Obdelava OP obsojenca v času prekinitve zaporne kazni - IPRS

Obdelava OP obsojenca v času prekinitve zaporne kazni + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.02.2021 Številka: 07120-1/2021/66 Kategorije:Posredovanje OP med upravljavci, Pravica do seznanitve z lastnimi osebnimi podatki, Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD) --> Kategorije: Posredovanje OP med upravljavci, Pravica do seznanitve z lastnimi osebnimi podatki, Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj - ZVOPOKD Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov obsojenca v času prekinitve zaporne kazni. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa v okviru mnenja presojati ustreznosti posameznih obdelav osebnih podatkov z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. IP v okviru mnenja tako ne more namesto upravljavca presojati, ali je posamezna zahteva za posredovanje podatkov utemeljena. Presojo glede zakonitosti oziroma ustreznosti posamezne zahteve mora opraviti izključno upravljavec osebnih podatkov. IP zato v nadaljevanju podaja splošna pojasnila ter izpostavlja relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. IP tako splošno pojasnjuje, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodita tudi policija in zavod za prestajanje zaporne kazni, je nadalje določena tudi v prvem odstavku 9. člena ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Ne glede na prvi odstavek tega člena se lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Za vsako obdelavo osebnih podatkov je treba najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je obveznost upravljavca, ki mora pri tem upoštevati konkretne okoliščine in namene obdelave. Zakon o izvrševanju kazenskih sankcij (ZIKS-1; Uradni list RS, št. 110/06 - UPB, 76/08, 40/09, 9/11 - ZP-1G, 96/12 - ZPIZ-2, 109/12, 54/15, 11/18, 200/20 - ZOOMTVI) v 31. členu določa, da zavod za prestajanje kazni zapora zaradi uresničevanja zakonitega in strokovnega izvrševanja kazenskih sankcij in obveščanja oškodovancev obdeluje podatke o obsojencih na prestajanju kazni zapora, o osebah, ki prestajajo kazen mladoletniškega zapora, o mladoletnikih, zoper katere se izvršuje vzgojni ukrep oddaje v prevzgojni dom in o osebah na prestajanju nadomestnega zapora. Zbirka podatkov o obsojencih obsega: - podatke o identiteti obsojenca in o njegovem osebnem stanju; - podatke o ožjih družinskih članih obsojenca in osebah, s katerimi ima obsojenec dovoljene stike; - podatke o oškodovancih iz 30.b člena tega zakona; - podatke o sodni odločbi, ki jo je treba izvršiti oziroma ki se izvršuje; - podatke o obsojencu, ki se zbirajo med prestajanjem kazni zapora. V 37. členu ZIKS-1 je določeno, da upravljalec zbirke podatkov (zavod) zbira podatke o obsojencih in o osebah, zoper katere se izvršuje varnostni ukrep obveznega psihiatričnega zdravljenja in varstva v zdravstvenem zavodu, neposredno od oseb, na katere se ti podatki nanašajo, od drugih oseb pa le tedaj, če osebe, o katerih se zbirajo podatki, v to pisno privolijo. Podatki o osebah iz prejšnjega odstavka se lahko pridobivajo tudi od pravosodnih organov, policije in drugih državnih organov, javnih zavodov, pristojnih centrov ter organov lokalne samouprave. V 38. členu ZIKS-1 pa je določeno, da se osebni podatki iz zbirke podatkov o obsojencih shranjujejo in uporabljajo, dokler je obsojenec na prestajanju kazni zapora. Po prestani kazni ali odpustu obsojenca s prestajanja kazni zapora se podatki arhivirajo in se hranijo trajno. Dostop do podatkov iz prejšnjega odstavka je dopusten le upravljalcu zbirke podatkov oziroma osebi, ki jo upravljalec pooblasti, osebam, ki so pooblaščene za nadzor nad delom zavodov, in osebi, na katero se podatki nanašajo. Nadalje ZIKS-1 v 82. členu določa, v katerih primerih se lahko prekine prestajanje kazni zapora. Eden od takih primerov je tudi, če v obsojenčevi ožji družini kdo umre ali je huje bolan in je nujno potrebna obsojenčeva pomoč. Odločba o prekinitvi se izda za čas trajanja razloga iz prvega odstavka tega člena. Čas prekinitve se ne všteje v prestajanje kazni. Če se med trajanjem prekinitve kazni ugotovi, da so prenehali razlogi, zaradi katerih je bila prekinitev dovoljena, ali če obsojenec prekinitev kazni zlorabi, pokliče direktor takoj na prestajanje kazni, ne glede na rok, do katerega mu je bila prekinitev dovoljena. Direktor zavoda v treh delovnih dneh od ugotovitve, da so prenehali razlogi za prekinitev, izda odločbo o nadaljevanju prestajanja kazni. Osebni podatki obsojencev se torej lahko obdelujejo v skladu z zgoraj navedenimi določbami. Ob tem pa IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. IP pojasnjuje, da Splošna uredba o varstvu podatkov v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. Tako v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:
7. a)namene obdelave;
8. b)vrste zadevnih osebnih podatkov;
9. c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacija;
10. d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
11. e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
12. f)pravico do vložitve pritožbe pri nadzornem organu;
13. g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
14. h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22