Posredovanje podatkov zvezi društev - IPRS

Posredovanje podatkov zvezi društev + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.03.2010 Številka: 0712-133/2010/2 Kategorije:Društva --> Kategorije: Društva Spoštovani, Informacijski Pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vašo zgoraj navedeno prošnjo, v kateri navajate, da pri pristopu novega člana v vaše društvo zbirate podatke o naslovu, telefonu, letnici rojstva, letu obolenja, trenutni terapiji, poklicu, letu zadnje plačane članarine, interesov za izlete, okrevanja, itd. Podatke hranite na računalniku in so zaščiteni z geslom. Sedaj pa se je pojavila zahteva Zveze društev … Slovenije, da jim preko interneta predate podatke o vaših članih, ki se bodo vodili na skupnem serverju najetega podjetja. Pri tem je potrebno vnesti tudi podatke o zdravstvenem stanju, ki po vašem mnenju ne sodijo v vaše kompetence, da bi jih zbirali, moti pa vas tudi, da bi posebej vodili evidenco umrlih članov. Glede na zgoraj pojasnjeno Pooblaščenca naprošate za mnenje o tem: • ali osebne podatke o vaših članih lahko predate Zvezi društev … Slovenije in dopolnite z zdravstvenimi vsebinami? Ker avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) in
5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Osebne podatke članov vašega društva lahko Zvezi društev … Slovenije posredujete le v primeru, da je iz vašega temeljnega akta razvidno, da se vaše društvo in njegovi člani zaradi zasledovanja svojih interesov združujejo v Zvezo društev … Slovenije in da član z včlanitvijo v vaše društvo avtomatično postane tudi član Zveze društev … Slovenije. V takšnem primeru se namreč šteje, da je bil posameznik ob posredovanju svojih osebnih podatkov vašemu društvu, seznanjen s tem, da se bodo njegovi osebni podatki posredovali tudi Zvezi društev … Slovenije ter je s svojim vstopom v društvo in sprejetjem temeljnega akta društva posledično privolil v takšno posredovanje osebnih podatkov. Ker so ustanovitelji Zveze društev posamezna društva, njihovi temeljni akti pa po vedenju Pooblaščenca ne vsebujejo določil, kot so opisana zgoraj, osebnih podatkov članov, brez njihove osebne privolitve, Zvezi društev ne smete posredovati. Po določbah
6. in
7. točke
8. člena ZVOP-1 lahko društva kot del zasebnega sektorja obdelujejo tudi občutljive osebne podatke svojih članov (npr. podatke o zdravstvenem stanju), kolikor je to potrebno za namene zakonitih dejavnosti društva in za dosego dogovorjenih namenov in ciljev društva. Občutljive osebne podatke svojih članov, ki po ZVOP-1 uživajo posebno varstvo, sicer lahko društvo posreduje drugim osebam javnega ali zasebnega sektorja (kamor spada tudi zveza društev) le na podlagi pisne privolitve posameznika, na katerega se podatki nanašajo. O b r a z l o ž i t e v: Po določbah
9. člena ZVOP-1, ki določa splošne pravne podlage za obdelavo osebnih podatkov, se osebni podatki lahko obdelujejo le, če obdelavo podatkov in osebne podatke, ki se obdelujejo, določa zakon, ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V drugem odstavku
10. člena je še določeno, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave osebnih podatkov na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Obdelava osebnih podatkov je
11. točki
12. člena ZVOP-1 definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje. Po določbi
13. člena Zakona o društvih (Uradni list RS, št. 61/06 in 58/09, v nadaljevanju ZDru-1) so društva pravne osebe zasebnega prava, pravne podlage za obdelavo osebnih podatkov na področju zasebnega sektorja pa so podrobneje razdelane v
14. členu ZVOP-
15. Kot je razvidno iz vašega zaprosila, pri zbiranju osebnih podatkov vaših članov in posredovanju le teh Zvezi društev … Slovenije, pravne podlage iz drugega in tretjega
16. člena ZVOPO-1 v vašem primeru ne pridejo v poštev. Zaradi tega je potrebno pravno podlago za obdelavo osebnih podatkov članov vašega društva presojati z vidika določb prvega odstavka
17. člena ZVOP-1, ki določa, da se osebni podati v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Glede na to, da ZDru-1 ne določa obdelave osebnih podatkov članov društva, je obdelava njihovih osebnih podatkov, kamor spada tudi posredovanje njihovih osebnih podatkov zvezi društev, z vidika določb
18. in
19. člena ZVOP-1 dopustna na podlagi osebne privolitve posameznika. Oseba privolitev posameznika je v
20. točki
21. člena ZVOP-1 definirana kot prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu. Osebna privolitev posameznika je pisna, ustna ali druga ustrezna privolitev posameznika. Pisna privolitev je podpisana privolitev posameznika, ki ima obliko listine, določila v pogodbi, določila v naročilu, priloge k vlogi ali drugo obliko v skladu z zakonom, ustna ali druga ustrezna privolitev posameznika pa je ustno ali s telekomunikacijskim ali drugim ustreznim sredstvom ali na drug ustrezen način dana privolitev, iz katere je mogoče nedvomno sklepati na posameznikovo privolitev. Kot je razvidno iz vašega zaprosila ter prilog, ki ste nam jih posredovali, naj bi Zvezi društev …Slovenije posredovali tudi podatke o zdravstvenem stanju vaših članov, ki se po določbi
22. točke
23. člena ZVOP-1 štejejo med tako imenovane občutljive osebne podatke. Pravne podlage oziroma primeri, v katerih se občutljivi osebni podatki lahko obdelujejo, so taksativno določene v
24. členu ZVOP-
25. Po določbi
26. točke
27. člena se občutljivi osebni podatki lahko obdelujejo, če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna, v javnem sektorju pa tudi določena z zakonom. Po določbi
28. točke
29. člena se občutljivi osebni podatki lahko obdelujejo tudi v primeru, če jih za namene zakonitih dejavnosti obdelujejo ustanove, združenja, društva, verske skupnosti, sindikati ali druge nepridobitne organizacije s političnim, filozofskim, verskim ali sindikalnim ciljem, vendar le, če se obdelava nanaša na njihove člane ali na posameznike, ki so v zvezi s temi cilji z njimi v rednem stiku, ter če se ti podatki ne posredujejo drugim posameznikom ali osebam javnega ali zasebnega sektorja brez pisne privolitve posameznika, na katerega se nanašajo. Po določbah
30. in
31. točke
32. člena ZVOP-1 društva kot del zasebnega sektorja torej lahko obdelujejo tudi občutljive osebne podatke svojih članov (če se podatki obdelujejo za namene zakonitih dejavnosti društva), vendar pa lahko društvo posreduje občutljive osebne podatke svojih članov drugim posameznikom ali osebam javnega ali zasebnega sektorja le na podlagi osebne privolitve posameznika. Takšnemu strožjemu pogoju za dopustnost obdelave občutljivih osebnih podatkov je potrebno zadostiti iz razloga, ker se posameznik mora zavedati, da se s podajo svoje osebne privolitve odpoveduje posebnemu varstvu svojih občutljivih osebnih podatkov. Pooblaščenec k temu še pojasnjuje, da je eno vodilni načel na področju varstva osebnih podatkov tudi načelo sorazmernosti iz
33. člena ZVOP-1, po katerem morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Skladno s tem načelom sme društvo obdelovati le tiste in toliko osebnih podatkov, kolikor je to potrebno za namene zakonitih dejavnosti društva in za dosego dogovorjenih namenov in ciljev društva. Kot je razvidno iz zgoraj citirane definicije izraza »osebna privolitev posameznika«, je osebna privolitev posameznika podana na podlagi informacij, ki jih mora posamezniku zagotoviti upravljavec osebnih podatkov. Da bi posameznik lahko podal svojo izrecno osebno privolitev za obdelavo občutljivih osebnih podatkov, mora biti posameznik obveščen o obdelavi osebnih podatkov. Če se osebni podatki zbirajo neposredno od posameznika, mora upravljavec osebnih podatkov posamezniku skladno z določbami prvega odstavka
34. člena ZVOP-1 sporočiti sledeče informacije: - podatke o upravljavcu osebnih podatkov in njegovem morebitnem zastopniku (osebno ime, naziv oziroma firma in naslov oziroma sedež), - namen obdelave osebnih podatkov. V drugem odstavku
35. člena je nadalje še določeno, da če je glede na posebne okoliščine zbiranja osebnih podatkov iz prejšnjega odstavka potrebno, da se zagotovi zakonita in poštena obdelava osebnih podatkov posameznika, mora oseba iz prejšnjega odstavka posamezniku sporočiti tudi dodatne informacije, če posameznik z njimi še ni seznanjen, zlasti: – navedbo uporabnika ali vrste uporabnikov njegovih osebnih podatkov, – navedbo, ali je zbiranje osebnih podatkov obvezno ali prostovoljno, ter možne posledice, če ne bo prostovoljno podal podatkov – informacijo o pravici do vpogleda, prepisa, kopiranja, dopolnitve, popravka, blokiranja in izbrisa osebnih podatkov, ki se nanašajo nanj. Posredovanje zgoraj navedenih informacij posameznikom, na katere se osebni podatki nanašajo, je potrebno iz razloga, ker se lahko posameznik le na podlagi teh informacij odloči, ali bo osebne podatke upravljavcu posredoval ali ne. V primeru, ko bo osebne obdeloval le upravljavec osebnih podatkov ter v primeru, ko ne gre za obdelavo občutljivih osebnih podatkov, je dovolj, da se posamezniku ob zbiranju posredujejo le informacije o namenu obdelave osebnih podatkov ter o upravljavcu osebnih podatkov. Kadar pa namerava upravljavec osebne podatke posredovati oziroma dati na razpolago tudi drugim pravnim ali fizičnim osebam (uporabnikom osebnih podatkov) pa je potrtebno posameznikom posredovati tudi informacije iz drugega odstavka
36. člena ZVOP-1, kar še zlasti velja v primeru obdelave občutljivih osebnih podatkov. Informacije morajo biti jasne in razumljive, saj se bo posameznik, na katerega se podatki nanašajo, lahko le na podlagi takšnih informacij odločil o tem, ali bo za obdelavo osebnih podatkov podal svojo osebno privolitev oziroma ali bo svoje osebne podatke upravljavcu osebnih podatkov sploh posredoval. Pri presoji zakonitosti obdelave osebnih podatkov članov društva je potrebno upoštevati, da so društva pravne osebe zasebnega prava, v katere se združujejo posamezniki z enakimi interesi, da bi te interese lažje zasledovali. Prvi in drugi odstavek
37. člena ZDru-1 tako določata, da je društvo samostojno in nepridobitno združenje, ki ga ustanoviteljice oziroma ustanovitelji skladno s tem zakonom, ustanovijo zaradi uresničevanja skupnih interesov. Društvo si samo določi namen in cilje, dejavnost oziroma naloge ter način delovanja, odločitve o upravljanju društva pa neposredno ali posredno sprejemajo člani društva. S tem, ko posameznik vstopi v društvo, privoli v to, da bo društvo zasledovalo njegove interese, pa čeprav bo s tem pogojno razkrita posameznikova stiska, zaradi katere je v društvo vstopil. Po ZDru-1 si torej društvo samo določi namen in cilje, dejavnost oziroma naloge ter način delovanja. To vse to so vprašanja, ki jih mora urejati temeljni akt društva. Posameznik pa lahko postane član društva pod pogoji, ki jih društvo določi v temeljnem aktu. Prav tako je tudi obdelava osebnih podatkov članov dopustna pod pogoji, kot jih določa temeljni akt, pri čemer pa mora biti posameznik ob vstopu v društvo s tem aktom seznanjen in se tako šteje, da je bi s takšno seznanitvijo seznanjen tudi z nameni obdelave svojih osebnih podatkov. Iz zgoraj pojasnjenega torej izhaja, da društvo osebne podatke svojih članov lahko obdeluje za namene svojega delovanja, torej v skladu s temeljnim aktom društva. Če iz vašega temeljnega akta izhaja, da se vaše društvo in njegovi člani zaradi zasledovanja svojih interesov združujejo v Zvezo društev … Slovenije in da član z včlanitvijo v vaše društvo avtomatično postane tudi člana Zveze društev … Slovenije, potem navedeni zvezi osebne podatke svojih članov seveda lahko posredujete. V takšnem primeru se namreč šteje, da je bil posameznik ob posredovanje svojih osebnih podatkov vašemu društvu seznanjen s tem, da se bodo njegovi osebni podatki posredovali tudi Zvezi društev … Slovenije in je s svojim vstopom v društvo ter sprejetjem temeljnega akta društva posledično privolil v takšno posredovanje oziroma je za takšno posredovanje podal svojo osebno privolitev. V primeru, da v vašem temeljnem aktu nimate določeno, da se vaši člani zaradi zasledovanja svojih interesov združujejo v Zvezo društev … Slovenije, in da član z včlanitvijo v vaše društvo avtomatično postane tudi člana Zveze društev … Slovenije, oziroma da člani s tem niso bili seznanjeni, potem lahko osebne podatke vaših članov posredujete omenjeni zvezi le na podlagi osebne privolitve posameznika, ki pa mora biti v primeru, če boste navedeni zvezi posredovali tudi podatke o zdravstvenem stanju vaših članov, podana v pisni obliki in na podlagi informacij, ki jih določa prvi in drugi odstavek
38. člena ZVOP-1 Glede vaših navedb, da se bodo osebni podatki vaših članov zbirali na skupnem serverju najetega podjetja vam pojasnjujemo, da je takšno zbiranje z vidika določb ZVOP-1 sicer dopustno, vendar le pod pogojem, da upravljavec osebnih podatkov s podjetjem, na katerega serverju se bodo zbirali osebni podatki, sklene pogodbo iz drugega odstavka
39. člena ZVOP-
40. Takšna pogodba mora biti obvezno sklenjena v pisni obliki in mora poleg naročnikovih pooblastil za opravljanje posameznih opravil obdelave osebnih podatkov vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, izvajanje teh postopkov in ukrepov pa nadzoruje upravljavec osebnih podatkov. Podjetje, na katerega serverju se zbirajo osebni podatki članov društev, se z vidika določil ZVOP-1 šteje kot pogodbeni obdelovalec, to je oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. V zvezi z našim mnenjem glede dopustnosti posredovanja osebnih podatkov Zvezi društev … Slovenije vam še pojasnjujemo, da je naše mnenje napisano za primer, ko se osebni podatki članov posameznega društva posredujejo zvezi z razlogom, da zveza prejete osebne podatke naprej obdeluje za svoje lastne namene oz. za potrebe svojega delovanja, s čemer zveza društev postane upravljavec prejetih osebnih podatkov. Obstaja pa tudi možnost, da se osebni podatki zvezi društev posredujejo z namenom, da zveza v imenu in za račun ter po pooblastilu društev opravlja zgolj posamezna opravila obdelave osebnih podatkov ter tako pridobljenih osebnih podatkov ne uporablja za svoje lastne namene oz. za potrebe svojega delovanja. Če bi društva zvezi posredovala osebne podatke z namenom, da zveza za njih na podlagi pooblastila kot pogodbeni obdelovalec opravlja zgolj posamezna opravila v zvezi z obdelavo osebnih podatkov, potem društva za takšno posredovanje osebnih podatkov ne potrebujejo osebne privolitve posameznikov, pač pa morajo z zvezo skleniti pogodbo o pogodbeni obdelavi osebnih podatkov, kot to določa drugi odstavek
41. člena ZVOP-
42. Pooblaščenec na koncu še pripominja, da si je pri pripravi tega mnenja ogledal spletne strani Zveze društev … Slovenije na naslovu…. Pri tem je ugotovil, da navedena zveza pod rubriko »postani naš član« prek svoje spletne strani zbira osebne podatke bodočih članov, med katerimi so tudi občutljivi osebni podatki (podatki o tem, od katerega leta je posameznik diabetik ter podatek o tem, na kateri terapiji je posameznik), pri čemer pa navedena zveza posameznikom ne posreduje informacij iz prvega in drugega odstavka
43. člena ZVOP-
44. Posameznik ob vpisu svojih osebnih tako ni seznanjen z namenom obdelave svojih osebnih podatkov, prav tako pa iz spletnih strani tudi ni jasno razvidno, komu posameznik sploh posreduje svoje osebne podatke oziroma kdo bo upravljavec njegovih osebnih podatkov. Ni namreč jasno, ali bo upravljavec njegovih osebnih podatkov društvo, v katerega se želi včlaniti, ali bo upravljavec zveza društev, ali pa bosta upravljavca dva, in sicer društvo in zveza društev. Pooblaščenec predlaga, da navedene pomanjkljivosti čim prej odpravite. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026