Posredovanje podatkov uporabnikov za namene pridobivanja sredstev

Datum

11.02.2025

Številka

07121-1/2024/1640

Kategorije

Društva, Obdelava osebnih podatkov otrok in mladoletnih, Zakoniti interesi

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da vaše društvo deluje v javnem interesu s področja socialnega varstva. Ciljna skupina vaših uporabnikov so tudi socialno ogroženi otroci in mladostniki. Vključeni ste v program pod okriljem športne zveze, ki pa sredstva pridobiva s strani Fundacije za šport, ki pa od podizvajalcev kot dokaz izvajanja dejavnosti zahteva posredovanje foto dokumentacije in podatkov (ime, priimek in letnica rojstva) o uporabnikih programa. Zanima vas, ali je tovrstna zahteva v skladu z veljavno zakonodajo ter predpisi s področja varstva osebnih podatkov in ali lahko posredujete tovrstno informacijo športni zvezi in Fundaciji za šport.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za obdelavo osebnih podatkov v okviru društva je treba zagotoviti ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe, npr. v navedenem primeru bi lahko eventualno šlo za zakonit interes društva po točki (f) prvega odstavka 6. člena Splošne uredbe, da se prijavi na javni razpis za sofinanciranje aktivnosti, povezanih z delovanjem društva, če in v obsegu, v katerem so za to izpolnjeni pogoji.

Namen obdelave osebnih podatkov v okviru izvedbe javnega razpisa je odločanje o upravičenosti do sofinanciranja in nadzor nad zagotavljanjem namenskosti porabe sredstev pri izvedbi programov, ki jih na podlagi javnega razpisa sofinancira fundacija. Pomembno je, da so obveznosti vseh deležnikov v zvezi s posredovanjem osebnih podatkov jasno opredeljene v pogodbah o financiranju. Upravljavec mora upoštevati tudi načelo najmanjšega obsega podatkov. To v praksi na primer pomeni, da društvo oz. fundacija za posamezne vrste osebnih podatkov oceni, ali so zares nujno potrebni za izkazovanje upravičenosti glede na razpisne pogoje in merila.

Prav tako mora imeti fundacija, ki od vas zahteva osebne podatke, ustrezno pravno podlago za takšno zahtevo po posredovanju osebnih podatkov. IP o tem v mnenju ne more in ne sme presojati. V dvomu glede zahteve in glede obstoja in utemeljenosti pravne podlage na strani fundacije za posredovanje osebnih podatkov v okviru razpisne dokumentacije sicer predlagamo, da se obrnete po dodatna pojasnila na fundacijo.

Obrazložitev

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Odgovor na vaše vprašanje je odvisen od konkretnih okoliščin, npr. razpisnih pogojev in pogodbe o financiranju, zato vam lahko IP poda zgolj splošna pojasnila.

Pojasnjujemo, da mora biti tako za društvo kot fundacijo za vsako obdelavo osebnih podatkov (npr. zbiranje osebnih podatkov o članih, shranjevanje, nadaljnje posredovanje oz. drugo obdelavo) podana ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Pri tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Z vidika posredovanja navedenih podatkov s strani društva naj poudarimo, da je IP je za obdelavo osebnih podatkov v društvih sprejel tolmačenje, da kadar društva izvajajo dejavnosti, ki jih določajo pravila delovanja društva (statut oz. drugi interni akti društva), potem obdelava osebnih podatkov poteka na podlagi zgoraj citirane točke (b) oziroma točke (f) prvega odstavka 6. člena Splošne uredbe. V navedenem primeru bi lahko eventualno šlo za zakonit interes društva po točki (f) prvega odstavka 6. člena Splošne uredbe, da se prijavi na javni razpis za sofinanciranje aktivnosti, povezanih z delovanjem društva. Društvo, ki ugotovi, da je ta navedena pravna podlaga ustrezna v konkretnem primeru, mora predhodno preveriti, če so zares izpolnjeni vsi pogoji za skladno obdelavo osebnih podatkov na tej podlagi. Podlaga po točki (f) prvega odstavka 6. člena Splošne uredbe namreč zahteva izvedbo predhodnega testa tehtanja (ali nad interesi upravljavca prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, zlasti, če je posameznik, na katerega se nanašajo osebni podatki, otrok).

Namen obdelave osebnih podatkov v okviru izvedbe javnega razpisa je odločanje o upravičenosti do sofinanciranja in nadzor nad zagotavljanjem namenskosti porabe sredstev pri izvedbi programov, ki jih na podlagi javnega razpisa sofinancira fundacija. Pomembno je, da so obveznosti vseh deležnikov v zvezi s posredovanjem osebnih podatkov jasno opredeljene v pogodbah o financiranju. Ob tem mora upravljavec upoštevati tudi načelo najmanjšega obsega podatkov. To v praksi na primer pomeni, da društvo oz. fundacija za posamezne vrste osebnih podatkov oceni, ali so zares nujno potrebni za izkazovanje upravičenosti glede na razpisne pogoje ter merila (npr. ali je treba posredovati foto dokumentacijo in podatke o letu rojstva, ali namesto posredovanja zadošča vpogled, itd.).

V dvomu glede obstoja in utemeljenosti pravne podlage za posredovanje osebnih podatkov fundaciji v okviru razpisne dokumentacije sicer predlagamo, da se obrnete po dodatna pojasnila na fundacijo. Slednja mora ustrezno utemeljiti, na kakšni pravni podlagi in v kakšnem konkretnem obsegu zahteva osebne podatke od društva, pri tem pa mora upoštevati tudi načelo sorazmernosti, še posebej glede na to, da gre za osebne podatke mladoletnih.

Glede mladoletnih članov poudarjamo, da je predpogoj za zakonito obdelavo osebnih podatkov mladoletnih članov, da je mladoletni član v društvo veljavno včlanjen skladno z določbami Zakona o društvih (Uradni list RS, št. 64/11 – uradno prečiščeno besedilo in 21/18 – ZNOrg, v nadaljevanju: ZDru-1). V drugem odstavku 11. člena ZDru-1 je določeno, da če se v društvo včlani mladoletna oseba do dopolnjenega sedmega leta starosti ali oseba, ki nima poslovne sposobnosti, podpiše pristopno izjavo njen zakoniti zastopnik. Za osebo od sedmega leta do dopolnjenega 15 leta starosti mora zakoniti zastopnik pred njenim vstopom v društvo podati pisno soglasje. V kolikor je mladoletna oseba včlanjena v društvo v skladu z zakonskimi pogoji, veljajo za obdelavo njenih osebnih podatkov zgoraj navedena pravila.

V primeru, da se v okviru društva obdelujejo posebne vrste osebnih podatkov (t.i. občutljivi osebni podatki, med katere npr. uvrščamo podatke v zvezi z zdravjem, spolno usmerjenostjo, podatki ki razkrivajo rasno in etnično poreklo, itd.) je treba zagotoviti posebno pravno podlago skladno z drugim odstavkom 9. člena Splošne uredbe. Predlagamo vam, da več o pravnih podlagah preberete v Smernicah IP Društva in varstvo osebnih podatkov, ki so dostopna na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Drustva_in_varstvo_osebnih_podatkov.pdf.

Posameznikom morate še pred obdelavo njihovih podatkov zagotoviti tudi nekatere informacije o obdelavi osebnih podatkov, kot to določa 13. člen Splošne uredbe. Posamezniki morajo biti seznanjeni npr. z naslednjim: nameni ter pravno podlago za obdelavo osebnih podatkov, uporabniki osebnih podatkov, obdobjem hrambe osebnih podatkov, pravicami posameznika, itd.[1]

Lepo vas pozdravljamo,

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravil: Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo

---

[1]Več informacij glede obveščanja posameznikov je dostopnih na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov