Pojem obdelave osebnih podatkov in obdelava podatka o kaznovanosti

Datum

12.03.2024

Številka

07121-1/2024/269

Kategorije

Definicija OP, Posebne vrste OP, Pravne podlage, Razno

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaše vprašanje, če že samo dejanje »seznanitve« z osebnim podatkov pomeni obdelavo osebnih podatkov glede na Splošno uredbo? Kakšni so pogoji za obdelavo podatka o kaznovanosti?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1.Seznanitev z osebnimi podatki predstavlja ravnanje, ki pomeni obdelavo osebnih podatkov.

2.Podatke o kaznovanosti se obravnava kot posebne vrste osebnih podatkov. Dajanje podatkov iz kazenske evidence podrobneje ureja 250.a in 250.b Zakona o izvrševanju kazenskih sankcij.

3.Upravljavec mora za vsak posamezen namen obdelave osebnih podatkov posebej zagotoviti ločeno in ustrezno pravno podlago (ločeno za seznanitev in ločeno za nadaljnje razkrivanje).

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Pojem obdelave osebnih podatkov je določen v drugem odstavku 4. člena Splošne uredbe in tako vključuje „vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje“.

Vsekakor je torej že dejanje same seznanitve z osebnimi podatki ravnanje, ki pomeni obdelavo osebnih podatkov.

Za vsako obdelavo osebnih podatkov (torej tako za samo seznanitev kot tudi za njeno nadaljnjo uporabo, razširjanje itd.) mora vedno obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi zakonitost obdelave osebnih podatkov dokazati. Pravne podlage so določene v členu 6(1) Splošne uredbe. Skladno s členom 6(1)(c) je obdelava med drugim zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca.

V primeru obdelave podatka o kaznovanosti posameznika poudarjamo, da se glede na prvi odstavek 10. člena ZVOP-2 podatki o vpisu ali izbrisu v ali iz kazenskih evidenc in prekrškovnih evidenc ter prenosi teh podatkov, obravnavajo kot posebne vrste osebnih podatkov v skladu s prvim in drugim odstavkom 9. člena Splošne uredbe. Na podlagi 10. člena Splošne uredbe pa se obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški ali s tem povezanimi varnostnimi ukrepi na podlagi člena 6(1) izvaja le pod nadzorom uradnega organa ali če obdelavo dovoljuje pravo Unije ali pravo države članice, ki zagotavlja ustrezne zaščitne ukrepe za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Kakršni koli celoviti registri kazenskih obsodb se vodijo samo pod nadzorom uradnega organa.

Področni zakon v smislu členov 6(1)(c) in 10 Splošne uredbe, ki ureja dajanje podatkov iz kazenske evidence, je v konkretnem primeru Zakon o izvrševanju kazenskih sankcij (Uradni list RS, št. 110/06 – uradno prečiščeno besedilo, 76/08, 40/09, 9/11 – ZP-1G, 96/12 – ZPIZ-2, 109/12, 54/15 in 11/18, v nadaljevanju ZIKS-1). V šestem odstavku 250.a člena ZIKS-1 je določeno, da ministrstvo posreduje podatke iz kazenskih evidenc o neizbrisani obsodbi državnim organom, organom samoupravnih lokalnih skupnosti in nosilcem javnih pooblastil, na obrazloženo zahtevo pa tudi pravnim osebam in zasebnim delodajalcem, če še trajajo pravne posledice obsodbe ali varnostni ukrepi, in če imajo te osebe za prejem podatkov upravičen, na zakonu utemeljen interes. Urejanje ravnanja posredovanja podatkov iz kazenske evidence sicer podrobneje ureja 250.a in 250.b Zakona o izvrševanju kazenskih sankcij. Več o tem si lahko preberete tudi v mnenju št. 07121-1/2020/501 z dne 2. 4. 2020.

Upravljavec mora za vsak posamezen namen obdelave osebnih podatkov posebej zagotoviti ločeno in ustrezno pravno podlago, kar z drugimi besedami pomeni, da mora upravljavec zagotoviti ustrezno pravno podlago za samo seznanitev z osebnimi podatki kot ločeno še ustrezno pravno podlago za njihovo nadaljnjo uporabo oz. razkrivanje.

Če glede na pojasnila zgoraj menite, da so vam bile kršene pravice v zvezi z varstvom osebnih podatkov oz. da je v vašem konkretnem primeru prišlo do nezakonitega razkritja posebnih vrst osebnih podatkov, lahko pri IP vložite prijavo po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana. Pomagate si lahko z obrazcem, ki je dostopen na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlozitev-prijave

Če menite, da vam je bila z dejanji delodajalca povzročena tudi kakšna škoda, pa lahko zoper njega na sodišču vložite tudi odškodninski zahtevek.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka