Vloga izvajalca usposabljanja zaposlenih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.06.2022 Številka: 07121-1/2022/708 Kategorije: --> Kategorije: Pogodbena obdelava podatkov Pri Informacijskem pooblaščencu (IP) smo
- 2022 prejeli vaše zaprosilo za mnenje. Navajate, da je delodajalec (naročnik) dolžan izvesti usposabljanje zaposlenih za prvo pomoč na podlagi določil Zakona o varnosti in zdravju pri delu (
- člen) in Pravilnika o organizaciji, materialu in opremi za prvo pomoč na delovnem mestu. Za usposabljanje zaposlenih s področja nudenja prve pomoči na delovnem mestu je izbral zunanjega izvajalca, ki ima za organizacijo tečajev prve pomoči na delovnem mestu in izpitov iz prve pomoči pooblastilo v Zakonu o rdečem križu (
- člen). Storitve po pogodbi z izvajalcem obsegajo usposabljanje zaposlenih pri naročniku: tečaj, izpit in izdajo izkaznic s potrdilo o opravljenem izpitu prve pomoči. Zanima vas, ali je izvajalec v takem primeru pogodbeni obdelovalec in mora naročnik storitve pred izvajanjem osnovne pogodbe z njim skleniti pogodbo o obdelavi osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Ni vsak ponudnik storitev, ki pri opravljanju storitve obdeluje osebne podatke, obdelovalec v skladu s Splošno uredbo o varstvu podatkov. Ponudnik storitev lahko v praksi, ko opravljena storitev ni posebej namenjena obdelavi osebnih podatkov ali ta obdelava ni ključni element storitve, neodvisno določi namene in sredstva te obdelave, ki so potrebna za opravljanje storitve. V tem primeru je treba ponudnika storitve obravnavati kot ločenega upravljavca in ne kot obdelovalca. O b r a z l o ž i t e v: Upravljavec je subjekt, ki odloča o ključnih vidikih obdelave, saj določi namene in sredstva obdelave, tj. razlog za obdelavo in njen način (člen 4
(7)Splošne uredbe o varstvu podatkov). Obdelovalec pa je fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca (člen 4
(8)Splošne uredbe o varstvu podatkov). Obdelovalci so torej tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke. IP pojasnjuje, da ni vsak ponudnik storitev, ki pri opravljanju storitve obdeluje osebne podatke, obdelovalec v skladu s Splošno uredbo o varstvu podatkov. Vloga obdelovalca namreč ne izhaja iz vrste subjekta, ki obdeluje podatke, ampak iz njegovih konkretnih dejavnosti v določenem okviru. Narava storitve določa, ali dejavnost obdelave pomeni obdelavo osebnih podatkov v imenu upravljavca. Ponudnik storitev lahko v praksi, ko opravljena storitev ni posebej namenjena obdelavi osebnih podatkov ali ta obdelava ni ključni element storitve, neodvisno določi namene in sredstva te obdelave, ki je potrebna za opravljanje storitve. V tem primeru je treba ponudnika storitve obravnavati kot ločenega upravljavca in ne kot obdelovalca. Vendar je vedno potrebna analiza vsakega posameznega primera, da se ugotovi stopnja vpliva, ki ga posamezni subjekt dejansko ima pri določanju namenov in sredstev obdelave. Ker IP konkretnih obdelav osebnih podatkov izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more presojati, vam v okviru mnenja ne more podati dokončnega odgovora na vaše vprašanje, ali je izvajalec usposabljanja zaposlenih v opisanem primeru upravljavec ali obdelovalec osebnih podatkov. Glede na vaš opis pa se zdi bolj verjetno, da nastopa v vlogi samostojnega upravljavca, ki osebne podatke pridobiva ter nadalje obdeluje za namen izvedbe usposabljanja (organizacija tečajev in izpitov iz prve pomoči), za kar ima pooblastilo v zakonu, ter tako sam določa sredstva in namene obdelave v tem okviru. Prav tako primarni namen storitev izvajalca usposabljanja ni obdelava osebnih podatkov, temveč je to zgolj posledica najetja storitve subjekta, saj storitev načeloma ni možna brez osebnih podatkov. V vlogi obdelovalca bi namreč nastopal zunanji izvajalec le v primeru, če bi obdelavo osebnih podatkov izvrševal
(1)izključno v imenu in za račun upravljavca
(2)bi pri tem črpal podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter
(3)bi bil v zvezi s samimi dejanji obdelave vezan na navodila upravljavca. Odgovornost za dokončno presojo, v kakšni vlogi nastopa izvajalec usposabljanja v konkretnem primeru, je na delodajalcu samem. Bistveno za to presojo pa je, ali zunanji izvajalec obdeluje osebne podatke za svoj namen ali izključno za namene in po navodilu delodajalca, ki ga je najel za opravo storitve. Pri presoji vlog si lahko pomagate tudi s Smernicami IP o pogodbeni obdelavi, ki so dostopne na: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi ter Smernicami Evropskega odbora za varstvo podatkov o pojmih upravljavec in obdelovalec, ki so dostopne na: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_sl. Lepo vas pozdravljamo, Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026