Varstvo osebnih podatkov pri upravljanju z društvom - IPRS

Varstvo osebnih podatkov pri upravljanju z društvom + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.02.2010 Številka: 0712 – 2/2010/306 Kategorije:Društva --> Kategorije: Društva Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je 22.2.2010 prejel vaše elektronsko sporočilo, v katerem nas sprašujete: 1 Ali morajo društva izdelati katalog osebnih podatkov oz. prijaviti zbirko osebnih podatkov svojih članov informacijskemu pooblaščencu? 2 Ali morajo društva sprejeti pravilnik o varstvu osebnih podatkov? 3 Ali morajo društva za objavo fotografij lastnih članov oz. drugih obiskovalcev v prostorih društva pridobiti njihovo pisno soglasje? 4 Ali morajo društva pridobiti pisno soglasje lastnih članov, v kolikor jih želijo neposredno obveščati o dogajanju v društvu nasploh (npr. preko e pošte)? 5 Ali gre za iznos podatkov v tretjo državo, če društvo uporablja IKT infrastrukturo v tujini? Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. tč.
4. odst.
5. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem: 1 Pooblaščenec opozarja na drugi odstavek
7. člena ZVOP-1, ki med drugim določa, da se za osebne podatke, ki jih o svojih članih obdeluje društvo, ne uporabljajo
8. (Katalog zbirke osebnih podatkov),
9. (Obveščanje nadzornega organa) in
10. člen (Register) tega zakona. Glede na navedeno pa so vse ostale določbe ZVOP-1 zavezujoče tudi za društva. 2 Če vaše društvo ne zaposluje več kot 50 delavcev sledi, da pride v poštev širša oprostitev, ki jo predvideva določba
11. odst.
12. člena ZVOP-
13. Na podlagi te določbe so namreč vsi upravljavci osebnih podatkov (razen izjem naštetih v
14. odst. istega člena), ki imajo manj kot 50 zaposlenih oproščeni tako obveznosti vzpostavitve katalogov zbirk osebnih podatkov in njihovega posredovanja Informacijskemu pooblaščencu glede vseh zbirk osebnih podatkov, katerih upravljavec so, kakor tudi sprejema pravilnika o zavarovanju osebnih podatkov. Če pa društvo zaposluje več kot 50 zaposlenih pa je treba uporabiti
15. člen ZVOP-1, ki določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz
16. člena ZVOP-
17. Iz drugega odstavka
18. člena pa izhaja, da upravljavci niso dolžni zagotoviti le ustreznih postopkov in ukrepov zavarovanja, pač pa morajo le te predpisati v svojih aktih. 3 Pooblaščenec meni, da objava fotografij na spletnih straneh društva le pod določenimi pogoji lahko predstavlja obdelavo osebnih podatkov, ki sodi v pristojnost Pooblaščenca in je urejena v ZVOP-1, in sicer bi lahko šlo za tovrstno obdelavo, če bi bile fotografije del zbirke osebnih podatkov ali bi bile namenjene vključitvi v zbirko osebnih podatkov, o tem pa bi lahko govorili, če bi bile fotografije objavljene na takšen način, da bi brez večjih težav določile ali omogočale določljivost posameznika. V tem primeru mora društvo od vseh, ki so upodobljeni na fotografijah, pridobiti osebno privolitev za objavo le-teh. Osebna privolitev je lahko ustna ali pisna, temeljiti pa mora na seznanjenosti posameznika, za obdelavo katerih osebnih podatkov daje privolitev in za kakšen namen se bodo le-ti obdelovali. Če je pri objavi fotografij iz društvenih aktivnosti na spletni strani društva izpolnjen pogoj iz zgornjega odstavka in torej predstavljajo fotografije zbirko osebnih podatkov po ZVOP-1, mora društvo ravnati skladno z določbami ZVOP-1 4 Osebne podatke članov se lahko torej v društvu obdeluje zgolj na podlagi notranjega dogovora med člani društva oz. na podlagi osebne privolitve vsakega posameznega člana. Pooblaščenec tako svetuje, da dokler ne pride do takega dogovora, elektronska sporočila med člani društva oz. njihove e naslove zapišete vedno zgolj v predelek »Skrito«.
19. Odvisno v kateri državi društvo uporablja IKT infrastrukturo. Če gre za države članice Evropske unije se uporabi
20. člen ZVOP-1, ki določa, da se za te države ne uporabljajo določbe
21. poglavja V. dela ZVOP-1, ki ureja iznos v tretje države. Države članice Evropske unije so torej v smislu varstva osebnih podatkov izenačene z Republiko Slovenijo. To pomeni, da mora upravljavec osebnih podatkov – v skladu z zgoraj navedenimi pogoji – izkazati pravno podlago za pridobitev ali drugo obdelavo osebnih podatkov ali izkazati pisno privolitev posameznika. Če pa gre za ostale države pa se uporabi
22. člena ZVOP-1, ki določa, da lahko upravljavec osebnih podatkov iznese in posreduje osebne podatke v obdelavo pogodbenemu obdelovalcu v tretji državi le pod pogojem, da državni nadzorni organ (Pooblaščenec) izda odločbo, da država, v katero se iznašajo, zagotavlja ustrezno raven varstva osebnih podatkov ali pa je takšna država že na seznamu držav, za katere je ugotovljeno, da delno ali v celoti zagotavljajo ustrezno raven varstva osebnih podatkov. O b r a z l o ž i t e v: 1, 2 Katalog in register zbirk urejajo členi
23. do
24. ZVOP-
25. Vsebina kataloga je določena v
26. členu ZVOP-
27. V skladu s
28. odst.
29. člena ZVOP-1 mora upravljavec osebnih podatkov za vsako zbirko (torej tudi zbirko o vaših strankah, če so te – vsaj del zbirke – fizične osebe) osebnih podatkov vzpostavi katalog zbirke osebnih podatkov, določba pa ureja tudi natančno vsebino tega kataloga.
30. odst.
31. člena ZVOP-1 določa, katere dele kataloga mora upravljavec osebnih podatkov sporočiti državnemu nadzornemu organu (Informacijskemu pooblaščencu). Te podatke mora upravljavec sporočiti najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Zavarovanje osebnih podatkov v skladu s
32. odst.
33. člena ZVOP-1 obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov.
34. člen ZVOP-1 pa določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz
35. člena ZVOP-1, ter da upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov in določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. V skladu s
36. členom, ki določa izjeme pri uporabi ZVOP-1, se za osebne podatke, ki jih o svojih članih obdelujejo politične stranke, sindikati, društva ali verske skupnosti ne uporabljajo 26.,
37. in
38. člen ZVOP-
39. Isti člen v
40. odst. določa, da upravljavcem osebnih podatkov z manj kot 50 zaposlenimi ni treba izpolniti obveznosti iz drugega odstavka
41. člena in obveznosti iz
42. in
43. člena ZVOP-
44. Izjeme iz tega odstavka se ne uporabljajo za zbirke osebnih podatkov, ki jih vodijo upravljavci osebnih podatkov iz javnega sektorja, notarji, odvetniki, detektivi, izvršitelji, izvajalci zasebnega varovanja, zasebni zdravstveni delavci, izvajalci zdravstvenih storitev ter za upravljavce osebnih podatkov, ki vodijo zbirke, ki vsebujejo občutljive osebne podatke in je obdelava občutljivih osebnih podatkov del njihove registrirane dejavnosti. 3 Vsi osebni podatki sami po sebi ne uživajo zaščite po ZVOP-1, temveč so te zaščite deležni šele, če so del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, kot to določa peta točka
45. člena ZVOP-
46. ZVOP-1 namreč v skladu s
47. členom določa pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov. Slednje glede na določilo tretje točke
48. člena ZVOP-1 pomeni kakršno koli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke ali so namenjeni vključitvi v zbirko. Zbirka pa je glede na določilo šeste točke
49. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. To pomeni, da objava fotografij posameznika na spletni strani društva ne predstavlja še nujno kršitve ZVOP-
50. Fotografije bi pomenile zbirko osebnih podatkov po ZVOP-1 le, če bi bile objavljene na takšen način, da bi določile ali omogočile določljivost posameznika. Takšen primer bi lahko bil, če bi se skupaj s fotografijami obdelovali tudi drugi osebni podatki o posameznikih, ki bi se nahajali na fotografijah (na primer njihovo ime in priimek, letnica rojstva ali kraj, kjer ta oseba stanuje, …). Ker gre za društvo, kjer se člani med seboj najbrž dobro poznajo, Pooblaščenec dopušča tudi možnost, da je posameznik brez večjih težav na fotografijah določljiv, ne da bi se hkrati s fotografijami obdelovali tudi drugi osebni podatki. Objava fotografij na navedene načine bi lahko predstavljala zbirko osebnih podatkov po ZVOP-1 in v tem primeru bi lahko obstajala pravna podlaga za pravno varstvo fotografij po ZVOP-
51. Pravne podlage za dopustno obdelavo osebnih podatkov v zasebnem sektorju so urejene v
52. členu ZVOP-
53. Po določbi prvega odstavka tega člena se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Društvo kot upravljavec osebnih podatkov načeloma sodi v zasebni sektor, pri čemer lahko obdeluje osebne podatke na podlagi zakona ali na podlagi osebne privolitve posameznika. Ker Pooblaščencu ni znan noben zakon, ki bi določal obdelavo fotografij kot osebnih podatkov v društvu, bi bila objava fotografij (seveda pod pogojem, da gre za takšno objavo, ki bi jo lahko šteli za obdelavo osebnih podatkov, ki je varovana z določbami ZVOP-1) v primeru, ki ga navajate v vašem dopisu, možna le na podlagi osebne privolitve posameznikov, ki se nahajajo na fotografijah. Zato Pooblaščenec zaključuje, da bi moralo društvo za obdelavo fotografij, ki izpolnjuje pogoje, ki objavljene fotografije uvršča med osebne podatke, ki so varovani po ZVOP-1, pridobiti osebno privolitev vseh posameznikov, ki se nahajajo na fotografijah. 4 Osebni podatki se lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju – društvo je v
54. členu Zakona o društvih (Uradni list RS, št. 61/2006, v nadaljevanju ZDru-1) opredeljeno kot pravna oseba zasebnega prava – pa navaja
55. člen ZVOP-1: