki in ukrepi se zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov ter s kakšnimi postopki in ukrepi se omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil. Kljub temu pa se v primerih, ko ima bodisi upravljavec osebnih podatkov, bodisi pogodbeni obdelovalec ustrezne organizacijske, tehnične in logično tehnične postopke in ukrepe za zavarovanje osebnih podatkov že predpisane v svojem notranjem aktu, lahko namesto ponovnega opisovanja vseh postopkov in ukrepov, v pogodbi zgolj citira takšen akt in navede, da je ta akt sestavni del te pogodbe ter da mora pogodbeni obdelovalec zagotoviti zavarovanje osebnih podatkov v skladu z določbami takšnega akta, ki se ga mora v teh primerih seveda priložiti k pogodbi. V teh primerih je potrebno poskrbeti, da se s takšnim aktom seznanijo vsi tisti zaposleni pri upravljavcu osebnih podatkov ter pri pogodbenem obdelovalcu, ki odgovarjajo za izvajanje dogovorjenih postopkov in ukrepov ter tiste osebe, ki zaradi narave svojega dela pri upravljavcu osebnih podatkov oz. pri pogodbenem obdelovalcu obdelujejo določene osebne podatke. Poleg določitve postopkov in ukrepov za zavarovanje osebnih podatkov, mora biti v pogodbi ali aneksu k pogodbi določeno tudi, na kakšen način bo upravljavec osebnih podatkov pri pogodbenem obdelovalcu nadzoroval izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov, ter katere osebe, ki so zaposlene pri upravljavcu osebnih podatkov, bodo opravljale takšen nadzor. V pogodbi ali aneksu bo moralo biti tudi določeno, katere osebe, ki so zaposlene pri upravljavcu osebnih podatkov oz. pri pogodbenem obdelovalcu, lahko opravljajo posamezna opravila v zvezi z obdelavo osebnih podatkov, kakšna so njihova pooblastila v zvezi s tem ter dolžnost varovanja zaupnosti podatkov. Določeno mora biti tudi, da je nadaljnje posredovanje osebnih podatkov, pridobljenih v okviru pogodbene obdelave, tretjim osebam mogoče le z dovoljenjem upravljavca osebnih podatkov. V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon. V primeru prenehanja pogodbenega obdelovalca se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov. V konkretnem primeru je bistvenega pomena, kdo je upravljavec osebnih podatkov. Pooblaščenec meni, da ste upravljavec osebnih podatkov vi, torej podjetje ... d.o.o.. Vaši partnerji oz. tisti, katerim boste pomudili sistem ..., pa bodo vaši pogodbeni obdelovalci, ki bodo v vašem imenu in za vas zbirali osebne podatke kupcev, ki bodo želeli kartico ugodnosti oz., ki bodo podali osebno privolitev za obdelavo osebnih podatkov za namen pridobitve kartice ugodnosti. Vsi podatki se bodo namreč shranjevali v bazi osebnih podatkov na vašem strežniku. Zato boste morali kot upravljavec osebnih podatkov z vsakim partnerjem posebej skleniti pogodbo, ki mora biti v skladu z določbami
49. člena ZVOP-1-UPB
50. Vzorec pogodbe za potrebe pogodbene obdelave osebnih podatkov se nahaja na spletni strani Pooblaščenca http://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ . • Odgovor na vprašanji 4 in 5: ZVOP1-UPB1 v
51. členu govori o obveščanju posameznika o obdelavi osebnih podatkov. Določba
52. člena predpisuje pravila glede obveščanja posameznika o obdelavi osebnih podatkov in predstavlja odraz temeljnega načela pri obdelavi osebnih podatkov, in sicer načela zakonitosti in poštenosti. Upravljavec ima dolžnost, da posameznika seznani s predpisanimi podatki, če posameznik z njimi še ni seznanjen. Pomembno je, da ta dolžnost upravljavca ni vezana na zahtevo posameznika. Informacije morajo biti jasne in razumljive, saj se bo posameznik, na katerega se podatki nanašajo, lahko le na podlagi takšnih informacij odločil o tem, ali bo za obdelavo osebnih podatkov podal svojo osebno privolitev oz., ali bo svoje osebne podatke upravljavcu osebnih podatkov sploh posredoval.
53. člen med drugim določa: