Posredovanje osebnih podatkov francoskemu državnemu organu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.06.2010 Številka: 0712-305/2010 Kategorije:Postopki na centrih za socialno delo --> Kategorije: Postopki na centrih za socialno delo Spoštovani,Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je 17. 6. 2010 prejel vaš dopis, v katerem nas prosite za pomoč pri pravilnem obravnavanju zahteve za posredovanje podatkov, ki ste jo na Ministrstvo … (v nadaljevanju ...) prejeli od francoskega državnega organa, pristojnega za izplačila družinskih dajatev. Francoski organ je ministrstvo zaprosil za podatke o posameznici, ki se je, kot navajajo, vrnila v Slovenijo. Od vas želijo dobiti naslednje osebne podatke o posameznici: nov naslov (prebivališče) posameznice, naziv in naslov njenega delodajalca in številko TRR.Podlaga za njihov zahtevek je člen 84 EU Uredbe 1408/71 o koordinaciji sistemov socialne varnosti (v nadaljevanju Uredba (EGS) 1408/71), po katerem so si pristojni organi držav članic dolžni nuditi medsebojno pomoč in se medsebojno obveščati za izvajanje uredbe. Točka 5(
- a)84. člena Uredbe 1408/71 določa, da kadar po tej uredbi ali po izvedbeni uredbi iz člena 98, organi ali nosilci države članice posredujejo osebne podatke organom ali nosilcem v drugi državi članici, za to posredovanje veljajo zakonske določbe o varovanju podatkov, kot jih predpisuje država članica, ki posreduje podatke. Za vsa kasnejša posredovanja, pa tudi za shranjevanje, spreminjanje in uničevanje podatkov veljajo določbe zakonodaje o varovanju podatkov države članice, ki podatke prejme.Glede na vse navedeno nas torej prosite za pomoč pri interpretaciji, kakšno je pravilno ravnanje ... v opisani zadevi.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Glavni poudarki, ki jih morate upoštevati pred in med obdelavo osebnih podatkov (torej pri posredovanju osebnih podatkov slovenske državljanke francoskemu državnemu organu) so naslednji:1. Pri obdelavi osebnih podatkov posameznikov se mora upravljavec najprej vprašati, ali ima za takšno obdelavo zagotovljeno ustrezno pravno podlago, bodisi v zakonu (ali neposredno izvršljivi Uredbi EU), bodisi v osebni privolitvi posameznika (v javnem sektorju, kamor sodi Ministrstvo, je obdelava na podlagi privolitve posameznika dopustna le, če to predvideva zakon). Pravno podlago za posredovanje osebnih podatkov slovenske državljanke (iz vašega sporočila in priloženega obrazca izhaja, da naj bi posredovali nov naslov, naziv in naslov njenega delodajalca in številko TRR) predstavlja določba člena 84 Uredbe (EGS) št. 1408/71. 2. Kot upravljavec osebnih podatkov ste v nadaljevanju dolžni presoditi, ali konkreten francoski državni organ sodi med upravičene organe, ki so po členu 1 (
- l)omenjene uredbe opredeljeni kot pristojni organi, odgovorni za sisteme socialne varnosti na ozemlju ozemlja države članice. V primeru, da ne bi šlo za upravičen organ, mu podatkov ne bi smeli posredovati, saj ne bi izkazoval pravne podlage za njihovo pridobitev.3. Pri posredovanju osebnih podatkov morate biti v pozorni tudi na to, da posredujete le tiste osebne podatke, za katere ste prepričani, da so nujni in potrebni za doseganje namena, zaradi katerega se osebni podatki posredujejo (torej za izvrševanje temeljnega namena Uredbe (EGS) št. 1408/71). 4. Ob izpolnjenih zgornjih predpostavkah morate ob samem posredovanju osebnih podatkih in z njim povezanimi dejanji paziti še na vse elemente zavarovanja osebnih podatkov. Poleg običajnih ukrepov za zavarovanje osebnih podatkov, ki jih predvidevajo 1.-4. točka 1. odstavka 24. člena ZVOP-1, bi Pooblaščenec posebej izpostavil obveznost zagotavljanja t.i. sledljivosti obdelave osebnih podatkov (zabeležiti, kdo, kam, kdaj… je posredoval osebne podatke). V primeru posredovanja podatkov s pomočjo elektronskih komunikacij, morate zagotoviti tudi ustrezno raven zaščite podatkov, ki se pošiljajo. 5. Priporočamo, da posameznico o posredovanju njenih osebnih podatkov obvestite.O b r a z l o ž i t e v:1. Pravni dokumenti Evropske unije in obdelava osebnih podatkovProst pretok podatkov Skladno z enim temeljnih postulatov delovanja Evropske unije, prostim pretokom blaga, storitev, ljudi in kapitala preko državnih meja, ter v duhu potrebnega sodelovanja med državami članicami, je bila 24. oktobra 1995 sprejeta tudi Direktiva Evropskega parlamenta in Sveta 95/46/ES o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (v nadaljevanju Direktiva 95/46/ES).Preambula Direktive 95/46/ES v 9. recitalu kot razlog za sprejem te Direktive opisuje tudi, da države članice zaradi enakovrednega varstva, ki bo posledica približevanja nacionalnih zakonodaj, ne bodo več mogle ovirati medsebojnega prostega pretoka osebnih podatkov na temelju varstva pravic in svoboščin posameznikov ter predvsem pravice do zasebnosti; ker bo državam članicam puščen manevrski prostor, ki ga lahko v okviru izvajanja te direktive izkoristijo tudi gospodarski in socialni partnerji.Ureditev na področju socialnega varstva v Uniji Sodelovanje in koordinacijo delovanja držav članic na področju socialnega varstva, konkretno glede sistemov socialne varnosti za zaposlene osebe in njihove družinske člane, ki se gibljejo v Skupnosti, je Evropska unija uredila z neposredno uporabljivo Uredbo (EGS) št. 1408/71. Le-ta s svojimi določbami med drugim preprečuje, da bi bil delavec hkrati vključen v dva sistema socialne varnosti. Uredba št. 1408/71 je bila med drugim sprejeta, ker mora veljati sistem socialne varnosti le ene države članice, da bi se preprečilo prekrivanje nacionalnih zakonodaj, ki se uporabljajo in zapleti, ki lahko iz tega izhajajo. Namen Uredbe je torej preprečevanje nastanka pozitivnega in negativnega konflikta pri pridobivanju pravic iz naslova socialnega varstva in vsebuje instrumente za razreševanje takšnih situacij.1. maja 2010 pa je začela veljati Uredba (ES) št. 883/2004 o koordinaciji sistemov socialne varnosti, ki nadomešča in je bila sprejeta z namenom posodobitve in poenostavitev do takrat veljavne Uredbe (EGS) št. 1408/71. Glede na to, da je Uredba št. 883/2004 posodobila Uredbo št. 1408/71, Evropski nadzornik za varstvo podatkov (ENVP) pa je 6. marca 2007 izdal mnenje o predlogu uredbe Evropskega parlamenta in Sveta o določitvi podrobnih pravil za izvajanje Uredbe (ES) št. 883/2004 o koordinaciji sistemov socialne varnosti , Pooblaščenec v nadaljevanju povzema nekaj ključnih poudarkov tega mnenja. Navedeno mnenje je relevantno namreč zato, ker je bilo podano na predlog izvedbene Uredbe št. (ES) št. 987/2009 za izvrševanje Uredbe št. 883/2004, ki bo nadomestila Uredbo (EGS) št. 1408/71. ENVP je v Mnenju presojal osnovno načelo koordinacije sistemov socialne varnosti, ki izhaja že iz Uredbe št. 1408/71, v povezavi z varstvom osebnih podatkov. Mnenje Evropskega nadzornika za varstvo podatkov V 7. točki Mnenja je ENVP zapisal, da velik del Predloga predstavljajo določbe o izmenjavi osebnih podatkov med nacionalnimi upravami za socialno varnost. Sistemi socialne varnosti sploh ne bi mogli obstajati brez obdelave različnih vrst – mnogokrat občutljivih – osebnih podatkov. Nadalje je izmenjava osebnih podatkov, ki se nanašajo na socialno varnost, med različnimi državami članicami naravna posledica obstoja Evropske unije, v kateri državljani vedno pogosteje uveljavljajo svojo pravico do prostega gibanja. V 8. točki je nadalje navedeno, da je pri tem ključnega pomena tudi, da ta povečana izmenjava osebnih podatkov med nacionalnimi upravami držav članic zagotavlja eno od temeljnih pravic EU, saj omogoča boljše pogoje za prosto gibanje ljudi, hkrati pa tudi visoko raven varstva osebnih podatkov. ENVP je v 14. točki opozoril, da bo zaradi povečane čezmejne izmenjave podatkov potrebno boljše usklajevanje nacionalnih predpisov o varstvu osebnih podatkov. ENVP je v zvezi s tem pozitivno ocenil člen 77 Uredbe (ES) št. 883/2004, v katerem je izrecno navedeno, da se osebni podatki, obdelani na podlagi omenjene uredbe, pa tudi z njo povezana pravila za izvajanje, posredujejo v skladu z določbami Skupnosti o varstvu osebnih podatkov.Omejitev namena in načelo sorazmernosti V nadaljevanju Mnenja ENVP obravnava dva izmed najpomembnejših načel varstva osebnih podatkov, to je omejitev namena obdelave osebnih podatkov ter načelo sorazmernosti. Glede omejitve namena je ENVP v 18. točki opozoril, da se morajo osebni podatki obdelovati in nadalje posredovati organom drugih držav članic z istim namenom oziroma za namen, ki je z njim združljiv. V zvezi z načelom sorazmernosti pa je ENVP v 21. in 22. točki zapisal, da morajo biti osebni podatki primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo (člen 6
(1)(
- c)Direktive). V okviru sistemov socialne varnosti to pomeni, da se ne glede na okoliščine podatki posredujejo le v nujnem in ustreznem obsegu. Podatki, ki jih posredujejo organi držav članic, bi morali ostati v okviru tistih, ki so v posameznem primeru za pravice in obveznosti zavarovanih oseb nujni. ENVP v zvezi s tem poudarja, da se lahko presoja o obsegu potrebnih osebnih podatkov glede na vrsto dajatev nekoliko razlikuje. Načelo sorazmernosti bi moralo veljati tudi v zvezi s številom pristojnih organov, ki imajo dostop do podatkov, ter za načine in trajanje shranjevanja osebnih podatkov. Navedeno pomeni, da lahko osebne podatke posredujete le upravičenim organom.Pravna podlaga V zvezi s pravno podlago za obdelavo osebnih podatkov (točka 27-33), ki predstavlja pravni temelj za dopustnost in zakonitost obdelave osebnih podatkov, je ENVP zapisal, da je v Predlogu predstavljena vrsta mehanizmov, s pomočjo katerih se osebni podatki, ki se nanašajo na zavarovane osebe, prenašajo med pristojnimi organi različnih držav članic. To izmenjavo osebnih podatkov je mogoče razdeliti v dve široki kategoriji: izmenjava na podlagi zaprosila zadevne osebe in izmenjava po uradni dolžnosti, običajno med tretjimi osebami (pristojnimi organi, delodajalci) brez posebnega zaprosila zadevne osebe. Pristojni nacionalni organi in delodajalci lahko osebne podatke obdelujejo le na podlagi privolitve zadevne osebe ali če za to obstaja kakšna druga zakonita podlaga, kot je izpolnjevanje zakonske obveznosti ali izvajanje naloge, ki se opravlja v javnem interesu oziroma pri izvrševanju javne oblasti (člen 7(a), (
- c)in (
- e)Direktive). Navedeno se ujema z 8. členom oziroma 1. odstavkom 9. člena ZVOP-1, ki tudi določa, da se lahko osebni podatki v javnem sektorju obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon; z zakonom pa se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. 4. odstavek 9. člena nadalje določa, da se ne glede na 1. odstavek tega člena lahko v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.ENVP meni, da je določbe predloga (oz. kasneje sprejete Uredbe (ES) št. 987/2009) mogoče razumeti kot zakonsko obveznost obdelave in posredovanja podatkov v zvezi s socialno varnostjo, kolikor je ta obveznost posebej opredeljena. V tistih primerih torej, ko je v predlogu jasno določeno, da je obdelava osebnih podatkov obvezna, bi lahko postopki obdelave, ki jih izvajajo pristojni nacionalni organi in delodajalci, temeljili na členu 7(
- c)Direktive. Nasprotno pa takrat, ko ta zakonska obveznost v predlogu ni neposredno določena, obdelava osebnih podatkov temelji na določeni nacionalni (neusklajeni) zakonski obveznosti ali pa zanjo obstaja druga pravna podlaga.Podobno kot slovenski ZVOP-1 v 4. odstavku 9. člena določa, da se lahko (ne glede na obvezno zakonsko podlago) v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo, tudi ENVP v Mnenju spomni na člen 7(
- e)Direktive, ki vsebuje podobno določbo. Opredeljuje namreč, da je obdelava osebnih podatkov dovoljena, če je potrebna za izvajanje naloge, ki se opravlja v javnem interesu ali pri izvrševanju javne oblasti, dodeljene upravljavcu ali tretji stranki, ki so ji posredovani podatki. Primer za to bi bila obdelava podatkov, ki jo ustrezni organ izvaja na podlagi svojih nalog ali javne oblasti, ki izhaja iz splošne pravne določbe – naj bo to nacionalna ali v okviru Skupnosti – in ne iz določene zakonske obveznosti. Pravno podlago za posredovanje osebnih podatkov lahko (vsaj posredno) najdemo v členu 84 Uredbe (EGS) št. 1408/71, ki dopušča in obenem zapoveduje sodelovanje med pristojnimi organi. To sodelovanje in nudenje medsebojne pomoči po naravi stvari zajema tudi izmenjavo oziroma posredovanje osebnih podatkov posameznikov. Takšne vrste obdelava osebnih podatkov je povrhu vsega še nujna za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, s čimer pa se ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.Ostale obveznosti upravljavca Ena glavnih obveznosti upravljavcev, ki varuje posameznike pred nezakonito obdelavo osebnih podatkov, je spoštovanje določb o zavarovanju osebnih podatkov, ki ga narekuje točka 5(
- a)84. člena Uredbe (EGS) 1408/71 in določa, da kadar organi države članice posredujejo osebne podatke organom v drugi državi članici, za to posredovanje veljajo zakonske določbe o varovanju podatkov, kot jih predpisuje država članica, ki posreduje podatke. Uredba torej v tem delu napotuje na določbe ZVOP-1 o zavarovanju, ki jih bomo kratko povzeli v naslednji točki.Poleg te obveznosti pa je ENVP v opisanem mnenju izpostavil koristnost in skorajšnjo nujnost obveščanja zavarovanih oseb, katerih osebni podatki se obdelujejo, v konkretnem primeru torej posredujejo v drugo državo članico. ENVP je zapisal, da je ustrezno obveščanje o obdelavi še posebej pomembno v primerih, ko osebne podatke obdeluje več organov v različnih državah članicah; posamezniki, na katere se podatki nanašajo, namreč lahko izgubijo pregled nad tem, kdo obdeluje njihove osebne podatke, za kakšne namene se obdelujejo in kako lahko uveljavijo svoje pravice. ENVP v zvezi s tem močno podpira proaktiven pristop: posameznikom, na katere se podatki nanašajo, zagotoviti izčrpne in pravočasne informacije, s čimer se razreši tako vprašanje uporabe zbranih podatkov kot vprašanje pravic omenjenih posameznikov. 2. Slovenska ureditev pravic posameznikov v zvezi z obdelavo osebnih podatkov V slovenski pravni red je Direktivo 95/46/ES o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov implementiral ZVOP-1. Ta krovni zakon na področju varstva osebnih podatkov podobno kot Direktiva določa obveznost obstoja ustrezne pravne podlage za obdelavo osebnih podatkov (za javni sektor v 9. členu ZVOP-1), ter vsebuje določbe o zavarovanju osebnih podatkov, ki jih morajo spoštovati upravljavci osebnih podatkov.1. odstavek 25. člena ZVOP-1 tako določa, da so upravljavci osebnih podatkov dolžni zagotoviti zavarovanje osebnih podatkov na način iz 24. člena tega zakona. Slednji pa vsebuje dokaj podrobne določbe o načinu zagotavljanja ustreznega zavarovanja osebnih podatkov, in sicer:
(1)Zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov (t.i. sledljivost)
(2)V primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov.
(3)Postopki in ukrepi za zavarovanje osebnih podatkov morajo biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.
(4)Funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, so dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave.Glede na obstoj pravne podlage, ki omogoča dopustnost posredovanja osebnih podatkov slovenske državljanke upravičenemu organu druge državne članice, morate kot upravljavec osebnih podatkov posebno pozornost nameniti zagotavljanju spoštovanja zgoraj navedenih določb o zavarovanju osebnih podatkov. Neobvezno, a skladno z mnenjem ENVP priporočljivo, pa je obveščanje posameznice, da ste oziroma boste njene osebne podatke posredovali državnemu organu druge države članice.3. SklepnoGlede na vse navedeno, povzemamo glavne poudarke, ki jih je potrebno upoštevati pri interpretaciji dopustnosti posredovanja osebnih podatkov slovenske državljanke francoskemu državnemu organu: 1. Pri obdelavi osebnih podatkov posameznikov se mora upravljavec najprej vprašati, ali ima za takšno obdelavo zagotovljeno ustrezno pravno podlago, bodisi v zakonu (ali neposredno izvršljivi Uredbi EU), bodisi v osebni privolitvi posameznika (v javnem sektorju, kamor sodi Ministrstvo, je obdelava na podlagi privolitve posameznika dopustna le, če to predvideva zakon). Pravno podlago za posredovanje osebnih podatkov slovenske državljanke (iz vašega sporočila in priloženega obrazca izhaja, da naj bi posredovali nov naslov, naziv in naslov njenega delodajalca in številko TRR) predstavlja določba člena 84 Uredbe (EGS) št. 1408/71. 2. Kot upravljavec osebnih podatkov pa morate v nadaljevanju presoditi, ali konkreten francoski državni organ sodi med upravičene organe, ki so po členu 1 (
- l)omenjene uredbe opredeljeni kot pristojni organi, odgovorni za sisteme socialne varnosti na ozemlju ozemlja države članice. V primeru, da ne bi šlo za upravičen organ, pravna podlaga za posredovanje osebnih podatkov ne bi obstajala. 3. Pri posredovanju osebnih podatkov morate biti v nadaljevanju pozorni na to, da posredujete le tiste osebne podatke, za katere ste prepričani, da so nujni in potrebni za doseganje namena, zaradi katerega se osebni podatki posredujejo (torej za izvrševanje temeljnega namena Uredbe (EGS) št. 1408/71). 4. Ob izpolnjenih zgornjih predpostavkah morate ob samem posredovanju osebnih podatkih in z njim povezanimi dejanji paziti še na vse elemente zavarovanja osebnih podatkov. Poleg običajnih ukrepov za zavarovanje osebnih podatkov, ki jih predvidevajo 1.-4. točka 1. odstavka 24. člena ZVOP-1, bi Pooblaščenec posebej izpostavil obveznost zagotavljanja t.i. sledljivosti obdelave osebnih podatkov (zabeležiti, kdo, kam, kdaj… je posredoval osebne podatke). V primeru posredovanja podatkov s pomočjo elektronskih komunikacij, morate zagotoviti tudi ustrezno raven zaščite podatkov, ki se pošiljajo. 5. Priporočamo, da posameznico o posredovanju njenih osebnih podatkov obvestite. V upanju, da smo vam odgovorili na vaše vprašanje, vas lepo pozdravljam. Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026