Vračilo osebnih podatkov s strani pogodbenega obdelovalca

Datum

03.06.2026

Številka

07121-1/2026/530

Kategorije

Pogodbena obdelava podatkov

Pri Informacijskem pooblaščencu (IP) smo prejeli vaš dopis, v katerem pojasnjujete, da imate sklenjeno pogodbo z obdelovalcem, ki zagotavlja digitalno pisarno. Pojasnjujete, da želite pogodbo z obdelovalcem prekiniti zaradi prehoda na nov programski sistem. Od obdelovalca želite vračilo vseh podatkov v strojno berljivi obliki. V pogodbi o obdelavi je dogovorjeno, da obdelovalec podatke vrne, ni pa opredeljeno ničesar glede stroškov ali glede oblike vračila. Menite, da bi moral obdelovalec omogočiti izvoz vseh podatkov na celovit način, skladno z določili Splošne uredbe ter da bi moral tudi trpeti stroške prilagoditev sistema tako, da bi to obveznost lahko izpolnil. Zaprošate za mnenje, ali je obdelovalec upravičen zaračunati prilagoditve sistema za vračilo podatkov (ne v posebni obliki, temveč le za zagotovitev celovitosti podatkov).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1 in 10/26 – ZP-1L, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obdelovalec lahko osebne podatke obdeluje izključno na podlagi dokumentiranih navodil upravljavca in le v okviru ter za namen, določen v pisni pogodbi o obdelavi osebnih podatkov, in toliko časa dokler pogodba traja, skladno z 28. in 29. členom Splošne uredbe.

Z dnem prenehanja pogodbenega razmerja preneha tudi pravna podlaga za takšno obdelavo, zato mora obdelovalec osebne podatke po navodilih upravljavca vrniti ali izbrisati, razen če zakon določa drugače, npr. v primeru zakonskih obveznosti, ki zavezujejo računovodje, revizorje. Splošna uredba ne vsebuje določb, ki bi podrobneje urejale način, obliko oziroma tehnične in organizacijske modalitete vračila ali izbrisa osebnih podatkov po prenehanju pogodbenega razmerja, vključno z morebitnimi stroški takšnih dejanj. Gre za vprašanja, ki ju morata upravljavec in obdelovalec urediti pogodbeno.

Nezagotovitev celovitosti osebnih podatkov upravljavca po prenehanju pogodbenega razmerja, lahko predstavlja kršitev Splošne uredbe s strani obdelovalca, za katero so predvidene tudi sankcije nadzornega organa. Nadaljnja hramba ali obdelava osebnih podatkov po prenehanju pogodbe brez ustrezne pravne podlage je prepovedana in lahko pomeni nezakonito obdelavo osebnih podatkov, za katero obdelovalec odgovarja. Takšno ravnanje namreč predstavlja kršitev Splošne uredbe, za katero so predvidene tudi sankcije nadzornega organa.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih postopkov preverjati zakonitosti obdelave osebnih podatkov v konkretnem primeru.

Obdelovalec mora osebne podatke obdelovati izključno na podlagi dokumentiranih navodil upravljavca ter le za namen in v obsegu, kot je to določeno v pisni pogodbi (ali drugem ustreznem pravnem aktu o pogodbeni obdelavi) v skladu s prvim in tretjim odstavkom 28. člena Splošne uredbe. Kot določa 29. člen Splošne uredbe, obdelovalec in osebe, ki delujejo pod njegovim vodstvom in imajo dostop do osebnih podatkov, teh podatkov ne smejo obdelovati drugače kot na podlagi navodil upravljavca, razen kadar bi takšno obdelavo zahtevalo pravo Evropske unije ali pravo države članice.

To pomeni, da z dnem prenehanja pogodbenega razmerja preneha tudi pravna podlaga, na podlagi katere je obdelovalec osebne podatke smel obdelovati. Nadalje Splošna uredba v točki (g) tretjega odstavka 28. člena določa, da mora pogodba o obdelavi vsebovati določilo, v skladu s katerim obdelovalec po zaključku izvajanja storitev, povezanih z obdelavo osebnih podatkov, osebne podatke in obstoječe kopije vrne ali izbriše (razen kadar hrambo predpisuje zakon). Namen takšne ureditve je zagotoviti, da obdelovalec po prenehanju pogodbe ne razpolaga več z osebnimi podatki brez ustrezne pravne podlage. Splošna uredba ne vsebuje določb, ki bi podrobneje urejale način, obliko oziroma tehnične in organizacijske modalitete vračila ali izbrisa osebnih podatkov po prenehanju pogodbenega razmerja, vključno z morebitnimi stroški takšnih dejanj. Gre za vprašanja, ki ju morata upravljavec in obdelovalec urediti pogodbeno.

Če obdelovalec po prenehanju pogodbe osebne podatke še naprej hrani ali jih drugače obdeluje brez ustrezne pravne podlage, lahko to predstavlja kršitev določb Splošne uredbe, za katero so predvidene sankcije. Nadzorni organ lahko v takšnih primerih izreče ustrezne korektivne ukrepe, vključno z globami, pri čemer se višina in vrsta sankcije presojata glede na naravo, težo in trajanje kršitve ter druge okoliščine posameznega primera. V kolikor je obdelovalec v skladu s pogodbo o obdelavi dolžan osebne podatke po prenehanju izvajanja storitev vrniti, lahko nezagotovitev celovitosti osebnih podatkov predstavlja kršitev Splošne uredbe.

V primeru, da menite, da je v konkretnem primeru prišlo do kršitev varstva osebnih podatkov s strani obdelovalca, lahko na IP podate prijavo (več o tem na: https://www.ip-rs.si/go?u=%2Fvarstvo-osebnih-podatkov%2Fpravice-posameznika%2Fvlo%C5%BEitev-prijave).

Lepo vas pozdravljamo.

Pripravila: Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka