Razdeljevanje zbranih sredstev za pomoč prizadetim v poplavah

Datum

06.10.2023

Številka

07121-1/2023/1262

Kategorije

Občine, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste v vaši občini preko Rdečega križa zbrali denar za prizadete v poplavah. Ne veste pa, kako denar ustrezno razdeliti med najbolj pomoči potrebnim glede na prizadetost v poplavah in gmotni položaj. Navajate, da imajo občina, šola in CSD podatke, kdo je upravičen do nižjega plačila vrtca, prehrane ter ostalih socialnih transferjev. Prosite nas za navodila, kako zakonito priti do podatkov, da bo ta pomoč ustrezno razdeljena, da bi se izognili zlorabam in bi pomoč prejemale osebe z dobrim gmotnim položajem, tisti socialno najšibkejši pa bi ostali brez.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago.

Če bi obdelovala osebne podatke za namene razdeljevanja humanitarne pomoči občina, se je treba primarno nasloniti na področni zakon, ki je Zakon o lokalni samoupravi, in sicer na 21. in 21.a člen ZLS. Načini in zakonitost obdelave osebnih podatkov bodo odvisni od tega, ali gre pri razdeljevanju humanitarne pomoči za izvirno nalogo občine (po mnenju IP verjetno gre), nadalje pa, od koga bi osebne podatke za namene razdeljevanja pomoči občina pridobivala: od posameznikov, od drugih upravljavcev ali iz lastnih evidenc, ki jih vodi na podlagi zakona. IP vam svetuje, da vsako od možnosti natančno preučite v skladu s spodaj navedenimi usmeritvami.

Nekoliko drugače je, če bi osebne podatke obdeloval Rdeči križ Slovenije. V tem primeru je prav tako treba slediti usmeritvam zakonodaje, ki smo jih predstavili v tem mnenju.

Tudi morebitni prejemniki humanitarne pomoči (in vsi občani) imajo pravico do zasebnosti in dostojanstva, zato je odgovornost upravljavca osebnih podatkov, da natančno preuči ustrezne pravne podlage in možnosti njihove uporabe ter izvedbe.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

IP pravzaprav ne more svetovati, od katerih upravljavcev bi lahko zakonito pridobili osebne podatke, saj je to odgovornost za zakonito obdelavo osebnih podatkov na vpletenih upravljavcih osebnih podatkov. Lahko pa vam podamo določene usmeritve glede razlage zakonodaje s področja varstva osebnih podatkov oziroma pravnih podlag za obdelavo (med drugim tudi pridobivanje) osebnih podatkov. Pri tem pa je potrebno posebno opozorilo, da ni v pristojnosti IP, da bi kakor koli komentirali kriterije za razdelitev humanitarne pomoči.

Na začetku želimo poudariti, da je treba v zasnovo postopka razdeljevanja humanitarne pomoči vgraditi pravico posameznika do varstva zasebnosti in varstva osebnih podatkov (med drugim načelo zakonitosti, transparentnosti in druga temeljna načela in pravila varstva osebnih podatkov). Ne glede na to, kdo bo razdeljeval humanitarno pomoč, se je treba že od začetka zavedati, da je bistvena razlika v ravni varstva pravic posameznika, če organizacija objavi poziv, na katerega se z vlogami prijavijo posamezniki, ali če takšna organizacija sama obdeluje osebne podatke posameznikov iz raznih evidenc osebnih podatkov in nato stopi z njimi v stik, ne da bi posamezniki sami izrazili željo ali voljo za kaj takega. V slednjem primeru je potrebna torej toliko večja previdnost pri zagotavljanju zakonitosti obdelave osebnih podatkov.

Za vsako obdelavo osebnih podatkov je treba torej imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

•privolitev

•sklenitev ali izvajanje pogodbe

•zakonska obveznost

•zaščita življenjskih interesov posameznika

•izvajanje javne naloge

•zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika

V predstavljenem primeru je po naši oceni treba predhodno ugotoviti, kakšna so razmerja med občino in Rdečim križem glede tega, kdo od vpletenih je opredeljen kot upravljavec osebnih podatkov ter ali gre morda tudi za primer pogodbene obdelave. Ključno je namreč vprašanje, ali bo obdelovala osebne podatke občina ali Rdeči križ. V nadaljevanju podajamo določene usmeritve glede vsake od obeh možnosti.

Osebne podatke obdeluje (pridobiva in nadalje obdeluje) občina

V primeru, da namerava osebne podatke za namene razdeljevanja humanitarne pomoči obdelovati občina, se je treba primarno nasloniti na področni predpis v smislu točke (c) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov, ki je Zakon o lokalni samoupravi (Uradni list RS, št. 94/07 - UPB, s sprem. in dop.; v nadaljevanju ZLS).

ZLS opredeljuje pooblastila glede obdelave osebnih podatkov občine v 21.a členu v povezavi z 21. členom ZLS. V prvem odstavku 21. člena je uvodoma določeno, da občina samostojno opravlja lokalne zadeve javnega pomena (izvirne naloge), ki jih določi s splošnim aktom občine ali so določene z zakonom. V drugem odstavku 21. člena ZLS pa so obširno navedene naloge, ki jih opravlja občina za zadovoljevanje potreb svojih prebivalcev, med drugim:

-pospešuje službe socialnega skrbstva, za predšolsko varstvo, osnovno varstvo otroka in družine, za socialno ogrožene, invalide in ostarele;

-lahko podeljuje denarne pomoči in simbolične nagrade ob posebnih priložnostih ali obletnicah občanov;

-organizira pomoč in reševanje za primere elementarnih in drugih nesreč;

-ureja druge lokalne zadeve javnega pomena.

Občina torej lahko obdeluje osebne podatke občanov, ki jih potrebuje za opravljanje nalog, navedenih v drugem odstavku 21. člena ZLS iz svoje pristojnosti (med drugim za namene podeljevanja denarne pomoči, pospeševanja služb socialnega skrbstva, za predšolsko varstvo, osnovno varstvo otroka in družine, za socialno ogrožene, invalide in ostarele; organiziranja pomoči in reševanja za primere elementarnih in drugih nesreč).

21.a člen ZLS pa nadalje določa, katere osebne podatke in na kakšen način jih lahko pridobiva in nadalje obdeluje. Drugi odstavek citiranega člena določa, da občina pridobiva in obdeluje o posameznikih naslednje osebne podatke:

-enotno matično številko občana;

-osebno ime;

-naslov stalnega ali začasnega prebivališča;

-datum in kraj rojstva oziroma datum smrti;

-podatke o osebnih vozilih;

-podatke o nepremičninah ter

-druge osebne podatke v skladu z zakonom.

Tretji odstavek 21.a člena ZLS določa, da občina pridobiva osebne podatke iz prejšnjega odstavka neposredno od posameznika, na katerega se podatki nanašajo. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon. Upravljavec zbirke podatkov mora občini omogočiti dostop tudi do drugih podatkov iz zbirke, če je to določeno z zakonom in če te podatke občina potrebuje za izvajanje svojih z zakonom določenih pristojnosti. Zahteva občine mora biti v pisni ali drugi z zakonom ali predpisom vlade določeni obliki.

Iz navedenega torej izhaja, da bi osebne podatke za zakonite namene občina lahko pridobila:

a)od posameznikov (najverjetneje bi to pomenilo razdeljevanje na podlagi vloge prizadetega v poplavah);

b)od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon;

c)iz lastnih evidenc, ki jih vodi za druge namene (na primer upravičenci do znižanega plačila vrtca itd.)

V zgoraj navedenem primeru b) zakon določa, da bi morala občina na ustreznega upravljavca nasloviti zahtevo, in sicer v predpisani obliki. IP meni, da je vsebina zahteve (poleg tega, da ZLS že določa, da je treba navesti pravno podlago) dodatno urejena v 41. členu ZVOP-2, ki ureja postopek posredovanja osebnih podatkov. V prvem odstavku 41. člena ZVOP-2 je tako navedeno, da zahteva za posredovanje osebnih podatkov vsebuje naslednje podatke:

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Opozoriti velja, da zgoraj opisani način pridobivanja osebnih podatkov velja tudi za osebne podatke iz registrov, do katerih ima občina sicer dostop, vendar ni njihov upravljavec (na primer centralni register prebivalstva).

Če bi torej želeli osebne podatke morebitnih upravičencev do humanitarne pomoči pridobiti od drugih upravljavcev in ne od posameznikov, bi morali nanje nasloviti zgoraj navedeno zahtevo. IP vam pri tem žal ne more svetovati, od katerega upravljavca bi bili upravičeni pridobiti te podatke, saj je med drugim lahko v primeru zavrnitve pritožbeni organ za presojo upravičenosti pridobivanja osebnih podatkov iz uradnih evidenc ali javnih knjig (gl. četrti odstavek 41. člena ZVOP-2).

V zgoraj navedenem primeru c) pa se postavlja vprašanje, ali sme občina podatke, ki jih sicer obdeluje kot upravljavec osebnih podatkov za druge namene (na primer podatke upravičencev do znižanega plačila vrtca v smislu podeljene občinske subvencije ali podobno), neposredno obdelovati za namene razdeljevanja humanitarne pomoči. Pri tem je treba upoštevati temeljno načelo obdelave osebnih podatkov, in sicer načelo omejitve namena: osebni podatki morajo biti zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (točka (b) prvega odstavka 5. člena Splošne uredbe). Če sta oba namena (prvotni in drugotni) združljiva, je takšna nadaljnja obdelava dopustna. Pri tem ne gre spregledati, da je v 21.a členu ZLS navedeno, da občina obdeluje tudi »druge osebne podatke v skladu z zakonom«, ki jih torej lahko uporabi za namene izvrševanja svojih pristojnosti oziroma nalog, kot jih določa 21. člen ZLS (tudi s humanitarnega področja). Vendar, kot že omenjeno, je treba natančno preučiti, ali je na primer namen obdelave osebnih podatkov za razdeljevanje socialne pomoči, resnično združljiv z namenom obdelave osebnih podatkov za razdeljevanje humanitarne pomoči.

Osebne podatke obdeluje (pridobiva in nadalje obdeluje) Rdeči križ

V primeru, da osebne podatke obdeluje Rdeči križ, je treba ugotoviti, ali bo to počel:

-v svojem imenu in za svoj račun ter ali bo v tem primeru pravno podlago za obdelavo črpal na podlagi pooblastila, ki mu ga podeli občina, ali bo obdeloval osebne podatke na lastni pravni podlagi (npr. točki (e) - za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti);

-v morebitem soupravljavstvu z občino: več o tem si lahko Priporočilih Informacijskega pooblaščenca glede skupnih upravljavcev (https://www.ip-rs.si/fileadmin/user_upload/Pdf/Priporocila/Priporocila_Informacijskega_Pooblascenca_glede_skupnih_upravljavcev_21jan2019.pdf) ter v Smernicah Evropskega odbora za varstvo podatkov 07/2020 o pojmih upravljavec in obdelovalec (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en);

-v imenu in za račun občine in je pri tem vezan na njena navodila (morebitna pogodbena obdelava), pri čemer se pravna podlaga črpa iz upravičenj občine, torej iz točke (c) prvega odstavka 6. člena Splošne uredbe.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov