Posredovanje osebnih podatkov fakultet podjetju
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 20.03.2008Številka: 0712-269/2008/2
Kategorije: Pogodbena obdelava OP Spoštovani,
prejeli smo vaše elektronsko sporočilo, v katerem nam sporočate, da je fakulteta, ki jo obiskujete, nekemu podjetju, ki vam omogoča brezplačno opravljanje določenih vaj, posredovala vpisne številke in imena ter priimke študentov.
Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/2005, s spremembami in dopolnitvami, v nadaljevanju ZInfP) posredujemo naslednji odgovor:
1. Fakulteta lahko kot del javnega sektorja zunanjemu izvajalcu v zasebnem sektorju posreduje osebne podatke študentov le v primeru, ko je z zunanjim izvajalcem sklenila pisno pogodbo v okviru pogodbene obdelave po 11. členu ZVOP-1. V takšnem primeru mora biti pogodbeni obdelovalec registriran za opravljanje takšne dejavnosti (torej konkretne obdelave osebnih podatkov) in mora izpolnjevati ostale pogoje, ki jih določa 11. člen ZVOP-1. V nasprotnem primeru mora imeti fakulteta za posredovanje osebnih podatkov podlago v zakonu.
Uvodoma vam sporočamo, da si lahko več o osnovah varstva osebnih podatkov – tudi o pogodbeni obdelavi, preberete na naši spletni strani www.ip-rs.si, v nadaljevanju podajamo zgolj konkreten odgovor na vaše vprašanje.
V skladu z 22. tč. 1. odst. 6. člena ZVOP-1 je fakulteta del javnega sektorja. V skladu z navedenim členom je torej zavezana k ravnanju po 9. členu ZVOP-1, ki v 1. odst. določa, da se osebni podatki v javnem sektorju lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom pa se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.
V skladu z 9. členom lahko torej fakulteta osebne podatke posreduje zgolj takrat, ko jo za to pooblašča zakon. Edina izjema je 11. člen ZVOP-1, v primerih, ko upravljavec osebnih podatkov (fakulteta) izvede t. i. pogodbeno obdelavo, torej, da del svojih »pristojnosti« s pogodbo, ki mora vsebovati vse sestavine iz 11. člena ZVOP-1, prenese na pogodbenega obdelovalca. V takšnih primerih je prenos osebnih podatkov možen, vendar pa je pri tem nujno potrebno upoštevati dve pravili:
1. nihče ne more na drugega prenesti več pravic, kot jih ima sam;
2. upoštevati mora načelo sorazmernosti iz 3. člena ZVOP-1.
S spoštovanjem,
Informacijski pooblaščenec
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka