Upravljanje nepremičnine

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše elektronsko sporočilo, v katerem navajate, da imate z lastnikom / najemodajalcem stanovanja sklenjeno pogodbo o upravljanju njegove nepremičnine. Pogodba obsega nadzor nad plačilno disciplino najemojemalcev, pripravo dokumentacije za izterjavo zapadlih obveznosti najemojemalcev, prejemanje računov dobaviteljev in zaračunavanje le-teh najemojemalcem, svetovanje v povezavi s postopki in najemnimi posli ter vodenje postopka celovite primopredaje nepremičnine ob menjavi najemnika. Lastnik / najemodajalec je sam sklenil najemno pogodbo z najemnikom, vam pa sporočil najemnikovo ime in priimek. Najemniku sedaj na podlagi pogodbe, ki jo imate sklenjeno z lastnikom / najemodajalcem, pošiljate obračune za plačilo stroškov. Lastnik / najemodajalec je najemnika obvestil, da ste vi tisti, ki pripravljate in pošiljate obračune. Prosite za mnenje glede opisane ureditve.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07; v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in naslednji; v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Obdelavo s strani obdelovalca je potrebno urediti s pisno pogodbo ali drugim pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca.

V kolikor nastopate v vlogi upravnika večstanovanjske stavbe po Stanovanjskem zakonu veljajo tudi določbe le-tega in svetujemo, da si podrobneje preberete smernice IP za upravnike (te so dostopne na: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/).

OBRAZLOŽITEV

IP uvodoma pojasnjuje, da Splošna uredba v členu 4 opredeljuje pojma »upravljavec« in »obdelovalec«. »Upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice (točka 7). »Obdelovalec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca (točka 8). Obdelovalec je torej tisti subjekt, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov.

Pri določanju, kdo je upravljavec in kdo obdelovalec osebnih podatkov je ključno, kakšna je vloga določenega subjekta pri pridobivanju podatkov, izvrševanju pravic do vpogleda, brisanja posameznikov, nabora osebnih podatkov, določanja namenov in sredstev obdelave, dejanskega dostopa do baze osebnih podatkov, ki se obdelujejo. Če ima subjekt dostop do osebnih podatkov, ki se obdelujejo, določa namene in sredstva obdelave in izvršuje pravice uporabnikov, potem ima odgovornosti upravljavca osebnih podatkov in ne le pogodbenega obdelovalca. Obdelovalec pravzaprav le izvaja določene naloge, ki bi jih drugače izvajal upravljavec osebnih podatkov, pa se je ta odločil, da za to pooblasti pogodbenega partnerja. Glede na vaše navedbe sami najverjetneje predstavljate obdelovalca.

Na podlagi člena 28 Splošne uredbe se mora obdelavo s strani obdelovalca urediti s pisno pogodbo, ki določa obveznosti obdelovalca do upravljavca, v kateri se določijo vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Kadar pisna pogodba med upravljavcem in obdelovalcem že obstaja, je potrebno preveriti ali vsebuje vse določbe, ki jih zahteva ta člen Splošne uredbe.

Obdelovalec predstavlja zgolj nekakšno preslikavo ali podaljšano roko upravljavca, zanj in izključno zanj izvaja neko konkretno obdelavo osebnih podatkov, in to za namen, ki ga je določil upravljavec, zato upravljavec praviloma izven obveznosti po členu 13, 14 oziroma 15 Splošne uredbe ni dolžan obveščati posameznika, če določena opravila v zvezi z obdelavo njihovih osebnih podatkov zaupa pogodbenemu partnerju. V določenih primerih pa je to smiselno zaradi izgradnje zaupanja do svojih strank.

Več o pogodbeni obdelavi si lahko preberete na povezavi https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pogodbena-obdelava/, kjer so predstavljene tudi Smernice IP o (pogodbeni) obdelavi osebnih podatkov.

Lep pozdrav,

Pripravil:

Žiga Veber

državni nadzornik za varstvo osebnih podatkov

Mojca Prelesnik

informacijska pooblaščenka