Osebni podatki v pooblastilu

Datum

18.12.2024

Številka

07121-1/2024/1549

Kategorije

Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo 29. 11. 2024 prejeli vaše zaprosilo za mnenje glede soglasja, da v pooblastilu uporabite EMŠO in naslove pooblaščenih oseb. Pojasnjujete, da je pooblastilo pripravil izvajalec del, po vašem opozorilu, pa vam je ena izmed pooblaščenih oseb poslala soglasje v imenu vseh za uporabo teh podatkov. Prosite za potrditev, da je soglasje ustrezno.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Odgovornost za zakonito obdelavo osebnih podatkov je na upravljavcu. V vašem konkretnem primeru je torej presoja, ali naj pooblastilo vsebuje tudi naslov in EMŠO, na vas kot na upravljavcu, pri čemer je pomembno, da so posamezniki enoznačno določljivi in zato načeloma pooblastilo, ki vsebuje zgolj ime in priimek pogosto ni primerno. Ob tem je treba upoštevati načela Splošne uredbe, pri čemer izpostavljamo načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Upravljavec naj torej zbira in obdeluje zgolj tiste osebne podatke, ki so primerni in nujno potrebni za dosego konkretnega cilja in za katere ima pravno podlago.

Obrazložitev

Uvodoma poudarjamo, da IP lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

Odgovornost za zakonito obdelavo osebnih podatkov je na upravljavcu, ki mora pretehtati, ali ima (ustrezno) pravno podlago za obdelavo osebnih podatkov, kakšen je (nujen) obseg osebnih podatkov, ki jih bo obdeloval, na kakšen način jih bo obdeloval in kako bo poskrbel za njihovo varnost.

V vašem konkretnem primeru je torej presoja, ali naj pooblastilo vsebuje tudi naslov in EMŠO, ali morda kak drug podatke poleg imena in priimka (npr. delovno mesto, drug identifikator), na vas kot na upravljavcu. Pomembno je, da je oseba določljiva, za presojo drugih vidikov veljavnosti pooblastila v civilnopravnem smislu pa IP ni pristojen. Ob tem pa je seveda nujno upoštevati načela Splošne uredbe, v vašem primeru posebej izpostavljamo načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Z drugimi besedami, upravljavec naj zbira in nadalje obdeluje zgolj tiste osebne podatke, ki so za dosego konkretnega cilja primerni in nujno potrebni.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka