Uporaba ameriškega programa za jezikovne šole - IPRS

Uporaba ameriškega programa za jezikovne šole + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.05.2021 Številka: 07121-1/2021/858 Kategorije:Pogodbena obdelava podatkov, Prenos osebnih podatkov v tretje države ali mednarodne organizacije --> Kategorije: Pogodbena obdelava podatkov, Prenos osebnih podatkov v tretje države ali mednarodne organizacije Informacijski pooblaščenec RS (v nadaljevanju IP) prejel vaše zaprosilo za mnenje. Navajate, da želite v vašem podjetju začeti uporabljati program za vodenje poslovanja jezikovne šole, ki ga je pripravilo ameriško podjetje … in ga daje v najem po svetu. Zanima vas, ali je zakonito in skladno s pravili varstva osebnih podatkov uporabljati omenjeni program, glede na to, da je 'server' tega podjetja v ZDA in torej niso podvrženi evropskemu pravnemu redu? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanjem. IP uvodoma ugotavlja, da iz vašega ni razvidno, za kašne vrste računalniški program gre in ali z omenjenim programom obdeluje osebne podatke ponudnik programa in zlasti, ali pride do shranjevanja ali drugačne obdelave oz. prenosa osebnih podatkov v tretje države (npr. v ZDA). Ob predpostavki, da bi z uporabo programa prišlo do obdelave osebnih podatkov v tretji državi, to pomeni, da morate kot upravljavec osebnih podatkov za spoštovanje pravil varstva osebnih podatkov, zagotoviti poleg pogojev za zakonito obdelavo osebnih podatkov, kot velja znotraj EU, še dodatne pogoje za prenos osebnih podatkov v tretje države. Pogoje za zakonit prenos osebnih podatkov v tretje države je IP na kratko povzel v infografiki: PRENOS OSEBNIH PODATKOV (OP) V TRETJO DRŽAVO / MEDNARODNO ORGANIZACIJO V 2 KORAKIH. Več v zvezi s pogoji za prenos osebnih podatkov v tretje države je IP opisal v Smernicah glede prenosa osebnih podatkov v tretje države in mednarodne organizacije po Splošni uredbi o varstvu podatkov. Če se podatke prenaša v ZDA, potem je treba upoštevati tudi, da trenutno ne velja možnost prenosa osebnih podatkov v ZDA na podlagi 'sklepa o ustreznosti Evropske komisije' (to je posledica Sodbe Sodišča EU v zadevi Schrems II – DPC Ireland v. Facebook Ireland and Schrems; več o tem v sporočilu za javnost IP: Sodišče Evropske unije razveljavilo Zasebnostni ščit za prenos podatkov v ZDA (Privacy Shield), standardne pogodbene klavzule ostajajo v veljavi). Glede na navedeno je treba za zakonit prenos osebnih podatkov v ZDA zagotoviti druge mehanizme – predvsem izpostavljamo možnost ureditve prenosa osebnih podatkov s 'standardnimi pogodbenimi klavzulami' (to so tipske pogodbe, ki jih je določila Evropska komisija in jih morata v predvidenem besedilu sprejeti izvoznik in uvoznik osebnih podatkov). Vsebina standardnih pogodbenih klavzul je natančno določena in jih je v tem besedilu treba tudi uporabiti – skladno s Sklepom Evropske komisije št. 2010/87/ES. Več o standardnih pogodbenih klavzulah najdete v prej navedenih smernicah glede prenosa osebnih podatkov v tretje države in mednarodne organizacije po Splošni uredbi o varstvu podatkov (str. 14). Dodatno še opozarjamo, da ko podjetje uporablja spletne storitve hrambe ali drugačne obdelave osebnih podatkov (podjetje uporabnik), v razmerju do podjetja, ki nudi storitev obdelave osebnih podatkov (podjetje ponudnik), uporabnik običajno nastopa kot 'upravljavec,' ponudnik pa kot 'obdelovalec' osebnih podatkov. Če gre za takšno razmerje, potem je za zakonito obdelavo osebnih podatkov med upravljavcem in obdelovalcem potrebno skleniti ustrezno pogodbo o obdelavi osebnih podatkov (v skladu s členom 28 Splošne uredbe). To velja enako tudi, ko ne pride od prenosa osebnih podatkov v tretje države. Za več informacij v zvezi s pogodbeno obdelavo osebnih podatkov napotujemo na smernice: Pogodbena obdelava osebnih podatkov. Za lažje varstva razumevanje sistema osebnih podatkov, predlagamo, da se seznanite z infografiko: GDPR na kratko, ki jo je IP pripravil za upravljavce osebnih podatkov. Lep pozdrav, Pripravil: Anže Novak, univ. dipl. prav. Svetovalec Pooblaščenca za preventivo Informacijski pooblaščenec: Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026