IP: Obdelava podatkov v povezanih družbah
Obdelava podatkov strank v okviru povezanih družb
Datum: 12.08.2021
Številka: 07121-1/2021/1442
Kategorije: Posredovanje OP med upravljavci, Privolitev, Pravne podlage, Skupni upravljavci, Pogodbena obdelava podatkov
Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede vlog povezanih družb pri obdelavi podatkov ter v zvezi s tem glede pridobitve privolitev posameznikov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
IP uvodoma pojasnjuje, da v okviru neobvezujočega mnenja ne more podati dokončnega odgovora glede obdelave podatkov, temveč lahko to stori šele v okviru inšpekcijskega postopka. Poleg tega tudi pojasnjuje, da dejstvo komu posameznik plača za storitev ali izdelek načeloma ni relevantno z vidika varstva osebnih podatkov.
- Glede vlog podjetij
Ključno je, da na začetku opredelite vloge, ki jih imajo podjetje v Sloveniji in povezani družbi na Hrvaškem in Poljskem. Torej, ali gre za razmerje več upravljavcev, skupnih upravljavcev ali upravljavca in obdelovalca podatkov.
V zvezi s tem IP pojasnjuje, da upravljavec podatkov pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Glede na navedeno je torej upravljavec lahko le vsaka gospodarska družba ali posameznik posebej, ne dopušča pa Splošna uredba o varstvu podatkov torej možnosti, da bi kot isti upravljavec osebnih podatkov veljale povezane družbe, temveč določa, da je vsaka gospodarska družba, ne glede na kapitalski delež drugih družb, samostojen upravljavec osebnih podatkov (lahko pa gre v določenih primerih za skupne upravljavce).
Na drugi strani pa imamo pojem obdelovalca podatkov, ki pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Pogodbeni obdelovalci so tako tiste organizacije, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov. IP poudarja, da je bistvenega pomena dejstvo, da lahko obdelovalec osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. V vlogi obdelovalca bo tako nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala izključno v imenu in za račun upravljavca osebnih podatkov, bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca. Za razlikovanje med upravljavcem in obdelovalcem osebnih podatkov je tako ključno, da je obdelovalec samostojna, od upravljavca ločena pravna entiteta, in da osebne podatke vselej obdeluje le v imenu in za račun upravljavca. Gre torej za primere, ko upravljavec, ki bi posamezne aktivnosti v zvezi z osebnimi podatki lahko izvedel sam, sprejme odločitev, da jih bo iz različnih razlogov zaupal obdelovalcu. Ker slednji dela v imenu in za račun upravljavca, je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja obdelovalec.
V kolikor gre v danem primeru za razmerje med upravljavcem in obdelovalcem je treba to razmerje v skladu s členom 28 Splošne uredbe o varstvu podatkov pogodbeno urediti in določiti obveznosti obdelovalca do upravljavca, vsebino in trajanje obdelave, naravo in namen obdelave, vrsto osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. V členu 28 je določen minimalni obseg vsebin, ki jih mora vsebovati pravni akt, lahko pa seveda vsebuje tudi dodatne elemente v zvezi z obdelavo podatkov. IP je pripravil standardna pogodbena določila, ki zajemajo vse zahteve iz člena 28 in se jih lahko uporabi (nahajajo se pod rubriko Ali se lahko uporablja standardna pogodbena določila?).
Nadalje Splošna uredba o varstvu podatkov v členu 26 določa, da so skupni upravljavci tisti, ki skupaj določijo namene in načine obdelave. Med seboj z medsebojnim dogovorom (npr. pogodbo) na pregleden način določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu z uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Dogovor odraža vlogo vsakega od skupnih upravljavcev in njegovo razmerje do posameznikov, na katere se nanašajo osebni podatki. Bistveno vsebino dogovora se da na voljo posamezniku, na katerega se nanašajo osebni podatki.
IP je na temo pogodbene obdelave pripravil smernice, ki vam bodo v pomoč pri določitvi vlog povezanih podjetij v danem primeru. Smernice so dostopne na povezavi
Poleg tega je tudi Evropski odbor za varstvo podatkov pripravil smernice na temo upravljavcev in obdelovalcev (za zdaj le v angleškem jeziku) tukaj
- Pravne podlage za obdelavo podatkov
IP pojasnjuje, da mora upravljavec podatkov za vsako obdelavo osebnih podatkov zagotoviti ustrezno pravno podlago. Skladno s členom 6(1) Splošne uredbe o varstvu podatkov je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
- a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
V skladu s Splošno uredbo o varstvu podatkov mora vsak upravljavec podatkov zagotoviti svojo pravno podlago za obdelavo podatkov. Obdelovalec osebnih podatkov pa ne potrebuje lastne pravne podlage iz člena 6(1), temveč črpa pravno podlago iz upravičenj upravljavca.
Na podlagi vašega dopisa IP sklepa, da podatke posameznikov obdelujete na podlagi njihove privolitve.
Glede vprašanja, kdo lahko pridobi privolitev od posameznika, IP pojasnjuje, da je zagotovitev ustrezne pravne podlage dolžnost upravljavca podatkov. Upravljavec mora namreč biti sposoben izkazati, da so osebni podatki obdelani na zakonit in pregleden način (člen 5(2) Splošne uredbe o varstvu podatkov). To pomeni, da v kolikor obdelujete podatke posameznikov na podlagi njihove privolitve, mora biti upravljavec sposoben izkazati, da so mu slednji podali veljavno privolitev. Veljavna privolitev mora biti informirana, to pomeni, da je treba posameznika, na katerega se nanašajo osebni podatki, predhodno obvestiti o nekaterih elementih, ki so ključni za njegovo odločitev. Med drugim je pomembno, da pozna identiteto upravljavca, ki mu daje svojo privolitev, in namene, za katere se bodo podatki obdelovali. Posamezniku je prav tako tudi treba, kadar se bo na zahtevano privolitev oprlo več (skupnih) upravljavcev ali če bodo podatki posredovani drugim upravljavcem, predhodno zagotoviti informacijo o vseh teh organizacijah. Obdelovalcev ni treba navesti v okviru zahteve za privolitev, čeprav bodo morali upravljavci, da bi upoštevali člena 13 in 14 Splošne uredbe o varstvu podatkov, zagotoviti popoln seznam uporabnikov ali kategorij uporabnikov, vključno z obdelovalci. Za več informacij glej Smernice Evropskega odbora za varstvo podatkov o privolitvi, str. 15 in dalje tukaj
V kolikor bi podjetje, ki zbira podatke, v konkretnem primeru nastopalo kot obdelovalec podatkov, lahko po mnenju IP zbira privolitve v imenu in za račun upravljavca, v kolikor ga ta za to pooblasti. Pomembno pa je, da pridobljene privolitve zadostijo vsem pogojem iz Splošne uredbe o varstvu podatkov. Predvsem pa je treba zagotoviti, da posamezniki nedvomno razumejo, da gre za privolitev v obdelavo podatkov, ki jo podajajo konkretnemu upravljavcu podatkov.
Ob vsem navedenem je treba vzeti tudi v obzir, da privolitev v skladu s členom 6(1) ni edina pravna podlaga za obdelavo podatkov, pri nudenju produktov in storitev lahko eventualno pride tudi do obdelave določenih podatkov za namene izvajanja pogodbe s strankami.
- Pravna podlaga za posredovanje podatkov med upravljavci znotraj povezane družbe
Recital 48 določa, da imajo lahko upravljavci, ki so del povezane družbe ali institucij, povezanih z osrednjim telesom, zakoniti interes (torej pravno podlago v smislu točke (f) člena 6(1) Splošne uredbe o varstvu podatkov) za posredovanje osebnih podatkov znotraj povezane družbe v notranje upravne namene, vključno z obdelavo osebnih podatkov strank ali zaposlenih. To pomeni, da bi v konkretnem primeru lahko pravno podlago za posamezne obdelave osebnih podatkov znotraj povezane družbe med različnimi upravljavci predstavljali zakoniti interesi, za katere si prizadevate kot upravljavec, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki.
IP na koncu opozarja, da je presoja glede zakonitosti obdelave oziroma obstoja ustrezne pravne podlage za posamezno obdelavo in odgovornost zanjo vedno na upravljavcu osebnih podatkov.
V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.
Mojca Prelesnik, univ.dipl.prav.,
informacijska pooblaščenka
Pripravila:
Neja Domnik, mag. prav.,
asistentka svetovalca pri IP
