Obdelava osebnih podatkov naročnikovih strank

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo dne 8. 10. 2020 prejeli vaše vprašanje, ali lahko vaše podjetje uporabi kontaktne podatke po tem, ko je naročnik vaših storitev (izterjava dolgov) »predal svoje stranke« vašemu podjetju. Naročnikove pogodbene stranke so namreč postale dolžnice v razmerju do naročnika, te stranke pa je vaše podjetje prejelo v obravnavo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Kontaktne podatke o naročnikovih strankah lahko v okviru vaše dejavnosti uporabljate za izpolnitev pogodbe z naročnikom (upravljavcem), če z naročnikom sklenete ustrezno pogodbo o obdelavi osebnih podatkov po členu 28 Splošne uredbe o varstvu podatkov.

To velja tudi za druge osebne podatke strank, če so ti podatki primerni in potrebni za izterjavo obveznosti.

O b r a z l o ž i t e v:

Če vam vaš naročnik predaja določene osebne podatke svojih strank za namen izterjave obveznosti (identifikacijski podatki, kontaktni podatki in podatki v zvezi s terjatvijo npr. višina, zamuda, podlaga, delne izpolnitve) gre za primer pogodbene obdelave podatkov, katere podlaga je sklenjena pisna pogodba o obdelavi osebnih podatkov med naročnikom kot upravljavcem in vami kot obdelovalcem. Pridobljene osebne podatke namreč uporabljate za izvedbo storitve v korist in namesto upravljavca, torej osebne podatke obdelujete v imenu ali za upravljavca po njegovih navodilih, pri čemer je obdelava osebnih podatkov bistven del vaše storitve.  

Ta pogodba je urejena v členu 28 Splošne uredbe o varstvu podatkov in je lahko sestavni del temeljne pogodbe ali pa je sklenjena v obliki samostojnega dokumenta. Več o pogodbeni obdelavi osebnih podatkov si lahko preberete v smernicah IP na naslednji povezavi: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/smernice-o-pogodbeni-obdelavi/. 

Svetujemo tudi, da, poleg sklenitve zgornje pogodbe, naročnik svoje obstoječe in bodoče stranke obvesti (npr. v pogodbah, ki jih ima sklenjene z njimi, na spletni strani ali na drug ustrezen način) o tem, da se lahko za namen izterjave obveznosti določeni osebni podatki posredujejo določeni kategoriji obdelovalcev, med katere spada tudi vaše podjetje. Informiranje o obdelavi osebnih podatkov je urejeno v členu 13 in 14 Splošne uredbe o varstvu podatkov.

Prijazen pozdrav,

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka