Povezovanje zbirk OP

Datum

17.12.2024

Številka

07120-1/2024/444

Kategorije

Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede povezovanja zbirk osebnih podatkov za namen vodenja registra.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP glede pravne podlage za povezovanje uradnih evidenc in javnih knjig, ki ne spadajo v okvir 87. člena ZVOP-2, podaja stališče, da mora biti v takih primerih načeloma zagotovljena pravna podlaga v smislu točke (c) 6. člena Splošne uredbe. Zakon mora torej določiti možnost upravljavca zbirke osebnih podatkov za pridobivanje osebnih podatkov iz druge uradne evidence, javne knjige ali druge zbirke osebnih podatkov, s katero se želi v konkretnem primeru povezati, ter določiti tudi vrste osebnih podatkov, ki se lahko pridobivajo.

ZVOP-2 v drugem odstavku 6. člena namreč določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

Obrazložitev

IP uvodoma poudarja, da v okviru neobvezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov je na upravljavcu osebnih podatkov.

IP pojasnjuje, da ZVOP-2 v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe.

Ob tem IP opozarja, da v skladu z 12. točko drugega odstavka 5. člena ZVOP-2 povezovanje zbirk osebnih podatkov pomeni avtomatsko in elektronsko povezovanje zbirk, ki jih upravljajo upravljavci za različne namene ali po različnih pravnih podlagah, in sicer tako, da se določeni osebni podatki samodejno prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk, tudi če se izvaja le enosmeren pretok osebnih podatkov; zbirke so povezane, če se določeni osebni podatki iz ene zbirke neposredno vključijo v drugo zbirko in se tako druga zbirka poveča ali posodobi ali pa se osebni podatki v njej zaradi točnosti spremenijo. Povezovanje se torej izvede tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko.

IP nadalje pojasnjuje, da ZVOP-2 v okviru 87. člena ureja le t.i. posebej občutljive zbirke osebnih podatkov, ki pomenijo večje tveganje oziroma večji poseg v zasebnost posameznika, medtem ko povezave uradnih evidenc in javnih knjig, ki ne vsebujejo zgoraj navedenih vrst osebnih podatkov, posebej ne ureja, kar pomeni, da so povezave takih uradnih evidenc in javnih knjig dopustne pod pogojem, da za takšno obdelavo obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (oziroma iz drugega odstavka 9. člena Splošne uredbe, če gre za povezovanje posebnih vrst osebnih podatkov) ter če je zagotovljena ustrezna varnost osebnih podatkov, vključno z zagotavljanjem dnevnika obdelave iz 22. člena ZVOP-2. IP glede pravne podlage za povezovanje uradnih evidenc in javnih knjig, ki ne spadajo v okvir 87. člena ZVOP-2, podaja stališče, da mora biti v takih primerih načeloma zagotovljena pravna podlaga v smislu točke (c) 6. člena Splošne uredbe. Zakon mora torej določiti možnost upravljavca zbirke osebnih podatkov za pridobivanje osebnih podatkov iz druge uradne evidence, javne knjige ali druge zbirke osebnih podatkov, s katero se želi v konkretnem primeru povezati, ter določiti tudi vrste osebnih podatkov, ki se lahko pridobivajo. ZVOP-2 v drugem odstavku 6. člena namreč določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave.

Ob tem IP dodaja, da je treba upoštevati tudi zahteve Splošne uredbe in ZVOP-2 glede izdelave ocene učinka na varstvo podatkov. Glede na te zahteve bo namreč tudi v številnih primerih povezovanja uradnih evidenc in javnih knjig, ki sicer ne spadajo v okvir prvega odstavka 87. člena ZVOP-2, treba izdelati predhodno oceno učinka na varstvo podatkov. Več informacij o oceni učinka je dostopnih na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/ocena-učinka-v-zvezi-z-varstvom-podatkov/.

IP ob tem opozarja tudi na obveznost zagotavljanja tehničnih in organizacijskih ukrepov za zagotavljanje varnosti obdelave osebnih podatkov v skladu s 24. in 32. členom Splošne uredbe.

IP dodaja, da Zakon o zdravniški službi (Uradni list RS, št. 72/06 – UPB, 15/08 ZPacP, 58/08, 107/10 – ZPPKZ, 40/12 – ZUJF, 88/16 – ZdZPZD, 40/17, 64/17 – ZZDej-K, 49/18, 66/19, 199/21, 136/23 – ZIUZDS, 35/24; v nadaljevanju: ZZdrS) v 30. členu določa, da se vpis v register opravi na zahtevo zdravnika, ki izpolnjuje pogoje, določene s tem zakonom. V 31. členu ZZdrS so določeni podatki, ki jih zdravniška zbornica zbira za vodenje registra zdravnikov. Pravilnik o registru zdravnikov (Uradni list RS, št. 67/22; v nadaljevanju: pravilnik) določa, da o vsaki spremembi podatkov zdravnik obvesti zbornico v 30 dneh po nastanku spremembe. Nadalje je v petem odstavku 3. člena pravilnika določeno, da je v register prostovoljno vpisan zdravnik, za katerega članstvo v zbornici ni obvezno. V prvem odstavku 5. člena je določeno, da se postopek za vpis v register začne na podlagi vloge zdravnika, določene pa so tudi priloge, ki jih mora priložiti vlogi. V drugem odstavku 5. člena je določeno, da si zbornica ne glede na prejšnji odstavek v skladu z zakonom, ki ureja splošni upravni postopek, po uradni dolžnosti preskrbi podatke o dejstvih, o katerih vodi uradno evidenco. Enako ravna glede dejstev, o katerih vodi uradno evidenco kakšen drug državni organ oziroma organ samoupravne lokalne skupnosti ali nosilec javnega pooblastila. Določeno je torej, kako zbornica pridobiva podatke iz evidenc, ki jih vodijo drugi državni organi, organi samoupravnih lokalnih skupnosti ali nosilci javnih pooblastil – v skladu z določbami ZUP (zlasti 139. členom).

Na podlagi navedenega IP meni, da določbe ZZdrS najverjetneje ne predstavljajo pravne podlage za povezovanje zbirk podatkov, ki jih navajate v vašem zaprosilu za mnenje. Prav tako IP meni, da take podlage v konkretnem primeru najverjetneje ne predstavlja niti določba četrtega odstavka 6. člena ZVOP-2, ki jo navajate v vašem zaprosilu za mnenje. IP ponavlja stališče, da mora biti za dopustnost povezovanja uradnih evidenc in javnih knjig, ki ne spadajo v okvir 87. člena ZVOP-2, načeloma zagotovljena pravna podlaga v smislu točke (c) 6. člena Splošne uredbe. Zakon mora torej določiti možnost upravljavca zbirke osebnih podatkov za pridobivanje osebnih podatkov iz druge uradne evidence, javne knjige ali druge zbirke osebnih podatkov, s katero se želi v konkretnem primeru povezati, ter določiti tudi vrste osebnih podatkov, ki se lahko pridobivajo, ob tem pa izpolniti tudi druge zahteve iz drugega odstavka 6. člena ZVOP-2. Ob tem IP ponavlja, da lahko dokončno presojo zakonitosti obdelave osebnih podatkov poda le v konkretnem nadzornem ali drugem upravnem postopku.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka