Zunanji ponudniki storitev + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.09.2022 Številka: 07120-1/2022/335 Kategorije: --> Kategorije: Biometrija, Pogodbena obdelava podatkov, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zajema biometričnih podatkov s strani zunanjega ponudnika storite v postopku izdaje dovoljenja za prebivanje. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Biometrijske ukrepe v javnem sektorju se lahko določi le z zakonom, če je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. Ne glede na to se biometrijske ukrepe lahko določi z zakonom, če gre za izpolnjevanje obveznosti iz obvezujoče mednarodne pogodbe ali za identifikacijo posameznikov pri prehajanju državnih meja. Zadevna država članica je dolžna zagotoviti, da izbrani zunanji ponudnik storitev izpolnjuje pogoje, določene v pravnem instrumentu iz drugega odstavka
- člena Uredbe (ES) št. 810/2009 EP in Sveta z dne
- julija 2009 o vizumskem zakoniku Skupnosti. O b r a z l o ž i t e v: IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka presojati konkretnih ravnanj oziroma obdelav osebnih podatkov. IP prav tako ni pristojen za tolmačenje določb zakonov oziroma predlogov, ki jih navajate v vašem zaprosilu, zato v nadaljevanju podaja splošna pojasnila. IP tako splošno pojasnjuje, da se v skladu z določbo prvega odstavka
- člena ZVOP-1 biometrijske ukrepe v javnem sektorju, lahko določi le z zakonom, če je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. Drugi odstavek istega člena nadalje določa, da se ne glede na prejšnji odstavek biometrijske ukrepe lahko določi z zakonom, če gre za izpolnjevanje obveznosti iz obvezujoče mednarodne pogodbe ali za identifikacijo posameznikov pri prehajanju državnih meja. Kakršnekoli biometrijske ukrepe (tudi za namen izdaje dovoljenja za prebivanje) je torej v javnem sektorju torej dopustno izvajati le v skladu z navedenimi pogoji, kar pomeni, da morajo biti v konkretnem primeru določeni z zakonom. Zakon o tujcih (Uradni list RS, št. 91/21 – UPB, 95/21 – popr., 105/22 – ZZNŠPP; v nadaljnjem besedilu: ZTuj-2) v enajstem odstavku
- člena jasno določa, da tujec, ki prebiva zunaj Republike Slovenije in vloži prošnjo za izdajo prvega dovoljenja za začasno prebivanje, da prstne odtise na diplomatskem predstavništvu ali konzulatu Republike Slovenije v tujini. Na drugi strani Uredba (ES) št. 810/2009 EP in Sveta z dne
- julija 2009 o vizumskem zakoniku Skupnosti (Vizumski zakonik) v prvem odstavku
- člena med drugim določa, da države članice zbirajo biometrične identifikatorje prosilca, ki obsegajo fotografijo obraza in deset prstnih odtisov. V petem odstavku istega člena je določeno, da se prstni odtisi odvzamejo v skladu s standardi ICAO in Odločbo Komisije 2006/648/ES z dne
- septembra 2006 o tehničnih zahtevah glede standardov za biometrične značilnosti v zvezi z razvojem vizumskega informacijskega sistema, v šestem odstavku pa je določeno, da biometrične identifikatorje odvzame usposobljeno in ustrezno pooblaščeno osebje organa s pristojnostmi iz člena 4
(1),
(2)in
(3). Biometrične identifikatorje lahko pod nadzorom konzulata odvzame tudi kvalificirano in ustrezno pooblaščeno osebje častnega konzula iz člena 42 ali zunanjega ponudnika storitev iz člena 43 omenjene uredbe. V
- členu je v šestem odstavku navedeno, da se zunanjemu ponudniku storitev lahko zaupa opravljanje ene ali več nalog, med njimi tudi zbiranje podatkov in sprejemanje vlog (vključno z zbiranjem biometričnih identifikatorjev) in pošiljanje vlog konzulatu. Ob tem IP posebej opozarja, da v skladu z devetim odstavkom
- člena uredbe zadevna država članica ostane odgovorna za spoštovanje pravil o varstvu podatkov ter da sodelovanje z zunanjim ponudnikom storitev ne omejuje ali izključuje kakršnih koli odgovornosti, ki izhajajo iz nacionalnega prava zadevne države članice zaradi kršitev obveznosti glede osebnih podatkov prosilca in opravljanja ene ali več nalog iz šestega odstavka. Prav tako je treba spoštovati zahteve
- člena uredbe glede šifriranja in varnega prenosa podatkov. IP poudarja, da je v skladu z osmim odstavkom
- člena uredbe št. 810/2009 zadevna država članica dolžna zagotoviti, da izbrani zunanji ponudnik storitev izpolnjuje pogoje, določene v pravnem instrumentu iz drugega odstavka istega člena. Ta pravni instrument mora biti v skladu z zahtevami iz priloge X uredbe, ki določa seznam minimalnih zahtev, ki jih je treba vključiti v pravni instrument v primeru sodelovanja z zunanjimi ponudniki storitev. Ta priloga vsebuje tudi nekatere zahteve s področja varstva podatkov. IP ob tem posebej izpostavlja zahtevo A(f), da zunanji ponudnik storitev podatke lahko obdeluje le za namene obdelave osebnih podatkov prosilcev v imenu zadevne države članice. Po mnenju IP gre tako po vsej verjetnosti za obdelovalca osebnih podatkov v smislu
- člena Splošne uredbe o varstvu podatkov, zato je treba njegovo obdelavo osebnih podatkov skladno s tretjim odstavkom navedenega člena urediti s pogodbo ali drugim pravnim aktom v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Določena je torej minimalna vsebina, ki jo mora vsebovati ta pogodba oziroma pravni akt, ki zagotavlja, da se tako upravljavec kot obdelovalec zavedata svojih pravic in obveznosti v zvezi z obdelavo osebnih podatkov. Odgovornost za zakonito obdelavo osebnih podatkov je primarno na strani upravljavca in ostaja njegova odgovornost tudi po njihovem posredovanju pogodbenemu obdelovalcu. Ob tem pa IP opozarja, da ima v določenem delu obdelovalec podobne obveznosti kot upravljavec osebnih podatkov in je neposredno odgovoren za zakonito obdelavo osebnih podatkov v okviru svojih pooblastil. Pravila zakonite obdelave osebnih podatkov mora poznati in jih v praksi tudi ustrezno izvrševati. IP poudarja, da je ob tem treba spoštovati tudi druge zahteve Splošne uredbe o varstvu podatkov, še posebej
- člena glede vgrajenega in privzetega varstva podatkov ter
- člena glede varnosti obdelave osebnih podatkov. Posebej IP izpostavlja tudi spoštovanje zahtev poglavja V Splošne uredbe o varstvu podatkov (prenos osebnih podatkov v tretje države ali mednarodne organizacije, členi 44-50) možnost prenosa osebnih podatkov v tretje države, saj obstaja možnost, da ob opisani obdelavi osebnih podatkov prihaja do prenosa osebnih podatkov v tretje države (sedež zunanjega ponudnika storitev v tretji državi ali uporaba podobdelovalcev v tretjih državah z njegove strani). Upoštevajoč vse navedeno IP predlaga, da izpostavljeno upoštevate pri nadaljnjem urejanju zadevne tematike. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026