Pravna podlaga za obdelavo podatkov dobavitelja plina (dodatno)

Datum

25.04.2023

Številka

07121-1/2023/555

Kategorije

Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo dne 17. 4. 2023 prejeli vaše zaprosilo za dodatna pojasnila glede pravne podlage za obdelavo osebnih podatkov navedenih v 134. členu ZOP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.1. Namen in pravna podlaga obdelave podatkov sta tesno prepletena, a vseeno ločena koncepta varstva osebnih podatkov: pravna podlaga predstavlja predpostavko, ki mora biti izpolnjena, zato da je obdelava podatkov sploh dopustna, medtem ko namen obdelave podatkov definira dopusten obseg obdelave (ne le z vidika kategorij podatkov, ki se lahko zbirajo, temveč tudi časovno), ki se vedno presoja glede na cilje, ki jih obdelava zasleduje.

2.2. IP zaključuje, da pravno podlago za obdelavo podatkov, ki so našteti v drugem odstavku 134. člena ZOP, predstavlja zakon v smislu točke (c) prvega odstavka 6. člena Splošne uredbe.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov, morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo in obveznosti upravljavcev v skladu z veljavno zakonodajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V mnenju št. 07121-1/2023/417 z dne 29. 3. 2023 je IP pojasnil, da drugi odstavek 134. člena ZOP predstavlja pravno podlago za obdelavo osebnih podatkov, ki so v njem taksativno našteti. V zaprosilu za dodatno pojasnila navajate, da 134. člen ZOP v drugem odstavku sicer res našteva, kateri so osebni podatki, ki se obdelujejo na podlagi zakona, vendar pa navedeni zakon glede na vaše razumevanje v tretjem in četrtem odstavku zahteva, da si upravljavec osebnih podatkov zagotovi ustrezno pravno podlago za obdelavo osebnih podatkov (med drugim tudi tistih, ki so taksativno našteti v drugem odstavku 134. člena ZOP) in sicer s sklenitvijo pogodbe o dobavi ali s pridobitvijo privolitve od uporabnika sistema. Vendar IP pojasnjuje, da navedeno stališče ne razločuje med nameni obdelave podatkov ter pravno podlago za njihovo obdelavo, ki so urejeni v različnih odstavkih 134. člena ZOP. Namen in pravna podlaga obdelave podatkov sta tesno prepletena, a vseeno ločena koncepta varstva osebnih podatkov: pravna podlaga predstavlja predpostavko, ki mora biti izpolnjena, zato da je obdelava podatkov sploh dopustna, medtem ko namen obdelave podatkov definira dopusten obseg obdelave (ne le z vidika kategorij podatkov, ki se lahko zbirajo, temveč tudi časovno), ki se vedno presoja glede na cilje, ki jih obdelava zasleduje.

V skladu s prvim odstavkom 6. člena Splošne uredbe je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Obdelava osebnih podatkov, ki temelji na točkah (c) ali (e) prvega odstavka 6. člena, mora biti v skladu z drugim in tretjim odstavkom navedenega člena določena bodisi v pravu EU ali v nacionalnem pravu države članice, ki določa tudi namen takšne obdelave podatkov. Državam članicam je prepuščena diskrecija, da v nacionalni zakonodaji bolj podrobno opredelijo zahteve glede zagotavljanja skladnosti s pravnima podlagama iz točke (c) in (e).

Slovenski zakonodajalec je to uresničil v drugem odstavku 6. člena ZVOP-2, ki določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk (c) in (e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave.

Čeprav je Zakon o oskrbi s plini (Uradni list RS, št. 204/21 in 121/22) začel veljati pred sprejemom novega Zakona o varstvu osebnih podatkov, pa člen, ki ureja upravljanje, uporabo, hrambo in predložitev osebnih podatkov (134. člen ZOP) sledi zahtevam iz drugega odstavka 6. člena ZVOP-2 in celovito ureja področje obdelave osebnih podatkov s strani upravljavcev, ki trgujejo, proizvajajo, prenašajo, distribuirajo, shranjujejo ali dobavljajo plin.

Drugi, tretji in četrti odstavek 134. člena ZOP, ki ju navajate v zaprosilu za mnenje, se glasita (poudarki P.Š.):

(2)Osebni podatki uporabnikov sistema, ki se obdelujejo na podlagi tega zakona, so:

1.osebno ime, naslov, davčna številka ter elektronski naslov in telefonska številka, če ju uporabnik sistema ima;

2.identifikator odjemnega mesta in z njim povezani enolični identifikatorji ter naziv in naslov odjemnega mesta;

3.identifikator merilnega mesta in z njim povezani enolični identifikatorji;

4.merilni in obračunski podatki, ki jih je mogoče nedvoumno povezati z uporabnikom sistema, in sicer:

-izmerjena količina plina v intervalu, ki ga omogoča stanje tehnike, in

-časovni agregati izmerjene količine plina, ki se nanašajo na uporabnika sistema.

(3)Osebne podatke uporabnikov sistema iz prejšnjega odstavka obdelujejo naslednji upravljavci:

-operater prenosnega sistema za namen izvajanja nalog gospodarske javne službe dejavnost operaterja prenosnega sistema iz 19. člena tega zakona za uporabnike sistema na področju izvajanja prenosa plina;

-operater distribucijskega sistema za namen izvajanja nalog gospodarske javne službe dejavnost operaterja distribucijskega sistema iz 58. člena tega zakona za uporabnike sistema na področju izvajanja distribucije plina;

-operaterji zaprtega distribucijskega sistema za namen izvajanja nalog iz drugega odstavka 72. člena tega zakona za uporabnike, priključene na omrežje, ki ga upravljajo;

-dobavitelji plina za namen izvajanja pogodbe o dobavi z uporabnikom sistema na podlagi 80. člena tega zakona za uporabnike sistema, od katerih so pridobili ustrezno privolitev ali s katerimi imajo sklenjeno pogodbo o dobavi.

(4)Upravljavci iz prve, druge in tretje alineje tretjega odstavka tega člena obdelujejo osebne podatke uporabnikov sistema tudi z namenom njihovega zagotavljanja uporabnikom sistema in subjektom, ki so upravičeni do dostopa do osebnih podatkov na podlagi pogodbenega razmerja, sklenjenega z uporabnikom sistema, ali na podlagi privolitve uporabnika sistema.

Pravno podlago za obdelavo osebnih podatkov na podlagi zakona, vrste osebnih podatkov, ki se obdelujejo na tej podlagi, ter kategorije posameznikov, na katere se ti osebni podatki nanašajo, določa drugi odstavek 134. člena ZOP. Tretji odstavek določa upravljavce in namene obdelave, ki so za nekatere upravljavce dodatno urejeni še v četrtem odstavku ZOP, roki hrambe podatkov pa so opredeljeni v šestem in sedmem odstavku 134. člena. Takšna razlaga izhaja tako iz samega besedila 134. člena ZOP, kot tudi iz predloga Zakona o oskrbi s plini (EVA 2021-2430-0068, glej str. 161 in nasl.), glede na vsebino, umestitev ter namen obravnavane določbe pa jo podpirata tudi sistematična in namenska razlaga obravnavanega člena. V skladu z navedenim IP zaključuje, da pravno podlago za obdelavo podatkov, ki so našteti v drugem odstavku 134. člena ZOP predstavlja zakon v smislu točke (c) prvega odstavka 6. člena Splošne uredbe.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka