Pogodba o storitvah varnostno nadzornih centrov

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da je za pridobitev licence zasebnega varovanja je eden izmed pogojev iz prvega odstavka 19. člena Zakona o zasebnem varovanju (Uradni list RS, št. 17/11, v nadaljevanju: ZZasV-1) tudi pogoj, da ima imetnik licence zasebnega varovanja lasten ali s pogodbo zagotovljen varnostno nadzorni center (VNC). Poleg tega pa mora imeti skladno s standardom DIN EN 50518:2019 primarni VNC imeti vzpostavljen še »backup« oziroma nadomestni VNC. Omenjeni standard določa zahtevo po vzpostavitvi postopka, kjer mora biti določeno, kako operaterji VNC, ki imajo dostop do (osebnih) informacij zagotavljajo zaupnost teh informacij ne glede na to, ali delajo v primarnem ali nadomestnem VNC. Skladno s tem sprašujete, ali je imetnik licence zasebnega varovanja pri sklenitvi pogodbe z naročnikom storitev, dolžan naročnika seznaniti tudi, s katero družbo ima primarni VNC vzpostavljen nadomestni (backup) VNC.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Kot je IP že ugotavljal mnenju št. 0712-1/2019/1249 z dne 22. 5. 2019 (dostopen prek brskalnika na spletni strani https://www.ip-rs.si/vop), je na podlagi vašega takratnega zaprosila in zakonskih določb ZZasV-1 mogoče sklepati, da gre pri pogodbi med naročnikom storitev in imetnikom licence za pogodbo o varovanju, ne pa za pogodbo, ki vsebuje določbe o obdelavi osebnih podatkov v smislu 28. člena Splošne uredbe o varstvu podatkov. Ti dve pogodbi je torej treba gledati kot na dva instrumenta z različnimi cilji in nameni.

Pogodbo o obdelavi podatkov, kot jo opredeljuje 28. člen Splošne uredbe, bi bilo tako treba skleniti, kadar bi se stranki dogovorili, da obdelovalec osebnih podatkov po naročilu upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oz. namen zanj obdelujejo osebne podatke posameznikov. Najem video nadzornih storitev, ki vključujejo obdelavo osebnih podatkov, je eno tipičnih razmerij pogodbene obdelave med upravljavcem in obdelovalcem. Njuno medsebojno razmerje je torej treba urediti na zgoraj opisan način, s pogodbo o obdelavi osebnih podatkov.

Kot je IP že pojasnil v zgoraj navedenem mnenju je treba primarno ugotoviti, kakšne so vloge posameznih subjektov »v verigi«, in sicer z vidika zakonodaje s področja varstva osebnih podatkov vloge pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Opredeliti je torej treba vlogo upravljavca (to je lahko glede na okoliščine primera naročnik storitev) in obdelovalca osebnih podatkov (to je lahko imetnik licence), v primeru nadomestnega VNC pa tudi morebitno vlogo drugega obdelovalca ali pod-obdelovalca.

Na vaše vprašanje, ali mora imetnik licence naročniku storitev sporočiti, koga je najel za storitev zagotavljanja nadomestnega VNC, vam odgovarjamo v pogojniku sledeče. V kolikor storitev zajema obdelavo osebnih podatkov (in ne zgolj storitev zasebnega varovanja, ki ne vključujejo obdelave osebnih podatkov) in nastopa naročnik storitev v vlogi upravljavca osebnih podatkov, imetnik licence pa v vlogi obdelovalca osebnih podatkov, mora biti naročnik storitev vsekakor ne le obveščen o morebitnem drugem obdelovalcu, temveč mora s tem celo pisno soglašati.

Kot je IP že zapisal, obdelovalec ne sme zaposliti drugega obdelovalca brez predhodnega posebnega ali splošnega pisnega dovoljenja upravljavca. V primeru splošnega pisnega dovoljenja obdelovalec upravljavca obvesti o vseh nameravanih spremembah glede zaposlitve dodatnih obdelovalcev ali njihove zamenjave, s čimer se upravljavcu omogoči možnost nasprotovanja tem spremembam. Kadar obdelovalec zadolži drugega obdelovalca za izvajanje specifičnih dejavnosti obdelave v imenu upravljavca, za tega drugega obdelovalca na podlagi pogodbe ali drugega pravnega akta v skladu s pravom Unije ali pravom države članice veljajo enake obveznosti varstva podatkov, kot so določene v pogodbi ali drugem pravnem aktu med upravljavcem in obdelovalcem, zlasti za zagotovitev zadostnih jamstev za izvajanje ustreznih tehničnih in organizacijskih ukrepov na tak način, da bo obdelava izpolnjevala zahteve iz te uredbe. Kadar ta drugi obdelovalec ne izpolni obveznosti varstva podatkov, prvi obdelovalec še naprej v celoti odgovarja upravljavcu za izpolnjevanje obveznosti drugega obdelovalca.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                  

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov