Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 10.10.2019
Naslov: Pogodbe o obdelavi osebnih podatkov med več upravljavci, ki niso skupni upravljavci
Številka: 0712-1/2019/2287
Vsebina: Pogodbena obdelava podatkov, Skupni upravljavci
Pravni akt: Mnenje

Prejeli smo vaše zaprosilo za mnenje glede pogodbe o obdelavi osebnih podatkov, sklenjene med več upravljavci, ki niso skupni upravljavci podatkov. Kot pojasnjujete želita  dve upravljavca skleniti pogodbo o obdelavi osebnih podatkov z istim (pogodbenim) obdelovalcem, pri čemer upravljavca nista skupna upravljavca v smislu 26. člena Splošne uredbe o varstvu podatkov, ker vsak zase določata namene in sredstva obdelave, radi pa bi sklenili eno, tripartitno pogodbo. Pogodbeni obdelovalec bi tako sklenil pogodbo le enkrat in ne z vsakim upravljavcem posebej. Poudarjate še, da bi v delih, kjer je treba opredeliti specifiko obdelave, torej vsebino, naravo in namene obdelave, vrste osebnih podatkov in kategorije posameznikov, vsak upravljavec (v prilogi) opisal navedene kategorije. Pogodbe ne bi v ničemer urejala razmerij med posameznima upravljavcema.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Splošna uredba nikjer ne določa, da  ne bi smel (pogodbeni) obdelovalec skleniti tripartitne pogodbe z dvema, ločenima upravljavcema, kolikor bi takšna pogodba izpolnjevala vse zahteve, kot jih določa člen 28 Splošne uredbe. Opozarjamo pa – kar sicer velja tudi za vsako razmerje med upravljavci in obdelovalci – obdelovalci tudi v primeru tripartitne pogodbe niso upravičeni obdelovati osebne podatke za lastne namene, kar vključuje morebitne analize in povezovanje osebnih podatkov med zbirkami, ki jih obdelujejo za različne obdelovalce. Posebno pazljivost pa je potrebno nameniti tudi ustrezni razmejitvi medsebojnih pravic in obveznosti ter vsebine med vsemi pogodbenimi partnerji.

 

 

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka