Stečaj komunalnega podjetja in prevzem osebnih podatkov uporabnikov

Datum

01.10.2024

Številka

07121-1/2024/1155

Kategorije

Občine, Pridobivanje OP iz zbirk, Upravljanje gospodarskih družb

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da je bilo nad komunalnim podjetjem začet stečajni postopek. Postavlja se vam vprašanje, ali lahko subjekta, ki bosta od podjetja v stečaju prevzela dejavnost izvajanja javne službe (vsak za drug sklop občin, kjer bosta opravljala komunalne storitve), prevzameta tudi osebne podatke uporabnikov od podjetja v stečaju.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za vsako obdelavo osebnih podatkov, tudi za prenos baze strank od podjetja v stečaju k drugi pravni osebi, mora obstajati ustrezna pravna podlaga. Najprej morate razčistiti vprašanje, ali gre za pravno nasledstvo, kar pa v vašem primeru sicer ne nakazujete. Če ne gre za situacijo pravnega nasledstva, bo verjetno najbolj ustrezen način pridobivanja osebnih podatkov strank neposredno od občin ustanoviteljic in ne kot prevzem osebnih podatkov od družbe v stečaju.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

IP splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. V skladu s prvim odstavkom 6. člena Splošne uredbe je obdelava tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

V vašem primeru je treba najprej razrešiti vprašanje razmerja med podjetjem v stečaju in novimi subjekti, ki prevzemajo izvajanje gospodarske javne službe. Odgovoriti morate na vprašanje, ali nova subjekta prevzemata dejavnost in bosta pravna naslednika podjetja v stečaju? V primeru prevzema dejavnosti, se je IP v mnenju št. 07121-1/2024/233 z dne 1. 3. 2024 (https://www.ip-rs.si/mnenja-zvop-2/prenos-baze-strank-ste%C4%8Dajnega-dol%C5%BEnika-1711356451) že opredelil, da bi lahko pravno podlago za prenos osebnih podatkov (baze strank) od enega upravljavca k drugemu upravljavcu, v primeru nakupa podjetja, lahko predstavljala točka f) prvega odstavka 6. člena Splošne uredbe. Seveda pa to velja le v primeru, da je bila baza strank prvotno pridobljena v skladu z veljavno zakonodajo in da se ta prenaša kot del celotnega poslovanja. Prenos osebnih podatkov na drugo podjetje bi bil torej eventualno zakonit, v kolikor gre za prenos celotne dejavnosti (poslovanja), za opravljanje katere so osebni podatki iz zbirke, ki se prenaša, po naravi stvari nujno potrebni. Pri tem je pomembno tudi, da se pri prenosu podatkov k novemu upravljavcu pomembno upoštevajo vsa temeljna načela obdelave osebnih podatkov iz 5. člena Splošne uredbe. Več o tem pa si lahko preberete v zgoraj navedenem mnenju.

Iz vašega zaprosila za mnenje pa sicer ne izhaja, da bi šlo v konkretnem primeru za pravno nasledstvo oziroma vstop v vse pravice in obveznosti pravne osebe v stečaju. Zato je treba nadalje ugotoviti, na kakšni pravni podlagi bi lahko neposredno od pravne osebe v stečaju pridobili bazo strank. IP meni, da je pravna podlaga za brezplačni ali odplačni prenos osebnih podatkov strank prejšnjega podjetja na novo podjetje (ali novi dve podjetji) v takem primeru težko točka f) prvega odstavka 6. člena Splošne uredbe, torej zakoniti interes upravljavca, težko pa bo tudi zagotoviti načelo točnosti, torej da ima družba v stečaju zares še točne in ažurne podatke posameznikov. Veliko ustrezneje je, da novo komunalno podjetje osebne podatke občanov, ki jim zagotavlja komunalne storitve, pridobi od občine ustanoviteljice. O tem je IP napisal že več mnenj, ki vam jih priporočamo v branje, na primer mnenje št. 07121-1/2021/926 z dne 17. 5. 2021 (https://www.ip-rs.si/mnenja-gdpr/podatki-o-%C4%8Dlanih-gospodinjstev-za-obra%C4%8Dun-smetarine) in mnenje št. 0712-1/2019/1669 z dne 14. 7. 2019 (https://www.ip-rs.si/mnenja-gdpr/6048a38d3c3b1). Iz mnenj IP med drugim izhaja, da mora občina, ki je dolžna zagotavljati opravljanje obvezne lokalne javne službe, javnemu podjetju, ki opravlja servisne storitve v zvezi s to javno službo namesto nje, posredovati osebne podatke, ki so za to potrebni in primerni.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., vodja mednarodnega sodelovanja in nadzora