Ureditev pogodbene obdelave - IPRS

Ureditev pogodbene obdelave + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.09.2016 Številka: 0712-1/2016/1927 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem nas prosite za mnenje. Pojasnili ste, da ste podjetje, ki razvijate lastno programsko opremo. Vaše stranke imajo z vami sklenjene pogodbe o vzdrževanju programske opreme. Po pogodbi jim nudite podporo za uporabo programske opreme in tako imate dostop do njihove podatkovne baze, ki se praviloma nahaja na njihovem strežniku oz. vam posredujejo podatke za oblačno storitev (v lastni režiji sklenejo pogodbo še z ponudnikom oblačne storitve). Na vašem strežniku nimate nobenih podatkovnih baz vaših strank, torej tudi njihovih kupcev/strank ne. Do osebnih podatkov, s katerimi upravljajo vaše stranke dostopate le takrat, ko stranke pisno sporočijo, da se k njim povežete ter ko imate na voljo oddaljeno povezavo (po pogodbah s strankami gre večinoma za stalne povezave, kjer se pa beležijo dostopi ipd). Stranka vam je poslala v podpis s spletne strani IP povzet vzorec pogodbe o pogodbeni obdelavi osebnih podatkov, v katerem je izraz »upravljavec pogodbenemu obdelovalcu izroča naslednje osebne podatke…«. V izogib nejasnostim v prihodnje vas zanima, če bi ta izraz lahko vplival na stopnjo naše odgovornosti, ali je odgovornost enaka v vsakem primeru, tudi če obstaja samo možnost, da bi te podatke videli. Konkretno primer: če gre za prekinitev pogodbe med vami in naročnikom, jim ne morete vrniti izročenih podatkov, če jih niste prejeli oz. si jih niste skopirali ipd., imeli pa ste občasen dostop do njih.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.IP uvodoma pojasnjuje, da je vprašanja glede pogodbene obdelave podrobno obdelal v Smernicah o pogodbeni obdelavi osebnih podatkov, ki so na voljo na povezavi:https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdfGlede vašega vprašanja, ki se nanaša na izraz »izroči« menimo, da sam po sebi ne vpliva na raven vaše odgovornosti. Primerneje bi bilo sicer uporabiti dikcijo, ki ustreza dejanskemu stanju, na kar lahko v bodoče opozorite vaše naročnike. Če vam podatkov dejansko ne izročijo (kot bi to npr. storili v primeru pogodbenega obdelovalca, ki izvaja odvoz in uničenje dokumentacije oz. podatkov), temveč vam pod določenimi pogoji omogočijo dostop do podatkov, potem je primerneje, da pogodba omenja dostop do podatkov in ne izročitev podatkov. Če podatkov nimate, jih seveda ne morete niti izročiti, še vedno pa se zaradi možnosti (čeravno občasnega) dostopa do osebnih podatkov štejete za pogodbenega obdelovalca, zato morate spoštovati dolžnosti, ki jih glede tega nalaga ZVOP-1; podrobneje so opisane v smernicah.Svetujemo vam, da si podrobno preberete zgoraj omenjene smernice. Prav tako vas opozarjamo, da bo po novi EU uredbi ureditev pogodbene obdelave nekoliko bolj zahtevna (glejte člene 28 do 30). Več o uredbi:https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/S prijaznimi pozdravi,Informacijski pooblaščenec: Mojca Prelesnik, univ.dipl.prav., pooblaščenkaPripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026