Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 07.01.2019
Naslov: Izdelava izkaznic pri zunanjem izvajalcu
Številka: 0712-3/2018/2714
Vsebina: Pogodbena obdelava podatkov
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je ponovno prejel vaše zaprosilo za mnenje glede izdelave izkaznic z osebnimi podatki pri zunanjem pogodbenem izvajalcu. Poudarjate, da se vaše prejšnje zaprosilo za mnenje ni nanašalo na splošno vprašanje glede zakonske podlage za »izbrani način izdelave listin o usposobljenosti za upravljanje čolna pri zunanjemu pogodbenemu izvajalcu«, temveč na vprašanje, ali potrebujete za prepustitev personalizacije (tj. za izdelavo listin o usposobljenosti za upravljanje čolna s fotografijo in osebnimi podatki) pogodbenemu izvajalcu izrecno zakonsko podlago (kot je to npr. urejeno v 71. členu Zakona o voznikih, v 8. členu Zakona o osebni izkaznici in v 12. členu Zakona o potnih listinah). Zanima vas torej, ali lahko že na podlagi veljavne zakonske podlage za obdelovanje osebnih podatkov (prvi odstavek 26. člena in šesti odstavek 26. b člena Pomorskega zakonika), prepustite obdelavo podatkov, konkretno izdelavo personaliziranih izkaznic, pogodbenemu obdelovalcu. Ob tem opozarjate, da navedene določbe Pomorskega zakonika ne vsebujejo določb o personalizaciji izkaznic pri zunanjih pogodbenih obdelovalcih osebnih podatkov. 

 

Pojasnjujete še, da zaprosilo za mnenje postavljate, ker ste v dvomu glede pravilne interpretacije določbe prvega odstavka 8. člena v povezavi z 11. členom ZVOP-1. Navajate, da je določbo možno razlagati širše, torej na način, da državni organ, ki ima zakonsko pooblastilo za obdelavo osebnih podatkov, lahko posamezna opravila (konkretno personalizacijo izkaznic) zaupa pogodbenemu upravljavcu osebnih podatkov; možna pa je tudi restriktivna interpretacija, da bi za tako obdelavo osebnih podatkov bila potrebna izrecna zakonska podlaga. Ker ste v dvomu glede pravilnega postopanja, prosite IP za mnenje in usmeritev.

 

Informacijski pooblaščenec (v nadaljevanju IP) ponovno poudarja, da lahko skladno z 2. členom Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007 – ZUstS-A; v nadaljevanju ZInfP) v zvezi z 49. členom Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) daje neobvezna mnenja, pojasnila, stališča, navodila in priporočila le s področja varstva osebnih podatkov. Tako se lahko opredelimo zgolj do vprašanja možnosti pogodbene obdelave posameznih dejanj obdelave, za katere imate kot upravljavec ustrezno pravno podlago. Na pogodbenega obdelovalca namreč lahko upravljavec zakonito prenese zgolj izvedbo tistih dejanj obdelave, za katere ima sam ustrezno pravno podlago. IP se torej ne more opredeljevati do vprašanja ustreznosti opisane oblike izdajanja opisanih listin, ki pa je predpogoj za samo izdelavo listin o usposobljenosti za upravljanje čolna s fotografijo in osebnimi podatki, iz česar posledično tudi izhaja potrebna izrecna zakonska podlaga na strani upravljavca.

 

Zgolj dejstvo, da je prepustitev izdelave ter personalizacije izkaznic izrecno zakonsko urejena z določbami Zakona o voznikih, Zakona o osebni izkaznici ter Zakona o potnih listinah, tudi nima nobenega vpliva na določbe o pogodbeni obdelavi iz člena 28 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba). Ne določb prej veljavnega 11. člena ZVOP-1 niti sedaj veljavnega člena 28 Splošne uredbe po mnenju IP namreč ne gre razlagati tako restriktivno, da bi bila za obdelavo osebnih podatkov po obdelovalcu nujno potrebna izrecna zakonska podlaga. V kolikor pa bi bila izrecna zakonska ureditev načina izdelave listin o usposobljenosti za upravljanje čolna pri zunanjemu pogodbenemu izvajalcu potrebna iz kakšnih drugih razlogov, IP ni pristojen presojati. Zato vam priporočamo, da zadevno vprašanje naslovite na pristojno ministrstvo.

 

Upoštevajoč navedeno vam IP z vidika varstva osebnih podatkov zgolj splošno pojasnjuje, da v primeru izdelave listin o usposobljenosti za upravljanje čolna s fotografijo in osebnimi podatki preko zunanjih izvajalcev, slednji najverjetneje predstavljajo obdelovalce v smislu točke 8) člena 4 Splošne uredbe. Skladno z navedeno določbo obdelovalec pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. V takšnem primeru, torej kadar obdelavo osebnih podatkov v imenu upravljavca izvaja obdelovalec (ZVOP-1 je uporabljal izraz »pogodbeni obdelovalec«), mora za to obstajati pisna pogodba ali drug ustrezen pravni akt v skladu s pravom EU ali nacionalnimi predpisi (in ne nujno izrecna zakonska podlaga). Določba člena 28 Splošne uredbe predpisuje tudi minimalni obseg sestavin pogodbe o pogodbeni obdelavi.

 

Odgovornost za dokončno presojo, v kakšni vlogi nastopa zunanji izvajalec v konkretnem primeru, je na vas kot upravljavcu, saj IP konkretnih obdelav osebnih podatkov izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more presojati. Bistveno za to oceno pa je, ali zunanji izvajalec obdeluje osebne podatke za svoj namen ali izključno za namene in po navodilu upravljavca.

 

Za lažje razumevanje pojmov upravljavca in obdelovalca vam priporočamo, da si preberete mnenje, ki so ga izdali evropski nadzorni organi (dostopno le v angleščini): http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_en.pdf. Mnenje bodo nadzorni organi v prihajajočih mesecih prenovili, zato vam priporočamo, da spremljate spletno stran IP, kjer redno objavljamo vse novosti s tega področja. Več o pogodbeni obdelavi po Splošni uredbi pa si lahko preberete tudi na povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pogodbena-obdelava/.

 

 

Lep pozdrav,

 

 

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                               

                                                                                                           informacijska pooblaščenka

 

 

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov