Mnenje glede pogodbe o varovanju podatkov in pogodbe o storitvah

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše sporočilo, v katerem pojasnjujete, da ste za namen skladnosti s Splošno uredbo (GDPR) po sprejetju uredbe za vaše stranke pripravili tudi pogodbo o varovanju podatkov. Sedaj z vsako stranko podpišete dve pogodbi (pogodba o storitvi, pogodba o varovanju podatkov), kar vam in strankam potem vzame nekaj časa (in papirja). Zanima vas, ali je možno, povsem iz praktičnih razlogov, vključiti Pogodbo o varovanju podatkov v Pogoje poslovanja, ki jih imate objavljene na spletni strani?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da iz vašega zaprosila ni povsem jasno, kdo so vaše stranke in kakšno je vaše razmerje do njih, zato podajamo odgovor glede različnih možnih situacij.

Če ste imeli v mislih t.i. pogodbeno obdelavo osebnih podatkov, kjer vaše podjetje nastopa v vlogi pogodbenega obdelovalca za naročnike (upravljavce osebnih podatkov), potem mora pogodba upoštevati zahteve, ki jih določa člen 28 Splošne uredbe. Vse informacije o pogodbeni obdelavi osebnih podatkov so na voljo na naši podstrani, vključno s smernicami in vzorčno pogodbo:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pogodbena-obdelava/

Splošna uredba izrecno ne zahteva, da ne sme zadevno biti urejeno v eni sami pogodbi, dokler so upoštevane vse zahteve glede na zgoraj omenjene določbe.

Glede na vaše področje delovanja, kot je razvidno iz vaše spletne strani (programska oprema za evidentiranje delovnega časa), gre za zgoraj omenjeni primer.

***

Zaradi širše uporabnosti mnenja pa podajamo pojasnilo tudi v primeru, kjer je na drugi strani kot stranka posameznik in vaša storitev vključuje obdelavo njegovih/njenih osebnih podatkov, podlaga za obdelavo osebnih podatkov pa je pogodba z njim/njo (člen 6(1(b)). V takšnem primeru je ključno, da je posameznik ustrezno seznanjen z obdelavo osebnih podatkov in mu morajo biti predstavljene informacije, ki jih zahteva člen 13. V pomoč pri tem je lahko neobvezen obrazec, ki je dostopen na:

https://www.ip-rs.si/fileadmin/user_upload/doc/vzorci/VZOREC_OBVESTILA_POSAMEZNIKOM_GLEDE_OBDELAVE_OSEBNIH_PODATKOV.docx

Ne glede na to, ali gre za prvo ali drugo situacijo Splošna uredba izrecno ne zahteva, da ne sme zadevno biti urejeno v eni sami pogodbi, dokler so upoštevane vse zahteve glede na zgoraj omenjene določbe, upoštevati pa morate (v drugem primeru) tudi določbo člena 4. odstavka člena 7 Splošne uredbe, ki določa, da se pri ugotavljanju, ali je bila privolitev dana prostovoljno, med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe. Kolikor gre namreč za pogodbo s posameznikom je treba ločiti:

• obdelavo osebnih podatkov, ki je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe (člen 6(1)b) od

• obdelave osebnih podatkov, ki poteka na podlagi privolitve posameznika (6(1)a člena Splošne uredbe).

Navedeno z drugimi besedami poenostavljeno pomeni, da ne smete zahtevati kot obveznih tistih podatkov, ki niso nujni za samo izvajanje pogodbe; te podatke lahko od stranke pridobiti le, če se sama tako odloči, torej na podlagi prostovoljne privolitve. Primer za lažje razumevanje: potovalna agencija lahko kot obvezen podatek od potnika za izvedbo pogodbe o potovanju med drugim zahteva njegov kontaktni podatek (npr. naslov e-pošte, telefon), medtem ko npr. fotografija posameznika ni takšen podatek, ki bi bil nujen za izvedbo tovrstne pogodbe. Potovalna agencija zanj lahko zaprosi potnika, ne sme ga pa zahtevati kot obveznega in z njim pogojevati izvedbo storitve; če potnik poda veljavno in prostovoljno privolitev, kar pomeni možnost izbire, lahko pridobi in uporabi tudi ta podatek v okviru potniku vnaprej predstavljanih namenov (npr. za objavo fotografij s potovanja na spletni strani agencije).

Več informacij o privolitvi in zahteva za njeno veljavnost je na voljo na:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

Zaključno (v primeru pogodbe s posameznikom) opozarjamo še, da morajo biti informacije o obdelavi po členu 13 Splošne uredbe posamezniku podane ne glede na to, kakšna je pravna podlaga za njihovo obdelavo.

S spoštovanjem,

Mojca Prelesnik, univ.dipl.prav.,

informacijska pooblaščenka

Pripravil:

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke