Mnenje glede poštnih storitev in pogodbene obdelave osebnih podatkov

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, ali morate z izvajalci poštnih storitev prav tako podpisati Pogodbo o varstvu osebnih podatkov. Ko ste jih pozvali k temu, so se namreč sklicevali na Zakon o poštnih storitvah (53. člen), zato vas zanima, ali je to dovolj ali pa je kljub navedenemu zakonu potrebno podpisati Pogodbo o varstvu osebnih podatkov?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

IP uvodoma pojasnjuje, da je glede pogodbene obdelave osebnih podatkov izdal smernice, ki so na voljo na:

https://www.ip-rs.si/publikacije/prirocniki-in-smernice/smernice-o-pogodbeni-obdelavi/

V smernicah smo navedli, da se pri nekaterih subjektih in storitvah  v praksi postavljajo vprašanja, ali je tudi določenega subjekta upoštevaje storitve, ki jih ponuja upravljavcu, treba šteti za obdelovalca osebnih podatkov. Taki subjekti so npr.:

• operaterji elektronskih komunikacij,
• pošta,
• revizorji,
• prevajalci,
• sodni izvedenci in tolmači,
• organi javnega sektorja, ki drugim zagotavljajo IT storitve oz. infrastrukturo,
• odvetniki,
• ponudniki storitev taksi prevozov,
• ponudniki storitev čiščenja poslovnih prostorov,
• ponudniki storitev virtualne (npr. spletno gostovanje) ali fizične hrambe podatkov (npr. sefi) idr.

Pri ugotavljanju, ali gre za (pogodbenega) obdelovalca, so ključni naslednji faktorji:

• Ali subjekt lahko sam določa namen in sredstva obdelave osebnih podatkov?
• Ali je upravljavec zbirke osebnih podatkov subjektu poveril v izvajanje opravila obdelave, ki bi jih sicer lahko izvajal upravljavec sam?
• Kakšna je intenzivnost obdelave, vezanost na navodila in nadzor upravljavca nad dejanji subjekta?
• Ali ima subjekt zakonska pooblastila oziroma pravno podlago, ki bi ga deloma ali v celoti postavila za upravljavca v zvezi z osebnimi podatki upravljavca?
• Ali je primarni namen najema storitev subjekta katero od dejanj obdelave osebnih podatkov (npr. hramba) ali pa je obdelava osebnih podatkov zgolj posledica najetja storitve subjekta?

Vsaj te  kriterije je vedno treba presojati skupaj.

Glede na navedene kriterije, smo v smernicah navedli, da se operaterji elektronskih komunikacij in pošta se v delu, ko zagotavljajo storitve prenosa podatkov ali dokumentacije ne štejejo za obdelovalce, saj zagotavljajo regulirane storitve, ki bi jih upravljavci sami zase težko ali celo nepooblaščeno izvajali brez nesorazmerno visokih stroškov. Praviloma gre za visoko regulirane dejavnosti, kjer se zahteva od tovrstnih ponudnikov visoka stopnja varovanja zasebnosti komunikacij in podatkov. Posledično podpis pogodbe z zahtevanimi sestavinami po členu 28 Splošne uredbe ni nujen.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                               

                                                                                                           informacijska pooblaščenka

Pripravil:                                                                                                                                

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke