Skupno upravljanje

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede skupnih upravljavcev.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP pojasnjuje, da v skladu s 4. členom Splošne uredbe o varstvu podatkov pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice.

Nadalje Splošna uredba o varstvu podatkov v 26. členu določa, da so skupni upravljavci tisti, ki skupaj določijo namene in načine obdelave. Med seboj z medsebojnim dogovorom (oblika tega dogovora ni posebej določena) na pregleden način določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu z uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Dogovor odraža vlogo vsakega od skupnih upravljavcev in njegovo razmerje do posameznikov, na katere se nanašajo osebni podatki.

Skupni upravljavci se v praksi pojavljajo zlasti v primerih skupnih akcij, nagradnih iger, promocijskih aktivnosti in podobnih dejavnostih. Za določitev medsebojnih razmerij so torej bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Skupni upravljavci so si v tem medsebojno enakovredni, vsi vključeni subjekti so upravljavci in skupaj določijo namene in načine obdelave.

Za ravnanje v primeru skupnih upravljavcev v smislu 26. člena Splošne uredbe o varstvu podatkov je IP izdal tudi posebna priporočila (Priporočila Informacijskega pooblaščenca glede skupnih upravljavcev), ki so dostopna na spletni strani IP. V teh priporočilih IP pojasnjuje, da za uporabo instituta skupnega upravljavca ni potrebno, da ima vsak upravljavec nadzor nad vsemi stopnjami konkretne obdelave. Posamezni skupni upravljavci so namreč lahko vključeni v različne stopnje konkretne obdelave osebnih podatkov in to v različnem obsegu. Tudi nameni in sredstva obdelave niso nujni vedno skupni oziroma enaki, morajo pa biti skupno določeni. Bistven je torej dejanski vpliv posameznega udeleženega subjekta na določanje namenov in načinov obdelave. V kolikor upravljavci ne delujejo enotno in ne obdelujejo podatkov za skupno določene namene in na skupno določene načine, ne gre za skupne, ampak za ločene, samostojne upravljavce. Ob tem velja izpostaviti, da mora vsak izmed skupnih upravljavcev imeti samostojno pravno podlago za obdelavo osebnih podatkov, ki je v posameznem primeru lahko, ni pa nujno enaka.

IP sklepno ponavlja, da v okviru nezavezujočega mnenja ne more presojati odnosa med podjetji A, B in C, ki ga opisujete v vašem zaprosilu za mnenje. IP poudarja, da je ta presoja in odgovornost zanjo na vas, zato priporoča, da medsebojni odnos podjetij temeljito preučite v smislu pojasnil, ki jih IP podaja v tem mnenju.

S spoštovanjem.

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka