Obdelava osebnih podatkov za namen dodeljevanja pomoči s strani občine - IPRS

Obdelava osebnih podatkov za namen dodeljevanja pomoči s strani občine + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.12.2021 Številka: 07120-1/2021/608 Kategorije: --> Kategorije: Pogodbena obdelava podatkov, Pravne podlage, Skupni upravljavci Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da občina pripravlja občinski pravilnik, s katerim se bodo določili pogoji in merila, način in postopek pridobitve pomoči, sestava komisije, upravičenci ter višina pomoči pri plačilu stroškov daljinskega ogrevanja (gre za izvajanje pristojnosti iz
3. člena ZLS - pospeševanje službe socialnega skrbstva za socialno ogrožene). Pojasnjujete, da se bodo vloge občanov sprejemale na občinski območni enoti Rdečega križa Slovenije (RKS), ki bo nato pripravil ustrezen seznam vlog s podatki o vlagateljih in družinskih članih ter ga posredoval občini (ki preveri podatke v e-crp) in CSD (preverjanje v bazah podatkov). Na občini se bo nato sestala komisija in glede na rezultate preverjanja ustrezno pripravila seznam upravičencev za pretekli mesec, z višino odobrenih sredstev. Seznam upravičencev bo občina posredovala komunalnemu podjetju, ki izvaja in tudi obračunava daljinsko ogrevanje končnim odjemnikom. Sprašujete, na kateri relaciji bo potrebno urediti pogodbeno obdelavo ter ali bi bilo ustrezno, da se sklene tripartitna pogodba med RKS-občino-komunalnim podjetjem, pri čemer sta prva dva upravljavca osebnih podatkov, komunalno podjetje pa obdelovalec? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
4. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
5. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
6. točke prvega odstavka
7. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter
8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V zvezi z vašim vprašanjem vam tako dajemo splošna pojasnila in priporočila, upravljavci oz. obdelovalci pa morajo glede na konkretne okoliščine sami poskrbeti za zakonitost obdelave skladno s Splošno uredbo. Uvodoma poudarjamo, da mora za vsako obdelavo osebnih podatkov obstajati ustrezna pravna podlaga skladno s
9. členom Splošne uredbe, oz. kadar gre za obdelavo posebnih vrst osebnih podatkov (»občutljivi osebni podatki«), skladno z
10. členom Splošne uredbe. Po mnenju IP je v opisanem primeru ključno, na kateri pravni podlagi bodo območne enote RKS obravnavale vloge vlagateljev oz. izvajale druge predvidene naloge. Vprašanje je torej, ali bo občina podelila pooblastilo za opravljanje nalog, npr. kot navajate na podlagi
11. člena Zakona o lokalni samoupravi (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, 76/08, 79/09, 51/10, 40/12 – ZUJF, 14/15 – ZUUJFO, 11/18 – ZSPDSLS-1, 30/18, 61/20 – ZIUZEOP-A in 80/20 – ZIUOOPE, ZLS) in bo posledično na tej pravni podlagi izdan npr. občinski odlok; ali pa nastopa RKS samostojno kot izvajalec javnega pooblastila skladno z določbami Zakona o Rdečem križu Slovenije (Uradni list RS, št. 7/93 in 79/10, ZRKS). Opozarjamo tudi, da mora imeti občina za obdelavo osebnih podatkov primerno pravno podlago – s pravilnikom namreč občina ne more neposredno določati obdelave osebnih podatkov, za katero nima zakonske pravne podlage. Nadalje pojasnjujemo, da predstavlja »obdelava« osebnih podatkov skladno z
12. točko
13. člena Splošne uredbe vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Prav tako pojasnjujemo, da pomeni skladno s
14. točko
15. člena Splošne uredbe »upravljavec« fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Nadalje pa
16. točka opredeljuje »obdelovalca«, ki predstavlja fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Predlagamo vam, da glede na podane usmeritve opredelite vloge, ki jih imajo posamezni udeleženci in skladno s tem določite, ali je posamezen udeleženec upravljavec, skupni upravljavec, obdelovalec ali samostojni upravljavec. Za upravljavca bo tako štel organ, ki določa namene (razloge, obseg in cilje) ter načine obdelave (sredstva in metode) in izvršuje pravice posameznikov. V okviru sredstev obdelave določi npr. nabor osebnih podatkov, ki se obdelujejo, kdaj bodo podatki izbrisani in kdo so osebe, ki naj imajo dostop do osebnih podatkov. Glede na vaš opis sicer sklepamo, da bi lahko upravljavec bila občina, vendar morate končno presojo glede na vse konkretne okoliščine, udeleženci opraviti sami. Kadar o namenih in sredstvih obdelave odloča več entitet, lahko govorimo tudi o več upravljavcih oziroma o skupnih upravljavcih. Pri skupni obdelavi je bistvena skupna določitev namenov in načinov obdelave (prvi odstavek
17. člena Splošne uredbe). Kot smo poudarili v Priporočilih Informacijskega pooblaščenca glede skupnih upravljavcev, so dostopna na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Priporocila/Priporocila_Informacijskega_Pooblascenca_glede_skupnih_upravljavcev_21jan2019.pdf morata dva ali več upravljavcev torej skupaj določiti namene in načine (sredstva in metode) obdelave osebnih podatkov. Pri določanju medsebojnih razmerij so bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Posamezne vloge oz. odgovornosti so lahko različno porazdeljene, posamezni skupni upravljavci so lahko vključeni tudi zgolj v posamezne stopnje obdelave osebnih podatkov. Tudi nameni in sredstva obdelave niso nujni vedno skupni, morajo pa biti skupno določeni. Skupni upravljavci morajo skladno s
18. členom Splošne uredbe skleniti medsebojni dogovor. Več o tem si lahko preberete v citiranem priporočilu. Vsekakor pa v primeru, ko posamezen udeleženec sam določa namene in sredstva obdelave ne glede na obravnavano obdelavo osebnih podatkov, šteje kot samostojni upravljavec osebnih podatkov. Kot takšen primer smernice Evropskega odbora za varstvo podatkov (EDPB) Smernice 07/2020 o pojmih upravljavec in obdelovalec iz Splošne uredbe o varstvu podatkov (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en) navajajo primer posredovanja podatkov med dvema organoma, ki si ne delita namenov oziroma ne določata skupnih sredstev obdelave podatkov (npr. zgolj izvršujeta zakonsko obvezo posredovanja podatkov). Pri presoji, ali kateri od udeležencev (območna enota RKS, CSD, komunalno podjetje) deluje kot pogodbeni obdelovalec, je ključno vprašanje, ali bo udeleženec pri izvajanju nalog ravnal izključno v imenu in za račun upravljavca, ali bo črpal pravno podlago za obdelavo iz upravičenj upravljavca ter ali je v zvezi z obdelavo podatkov vezan na navodila upravljavca. V kolikor je temu tako, bi lahko udeleženca šteli kot pogodbenega obdelovalca. Mogoče je, da upravljavec angažira več obdelovalcev osebnih podatkov na različnih stopnjah same obdelave. Kadar gre za pogodbeno obdelavo, morata upravljavec in obdelovalec skladno z
19. členom Splošne uredbe skleniti pogodbo o obdelavi osebnih podatkov; določene so tudi nekatere obvezne sestavine pogodbe. Med drugim je treba sprejeti primerne tehnične in organizacijske ukrepe za zagotovitev varnosti osebnih podatkov. Ob tem opozarjamo na vidik zavarovanja občutljivih osebnih podatkov. Namreč,
20. člen ZVOP-1 določa, da morajo biti občutljivi osebni podatki pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih, razen v primeru iz
21. točke
22. člena zakona. Pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij se šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Več o tem si lahko preberete tudi v že izdanih mnenjih IP, ki so dosegljiva na www.ip-rs.si/vop. Pomagate si lahko tudi s Smernicami o pogodbeni obdelavi, ki so dostopne na: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi. Glede same oblike pogodbe oz. dogovora (npr. tripartitna pogodba), vam IP vnaprej v okviru nezavezujočega mnenja ne more svetovati. Ključno je, da so opredeljene posamezne zahteve, ki jih glede upravljavcev oz. obdelovalcev določa Splošna uredba, skladno s
23. oz.
24. členom Splošne uredbe. Posebna oblika za pogodbo o obdelavi ni predpisana, pravni akt mora v pisni obliki (vključno z elektronsko obliko) in za stranke zavezujoče narave. IP je pripravil standardna pogodbena določila, ki jih lahko uporabite in so dosegljiva na spletni strani IP: https://www.ip-rs.si/?id=104, kjer lahko najdete tudi druge koristne informacije glede pogodbene obdelave osebnih podatkov. Posebna oblika tudi ni predvidena za dogovor o skupni obdelavi; tako kot za pogodbo o obdelavi, EDPB v zgoraj citiranih smernicah priporoča, da gre po pravu države članice za zavezujoč dokument. V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026