Obdelava OP s strani zavarovalnice - IPRS

Obdelava OP s strani zavarovalnice + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.10.2022 Številka: 07121-1/2022/1047 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Pravica do seznanitve z lastnimi osebnimi podatki, Zavarovalništvo Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave vaših osebnih podatkov s strani zavarovalnice. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Zavarovalnica kot zaupne varuje vse podatke, dejstva in okoliščine o posameznem zavarovalcu, zavarovancu ali drugemu upravičencu iz zavarovanja, ki jih je zbrala pri poslovanju z njim ali jih je pridobila na kakšen drug način. Zavarovalnice vodijo posamezne zbirke osebnih podatkov, ki so navedene v drugem odstavku 268. člena. Obdelava osebnih podatkov v teh zbirkah je dopustna le v obsegu, ki je potreben za uresničevanje namenov obdelave. Splošna uredba o varstvu podatkov v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. O b r a z l o ž i t e v: IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem postopku. IP splošno pojasnjuje, da Splošna uredba o varstvu podatkov v 6. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«. V kolikor bi bila v konkretnem primeru torej podana katera izmed navedenih pravnih podlag, bi bilo posredovanje osebnih podatkov odvetniku lahko zakonito. V skladu z Zakonom o zavarovalništvu (Uradni list RS, št. 93/15, 9/19, 102720; v nadaljevanju: ZZavar-1) zavarovalnice vodijo posamezne zbirke osebnih podatkov, ki so navedene v drugem odstavku 268. člena. Obdelava osebnih podatkov v teh zbirkah je dopustna le v obsegu, ki je potreben za uresničevanje namenov obdelave, torej sklepanja in izvajanja pogodb o zavarovanju, kar vključuje tudi izterjavo neplačanih obveznosti iz naslova zavarovalnih pogodb, reševanje škod, uveljavljanje povračilnih zahtevkov in drugih pravic ter obveznosti, vključno s preiskovanjem sumljivih primerov neupravičeno izplačanih odškodnin oziroma zavarovalnin, ki izvirajo iz zavarovanj po tem zakonu, v skladu z zakonodajo, ki ureja varstvo osebnih podatkov in zbirke podatkov s področja zavarovanja. ZZavar-1 tako jasno določa, katere osebne podatke lahko obdelujejo zavarovalnice in za kakšne namene. ZZavar-1 v 265. členu določa tudi obveznost, da zavarovalnica kot zaupne varuje vse podatke, dejstva in okoliščine o posameznem zavarovalcu, zavarovancu ali drugemu upravičencu iz zavarovanja, ki jih je zbrala pri poslovanju z njim ali jih je pridobila na kakšen drug način. Kadar gre hkrati za varovane osebne podatke, se za njihovo obdelavo in zavarovanje upošteva zakon, ki ureja varstvo osebnih podatkov. Kot omenjeno zgoraj, lahko zavarovalnica obdeluje osebne podatke le v obsegu, ki je potreben za uresničevanje namenov obdelave – sklepanja in izvajanja pogodb o zavarovanju. Zavarovalnice torej lahko obdelujejo osebne podatke v skladu z zgoraj navedenimi določbami. IP na podlagi podatkov v vašem zaprosilu ne more z gotovostjo sklepati, v kakšnem odnosu sta zavarovalnica in odvetniška družba, ki jo navajate, je pa verjetno, da je zavarovalnica kot stranka najela odvetniško družbo za opravo določenih odvetniških storitev. Odvetniški poklic je namreč namenjen pravni pomoči in zastopanju strank v posamičnih zadevah in v skladu z določbo 2. člena Zakona o odvetništvu (Uradni list RS, št. 18/93, 24/96 - odl. US, 24/01, 54/08, 35/09, 97/14, 8/16 - odl. US, 46/16, 36/19; v nadaljevanju: ZOdv) zajema ne le zastopanje strank pred sodišči ter državnimi organi, pač pa tudi pravno svetovanje, sestavljanje listin in zastopanje strank v njihovih pravnih razmerjih. Navedeno pomeni, da iz ZOdv ne izhaja zahteva, da sme odvetnik pridobivati osebne podatke po 10. členu ZOdv zgolj in izključno za potrebe sodnega ali upravnega postopka, ki bi moral biti ob pridobivanju osebnih podatkov celo že začet. Odvetnik lahko pridobiva osebne podatke na podlagi 10. člena ZOdv tudi v primerih, kadar te podatke potrebuje za opravo drugih storitev odvetniškega poklica (npr. svetovanje stranki, zastopanje stranke v pravnih razmerjih nasproti tretjim, ipd.), kot tudi v primerih, ko zatrjuje, da podatke potrebuje za potrebe postopka, ki ga namerava začeti po pridobitvi posameznih podatkov. IP ponovno poudarja, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru bili podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP sklepno pojasnjuje, da Splošna uredba o varstvu podatkov v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. V prvem odstavku tega člena tako določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:
7. a)namene obdelave;
8. b)vrste zadevnih osebnih podatkov;
9. c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacija;
10. d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
11. e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
12. f)pravico do vložitve pritožbe pri nadzornem organu;
13. g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
14. h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22