Pravna podlaga Rdečega križa za obdelavo osebnih podatkov - IPRS

Pravna podlaga Rdečega križa za obdelavo osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 18.03.2022 Številka: 07121-1/2022/325 Kategorije: --> Kategorije: Občine, Pravne podlage Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem postavljate dodatna vprašanja in izpostavljate dodatno problematiko, poleg tiste, do katere se je IP že opredelil v predhodno izdanem mnenju št. 07121-1/2022/232. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Uvodoma lahko na kratko komentiramo mnenje IP iz leta 2007, ki ga citirate v svojem dopisu (0712-470/2007/2). Kot vse kaže, gre pri navedenem mnenju za bistveno drugačno okoliščino, kot jo opisujete vi. V citiranem mnenju je namreč šlo za vprašanje, ali sme Rdeči križ (v nadaljevanju RK) pridobivati osebne podatke od upravnih enot, da bi v svojem imenu izpolnjeval naloge, ki so mu podeljene v Zakonu o rdečem križu. V primeru, ki ga opisujete v vašem dopisu, pa gre za prenos izvajanja javnih nalog občine na drug subjekt, torej Rdeči križ. V citiranem mnenju torej preučujemo na vprašanje, ali »obiskovanje in obdaritev starostnikov« spada v tako pristojnost RK, da je na tej podlagi upravičen do zahtevanih podatkov. V vašem primeru pa opisujete, da občina takšno obdarovanje (oz. skrb za starostnike) opredeli kot javno nalogo in jo zaupa nekomu drugemu, torej Rdečemu križu. Gre za izpolnjevanje nalog občine in ne nalog Rdečega križa. IP v mnenju ne more podati konkretnega odgovora na vprašanje, v kakšni vlogi nastopata občina in Rdeči križ in na kakšni podlagi obdelujeta osebne podatke. V prejšnjem mnenju (št. 07121-1/2022/232) pa smo navedli in opredelili merila, ki jih morata pri tem oba subjekta upoštevati, saj je treba opraviti zelo konkretno analizo vseh okoliščin, pravnih aktov in prakse. Ob vsem tem dodajamo še, da IP predloga ZVOP-2 ne more komentirati, saj ne gre za sprejeti predpis, temveč za osnutek, ki se bo lahko še spremenil in nikakor ni mogoče napovedati, kako. IP lahko interpretira le veljavne predpise, do njih pa se seveda lahko opredeljuje v povezavi s konkretnimi primeri le do meje, kolikor ne prejudicira vodenja in odločanja v morebitnem inšpekcijskem in/ali prekrškovnem postopku. Pridružujemo pa se vašemu stališču, da v kolikor bi šlo za obdelavo na podlagi četrtega odstavka 9. člena ZVOP-1 v povezavi s točko (

1. e)prvega odstavka 6. člena Splošne uredbe, bi bilo vsekakor treba izkazati »nujnost« takšne obdelave, pa tudi, da se z obdelavo ne poseže v upravičen interes posameznika. Ob tem bi želeli komentirati tudi del vašega vprašanja, ki se glasi, ali bi moral RK »dokazati« občini nujnost obdelave. Menimo, da če občina opredeli določeno nalogo kot javno nalogo v smislu Zakona o lokalni samoupravi, ni Rdeči križ tisti, ki bi moral dokazovati nujnost obdelave (četudi bo osebne podatke obdeloval RK), ampak občina sama. Vaš pomislek glede skupnega upravljanja v primeru upravljavcev javnega sektorja, ki osebne podatke obdelujejo na podlagi zakona, po mnenju IP generalno ni utemeljen, saj je možno skupno upravljanje tudi v javnem sektorju, seveda pa je vse odvisno od okoliščin posameznih primerov in tudi opredelitev v zakonih. Smernice EDPB 07/2020 o pojmih upravljavec in obdelovalec iz Splošne uredbe o varstvu podatkov (https://edpb.europa.eu/system/files/2022-02/eppb_guidelines_202007_controllerprocessor_final_sl.pdf) na strani 18 navajajo: »Oceno skupnega upravljanja je treba opraviti na podlagi dejstev in ne na podlagi formalne analize dejanskega vpliva na namene in sredstva obdelave. Vse obstoječe ali predvidene dogovore je treba preveriti glede na dejanske okoliščine v zvezi z razmerjem med strankami. Zgolj formalno merilo ne bi zadoščalo iz najmanj dveh razlogov: v nekaterih primerih bi manjkalo formalno imenovanje skupnega upravljavca, kot ga na primer določa zakon ali pogodba; v drugih primerih morda formalno imenovanje ne odraža dejanskosti dogovorov, ko se vloga upravljavca formalno zaupa subjektu, ki dejansko ne more „določiti“ namenov in sredstev obdelave.« V zvezi s tem vas lahko napotimo tudi na mnenje IP št. 07120-1/2021/637 glede Dogovora o izmenjavi osebnih podatkov prek informacijskega sistema, iz katerega izhajajo okoliščine, po katerih skupno upravljavstvo v javnem sektorju vsekakor ni izključeno. Za konec naj dodajamo, da nekoliko večji poudarek v tem mnenju na vprašanju skupnega upravljanja ne pomeni stališča IP, da gre v vašem primeru dejansko za skupno upravljanje. Pri določitvi vlog in razmerij ter pravne podlage za obdelavo osebnih podatkov veljajo merila, ki jih postavlja zakonodaja in ki smo jih opisali v predhodnem mnenju št. 07121-1/2022/232. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026