Prenos baze naročnikov storitev kupcu

Datum

16.03.2026

Številka

07121-1/2026/239

Kategorije

Definicija OP, Informiranje posameznika, Pravne podlage, Zakoniti interesi

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede

prenosa baze naročnikov storitev kupcu.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Podatki, ki se nanašajo na pravno osebo oziroma samostojnega podjetnika (s.p.) kot pravno obliko za opravljanje pridobitne dejavnosti, niso osebni podatki, tudi če se prekrivajo z osebnimi podatki fizične osebe, ki je imetnik s.p.-ja.

Kupec, ki bi prevzel dejavnost naročnika, bi lahko nadaljeval z obdelavo osebnih podatkov strank pod pogojem, da so ti bili pridobljeni zakonito oziroma v skladu s pravnimi podlagami iz prvega odstavka 6. člena Splošne uredbe in jih bo kupec obdeloval za isti namen.

Novi upravljavec (v konkretnem primeru kupec), mora posameznikom (strankam) zagotoviti informacije iz 13. oziroma 14. člena Splošne uredbe.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP uvodoma dodaja še, da je v preteklosti že izdal neobvezujoča mnenja, v katerih je zavzel stališče, da podatki, ki se nanašajo na pravno osebo oziroma samostojnega podjetnika (s.p.) kot pravno obliko za opravljanje pridobitne dejavnosti, niso osebni podatki, tudi če se prekrivajo z osebnimi podatki fizične osebe, ki je imetnik s.p.-ja. Več o tem si lahko preberete v mnenju IP:

https://www.ip-rs.si/mnenja-zvop-2/javna-objava-podatkov-o-podjetjih-1759817795

V kolikor pa gre v primeru, ko ga opisujete v vašem zaprosilu za mnenje, za osebne podatke, pa IP splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. V skladu s prvim odstavkom 6. člena Splošne uredbe je obdelava tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Iz navedb v vašem zaprosilu za mnenje bi po mnenju IP lahko izhajalo, da gre v konkretnem primeru za prenos ene izmed vaših tržnih dejavnosti. IP meni, da bi v tem primeru pravno podlago za prenos osebnih podatkov (baze naročnikov) od enega upravljavca k drugemu upravljavcu, do katerega bo prišlo ob prenosu (prodaji) dejavnosti, lahko predstavljala točka (f) prvega odstavka 6. člena Splošne uredbe. Ta določa, da je obdelava osebnih podatkov zakonita, če je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Seveda pa to velja le v primeru, da je bila baza naročnikov prvotno pridobljena v skladu z veljavno zakonodajo in da se ta prenaša kot del celotne dejavnosti. Namreč smiselno je, da z nakupom dejavnosti kupec pridobi tudi bazo naročnikov oziroma uporabnikov. Prenos osebnih podatkov na kupca bi bil torej eventualno zakonit, v kolikor gre za prenos celotne dejavnosti, za opravljanje katere so osebni podatki iz zbirke, ki se prenaša, po naravi stvari nujno potrebni. Glede na navedeno bi kupec, ki bi prevzel dejavnost, lahko nadaljeval z obdelavo osebnih podatkov naročnikov pod pogojem, da so ti bili pridobljeni zakonito oziroma v skladu z zgoraj navedenimi pravnimi podlagami iz prvega odstavka 6. člena Splošne uredbe in jih bo kupec obdeloval za isti namen. Bistven je torej namen obdelave s strani kupca.

IP pojasnjuje, da je pri prenosu podatkov k novemu upravljavcu pomembno, da se upoštevajo vsa temeljna načela obdelave osebnih podatkov iz 5. člena Splošne uredbe. Osebni podatki se morajo obdelovati zakonito, pošteno in na pregleden način. Poleg tega se osebni podatki, zbrani za določene, izrecne in zakonite namene, ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (načelo omejitve namena). Upravljavec osebnih podatkov mora biti sposoben dokazati, da se podatki obdelujejo v skladu s temeljnimi načeli varstva osebnih podatkov (načelo odgovornosti).

V zvezi z zagotavljanjem ustrezne pravne podlage za obdelavo osebnih podatkov na podlagi zakonitih interesov je posebej pomembno, da upravljavec - preden pride do obdelave osebnih podatkov posameznikov - na podlagi okoliščin posameznega primera obdelave osebnih podatkov izvede t.i. predhodni test tehtanja, s katerim oceni, ali so izpolnjeni pogoji za uporabo zakonitega interesa kot ustrezne pravne podlage. S takšnim testom, ki mora biti zaradi namenov dokazovanja v pisni obliki, upravljavec znotraj svojih procesov presoja, ali so nameni, za katere si prizadeva, zakoniti, ali je obdelava podatkov primerna in nujna za doseganje teh namenov ter ali obstaja ravnovesje med zasledovanim ciljem na eni strani in posegom v pravice in svoboščine posameznikov na drugi. Za uporabo pravne podlage iz točke (f) prvega odstavka 6. člena Splošne uredbe morajo biti torej podani trije kumulativni pogoji:

-interes upravljavca mora biti zakonit oz. legitimen (torej upravičen, sprejemljiv, osnovan na zakonu), takšen interes pa mora biti jasno izražen, resničen in obstoječ ter utemeljen na nacionalnem pravu ali pravnih načelih;

-obdelava mora biti nujna in potrebna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec (ali omenjena obdelava v čim manjši meri vpliva na oz. ogroža pravico posameznikov do varstva osebnih podatkov). Taka obdelava je nujna, če ni nobenega drugega ukrepa, ki bi isti cilj dosegel z manjšim vplivom na pravico do varstva osebnih podatkov;

-interesi ali temeljne pravice in svoboščine posameznika ne prevladajo nad interesi upravljavca. Na tem mestu je potrebno izvesti test tehtanja med interesi upravljavca in interesi ali temeljnimi pravicami in svoboščinami posameznika (v tem kontekstu potrebno pretehtati tudi okvir razumnih pričakovanj posameznikov). V vašem primeru bi bila na mestu potrebna torej presoja; ali vaši naročniki razumno lahko pričakujejo, da bodo njihovi podatki, ki so vam jih posredovali za konkretni namen, uporabljeni za obdelavo s strani kupca). Pri tehtanju prevladujočih interesov (v povezavi z oceno tveganja) je treba absolutno upoštevati tudi načelo transparentnosti (ali so bile posameznikom podane ustrezne informacije, da je lahko razumno pričakoval posledice obdelave) in sorazmernosti (npr. ali so bili sprejeti ustrezni zaščitni ukrepi).

IP še enkrat poudarja, da mora obstajati ena izmed pravnih podlag iz prvega odstavka 6. člena Splošne uredbe tako za prvotno pridobitev baze naročnikov (npr. pogodba) kot tudi za njihov prenos na kupca (npr. zakoniti interesi). V primeru obstoja take pravne podlage ni potrebna še privolitev naročnikov. Ob tem pa IP posebej opozarja tudi na določbe 13. in 14. člena Splošne uredbe, v skladu s katerim mora (novi) upravljavec osebnih podatkov v primeru, ko osebni podatki so (13. člen) ali niso (14. člen) bili pridobljeni neposredno od posameznika, na katerega se ti nanašajo, temu posamezniku zagotoviti informacije iz prvega in drugega odstavka omenjenih členov. Novi upravljavec (v konkretnem primeru kupec) mora torej posameznikom (naročnikom) zagotoviti navedene informacije.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more presojati, ali gre v konkretnem primeru za obdelavo osebnih podatkov ali ne, niti ne more presojati ustreznosti konkretnih obdelav osebnih podatkov, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. 

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka