Obdelava osebnih podatkov s strani varnostne službe

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaši zaprosili za mnenje. Navajate, da za eno od slovenskih bank opravljate storitve prevoza varnostnih pošiljk. Pri praznjenju bankomatov varnostnik iz bankomata vzame zadržane bančne kartice in UPN plačilne naloge. Plačilne kartice položi v kuverto in jo zapečati, UPN pa se nahajajo v zaprti kaseti. Plačilne kartice v zaprti kuverti in kaseto z UPN nato prenese na lokacijo upravljavca. Varnostnik ima torej plačilne kartice v rokah zgolj nekaj minut.

Zanima vas, ali gre v teh primerih za obdelavo osebnih podatkov.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem (še dodatno v pisni obliki). Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. 

Uvodoma pojasnjujemo, da predstavlja »obdelava« osebnih podatkov skladno z 2. točko 4. člena Splošne uredbe vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Torej osebne podatke obdelujete tudi, če jih npr. zgolj shranjujete (v vašem primeru fizično hranite) za upravljavca, ne glede na to, da jih ima kot navajate, varnostnik v rokah zgolj par minut.

Prav tako pojasnjujemo, da pomeni skladno s 7. točko 4. člena Splošne uredbe »upravljavec« fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Nadalje pa 8. točka opredeljuje »obdelovalca«, ki predstavlja fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

Glede na vaš opis sklepamo, da ste po vsej verjetnosti v vlogi pogodbenega obdelovalca, saj shranjujete osebne podatke v imenu oz. za upravljavca, pri tem pa tudi izvajate določene ukrepe za zavarovanje teh podatkov do predaje upravljavcu (npr. shranjevanje kartic v zapečateni kuverti, oz. že po naravi svojega dela skrbite za njihovo varnost). Upravljavec – banka pa samostojno določa namene in sredstva obdelave osebnih podatkov. Skladno z 28. členom Splošne uredbe morata upravljavec in obdelovalec skleniti pogodbo o obdelavi osebnih podatkov; določene so tudi nekatere obvezne sestavine pogodbe. Več o tem si lahko preberete tudi v že izdanih mnenjih IP, ki so dosegljiva na www.ip-rs.si/vop, npr. v mnenju št. 07121-1/2021/640 z dne 2.4.2021.

Predlagamo vam, da se seznanite s Smernicami o pogodbeni obdelavi, ki so dostopne na: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi. Nekaj informacij o pogodbeni obdelavi najdete tudi na spletni strani IP: https://www.ip-rs.si/?id=104, kjer je na voljo tudi vzorec, ki ga lahko uporabite (standardna pogodbena določila). V pomoč pa vam je lahko tudi infografika na temo pogodbene obdelave, ki je dosegljiva na:

 https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/INFOGRAFIKA_Pogodbena_obdelava_1_.pdf.

V upanju, da ste prejeli odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                  

informacijska pooblaščenka

Pripravila:                                                                                                                                

Barbara Pirš, univ.dipl.prav.,

svetovalka pooblaščenca za preventivo