Pogodbena obdelava

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem navajate, da imate sklenjeno pogodbo s podjetjem, ki vam zagotavlja informacijsko kadrovsko rešitev (program), ki med drugim vsebuje tudi vse podatke o vaših zaposlenih in njihovih družinskih članih. Za potrebe vzdrževanja je navedenemu podjetju omogočen dostop (osebno in na daljavo) do podatkov, ki jih upravlja vaša družba (tudi osebnih). Vaše stališče je, da je potrebno z navedenim podjetjem skleniti pogodbo o pogodbeni obdelavi, kot jo opredeljuje 28. člen Splošne uredbe o varstvu podatkov (Uredba (EU) 2016/679, v nadaljevanju Uredba).Razlagate, da zadevno podjetje sklenitev takšne pogodbe zavrača.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov oz. Uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Pogodbeni obdelovalci so tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oz. namen zanj obdelujejo osebne podatke posameznikov. Obdelava osebnih podatkov je kakršnokoli dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje.

V primeru izvajanja storitve vzdrževanja informacijske infrastrukture, pri čemer izvajalec prihaja v stik z osebnimi podatki (tudi če ne pride do vpogleda), izvajalca štejemo kot pogodbenega obdelovalca.

Razmerje do zunanjih izvajalcev, ki kot je moč razbrati iz dopisa, za vas izvajajo tudi storitve obdelave osebnih podatkov, je treba opredeliti v pogodbi ali drugemu pravemu aktu v skladu z Uredbo, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov na katere se nanašajo osebni podatki, ter obveznosti in pravica upravljavca.

Lep pozdrav,

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                               informacijska pooblaščenka

Pripravil:                                                                                                                                

Tomaž Brodgesell,
informatik