Posredovanje odločbe CSD posameznika Rdečemu križu Slovenije + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.08.2022 Številka: 07121-1/2022/938 Kategorije: --> Kategorije: Postopki na centrih za socialno delo, Pravne podlage, Pridobivanje OP iz zbirk, Privolitev Pri Informacijskem pooblaščencu (IP) smo
- 2022 prejeli vaše zaprosilo za mnenje. Zanima vas:
- ali lahko Center za socialno delo (CSD) na osnovi zakona posreduje odločbo CSD posameznika Rdečemu križu Slovenije - Območnemu združenju (RKS - OZ), ko gre za urejanje humanitarne pomoči temu posamezniku v RKS?
- ali lahko v tem primeru CSD in RKS - OZ skleneta pogodbo o obdelavi osebnih podatkov, na osnovi katere lahko CSD posreduje želene podatke RKS? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Pri tem pojasnjujemo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. CSD humanitarnim organizacijam ali drugim podobnim izvajalcem socialnovarstvenih programov praviloma posreduje osebne podatke posameznikov za urejanje pomoči na podlagi njihove privolitve. Če pa pridobivanje podatkov od ogrožene osebe zaradi posebnih okoliščin ni izvedljivo, je lahko za pridobivanje osebnih podatkov od CSD podana katera od drugih pravnih podlag iz člena 6
(1)Splošne uredbe o varstvu podatkov, npr.
- člen ZRKS ali zaščita življenjskih interesov posameznika, na katerega se nanašajo osebni podatki. CSD bi lahko na ustrezni pravni podlagi posredoval RKS odločbo posameznika le v tistem delu, iz katerega so razvidni podatki posameznika, ki so nujni za urejanje humanitarne pomoči oziroma so opredeljeni v ZRKS, v ostalem delu pa bi morali biti posameznikovi osebni podatki prekriti. RKS oziroma njegovo območno združenje pri urejanju humanitarne pomoči ne nastopa v vlogi obdelovalca, temveč v vlogi upravljavca osebnih podatkov. O b r a z l o ž i t e v: IP vas uvodoma napotuje na Smernice za centre za socialno delo, ki podajajo odgovore na najpogosteje zastavljena vprašanja glede varstva osebnih podatkov, s katerimi se srečujejo tudi upravljavci, ki pridobivajo osebne podatke od centrov za socialno delo. Smernice so dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_za_CSD_julij2017.pdf. Na podobno vprašanje, kot je vaše, pa je IP že odgovarjal v mnenju št. 07121-1/2021/2291 z dne
- 2021, ki je dostopno na: https://www.ip-rs.si/mnenja-gdpr/pridobivanje-podatkov-o-dijaku-s-strani-humanitarne-organizacije-
- IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, torej tudi za njihovo zbiranje ali razkritje s posredovanjem, zakonito in ustrezno pravno podlago. Te so določene v členu 6
(1)Splošne uredbe o varstvu podatkov (privolitev, pogodba, zakon itn.). Iz zgoraj navedenih smernic (str. 23, »Ali CSD lahko posreduje oz. izmenjuje OP posameznikov s humanitarnimi organizacijami, ki strankam nudijo pomoč?«) in mnenja IP izhaja, da CSD humanitarnim organizacijam ali drugim podobnim izvajalcem socialnovarstvenih programov (npr. RKS - OZ) praviloma posreduje osebne podatke posameznikov za urejanje pomoči na podlagi njihove privolitve (člen 6
(1)(a) Splošne uredbe o varstvu podatkov). Skupno sodelovanje za nudenje pomoči potrebnim posameznikom že po naravi stvari namreč vključuje tudi same uporabnike, ki so o sodelovanju med CSD in humanitarnimi organizacijami vnaprej seznanjeni ter v to in za izmenjavo nujno potrebnih podatkov (vedeti morajo, katerih in za katere namene) med sodelujočimi podajo svojo osebno privolitev. Več o pogojih za veljavno privolitev si lahko preberete na spleti strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev. Če pa pridobivanje podatkov od ogrožene osebe zaradi posebnih okoliščin ni izvedljivo, je lahko za pridobivanje osebnih podatkov od CSD podan katera od drugih pravnih podlag iz člena 6
(1)Splošne uredbe o varstvu podatkov. V vašem primeru bi lahko prišla v poštev točka (c) oziroma (e) člena 6
(1)Splošne uredbe o varstvu podatkov (izvajanje zakonitih obveznosti ter opravljanje naloge v javnem interesu ali izvajanje javne oblasti). Točka (
- c)in (
- e)morata biti namreč podprti še z nacionalno zakonodajo, v konkretnem primeru je to Zakon o rdečem križu Slovenije (Uradni list RS, št. 7/93 in 79/10; v nadaljevanju ZRKS). Toda ZRKS ne pride v poštev v delu, ki ureja javna pooblastila, saj dodeljevanje humanitarne pomoči ne spada med javna pooblastila, niti v delu, ki ureja t.i. poizvedovalne naloge, temveč bi bila lahko ustrezna podlaga le v tretjem odstavku 12. člena. Ta določa, da lahko RKS osebne podatke o socialno ogroženih osebah pridobiva tudi iz drugih uradnih zbirk. Pri tem pa je treba upoštevati, da so podatki, ki jih je dopustno zbirati v zvezi s socialno ogroženimi posamezniki, na navedeni podlagi le tisti, ki so našteti v prvem odstavku in v drugem odstavku 12. člena ZRKS. To so osebno ime, rojstni podatki, naslov, vrsta ogroženosti in pomoč, ki je bila dana. Navedeno pomeni, da ZRKS načeloma ne daje pravne podlage za posredovanje celotnih odločb CSD RKS. Ni izključeno, da bi v konkretnem primeru lahko prišla v poštev tudi točka (
- d)člena 6
(1)Splošne uredbe o varstvu podatkov, ki določa, da je obdelava osebnih podatkov dopustna, če je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe. IP pa poudarja, da je treba standard »življenjski interesi« razlagati ozko in ga mora upravljavec, ki pridobiva podatke, konkretno utemeljiti. IP opozarja tudi na načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (člen 5
(1)(c) Splošne uredbe). To pomeni, da bi lahko CSD na ustrezni pravni podlagi posredoval RKS odločbo posameznika le v tistem delu, iz katerega so razvidni podatki posameznika, ki so nujni za urejanje humanitarne pomoči oziroma so opredeljeni v ZRKS, v ostalem delu pa bi morali biti posameznikovi osebni podatki prekriti. Glede vašega drugega vprašanja pa IP pojasnjuje, da RKS oziroma njegovo območno združenje pri urejanju humanitarne pomoči ne nastopa v vlogi obdelovalca osebnih podatkov, za kar bi bila potrebna sklenitev pogodbe v smislu tretjega odstavka člena 28 Splošne uredbe o varstvu podatkov, temveč v vlogi upravljavca. Upravljavec je namreč subjekt, ki odloča o ključnih vidikih obdelave, saj določi namene in sredstva obdelave, tj. razlog za obdelavo in njen način (člen 4
(7)Splošne uredbe o varstvu podatkov). Obdelovalec pa je fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca (člen 4
(8)Splošne uredbe o varstvu podatkov). Obdelovalci so torej tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke, za kar pa v konkretnem primeru ne gre. Iz tega razloga mora imeti RKS za pridobivanje osebnih podatkov od CSD ustrezno samostojno pravno podlago. Pri presoji vlog si lahko pomagate tudi s Smernicami IP o pogodbeni obdelavi, ki so dostopne na: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi ter Smernicami Evropskega odbora za varstvo podatkov o pojmih upravljavec in obdelovalec, ki so dostopne na: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_sl. Lepo vas pozdravljamo, Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026