Ustreznost 21. a člena ZLS za pridobivanje podatkov iz e-CRP

Datum

09.10.2023

Številka

07120-1/2023/448

Kategorije

Društva, EMŠO in davčna, Občine, Pravne podlage, Pridobivanje OP iz zbirk, Uradni postopki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaše vprašanje, ali lahko za potrebe ankete v okviru Lokalnega programa za mladino, na podlagi 21. a člena Zakona o lokalni samoupravi, pridobivate podatke iz e-CRP. Potrebovali naj bi ime in priimek, naslov stalnega prebivališča in datum rojstva.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1. Če je izvedbo ankete v okviru Lokalnega programa za mladino mogoče opredeliti kot eno izmed nalog občin za zadovoljevanje potreb svojih prebivalcev, bi bila za pridobitev določenih osebnih podatkov občanov iz CRP lahko podana pravna podlaga v smislu določbe 6(1)(e) Splošne uredbe o varstvu podatkov. Dokončno presojo o tem ter o sorazmernosti takšne obdelave osebnih podatkov pa mora upravljavec skladno z načelom odgovornosti iz člena 5(2) Splošne uredbe o varstvu podatkov opraviti sam.

2. Osebni podatki, ki se obdelujejo, morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Obrazložitev

Uvodoma pojasnjujemo, da lahko konkretno presojo glede vašega vprašanja opravimo zgolj v okviru postopka inšpekcijskega nadzora. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Zato poudarjamo, da IP v mnenju ne more namesto upravljavca presojati, ali bi bilo posamezno ravnanje upravljavca utemeljeno, to je naloga in odgovornost upravljavca. Zato vam v nadaljevanju podajamo zgolj splošna pojasnila, konkretno presojo pa morate opraviti izključno vi, kot upravljavci osebnih podatkov.

V tem delu pojasnjujemo, da mora za zakonito obdelavo osebnih podatkov (npr. pridobivanje podatkov iz CRP) vedno obstajati ustrezna pravna podlaga. Pravne podlage za obdelavo osebnih podatkov ureja Splošna uredba o varstvu podatkov v 6. členu, ki med drugim določa, da je obdelava zakonita, če je podana privolitev posameznika; če je obdelava potrebna za izvajanje pogodbe; za izpolnitev zakonske obveznosti upravljavca; za zaščito življenjskih interesov posameznika; zaradi javnega interesa ali zakonitih interesov upravljavca (vse pod določenimi strogimi pogoji).

V kontekstu obdelave osebnih podatkov v okviru zakona oz. kot izvajanje javne oblasti pojasnjujemo, da Zakon o centralnem registru prebivalstva (Uradni list RS, št. 72/06 – UPB, 3/22 – Zdeb; v nadaljevanju: ZCRP) kot specialni zakon na tem področju, v drugem odstavku 12. člena določa, da lahko upravljavec CRP posreduje podatke iz CRP za vzpostavitev oziroma za vodenje in vzdrževanje registrov in uradnih evidenc državnim organom in drugim uporabnikom, za izvrševanje njihovih, z zakonom določenih nalog. V skladu z drugim odstavkom 23. člena ZCRP uporabniki osebnih podatkov, ki imajo zakonsko podlago za pridobivanje podatkov, in uporabniki, ki so pooblaščeni z osebno pisno privolitvijo posameznika, na katerega se podatki nanašajo, lahko iz CRP pridobivajo le v zakonu oziroma osebni privolitvi navedene osebne podatke. Če v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, lahko iz CRP dobijo naslednje podatke: ime in priimek, kraj rojstva, leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča. Vsekakor pa je ob tem treba upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Iz navedenega izhaja, da morajo imeti uporabniki konkretno zakonsko podlago za pridobivanje podatkov iz CRP, obenem pa mora ta zakonska podlaga tudi izrecno predpisovati kategorije podatkov, do katerih je uporabnik upravičen. Ob odsotnosti izrecne navedbe kategorij podatkov v zakonu (ali po moči zakonu vsaj enakovrednemu predpisu npr. evropska uredba), lahko uporabniki, ki sicer imajo zakonsko podlago (ne pa tudi predpisane kategorije podatkov), torej dostopajo do imena in priimka, kraja rojstva, leta rojstva, spola, državljanstva, prebivališča in vrste prebivališča.

Kadar lokalna skupnost (občina) samostojno opravlja lokalne zadeve javnega pomena v kontekstu nalog iz 21. člena Zakona o lokalni samoupravi (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, 76/08, 79/09, 51/10, 40/12 – ZUJF, 14/15 – ZUUJFO, 11/18 – ZSPDSLS-1, 30/18, 61/20 – ZIUZEOP-A in 80/20 – ZIUOOPE; v nadaljevanju ZLS), lahko pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe. Pri varstvu, obdelovanju in hrambi podatkov mora občina ravnati v skladu z zakoni, ki urejajo to področje.

Na podlagi 21.a člena ZLS, občina lahko pridobiva in obdeluje o posameznikih naslednje osebne podatke: EMŠO, osebno ime, naslov stalnega ali začasnega prebivališča, datum in kraj rojstva oziroma datum smrti, podatke o osebnih vozilih, podatke o nepremičninah ter druge osebne podatke v skladu z zakonom. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon. Upravljavec zbirke podatkov pa mora občini omogočiti dostop tudi do drugih podatkov iz zbirke, če je to določeno z zakonom in če te podatke občina potrebuje za izvajanje svojih z zakonom določenih pristojnosti.

Izkazati je torej treba, da je konkretna poizvedba nujno potrebna za izvrševanje vaših (konkretno opredeljenih) zakonitih pristojnosti, ki izhaja iz 21. člena ZLS.

Občina ima torej za opravljanje nalog iz 21. člena ZLS pravno podlago za pridobivanje podatka o imenu in priimku, naslovu ter datumu rojstva, a zgolj za opravljanje nalog iz svojih pristojnosti. Teh podatkov občina ne sme naprej obdelovati za druge namene ali iz njih ustvarjati novih zbirk osebnih podatkov za druge namene. Prav tako občina ne more brez ustrezne pravne podlage osebnih podatkov posredovati tretjim (npr. zunanjemu ponudniku platforme na kateri bi gostili anketni vprašalnik). Občina torej sama kot upravljavec zbirk osebnih podatkov, natančno in skrbno presoja katere podatke in za katere konkretne primere jih obdeluje – torej skrbi za načelo zakonitosti in sorazmernosti.

Konkretne presoje, ali opisani projekt (tj. izvedba ankete v okviru Lokalnega programa za mladino) temu zadosti, IP v okviru mnenja ne more izvesti, ampak je to vaša naloga. IP pri tem ponovno poudarja, da ne more in ne sme izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka presojati konkretnih obdelav osebnih podatkov.

Več o obdelavi osebnih podatkov iz centralnega registra prebivalstva si lahko preberete tudi v smernicah IP, ki so dostopne na spletni strani:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_CRP_web.pdf

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka