Posredovanje OP pogodbenemu izterjevalcu
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 22.02.2010Številka: 0712-74/2010/2
Kategorije: Pogodbena obdelava OP Spoštovani,
Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je 4. 2. 2010 prejel vaš dopis, v katerem nam postavljate več vprašanj glede dopustnosti posredovanja osebnih podatkov pogodbenemu izterjevalcu, ki bi ga najeli za izterjavo terjatev iz naslova najemnin in drugih naslovov. Zanima vas sledeče:
1. Ali ste upravičeni registriranemu pogodbenemu izterjevalcu (tretji osebi, ki ni sodni izvršitelj) posredovati osebne podatke, na podlagi katerih bo opravil izterjavo (posredovali bi ime, priimek, naslov in višino dolga)?
2. Ali lahko pogodbenemu izterjevalcu za namene izterjave dovolite občasni vpogled v vaše evidence o stanju dolga?
3. Kaj vse morate glede varovanja, hranjenja in drugega obdelovanja osebnih podatkov urediti v pogodbi?
4. Kaj je potrebno v pogodbi določiti za primer prenehanja sodelovanja s pogodbenim izterjevalcem?
5. Ali glede na določilo 8. člena ZVOP-1 v primeru tovrstnih izterjav potrebujete predhodno pisno privolitev posameznika (npr. ob sklenitvi najemne pogodbe za poslovni prostor), da se njegovi podatki v primeru neplačila zapadlega dolga lahko prenesejo v obdelavo tretji osebi?
Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.
1. Ali ste upravičeni registriranemu pogodbenemu izterjevalcu posredovati osebne podatke, na podlagi katerih bo opravil izterjavo (posredovali bi ime, priimek, naslov in višino dolga)?
Da, na podlagi pogodbe, ki vključuje tudi prenos pooblastil za obdelavo osebnih podatkov.
2. Ali lahko pogodbenemu izterjevalcu za namene izterjave dovolite občasni vpogled v vaše evidence o stanju dolga?
Da, če to možnost določa pogodba ter upoštevaje načelo sorazmernosti.
3. Kaj vse morate glede varovanja, hranjenja in drugega obdelovanja osebnih podatkov urediti v pogodbi?
Vse vidike, ki jih predvideva 11. člen ZVOP1, predvsem pa postopke in ukrepe za zavarovanje osebnih podatkov.
4. Kaj je potrebno v pogodbi določiti za primer prenehanja sodelovanja s pogodbenim izterjevalcem?
Postopek, roke in način prenosa osebnih podatkov nazaj k upravljavcu.
5. Ali glede na določilo 8. člena ZVOP-1 v primeru tovrstnih izterjav potrebujete predhodno pisno privolitev posameznika (npr. ob sklenitvi najemne pogodbe za poslovni prostor), da se njegovi podatki v primeru neplačila zapadlega dolga lahko prenesejo v obdelavo tretji osebi?
Ne, možnost takšnega prenosa daje zakon, ki sklenitve pogodbe ne pogojuje s soglasjem posameznikov, katerih osebni podatki bodo preneseni v pogodbeno obdelavo.
Mnenje Pooblaščenca se nanaša zgolj na dopustnost predlagane obdelave osebnih podatkov. V njem se Pooblaščenec, glede na pristojnosti, ki jih ima, ne opredeljuje do primernosti in dopustnosti postopka izterjave dolga, ki ste ga ali ga želite izbrati.
O b r a z l o ž i t e v:
1. Ali ste upravičeni registriranemu pogodbenemu izterjevalcu (tretji osebi, ki ni sodni izvršitelj) posredovati osebne podatke, na podlagi katerih bo opravil izterjavo (posredovali bi ime, priimek, naslov in višino dolga)?
Po določbi 1. odstavka 11. člena ZVOP-1 lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe za zavarovanje osebnih podatkov iz 24. člena ZVOP-1 (pogodbena obdelava osebnih podatkov). 11. člen ZVOP-1 predstavlja posebno zakonsko podlago v smislu 8. člena ZVOP-1, ki pod določenimi pogoji omogoča obdelavo osebnih podatkov, kadar se ta izvaja s strani pogodbenih obdelovalcev in za to ni neke druge zakonske podlage ali privolitve posameznika. Omogoča torej posredovanje osebnih podatkov pogodbenemu obdelovalcu, obdelavo osebnih podatkov v ožjem smislu pri pogodbenem obdelovalcu in povratno posredovanje osebnih podatkov z dodano vrednostjo upravljavcu.
Pogodbeni obdelovalec (ta je v skladu s sedmo točko 6. člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) sme, v skladu z drugim odstavkom 11. člena, opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen.
Občina kot del javnega sektorja torej na podlagi 11. člena ZVOP-1 lahko posreduje osebne podatke pogodbenemu izterjevalcu. Pri določanju obsega posredovanih osebnih podatkov je občina vezana na načelo sorazmernosti – posredovati sme le tiste osebne podatke, ki so ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Ime, priimek, naslov in višina dolga so podatki, ki so potrebni za namene opravljanja izterjave dolga, medtem ko bi posredovanje drugih osebnih podatkov že lahko pomenilo prekomerno obdelavo. Kateri podatki so »ustrezni in po obsegu primerni« za namene izterjave dolga, se sicer presoja v vsakem konkretnem primeru posebej.
2. Ali lahko pogodbenemu izterjevalcu za namene izterjave dovolite občasni vpogled v vaše evidence o stanju dolga?
Tudi v primeru vpogleda v evidence občine o stanju dolga je potrebno spoštovati načelo sorazmernosti. Neomejen vpogled pogodbenega izterjevalca v navedene evidence občine ne bi bil skladen s tem načelom, kadar pa je to potrebno z namenom izpolnjevanja pogodbenih obveznosti izterjevalca do občine, pa je to lahko utemeljeno. Ob tem opozarjamo na določbo 5. točke 1. odstavka 24. člena ZVOP-1, po kateri morata tako upravljavec kot pogodbeni obdelovalec zagotoviti ukrepe, ki omogočajo poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov (t.i. sledljivost).
Če torej želite izterjevalcu omogočiti vpogled v svoje evidence o stanju dolga, morate tudi to možnost opredeliti s pogodbo in omogočiti sledljivost.
3. Kaj vse morate glede varovanja, hranjenja in drugega obdelovanja osebnih podatkov urediti v pogodbi?
Poleg tega, da 11. člen ZVOP-1 predstavlja posebno zakonsko podlago v smislu 8. člena ZVOP-1, določa tudi pogoje in zahteve, ki jim mora biti zadoščeno, da je pogodbena obdelava dopustna oz. zakonita. V nadaljevanju vam podajamo splošni oris vsebine pogodbe o pogodbeni obdelavi – konkretnejše vsebine pogodbe pa vam ne moremo podati, saj so, kot boste videli v nadaljevanju, zahteve iz 24. člena ZVOP-1 odvisne od konkretnega upravljavca in njegove lastne ureditve zavarovanja osebnih podatkov. Za primer pa vam lahko navedemo povezavo na okvirni vzorec pogodbe – nahaja se na povezavi http://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ (»Vzorec pogodbe za potrebe pogodbene obdelave po 11. členu ZVOP-1«).
Pogodbeni obdelovalec (ta je v skladu s 7. točko 6. člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) sme, v skladu z 2. odstavkom 11. člena, opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen.
Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena ZVOP-1. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena tega zakona.
Dogovor med strankama o postopkih in ukrepih iz 24. člena ZVOP-1 pomeni dogovor o organizacijskih, tehničnih in logično-tehničnih postopkih in ukrepih, s katerimi se varujejo osebni podatki, preprečuje nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter njihova nepooblaščena obdelava pri pogodbeni obdelavi teh podatkov. Zato morata upravljavec in pogodbeni obdelovalec v pogodbi jasno in natančno določiti postopke in ukrepe s katerimi mora pogodbeni obdelovalec:
- varovati prostore, kjer se nahajajo nosilci osebnih podatkov,
- varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki,
- preprečevati nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih,
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov
- omogočati poznejše ugotavljanje, kdaj so bili posamezni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil (načelo sledljivosti).
Splošne navedbe, v smislu: »pogodbeni obdelovalec se zavezuje, da bo pri obdelavi osebnih podatkov spoštoval zakonodajo s področja varstva osebnih podatkov«, z vidika 11. člena ZVOP-1 ne zadostujejo. Kot je pojasnjeno v nadaljevanju, je dopustno sklicevanje na Pravilnik o zavarovanju osebnih podatkov, ki ga je upravljavec sprejel za zavarovanje osebnih podatkov, oziroma vključitev takega Pravilnika v pogodbo, če seveda v Pravilniku predvideno zavarovanje osebnih podatkov ustreza zahtevam upravljavca osebnih podatkov.
Ker morata stranki opisane postopke in ukrepe za zavarovanje osebnih podatkov urediti v pogodbi, pogodbenemu obdelovalcu tudi ni treba teh postopkov in ukrepov predpisovati v svojih aktih, kot je to v skladu z 2. odstavkom 25. člena ZVOP-1 dolžan storiti upravljavec osebnih podatkov. Če pa je pogodbeni obdelovalec že sprejel notranji akt (v praksi navadno Pravilnik o zavarovanju osebnih podatkov), v katerem je predpisal postopke in ukrepe iz 24. člena ZVOP-1 (npr. za zavarovanje tistih osebnih podatkov, kjer sam nastopa kot upravljavec), pa lahko stranki namesto ponovnega opisovanja vseh postopkov in ukrepov v pogodbi zgolj citirata takšen akt (če ta seveda ustreza zahtevam upravljavca), pogodbeni stranki navedeta, da je akt sestavni del pogodbe in da mora pogodbeni obdelovalec zagotoviti zavarovanje osebnih podatkov v skladu z določbami takšnega akta ter akt priložita pogodbi. Enako kot akt pogodbenega obdelovalca lahko stranki v pogodbo vključita tudi notranji akt upravljavca.
Upravljavec in pogodbeni obdelovalec osebnih podatkov morata v pogodbi določiti tudi, katere osebe, zaposlene pri pogodbenem upravljavcu osebnih podatkov, lahko opravljajo posamezna opravila v zvezi z obdelavo osebnih podatkov, kakšna so v zvezi s tem njihova pooblastila ter uredita dolžnost varovanja zaupnosti podatkov. Pogodbeni obdelovalec mora poskrbeti tudi, da se z v pogodbi dogovorjenimi postopki in ukrepi iz 24. člena ZVOP-1 seznanijo vsi tisti zaposleni, ki pri njem odgovarjajo za izvajanje teh postopkov in ukrepov, ter osebe, ki zaradi narave svojega dela pri njem obdelujejo določene osebne podatke. Če sta pogodbenika v pogodbo vključila že obstoječi notranji akt o zavarovanju osebnih podatkov enega ali drugega, mora pogodbeni obdelovalec poskrbeti, da se omenjene osebe seznanijo s tem aktom.
Potrebno je še dodati, da morata pogodbeni stranki pri določanju pogodbene vsebine in njenem izvrševanju upoštevati tudi, določbe 14. člena ZVOP-1, ki govori o zavarovanju občutljivih osebnih podatkov.
4. Kaj je potrebno v pogodbi določiti za primer prenehanja pogodbenega izterjevalca oz. prekinjenega sodelovanja z izterjevalcem?
V pogodbi je priporočljivo opredeliti, kako se bo ravnalo z osebnimi podatki v primeru prekinjenega sodelovanja z izterjevalcem. Najbolje je, da opredelite postopek, roke in način prenosa osebnih podatkov nazaj k upravljavcu. Če se namreč pogodbeno sodelovanje z izterjevalcem prekine, izterjevalec nima več veljavne pravne podlage za obdelavo osebnih podatkov, zato vam jih mora nemudoma vrniti. V primeru prenehanja pogodbenega obdelovalca pa 4. odstavek 11. člena ZVOP-1 posebej določa, da se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov.
5. Ali glede na določilo 8. člena ZVOP-1 v primeru tovrstnih izterjav potrebujete predhodno pisno privolitev posameznika (npr. ob sklenitvi najemne pogodbe za poslovni prostor), da se njegovi podatki v primeru neplačila zapadlega dolga lahko prenesejo v obdelavo tretji osebi?
Kot smo pojasnili že pri odgovorih na predhodna vprašanja, predstavlja 11. člen ZVOP-1 v primeru pogodbene izterjave posebno pravno podlago (v smislu 9. člena ZVOP-1, ki opredeljuje pravne podlage v javnem sektorju), ki »nadomesti« osebno privolitev posameznika. Zakonska podlaga obstaja, zato privolitev posameznika ni potrebna.
Za konec Poblaščenec dodaja, da se zgornje mnenje nanaša zgolj na dopustnost predlagane obdelave osebnih podatkov. V njem se Pooblaščenec, glede na pristojnosti, ki jih ima, ne opredeljuje do primernosti in dopustnosti postopka izterjave dolga, ki ste ga ali ga želite izbrati.
Prijazen pozdrav,
Informacijski pooblaščenec:
Nataša Pirc Musar, univ.dipl.prav.,
pooblaščenka