Informacijski pooblaščenec Republika Slovenija
| sl | Iskalnik po spletni strani   Priredbe v znakovni jezik  
dekorativna slika

Pogodbena obdelava v primeru storitev fotografiranja

+ -
Datum: 25.05.2022
Številka: 07121-1/2022/561
Kategorije: Pogodbena obdelava podatkov

Pri Informacijskem pooblaščencu (IP) smo 19. 5. 2022 prejeli vaše zaprosilo za mnenje. Zanima vas, ali se razmerje med naročnikom in izvajalcem storitev šteje kot pogodbena obdelava podatkov v smislu 28. člena Splošne uredbe o varstvu podatkov (GDPR) ali pa gre morebiti za samostojne upravljavce. Pojasnjujete, da gre za primer uporabe storitev fotografiranja pri izvajalcu, ki sicer opravlja to storitev na trgu. Naročnik ima sklenjeno okvirno pogodbo s fotografskim studiem, ki zagotavlja storitev fotografiranja posameznikov (zaposlenih pri naročniku), ki se odločijo uporabiti to storitev. Zaposleni lahko sicer izberejo drugega izvajalca in delodajalcu dostavijo lastno fotografijo za potrebe v okviru delovnega razmerja. Fotografski studio fotografijo posreduje tudi delodajalcu (naročniku - plačniku). Uporaba fotografij, ki jih dobi zaposleni, ni z nobenim internim aktom ali zahtevami delodajalca omejena zgolj potrebe delovnega razmerja, ampak jih zaposleni lahko uporablja tudi za druge namene. Za izvedbo storitve in tudi glede obdelave osebnih podatkov posameznikov (fotografij) pri izvajalcu veljajo pogoji, ki jih določa izvajalec sam. Delodajalec kot naročnik je zgolj plačnik storitve fotografiranja, ki jo pri izvajalcu koristijo zaposleni (niso pa temu zavezani).

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

 

 

Izvajalec storitev fotografiranja se v primeru, ki ga opisujete, ne šteje za obdelovalca, temveč nastopa v vlogi samostojnega upravljavca. Primarni namen izvedbe take storitve namreč ni obdelava osebnih podatkov zaposlenih, temveč je to zgolj posledica najetja storitve subjekta.

 

 

O b r a z l o ž i t e v:

 

Glede pogodbene obdelave osebnih podatkov je IP že izdal smernice, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi. V zvezi s to tematiko pa je smernice izdal tudi Evropski odbor za varstvo podatkov (EDPB) in so dostopne na povezavi: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_sl.

 

IP glede pogodbene obdelave uvodoma pojasnjuje, da v skladu s členom 4 Splošne uredbe o varstvu podatkov pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, pojem »obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

 

Kot izhaja iz smernic IP, so pri ugotavljanju, ali gre pri določenih subjektih in storitvah, ki jih ti zagotavljajo, za (pogodbeno) obdelavo, ključni naslednji faktorji:

  • Ali lahko subjekt sam določa namen in sredstva obdelave osebnih podatkov?
  • Ali je upravljavec zbirke osebnih podatkov subjektu poveril v izvajanje opravila obdelave, ki bi jih sicer lahko izvajal upravljavec sam?
  • Kakšna je intenzivnost obdelave, vezanost na navodila in nadzor upravljavca nad dejanji subjekta?
  • Ali ima subjekt zakonska pooblastila oziroma pravno podlago, ki bi ga deloma ali v celoti postavila za upravljavca v zvezi z osebnimi podatki upravljavca?
  • Ali je primarni namen najema storitev subjekta katero od dejanj obdelave osebnih podatkov (npr. hramba) ali pa je obdelava osebnih podatkov zgolj posledica najetja storitve subjekta?

 

Vse te kriterije je vedno treba presojati skupaj. V vlogi obdelovalca bo nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala:

  • izključno v imenu in za račun upravljavca osebnih podatkov,
  • bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter
  • bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca.

 

Tudi EDPB je v svojih smernicah opozoril, da ni vsak ponudnik storitev, ki pri opravljanju storitve obdeluje osebne podatke, obdelovalec v skladu s Splošno uredbo o varstvu podatkov. Vloga obdelovalca ne izhaja iz vrste subjekta, ki obdeluje podatke, ampak iz njegovih konkretnih dejavnosti v določenem okviru. Ponudnik storitev lahko v praksi, ko opravljena storitev ni posebej namenjena obdelavi osebnih podatkov ali ta obdelava ni ključni element storitve, neodvisno določi namene in sredstva te obdelave, ki je potrebna za opravljanje storitve. V tem primeru je treba ponudnika storitve obravnavati kot ločenega upravljavca in ne kot obdelovalca

 

Glede na navedeno IP meni, da se izvajalec storitev fotografiranja v primeru, ki ga opisujete, ne šteje za obdelovalca, temveč nastopa v vlogi samostojnega upravljavca. Primarni namen izvedbe take storitve namreč ni obdelava osebnih podatkov zaposlenih, temveč je to zgolj posledica najetja storitve subjekta. Izvajalec storitev fotografiranja te dejavnosti ne opravlja po navodilih delodajalca, prav tako pa samostojno določa vrste podatkov, ki jih zbira, in kako dolgo jih hrani. Zato deluje kot samostojen upravljavec ne glede na dejstvo, da poteka obdelava osebnih podatkov zaposlenih na podlagi naročila delodajalca.

 

 

Lepo vas pozdravljamo,

 

 

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

 

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka