Ureditev pogodbene obdelave
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 27.09.2016Številka: 0712-1/2016/1927
Kategorije: Pogodbena obdelava OP Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem nas prosite za mnenje. Pojasnili ste, da ste podjetje, ki razvijate lastno programsko opremo. Vaše stranke imajo z vami sklenjene pogodbe o vzdrževanju programske opreme. Po pogodbi jim nudite podporo za uporabo programske opreme in tako imate dostop do njihove podatkovne baze, ki se praviloma nahaja na njihovem strežniku oz. vam posredujejo podatke za oblačno storitev (v lastni režiji sklenejo pogodbo še z ponudnikom oblačne storitve). Na vašem strežniku nimate nobenih podatkovnih baz vaših strank, torej tudi njihovih kupcev/strank ne. Do osebnih podatkov, s katerimi upravljajo vaše stranke dostopate le takrat, ko stranke pisno sporočijo, da se k njim povežete ter ko imate na voljo oddaljeno povezavo (po pogodbah s strankami gre večinoma za stalne povezave, kjer se pa beležijo dostopi ipd). Stranka vam je poslala v podpis s spletne strani IP povzet vzorec pogodbe o pogodbeni obdelavi osebnih podatkov, v katerem je izraz »upravljavec pogodbenemu obdelovalcu izroča naslednje osebne podatke…«. V izogib nejasnostim v prihodnje vas zanima, če bi ta izraz lahko vplival na stopnjo naše odgovornosti, ali je odgovornost enaka v vsakem primeru, tudi če obstaja samo možnost, da bi te podatke videli. Konkretno primer: če gre za prekinitev pogodbe med vami in naročnikom, jim ne morete vrniti izročenih podatkov, če jih niste prejeli oz. si jih niste skopirali ipd., imeli pa ste občasen dostop do njih.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.IP uvodoma pojasnjuje, da je vprašanja glede pogodbene obdelave podrobno obdelal v Smernicah o pogodbeni obdelavi osebnih podatkov, ki so na voljo na povezavi:https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdfGlede vašega vprašanja, ki se nanaša na izraz »izroči« menimo, da sam po sebi ne vpliva na raven vaše odgovornosti. Primerneje bi bilo sicer uporabiti dikcijo, ki ustreza dejanskemu stanju, na kar lahko v bodoče opozorite vaše naročnike. Če vam podatkov dejansko ne izročijo (kot bi to npr. storili v primeru pogodbenega obdelovalca, ki izvaja odvoz in uničenje dokumentacije oz. podatkov), temveč vam pod določenimi pogoji omogočijo dostop do podatkov, potem je primerneje, da pogodba omenja dostop do podatkov in ne izročitev podatkov. Če podatkov nimate, jih seveda ne morete niti izročiti, še vedno pa se zaradi možnosti (čeravno občasnega) dostopa do osebnih podatkov štejete za pogodbenega obdelovalca, zato morate spoštovati dolžnosti, ki jih glede tega nalaga ZVOP-1; podrobneje so opisane v smernicah.Svetujemo vam, da si podrobno preberete zgoraj omenjene smernice. Prav tako vas opozarjamo, da bo po novi EU uredbi ureditev pogodbene obdelave nekoliko bolj zahtevna (glejte člene 28 do 30). Več o uredbi:https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/S prijaznimi pozdravi,Informacijski pooblaščenec:
Mojca Prelesnik, univ.dipl.prav.,
pooblaščenkaPripravil:
mag. Andrej Tomšič, namestnik informacijske pooblaščenke