Razkritje OP članov svetov zavodov

Datum

17.04.2025

Številka

07120-1/2025/178

Kategorije

Občine

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede razkritja osebnih podatkov oseb, ki jih občina imenuje v svet javnega zavoda.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more podati dokončne presoje glede zakonitosti konkretne obdelave osebnih podatkov, temveč lahko opravi konkretno presojo šele v nadzornem ali drugem upravnem postopku.

ZVOP-2 v drugem odstavku 6. člena določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

IP meni, da pri imenih in priimkih članov sveta javnega zavoda ne gre za varovane osebne podatke, saj so ti podatki povezani z opravljanjem javne funkcije. To pa na drugi strani ne velja tudi za druge njihove osebne podatke (npr. datumi rojstva ali naslovi prebivališča članov sveta).

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnega ravnanja, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.

IP pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Zakon o lokalni samoupravi (Uradni list. RS, št. 94/07 – UPB, 76/08, 79/09, 51/10, 40/12 – ZUJF,14/15 - ZUUJFO, 11/18 - ZSPDSLS-1, 30/18, 61/20 – ZIUZEOP-A, 80/20 – ZIUOOPE, 62/24 – odl. US; v nadaljevanju: ZLS) opredeljuje pooblastila občine glede obdelave osebnih podatkov v 21.a členu v povezavi z 21. členom tega zakona. Občina v skladu z 21. členom ZLS samostojno opravlja lokalne zadeve javnega pomena (izvirne naloge), ki jih določi s splošnim aktom občine ali so določene z zakonom. V skladu z drugim odstavkom istega člena občina za zadovoljevanje potreb svojih prebivalcev opravlja določene naloge, med drugim skrbi za varstvo zraka, tal, vodnih virov, za varstvo pred hrupom, za zbiranje in odlaganje odpadkov in opravlja druge dejavnosti varstva okolja.

V skladu z 21.a členom ZLS občina pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe. Občina pridobiva in obdeluje o posameznikih naslednje osebne podatke: EMŠO, osebno ime, naslov stalnega ali začasnega prebivališča, datum in kraj rojstva oziroma datum smrti, podatke o osebnih vozilih, podatke o nepremičninah ter druge osebne podatke v skladu z zakonom. Občina pridobiva te osebne podatke neposredno od posameznika, na katerega se podatki nanašajo. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon. Upravljavec zbirke podatkov mora občini omogočiti dostop tudi do drugih podatkov iz zbirke, če je to določeno z zakonom in če te podatke občina potrebuje za izvajanje svojih z zakonom določenih pristojnosti.

IP nadalje pojasnjuje, da ZVOP-2 v drugem odstavku 6. člena določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon (in torej ne hierarhično nižji pravni akt, npr. odlok občine). Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. Nadalje ZVOP-2 v tretjem odstavku 6. člena določa, da se v javnem sektorju lahko v skladu s prvim odstavkom tega člena obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja. V četrtem odstavku istega člena pa je določeno, da se ne glede na določbe drugega odstavka tega člena za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. V tem primeru je seveda treba opraviti to tehtanje in ugotoviti stopnjo posega v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

Ob tem pa IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave (v konkretnem primeru glasovanje oziroma obveščanje javnosti).

IP nadalje pojasnjuje, da so navedbe iz mnenja IP, ki jih navajate v vašem zaprosilu za mnenje, še vedno aktualne. Občina tako lahko objavi ime in priimek oseb, imenovanih v svet javnega zavoda. Pravno podlago za to predstavlja tretji odstavek 6. člena Zakon o dostopu informacij javnega značaja (Uradni list RS, št. 51/06 – UPB, 117/06 – ZDavP-2, 23/14, 50/14, 19/15 – odl. US, 102/15, 7/18, 141/22; v nadaljevanju: ZDIJZ), v skladu s katerim ne gre za varovane osebne podatke, kadar gre za podatke o porabi javnih sredstev ali podatke, povezane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca. Posamezniki, ki so člani sveta javnega zavoda, namreč ne zastopajo svojih osebnih interesov, temveč kot posamezniki opravljajo neke vrste javno funkcijo.

IP tako meni, da pri imenih in priimkih članov sveta javnega zavoda ne gre za varovane osebne podatke, saj so ti podatki povezani z opravljanjem javne funkcije. To pa na drugi strani ne velja tudi za druge  njihove osebne podatke (npr. datumi rojstva ali naslovi prebivališča članov sveta). Za njihovo objavo bi tako po mnenju IP morala obstajati katera od zgoraj predstavljenih pravnih podlag. IP ob tem opozarja, da v  kolikor določena obdelava osebnih podatkov (npr. razkritje osebnih podatkov tretjim osebam) nima ustrezne pravne podlage, gre lahko za nezakonito obdelavo osebnih podatkov.

IP se sicer glede na navedbe v vašem zaprosilu za mnenje sprašuje, kako pogosta oziroma realna je situacija, ko občinski svetniki dejansko ne bi vedeli, za koga glasujejo, kljub temu pa v takem primeru dopušča možnost, da bi se za potrebe glasovanja na seji občinskega sveta razkrili (če npr. niso razvidni že iz vloge predlagatelja posameznega kandidata ali druge prejete dokumentacije) dodatni osebni podatki z namenom enolične identifikacije kandidata, vendar bi to moralo biti v posameznem primeru res nujno in omejeno le na namen glasovanja, nikakor pa se ne bi smeli takšni podatki razkrivati tretjim osebam ali celo javnosti (npr. z objavo na spletni strani občine). Stopnja posega v zasebnost posameznika v primeru razkritja dodatnih osebnih podatkov kandidata občinskim svetnikom za namen glasovanja je namreč še vedno precej manjša kot pa v primeru javne objave teh podatkov. Slednja bi bila po mnenju IP morda dopustna v res izjemnih primerih, ko na drug način ne bi bilo nikakor mogoče določiti posameznega imenovanega člana javnega zavoda, ob tem pa IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more podati dokončne presoje glede zakonitosti konkretne obdelave osebnih podatkov, temveč lahko opravi konkretno presojo šele v nadzornem ali drugem upravnem postopku, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec (v konkretnem primeru občina) je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka