Podpis pogodbe z uporabnikom

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem pojasnjujete, da ste kot sodni izvedenec in cenilec prejeli sklep sodišča, ki vam nalaga vpogled v bazo podatkov registracije delovnega časa pri določenem upravljavcu. Proizvajalec programske opreme od vas zahteva, da podpišete pogodbo o obdelavi osebnih podatkov z uporabnikom. Zanima vas, ali ste takšno pogodbo dolžni podpisati. 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Kakor izhaja iz vašega dopisa, pravna podlaga za vpogled v podatke obstaja, saj je sodišče izdalo sklep, s katerim vam je kot izvedencem takšen vpogled naložilo, hkrati pa za upravljavca takšen sklep predstavlja dolžnost, da vam omogoči vpogled v osebne podatke, kakor to izhaja iz konkretnega sklepa.

V skladu s členom 28 Splošne uredbe morata upravljavec in obdelovalec svoje razmerje urediti s pogodbo ali drug pravni akt o pogodbeni obdelavi, ki vsebuje določila iz člena 28(3)
Splošne uredbe in določa obveznosti obdelovalca do upravljavca. Več o pogodbenem razmerju si lahko preberete v naših smernicah o pogodbeni obdelavi, ki so dostopne na spletni strani: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf.

Sodnih izvedencev in cenilcev praviloma ne štejemo za obdelovalce (o tem v zgoraj navedenih smernicah str. 11). V opisanem primeru bi lahko kot izvedenec v razmerju do upravljavca nastopali kot uporabnik podatkov. Uporabnik podatkov namreč pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Splošna uredba upravljavcu ne nalaga, da bi moral z uporabnikom pogodbeno urediti njuno pravno razmerje.

Glede na to, da IP ni znana vsebina pogodbe, se konkretneje v okviru mnenja ne more opredeliti (tudi sicer se lahko konkretno opredeli šele v okviru postopka inšpekcijskega nadzora). Ne glede na to pa IP pojasnjuje, da mora upravljavec poskrbeti za varnost osebnih podatkov in sicer na način, da s tehničnimi in organizacijskimi postopki in ukrepi prepreči, da bi osebni podatki prišli v roke nepooblaščenim osebam, se nepooblaščeno uporabljali, brisali, spreminjali ali izgubili. IP le ugotavlja, da bi v danem primeru lahko šlo za morebiten ukrep, s katerim želi upravljavec zagotoviti varnost osebnih podatkov, IP pa se glede tega ne more z gotovostjo opredeliti, saj vsebine pogodbe ne pozna. Več informacij o zavarovanju osebnih podatkov lahko pridobite v smernicah IP na spletni strani: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf. Svetujemo vam, da pred morebitnim podpisom pogodbe pozorno preverite pogodbena določila, predvsem z vidika, ali gre v danem primeru za ukrep zagotavljanja varnosti osebnih podatkov (npr. da se med drugim zavežete, da osebnih podatkov ne boste razkrili nepooblaščenim osebam) ali pa gre v danem primeru za pogodbo na podlagi člena 28 ali pogodbo, iz katere izhajajo obveznosti, ki jih sicer po Splošni uredbi nimate.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

Neja Domnik, mag. prav.,

asistentka svetovalca pri IP