Pogodbena obdelava

Datum

17.01.2024

Številka

07121-1/2024/47

Kategorije

Pogodbena obdelava podatkov

Pri Informacijskem pooblaščencu (IP) smo 11. 1. 2024 prejeli vaše zaprosilo za mnenje glede obveščanja o terminu po sms sporočilih. Zanima vas, ali lahko frizerji in izvajalci kozmetičnih storitev najamejo podjetje, ki v njihovem imenu obvešča stranke o terminih po sms sporočilih.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Kadar obdelavo osebnih podatkov v imenu upravljavca izvaja obdelovalec, mora za to obstajati pisna pogodba ali drug ustrezen akt, ki določa obveznosti obdelovalca do upravljavca.

Upravljavci so odgovorni za skladnost s Splošno uredbo in imenujejo le tiste obdelovalce, ki lahko zagotavljajo »zadostna jamstva«, da se zadosti zahtevam Splošne uredbe in da se ustrezno varujejo tudi pravice posameznikov.

Obrazložitev

IP pojasnjuje, da gre v primeru, ki ga opisuje, najverjetneje za pogodbeno obdelavo, tj. obdelavo osebnih podatkov izvaja obdelovalec v imenu upravljavca. V skladu z definicijo iz 8. točke 4. člena Splošne Uredbe je obdelovalec fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Obdelovalec je torej subjekt, ki dejansko obdelujejo osebne podatke v imenu in za namene, ki jih določi upravljavec. Upravljavec pa je tisti subjekt, ki usmerja obdelavo osebnih podatkov, s tem da določa namene in sredstva njihove obdelave, zato je v skladu z načelom odgovornosti tudi odgovoren za skladnost obdelave podatkov z Splošno uredbo in nacionalnimi pravili glede varstva podatkov, ki jo mora biti sposoben tudi dokazati.

Kadar obdelavo osebnih podatkov v imenu upravljavca (npr. izvajalca kozmetičnih storitev) izvaja obdelovalec (npr. podjetje, ki se ukvarja z obveščanjem strank), mora za to obstajati pisna pogodba ali drug ustrezen akt, ki določa obveznosti obdelovalca do upravljavca. Splošna uredba opredeljuje minimalni obseg sestavin, ki jih mora vsebovati pisni dogovor: iz pogodbe mora biti razvidno čigave in katere podatke, za kakšen namen in koliko časa jih bo obdelovalec obdeloval v imenu upravljavca. Iz pogodbe mora biti razviden tudi domet pravic in obveznosti upravljavca v zvezi z osebnimi podatki, saj upravljavec ne more prenesti na obdelovalca več pravic, kot jih ima sam, hkrati pa omejitve za upravljavca predstavljajo tudi omejitve za obdelovalca. IP poudarja, da so upravljavci odgovorni za skladnost s Splošno uredbo in imenujejo le tiste obdelovalce, ki lahko zagotavljajo »zadostna jamstva«, da se zadosti zahtevam Splošne uredbe in da se ustrezno varujejo tudi pravice posameznikov.

Več o pogodbeni obdelavi si lahko preberete na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/pogodbena-obdelava#a4. Prav tako lahko odgovore na podobna vprašanja najdete med že objavljenimi mnenji, in sicer v iskalniku mnenj pod kategorijo »Pogodbena obdelava«.

Lepo vas pozdravljamo,

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka