Zunanje izvajanje notranje revizije in pogodbena obdelava osebnih podatkov - IPRS

Zunanje izvajanje notranje revizije in pogodbena obdelava osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 12.01.2023 Številka: 07121-1/2023/32 Kategorije: --> Kategorije: Pogodbena obdelava podatkov Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da lahko notranjo revizijo pravnih oseb javnega prava v skladu s
3. členom Zakona o javnih financah izvajajo tudi zunanji izvajalci notranje revizije. Vsako leto posebej se sklene pogodba o izvajanju notranje revizije in se določi tudi področje, ki bo predmet notranje revizije posamezno leto. Določena področja notranje revizije vsebujejo osebne podatke, določena ne. Zanima vas, ali gre pri letnih pogodbah, v katerih so določena področja notranjega revidiranja, ki vključujejo osebne podatke, za obdelavo osebnih podatkov in se sklene letna pogodba o obdelavi osebnih podatkov. Obratno pa vas zanima, ali pri področjih, ki ne vključujejo osebnih podatkov, ne gre za obdelavo osebnih podatkov in se z naročniki notranje revizije ne sklepa pogodba o obdelavi osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
4. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
5. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
6. točke prvega odstavka
7. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Upravljavec in obdelovalec osebnih podatkov morata sama identificirati obdelave, ki pomenijo obdelavo osebnih podatkov. V kolikor spoznata, da gre za obdelavo osebnih podatkov (vsaj v določenem delu), morata skleniti pogodbo, v obratnem primeru seveda ne. Posebej podrobno si je treba ogledati zahteve in vsebino iz
9. člena Splošne uredbe, ki govori o pogodbeni obdelavi. Obrazložitev Uvodoma pojasnjujemo, da je bil sprejet nov Zakon o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2) z začetkom veljavnosti od
11. 2022, ki pa področja pogodbene obdelave osebnih podatkov v delu, relevantnem za vaš primer, ne spreminja. IP je v smernicah o obdelavi osebnih podatkov, ki vam jih priporočamo v branje, zapisal, da se revizorje oziroma revizijsko družbo šteje kot obdelovalce izključno v primerih, ko pravna oseba najame storitve teh subjektov za namene izvedbe notranje revizije ali storitev na ostalih strokovnih področjih povezanih z revidiranjem. Kadar torej gre za izvajanje storitev v okviru notranje revizije za drugo pravno osebo (upravljavca), je mogoče šteti, da revizorji oziroma pravne osebe, najete za izvedbo notranje revizije (ali storitev na ostalih strokovnih področjih povezanih z revidiranjem, kot jih opredeljuje ZRev-2), nastopajo kot podaljšana roka upravljavca in s tem v vlogi pogodbenega obdelovalca. Drugače pa je pri najemu revizijske družbe za izvedbo zunanje revizije v smislu ZRev-2, ko zunanja revizijska družba po stališču IP osebne podatke obdeluje v svojem imenu in torej nastopa kot upravljavec osebnih podatkov v lastnem svojstvu. V kolikor ste torej prepričani, da gre za razmerje pogodbene obdelave (saj omenjate notranjo revizijo v skladu s
12. členom Zakona o javnih financah), je treba v skladu z
13. členom Splošne uredbe skleniti pogodbo o obdelavi osebnih podatkov. Slednja se bo po sami definiciji nanašala izključno za obdelavo podatkov, ki se smatrajo za osebne podatke, torej podatke, ki jih prvi odstavek
14. člena Splošne uredbe opredeljuje kot informacije v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Upravljavec in obdelovalec osebnih podatkov morata sama identificirati obdelave, ki pomenijo obdelavo osebnih podatkov, tega IP v mnenju ne more narediti namesto njiju, saj je treba pri presoji izhajati iz konkretnih okoliščin primera, ki pa IP-ju niso znane. Seveda lahko zatrdimo, da v kolikor ne pride do obdelave osebnih podatkov, pogodbe o obdelavi (za te procese) ni treba skleniti. Vabimo vas, da si vse o pogodbeni obdelavi osebnih podatkov preberete na posebni podstrani naše spletne strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/pogodbena-obdelava. Posebej podrobno si je treba po mnenju IP ogledati obvezne elemente pogodbe o obdelavi osebnih podatkov. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026