Obdelava osebnih podatkov v disciplinskih postopkih

Datum

29.05.2025

Številka

07121-1/2025/674

Kategorije

Društva

pri Informacijskem pooblaščencu (IP) smo prejeli vaš dopis, v katerem pojasnjujete, da prejemate opozorila posameznikov / kršiteljev (ki niso člani Zveze, temveč so člani članic Zveze ali so z Zvezo v kakšnem drugem razmerju, ki trdijo, da je navajanje njihovih osebnih podatkov na spletni strani in glasilu Zveze v nasprotju z določili ZVOP-2. Postavili ste več vprašanj s področja varstva osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

V kolikor je kršitelj zavezan k pravilom Zveze in ima Zveza pravno podlago za obdelavo osebnih podatkov kršiteljev v točki (b) ali (f) prvega odstavka Splošne uredbe, po mnenju IP, Zveza pri izvedbi disciplinskega postopka lahko obdeluje vse tiste osebne podatke kršitelja, ki so ustrezni, relevantni in potrebni za izvedbo tega postopka. Odločitev o tem, kateri osebni podatki so potrebni za izvedbo konkretnega disciplinskega postopka, lahko sprejme le organ, ki vodi disciplinski postopek. Te osebne podatke se lahko vključi tudi v končno odločitev disciplinske komisije.

Ni v nasprotju s predpisi varstva osebnih podatkov, da Zveza vnaprej določi, da se v interesu Zveze ali drugih oseb javno objavi (npr. na spletni strani ali glasilu zveze) osebna imena kršiteljev in izrečeni disciplinski ukrepi. Pomembno je, da so člani oziroma osebe, zoper katere se disciplinski postopki v skladu s pravili zveze lahko vodijo, o tem predhodno obveščeni – tj. pred včlanitvijo oziroma preden sprejmejo pravila Zveze. Zveza mora imeti za javno objavo osebnih podatkov kršiteljev zakonito pravno podlago iz 6. člena Splošne uredbe (najverjetneje izvajanje pogodbe ali izvrševanje zakonitih interesov). Če take objave ni moč utemeljiti na pogodbi ali zakonitih interesih zveze ter ni izpolnjen pogoj vnaprejšnjega informiranja (vključno s pravico do ugovora, v primeru obdelave na podlagi zakonitih interesov), bi bila javna objava dopustna le na podlagi veljavne privolitve (točka (a) prvega odstavka 6. člena Splošne uredbe).

Uporaba osebnih podatkov kršiteljev v okviru disciplinskega postopka predstavlja obdelavo v smislu 2. točke prvega odstavka 4. člena Splošne uredbe.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven nadzornih ali drugih postopkov presojati konkretnih obdelav osebnih podatkov. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov je vedno na upravljavcu osebnih podatkov.

Vsaka obdelava osebnih podatkov mora potekati transparentno in skladno z določbami Splošne uredbe in ZVOP-2. Splošna uredba v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

V skladu s prvim odstavkom 5. člena Zakona o društvih (Uradni list RS, št. 64/11 – uradno prečiščeno besedilo in 21/18 – ZNOrg; ZDru-1) je društvo pravna oseba zasebnega prava. Skladno z določbami ZDru-1 društvo samo določi namen in cilje, dejavnost oziroma naloge ter način delovanja. Posameznik pa lahko postane član društva pod pogoji, ki jih društvo določi v temeljnem aktu.

Prav tako je tudi obdelava osebnih podatkov članov dopustna pod pogoji, kot jih določa temeljni akt, pri čemer pa mora biti posameznik ob vstopu v društvo s tem aktom seznanjen in se tako šteje, da je s takšno seznanitvijo seznanjen tudi z nameni obdelave svojih osebnih podatkov.

Kadar se osebni podatki obdelujejo za namene vodenja pravnih postopkov, kamor lahko uvrščamo tudi disciplinske postopke, ki jih vodijo društva, se obdelava osebnih podatkov članov društva z vidika 6. člena Splošne uredbe šteje za zakonito, če je obdelava osebnih podatkov neločljivo povezana s članstvom in delovanjem društva ter če se izvaja v skladu z nameni in pravili, ki so opredeljeni v temeljnih aktih društva. Zbiranje, uporaba, hramba in javna objava osebnih podatkov, ki se izvaja za namene izvedbe disciplinskih postopkov društva, se torej šteje za zakonito, če se izvaja v skladu s pravili oziroma po postopku, ki ga določajo temeljni akti društva (npr. pravilnik, ki v društvu ureja pravila vodenja disciplinskega postopka). Pravna podlaga za takšno obdelavo osebnih podatkov je praviloma podana v točki (b) (izvajanje pogodbe) ali (f) (izvrševanje zakonitih interesov) prvega odstavka 6. člena Splošne uredbe. IP opozarja, da je presoja upravičenosti obdelave osebnih podatkov, vključno z njihovo javno objavo, vedno na upravljavcu osebnih podatkov. V vsakem primeru pa je treba zagotoviti, da so člani primerno obveščeni o obdelavi njihovih osebnih podatkov, zlasti o tem, za katere namene, na kakšen način in na kateri pravni podlagi bo društvo njihove osebne podatke obdelovalo. V zvezi z obdelavo osebnih podatkov na podlagi točke (f) prvega odstavka 6. člena Splošne uredbe IP pojasnjuje, da podlaga zakonitih interesov zahteva izvedbo predhodnega testa tehtanja. Pri tem testu je zelo pomembno, da upravljavec upošteva načelo najmanjšega obsega podatkov, kar v praksi pomeni, da društvo za posamezne vrste osebnih podatkov oceni, ali so zares nujno potrebne za izkazovanje upravičenosti glede na zasledovane cilje. Za utrditev pravne podlage zakonitih interesov je ključno, da lahko člani pričakujejo takšno obdelavo osebnih podatkov oziroma, da je za posameznike obdelava osebnih podatkov predvidljiva. To društvo izkaže predvsem z ustreznimi opredelitvami v svojih aktih, v obvestilih poslanih članom itd. Poleg tega pa mora društvo v primeru obdelave osebnih podatkov na podlagi zakonitih interesov člane obvestiti tudi o pravici do ugovora po 21. členu Splošne uredbe v zvezi z obdelavo njihovih osebnih podatkov. Z vložitvijo ugovora član nasprotuje obdelavi svojih osebnih podatkov, kar pomeni, da mora društvo z obdelavo prenehati, razen če obstajajo nujni legitimni razlogi za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami člana, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Če društvo te razloge lahko dokaže, lahko ugovor zavrne in obdelavo kljub temu izvede.

Iz vašega dopisa izhaja, da se na vas obračajo posamezniki / kršitelji, ki niso člani Zveze, temveč so člani članic Zveze oziroma so z Zvezo v kakšnem drugem razmerju. Zveza društev je samostojna pravna oseba in je zato tudi odgovorna kot samostojni upravljavec osebnih podatkov, ko obdeluje osebne podatke članov/posameznikov svojih članic za svoje namene, ter mora obdelavo utemeljiti na eni od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe oziroma v okviru drugega odstavka 9. člena Splošne uredbe (za t.i. »občutljive« osebne podatke). Član društva je lahko hkrati tudi član Zveze (če tako določa njen temeljni akt). Iz temeljnih aktov posameznih društev lahko izhaja tudi, da se društvo in njegovi člani zaradi zasledovanja svojih interesov združujejo v Zvezo in da člana z včlanitvijo v posamezno društvo avtomatično zavezujejo tudi pravila Zveze. V takšnih primerih bi bilo mogoče šteti, da je član/posameznik seznanjen tudi s pravili Zveze in je s sprejetjem temeljnega akta društva posledično privolili tudi v pravila Zveze. Podobno velja tudi za posameznike, ki so s Zvezo v kakšnem drugem razmerju; Zveza mora biti zmožna izkazati, da so ti posamezniki privolili v pravila Zveze oziroma da jih ta zavezujejo. V navedenih primerih, ko pravila Zveze zadevne posameznike zavezujejo, bi zveza za obdelavo osebnih podatkov članov/posameznikov za namene, za katere je bila zveza ustanovljena oziroma za izvajanje dejavnosti, ki so s tem namenom neposredno povezane (tudi za izvedbo predvidenih disciplinskih postopkov), lahko imela podlago v točki (b) ali (f) prvega odstavka 6. člena Splošne uredbe.

Vaša vprašanja

1.Ali disciplinska komisija Zveze v primeru ugotovitve, da so izpolnjeni pogoji za uvedbo disciplinskega postopka, lahko uporablja osnovne osebne podatke (ime in priimek, naslov bivališča, ime xxxx oziroma xxx, ime xxx, s katerim je storjen prekršek po Disciplinskem pravilniku Zveze) v disciplinskem postopku in jih navede v dokončni odločbi / sklepu disciplinske komisije?

V kolikor je kršitelj zavezan k pravilom Zveze in ima Zveza pravno podlago za obdelavo osebnih podatkov kršiteljev v točki (b) ali (f) prvega odstavka Splošne uredbe, kot pojasnjeno zgoraj, po mnenju IP, Zveza pri izvedbi disciplinskega postopka lahko obdeluje vse tiste osebne podatke kršitelja, ki so ustrezni, relevantni in potrebni za izvedbo tega postopka (npr. ime in priimek, naslov bivališča, ime xxxx). Odločitev o tem, kateri osebni podatki so potrebni za izvedbo konkretnega disciplinskega postopka, lahko sprejme le organ, ki vodi disciplinski postopek. Te osebne podatke se lahko vključi tudi v končno odločitev disciplinske komisije.

2.Ali se ime in priimek kršitelja (oziroma identifikacijski podatki kot npr. ime xxxx), kateremu je bila v disciplinskem postopku dokazana kršitev in je njegova odgovornost ugotovljena z dokončno odločbo disciplinske komisije, lahko objavi na spletni strani in glasilu Zveze, kot je to določeno v Statutu Zveze (45. člen) in Disciplinskem pravilniku Zveze (13. in 18. člen) oz. pod kakšnimi pogoji je objava dovoljena, če določbe Statuta in Disciplinskega pravilnika ne zadoščajo? Gre namreč za vrsto ukrepa, o katerem je potrebno obvestiti članice / društva Zveze zaradi seznanitve o izrečenih varstvenih ukrepih (katere morajo članice Zveze upoštevati pri svojem delovanju) oz. mora biti javno objavljeno zaradi varstva xxxx.

Ni v nasprotju s predpisi varstva osebnih podatkov, da Zveza vnaprej določi, da se v interesu Zveze ali drugih oseb javno objavi (npr. na spletni strani ali glasilu zveze) osebna imena kršiteljev in izrečeni disciplinski ukrepi. Pomembno je, da so člani oziroma osebe, zoper katere se disciplinski postopki v skladu s pravili zveze lahko vodijo, o tem predhodno obveščeni – tj. pred včlanitvijo oziroma preden sprejmejo pravila Zveze. IP zvezi predlaga, da preuči, ali bi bilo potrebno Disciplinski pravilnik in Statut v relevantnem delu dopolniti, saj iz besedila posredovanih izsekov ni povsem jasno, kateri osebni podatki kršiteljev naj bi se javno objavili in za koliko časa. Kot pojasnjeno že zgoraj, mora zveza za javno objavo osebnih podatkov kršiteljev imeti zakonito pravno podlago iz 6. člena Splošne uredbe (najverjetneje izvajanje pogodbe ali izvrševanje zakonitih interesov). Če take objave ni moč utemeljiti na pogodbi ali zakonitih interesih zveze ter ni izpolnjen pogoj vnaprejšnjega informiranja (vključno s pravico do ugovora, v primeru obdelave na podlagi zakonitih interesov), bi bila javna objava dopustna le na podlagi veljavne privolitve (točka (a) prvega odstavka 6. člena Splošne uredbe).

3.Ali gre v disciplinskem postopku sploh za »zbiranje in obdelavo podatkov«, kot je določeno v ZVOP-2, saj gre za enkratna dejanja, ki so varstvene narave?

V skladu s Splošno uredbo »obdelava« pomeni vsako dejanje ali niz dejanj, ki se izvaja z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Definicija obdelave je torej široka in je praktično vsakršna dejavnost, ki vključuje osebne podatke, lahko obdelava v smislu Splošne uredbe. Uporaba osebnih podatkov kršiteljev v okviru disciplinskega postopka torej predstavlja obdelavo v smislu 2. točke prvega odstavka 4. člena Splošne uredbe.

Odgovore na nekatere najpogosteje zastavljena vprašanja v zvezi z obdelavo osebnih podatkov v društvih najdete v Smernicah o društvih

ki so na voljo na spletni strani IP.

Lepo vas pozdravljamo.

Pripravila

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik,

informacijska pooblaščenka

---

[1]Glej 9. člen ZDru-1.

[2]Gre za izvajanje pogodbe med članom in društvom za namene, za katere je društvo ustanovljeno oziroma za izvajanje dejavnosti, ki so s tem namenom neposredno povezane. Pomembno je, da so te dejavnosti opredeljene v aktih društva in da gre za takšne dejavnosti, brez katerih društvo ne bi moglo delovati.

[3]2. točka prvega odstavka 4. člena Splošne uredbe.

[4]https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Drustva_in_varstvo_osebnih_podatkov.pdf