Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ravnanja z dokumentacijo bivših naročnikov računovodskih storitev.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP vas napotuje, da sami preverite in izpolnite zahteve glede hrambe poslovne dokumentacije, ki izhajajo iz veljavne zakonodaje (računovodskih in drugih predpisov) s tega področja.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi.

IP uvodoma poudarja, da sme v skladu z načelom zakonitosti ravnati samo v okviru svojih pooblastil, za katera ima neposredno podlago v 58. členu Splošne uredbe[1], prvem odstavku 55. člena Zakona o varstvu osebnih podatkov (ZVOP-2)[2], 76. členu Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD)[3], tretjem odstavku 27. člena ter četrtem odstavku 32. člena Zakona o dostopu do informacij javnega značaja (ZDIJZ)[4] ter 2. členu Zakona o informacijskem pooblaščencu (ZInfP)[5], na podlagi katerih je pristojen za:

- odločanje o pritožbi zoper odločbo, s katero je pristojni organ zavrgel ali zavrnil posameznikovo zahtevo za dostop ali ponovno uporabo informacije javnega značaja po ZDIJZ, ali drugače kršil pravico posameznika do dostopa ali ponovne uporabe informacije javnega značaja in na drugi stopnji za nadzor nad določbami ZDIJZ in na njegovi podlagi izdanih predpisov;

- inšpekcijski nadzor nad izvajanjem Splošne uredbe, ZVOP-2, ZVOPOKD in drugih predpisov, ki urejajo varstvo osebnih podatkov ter opravljanje drugih nalog, ki jih določajo ti predpisi;

- odločanje o prijavi posameznika o tem, ali se osebni podatki tega posameznika obdelujejo nezakonito oz. v nasprotju s Splošno uredbo, ZVOP-2 ali ZVOPOKD ter o kršitvah pravic tega posameznika iz Splošne uredbe in ZVOPOKD (npr. pravica dostopa do podatkov, pravica do popravka, pravica do izbrisa oz. pozabe, pravica do omejitve obdelave, pravica do prenosljivosti podatkov, pravica do ugovora),

- odločanje o pritožbah pacientov oz. drugih upravičenih oseb glede seznanitve z zdravstveno dokumentacijo ter o pritožbah zoper odločitve upravljavcev glede zahtev za posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig.

IP tako poudarja, da se velika večina vprašanj iz vašega zaprosila za mnenje ne nanaša neposredno na varstvo osebnih podatkov (za kar bi bil pristojen IP), zato vas napotuje, da sami preverite in izpolnite zahteve glede hrambe poslovne dokumentacije, ki izhajajo iz veljavne zakonodaje (računovodskih in drugih predpisov) s tega področja. IP je, kot rečeno, pristojen le za področje varstva osebnih podatkov, zato te presoje namesto vas žal ne more opraviti. Poleg tega IP dodaja, da ni pristojen niti za presojo drugih civilnopravnih vidikov pogodbenega razmerja med vami in naročnikom.

IP glede pogodbene obdelave pojasnjuje, da razmerje med upravljavcem in obdelovalcem ureja 28. člen Splošne uredbe, kjer je določeno, da obdelavo s strani obdelovalca ureja pogodba ali drug pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Ta pogodba ali drug pravni akt zlasti določa, da obdelovalec:

(a) osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca, vključno glede prenosov osebnih podatkov v tretjo državo ali mednarodno organizacijo, razen če to od njega zahteva pravo Unije ali pravo države članice, ki velja za obdelovalca; v slednjem primeru obdelovalec o tej pravni zahtevi pred obdelavo podatkov obvesti upravljavca, razen če zadevno pravo prepoveduje takšno obvestilo na podlagi pomembnih razlogov v javnem interesu;

(b) zagotovi, da so osebe, ki so pooblaščene za obdelavo osebnih podatkov, zavezane k zaupnosti ali jih k zaupnosti zavezuje ustrezen zakon;

(d) spoštuje pogoje iz odstavkov 2 in 4 za zaposlitev drugega obdelovalca;

(e) ob upoštevanju narave obdelave pomaga upravljavcu z ustreznimi tehničnimi in organizacijskimi ukrepi, kolikor je to mogoče, pri izpolnjevanju njegovih obveznosti, da odgovori na zahteve za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki, iz poglavja III;

(f) upravljavcu pomaga pri izpolnjevanju obveznosti iz členov 32 do 36 ob upoštevanju narave obdelave in informacij, ki so dostopne obdelovalcu;

(g) v skladu z odločitvijo upravljavca izbriše ali vrne vse osebne podatke upravljavcu po zaključku storitev v zvezi z obdelavo ter uniči obstoječe kopije, razen če pravo Unije ali pravo države članice predpisuje shranjevanje osebnih podatkov;

(h) da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz tega člena, ter upravljavcu ali drugemu revizorju, ki ga pooblasti upravljavec, omogoči izvajanje revizij, tudi pregledov, in pri njih sodeluje.

Tak pisni dogovor zagotavlja, da se tako upravljavec kot obdelovalec zavedata svojih pravic in obveznosti v zvezi z obdelavo osebnih podatkov. Odgovornost za zakonito obdelavo osebnih podatkov je primarno na strani upravljavca in ostaja njegova odgovornost tudi po njihovem posredovanju pogodbenemu obdelovalcu. Ob tem pa IP opozarja, da ima v določenem delu obdelovalec podobne obveznosti kot upravljavec osebnih podatkov in je neposredno odgovoren za zakonito obdelavo osebnih podatkov v okviru svojih pooblastil. Pravila zakonite obdelave osebnih podatkov mora poznati in jih v praksi tudi ustrezno izvrševati. IP posebej opozarja na točko (g) prejšnjega odstavka, ki določa, da mora pogodba oziroma drug akt določati tudi način ravnanja z osebnimi podatki po zaključku storitev. Ob tem IP opozarja tudi na načelo omejitve shranjevanja iz točke (e) prvega podstavka 5. člena Splošne uredbe, v skladu s katerim hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka

[1] Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES

[2] Uradni list RS, št. 163/22

[3] Uradni list RS, št. 177/20

[4] Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, 117/06 – ZDavP-2, 23/14, 50/14, 19/15 – odl. US, 102/15, 7/18 in 141/22

[5] Uradni list RS, št. 113/05 in 51/07 – ZUstS-A