Opredelitev vlog subjektov pri obdelavi osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede vlog posameznih subjektov pri obdelavi osebnih podatkov v mednarodnih korporativnih skupinah.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati vlog posameznih udeleženih subjektov pri določenih obdelavah osebnih podatkov.

Znotraj iste obdelave osebnih podatkov je mogoča različna opredelitev vlog posameznih udeleženih subjektov, zato je pomembno, da se vloge opredelijo glede na vsako konkretno obdelavo osebnih podatkov in ne splošno na ravni korporacije. Bistveno je, kdo za posamezno obdelavo določi namen in sredstva obdelave, prav tako pa je pomembno, ali morda katera od družb deluje po navodilih druge in ima torej zgolj neke vrste izvedbeno vlogo, ne uporablja pa podatkov tudi za lastne namene.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati vlog posameznih udeleženih subjektov pri konkretni obdelavi osebnih podatkov in konkretno odgovarjati na vprašanja iz vašega zaprosila za mnenje, zato v nadaljevanju podaja splošna pojasnila.

IP uvodoma pojasnjuje, da v skladu s 4. členom Splošne uredbe pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, pojem »obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

Pogodbeni obdelovalci so tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov. IP poudarja, da je bistvenega pomena dejstvo, da lahko obdelovalec osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. V vlogi obdelovalca bo tako nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala izključno v imenu in za račun upravljavca osebnih podatkov, bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca. Pogodbeni obdelovalec tako pravzaprav izvaja določene naloge v imenu in na račun upravljavca, ki bi jih drugače lahko izvajal sam upravljavec osebnih podatkov, pa se je ta odločil, da za to pooblasti pogodbenega partnerja.

Za določitev medsebojnega razmerja so torej bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Za razlikovanje med upravljavcem in obdelovalcem osebnih podatkov je tako ključno, da je obdelovalec samostojna, od upravljavca ločena pravna entiteta, in da osebne podatke vselej obdeluje le v imenu in za račun upravljavca. V vlogi obdelovalca nastopa tista pravna oziroma fizična oseba, ki obdelavo osebnih podatkov izvršuje izključno v imenu in za račun upravljavca osebnih podatkov, pri tem črpa podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter je v zvezi s samimi dejanji obdelave vezana na navodila upravljavca. Gre torej za primere, ko upravljavec, ki bi posamezne aktivnosti v zvezi z osebnimi podatki lahko izvedel sam, sprejme odločitev, da jih bo iz različnih razlogov zaupal obdelovalcu. Ker slednji dela v imenu in za račun upravljavca, je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja obdelovalec.

Razmerje med upravljavcem in obdelovalcem ureja 28. člen Splošne uredbe, kjer je določeno, da obdelavo s strani obdelovalca ureja pogodba ali drug pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Bistvena vsebina te pogodbe ali drugega pravnega akta je določena v tretjem odstavku 28. člena Splošne uredbe. Tak pisni dogovor zagotavlja, da se tako upravljavec kot obdelovalec zavedata svojih pravic in obveznosti v zvezi z obdelavo osebnih podatkov. Odgovornost za zakonito obdelavo osebnih podatkov je primarno na strani upravljavca in ostaja njegova odgovornost tudi po njihovem posredovanju pogodbenemu obdelovalcu. Ob tem pa IP opozarja, da ima v določenem delu obdelovalec podobne obveznosti kot upravljavec osebnih podatkov in je neposredno odgovoren za zakonito obdelavo osebnih podatkov v okviru svojih pooblastil. Pravila zakonite obdelave osebnih podatkov mora poznati in jih v praksi tudi ustrezno izvrševati.

Nadalje Splošna uredba o varstvu podatkov v 26. členu določa, da so skupni upravljavci tisti, ki skupaj določijo namene in načine obdelave. Med seboj z medsebojnim dogovorom (oblika tega dogovora ni posebej določena) na pregleden način določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu z uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Dogovor odraža vlogo vsakega od skupnih upravljavcev in njegovo razmerje do posameznikov, na katere se nanašajo osebni podatki. IP poudarja, da ni nujno, da so upravljavci v okviru skupnega upravljanja »enakovredni«, t.j. da imajo enakomerno porazdeljeno moč odločanja glede sredstev in namenov obdelave.

Skupni upravljavci se v praksi pojavljajo zlasti v primerih skupnih akcij, nagradnih iger, promocijskih aktivnosti in podobnih dejavnostih. Za določitev medsebojnih razmerij so torej bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Skupni upravljavci so si v tem medsebojno enakovredni, vsi vključeni subjekti so upravljavci in skupaj določijo namene in načine obdelave.

Za ravnanje v primeru skupnih upravljavcev v smislu 26. člena Splošne uredbe o varstvu podatkov je IP izdal tudi posebna priporočila (Priporočila Informacijskega pooblaščenca glede skupnih upravljavcev), ki so dostopna na spletni strani IP. V teh priporočilih IP pojasnjuje, da za uporabo instituta skupnega upravljavca ni potrebno, da ima vsak upravljavec nadzor nad vsemi stopnjami konkretne obdelave. Posamezni skupni upravljavci so namreč lahko vključeni v različne stopnje konkretne obdelave osebnih podatkov in to v različnem obsegu. Tudi nameni in sredstva obdelave niso nujni vedno skupni oziroma enaki, morajo pa biti skupno določeni. Bistven je torej dejanski vpliv posameznega udeleženega subjekta na določanje namenov in načinov obdelave. V kolikor upravljavci ne delujejo enotno in ne obdelujejo podatkov za skupno določene namene in na skupno določene načine, ne gre za skupne, ampak za ločene, samostojne upravljavce. Ob tem velja izpostaviti, da mora vsak izmed skupnih upravljavcev imeti samostojno pravno podlago za obdelavo osebnih podatkov, ki je v posameznem primeru lahko, ni pa nujno enaka.

IP nadalje pojasnjuje, da če npr. matična (nadrejena) družba določi skupno politiko informacijske varnosti, standarde uporabe ali tehnične zahteve, to še ne pomeni samodejno, da je upravljavec ali skupni upravljavec glede vseh obdelav lokalnih (podrejenih) družb v tem okviru. Ključno je namreč, ali dejansko določa namen obdelave in njena bistvena sredstva ali zgolj postavlja splošne varnostne in organizacijske standarde.

IP pojasnjuje tudi, da zgolj možnost dostopa do podatkov (npr.  v kadrovski sistem) sama po sebi še ne določa vloge. Kadar matična družba določene podatke uporablja za lastne namene, kot so izpolnjevanje lastnih pravnih obveznosti ali lastno poročanje, je lahko za to uporabo samostojni upravljavec. Če jih obdeluje samo po navodilih lokalne družbe, je lahko obdelovalec. Znotraj iste obdelave osebnih podatkov je torej mogoča različna opredelitev vlog posameznih udeleženih subjektov, zato je pomembno, da se vloge opredelijo glede na vsako konkretno obdelavo osebnih podatkov in ne splošno na ravni korporacije. Bistveno je, kdo za posamezno obdelavo določi namen in sredstva obdelave, prav tako pa je pomembno, ali morda katera od družb deluje po navodilih druge in ima torej zgolj neke vrste izvedbeno vlogo, ne uporablja pa podatkov tudi za lastne namene. Če npr. celotna korporacija uporablja isto podatkovno zbirko za določen enak namen in ta podatkovna zbirka gostuje na strežnikih matične družbe, je slednja obdelovalec v zvezi s hrambo podatkov. Vsaka posamezna družba vnaša določene podatke (npr. o svojih strankah) ter te podatke obdeluje le za lastne namene. Vsaka družba se tudi neodvisno odloči glede dostopa, obdobij hrambe ter drugih bistvenih okoliščinah obdelave. Samo dejstvo, da ta podjetja uporabljajo skupno podatkovno zbirko kot tako, ne pomeni skupnega upravljanja. Zato je v teh okoliščinah vsako podjetje ločen upravljavec.

Tudi glede kadrovskih zbirk oziroma zbirk o zaposlenih velja, da načeloma vsaka družba obdeluje podatke o svojih zaposlenih za lastne namene (izvajanje kadrovske politike) in je v tem okviru samostojni (ločen)upravljavec. Če pa se npr. matična družba odloči, da bo od vseh podrejenih družb zahtevala podatke o zaposlenih za nek drug namen (npr. za  pripravo statističnih podatkov na ravni korporacije), se bo v zvezi s svojo obdelavo podatkov za ta namen smatrala kot upravljavec.

IP posebej poudarja tudi, da recital 48 Splošne uredbe določa, da upravljavci, ki so del povezane družbe ali institucij, povezanih z osrednjim telesom, lahko imajo zakoniti interes (torej pravno podlago v smislu točke (f) prvega odstavka 6. člena Splošne uredbe) za posredovanje osebnih podatkov znotraj povezane družbe v notranje upravne namene, vključno z obdelavo osebnih podatkov strank ali zaposlenih. To pomeni, da bi v konkretnem primeru morda lahko pravno podlago za posamezne obdelave osebnih podatkov znotraj povezane družbe (tudi tiste, ki jih opisujete v vašem zaprosilu) predstavljali zakoniti interesi, za katere si prizadeva upravljavec, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Ob tem pa IP poudarja, da je treba pravno podlago zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe v povezavi z uvodno določbo št. 48 razlagati na način, da le ta pride v poštev takrat, kadar gre pri namenu obdelave osebnih podatkov, za notranje upravne namene, ne pa tudi za vsakršni drug namen posredovanja podatkov znotraj povezanih družb.

IP sklepno svetuje, da natančno preučite dejansko stanje in naravo medsebojnih odnosov na ravni korporacije v smislu pojasnil, ki jih IP podaja v tem mnenju. Prav tako vas IP napotuje na že izdana mnenja na njegovi spletni strani, npr. na:

https://www.ip-rs.si/mnenja-gdpr/podru%C5%BEnice-kot-upravljavec

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka