Vprašanja glede novega podjetja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
(1)Splošne uredbe zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; obdelava je potrebna za zaščito posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; obdelava je potrebna za opravljanje nalog v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Piškotki in druge tehnologije, ki omogočajo slednje posameznikom Glede uporabe piškotkov in drugih podobnih tehnologij, ki omogočajo sledenje posameznikom na spletu ali prek mobilnih aplikacij, vas napotujemo na določbe Zakona o elektronskih komunikacijah (Uradni list RS, št. 109/12,s spremembami in dopolnitvami; v nadaljevanju: ZEKom-1). ZEKom-1 v prvem odstavku
- člena določa, da je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljeno samo pod pogojem, da je naročnik ali uporabnik v to privolil potem, ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave teh podatkov v skladu s Splošno uredbo. Kot veljavna privolitev se šteje le aktivno in prostovoljno podana, konkretna, informirana in nedvoumna vnaprejšnja privolitev posameznika. Pri čemer je za zakonito sledenje s piškotki na spletnih straneh potrebno aktivno soglasje posameznika, kar pomeni, da molk, vnaprej označeno okence ali nedejavnost posameznika ne predstavljajo veljavne privolitve. Več o veljavni privolitvi si lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev. Ne glede na to pa
- člen ZEKom-1 v drugem odstavku določa izjeme, in sicer privolitev ni potrebna le za tiste piškotke, ki se uporabljajo izključno zaradi prenosa sporočila po elektronskem komunikacijskem omrežju, ali, ki so nujno potrebni za zagotovitev storitve, ki jo naročnik izrecno zahteva (t.i. nujni piškotki). IP dodatno pojasnjuje, da je Evropski odbor za varstvo podatkov sprejel smernice na temo ciljanja uporabnikov družbenih omrežij, ki bi lahko bile relevantne, v kolikor načrtujete uporabo piškotkov oziroma drugih sledilnih tehnologij družbenih omrežij (npr. Facebooka). Do smernic lahko dostopate prek spletne povezave (glej predvsem str. 22 in dalje): https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-82020-targeting-social-media-users_sl. Tako iz smernic kakor tudi iz sodne prakse Sodišča Evropske unije jasno izhaja, da gre pri takšnih piškotkih, ki za ponudnika storitve zbirajo osebne podatke in mu jih posredujejo, za skupno upravljavstvo. Kot skupna upravljavca nastopata upravljavec spletne strani (oglaševalec) in družbeno omrežje, ki nudi tehnologijo piškotkov, vendar le v delu obdelave podatkov, ko skupaj določata namene in sredstva obdelave. Vloga zunanjega izvajalca Pomembno je, da kot upravljavec osebnih podatkov ugotovite, kakšno vlogo naj bi imel zunanji izvajalec – ali gre v danem primeru za obdelovalca, za upravljavca podatkov ali za skupnega upravljavca. Pri določanju vlog si lahko pomagate s smernicami IP o pogodbenih obdelovalcih (na str. 6 so pojasnjeni ključni pojmi, kot so upravljavec in obdelovalec): https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi. V kolikor gre za razmerje med upravljavcem in obdelovalcem, je pomembo, da stranki skleneta pogodbo o obdelavi osebnih podatkov v skladu s členom 28 Splošne uredbe, v kateri določita obveznosti obdelovalca do upravljavca, vsebino in trajanje obdelave, naravo in namen obdelave, vrste osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Več o ustrezni ureditvi pogodbene obdelave si lahko (poleg smernic o obdelavi) preberete na naši spletni podstrani, kjer najdete tudi primer vzorčne pogodbe po členu 28: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/pogodbena-obdelava. Kakor je že pojasnjeno zgoraj, piškotki in druge sledilne tehnologije, ki jih nudijo družbena omrežja, pogosto rezultirajo v skupnemu upravljavstvu. V takem primeru je vsak izmed upravljavcev dolžan zagotoviti samostojno ustrezno pravno podlago za obdelavo podatkov, hkrati pa morata v skladu s členom 26 na pregleden način z medsebojnim dogovorom (npr. pogodbo) določiti dolžnosti vsakega od njiju z namenom izpolnjevanja obveznosti v skladu s Splošno uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in
- IP vam svetuje, da primarno ugotovite, kakšno vlogo bo imel zunanji izvajalec v konkretnem primeru. Kot upravljavec osebnih podatkov ste v skladu z načelom odgovornosti dolžni zagotoviti skladnost s Splošno uredbo in hkrati morate biti sposobni to skladnosti tudi izkazati. Prenos podatkov v tretje države Če boste podatke prenašali v tretjo državo, je treba pri tem upoštevati določbe V. poglavje Splošne uredbe, ki določajo pogoje za zakonite prenose v tretje države in mednarodne organizacije. V kolikor boste podatke hranili na strežnikih (zunanjega izvajalca) v tretji državi, boste podatke prenašali iz EU. Prav tako bi lahko do prenosa prišlo na primer, če bi podatke hranilo ameriško podjetje v EU, do njih pa bi lahko dostopali subjekti iz tretje države (npr. obveščevalni organi). V zvezi s prenosi podatkov v tretje države vas napotujemo na smernice št. 5/2021 (te so relevantne predvsem z vidika, da vam nudijo pomoč pri ugotavljanju, ali določena obdelava podatkov predstavlja prenos v tretjo državo ali ne): https://www.ip-rs.si/novice/ali-gre-pri-obdelavi-podatkov-za-prenos-ali-ne-nove-smernice-edpb. Če ugotovite, da bi konkretna obdelava podatkov predstavljala prenos podatkov v tretjo državo, ste dolžni zagotoviti, da je ta prenos skladen s poglavjem V Splošne uredbe. Ob prenosu ne sme biti ogrožena raven varstva posameznikov, ki jo zagotavlja Splošna uredbe, ter mora temeljiti na sklepu o ustreznosti (člen 45), ustreznih zaščitnih ukrepih (člen 46) ali gre za odstopanja (člen 49). V primeru prenosa podatkov na podlagi člena 46 je izvoznik podatkov pred prenosom podatkov dolžan (pisno) oceniti, ali je karkoli v pravu ali v praksi organov tretje države, kar bi onemogočalo, da bi podatkom bila zagotovljeno v bistvu enakovredna raven varstva tej v EU. Za več informacij o prenosih vas napotujemo na smernice IP na to temo: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-prenosa-osebnih-podatkov-v-tretje-dr%C5%BEave-in-mednarodne-organizacije-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov. Na tem mestu bi še izpostavili, da je Sodišče Evropske unije v sodbi v zadevi Schrems II presojalo zakonitost prenosov podatkov v ZDA. Ugotovilo je, da ZDA kot tretja država ne zagotavljajo v bistvu enakovredne ravni varstva podatkov kot je zagotovljena v EU, zato je v takšnih primerih za zakonite prenose v ZDA v določenih primerih potrebno sprejeti dopolnilne ustrezne ukrepe oziroma se lahko zgodi, da ni mogoče zagotoviti ustrezne ravni varstva podatkov, in v takšnih primerih podatkov ni dovoljeno prenašati v tretjo državo. Sodišče je tudi ugotovilo, da člen 702 Zakona o nadzoru tujih obveščevalnih podatkov (t.i. FISA), ki zavezuje številna ameriška podjetja, ki zagotavljajo digitalne komunikacijske storitve (ang. Elctronic Communiction Service Providers), ni v skladu z zakonodajo EU. Izvoznik podatkov mora opraviti oceno tretje države in uvoznika podatkov, da ugotovi, ali in na kakšen način lahko prenaša podatke v tretjo državo. V pomoč pri oceni mu je lahko dokument, ki ga je v ta namen pripravil Evropski odbor za varstvo podatkov: https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en. Informiranje posameznikov Zelo pomembna dolžnost, ki jo ima upravljavec osebnih podatkov je, da ustrezno informira posameznike o obdelavi podatkov. Splošna uredba o varstvu podatkov v
- in
- členu določa, katere so informacije, ki jih mora upravljavec zagotoviti posameznikom. Načelo preglednosti zahteva, da morajo biti vse informacije in sporočila, ki se nanašajo na obdelavo osebnih podatkov, lahko dostopni in razumljivi ter izraženi v jasnem in preprostem jeziku. Med drugim mora upravljavec zagotoviti informacijo o uporabnikih ali kategorijah uporabnikov osebnih podatkov (med uporabnike sodijo tudi obdelovalci, upravljavci in skupni upravljavci). Več informacij o obveznosti iz členov 13 in 14 lahko pridobite na strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov. Imenovanje odgovorne osebe Glede dolžnosti imenovanja pooblaščene osebe za varstvo osebnih podatkov vas napotujemo na našo spletno podstran, kjer je pojasnjeno, v katerih primerih je takšno osebo treba imenovati: https://www.ip-rs.si/?id=
- V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026