Objava seznama članov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.03.2021 Številka: 07121-1/2021/320 Kategorije:Društva, Pravne podlage, Privolitev, Zakoniti interesi, Zavarovanje osebnih podatkov --> Kategorije: Društva, Zavarovanje osebnih podatkov, Privolitev, Pravne podlage, Zakoniti interesi Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ste… društvo, ki se financira pretežno s članarino. Sprašujete, ali se lahko izdela in izobesi seznam vseh članov, ki so plačali članarino na oglasno desko, ki se nahaja izven notranjih prostorov … (z zunanje strani pri vhodu …). Na tem seznamu bi bilo ime in priimek, kraj bivanja in podatek o plačanem znesku članarine. *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi člena 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Uvodoma pojasnjujemo, da mora za zakonito obdelavo osebnih podatkov obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe: (
- a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
- b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
- c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
- d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
- e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
- f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Ob tem opozarjamo, da se točka (
- f)ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog. Za obdelavo navedenih osebnih podatkov (ime, priimek, kraj bivanja in podatek o plačani članarini), potrebuje društvo ustrezno pravno podlago. IP je za obdelavo osebnih podatkov v društvih sprejel tolmačenje, da kadar društva izvajajo dejavnosti, ki jih določajo pravila delovanja društva (statut oz. drugi interni akti društva), potem obdelava osebnih podatkov poteka na podlagi zgoraj citirane točke (
- b)oziroma točke (
- f)prvega odstavka 6. člena Splošne uredbe. V tem primeru zagotovitev druge pravne podlage ni potrebna. Kljub temu pa opozarjamo, da iz predloženih informacij ne izhaja, kakšen je namen objave tega seznama. Društvo mora zasledovati namen, ki je povezan z delovanjem društva (zgolj npr. sramotenje članov ne bi bil zakonit namen). Poudarjamo pa tudi, da je izbira ustrezne pravne podlage naloga upravljavca. IP bi lahko konkreten odgovor na vaše vprašanje podal zgolj v inšpekcijskem postopku, v okviru nezavezujočega mnenja vam pa lahko podamo zgolj splošne usmeritve. Upravljavec naj pri presoji točke (
- f)prvega odstavka 6. člena Splošne uredbe presodi, katere zakonite interese zasleduje z objavo navedenega seznama ter opravi tehtanje, ali nad zakonitimi interesi upravljavca morda prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Po mnenju IP predstavlja objava navedenega seznama verjetno velik poseg v zasebnost članov društva. Več o tem si lahko preberete v smernicah Društva in varstvo osebnih podatkov, ki so dosegljive na: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/drustva-in-varstvo-osebnih-podatkov/ (npr. stran 6 in 7). Opozorimo naj, da mora društvo tako pri izvajanju svojih nalog, kakor tudi pri snovanju svojih internih pravil, zagotoviti spoštovanje pravil in načel varstva osebnih podatkov (slednja so določena v 5. členu Splošne uredbe). Osebni podatki morajo biti obdelano zakonito, pošteno in na pregleden način (načelo zakonitosti, poštenosti in preglednosti), zbrani morajo biti za določene, izrecne in zakonite namene, ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (načelo omejitve namena). Prav tako se smejo obdelovati zgolj tisti osebni podatki, ki so nujno potrebni za dosego določenega cilja (načelo najmanjšega obsega podatkov). Osebne podatke pa je treba s tehnično-organizacijskimi ukrepi tudi primerno zavarovati pred nepooblaščeno seznanitvijo z osebnimi podatki s strani tretjih oseb. Z osebnimi podatki se lahko seznanijo tisti, ki to potrebujejo za izvajanje svojih nalog. V kolikor na primer določeni člani ne plačujejo članarine, se lahko s finančnimi podatki na primer seznani blagajnik in nadzorni odbor, ne pa samodejno vsi člani društva. Predlagamo vam, da preverite, kdo se v vašem društvu sme seznaniti z navedenimi podatki glede na vrsto dela, ki ga opravlja ter ali z objavo seznama zasledujete zakonite interese v zvezi z delovanjem društva oz. ali je objava seznama v predvidenem obsegu sploh potrebna. V kolikor v zvezi z objavo navedenega seznama ne zasledujete cilja, ki je določen s pravili delovanja društva, morate zagotoviti drugo primerno pravno podlago – na primer privolitev članov po (
- a)točki prvega odstavka 6. člena. Navajate, da bi navedene podatke v obliki seznama objavili na oglasno desko (in bi bil glede na vaš opis dostopen tudi zunanji javnosti). Privolitev bi bila v primeru objave priporočljiva tudi iz razloga nastanka večjega tveganja za pravice in svoboščine posameznikov, ki bi verjetno presegle interes upravljavca osebnih podatkov po (
- f)točki prvega odstavka 6. člena Splošne uredbe. Več o privolitvi in njenih obveznih sestavinah si tako lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/. Poudarjamo, da mora biti privolitev vedno prostovoljna, specifična, informirana ter nedvoumna in da se lahko kadarkoli prekliče. Predlagamo vam, da natančno opredelite, kakšen je namen podane privolitve in kje ter koliko časa bodo podatki eventualno objavljeni. Glede na zahtevo, da mora biti privolitev informirana, naj vsebuje torej naslednje: - podatek o identiteti upravljavca (ime društva), - konkretno opredeljen namen za vsako posamezno obdelavo, za katero je zahtevana posamezna privolitev, - navedbo vrst osebnih podatkov, ki bodo zbrani in obdelovani, - obstoj pravice do umika privolitve, - obvestilo posamezniku, da ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, - obvestilo posamezniku o morebitnih tveganjih pri prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo. Preden posamezniki izpolnijo obrazec s privolitvijo, morajo biti tudi podrobno informirani o obdelavi osebnih podatkov, kot to določa 13. člen Splošne uredbe. Vzorec glede obveščanja posameznikov lahko najdete na spletni strani IP: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ (»Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe)«). Več podatkov je na voljo tudi v zgoraj citiranih smernicah. Tudi pri privolitvi vam torej predlagamo, da pretehtate, kakšen je namen objavljenega seznama in ali so vsi navedeni osebni podatki tudi potrebni za dosego vašega cilja (omenjeno načelo najmanjšega obsega podatkov). Ob tem je prav tako relevantna okoliščina, kje bi naj bil ta seznam eventualno objavljen, npr. v notranjih prostorih društva. Kot smo opozorili že zgoraj, je treba pri obdelavi osebnih podatkov članov društva zagotoviti tudi zavarovanje osebnih podatkov pred tveganji, kot je nepooblaščen dostop oz. razkritje osebnih podatkov. Več informacij o tem je dosegljivih tudi na spletni strani www.upravljavec.si (s tem v zvezi zlasti zavihek https://upravljavec.si/zagotovite-varnost/). Lepo vas pozdravljamo, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., Svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026