Vrnitev osebnih podatkov s strani pogodbenega obdelovalca upravljavcu po zaključku pogodbe

Datum

17.12.2025

Številka

07121-1/2025/1506

Kategorije

Pogodbena obdelava podatkov, Pravne podlage

pri Informacijskem pooblaščencu (IP) smo 17. 12. 2025 prejeli vaše zaprosilo za mnenje glede vprašanja, ali morda podjetje, ki kot pogodbeni obdelovalec po navodilu in v imenu društva izvaja dejavnost pogodbene obdelave osebnih podatkov društva kot upravljavca, po zaključku pogodbe z društvom slednjemu vrniti osebne podatke, ki jih je obdelovalo v imenu društva. 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pogodbeni obdelovalec lahko osebne podatke obdeluje izključno na podlagi dokumentiranih navodil upravljavca in le v okviru ter za namen, določen v pisni pogodbi o obdelavi osebnih podatkov, in toliko časa dokler pogodba traja, skladno z 28. in 29. členom Splošne uredbe.

Z dnem prenehanja pogodbenega razmerja preneha tudi pravna podlaga za takšno obdelavo, zato mora obdelovalec osebne podatke po navodilih upravljavca vrniti ali izbrisati, razen če zakon določa drugače, npr. v primeru zakonskih obveznosti, ki zavezujejo odtenike, računovodje, revizorje.

Nadaljnja hramba ali obdelava osebnih podatkov po prenehanju pogodbe brez ustrezne pravne podlage je prepovedana in lahko pomeni nezakonito obdelavo osebnih podatkov, za katero pogodbeni obdelovalec odgovarja. Takšno ravnanje namreč predstavlja kršitev Splošne uredbe, za katero so predvidene tudi sankcije nadzornega organa.

Obrazložitev

Pojasnjujemo, da mora podjetje, ki deluje kot pogodbeni obdelovalec, osebne podatke obdelovati izključno na podlagi dokumentiranih navodil upravljavca ter le za namen in v obsegu, kot je to določeno v pisni pogodbi ali drugem ustreznem pravnem aktu o pogodbeni obdelavi v skladu s prvim in tretjim odstavkom 28. člena Splošne uredbe. Kot določa 29. člen Splošne uredbe, obdelovalec in osebe, ki delujejo pod njegovim vodstvom in imajo dostop do osebnih podatkov, teh podatkov ne smejo obdelovati drugače kot na podlagi navodil upravljavca, razen kadar bi takšno obdelavo zahtevalo pravo Evropske unije ali pravo države članice.

To pomeni, da z dnem prenehanja pogodbenega razmerja preneha tudi pravna podlaga, na podlagi katere je pogodbeni obdelovalec osebne podatke sploh smel obdelovati. Nadalje Splošna uredba v točki (g) tretjega odstavka 28. člena izrecno določa, da mora pogodba o obdelavi vsebovati določilo, v skladu s katerim pogodbeni obdelovalec po zaključku izvajanja storitev, povezanih z obdelavo osebnih podatkov, osebne podatke in obstoječe kopije vrne ali izbriše (razen kadar hrambo predpisuje zakon). Namen takšne ureditve je zagotoviti, da obdelovalec po prenehanju pogodbe ne razpolaga več z osebnimi podatki brez ustrezne pravne podlage, kar izhaja tudi iz uvodne določbe 81 Splošne uredbe, ki poudarja, da mora biti obdelava s strani obdelovalca urejena s pravno zavezujočim aktom in omejena na navodila upravljavca.

Če pogodbeni obdelovalec po prenehanju pogodbe osebne podatke še naprej hrani ali jih drugače obdeluje brez ustrezne pravne podlage, lahko to predstavlja kršitev določb Splošne uredbe, za katero so predvidene sankcije. Nadzorni organ lahko v takšnih primerih izreče ustrezne korektivne ukrepe, vključno z upravnimi globami, pri čemer se višina in vrsta sankcije presojata glede na naravo, težo in trajanje kršitve ter druge okoliščine posameznega primera.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik,

informacijska pooblaščenka