Obdelava osebnih podatkov v okviru delovanja društva + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.12.2022 Številka: 07121-1/2022/1427 Kategorije: --> Kategorije: Društva Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave vaših osebnih podatkov v okviru delovanja društva. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Obdelava osebnih podatkov v društvu se šteje za zakonito, če se osebni podatki obdelujejo za namene zakonitega delovanja društva, odvisna pa je od nalog in dejavnosti, ki jih določajo pravila za delovanje društva. Društvo s temeljnim aktom določi način sodelovanja članov društva pri upravljanju društva ter njihove posebne pravice in dolžnosti. Dostop do podatkov, ki se nanašajo na člane in dejavnost društva, je odvisen od nalog in s tem povezanih pravic in dolžnosti posameznih članov, organov in članov s funkcijami, ki so določene v pravilih za delovanje društva in je zato to predmet notranje organizacije društva. Društvo mora skrbeti, da do osebnih podatkov, s katerimi upravlja oziroma jih obdeluje, dostopajo zgolj pooblaščene osebe. O b r a z l o ž i t e v: IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP uvodoma splošno pojasnjuje tudi, da vsi osebni podatki sami po sebi ne uživajo zaščite po ZVOP-1 in Splošni uredbi o varstvu podatkov, temveč so te zaščite deležni le v primeru, če gre za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, kot to določa člen 2
(1)Splošne uredbe o varstvu podatkov. Vsebina zasebnega elektronskega sporočila načeloma ne vsebuje varovanih osebnih podatkov po Splošni uredbi o varstvu podatkov, razen če bi sporočilo vsebovalo osebne podatke, ki so del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov. V primeru elektronske pošte so to načeloma zgolj t.i. prometni podatki (naslov prejemnika in pošiljatelja, podatki o času prejema, pošiljanja ipd.) in ne sama vsebina sporočila, ki sodi pod okvir varstva širše pravice do zasebnosti na podlagi 37. člena Ustave RS. Za nadzor te pravice pa IP ni pristojen, temveč je predvideno sodno varstvo. IP nadalje pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. V skladu s členom 6
(1)Splošne uredbe o varstvu podatkov je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (
- a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
- b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
- c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
- d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
- e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
- f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.« V kolikor torej v konkretnem primeru obstaja ena izmed zgoraj naštetih podlag za obdelavo vaših osebnih podatkov s strani konkretnega člana društva, je takšna obdelava skladna z zakonodajo. Izbor ustrezne pravne podlage za posamezno obdelavo je obveznost upravljavca (v konkretnem primeru društva, katerega član ste), ki mora pri tem upoštevati konkretne okoliščine in namene obdelave. Društvo mora torej zagotoviti zakonitost obdelave osebnih podatkov svojih članov. IP ob tem pojasnjuje tudi, da je sprejel načelno mnenje glede ustreznih pravnih podlag za obdelavo osebnih podatkov v društvih (mnenje IP št. 0712-1/2018/622, z dne 15. 3. 2018). Do mnenja lahko dostopate na naslednji povezavi: https://www.ip-rs.si/mnenja-zvop/splo%C5%A1no-glede-obdelave-osebnih-podatkov-v-dru%C5%A1tvih Iz navedenega mnenja med drugim izhaja, da je pravna podlaga za obdelavo osebnih podatkov članov društva za namen delovanja društva praviloma podana v določbah členov 6
(1)(b) ali 6
(1)(f) Splošne uredbe o varstvu podatkov. Navedeni pravni podlagi prideta v poštev zlasti v povezavi s pravili delovanja društva, ki jih določajo temeljni ter drugi akti, Zakon o društvih (Uradni list RS, št. 64/11 - UPB, 21/18 – ZNOrg; v nadaljevanju: ZDru-1) in drugi predpisi (v nadaljevanju: pravila za delovanje društva). IP namreč članstvo v društvu razume kot skupek pravic in obveznosti, ki jih član sprejme z včlanitvijo, pravice in obveznosti pa določajo prej navedena pravila za delovanje društva, ki veljajo za člane. Pravno razmerje med članom in društvom je za potrebe varstva osebnih podatkov treba razmeti kot pogodbeno razmerje oziroma razmerje, preko katerega se uresničuje zakoniti interes za delovanje društva. Če določeno dejanje obdelave osebnih podatkov v društvu pomeni izvajanje dejavnosti društva, ki je v skladu s pravili delovanja društva, potem je praviloma zagotovljena tudi pravna podlaga za obdelavo v skladu z navedenima določbama 6
(1)(b) ali 6
(1)(
- f)Splošne uredbe o varstvu podatkov, ali povedano drugače, obdelava osebnih podatkov v društvu se šteje za zakonito, če se osebni podatki obdelujejo za namene zakonitega delovanja društva in je torej odvisna od nalog in dejavnosti, ki jih določajo pravila za delovanje društva. Vaše društvo tako kot večina ostalih podobnih organizacij deluje v skladu z določbami ZDru-1, ki v prvem in drugem odstavku 1. člena določa, da je društvo samostojno in nepridobitno združenje, ki ga ustanoviteljice oziroma ustanovitelji skladno s tem zakonom ustanovijo zaradi uresničevanja skupnih interesov. Društvo si samo določi namen in cilje, dejavnost oziroma naloge ter način delovanja, odločitve o upravljanju društva pa neposredno ali posredno sprejemajo člani društva. Ta vprašanja mora urejati temeljni akt društva, posameznik pa lahko postane član društva pod pogoji, ki jih društvo določi v temeljnem aktu. S temeljnim aktom torej društvo določi način sodelovanja članov društva pri upravljanju društva ter njihove posebne pravice in dolžnosti. Obvezno vsebino temeljnega akta opredeljuje 9. člen ZDru-1, ki v prvem odstavku določa, kaj mora določati temeljni akt društva, v tretjem odstavku pa določa, da lahko društvo s temeljnim aktom uredi tudi druga vprašanja, pomembna za upravljanje in delovanje društva. ZDru-1 nadalje v prvem odstavku 12. člena določa, da člani društva ter pooblaščene osebe pravnih oseb, članic društva, sodelujejo pri upravljanju društva neposredno ali posredno po predstavnikih, izvoljenih organih oziroma zastopniku društva na način, določen s temeljnim aktom. Glede vprašanja o tem, katere osebe v društvu imajo lahko dostop do podatkov, ki se nanašajo na člane in dejavnost društva, vam pojasnjujemo, da je to odvisno od nalog in s tem povezanih pravic in dolžnosti posameznih članov, organov in članov s funkcijami, ki so določene v pravilih za delovanje društva in je zato to predmet notranje organizacije društva. Pravila varstva osebnih podatkov v zvezi s tem zahtevajo, da se osebni podatki v društvu obdelujejo varno, skladno s členom 32 Splošne uredbe o varstvu podatkov ter 24. in 25. členom ZVOP-1, zlasti tako, da se prepreči neupravičen dostop, razkritje, izguba ali uničenje podatkov, ipd. V okvir skladnosti za varno obdelavo osebnih podatkov sodi tudi interna določitev dostopa do zbirk glede na naravo nalog posameznih članov ali organov v društvu, zato mora društvo v internih aktih oziroma pravilih za delovanje društva samo določiti, kateri organi oziroma člani s funkcijami so odgovorni za posamezne zbirke osebnih podatkov in kateri člani, organi, oziroma člani s funkcijami imajo zaradi narave njihovega dela oziroma opravljanja njihovih nalog dostop do določenih zbirk in osebnih podatkov. IP na podlagi navedenega povzema, da gre v primeru, ki ga opisujete v vašem zaprosilu za mnenje, za vprašanje interne organizacije dela, poslovanja in upravljanja društva, ki mora skrbeti, da do osebnih podatkov, s katerimi upravlja oziroma jih obdeluje, dostopajo zgolj pooblaščene osebe. IP sklepno ponovno poudarja, da v okviru mnenja ne more presojati o upravičenosti posameznih članov društva do seznanitve z v vašem zaprosilu za mnenje navedenimi osebnimi podatki, saj je to stvar interne organizacije društva, katerega član ste. Ob tem pa IP opozarja, da so vsi tisti člani, za katere bi se v skladu z zgoraj navedenimi pravili presodilo, da se v okviru društva lahko seznanijo z navedenimi osebnimi podatki, seveda dolžni te podatke varovati in jih ne smejo posredovati naprej brez ustrezne pravne podlage ali celo obdelovati za druge namene. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026