Zbiranje osebnih podatkov za naročnika in upravljavec osebnih podatkov
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 28.11.2006Številka: 0712-363/2006/2
Kategorije: Razno Spoštovani,dne 15.11.2006 smo po elektronski pošti prejeli vaše vprašanje v zvezi z varstvom osebnih podatkov. Spraševali ste, ali je upravljavec osebnih podatkov tudi tista pravna oseba, ki samo opravlja storitev zbiranja osebnih podatkov za naročnika, ki nato pridobljene osebne podatke obdeluje. Kot primer ste navedli zbiranje podatkov med mimoidočimi na tržnici o tem, ali so življenjsko zavarovani, in sicer za naročnika, ki nato te podatke uporablja v okviru svoje dejavnosti. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. tč. I. odst. 49. čl. Zakona o varstvu osebnih podatkov (Ur. l. RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter 2. čl. Zakona o informacijskem pooblaščencu (Ur. l. RS, št. 113/05, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. V 6. tč. 6. čl. ZVOP-1 je določeno, da je upravljavec osebnih podatkov fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. 7. tč. istega člena pa določa, da je fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov, pogodbeni obdelovalec. Primer, ki ga navajate, je tipični primer pogodbene obdelave osebnih podatkov, ki je sicer podrobneje urejena v 11. čl. ZVOP-1, po katerem lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena tega zakona (I. odst. 11. čl.). Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena tega zakona (II. odst. 11. čl.). V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon (III. odst. 11. čl.). V primeru prenehanja pogodbenega obdelovalca se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov (IV. odst. 11. čl.). Pri pogodbeni obdelavi je bistvenega pomena, da pogodbeni obdelovalec pri obdelavi osebnih podatkov nima nobenih drugih pravic, razen tistih, ki jih je nanj prenesel upravljavec osebnih podatkov. Pogodbeni obdelovalec je tako zgolj nekakšna ''podaljšana roka'' upravljavca osebnih podatkov, saj namen in sredstva obdelave osebnih podatkov določa upravljavec osebnih podatkov in ne pogodbeni obdelovalec.Iz navedenega izhaja, da je odgovor na vaše vprašanje negativen. Pravna oseba, ki samo zbira osebne podatke za naročnika, ki nato pridobljene podatke obdeluje, ni upravljavec osebnih podatkov, pač pa zgolj pogodbeni obdelovalec. Upravljavec osebnih podatkov je v tem primeru naročnik. Medsebojno razmerje v zvezi z obdelavo osebnih podatkov morata upravljavec osebnih podatkov in pogodbeni obdelovalec urediti na način, kot je določeno v 11. čl. ZVOP-1.V upanju, da smo vam odgovorili na vaše vprašanje, vas lepo pozdravljamo,
Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka