Pridobivanje podatkov od občine + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 03.06.2020 Številka: 07120-1/2020/396 Kategorije:Občine, Pogodbena obdelava podatkov, Pravne podlage, Pridobivanje OP iz zbirk --> Kategorije: Občine, Pogodbena obdelava podatkov, Pravne podlage, Pridobivanje OP iz zbirk Informacijski pooblaščenec RS (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede posredovanja osebnih podatkov občanov območnemu združenju RKS za organizacijo srečanj in novoletno obdaritev za starejše krajane. Navajate, da ste se seznanili z mnenji IP št. 07120-1/2020/177 in št. 07121-1/2020/
- Kljub temu prosite za naše mnenje v konkretni zadevi. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP pojasnjuje, da kot nadzorni organ na področju varstva osebnih ne more podajati zagotovil glede skladnosti obdelav osebnih podatkov v konkretnem primeru. V okviru svojih svetovalnih pristojnosti lahko zgolj usmeri zavezanca na pogoje in merila, ki jih je mora ta upoštevati za skladno obdelavo osebnih podatkov v konkretnem primeru. Iz omenjenih mnenj št. 07120-1/2020/177 in št. 07121-1/2020/208 izhaja priporočilo IP, da zavezanci preverijo dopustnost posredovanja osebnih podatkov v okviru institutov:
- pogodbene obdelave (ali drugega ustreznega akta) o obdelavi osebnih podatkov v skladu s členom 28 Splošne uredbe ALI
- skupnih upravljavcev v skladu s členom 26 Splošne uredbe. Institut pogodbene obdelave: Smoter instituta pogodbene obdelave osebnih podatkov je, da upravljavec zbirke (npr. občina) obdelavo osebnih podatkov, ki bi jo sicer lahko izvedla sama – ki sodi torej v okvir njene pristojnosti – s pogodbo »prenese« v obdelavo obdelovalcu. V tem primeru torej obdelovalec ne zagotavlja lastne pravne podlage, temveč jo zagotavlja upravljavec. Upravljavec (v tem primeru občina) mora tudi določiti sredstva in namene obdelave osebnih podatkov. Obdelovalec torej v bistvu izvaja upravljavčeve pristojnosti, ki so mu s pogodbo »zaupane«. Obdelovalec lahko ravna le po navodilih upravljavca, kar pomeni, da mora pogodba opredeljevati (med drugim tudi) za kakšne namene in kako bo obdelovalec obdeloval osebne podatke. Elemente, ki jih mora obvezno vsebovati pisna pogodba (ali drug ustrezen akt) o obdelavi osebnih podatkov, taksativno predpisuje člen 28 Splošne uredbe. Če pogodba ne ustreza pogojem iz navedenega člena, potem obdelava ni zakonita. Več o pogodbeni obdelavi najdete na spletni strani IP: Pogodbena obdelava in v smernicah IP o pogodbeni obdelavi. Pravna podlaga v primeru pogodbene obdelave bi torej izvirala iz občinske pristojnosti (skladno z 21.a členom Zakona o lokalni samoupravi (Uradni list RS, št. 94/07 – UPB2, s sprem. in dop.; v nadaljevanju ZLS), saj s tem občina »pravno gledano« preko »podizvajalca« izvaja »lastno dejavnost«. Pri tem pa je vsekakor bistveno vprašanje: ali bi občina smela v okviru svojih pristojnosti »izvajati dejavnost« ali »aktivnost«, ki jo zaupa »podizvajalcu«? Z drugimi besedami, ali »izvajanje srečanj starejših občanov in novoletnega obdarovanja« sodi v okvir izvajanja občinskih pristojnosti skladno z
- členom ZLS, v katere med drugim sodi tudi: pospeševanje služb socialnega skrbstva, /…/ za socialno ogrožene, invalide in ostarele; in možnost podeljevanja denarnih pomoči in simboličnih nagrad ob posebnih priložnostih ali obletnicah občanov? Do vprašanja ali konkretna obdelava, ki jo bo izvajala območna RKS, sodi v obseg občinskih pristojnosti, pa se IP v okviru neobvezujočega mnenja ne more opredeliti. To je odgovornost občine kot upravljavca osebnih podatkov. IP lahko navedeno preverja le v okviru konkretnega inšpekcijskega ali drugega ustreznega postopka. Institut skupnih upravljavcev: Smoter instituta skupnih upravljavcev je v tem, da dva (ali več) upravljavca skupaj določita namene in sredstva za obdelavo osebnih podatkov. Bistvena razlika od pogodbene obdelave je v tem, da vsak subjekt nastopa kot samostojen upravljavec in mora zagotoviti lastno pravno podlago za obdelavo osebnih podatkov, ki jo izvaja. Ko je eden od upravljavcev občina, pa je treba upoštevati tudi, da sme občina kot javna oblast izvajati le tiste obdelave osebnih podatkov, ki jih določa zakon (prvi odstavek
- člena ZVOP-1). Dalje je treba tudi upoštevati, da občina sme pridobljene podatke, posredovati fizičnim in pravnim osebam, zaradi izvajanja nalog iz svoje pristojnosti v skladu z nameni in pod pogoji določenimi v zakonu (šesti odstavek 21.a člena ZLS). Kaj vse sodi v okvir občinskih pristojnosti, pa se kot navedeno, IP ne more opredeliti v okviru svoje svetovalne pristojnosti. Glede na navedeno je treba torej tudi v primeru, ko bi šlo za skupne upravljavce, predhodno odgovoriti na vprašanje ali »izvajanje srečanj starejših občanov in novoletnega obdarovanja« sodi v okvir izvajanja občinskih pristojnosti skladno z
- členom ZLS? Le na ta način ima občina sploh možnost, da takšen namen zakonito (skupno) določi in se dogovori glede njegove izvedbe s skupnim upravljavcem. Več o skupnih upravljavcih predlagamo, da si preberete v priporočilih, ki jih je izdal IP. Sklepno IP ponovno poudarja, da v okviru svojih svetovalnih pristojnosti ne more in ne sme namesto zavezancev sprejemati odločitev glede zagotovitve skladnosti pri konkretni obdelavi osebnih podatkov. Odgovornost za zagotovitev pogojev skladnosti je na upravljavcu osebnih podatkov. Upravljavec osebnih podatkov pa je dolžan skladnost tudi izkazati (člen 24 Splošne uredbe). Prav tako Splošna uredba uvaja obveznost upravljavca, da pred obdelavo zagotovi vgrajeno in privzeto varstvo osebnih podatkov (člen 25 Splošne uredbe), ki vključuje tudi odgovornost, da se upravljavec pred obdelavo zagotovi ukrepe za spoštovanje načel varstva osebnih podatkov, vključno z načelom zakonitosti obdelave osebnih podatkov. Lep pozdrav, Pripravil: Anže Novak, univ. dipl. prav Svetovalec Pooblaščenca za preventivo Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026