Obdelava OP etažnih lastnikov - IPRS

Obdelava OP etažnih lastnikov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.10.2022 Številka: 07121-1/2022/1105 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage, Stanovanjsko in nepremičninsko pravo Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov etažnih lastnikov s strani upravnika.. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Telefonske številke posameznikov je treba po mnenju IP že po njihovi naravi, namenu in možni določljivosti posameznika obravnavati kot osebne podatke. Privolitev je le ena od možnih pravnih podlag za obdelavo osebnih podatkov. V kolikor bi v konkretnem primeru za obdelavo osebnih podatkov etažnih lastnikov obstajala katera od drugih pravnih podlag iz 6. člena Splošne uredbe o varstvu podatkov, upravniku ne bi bilo treba pridobiti njihovih privolitev. Upravljavci, ki so del povezane družbe ali institucij, povezanih z osrednjim telesom, imajo lahko zakoniti interes za posredovanje osebnih podatkov znotraj povezane družbe v notranje upravne namene, vključno z obdelavo osebnih podatkov strank ali zaposlenih. Splošna uredba o varstvu podatkov v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. O b r a z l o ž i t e v: IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem postopku. IP tako ne more konkretno odgovoriti na vprašanja iz vašega zaprosila za mnenje niti presojati posameznih konkretnih obdelav osebnih podatkov, ki jih navajate, ampak v nadaljevanju podaja splošna pojasnila. IP splošno pojasnjuje, da osebni podatki skladno s prvim odstavkom 4. člena Splošne uredbe o varstvu podatkov pomenijo katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. IP se je že večkrat opredelil, da je treba telefonske številke posameznikov že po njihovi naravi, namenu in možni določljivosti posameznika obravnavati kot osebne podatke. IP nadalje pojasnjuje, da Splošna uredba o varstvu podatkov v 6. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«. Privolitev je torej le ena od možnih pravnih podlag za obdelavo osebnih podatkov. V kolikor bi v konkretnem primeru za obdelavo osebnih podatkov etažnih lastnikov obstajala katera od drugih zgoraj navedenih pravnih podlag, upravniku torej ne bi bilo treba pridobiti njihovih privolitev. Splošno velja, da lahko upravnik osebne podatke posreduje le, če razpolaga z ustrezno pravno podlago. V primeru obdelave osebnih podatkov s strani upravnikov je treba upoštevati tudi določbe Stanovanjskega zakona (SZ-1; Uradni list RS, št. 69/03, 18/04 – ZVKSES, 47/06 –ZEN, 45/08 –ZVEtL, 57/08, 62/10 –ZUPJS, 56/11–odl. US, 87/11, 40/12 –ZUJF, 14/17 – odl. US, 27/17, 59/19, 189/20 - ZFRO, 90/21), Stvarnopravnega zakonika (SPZ; Uradni list RS, št. 87/02, 91/13, 23/20) in Pravilnika o upravljanju večstanovanjskih stavb (Uradni list RS, št. 60/09, 87/11, 85/13, 52/22). SZ-1 tako v tretjem odstavku 50. člena določa, da je upravnik na podlagi tega zakona pooblaščen za obdelavo osebnih podatkov, ki jih je dolžan zbirati, voditi in posredovati pristojnim organom v skladu s tem zakonom. Nadalje SZ-1 v prvem odstavku 53. člena določa, da se razmerja med etažnimi lastniki in upravnikom uredijo s pogodbo o opravljanju upravniških storitev, ki lahko, poleg pooblastil iz 50. člena tega zakona, določi za upravnika še druge pravice in obveznosti. Upravnik lahko posreduje osebne podatke etažnih lastnikov le takrat, kadar je to potrebno za namen izpolnjevanja pogodbe o upravljanju večstanovanjske stavbe, ki so jo etažni lastniki sklenili z upravnikom oziroma za izvrševanje pooblastil, ki jih ima upravnik po 50. členu SZ-1. Glede posredovanja osebnih podatkov tretjim osebam IP pojasnjuje, da je upravnik skladno z določbo drugega odstavka 48. člena SZ-1 pooblaščenec etažnih lastnikov, ki jih zastopa v poslih, ki se nanašajo na upravljanje večstanovanjske stavbe, in skrbi, da se izvršujejo pravice in obveznosti iz sklenjenih poslov s tretjimi osebami. Pri sklepanju pravnih poslov s tretjimi osebami nastopa upravnik v imenu in za račun etažnih lastnikov (68. člen SZ-1), razen če SZ-1 ali pogodba o upravljanju upravniških storitev ne določata drugače. Če ima torej npr. upravnik s posameznim podjetjem v imenu in za račun etažnih lastnikov sklenjeno pogodbo za opravljanje določenih storitev, je glede na določbe SZ-1 dobavitelju storitev dolžan posredovati tiste podatke etažnih lastnikov, ki so potrebni za izvajanje storitev in za nadzor nad izvajanjem storitev po pogodbi. Enako velja (torej tiste podatke etažnih lastnikov lahko obdeluje), če upravnik te osebne podatke potrebuje za opravljanje svojih nalog oziroma izvrševanje svojih pooblastil. IP nadalje pojasnjuje, da v skladu s 4. členom Splošne uredbe o varstvu podatkov pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, pojem »povezana družba« pa pomeni obvladujočo družbo in njene odvisne družbe. Recitala 36 in 37 Splošne uredbe o varstvu podatkov dodatno pojasnjujeta razmerja znotraj povezane družbe. Tako določata, da bi obvladujoča družba morala biti tista, ki ima lahko na druge družbe odločilen vpliv (npr. zaradi lastništva, finančne udeležbe ali pooblastila za izvajanje predpisov o varstvu osebnih podatkov). Družbo, ki nadzira obdelovanje osebnih podatkov v družbah, povezanih z njo, bi bilo treba skupaj s temi družbami razumeti kot povezano družbo. Kadar obdelavo izvaja povezana družba, bi bilo treba glavni sedež obvladujoče družbe šteti za glavni sedež povezane družbe, razen kadar namene in sredstva obdelave določa druga družba. Bistven pomen ima torej določitev namenov in sredstev obdelave. Recital 48 pa določa, da upravljavci, ki so del povezane družbe ali institucij, povezanih z osrednjim telesom, lahko imajo zakoniti interes za posredovanje osebnih podatkov znotraj povezane družbe v notranje upravne namene, vključno z obdelavo osebnih podatkov strank ali zaposlenih. To pomeni, da bi (če gre v konkretnem primeru za obdelavo osebnih podatkov v okviru povezane družbe, kot navajate v vašem zaprosilu za mnenje), lahko pravno podlago za posamezne obdelave osebnih podatkov znotraj povezane družbe (tudi tiste, ki jih naštevate v vašem zaprosilu za mnenje) predstavljali zakoniti interesi, za katere si prizadeva upravljavec, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (torej etažnih lastnikov). IP ob tem opozarja, da je presoja glede zakonitosti obdelave oziroma obstoja ustrezne pravne podlage za posamezno obdelavo in odgovornost zanjo vedno na upravljavcu osebnih podatkov. IP ponovno poudarja, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru bili podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP sklepno pojasnjuje, da Splošna uredba o varstvu podatkov v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. V prvem odstavku tega člena tako določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:
7. a)namene obdelave;
8. b)vrste zadevnih osebnih podatkov;
9. c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacija;
10. d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
11. e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
12. f)pravico do vložitve pritožbe pri nadzornem organu;
13. g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
14. h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22