Pri Informacijskem pooblaščencu (IP) so prejeli vprašanje, v katerem prosilec navaja, da so kot Svet zavoda vrtca s strani občine ustanoviteljice prejeli zaprosilo za posredovanje kontaktnih podatkov vseh članov sveta zavoda, in v zvezi s tem prosi za mnenje.
Občina mora za pridobitev osebnih podatkov s strani drugega upravljavca izkazati ustrezno pravno podlago.
ZVOP-2 na novo ureja sam postopek posredovanja osebnih podatkov (41. člen). Med drugim je predpisana vsebina zahteve (zahteva mora vsebovati tudi pravno podlago za posredovanje podatkov in navedbo namena obdelave oz. razlogov, ki izkazujejo potrebnost in primernost podatkov za dosego namena pridobitve), rok za posredovanje ter pravna sredstva.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da izven nadzornega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za zakonito posredovanje osebnih podatkov, saj je to izključna naloga in odgovornost upravljavca. V nadaljevanju zato podajamo zgolj splošna pojasnila.
Upravljavec mora imeti za vsako obdelavo osebnih podatkov, torej tudi za njihovo pridobivanje, zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. člena Splošne uredbe, ki obdelavo podatkov dopušča v sledečih primerih:
a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
V skladu z drugim odstavkom 6. člena ZVOP-2 je obdelava osebnih podatkov v javnem sektorju (kamor sodijo tudi občine) zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Četrti odstavek tega člena nadalje določa, da se ne glede na določbe drugega odstavka tega člena za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti v javnemu sektorju lahko izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.
Občina ima zakonsko pravno podlago za obdelavo osebnih podatkov na primer v 21.a v zvezi z 21. členom Zakona o lokalni samoupravi (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, s spremembami in dopolnitveni; v nadaljevanju ZLS). Občina torej lahko pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe.
Nadalje je v 21.a členu ZLS določeno, da občina o posameznikih pridobiva in obdeluje naslednje osebne podatke:
Občina pridobiva osebne podatke iz prejšnjega odstavka neposredno od posameznika, na katerega se podatki nanašajo. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon. Upravljavec zbirke podatkov mora občini omogočiti dostop tudi do drugih podatkov iz zbirke, če je to določeno z zakonom in če te podatke občina potrebuje za izvajanje svojih z zakonom določenih pristojnosti. Zahteva občine mora biti v pisni ali drugi z zakonom ali predpisom vlade določeni obliki.
IP pri tem opozarja še na načelo najmanjšega obsega podatkov, ki določa, da morajo biti (pod pogojem, da obstaja pravna podlaga) osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (točka c) prvega odstavka 5. člena Splošne uredbe).
Kot pojasnjeno že uvodoma, IP v mnenju ne more dokončno odgovoriti na vprašanje, ali je zahteva občine za posredovanje osebnih podatkov v konkretnem primeru utemeljena. Izpostavlja pa, da je področje posredovanja osebnih podatkov v ZVOP-2 na novo urejeno v 5. poglavju. Postopek posredovanja osebnih podatkov določa 41. člen ZVOP-2, ki med drugim predpisuje vsebino zahteve (vsebovati mora tudi pravno podlago za posredovanje podatkov in navedbo namena obdelave oz. razloge, ki izkazujejo potrebnost in primernost podatkov za dosego namena pridobitve), rok za posredovanje ter pravna sredstva. Četrti odstavek tega člena določa, da če je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena, lahko vlagatelj zahteve v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ. Kadar ta zavrne zahtevo ali kadar na prvi stopnji odloča nadzorni organ sam, lahko vlagatelj zahteva sodno varstvo, o katerem odloča pristojno sodišče v skladu z zakonom, ki ureja upravni spor. V primeru zavrnitve zahteve za posredovanje osebnih podatkov iz zbirk, ki niso uradne evidence ali javne knjige, pa lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek.
V zvezi s posredovanjem osebnih podatkov občini je IP izdal že več mnenj, ki so dostopna na spletni strani IP: https://www.ip-rs.si/mnenja-zvop-2/.
Celotno mnenje je na voljo TUKAJ.