Posredovanje osebnih podatkov in povezovanje zbirk osebnih podatkov po ZVOP-2

Datum

18.04.2023

Številka

07120-1/2023/226

Kategorije

Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Pridobivanje OP iz zbirk

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Pojasnjujete, da ste v procesu razvoja novega dokumentno-informacijskega sistema, ki bo z namenom zmanjšanja administrativnih nalog vseboval tudi integracije z drugimi informacijskimi sistemi ter integracije za pridobivanje podatkov iz uradnih evidenc. Načelno možnost dostopa do zbirk osebnih podatkov, evidenc in registrov Državnemu odvetništvu omogoča 7. člen Zakona o državnem odvetništvu (Uradni list RS, št. 23/17; v nadaljevanju ZDOdv). Zaradi bolj učinkovitega pridobivanja podatkov in poenotenega načina pridobivanja vseh potrebnih podatkov želite v novem sistemu podatke pridobivati preko skupnega aplikacijskega gradnika Pladenj. Zanima vas:

-ali veljavni 7. člen ZDOdv ustreza definiciji posredovanja osebnih podatkov ali tudi povezovanju zbirk osebnih podatkov ter ali je potrebno ta člen kakorkoli spremeniti ali dopolniti,

-ali je potrebno pred začetkom povezovanja takšnih zbirk izdelati oceno učinka po 35. členu Splošne uredbe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

ZDOdv daje državnemu odvetništvu v 7. členu pooblastilo za pridobivanje osebnih podatkov v posamezni zadevi, težko pa bi utemeljili, da ta določba predstavlja ustrezno pravno podlago tudi za povezovanje zbirk javnega sektorja po 87. členu ZVOP-2.

IP v mnenju ne more podati dokončnega odgovora, ali gre v primeru novega dokumentno-informacijskega sistema, ki ga opisujete, za povezovanje zbirk osebnih podatkov v smislu ZVOP-2 ali zgolj za pridobivanje osebnih podatkov. Glede na naravo osebnih podatkov, ki jih boste pridobivali, ter način pridobivanja teh podatkov (preko aplikacije Pladenj) pa IP meni, da gre v konkretnem primeru najverjetneje za povezovanje zbirk javnega sektorja v smislu 87. člena ZVOP-2. Zato bi bilo treba v primeru takšnega povezovanja skladno z drugim odstavkom tega člena (poleg izrecne zakonske določenosti) pred njegovim začetkom izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z IP po 36. členu Splošne uredbe.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da v okviru mnenja ne more podati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru, niti ni pristojen za podajo konkretnega predloga za spremembo zakona. Zato v nadaljevanju pojasnjuje pravne vidike, ki so pomembni pri presoji zakonitosti posredovanja osebnih podatkov in povezovanja zbirk, opozarja pa, da je odgovornost za zakonito in pošteno obdelavo osebnih podatkov na upravljavcu.

ZVOP-2 v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe.

V skladu z 12. točko drugega odstavka 5. člena ZVOP-2 povezovanje zbirk osebnih podatkov pomeni avtomatsko in elektronsko povezovanje zbirk, ki jih upravljajo upravljavci za različne namene ali po različnih pravnih podlagah, in sicer tako, da se določeni osebni podatki samodejno prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk, tudi če se izvaja le enosmeren pretok osebnih podatkov; zbirke so povezane, če se določeni osebni podatki iz ene zbirke neposredno vključijo v drugo zbirko in se tako druga zbirka poveča ali posodobi ali pa se osebni podatki v njej zaradi točnosti spremenijo. Povezovanje se torej izvede tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko. IP meni, da 7. poglavje II. dela ZVOP-2 ureja povezovanje tako po ožji kot po širši razlagi povezovanja.

IP je že zavzel stališče, da ZDOdv daje državnemu odvetništvu v 7. členu pooblastilo za pridobivanje osebnih podatkov v posamezni zadevi. V prvem odstavku 7. člena ZDOdv je namreč določeno, da morajo državni organi, organi samoupravnih lokalnih skupnosti in nosilci javnih pooblastil državnemu odvetništvu na njegovo zahtevo brezplačno posredovati osebne in druge podatke in obvestila ali pojasnila, potrebna za zastopanje v posamezni zadevi. V ta namen lahko državno odvetništvo zahteva od pristojnega organa, da mu brezplačno posreduje na vpogled spis o posamezni zadevi ter nadalje uporabi podatke iz njegove vsebine. V drugem odstavku 7. člena ZDOdv pa je določeno, da ima državno odvetništvo na podlagi tega zakona ali drugih zakonov, ki določajo njegove pristojnosti, zaradi obravnavanja in reševanja posamezne zadeve pravico do brezplačnega dostopa oziroma brezplačnega neposrednega elektronskega dostopa do informatiziranih vpisnikov sodišč in vseh javnih knjig, registrov in uradnih evidenc, ki jih upravljajo organi javnega sektorja v informatizirani obliki. V navedene zbirke podatkov dostopa z navedbo namena dostopa in opravilne številke zadeve državnega odvetništva. Državno odvetništvo lahko v podatke iz zbirk podatkov vpogleda, jih kopira, prepiše ali izpiše in naprej obdeluje v postopkih, v katerih izvršuje svoje zakonsko določene pristojnosti.

IP meni, da bi ta določba ZDOdv načeloma težko predstavljala ustrezno pravno podlago tudi za povezovanje zbirk osebnih podatkov. Poudarja pa, da tega v okviru mnenja ne more presojati, temveč bi to lahko storil le v konkretnem nadzornem ali drugem upravnem postopku.

V zvezi s tem IP dodaja, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element razlikovanja med posredovanjem podatkov iz 39. do 43. člena ZVOP-2 ter med povezovanjem zbirk osebnih podatkov iz 7. poglavja II. dela ZVOP-2 je predvsem v tem, da mora odgovorna oseba v primerih posredovanja oziroma pridobivanja podatkov vstopiti v vsako zbirko posebej, medtem ko mora v primeru povezovanja zbirk osebnih podatkov vstopiti le v eno zbirko, sistem pa ob tem omogoči pridobitev določenih osebnih podatkov tudi iz povezanih zbirk.

IP zato v mnenju ne more podati niti dokončnega odgovora o tem, ali gre v primeru novega dokumentno-informacijskega sistema, ki ga opisujete, za povezovanje zbirk osebnih podatkov v smislu ZVOP-2 ali zgolj za pridobivanje osebnih podatkov prek telekomunikacijskih sredstev oziroma omrežij. Glede na naravo osebnih podatkov, ki jih boste pridobivali, ter način pridobivanja teh podatkov (preko aplikacije Pladenj) pa IP meni, da gre v konkretnem primeru najverjetneje za povezovanje zbirk javnega sektorja v smislu 87. člena ZVOP-2. Zato bi bilo treba v primeru takšnega povezovanja skladno z drugim odstavkom tega člena (poleg izrecne zakonske določenosti) pred njegovim začetkom izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom (IP) po 36. členu Splošne uredbe.

Tudi če gre za povezovanje uradnih evidenc in javnih knjig, ki ne spadajo v okvir 87. člena ZVOP-2, pa je lahko podana obveznost izdelave ocene učinka na varstvo podatkov. Več o tem si lahko preberete v mnenju IP št. 07120-1/2023/149 z dne 20. 3. 2023, informacije o oceni učinka pa so dostopne tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/ocena-učinka-v-zvezi-z-varstvom-podatkov/.

IP ob tem poudarja, da je primarna odgovornost za presojo, ali gre za posredovanje osebnih podatkov ali za povezovanje zbirk oziroma za kakšno vrsto povezovanja gre, na upravljavcu. V kolikor pa na podlagi te presoje ugotovite, da bi v konkretnem primeru dejansko šlo za povezovanje osebnih podatkov, IP vsekakor priporoča, da se sklene ustrezen sporazum med upravljavcema oziroma upravljavci, v katerem se jasno opredelijo vsa vprašanja s področja varstva podatkov.

Več o povezovanju zbirk osebnih podatkov in razlikah s posredovanjem osebnih podatkov si lahko preberete na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/povezava-zbirk-osebnih-podatkov.

Prav tako je IP na temo povezovanja zbirk po ZVOP-2 ter obveznosti izdelave ocene učinka izdal že več mnenj, ki so dostopna na https://www.ip-rs.si/mnenja-zvop-2/ (kategoriji »Pridobivanje OP iz zbirk«, »Ocene učinkov v zvezi z varstvom podatkov«).

Lepo vas pozdravljamo,

Pripravil:

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka