Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 27.08.2019
Naslov: Sporazum skupnih upravljavcev
Številka: 0712-1/2019/1949
Vsebina: Občine, Skupni upravljavci
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede sporazuma  skupnih upravljavcev, ki ste ga prejeli v podpis.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

 

IP pojasnjuje, da v skladu s 4. členom Splošne uredbe o varstvu podatkov pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice. Pojem »obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Obdelovalci so torej tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke.

Nadalje Splošna uredba o varstvu podatkov v 26. členu določa, da so skupni upravljavci tisti, ki skupaj določijo namene in načine obdelave. Med seboj z medsebojnim dogovorom (oblika tega dogovora ni posebej določena) na pregleden način določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu z uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Z dogovorom se lahko določi kontaktna točka za posameznike, na katere se nanašajo osebni podatki. Dogovor odraža vlogo vsakega od skupnih upravljavcev in njegovo razmerje do posameznikov, na katere se nanašajo osebni podatki. Bistveno vsebino dogovora se da na voljo posamezniku, na katerega se nanašajo osebni podatki. Posameznik, na katerega se nanašajo osebni podatki, lahko ne glede na pogoje dogovora uresničuje svoje pravice v skladu z uredbo glede vsakega od upravljavcev in proti vsakemu od njih. Posamezniki torej lahko uveljavljajo svoje pravice proti vsakemu posameznemu skupnemu upravljavcu, vsak od njih pa navzven solidarno odgovarja za celotno škodo, nastalo zaradi obdelave, razen če dokaže, da v nobenem primeru ni odgovoren za dogodek, ki povzroči škodo.

 

Skupni upravljavci se v praksi pojavljajo zlasti v primerih skupnih akcij, nagradnih iger, promocijskih aktivnosti in podobnih dejavnostih. Za določitev medsebojnih razmerij so torej bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Skupni upravljavci so si v tem medsebojno enakovredni, vsi vključeni subjekti so upravljavci in skupaj določijo namene in načine obdelave.

 

Za ravnanje v primeru skupnih upravljavcev v smislu 26. člena Splošne uredbe o varstvu podatkov je IP izdal tudi posebna priporočila (Priporočila Informacijskega pooblaščenca glede skupnih upravljavcev), ki so dostopna na spletni strani IP. V teh priporočilih IP pojasnjuje, da za uporabo instituta skupnega upravljavca ni potrebno, da ima vsak upravljavec nadzor nad vsemi stopnjami konkretne obdelave. Tudi nameni in sredstva obdelave niso nujni vedno skupni oziroma enaki, morajo pa biti skupno določeni. V kolikor upravljavci ne delujejo enotno in ne obdelujejo podatkov za skupno določene namene in na skupno določene načine, ne gre za skupne, ampak za ločene, samostojne upravljavce. Ob tem velja izpostaviti, da mora vsak izmed skupnih upravljavcev imeti samostojno pravno podlago za obdelavo osebnih podatkov, ki je v posameznem primeru lahko, ni pa nujno enaka.

 

IP ponavlja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka.

 

IP sklepno poudarja, da je presoja odnosa z vodilnim partnerjem in odgovornost zanjo na vas, zato priporoča, da vaš medsebojni odnos z vodilnim partnerjem temeljito preučite v smislu pojasnil, ki jih IP podaja v tem mnenju.

 

S spoštovanjem.

 

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

 

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka