Prenos baze strank iz družbe A na družbo B

Datum

07.07.2023

Številka

07121-1/2023/915

Kategorije

Posredovanje osebnih podatkov, Pravne podlage, Upravljanje gospodarskih družb, Zakoniti interesi, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem prosite za naše mnenje, ali lahko štejemo prenos baze strank v okviru prenosa dela dejavnosti iz družbe A na družbo B kot uresničevanje zakonitega interesa upravljavcev, ki očitno prevladuje nad interesi posameznikov?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP), posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1.Presoja ustreznosti pravne podlage je praviloma vezana na razmerje, ki ga ima upravljavec s posamezniki in ne na razmerje, ki ga imata dva upravljavca med seboj.

2.V kolikor upravljavec želi obdelovati osebne podatke na podlagi pravne podlage zakonitih interesov, mora z ustreznim testom tehtanja pretehtati, ali zakoniti interesi upravljavca temeljijo na zakonu (so zakoniti) ter ali so nujni in potrebni ter ali prevladajo nad pravicami in svoboščinami posameznikov.

3.Odgovornost za zakonito obdelavo osebnih podatkov je vedno na upravljavcu, ki mora biti sposoben zakonitost obdelave osebnih podatkov tudi dokazati.

Obrazložitev

IP najprej pojasnjuje, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more, niti ne sme podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov in zato tudi ne more podajati konkretnih ocen o tem, ali navedeni primer uresničuje zakonite interese upravljavcev, ki bi prevladal na interesi posameznikov. Konkretno presojo zakonitosti obdelave v posameznem primeru bi IP lahko opravil zgolj v okviru inšpekcijskega ali drugega nadzornega postopka.

V nadaljevanju vas sicer napotujemo na naše že obstoječe mnenje o prenosu dejavnosti na hčerinsko podjetje, kot ga v vprašanju navajate že sami, a pri tem opozarjamo, da je bilo mnenje izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki pa je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22).

· Mnenje št. 0712-1/2012/2892 z dne 30. 9. 2012: https://www.ip-rs.si/mnenja-zvop/prenos-dejavnosti-na-hčerinsko-podjetje

V povezavi z izpostavljenim stališčem iz zgornjega mnenja poudarjamo, da mora vsak upravljavec za vsako obdelavo osebnih podatkov imeti zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe, v zvezi s čimer pa je upravljavec sam dolžan presoditi, katera pravna podlaga po členu 6(1) Splošne uredbe je najustreznejša, upoštevajoč konkretno razmerje s posamezniki ter okoliščine in namen posamezne obdelave osebnih podatkov. Presoja ustreznosti pravne podlage je tako praviloma vezana na razmerje, ki ga ima upravljavec s posamezniki in ne na razmerje, ki ga imata dva upravljavca med seboj (torej priključitev družbe A z družbo B).

V zvezi z zagotavljanjem ustrezne pravne podlage za obdelavo osebnih podatkov na podlagi zakonitih interesov je posebej pomembno, da upravljavec - preden pride do obdelave osebnih podatkov posameznikov - na podlagi okoliščin posameznega primera obdelave osebnih podatkov izvede t.i. predhodni test tehtanja, s katerim oceni, ali so izpolnjeni pogoji za uporabo zakonitega interesa kot ustrezne pravne podlage. S takšnim testom, ki mora biti zaradi namenov dokazovanja v pisni obliki, upravljavec znotraj svojih procesov presoja, ali so nameni, za katere si prizadeva, zakoniti, ali je obdelava podatkov primerna in nujna za doseganje teh namenov ter ali obstaja ravnovesje med zasledovanim ciljem na eni strani in posegom v pravice in svoboščine posameznikov na drugi.

Da bi se upravljavec lahko zanašal na pravno podlago iz točke (f) prvega odstavka 6. člena Splošne uredbe, morajo biti torej podani trije kumulativni (skupaj izpolnjeni) pogoji:

I.interes upravljavca mora biti zakonit oz. legitimen (torej upravičen, sprejemljiv, osnovan na zakonu), takšen interes pa mora biti jasno izražen, resničen in obstoječ ter utemeljen na nacionalnem pravu ali pravnih načelih;

II.obdelava mora biti nujna in potrebna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec (ali omenjena obdelava v čim manjši meri vpliva na oz. ogroža pravico posameznikov do varstva osebnih podatkov). Taka obdelava je nujna, če ni nobenega drugega ukrepa, ki bi isti cilj dosegel z manjšim vplivom na pravico do varstva osebnih podatkov;

III.interesi ali temeljne pravice in svoboščine posameznika ne prevladajo nad interesi upravljavca. Na tem mestu je potrebno izvesti test tehtanja med interesi upravljavca in interesi ali temeljnimi pravicami in svoboščinami posameznika (v tem kontekstu potrebno pretehtati tudi okvir razumnih pričakovanj posameznikov, predvsem v tistih kontekstih obdelave, ko posamezniki razumno ne pričakujejo nadaljnje obdelave). V vašem primeru bi bila na mestu potrebna torej presoja; ali stranke družbe A razumno lahko pričakujejo, da bodo njihovi podatki, ki so jih družbi A posredovali za konkretni namen, uporabljeni za obdelavo s strani družbe B?). Pri tehtanju prevladujočih interesov (v povezavi z oceno tveganja) je treba absolutno upoštevati tudi načelo transparentnosti (ali so bile posameznikom podane ustrezne informacije, da je lahko razumno pričakoval posledice obdelave?) in sorazmernosti (npr. ali so bili sprejeti ustrezni zaščitni ukrepi?).

Skladno z navedenim poudarjamo, da uporaba in nadaljnja obdelava osebnih podatkov, ki jih je pridobil (seveda ob pogoju, da so bili osebni podatki sploh pridobljeni zakonito) en upravljavec s strani drugega (novega/združenega) upravljavca pa nikakor ne more biti neomejena, saj bi bilo to v nasprotju tako z načelom omejitve namena obdelave osebnih podatkov kot načelom sorazmernosti (oz. najmanjšega obsega podatkov).

Mnenje, ki ga citirate v vašem dopisu (št. 0712-1/2012/2892) tako vsebinsko (kljub sprejetju Splošne uredbe in ZVOP-2) ostaja še vedno relevantno, vendar mora upravljavec, kar izrecno sedaj poudarjajo tako načela varstva osebnih podatkov iz Splošne uredbe (člen 5) in zahteve za uporabo pravne podlage zakonitih interesov (člen 6(1)(f) Splošne uredbe), za obdelavo osebnih podatkov, izkazati kumulativno (skupno) izpolnjevanje pogojev, navedenih zgoraj (pogoj I. – zakonitost, pogoj II. – nujnost, pogoj III. – prevlada zakonitih interesov nad interesi posameznikov). V konkretnem primeru, zlasti pogoja II. – nujnosti, bi tako morali biti podatki iz zbirke, ki bi se eventualno prenašali (poleg izpolnjenih pogojev pod točko I. in III.) ti podatki nujno potrebni za poslovanje drugega organa (in ne zgolj uporabni, dobičkonosni ipd.).

IP sklepno tako poudarja, da mora izbor pravne podlage vedno ustrezati vsem okoliščinam konkretnega primera, odgovornost za zakonito obdelavo osebnih podatkov pa je vedno na upravljavcu osebnih podatkov, ki mora zakonitost obdelave osebnih podatkov tudi dokazati ter v primeru izvedbe prenosa osebnih podatkov to izkazati tudi posameznikom, na katere se osebni podatki nanašajo, in sicer na način, kot ga določa 14. člen Splošne uredbe.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka