← Slovenija

Uporaba Google Drive-a v organizaciji z vidika iznosa OP v tretje države - IPRS

Uporaba Google Drive-a v organizaciji z vidika iznosa OP v tretje države + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.09.2022 Številka: 07121-1/2022/1008 Kategorije: --> Kategorije: Moderne tehnologije, Obdelava OP javnih uslužbencev in funkcionarjev, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Zbirke osebnih podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vašo prošnjo za pojasnilo in sicer o skladnosti obdelave osebnih podatkov pri uporabi orodja Google Drive z vidika iznosa osebnih podatkov v tretje države. Pojasnjujete nam, da pri delu javnega zavoda uporabljajo interni dokument, gostujoč na spletnem orodju Google Drive, v katerem naj bi se vpisovali osebni podatki javnih uslužbencev. *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
  3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
  5. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD),
  6. točko prvega odstavka
  7. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
  8. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Upravljavec osebnih podatkov, ki želi uporabljati storitve, pri katerih prihaja do prenosa osebnih podatkov v tretje države, npr. v ZDA, mora zagotoviti, da je ta prenos skladen s pravili v EU. V kolikor to ni jasno oz. tega ni mogoče zagotoviti (npr. s sprejemom dopolnilnih zaščitnih ukrepov, s katerimi bi bilo mogoče zagotoviti enakovredno raven varstva podatkov tej v EU, tretja država pa takšne ravni varstva ne zagotavlja), takšen prenos podatkov v tretjo državo ni skladen s Splošno uredbo. O b r a z l o ž i t e v: IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati zakonitost obdelave osebnih podatkov v konkretnem primeru. To pomeni, da IP v okviru izdaje mnenja ne more presojati, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava podatkov zakonita. O prenosu osebnih podatkov (oz. po terminologiji iz ZVOP-1; »iznos«) v tretje države govorimo takrat, ko upravljavec ali obdelovalec iz Slovenije ali druge države članice EU (to je lahko tudi podružnica) osebne podatke iz takega ali drugačnega razloga posreduje v države izven EU ali Evropskega gospodarskega prostora (EGP; sem sodijo poleg držav članic EU še Islandija, Norveška in Lihtenštajn) ali mednarodni organizaciji. O prenosu govorimo tudi takrat, ko je dostop do osebnih podatkov omogočen organizacijam, podjetjem, posameznikom ali drugim subjektom iz tretjih držav izven EGP, pa čeprav so podatki hranjeni znotraj EGP. Za zakonito posredovanje osebnih podatkov upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi (v vašem konkretnem primeru v ZDA) morata biti izpolnjena dva pogoja, in sicer: Za posredovanje oz. dajanje osebnih podatkov na razpolago upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi mora obstajati ena izmed pravnih podlag, ki je določena v
  9. oz.
  10. členu Splošne uredbe o varstvu podatkov, za javni sektor pa dodatno še v
  11. členu ZVOP-
  12. Obdelovalcu (pravni ali fizični osebi, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) se lahko osebni podatki posredujejo pod pogoji, določenimi v
  13. členu Splošne uredbe. Skladno s prvim odstavkom
  14. člena ZVOP-1 se osebni podatki v javnem sektorju lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. V kolikor gre za obdelavo osebnih podatkov, ki so potrebni z vidika uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, bi lahko pravno podlago predstavljal
  15. člen Zakona o delovnih razmerjih[1] (v nadaljevanju ZDR-1). Ob izpolnjenem prvem pogoju je prenos osebnih podatkov upravljavcu ali pogodbenemu obdelovalcu v tretji državi dopusten le pod pogoji, ki jih ureja V. Poglavje Splošne uredbe o varstvu podatkov, in sicer: I. če Evropska komisija odloči, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se osebni podatki prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov (člen 45 Splošne uredbe o varstvu podatkov); II. če izvoznik podatkov zagotovi ustrezne zaščitne ukrepe ter posameznikom zagotovi izvršljive pravice in učinkovita pravna sredstva na podlagi členov 46 in 47 Splošne uredbe o varstvu podatkov; III. če gre za posebne primere, ki so določeni v členu 49 Splošne uredbe o varstvu podatkov, v katerih so mogoča odstopanja. Glede na to, da je Sodišče Evropske unije razveljavilo izvedbeni sklep Komisije (EU) 2016/1250 z dne
  16. julija 2016 na podlagi Direktive Evropskega parlamenta in Sveta 95/46/ES o ustreznosti varstva, ki ga zagotavlja zasebnostni ščit EU-ZDA (t.i. Privacy Shield) – kriterij I., bi bil prenos osebnih podatkov v ZDA na tej podlagi praviloma neskladen s Splošno uredbo. Več v zvezi s tem si lahko preberete na naši spletni strani https://www.ip-rs.si/novice/6051f
  17. Kljub temu pa poudarjamo, da bi bili prenosi osebnih podatkov v ZDA, ne glede na razveljavitev zasebnostnega ščita, še vedno mogoči, s tem, da bi upravljavec (vaš delodajalec) zagotovil ustrezne zaščitne ukrepe, ki zagotavljajo varovanje zasebnosti ter temeljnih pravic in svoboščin posameznikov. Podjetja morajo tako, v kolikor želijo nadaljevati s prenosom podatkov, zakonitost prenosov utemeljiti na drugi podlagi, kot so npr. standardne pogodbene klavzule, zavezujoča poslovna pravila ali izjeme (oz. odstopanja v posebnih primerih, ki so določena v
  18. členu Splošne uredbe). Upravljavec osebnih podatkov, ki torej želi uporabljati storitve, pri katerih prihaja do prenosa osebnih podatkov v tretje države, npr. v ZDA, mora torej zagotoviti, da je ta prenos skladen s pravili v EU. V kolikor to ni jasno oz. tega ni mogoče zagotoviti (npr. s sprejemom dopolnilnih zaščitnih ukrepov, s katerimi bi bilo mogoče zagotoviti enakovredno raven varstva podatkov tej v EU, tretja država pa takšne ravni varstva ne zagotavlja), takšen prenos podatkov v tretjo državo ni skladen s Splošno uredbo. Evropski odbor za varstvo podatkov je v pomoč izvoznikom pripravil priporočila o ukrepih, ki dopolnjujejo orodja za prenose, da se zagotovi skladnost s Splošno uredbo: https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en. V priporočilih so predstavljeni tudi konkretni primeri glede implementacije različnih dopolnilnih zaščitnih ukrepov. Za več informacij o prenosih in o ustreznih zaščitnih ukrepih vas napotujemo še na smernice IP na to temo: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-prenosa-osebnih-podatkov-v-tretje-dr%C5%BEave-in-mednarodne-organizacije-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov ter izdelano inforgrafiko IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/Prenos_osebnih_podatkov_v_dveh_korakih.pdf Sklepno še pojasnjujemo, da ima vsak, ki meni, da kdo krši Splošno uredbo o varstvu podatkov oziroma druge predpise s področja varstva osebnih podatkov, možnost vložiti prijavo pri IP. Več o vložitvi prijave pa si lahko preberete na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlo%C5%BEitev-prijave. V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo. Pripravil: Grega Rudolf, asistent svetovalca pri IP Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [1] Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A, 202/21 – odl. US, 15/22 in 54/22 – ZUPŠ-1 O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.