Zadrževanje baze osebnih podatkov s strani pogodbenega obdelovalca

Datum

20.08.2026

Številka

07121-1/2026/840

Kategorije

Pogodbena obdelava podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zakonitosti ravnanja vašega pogodbenega obdelovalca, ki vam zavrača dostop do baze vaših osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pogodbeni obdelovalci obdelujejo osebne podatke posameznikov po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določen namen. Obdelovalec tako ne more oporekati določenim postopkom in ukrepom, ki jih od njega zahteva upravljavec, dokler so seveda zakoniti.

Ker obdelovalec dela v imenu in za račun upravljavca, je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja obdelovalec.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne more konkretno odgovarjati na vprašanja iz vašega zaprosila za mnenje, ampak v nadaljevanju podaja splošna pojasnila.

IP poudarja, da je za razlikovanje med upravljavcem in obdelovalcem osebnih podatkov ključno, da je obdelovalec samostojna, od upravljavca ločena pravna entiteta, in da osebne podatke vselej obdeluje le v imenu in za račun upravljavca. Gre torej za primere, ko upravljavec, ki bi posamezne aktivnosti v zvezi z osebnimi podatki lahko izvedel sam, sprejme odločitev, da jih bo iz različnih razlogov zaupal obdelovalcu. Ker slednji dela v imenu in za račun upravljavca, je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja obdelovalec.

Kot je IP že pojasnil v svojem mnenju https://www.ip-rs.si/go?u=%2Fmnenja-zvop-2%2Fustreznost-pogodbe-o-obdelavi-op-1735544205, je pogodba o obdelavi osebnih podatkov, ki se sklene med upravljavcem (v konkretnem primeru vašo družbo) in obdelovalcem (v konkretnem primeru ponudnikom oblačne storitve) bistveni instrument pri zagotavljanju ustreznega varstva osebnih podatkov posameznikov. Tak pisni dogovor zagotavlja, da se tako upravljavec kot obdelovalec zavedata svojih pravic in obveznosti v zvezi z obdelavo osebnih podatkov. Odgovornost za zakonito obdelavo osebnih podatkov je primarno na strani upravljavca in ostaja njegova odgovornost tudi po njihovem posredovanju pogodbenemu obdelovalcu. Ob tem pa IP opozarja, da ima v določenem delu obdelovalec podobne obveznosti kot upravljavec osebnih podatkov in je neposredno odgovoren za zakonito obdelavo osebnih podatkov v okviru svojih pooblastil. Pravila zakonite obdelave osebnih podatkov mora poznati in jih v praksi tudi ustrezno izvrševati. Več o razmerju med upravljavcem in obdelovalcem si lahko preberete v Smernicah o pogodbeni obdelavi.

IP ob tem poudarja, da je bistvenega pomena dejstvo, da lahko obdelovalec osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. V vlogi obdelovalca bo tako nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala izključno v imenu in za račun upravljavca osebnih podatkov, bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca.

IP ponavlja, da je bistveno, da pogodbeni obdelovalci obdelujejo osebne podatke posameznikov po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določen namen. Obdelovalec tako ne more oporekati določenim postopkom in ukrepom, ki jih od njega zahteva upravljavec, dokler so seveda zakoniti, po drugi strani pa seveda tudi ni zavezan pristati k nudenju svojih storitev pod vsakimi pogoji.

IP poudarja, da mora biti varstvo osebnih podatkov zagotovljeno na vseh ravneh obdelave osebnih podatkov. Pri tem pa opozarja, da je pogodba o obdelavi osebnih podatkov bistveni instrument pri zagotavljanju ustreznega varstva osebnih podatkov posameznikov, saj jasno razrešuje vloge in razmerja med vključenimi subjekti ter zanje opredeljuje obveznosti in pogoje. Bistveno pri tem je, da se v pogodbi o obdelavi natančno opredeli (najmanj) vso zahtevano vsebino, ki jo določa tretji odstavek 28. člena Splošne uredbe. Ta v točki (a) določa, da obdelovalec osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca, vključno glede prenosov osebnih podatkov v tretjo državo ali mednarodno organizacijo, razen če to od njega zahteva pravo Unije ali pravo države članice, ki velja za obdelovalca. Pri sleherni obdelavi osebnih podatkov je torej obdelovalec vezan na dokumentirana navodila upravljavca, razen v primeru zahtev, določenih s pravom EU ali nacionalnim pravom.

Obdelovalec tako upravljavcu vsekakor ne sme onemogočati izpolnjevanje njegovih obveznosti ali ga pri tem ovirati, ampak mu mora pri tem pomagati po najboljših močeh.

IP dodaja, da več informacij o uporabi oblačnih storitev lahko najdete v smernicah IP o obdelavi osebnih podatkov v okviru storitev v oblaku:

https://www.ip-rs.si/go?u=%2Ffileadmin%2Fuser_upload%2FPdf%2Fsmernice%2FSmernice_Varstvo_osebnih_podatkov_in_racunalnistvo_v_oblaku_2016.pdf

Glede navedenih smernic opozarjamo, da te (še) niso prenovljene v smislu določb Splošne uredbe, vendar pa osnove ostajajo iste. Spremembe so se zgodile predvsem glede nekaterih dodanih obveznosti v okviru pogodbene obdelave osebnih podatkov, o kateri si lahko več preberete v zgoraj navedenih smernicah IP o pogodbeni obdelavi. V pogodbi, ki jo sklenete s ponudnikom oblačne storitve, mora biti med drugimi pogodbenimi obveznostmi natančno opredeljeno, kako bo poskrbljeno za zavarovanje osebnih podatkov, zlasti kako se varujejo prostori in programska oprema, kako ponudnik preprečuje nepooblaščen dostop do podatkov, kako je zagotovljena varnost podatkov med prenosom itd. Pomembno je tudi, da je omogočeno sledenje, kaj se s podatki dogaja in kje se trenutno nahajajo. Zato vam mora ponudnik oblačne storitve vnaprej natančno pojasniti, na katerih lokacijah bo obdeloval ali hranil vaše podatke.

Po mnenju IP obstaja verjetnost, da je v konkretnem primeru prišlo do kršitev varstva osebnih podatkov s strani obdelovalca, vendar IP to lahko presoja le v okviru nadzornega postopka, ko so znane vse okoliščine primera. V kolikor menite, da gre v konkretnem primeru za kršitev, lahko na IP podate prijavo (več o tem na:

https://www.ip-rs.si/go?u=%2Fvarstvo-osebnih-podatkov%2Fpravice-posameznika%2Fvloeitev-prijave

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka