Posredovanje podatkov po 126. členu Zakona o dolgotrajni oskrbi s strani ZPIZ

Datum

12.02.2024

Številka

07120-1/2024/52

Kategorije

Pravne podlage, Posredovanje osebnih podatkov, Pridobivanje OP iz zbirk, Zbirke osebnih podatkov

Pri Informacijskem pooblaščencu (IP) smo dne 5. 2. 2024 prejeli vaše zaprosilo za mnenje o tem, katere osebne podatke in v kakšnem obsegu mora ZPIZ posredovati Inštitutu za Republike Slovenije za socialno varstvo (IRSSV), da bo obdelava podatkov skladna z načelom najmanjšega obsega podatkov.

V 126. členu Zakona o dolgotrajni oskrbi (ZDOsk-1) je določeno, da do vzpostavitve enotnega informacijskega sistema za namen odločanja v skladu z 38., 132. in 133. členom tega zakona upravljavci zbirk podatkov iz tretjega odstavka tega člena IRSSV posredujejo podatke iz drugega odstavka tega člena o upravičencih do primerljivih storitev oziroma prejemkov iz tretjega odstavka 11. člena tega zakona, in sicer stanje na dan 31. oktober 2023. Datum iz prejšnjega stavka je prvi dan, od katerega se zagotavljajo podatki iz začasne zbirke podatkov. Skladno z drugim odstavkom 126. člena ZDOsk-1 zbirka podatkov, ki jo vzpostavi IRSSV, zajema naslednje podatke o upravičencih do primerljivih storitev oziroma prejemkov:

-EMŠO;

-osebno ime;

-naslov začasnega in stalnega prebivališča;

-naziv izvajalca storitev;

-primerljiva storitev, ki jo oseba prejema;

-dodatek za pomoč in postrežbo, ki ga oseba prejema.

Zavod za pokojninsko in invalidsko zavarovanje je v 5. točki tretjega odstavka 126. člena ZDOsk-1 naveden kot upravljavec zbirk podatkov, ki IRSSV posreduje podatke iz prejšnjega (drugega) odstavka, in sicer podatke o prejemnikih dodatka za pomoč in postrežbo na podlagi predpisov o pokojninskem in invalidskem zavarovanju. IRSSV nima pristojnosti odločanja o pravicah, tudi v prehodnem obdobju ne.

Zanima vas:

1.1. Ali je 126. člen ZDOsk-1 zadostna pravna podlaga, po kateri mora zavod posredovati IRSSV podatke o vseh prejemnikih dodatka za pomoč in postrežbo, upoštevaje dejstvo, da se ti podatki zbirajo v začasni evidenci za namen odločanja o pravicah do dolgotrajne oskrbe, IRSSV pa ni organ, ki bi bil pooblaščen za tako odločanje in poleg tega ni zagotovila, da bodo vsi prejemniki dodatka za pomoč in postrežbo vložili zahteve za priznanje pravic do dolgotrajne oskrbe?

2.2. Ali dolžnost posredovanja podatkov, kot je zavodu naložena v 5. točki tretjega odstavka 126. člena ZDOsk-1, pomeni, da mora zavod posredovati IRSSV vse podatke, ki so navedeni v drugem odstavku tega člena, torej tudi naslov začasnega in stalnega prebivališča?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pojasnjujemo še:

-da se lahko IP dokončno opredeljuje do konkretnih obdelav osebnih podatkov le v nadzornih postopkih in ob upoštevanju vseh relevantnih okoliščin konkretnega primera in

-da IP ne more ugotavljati in presojati pristojnosti IRSSV in drugih organizacij po tem zakonu, neizraženih namenov zakonodajalca, notranje skladnosti zakona in skladnosti z Ustavo RS ter Splošno uredbo.

Po mnenju IP je strogo formalno dopustno, da ZZZS IRSSV-ju posreduje vse osebne podatke iz drugega odstavka 126. člena ZDOsk-1 za vse upravičence do dodatka za pomoč in postrežbo na podlagi predpisov o pokojninskem in invalidskem zavarovanju.

Toda zaradi obveznega upoštevanja načela najmanjšega obsega podatkov (c. točka prvega odstavka 5. člena Splošne uredbe) in načela omejitve namena (b. točka prvega odstavka 5. člena Splošne uredbe) ter ob hkratnem dejstvu, da relevantne določbe ZDOsk-1 o namenih obdelave podatkov in pristojnostih IRSSV niso jasne, predlagamo, da IRSSV-ju posredujete podatke iz drugega odstavka 126. člena brez naslovov ter če je to objektivno izvedljivo, le za tiste upravičence, za katere IRSSV izkaže, da so prosilci za uveljavitev ali da so gotovo upravičenci katere od pravic iz ZDOsk-1.

V primeru nestrinjanja z odločitvijo ZPIZ, lahko IRSSV vloži pritožbo pri IP na podlagi 41. člena ZVOP-2.

Obrazložitev

V skladu z načelom najmanjšega obsega podatkov morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. V skladu z načelom omejitve namena pa morajo biti zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni.

Obe načeli sta določeni s hierarhično višjim predpisom (torej ju je treba upoštevati ne glede na določbe ZDOsk-1) in obvezni tako za upravljavca kot za uporabnika.

Na podlagi pregleda relevantnih določb ZDOsk-1 (zlasti 11., 38., 91., 92., 93., 94., 95., 99., 120., 126., 131., 132. in 133. člena) IP ni ugotovil jasnega in pravega namena zbiranja ter nadaljnje uporabe obravnavanih osebnih podatkov s strani IRSSV v času »do vzpostavitve enotnega informacijskega sistema«. Zato je po mnenju IP treba dati prednost obema načeloma, ter IRSSV-ju kot uporabniku posredovati le tiste osebne podatke, za katere lahko IRSSV izkaže, da so ustrezni, relevantni in omejeni glede na zakonite namene. To pomeni, da če namen ni jasen, lahko IRSSV od ZPIZ pridobiva le minimalni nabor podatkov. Če pa bi se celo izkazalo, da za izvajanje zakonskih pristojnosti sploh ne potrebuje osebnih podatkov, je IRSSV upravičen le do statističnih oziroma agregiranih podatkov.

V nasprotju s splošnimi pravili varstva osebnih podatkov je tudi, če upravljavec na zalogo zbira osebne podatke vseh posameznikov, ki so zgolj potencialni upravičenci do neke pravice. Le če je gotovo, da bodo vsi prejemniki dodatka tudi dejanski upravičenci do pravic iz ZDOsk-1 ali da bodo gotovo vsaj prosilci za uveljavitev pravic in ZDOsk-1, je vnaprejšnje zbiranje podatkov o vseh prejemnikih dodatka lahko upravičeno.

Tudi če bi IRSSV podatke pridobil od ZPIZ, jih ne bi mogel nadalje obdelovati, če bi se izkazalo, da za to nima ustrezne zakonske podlage. Strogo formalno iz zakona res izhaja, da je do nekaterih osebnih podatkov nekaterih posameznikov upravičen, a ker ni videti očitne pristojnosti (zakonitih namenov) za njihovo nadaljnjo obdelavo, bi utegnilo iti za prekomerno zbiranje osebnih podatkov.

Četrti odstavek 41. člena ZVOP-2 med drugim določa, da če je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena, lahko vlagatelj zahteve v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ.

Predlagamo, da se za pojasnila obrnete še na pristojno ministrstvo, zlasti glede vprašanj, ali in na kateri podlagi je IRSSV pristojen za odločanje in o kateri pravici, kakšni so konkretni nameni uporabe podatkov (dejanske potrebe IRSSV) in zakaj naj bi bili za te namene potrebni vsi podatki vseh upravičencev do dodatka, ter kako naj bi se s podatki ravnalo po prehodnem obdobju.

Dodajamo še, da je IP že v fazi medresorskega usklajevanja predloga zakona v mnenju, z dne 29. 11. 2022 in z dne 8. 6. 2023 ugotovil pomembne pomanjkljivosti predlaganih določb z vidika sistema varstva osebnih podatkov.

Lepo vas pozdravljamo,

Pripravil

dr. Urban Brulc, univ. dipl. prav., samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka